Nel luglio di quest’anno, una piccola compagna di sicurezza bielorussa, ha individuato una “minaccia” ai sistemi piuttosto strana.
Il Worm (almeno così è stato definito, anche se sarebbe corretto trovare una nuova definizione a questo tipo di minaccia) era estremamente sofisticato, qualcosa che andava ben al di là di un singolo esercizio stilistico di qualche sviluppatore in cerca di fama (o di qualcosa d’altro).

Lo scenario di attacco era estremamente singolare: L’obbiettivo di questa minaccia, infatti, era l’alterazione del funzionamento di particolari sistemi SCADA, quindi sistemi industriali, ne sceglieva fra l’altro di specifici, ed andava a modificare il funzionamento dei PLC del sistema per alterare (e danneggiare) il funzionamento dei motori collegati ai PLC.

Per “aggredire” i sistemi si sfruttava un motore che verificava ben 5 vulnerabilità, delle quali ben 4 “zero day”, ossia completamente sconosciute e prive, quindi, di patch per evitarle. Il sistema bersaglio è Windows, anche se è mirato alla versione embedded.
Ci sono svariate altre raffinatezze ed evoluzioni tecniche in questa minaccia che richiedeva, per la sua realizzazione, un team di persone, esperte di processi industriali e di informatica e diversi mesi uomo di realizzazione.

Se si da un’occhiata ai sistemi colpiti, salta assolutamente all’occhio il fatto che, la stragrande maggioranza dei sistemi colpiti sia in Iran.

Quindi, ricapitolando, abbiamo una “minaccia” che è stata costruita ad hoc da un team piuttosto sofisticato di persone (con un costo significativo, pertanto), con l’obbiettivo di compromettere impianti industriali di una specifica nazione.

La cosa, di per se, fa pensare moltissimo, ed offre scenari per il futuro genericamente interessanti.
La diffusione straordinaria dell’IT, sta portando ad una proliferazione di sistemi che vengono utilizzati in una grandissima maggioranza di processi industriali, finanziari, di controllo, di comunicazione. Tanti più sono i sistemi, tanto più è complesso gestirne la sicurezza, il patching, il monitoraggio.
La consumerizzazione, poi, porta ad avere sistemi che hanno un’attenzione alla gestione ed alla sicurezza modesta, mentre i sistemi industriali sono pensati come concettualmente “sconnessi” dal resto del mondo, e spesso annegati in apparati industriali che non hanno però procedure specifiche di manutenzione e sicurezza.

Questo significa che, nel futuro, ci saranno gli spazi per sostenere costi maggiori relativi alla costruzioni di minacce estremamente sofisticate.

Quante domande emergono da questo scenario? L’IT è un’onda che non si fermerà certo per questi timori, ma sarebbe necessario avere una polizia informatica? E che giurisdizione potrebbe avere questo tipo di forza dell’ordine?
La semplificazione massiva dell’IT legata alla consumerizzazione aumenta o diminuisce a dismisura la governance dei sistemi e, quindi, la loro sicurezza?
Che ricadute politiche può avere, invece, una minaccia che ha come bersaglio un sistema operativo realizzato da un’azienda americana in un paese “avversario” degli stati uniti?
E ancora: Visto il livello di sicurezza medio delle aziende (che tendenzialmente hanno un approccio più reattivo verso i problemi IT), che rischi reali corrono le aziende in un momento nel quale tendono ad economizzare i loro investimenti disinvestendo dalla sicurezza?

Ai posteri l’ardua sentenza.