Reti air-gaped: come funzionano, rischi e contromisure

I pericoli e i rischi derivanti dalla connessione a Internet sono noti. Infrastrutture critiche — come centrali elettriche, infrastrutture ferroviarie, circuiti bancari, impianti industriali, reti militari, centri di ricerca ecc. — sono / dovrebbero essere isolate da Internet per ottenere un livello di protezione più elevato.

A questo scopo esistono le cosiddette «reti air‑gaped» o «reti sottovuoto»: sistemi informatici o insiemi di dispositivi fisicamente separati da altre reti, in particolare da Internet, in modo che non esista (quasi)alcuna connessione di rete diretta con l’esterno.

L’isolamento può essere molto restrittivo, ma difficilmente totale: per parafrasare, un barattolo di marmellata “sotto vuoto”, prima o poi sviluppa muffe, anche non ancora aperto. Sintesi: con le reti air‑gaped la protezione è senz’altro maggiore, ma la sicurezza non è assoluta.

Gli “air‑gaped network” sono più costosi da realizzare e gestire; in alcuni casi, il sovrapprezzo può essere rilevante. Il costo dipende da diversi fattori, tra cui: la qualità e la quantità/qualità del “vuoto” richiesto, l’estensione locale o geografica della rete e il tipo di contenuti gestiti. Per riprendere la metafora del vasetto: conta la dimensione del vasetto, la qualità della sigillatura e la natura del contenuto (alcuni alimenti sono più delicati di altri, sottovuoto o meno). Nonostante ciò, le reti air‑gaped rimangono spesso indispensabili, anche se non sono perfettamente sicure. E in fondo, cosa è perfettamente sicuro?

Pro e contro delle reti air-gaped

Vantaggi dell’isolamento fisico

• Isolamento fisico: idealmente nessun cavo, interfaccia wireless o link di rete aperto verso reti esterne (in particolare Internet).
• Trasferimenti controllati: i dati circolano solo tramite mezzi fisici verificati (es. supporti rimovibili, nastri, dischi, console di gestione) sottoposti a procedure di quarantena e controllo.

Limiti operativi e rischi residui

• Maggiore complessità operativa: aggiornamenti, backup e collaborazione remota diventano più difficili e costosi.
• Rischi residui: dispositivi (anche interni) compromessi, attacchi da insider o compromissioni della supply‑chain possono aggirare l’isolamento.

Lo “air‑gap” mostrato in figura è uno schema ideale, ma irrealizzabile. Anche una rete air‑gaped, prima o poi, tramite procedure strettamente controllate, dovrà scambiare dati con l’esterno. Riprendendo la metafora del vasetto di marmellata: per usare la marmellata dovrete aprire, per quanto accuratamente, il vasetto: altrimenti avere la marmellata è inutile… quindi servirà un sifone / rubinetto molto “controllato” che colleghi lo “exposed network” con il “air-gaped network.

Come funziona tecnicamente una rete air-gaped

Un air‑gaped network è un dominio di rete (molto)isolato fisicamente da qualsiasi altra rete non attendibile (in particolare Internet). L’isolamento è realizzato rimuovendo o disabilitando tutti i canali di comunicazione diretti (cavi Ethernet, Wi‑Fi, Bluetooth, cellulari, VPN, porte di gestione remota, supporti removibili) e consentendo il trasferimento di dati solo tramite processi fisici e controllati.

Componenti e architettura tipica

• Segmenti isolati: zone fisiche/virtuali separate (es. produzione OT, rete di controllo, rete mission‑critical) senza connettività layer‑2/3 verso l’esterno.
• Gateway di trasferimento approvati (air‑gap transfer points): postazioni dedicate e controllate per l’import/export di dati tramite supporti rimovibili o unità temporanee; inclusi checkpoint di scansione e firma.
• Lab di staging offline: ambiente separato dove aggiornamenti e file sono testati e verificati prima del trasferimento nell’air‑gap.
• Controlli fisici: accesso controllato (badge, biometrici), CCTV, custodia sigillata dei media e registri di catena di custodia.
• Meccanismi di integrità: Secure Boot, TPM, firme digitali, checksum/HAsh verification e controllo delle firme PKI per firmware e software.
• Sistemi di monitoraggio locali: logging e SIEM locali (con storage immutabile) per rilevare attività anomale senza esporre dati all’esterno.

Procedure operative critiche

• Disabilitazione hardware/software di interfacce di rete non autorizzate (rimozione fisica di moduli Wi‑Fi/Bluetooth, disconnessione porte di gestione remota).
• Politiche rigorose per media rimovibili: cifratura, firma, scansione su sistemi bonificati, e registrazione operatori.
• Flusso di aggiornamento offline: download su rete sicura separata → test in staging isolato → firma interna → trasferimento controllato.
• Inventario e whitelisting hardware/software: solo asset approvati possono essere introdotti; blocco di periferiche non registrate a livello firmware/BIOS.
• Controlli di integrità all’avvio e runtime (measured boot, attestation) per verificare che firmware e OS non siano stati compromessi.

