Segmentazione e microsegmentazione delle reti OT: una guida pratica

01Punti chiave

1. 01

   La segmentazione suddivide una rete OT in gruppi controllati, in modo che il traffico tra di essi sia forzato attraverso un punto di applicazione che puoi ispezionare, registrare e bloccare.

2. 02

   La microsegmentazione estende il controllo al traffico est-ovest tra asset all'interno di una zona, che è esattamente dove avviene il movimento laterale dopo un primo punto d'appoggio.

3. 03

   Una VLAN è un elemento costitutivo della segmentazione, non un confine di sicurezza di per sé; senza un punto di applicazione tra le VLAN, la separazione è soltanto logica.

4. 04

   Il deny-by-default è il principio operativo che rende reale la segmentazione: definisci i pochi flussi di cui la produzione ha bisogno, consenti quelli e blocca il resto.

5. 05

   Per i confini di sola pubblicazione, come l'esportazione di telemetria o backup, il trasferimento unidirezionale elimina il percorso di ritorno che la policy di segmentazione può soltanto limitare.

02Cosa significa davvero segmentare una rete OT

La segmentazione delle reti OT è la pratica di dividere una rete industriale in gruppi separati e forzare il traffico tra questi gruppi attraverso un punto di controllo. Quel punto di controllo è solitamente un firewall, uno switch di livello 3 con controllo degli accessi o un gateway. Il punto è l'applicazione: se due gruppi possono raggiungersi solo attraverso un dispositivo che applica policy, puoi decidere cosa è consentito e dimostrare cosa ha attraversato.

Senza segmentazione, una rete di controllo si comporta come un unico grande dominio di broadcast in cui qualsiasi dispositivo può comunicare con qualsiasi altro. È comodo per l'ingegneria e disastroso per il contenimento. Una singola workstation compromessa, un HMI vulnerabile o un worm che scansiona porte aperte può raggiungere l'intero parco macchine perché nulla si frappone tra gli asset.

In breve: la segmentazione riguarda dove il traffico è forzato a fermarsi ed essere controllato. Se due sistemi possono raggiungersi senza passare per un punto di applicazione delle policy, non sono segmentati l'uno dall'altro, indipendentemente da come è disegnato il diagramma di rete.

03Macrosegmentazione vs microsegmentazione

La maggior parte dei programmi OT inizia con la macrosegmentazione: grandi zone come la rete aziendale, una DMZ industriale, il livello di supervisione e il livello di controllo. Questi confini grossolani si mappano naturalmente sulle architetture di riferimento e sono la prima cosa che un valutatore cerca. Sono necessari, ma lasciano ampi spazi piatti all'interno di ciascuna zona.

La microsegmentazione controlla il traffico all'interno di quelle zone. Limita quali PLC possono comunicare con quali HMI, quali workstation di ingegneria possono raggiungere quali controllori e quali asset possono parlare quali protocolli. Questo è il traffico che si muove est-ovest, tra pari, ed è il traffico su cui gli attaccanti fanno affidamento dopo aver ottenuto un primo punto d'appoggio. Le zone grossolane non fanno nulla per impedire a un HMI compromesso di raggiungere un controllore che gli sta accanto sulla stessa sottorete.

Macrosegmentazione

Separazione tra grandi zone come l'IT, la DMZ industriale, i sistemi di supervisione e i sistemi di controllo. Blocca l'attraversamento nord-sud tra livelli di fiducia.

Microsegmentazione

Separazione tra singoli asset o piccole celle funzionali all'interno di una zona. Blocca il movimento laterale est-ovest che non attraversa mai un confine di zona.

Traffico est-ovest

Comunicazione tra pari allo stesso livello, come da HMI a PLC o da PLC a PLC, anziché in verticale tra livelli di fiducia.

04Perché la segmentazione conta: movimento laterale e raggio d'impatto

La maggior parte degli incidenti OT più dannosi comporta un movimento dopo la prima compromissione. Un attaccante raramente atterra direttamente su un controllore di sicurezza. Atterra su un jump host esposto, un laptop di ingegneria colpito da phishing o un servizio esposto a Internet, e poi si muove lateralmente verso i sistemi che contano. La segmentazione è il controllo che decide quanto lontano quel movimento può spingersi.

MITRE ATT&CK for ICS cataloga direttamente questo comportamento. Tecniche come il Lateral Tool Transfer, lo sfruttamento di servizi remoti e l'uso di account validi dipendono da percorsi raggiungibili tra gli asset. Se un HMI compromesso non può aprire una sessione verso un controllore perché un punto di applicazione lo nega, diverse di quelle tecniche falliscono semplicemente a livello di rete.

L'altra ragione è il raggio d'impatto. Il ransomware che ha colpito le reti IT si è ripetutamente riversato nell'OT perché le due erano piatte l'una rispetto all'altra. L'arresto della Colonial Pipeline del 2021 fu una decisione sul lato business di fermare le operazioni, in parte perché gli operatori non potevano essere certi che il malware non fosse passato. Una segmentazione robusta trasforma un evento a livello di impianto in uno contenuto e rende difendibile quella certezza.

