Analisi

Sicurezza OT, i vantaggi di un approccio “attivo”



Indirizzo copiato

In un contesto di minacce informatiche in continua evoluzione, l’approccio passivo “storico” non è spesso più sufficiente. Meglio passare a un approccio attivo tramite query e sensori su end point. Le cose da sapere 

Pubblicato il 14 ott 2024

Gabriele Webber

Product Manager, Nozomi Networks



sicurezza OT

Storicamente, per i sensori di sicurezza che monitorano le reti OT e i sistemi ICS nelle infrastrutture critiche, l’unico approccio consentito all’utente finale è stato quello passivo. Per ridurre al minimo i rischi, le condizioni delle reti OT impongono che tali dispositivi non possano essere coinvolti attivamente nel monitoraggio. 

Il monitoraggio passivo in tempo reale fornisce visibilità su queste reti senza interferire con il traffico né interrompere le operazioni. Sapere cosa viene comunicato, quando e come, è utile ai fini dell’inventario degli asset, la gestione delle vulnerabilità, la visibilità operativa e la difesa dagli attacchi informatici. Tuttavia, in un contesto di minacce informatiche in continua evoluzione, il solo monitoraggio passivo potrebbe non essere sufficiente.

Con un approccio più completo al monitoraggio, che comprenda anche altre tecniche, è possibile proteggere più efficacemente i propri sistemi OT e IoT

Lo snodo dei file di configurazione e delle integrazioni 

Ad estensione del monitoraggio passivo, i file di configurazione di progetto del sistema, se disponibili, possono essere importati per arricchire l’inventario degli asset. Il file è un’istantanea di informazioni statiche legate a un sistema specifico.

Naturalmente, ci sono delle limitazioni: non sono sempre disponibili poiché alcuni fornitori non condividono queste informazioni e se le informazioni sono aggiornate, i file devono essere reimportati.

Gli ambienti OT e ICS contengono anche una moltitudine di tecnologie di fornitori esterni. Le integrazioni sono necessarie per consolidare le informazioni sugli asset di fornitori terzi con le informazioni esistenti per mantenere aggiornato l’inventario degli asset. Il problema dell’inserimento di dati esterni è che si basa su tecnologie di terze parti che potrebbero non essere sempre disponibili e le diverse fonti potrebbero avere livelli di accuratezza diversi.

Il vantaggio del monitoraggio passivo è che fornisce un informazioni continue della rete basandosi sulla comunicazione esistente. Tuttavia, il monitoraggio passivo presenta delle limitazioni che possono influire sull’inventario accurato delle risorse, valutazione delle vulnerabilità e visibilità dei dispositivi non comunicanti. Per questi motivi, il monitoraggio attivo compensa alcuni dei limiti del monitoraggio passivo.

Monitoraggio attivo

L’introduzione del monitoraggio attivo negli ambienti OT e IoT ha richiesto un cambiamento culturale.

La scansione pura comporta un aumento del throughput e un cattivo utilizzo dei cicli della CPU degli endpoint, con possibili ripercussioni su prestazioni e stabilità di rete.

Alcune soluzioni affrontano il problema adottando il monitoraggio attivo tramite query e il monitoraggio attivo tramite sensore su endpoint.

Monitoraggio attivo tramite query

A differenza della scansione classica, il monitoraggio attivo tramite query mira a interrogare i dispositivi in base alla conoscenza delle loro capacità di protocollo, sfruttando messaggi e istruzioni speciali che sono noti per restituire informazioni utili, minimizzando il throughput e senza influire sulla stabilità del dispositivo.

Questa è una buona opzione per i dispositivi embedded, dove le soluzioni basate su agenti storicamente non potevano essere ospitate.

