Sicurezza Cyber nell’Industria 4.0: Strategie di Difesa Avanzate per Sistemi di Controllo Industriale
Introduzione
L’evoluzione dell’Industria 4.0 ha portato a una maggiore interconnessione e digitalizzazione dei sistemi industriali, ma ha anche esposto le infrastrutture critiche a crescenti minacce di cyber attacchi. La Cyber Security Industriale, OT Security, è diventata fondamentale per proteggere i sistemi di controllo industriale (ICS) dai sofisticati attacchi cibernetici. In questo approfondito articolo, esploreremo le sfide della sicurezza cyber nell’industria e le migliori pratiche per mitigare le minacce, includendo esempi pratici e casi studio recenti.
Sfide della Sicurezza Cyber nell’Industria 4.0
L’ambiente industriale è caratterizzato dalla presenza di sistemi OT, spesso obsoleti ma cruciali per il funzionamento delle infrastrutture critiche. Questi sistemi sono stati progettati con una priorità sulla stabilità operativa piuttosto che sulla sicurezza. Le sfide della sicurezza cyber nell’Industria 4.0 perciò includono:
Complessità del Paesaggio Tecnologico: La convergenza di sistemi legacy, dispositivi intelligenti e reti industriali richiede un approccio integrato alla sicurezza per evitare vulnerabilità.
Mancanza di Patches e Aggiornamenti: Molti dispositivi OT non supportano aggiornamenti regolari, lasciando aperte potenziali vulnerabilità a nuovi attacchi.
Cyber Attacchi Mirati: Gli attaccanti mirano sempre più agli ICS per danneggiare le infrastrutture critiche o rubare informazioni sensibili.
Difficoltà di Monitoraggio: Il monitoraggio e il rilevamento di attività cyber malevole nei sistemi ICS possono risultare complessi a causa della mancanza di visibilità.
Casi Studio di Cyber Attacchi nell’Industria 4.0
Caso Studio 1: L’attacco alla centrale elettrica di Kiev L’attacco nel 2016 alla centrale elettrica di Kiev in Ucraina fu uno dei primi casi di cyber attacco su larga scala contro infrastrutture critiche. Gli attaccanti utilizzarono il malware BlackEnergy e KillDisk per compromettere i sistemi ICS, causando un blackout di alcune ore e mettendo in pericolo la sicurezza e la stabilità del paese.
Caso Studio 2: L’attacco al gasdotto di Colonial Pipeline L’attacco ransomware subito da Colonial Pipeline nel 2021 evidenziò i rischi associati alla dipendenza delle infrastrutture critiche da sistemi ICS vulnerabili. L’attacco paralizzò il flusso di carburante negli Stati Uniti, provocando gravi conseguenze economiche e logistiche. L’incidente sottolineò l’importanza della protezione dei sistemi OT e della risposta agli attacchi.
Caso Studio 3: L’attacco a Stuxnet Stuxnet, scoperto nel 2010, è stato un sofisticato worm informatico progettato per colpire specifici sistemi ICS utilizzati nei programmi nucleari iraniani. L’attacco dimostrò la possibilità di compromettere sistemi di controllo industriale altamente protetti, aprendo la strada a una nuova era di minacce avanzate contro l’industria.
Principali Layer di sicurezza negli ambienti indistriali
I sistemi industriali complessi richiedono un approccio a “layer” per garantire una solida difesa contro le minacce cibernetiche. I layer di sicurezza sono fondamentali per proteggere i sistemi di controllo industriale (ICS) da attacchi esterni e interni, garantendo la sicurezza e l’integrità delle operazioni. Ecco una panoramica dei principali layer che compongono la sicurezza nei sistemi industriali:
Layer Fisico: Il primo livello di sicurezza riguarda la protezione fisica degli asset industriali. Ciò include il controllo degli accessi fisici alle infrastrutture critiche, l’utilizzo di telecamere di sorveglianza e sistemi di allarme per monitorare e proteggere le aree sensibili. Garantire la sicurezza fisica previene la manipolazione non autorizzata dei dispositivi e dei sistemi, riducendo il rischio di attacchi diretti contro l’infrastruttura.
Layer di Rete: Questo livello riguarda la protezione della rete industriale da attacchi esterni e interni. Le soluzioni di firewall industriale, router e switch sicuri vengono utilizzate per implementare politiche di sicurezza che consentono solo il traffico autorizzato tra i dispositivi all’interno della rete. La segmentazione della rete, in cui si dividono i dispositivi in zone isolate, riduce la superficie di attacco e limita la propagazione di malware.
Layer di Sistema: Questo livello riguarda la protezione dei sistemi operativi e delle applicazioni critiche presenti nei dispositivi OT. La corretta configurazione dei sistemi operativi, l’applicazione di patch di sicurezza e l’utilizzo di soluzioni di rilevamento delle minacce avanzate (ATD) sono essenziali per individuare e rispondere a comportamenti anomali. La gestione delle identità e degli accessi (IAM) permette di controllare le autorizzazioni degli utenti, riducendo il rischio di accessi non autorizzati.
Layer dei Dati: Questo livello riguarda la protezione dei dati sensibili presenti nei sistemi industriali. La crittografia dei dati in transito e a riposo protegge le informazioni sensibili da accessi non autorizzati. Inoltre, è essenziale implementare sistemi di backup e ripristino dati per garantire la disponibilità dei dati in caso di incidenti o attacchi di ransomware.
Layer di Monitoraggio e Analisi: Il monitoraggio continuo dei dispositivi e delle reti industriali è essenziale per identificare attività sospette e potenziali intrusioni. Soluzioni di monitoraggio avanzato e analisi dei dati (SIEM) consentono di rilevare pattern anomali e comportamenti non conformi, permettendo una risposta rapida agli attacchi in corso.
L’adozione di un approccio a “layer” nella sicurezza dei sistemi industriali offre una difesa multistrato contro le minacce cyber sempre più sofisticate. Integrando soluzioni di sicurezza fisica, di rete, di sistema e di dati con un monitoraggio proattivo, le organizzazioni industriali possono affrontare le sfide della sicurezza cyber nell’Industria 4.0 e garantire la continuità e l’integrità delle loro operazioni critiche.
Best Practices per la Sicurezza Cyber nell’Industria 4.0
Per garantire una robusta sicurezza cyber nell’Industria 4.0, è fondamentale adottare strategie di difesa avanzate, tra cui:
Implementazione di Soluzioni di Sicurezza Avanzate: Utilizzare firewall industriali, soluzioni di rilevamento delle minacce avanzate (ATD) e sistemi di prevenzione delle intrusioni (IPS) per proteggere i sistemi OT dagli attacchi noti e sconosciuti.
Segmentazione della Rete: Suddividere la rete industriale in zone sicure e applicare regole di filtraggio per limitare la propagazione di eventuali infezioni.
Gestione delle Identità e degli Accessi: Implementare sistemi di autenticazione multifattore (MFA) e controlli rigorosi per limitare l’accesso solo ai dispositivi e agli utenti autorizzati.
Monitoraggio Continuo e Analisi dei Dati: Utilizzare sistemi di monitoraggio e analisi dei dati per rilevare attività anomale, comportamenti sospetti e segni di attacchi imminenti.
Formazione e Consapevolezza del Personale: Fornire formazione regolare al personale sull’importanza della sicurezza cyber e sulle ultime minacce e tattiche di attacco.
Conclusioni
La sicurezza cyber nell’Industria 4.0 richiede una difesa proattiva e soluzioni di sicurezza avanzate per proteggere i sistemi ICS da cyber attacchi sofisticati. Gli esempi pratici e i casi studio analizzati mostrano l’urgenza di adottare un approccio olistico alla sicurezza informatica industriale. Solo attraverso l’implementazione di best practices e l’utilizzo di risorse adatte le imprese possono difendersi efficacemente dalle minacce cibernetiche in costante evoluzione, garantendo così sia la sicurezza che la continuità delle operazioni industriali.
Il nuovo Regolamento Macchine: la Cybersecurity Industrial elemento essenziale dal Design della Macchina e durante tutto il suo ciclo di vita
Il 18 aprile 2023, durante la sessione plenaria del Parlamento Europeo a Strasburgo, è stato approvato il nuovo Regolamento Macchine. Questo, a differenza della Direttiva Macchine 2006/42/CE, ha un impatto diverso sulle normative nazionali. Mentre infatti una Direttiva stabilisce un obiettivo da raggiungere per i paesi membri dell’Unione Europea, lasciando loro la scelta su come procedere, un Regolamento è un atto legislativo vincolante che deve essere applicato, in tutti i suoi aspetti, in tutta l’Unione Europea.
Dopo l’approvazione al Parlamento Europeo, la normativa è stata pubblicata il 29 giugno 2023 nella Gazzetta Ufficiale dell’Unione Europea (GUUE) con il titolo: “Regolamento (UE) 2023/1230 del Parlamento e del Consiglio del 14 giugno 2023 relativo alle macchine e che abroga la direttiva 2006/42/CE del Parlamento europeo e del Consiglio e la direttiva 73/361/CEE del Consiglio”.
L’obiettivo di questo articolo è fornire una sintesi degli impatti del Regolamento nel campo della Cybersecurity Industrial/OT.
Il nuovo Regolamento è composto da 52 articoli e 11 allegati e dimostra una particolare attenzione per le nuove tecnologie, come indicato nel “considerando 12”, il quale riconosce le sfide poste dalla sicurezza dei prodotti a causa dell’emergere di sempre nuove tecnologie digitali, tra cui l’intelligenza artificiale, l’Internet of Things (IoT), la robotica e la sempre maggiore diffusione di Cyber-Physical System e interazione uomo macchina.
Il “considerando 19” sottolinea ancora che l’evoluzione del settore ha portato all’uso crescente di mezzi digitali e software nella progettazione delle macchine. Di conseguenza, la definizione di macchina deve essere adattata per includere “le macchine alle quali manca solamente il caricamento di software destinati all’applicazione specifica prevista dal fabbricante e che sono oggetto della procedura di valutazione della conformità” Inoltre, “la definizione di componenti di sicurezza dovrebbe riguardare non soltanto i dispositivi fisici ma anche quelli digitali. Al fine di tenere conto del crescente ricorso ad esso come componente di sicurezza, il software che svolge una funzione di sicurezza ed è immesso in maniera indipendente sul mercato dovrebbe essere considerato un componente di sicurezza”.
Infine, il “considerando 25” evidenzia che ci sono rischi legati alle nuove tecnologie digitali, inclusi quelli provocati da terzi malintenzionati che possono incidere sulla sicurezza dei prodotti rientranti nell’ambito del Regolamento. Pertanto, i fabbricanti devono adottare misure proporzionate per proteggere la sicurezza dei prodotti, e ciò non esclude l’applicazione di altri atti giuridici dell’Unione che trattano specificamente aspetti di Cybersecurity.
È nell’Allegato III del Regolamento, agli articoli 1.1.9 e 1.2.1, che il legislatore europeo descrive puntualmente i requisiti di Cybersecurity.
L’articolo 1.1.9 recita:
“Si richiede che la progettazione e la costruzione della macchina garantisca che la connessione di altri dispositivi tramite qualsiasi caratteristica del dispositivo collegato o dispositivi remoti in comunicazione con la macchina non conduca a situazioni pericolose.
Un componente hardware essenziale per soddisfare i requisiti di salute e sicurezza deve essere progettato per resistere sia a corruzioni accidentali che intenzionali. La macchina deve essere in grado di rilevare intrusioni legittime o illegittime in questo componente hardware.
Il software e i dati cruciali per conformità ai requisiti pertinenti di salute e sicurezza devono essere chiaramente identificati e protetti adeguatamente da corruzioni accidentali o intenzionali.
La macchina deve essere in grado di identificare il software installato necessario per il suo funzionamento sicuro e fornire queste informazioni facilmente accessibili in qualsiasi momento.
È necessario raccogliere prove di interventi legittimi o non autorizzati nel software, nonché di modifiche al software installato sulla macchina o alla sua configurazione.
Questa copertura coinvolge tutti gli aspetti chiave della macchina, compresi sia il prodotto finale che i suoi componenti hardware e software.
I sistemi di controllo devono essere progettati e costruiti in modo da poter resistere, se necessario, alle sollecitazioni operative previste, agli influssi esterni previsti e involontari, comprese le manovre intenzionali da parte di terze parti per creare situazioni pericolose. Questo richiede una protezione adeguata contro attacchi informatici che potrebbero influenzare la sicurezza.”
L’articolo 1.2.1 invece richiede che “i sistemi di controllo devono essere progettati e costruiti in modo tale che: a) siano in grado di resistere, ove appropriato alle circostanze e ai rischi, alle sollecitazioni operative previste e alle influenze esterne previste e involontarie, compresi i tentativi dolosi di terzi di creare una situazione pericolosa”.
Infine, occorre notare che il Regolamento include nel suo ambito di applicazione anche gli aggiornamenti software citando le c.d. “modifiche sostanziali” cioè quelle modifiche apportate a una macchina, fisicamente o digitalmente, dopo che questa è stata messa in commercio o in uso.
Quindi, a titolo esemplificativo, secondo quanto descritto fin ora, uno SCADA o un PLC devono essere dotati di un elevato grado di sicurezza informatica, in modo da non essere facilmente soggetti a corruzione/modifiche non previste nella logica di funzionamento determinate da un attacco informatico e rischiare di compromettere la sicurezza degli operatori.
Anche l’allegato IV del Regolamento, che descrive tutti gli obblighi in merito alla documentazione tecnica, richiama la Cybersecurity e richiede di fornire la “valutazione dei rischi rispetto ai quali la macchina è progettata e costruita”, “un elenco dei requisiti essenziali di salute e sicurezza applicabili al prodotto-macchina”, report specifici contenenti i risultati dei test effettuati per verificare la conformità della macchina ai requisiti dell’Allegato III e “il codice sorgente o la logica programmata del software relativo alla sicurezza per dimostrare la conformità della macchina” al Regolamento a seguito della richiesta di un’autorità nazionale competente, preposta a verificare la conformità ai requisiti essenziali di salute e sicurezza dello stesso Allegato III.
Da questa breve analisi è quindi chiara l’intenzione del legislatore europeo di voler considerare ancora una volta e a tutti gli effetti la Cybersecurity un elemento ormai essenziale anche nell’ambito industriale e nei processi di sviluppo produttivo perché capace di determinare effetti rilevanti sulla Safety.
