Cos'è il Purdue Model? Definizione, livelli e best practice

Il Purdue Model è lo standard federale per la segmentazione delle reti ICS, organizzando gli ambienti OT in sei livelli gerarchici con confini di trust applicati.

Che cos'è il Modello Purdue?

Una singola workstation HMI compromessa offre a un attaccante l'autorità di comando diretta sui PLC che controllano i processi fisici. La differenza tra quella workstation posizionata dietro tre confini di sicurezza applicati o condivisa su una rete piatta con il server di posta aziendale è, in termini pratici, il Modello Purdue.

La Purdue Enterprise Reference Architecture (PERA), universalmente nota come Modello Purdue, è un framework di riferimento gerarchico che segmenta le reti dei sistemi di controllo industriale (ICS) in livelli funzionali distinti, dai processi fisici a livello di campo fino all'IT aziendale e alle reti esterne. Sviluppato presso il Laboratory for Applied Industrial Control della Purdue University nel 1991 da Theodore J. Williams e dal consorzio Industry-Purdue University per la Computer-Integrated Manufacturing, il modello affrontava originariamente i flussi di dati nella produzione integrata dal computer, non la cybersecurity.

Con il collegamento dell'OT all'IT, la struttura gerarchica è diventata la base naturale per definire cosa dovrebbe e cosa non dovrebbe comunicare attraverso i confini di rete. Oggi, il modello organizza gli ambienti ICS in Livelli da 0 a 5 (più un critico Livello 3.5 Industrial DMZ), ciascuno con componenti definiti, confini di fiducia e requisiti di sicurezza specifici.

La ricerca del DOE conferma che il modello "è utilizzato come architettura di base per tutti i framework dei sistemi di controllo industriale come API 1164 e NIST 800-82."

Comprendere cos'è il Modello Purdue, tuttavia, è solo il primo passo. La sua importanza nella sicurezza industriale moderna deriva da come traduce quella struttura gerarchica in protezioni di cybersecurity concrete.

Come il Modello Purdue si Relaziona alla Cybersecurity

Il valore principale del Modello Purdue in termini di sicurezza è l'istituzione di chiari confini di fiducia tra ambienti OT e IT, abilitando la difesa in profondità tramite zone di sicurezza stratificate. ISA-95 ha formalizzato il suo approccio gerarchico in una terminologia standardizzata, e ISA/IEC 62443 ha costruito la propria architettura di sicurezza a zone e condotti direttamente sulle fondamenta del modello.

CISA, NIST e il DoD supportano attivamente il Modello Purdue nelle linee guida attuali per il 2025:

• Le linee guida 2025 di CISA lo citano come "una guida per le zone di sicurezza stratificate"
• NIST lo ha incorporato nella SP 800-82 Revisione 3
• Il Dipartimento della Difesa lo cita nelle linee guida zero-trust OT

Quando si difendono le scelte architetturali davanti ad auditor o regolatori, il Modello Purdue gode di un riconoscimento federale trasversale.

Il settore manifatturiero ha rappresentato il 27,7% di tutti gli attacchi informatici nel 2025, la percentuale più alta di qualsiasi settore per il quinto anno consecutivo, secondo l' IBM X-Force 2026 Index. Questi numeri dimostrano perché la segmentazione strutturata negli ambienti industriali non è un miglioramento opzionale.

Per comprendere come funziona questa segmentazione nella pratica, è necessario sapere cosa risiede a ciascun livello e quali obblighi di sicurezza comporta ciascuno.

I Sei Livelli del Modello Purdue

Il Modello Purdue definisce sei livelli funzionali (0–5), più la Industrial DMZ aggiunta per affrontare la convergenza IT/OT. Ogni livello contiene componenti specifici, presenta un profilo di rischio definito e richiede controlli di sicurezza distinti.

Livello 0: Processo Fisico

Il processo industriale effettivamente controllato. Qui si trovano sensori, attuatori, valvole, motori e apparecchiature di produzione. Il requisito principale è il controllo dell'accesso fisico e la protezione dell'integrità del segnale.

