Modello Purdue: livelli e segmentazione della rete OT

La risposta breve: il modello Purdue (in inglese Purdue model) è un'architettura di riferimento che divide la rete di un'azienda industriale in livelli, dai sensori in campo fino ai sistemi gestionali. Nella sicurezza OT si usa per decidere dove segmentare: le comunicazioni passano solo tra livelli adiacenti, e tra la parte IT e quella OT si mette una DMZ che filtra e registra il traffico.

Da dove viene il modello Purdue

Il modello nasce dal Purdue Reference Model for CIM (titolo del volume: A Reference Model for Computer Integrated Manufacturing), un documento curato da Theodore J. Williams per il CIM Reference Model Committee dell'International Purdue Workshop on Industrial Computer Systems e pubblicato nel 1989 dalla Instrument Society of America. Il testo è scaricabile dal sito pera.net.

Non era un modello di sicurezza: serviva a organizzare in una gerarchia i compiti di un sistema di controllo di fabbrica, e nella versione originale i livelli funzionali vanno da 1 a 4 sopra il processo fisico, con il livello 4 diviso in 4A e 4B, e un livello 5 per le aziende con più stabilimenti. Il documento precisa che corrispondano o no a hardware distinto dipende da quanto è grande e complesso lo stabilimento.

Da quel lavoro è derivata la ISA-95 (IEC 62264), che definisce l'interfaccia tra sistemi di controllo e sistemi aziendali, come ricorda la guida NIST SP 800-82 Rev. 3. La numerazione da 0 a 5 con la DMZ, quella usata oggi nella sicurezza OT, è un adattamento successivo.

I livelli del modello Purdue

Una versione di riferimento pubblica è quella della NIST SP 800-82 Rev. 3, la guida del NIST alla sicurezza OT pubblicata a settembre 2023. La figura 16 riporta i livelli con questi nomi; gli esempi di sistemi sono nostri.

Livello 0: dispositivi di campo (Field I/O)

Sensori, attuatori, valvole: ciò che misura e muove il processo fisico. NIST segnala che molti dispositivi e protocolli di questo livello non supportano l'autenticazione, quindi un dato può essere riprodotto, modificato o falsificato. Per i processi più critici suggerisce controlli che rilevino i dati scorretti.

Livello 1: rete dei controllori

PLC, RTU e controllori che eseguono la logica di controllo sui dispositivi di campo.

Livello 2: controllo d'area (HMI)

Le interfacce operatore e i sistemi di supervisione di una linea o di un reparto.

Livello 3: operazioni e controllo

I sistemi che gestiscono la produzione dell'intero sito: per esempio MES, historian, server di stabilimento e workstation di ingegneria.

DMZ industriale

La zona cuscinetto tra la rete di stabilimento e la rete aziendale, che nella pratica viene spesso chiamata livello 3.5. Nella figura NIST compare tra il livello 3 e il livello 4, e una seconda DMZ sta sopra il livello 5, verso l'esterno.

Livelli 4 e 5: pianificazione e rete aziendale

Il livello 4 (Business Planning / Logistics) ospita gestionale, logistica e pianificazione; il livello 5 (Enterprise) la rete aziendale vera e propria, con posta, servizi centrali e accesso a internet.

La scheda sulla segmentazione pubblicata nel 2024 dall'EPA statunitense la riassume così: i livelli da 0 a 3 sono asset OT, i livelli 4 e 5 sono la rete IT, e la segmentazione principale avviene tra il livello 3 e il livello 4, dove si colloca la DMZ.

Come si usa il modello Purdue per la segmentazione OT

Il modello in sé non blocca niente: è una mappa per decidere dove mettere i confini. NIST SP 800-82 Rev. 3 la traduce in regole precise.

• Solo livelli adiacenti. Le regole dei firewall devono permettere connessioni solo tra livelli, zone o tier adiacenti. L'esempio di NIST: un dispositivo del livello 4 non deve poter parlare direttamente con i livelli 2, 1 o 0.
• L'uscita conta quanto l'ingresso. NIST indica il traffico in uscita dalla rete di controllo come un'area in cui le pratiche variano molto, e suggerisce di renderne le regole rigide quanto quelle in entrata.
• Tutto passa dalla DMZ. Le comunicazioni tra rete aziendale e rete di stabilimento devono attraversare servizi ospitati nella DMZ, e quei servizi vanno monitorati, perché sono il punto da cui un attaccante può passare all'OT senza essere visto.
• Negato per default. La scheda EPA chiede di negare ogni connessione dalla rete IT verso la rete OT, salvo quelle esplicitamente autorizzate per indirizzo IP e porta, per funzioni precise.
• Gateway unidirezionali dove serve. In alternativa al firewall, un gateway unidirezionale (data diode) lascia passare i dati in un solo verso. NIST porta l'esempio di un gateway tra i livelli 2 e 3, che può tenere al riparo i livelli 0, 1 e 2 da un incidente nei livelli 3, 4 e 5.

I passi in un progetto reale

1. Inventario degli asset OT, compresi quelli vecchi o non documentati: senza sapere cosa c'è sulla rete non si decide in quale livello sta.
2. Mappa dei flussi: chi parla con chi, con quale protocollo, per quale funzione. NIST parte proprio dai flussi mappati per definire le comunicazioni necessarie.
3. Raggruppamento in livelli o zone, che per NIST è l'attività preliminare a qualsiasi isolamento.
4. Regole tra livelli adiacenti e DMZ, a partire dal confine tra livello 3 e livello 4.
5. Accessi remoti: per NIST vanno concessi solo se giustificati, limitati al necessario, senza aggirare i controlli di sicurezza, e con l'autenticazione a più fattori da considerare per l'accesso al sistema OT. È il punto da cui entrano i fornitori delle macchine.
6. Monitoraggio dei confini e del traffico interno, di cui parliamo più sotto.