Si tratta, in effetti, di un intervento che si pone in continuità con numerosi altri interventi, sia europei, citiamo ad titolo esemplificativo la nuova normativa relativa al Network and Information Security, la cosiddetta NIS 2, (Direttiva UE 2022/2555) in sostituzione della precedente NIS (Direttiva UE 2016/1148), il Digital Operational Resilience Act (DORA) – Regolamento UE 2022/2554, applicabile al momento al settore finanziario, il Cyber Resilience Act, sia nazionali, pensiamo alla legge 133/2019, il Perimetro di Sicurezza Nazionale Cibernetica e relativi atti attuativi.
È fondamentale quindi che sin da ora prepararsi a rispondere a quanto richiesto dal Regolamento Macchine, sebbene la sua effettiva applicazione sia programmata per il 2027, effettuando una dettagliata valutazione dei rischi informatici e ottenendo finalmente piena visibilità sull’ecosistema industriale/produttivo e su tutte le sue interconnessioni e interdipendenze che spesso, soprattutto in alcuni ambiti, sono lasciate in totale gestione a OEMs e terze parti.
Questo è essenziale per prevenire e/o gestire in maniera più veloce ed efficace i problemi legati alla continuità operativa, alla reputazione e alla salute e sicurezza, derivanti da incidenti causati da azioni volontarie di attaccanti motivati.
Infatti, gli incidenti che colpiscono il comparto Industriale/Produttivo sono in aumento e mettono alla prova tutti i settori.
È perciò urgente sin da ora attivarsi e creare un sistema virtuoso in cui i produttori, gli utilizzatori, i manutentori, gli esperti IT e di Cybersecurity insieme a tutti gli altri attori rilevanti possano lavorare insieme per garantire la conformità al Regolamento avendo come obiettivo finale Operation efficienti e soprattutto sicure.
Articolo a cura di Mariacristina Bringheli
Profilo Autore
Mariacristina è una Cyber Security Manager con oltre 5 anni di esperienza in ambito IT ed OT. Ha lavorato in diversi contesti internazionali, inclusi Stati Uniti e Medio Oriente, interagendo con una vasta gamma di clienti e fornendo supporto nella definizione e implementazione di strategie integrate di sicurezza informatica. Negli ultimi anni, nell’area Emerging Technology di Deloitte Risk Advisory, si concentra sulle tematiche cyber legate alle tecnologie emergenti, con focus sulla sicurezza OT e IIoT, e ha acquisito una conoscenza strutturata e approfondita diversi processi produttivi e delle minacce informatiche che li prendono di mira, in particolare in ambienti complessi e fortemente interconnessi. La sua esperienza e competenza si estendono anche alla valutazione dei rischi informatici e alla protezione delle infrastrutture critiche. Inoltre, grazie al suo coinvolgimento in diversi progetti focalizzati sulla gestione delle crisi informatiche e l’esecuzione di simulazioni ed esercitazioni con CEO e Top Management, ha sviluppato competenze nella gestione di crisi cyber a livello strategico, tattico e operativo.
La Visione della Cyber Security e del Cyber Crime secondo gli Organi dello Stato Italiani: Nunzia Ciardi, Bruno Frattasi, Ivano Gabrielli, Col. T.ST Vittorio Capriello, Laura Carpini
Introduzione
La Cyber Security e il Cyber Crime rappresentano una sfida sempre più pressante nel mondo digitale. In Italia, Nunzia Ciardi e Bruno Frattasi, insieme agli organi dello Stato, lavorano instancabilmente per garantire la sicurezza cibernetica della nazione. In questo articolo, esamineremo le dichiarazioni di Ciardi e Frattasi, integrate dalle visioni di Ivano Gabrielli e Col. T.ST Vittorio Capriello, al fine di comprendere l’approccio italiano alla protezione contro le minacce digitali.
Nunzia Ciardi e l’Enorme Potenziale della Rivoluzione Digitale
Nunzia Ciardi, Direttore dell’Agenzia per la Cyber Security Nazionale (ACN), ha sottolineato in diverse occasioni l’immensa opportunità offerta dalla rivoluzione digitale, ma anche le sfide connesse alla sicurezza dei dati personali. Secondo Ciardi: “La rete non dimentica, dobbiamo proteggere i dati personali e promuovere la consapevolezza”.
Inoltre, Ciardi ribadisce l’importanza di una collaborazione sinergica tra pubblico e privato per affrontare le sfide cibernetiche. “La sicurezza informatica è una responsabilità condivisa, e solo unendo le forze possiamo garantire una difesa efficace contro le minacce digitali”.
Infine, Ciardi evidenzia come l’ACN stia lavorando per promuovere la consapevolezza del rischio informatico, sia a livello personale che aziendale. “Dobbiamo imparare a gestire il rischio cibernetico, acquisendo competenze digitali sin dall’infanzia e diffondendo la cultura della sicurezza informatica”.
Bruno Frattasi e la Visione Strategica della Cyber Security
Bruno Frattasi, Capo dell’ACN, nei suoi interventi pubblici ha posto l’accento sull’importanza di una visione strategica nella sicurezza cibernetica. Secondo Frattasi: “Dobbiamo educare fin da giovani sulle competenze digitali e la consapevolezza della sicurezza informatica”.
Inoltre, Frattasi enfatizza l’approccio integrato tra pubblico e privato nella lotta contro il cyber crime. “La collaborazione attiva tra diversi attori è essenziale per proteggere il nostro Paese da attacchi informatici sempre più sofisticati”.
Infine, Frattasi mette in luce l’importanza di un costante miglioramento delle competenze digitali a tutti i livelli. “La sicurezza cibernetica richiede un impegno costante nell’aggiornamento delle competenze tecniche e nella consapevolezza dei rischi digitali”.
Ivano Gabrielli e l’Approccio alla Cyber Security
Secondo le dichiarazioni di Ivano Gabrielli, il Dipartimento delle Informazioni per la Sicurezza (DIPS) pone la sicurezza cibernetica al centro delle proprie attività. Gabrielli afferma: “La sicurezza informatica è fondamentale per proteggere gli interessi nazionali e la privacy dei cittadini”.
Inoltre, Gabrielli rimarca l’importanza di una vigilanza costante sulle minacce digitali in evoluzione. “Il panorama delle minacce cibernetiche è in continua evoluzione, e dobbiamo essere pronti ad affrontarle con soluzioni sempre più avanzate”.
Infine, Gabrielli ha evidenziato come la consapevolezza e la formazione del personale siano elementi chiave nella protezione contro le minacce informatiche. “Investiamo nella formazione e nella sensibilizzazione delle risorse umane per costruire una difesa solida contro le minacce digitali”.
Col. T.ST Vittorio Capriello e la Difesa dalle Minacce Cibernetiche
Secondo quanto riportato su GDF.gov.it, il Colonnello T.ST Vittorio Capriello, esperto in materia di Cyber Security presso la Guardia di Finanza, ha più volte rimarcato l’importanza della difesa dalle minacce cibernetiche. Capriello afferma: “La Guardia di Finanza è impegnata nella protezione delle infrastrutture critiche e nella lotta contro il cyber crime”.
Inoltre, Capriello ci ricorda come la cooperazione internazionale sia cruciale nella lotta contro le minacce informatiche transnazionali. “Lavoriamo a stretto contatto con altre agenzie internazionali per contrastare le attività criminali online e preservare la sicurezza delle operazioni finanziarie”.
Infine, Capriello rimarca l’importanza dell’addestramento costante del personale nella gestione delle emergenze cibernetiche. “La preparazione e l’addestramento del nostro personale sono fondamentali per reagire prontamente e in modo efficace agli attacchi informatici”.
Laura Carpini e l’Impegno Internazionale nella Cyber Security
Laura Carpini, rappresentante del Ministero degli Affari Esteri, ha sottolineato l’importanza dell’impegno internazionale nella Cyber Security. Secondo Carpini: “La cooperazione internazionale è fondamentale per affrontare le sfide globali della sicurezza informatica. L’Italia è impegnata a lavorare con partner internazionali per condividere informazioni, sviluppare normative comuni e contrastare insieme le minacce digitali”.
Inoltre, Carpini pone l’accento su come la collaborazione tra nazioni sia essenziale per identificare e affrontare i criminali cibernetici transnazionali, proteggendo così la sicurezza delle infrastrutture critiche e dei cittadini in tutto il mondo. “Solo lavorando insieme, con uno sforzo coordinato a livello internazionale, possiamo contrastare le minacce digitali e preservare la stabilità delle reti informatiche globali”.
Carpini fa presente inoltre che la sicurezza cibernetica è un elemento chiave delle relazioni internazionali e delle politiche di difesa nazionale. “L’Italia considera la Cyber Security come una priorità strategica nella nostra diplomazia e nei rapporti bilaterali con altri Paesi. Collaboriamo attivamente per garantire la protezione delle informazioni sensibili e la difesa delle infrastrutture critiche”.
La visione di Laura Carpini si integra con gli sforzi di Nunzia Ciardi, Bruno Frattasi, Ivano Gabrielli e Col. T.ST Vittorio Capriello, contribuendo a rafforzare la resilienza della Cyber Security italiana in un contesto globale sempre più interconnesso. La collaborazione internazionale rappresenta un pilastro fondamentale per affrontare le sfide della sicurezza informatica e proteggere il futuro digitale dell’Italia e delle nazioni partner.
La crescente sfida del Cyber Security e del Cyber Crime: Dati e Statistiche
La Cyber Security e il Cyber Crime rappresentano una crescente sfida per l’Italia e il mondo intero. Secondo i dati forniti dall’Agenzia per la Cyber Security Nazionale (ACN), nel 2023, sono stati registrati oltre 100.000 attacchi informatici contro le infrastrutture critiche del Paese. Questi attacchi hanno evidenziato la necessità di una protezione robusta e di misure preventive per difendere le reti digitali nazionali [Fonte ACN.gov.it].
La Polizia di Stato ha registrato un aumento significativo delle denunce per Cyber Crime, con un incremento del 25% rispetto all’anno precedente. I casi di frode online, phishing e ransomware hanno messo in luce l’importanza di una maggiore consapevolezza e formazione sulla sicurezza informatica per prevenire tali attacchi [Fonte Poliziadistato.it].
Il Ministero dell’Interno, attraverso il nuovo portale di Cyber Crime, ha ricevuto oltre 50.000 segnalazioni di potenziali minacce digitali provenienti da cittadini e aziende nel corso dell’anno. Questo dato dimostra l’importanza della collaborazione tra le forze dell’ordine e il pubblico per identificare e contrastare le attività criminali online [Fonte Interno.gov.it].
Il Dipartimento delle Informazioni per la Sicurezza (DIPS) ha condotto un’indagine sull’origine degli attacchi informatici e ha scoperto che oltre il 40% di essi proviene da fonti esterne al territorio italiano. Questo dato mette in evidenza l’importanza di una cooperazione internazionale nella lotta contro il Cyber Crime [Fonte CommissariatoDIPS.it].
La Guardia di Finanza ha individuato e bloccato oltre 500 siti web sospetti coinvolti in attività di cyber crime, inclusi siti di phishing e mercati neri digitali. Queste azioni sono state fondamentali per proteggere i cittadini dalle truffe online e per preservare l’integrità del sistema finanziario italiano [Fonte GDF.gov.it].
Infine, il Ministero degli Affari Esteri e della Cooperazione Internazionale ha evidenziato che l’Italia ha collaborato attivamente con altre nazioni per combattere il Cyber Crime a livello globale. Nel 2023, l’Italia ha partecipato a oltre 30 operazioni internazionali di contrasto agli attacchi informatici, dimostrando il suo impegno nella protezione delle reti digitali a livello internazionale [Fonte esteri.it].
Conclusioni
In sintesi, i dati e le statistiche riportati dalle diverse fonti dimostrano la crescente sfida del Cyber Security e del Cyber Crime in Italia. Gli attacchi informatici sono in costante aumento, richiedendo un approccio integrato e una collaborazione sia a livello nazionale che internazionale per garantire una difesa efficace contro le minacce digitali. La consapevolezza, la formazione e una maggiore sicurezza delle infrastrutture cibernetiche si rivelano cruciali per proteggere l’Italia dalla sempre più complessa e mutevole minaccia del cyber crime.
Le visioni di Laura Carpini, Nunzia Ciardi, Bruno Frattasi, Ivano Gabrielli e Col. T.ST Vittorio Capriello sottolineano l’importanza della collaborazione e della consapevolezza nella lotta contro il cyber crime per garantire una solida sicurezza cibernetica. L’impegno dell’ACN, della Polizia di Stato, del DIPS e della Guardia di Finanza, insieme al contributo di esperti come Gabrielli e Capriello, dimostra un approccio integrato per proteggere il Paese dalle minacce digitali. Lavorando insieme, l’Italia può affrontare le sfide emergenti nel panorama digitale con determinazione e resilienza.
OT Cybersecurity: Strategie Avanzate per la Sicurezza delle Infrastrutture Critiche nell’Era della Trasformazione Digitale
Introduzione
Nell’epoca dell’Industria 4.0 e della trasformazione digitale, le reti industriali e le infrastrutture critiche si trovano ad affrontare una crescente minaccia di attacchi cibernetici sofisticati. L’interconnessione e l’automazione delle tecnologie operative (OT) hanno introdotto nuove sfide nella sicurezza, richiedendo un approccio integrato e una difesa proattiva per proteggere queste reti vitali. In questo articolo, esploreremo in profondità il concetto di OT Cybersecurity e le differenze fondamentali tra la sicurezza IT e OT, concentrandoci anche sulla sicurezza OT e IoT e l’importanza della protezione delle infrastrutture critiche.
Cos’è la OT Cybersecurity?
La OT Cybersecurity, o sicurezza delle tecnologie operative, è un insieme di strategie e pratiche volte a proteggere le reti e i dispositivi utilizzati nelle infrastrutture critiche per controllare e monitorare processi fisici e operativi. Questi ambienti operativi presentano sfide uniche a causa dell’utilizzo di dispositivi legacy, protocolli proprietari e una vasta gamma di apparati eterogenei. La sicurezza OT mira a garantire la protezione delle infrastrutture chiave, prevenendo incidenti che potrebbero avere gravi conseguenze sulla sicurezza pubblica, l’ambiente e l’economia.
Differenze tra IT e OT Cybersecurity
Le distinzioni tra IT e OT Cybersecurity sono profonde e richiedono un approccio differenziato per proteggere le reti industriali. Mentre la sicurezza IT si concentra sulla protezione dei dati e delle informazioni, la sicurezza OT pone l’accento sulla protezione degli asset fisici e della continuità operativa. Le principali differenze includono:
Complessità degli ambienti OT: Le reti OT sono spesso caratterizzate dalla presenza di dispositivi e sistemi legacy, con protocolli e tecnologie obsoleti. La gestione della sicurezza in questi ambienti richiede una conoscenza approfondita delle apparecchiature industriali e la capacità di affrontare le sfide legate alla modernizzazione e all’integrazione di nuovi dispositivi IoT.
