I sistemi di controllo industriale sono ancora vulnerabili agli attacchi informatici dannosi

Nel 1982, la CIA scoprì un complotto dell'Unione Sovietica per rubare software industriale per controllare la sua rete di gasdotti in rapida espansione. In risposta, l'agenzia ha modificato il software utilizzando un malware progettato per paralizzare gli oleodotti e quindi ha indotto i sovietici a rubarlo.

Questo stratagemma si è rivelato un successo spettacolare. I sovietici installarono il software modificato, un sistema di controllo industriale chiamato SCADA, su un gasdotto siberiano. Dopo aver funzionato normalmente per alcuni mesi, il malware ha iniziato a chiudere le valvole di sicurezza, provocando un aumento della pressione nella tubazione oltre ciò che le saldature e i giunti potevano sopportare. Alla fine l'oleodotto è esploso, provocando l'esplosione e il fuoco non nucleare più monumentali mai visti dallo spazio, secondo il Washington Post, che ha riportato la storia nel 2004.

Questo incidente è passato alla storia come il primo esempio di attacco malware a un sistema di controllo industriale. E ha posto le basi per una campagna di attacchi informatici che ha interrotto il sistema telefonico del centro di controllo del traffico aereo dell'aeroporto di Worcester, nel Massachusetts, nel 1997; sistemi di sicurezza disabilitati presso la centrale nucleare di Davis-Besse nel 2003; e distrutto le centrifughe nell'impianto segreto di arricchimento nucleare iraniano nel 2010, solo per citare alcuni incidenti.

Alcuni di questi attacchi hanno generato un'enorme pubblicità e aumentato la consapevolezza di quanto siano vulnerabili i sistemi di controllo industriale. Pertanto, qualsiasi azienda che utilizzi software di controllo industriale dovrebbe essere consapevole dei rischi e proteggerli di conseguenza. Ma è vero?

Oggi riceviamo una sorta di risposta grazie a Marcin Nawrocki della Libera Università di Berlino in Germania e ai colleghi, che hanno studiato la velocità con cui i sistemi di controllo industriale inviano dati non protetti su Internet. I loro risultati forniscono una visione sorprendente della vulnerabilità di questi sistemi.

I sistemi di controllo industriale, come SCADA e Modbus, sono stati originariamente sviluppati prima che Internet si diffondesse ampiamente. Quindi sono stati progettati per essere semplici e per funzionare in un sistema chiuso e slegato dal mondo esterno.

Successivamente è diventato possibile impacchettare i segnali di controllo nel normale traffico Internet in modo da poter controllare a distanza i sistemi industriali. Tuttavia, questo approccio è del tutto aperto. Chiunque può scansionare il traffico Internet per questo tipo di pacchetti, guardare dove sono diretti e quindi inviare i propri comandi per prendere il controllo.

Ed è esattamente come si sono verificati molti dei primi attacchi. Gli hacker potrebbero accedere ai sistemi di controllo industriale utilizzando un modem telefonico e prenderne il controllo o disabilitarli.

Quindi un intero settore è cresciuto per proteggere tali sistemi. Poiché il software è così diffuso, non può essere riscritto facilmente. Invece, l'approccio principale consiste nell'impacchettare i comandi all'interno di un altro livello di software protetto con crittografia convenzionale, password e così via. Ciò impedisce sia l'accesso non autorizzato ai sistemi di controllo industriale sia l'intercettazione delle comunicazioni su Internet.

Ma lo usano tutti? Per scoprirlo, Nawrocki e colleghi hanno studiato due database di traffico Internet. Il primo è stato raccolto da un punto di scambio Internet (IXP) nel 2017 e nel 2018. Questo è un punto in cui i fornitori di servizi Internet e le reti di distribuzione di contenuti si scambiano dati. Quindi tende ad essere traffico proveniente dallo stesso paese.

Il secondo database era un archivio del traffico Internet grezzo tra i provider di servizi Internet (ISP) negli Stati Uniti e in Giappone, che è stato archiviato a scopo di ricerca. Questi dati sono, ovviamente, transnazionali.

Il primo compito per Nawrocki e compagni è stato quello di filtrare i dati per i pacchetti destinati ai sistemi di controllo industriale. Lo hanno fatto con un analizzatore di pacchetti standard chiamato Wireshark, che rivela pacchetti non protetti.

Ma c'è anche un altro importante passaggio di filtraggio. A causa delle minacce ai sistemi di controllo industriale, vari progetti hanno iniziato a monitorare il traffico Internet, identificando e catalogando il traffico industriale, interrogando host e sorgenti ove necessario e impostando honeypot per attirare attori malintenzionati.

Questa attività di per sé crea una notevole quantità di traffico relativo alle reti di controllo industriale. Quindi Nawrocki e compagni hanno dovuto filtrare i set di dati per rimuovere anche questo.

Ciò che era rimasto era interessante. Hanno trovato oltre 330.000 pacchetti non protetti relativi a sistemi di controllo industriali. Nel traffico internazionale tra ISP, questo rappresentava solo l'1,5% del traffico industriale totale.

Ma la situazione è significativamente peggiore a livello locale, dove il 96% del traffico è costituito da comandi industriali non protetti. La quota (96%) del traffico industriale non protetto [Sistemi di controllo industriale] all'IXP è allarmante, dicono.

Il team ha analizzato ulteriormente questo traffico non protetto utilizzando record DNS e dati whois. Hanno identificato una serie di società che inviano traffico non protetto, tra cui una società di consulenza per l'energia solare, un'impresa edile e una società di commercio e trasporti. Queste organizzazioni sono ovviamente a rischio significativo di attacchi dannosi.

È un lavoro interessante che rivela livelli allarmanti di traffico non protetto che sta mettendo a rischio i sistemi industriali.

Rif: arxiv.org/abs/1901.04411 : Scoprire i sistemi di controllo industriale vulnerabili da Internet Core

nascondere