In questa presentazione, ci concentreremo sugli elementi essenziali e la gestione della cybersecurity all'interno
del settore energetico, affrontando la prospettiva tecnica riguardante le vulnerabilità comuni.
Esploreremo le vulnerabilità chiave che pongono rischi per la cybersecurity delle infrastrutture energetiche,
esaminando i loro aspetti tecnici e le implicazioni per il settore.
Il vulnerability assessment è un processo cruciale nel campo della cybersecurity,
che comprende varie metodologie, strumenti e best practice per identificare e mitigare efficacemente
le vulnerabilità all'interno di sistemi, reti e infrastrutture.
Il vulnerability assessment si riferisce al processo sistematico di identificazione, quantificazione e prioritizzazione
delle vulnerabilità, consentendo alle organizzazioni di affrontare proattivamente i potenziali rischi di sicurezza.
Lo scopo primario del vulnerability assessment è identificare le debolezze all'interno di un sistema,
rete o infrastruttura, misurare il loro potenziale impatto sulle operazioni,
e fornire una guida per implementare misure di mitigazione per migliorare la sicurezza complessiva.
L'output di un vulnerability assessment include tipicamente un report completo delle vulnerabilità,
che dettaglia le debolezze identificate e i rischi associati, insieme a una valutazione del rischio che evidenzia
l'impatto potenziale e le strategie di mitigazione raccomandate. Condurre vulnerability assessments
offre diversi benefici, incluse misure di sicurezza proattive per prevenire potenziali cyber
threats, garantendo la conformità con i requisiti normativi e una gestione efficace del rischio
dando priorità e affrontando le vulnerabilità identificate.
I vulnerability assessments portano con sé il proprio set di sfide, inclusa l'occorrenza di
false positives, processi ad alta intensità di risorse che richiedono tempo e sforzo, e la natura costantemente
in evoluzione delle cyber threats che pongono nuove sfide ai professionisti della sicurezza.
Implementare best practice come condurre valutazioni regolari,
favorire la collaborazione tra le parti interessate e sviluppare piani di rimediazione completi
è essenziale per garantire l'efficacia dei processi di vulnerability assessment.
Vari strumenti sono disponibili per facilitare il vulnerability assessment, inclusi scanner
automatizzati come Nessus, OpenVAS e Qualys; strumenti di test manuale come Burp Suite e OWASP ZAP;
così come strumenti di valutazione del rischio come Nmap, ognuno dei quali serve uno scopo specifico nell'identificare
e mitigare le vulnerabilità. Nel dominio dell'energia, gli asset giocano un ruolo cruciale nel garantire
il funzionamento efficiente dei nostri sistemi di alimentazione. Questi asset comprendono una vasta gamma di componenti,
inclusi generatori, trasformatori, sottostazioni, linee di trasmissione, linee di distribuzione, contatori,
e sistemi di controllo. Ciò che è notevole è come questi diversi asset siano interconnessi senza soluzione di continuità
e comunichino tra loro usando vari protocolli. Tra questi protocolli c'è Modbus,
che serve come linguaggio comune per la comunicazione tra dispositivi di campo e sistemi di controllo.
Il suo uso diffuso deriva dalla sua affidabilità e facilità di implementazione.
Un altro protocollo prominente è DNP3, abbreviazione di Distributed Network
Protocol 3. DNP3 è particolarmente prevalente nell'automazione delle utility per sistemi SCADA,
specialmente nei sistemi di energia elettrica. Le sue caratteristiche robuste lo rendono ben adatto per gestire reti
elettriche su larga scala. Inoltre, abbiamo protocolli utilizzati estensivamente in applicazioni di automazione industriale,
prominentemente su misura per esigenze specifiche all'interno del dominio energetico.
Questi protocolli collettivamente facilitano lo scambio di dati tra vari dispositivi elettronici
da trasmettere senza interruzioni attraverso le infrastrutture energetiche. Attraverso l'utilizzo
efficace di questi protocolli, gli operatori Modbus possono garantire un funzionamento fluido e
affidabile, dove un dispositivo master che agisce come client comunica con
i dispositivi slave e gestisce le risorse di alimentazione del server su una connessione seriale.
Questa architettura facilita lo scambio efficiente di dati e comandi di controllo tra
dispositivi. Uno dei punti di forza chiave di Modbus risiede nella sua versatilità. Supporta una vasta
gamma di tipi di dati e funzioni, abilitando la lettura e scrittura senza interruzioni di dati da e verso
registri all'interno dei dispositivi, migliorando così l'interoperabilità e la flessibilità nella comunicazione.
