Dalla teoria all’impianto: lo scenario NovaGrid mostra come applicare MATRIX a sottostazioni elettriche digitali in cui SCADA moderni convivono con IED e sistemi legacy.

Le parti precedenti della serie hanno descritto le sei fasi di MATRIX e la matrice di allocazione. Resta da vedere come il metodo funziona su un impianto.

Questa quinta parte apre la sezione di validazione con uno scenario illustrativo: NovaGrid, un operatore di distribuzione ipotetico ma verosimile. Qui un sistema SCADA moderno convive con apparati legacy che governano un centinaio di sottostazioni secondarie. Seguirlo fase per fase è il modo più diretto per capire il framework.

Validazione di MATRIX nelle sottostazioni elettriche digitali

Lo scenario NovaGrid mostra come applicare MATRIX a un’infrastruttura elettrica con SCADA moderni, IED e apparati legacy.

La validazione del framework adotta un approccio multi metodo articolato su tre componenti complementari: una validazione di copertura rispetto agli standard di riferimento, una validazione comparativa rispetto agli schemi esistenti e una validazione retrospettiva condotta su un incidente reale e documentato. Lo scenario illustrativo delle sottostazioni digitali, descritto nel seguito, fornisce il sostrato a cui le tre componenti fanno riferimento.

Sottostazioni elettriche digitali: lo scenario NovaGrid

Per mostrare il framework all’opera consideriamo uno scenario applicativo relativo a un ipotetico operatore di distribuzione, qui denominato NovaGrid, che gestisce un parco di sottostazioni elettriche digitali. Una sottostazione svolge la funzione di abbassare i livelli di alta tensione provenienti dalla rete di trasmissione per alimentare i circuiti di distribuzione locale, regolando la fornitura in risposta alla domanda di abitazioni e piccole utenze. I sistemi di automazione di NovaGrid comunicano con IED, relè e altri apparati; un’interfaccia uomo-macchina di tipo web supporta gli operatori nel monitoraggio e nel comando locale e remoto, mentre un sistema SCADA fornisce la vista d’insieme sulla stabilità della rete e sulle manovre.

L’infrastruttura è il risultato di una stratificazione storica: accanto a un sistema SCADA moderno convivono apparati legacy che governano un centinaio di sottostazioni secondarie tramite protocolli proprietari non integrabili con il sistema di monitoraggio centrale, e la cui sostituzione integrale non è, allo stato, una priorità sostenibile per ragioni di costo e di affidabilità. Lo scenario è volutamente analogo, nelle sue caratteristiche tecniche, ai casi discussi nella letteratura recente sul tema,[1] ma i dettagli e le scelte qui presentati sono originali e funzionali alla sola illustrazione del metodo.

Applicando la fase M, NovaGrid ricostruisce i propri mission thread attorno alla trasformazione, regolazione e distribuzione dell’energia, identificando come DAAS critici i segnali di comando verso i dispositivi di protezione, i dati di telemetria del sistema SCADA e i servizi di automazione delle manovre. La caratterizzazione evidenzia che la conseguenza più grave non è la perdita di riservatezza dei dati, ma la perdita di integrità o disponibilità del comando: un’alterazione dei segnali inviati ai relè potrebbe compromettere la protezione del sistema e la continuità della fornitura.

Nella fase A, NovaGrid profila le proprie classi di asset. Le HMI su piattaforma Windows e i server SCADA mostrano un’idoneità elevata e uniforme, compatibile con controlli on-device. Gli IED moderni nelle sottostazioni primarie presentano un’idoneità intermedia. Gli apparati legacy delle sottostazioni secondarie, privi di gestione dell’identità e di controlli di accesso granulari, esibiscono un’idoneità minima e dovranno affidarsi a meccanismi esterni di enforcement.

La fase T conduce alla mappatura della superficie d’attacco. NovaGrid riconosce di essere esposta soprattutto a tre delle categorie di minaccia canoniche: la minaccia interna, le vulnerabilità della supply chain e gli attori di tipo nation-state, con il ransomware come minaccia trasversale ad alto impatto, aggravata dalle fragilità dell’infrastruttura legacy. La mappatura individua punti di ingresso che vanno dall’accesso remoto dei fornitori agli aggiornamenti firmware, dai supporti rimovibili collegati alle workstation ai dispositivi legacy che costituiscono altrettanti blind spot. Particolare attenzione è riservata al rischio di manomissione in transito degli apparati – relè e controllori – durante la consegna dai fornitori, dove la discontinuità di visibilità nella logistica dell’ultimo miglio apre un varco di fiducia sfruttabile.

Nella fase R, NovaGrid pondera i controlli candidati rispetto ai vincoli operativi. La verifica riguarda, ad esempio, se l’introduzione di software antimalware o di scansioni in tempo reale interferisca con i processi critici dell’automazione, e se i controlli granulari desiderati – tali da impedire che un dispositivo compromesso di Livello 2 possa interagire con un controllore di Livello 1 senza superare verifiche di identità e autorizzazione in tempo reale – siano sostenibili sui diversi apparati. L’analisi conferma che ciò che è praticabile sulle sottostazioni primarie non lo è sulle secondarie, dove i protocolli legacy non supportano controlli di accesso granulari né gestione dell’identità.

