Zero porte in entrata: l'unica architettura di rete OT accettabile nel 2025

· 11 minuti di lettura
11 min read
Lucas Moreau
Lucas Moreau
Ingegnere di rete OT/IT

Nel 2025, avere una porta in entrata aperta su un dispositivo OT connesso a Internet costituisce una falla nella sicurezza — non una configurazione “da migliorare”. Gli attacchi alle infrastrutture industriali sono quadruplicati dal 2020. La dottrina di sicurezza è chiara: zero porte in entrata, sempre.

La realtà degli attacchi informatici alle reti OT​

Dati 2024–2025​

I rapporti sulla sicurezza degli ICS (sistemi di controllo industriale) sono allarmanti:

  • +400% di incidenti di sicurezza OT dal 2020 (rapporto Dragos 2024)
  • Il 67% degli incidenti industriali sfrutta una connessione remota non adeguatamente protetta
  • Tempo medio prima del rilevamento di un'intrusione OT: 12 giorni
  • Costo medio di un incidente OT: 2,8 milioni di euro (interruzione della produzione + misure correttive)

Gli obiettivi non sono più solo le grandi industrie. Ora nel mirino ci sono anche le PMI industriali, gli enti locali e gli operatori del settore idrico ed energetico.

I vettori di attacco più frequenti​

TOP 5 vecteurs d'attaque OT (2024) :

1. Accesso remoto non protetto (VPN obsoleta, RDP esposto): 41%
2. Credenziali compromesse (phishing, riutilizzo della password): 28%
3. Vulnerabilità del firmware non corretta: 19%
4. Movimento laterale da IT a OT: 8%
5. Supply chain compromise : 4%

Risultato: i primi due fattori rappresentano il 69% degli incidenti. Ed entrambi vengono affrontati con un'unica misura: l'architettura "zero porte in entrata" con VPN moderna.

Che cos'è (e cosa non è) una porta in entrata​

La distinzione fondamentale​

CONNESSIONE IN USCITA (outbound) — sicura:
  Apparecchiature OT → [NAT dell'operatore] → Internet → Server cloud
  L'apparecchiatura avvia la connessione. Nessuna porta aperta sul lato campo.

CONNESSIONE IN ENTRATA (inbound) — da evitare:
  Operatore esterno → Internet → [porta aperta] → Apparecchiatura OT
  Qualcuno dall'esterno può avviare una connessione verso la vostra apparecchiatura.

Quasi tutti gli attacchi alle reti aziendali sfruttano le connessioni in entrata, ovvero le porte aperte accessibili da Internet.

Pratiche a rischio ancora troppo diffuse​

PraticaRischio
Reindirizzamento delle porte RDP (3389) sul PLCAccesso diretto al PLC da Internet
VPN PPTP o L2TP senza autenticazione forteProtocolli compromessi, possibile attacco offline
Server web HMI esposto (porta 80/443)Interfaccia di controllo accessibile pubblicamente
SSH aperto su IP pubblicoAttacchi brute-force, sfruttamento di vulnerabilità CVE nel firmware
TeamViewer / AnyDesk senza controlloAccesso permanente, nessuna traccia di audit

Queste configurazioni sono ancora presenti in migliaia di siti industriali in Francia — talvolta installate da integratori 5 o 10 anni fa e mai sottoposte a revisione.

L'architettura "zero porte in entrata": come funziona​

Il principio "solo in uscita" di OpenVPN​

OpenVPN risolve in modo elegante il problema del NAT dell'operatore (le SIM LTE non forniscono un indirizzo IP pubblico direttamente accessibile) eliminando al contempo le porte in entrata:

Cosa succede: il gateway avvia una connessione UDP in uscita verso l'hub cloud. Una volta stabilito il tunnel, le due parti possono comunicare — ma dall'esterno nessuno può avviare una connessione verso il gateway (non ci sono porte aperte).

WireGuard, OpenVPN o IPSec?​

CriterioWireGuardOpenVPNIPSec/IKEv2
Superficie di attacco (righe di codice)~4.000~100.000Standard complesso
Prestazioni (velocità crittografata ARM)Eccellente (~48 Mbps)Buona (~38 Mbps)Buona (~40 Mbps)
Latenza aggiuntivaMolto bassa (+2–4 ms)Moderata (+5–12 ms)Bassa (+4–8 ms)
Riconnessione dopo interruzione LTE< 3 s10–20 s3–8 s (MOBIKE < 2 s)
Attraversamento firewall aziendale❌ Solo UDP✅ TCP 443❌ Solo UDP
ConfigurazioneSempliceRagionevoleComplessa
Certificazione FIPS 140-2❌Parziale✅

Per le implementazioni standard: OpenVPN (universalità, ZTP Eziwan). Per gli ambienti regolamentati FIPS o il failover dual SIM trasparente: IPSec + MOBIKE. Per le massime prestazioni su ARM: WireGuard. Consulta il nostro confronto completo delle VPN industriali.

