La difesa in profondità è il principio secondo cui la sicurezza deve derivare da più livelli indipendenti, in modo che il fallimento di un singolo controllo non porti alla compromissione. È un'idea antica e, nell'OT, non è facoltativa, perché i sistemi al centro spesso non sono affatto in grado di difendersi.
Controllori privi di autenticazione, dispositivi che non possono essere aggiornati con patch e protocolli senza cifratura scaricano quasi l'intero onere della sicurezza sui livelli che li circondano. Questo articolo esamina quali sono questi livelli, come si integrano tra loro e quale posto occupa, tra essi, la riduzione della raggiungibilità.
01Punti chiave
- 01
La difesa in profondità stratifica controlli indipendenti in modo che nessun singolo fallimento porti alla compromissione.
- 02
Nell'OT è essenziale perché i sistemi centrali spesso non sono in grado di proteggersi da soli.
- 03
I livelli spaziano dalla sicurezza fisica alla segmentazione di rete, al controllo degli accessi, al monitoraggio e al ripristino.
- 04
Il trasferimento unidirezionale e la disconnessione sono livelli potenti perché rimuovono la raggiungibilità anziché sorvegliarla.
- 05
Una difesa in profondità efficace significa livelli che si sostengono davvero a vicenda, non molti controlli nello stesso punto.
02Cosa significa difesa in profondità nell'OT
La difesa in profondità presuppone che qualsiasi singolo controllo possa fallire o essere aggirato, e dispone più livelli in modo che un attaccante debba superarne diversi per riuscire. La forza deriva dall'indipendenza: ogni livello dovrebbe intercettare ciò che gli altri lasciano passare.
Nell'OT questa non è tanto una buona pratica quanto una necessità. Linee guida come le pratiche raccomandate della CISA e la IEC 62443 sono costruite attorno alla stratificazione proprio perché gli endpoint, i controllori e i dispositivi, spesso non possono essere protetti direttamente.
Quando il sistema al centro non è in grado di difendersi da solo, i livelli che lo circondano sono la difesa.
03Perché i controlli singoli falliscono
Affidarsi a un unico controllo è fragile perché ogni controllo ha modalità di fallimento. Una regola di firewall si degrada nel tempo, una credenziale viene rubata, un sensore non rileva un evento, una patch viene ritardata. Se tutto dipende da quel singolo controllo, il suo fallimento è una violazione.
La stratificazione cambia i conti. Per raggiungere un controllore, un attaccante deve superare il confine di rete, e la segmentazione, e i controlli di accesso, ed evitare il rilevamento, e così via. Ogni livello indipendente che deve essere sconfitto riduce la probabilità di un attacco riuscito e non rilevato.
04I livelli
- Fisico
- Controllare chi può raggiungere fisicamente dispositivi, porte e supporti, poiché l'accesso fisico spesso aggira ogni controllo di rete.
- Segmentazione di rete
- Suddividere l'ambiente in zone con condotti controllati, affinché un incidente non possa diffondersi liberamente.
- Controllo degli accessi
- Limitare chi e cosa può connettersi, con identità forte e privilegio minimo, anche per i fornitori.
- Monitoraggio
- Visibilità sull'ambiente per rilevare anomalie, idealmente senza creare nuovi percorsi in ingresso.
- Ripristino
- Backup protetti e testati e procedure di ricostruzione, affinché le operazioni possano essere ripristinate se un livello viene violato.
05Dove si collocano il trasferimento unidirezionale e la disconnessione
La maggior parte dei controlli in uno stack di difesa in profondità gestisce o sorveglia la connettività. Il trasferimento unidirezionale e la disconnessione basata sul tempo sono diversi e potenti perché rimuovono la connettività, eliminando intere categorie di attacco anziché monitorarle.
Un confine unidirezionale significa che un attaccante non può rimandare nulla attraverso di esso, qualunque altra cosa fallisca. Un segmento disconnesso per impostazione predefinita non può essere raggiunto affatto al di fuori delle sue finestre temporali. Uno schema di connettività controllata AIRGAPNET aggiunge un livello di questo tipo: una riduzione della raggiungibilità imposta dall'hardware, che tiene anche quando i controlli software attorno a essa non lo fanno.