Rischi residui mediante vettori non tradizionali

• Media rimovibili compromettono la barriera se non verificati (p.e. USB infected).
• Insider threat (intenzionale o per errore).
• Compromissione nella supply‑chain (firmware/hardware maligni).
• Canali laterali: emanazioni elettromagnetiche, acustiche, ottiche o temporizzazione che possono esfiltrare dati; attacchi sofisticati possono usare segnali non‑standard.
• Firmware/BIOS compromessi o hardware con rootkit preinstallati.

Misure tecniche difensive avanzate

• Attestazione hardware/firmware e monitoraggio delle misure di boot.
• Segmentazione fisica e uso di VLAN/SDN solo dentro l’enclave, tenendo separate funzioni critiche.
• Whitelisting applicativo e controllo delle esecuzioni (app allowlists).
• Sistemi di rilevamento anomalia comportamentale locali con storage WORM per preservare evidenze.
• Uso di appliance di trasferimento con Enforcement Policy (es. dispositivi che richiedono firma digitale e registrazione prima di permettere copia).

Esempio operativo di aggiornamento offline

1. Scarico patch dal vendor su rete aziendale separata.
2. Verifica firma e checksum su sistema di staging offline.
3. Test funzionale/compatibilità in lab isolato.
4. Firma interna del pacchetto approvato e scrittura su media cifrato sigillato.
5. Registrazione catena di custodia e trasporto fisico al sito air‑gaped.
6. Scansione finale e applicazione dell’update tramite console di gestione locale.

Vettori di attacco e contromisure nelle reti air-gaped

Ecco i principali vettori d’attacco verso una rete air‑gaped, organizzati per categoria con brevi note su meccanismi e contromisure chiave.

• Media rimovibili compromessi
  • Meccanismo: USB/SSD/tape infettati che trasferiscono malware quando inseriti.
  • Contromisure: scansione su lab isolato, cifratura e firma degli artefatti, whitelisting dei dispositivi, policy di quarantena.
• Insider (malintenzionato o negligente)
  • Meccanismo: dipendenti o appaltatori che introducono file compromessi, credenziali o dispositivi; abuso privilegi.
  • Contromisure: least‑privilege, separazione dei ruoli, controllo accessi fisici, logging WORM, monitoraggio comportamentale, formazione.
• Compromissione della supply‑chain
  • Meccanismo: hardware/firmware o software con backdoor inserite prima della consegna.
  • Contromisure: valutazione fornitori, verifica firme/checksum, quarantena, test firmware, clausole contrattuali, attestazione hardware.
• Firmware/BIOS/MBR/UEFI rootkit
  • Meccanismo: malware persistente installato sotto l’OS che sopravvive re-installazioni.
  • Contromisure: Secure Boot, TPM, misured/verified boot, confronti di firmware con immagini firmate, aggiornamenti controllati.
• Attacchi via canali laterali (covert channels)
  • Meccanismo: esfiltrazione tramite segnali non‑standard — emissioni elettromagnetiche, acustiche, ottiche (LED), vibrazioni, temporizzazione.
  • Contromisure: schermatura EMI, filtraggio, monitoraggio ambientale, policy sui dispositivi che emettono segnali (telefoni vietati, spegnimento LED), analisi risk‑based per asset critici.
• Attacchi tramite dispositivi periferici
  • Meccanismo: tastiere, mouse, drive controller o firmware di periferiche compromessi che eseguono codice malevolo.
  • Contromisure: approvvigionamento da canali verificati, verifica firmware periferiche, blocco dispositivi non inventariati.
• Compromissione del processo di aggiornamento offline
  • Meccanismo: pacchetti aggiornamento falsificati o sostituiti durante download/staging/trasporto.
  • Contromisure: firme digitali end‑to‑end, server di staging isolati, catena di custodia dei media, registrazione operatori.
• Attacchi fisici e furto di dispositivi
  • Meccanismo: rimozione o manipolazione hardware, esfiltrazione fisica di storage.
  • Contromisure: controllo accessi fisici, CCTV, sigilli anti‑tamper, cifratura full‑disk, inventario e riconciliazione.
• Abuso di canali di gestione “fuori banda”
  • Meccanismo: console di gestione, KVM, porte seriali o JTAG esposte e usate per compromettere sistemi.
  • Contromisure: disabilitare/non collegare interfacce non necessarie, whitelist di accesso console, autenticazione forte, logging.
• Compromissione delle immagini di build interne
  • Meccanismo: toolchain o build server compromessi che generano binari malevoli firmati internamente.
  • Contromisure: protezione e audit dei sistemi di build, riproducibilità delle build, separazione ruoli nella firma.
• Exfiltration via persone o documenti (paper trails)
  • Meccanismo: fotografare schermi, trascrivere dati, rimuovere stampe o backup cartacei.
  • Contromisure: policy dispositivi fotografici vietati, oscuramento schermi, controllo documenti, shredding dei file
• Attacchi supply/maintenance esterni (fornitori on‑site)
  • Meccanismo: tecnici esterni che introducono malware tramite strumenti o sostituzioni hardware.
  • Contromisure: supervisionare visitatori, account temporanei, audit delle attività, scanner indipendenti degli strumenti usati.
• Cross‑domain bridging da ambiente di staging o test
  • Meccanismo: errore di configurazione o bridge non intenzionale che collega enclave all’esterno.
  • Contromisure: rete fisicamente separata, controlli di configurazione, test di penetrazione e valutazioni di gap.
• Compromissione tramite attacchi supply di componenti RF/IoT nascosti
  • Meccanismo: dispositivi apparentemente innocui con moduli radio (anche rete cellulare!) o funzionalità nascoste che comunicano esternamente.
  • Contromisure: inventario rigoroso, ispezione hardware, blocco RF, divieto di dispositivi non autorizzati.