Conformità alla direttiva NIS2 e sicurezza OT​

I requisiti previsti dalla direttiva NIS2 per gli operatori di importanza critica​

La direttiva NIS2 (recepita nel diritto francese nel 2024) impone agli operatori di infrastrutture critiche l'adozione di misure minime di sicurezza:

  • Autenticazione forte su tutti gli accessi remoti
  • Crittografia delle comunicazioni di controllo remoto/supervisione
  • Registro di audit degli accessi (chi, quando, da dove)
  • Gestione delle vulnerabilità — aggiornamento delle apparecchiature
  • Separazione IT/OT — compartimentazione delle reti

L'architettura "zero porte in entrata" con OpenVPN soddisfa tutti questi requisiti.

Registro di audit automatico​

Eziwan registra automaticamente ogni sessione VPN:

AUDIT LOG — Export NIS2/ISO27001

2025-08-26 09:14:22  CONNECT   Lucas Moreau     Site: Pompage-Lyon-07  IP: 10.24.5.12
2025-08-26 09:17:45  ACCESS    Lucas Moreau     192.168.7.10 (PLC)   TCP:102
2025-08-26 09:43:12  ACCESS    Lucas Moreau     192.168.7.11 (IHM)   TCP:80
2025-08-26 09:58:01  DISCONNECT Lucas Moreau    Sito: Pompage-Lyon-07  Durata: 43 min
2025-08-26 11:32:09  CONNECT   Sophie Renard    Sito: Reservoir-Est-3  IP: 10.24.5.19
2025-08-26 12:05:44  DISCONNECT Sophie Renard   Luogo: Reservoir-Est-3  Durata: 33 min

È disponibile l'esportazione in formato CSV per i vostri audit di conformità — riutilizzabile direttamente nei vostri rapporti NIS2.

Migrazione da un'architettura con porte aperte​

Diagnosi: identificare le porte aperte​

Prima di effettuare la migrazione, verificate la vostra esposizione attuale:

# Da una rete esterna, eseguire la scansione dei propri intervalli IP pubblici
# (previa autorizzazione esplicita del vostro responsabile IT)

nmap -sV -p 1-65535 <IP_publique_site>

# Risultati tipici da correggere immediatamente:
# 22/tcp aperto  ssh    OpenSSH 7.2 (obsoleto)
# 3389/tcp open  rdp    Windows RDP
# 502/tcp open  modbus Modbus TCP (JAMAIS exposer directement)
# 80/tcp open   http   IHM web

Ogni porta aperta rappresenta un punto di attacco. La priorità assoluta è chiudere la porta 502 (Modbus TCP) e la porta 3389 (RDP) se sono esposte.

Piano di migrazione in 3 fasi​

Fase 1 — Implementazione della VPN (1 giorno)

  • Installazione del gateway Eziwan
  • Configurazione di OpenVPN in modalità "solo in uscita"
  • Verifica dell'accesso remoto tramite VPN

Fase 2 — Migrazione degli accessi (1 settimana)

  • Formare i tecnici sull'uso del client VPN
  • Reindirizzare tutti gli accessi remoti tramite VPN
  • Verificare che tutto funzioni correttamente

Fase 3 — Chiudere le porte (1 giorno)

  • Eliminare le regole di port forwarding sul router
  • Verificare dall'esterno che le porte siano chiuse
  • Documentare ai fini dell'audit NIS2

Scarica la guida alla sicurezza OT → · Pianifica un audit della tua architettura →

Conclusione​

L'architettura "zero porte in entrata" non è una semplice misura di sicurezza tra le tante: è il prerequisito fondamentale per qualsiasi implementazione OT nel 2025. Gli attacchi sono automatizzati, costanti e mirano specificatamente alle porte aperte delle apparecchiature industriali.

OpenVPN in modalità "solo in uscita", abbinato a un'autenticazione forte tramite certificati e a un registro di audit completo, soddisfa i requisiti NIS2 pur essendo semplice da implementare, anche su una rete composta da diverse centinaia di siti.

Il rischio legato a un porto aperto è massimo. Il costo della sua chiusura è minimo. Non c'è alcun motivo di aspettare.

