Le vulnerabilità degli SCADA

L’episodio di STUXNET ha acceso i riflettori sul problema della protezione dei sistemi industriali di controllo e raccolta dati (SCADA).

Fino a qualche anno fa gli SCADA erano un mondo a parte: il dialogo tra i sistemi di supervisione, i sensori e i PLC avveniva su bus proprietari o seriali e il computer di supervisione era isolato dal mondo perché serviva solamente a controllare una o più macchine. Addirittura il fatto che il supervisore fosse un PC era, di fatto, puramente incidentale.

Con il progredire dell’informatizzazione è nata la necessità di far dialogare il sistema di produzione con il gestionale o un software di analisi. Il PC di supervisione è stato, quindi, connesso alla LAN aziendale.

In seguito, il dialogo tra il PC di supervisione e i PLC anziché avvenire con un’interfaccia seriale (tipicamente RS-232, RS-485 o RS-422) avviene via TCP/IP su ethernet in rame (UTP); quindi in molte realtà i PLC vengono connessi direttamente in LAN.

La possibilità di raggiungere le LAN di produzione attraverso collegamenti remoti via Internet o la disponibilità di app per i dispositivi mobili che permettono di ricevere gli allarmi completa il quadro dell’evoluzione.

Solamente le realtà più grosse tengono le LAN separate o mediate da un firewall, ma avviene comunque un dialogo tra la rete office e quella di produzione. Senza contare che il personale di manutenzione utilizza spesso chiavette USB o portatili poco protetti da antivirus, per avere una maggior efficienza dei software di amministrazione dei PLC. Pare sia stato questo il vettore che ha permesso di infettare l’impianto iraniano con STUXNET.

Ultimamente ci sono state indagini da parte di molti sulla sicurezza dei sistemi di controllo. Non è una cosa semplice perché le apparecchiature e il software non sono reperibili a buon mercato e le competenze degli operatori e programmatori sono limitate alle loro specifiche attività: chi programma PLC non si sogna di utilizzare uno sniffer IP per fare debug o verifiche semplicemente perché non è lo strumento adatto.

La comunità che si interessa di sicurezza informatica inizia a studiare il fenomeno (file di PowerPoint, via twitter), nonostante le resistenze dei produttori dei sistemi di controllo. Anche nelle mailing list dedicate alla sicurezza iniziano a comparire i messaggi che trattano questo tema. Ovviamente c’è chi ha già fiutato il business.

Proteggere i PC dei sistemi di supervisione non è facile. Spesso si tratta di macchine relativamente vecchie, collocate in luoghi con una connettività Internet scarsa. Aggiornare i PC di supervisione è sempre un rischio perché si potrebbe mettere offline una linea di produzione con costi non indifferenti e tempi di ripristino calcolati in giorni.