💻 computer science

An Approach to Generate Attack Graphs with a Case Study on Siemens PCS7 Blueprint for Water Treatment Plants

Questo articolo presenta un approccio semi-automatizzato per generare grafi di attacco negli ambienti ICS, dimostrando la sua efficacia attraverso uno studio di caso sul blueprint di sicurezza Siemens PCS7 per gli impianti di trattamento delle acque, al fine di visualizzare scenari multi-step e fornire indicazioni pratiche per la mitigazione dei rischi.

Autori originali: Lucas Miranda, Carlos Banjar, Daniel Menasche, Anton Kocheturov, Gaurav Srivastava, Tobias Limmer

Pubblicato 2026-03-27

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Lucas Miranda, Carlos Banjar, Daniel Menasche, Anton Kocheturov, Gaurav Srivastava, Tobias Limmer

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di essere il guardiano di una grande città industriale, dove le centrali idriche, le fabbriche e le reti elettriche sono gestite da computer speciali chiamati "sistemi di controllo industriale" (ICS). Questi sistemi sono come il cuore pulsante della nostra società moderna. Ma c'è un problema: sono sempre più collegati a Internet, il che significa che i ladri digitali (gli hacker) possono provare a entrare.

Il problema è che queste città digitali sono enormi, complesse e piene di passaggi segreti. Capire esattamente come un ladro potrebbe entrare, muoversi da una stanza all'altra e rubare il tesoro è come cercare di trovare un ago in un pagliaio, ma un ago che cambia forma ogni secondo.

Ecco cosa fanno gli autori di questo articolo: hanno creato un mago digitale (un software) che disegna una mappa dei percorsi di furto per noi.

Ecco come funziona, spiegato con parole semplici e analogie:

1. La Mappa del Tesoro (Il Grafico di Attacco)

Immagina che il sistema industriale sia un enorme castello con molte stanze (i dispositivi), corridoi (la rete) e porte blindate (i firewall).

Il problema: Se provi a disegnare a mano tutti i modi in cui un ladro potrebbe entrare, ti ci vorrebbero anni e commetteresti errori.
La soluzione: Il software degli autori prende due cose:
1. La mappa del castello (come sono collegati i computer e le valvole).
2. La lista delle serrature rotte (le vulnerabilità note, chiamate CVE, come se fossero buchi nelle pareti).
Il risultato: Il software crea un "albero delle possibilità". Non ti dice solo "c'è una porta aperta", ma ti mostra l'intera catena: "Se il ladro entra dalla finestra della cucina (un dispositivo), può salire le scale (saltare a un altro computer), prendere le chiavi del maestro (ottenere i privilegi di amministratore) e infine aprire la porta della cassaforte (il sistema di controllo dell'acqua)."

2. Il Caso Studio: Il Castello dell'Acqua di Siemens

Gli autori hanno provato il loro mago su un progetto reale: il piano di sicurezza per le centrali idriche di Siemens (PCS7).
Hanno scoperto due cose fondamentali, come se fossero lezioni di vita per la sicurezza:

L'effetto "Domino": Hanno visto che se un solo dispositivo di confine (come un firewall) è mal configurato, è come togliere il primo tassello di un muro. Tutto il resto crolla. Un ladro può entrare nella zona "DMZ" (una sorta di cortile esterno) e, grazie a un errore di configurazione, saltare direttamente nelle zone più critiche dove vengono controllate le pompe dell'acqua.
La cura miracolosa: Hanno anche dimostrato che se ripari una sola serratura critica (aggiornando un firewall perimetrale), l'intero castello diventa sicuro. È come se riparando la porta principale, tutte le finestre interne diventassero automaticamente inaccessibili.

3. Calcolare la Probabilità (La Scommessa)

Non basta sapere come un ladro potrebbe entrare; bisogna sapere quanto è probabile che lo faccia.
Gli autori usano un metodo matematico intelligente (chiamato "Diagrammi a Blocchi di Affidabilità") che funziona così:

Immagina che ogni passaggio di un attacco sia un anello di una catena. Per rompere la catena (entrare nel sistema), il ladro deve rompere tutti gli anelli.
Se un anello è molto debole (una vulnerabilità facile da sfruttare), la catena si spezza facilmente.
Se ci sono molti percorsi diversi per arrivare al tesoro, la probabilità che il ladro ce la faccia aumenta.

Hanno scoperto che alcuni dispositivi, come certi switch di rete (i "ponti" tra le stanze), sono così vulnerabili che la probabilità di essere attaccati è quasi del 100% (0,999990). Altri dispositivi, invece, sono così ben protetti o difficili da raggiungere che il ladro quasi non ci prova nemmeno.

