Soluzioni di sicurezza informatica industriale offerte da Bacula Enterprise

Principale > Soluzioni di backup aziendali di Bacula Systems > Soluzioni di sicurezza informatica industriale per le aziende manifatturiere

Il settore manifatturiero è stato al centro degli attacchi informatici per cinque anni consecutivi, rappresentando il 27,7% degli incidenti rilevati. Le misure di protezione dell’OT differiscono notevolmente da quelle dell’IT e la maggior parte degli strumenti di backup legacy, caratterizzati da un’architettura “all-in-one”, non è in grado di garantire il backup e il ripristino dei dati critici in caso di violazione.

Per salvaguardare un’attività industriale in cui OT e IT operano in parallelo, Bacula Enterprise, scelta dalla NASA, dall’Aeronautica Militare degli Stati Uniti e dalla Marina degli Stati Uniti, implementa un’architettura multimodulare con backup resilienti alle minacce informatiche che aiutano i produttori a mantenere accessibili i dati di ripristino e a ripristinarli in qualsiasi momento con estrema rapidità, anche in caso di compromissione attiva della rete.

Scarica la versione di prova

5 funzionalità chiave per la sicurezza informatica industriale in Bacula Enterprise

Gli stabilimenti produttivi rappresentano obiettivi particolarmente allettanti per gli attacchi informatici, poiché un’ora di inattività costa a un produttore la cifra astronomica di 260.000 dollari, che sale a 2,3 milioni di dollari nei settori più colpiti, come quello automobilistico. I criminali informatici tengono conto di tale cifra nella scelta dei propri obiettivi e fanno leva sulla pressione finanziaria derivante da ogni ora aggiuntiva di inattività per costringere al pagamento di un riscatto piuttosto che a un ripristino prolungato.

Bacula Enterprise si avvale delle seguenti cinque funzionalità fondamentali per proteggere e ripristinare rapidamente gli ambienti OT da minacce informatiche e guasti meccanici.

1. Ripristino bare-metal e ripristino a un punto nel tempo (PITR)

Bacula ricostruisce un nodo SCADA o una workstation di ingegneria a partire dal sistema operativo su hardware diverso, mentre il ripristino a un punto nel tempo riporta un controller allo stato in cui si trovava prima che il malware riuscisse a infettarlo e a diffondersi nell’intero sistema OT e IT.

2. Norma IEC 62443, zone e modello dei condotti

Lo standard di sicurezza industriale IEC 62443 suddivide un sistema industriale in zone e canali, assegnando a ciascuna zona un livello di sicurezza target compreso tra SL1 e SL4. Bacula distribuisce i propri cinque componenti tra tali zone e adegua i controlli di ciascuna zona al livello di sicurezza assegnato, dal TLS (SL1) fino al FIPS 140-3 (SL4).

3. Architettura modulare a cinque componenti

Bacula Enterprise separa i propri cinque componenti operativi per impedire che una compromissione di uno di essi si propaghi agli altri. Il Director, il File Daemon, lo Storage Daemon, il Catalog e la Console sono suddivisi in servizi di rete indipendenti che possono essere distribuiti su LAN separate, DMZ e zone autonome.

4. Supporti offline e isolati fisicamente

Bacula funziona senza alcuna dipendenza da Internet e scrive su nastri espulsi, supporti rimovibili e dispositivi WORM, che si trovano fisicamente scollegati dalla rete, dove né un malintenzionato né un malware possono raggiungerli e corromperli.

5. Immutabilità dei volumi multipiattaforma

Bacula blocca ogni backup contro eventuali modifiche o cancellazioni, al fine di conservare una copia integra che un malintenzionato non possa alterare. Le funzionalità “append-only” bloccano i propri volumi su disco e attivano i blocchi di conservazione integrati in NetApp SnapLock, DataDomain RetentionLock, HPE StoreOnce e S3 Object Lock.

Funzionalità di sicurezza informatica progettate per gli ambienti industriali

I criminali informatici prendono di mira i produttori perché l’Industria 4.0 ha collegato gli impianti di produzione alla rete aziendale, esponendo così le vulnerabilità note. Con i server OT e IT ormai integrati, la compromissione di una soluzione di backup legacy “tutto in uno” può causare il blocco dell’intero sistema.

