Verso la fine di novembre, a pochi giorni dall’arrivo del tacchino del Giorno del Ringraziamento sulle tavole, gli hacker lanceranno un attacco coordinato alla rete elettrica nordamericana. Prenderanno di mira le centrali elettriche, i tralicci di trasmissione e gli impianti di distribuzione in una dimostrazione di forza che lascerà milioni di abitazioni senza corrente e metterà fuori uso le infrastrutture.
L’FBI, il Dipartimento per la Sicurezza Interna e decine di responsabili della sicurezza informatica (CISO) delle principali aziende di servizi pubblici avranno difficoltà a reagire e a impedire che l’attacco si diffonda. Fortunatamente, avranno un filo diretto con gli aggressori e ne comprenderanno le motivazioni: vogliono proteggerci.
Questo scenario di attacco rientra in un’iniziativa su vasta scala promossa dalla più grande autorità di vigilanza del settore energetico del Paese, volta a sottoporre a prove di stress la preparazione del nostro sistema energetico, al fine di individuarne i punti di forza e metterne alla prova i punti deboli di fronte a un attacco digitale o fisico. La North American Electric Reliability Corporation (NERC), l’organismo di vigilanza del settore, avvierà questa simulazione di attacco contro centinaia di aziende di servizi pubblici il 16 e il 17 novembre.
La posta in gioco non è mai stata così alta. Lo scorso anno, secondo uno studio del NERC , gli attacchi ransomware , quelli di tipo “ ” e quelli alla catena di approvvigionamento contro le reti dei servizi pubblici sono più che raddoppiati. Nei due anni trascorsi dall’ultima esercitazione del NERC, nel 2019, si è verificata una pandemia globale. Le reti dei servizi pubblici hanno subito un’espansione vertiginosa a causa del lavoro da remoto e si sono aperte nuove vie di attacco per gli hacker, poiché il numero di endpoint dei lavoratori in modalità “ ” è aumentato in modo esponenziale.
Il NERC lascia alle aziende di servizi pubblici il compito di invitare gli sviluppatori di software a partecipare all’esercitazione. Tuttavia, le aziende di servizi pubblici non sempre agiscono in tal senso, e ciò sta destando preoccupazione. I recenti attacchi informatici alla catena di approvvigionamento subiti dal fornitore di software , da Kaseya nel mese di luglio e da SolarWinds lo scorso anno sottolineano quanto siano importanti i fornitori di software per molti settori, tra cui i servizi pubblici, le agenzie federali e le infrastrutture critiche della nazione.
I test di sicurezza delle reti di servizi pubblici non possono dirsi completi senza la partecipazione dei principali soggetti coinvolti in tali reti. Così afferm , secondo esperti come Tim Conway del SANS Institute, un’organizzazione specializzata nella ricerca e nella formazione in materia di sicurezza informatica. Conway ricopre il ruolo di direttore tecnico dei programmi relativi ai sistemi di controllo industriale (ICS) e ai sistemi di controllo di supervisione e acquisizione dati (SCADA) del SANS. Gli sviluppatori di software svolgono «un ruolo molto importante nel mondo reale in qualità di partner dei propri clienti nella difesa e nell’individuazione continue di eventi potenzialmente dannosi», afferma. «Sono fondamentali per lo svolgimento delle operazioni.»
Veri e propri segnali d’allarme
L’esercitazione sulla sicurezza della rete elettrica denominata “ ” ( , GridEx), come viene chiamata l’esercitazione del NERC, si svolge ogni due anni a partire dal 2011. Alla prima esercitazione hanno partecipato 24 aziende di servizi pubblici. Gli intrusi hanno fatto irruzione fisicamente nelle sottostazioni e nei centri di controllo di riserva e hanno installato malware che ha compromesso i processi aziendali fondamentali. Nel 2019, una serie di attacchi fisici simulati contro 254 aziende di servizi pubblici partecipanti ha dimostrato che tali attacchi potevano compromettere l’approvvigionamento di combustibile, interrompere i sistemi di controllo energetico e causare danni agli impianti di generazione, trasmissione e distribuzione.