In Sintesi: Perché è importante?

Prima di questo lavoro, i guardiani della sicurezza dovevano indovinare dove fossero i buchi. Ora hanno una bussola.
Questo approccio permette di:

Vedere il futuro: Simulare scenari di attacco prima che accadano davvero.
Priorizzare: Capire quali serrature riparare prima. Non serve riparare tutte le finestre se la porta principale è aperta; serve riparare quella che blocca l'accesso a tutto il resto.
Proteggere le infrastrutture critiche: Assicurarsi che l'acqua che beviamo e l'energia che usiamo non vengano interrotte da un hacker.

In parole povere: hanno trasformato un puzzle impossibile in una mappa chiara, permettendo ai difensori di costruire muri più alti esattamente dove servono, risparmiando tempo e risorse.

Titolo: Un Approccio per Generare Grafici di Attacco con un Caso di Studio sul Blueprint Siemens PCS7 per Impianti di Trattamento delle Acque

1. Il Problema

I Sistemi di Controllo Industriale (ICS) costituiscono l'infrastruttura critica per settori vitali come gli impianti di trattamento delle acque, le reti elettriche e le manifatture. La crescente connettività tra questi sistemi e le reti IT li ha esposti a un aumento significativo delle minacce informatiche.
La sfida principale risiede nella complessità e nella scala di questi ambienti, che rendono estremamente difficile e soggetta a errori l'analisi manuale per identificare e priorizzare i potenziali percorsi di attacco. Gli analisti della sicurezza hanno bisogno di strumenti per visualizzare come un attaccante possa concatenare diverse vulnerabilità per compromettere asset critici, ma le soluzioni esistenti spesso non sono sufficientemente automatizzate o adattate alle specifiche semantiche degli ambienti ICS (es. protocolli legacy, dispositivi vendor-specific, segmentazione di rete rigorosa).

2. Metodologia

Il paper propone un approccio semi-automatizzato per generare e analizzare grafici di attacco negli ambienti ICS. La metodologia è implementata in un prototipo software modulare composto da tre fasi principali (illustrate nella Figura 1 del paper):

Fase 1: Topology Parser (Analizzatore di Topologia)
- Ingestisce un file JSON strutturato che descrive l'architettura di rete (componenti come firewall, switch, PLC, server, le loro interconnessioni e le zone di sicurezza).
- Costruisce un grafo diretto in cui i nodi rappresentano componenti e bus, e gli spigoli rappresentano le connessioni. Questo grafo funge da mappa di base per l'analisi successiva.
Fase 2: Vulnerability Manager (Gestore delle Vulnerabilità)
- Arricchisce il modello di rete con dati di sicurezza.
- Mappatura: Associa i dispositivi del grafo alle vulnerabilità note (CVE) utilizzando un database di avvisi dei vendor (es. Siemens Security Advisories) e una lista di alias per i nomi dei prodotti.
- Trasformazione Logica: Converte ogni CVE in un insieme di precondizioni (ciò che l'attaccante deve possedere per sfruttare la vulnerabilità, es. privilegi utente o accesso OS) e conseguenze/post-condizioni (ciò che l'attaccante guadagna dopo lo sfruttamento, es. privilegi amministrativi).
- Utilizza regole basate sugli attributi CVSS e parole chiave nelle descrizioni delle CVE. Per le CVE non mappabili, adotta un approccio conservativo assegnando precondizioni elevate (es. OS(ADMIN)) e conseguenze nulle, per evitare falsi positivi.
- Nota: Attualmente non filtra per versioni specifiche del firmware o patch applicate, a causa delle difficoltà di gestione delle patch negli ambienti industriali legacy, ma include tutte le vulnerabilità note come potenziale rischio.
Fase 3: Attack Graph Generator (Generatore di Grafici di Attacco)
- Esegue una traversata statale (stateful traversal) del grafo arricchito per simulare il movimento di un attaccante.
- L'algoritmo inizia da un nodo definito dall'utente e iterativamente:
  1. Verifica l'escalation dei privilegi locali sul nodo corrente.
  2. Identifica i nodi target raggiungibili (movimento laterale).
  3. Confronta lo stato dei privilegi dell'attaccante con le precondizioni delle vulnerabilità sul nodo target.
  4. Se le precondizioni sono soddisfatte, esegue lo sfruttamento, aggiorna lo stato dell'attaccante in base alla conseguenza e ripete il processo.
- I firewall o i dispositivi che bloccano il percorso agiscono come barriere; i dispositivi vulnerabili fungono da ponti tra le zone.