05Come si applica la segmentazione: VLAN, firewall e gateway

La segmentazione viene applicata da uno stack di meccanismi, e confonderli è un errore comune. Una VLAN separa i domini di broadcast al livello 2. È un utile elemento costitutivo, ma due VLAN sullo stesso switch non forniscono alcun confine di sicurezza finché il traffico tra di esse non viene instradato attraverso un dispositivo che applica policy. Le VLAN organizzano la rete; non impongono, da sole, chi può comunicare con chi.

L'applicazione avviene al livello 3 e superiori. Un firewall OT-aware tra zone può consentire specifiche coppie di sorgente e destinazione, ispezionare protocolli industriali come Modbus/TCP, EtherNet/IP, OPC UA e DNP3, e registrare ogni sessione. All'interno di una zona, la microsegmentazione può essere applicata tramite policy basate su host, liste di controllo degli accessi degli switch, VLAN private o gateway identity-aware che regolano il traffico per asset anziché per sottorete.

• Livello 2 (VLAN, VLAN private): separano i domini di broadcast e isolano le porte, ma richiedono un punto di applicazione tra di esse per essere significativi.
• Livello 3 (ACL instradate, firewall OT): consentono o negano per indirizzo, porta e direzione tra zone e condotti.
• Livello applicativo (firewall protocol-aware, deep packet inspection): consentono solo funzioni valide dei protocolli industriali, come Modbus in sola lettura dove le scritture non sono necessarie.
• Livello host e identità (agenti di microsegmentazione, NAC): regolano il traffico est-ovest per asset o per workload, indipendentemente dalla topologia fisica.

06Deny-by-default: il principio che la rende reale

La segmentazione produce valore solo se la risposta predefinita è no. Un approccio deny-by-default significa che il firewall o il gateway blocca tutto ciò che non è esplicitamente consentito. Enumeri quindi il piccolo insieme di flussi di cui la produzione ha realmente bisogno, scrivi regole esattamente per quelli e lasci il resto negato. È l'opposto del default permissivo con cui sono cresciute le reti OT piatte.

Il vantaggio pratico del deny-by-default in ambito OT è che i flussi legittimi sono sorprendentemente pochi e stabili. Un controllore comunica con un HMI noto su un protocollo noto; un historian interroga sorgenti note; una stazione di ingegneria raggiunge i PLC assegnati durante la manutenzione. Una volta stabilita la baseline di questi flussi, qualsiasi altra cosa, come una workstation che improvvisamente scansiona la sottorete di controllo, viene sia negata sia resa visibile come anomalia.

Un test utile per qualsiasi progetto di segmentazione: se non riesci a elencare i flussi esatti che una zona è autorizzata a inviare e ricevere, la zona non è segmentata, è semplicemente etichettata. L'applicazione è la allow-list che puoi produrre su richiesta, non il diagramma appeso al muro.

07Mappatura su zone, condotti e standard

La segmentazione è la pratica ingegneristica; gli standard le danno struttura e linguaggio. ISA/IEC 62443 inquadra una rete industriale come zone (gruppi di asset con requisiti di sicurezza condivisi) collegate da condotti (i percorsi di comunicazione controllati tra di esse). La microsegmentazione consiste, di fatto, nel definire zone più piccole e condotti più stretti. Lo standard prevede che ogni condotto abbia uno scopo definito e un livello di sicurezza obiettivo.

NIST SP 800-82 Rev. 3 raccomanda la segmentazione e l'isolamento della rete come controllo OT fondamentale e punta alla difesa in profondità anziché a un singolo perimetro. Le linee guida cross-settoriali della CISA e il materiale sulla difesa in profondità per gli ICS sostengono la stessa tesi: segmentare per funzione e conseguenza, poi controllare i condotti. Nessuno di questi documenti tratta un tag VLAN come un confine; trattano il condotto applicato come il confine.

Zona

Un raggruppamento di asset che condividono requisiti di sicurezza e un livello di fiducia. La segmentazione crea zone; la microsegmentazione ne crea di più piccole.

Condotto

Il percorso controllato tra le zone. Ogni flusso consentito viaggia su un condotto con uno scopo, una direzione e un livello di protezione definiti.

Livello di sicurezza

La capacità obiettivo secondo 62443 per una zona o un condotto, usata per decidere quanto robusto deve essere il controllo che la applica.

08Una sequenza pratica per segmentare una rete OT

I progetti di segmentazione falliscono quando iniziano con l'acquisto di hardware anziché con la conoscenza. Non puoi scrivere regole deny-by-default per traffico che non hai osservato. La sequenza affidabile consiste nel conoscere prima la rete, poi applicare l'enforcement per fasi, convalidando il comportamento della produzione a ogni passo prima di stringere ulteriormente.

