Studio e applicazione dello strumento YARA per il rilevamento avanzato delle minacce nelle infrastrutture di rete IT/OT integrate

Abstract

I sistemi di controllo industriale (ICS) dipendono sempre più da infrastrutture IT/OT interconnesse, aumentando l’esposizione dei processi critici a minacce informatiche in grado di superare le tradizionali difese perimetrali. Questa tesi analizza l’uso di YARA e delle tecnologie Endpoint Detection and Response (EDR) per il rilevamento delle minacce negli ambienti industriali. La ricerca è stata condotta in un laboratorio Digital Twin basato sul modello Purdue.

Lo studio analizza i limiti del rilevamento basato sulla rete nei confronti di malware sofisticati, con particolare attenzione alla frammentazione TCP, al binary padding e ai limiti della Deep Packet Inspection. È stata eseguita una valutazione comparativa utilizzando famiglie di malware ICS note e quattro approcci: Nozomi Networks, YAIDS, YARA con Python e Velociraptor con YARA. Le soluzioni basate sull’endpoint hanno raggiunto un tasso di rilevamento del 100% sul corpus analizzato, mentre le soluzioni di rete hanno risentito della struttura dei payload e dei limiti di ispezione.

La tesi affronta inoltre uno scenario fileless di False Data Injection (FDI), nel quale un attaccante manipola localmente il traffico Modbus per ingannare l’operatore SCADA senza creare un eseguibile malevolo. Per superare questo limite è stato introdotto il Semantic Memory Hunting, che combina il polling dei PLC fuori banda, la generazione dinamica di firme YARA e query VQL di Velociraptor per analizzare la memoria JVM dell’applicazione SCADA e confrontarne lo stato digitale con quello fisico del processo. Il meccanismo ha ottenuto un tasso di falsi positivi dello 0% durante il funzionamento nominale e ha rilevato con successo la discrepanza semantica causata dall’attacco FDI.

Infine, è stato valutato l’impatto computazionale della scansione in memoria. Il throttling lato client ha ridotto significativamente l’utilizzo della CPU mantenendo le capacità di rilevamento.

Industrial Control Systems (ICS) increasingly rely on interconnected IT/OT infrastructures, exposing critical processes to cyber threats that can bypass traditional perimeter defenses. This thesis investigates the use of YARA and Endpoint Detection and Response (EDR) technologies for threat detection in industrial environments. The research was conducted in a Digital Twin laboratory reproducing an IT/OT architecture based on the Purdue model, including PLCs, a SCADA HMI, Active Directory, and segmented networks.

The study analyzes the limitations of network-based detection against sophisticated malware, with particular focus on TCP fragmentation, binary padding, and Deep Packet Inspection constraints. A comparative evaluation was performed using known ICS malware families and four detection approaches: Nozomi Networks, YAIDS, YARA with Python, and Velociraptor with YARA. Endpoint-based approaches achieved 100% detection across the tested malware corpus, while network-based solutions were significantly affected by payload structure and inspection limitations.

The thesis then addresses a fileless False Data Injection (FDI) scenario in which an attacker locally manipulates Modbus traffic to deceive the SCADA operator without creating a malicious executable. To overcome this limitation, Semantic Memory Hunting was introduced, combining out-of-band PLC polling, dynamic YARA signature generation, and Velociraptor VQL queries to inspect the SCADA application's JVM memory and compare its digital state with the physical process state. The mechanism achieved a 0% false positive rate during nominal operation and successfully detected the FDI-induced semantic mismatch.

Finally, the computational impact of memory hunting was evaluated. The results show that client-side throttling can substantially reduce CPU consumption while maintaining detection capabilities, demonstrating the potential of combining YARA, EDR, and process-memory analysis to strengthen OT security.