Nel dominio dell'energia, Modbus trova ampia applicazione nel monitoraggio e controllo
delle Distributed Energy Resources (DER), come inverter solari, turbine eoliche e sistemi di stoccaggio
dell'energia. Facilitando lo scambio di dati in tempo reale tra questi dispositivi e i sistemi di controllo
di supervisione, Modbus dà potere agli operatori di monitorare efficacemente le metriche di performance e regolare le impostazioni
operative secondo necessità, ottimizzando così l'efficienza complessiva e l'affidabilità dei sistemi energetici.
DNP3, o Distributed Network Protocol, si erge come un protocollo di comunicazione robusto e affidabile
creato specificamente per il dispiegamento in sistemi SCADA, con un focus primario sull'industria
dell'energia elettrica. Il suo design è meticolosamente su misura per fornire canali di comunicazione
sicuri ed efficienti tra centri di controllo centrali e dispositivi di campo remoti.
Al suo cuore, DNP3 vanta un set completo di funzionalità orientate a supportare
applicazioni per infrastrutture critiche. Questo include la gestione senza interruzioni di vari tipi di dati e
l'incorporazione di caratteristiche come sincronizzazione oraria, reportistica degli eventi e authentication.
Tali capacità rendono DNP3 una scelta ideale per garantire l'integrità e l'affidabilità
delle reti di comunicazione all'interno dei sistemi SCADA. Inoltre, opera flessibilmente attraverso
diversi mezzi di comunicazione, spaziando dalle tradizionali connessioni seriali come RS-232 e RS-485
alle moderne reti TCP/IP. Nel dominio dell'energia, DNP3 gioca un ruolo fondamentale nel monitoraggio e
controllo dei sistemi di generazione, trasmissione e distribuzione di energia. Facilitando la raccolta
dati in tempo reale da sottostazioni, contatori e altri dispositivi di campo, DNP3 dà potere alle utility
con le intuizioni necessarie per un'operazione efficiente della rete, rilevamento guasti e meccanismi di risposta
rapida. La sua adozione diffusa sottolinea il suo significato nel garantire la resilienza
e le prestazioni delle infrastrutture energetiche. In questa slide, sono presentate alcune vulnerabilità che colpiscono
vari Industrial Control Systems, specificamente per Denial of Service (DoS).
Per esempio, CVE-2023-5462 evidenzia una vulnerabilità critica di DoS trovata in XINJE XD5E-30RE.
Questa falla può portare alla negazione del servizio, interrompendo potenzialmente operazioni
e servizi che si basano su questo dispositivo. Passando a CVE-2023-5460, incontriamo una vulnerabilità DoS
attribuita a un heap-based buffer overflow in Delta Electronics WPLSoft. Questa vulnerabilità
potrebbe permettere agli attaccanti di sovraccaricare la memoria del sistema, causandone il crash
o rendendolo non responsivo. Successivamente, CVE-2023-1285 rivela una race condition identificata in Mitsubishi Electric India
GC-ENET-COM. Questa race condition potrebbe risultare in uno scenario DoS che impatta la funzionalità
del dispositivo e causa interruzione del servizio. CVE-2023-1150 solleva preoccupazioni sul
consumo incontrollato di risorse nella serie WAGO 750-3x/8x. Questa vulnerabilità
potrebbe portare a un uso eccessivo delle risorse, risultando potenzialmente in una situazione DoS
e influenzando le prestazioni del sistema. Infine, CVE-2022-37301 evidenzia una vulnerabilità DoS
attribuita a un integer underflow in SolaX Pocket Wi-Fi.
Gli attaccanti potrebbero sfruttare questa falla per innescare una condizione DoS, interrompendo l'operazione del dispositivo
e potenzialmente influenzando la connettività di rete. Primo nella nostra lista è CVE-2023-5460, un heap-based
buffer overflow scoperto in Delta Electronics WPLSoft, un popolare software di programmazione per
Delta Programmable Logic Controllers. Questa vulnerabilità potrebbe essere sfruttata da un attaccante
per eseguire codice dannoso da remoto o causare un denial of service. Proseguendo, abbiamo CVE-2022-4857,
che espone un buffer overflow in Modbus Poll di Modbus Tools, uno strumento di test Modbus ampiamente utilizzato.
