Per molti ingegneri dell’automazione e del controllo di processo, orientarsi nel complesso mondo delle reti industriali e della cybersicurezza può rappresentare una sfida ardua. Mentre i reparti IT tradizionali operano secondo framework consolidati, progettati per i dati degli uffici commerciali, l’ambiente della tecnologia operativa (OT) richiede un approccio completamente diverso. In ambito industriale, un semplice problema di rete non significa soltanto un’e-mail non recapitata: può causare un arresto catastrofico della produzione, danni alle apparecchiature o gravi rischi per la sicurezza.

Per garantire operazioni sicure e affidabili, i sistemi di controllo devono abbandonare le architetture di rete piatte e non segmentate. Gli impianti industriali moderni fanno ampio affidamento sui firewall industriali per applicare rigidi controlli perimetrali, proteggere le unità di elaborazione legacy e mantenere un’elevata disponibilità lungo le linee di produzione critiche.

Il ruolo fondamentale dei firewall nell’automazione industriale

In sostanza, un firewall industriale è una risorsa hardware o software specializzata, progettata per monitorare, filtrare e controllare il traffico di rete in ingresso e in uscita sulla base di regole di sicurezza predefinite. A differenza delle configurazioni aziendali standard, che antepongono a tutto la riservatezza dei dati, i firewall industriali privilegiano la sicurezza operativa, le prestazioni deterministiche e il massimo tempo di disponibilità.

Una rete aperta e non segmentata consente a qualsiasi dispositivo del reparto produttivo di comunicare senza restrizioni con qualunque altro dispositivo. Sebbene ciò semplifichi la diagnostica iniziale sul campo, introduce rischi operativi significativi. Un singolo laptop compromesso o uno strumento di campo malfunzionante può saturare la rete, mettendo fuori uso controllori logici programmabili (PLC) o nodi dei sistemi di controllo distribuito (DCS) fondamentali. I firewall industriali agiscono come vigili del traffico locali, garantendo che solo i messaggi di controllo verificati e necessari passino tra le aree di processo critiche.

Figura 1. Il concetto di base di un firewall industriale che applica i confini tra diversi livelli di rete.

Valutazione delle differenze: firewall industriali e firewall IT

Un pacchetto di rete che utilizza lo stack TCP/IP mantiene lo stesso formato strutturale sia quando attraversa un data center aziendale sia quando percorre il pavimento di una fabbrica. Tuttavia, le condizioni ambientali, i requisiti dei protocolli e le priorità operative variano drasticamente tra questi due ambiti.

In una rete residenziale standard, il firewall integrato in un router in fibra o DSL segue regole semplici e automatizzate: consente ai dispositivi interni di stabilire connessioni esterne verso Internet, ma blocca i tentativi di connessione in ingresso non avviati provenienti da indirizzi IP esterni. In un ufficio commerciale, i firewall aziendali gestiscono l’accesso degli utenti ai repository di file locali, alle code di stampa e ai server web, registrando il traffico sospetto e bloccando i domini esterni non autorizzati, ottimizzando al contempo il throughput per le applicazioni software aziendali.

Al contrario, una rete OT industriale richiede una classe completamente distinta di infrastrutture di sicurezza. I firewall industriali devono gestire protocolli di automazione proprietari e in tempo reale, come Modbus TCP, EtherNet/IP, PROFINET e OPC UA. Devono inoltre funzionare in modo affidabile in ambienti difficili, soggetti a temperature estreme, elevata interferenza elettromagnetica (EMI) e forti vibrazioni meccaniche. Inoltre, mentre un firewall IT può essere aggiornato frequentemente o riavviato durante le ore di minor traffico, un firewall OT deve funzionare ininterrottamente per mesi o anni, evitando interruzioni impreviste dei processi.

Ispezione approfondita dei pacchetti e meccanismi di filtraggio stateful

I firewall industriali utilizzano diversi livelli progressivi di filtraggio dei pacchetti per proteggere le risorse operative da comandi dannosi e anomalie di rete:

• Filtraggio tradizionale dei pacchetti: questo meccanismo di base esamina i singoli pacchetti separatamente. Il firewall controlla gli indirizzi IP di origine e destinazione, insieme ai numeri delle porte TCP o UDP specifiche, confrontandoli con un elenco di controllo degli accessi (ACL) per determinare se eliminare o inoltrare il pacchetto.
• Firewall con ispezione stateful: invece di considerare i pacchetti come eventi isolati, i firewall stateful tracciano lo stato delle conversazioni di rete attive. Monitorando l’intero ciclo di vita di una connessione, il firewall verifica che i pacchetti in ingresso facciano parte di una sessione prevista e prestabilita, prevenendo i comuni attacchi di spoofing.
• Ispezione approfondita dei pacchetti (DPI): i firewall industriali più sofisticati superano le intestazioni di rete ed esaminano direttamente il payload dei dati a livello applicativo. Ad esempio, durante l’ispezione del traffico Modbus TCP, un firewall DPI può distinguere tra un comando innocuo “Read Holding Registers” e un comando potenzialmente pericoloso “Write Multiple Registers”, bloccando le modifiche di configurazione non autorizzate anche se provengono da un indirizzo IP approvato.
• Firewall per applicazioni web (WAF): operando esclusivamente a livello applicativo, un WAF monitora il traffico HTTP e HTTPS per proteggere le interfacce di controllo abilitate al web, come quelle presenti nelle moderne interfacce uomo-macchina (HMI) e nei gateway edge, da exploit web, injection SQL e vulnerabilità di cross-site scripting.

Per integrare questi livelli di filtraggio, molte architetture OT moderne implementano sistemi di rilevamento delle intrusioni (IDS) e sistemi di prevenzione delle intrusioni (IPS). Mentre i firewall standard applicano blocchi rigidi basati su regole, una piattaforma IDS/IPS utilizza euristiche avanzate e l’analisi dei modelli di riferimento per individuare comportamenti anomali. Se un controllore inizia improvvisamente a cercare nella rete indirizzi IP non assegnati, un IDS segnala l’anomalia al team di sicurezza dell’impianto, mentre un IPS può intervenire attivamente per terminare la sessione non autorizzata prima che il virus si diffonda nella rete di controllo.

Gestione bidirezionale del traffico e filtraggio in uscita

Le strategie di sicurezza industriale si concentrano spesso soprattutto sul filtraggio in ingresso, impedendo alle minacce esterne di entrare nella rete di controllo locale. Tuttavia, l’applicazione di un rigido filtraggio in uscita, che controlli il traffico che lascia la zona di controllo, è altrettanto essenziale per una protezione efficace.

Rispetto ai comuni ambienti IT, le reti di controllo industriali presentano flussi di dati altamente prevedibili e rigidi. Un controllore di campo raramente deve avviare comunicazioni al di fuori della subnet designata. Applicando regole granulari sul traffico in uscita, un ingegnere può garantire che, anche se un componente di automazione specializzato viene compromesso, ad esempio tramite un exploit della catena di fornitura incorporato in una patch software, esso non possa contattare un server remoto di comando e controllo. Questo contenimento neutralizza di fatto la minaccia, mantenendola localizzata e impedendo lo spostamento laterale nell’architettura più ampia dell’impianto.

Posizionamento architetturale nelle reti industriali

I firewall industriali vengono installati in punti strategici lungo la gerarchia dell’automazione per stabilire confini chiari tra zone operative distinte:

Figura 2. Un sottosegmento di rete isolato, progettato per ridurre al minimo il carico di elaborazione dei pacchetti sulle interfacce di controllo locali.

Sebbene i controllori di campo primari privilegino la velocità di elaborazione e la sicurezza deterministica rispetto al filtraggio crittografico integrato, la sicurezza deve essere gestita da componenti infrastrutturali dedicati. Nelle architetture segmentate, gli switch di rete gestiti applicano una sicurezza di base a livello di porta tramite ACL. I veri confini di rete, tuttavia, sono mantenuti da gateway industriali, router e firewall rinforzati dedicati, situati all’intersezione tra zone operative diverse.

Per gli ingegneri che gestiscono linee di produzione legacy, l’implementazione di componenti dedicati di comunicazione e networking rimane una parte fondamentale delle moderne strategie di segmentazione della rete. Questi livelli hardware garantiscono che le risorse di elaborazione critiche siano protette dal traffico di rete superfluo, consentendo ai processori interni di concentrarsi esclusivamente sulle attività di esecuzione ad alta velocità.

Allineamento delle zone di rete agli standard IEC 62443

La progettazione delle reti industriali moderne si basa ampiamente sullo standard internazionale IEC 62443, che fornisce un quadro completo per la protezione dei sistemi di automazione e controllo industriale (IACS). Il principio fondamentale di questo standard è il modello “Zone e Condotti”. Una Zona è un raggruppamento logico o fisico di risorse che condividono requisiti di sicurezza simili, mentre un Condotto rappresenta il percorso di comunicazione tra tali zone.