L’architettura resiliente alle minacce informatiche di Bacula e la crittografia conforme allo standard FIPS riducono drasticamente, fino quasi a zero, i danni che una violazione può causare in un ambiente OT, grazie alle seguenti funzionalità.

Protezione a più livelli delle zone, da SL1 a SL4 (livelli di sicurezza IEC 62443)

Le diverse zone di uno stabilimento produttivo richiedono livelli di sicurezza differenti. Ad esempio, la zona in cui si trovano le stampanti degli uffici e quella in cui sono collocate le valvole delle turbine sono esposte a minacce diverse; lo standard IEC 62443 è stato concepito per proteggere ciascuna di esse in modo proporzionato, senza ricorrere a misure di sicurezza eccessive o insufficienti per nessuna zona.

SL1 – Il primo livello protegge dagli errori umani e dal malware a basso impatto, come nel caso in cui un operatore colleghi una chiavetta USB infetta. Bacula crittografa di default il traffico tra i suoi cinque componenti, utilizzando il protocollo TLS con scambio automatico delle chiavi, in modo che chiunque si intrometta nella rete dello stabilimento si ritrovi con dati codificati anziché con backup leggibili.
SL2 — Il secondo livello è progettato per salvaguardare un sistema OT da criminali informatici opportunisti che utilizzano strumenti di dominio pubblico. A questo livello, le autorizzazioni degli operatori sono limitate per ogni singola azione, il che impedisce a chi è in grado di eseguire un backup di cancellarne uno o di alterare il Catalogo; inoltre, i dati vengono crittografati per ogni client con AES-128, 192 o 256 e nuovamente quando sono inattivi sul dispositivo di archiviazione di destinazione.
SL3 — Il terzo livello è progettato per contrastare i criminali informatici organizzati che dispongono di competenze industriali. In questo caso, l’autenticazione a più fattori avviene tramite un plugin TOTP compatibile con lo standard RFC 6238 e richiede un’app di autenticazione sul telefono per l’accesso alla console, mentre i supporti isolati fisicamente (air-gapped) mantengono l’ultima copia fisicamente scollegata.
SL4 — Il quarto livello, ovvero il livello di sicurezza di grado militare, viene utilizzato per proteggere le infrastrutture critiche da avversari a livello di Stato-nazione. Bacula utilizza una crittografia convalidata secondo lo standard FIPS 140-3 tramite il proprio modulo OpenSSL-FIPS, sostituisce CRAM-MD5 con SCRAM-SHA-256 per l’autenticazione dei daemon, registra log di audit a prova di manomissione con catena di custodia per ogni evento e supporta il backup compartimentato in zone classificate tramite il proprio profilo «Difesa e Militare».

Isolamento del deposito di backup

Prevenzione dell’escalation degli attacchi – Il File Daemon è in esecuzione sull’host dell’impianto che un aggressore colpisce per primo e non dispone di alcuna interfaccia con il repository di archiviazione di backup; ciò significa che il controllo totale di un’interfaccia uomo-macchina (HMI) o di una workstation di progettazione non garantisce alcun accesso ai backup.
Architettura a connessione unidirezionale – È il daemon di archiviazione ad avviare la connessione con il daemon dei file, mai il contrario; pertanto, un host dell’impianto compromesso non ha alcuna possibilità di aprire un percorso verso l’archivio. Esso può solo rispondere a una connessione che non ha avviato.
Formato di volume indipendente dalla macchina – Bacula utilizza un formato di volume documentato e compatibile con le versioni successive, che consente sempre la lettura dei volumi più vecchi; ciò è fondamentale in un impianto in cui una pressa o un PLC rimangono in servizio per trent’anni e i dati devono sopravvivere alla soluzione di backup che li ha creati.
Modulo di sicurezza per Windows – Un modulo di sicurezza progettato per i dati e le applicazioni Windows protegge le interfacce HMI e le workstation di progettazione, che sono le prime a essere colpite dalle famiglie di ransomware mirate a Windows, mentre il motore Bacula stesso gira su un sistema Linux rinforzato al di fuori di tale raggio d’azione.
Ambito delle chiavi di crittografia per singolo dispositivo di archiviazione – Le chiavi di crittografia sono limitate ai singoli dispositivi di archiviazione; pertanto, una chiave recuperata da un repository non sblocca nulla di quanto sia conservato altrove.
Crittografia granulare per archivi non attendibili – I dati inviati all’object storage cloud o a qualsiasi destinazione condivisa vengono crittografati prima di lasciare il client, con la crittografia globale di Storage Daemon disponibile in aggiunta per volumi su disco, nastro e cloud.

