Onde Digitali Pericolose: Come SERDUX-MARCIM Prevede i Cyberattacchi in Mare

Avete mai pensato a cosa succede *dietro le quinte* del trasporto marittimo globale? Navi enormi che solcano gli oceani, porti brulicanti di attività, una catena logistica complessa che muove l’80% delle merci mondiali. Sembra un mondo fatto di acciaio, container e rotte ben definite. Ma c’è un’altra dimensione, invisibile e sempre più critica: quella digitale. E proprio lì, nel cyberspazio marittimo, si nascondono minacce subdole e potenzialmente devastanti. Oggi vi porto in un viaggio affascinante alla scoperta di come possiamo anticipare e combattere questi pericoli, usando un approccio innovativo che prende spunto persino dalle epidemie: vi presento SERDUX-MARCIM.

Perché il Mare è Sotto Attacco (Digitale)?

Il settore marittimo, come tante altre infrastrutture critiche (energia, trasporti, finanza), si affida sempre di più a sistemi informatici interconnessi. Comunicazioni, navigazione, gestione delle operazioni portuali, dati finanziari: tutto passa per reti e software. Questa trasformazione digitale ha portato efficienza, certo, ma ha anche aperto la porta a nuove vulnerabilità. Pensateci: spesso si tratta di integrare tecnologie moderne (IT) con sistemi operativi più datati (OT), magari progettati decenni fa senza pensare alla connessione internet. Un mix che può diventare un bersaglio succulento per chi ha cattive intenzioni.

Un cyberattacco nel mondo marittimo non è uno scherzo. Può interrompere le operazioni, mettere a rischio la sicurezza dell’equipaggio e del carico, danneggiare la reputazione di un’azienda, causare perdite finanziarie enormi e persino innescare incidenti geopolitici. La posta in gioco è altissima. Per questo, capire come si muovono gli attaccanti, quali tecniche usano (le famose TTPs – Tactics, Techniques, and Procedures) e come si propagano le minacce è fondamentale per costruire difese efficaci.

Come Funziona un Cyberattacco? Un’Epidemia Digitale

Qui le cose si fanno interessanti. Alcuni cyberattacchi, come certi tipi di malware o ransomware, si diffondono in modo simile a un virus biologico. Un computer infetto ne contagia altri, che a loro volta ne contagiano altri ancora. Questa somiglianza ha fatto accendere una lampadina ai ricercatori: e se usassimo i modelli matematici dell’epidemiologia per studiare la diffusione dei cyberattacchi?

Ecco che entrano in gioco i modelli compartimentali, come il famoso SIR (Suscettibile, Infetto, Recuperato) o il più evoluto SEIR (che aggiunge lo stato Esposto, per chi ha contratto il “virus” ma non è ancora contagioso). Questi modelli dividono una popolazione (in questo caso, i dispositivi di una rete) in gruppi (compartimenti) e studiano come gli individui passano da uno stato all’altro. Applicarli alla cybersecurity ci aiuta a capire la dinamica di un’infezione digitale e a prevederne l’evoluzione.

Modelli come SEIRS e il più recente MalSEIRS hanno fatto passi avanti, introducendo concetti come la perdita di immunità (un sistema “guarito” può tornare vulnerabile) o tassi di infezione e recupero che cambiano nel tempo (time-dependent rates). Ma il settore marittimo ha le sue specificità: una rete complessa con tanti attori diversi (autorità, compagnie di navigazione, porti, marina, guardia costiera), tecnologie eterogenee, normative internazionali (come quelle dell’IMO – International Maritime Organization). Serviva qualcosa di più mirato.

