Sicurezza OT nei data center industriali: BMS, DCIM e continuità operativa

I data center come ambienti cyber-fisici

I data center sono percepiti come ambienti IT per eccellenza. Server, storage, networking: tutto digitale, tutto gestito da team IT specializzati con processi di sicurezza maturi. Ma questa percezione oscura una realtà importante: un data center è anche un ambiente fisico complesso, con decine di sistemi OT che ne garantiscono l'operatività.

Raffrescamento, alimentazione elettrica, protezione antincendio, controllo degli accessi fisici, monitoraggio ambientale: tutti questi sistemi sono gestiti da tecnologie operative (BMS, SCADA, PLC, sistemi di controllo distribuito) che hanno gli stessi problemi di sicurezza di qualsiasi altro ambiente industriale. La differenza è che in un data center questi sistemi OT sono profondamente integrati con l'infrastruttura IT che proteggono, e spesso gestiti da team diversi con processi separati.

BMS, DCIM, PDU: gli asset OT nel data center

Building Management System (BMS): è il cervello operativo del data center. Controlla i sistemi HVAC, i chiller, le unità di raffreddamento in-row, i sistemi di umidificazione. Un BMS compromesso può alterare le temperature di esercizio, causare spegnimenti di emergenza per sovratemperatura, o creare condizioni che accelerano il degrado dell'hardware.

Data Center Infrastructure Management (DCIM): i software DCIM aggregano i dati da tutti i sistemi fisici del data center: consumi energetici, temperature, capacità, disponibilità delle UPS. Sono sistemi con accesso a dati operativi critici e spesso con capacità di controllo sui sistemi sottostanti.

Power Distribution Unit (PDU) intelligenti: le PDU moderne non si limitano a distribuire corrente; sono dispositivi in rete con interfacce web, SNMP e API. Possono essere gestite da remoto per spegnere selettivamente i rack. Questa capacità, nelle mani sbagliate, diventa un vettore di attacco diretto all'infrastruttura IT.

UPS in rete: i sistemi di alimentazione di emergenza sono un target critico. Compromettere un UPS significa poter forzare un failover, degradarne le prestazioni, o in alcuni casi causare danni fisici alle batterie attraverso cicli di carica/scarica anomali.

Sistemi di monitoraggio ambientale: sensori di temperatura, umidità, rilevatori di perdite d'acqua, sistemi antincendio. Questi dispositivi sono spesso connessi in rete su protocolli come BACnet o Modbus, raramente aggiornati, e frequentemente trascurati dai programmi di patch management.

Vulnerabilità specifiche dei sistemi di building automation

I sistemi di building automation nei data center presentano un profilo di vulnerabilità caratteristico:

Protocolli legacy: BACnet, LonWorks, Modbus sono protocolli progettati per l'affidabilità, non per la sicurezza. Autenticazione assente o debole, comunicazioni in chiaro, nessun meccanismo di controllo dell'integrità.

Interfacce web esposte: molti sistemi di controllo degli edifici hanno interfacce web accessibili dalla rete interna con credenziali di default o vulnerabilità note. La convergenza tra la rete di building automation e la rete IT del data center crea percorsi di attacco non intenzionali.

Aggiornamenti rari: i sistemi BMS hanno cicli di vita lunghi e processi di aggiornamento complessi che spesso richiedono intervento del fornitore. Il risultato è che molti sistemi girano con firmware obsoleto e vulnerabilità note non patchate.

Silos organizzativi: il team di facility management gestisce BMS e sistemi fisici; il team IT gestisce server e reti; il team di sicurezza si concentra sulla parte IT. La sicurezza dei sistemi di building automation cade spesso nel mezzo.

Impatto sulle operations: quando un attacco spegne la luce

Il rischio non è teorico. Negli ultimi anni si sono verificati diversi incidenti dove sistemi di building automation o PDU sono stati compromessi come primo passo verso impatti sull'infrastruttura IT.

Il pattern tipico: un attaccante entra attraverso una vulnerabilità in un sistema BMS o PDU esposto, ottiene visibilità sull'architettura del data center, e utilizza questa posizione per spostarsi lateralmente verso sistemi IT più critici o per causare direttamente un'interruzione del servizio.

Per un'organizzazione che ha costruito la propria strategia di disponibilità attorno a ridondanza hardware e disaster recovery, un attacco che bypassa queste misure agendo sui sistemi fisici sottostanti è una sorpresa spiacevole.

Approccio alla security per ambienti data center

Un programma di sicurezza OT per i data center deve integrare la prospettiva dei sistemi fisici in quella IT:

Inventario unificato: censire tutti i sistemi OT presenti nel data center (BMS, PDU, UPS, sistemi di monitoraggio) con la stessa disciplina applicata all'inventario IT.

Segmentazione della rete di building automation: la rete BACnet/Modbus deve essere fisicamente o logicamente separata dalla rete IT. Non ci dovrebbero essere percorsi diretti tra un sistema HVAC e l'infrastruttura server.

Gestione delle credenziali: rimuovere tutte le credenziali di default, implementare gestione centralizzata delle password per i sistemi OT, monitorare gli accessi privilegiati.

Visibilità sul traffico OT: estendere il monitoraggio di rete ai protocolli BACnet e Modbus, definire una baseline del traffico atteso e alertare sulle anomalie.

Responsabilità chiara: definire chi è responsabile della sicurezza dei sistemi di building automation (team IT, team facility o una funzione condivisa) e assicurarsi che questa responsabilità sia coperta nei processi di vulnerability management e incident response.

L'angolo MON5

BMS, PDU e UPS in rete sono asset OT a tutti gli effetti, e come tali vanno censiti e monitorati. La fase DISCOVER di MON5 costruisce l'inventario di questi sistemi con discovery passiva, senza interferire con impianti che non possono fermarsi, e ne ricostruisce la topologia: chi parla con chi, su quali protocolli, attraverso quali percorsi verso la rete IT.

Con ANALYZE le vulnerabilità dei sistemi di building automation vengono correlate con score EPSS ed esposizione reale, dando a team IT e facility dati condivisi per colmare lo spazio grigio di responsabilità. Per capire quanti asset OT vivono nel vostro data center, partite da un assessment OT.