• Costruire un inventario degli asset e mappare le comunicazioni reali in modo passivo, così da sapere cosa comunica con cosa prima di cambiare qualsiasi cosa.
• Raggruppare gli asset in zone per funzione e conseguenza, non per posizione fisica o per ciò che oggi si trova a condividere uno switch.
• Definire i condotti: per ogni coppia di zone che deve comunicare, elencare i protocolli, le porte e la direzione esatti richiesti.
• Applicare prima la macrosegmentazione con firewall OT-aware tra le zone, in modalità monitor prima della modalità di blocco.
• Introdurre la microsegmentazione all'interno delle zone a più alta conseguenza, limitando il traffico est-ovest tra celle e singoli asset.
• Passare al deny-by-default una volta stabilita la baseline dei flussi, mantenendo un processo di eccezioni con date di scadenza così che le regole temporanee non diventino permanenti.

In tutto il percorso, considera la modalità monitor un dono, non un ritardo. Eseguire le nuove regole in modalità solo-allerta fa emergere i flussi non documentati che ogni impianto brownfield possiede, e ti permette di correggerli prima che causino un fermo. Passare direttamente all'enforcement è il modo più rapido per perdere la fiducia delle operations nell'intero programma.

09Insidie comuni e come la segmentazione si erode silenziosamente

La maggior parte delle segmentazioni non fallisce in fase di progettazione. Si erode nel corso di anni di pressione operativa, dove ogni singola eccezione sembra ragionevole e l'effetto cumulativo è una rete piatta che indossa un diagramma segmentato. Conoscere gli schemi di fallimento aiuta a progettare contro di essi.

• Trattare le VLAN come un confine, senza alcun dispositivo di policy che effettivamente instradi e filtri tra di esse.
• Regole any-any o eccessivamente ampie aggiunte durante il commissioning e mai ristrette una volta stabilizzata la produzione.
• Eccezioni permanenti per fornitori o accesso remoto aperte per una finestra di manutenzione e mai chiuse.
• Workstation di ingegneria o jump host dual-homed che fanno da ponte tra due zone e vanificano silenziosamente il confine.
• Connessioni dimenticate di gestione, syslog o backup che reintroducono la raggiungibilità che la segmentazione doveva eliminare.
• Regole di microsegmentazione mai riviste, così che i permessi di un asset dismesso sopravvivono come percorso d'attacco.

La difesa è la governance, non solo la tecnologia: ogni regola ha un titolare e uno scopo, le eccezioni hanno date di scadenza e la base di regole viene rivista rispetto all'inventario degli asset con cadenza pianificata. Un progetto di segmentazione senza una disciplina di manutenzione torna a essere piatto nel giro di pochi anni.

10Dove si collocano il trasferimento unidirezionale e la riduzione dell'esposizione

Firewall e microsegmentazione limitano la raggiungibilità tramite policy, ed è lo strumento giusto per i confini che necessitano di uno scambio bidirezionale controllato. Ma alcuni condotti devono trasportare dati solo verso l'esterno: telemetria verso una replica dell'historian, log verso un SOC, backup verso un sito di ripristino, dati di produzione verso il reporting aziendale. Per questi, la policy può limitare il percorso di ritorno, ma il percorso esiste comunque fisicamente e dipende dal fatto che la configurazione rimanga corretta.

Un data diode cambia questo. Impone il flusso di dati unidirezionale via hardware, così che la destinazione non abbia alcuna via di ritorno nella zona protetta attraverso quel condotto. In termini di segmentazione, è il condotto più robusto possibile per un flusso di sola pubblicazione: non c'è nulla da configurare erroneamente in bidirezionalità e la proliferazione delle regole non può riaprire il percorso di ritorno. È un controllo tra molti, non un sostituto della segmentazione, ma elimina una classe di rischio che i firewall possono soltanto gestire. I team che confrontano le opzioni spesso valutano un pattern di connettività unidirezionale controllata insieme ai condotti firewall e alla microsegmentazione.

Regola decisionale per un condotto: se il flusso necessita di una conversazione, usa un condotto firewall e microsegmenta attorno ad esso. Se il flusso deve soltanto pubblicare, valuta il trasferimento unidirezionale così che il percorso di ritorno non esista e non possa essere sfruttato.

11Una roadmap, non un progetto

La segmentazione è raramente conclusa. La base di asset cambia, vengono richiesti nuovi condotti e la base di regole deny-by-default dell'anno scorso deriva sotto la pressione operativa. Le organizzazioni che mantengono le loro reti segmentate la trattano come una capacità continua con titolari, revisioni e metriche, non come un'installazione una tantum che viene approvata e dimenticata.

Inizia dove la conseguenza è più alta e la raggiungibilità è più ampia, di solito il confine tra IT e OT e le celle di controllo più critiche. Fai applicare prima lì la macrosegmentazione e il deny-by-default, poi spingi la microsegmentazione verso l'interno e il trasferimento unidirezionale sui condotti di sola pubblicazione. Misura i progressi in base a quanto sono corte e spiegabili le tue allow-list e a quanto rapidamente sai rispondere alla domanda che ogni regolatore e ogni incident responder prima o poi pone: cosa, esattamente, può comunicare con questo asset?

FAQDomande frequenti

SRCFonti ufficiali