Progettazione e validazione dell’infrastruttura di rete di un capannone industriale: segmentazione, hardening e analisi del livello fisico nel contesto della Direttiva NIS2

Abstract

Nel panorama industriale odierno, la crescente convergenza tra reti IT (Information Technology) e ambienti OT (Operational Technology) espone le infrastrutture critiche a nuove vulnerabilità. Questo lavoro di tesi, sviluppato durante un tirocinio presso Intermarine S.p.A. (realtà strategica nel settore navale militare), affronta la messa in sicurezza dell'infrastruttura di rete di un nuovo capannone produttivo, traducendo in soluzioni architetturali concrete i rigorosi requisiti imposti dalla Direttiva Europea NIS2.

Il progetto è iniziato con la modellazione logica e fisica dell'infrastruttura su Cisco Packet Tracer. Per ridurre la superficie di attacco, è stata implementata una netta segmentazione tramite VLAN, mirata a isolare il traffico aziendale degli uffici dai sistemi industriali, come gli impianti antincendio e di climatizzazione. Al fine di limitare gli accessi non autorizzati, sono state applicate policy di hardening tramite Port Security sulle interfacce fisiche ed è stato sviluppato un Proof of Concept per l'accesso remoto dei manutentori esterni. Quest'ultimo sfrutta tunnel VPN IPsec e Time-Based ACL per garantire accessi sicuri, cifrati e strettamente limitati a specifiche finestre temporali, nel pieno rispetto del principio del minimo privilegio.

Successivamente, per validare la resilienza della rete alle criticità fisiche tipiche degli ambienti cantieristici, la topologia è stata migrata sull'emulatore avanzato EVE-NG. Ciò ha consentito di analizzare l'impatto di fenomeni di degradazione del segnale su rame (attenuazione, interferenze elettromagnetiche e diafonia). A garanzia della business continuity, sono state infine integrate policy di Quality of Service (QoS) per prioritizzare il traffico OT critico e il protocollo UDLD per il monitoraggio preventivo delle dorsali in fibra ottica.

In today’s industrial landscape, the growing convergence between IT (Information Technology) networks and OT (Operational Technology) environments exposes critical infrastructures to new vulnerabilities. This thesis, developed during an internship at Intermarine S.p.A. (a strategic company in the naval defense sector), addresses the securing of the network infrastructure of a new industrial warehouse, translating the strict requirements imposed by the European NIS2 Directive into concrete architectural solutions.

The project began with the logical and physical modeling of the infrastructure using Cisco Packet Tracer. To reduce the attack surface, a strict segmentation via VLANs was implemented, aimed at isolating corporate office traffic from industrial systems, such as fire-fighting and HVAC systems. In order to restrict unauthorized access, hardening policies via Port Security were applied to the physical interfaces, and a Proof of Concept was developed for the remote access of external maintenance technicians. The latter leverages IPsec VPN tunnels and Time-Based ACLs to ensure secure, encrypted access that is strictly limited to specific time windows, in full compliance with the principle of least privilege.

Subsequently, to validate the network's resilience against physical criticalities typical of shipyard environments, the topology was migrated to the advanced EVE-NG emulator. This allowed for the analysis of the impact of copper signal degradation phenomena (attenuation, electromagnetic interference, and crosstalk). Finally, to guarantee business continuity, Quality of Service (QoS) policies were integrated to prioritize critical OT traffic, along with the UDLD protocol for the proactive monitoring of fiber optic backbones.