Data center, l’allarme CPS che riguarda tutto il canale ICT

Per anni parlare di sicurezza dei data center ha significato soprattutto proteggere server, applicazioni, reti e accessi.

Oggi quel perimetro non basta più. Dietro la continuità di un’infrastruttura digitale ci sono sistemi di alimentazione, condizionamento, automazione degli edifici, sensori, gruppi di continuità e apparati industriali che, se compromessi, possono fermare i servizi esattamente come un attacco informatico tradizionale.

È qui che emerge un tema sul quale anche il canale ICT dovrebbe iniziare a interrogarsi con maggiore attenzione.

Secondo il nuovo report State of CPS Security: Data Center Exposures realizzato dal Team82 di Claroty, quasi un asset cyber-fisico su cinque analizzato nei data center risulta raggiungibile con un solo “hop” di rete da sistemi che stabiliscono connessioni in uscita, creando un possibile percorso di attacco verso componenti critici dell’infrastruttura.

La ricerca prende in esame oltre 750.000 asset CPS presenti in grandi data center a livello mondiale.

Il data center non è fatto soltanto di server

Il primo monito per reseller, MSP e system integrator è probabilmente proprio questo: continuare a considerare il data center come un problema prevalentemente IT significa osservarne soltanto una parte.

Accanto ai sistemi informatici tradizionali operano infatti Building Management System e Building Automation System, infrastrutture di distribuzione dell’energia, UPS, generatori, impianti di raffreddamento, sistemi di monitoraggio ambientale e piattaforme DCIM.

Componenti che hanno un impatto diretto sulla disponibilità dell’infrastruttura e che, proprio per questo, entrano sempre più nel raggio d’azione della cybersecurity.

Un server perfettamente protetto serve a poco se un aggressore riesce a intervenire sul sistema che ne garantisce il raffreddamento o sull’infrastruttura elettrica che lo alimenta.

È il punto in cui sicurezza informatica e resilienza operativa finiscono per coincidere.

Energia e raffreddamento diventano superfici di attacco

I numeri rilevati da Team82 rendono il problema particolarmente concreto.

Le unità di distribuzione dell’alimentazione sono la categoria con la maggiore percentuale di asset direttamente esposti a Internet o raggiungibili attraverso un solo passaggio di rete da una connessione pubblica potenzialmente rischiosa: il dato arriva al 41%. Per i sistemi HVAC e di raffreddamento la percentuale è del 32%.

Ancora più significativo è ciò che emerge nei sistemi di gestione degli edifici. L’88% dei Building Management System analizzati comunica attraverso protocolli considerati non sicuri e il 40% utilizza firmware obsoleti.

Inoltre, oltre l’80% dei sistemi di controllo OT, degli apparati per il monitoraggio dell’alimentazione e dei dispositivi IoT utilizza protocolli legacy come BACnet e Modbus.

Non significa automaticamente che questi sistemi siano compromessi, ma indica una superficie di rischio che non può essere trattata come un dettaglio infrastrutturale.

Le vulnerabilità note sono ancora dentro i data center

C’è poi un dato che dovrebbe attirare soprattutto l’attenzione di chi gestisce servizi di sicurezza per conto dei clienti.

Secondo la ricerca, il 23% dei dispositivi IoT analizzati contiene Known Exploited Vulnerabilities, le KEV: vulnerabilità già note e sfruttate attivamente dagli attaccanti.

Il problema, quindi, non riguarda soltanto la scoperta di nuove vulnerabilità zero-day.

Una parte importante del rischio continua a derivare da tecnologie già presenti nelle infrastrutture, firmware che non vengono aggiornati, protocolli progettati in epoche nelle quali la cybersecurity aveva un peso molto diverso e sistemi difficili da mettere offline per effettuare manutenzione.

Per il canale è un cambio di prospettiva importante. La gestione delle vulnerabilità non può fermarsi a notebook, server, firewall e workload cloud, ma deve progressivamente includere anche dispositivi e sistemi cyber-fisici che spesso rimangono fuori dai tradizionali strumenti di inventory.

Per MSP e system integrator cambia il perimetro

È probabilmente questa la conseguenza più rilevante per l’ecosistema ICT. I partner che accompagnano i clienti nella trasformazione dei data center dovranno essere in grado di comprendere sempre meglio la relazione fra IT, OT e CPS.

Non significa che ogni reseller debba trasformarsi improvvisamente in uno specialista di automazione industriale. Significa però che assessment, progettazione delle reti, servizi gestiti e cybersecurity dovrebbero tenere conto dell’intera catena che permette al data center di funzionare.

La visibilità sugli asset diventa allora il punto di partenza.

Non si può proteggere ciò che non si conosce, soprattutto quando sulla stessa infrastruttura convivono apparati recentissimi e sistemi legacy installati magari molti anni prima.

In questo scenario anche la segmentazione assume un valore diverso.

Separare correttamente le reti e limitare i percorsi attraverso i quali un attaccante può muoversi lateralmente non è più soltanto una best practice IT, ma una misura che può impedire che la compromissione di un sistema apparentemente secondario raggiunga un componente essenziale del data center.

Zero Trust deve arrivare anche ai sistemi cyber-fisici

Team82 individua quattro aree sulle quali costruire la protezione: gestione continua delle esposizioni, segmentazione secondo principi Zero Trust, hardening dei Building Management System e rilevamento delle minacce capace di comprendere i protocolli industriali.

Per il canale ICT queste indicazioni possono trasformarsi in una roadmap concreta. Prima occorre conoscere gli asset presenti e comprendere come comunicano; successivamente bisogna individuare i possibili percorsi di attacco, segmentare le infrastrutture e intervenire sui sistemi legacy che non possono essere aggiornati facilmente.

La protezione deve inoltre essere costruita tenendo conto delle caratteristiche del traffico OT. Applicare semplicemente strumenti progettati per l’IT tradizionale può non essere sufficiente quando occorre interpretare protocolli industriali e riconoscere comportamenti anomali senza compromettere la continuità dei servizi.

La corsa all’AI aumenta anche la responsabilità del canale

Il tema acquista ancora più peso mentre gli investimenti in data center crescono per sostenere cloud, servizi digitali e soprattutto intelligenza artificiale. Più queste infrastrutture diventano strategiche, maggiore diventa il costo potenziale di un’interruzione.

Amir Preminger, CTO e responsabile del Team82 di Claroty, osserva che “i data center si sono evoluti fino a diventare infrastrutture critiche a livello globale”.

Il punto non riguarda quindi soltanto la protezione dei dati, ma la capacità di mantenere operative infrastrutture da cui dipendono servizi, aziende e sempre più spesso intere filiere economiche.

È anche per questo che il report rappresenta un monito per il canale.

Vendere più capacità di calcolo, networking o servizi cloud senza affrontare contemporaneamente la resilienza dell’infrastruttura che li sostiene rischia di lasciare scoperta una parte decisiva del problema.

La prossima frontiera della sicurezza del data center potrebbe quindi giocarsi molto meno dentro il server e molto di più intorno ad esso. Per MSP, reseller e system integrator significa ampliare competenze e interlocutori, facendo dialogare cybersecurity, networking, facility management e OT. Perché nel data center moderno anche un impianto di raffreddamento può diventare parte della superficie d’attacco.