3. Contributi Chiave

Metodologia Semi-Automatizzata: Un framework a più stadi che combina parsing della topologia di rete, gestione delle vulnerabilità e un motore di simulazione basato su grafi, specifico per ambienti ICS.
Caso di Studio Applicativo: L'applicazione pratica del framework sul Siemens PCS7 Cybersecurity Blueprint per impianti di trattamento delle acque. Questo modello rappresenta un'infrastruttura industriale moderna e complessa.
Integrazione di Stima Probabilistica: Proposta di estensione del framework integrando i Diagrammi a Blocco di Affidabilità (RBD) e il sistema EPSS (Exploit Prediction Scoring System) per calcolare la probabilità quantitativa di successo di un attacco, trasformando l'analisi qualitativa in metriche di rischio numeriche.
Capacità di Analisi "What-If": Il sistema permette di simulare scenari di misconfigurazione (es. firewall errati) oltre alle CVE note, fornendo insight su come un singolo punto di fallimento possa compromettere l'intera segmentazione.

4. Risultati

Lo studio di caso sul blueprint Siemens PCS7 ha prodotto i seguenti risultati significativi:

Identificazione di Percorsi di Attacco Multi-step: Il sistema ha generato grafici che mostrano come un attaccante possa muoversi dalla rete perimetrale (Enterprise/DMZ) verso le zone di controllo critico (Building Control e Central Plant).
Impatto delle Misconfigurazioni:
- In una configurazione di base corretta, l'attacco si ferma alla DMZ.
- Introducendo una misconfigurazione nel firewall posteriore, l'attaccante è riuscito a pivotare dalla DMZ alla zona di controllo, raggiungendo i PLC (S7-1512) e successivamente la zona centrale. Questo dimostra come un singolo errore di configurazione possa collassare i confini di isolamento.
Efficacia delle Patch: Rimuovere una vulnerabilità critica nel firewall perimetrale ha rotto l'intera catena di attacco, proteggendo l'intera zona di processo. Ciò evidenzia l'importanza strategica della patching dei dispositivi perimetrali.
Analisi Quantitativa (Probabilità di Sfruttamento):
- Utilizzando l'EPSS e i modelli RBD, sono state calcolate le probabilità di compromissione ( $P_{target}$ ) per vari dispositivi.
- Dispositivi come gli switch SCALANCE M826-2 e M876-4 mostrano una probabilità di compromissione quasi certa (>0.99) a causa di molteplici percorsi di attacco brevi e ad alta probabilità.
- I PLC S7-1512 e S7-1510 hanno una probabilità significativa (~0.81).
- Dispositivi come il TIM 1531 IRC hanno una probabilità più bassa (~0.28) non perché manchino di percorsi, ma perché i percorsi sono più lunghi (richiedono più passaggi) e le vulnerabilità finali hanno punteggi EPSS più bassi.
- Il paper dimostra che la lunghezza del percorso e la probabilità EPSS delle CVE finali sono fattori determinanti quanto il numero di percorsi.

5. Significato e Implicazioni

Questo lavoro è significativo per diversi motivi:

Visualizzazione del Rischio ICS: Fornisce un modo chiaro per visualizzare come le vulnerabilità si propagano attraverso le zone di sicurezza industriali, un aspetto spesso trascurato negli strumenti IT tradizionali.
Supporto Decisionale: Offre agli analisti della sicurezza dati azionabili per prioritizzare gli sforzi di mitigazione. Ad esempio, dimostra che patchare un singolo dispositivo perimetrale può proteggere intere zone di processo, offrendo un alto ritorno sull'investimento (ROI) in termini di sicurezza.
Gestione delle Misconfigurazioni: Sottolinea che le misconfigurazioni (spesso più critiche delle CVE note in scenari reali) possono essere modellate come "vulnerabilità artificiali", permettendo test di resilienza proattivi.
Transizione verso l'Analisi Quantitativa: L'integrazione di metriche probabilistiche (EPSS) con la topologia di rete sposta la valutazione della sicurezza da un approccio puramente qualitativo a uno basato sui dati, facilitando la comunicazione del rischio verso il management.

In conclusione, il paper presenta un framework robusto che colma il divario tra la complessità delle architetture ICS e la necessità di valutazioni di sicurezza automatizzate e approfondite, fornendo un modello replicabile per la protezione delle infrastrutture critiche.