Quanto (poco) sono sicure le reti energetiche: uno studio del Governo sui sistemi Scada

La storia recente ci racconta di molti attacchi a infrastrutture che assicurano la produzione e la distribuzione di energia elettrica. Le infrastrutture energetiche rientrano fra quelle che hanno maggior titolo per essere definite “infrastrutture critiche”, per il loro essere indispensabili nel mantenere la sicurezza e la qualità di vita dei cittadini. Il Cert nazionale, che in generale assicura i propri servizi di supporto e scambio informazione al settore privato, fin dal momento della sua costituzione ha attivato un proficuo rapporto ed un interessante dialogo con le più grandi realtà del sistema energetico nazionale.

Il settore fin da subito si è rapportato con il CERT nazionale in modo molto qualificato; si è potuto così constatare una generale elevata consapevolezza del rischio riguardante l’infrastruttura ICT e gli specifici sistemi di controllo degli impianti di produzione e distribuzione.

Questi ultimi costituiscono la peculiarità del settore rispetto, ad esempio, a quello delle telecomunicazioni e finanziario, ed è per questo che il CERT nazionale ha inteso avviare uno studio specifico congiunto su minacce e vulnerabilità che riguardano tali sistemi, avvalendosi anche dell’esperienza maturata dal Dipartimento di Ingegneria dell’Università di Napoli “Parthenope”.

La sicurezza dei sistemi Scada

Molti degli incidenti che hanno interessato su scala mondiale il settore energetico hanno avuto come elemento comune lo sfruttamento di vulnerabilità dei sistemi SCADA che sovrintendono al funzionamento degli impianti di produzione e di distribuzione di energia. In Italia un recente studio ha rilevato sistemi SCADA, connessi alla rete internet, usando un semplice test TCP; in particolare sono stati rilevati 13500 SCADA molti dei quali permettono accesso sia in lettura che in scrittura. Anche se la semantica dei dati non è disponibile, qualsiasi cambiamento nei dati dei sistemi SCADA rappresenta un possibile problema di sicurezza.

I protocolli di comunicazione per i sistemi SCADA sono tutti “vendor specific”, ma sono largamente adottati e usati: tra questi si trovano ModbusRTU o RP-570, Profibus, Conitel. Esistono anche alcuni protocolli standard, come ad esempio IEC (International Electrotechnical Commission) 60870-5-101 o 104 , IEC 61850, DNP3. Molti di questi protocolli adesso includono estensioni per operare su TCP/IP, e questo elemento introduce notevoli vulnerabilità la cui gestione è nella maggior parte dei casi di notevole complessità.

Le maggiori criticità risiedono, infatti, nella circostanza che i singoli sottosistemi vengono connessi attraverso l’infrastruttura di rete LAN aziendale, o addirittura mediante tratti WAN, con la possibilità di attraversamento di Internet e di tratti wireless o basati su tecnologia satellitare. Inoltre si fa sempre maggior uso di protocolli di comunicazione aperti, il che espone i sistemi SCADA alle stesse minacce che rendono vulnerabili i sistemi IT “standard”.

Un ulteriore elemento di criticità risiede nel fatto che le Wireless Sensor Networks (WSN) sono ormai parte integrante di molti sistemi SCADA e lo diventeranno in misura sempre crescente; lo stesso avverrà per l’impiego di componenti COTS (Commercial-Off-The-Shelf) nella realizzazione dei sistemi SCADA.

A livello sperimentale è ormai dimostrato che le tecnologie SCADA non sono in grado di garantire un livello di sicurezza adeguato alle minacce cui sono esposti. Sorprendentemente ciò vale sia per le tecnologie cosiddette «legacy», che costituiscono comunque una significativa frazione delle installazioni correnti, che per quelle emergenti. Tra i principali problemi evidenziati si registra la vulnerabilità di molti protocolli ad attacchi di estrema semplicità che possono essere condotti anche attraverso strumenti software liberamente disponibili in rete. Una scarsa integrazione dei prodotti, anche tra quelli di uno stesso vendor, può egualmente introdurre delle vulnerabilità nell’architettura di controllo che può essere sfruttata dagli attaccanti.

Gli elementi sopra evidenziati sono stati presentati e discussi durante un workshop organizzato dal CERT Nazionale nel mese di ottobre dello scorso anno, al quale hanno partecipato molti dei maggiori operatori nazionali del settore. Il workshop ha realizzato un interessante momento di confronto su questi temi evidenziando la necessità di un dialogo tra i soggetti che condividono le medesime problematiche. Tra i diversi temi discussi è emerso con particolare rilevanza quello della opportunità di un coinvolgimento dei grandi produttori di apparati nella soluzione di problematiche di sicurezza connesse all’utilizzo dei sistemi nell’ambiente operativo.

Conclusioni

Si può senz’altro ritenere che la modalità di collaborazione in corso tra il CERT nazionale e le grandi imprese del settore energetico sia di notevole livello tecnico e lascia presagire l’adozione di iniziative sempre più adeguate e tecnicamente di alto interesse. Si è registrata, inoltre, una grande attenzione al percorso comune che si andava avviando con le Istituzioni nell’ambito dell’architettura italiana di “cyber strategy”. Su queste basi è sembrata naturale la creazione di una sinergia tra il Cert nazionale, e la competente Direzione generale per la sicurezza dell’approvvigionamento e per le infrastrutture energetiche del Ministero dello Sviluppo Economico.

Uno dei primi risultati di una collaborazione strategica tra due Organi dello stesso Ministero è stato sicuramente quello di offrire un’ottica integrata agli stakeholder. In particolare la collaborazione ha consentito all’Italia di partecipare attivamente all’avvio di un filone “cyber security” in ambito G7 Energia.

Un passo importante è stata la partecipazione dell’Italia ad una riunione, tenutasi a Berlino nell’autunno dello scorso anno, sotto la presidenza tedesca del G7, in cui sono stati discussi per la prima volta i temi della sicurezza cyber nel settore energetico. Il CERT Nazionale ha avuto modo di illustrare le azioni in corso in Italia, evidenziando anche i possibili benefici di un’azione congiunta in ambito cyber tra i Paesi del G7.