Sicurezza Modbus: segmentazione, non false promesse
Né Modbus RTU né il classico Modbus TCP sono stati progettati con autenticazione o cifratura — qualsiasi dispositivo in grado di raggiungere il bus o la rete può inviare un comando valido. La protezione reale dipende da come isolate e controllate quell'accesso, non dal protocollo stesso.
Come affrontiamo un audit di sicurezza Modbus
Mappiamo bus e rete
Documentiamo i segmenti RTU e i percorsi TCP/Ethernet, elenchiamo ogni dispositivo collegato e annotiamo quali codici funzione e registri sono realmente in uso.
Segmentiamo la rete di automazione
La rete Modbus riceve una propria VLAN o un segmento fisicamente separato dalla rete IT d'ufficio — un portatile compromesso o un Wi-Fi ospiti non raggiunge così il bus.
Limitiamo al gateway
Un gateway protocol-aware o un 'firewall Modbus' limita quali codici funzione e intervalli di registri possono passare; dove la scrittura non serve davvero, si usa solo la lettura (read-only polling).
Controlliamo e documentiamo l'accesso fisico
Registriamo chi può accedere fisicamente al cablaggio RS-485, ai morsetti del quadro o alle porte dello switch Ethernet, e aggiorniamo questa registrazione a ogni modifica dell'impianto.
Cosa può fare la segmentazione — e cosa no
Autenticazione integrata
Né Modbus RTU né il classico Modbus TCP conoscono il concetto di login o credenziale. Un dispositivo capace di inviare frame sul bus o raggiungere la porta 502 è considerato affidabile per progettazione — la segmentazione sostituisce questo controllo mancante.
Nessuna autenticazione nel protocollo
Modbus è stato specificato nel 1979 per reti industriali chiuse e affidabili. Nel frame non c'è alcun campo per password o certificato — ogni richiesta viene accettata così com'è.
VLAN dedicata all'automazione
Separare il segmento Modbus dalla rete IT d'ufficio e dal Wi-Fi ospiti è il miglioramento pratico più efficace. Non aggiunge crittografia, ma elimina la maggior parte dei percorsi che un attaccante o un dispositivo mal configurato potrebbero usare per raggiungere il bus.
Gateway protocol-aware, descritto onestamente
Un 'firewall Modbus' può limitare il traffico a codici funzione o intervalli di registri specifici — ad esempio bloccando le scritture da una postazione di supervisione. Filtra pattern di traffico; non autentica chi li invia.
Solo lettura di default
La maggior parte dei punti di supervisione e misura deve solo leggere registri holding o input. Limitare i codici funzione di scrittura (05, 06, 15, 16) ai dispositivi che ne hanno davvero bisogno riduce la superficie di attacco.
Controllo dell'accesso fisico
Su un bus RS-485, chiunque abbia un cacciavite e accesso ai morsetti è di fatto sulla rete. Quadri chiusi a chiave e un elenco di accessi documentato contano quanto qualsiasi impostazione di rete.
Audit di segmentazione Modbus
Una valutazione pratica, condotta da ingegneri, della vostra rete Modbus e del quadro che la ospita — calibrata sul vostro impianto, non una checklist generica.
- Verifica della topologia Modbus RTU e TCP/Ethernet esistente
- Piano di segmentazione VLAN o fisica per la rete di automazione
- Raccomandazioni su codici funzione e accesso ai registri per gateway e firewall
- Mappatura dei diritti di lettura/scrittura per ogni dispositivo collegato
- Documentazione di consegna per il quadrista o l'integratore
Domande frequenti
Il traffico Modbus può essere cifrato?
Non dal protocollo stesso — Modbus RTU e Modbus TCP classici trasmettono tutto in chiaro. Dove la riservatezza conta davvero, la cifratura va aggiunta al di fuori del protocollo, tipicamente con un tunnel VPN o una rete segmentata e ad accesso controllato, non con qualcosa che Modbus fornisce nativamente.
Da cosa protegge realmente un 'firewall Modbus'?
Può limitare quali codici funzione e intervalli di registri sono autorizzati a passare — ad esempio far leggere un dispositivo ma bloccarne la scrittura sui coils. Non verifica chi invia la richiesta: è filtraggio del traffico, non autenticazione.
Anche un bus RS-485 ha bisogno di una VLAN?
Un bus seriale RS-485 non conosce le VLAN — il suo equivalente è la separazione fisica: cablaggio dedicato, quadri chiusi a chiave e un elenco chiaro di chi ha accesso ai morsetti. La domanda sulla sicurezza è la stessa, cambia solo il meccanismo, fisico invece che di rete.
Ogni dispositivo sul bus deve avere accesso in scrittura?
No. La maggior parte dei punti di misura e supervisione deve solo leggere registri. Limitare i codici funzione di scrittura ai dispositivi che effettivamente controllano qualcosa riduce il danno che un singolo dispositivo compromesso o malfunzionante può causare.
Modbus TCP è più rischioso di Modbus RTU?
Modbus TCP sulla porta 502 è raggiungibile da qualsiasi rete IP instradabile, quindi un impianto non segmentato può potenzialmente essere raggiunto da molti più punti rispetto a un bus seriale fisico. Il rischio principale di RTU è l'accesso fisico al cablaggio. Nessuna delle due varianti ha autenticazione integrata, entrambe richiedono la stessa disciplina di segmentazione.
Parla con i nostri ingegneri della tua rete Modbus
Analizziamo la vostra topologia e il progetto del quadro e vi diciamo onestamente cosa può ottenere davvero la segmentazione — senza vendere una funzione di sicurezza che il protocollo non ha.