Il tema Zero Trust è molto ricorrente nell’ultimo periodo e, spesso, ciò che viene detto per descriverlo non è mai uguale. Difatti, Zero Trust non è uno standard IEEE chiaramente definito, e non ne esiste una descrizione ufficiale. Ogni fornitore sembra prendersi delle libertà artistiche per soddisfare il proprio obiettivo, cosa che rende la conversazione molto fluida, ed è sufficiente cercare su Google per capire tutto ciò.
Cosa dovrebbe fare? Quali problemi dovrebbe risolvere? La maggior parte delle persone sono d’accordo: secondo il nome, Zero Trust in qualche modo cambia la mentalità della rete dal permettere l’accesso di default, al bloccare l’accesso di default a meno che non sia esplicitamente richiesto. Un obiettivo nobile, ma cosa implica realmente?
Il contesto è fondamentale per le policy Zero Trust
Prima di permettere a una macchina o a un utente di connettersi alla rete, un’architettura Zero Trust dovrebbe sempre verificare se quella connessione può essere effettuata in modo sicuro e se è limitata al numero minimo di risorse di cui ha bisogno. Inoltre, questi controlli dovrebbero avvenire per ogni sessione invece che una sola volta all’inizio.
Il processo di verifica iniziale dell’utente non dovrebbe riguardare solo le credenziali, anche se sono in atto controlli più avanzati come 2FA. Ovviamente, l’identità è importante da verificare, ma non aiuta davvero a valutare se la connessione può essere effettuata in modo sicuro o dovrebbe essere consentita, soprattutto se il dispositivo è stato compromesso. Da dove viene la connessione? C’è un’indicazione che la macchina usata per la connessione è compromessa? Ci sono vulnerabilità che introducono rischi per il resto della rete? Qual è la cronologia della comunicazione tra questi sistemi o si tratta di una nuova connessione? Sulla base di queste e molte altre metriche, si possono prendere decisioni di qualità molto migliore, il tutto in modo dinamico e in tempo reale.
In sostanza, Zero Trust è solo un framework che impedisce la connettività assumendo che ci sia un rischio a meno che non si dimostri il contrario. Piuttosto che definire semplicemente una politica di accesso minimalista, la postura di sicurezza e il contesto possono giocare un ruolo nel migliorare la sicurezza Zero Trust, aiutando a ridurre significativamente il rischio e prendendo decisioni più informate.
In particolare, nelle infrastrutture IT c’è un movimento sostanziale verso l’adozione di questo framework. Le reti vengono “Micro-Segmentate”. L’accesso remoto VPN si sta evolvendo verso qualcosa di più avanzato e granulare. Software dotati di agent vengono distribuiti sulle stazioni di lavoro per ottenere più informazioni sulla postura di sicurezza e così via.
Si tratta di sviluppi che portano valore all’infrastruttura IT, ma come si fa nell’infrastruttura OT/IoT? Cosa si può fare per adottare gli stessi vantaggi per i sistemi di controllo industriale, i dispositivi cyber/fisici e le infrastrutture critiche?
Zero Trust per OT/IoT e sistemi ICS
La micro-segmentazione ha senso per l’OT? A parte le sfide tecniche legate all’implementazione, cosa succede se il traffico viene bloccato? Che impatto avrà sui processi? È del tutto normale e persino altamente auspicabile nell’IT bloccare il traffico quando si sospetta che sia dannoso, ma nell’OT è rischioso. Semplicemente bloccarlo potrebbe avere un impatto sulla produzione uguale o superiore a quello di permettere quel traffico.
E gli agent installati sui sistemi? Per molti dispositivi OT e IoT come controllori, sensori, robot e così via non c’è la possibilità di installare del software, specialmente se sono dotati processori dedicati, che non eseguono un sistema operativo completo. Molto spesso, la sicurezza non era una considerazione quando questi prodotti sono stati sviluppati. Se abbiniamo tutto questo alla trasformazione digitale in atto nell’OT ecco che abbiamo il rischio fondato di una tempesta perfetta.
Quindi, cosa si può fare per l’OT? E da dove si deve partire?
Contesto e policy Zero Trust
Per prendere decisioni di migliore qualità sulla connettività, sono necessarie informazioni più dettagliate. Capire cosa si sta cercando di proteggere è il punto di partenza, come per l’IT, ma i metodi per arrivarci sono diversi.
“Capire” non riguarda solo i MAC address, gli indirizzi IP o le porte. Si tratta di conoscere il tipo di dispositivi, quale hardware e software viene utilizzato e qual è il comportamento previsto di questi dispositivi. Si tratta di sapere come si comporta l’intero ambiente OT, quale macchina parla con quale altra macchina? Con quale protocollo? Quali informazioni vengono scambiate? Con quale frequenza?
Se si capisce questo in tempo reale, si è sulla buona strada verso uno Zero Trust ottimale per gli ambienti OT/IoT.
La tempestività nelle decisioni innalza la sicurezza
La raccolta di informazioni deve essere convertita in dati utilizzabili e, infine, in azioni. Conoscere le versioni hardware e software porterà a sapere quali vulnerabilità si applicano a quei dispositivi monitorati, se quei dispositivi sono ancora supportati dai loro fornitori e come dovrebbero agire sulla rete. E questo è rilevante.
Conoscere il comportamento di intere reti OT/IoT implica anche la capacità di rilevare e avvisare in caso di anomalie. Se, improvvisamente, dispositivi che non hanno mai comunicato tra loro iniziano a farlo o se prima c’erano comunicazioni ma ora stanno mostrando un comportamento completamente diverso, un’indagine sulla legittimità è giustificata. È molto probabile che questo sia l’inizio di una violazione.
Elaborando un po’ sul concetto di actionable intelligence, i dati raccolti per lo Zero Trust non dovrebbero essere solo poche righe che dichiarano quale sia il probabile problema. Dovrebbero aiutare a determinare l’impatto sulla rete OT. Per esempio, correggere le vulnerabilità può essere una bella impresa – come migliora la postura di sicurezza rispetto allo sforzo richiesto? Queste sono informazioni quantificabili per prendere una decisione informata sull’ installazione di eventuali patch.
La suite di strumenti che formano il meccanismo di difesa informatica dovrebbe operare di concerto e scambiare informazioni per agire il più velocemente possibile in modo che ciascuno possa adempiere alla sua funzione in modo efficace.
di Emanuele Temi, Technical Sales Engineer di Nozomi Networks