Similmente, CVE-2022-4857 e CVE-2022-4856 evidenziano vulnerabilità di buffer overflow
in Modbus Tools, Modbus Poll e Modbus Slave rispettivamente, enfatizzando ulteriormente la natura
critica di questo problema all'interno dell'ecosistema Modbus. Infine, dobbiamo affrontare CVE-2021-39921,
un buffer overflow scoperto all'interno del Modbus Dissector di Wireshark.
Wireshark, un potente analizzatore di protocolli di rete, è essenziale per il troubleshooting e l'analisi
di rete, rendendo questa vulnerabilità particolarmente preoccupante poiché potrebbe essere sfruttata dagli attaccanti
per compromettere l'integrità della rete. Approfondiamo un altro aspetto critico della cybersecurity:
vulnerabilità di authentication bypass. Queste vulnerabilità rappresentano un rischio significativo
poiché consentono l'accesso non autorizzato a sistemi o informazioni sensibili senza la necessità di
una corretta autenticazione. Iniziando con CVE-2022-45789, abbiamo un problema di authentication bypass
scoperto in EcoStruxure Control Expert, un popolare software di automazione industriale
di Schneider Electric. Questa vulnerabilità potrebbe potenzialmente abilitare gli attaccanti a ottenere
accesso non autorizzato ai sistemi di controllo, ponendo una seria minaccia all'infrastruttura industriale.
Successivamente, CVE-2022-37300 evidenzia una debolezza nel meccanismo di recupero password
trovata in vari prodotti, enfatizzando l'importanza di robuste pratiche di gestione delle password
per mitigare il rischio di accesso non autorizzato. Continuando, CVE-2021-22779 e CVE
2021-22772 espongono entrambi vulnerabilità di authentication bypass in EcoStruxure Control Expert
e EZG-T200 rispettivamente, evidenziando ulteriormente l'importanza di mettere in sicurezza i controlli di accesso
all'interno degli ambienti industriali. Infine, CVE-2022-7523 rivela un problema di authentication bypass
nel Modbus Serial Driver di Schneider Electric, un driver ampiamente utilizzato per protocolli di comunicazione Modbus.
Questa vulnerabilità potrebbe potenzialmente permettere agli attaccanti di manipolare dispositivi Modbus
o interrompere processi industriali. Un'altra categoria importante include
vulnerabilità di information exposure. Queste vulnerabilità pongono una seria minaccia
poiché possono portare alla divulgazione non autorizzata di informazioni sensibili,
compromettendo potenzialmente la confidenzialità e l'integrità di sistemi e dati.
Primo sulla nostra lista è CVE-2023-5461 che evidenzia la trasmissione in clear text
di informazioni sensibili in Delta Electronics WPLSoft, un software di programmazione per Delta PLC.
Questa vulnerabilità potrebbe permettere agli attaccanti di intercettare e visualizzare dati sensibili trasmessi
sulla rete, portando a potenziali data breach. Proseguendo, CVE-2022-30938 e CVE-2022-30937
espongono problemi di memory corruption nel modulo Ethernet EN100, portando potenzialmente all'
esposizione di informazioni sensibili. Queste vulnerabilità potrebbero essere sfruttate dagli attaccanti
per ottenere accesso non autorizzato a dati sensibili memorizzati all'interno del modulo.
Successivamente, CVE-2021-22786 rivela l'esposizione di informazioni sensibili nella CPU Modicon M340,
un programmable logic controller ampiamente utilizzato. Questa vulnerabilità potrebbe potenzialmente permettere
agli attaccanti di accedere a dati sensibili memorizzati all'interno della CPU, ponendo un rischio significativo
ai processi industriali. Infine, CVE-2019-7225 evidenzia l'esposizione di informazioni sensibili
dovuta a credenziali non documentate in ABB HMI, una Human Machine Interface usata nell'automazione
industriale. Questa vulnerabilità potrebbe permettere agli attaccanti di accedere a informazioni sensibili
memorizzate all'interno dell'HMI, portando potenzialmente al controllo non autorizzato del sistema o al furto di dati.
Questa slide riguarda code injection e privilege escalation nel Gateway Modbus PR100088.
La prima vulnerabilità permette a un attaccante di recuperare credenziali in plain text attraverso comunicazione FTP
all'interno del Gateway Modbus PR100088. Riguarda come le credenziali non sono propriamente
gestite o trasmesse via FTP senza usare crittografia. La seconda vulnerabilità permette
a un attaccante di accedere e modificare valori Modbus (punti dati) senza corretta autenticazione.