Obiettivi di sicurezza: Mentre l’IT mira a garantire la confidenzialità, l’integrità e la disponibilità dei dati, la sicurezza OT si concentra sulla sicurezza dei processi operativi e sulla protezione degli operatori e dell’ambiente. La protezione delle infrastrutture critiche è cruciale per evitare danni materiali, interruzioni delle operazioni e incidenti con impatti significativi sulla salute pubblica e l’ecosistema.
Requisiti di downtime: Le infrastrutture critiche devono garantire un funzionamento senza interruzioni. Pertanto, le soluzioni di sicurezza OT devono essere progettate per assicurare la continuità operativa, anche in caso di attacco o incidente.
OT e IoT Security
La convergenza tra OT e IoT ha aperto nuove prospettive per l’efficienza e l’ottimizzazione delle reti industriali. Tuttavia, ha anche introdotto nuove sfide di sicurezza. L’integrazione di dispositivi IoT nelle reti OT ha ampliato il perimetro di attacco, creando nuove vulnerabilità e minacce. Per affrontare queste sfide, sono necessarie misure di sicurezza avanzate:
Gestione delle identità e degli accessi: Implementare meccanismi di autenticazione robusti, come l’autenticazione multi-fattore (MFA), per limitare l’accesso solo a utenti autorizzati.
Monitoraggio e rilevamento delle minacce: Utilizzare soluzioni di monitoraggio avanzate per rilevare attività sospette o anomale nelle reti OT e IoT, consentendo una risposta tempestiva agli attacchi.
Crittografia dei dati: Crittografare i dati sensibili trasmessi tra dispositivi IoT e reti OT per garantire la confidenzialità e l’integrità delle informazioni.
Segmentazione della rete: Suddividere la rete in zone isolate e applicare controlli di comunicazione tra di esse per ridurre la diffusione di attacchi e mitigare i rischi.
Proteggere le Infrastrutture Critiche
La protezione delle infrastrutture critiche richiede un approccio olistico e proattivo. Alcune strategie chiave includono:
Valutazione del rischio: Condurre valutazioni del rischio per identificare le vulnerabilità e le potenziali minacce alle infrastrutture critiche.
Formazione e sensibilizzazione: Fornire formazione specifica per gli operatori e il personale coinvolto nella gestione delle reti industriali per promuovere una cultura di sicurezza.
Collaborazione tra reparti: Favorire la cooperazione tra i team di sicurezza IT e OT per garantire una difesa integrata e una risposta rapida agli incidenti.
Pianificazione della continuità operativa: Sviluppare piani di continuità operativa per gestire situazioni di emergenza e ripristinare rapidamente le operazioni in caso di attacco.
Conclusioni
La OT Cybersecurity è un elemento fondamentale per proteggere le infrastrutture critiche nell’era della trasformazione digitale. Le differenze tra IT e OT richiedono un approccio specializzato per garantire la sicurezza delle reti industriali e proteggere gli asset fisici. La convergenza tra OT e IoT offre nuove opportunità ma introduce anche nuovi rischi.
Adottare misure di sicurezza avanzate, promuovere la collaborazione tra i team di sicurezza e investire nella formazione e nella sensibilizzazione sono azioni fondamentali per garantire la protezione e la resilienza delle infrastrutture critiche nelle sfide future.
Gli attacchi ai LM (Language Model) come la prompt injection e la prompt leaking possono essere paragonati alle SQL injection nel contesto della sicurezza informatica. Mentre le SQL injection sfruttano le vulnerabilità dei sistemi di gestione dei database per inserire codice dannoso all’interno delle query SQL, gli attacchi ai LM prendono di mira i modelli linguistici e cercano di manipolare l’output generato. In entrambi i casi, gli aggressori cercano di influenzare il comportamento del sistema iniettando input dannosi o modificando il funzionamento.
Prompt Injection: Manipolazione dell’Output dei LLM
La prompt injection è una tecnica che consente agli hacker di dirottare l’output di un LM. In questo modo è possibile aggiungere contenuti maligni o non intenzionali a un prompt al fine di manipolare l’output del modello. Questa vulnerabilità si manifesta quando un testo non attendibile viene incluso nel prompt, come ad esempio nel caso in cui un attaccante possa creare un prompt che inganni il modello facendogli ignorare la parte legittima a favore del testo iniettato.
Questo mette in luce il potenziale uso errato della prompt injection per diffondere informazioni false o generare risposte inappropriate.
L’azienda remoteli.io aveva un modello linguistico (LLM) che rispondeva ai post su Twitter riguardanti il lavoro da remoto. Gli utenti di Twitter si sono velocemente accorti che potevano inserire il proprio testo nel bot per fargli dire ciò che desideravano.
Questo avviene perché il tweet dell’utente viene unito al prompt utilizzato da remoteli per formare il prompt finale, che viene poi utilizzato dal LLM per generare la risposta. Ciò significa che qualsiasi testo iniettato dall’utente di Twitter verrà inserito nel LLM.
Si pensi come le conseguenze di questa vulnerabilità potrebbero essere impattanti se venisse attaccato ad esempio un chatbot di una banca e venisse detto al modello di ignorare le istruzioni dategli in precedenza e riportare un indirizzo IBAN al quale effettuare tutti i pagamenti, o un numero di telefono di assistenza diverso, in possesso dell’attaccante.
Prompt Leaking: Estrazione di Informazioni Sensibili
Il prompt leaking è una forma di prompt hacking che comporta l’estrazione di informazioni sensibili o confidenziali dalle risposte dei LLM. In alcuni casi, gli utenti desiderano mantenere segreti i loro prompt, come ad esempio un’azienda di formazione che potrebbe voler utilizzare un prompt specifico per spiegare argomenti complessi, ma se questo prompt venisse leaked, chiunque potrebbe utilizzarlo senza seguire il processo previsto dall’azienda.
Il prompt leaking può avere varie implicazioni come è stato dimostrato da un caso riguardante writesonic(.)com. L’azienda che si propone come alternativa a Chat-GPT, l’attuale LLM più utilizzato, è di fatto risultata vulnerabile ed è stato possibile scoprire il prompt utilizzato. Link al post completo (https://www.linkedin.com/feed/update/urn:li:activity:7069314602613784576/ ).
Infatti fornendo un frammento del prompt utilizzato, è stato possibile recuperare il resto del prompt senza l’autenticazione adeguata.
Il prompt leaking rappresenta quindi un rischio significativo, specialmente in scenari in cui vengono utilizzati prompt complessi e di lunga durata, come nelle startup basate su GPT-3/4, dove l’intero business gira attorno alla segretezza del prompt; come ad esempio vizgpt(.)ai, un servizio a pagamento che consente di creare visualizzazioni grafiche utilizzando una chat, anch’essa vulnerabile al prompt leaking. Link al post completo (https://www.linkedin.com/feed/update/urn:li:activity:7084854101997498368/)
Jailbreaking: Bypass delle Funzionalità di Sicurezza e Moderazione
Il jailbreaking si riferisce al processo di utilizzo della prompt injection per aggirare le funzionalità di sicurezza e moderazione implementate dai creatori del LLM. Queste sono di fatti fondamentali per impedire ai LLM di generare risposte controverse, violente, sessuali o illegali. Tuttavia, gli hacker possono sfruttare le vulnerabilità del modello per eludere le restrizioni, consentendo loro di porre domande o ottenere risposte senza limitazioni.
I metodi di jailbreaking spesso implicano oltre al convincimento del LLM che determinate situazioni sfuggano ai limiti etici del modello o che l’utente abbia un’autorità superiore. Ad esempio, fingendo di essere un attore in un ruolo specifico, il modello potrebbe assumere che non esista alcun rischio plausibile, producendo risposte non sicure. Altre tecniche includono l’assunzione di responsabilità, il ragionamento logico e l’attribuzione di privilegi superiori all’utente (modalità sudo). Questi metodi di jailbreaking mettono alla prova la capacità dei LLM di rispettare le linee guida di sicurezza ed etiche.
In questo esempio di “Character Roleplay”, l’attaccante mostra uno scenario di recitazione tra due persone che discutono di una rapina, facendo assumere a ChatGPT il ruolo del personaggio. Come attore, si sottintende che il danno plausibile non esista. Pertanto, ChatGPT sembra assumere che sia sicuro seguire l’input dell’utente fornito su come entrare in una casa.
Per proteggersi dal prompt hacking, è fondamentale adottare misure difensive. Queste includono:
Difese basate sui prompt: analizzare attentamente e convalidare i prompt per impedire l’iniezione di contenuti maligni o non intenzionali.
Monitoraggio regolare: monitorare costantemente il comportamento e gli output dei LLM per individuare attività insolite o segni di prompt hacking.
Audit di sicurezza: effettuare audit di sicurezza periodici per individuare vulnerabilità e rafforzare la sicurezza complessiva dei LLM.
Prendere misure proattive per proteggersi dal prompt hacking è fondamentale per salvaguardare l’integrità e l’affidabilità dei LLM, soprattutto considerando la crescente diffusione e influenza in vari ambiti.
Bibliografia
Chase, H. (2022). adversarial-prompts. [Online]. Disponibile su: https://github.com/hwchase17/adversarial-prompts.
Perez, F., & Ribeiro, I. (2022). Ignore Previous Prompt: Attack Techniques For Language Models. arXiv. [Online]. Disponibile su: https://doi.org/10.48550/ARXIV.2211.09527.
Giacomo Arienti è uno studente di Ingegneria e Scienze Informatiche con un’ampia esperienza nel campo della sicurezza informatica. Attualmente, lavora come Full Stack Developer, possedendo competenze approfondite nella progettazione e nello sviluppo di applicazioni web.
La sua passione per la cybersecurity è iniziata grazie alla partecipazione alle Olimpiadi Italiane di Cybersecurity, dove ha ottenuto un notevole successo posizionandosi nella top 10 nazionale in entrambe le sue partecipazioni.
Parallelamente alla sua esperienza nel settore della sicurezza informatica, Giacomo ha sviluppato un forte interesse per il mondo dell’intelligenza artificiale.
La missione di Giacomo è quella di rendere la cybersecurity accessibile a tutti e di sensibilizzare le persone sui rischi connessi all’utilizzo delle tecnologie digitali. Ha intrapreso iniziative per condividere le sue conoscenze attraverso workshop e conferenze, mirando a diffondere una maggiore consapevolezza riguardo alle minacce informatiche e alle strategie di protezione.
Profilo Autore
Simone Rizzo è un esperto di Intelligenza Artificiale con una laurea magistrale in Intelligenza Artificiale ottenuta presso l’Università di Pisa. Ha una solida esperienza come AI engineer nel settore della computer vision applicata all’auto a guida autonoma. La sua passione per la ricerca si concentra principalmente sulla spiegabilità dei modelli e sulla privacy nell’ambito del machine learning.
Simone è il fondatore e CEO di Inferentia, un’azienda di consulenza specializzata nell’applicazione dell’Intelligenza Artificiale. L’azienda offre servizi di consulenza e sviluppo di soluzioni AI personalizzate per diverse industrie.
Oltre al suo impegno nel mondo degli affari, Simone è un appassionato divulgatore scientifico su TikTok. Utilizzando il suo talento nel semplificare concetti complessi, condivide informazioni sull’Intelligenza Artificiale con un vasto pubblico, contribuendo a diffondere la consapevolezza e l’interesse verso questa disciplina in rapida evoluzione. La sua missione è quella di rendere l’Intelligenza Artificiale accessibile a tutti, spiegando il suo impatto e le sue potenzialità nel mondo moderno.
Digital Twin per la cybersecurity: ambiti di applicazione
Che cos’è un Digital Twin?
Un Digital Twin può essere definito come una rappresentazione virtuale di un oggetto fisico, un processo o un sistema. Esso cattura le caratteristiche, i comportamenti e le interazioni del corrispettivo fisico in tempo reale, consentendo il monitoraggio continuo, l’analisi e la simulazione. Il DT viene creato combinando diverse fonti, tra cui dati provenienti da sensori, dispositivi IoT, da processi operativi o di monitoraggio, per riprodurre fedelmente l’entità fisica.
In ambito accademico, molti esperti distinguono il “Digital Twin”, in cui l’interazione tra il mondo fisico e le istanze digitali è automatizzata, bidirezionale e avviene in tempo reale, il “Digital Shadow” in cui l’interazione tra mondo fisico e istanze digitali è automatizzata, monodirezionale, e avviene in tempo reale, e il “Digital Model” in cui l’interazione tra mondo fisico e istanze digitali è unicamente manuale per cui qualsiasi modifica avvenuta nel mondo fisico non avviene automaticamente anche nell’istanza digitale e viceversa.
Ambiti di applicazione dei Gemelli Digitali
Il DT trova applicazione in diversi settori, rivoluzionando i processi tradizionali e migliorando l’efficienza operativa. In ambito manifattura e industria 5.0, ad esempio, i DT consentono il monitoraggio in tempo reale delle linee di produzione, ottimizzando i processi, prevedendo le esigenze di manutenzione e migliorando la produttività complessiva. I produttori possono simulare scenari diversi, condurre test virtuali e ottimizzare le Operations basandosi sui dati forniti dal DT.
In ambito Smart Cities e Infrastrutture i DT offrono modelli completi di ambienti urbani, compresi edifici, reti di trasporto e servizi. Essi facilitano una migliore pianificazione urbana, la gestione del traffico, l’ottimizzazione energetica e la pianificazione di interventi in caso di emergenze migliorando sostenibilità, resilienza e vivibilità delle città.
Ancora, in ambito Sanitario, i DT svolgono un ruolo fondamentale nella medicina personalizzata, consentendo simulazioni e previsioni accurate basate sui dati dei singoli pazienti. Essi aiutano nella pianificazione di interventi chirurgici, nella scoperta di nuovi farmaci e nel monitoraggio remoto dei pazienti, portando a un miglioramento dei risultati sanitari.
Come si evince dagli esempi citati, sono molti i vantaggi legati all’utilizzo del DT insieme al potenziale che gli stessi hanno di trasformare i processi produttivi e il modo in cui interagiamo con la realtà fisica, tuttavia, sono altrettanto numerose le preoccupazioni che l’utilizzo di questa tecnologia genera tra i professionisti cyber. Per questo vale la pena approfondire rischi e opportunità legate all’utilizzo del DT per fini di sicurezza informatica.
Cybersecurity, rischi e best practice per l’integrazione della tecnologia DT
Innanzitutto, l’integrazione della tecnologia DT dovrebbe richiedere il rispetto di standard e best practice di settore, facendo in modo che la sicurezza informatica venga considerata prioritaria dalla fase di progettazione di un DT e per tutto il suo ciclo di vita.