La nostra lettura del documento PERA, utile in pratica: i livelli sono funzionali, quindi non serve una sottorete fisica per ciascuno. In uno stabilimento piccolo, livelli 1 e 2 possono convivere nello stesso segmento; quello che conta è che i confini tra IT e OT e verso l'esterno siano reali e controllati.

Modello Purdue e ISA/IEC 62443: livelli e zone

La ISA/IEC 62443 è la serie di standard internazionali sulla sicurezza dei sistemi di controllo industriale. Come spiega ISA, definisce requisiti per i diversi attori coinvolti: chi possiede e gestisce gli impianti, i fornitori di prodotti, gli integratori e i fornitori di servizi. Tra le sue parti c'è la 3-2, dedicata alla valutazione del rischio per la progettazione del sistema.

Dove il modello Purdue ragiona per livelli funzionali, la 62443 ragiona per zone e condotti. NIST descrive la zona di sicurezza come un insieme di sistemi a cui applicare gli stessi controlli, e nella figura 16 mette le due architetture fianco a fianco: le zone della 62443 sono collegate da condotti, i passaggi attraverso cui transitano le comunicazioni tra una zona e l'altra. NIST scrive poi che la regola delle comunicazioni tra elementi adiacenti si applica in modo simile anche alla 62443.

In pratica le due cose si usano insieme. Il modello Purdue dà un punto di partenza che capiscono tutti, dalla produzione al fornitore della linea. La 62443 aggiunge il criterio del rischio: per fare un esempio, due PLC dello stesso livello possono finire in zone diverse se uno governa un processo critico per la sicurezza delle persone e l'altro no.

Il modello Purdue è superato?

Il modello resta valido come mappa, non come garanzia. Tre ragioni per cui da solo non basta più:

• L'isolamento totale non esiste. La scheda EPA ricorda che mantenere un vero air gap tra IT e OT è praticamente impossibile, anche negli impianti più sorvegliati (cita Stuxnet, 2010), e che per questo, nei sistemi idrici a cui la scheda è rivolta, la maggior parte degli attacchi contro le reti OT comincia dalla rete IT.
• IIoT e cloud spostano i confini. NIST osserva che l'introduzione di dispositivi IIoT in ambiente OT può richiedere di modificare i confini o di esporre più interfacce e servizi, e che richiede una collaborazione più stretta tra i team di sicurezza IT e OT.
• Lo zero trust arriva solo fino a un certo punto. Sempre secondo NIST, alcuni componenti OT come PLC, controllori e HMI possono non supportare le tecnologie necessarie per un'architettura zero trust, che va quindi applicata ai dispositivi compatibili, tipicamente nei livelli 3, 4, 5 e nella DMZ.

Quindi i livelli bassi restano affidati alla segmentazione, quelli alti possono adottare controlli più moderni, e il modello Purdue tiene insieme le due cose.

Monitorare quello che la segmentazione lascia passare

Una rete segmentata riduce i percorsi possibili, ma non dice se qualcuno li sta usando. NIST nota che il traffico OT è di solito più deterministico di quello IT, cioè ripetitivo e prevedibile, e questo aiuta a riconoscere le anomalie. Il primo passo che suggerisce è conoscere lo stato normale della rete, con un monitoraggio in modalità passiva che distingua le comunicazioni note da quelle sconosciute.

Servono quindi sensori che ascoltano il traffico ai confini tra i livelli e nella DMZ, e qualcuno che legga quegli eventi insieme a quelli della rete IT, da cui un attacco all'OT può essere passato prima. È il lavoro di un SIEM e di chi lo presidia. Anche la gestione delle patch va ripensata livello per livello: sui livelli 0-2 spesso non si può aggiornare a piacere, e la segmentazione diventa il controllo che compensa.

Segmentazione OT e NIS2

Le misure di sicurezza di base dell'ACN per i soggetti NIS2 (allegati 1 e 2 della determinazione ACN 379907/2025, per soggetti importanti ed essenziali) non nominano il modello Purdue e non impongono un'architettura a livelli. Contengono però tre requisiti che in uno stabilimento si soddisfano male senza una segmentazione pensata:

• ID.AM-01: un inventario aggiornato degli apparati fisici che compongono i sistemi informativi e di rete, compresi in modo esplicito i dispositivi OT.
• PR.IR-01: le attività consentite da remoto definite e documentate, un elenco aggiornato dei sistemi accessibili da remoto con le relative modalità di accesso, e sistemi perimetrali come i firewall presenti, aggiornati e configurati in modo adeguato.
• DE.CM-01: strumenti tecnici per rilevare tempestivamente gli incidenti significativi, almeno per i sistemi informativi e di rete rilevanti.

Il modello Purdue dà forma a questi tre punti: l'inventario si organizza per livello, gli accessi remoti diventano i percorsi che attraversano la DMZ, il rilevamento si concentra sui confini. Per capire se la NIS2 riguarda il tuo settore, parti da la NIS2 nel manifatturiero e la NIS2 per energia e utility.

Da dove partire

Il primo passo non richiede acquisti: si prende lo schema di rete dello stabilimento, si colloca ogni sistema in un livello e si segnano le connessioni che saltano un livello o che vanno da IT a OT senza passare da un punto di controllo. Le connessioni dei fornitori per la manutenzione remota vanno in cima alla lista. Quell'elenco è il piano di lavoro della segmentazione.

Se vuoi capire come segmentazione, monitoraggio dei confini e risposta agli incidenti possono funzionare insieme nel tuo stabilimento, trovi il nostro approccio nella pagina dedicata ai servizi di cybersecurity.