Il monitoraggio passivo di una rete industriale significa osservare il traffico e i comportamenti che già esistono — copie dei pacchetti, registri, segnali disponibili — senza mai inviare richieste ai dispositivi. È la differenza tra ascoltare una conversazione e fare domande a chi parla: la prima non disturba, la seconda può mandare in tilt una macchina datata. Questa guida chiarisce cosa si vede davvero ascoltando, quali sono i limiti e come si arriva dalla segnalazione a una decisione umana.
Definizione: osservare senza interrogare
Nelle reti di ufficio è normale «interrogare» i sistemi: una scansione chiede a ogni dispositivo chi è, quali servizi espone, quali versioni esegue. In una rete OT (Operational Technology, la tecnologia che monitora e controlla processi fisici) questo approccio può essere rischioso: alcuni controllori e pannelli operatore di vecchia generazione non tollerano traffico inatteso, e la guida NIST SP 800-82 revisione 3 del National Institute of Standards and Technology statunitense pone prestazioni e affidabilità dell'impianto tra i requisiti peculiari dell'OT. Ogni tecnica di osservazione va quindi valutata rispetto alla continuità del processo.
Il monitoraggio passivo aggira il problema alla radice: non genera traffico verso i dispositivi. Si limita a ricevere una copia del traffico che già circola — tipicamente tramite la porta di replica di uno switch o un punto di derivazione passivo — e a raccogliere registri e segnali che i sistemi producono comunque. Il dispositivo industriale non sa di essere osservato, perché nessuno gli sta chiedendo nulla.
| Aspetto | Monitoraggio passivo | Scansione attiva |
|---|---|---|
| Traffico verso i dispositivi | Nessuno: riceve copie del traffico esistente | Genera richieste dirette ai dispositivi |
| Rischio per macchine datate | Minimo, se il punto di osservazione è progettato bene | Può disturbare o bloccare dispositivi sensibili |
| Cosa rivela | Chi comunica con chi, quando, con quali protocolli; silenzi e variazioni | Configurazioni e versioni dichiarate dal dispositivo |
| Cosa non rivela | Ciò che non transita sulla rete osservata | Comunicazioni che avvengono solo durante la scansione |
Cosa si vede dal traffico e dai comportamenti
Ascoltando nel tempo, il monitoraggio passivo costruisce un quadro della «normalità» dell'officina: quali macchine parlano con quali sistemi, con quale ritmo, su quali protocolli. Da questo quadro emergono anomalie che nessuna scansione periodica vedrebbe, perché riguardano il comportamento, non la configurazione:
- Un silenzio inatteso. Un sensore che invia letture ogni pochi secondi smette di trasmettere. Nessuna scansione lo noterebbe come evento: è l'assenza di traffico atteso a segnalarlo.
- Un interlocutore nuovo. Un dispositivo di linea inizia a dialogare con un apparato mai visto prima nella rete, per esempio un computer portatile collegato per una manutenzione.
- Un cambio di abitudini. Una macchina che comunicava solo con il proprio supervisore inizia a contattare altre destinazioni, o lo fa in orari insoliti.
- Un protocollo fuori posto. Tra due macchine compare un tipo di traffico che non appartiene al loro processo.
Nessuno di questi segnali è, da solo, la prova di un problema di sicurezza: possono esserci manutenzioni, riconfigurazioni, nuovi lotti di produzione. Sono indizi da spiegare, non verdetta. Le anomalie sui sensori di produzione meritano un approfondimento specifico, trattato nell'articolo sulle anomalie dei sensori IoT in produzione.
Limiti e falsi positivi
Il monitoraggio passivo non è onnisciente, e chi lo vende come tale non fa un favore al cliente. I limiti principali:
- Vede solo ciò che transita dove ascolta. Una comunicazione su un tratto di rete non coperto, o interamente dentro una macchina, resta invisibile.
- Il traffico cifrato mostra poco. Se il contenuto è cifrato si osservano interlocutori, volumi e tempi, non il significato degli scambi.
- La «normalità» va imparata. Nei primi tempi il sistema non sa ancora cosa è atteso: le segnalazioni vanno lette con prudenza e il quadro si affina con il lavoro congiunto di chi conosce l'impianto.
- I falsi positivi esistono. Una manutenzione legittima può assomigliare a un'intrusione: stesso interlocutore nuovo, stesso orario insolito. Senza il contesto operativo — chi è in turno, quali interventi sono pianificati — l'ascolto produce rumore.