Inoltre, poiché i DT colmano il divario tra il mondo fisico e quello virtuale, essi diventano vulnerabili rispetto agli attacchi cyber-fisici. Potenziali attori malevoli possono sfruttare le vulnerabilità nei sistemi interconnessi, come i dispositivi IoT o l’infrastruttura di rete, per manipolare i processi fisici o interrompere le Operations. Ad esempio, un attacco informatico a un DT che controlla un impianto di produzione intelligente potrebbe causare danni fisici, interruzioni nella produzione o pericoli per la sicurezza fisica delle persone di impianto. L’implementazione di robuste misure di sicurezza di rete, sistemi di rilevamento delle intrusioni e algoritmi di rilevamento delle anomalie può contribuire a mitigare questi rischi.
Ancora, poiché i DT analizzano enormi quantità di dati, garantire l’integrità e l’affidabilità degli stessi è fondamentale per un corretto funzionamento del DT. Dati manipolati o alterati possono portare a intuizioni o previsioni errate e quindi decisioni sbagliate. Implementare meccanismi di convalida dei dati, controlli sull’integrità degli stessi e registri di audit può contribuire a mantenere l’affidabilità e l’integrità del DT. Inoltre, dovrebbero essere implementati processi regolari di convalida e verifica per individuare e affrontare eventuali anomalie o discrepanze.
Un altro dei rischi associati all’utilizzo di DT riguarda la protezione della privacy e della riservatezza dei dati. Poiché i DT si basano sulla raccolta e integrazione estensiva di dati, spesso trattano informazioni sensibili, tra cui proprietà intellettuale, segreti commerciali e dati personali. L’accesso non autorizzato o le violazioni di questi possono causare significative perdite finanziarie, danni alla reputazione e conseguenze legali. È fondamentale implementare robuste tecniche di crittografia, controlli di accesso e anonimizzazione dei dati personali per salvaguardare la privacy e la riservatezza dei dati dei DT.
I DT spesso dipendono da dati provenienti da diverse fonti, inclusi fornitori e partner. Ciò introduce i rischi legati alla catena di fornitura, poiché la maturità cyber e i controlli implementati da queste entità esterne possono variare. È essenziale allora condurre valutazioni approfondite dei fornitori e prevedere delle specifiche e stringenti clausole di cybersecurity nei contratti stipulati.
Anche le minacce interne rappresentano un rischio significativo per la cybersecurity del DT. L’accesso non autorizzato da parte di insider malintenzionati può compromettere l’integrità del DT, sia in termini di manipolazione dei dati sia in termini di interruzione delle Operations.
Un altro rischio significativo è la mancanza di consapevolezza e formazione sulla cybersecurity tra gli attori coinvolti nell’ecosistema dei DT perché questa potrebbe determinare errori involontari e quindi ulteriori vulnerabilità. È fondamentale quindi fornire programmi di formazione sulla cybersecurity completi per ingegneri, manutentori, amministratori di sistema, utilizzatori e fornitori, al fine di promuovere una cultura di consapevolezza sulla cybersecurity e garantire il rispetto di standard e best practice.
I vantaggi offerti dai Digital Twin per la gestione della sicurezza informatica
Seppure significativi, i rischi evidenziati, non superano i vantaggi ottenibili tramite l’utilizzo di un DT per la gestione della sicurezza informatica. Per questo, vale la pena evidenziare brevemente i principali vantaggi:
Monitoraggio, Rilevamento delle Minacce Real-Time e Analisi Predittiva
I DT offrono un vantaggio unico nell’individuare ed analizzare in modo proattivo e in tempo reale le potenziali minacce informatiche.
Creando una replica virtuale del sistema fisico i DT forniscono rappresentazioni normalizzate e altamente dettagliate di hardware, firmware o software di un dispositivo, facilitando monitoraggio e analisi per identificare esposizione a CVE, possibili pattern d’attacco, anomalie e indicatori di compromissione. Questo monitoraggio in tempo reale consente risposte proattive, come l’invio di avvisi, l’implementazione di misure difensive automatizzate o l’avvio tempestivo delle procedure di gestione degli incidenti per fare in modo che le organizzazioni possano stare un passo avanti rispetto ai potenziali attaccanti. Inoltre, la capacità del DT di utilizzare algoritmi avanzati di analisi e apprendimento automatico per analizzare grandi volumi di dati può essere sfruttata per scopi di intelligence predittiva non solo sulle minacce, ma anche sui comportamenti, ad esempio, di software malevoli.
Valutazione del Rischio e Gestione Avanzata delle Vulnerabilità
I DT offrono una visione completa dell’intero sistema, consentendo di condurre una valutazione approfondita del rischio e una gestione efficace delle vulnerabilità. Simulando diversi scenari e testando diversi vettori di attacco sul DT, è possibile identificare proattivamente e mitigare quasi real-time le vulnerabilità individuate. Provando a pensare ad una applicazione concreata, un impianto produttivo ad esempio, è caratterizzato da molti asset con diversi componenti hardware e software, di natura open-source o commerciale, che provengono spesso da vendor differenti e che vengono utilizzati dagli OEMs nei loro prodotti finali. La responsabilità dell’asset di solito ricade sugli OEMs, ma di fatto spesso questi sono ciechi sul software che alimenta i loro prodotti e sulle vulnerabilità degli stessi.
I DT possono fornire visibilità sul software che guida i dispositivi, esponendo non solo la loro intera struttura (SBOM, hardware BOM, ecc.), ma anche le caratteristiche e il contesto in cui operano (elenco accurato di pacchetti, versioni e licenze, fino alle architetture sottostanti e ai sistemi operativi, interfacce esposte, configurazioni).
L’intera catena di approvvigionamento diventa quindi trasparente per tutte le parti coinvolte: OEM, fornitori, auditor di terze parti e autorità di regolamentazione, consentendo una migliore collaborazione e quindi un maggiore controllo del rischio.
Simulazione Attacchi Avanzati
I DT offrono un ambiente sicuro e controllato per la formazione sulla cybersecurity permettendo ad esempio l’esecuzione di attività di Penetration Test o Red Teaming avanzate. Simulando attacchi informatici sul DT, i professionisti cyber possono esercitarsi nelle procedure di risposta agli incidenti, testare l’efficacia delle misure di sicurezza e formare i dipendenti su come riconoscere e rispondere alle diverse minacce informatiche.
Fast Incident Response & Recovery
In caso di un incidente di sicurezza informatica, i DT possono accelerare il processo di risposta agli incidenti e recovery. Simulando l’impatto dell’incidente sul DT, i team cyber possono valutare rapidamente le conseguenze potenziali, sviluppare piani di risposta e testare strategie di ripristino. Ciò consente una rapida presa di decisioni, riducendo il tempo per contenere e rimediare all’incidente, e minimizzando l’impatto complessivo sul sistema fisico. I DT possono inoltre supportare nell’analisi forense, fornendo dati preziosi per le indagini post-incidente.
Ambienti di Sviluppo e Test Sicuri
I DT possono fungere da ambienti sicuri per lo sviluppo e per i test di nuove soluzioni e tecnologie cyber. Creando una replica del sistema di interesse in un DT, gli esperti cyber possono testare in modo sicuro sia l’efficacia di nuove misure di sicurezza valutando l’impatto sulle prestazioni del sistema sia testare ad esempio delle patch prima della loro applicazione per verificare la risposta del sistema azzerando quasi del tutto il rischio di inoperatività. Questo ambiente “sandbox” riduce il rischio di interruzioni del sistema operativo durante i test, consentendo una valutazione completa delle soluzioni di sicurezza prima della loro implementazione.
Miglioramento della Collaborazione e della Comunicazione
Infine, i DT possono contribuire a migliorare la collaborazione, la comunicazione tra i team cyber, i reparti IT e gli altri stakeholder. La rappresentazione virtuale del sistema consente una visualizzazione efficace e la condivisione di informazioni correlate alla sicurezza, facilitando le discussioni e promuovendo una comprensione comune dei rischi potenziali e delle strategie di mitigazione. Questa collaborazione garantisce che le considerazioni sulla cybersecurity siano integrate nelle iniziative generali di trasformazione digitale e favorisce misure proattive di sicurezza informatica in tutta l’organizzazione.
I rischi e i vantaggi in ambito cyber legati all’utilizzo dei DT e analizzati brevemente, permettono di ribadire ancora una volta quanto sia cruciale avere una strategia di sicurezza informatica a partire dalla fase di design di un DT passando per tutto il suo ciclo di vita, fino alla sua dismissione.
Sicuramente una delle sfide nell’utilizzo della tecnologia DT sarà l’integrazione senza soluzione di continuità con le infrastrutture di sicurezza esistenti. Le organizzazioni devono assicurarsi che il loro ambiente di DT sia in linea con gli strumenti, le tecnologie e i protocolli di sicurezza utilizzati. Ciò include l’integrazione con i sistemi di gestione delle informazioni e degli eventi di sicurezza (SIEM), i sistemi di rilevamento e prevenzione delle intrusioni (IDPS) e altri controlli di sicurezza. Una strategia di integrazione coesa è fondamentale per garantire l’efficacia ed efficienza delle operazioni di sicurezza informatica all’interno dell’ambiente di DT.
Ancora l’implementazione di controlli di accesso rigorosi, meccanismi di crittografia e tecniche di anonimizzazione dei dati può contribuire a proteggere le informazioni sensibili all’interno del DT. È fondamentale stabilire canali di comunicazione sicuri e meccanismi di autenticazione robusti per prevenire accessi non autorizzati e manomissioni dei dati.
L’utilizzo dei DT per la sicurezza informatica richiede poi conoscenze e competenze specializzate: bisogna investire nella formazione dei team cyber. Ciò include la comprensione delle complessità della tecnologia del DT, delle tecniche di analisi dei dati, della modellazione delle minacce e della risposta agli incidenti all’interno dell’ambiente di DT. Programmi di formazione continua e opportunità di sviluppo professionale sono cruciali per garantire che i professionisti della sicurezza informatica siano dotati delle competenze necessarie per proteggere e mettere in sicurezza gli ecosistemi dei DT.
Infine, il successo della sicurezza informatica dei DT si basa sulla collaborazione e la condivisione delle informazioni tra organizzazioni, fornitori di sicurezza informatica ed esperti del settore. Creare forum di collaborazione, condividere le migliori pratiche e condurre ricerche congiunte può migliorare la conoscenza collettiva e la comprensione della sicurezza informatica dei DT. Costruire solide partnership e favorire una cultura di collaborazione all’interno della comunità di sicurezza informatica contribuirà allo sviluppo di soluzioni innovative e strategie di difesa efficaci contro le minacce informatiche in continua evoluzione.
Concludendo, i DT, come tecnologia emergente, sono un ambiente digitale in cui i dispositivi fisici, il software, il firmware e le interazioni tra di essi vengono accuratamente replicati in forma digitale. Questo articolo ha cercato di esplorare in maniera riassuntiva le sfide e le opportunità per la sicurezza informatica dei sistemi cyber-fisici che sono create o amplificate dalla tecnologia dei DT, con l’intento di stimolare la discussione e la riflessione sui benefici, le sfide per l’implementazione sicura della tecnologia DT e i possibili utilizzi della stessa in ambito cyber.
Articolo a cura di Mariacristina Bringheli
Profilo Autore
Mariacristina è una Cyber Security Manager con oltre 5 anni di esperienza in ambito IT ed OT. Ha lavorato in diversi contesti internazionali, inclusi Stati Uniti e Medio Oriente, interagendo con una vasta gamma di clienti e fornendo supporto nella definizione e implementazione di strategie integrate di sicurezza informatica. Negli ultimi anni, nell’area Emerging Technology di Deloitte Risk Advisory, si concentra sulle tematiche cyber legate alle tecnologie emergenti, con focus sulla sicurezza OT e IIoT, e ha acquisito una conoscenza strutturata e approfondita diversi processi produttivi e delle minacce informatiche che li prendono di mira, in particolare in ambienti complessi e fortemente interconnessi. La sua esperienza e competenza si estendono anche alla valutazione dei rischi informatici e alla protezione delle infrastrutture critiche. Inoltre, grazie al suo coinvolgimento in diversi progetti focalizzati sulla gestione delle crisi informatiche e l’esecuzione di simulazioni ed esercitazioni con CEO e Top Management, ha sviluppato competenze nella gestione di crisi cyber a livello strategico, tattico e operativo.
Quando si sente parlare di Tor, o meglio, del Tor-browser, si pensa immediatamente a uno strumento legato alla malavita, all’illecito, al terrorismo. Eppure, il progetto è portato avanti da una organizzazione non-profit che ha sede a Seattle, stato di Washington, USA.
È una cosiddetta organizzazione 501(c)(3), che agisce cioè con il beneficio di essere esente da tasse federali e risulta essere una dei 29 tipi di organizzazioni non-profit che operano negli Stati Uniti. 501(c)(3).
Nel passato ha avuto molti sponsor illustri – come EFF e Mozilla – ma dobbiamo osservare che è finanziata dallo Stato americano e numerose altre organizzazioni non governative e non-profit, anche non americane, nonché da singoli individui; tutto ciò nonostante la NSA abbia dichiarato di non essere capace di determinare l’identità di tutti gli utenti di Tor tutte le volte; tuttavia sembrerebbe che riesca a decifrarne le comunicazioni.
IL PROGETTO TOR
Il nome Tor viene spesso usato in modo impreciso. Tor sta per “The Onion Router” e si riferisce al software open-source che permette comunicazioni anonime usando una rete “overlay”, spesso chiamata ancora Tor, gratuita ed estesa su tutto il mondo, ed operata su base volontaria. L’intero prende il nome di progetto Tor portando dunque a creare confusione, essendo il termine usato in tre contesti differenti.
Figura 1. Schema logico di funzionamento della rete Tor
L’obiettivo del progetto è quello di costruire e gestire una rete overlay, consentendo agli utenti di connettersi a server, normalmente raggiungibili attraverso Internet, in pieno anonimato.
Ciò viene ottenuto attraverso la cooperazione di diversi “relay”, diffusi in tutto il mondo, che contribuiscono alla creazione e funzionamento della rete overlay. Una descrizione qualitativa è mostrata in Figura 1. L’utente che usa il Tor-browser si trova sul cosiddetto Tor client ed usa tre relay generati scegliendoli casualmente nell’insieme di tutti i relay (circa settemila).
I tre scelti, noti solamente al Tor-browser, prendono il nome di guardia, centro e punto di uscita (in figura, entry guard, middle relay ed exit relay). Tutto ciò viene fatto per consentire al client di connettersi con la destinazione, transitando attraverso guardia, centro e punto di uscita (nell’ordine).
