Shadow device nelle reti OT: i dispositivi che nessuno sa di avere

Cos'è uno shadow device e perché esiste

Nelle reti IT il concetto di shadow IT è noto: software, servizi cloud, dispositivi collegati senza l'approvazione del reparto sistemi. Nelle reti OT il fenomeno è analogo ma più difficile da gestire e con conseguenze potenzialmente più gravi.

Un shadow device OT è qualsiasi dispositivo collegato alla rete di controllo industriale che non compare nell'inventario ufficiale. Non è necessariamente collegato con intenzioni malevole: nella maggior parte dei casi nasce da esigenze operative, da fretta, da mancanza di procedure chiare o semplicemente da abitudini consolidate prima che la cybersecurity diventasse una priorità.

Le tipologie più comuni che si trovano in un audit di una rete OT manifatturiera italiana:

• Laptop di manutenzione lasciati connessi: il tecnico del fornitore arriva, collega il portatile alla rete OT per la configurazione, finisce il lavoro e se ne va. Il cavo rimane, oppure lo switch ha ancora la porta attiva. Il laptop non c'è più fisicamente, ma se c'è un dispositivo configurato per la connessione remota la sessione può restare aperta.
• Modem 4G o router consumer: installati da operatori o da fornitori per avere un accesso remoto rapido senza passare dalle procedure IT. Sono economici, veloci da configurare, e nessuno ha chiesto il permesso.
• Raspberry Pi e single-board computer: frequenti negli ambienti dove qualcuno ha voluto aggiungere capacità di logging, una dashboard locale, un sistema di notifica. Installati da persone competenti tecnicamente, ma fuori da qualsiasi processo di change management.
• Switch non gestiti: aggiunti per moltiplicare le porte disponibili senza comunicarlo a nessuno. Non sono visibili agli strumenti di gestione di rete perché non hanno un indirizzo IP gestibile.
• Dispositivi IoT commerciali: termometri, videocamere IP, sensori ambientali collegati alla rete OT perché "era la più vicina" o perché "tanto è separata da internet".

Come entrano nella rete

Il percorso di un shadow device dalla sua installazione all'oblio è spesso prevedibile.

L'installazione avviene in un momento di pressione operativa: un guasto da risolvere velocemente, una richiesta del fornitore di poter lavorare in autonomia, un'integrazione temporanea che poi è diventata stabile. Le procedure di change management esistono, ma richiedono tempi che in produzione non sempre si hanno.

Il dispositivo fa quello che deve fare. Nessuno lo documenta perché chi lo ha installato sa già cosa fa. Poi quella persona cambia reparto, va in pensione, lascia l'azienda. Il dispositivo resta. Il suo scopo originale magari è ancora attivo, forse è diventato obsoleto, ma toccarlo sembra rischioso. "Se lo disconnetto e qualcosa smette di funzionare, me ne assumo la responsabilità?"

Questa inerzia è la ragione principale per cui i dispositivi shadow persistono per anni. Non è negligenza dolosa: è la combinazione di documentazione assente, paura di interrompere la produzione e procedure di dismissione inesistenti.

Il rischio reale: non solo la superficie di attacco

Il problema immediato che viene citato quando si parla di shadow device è l'espansione della superficie di attacco: ogni dispositivo non controllato è un potenziale punto di ingresso. È vero, ma è solo una parte del rischio.

Il problema più insidioso è la perdita di integrità dell'inventario. Se non so cosa c'è sulla mia rete, non posso:

• Applicare politiche di segmentazione coerenti (non posso isolare ciò che non so che esiste)
• Valutare le vulnerabilità in modo accurato (un dispositivo non inventariato non viene mai controllato per CVE)
• Rispondere a un incidente in modo efficace (durante una crisi, ogni dispositivo sconosciuto è un sospettato)
• Essere compliant con NIS2 o IEC 62443, che richiedono entrambe un inventario aggiornato degli asset come prerequisito

Il modem 4G installato due anni fa da un fornitore per "un accesso temporaneo" è probabilmente ancora connesso, con credenziali di default, su una SIM intestata al fornitore stesso. Questo non è un rischio teorico: è una backdoor aperta.

Perché i metodi tradizionali non bastano

L'approccio classico per costruire un inventario di rete OT prevede il censimento manuale durante i fermi impianto, combinato con tool di scansione attiva della rete. Entrambi hanno limiti seri nell'OT.

Il censimento manuale è puntuale: fotografa la situazione in un momento preciso ma non si aggiorna automaticamente. Tra un censimento e il successivo possono passare mesi o anni, durante i quali la rete cambia.

