Firewall di rete industriale: cosa fa e dove si inserisce

Un firewall di rete industriale si colloca tra sistemi di controllo affidabili e reti meno affidabili, filtrando il traffico, registrando l'attività e applicando regole progettate per gli ambienti di tecnologia operativa.

Cos'è un firewall di rete industriale

Un firewall di rete industriale è un dispositivo di sicurezza o un'appliance software utilizzata per controllare il traffico tra parti di una rete industriale. Protegge sistemi di controllo, sensori, HMI, historian e percorsi di accesso remoto consentendo il passaggio solo di comunicazioni specifiche. A differenza di un firewall da ufficio di base, è progettato per la tecnologia operativa, dove disponibilità, traffico deterministico e consapevolezza dei protocolli contano quanto il blocco delle connessioni indesiderate.

Nella pratica, aiuta a creare confini tra zone: ad esempio, tra una rete aziendale e una rete di stabilimento, oppure tra la rete di un sito e una connessione remota di un fornitore. Non sostituisce l'hardening dei dispositivi, il controllo degli accessi o la segmentazione di rete. È un punto di applicazione delle regole all'interno di un piano di difesa più ampio.

Come filtra il traffico

La maggior parte dei firewall industriali ispeziona i pacchetti e li confronta con le regole. Una regola può consentire il traffico da un indirizzo a un altro, permettere una porta specifica, bloccare connessioni in entrata sconosciute o limitare il traffico a una finestra di manutenzione pianificata. Molti modelli sono stateful, il che significa che tracciano la connessione e possono rifiutare traffico che non si adatta alla sessione prevista.

Negli ambienti industriali, l'ispezione consapevole del protocollo è importante. Alcuni firewall possono riconoscere i protocolli OT e limitare le azioni sensibili con maggiore precisione rispetto al semplice filtraggio delle porte. Questo è importante perché un protocollo di controllo può usare una porta per molti comandi diversi. Un firewall che comprende il protocollo può essere configurato per consentire sole richieste di lettura e bloccare le scritture, oppure per consentire traffico solo da una workstation tecnica nota.

Specifiche che contano

Quando si seleziona questa categoria, i numeri più importanti non sono le affermazioni di marketing. Considera:

• Throughput e tasso di pacchetti: margine sufficiente per il traffico di picco, non solo per l'uso medio.
• Latenza: un ritardo ridotto è importante quando i sistemi scambiano messaggi di controllo frequenti.
• Tipi di interfaccia: rame, fibra, gateway seriali e numero di porte devono corrispondere al sito.
• Grado ambientale: temperatura industriale, vibrazioni e tolleranza all'alimentazione possono essere importanti in armadi e involucri remoti.
• Logging e storage: capacità sufficiente per conservare registri di eventi utili.
• Comportamento in caso di guasto: sapere se l'unità fail open o fail closed durante perdita di alimentazione o condizioni di guasto.

Per i siti remoti, doppi ingressi di alimentazione, montaggio su guida DIN e supporto per collegamenti ridondanti possono essere più utili di funzioni extra che non configurerai mai.

Come viene tipicamente implementato

I risultati migliori di solito si ottengono segmentando la rete in piccole zone e consentendo solo i percorsi necessari tra di esse. Spesso un firewall viene collocato al confine tra la rete aziendale e l'ambiente OT, e talvolta anche tra celle di produzione, sistemi di sicurezza e servizi di accesso remoto. Le regole dovrebbero essere costruite a partire da requisiti noti, non da ciò che sembra comodo il primo giorno.

L'amministrazione remota dovrebbe passare attraverso accessi autenticati come VPN o workflow tramite jump host. L'esposizione diretta delle interfacce di controllo a Internet è un errore comune. Se è necessario il supporto remoto, limitarlo ad account specifici, indirizzi sorgente specifici e finestre temporali specifiche. Usa account separati per operatori, ingegneri e fornitori, in modo da poter restringere in seguito i permessi.

Limiti, manutenzione ed errori comuni

Un firewall non può correggere password deboli, firmware obsoleto, un design di rete piatto o abitudini di accesso remoto non sicure. Non può nemmeno fermare gli attacchi che arrivano attraverso percorsi fidati se tali percorsi sono troppo ampi. Se un attaccante è già all'interno di un segmento consentito, regole permissive possono comunque permettere traffico dannoso.

Una buona manutenzione è semplice: eseguire backup delle regole, rivedere i log, testare le modifiche prima del rilascio in produzione, sincronizzare l'ora per registrazioni eventi accurate e aggiornare il firmware tramite un processo controllato. Rivedi le regole dopo modifiche alle apparecchiature, perché le eccezioni temporanee spesso diventano rischi permanenti.

Gli errori più comuni sono consentire troppo traffico, mescolare zone di fiducia IT e OT, lasciare le porte di gestione raggiungibili dalle reti generali e trattare un firewall come un'installazione una tantum invece che come un controllo gestito attivamente.

Cosa aspettarsi nella pratica

Un firewall di rete industriale si comprende meglio come un guardiano con un compito molto specifico: applicare quali dispositivi possono comunicare, in quale direzione e a quali condizioni. Funziona al meglio quando è affiancato da segmentazione, inventario degli asset, disciplina delle patch e monitoraggio. Per le infrastrutture critiche e gli ambienti di processo, il suo valore deriva dal rendere la comunicazione intenzionale invece che accidentale.