Il monitoraggio attivo tramite query è adatto quando sono in uso dispositivi embedded OT/IoT e quando sono in uso soluzioni IT e non è possibile utilizzare un sensore endpoint. Con il monitoraggio attivo tramite query, si ottengono i seguenti vantaggi:

  • Massima visibilità sui dispositivi embedded 
  • Maggiore visibilità sui dispositivi Windows / Linux / macOS. 
  • Miglioramento della valutazione delle vulnerabilità. Ad esempio, il fornitore, il nome del prodotto e la versione del firmware di una telecamera a circuito chiuso non sono disponibili con il monitoraggio passivo. Recuperando attivamente queste informazioni, si calcolano le vulnerabilità. 

Monitoraggio attivo tramite sensore su end point

La presenza del sensore sull’endpoint aumenta la visibilità dall’interno dell’endpoint stesso, combinando i rilevamenti di rete, come il monitoraggio del traffico, e l’estrazione di informazioni dell’asset.

Questo sensore aggiunge funzionalità che non sarebbero possibili se non da installati sulla macchina obiettivo. Il monitoraggio di massa della rete offerto da un monitoraggio passivo viene integrato da un monitoraggio locale, che trasforma le macchine obiettivo in sensori, compresa la possibilità di eseguire il monitoraggio attivo tramite query attive – di cui sopra – dall’endpoint stesso. 

Con il monitoraggio attivo tramite sensore endpoint, si ottengono i seguenti vantaggi:

  • Rilevamenti unici basati sull’host, che garantiscono la massima visibilità sui dispositivi Windows / Linux / macOS. 
  • Miglioramento della valutazione delle vulnerabilità  
  • Visibilità locale completa grazie al monitoraggio del traffico direttamente dal sensore su endpoint, senza affidarsi a switch o tap. 
  • Visibilità completa per gli asset che non comunicano in rete tramite raccolta dati offline. 
  • Tutti i vantaggi del “monitoraggio attivo tramite query” da posizione privilegiata, in quanto eseguite dall’endpoint.

Speciale Digital360Awards e CIOsumm.it

Tutti
Update
Round table
Keynote
Eventi
Digital360 Awards e CIOsumm.IT, ecco i progetti vincitori
Tavola rotonda
Evoluzione del CIO: da centro di costo a motore strategico del business
Tavola rotonda
Business Process Augmentation: dall’RPA alla GenAI… il dato e tratto
Approfondimenti
Sistemi digitali potenziati: l’intelligenza dei chatbot è nelle mani dei CIO
Tavola rotonda
Intelligenza collaborativa e AI: sfide e opportunità per i CIO nell’era dello Human to Machine (H2M) 
Approfondimenti
Open Source: collaborazione e innovazione nel caos apparente del software libero 
Metodologie
BANI: che cos’è e come l’AI può aiutare i CIO a gestire la felicità (e l’infelicità) dei talenti
Prospettive
AI in un mondo complesso. Tra ordine e disordine, le aziende iniziano a capire la giusta via
Approfondimenti
Intelligenza Umana vs Intelligenza Artificiale insieme. Non invece
Eventi
Digital360 Awards e CIOsumm.IT, al via l’evento conclusivo
Eventi
Digital360 Awards e CIOsumm.IT, ecco i progetti vincitori
Tavola rotonda
Evoluzione del CIO: da centro di costo a motore strategico del business
Tavola rotonda
Business Process Augmentation: dall’RPA alla GenAI… il dato e tratto
Approfondimenti
Sistemi digitali potenziati: l’intelligenza dei chatbot è nelle mani dei CIO
Tavola rotonda
Intelligenza collaborativa e AI: sfide e opportunità per i CIO nell’era dello Human to Machine (H2M) 
Approfondimenti
Open Source: collaborazione e innovazione nel caos apparente del software libero 
Metodologie
BANI: che cos’è e come l’AI può aiutare i CIO a gestire la felicità (e l’infelicità) dei talenti
Prospettive
AI in un mondo complesso. Tra ordine e disordine, le aziende iniziano a capire la giusta via
Approfondimenti
Intelligenza Umana vs Intelligenza Artificiale insieme. Non invece
Eventi
Digital360 Awards e CIOsumm.IT, al via l’evento conclusivo

Articoli correlati

Articolo 1 di 4