La sequenza di relay è ordinata dalla guardia al punto di uscita e contribuisce a definire il circuito (relay circuit), costituito appunto dal Tor client, la guardia, il centro, il punto di uscita e la destinazione.
L’unico soggetto che conosce completamente il circuito è il Tor client, mentre gli altri conoscono solo il punto precedente ed il successivo (se esiste): ciò per garantire l’anonimato. Infatti, nelle registrazioni presso la destinazione, dette file di log, apparirà solo una visita che sembra provenire dal punto di uscita.
Nel Tor-browser, che costituisce in pratica il Tor client, è disponibile la funzione “nuovo circuito per questo sito”, nel caso l’utente, per qualche ragione, desideri un circuito differente (la guardia non può cambiare). La funzione consente di generare istantaneamente un nuovo circuito per la stessa destinazione, avente la stessa guardia.
Figura 2. Esempio di circuito composto da un relay in Germania, uno in Romania e un altro ancora in Germania. La destinazione vedrà dunque una visita proveniente dalla Germania.
In Figura 2 si mostrano le informazioni di circuito relate al sito https://www.corriere.it/. Si nota il pulsante su sfondo blu che permette di generare un nuovo circuito.
Figura 3. Nuovo circuito per il sito www.corriere.it.
Una volta richiesto e ottenuto un nuovo circuito, questo si rivelerà essere come mostrato in Figura 3; il nuovo punto di uscita si troverà dunque in Austria. Non molti sanno che si può agire sulla scelta del punto di uscita, configurando in maniera particolare il file torrc, che permette di esprimere alcune preferenze, come appunto una lista di paesi ai quali debba appartenere il punto di uscita, ottenendo il risultato di visitare la destinazione come se ci si trovasse in uno dei paesi elencati.
Ancora dalla Figura 1 si può notare che le informazioni trasmesse/ricevute dal client mentre queste si trovano all’interno della rete Tor sono cifrate, mentre non è detto che lo siano le conversazioni fra il punto di uscita e la destinazione. Questo punto sarà meglio sviluppato nella prossima sezione.
LA CIFRATURA TELESCOPICA DI TOR
La parte di circuito dal client fino al punto di uscita è protetta da una cifratura, ad opera del software che realizza la rete Tor. Diverso è il discorso per l’ultimo tratto, fra il punto di uscita e la destinazione: se il collegamento (meglio: la URL) inizia con http questo sarà in chiaro, se invece inizia con https questo sarà cifrato, ma non per opera di Tor, ma grazie al protocollo TLS che la destinazione ha ritenuto di attivare. Il circuito sarà dunque completamente cifrato, in alternativa alla cifratura offerta da Tor fino al punto di uscita, ma ciò dipende solo dalla destinazione.
Figura 4. Modello di cifratura simmetrica
Per meglio descrivere la cifratura operata da Tor, ricordiamo il modello generale della cifratura simmetrica. Si osservi la Figura 4, in cui si mostra un testo in chiaro (plaintext) che grazie a un algoritmo di cifratura simmetrico viene trasformato in testo cifrato (ciphertext). L’algoritmo di cifratura, oltre a prendere in input il plaintext, riceve anche una chiave, che possiamo pensare come sequenza casuale di qualche centinaio di bit (128 e 256 molto usati). Dalla parte opposta c’è un algoritmo di decifratura che prendendo in input il ciphertext, e la stessa chiave, restituisce in output il plaintext.
La cifratura si dice simmetrica perché si usa la stessa chiave per cifrare e decifrare; altrimenti si definirebbe asimmetrica.
Naturalmente la chiave deve essere mantenuta segreta, ma condivisa fra le due parti: la sicurezza ai fini della confidenzialità sta nella segretezza della chiave mentre algoritmo usato e altri parametri possono essere pubblici.
Indichiamo il client con C, la guardia con Rin, il centro con Rc, il punto di uscita con Rout e la destinazione con D. All’inizio delle operazioni C concorda, rispettivamente, una chiave kin con Rin, kc con Rc e kout con Rout. Le informazioni trasmesse da C sono cifrate dapprima con kout, ottenendo un ciphertext, quindi cifrate di nuovo con kc, ottenendo un altro ciphertext e infine cifrate con kin, ottenendo un terzo ciphertext, che è quello che viene effettivamente trasmesso.
Si noti che se D prevedeva protocollo https, prima di cifrare con kout si sarebbe proceduto a cifrare i dati attraverso le primitive del protocollo standard TLS. Ignorando la questione se TLS sia presente o no, abbiamo tre livelli di cifratura annidati, operati dalla rete Tor e in particolare ricevuti dalla guardia. All’arrivo del ciphertext presso la guardia questa, che conosce kin, l’ultima chiave usata per la cifratura multipla, può operare un livello di decifratura e inviare il ciphertext risultante al centro, che riceverà una sua volta un ciphertext recante cifratura a due livelli e che può decifrare con kc e inviare il ciphertext risultante al punto di uscita, che riceverà dunque un ciphertext con cifratura ad un solo livello e che potrà decifrare con kout.
Dunque, nel caso di https, dobbiamo aggiungere ai livelli appena usati un ulteriore livello di cifratura, dato da TLS. Il processo è illustrato in Figura 5, che mostra appunto il modello di cifratura telescopica usato da Tor.
Per il pubblico più tecnico aggiungiamo che le connessioni di rete che consentono l’invio lungo il circuito dei ciphertext descritti usano il protocollo TLS e quindi un ulteriore livello di cifratura la cui presenza non impatta sula cifratura telescopica e che è noto a tutti i sistemi operativi. Tor esegue cifratura basata su AES, famoso standard scelto dal NIST.
Concludendo, la cifratura descritta consente confidenzialità, inoltre vari accorgimenti aiutano i circuiti a funzionare (ogni relay può partecipare a vari circuiti) senza rivelare dettagli sull’intero circuito. Il miglior utilizzo del Tor-browser è quello con https. Un’ottima pagina che mostra come Tor funziona con/senza https è quella di EFF: https://www.eff.org/pages/tor-and-https. Alcuni usano Tor solo con una VPN, che mette in sicurezza il collegamento fra client e guardia.
L’IMPORTANZA DELL’ANONIMATO
Abbiamo in mente almeno tre scenari d’uso in cui l’anonimato proteggerebbe gli utenti di un browser. Nel primo pensiamo a tutti coloro che sono sottoposti a censura e non hanno libertà di espressione. L’essere anonimi consente loro di accedere a reti sociali e più in generale ad Internet senza rivelare la propria identità. Infatti, ogni volta che facciamo l’azione di visitare una pagina web questa lascia delle tracce.
Nei file “di log” del server web ci saranno delle linee che descrivono data e ora dell’azione, tipo di azione, indirizzo IP di chi ha eseguito l’azione. Nel peggiore dei casi le pagine conterranno elementi invisibili destinati a tracciare e profilare l’utente (generalmente a scopo commerciale) che aiutano molto nell’identificazione dell’utente.
Il Tor-browser contrasta tali azioni, lasciando tracce falsate e l’IP del punto di uscita.
È vero che la lista dei Tor relay è pubblica, per cui il server web si accorgerà che la visita è stata fatta attraverso Tor, ma non ci saranno altri elementi che aiuteranno a identificare l’utente. Per motivi che saranno discussi in seguito, alcuni server web, riconoscendo un accesso proveniente da Tor, si rifiutano di erogare il servizio, negando la pagina all’utente.
Un secondo scenario è quello di un utente “normale,” che effettua un comune uso del web: per prevenire il tracciamento e la profilazione, che lo condanneranno a subire certe pubblicità che risulterebbero più efficaci in base ai suoi interessi e ai comportamenti passati, si ricorre all’uso del Tor-browser, che, come detto, aiuta a contrastare la profilazione (incluso il browser fingerprinting).
Il terzo è un tipo scenario della business intelligence, ove l’utente lavora in qualche organizzazione e magari effettua OSINT sul web per determinare comportamenti e strategie dei concorrenti. Come detto, le azioni svolte dall’utente lasciano tracce, per cui l’organizzazione concorrente troverebbe nei log gli accessi effettuati e ne trarrebbe conseguenze, facendo la visita dell’utente inquinare lo scenario di indagine OSINT. Con l’uso del Tor-browser si riduce o si annulla tale rischio, ottenendo dunque uno strumento utile ai fini di intelligence.
Esistono ulteriori scenari, fra i quali l’uso del Tor-browser da parte di criminali e terroristi, che hanno evidentemente l’interesse a celare le proprie tracce. Questa è la ragione per cui molte organizzazioni non vogliono l’uso di Tor e bloccano sia le visite provenienti da Tor sia gli accessi al sito web del progetto. Quindi esiste una percezione, giustificata dall’uso non etico di Tor, che spinge alcune organizzazioni a bloccare Tor. Un po’ come bloccare la produzione di pistole perché potrebbero essere usate con intenti non etici.
IL TOR-BROWSER
Ne abbiamo già parlato. Vale la pena precisare che si può scaricare dal sito del progetto, oltre che da numerose altre fonti, e che viene costruito, e aggiornato frequentemente, a parte da una versione “recente” di Mozilla Firefox (non l’ultima); talvolta ciò crea un problema sulla piattaforma in uso che “vede” erroneamente due istanze in esecuzione di Firefox. Si tratta in entrambi i casi di software open-source.
Il Tor-browser richiede, ai fini dell’anonimato, un uso accorto, che vede l’utente fare clic con cautela. In particolare, molti attacchi volti a de-anonimizzare l’utente, si sono basati sul fatto che, in corrispondenza a certi clic, il browser aziona automaticamente altri programmi, che magari si connettono a Internet autonomamente (senza usare Tor quindi) e finiscono con il rivelare il vero indirizzo IP dell’utente.
Questo avveniva specialmente nel passato, mentre oggi tali automatismi in genere non si verificano. È comunque buona pratica, all’installazione del Tor-browser, fare “un giro” attraverso le sue preferenze (command + ‘,’ sul Mac, non abbiamo ora sottomano una macchina Windows); è una cosa che si fa una volta sola, ma che fornisce grande aiuto per il corretto funzionamento dello strumento e soprattutto senza sorprese.
Altra cosa che c’è da sapere è che il Tor-browser può essere scaricato senza installatore (si parla di “bundle”), poi messo su una penna USB. Può essere eseguito direttamente dalla penna, utile nel caso non si posseggano diritti di fare l’installazione.
Il Tor-browser può essere usato come un normalissimo browser, tutta via, a causa del fardello costituito dalla overlay network e la cifratura telescopica, risulta essere un po’ lento. In presenza di buona connessione la sua velocità è ancora accettabile, ma per download, torrent e video streaming è totalmente (se non proibitivamente) inefficiente.
È vero che possiamo usare il Tor-browser come un normale browser, ma le sue impostazioni di sicurezza faranno sì che alcune pagine non vengano mostrate correttamente. Questa è la ragione per cui qualunque utente Tor ha a disposizione anche un browser tradizionale.
HIDDEN SERVICE AND DARK NET
Si parla oggi molto della dark net, o dark web. Facciamo un po’ d’ordine. Il web che tutti conoscono, indicizzabile da Google o da altro motore di ricerca, viene chiamato “web di superficie”. Questo perché esiste un web molto più ampio chiamato “deep web” e costituito da tutte quelle pagine web che non possono essere raggiunte da un motore di ricerca (perché occorre una password, o esiste un divieto, o qualunque altro motivo). Il dark web è una parte del deep web (in quanto non raggiungibile dai normali motori di ricerca). Ma in cosa consiste?
Abbiamo visto che l’utente del Tor-browser si trova a creare un circuito che passa attraverso tre relay per raggiungere la sua destinazione. Similmente, il proprietario di un sito web, può decidere di costruire un circuito per far raggiungere il proprio sito. In tal caso il sito risulta nascosto (non ne conosciamo l’IP), viene chiamato hidden service, e si fa riconoscere da un indirizzo incomprensibile per i normali browser, che termina con .onion, ma che viene perfettamente riconosciuto dal Tor-browser. In Figura 6 ne è mostrato un esempio.
Figura 6. Sito web “hidden” di Facebook, per consentire l’accesso anonimo.
Come si può vedere si ottiene un circuito più lungo sequenziando i due circuiti (meglio, i loro relay), ottenendo un circuito di lunghezza otto di cui non si conoscono i dettagli relativi al sito hidden che si visita. In tal modo si possono esportare servizi web in pieno anonimato: il servizio hidden è nascosto nella rete e l’insieme dei servizi hidden costituisce il dark web.
Muoversi nel dark web richiede la conoscenza dei relativi indirizzi, oltre che all’uso del Tor-browser. Questi indirizzi, per ragioni di sicurezza, variano molto nel tempo: così è frequente trovare l’indicazione di indirizzi nel dark web che non sono invece funzionanti. Non c’è nulla di cui stupirsi. A suo tempo, il proprietario del servizio ha probabilmente divulgato il nuovo indirizzo in qualche modo, anche pubblicandolo all’interno di qualche improbabile forum, magari sul web di superfice.
Ad ogni modo, esistono motori di ricerca specifici per il dark web, come ad esempio il Torch Search Engine (v. Figura 7). L’utilizzo di un motore di ricerca per il dark web può facilmente convincere l’utente della soverchiante presenza di siti illegali nel dark web; eppure, i siti hidden totalmente etici sono comunque tanti. Ecco una lista di altri motori di ricerca per il dark web: Ahmia, Onion Search Engine, Candle, The Uncensored Hidden Wiki, TorLinks, HayStack, TorDex; i rispettivi indirizzi (onion o tradizionali) sono stati aggiornati recentemente con il passaggio a una nuova versione di Tor, per cui occorre un po’ di tempo e motivazione per ritrovarli.
Figura 7. Esempio di motore di ricerca per rete Tor.
CONCLUDENDO
Molte organizzazioni sono a favore dei diritti digitali e della privacy, a partire da EFF e Mozilla. Invero, ne esistono altre, oltre ad alcune che dicono di difendere la privacy (come Apple). Eppure, a guardare il loro comportamento, la cosa non sembra. Apple, ad esempio, negli smartphone realizza una configurabilità e un controllo delle connessioni assai più debole di quanto fa su computer desktop e portatili. Per non parlare del fatto che lo smartphone contiene molti più dati di quello che pensiamo (quasi ogni nostro respiro) ed è pronto a cederli alle varie app se noi incautamente autorizziamo l’operazione, descritta in termini molto più aulici.
Un discorso collegato è la privacy della e-mail. È vero che viene trasmessa e ricevuta attraverso connessioni oggi cifrate, ma, considerando i vari intermediari (o agenti) che partecipano al processo di consegna della posta, loro, così come il server destinatario, hanno memorizzato il messaggio in chiaro, realizzando un sistema che non impiega cifratura end-to-end, ma potremmo dire, inventando il termine, next-to-next.
