Progettazione della DMZ industriale: costruire la zona cuscinetto OT/IT al Livello 3.5

01Punti chiave

1. 01

   Una DMZ industriale è una rete cuscinetto al Livello Purdue 3.5 che fa da broker per i dati tra IT e OT, così che nessuna delle due parti si connetta direttamente all'altra.

2. 02

   La regola di progettazione fondamentale è nessun pass-through: una sessione termina all'interno della DMZ e una nuova sessione, autorizzata separatamente, prosegue, così da non avere alcun percorso diretto dal Livello 4 al Livello 2.

3. 03

   Ospita i servizi giusti nella DMZ: un mirror per patch e anti-malware, una replica dell'historian, un broker per l'accesso remoto, un relay per il trasferimento di file e servizi di directory o di orario replicati.

4. 04

   Sia i condotti IEC 62443 sia NIST SP 800-82 prevedono questa zona cuscinetto; la DMZ è il luogo in cui molte decisioni su zone e condotti diventano regole firewall e host concreti.

5. 05

   Per i flussi in sola pubblicazione in uscita dall'OT, come l'esportazione dell'historian o dei log, un percorso unidirezionale riduce la raggiungibilità in ingresso che una DMZ a doppio firewall tecnicamente consente ancora.

02Che cos'è una DMZ industriale

Una DMZ industriale, talvolta indicata come IDMZ o DMZ OT, è un segmento di rete dedicato che separa una rete IT aziendale da una rete di tecnologia operativa. Nel modello di riferimento Purdue si colloca al Livello 3.5, tra il Livello 3 (operazioni di sito, inclusi historian e sistemi di ingegneria) e i Livelli 4 e 5 (sistemi aziendali ed enterprise). È l'unico luogo in cui a IT e OT è consentito scambiare dati.

La proprietà che la definisce non è il numero di firewall o lo schema delle VLAN. È la regola secondo cui nessun dispositivo in OT comunica direttamente con un dispositivo in IT, e vale anche il contrario. Ogni flusso che attraversa il confine arriva prima su un host all'interno della DMZ. Quell'host ri-origina il traffico. Il risultato sono due conversazioni brevi e controllate invece di una lunga conversazione end-to-end.

In breve: una DMZ industriale è una zona cuscinetto in cui IT e OT si incontrano tramite broker e copie replicate, mai attraverso una connessione diretta tra le due reti.

03Perché la zona cuscinetto è importante

Le reti operative sono state costruite per l'affidabilità e la lunga durata, non per gli avversari. Molte utilizzano protocolli legacy privi di autenticazione, dispositivi che non possono essere aggiornati con un ciclo normale e apparecchiature che restano in servizio per quindici anni o più. Il modo più economico per proteggerle è assicurarsi che gli attacchi non possano raggiungerle in primo luogo.

Le intrusioni reali lo confermano. MITRE ATT&CK for ICS cataloga tecniche come lo sfruttamento di servizi remoti e il movimento laterale attraverso workstation di ingegneria e strumenti di accesso remoto. Queste tecniche dipendono da un percorso di rete utilizzabile che va dal punto di appoggio compromesso al sistema di controllo. Una DMZ industriale esiste per interrompere quel percorso. Se una macchina aziendale viene compromessa, l'attaccante raggiunge il confine della DMZ e trova un broker, non un impianto.

È anche qui che il modello diventa concreto. Gli articoli sul modello Purdue e sulle zone e condotti IEC 62443 spiegano perché il confine dovrebbe esistere. Questo articolo tratta come costruire il confine affinché la spiegazione resista al contatto con un set di regole firewall reale e una richiesta di modifica reale.

04L'architettura di riferimento: doppi firewall e host broker

Il progetto di riferimento più comune usa una DMZ a doppio firewall: un firewall rivolto verso l'IT, uno verso l'OT, e la DMZ collocata tra i due. Due firewall di fornitori diversi riducono la probabilità che un singolo bug o una singola configurazione errata apra entrambi i confini contemporaneamente. Un singolo firewall con tre o più interfacce è una variante a costo inferiore, ma concentra l'intero confine in un solo dispositivo e in un solo set di regole.

All'interno della DMZ risiedono host broker e replica. Un broker termina una connessione da una parte e ne avvia una nuova verso l'altra, applicando la propria autenticazione e ispezione. Una replica conserva una copia dei dati che una parte legge invece di raggiungere l'altro lato del confine. Nessuno dei due modelli consente a un pacchetto proveniente dal Livello 4 di arrivare su un dispositivo di Livello 2. La regola cardinale, ribadita nelle linee guida CISA e ISA, è che nessun protocollo attraversa la DMZ inalterato.

Firewall rivolto verso l'IT

Limita quali host e servizi aziendali possono raggiungere broker e replica della DMZ e blocca tutto il resto del traffico in ingresso verso la DMZ.

Firewall rivolto verso l'OT

Limita quali host della DMZ possono raggiungere quali zone e servizi OT e nega qualsiasi flusso che permetterebbe al traffico IT di raggiungere direttamente l'OT.