Rilevamento delle minacce prima della detonazione

Rilevamento delle intrusioni di tipo “Tripwire” – I processi di verifica confrontano i file system in tempo reale con lo stato catalogato utilizzando firme SHA256 e SHA512, rilevando file binari sostituiti, configurazioni dei controller alterate e script iniettati su ogni host monitorato.
Analisi fuori dall’host – Il catalogo contenente lo stato “noto come corretto” risiede su un sistema protetto, separato dai client protetti; un criminale informatico in possesso di una workstation dell’impianto non può modificare la linea di base rispetto alla quale vengono effettuate le misurazioni, e qualsiasi tentativo di disabilitare un File Daemon viene registrato come evento.
Rilevamento dell’avvelenamento dei dati – BGuardian analizza statisticamente le dimensioni dei processi, il numero di file e la durata, segnalando eventuali scostamenti; ciò consente di individuare un backup completo che improvvisamente non protegge più alcun dato, nonché attacchi di crittografia condotti a un ritmo sufficientemente lento da rimanere al di sotto della soglia prevista per ciascun host.
Protezione automatica dal malware – I controlli hash rispetto al database abuse.ch vengono eseguiti in fase di backup, ripristino e verifica, mentre il plugin antivirus ClamAV esegue la scansione nella destinazione di archiviazione, dove un virus proveniente da una fonte infetta non può essere eseguito né eludere il rilevamento.
Controlli silenziosi della corruzione dei dati – I «Verify Jobs» confermano l’integrità dei dati scritti senza ricorrere a un ciclo di ripristino o decrittografia, individuando i punti di ripristino difettosi prima che un incidente costringa un produttore a utilizzarli.
Avvisi personalizzati e metriche di sicurezza – BGuardian genera i risultati del rilevamento sotto forma di avvisi JSON configurabili che vengono instradati automaticamente verso qualsiasi piattaforma SIEM, SOAR o di monitoraggio già presente nello stack.

Copertura distribuita ed eterogenea degli impianti

Ogni gateway periferico, sensore IIoT e linea remota aggiunti a una fabbrica intelligente costituiscono un nuovo punto di accesso, e qualsiasi elemento che la piattaforma di backup non riesca a raggiungere diventa una lacuna nel piano di ripristino.

Client dietro NAT e backup avviato dal client – I dispositivi periferici e i siti remoti avviano autonomamente i propri backup in uscita. Non viene aperta alcuna regola di firewall in entrata verso il segmento OT e i dati vengono acquisiti senza creare un nuovo punto di accesso.
Copertura su sistemi legacy e moderni – Un unico Director protegge controller proprietari Unix e Linux vecchi di quarant’anni insieme a dispositivi IIoT connessi al cloud, VMware, Hyper-V, Proxmox, Nutanix, Kubernetes e i database su cui girano i sistemi MES e di archiviazione storica, coprendo ogni livello Purdue da L0 a L5 senza alcuna lacuna.
Integrazione basata su API senza necessità di ricostruzione – Le API aperte e la configurazione per singolo daemon consentono a Bacula di integrarsi nell’infrastruttura MES e di impianto esistente senza modifiche all’ambiente di produzione, migliorando il livello di sicurezza senza dover mettere fuori servizio alcuna linea per implementarla.
Licenze non basate sulla capacità – A differenza dei concorrenti che applicano tariffe per terabyte, Bacula lega il costo della licenza alle dimensioni dell’ambiente, non al volume dei dati, per mantenere i costi costanti nonostante la crescita dei dati di telemetria e degli archivi storici. La deduplicazione globale degli endpoint mantiene comunque bassi i costi di archiviazione e di larghezza di banda relativi a tali dati di telemetria.