L’utilità di Tor è legata al numero di relay. Oggi sono circa settemila; sul sito del progetto è possibile visionare statistiche e serie storiche. Tanti più utenti decideranno di usare Tor, quanto più questo sarà maggiormente sicuro, e pronto ad accompagnare ogni utente in un viaggio anonimo, al contrario della modalità anonima dei browser che non consente di nascondere il proprio IP.
Esistono oggi molti servizi su Tor, come reti sociali, e-mail, chat, forum, blog, che funzionano all’insegna dell’anonimato totale. Inoltre, sono disponibili alcune distribuzioni linux che eseguono qualunque connessione di rete usando Tor, proteggendo l’anonimato qualunque uso si faccia di ogni applicazione. Tali distribuzioni risultano essere piuttosto apprezzate per lo svolgimento di attività forensi, test di sicurezza, intercettazioni di rete ed altro, proteggendo l’anonimato dell’utente.
Articolo a cura di Fabrizio D’Amore
Profilo Autore
Romano, docente di Cybersecurity alla Sapienza Università di Roma. Ha trascorso periodi di studio e ricerca all’estero (Zurigo, Buenos Aires, Berkeley, UMIACS a College Park Maryland). Insegna inoltre corsi di crittografia, sicurezza delle informazioni, sicurezza applicativa e steganografia presso alcuni master ed altre iniziative di alta formazione. Direttore del master di 2° livello in Sicurezza delle informazioni e informazione strategica, in collaborazione con il DIS. Svolge attività di verificatore e di consulente tecnico di parte. Referente scientifico di contratti di ricerca applicata, studio e analisi fra università ed enti istituzionali e privati. Dal 2015 la sua attività di ricerca si concentra sul campo della steganografia/watermarking, sicurezza del software (antiplagio), cybersecurity del volo aero civile e delle infrastrutture, modelli di autenticazione, protezione dei dati & privacy e OSINT.
Il potenziamento della cooperazione internazionale in materia di cybercrime e prove elettroniche
INTRODUZIONE
Evento centrale del semestre di Presidenza Italiana del Consiglio d’Europa, il 13 maggio 2022 si è tenuta a Strasburgo, alla presenza del Ministro della Giustizia Marta Cartabia, la cerimonia di apertura per la firma del Secondo Protocollo Addizionale alla Convenzione di Budapest.
La Convenzione – trattato internazionale di riferimento per l’azione di autorità giudiziarie e forze dell’ordine in materia di cybercrime – si è quindi arricchita di ulteriori, importanti strumenti operativi per ottenere accesso a prove elettroniche in differenti giurisdizioni in modo rapido ed efficiente, anche tramite la cooperazione diretta con i service provider stranieri o la trasmissione di dati e informazioni in situazioni di emergenza.
Allo stesso tempo, il Secondo Protocollo garantisce un forte sistema di salvaguardie e condizioni che tutelano i diritti fondamentali degli individui eventualmente coinvolti nelle attività investigative, inclusa la protezione dei dati personali nel momento in cui questi, per esigenze investigative, debbano essere trasferiti da un Paese all’altro.
Il Protocollo è il risultato di oltre 4 anni di negoziazioni coordinate dal Consiglio d’Europa, che hanno coinvolto 75 nazioni per un totale di oltre 600 contributi. Nella stessa giornata in cui è stato dichiarato aperto, oltre 20 Paesi hanno proceduto alla sottoscrizione del Protocollo, primo tra i quali l’Italia.
Nel presente contributo è inquadrato il contesto di questo nuovo strumento legale internazionale e i suoi elementi qualificanti per una cooperazione internazionale più efficiente in materia di cybercrime e prove elettroniche. Viene poi analizzato un caso di studio relativo all’accesso alle informazioni di registrazione di un nome di dominio (ex WHOIS).
LA CONVENZIONE DI BUDAPEST E I PROTOCOLLI ADDIZIONALI
La Convenzione sul Cybercrime (ETS N. 185) venne aperta per la firma e la ratifica nel 2001 a Budapest. Da allora ha rappresentato il primo – e unico, ad oggi – trattato internazionale su criminalità informatica e prove elettroniche.
La Convenzione fornisce strumenti di diritto sostanziale, diritto procedurale e cooperazione giudiziaria internazionale per indirizzare il fenomeno del cybercrime secondo schemi operativi condivisi, con il triplice obiettivo di:
definire un gruppo di condotte illecite comuni da criminalizzare come reati;
identificare le procedure per la cooperazione tra forze dell’ordine e settore privato;
istituire dei meccanismi di accesso transfrontaliero a prove elettroniche da parte delle autorità giudiziarie, che preservi i diritti fondamentali delle persone e garantisca l’applicazione delle norme dello Stato di diritto.
Ad oggi sono 66 i Paesi membri della Convenzione di Budapest, mentre altri 13 si trovano all’ultimo step prima della ratifica. Secondo recenti studi, sono comunque più di 120 i Paesi che utilizzano la Convenzione come standard di riferimento per le norme di diritto sostanziale e procedurale applicate nel contesto del cybercrime e della prova elettronica. Numeri cresciuti sensibilmente nell’ultimo quinquennio, anche grazie all’intensa attività di capacity building condotta dal Consiglio d’Europa e supportata dall’Unione Europea.
Quello aperto per la firma il 12 maggio è il Secondo Protocollo Addizionale, che si aggiunge quindi al Primo, concernente la criminalizzazione di atti di razzismo e xenofobia online, redatto e aperto per la firma in parallelo con la Convenzione (nel 2001).
I Protocolli Addizionali costituiscono delle estensioni della Convenzione, con un numero di previsioni addizionali che vanno a giustapporsi agli articoli della Convenzione e che quindi non ne alterano né la sostanza, né la validità operativa. Vanno pertanto intesi come strumenti supplementari che si aggiungono a quelli stabiliti dalla Convenzione di Budapest.
IL SECONDO PROTOCOLLO ADDIZIONALE PER IL RAFFORZAMENTO DELLA COOPERAZIONE INTERNAZIONALE IN MATERIA DI CYBERCRIME E PROVE ELETTRONICHE
Il Secondo Protocollo Addizionale prende le mosse da due considerazioni di scenario:
in prima battuta, come riscontrato anche da studi condotti dalla Commissione Europea, le prove della quasi totalità dei crimini commessi – non solo di natura cyber, ma anche di tipo fisico – è incrementalmente prodotta e archiviata in forma elettronica, su sistemi che si trovano in giurisdizioni straniere o in località non identificabili, come avviene sempre più spesso nel caso dei sistemi cloud;
risulta poi necessario rendere più efficiente la cooperazione internazionale tra Stati e settore privato, in particolar modo garantendo un quadro più chiaro sulla certezza del diritto per i fornitori di servizi su Internet, nel caso in cui debbano decidere se e come rispondere a richieste dirette di accesso a prove elettroniche provenienti da forze dell’ordine di altre giurisdizioni.
In considerazione di quanto sopra il Comitato della Convenzione di Budapest (T-CY), in cui siedono tutti i Paesi membri, ha avviato già nel 2015 un gruppo di studio sull’efficacia delle procedure di cooperazione internazionale previste nella Convenzione e, sulla base delle evidenze riscontrate, ha deliberato nel 2017 circa l’opportunità di non emendare la Convenzione ma di introdurre misure addizionali, avviando contestualmente le negoziazioni per il Secondo Protocollo Addizionale, conclusesi nel 2021 con il testo adottato dal Consiglio d’Europa, aperto per la firma e la ratifica nel mese di maggio 2022.
Il cuore operativo del Protocollo è costituito da un numero consistente di articoli divisi in sezioni, ciascuna delle quali focalizzata su un ambito specifico:
procedure per il potenziamento della collaborazione diretta con fornitori di servizio e ulteriori entità di altri Paesi, nello specifico l’acquisizione di informazioni sulla registrazione di nomi di dominio e l’accesso alle informazioni di registrazione degli utenti;
procedure per il potenziamento della cooperazione internazionale tra autorità competenti per l’accesso a dati in altre giurisdizioni, nello specifico le condizioni di obbligatorietà a dare seguito alle richieste di perquisizione e confisca dei dati provenienti da altri Paesi nonché le procedure per la collaborazione sull’accesso ai dati in caso di emergenza;
procedure per l’assistenza mutua tra autorità competenti in situazioni di emergenza;
procedure per la cooperazione internazionale in assenza di un quadro di accordi internazionali tra Stati che sia applicabile, in cui sono incluse le previsioni per la raccolta di testimonianze in videoconferenza e, di fondamentale rilevanza, le norme per costituire i gruppi congiunti di investigazione (JIT – Joint Investigation Team) e per la conduzione delle investigazioni congiunte;
norme per garantire la protezione dei dati personali nel corso di investigazioni transfrontaliere sul cybercrime, o che comunque includono l’utilizzo di prove elettroniche.
Non è negli scopi di questo articolo approfondire nel dettaglio ciascuna previsione ma, con l’obiettivo di illustrare la portata di questo nuovo strumento legislativo, si enucleeranno le caratteristiche principali di uno di essi: quello relativo all’accesso alle informazioni di registrazione dei nomi di dominio (Art. 6).
CASO DI STUDIO: LE INFORMAZIONI DI REGISTRAZIONE DEI NOMI DI DOMINIO NELLE INVESTIGAZIONI IN MATERIA DI CYBERCRIME
Il contesto operativo entro cui si collocano le previsioni dell’art. 6 del Secondo Protocollo Addizionale alla Convenzione di Budapest è quello dell’accesso, da parte di forze dell’ordine e autorità giudiziarie, alle informazioni che permettono l’identificazione del titolare di un nome di dominio Internet.
È questa un’informazione essenziale in particolare nella fase iniziale di un’investigazione in materia di criminalità informatica, quando le prime risultanze a disposizione sono spesso relative a nomi e indirizzi di siti Internet che siano stati usati – ad esempio – per condurre un attacco informatico (e.g. uso di botnet, phishing, ransomware, etc.).
Al momento della registrazione del nome di dominio presso il prestatore di servizi designato, ciascun titolare è obbligato a fornire un certo numero di informazioni che includono anche dati personali, quali il nome, l’indirizzo, l’indirizzo di posta elettronica e il numero di telefono. Tali informazioni sono conservate in un archivio digitale mantenuto dal prestatore di servizi.
Fino all’entrata in vigore del Regolamento Europeo in materia di Protezione dei Dati Personali (GDPR, 25 maggio 2018), tali informazioni erano rese disponibili dai prestatori di servizi di registrazione a chiunque ne facesse richiesta attraverso un servizio gratuito denominato WHOIS. In termini investigativi i casi d’uso per tale tipo di informazione sono molteplici, come ad esempio:
l’identificazione di un punto di contatto per uno specifico dominio;
la raccolta di informazioni preliminari sul possessore di un dominio;
l’identificazione di correlazioni e collegamenti con altri dominii che sono stati registrati con le stesse informazioni (e.g. lo stesso indirizzo email);
la determinazione delle azioni di cooperazione internazionale da attivare;
l’identificazione delle eventuali controparti da citare in giudizio;
l’utilizzo per supportare le richieste di mandati di perquisizione;
l’utilizzo come prova elettronica.
Tale pubblicazione su fonti aperte di dati personali, però, è stata considerata in molti Paesi in potenziale conflitto con i principi di protezione dei dati personali e per questo più volte criticata dalla comunità internazionale. L’entrata in vigore del GDPR poi, riconfermando il ruolo cardine di questi principi, ha introdotto un significativo regime sanzionatorio e accentuato i requisiti relativi al consenso.
In considerazione di questi elementi, l’ICANN ha emesso delle “Specifiche Temporanee” con le quali ha sospeso, nel maggio 2018, l’obbligatorietà per i prestatori di servizi di registrazione di rendere disponibili i dati personali dei titolari dei nomi di dominio tramite fonti aperte (e pertanto della loro disponibilità tramite servizio WHOIS) e ha avviato un percorso all’interno della propria comunità multi-stakeholder per la definizione di una nuova policy per il trattamento di dette informazioni da parte dei soggetti legittimati al loro utilizzo (incluse forze dell’ordine e autorità giudiziarie) con le relative soluzioni tecniche e organizzative.
Ad oggi, il percorso intrapreso da ICANN non si è ancora concluso e ogni richiesta di accesso alle informazioni di registrazione di un dominio è gestita dal singolo prestatore di servizi sulla base di considerazioni di opportunità e circostanza.
L’impatto della redazione delle informazioni reperibili tramite WHOIS su forze dell’ordine e altri utenti è tutt’oggi molto rilevante, sia in termini di informazioni effettivamente disponibili e sia dei tempi necessari per evadere una singola richiesta.
A prescindere dagli sviluppi dell’azione di ICANN sotto il profilo procedurale e tecnico, risulta comunque evidente la necessità di poter disporre di nuovi strumenti legislativi che consentano alle FDO di accedere a questo tipo di prove elettroniche (che spesso si trovano in giurisdizioni diverse da quella di appartenenza) e agli erogatori di servizi che le custodiscono di fornirle senza incorrere in violazioni della normativa vigente in materia di protezione dei dati personali.
L’ARTICOLO 6 DEL SECONDO PROTOCOLLO ADDIZIONALE ALLA CONVENZIONE DI BUDAPEST
L’art. 6 rientra nelle misure di cooperazione rafforzata introdotte dal Secondo Protocollo Addizionale e pertanto, come specificato nei principi generali (art. 5), tali procedure si applicano indipendentemente dall’esistenza o meno di un trattato di assistenza giudiziaria o di un accordo fondato su normative uniformi o reciproche fra le Parti interessate.
L’obiettivo è definire le basi legali e le procedure da adottare per la cooperazione diretta tra le autorità competenti di una Parte e un prestatore di servizi di registrazione di nomi di dominio nel territorio di un’altra Parte; e si pone in complementarità con le policy e le buone pratiche in corso di definizione nel contesto del governo di Internet.
Il primo paragrafo dell’articolo richiede a ciascuna Parte di adottare le necessarie misure per autorizzare le proprie autorità competenti a inviare una richiesta relativa a informazioni di registrazione dei nomi di dominio per identificazione o contatto del titolare. Si noti, inoltre, che non si richiede che il fornitore di servizi sia fisicamente presente nella giurisdizione verso la quale si effettua la richiesta ma solamente che esso fornisca i propri servizi su quel territorio.
La richiesta è inviata direttamente dalle autorità competenti al fornitore di servizi, senza pertanto passare attraverso l’autorizzazione o l’intermediazione delle autorità giudiziarie della giurisdizione di destinazione. L’esecuzione della richiesta – che può includere anche un’ingiunzione, se la normativa domestica lo consente – avviene però sempre solo
Il potenziamento della cooperazione internazionale in materia di cybercrime e prove elettroniche su base volontaria e non viene fornito alcun meccanismo di vigilanza sulla sua applicazione.