I firewall industriali fungono da principali dispositivi di controllo fisici per questi condotti. Posizionando un firewall in corrispondenza di ogni attraversamento di un condotto, gli ingegneri dell’impianto garantiscono che risorse con profili di rischio differenti non possano comunicare senza controllo. Ad esempio, un impianto può isolare le apparecchiature di processo critiche dai sistemi di monitoraggio creando zone funzionali distinte:

• Zona di rete PLC: contiene controllori di elaborazione in tempo reale ad alta velocità che gestiscono movimenti fisici precisi e meccanismi di interblocco di sicurezza.
• Zona di rete DCS: ospita operazioni di processo continuo, processori di controllo regolatorio e blocchi I/O distribuiti tra più unità operative.
• Zona di rete SCADA: comprende computer di supervisione, data historian regionali e server HMI della sala controllo centrale.
• Zona di rete per il monitoraggio delle turbine: dedicata alla protezione ad alta velocità dei macchinari; acquisisce dati continui sulle vibrazioni, spostamenti degli alberi e parametri termodinamici critici.

Implementazioni dei fornitori a livello aziendale e profili applicativi

L’implementazione di una solida strategia di sicurezza richiede l’installazione di hardware specializzato, adattato a specifici livelli di controllo ed ecosistemi dei fornitori. Ad esempio, gli impianti che gestiscono linee di produzione discrete ad alta velocità installano spesso firewall dedicati direttamente davanti ai rack dei processori principali. All’interno di una piattaforma Allen-Bradley ControlLogix, gli ingegneri posizionano frequentemente dispositivi di sicurezza industriale immediatamente prima dei moduli di comunicazione 1756-EN2T o 1756-EN3TR. Questa architettura protegge il traffico EtherNet/IP da tempeste di broadcast impreviste e blocca i comandi non autorizzati di modifica del firmware CIP provenienti da subnet non approvate.

Analogamente, la protezione delle reti di processo continuo richiede una profonda integrazione a livello di sistema. In un impianto basato su una rete Siemens Simatic S7, moduli di sicurezza rinforzati come la serie Scalance S vengono utilizzati regolarmente per creare condotti sicuri. Questi dispositivi eseguono un’ispezione approfondita dei pacchetti sui protocolli di comunicazione S7, garantendo che solo le stazioni di engineering certificate possano portare una CPU S7-1500 o S7-300 nello stato STOP o sovrascrivere la logica dei blocchi locali.

Questo rigido isolamento delle zone è altrettanto essenziale per le architetture distribuite su larga scala. All’interno di un ecosistema completo ABB 800xA AC 800M, i firewall vengono installati per isolare la rete di controllo ad alta velocità dalla rete più ampia dell’impianto. Questa configurazione garantisce che le comunicazioni di controllo critiche MMS e RNRP siano completamente isolate dal traffico aziendale degli uffici. Analogamente, un’azienda che implementa un sistema Honeywell Experion PKS C300 Series C utilizzerà in genere sistemi firewall dedicati per proteggere l’infrastruttura Fault Tolerant Ethernet (FTE), impedendo al jitter della rete esterna di compromettere i cicli di esecuzione deterministici dei controllori C300.

Controllo da parte dell’utente finale, manutenzione delle regole a lungo termine e audit della configurazione

I firewall industriali offrono diversi livelli di controllo da parte dell’utente, a seconda della loro progettazione specifica. Sebbene molti sistemi moderni dispongano di interfacce grafiche semplificate pensate per il personale dell’impianto, i dispositivi di sicurezza avanzati consentono agli ingegneri di creare set di regole granulari fino ai codici esadecimali e alle strutture dei comandi specifici contenuti nel payload dei pacchetti industriali.

Negli impianti stabili, dove la topologia fisica della rete e le apparecchiature di campo cambiano raramente, le configurazioni dei firewall possono rimanere invariate per lunghi periodi. Tuttavia, ogni volta che viene integrato nuovo hardware montato su skid, viene modificato un programma PLC o un tecnico di supporto esterno richiede un accesso remoto temporaneo tramite una VPN sicura, le regole del firewall devono essere aggiornate di conseguenza.

Per prevenire la deriva della configurazione di sicurezza e aperture accidentali, si raccomandano audit regolari della configurazione. Il personale addetto alla sicurezza dovrebbe esaminare sistematicamente i set di regole attivi per verificare che le regole temporanee utilizzate durante le fermate di manutenzione siano state revocate, garantendo che il perimetro industriale rimanga completamente protetto dalle minacce emergenti alla cybersicurezza.