Breve priorità pratica (ordine raccomandato per mitigazione iniziale)

1. Controlli fisici e gestione dei supporti rimovibili.
2. Policy e formazione per ridurre rischio insider.
3. Verifica firme/checksum e processi di staging per aggiornamenti.
4. Secure Boot/TPM e controlli firmware.
5. Protezioni contro canali laterali per asset con massima confidenzialità.

Checklist per proteggere un ambiente air-gaped

Controlli fisici e accesso

1. Accesso fisico: limitare l’accesso alle aree air‑gaped con badge, serrature e registri di entrata/uscita;
2. Controllo visitatori: procedure di ingresso per visitatori; supervisione continua; divieto di dispositivi personali non autorizzati (in particolare chiavette USB, laptop, telefoni cellulari);
3. Inventario asset: registrare ogni dispositivo hardware, con etichette e verifica periodica (scadenza: mensile);
4. Selezione personale: background check per chi ha accesso e policy least‑privilege.

Supporti rimovibili e aggiornamenti

5. Politica media rimovibili: divieto o uso solo di media dedicati, numerati e scansionati su workstation di quarantena;
6. Blocco autorun / disabilitazione porte: disabilitare autorun e, dove possibile, porte USB/Thunderbolt non necessarie a livello BIOS/OS;
7. Workstation di aggiornamento: usare macchine dedicate e fissate per trasferimenti approvati; trasferire dati solo tramite media firmati e verificati;
8. Firma digitale e verifica: aggiornamenti firmware/software devono essere firmati; verificare firma prima dell’installazione.

Hardware, firmware e supply-chain

9. Fornitori approvati: scegliere fornitori verificati; richiedere report di integrità/firmware;
10. Verifica all’arrivo: ispezione e scansione hardware/firmware dei nuovi dispositivi in ambiente isolato prima dell’immissione in rete;
11. Firmware attestation: abilitare Secure Boot, attestation hardware quando possibile; conservare immagini firmware di riferimento;

Segmentazione, periferiche e dispositivi condivisi

12. Nessun device condiviso: evitare stampanti/scanner o altri dispositivi collegati a domini differenti;
13. Data diodes/one‑way transfer: usare soluzioni unidirezionali per trasferimento dati legittimo da e verso l’esterno (il “sifone” di cui sopra);
14. Periferiche approvate: inventario e whitelist di tastiere, mouse, storage; proibire device consumer non certificati.

Monitoraggio, canali covert e audit

15. Controllo integrità: baseline delle immagini disco e checksum periodici per rilevare modifiche non autorizzate;
16. Rilevamento anomalie fisiche: monitoraggio della qualità dell’alimentazione, log eventi BIOS e controllo temperatura/fan;
17. Scan RF/EM: scansioni periodiche per rilevare trasmettitori RF/EM non autorizzati nelle vicinanze.
18. Schermatura EM: valutare gabbie di Faraday o schermature locali per aree sensibili;
19. Controllo output ottico/acustico: disabilitare o rimuovere LED/altoparlanti non necessari; controllare indicatori visivi.
20. Isolamento termico/logico: ridurre possibilità di modulazione termica tramite controllo HVAC e monitoraggio temperatura.
21. Policy di manutenzione: procedure scritte per interventi (workstation dedicata, supervisione, logging completo);
22. Formazione obbligatoria: training regolare su rischi, social engineering e procedure di handling dei supporti;
23. Gestione incidenti: playbook di risposta (isolare, preservare evidenze, recovery) e contatti di escalation.
24. Tracciamento asset: registrare trasferimenti, riparazioni e ricondizionamento;
25. Cancellazione sicura: procedure per wiping/verifica prima della dismissione o ricondizionamento;
26. Politica di ritiro: non re‑immmettere hardware ricondizionato senza verifica completa.
27. Audit periodici: controlli di conformità e pen test specifici per air‑gap (annuali o semestrali);
28. Red team / exercises: simulazioni di attacco che includano vettori fisici, supply‑chain e insider.