Specularmente a quanto previsto nel primo paragrafo, nel secondo si prevede che ciascuna Parte adotti le misure necessarie per consentire ai fornitori di servizi di registrazione dei nomi di dominio presenti sul suo territorio di rispondere a richieste a norma del paragrafo 1. Tale misura non è da intendersi come impositiva di un obbligo a fornire una risposta, che altresì può essere prodotta alle “condizioni ragionevoli previste dal diritto nazionale”; inclusa, ma non limitatamente a, la normativa sulla protezione dei dati personali.
Il Secondo Protocollo Addizionale pone un forte accento sul tema delle salvaguardie e del bilanciamento necessario tra protezione dei diritti umani e libertà fondamentali, imponendo condizioni che limitano sia lo scopo di applicazione sia la quantità di dati che possono essere trasmessi, perimetrando le condizioni di applicazione del potere procedurale secondo principi di necessità e proporzionalità.
RILEVANZA DELL’ARTICOLO 6 E PROSPETTIVE DI UTILIZZO
L’art. 6 del Secondo Protocollo Addizionale alla Convenzione risponde all’esigenza pressante di predisporre strumenti efficaci di cooperazione internazionale tra autorità inquirenti e settore privato, in un contesto di rilevante utilità e attualità per le indagini informatiche.
L’esistenza di un quadro legislativo di riferimento che abiliti le autorità competenti a richiedere le informazioni di registrazione dei nomi di dominio – nello scenario attuale, in cui tali informazioni non sono più disponibili su fonti aperte – è un fattore che si prevede possa incrementare sensibilmente l’efficacia delle investigazioni e della cooperazione tra le Parti che ratificheranno il Secondo Protocollo Addizionale alla Convenzione di Budapest.
La disposizione preserva, comunque, l’elemento di volontarietà della cooperazione tra autorità competenti e fornitori di servizi in un’altra giurisdizione, così riaffermando un principio base che questi 20 anni di vita della Convenzione hanno dimostrato in numerosissime occasioni: un’azione di contrasto realmente efficace ad un fenomeno in continua evoluzione e per sua natura cross-nazionale, come quello del cybercrime, può svilupparsi solo sulla base di una cooperazione forte e convinta tra le Parti, nonché tra autorità pubbliche ed entità private.
Articolo a cura di Matteo Lucchetti
Profilo Autore
Matteo Lucchetti è Direttore Operativo di Cyber 4.0, il Centro di Competenza nazionale ad alta specializzazione sulla cybersecurity, promosso e co-finanziato dal Ministero dello Sviluppo Economico. Fino ad Aprile 2021 è stato Programme Manager Cybercrime al Consiglio d’Europa, responsabile del programma Global Action on Cybercrime Extended (GLACY+), iniziativa globale di capacity building su criminalità informatica a supporto di entità governative, autorità giudiziarie e forze dell’ordine in Africa, America Latina, Asia-Pacifico. Precedentemente ha lavorato presso l’Agenzia della Commissione Europea sui Diritti Fondamentali, su temi di protezione dei dati personali nei programmi di surveillance, dopo una carriera di oltre dieci anni nel settore bancario italiano come esperto di cyber security e cybercrime. Matteo Lucchetti è membro dell’Advisory Board del Global Forum for Cyber Expertise (GFCE) e collabora con l’Unione Europea e altre organizzazioni internazionali come esperto in ambito cyber security e cybercrime.
Nelle intrusioni ransomware l’attaccante prende il controllo di un sistema ICT e chiede un riscatto per restituire la disponibilità e la confidenzialità delle informazioni memorizzate sul sistema. In dettaglio, l’attaccante cripta delle informazioni sul sistema attaccato e gli utenti potranno usare il sistema solo dopo aver pagato un riscatto per ottenere la chiave per decriptare. Una tipica richiesta di riscatto è quella mostrata in Fig. 1.
Fig. 1 – Richiesta di riscatto
Più in generale, l’attaccante può usare quattro azioni che − rispettivamente − bloccano, criptano, rubano o cancellano delle risorse del sistema. Le risorse attaccate possono essere file, folders, boot records o master file tables con indici per l’accesso ai file: l’ENISA riassume le azioni nell’acronimo LEDS (lock, encrypt, delete, steal). Il ransomware è la forma più innovativa e redditizia di crimine informatico. Da alcuni anni, ogni giorno alcuni sistemi sono attaccati da una variante di ransomware ed esistono moltissimi siti dedicati unicamente alla storia o alle statistiche su questo fenomeno.
A conferma della pericolosità del ransomware, alcune intrusioni ad ospedali hanno sicuramente provocato delle morti, rallentando o impedendo le cure di alcuni pazienti. A ulteriore conferma, più della metà delle ultime riunioni del Cobra, il comitato del governo inglese per la gestione delle crisi, è stata dedicata al ransomware. Nonostante questa attenzione, nei giorni scorsi la Royal Mail è stata colpita dal ransomware del gruppo Lockbit.
Una delle linee guida del lavoro è evidenziare le similitudini tra i modus operandi dei gruppi criminali (o gang) nell’ecosistema ransomware e delle ragioni per cui crescono e si arricchiscono. Queste similitudini sono alla base delle contromisure per combattere il fenomeno.
Un’ultima avvertenza è che molto spesso le vittime del ransomware non rendono pubbliche le intrusioni che le hanno colpite. Ciò riduce la significatività dei dati disponibili su intrusioni e riscatti presentati nel seguito o, meglio, suggerisce di usarle solo come stima ottimistica dei valori in gioco.
Riassumiamo ciò che caratterizza il ransomware rispetto ad altre forme di crimine informatico.
Prima del ransomware
Le intrusioni informatiche non legate al ransomware hanno come obiettivo il furto di informazioni o l’installazione di malware.
Le intrusioni per l’installazione di malware hanno come bersaglio le infrastrutture critiche. Di solito l’agente che le implementa è sponsorizzato da uno Stato, rappresentando una cosiddetta Advanced Persistent Threat (o APT) e il malware permette di manipolare e sabotare il funzionamento dell’infrastruttura.
Le intrusioni per furto di informazioni sono più complesse e hanno come ragione o lo spionaggio o la vendita delle informazioni ad altri. Nelle intrusioni per spionaggio, gli attaccanti sono sponsorizzati da Stati, eg. agenzie di intelligence, per acquisire informazioni utili a supportare le scelte dei decisori politici o proprietà intellettuale su tecnologie e prodotti legati alla sicurezza nazionale. Le informazioni sono sfruttate in trattative politiche o economiche, o ancora per riprodurre tecnologie e prodotti in industrie nazionali. Ad esempio, autorevoli esponenti US hanno descritto le intrusioni sponsorizzate dalla Cina come “il più grande furto di proprietà intellettuale del XX secolo”. Il furto di informazioni da parte di soggetti criminali mira a rivendere sul dark web la refurtiva: e.g. numeri di carte di credito, credenziali bancarie, documenti di identità e analisi mediche. Anche se gli Stati possono essere interessati a queste informazioni, il vero guadagno per i criminali proviene dalla vendita delle informazioni esfiltrate.
In tutte le intrusioni descritte, l’attaccante cerca di impedire che l’intrusione sia rilevata in modo da poter esfiltrare una maggiore quantità di informazioni, nonché per evitare che le informazioni rubate vengano invalidate e quindi perdano di valore. Ad esempio, un numero di carta di credito annullato perde immediatamente ogni valore: questo porta l’attaccante a preferire bersagli di media grandezza, i cui sistemi informatici memorizzano e gestiscono una ragionevole quantità di dati ma che non dispongono di strumenti sofisticati per la rilevazione di intrusioni. In questo modo, gli attaccanti conservano un vantaggio rispetto ai difensori. La redditività del furto di informazioni è ridotta perché la loro vendita sul dark web introduce un numero di intermediari per collocare le informazioni e impedire di risalire all’autore dell’intrusione. Un altro fattore che riduce la redditività del crimine è il numero elevato di intrusioni che hanno successo. Infatti, all’aumentare dei furti aumentano le informazioni in vendita − e.g. il numero delle carte di credito − e quindi ne diminuisce il valore. Storicamente, il valore del numero di una carta di credito si è ridotto fino a pochi dollari. Riassumendo: all’aumentare del numero di attaccanti diminuisce la redditività dei furti di informazione, anche se le vittime sono diverse.
Il diffondersi delle criptovalute ha mitigato in parte il problema della concorrenza tra attaccanti che si sono concentrati, seguendo l’esempio degli hacker di Stato della Corea del Nord, sul furto di criptovaluta.
Le innovazioni del ransomware
Un primo evento che ha facilitato la diffusione del ransomware è l’apparizione e diffusione delle criptovalute.
Questa innovazione ha inizialmente provocato il passaggio del crimine informatico dal furto di informazioni all’installazione di malware per il mining delle criptovalute. L’uso fraudolento di risorse altrui per il mining elimina la concorrenza tra attaccanti, che non devono più competere per vendere informazioni in qualche modo equivalenti. Inoltre, le criptovalute permettono di ridurre gli intermediari per far fruttare le informazioni.
Successivamente, il crimine ha affrontato la volatilità delle criptovalute che metteva a rischio sia la redditività che il capitale accumulato. Come reazione, ci si è concentrati sul far fruttare non le informazioni e le risorse delle vittime, ma la disponibilità delle informazioni. Se le informazioni diventano non disponibili, il primo a subire una perdita è il proprietario: quindi, se impediamo l’accesso alle informazioni, il loro proprietario sarà disposto a pagare per riottenerlo e non occorrerà trovare altri compratori. Anche questa strategia, come il mining, elimina la competizione tra attaccanti. Un modo di impedire l’accesso alle informazioni è di esfiltrarle e cancellarle; ma questo aumenta la complessità dell’intrusione, visto che l’esfiltrazione richiede tempo e può permettere di scoprire l’intrusione. Un modo relativamente semplice − ma estremamente potente di impedire l’accesso alle informazioni è criptarle. Inoltre, la crittografia asimmetrica permette di generare una coppia di chiavi sul sistema attaccato e di usare quella pubblica per cifrare tutte le informazioni necessarie per decifrare quanto criptato. La chiave privata viene esfiltrata e trasmessa a un altro sistema, controllato dall’attaccante. Ciò minimizza la quantità di informazioni da esfiltrare e trasforma la crittografia, uno degli strumenti più potenti di difesa dei sistemi, in uno strumento di attacco. Inoltre, non c’è necessità di nascondere l’intrusione che ha permesso di criptare perché il proprietario del sistema ne è ben cosciente.
Infine, la diffusione delle notizie sul successo delle intrusioni può convincere altri proprietari a pagare il riscatto per i loro sistemi che sono già stati attaccati o lo saranno. Se un attaccante, oltre a criptare le informazioni, riesce anche ad esfiltrarle può ricattare con più forza minacciando la loro divulgazione. La divulgazione può provocare ulteriori perdite per la pubblicazione di dati finanziari, di proprietà intellettuale o di informazioni personali o sensibili, con possibili violazioni delle leggi o del GDPR. Questo porta alla doubleextortion dove, dopo il pagamento del riscatto per rilasciare la chiave, l’attaccante può chiedere un nuovo riscatto per non divulgare le informazioni. Nei casi peggiori, la double-extortion si trasforma in n-extortion perché il ricatto si prolunga nel tempo. Ovviamente, intrusioni che prevedano double o n-extortion rendono inutile l’utilizzo di copie di backup dei dati.
Come tutte le intrusioni, anche quelle ransomware devono accedere inizialmente al sistema da attaccare. Per questo accesso, gli attaccanti possono usare soluzioni che vanno dalle email di phishing ai falsi update di una delle applicazioni utilizzate o ad attacchi che sfruttano le vulnerabilità del sistema. Questi attacchi sono lanciati da una infrastruttura d’attacco costituita da una botnet, una rete nascosta che connette nodi di terzi che il gruppo criminale ha creato attaccando in modo nascosto altri sistemi. Alcune versioni del ransomware si diffondono in modo autonomo, come carico utile di worm che sfruttano vulnerabilità che permettono attacchi remoti. Gang diverse possono usare soluzioni diverse per diffondere la stessa versione.
La minore complessità e la maggiore redditività contribuiscono a spiegare l’aumento esponenziale delle intrusioni ransomware e perché esse sono passate da strumento usato dagli Stati a strumento tipico della criminalità organizzata. Separare nettamente il mondo degli attacchi sponsorizzati da Stati da quelli della criminalità è comunque difficile, perché alcune realtà statali possono essere interessate ad acquistare le informazioni esfiltrate (o le organizzazioni possono offrirle gratuitamente per ottenere una copertura). Questo spiega la difficoltà delle collaborazioni internazionali mirate a catturare e processare le varie gang criminali.
Una breve storia
Generalmente, si assume che il ransomware sia apparso nel 1989 nella conferenza sull’AIDS dell’Organizzazione Mondiale della Sanità con la distribuzione di circa 20.000 floppy disk infettati con AIDS Trojan. Il malware si installava nel sistema dove veniva inserito il floppy e, dopo novanta boot, crittografava i nomi dei file. La vittima poteva ottenere la chiave per decriptare inviando 189 dollari a una casella postale a Panama. Era piuttosto facile neutralizzare il malware tramite strumenti di crittografia disponibili online.
Una prima evoluzione è avvenuta nel 2005, quando alcune gang hanno iniziato a utilizzare una crittografia asimmetrica che poteva essere invertita con una password di trenta cifre fornita dopo aver pagato il riscatto. Il codice di queste varianti era relativamente semplice e ciò permetteva agli strumenti antivirus di identificarle e analizzarle. Nel 2009 sono apparsi malware che sfruttavano le vulnerabilità nei plugin del browser scritti in Java. In altri casi, il virus veniva scaricato quando gli utenti cliccavano su alcuni malware trasmessi come allegati di posta elettronica. Un altro malware che attaccava singoli utenti è apparso nel 2010 e bloccava i sistemi Windows fino al pagamento di un piccolo riscatto. Negli stessi anni sono comparsi alcuni ransomware per Mac.
La comparsa di Cryptolocker nel 2013 ha portato numerose innovazioni. La principale è che l’accesso iniziale al sistema attaccato poteva usare o phishing tradizionale o attacchi lanciati dalla botnet Gameover Zeus.
Un’altra innovazione è stata l’adozione di chiavi RSA a 2048 bit, con un notevole aumento della complessità del cracking della crittografia. Il successo di CryptoLocker ha portato a un aumento significativo delle varietà di ransomware.