Controllo degli accessi, audit e prove di conformità

Ogni percorso di accesso a un sistema di backup rappresenta un potenziale vettore di attacco. Questi controlli limitano chi può accedere a Bacula, quali azioni può compiere una volta effettuato l’accesso e quali tracce lascia dietro di sé.

Controllo degli accessi basato sui ruoli e console con restrizioni – Gli operatori quotidiani possono eseguire processi di backup, ma non possono eliminare volumi né annullare processi, poiché tali comandi distruttivi sono riservati esclusivamente ai privilegi di amministratore. Le console con restrizioni applicano tale limite a livello di comando, limitando a sua volta ciascun account a un insieme definito di percorsi e operazioni.
Autorizzazione multipla – Le operazioni distruttive, quali l’eliminazione di volumi o la deroga alle politiche di conservazione, richiedono l’approvazione di due responsabili autorizzati distinti prima dell’esecuzione, al fine di impedire che un singolo account compromesso o un dipendente insoddisfatto possa cancellare l’archivio di backup.
Integrazione con LDAP e Active Directory – Bacula si integra con Active Directory e LDAP applicando al contempo un rigoroso filtraggio dei gruppi, per garantire che una violazione della directory aziendale generale non conceda alcun accesso al motore di gestione dei backup.

Registro di audit a prova di manomissione – Bacula genera registri di attività inalterabili per ogni evento di backup e li trasmette in tempo reale alle piattaforme SIEM e SOAR, con monitoraggio SNMP per i team di impianto che già lo utilizzano. I produttori del settore della difesa ottengono il tracciamento della catena di custodia richiesto dalle norme NIST SP 800-171 e CMMC, mentre i produttori dell’UE ottengono le prove di audit richieste dalla direttiva NIS2 agli operatori, i cui dirigenti sono ora personalmente responsabili in merito.
Valutazione della configurazione sicura – BGuardian verifica costantemente la sicurezza delle password, le impostazioni di crittografia, i permessi sui file, gli account di servizio, la protezione dei volumi e la conformità FIPS in ogni demone, al fine di individuare configurazioni vulnerabili e generare rapporti di rafforzamento della sicurezza prima che un malintenzionato possa individuarle.

Backup e ripristino affidabili per i sistemi OT

Le misure preventive di sicurezza informatica consentono di guadagnare tempo, ma nessuna difesa è assoluta. Quando si verifica una violazione, è proprio un ripristino rapido e completo dei sistemi OT a impedire che i tempi di inattività si trasformino in una perdita catastrofica.

Politica di backup per i diversi livelli di Purdue

RPO e RTO per livello – Le pianificazioni, i livelli di backup e i periodi di conservazione sono configurati per ogni cliente e per ogni processo, in modo da assegnare a un nodo SCADA un obiettivo di punto di ripristino (RPO) di cinque minuti e a un sistema aziendale di Livello 4 un ciclo notturno; ciascuno opera sotto un unico Director senza che la propria pianificazione venga imposta all’altro.
Livelli completo, differenziale e incrementale – Bacula esegue tutti e tre i livelli di backup tramite un pianificatore integrato, mentre la funzione «Progressive Virtual Full» crea un backup completo aggiornato sul lato dello storage, al fine di evitare il carico di rete derivante da un backup completo ricorrente durante le ore di produzione.
Protezione continua dei dati (CDP) – Per i sistemi in cui un ciclo notturno risulta troppo approssimativo, la CDP acquisisce le modifiche man mano che si verificano e riduce la finestra di perdita dei dati a pochi secondi anziché a ore.
Rilevamento automatico delle risorse – Bacula cataloga le destinazioni di backup man mano che l’ambiente si espande, per garantire che un nuovo gateway periferico o una nuova linea aggiunti a metà trimestre non rimangano privi di protezione perché nessuno si è ricordato di aggiungerli a un processo.