«Individuare in che modo le vulnerabilità del software incidono sui sistemi è un aspetto fondamentale per la protezione delle nostre reti.”Anne Marie Corbalis, responsabile delle relazioni con i media presso la Consolidated Edison di New York
La simulazione 2019 è stata suddivisa in quattro segmenti. Nella prima parte, il portale condiviso del NERC dedicato ai rischi di sicurezza informatica — l’Electricity Information Sharing and Analysis Center (E-ISAC) — ha allertato le aziende di servizi pubblici in merito a una possibile minaccia imminente alla rete elettrica. Ha quindi diffuso informazioni relative a una campagna di malware mirata ai sistemi di controllo, e la rete elettrica ha iniziato a registrare una carenza di produzione.
L’impatto massimo dell’attacco si è verificato nella seconda fase, causando un’interruzione dell’energia elettrica in 5 milioni di abitazioni e compromettendo il funzionamento degli impianti di trattamento delle acque. Nella seconda e nella terza parte, le aziende di servizi pubblici e il governo hanno messo in atto piani di risposta e coordinato le misure successive per neutralizzare l’attacco. I fornitori di sistemi ICS hanno rilasciato una patch software necessaria per riparare i sistemi danneggiati; le aziende di servizi pubblici hanno installato le patch e l’alimentazione della rete elettrica è stata ripristinata.
Nel test 2019 , risulta evidente quanto le aziende di servizi pubblici facciano affidamento sui fornitori per ripristinare il funzionamento della rete. Tuttavia, all’esercitazione hanno partecipato solo tre dei principali fornitori della catena di approvvigionamento. E nell'edizione precedente del GridEx, nel 2017, le aziende di servizi pubblici non hanno invitato alcun fornitore. Nel proprio rapporto “Lessons Learned” ( ) , redatto a seguito dell’esercitazione 2019 , il NERC ha affermato che alcune aziende di servizi pubblici “non disponevano delle risorse necessarie per coordinare le risposte” all’attacco simulato e ha concluso: “È compito delle organizzazioni partecipanti includere i partner della catena di approvvigionamento nei propri piani di risposta”.
Con la crescente digitalizzazione e interconnessione dei servizi pubblici, si sono ampliati i loro potenziali punti vulnerabili. Questi spazi vedono sempre più spesso la partecipazione di soggetti terzi, quali gli sviluppatori di software, i cui aggiornamenti dei prodotti possono costituire una porta di accesso per gli hacker. La sicurezza delle aziende di servizi pubblici dipende sempre più dalle difese informatiche delle società con cui interagiscono.
Strategie per tutto l'anno
Il NERC continua a sostenere che non spetti all’autorità di vigilanza invitare gli sviluppatori a partecipare al test. Sebbene il NERC “incoraggi vivamente” le aziende di servizi pubblici a includere i fornitori, ritiene che “siano i partecipanti stessi a poter determinare al meglio quali fornitori siano fondamentali per le loro operazioni”, afferma la portavoce del NERC Rachel Sherrard.
«La sicurezza dei servizi pubblici dipende sempre più dalle difese informatiche delle aziende con cui interagiscono.”
In occasione della prova di quest’anno, afferma Sherrard, il NERC consentirà ad alcuni fornitori di assistere alla parte dell’esercitazione riservata ai dirigenti di alto livello del settore e agli alti funzionari governativi. Questa sessione riservata ai soli invitati, nota come “Executive Tabletop”, riunisce amministratori delegati, direttori operativi e alti funzionari di enti quali il Dipartimento per la Sicurezza Interna (DHS), il Dipartimento della Difesa, l’FBI e il Consiglio di Sicurezza Nazionale della Casa Bianca. Il loro compito consiste nel definire e attuare le “misure di alto livello” necessarie per ripristinare la rete dopo l’attacco informatico simulato.