La scansione attiva, tipicamente con strumenti come Nmap, invia pacchetti a ogni indirizzo della sottorete e analizza le risposte. Nelle reti IT è un'operazione routine. Nelle reti OT può causare problemi seri: alcuni PLC e dispositivi di campo reagiscono male a traffico inatteso, fino al blocco o al riavvio non pianificato. Scannerizzare una rete OT in produzione richiede un'analisi di rischio preventiva e, spesso, è sconsigliato durante le ore operative.

Gli switch non gestiti, poi, non rispondono nemmeno alle scansioni IP: sono trasparenti a livello di rete. Si vedono solo analizzando il traffico che li attraversa.

Monitoraggio passivo del traffico: come si trovano i dispositivi non censiti

Il monitoraggio passivo del traffico di rete è l'approccio che non interferisce con i dispositivi e non richiede di interrogarli direttamente. Consiste nel posizionare un sensore (tipicamente collegato a una SPAN port su uno switch gestito o a un tap fisico sul cavo) che cattura tutto il traffico e lo analizza.

Da questa analisi è possibile ricavare un inventario automatico: ogni dispositivo che comunica sulla rete lascia tracce nei pacchetti: indirizzi MAC, indirizzi IP, hostname se presenti, protocolli usati, pattern di comunicazione. Un sistema di monitoraggio OT specializzato riconosce questi pattern e costruisce progressivamente un inventario degli asset osservati.

I dispositivi shadow emergono in modo naturale:

• Il modem 4G appare come dispositivo che stabilisce connessioni verso indirizzi IP esterni non documentati
• Il Raspberry Pi compare come host che comunica con i PLC in modi non previsti dalla baseline
• Lo switch non gestito non ha un proprio indirizzo IP, ma la sua presenza si deduce dall'analisi dei MAC address che transitano sulla porta dello switch a monte

La differenza rispetto alla scansione attiva è che il monitoraggio passivo non invia nulla: ascolta e basta. Non può disturbare i dispositivi esistenti, e funziona continuamente, non solo durante i fermi impianto.

Dalla scoperta alla gestione

Trovare i dispositivi shadow è il primo passo. Il secondo è decidere cosa farne senza creare problemi operativi.

L'approccio pragmatico prevede una classificazione iniziale dei dispositivi trovati:

Dispositivi ignoti con comunicazioni legittime e documentabili: probabilmente sono asset esistenti mai censiti. Vanno aggiunti all'inventario, classificati per criticità e inclusi nei processi di gestione ordinari.

Dispositivi con comunicazioni verso l'esterno non giustificate: priorità alta. Il modem 4G sconosciuto o il dispositivo che apre connessioni verso indirizzi IP non documentati richiede investigazione immediata e, se non si trova una giustificazione operativa, disconnessione.

Dispositivi quiescenti o con traffico minimo: possono essere dispositivi legacy non più utilizzati ma ancora collegati. Vanno documentati e, ove possibile, rimossi o isolati.

La scoperta di shadow device è anche un'opportunità per rivedere le procedure: aggiornare le regole per la connessione di dispositivi alla rete OT, introdurre processi di autorizzazione per gli accessi remoti dei fornitori, definire procedure di offboarding che includano la disconnessione di qualsiasi dispositivo collegato.

Il punto non è punire chi ha installato il modem 4G due anni fa: è costruire le condizioni perché la prossima volta esista un percorso autorizzato più comodo di quello non autorizzato.

Visibilità continua come prerequisito

Un inventario OT non è un documento: è uno stato continuo. La rete cambia, i dispositivi vengono aggiunti e rimossi, i fornitori si alternano. Un censimento manuale annuale, anche se perfetto al momento zero, sarà già parzialmente obsoleto dopo poche settimane in un impianto attivo.

La visibilità continua, mantenuta attraverso il monitoraggio persistente del traffico, è l'unico approccio che tiene il passo con i cambiamenti reali della rete. Ogni nuovo dispositivo che appare viene rilevato non appena inizia a comunicare, non al prossimo fermo impianto programmato.

Per le PMI manifatturiere italiane che stanno costruendo la propria postura di sicurezza OT, l'inventario automatico e continuo degli asset non è un obiettivo avanzato: è la base su cui tutto il resto si appoggia. Non si può proteggere ciò che non si sa di avere.

L'angolo MON5

Il modem 4G dimenticato e lo switch non gestito si trovano nel modo descritto in questo articolo: ascoltando il traffico, non interrogando i dispositivi. La fase DISCOVER di MON5 fa proprio questo: asset discovery passiva o ibrida che identifica ogni dispositivo che comunica sulla rete OT e ne ricostruisce la topologia, senza scansioni attive e senza fermare la produzione.

Con la fase ANALYZE l'inventario diventa continuo: ogni nuovo dispositivo viene rilevato appena inizia a comunicare e correlato con le vulnerabilità note, così lo shadow device di domani non resta invisibile per anni. Per scoprire cosa c'è davvero sulla vostra rete, richiedete un assessment OT.