Gestione dei volumi di telemetria e dati storici

Deduplicazione globale degli endpoint – La deduplicazione viene eseguita dal client fino allo storage per eliminare le ridondanze nei record di serie temporali prima che questi raggiungano lo storage. Migliaia di sensori che registrano dati simili non determinano più il budget dell’infrastruttura in base al volume grezzo.
Compressione adattiva e compressione per riga – La compressione è configurabile per ogni singolo processo, mentre la compressione per riga riduce i dati di backup che transitano sulla rete tra un sito remoto e la zona di backup, liberando larghezza di banda WAN per il traffico di produzione senza ridurre la frequenza dei backup.
Backup a caldo di database e sistemi di archiviazione storica – I plugin nativi supportano Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA e gli altri database su cui girano i sistemi di archiviazione storica e MES. Ciascun plug-in acquisisce una copia transazionalmente coerente mentre il database continua a scrivere.
Scalabilità fino a miliardi di file – L’architettura a catalogo gestisce ambienti con miliardi di file, la scala che una moderna fabbrica intelligente raggiunge una volta che i dati di telemetria, i record storici e i dati di qualità si accumulano nel corso degli anni. La maggior parte delle piattaforme di backup inizia a mostrare difficoltà ben prima di raggiungere tale soglia.

Percorsi di ripristino OT

Ripristino bare-metal su hardware diverso – Il plugin Bare Metal Recovery ricostruisce una workstation di ingegneria Linux o Windows oppure un nodo SCADA a partire dal sistema operativo, con supporto UEFI ed EFI. Il ripristino avviene su qualsiasi hardware disponibile, senza la necessità di una sostituzione identica, che per una macchina vecchia di vent’anni non è più possibile ottenere.
Ripristino su una destinazione isolata – Bacula esegue il ripristino su qualsiasi client per riportare i dati di produzione su hardware pulito, mentre le macchine compromesse rimangono spente e intatte per le analisi forensi.
Ripristino granulare e a un punto nel tempo – Gli operatori recuperano un singolo file, un singolo database o lo stato completo del sistema a partire da un timestamp specifico. Una configurazione del controller danneggiata viene sostituita senza dover ripristinare tutto il resto che è stato modificato da allora.
Ripristino multipiattaforma – I dati di backup vengono ripristinati su un sistema operativo diverso da quello di provenienza, per supportare gli impianti che migrano da piattaforme che non ricevono più assistenza e non possono essere ricostruite com’erano.
Recuperabilità verificata – I test automatici di ripristino confermano che un punto di ripristino funzioni prima che qualcuno ne abbia bisogno. BGuardian contrassegna separatamente qualsiasi processo che non sia mai stato ripristinato o verificato, per evitare che un backup non testato rimanga nel catalogo apparendo come integro.
Riavvio dei processi incompleti – Un processo interrotto da un’interruzione di rete o da una finestra di manutenzione riprende dal punto in cui si era interrotto, per garantire che un backup di grandi dimensioni venga completato entro la finestra temporale consentita dal programma di produzione.

Stratificazione dello storage e automazione delle copie

Catena di copie automatizzata 3-2-1-0 – I processi di copia e migrazione salvano il backup primario su disco in loco, lo replicano su uno storage a oggetti nel cloud e trasferiscono una terza copia su nastro “air-gapped”, senza alcuna operazione manuale che possa essere trascurata, per garantire che la copia offline sia disponibile nel momento in cui un malintenzionato dovesse ottenere l’accesso a tutti i dati online.
Destinazioni indipendenti dallo storage – I backup vengono scritti su disco locale, NAS, SAN, librerie a nastro e archiviazione a oggetti compatibile con S3 di qualsiasi fornitore, il che consente a uno stabilimento di non essere vincolato al ciclo di aggiornamento hardware di un singolo fornitore né al modello di tariffazione del cloud.
Conservazione a più livelli – I punti di ripristino invecchiano automaticamente attraverso i livelli di archiviazione. Ciò mantiene i punti di ripristino recenti su dischi veloci, mentre i dati di conformità a lungo termine vengono spostati su nastro o su archiviazione cloud a freddo.
Replica da daemon di archiviazione a daemon di archiviazione – SD2SD trasferisce i dati deduplicati tra i nodi di archiviazione per collocarne una copia in un sito geograficamente separato. Di conseguenza, i punti di ripristino rimangono intatti qualora un’interruzione a livello di sito causi il blocco dell’impianto.