Dispositivi vetted nelle reti air-gaped

Un “vetted device” (dispositivo verificato) è un dispositivo hardware o periferica che è stato sottoposto a controlli e procedure di sicurezza prima di essere autorizzato per l’uso in una rete air‑gaped. Principali caratteristiche e controlli che definiscono un dispositivo vetted:

• Provenienza verificata: acquistato da fornitori approvati e tracciabili;
• Ispezione all’arrivo: controllo fisico per manomissioni e confronto con specifiche attese;
• Verifica firmware/software: conferma che firmware e software siano integri e firmati ed eventuale “reflashing” da immagini ufficiali;
• Scansione malware: analisi su workstation isolata per rilevare codice malevolo;
• Conformità a whitelist: il dispositivo è incluso nell’inventario autorizzato e nella lista di periferiche approvate;
• Imballaggio e catena di custodia: confezione sigillata e registrazione della catena di possesso fino all’installazione;
• Hardening/lockdown: rimozione o disabilitazione di funzionalità non necessarie (es. firmware di debug, interfacce wireless);
• Documentazione e firma digitale: certificati, firme del firmware e rapporti di verifica conservati per audit;
• Test funzionali e di sicurezza: test operativi e di integrità prima dell’immissione in produzione;
• Tracciabilità e ciclo di vita: registrazione dell’asset, manutenzioni, aggiornamenti e dismissione.

In pratica, un dispositivo vetted è «fidato e verificato»: non solo proveniente da una fonte attendibile, ma tecnicamente e proceduralmente controllato per ridurre il rischio di compromissione. Il rischio sarà molto ridotto, ma mai zero!

La metafora della marmellata: perché il rischio non è mai zero

Per proseguire con la parafrasi della marmellata: anche (quasi!)sottovuoto può formarsi muffa per questi principali motivi:

• Contaminazione iniziale: sporco o spore presenti su frutta, utensili o barattoli non completamente puliti entrano nel vasetto prima della chiusura;
• Insufficiente cottura o acidità bassa: temperature o tempi di cottura troppo bassi non eliminano completamente i microrganismi; marmellate con pH più alto (meno acide) sono più a rischio;
• Chiusura difettosa o riempimento non corretto: se il bordo del barattolo non è pulito o il tappo non sigilla perfettamente entrano aria e spore;
• Contatto post-apertura: apertura ripetuta e/o contaminazione con cucchiaio sporco[*] introduce muffe e umidità o residui sul bordo favoriscono la crescita;
• Conservazione inadeguata: calore, luce o sbalzi di temperatura deteriorano la barriera e favoriscono la crescita fungina;
• Zucchero insufficiente o alta umidità interna: lo zucchero lega acqua libera; quantità troppo bassa o acqua libera residua permette ai funghi di crescere.

[*] del resto “aprire” il vasetto della marmellata prima o poi è necessario o la marmellata sarebbe inutile. Così come aprire occasionalmente e con cura un “air-gaped network sarà necessario per usare i dati o introdurre dati (in particolare aggiornamenti hardware e software). Con le contromisure sopra elencate, l’apertura del “vasetto” sarà la minima necessaria e con tutte le cautele per contaminare il meno possibile “tappo”, “bordo” e “cucchiaio” del vasetto: ovvero del “air-gaped network”.

Riferimenti

NIST SPECIAL PUBLICATION 1800-10

<https://www.nist.gov/blogs/manufacturing-innovation-blog/cybersecurity-manufacturing-sector-reduce-data-integrity>

Mind The Gap: Can Air-Gaps Keep Your Private Data Secure?

<https://arxiv.org/html/2409.04190v1>

Complete Guide: Zero Trust for Air-gaped Networks

<https://www.pomerium.com/blog/complete-guide-zero-trust-for-air-gaped-networks>

A Survey on Air-Gap Attacks: Fundamentals, Transport Means, Attack Scenarios and Challenges

<https://www.mdpi.com/1424-8220/23/6/3215>