Entra in Scena SERDUX-MARCIM: L’Innovazione Che Serviva

Ed è qui che nasce SERDUX-MARCIM. Il nome è un po’ tecnico, lo ammetto, ma racchiude l’essenza del progetto. SERDUX sta per i sei stati in cui può trovarsi un nodo (un computer, un server, un sistema di bordo) durante un attacco:

• Suscettibile: Vulnerabile, ma non ancora attaccato.
• Esposto: Contagiato, ma l’attacco non è ancora attivo (come il periodo di incubazione di una malattia).
• Resistente: Immune all’attacco, grazie a contromisure o patch.
• Degradato: L’attacco è attivo e sta causando problemi parziali o ritardi (effetto Disrupt o Degrade).
• Unavailable (Indisponibile): L’attacco ha reso il nodo inutilizzabile, temporaneamente (effetto Deny).
• X (Destroyed – Distrutto): Il nodo è danneggiato irreparabilmente (effetto Destroy).

Notate la connessione con i cosiddetti effetti D5 (Disrupt, Deny, Degrade, Destroy, Deceive – Interrompere, Negare, Degradare, Distruggere, Ingannare), un modo usato anche in ambito militare per classificare l’impatto di un’azione ostile. SERDUX-MARCIM li integra direttamente negli stati dei nodi.

MARCIM, invece, fa riferimento a un framework preesistente (Framework for Modeling and Simulation of Maritime Cyberdefense) che definisce gli attori chiave nel contesto della cyberdifesa marittima (come l’Attore Marittimo/Target, l’Attore di Sicurezza e Difesa, la Minaccia Cyber/Attaccante), le loro capacità e le interazioni (modello Cyber-Kinetic).

Cosa rende SERDUX-MARCIM speciale?

• Integrazione Unica: Combina modelli dinamici, modelli compartimentali epidemiologici e modellazione basata su agenti (ogni nodo è un “agente” con un suo stato).
• Focus Marittimo: È pensato specificamente per le complessità del settore navale.
• Realismo Dinamico: Usa tassi di transizione dipendenti dal tempo. Questo è cruciale! Significa che la velocità con cui un nodo passa da Suscettibile a Esposto, o da Degradato a Recuperato, non è fissa, ma cambia in base a tanti fattori: le capacità dell’attaccante, le contromisure messe in atto dal bersaglio, le caratteristiche specifiche dell’attacco e della rete.
• Valutazione del Rischio Integrata: Incorpora metodologie standard come OWASP Risk Rating e le categorie di controlli ISACA per calcolare la probabilità (Likelihood) e l’impatto (Impact) di un attacco, fornendo una valutazione complessiva del rischio.
• Prospettiva Olistica: Analizza l’attacco sia dal punto di vista della rete nel suo complesso (Network approach) sia del singolo nodo (Node approach).
• Simulazione Pratica: È supportato da un ambiente di simulazione sviluppato in Matlab e NetLogo, che permette di sperimentare diversi scenari.

Mettere i Numeri al Rischio: Valutare la Minaccia

Un punto di forza di SERDUX-MARCIM è il suo approccio strutturato alla valutazione del rischio informatico. Non basta dire “c’è un rischio”, bisogna quantificarlo. Ispirandosi alla metodologia OWASP, il modello calcola il Rischio complessivo come prodotto di Probabilità (Likelihood) e Impatto.

La Probabilità (L) dipende da due macro-fattori:

• Probabilità legata all’Attaccante (Attacker Likelihood, ℵ): Quanto è abile l’attaccante? Quali sono le sue motivazioni e risorse? Quanto è facile scoprire e sfruttare una specifica vulnerabilità?
• Probabilità legata al Bersaglio (Target Likelihood, λ): Quanto è preparata l’organizzazione marittima? Quali controlli di sicurezza ha implementato per ridurre la probabilità di un attacco (controlli Deterrenti, Preventivi, Rilevativi secondo ISACA)? Quali sono le sue capacità di cyber intelligence e cyberdifesa? Quanto è complessa la sua rete?