Come verificare la propria esposizione in 10 minuti​

Prima di iniziare qualsiasi progetto, valutate la vostra situazione reale: è una cosa veloce e spesso illuminante:

  1. Identificate i vostri indirizzi IP pubblici: quelli dei vostri modem, router e connessioni 4G con IP fisso (il vostro operatore o curl ifconfig.me da ciascun sito).
  2. Eseguite una scansione dall’esterno: nmap -sV --open <IP_publique> da una rete di terze parti, concentrandovi in via prioritaria su 502 (Modbus), 102 (S7), 44818 (EtherNet/IP), 4840 (OPC-UA), 3389 (RDP), 5900 (VNC), 1194/500 (VPN in entrata).
  3. Incrociate i risultati con Shodan: cercate i vostri indirizzi IP su shodan.io — se le vostre apparecchiature compaiono lì, significa che gli hacker le hanno già indicizzate.
  4. Fate un inventario degli accessi «dimenticati»: modem del produttore, router 4G installati da un fornitore di servizi, reindirizzamenti di porta storici sul router del sito.

Ogni porta industriale visibile da Internet rappresenta un potenziale incidente: la risoluzione del problema (passaggio a un tunnel in uscita) viene pianificata sito per sito, a partire da quelli più esposti.

Il ruolo della scheda SIM nell'architettura "zero porte in entrata"​

Un dettaglio spesso trascurato: su una connessione 4G, il tipo di SIM determina l’esposizione. Una SIM con indirizzo IP pubblico fisso rende il router direttamente raggiungibile — e scansionabile — da Internet, il che ricrea proprio il problema che si sta cercando di eliminare. Al contrario, una SIM M2M dietro il CGNAT dell’operatore, o meglio, su un APN privato, rende il sito per definizione non raggiungibile dall’esterno: esiste solo la connessione in uscita avviata dal gateway. L’IP pubblico fisso deve essere scelto solo per le rare architetture legacy che lo richiedono, e sempre dietro un firewall rigoroso.

Domande frequenti — Architettura a zero porte in entrata​

Un firewall aziendale con regole rigide non è forse sufficiente a proteggere una porta aperta?

No, non del tutto. Una porta aperta con regole di filtraggio riduce la superficie di attacco, ma non la elimina. Il servizio in ascolto su quella porta rimane esposto ai tentativi di sfruttamento (vulnerabilità 0-day, attacchi brute-force, denial-of-service). Con un’architettura a zero porte in entrata, non c’è nulla da sfruttare sul perimetro esterno: la connessione viene sempre avviata dall’interno.

In che modo i tecnici possono accedere ai controllori se non c'è nessuna porta aperta?

Tramite il tunnel in uscita. Il gateway stabilisce una connessione OpenVPN verso il cloud Eziwan (connessione in uscita, come una pagina web HTTPS). L'operatore si connette al cloud Eziwan tramite MFA e accede al PLC tramite questo tunnel già stabilito, senza mai aprire una porta in entrata sulla rete dello stabilimento. Il flusso è opérateur → cloud Eziwan → tunnel gateway → automate.

Cosa succede se l'infrastruttura cloud di Eziwan viene compromessa?

Il tunnel OpenVPN viene autenticato tramite certificato sul lato gateway: un malintenzionato che compromettesse il server cloud non potrebbe inviare traffico verso i controllori senza disporre anche dei certificati client. Inoltre, i certificati gateway e client sono distinti e revocabili in modo indipendente.

Il traffico OpenVPN in uscita viene bloccato da alcune reti aziendali?

OpenVPN funziona di default sulla porta UDP 1194. Se questa porta è bloccata (come in alcune reti aziendali o da operatori di telefonia mobile restrittivi), Eziwan può passare alla porta TCP 443 (porta HTTPS) — indistinguibile dal traffico web standard e impossibile da bloccare senza interrompere la connessione a Internet. Questa flessibilità garantisce la connessione praticamente in qualsiasi contesto di rete.

Quanto tempo occorre per chiudere tutte le porte in entrata di un sito esistente?

Se viene utilizzata una sola VPN tradizionale (porta in entrata) e questa viene sostituita da Eziwan, il tempo necessario è in genere compreso tra 30 e 60 minuti: installare il gateway, collegarlo, verificare il tunnel in uscita, chiudere la porta in entrata sul firewall. Se coesistono più accessi remoti legacy (TeamViewer, RDP, VPN IPsec), prevedere da 1 a 2 giorni per verificare, migrare e convalidare ciascun accesso.

Per approfondire​

Proteggi la tua rete OT con Eziwan → · Verifica la tua conformità alla direttiva NIS2 →

Risorse aggiuntive​