Domande frequenti

In che modo un’azienda manifatturiera dovrebbe reagire a un incidente di sicurezza informatica nell’ambito OT?

A differenza degli incidenti IT, la risposta in ambito OT deve dare priorità alla sicurezza fisica prima del contenimento della rete. È necessario riportare i processi produttivi in uno stato di sicurezza tramite sequenze di arresto di emergenza predefinite prima di disattivare qualsiasi interfaccia di rete, poiché l’interruzione di un processo in esecuzione al di fuori della sequenza di arresto prevista può danneggiare le apparecchiature o creare un rischio per la sicurezza. Successivamente, si deve ripristinare l’ambiente in una piattaforma di staging isolata fisicamente (air-gapped) e verificare ogni configurazione del PLC recuperata rispetto a baseline firmate crittograficamente prima che qualsiasi controller torni a pilotare le apparecchiature fisiche. Riattivare la produzione cella per cella e restituire il controllo agli operatori solo dopo che i sistemi strumentati di sicurezza (SIS) avranno completato i propri autotest.

In futuro i sistemi di produzione saranno sempre più connessi alle reti IT?

Sì, e la maggior parte degli stabilimenti lo è già. L’Industria 4.0 ha collegato i PLC e i sistemi SCADA alle piattaforme ERP aziendali, alle pipeline di analisi cloud e agli strumenti di accesso remoto dei fornitori, poiché i vantaggi in termini di efficienza operativa sono reali e misurabili. L’edge computing sta ampliando ulteriormente questo fenomeno, collocando l’elaborazione dei dati direttamente in fabbrica e creando nuovi percorsi di rete tra i dispositivi OT e l’infrastruttura esterna. Un PLC che cinque anni fa era isolato fisicamente (air-gapped) ora si trova su una rete collegata a Internet, il che significa che i controllori vecchi di decenni, mai progettati tenendo conto della sicurezza informatica, sono raggiungibili dagli stessi aggressori che prendono di mira l’IT aziendale.

I sistemi di controllo industriale sono ancora completamente isolati dalle reti esterne?

Raramente. Il vero isolamento fisico (air-gapping) è ormai l’eccezione. Gli impianti collegano l’OT all’IT aziendale, alle piattaforme cloud e all’accesso remoto dei fornitori perché tali collegamenti rendono le operazioni più efficienti. SolarWinds ha dimostrato come l’air-gap possa fallire nel proprio obiettivo se non applicato correttamente, poiché in quel caso una compromissione del software del data center è comunque riuscita a penetrare nelle reti degli impianti. Tuttavia, il vero air-gap è spesso considerato una best practice quando viene utilizzato come misura di controllo su risorse specifiche, quali i nastri rimossi da una libreria, e non come una caratteristica intrinseca della rete dell’impianto. Bacula offre una forte differenziazione grazie alle sue soluzioni avanzate per i nastri e di vero “air-gapping”, in un momento in cui sta vivendo una sorta di rinascita nelle organizzazioni attente alla sicurezza.

Devo proteggere ogni risorsa OT o solo quelle a più alto rischio, e come faccio a identificare quali siano?

Ogni risorsa, ma non con gli stessi controlli. Un livello di sicurezza (SL) 4 uniforme spreca risorse nelle zone a basso impatto, mentre un SL 1 uniforme lascia quelle pericolose insufficientemente protette. Inizi con un inventario, poiché un controller non documentato non viene mai classificato. Quindi raggruppi le risorse in zone e le classifichi in base alle conseguenze: cosa si guasta fisicamente, se qualcuno si fa male e per quanto tempo l’impianto funziona senza di essa. Una valvola di una turbina e una stampante da ufficio si trovano agli estremi opposti di tale scala.

Bacula Enterprise protegge gli ambienti OT?

Sì. Bacula Enterprise protegge sia gli ambienti OT che quelli IT all’interno di un’unica piattaforma. La sua architettura a cinque componenti si distribuisce attraverso i confini delle zone definiti dalla norma IEC 62443 ed è in grado di eseguire il backup sia dell’historian attivo che dei database tramite plugin nativi senza arrestare il sistema.

Potresti anche essere interessato a:

backup remoto

backup su nastro

Cloud aziendale