L’Impatto (I), invece, considera:

• Controlli di Riduzione dell’Impatto (Impact Reduction Controls, Γ): Quali misure ha il bersaglio per limitare i danni una volta che l’attacco è avvenuto (controlli Preventivi, Correttivi)?
• Grado dell’Attacco (Cyberattack Degree, Ψ): Quanto è grave l’impatto tecnico (sui sistemi) e di business (finanziario, reputazionale, legale)?
• Durata dell’Attacco (Cyberattack Duration, δ): Quanto tempo persiste l’attacco? (Breve, Temporaneo, Persistente, Permanente).

Questo sistema permette di ottenere una valutazione del rischio (da Basso a Critico) basata su fattori concreti, aiutando chi deve prendere decisioni strategiche.

Il Cuore Pulsante: Le Equazioni Dinamiche

Il vero motore di SERDUX-MARCIM sono le sue equazioni differenziali che descrivono come cambia nel tempo il numero di nodi in ciascuno dei sei stati (S, E, R, D, U, X). La chiave, come accennato, sono i tassi di transizione dipendenti dal tempo. Immaginate dei “rubinetti” che regolano il flusso di nodi da uno stato all’altro. In SERDUX-MARCIM, questi rubinetti non hanno un’apertura fissa, ma si regolano dinamicamente.

Ecco i principali tassi:

• Tasso di Propagazione (β(t)): La velocità con cui l’attacco si diffonde dai nodi infetti (D, U, X) a quelli suscettibili (S), facendoli diventare Esposti (E). Tende a diminuire man mano che ci sono meno nodi suscettibili da infettare.
• Tasso di Attacco (Degradato) (σ(t)): La velocità con cui i nodi Esposti (E) diventano effettivamente Degradati (D) perché l’attacco si attiva. Questo tasso può avere fasi diverse, magari un’attivazione iniziale seguita da un contenimento.
• Tasso di Attacco (Indisponibile) (∇(t)): La velocità con cui nodi in vari stati diventano Indisponibili (U) a causa di un attacco con impatto e durata specifici (es. effetto Deny).
• Tasso di Attacco (Distrutto) (χ(t)): La velocità con cui nodi Degradati (D) o Indisponibili (U) vengono Distrutti (X) da attacchi particolarmente gravi.
• Tasso di Recupero (γ(t)): La velocità con cui i nodi Degradati (D) o Indisponibili (U) vengono riportati a uno stato Resistent (R) grazie alle azioni di recupero (controlli correttivi).
• Tasso di Sanificazione (ϕ(t)): La velocità con cui i nodi Suscettibili (S) o Esposti (E) diventano Resistent (R) grazie all’applicazione di misure preventive (patch, hardening).
• Tasso di Perdita di Resistenza (ω(t)): La velocità con cui i nodi Resistent (R) possono tornare Suscettibili (S), magari perché emergono nuove varianti dell’attacco o le contromisure diventano obsolete. Può avere un andamento oscillante.
• Tasso di Indisponibilità per Altre Cause (μ(t)): Nodi che diventano Indisponibili (U) per motivi non legati all’attacco (guasti hardware, manutenzione, errori umani, decisione di spegnere per contenere).

Questa dinamicità permette al modello di simulare scenari molto più realistici, dove le azioni di difesa e l’evoluzione dell’attacco stesso influenzano continuamente l’andamento della “epidemia digitale”.

La Prova del Nove: Il Caso Maersk

Un modello è bello sulla carta, ma funziona nel mondo reale? Per validare SERDUX-MARCIM, lo abbiamo messo alla prova su uno degli incidenti informatici più famosi e devastanti nel settore marittimo: l’attacco ransomware NotPetya che ha colpito la compagnia danese Maersk nel 2017.

Ricostruendo lo scenario basandoci sulla documentazione disponibile, abbiamo simulato l’attacco sulla rete di server di Maersk (circa 6200 all’epoca). Abbiamo suddiviso l’evento in fasi (pre-crisi, crisi, post-crisi) e abbiamo eseguito tre simulazioni principali, aggiustando i parametri del modello (capacità dell’attaccante, preparazione di Maersk, caratteristiche dell’attacco) per riflettere ciò che si sa dell’incidente.