La fase I consolida queste valutazioni nella matrice di allocazione (cfr. Tabella 1). Per HMI e server SCADA, NovaGrid prevede l’applicazione nativa dell’autenticazione a più fattori, della verifica della postura e del monitoraggio; tra apparati di pari livello impone confini logici e controlli di accesso stringenti per ostacolare il movimento laterale; per le connessioni remote di terze parti adotta una gestione centralizzata e sicura, valutando ogni tentativo di autenticazione al SCADA rispetto al policy engine. Per gli IED legacy, l’enforcement è delegato a un layer intermediario che offre un’interfaccia standardizzata verso i diversi protocolli e dispositivi, assicurando l’interoperabilità in attesa del dispiegamento della segnalazione digitale moderna nelle sottostazioni secondarie e della loro integrazione nell’architettura zero trust.

Infine, nella fase X, NovaGrid colloca questi interventi lungo una roadmap di maturità (cfr. Figura 5), partendo dalla messa in sicurezza degli asset a più alto rischio – engineering workstation, workstation operatore, historian – con controlli on-device, e procedendo per stadi successivi. L’organizzazione valuta che l’onere amministrativo e la complessità tecnica introdotti rientrino in soglie di rischio operativo accettabili, e riconosce esplicitamente che alcune sottostazioni secondarie potrebbero non essere adeguabili nel breve periodo, contabilizzandone il rischio residuo. Il risultato non è un impianto a prova di attacco, ma un sistema in cui la superficie d’attacco è ridotta, il movimento laterale è ostacolato, gli accessi critici sono verificati con continuità e ciò che resta scoperto è noto e monitorato.

Dallo scenario NovaGrid alla validazione di MATRIX

Lo scenario NovaGrid ha valore illustrativo. Nella sesta parte della serie l’autore sottopone MATRIX a tre verifiche più stringenti: la copertura rispetto agli standard, il confronto con i metodi esistenti e la rilettura dell’attacco alla rete elettrica ucraina del 2015. Il paper integrale «Zero Trust selettivo negli ambienti OT» è disponibile per il download.

Fonti:

[1] R. Brown, “Implementing Zero Trust in Operational Technology: A Practical Case Study,” SEI Insights (blog), Software Engineering Institute, Carnegie Mellon University, 16 giugno 2026.

https://www.ictsecuritymagazine.com/articoli/zero-trust-sottostazioni-elettriche-novagrid/

Researchers say that mercenary hackers laced ads with zero-click exploits that installed sophisticated malware on the devices of targeted individuals when they did nothing other than load a website or open an installed app.

The finding, published Thursday by the University of Toronto’s Citizen Lab, said the incident is likely to be the first confirmation of zero-click mercenary spyware delivered through targeted ads. The attacks, which worked on iOS and Android devices, are particularly pernicious because they work without requiring any interaction from the target and are invisible unless users run special forensic hardware or software. Citizen Lab said it confirmed that AdFection, as it named the campaign, infected 45 devices at international media organization Al Jazeera in 2024 and 2025.

A clear warning signal

“This investigation should … serve as a clear warning signal to news organizations around the world that they may be being actively targeted via this new threat,” Citizen Lab researchers wrote. “This targeting may happen both in newsrooms and to individual journalists, editors, and other staff members.” Their report went on to say: “The distribution of spyware via targeted ads represents a security risk not only for potential victims but also for states and civil society at large.”

Read full article

Comments

https://arstechnica.com/security/2026/10/targeted-ads-delivered-0-click-exploits-to-install-mercenary-malware/

For most of its history, cybersecurity has been reactive by design. Spot the bad event, shut it down. But as cyberattacks evolve, this thinking must evolve too. In the past, attackers relied on a single dramatic exploit to access the crown jewels. But the nature of attacks has changed.

Defenders see ordinary events they don’t think are important enough to follow up on, but before they realize it, these events lead to a dramatic breach. A breach can start with a common event like an admin login or an unfamiliar tool being downloaded after office hours. This first step, if left unchallenged, leads to each following step growing more severe, resulting in a security incident.

Lack of Data Sensibility

It’s wrong to assume that attackers have more data than defenders do about their own environment. Defenders know their users, devices, applications, network traffic, and vulnerabilities. Having access to such diverse data volumes, there should be no reason why defenders end up on the losing side, but they do. The reason is data fragmentation, with information sitting across various disconnected tools. There are different tools tracking identity, endpoints, and network flow. The data is visible to defenders as disparate strands with no clear clasp tying them together. These disjointed threads create blind spots that attackers can exploit, and they do this faster than humans can stitch together the moving pieces of the attack.

Therefore, the focus should shift from flagging isolated events to contextual, agentic defense, where security systems look at multiple signals as a whole, catching early signs of an imminent attack forming.

The OODA Loop offers a useful way to structure this process: Observe what is happening. Orient those observations with the right context. Decide on the appropriate response, and act. This should help teams move before a small anomaly turns into a larger incident, without reacting blindly to an isolated event.