Per questo la qualità del monitoraggio passivo si misura anche da quanto bene le segnalazioni vengono spiegate, non solo rilevate. Un sistema che dice «anomalia» senza mostrare cosa ha osservato sposta il lavoro su di te.
Serve hardware dedicato in linea?
In genere no, e la distinzione conta. Le modalità più comuni di osservazione passiva sono la porta di replica di uno switch (che duplica il traffico verso il punto di ascolto, funzione nota come SPAN o mirroring) o un punto di derivazione passivo (TAP, Test Access Point) che copia i segnali senza poter intervenire sulla linea. In entrambi i casi l'osservatore non è «in linea»: se si guasta o si spegne, la produzione non se ne accorge.
Ci sono però attenzioni pratiche: la replica consuma risorse dello switch e va dimensionata; gli impianti con reti vecchie o non gestite possono richiedere un piccolo intervento di rete per creare il punto di ascolto; la scelta va fatta con chi gestisce l'infrastruttura e, dove serve, con il fornitore delle macchine. La fattibilità dipende dal singolo impianto: è uno dei primi punti da chiarire in una valutazione sul campo, come indicato anche nella guida su come scegliere il monitoraggio per la propria fabbrica.
Esempio illustrativo: il portatile sulla linea di assemblaggio
Esempio illustrativo. Lo scenario seguente è inventato a scopo didattico e non descrive un'azienda reale né un incidente avvenuto.
In un'officina con una linea di assemblaggio, il punto di osservazione passivo copia il traffico del reparto da alcune settimane e ha ormai un quadro stabile: i controllori parlano con il supervisore, i sensori inviano letture cadenzate, nient'altro. Un giovedì pomeriggio, un controllore inizia a scambiare traffico con un indirizzo mai osservato: un portatile collegato allo stesso switch di linea. Nessuna richiesta è stata inviata al controllore per scoprirlo: il dialogo è semplicemente apparso nella copia del traffico.
Il responsabile confronta il segnale con le attività pianificate e scopre che il fornitore della linea è intervenuto per una regolazione, collegando il proprio computer come previsto dal contratto, ma senza avvisare l'ufficio IT. L'episodio si chiude con una nota nel registro e con la richiesta al fornitore di segnalare sempre gli interventi — tema collegato alla gestione degli accessi dei manutentori esterni. Se invece nessun intervento fosse stato pianificato, lo stesso segnale avrebbe aperto una verifica diversa. Il monitoraggio ha fatto la sua parte: ha visto. La spiegazione è arrivata dalle persone.
Dalla segnalazione alla decisione umana: il contributo di OverZeus
OverZeus per le aziende con dispositivi e impianti lavora sui segnali disponibili e sulle fonti autorizzate del singolo ambiente — la copertura dipende dalle integrazioni concordate in fase di progetto, non è una promessa universale. Sul tema dell'osservazione intervengono in particolare due agenti:
- Argus osserva eventi, servizi, rete e dispositivi collegati ed evidenzia anomalie e scostamenti dalla situazione attesa. È un osservatore: legge ciò che le fonti collegate rendono disponibile, non esegue scansioni attive sui dispositivi dell'impianto.
- Hephaestus porta il contesto di macchine, sensori e dispositivi connessi: il ruolo della macchina, le sue dipendenze operative, le conseguenze che una variazione osservata può avere sul processo. È ciò che trasforma «un traffico inatteso» in «il controllore della linea 2, durante il turno pomeridiano, mentre era prevista una manutenzione».
La segnalazione arriva al responsabile tramite l'app Hermes, con ciò che è stato osservato, le possibili spiegazioni e le opzioni: continuare a osservare, verificare con il proprietario del sistema, o approfondire il caso. Nessuna azione su macchine o reti parte senza l'approvazione prevista, e il silenzio non autorizza nulla: le funzioni di sicurezza e il controllo di processo restano affidati ai sistemi dell'impianto e ai responsabili tecnici.
Ascoltare bene, decidere meglio
Il monitoraggio passivo conviene in officina perché rispetta il vincolo fondamentale dell'OT: prima non disturbare. In cambio offre qualcosa che le scansioni non danno — il comportamento nel tempo — a patto di accettarne i limiti e di tenere la spiegazione e la decisione nelle mani delle persone.
Descrivi impianti, sensori e vincoli produttivi per definire il perimetro di una demo.
Contenuto realizzato con assistenza AI. Gli scenari descritti sono esempi illustrativi.