I risultati sono stati impressionanti. La Simulazione 1 ha mostrato la rapida propagazione iniziale: in poche ore (simulate), quasi il 60% dei server passava allo stato “Distrutto” (X), un numero incredibilmente vicino ai 3500 server che Maersk stessa ha dichiarato persi inizialmente. Il livello dei servizi attivi crollava.

La Simulazione 2 ha modellato la drastica decisione di Maersk di disconnettere la rete globale per fermare l’emorragia. Nel modello, questo è stato simulato aumentando enormemente il tasso di “Indisponibilità per Altre Cause” (μ). Il risultato? Quasi tutti i server (98%) diventavano inattivi (principalmente U e X), tranne un piccolo nucleo rimasto “Resistente” (R). Questo corrisponde alla realtà: Maersk riuscì a recuperare grazie a un unico domain controller rimasto intatto in un ufficio in Ghana!

La Simulazione 3 ha rappresentato la fase di recupero (post-crisi). Modificando i parametri per riflettere l’implementazione di controlli correttivi e preventivi più efficaci (γ e ϕ più alti), la simulazione ha mostrato un graduale ritorno dei server allo stato “Resistente” (R), con il livello dei servizi attivi che risaliva oltre il 90%, pur lasciando una piccola percentuale di nodi ancora in stati problematici (S, E, U), a testimonianza della lunga coda che questi incidenti lasciano.

Questa validazione sul campo ha dimostrato che SERDUX-MARCIM non è solo un esercizio teorico, ma uno strumento capace di catturare la dinamica complessa di un cyberattacco reale su vasta scala in ambito marittimo. Abbiamo anche sviluppato un’interfaccia grafica in NetLogo che permette di visualizzare la simulazione, vedere la rete che cambia colore nodo per nodo, e monitorare tutti i parametri in tempo reale.

Cosa Ci Riserva il Futuro?

SERDUX-MARCIM apre strade interessanti. Offre ai decisori strategici del settore marittimo, come gli ufficiali navali, uno strumento di alto livello per migliorare la loro Cyber Situational Awareness (la consapevolezza della situazione cibernetica) e per guidare le scelte durante una crisi. Essendo agnostico rispetto a specifici protocolli o tecnologie, è versatile e adattabile a diversi scenari, dalle infrastrutture portuali alle flotte di navi (viste come sistemi di sistemi).

Certo, c’è ancora lavoro da fare. L’accesso a dati dettagliati su cyberattacchi reali è limitato, e una maggiore condivisione delle informazioni aiuterebbe a migliorare ulteriormente i modelli. Tra i prossimi passi, pensiamo a:

• Sviluppare un simulatore di wargame basato su SERDUX-MARCIM per addestrare i team strategici.
• Testare il modello in ambienti operativi reali, come un Comando Cyber Navale.
• Potenziare l’approccio basato su agenti per catturare comportamenti individuali ancora più fini.
• Integrare un approccio al rischio cyber dinamico che si adatti in tempo reale all’evolvere della minaccia.
• Valutare l’applicabilità in ambienti ibridi (militari e civili).
• Coinvolgere esperti di cybersecurity e cyberdifesa in esercitazioni interattive (wargaming) per raccogliere feedback.

In conclusione, la battaglia per la sicurezza nel cyberspazio marittimo è complessa e in continua evoluzione. Strumenti come SERDUX-MARCIM, che combinano diverse discipline e cercano di modellare la realtà con maggiore fedeltà, rappresentano un passo avanti importante. Non sono una bacchetta magica, ma sono una bussola potente per navigare queste acque digitali sempre più insidiose. E come ogni buon marinaio sa, avere la bussola giusta può fare la differenza tra arrivare in porto sicuro o finire alla deriva.

Fonte: Springer