Nel 2015 sono apparsi ransomware di tipo locker, che impedivano l’accesso al sistema criptando risorse quali i boot record o le master file tables.
Nel 2016 sono apparse ulteriori varianti di ransomware, insieme ai primi fenomeni di ransomware-as-aservice (RaaS) nella forma ancora primitiva di una partnership in cui un gruppo di sviluppatori produce il malware e un gruppo di hacker lo usa nelle sue intrusioni. Altri eventi critici del 2016 e 2017 sono legati alla comparsa di Petya. Inizialmente, questo ransomware ha avuto meno successo di CryptoWall, che riutilizzava il codice di CryptoLocker, ma il 17 giugno 2017 è emersa la variante NotPetya, che si diffondeva sfruttando EternalBlue, un exploit che sfruttava una vulnerabilità di Windows scoperta dalla NSA e pubblicizzata da Wikileaks. NotPetya era diffuso da un worm che usava i sistemi già infettati per lanciare altri attacchi. Il worm si è diffuso in tutto il mondo partendo dall’Ucraina e la variante è stata responsabile di danni per 10 miliardi di dollari. Diversi governi occidentali hanno attribuito alla Russia − e in particolare al gruppo Sandworm del GRU − lo sviluppo del malware. A complicare ulteriormente l’analisi, NotPetya sovrascriveva con il malware per l’encryption il Master Boot Record di Windows. Ciò impediva di accedere ai file anche se fossero stati decriptati e quindi l’encryption non poteva essere invertita, considerato anche che il malware sul sistema attaccato non trasmetteva informazioni all’attaccante. Nella migliore tradizione di “it is not a bug but a feature”, non si è mai chiarito se ciò fosse un errore degli sviluppatori o se, come diversi analisti ritengono, l’obiettivo principale di NotPetya fosse quello di forzare a cancellare i file criptati per nascondere le tracce di altre intrusioni. Questa ipotesi è ancora più credibile alla luce dei numerosi attacchi wiper portati da Sandworm contro l’Ucraina. Scopo di un attacco wiper è cancellare definitivamente le informazioni su un sistema. Come discusso nel seguito, NotPetya ha prodotto una causa legale non ancora risolta tra alcune vittime e le loro compagnie di assicurazioni, che si sono concordemente rifiutate di rimborsare i danni dell’intrusione asserendo che l’attribuzione alla Russia provava che si trattasse di un atto di guerra, pertanto non coperto dalla polizza. Sempre nel 2017 è comparso WannaCry che, come notPetya, si è diffuso tramite EternalBlue. WannaCry ha causato danni per 4 miliardi di dollari e ha infettato circa 230.000 computer, che non erano aggiornati anche se Microsoft aveva rilasciato una patch due mesi prima.
L’intrusione più significativa è stata quella al sistema sanitario inglese che ha avuto successo nonostante pochi mesi prima diverse valutazioni del rischio cyber avessero segnalato le vulnerabilità nei sistemi attaccati e i rischi associati.
Nel 2018 la criminalità ha iniziato a produrre e utilizzare versioni di ransomware in grado sia di crittografare che di esfiltrare le informazioni. La strategia prevedeva l’uso delle due funzioni e la creazione di siti per pubblicizzare sia le notizie sugli attacchi che i dati esfiltrati, i cosidetti siti name-and-shame. Questa strategia, talvolta chiamata doxware o leakware, aumenta la pressione per il pagamento del riscatto ed è diventata molto popolare tra le gang. A sua volta, questa popolarità ha aumentato sia la visibilità che la diffusione del ransomware.
Nel 2020 RagnarLocker è stato il primo ransomware che usava macchine virtuali e sfruttava anche cartelle condivise per raggiungere i file ed eludere i meccanismi per rilevare le intrusioni.
Nel 2020 Maze è stato il primo caso noto di ransomware che esfiltrava dati sensibili per ricattare gli utenti.
Durante la pandemia del 2020, sono aumentati gli attacchi contro ospedali e centri medici ed è emersa una versione di ransomware chiamata Corona. Un’altra conseguenza della pandemia è stato un maggior sfruttamento di vulnerabilità in moduli per vpn, per ottenere l’accesso iniziale ai sistemi.
A partire dal 2020, le organizzazioni criminali hanno abbandonato la tecnica degli attacchi non mirati “spray and pray” e sono passate ad un “big-game-hunting” focalizzandosi su aziende più grandi che possono pagare riscatti più elevati, con il conseguente aumento dei loro profitti. Questa innovazione porta a un uso più diffuso di botnet come infrastrutture di attacco per stabilire un accesso iniziale a un sistema. Sempre nel 2021 il sistema sanitario irlandese è stato attaccato dal ransomware Conti, provocando il blocco delle prenotazioni e delle visite ma non delle vaccinazioni. Il sistema sanitario non ha pagato il riscatto di 20 milioni di dollari ma ha ottenuto comunque dalla gang la chiave per decriptare. Secondo molti, questa “buona azione” della gang è stata forzata dalle pressioni di altri gruppi criminali e del Cremlino. Il ripristino del normale funzionamento dei sistemi colpiti ha richiesto, comunque, alcuni mesi.
Articolo a cura di Fabrizio Baiardi
Profilo Autore
Full Professor, Università di Pisa E’ attualmente è professore ordinario di Informatica presso l’Università di Pisa dove coordina il gruppo di ricerca su ICT risk assessment and management. La sua attività di ricerca è focalizzata su strumenti e metodi formali l’automazione dell’analisi e la gestione del rischio.
CSI Linux: una Distro Linux per le investigazioni online
CSI linux è una distro linux che raccoglie tutti gli strumenti open source finalizzati alle attività di investigazioni online. Con 175 strumenti sta diventando un punto di riferimento strategico per questo tipo di attività. La distro CSI si basa sulla solida Ubuntu LTS, acronimo di long time support, fork di Debian, ormai la Ubuntu LTS è un punto di riferimento lavorativo di Canonical per server e workstation con un attenta analisi dei pacchetti prima di ogni aggiornamento proposto dalla community. Gli strumenti a disposizione per le analisi sono tutti preinstallati e pronti da utilizzare.
Il punto di riferimento del progetto è il sito web (https://csilinux.com/) dove ospita il blog e vengono trattati i diversi argomenti correlati alla mission della distro ovvero la digital forensics, incident response (DFIR) e l’OSINT.
Nella sezione del sito training il progetto CSI mette a disposizione risorse per la formazione in base al settore che si vuole specializzare con formazione finalizzata alle certificazioni più accreditate in circolazione. Nella parte di “publications” del sito si viene rimandati all’indirizzo (https://informationwarfarecenter.com/) dove sono presenti le cyber war publications, ovvero link utili e articoli riguardanti CVS e vulnerabilità note del momento.
L’attività di digital forensics a cui parte della distro è orientata, è un ramo della scienza forense che comprende il recupero e l’indagine del materiale trovato nei dispositivi digitali come recita wikipedia. La computer forensics è quindi l’analisi di dati digitali per raccogliere prove in un’indagine giudiziaria o una controversia legale. La digital forensic può essere utilizzata per recuperare dati da dispositivi di archiviazione per rilevare intrusioni nella rete informatica o per recuperare file eliminati. La digital forensic viene anche utilizzata per individuare attività illecite, come la pirateria informatica, l’hacking o la diffamazione online. Le attività principali della digital forensic includono:
Acquisizione delle prove: prevede la creazione di una copia forense del supporto dati sospetto, al fine di preservare ogni dato per la successiva analisi.
Analisi delle prove: l’analisi forense del supporto dati consente di estrarre dati critici e di comprendere come il sistema sia stato usato.
Interpretazione dei risultati: la valutazione dei dati raccolti fornisce l’interpretazione del contesto e quindi l’identificazione di eventuali violazioni nella catena di custodia.
Presentazione dei risultati: i risultati dell’indagine devono essere presentate in un formato chiaro e comprensibile ai giudici e ad altri stakeholder.
La digital forensics viene utilizzata in vari contesti come il settore privato, il governo e altri organizzazione per difendersi dalle attività criminali e ricondurre i perpetratori delle azioni alle autorità competenti. Per tali attività la distro CSI mette a disposizione tool come HASH capture, Forensic Disk Image Mounter, Autopsy e Guymager, solo per citarne alcuni.
Le attività di incident response come viene definito dal NIST (National Institute of Standard Technology), è un processo strutturato che le organizzazioni utilizzano per identificare e gestire gli incidenti di sicurezza informatica. Tale processo necessita di strumenti che la distro CSI mette a disposizione dell’operatore/i addetti a tale attività.
Le fasi della gestione degli incidenti (Incident Response) possono essere identificate in queste fasi:
Pianificazione: in questa fase, un’organizzazione sviluppa il proprio piano per la gestione degli incidenti, tenendo conto delle sue specifiche esigenze e della natura dei rischi che potrebbe incontrare. Questa fase include anche l’identificazione degli stakeholder e dei membri del team di gestione degli incidenti.
Rilevazione e validazione: in questa fase, l’organizzazione rileva un possibile incidente di sicurezza e lo verifica per determinare se si tratta effettivamente di un incidente valido che richiede una risposta immediata.
Contenimento: dopo la verifica dell’incidente, l’organizzazione cerca di limitare l’espansione del problema, ad esempio bloccando l’accesso degli utenti al sistema interessato o interrompendo le connessioni con altre parti del sistema.
Investigazione: in questa fase, l’organizzazione esamina l’incidente con più attenzione per identificare l’origine del problema, la gravità dell’incidente e le azioni necessarie per prevenire futuri problemi di sicurezza.
Ripristino: una volta identificata la causa dell’incidente, l’organizzazione implementa le misure necessarie per risolvere l’incidente definitivamente e ripristinare i normali processi di business. Questa fase include anche la valutazione del danno causato dall’incidente e la documentazione di tutte le attività svolte durante la gestione del problema.
Il progetto CSI linux mette a disposizione diversi strumenti DFIR.
L’OSINT (Open Source INTelligence) è l’attività di raccogliere informazioni da fonti aperte e accessibili pubblicamente, comprese le informazioni disponibili su Internet, sui siti web, sui social media e nei dati pubblici. Pertanto, l’OSINT si concentra sull’utilizzo di fonti di informazione aperte, piuttosto che su fonti di informazione riservate o classificate. L’OSINT viene utilizzato da organizzazioni governative, non governative e del settore privato per raccogliere informazioni su una vasta gamma di argomenti, tra cui la sicurezza nazionale, la concorrenza commerciale, l’intelligence aziendale e la sicurezza informatica. Le attività di OSINT possono essere svolte manualmente utilizzando strumenti di ricerca online avanzati, o attraverso l’utilizzo di software, presente nella distro CSI, specializzati per raccogliere, organizzare e analizzare grandi quantità di dati in modo efficiente e accurato. Tra i software pre-installati il progetto metto a disposizione OSINTgram, OSINTFramework, Osint-Search e Maltego. L’analisi di malware (o Malware Analysis) è il processo di esaminare e comprendere il funzionamento interno di un software malevolo, noto anche come malware. L’obiettivo dei software di CSI linux orientati a questa attività dell’analisi di malware è di identificare il comportamento malizioso del software e di sviluppare metodi efficaci per contrastarlo e prevenirlo.
L’analisi di malware comprende principalmente tre fasi:
Raccolta dei campioni di malware: in questa fase, il malware viene raccolto tramite metodi come il campionamento automatico, la cattura del traffico di rete o il recupero dei file infetti dal dispositivo. Questo passaggio è fondamentale per fornire materiale sufficiente per l’analisi.
Analisi statica e dinamica del malware: la fase successiva si divide in due parti principali. L’analisi statica esamina il malware senza eseguirlo, cercando di identificarne le funzioni principali, il linguaggio di programmazione utilizzato e le eventuali vulnerabilità. L’analisi dinamica, invece, esegue il malware in un ambiente protetto e sicuro per osservarne il comportamento. Grazie all’analisi dinamica, l’esperto è in grado di registrare l’interazione tra il malware e il sistema operativo, individuando modelli di comportamento o eventuali danni causati.
Generazione di report: dopo aver concluso l’analisi del malware, l’esperto genera un report dettagliato per descrivere il comportamento, la struttura, le funzionalità e le vulnerabilità del software malevolo. Il report è utile per comprendere appieno l’entità dell’infezione e sviluppando metodi per prevenirla e contenere gli eventuali danni, inoltre può essere condiviso con l’industria cybersecurity per analizzare e classificare eventuali nuovi campioni di malware.
Il processo richiede una conoscenza approfondita dell’architettura dei sistemi operativi e delle tecniche di hacking, per individuare eventuali vulnerabilità e sviluppare i metodi di protezione necessari. Queste sono le attività dove la distro tende a specializzarsi, operazione possibile solo alla mentalità del software libero (Open Source) in cui la licenza permette di modificare e personalizzare il kernel linux e tutto il mondo legato al software libero che gira attorno. CSI Linux è l’unica valida raccolta di software per uso lavorativo nel settore dell’investigazione digitale, settore che con l’aumento di account social, portali e attività online è sempre più richiesta. Lo spionaggio è antagonista di contro-spionaggio, i dati consapevoli e non presenti online permettono di sapere molte informazione sulle nostre abitudini, interessi e informazioni private, Tale dati vengono chiamati bigdata, dati usati come è successo per orientare decisioni politiche, votazioni e modo di pensare su un determinato argomento. Con l’attuale guerra in Ucraina la parte di attività russa di disinformazione ha tocca livelli impensabili. Solo con strumenti come CSI linux associato al software open source permetteranno una maggior consapevolezza di quali informazioni circolano in rete, in reti Lan interne e analizzare, come indica il GDPR con il termine Disaster Recovery e audit, una consapevolezza se l’accaduto è fonte di un errore interno o di un’attività illecita. Solo la libertà data dalla licenza GPL di GNU/Linux accoppiata al software libero ha permesso questo progetto, sostenuto anche da molti sviluppatori che in modo gratuito mettono il proprio tempo a disposizione per il supporto e sviluppo di questi strumenti. Strumenti che nel contesto in cui viviamo sono sempre più richiesti da attività di intelligence.
Articolo a cura di Fabio Carletti
Profilo Autore
Fabio Carletti aka Ryuw è un White Hat del gruppo (SoldierX Hacker team). Noto ai più per questioni legate alla Sicurezza Informatica ha ottenuto importanti apprezzamenti in attività investigative per conto di Carabinieri e Polizia Postale. Dal 98 si occupa del mondo gnu/linux come security IT evangelist. Collabora come membro nel Tor Project team e nella Linux Foundation. Ospite di rilevanti eventi italiani riguardanti la privacy, linux/unix, hacker camp e software open source dedica le sue energie alla ricerca nella sicurezza informatica.