Questi livelli sono preziosi proprio perché falliscono in modo sicuro (fail closed). Laddove una regola di firewall può essere configurata erroneamente in modo da restare aperta, un percorso rimosso resta rimosso.
06Evitare la difesa in ampiezza
Un errore comune è scambiare molti controlli per difesa in profondità. Accumulare diversi strumenti nello stesso punto, tutti a sorvegliare lo stesso confine nello stesso modo, è ampiezza, non profondità. Se condividono una debolezza, falliscono insieme.
La vera profondità nasce da livelli indipendenti che coprono fasi diverse di un attacco. Il criterio è semplice: se questo livello fallisce, ce n'è davvero un altro che si frappone tra l'attaccante e l'obiettivo? La diversità del tipo di controllo, fisico, di rete, di accesso, di monitoraggio, di ripristino, è ciò che rende reale la profondità.
07Riflessione conclusiva
La difesa in profondità è la risposta onesta a una dura verità: nell'OT, i sistemi che più hai bisogno di proteggere sono spesso i meno in grado di proteggersi da soli. La soluzione non è un singolo controllo perfetto, ma un insieme di livelli indipendenti, ciascuno dei quali presuppone che gli altri possano fallire.
Costruisci i livelli in modo deliberato, rendili indipendenti e includi controlli che rimuovono del tutto la raggiungibilità, non che si limitano a sorvegliarla. La fragilità del nucleo diventa gestibile quando i livelli che lo circondano sono robusti, diversificati e progettati per fallire in modo sicuro (fail closed).
FAQDomande frequenti
Che cos'è la difesa in profondità nell'OT?
La difesa in profondità è il principio di usare più livelli di sicurezza indipendenti in modo che il fallimento di un singolo controllo non porti alla compromissione. Nell'OT è essenziale perché i controllori e i dispositivi centrali spesso non sono in grado di difendersi direttamente.
Quali sono i livelli della difesa in profondità per l'OT?
Spaziano dalla sicurezza fisica alla segmentazione di rete, al controllo degli accessi, al monitoraggio e al ripristino. Ogni livello dovrebbe essere indipendente e coprire una fase diversa di un attacco, in modo che gli altri intercettino ciò che uno qualsiasi lascia passare.
Perché un singolo controllo di sicurezza non basta per l'OT?
Ogni controllo ha modalità di fallimento: le regole si degradano, le credenziali vengono rubate, il rilevamento non coglie eventi, le patch vengono ritardate. Se tutto dipende da un unico controllo, il suo fallimento è una violazione. La stratificazione costringe un attaccante a sconfiggere diversi controlli indipendenti.
Dove si collocano il trasferimento unidirezionale e la disconnessione nella difesa in profondità?
Sono livelli potenti perché rimuovono la connettività anziché sorvegliarla, eliminando intere categorie di attacco. Un confine unidirezionale non può riportare indietro il traffico e un segmento disconnesso per impostazione predefinita non può essere raggiunto al di fuori delle sue finestre temporali, quindi falliscono in modo sicuro (fail closed).
Qual è la differenza tra difesa in profondità e difesa in ampiezza?
La difesa in ampiezza accumula molti controlli nello stesso punto, sorvegliando lo stesso confine nello stesso modo, cosicché possono fallire insieme. La difesa in profondità usa livelli indipendenti che coprono fasi diverse dell'attacco, cosicché se uno fallisce un altro si frappone ancora.
SRCFonti ufficiali
Livelli che falliscono in modo sicuro
Aggiungi un livello che rimuove la raggiungibilità anziché sorvegliarla.
Integra segmentazione, controllo degli accessi e monitoraggio con confini unidirezionali o disconnessi per impostazione predefinita, imposti dall'hardware, che tengono anche quando i controlli software falliscono.