Host broker

Termina una sessione e la ri-origina, così che il percorso end-to-end sia suddiviso in due hop autorizzati separatamente.

Host replica

Conserva una copia dei dati OT, come i record dell'historian, che l'IT legge senza mai connettersi alla zona OT.

05Quali servizi appartengono alla DMZ

Una DMZ è utile solo se ospita i servizi che altrimenti indurrebbero qualcuno ad aprire una regola diretta da IT a OT. Individua prima ogni esigenza che attraversa il confine, poi colloca un broker o una replica per ciascuna di esse all'interno della zona cuscinetto.

• Staging di patch e anti-malware: un mirror interno che scarica gli aggiornamenti dall'IT, che i sistemi OT leggono poi dalla DMZ, così che l'OT non raggiunga mai direttamente internet o il server di aggiornamento aziendale.
• Replica dell'historian: una copia dei dati dell'historian di impianto collocata nella DMZ per reportistica e analisi, così che gli utenti aziendali interroghino la replica e mai l'historian primario in OT.
• Broker per l'accesso remoto: un jump host o gateway rinforzato dove le sessioni di fornitori e ingegneri terminano, vengono autenticate e registrate, prima che una sessione separata prosegua verso l'OT.
• Relay per il trasferimento di file: un server di staging per spostare file di ingegneria, configurazioni e report, che sostituisce le condivisioni dirette tra le due reti.
• Directory e orario replicati: un domain controller di sola lettura e una sorgente NTP, così che l'autenticazione e gli orologi OT non dipendano da un collegamento attivo verso il dominio aziendale.
• Reverse proxy o relay web: per qualsiasi HMI o dashboard che debba essere visualizzato dall'IT, presentato tramite un proxy nella DMZ anziché esponendo l'host OT.

Mantieni la DMZ minimale. Ogni host aggiunto è un ulteriore asset da aggiornare, monitorare e rinforzare. Se un servizio non ha bisogno di fare da ponte tra IT e OT, non appartiene alla zona cuscinetto.

06Regole pratiche di progettazione per la costruzione

Il diagramma dell'architettura è facile. La disciplina è difficile. Queste regole sono ciò che impedisce a una DMZ industriale di degradare silenziosamente in un segmento piatto con un firewall davanti.

• Nessun pass-through: non scrivere mai una regola che consenta a una subnet IT di raggiungere una subnet OT, nemmeno tramite la DMZ. Il traffico deve terminare su un host della DMZ ed essere ri-originato.
• Nessun host dual-homed: un server della DMZ non deve avere un'interfaccia in IT e un'altra in OT. Una singola interfaccia di rete che fa da ponte tra entrambi i confini vanifica l'intero progetto.
• Deny by default in entrambe le direzioni, con ogni flusso consentito documentato fino a sorgente, destinazione, porta e motivazione di business.
• Inizia verso l'esterno dove possibile: preferisci i flussi che l'OT o la DMZ inizia in uscita, piuttosto che l'IT che inizia sessioni in ingresso verso l'OT.
• Separa il piano di gestione: amministra gli host e i firewall della DMZ attraverso un percorso dedicato e isolato, così che la gestione non diventi mai un canale nascosto che attraversa il confine.
• Tratta la DMZ come non attendibile da entrambe le parti: l'OT non si fida della DMZ e l'IT non si fida della DMZ, così che un broker compromesso non possa comunque raggiungere liberamente l'OT.

Se riesci a tracciare una singola sessione TCP che inizia su un host di Livello 4 e termina su un dispositivo di Livello 2, la DMZ ha fallito, indipendentemente da quanti firewall contenga.

07Come la DMZ si mappa su standard e conformità

Una DMZ industriale non è un affinamento opzionale; i principali framework di sicurezza OT la presuppongono. NIST SP 800-82 Rev. 3 descrive la segmentazione della rete e una DMZ tra la rete aziendale e quella di controllo come un controllo architetturale fondamentale. ISA/IEC 62443 esprime la stessa idea in termini di zone e condotti: la DMZ è un insieme di zone e ogni flusso consentito è un condotto definito e monitorato.

La mappatura è utile perché trasforma requisiti astratti in artefatti concreti. Un requisito di sistema 62443-3-3 per la protezione del confine di zona diventa una regola firewall e un host broker. Una valutazione del rischio che assegna un livello di sicurezza a una zona OT diventa la severità delle regole del condotto al margine della DMZ. Auditor e regolatori, compresi quelli che applicano la Direttiva UE NIS2 e le normative di settore, si aspettano sempre più che questa documentazione esista e corrisponda alla configurazione in produzione.

NIST SP 800-82 Rev. 3

Raccomanda una DMZ tra la rete aziendale e quella di controllo e la segmentazione della rete per limitare la raggiungibilità dell'OT.

Zone e condotti ISA/IEC 62443

Modella la DMZ come zone unite da condotti definiti, ciascun condotto che trasporta solo i flussi consentiti dal suo livello di rischio.