Pertanto, nell’esercitazione di quest’anno, alcuni fornitori saranno coinvolti su richiesta del NERC, mentre altri saranno presenti su invito delle singole aziende di servizi pubblici; non è chiaro, tuttavia, quanti fornitori prenderanno parte all’evento. Alla luce di ciò, è difficile immaginare come la simulazione possa riprodurre fedelmente un attacco informatico reale. Per alcuni operatori del settore, ciò non è sufficiente.
«Individuare in che modo le violazioni del software incidono sui sistemi è un aspetto fondamentale per la protezione delle nostre reti», afferma Anne Marie Corbalis, responsabile delle relazioni con i media presso Consolidated Edison di New York.
Quando il NERC ha avviato le prove, tutto ciò che le aziende di servizi pubblici avevano messo in atto, compresi i software di sicurezza informatica, è stato sottoposto a verifica nel corso delle esercitazioni. Oggi, le reti del settore sono più fluide. In qualsiasi momento, sulle loro piattaforme online operano diversi soggetti terzi, dagli sviluppatori di software ai fornitori che offrono servizi in outsourcing, quali risorse umane, finanza e revisione contabile. Le reti dei servizi pubblici sono in continua evoluzione e tutti questi elementi aggiuntivi richiedono una solida sicurezza informatica.
Conway sostiene che le aziende di servizi pubblici dovrebbero individuare gli sviluppatori che svolgono un ruolo fondamentale nei loro sistemi di protezione e invitarli espressamente alle esercitazioni GridEx. Ciò consentirà agli sviluppatori e agli altri fornitori di individuare le vulnerabilità presenti nella realtà e di porvi rimedio.
Le aziende di servizi pubblici necessitano di una corretta igiene informatica
A prescindere dai suoi difetti, il valore della simulazione biennale di attacco informatico è innegabile. Tuttavia, la natura dinamica delle reti dei servizi pubblici implica che il monitoraggio, la revisione e l’aggiornamento costanti delle difese informatiche rivestano altrettanta importanza.
Una delle raccomandazioni formulate dal NERC al settore dei servizi pubblici nel suo rapporto n. 2019 riguarda la necessità di un piano di risposta agli incidenti di tipo “ ” (), elaborato con cura, che riveste un’importanza cruciale per la “cyber igiene” di un’organizzazione. In caso di un grave attacco informatico, le aziende di servizi pubblici devono coordinarsi con le autorità federali, statali e provinciali.
Durante la pandemia, lo standard di riferimento per le interazioni sicure tra gli endpoint è stato il modello “zero trust” di . Con questo approccio, qualsiasi endpoint, dispositivo o utente è considerato inaffidabile fino a quando non viene verificato, e l’accesso dei collaboratori si basa su chi richiede l’accesso, sul contesto della richiesta e sul rischio per la rete.
Anche altre pratiche di “igiene informatica” contribuiscono in modo significativo a rafforzare le difese. Tra questi figurano:
- Inventario di tutti gli endpoint Tenere traccia di tutte le risorse — laptop, PC, tablet e persino macchine virtuali nel cloud — consente di ottenere una visibilità completa della rete e di monitorare gli endpoint in tempo reale, il che contribuirà a individuare potenziali vulnerabilità e minacce attive.
- Strumenti di gestione del software Questi strumenti consentono di tenere sotto controllo app, dispositivi, software, aggiornamenti software e patch. Un’unica piattaforma può aiutare le aziende di servizi pubblici a gestire ( Detect), monitorare e proteggere le applicazioni aziendali da un’unica console.
- Autenticazione a più fattori L’utilizzo di più metodi di autenticazione, unitamente a una gestione rigorosa delle password , può fornire una difesa semplice ma efficace contro gli hacker, che avrebbe potuto impedire la violazione della sicurezza subita dalla Colonial Pipeline.
- Valutazione del rischio informatico Un punteggio di rischio informatico aiuta a valutare la gestione delle vulnerabilità interne e quella dei fornitori terzi.
- Ricerca proattiva delle minacce La ricerca di attività insolite consente di monitorare le piattaforme, nonché di individuare e risolvere le minacce prima che gli hacker abbiano la possibilità di causare danni.