From “Is This Bad?” to “Where Is This Heading?”

Traditional security detections check whether an event is malicious. Contextual defense asks what an attacker is likely to do next and what the smallest possible move is to stop them, without causing a disruption.

Consider a scenario where a user in the finance department downloads legitimate software that enables remote administration. This is the kind of tool IT teams use every day. This action doesn’t normally flash suspicion. But additional context will inform you this was the first time this user downloaded this tool, and they did it from a low-reputation domain. Putting two and two together, you realize this might be outside the norm. Contextual defense helps to answer the who, when, and where behind the event and accordingly flags it as an early warning sign. The downloaded tool wasn’t bad, but the pattern surrounding this download was flashing red. Imagine the same user downloading yet another tool. In this case, your context-aware system will look at it as a closely related event. It will link this download to the previous one and connect the dots. If needed, it will block future downloads before the attack can escalate further.

This kind of reasoning draws on several signals at once:

• Identity and user behavior matter because the same action can look completely different depending on who’s doing it.
• Not every device or application carries equal risk, which is why device and asset context matter just as much.
• Network activity often gives away intent well before anything looks outright malicious.
• A device or account with known vulnerabilities or a history of past incidents makes any suspicious activity more likely to be a real attack, not a false alarm.
• Unusual data activity rarely appears out of nowhere; threat intelligence often shows it fits a known attack pattern.

A cybersecurity framework that is context-aware shouldn’t be seen only from a tech upgrade perspective. Contextual defense also enables a shift in the way security teams function. Teams that previously spent time chasing disconnected alerts can focus on the handful of incidents that showed early relevance. They can also deliver proportionate responses. If you lock an employee out of their device because of a false positive, it will disrupt their day. But contextual defense can make a request for additional login verification or restrict access to an application. 

Contextual Security in Practice

Some action items that will lay a strong contextual security foundation:

• Start with auditing data quality: Contextual reasoning depends on the quality of the data feeding it, including identity records, asset inventories, and telemetry.
• Clear authority boundaries: Decide explicitly the actions that a system can take autonomously and which need human oversight, especially for privileged accounts or sensitive customer and financial data.
• Keep actions visible and reversible: Every automated action should be recorded, easy to explain, and easy to undo if new information changes things.
• Plan for scale: AI-driven attacks generate much more activity than traditional attacks. The security systems doing the detection need to handle that volume without slowing down, which means they need to be built on infrastructure that can scale up on demand, not fixed-capacity systems that get overwhelmed under load.
• Measure results, not just activity: Track time-to-detect, time-to-contain, and business disruption from false positives, not just the number of alerts correlated.

Do not think that contextual agentic defense is a recipe for eliminating uncertainty or a replacement for foundational security controls. What it does is close the gap between having data and making sense of it. As attacks increase in sophistication, organizations must be able to see the connections between signals and act on them with precision.

https://www.securityweek.com/context-is-king-in-the-fight-against-modern-cyberattacks/

This summit is laser-focused on the next generation of Zero Trust and Identity security, moving beyond theory to deliver actionable strategies.

The post Watch Now: Zero Trust Strategies Summit – All Sessions Available on Demand appeared first on SecurityWeek.

https://www.securityweek.com/virtual-event-today-zero-trust-strategies-summit-2/

Most of the data is related to applications, claims, and payments submitted between 2007 and 2025.

The post UK Legal Aid Agency Hack Scope Widens After Forensic Review appeared first on SecurityWeek.

https://www.securityweek.com/uk-legal-aid-agency-hack-scope-widens-after-forensic-review/

Roughly 700 French supermarkets were hit by the cyberattacks, for which no group has claimed responsibility.

The post Supermarket Refrigeration Attack Widens to Copeland, Dixell Controllers appeared first on SecurityWeek.

https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/

Delivered via phishing, the malware provides reconnaissance, remote execution, and data exfiltration capabilities.

The post CikaBika Bot RAT Uses Discord for C&C appeared first on SecurityWeek.

https://www.securityweek.com/cikabika-bot-rat-uses-discord-for-cc/

The Hirudo malware combines elements of a traditional banking trojan and a full-featured RAT.

The post Novel Android RAT ‘Hirudo’ Replaces Banking Apps With Trojanized Copies appeared first on SecurityWeek.

https://www.securityweek.com/novel-android-banking-rat-hirudo-replaces-banking-apps-with-trojanized-copies/

Personal information such as names, addresses, Social Security numbers, and driver’s license numbers was compromised.

The post CenterPoint Energy Data Breach Impacts 1 Million Texans appeared first on SecurityWeek.

https://www.securityweek.com/centerpoint-energy-data-breach-impacts-1-million-texans/

James Robinson never planned a cybersecurity career — seven companies and one deputy CISO role later, he leads security at Netskope.

The post CISO Conversations: James Robinson – Many Jobs, One Journey to Netskope CISO appeared first on SecurityWeek.

https://www.securityweek.com/ciso-conversations-james-robinson-many-jobs-one-journey-to-netskope-ciso/