Linee guida CISA sulla difesa in profondità

Tratta la DMZ come uno strato tra i tanti, abbinato a monitoraggio, hardening e accesso a privilegio minimo.

08Errori comuni che svuotano la DMZ

La maggior parte delle DMZ industriali fallite era stata costruita correttamente e poi si è erosa. L'architettura resta sul diagramma mentre il set di regole va alla deriva. Questi sono i pattern da tenere d'occhio e verificare in audit.

• Proliferazione delle regole: una serie di eccezioni temporanee any-to-any o troppo ampie che trasformano gradualmente la zona cuscinetto in un percorso di transito.
• Regole pass-through camuffate da flussi DMZ: una regola che tecnicamente fa riferimento a una subnet della DMZ ma in realtà consente all'IT di raggiungere indirizzi OT.
• Host dual-homed o a ponte aggiunti per comodità, come un server di backup o un laptop di un fornitore con interfacce in due zone.
• Uno strumento di gestione o monitoraggio che raggiunge dall'IT direttamente l'OT, reintroducendo proprio il percorso che la DMZ aveva eliminato.
• Host della DMZ non aggiornati e non monitorati che diventano il terreno di staging dell'attaccante perché la zona cuscinetto è stata trattata come a basso rischio.
• Fidarsi della DMZ come se fosse OT, così che un singolo broker compromesso conceda un ampio accesso a valle.

La difesa è la verifica periodica, non una revisione di progetto una tantum. Ri-deriva i flussi consentiti dalla configurazione del firewall e conferma che nessuno di essi descriva una conversazione diretta da IT a OT.

09Dove il trasferimento unidirezionale si inserisce nella zona cuscinetto

Una DMZ a doppio firewall riduce la raggiungibilità, ma non la elimina. Ogni flusso consentito è comunque un percorso che una policy, una credenziale o una compromissione potrebbero rendere bidirezionale. Per i flussi che devono sempre andare in una sola direzione, la zona cuscinetto può essere rafforzata eliminando del tutto il percorso di ritorno anziché filtrandolo.

I condotti in sola pubblicazione sono i candidati naturali. L'esportazione dell'historian verso la replica della DMZ, l'inoltro di log ed eventi a un SOC e la replica dei backup verso l'esterno condividono tutti una proprietà: l'OT pubblica, l'IT consuma e l'OT non dovrebbe mai ricevere una sessione di ritorno. Collocare un percorso di trasferimento unidirezionale su questi condotti significa che la via in ingresso non esiste per poter essere usata in modo improprio, il che è una garanzia più forte di una regola firewall che si limita a promettere di non consentirla.

Usa i broker per i condotti che necessitano di una conversazione, e il trasferimento unidirezionale per i condotti che necessitano solo di pubblicazione. La DMZ è dove decidi, flusso per flusso, quale sia quale.

10Validazione e una roadmap di costruzione

Costruisci la DMZ come una sequenza, non come un unico passaggio. Inizia inventariando ogni flusso esistente da IT a OT, perché non puoi sostituire percorsi che non hai trovato. Poi colloca broker e replica per ciascuna esigenza legittima, migra i flussi su di essi e solo allora rimuovi le vecchie regole dirette.

• Inventaria e documenta ogni flusso attuale che attraversa il confine, inclusi quelli non documentati trovati ispezionando il traffico.
• Attiva il segmento DMZ, entrambi i firewall e una baseline deny-by-default prima di aggiungere qualsiasi host.
• Distribuisci broker e replica un servizio alla volta, validando ciascuno in una finestra di manutenzione.
• Migra ogni flusso verso il suo broker o replica, poi rimuovi la corrispondente regola diretta.
• Verifica che non rimanga alcun percorso diretto tracciando i flussi dalla configurazione del firewall, non dal diagramma.
• Aggiungi il monitoraggio continuo degli host della DMZ e del traffico di confine, e pianifica revisioni ricorrenti del set di regole.

Pianifica anche per il lungo termine. Man mano che la domanda di dati OT cresce, resisti alla tentazione di aggiungere regole dirette sotto la pressione delle scadenze. Aggiungi invece un broker o una replica. La disciplina di instradare ogni nuovo requisito attraverso la zona cuscinetto è ciò che mantiene significativa la DMZ cinque anni dopo la sua costruzione.

11Riflessione conclusiva

Una DMZ industriale funziona perché cambia la domanda da "quale traffico consentiamo tra IT e OT?" a "come fa l'IT a ottenere i dati di cui ha bisogno senza mai toccare l'OT?". La prima domanda invita alle eccezioni. La seconda impone broker, replica e percorsi unidirezionali, nessuno dei quali lascia una linea diretta verso l'impianto.

Costruiscila flusso per flusso, host per host, e verificala dalla configurazione anziché dal diagramma. La ricompensa è concreta: quando una macchina aziendale viene compromessa, l'attaccante raggiunge una zona cuscinetto e si ferma, perché il percorso su cui contava non è mai esistito.

FAQDomande frequenti

SRCFonti ufficiali