Supply chain attack nell'OT: il vettore che bypassa il perimetro fisico

Il problema dei fornitori nell'OT: accesso privilegiato e controllo limitato

Un impianto industriale moderno dipende da decine di fornitori specializzati: il produttore del PLC, il system integrator che ha progettato la linea, il fornitore del software SCADA, il service provider per la manutenzione preventiva, il consulente che ha eseguito l'ultimo upgrade. Ognuno di questi attori ha avuto, ha, o avrà accesso a sistemi critici.

La caratteristica che rende il supply chain attack particolarmente insidioso nell'OT è questa: l'attaccante non ha bisogno di superare le difese dell'organizzazione target. Ha bisogno solo di compromettere uno dei suoi fornitori, che spesso ha difese più deboli, e usarlo come ponte.

Il risultato è che le misure di sicurezza perimetrali (firewall, IDS, segmentazione di rete) non servono a nulla contro un accesso che arriva attraverso un canale autorizzato, usato da un vendor con credenziali legittime, che esegue operazioni apparentemente normali.

Come avvengono gli attacchi: dal firmware compromesso al software di manutenzione

Gli attacchi supply chain nell'OT seguono pattern diversi, spesso combinati:

Firmware compromesso: il firmware dei dispositivi OT (PLC, RTU, gateway industriali) viene tipicamente fornito dal produttore e installato durante la messa in opera o gli aggiornamenti. Un attaccante che compromette il processo di distribuzione del firmware del produttore può far arrivare software malevolo sui dispositivi finali senza mai accedere direttamente all'impianto.

Software di manutenzione e ingegneria: gli strumenti di programmazione dei PLC, i software di configurazione degli azionamenti, le piattaforme SCADA, vengono spesso installati da technici del fornitore su macchine di ingegneria e workstation OT. Compromettere l'update mechanism di questi strumenti è un vettore di accesso efficace e difficile da rilevare.

Accesso remoto dei vendor: i fornitori di automazione spesso mantengono accessi remoti ai sistemi che hanno installato per supporto e manutenzione. Questi accessi, se non adeguatamente controllati, sono porte aperte. La compromissione di un account tecnico del fornitore dà accesso immediato agli impianti di tutti i clienti che quell'azienda serve.

Hardware compromesso: in alcuni casi documentati da intelligence agencies, hardware è stato modificato prima della consegna: aggiunta di componenti, modifica di firmware a livello fisico. È il vettore più difficile da rilevare e richiede controlli di integrità fisici.

Casi reali: cosa è successo

L'attacco SolarWinds, pur riguardando principalmente ambienti IT, ha mostrato la scala possibile degli attacchi supply chain: la compromissione di un singolo aggiornamento software ha raggiunto migliaia di organizzazioni contemporaneamente.

Nel mondo OT specificamente, diversi incidenti hanno avuto origin nella supply chain. Campagne di attacco come Havex e BlackEnergy hanno usato software legittimo compromesso per ottenere accesso iniziale a reti OT. Ricercatori di sicurezza hanno documentato dispositivi di automazione industriale con backdoor preinstallate scoperte dopo anni di utilizzo.

Il pattern comune: l'accesso iniziale avviene attraverso un canale di fiducia: un aggiornamento, un'installazione, un accesso remoto di supporto. Una volta dentro, l'attaccante si muove lentamente, senza fare rumore, spesso aspettando mesi prima di agire.

Gestione del rischio supply chain: framework e pratiche

Non esiste una soluzione che elimina il rischio supply chain. L'approccio è gestirlo attraverso una combinazione di governance, tecnologia e monitoraggio.

Inventario e classificazione dei fornitori: non tutti i fornitori hanno lo stesso livello di accesso e quindi lo stesso profilo di rischio. Un vendor con accesso remoto ai sistemi di controllo è molto più critico di un fornitore di materiali di consumo. L'inventario deve includere: quali sistemi può accedere, con quale frequenza, con quale tipo di accesso.

Due diligence dei fornitori critici: per i fornitori con accesso privilegiato ai sistemi OT, la valutazione della loro postura di sicurezza dovrebbe essere parte del processo di qualifica. Non è solo una questione contrattuale: è verificare che le credenziali dei tecnici siano gestite con MFA, che i loro sistemi interni siano monitorati, che abbiano un programma di risposta agli incidenti.

Integrità del software e del firmware: verificare le firme crittografiche degli aggiornamenti prima di installarli. Mantenere un processo formale per l'approvazione di qualsiasi software installato sui sistemi OT. Non installare software proveniente da canali non ufficiali.

Monitoraggio del comportamento dei vendor: durante e dopo ogni intervento di un fornitore, monitorare le attività eseguite. Cosa è stato installato, quali comandi sono stati eseguiti, quali connessioni di rete sono state aperte. Le anomalie rispetto ai comportamenti attesi per quel tipo di intervento sono segnali da investigare.

Contratti, audit e monitoraggio continuo

La gestione del rischio supply chain nell'OT non è solo tecnica: richiede anche un framework contrattuale e di governance.

I contratti con i fornitori critici dovrebbero includere: requisiti espliciti di sicurezza informatica (MFA, gestione delle credenziali, notifica degli incidenti), diritto di audit sulla postura di sicurezza del fornitore, obblighi di notifica immediata in caso di compromissione dei sistemi del fornitore.

L'audit periodico dei fornitori critici, verificando che i requisiti contrattuali vengano effettivamente rispettati, chiude il loop della governance. Non è sufficiente richiedere la conformità: occorre verificarla.

Il monitoraggio continuo del traffico di rete durante e dopo gli interventi dei vendor è il controllo tecnico che permette di rilevare comportamenti anomali anche quando le misure preventive falliscono. Un fornitore compromesso che agisce attraverso il proprio accesso legittimo lascia comunque tracce nel traffico di rete, se si sa cosa cercare.

L'angolo MON5

Sorvegliare il comportamento dei fornitori durante gli interventi richiede una baseline di riferimento: senza conoscere il traffico normale dell'impianto, l'attività anomala di un vendor compromesso passa inosservata. MON5 costruisce questa baseline nella fase PROTECT, con monitoraggio continuo e anomaly detection ML sul traffico OT, in modo passivo e fuori banda, senza toccare i sistemi di produzione.

Una sessione di manutenzione che apre connessioni inattese o raggiunge sistemi fuori dal proprio perimetro emerge come deviazione, anche se le credenziali usate sono legittime. Per capire da dove partire, valuta un assessment OT che mappi accessi e flussi dei tuoi fornitori.