La terza vulnerabilità abilita un attaccante a recuperare password inviando richieste
HTTP GET appositamente create al Gateway Modbus. Implica una debolezza in come le password sono
gestite o trasmesse via HTTP, esponendo potenzialmente credenziali sensibili a individui
non autorizzati. La quarta vulnerabilità indica che un particolare tipo di richiesta FTP
può causare il crash o la non risposta del Gateway Modbus. Riguarda una falla nel meccanismo di elaborazione
delle richieste FTP che potrebbe essere sfruttata dagli attaccanti per interrompere l'operazione del
dispositivo o negare il servizio agli utenti legittimi. Infine, l'ultima vulnerabilità riguarda privilege
escalation, specificamente nel Modbus Serial Driver di Schneider Electric usato dal Gateway Modbus
PR100088. Le vulnerabilità di privilege escalation permettono agli attaccanti di ottenere livelli più alti di accesso
o controllo di quanto inteso dal design del sistema. La falla potrebbe essere sfruttata, permettendo a qualcuno di elevare
i privilegi e potenzialmente eseguire comandi non autorizzati o accedere a risorse limitate.
SIMATIC e SIPLUS sono famiglie di prodotti sviluppate e prodotte da Siemens AG,
una conglomerata multinazionale con sede in Germania. Queste famiglie di prodotti sono primariamente
mirate all'automazione industriale e ai sistemi di controllo. SIMATIC è una serie di Programmable
Logic Controllers (PLCs), Human Machine Interfaces (HMIs), PC industriali, e altri componenti di automazione.
Questi prodotti sono usati in vari settori industriali per controllare e monitorare processi
di produzione, linee di assemblaggio, e altre applicazioni industriali. SIPLUS è un sotto-brand di Siemens
focalizzato nel fornire soluzioni industriali che sono specificamente progettate per resistere
a condizioni ambientali difficili. I prodotti SIPLUS sono spesso equipaggiati con protezione migliorata
contro fattori come temperature estreme, umidità, vibrazioni, e interferenze
elettromagnetiche. Sono tipicamente usati in industrie dove l'attrezzatura industriale standard potrebbe non
essere adatta a causa delle sfide ambientali. Il primo CVE rivela una falla nel web server che causa
un rilascio di memoria errato, portando potenzialmente a un denial of service all'interno dei prodotti SIMATIC e SIPLUS.
Il secondo e terzo CVE espongono simili vulnerabilità di denial of service in implementazioni
web server SIMATIC e SIPLUS, enfatizzando la necessità di robuste misure di sicurezza.
Il quarto CVE evidenzia una vulnerabilità che colpisce la funzionalità del web server
nei prodotti SIMATIC e SIPLUS, richiedendo un riavvio per mitigare le interruzioni. Infine,
il quinto CVE espone memory corruption nei moduli Ethernet EN100, causando potenzialmente
crash dell'applicazione e interrompendo processi critici. In questa slide, presentiamo vulnerabilità
critiche in dispositivi SCADA (Supervisory Control and Data Acquisition) e IED (Intelligent Electronic
Device), gettando luce sui potenziali rischi di sicurezza che pongono ai sistemi di controllo
industriale. Il primo CVE riguarda i dispositivi della serie EZG-T200 permettendo operazione non autorizzata
quando l'autenticazione viene bypassata. Questa falla pone un significativo rischio di sicurezza
poiché potrebbe garantire agli attaccanti controllo non autorizzato su funzioni critiche, potenzialmente
interrompendo processi industriali e compromettendo la sicurezza. Il secondo riguarda le librerie
Triangle Microworks DNP3 Outstation, dove gli attaccanti possono sfruttare uno stack-based buffer
overflow. Questo exploit potrebbe portare ad accesso non autorizzato ai sistemi colpiti,
permettendo potenzialmente agli attaccanti di manipolare dati o interrompere operazioni.
Il terzo CVE riguarda il Triangle Microworks SCADA Data Gateway, dove attaccanti remoti
possono divulgare informazioni sensibili a causa di validazione impropria dei dati forniti dall'utente.
Questo potrebbe compromettere la confidenzialità del sistema,
esponendo dati critici ad accesso non autorizzato. Infine, come prima, l'ultimo CVE riguarda lo
SCADA Data Gateway abilitando attaccanti remoti ad eseguire codice arbitrario a causa di validazione impropria
dei dati forniti dall'utente. Questa vulnerabilità potrebbe potenzialmente garantire agli attaccanti accesso
non autorizzato e controllo sul sistema, portando a serie violazioni della sicurezza.