Livello 1: Controllo di Base

Controllo programmabile in tempo reale dei processi fisici. PLC, RTU, Safety Instrumented Systems (SIS) e dispositivi elettronici intelligenti eseguono la logica di controllo. Sono obiettivi di alto valore perché comprometterli consente la manipolazione diretta dei processi fisici. Tipicamente eseguono sistemi operativi real-time senza supporto per autenticazione moderna o patching. Il DOE classifica i Livelli 0 e 1 insieme come Safety Zone con profilo di rischio Critico.

Livello 2: Controllo Supervisore

Interazione uomo-macchina e monitoraggio supervisore. HMI, SCADA, workstation operatore e server di controllo locali risiedono qui. Questo livello è il principale obiettivo per il movimento laterale degli attaccanti dall'IT perché esegue sistemi operativi Windows mantenendo l'autorità di comando diretta sui PLC di Livello 1, rappresentando una criticità di monitoraggio e contenimento in molti ambienti.

Livello 3: Operazioni di Sito

Gestione delle operazioni a livello di impianto. Manufacturing Execution Systems (MES), data historian, sistemi di controllo batch e piattaforme di monitoraggio della rete OT aggregano tutti i dati OT verso l'alto. Gli historian a questo livello sono un punto di collegamento comune tra IT e OT e sono stati storicamente sfruttati come punti di pivot tra ambienti.

Livello 3.5: Industrial DMZ (iDMZ)

Questo livello non esisteva nel modello originale degli anni '90. Le linee guida del DOE affermano: "Questo livello non era stato inizialmente progettato all'interno del modello Purdue; tuttavia, con la continua convergenza di OT e IT questo livello astratto è essenziale per garantire la separazione delle comunicazioni." Contiene firewall perimetrali sia ai confini IT che OT, data diode, proxy server, repliche degli historian e jump server. Nessuna connessione diretta IT-OT attraversa questa zona.

Livello 4: Rete Aziendale

Sistemi IT aziendali inclusi ERP, CRM, Active Directory e applicazioni di business. Il requisito critico: nessuna connettività diretta verso il Livello 2 o inferiori.

Livello 5: Rete Esterna

Sistemi esposti a Internet, servizi cloud e portali di accesso fornitori che, se correttamente architettati, non hanno alcun percorso verso l'OT senza attraversare più confini di sicurezza.

Comprendere questi componenti è necessario, ma sapere come fluisce il traffico tra di essi è dove avviene realmente l'applicazione della sicurezza.

Come Funziona il Modello Purdue

Il Modello Purdue applica la sicurezza tramite il controllo gerarchico delle comunicazioni. Ogni livello comunica principalmente con i suoi vicini immediati e tutto il traffico tra la zona OT (Livelli 0-3) e la zona IT (Livelli 4 e 5) deve passare attraverso la Industrial DMZ al Livello 3.5.

NIST SP 800-82 Rev. 3 richiede esplicitamente regole firewall che impediscano ai dispositivi di Livello 4 di comunicare direttamente con dispositivi di Livello 2, 1 o 0. Lo standard raccomanda inoltre che le organizzazioni considerino regole in uscita altrettanto rigorose di quelle in ingresso, aiutando a prevenire sia attacchi in ingresso che esfiltrazione di dati in uscita.

ISA/IEC 62443 formalizza questo approccio tramite zone e condotti. Una zona è un insieme di asset che condividono requisiti di sicurezza comuni. Un condotto è il canale di comunicazione che collega le zone e deve essere protetto allo stesso livello di criticità della zona più affidabile che collega.

Nella pratica, il flusso dei dati funziona così:

• I sensori di Livello 0 inviano dati ai controller di Livello 1
• I controller di Livello 1 riportano ai sistemi HMI e SCADA di Livello 2
• Il Livello 2 invia dati agli historian di Livello 3
• Le repliche degli historian di Livello 3 nella DMZ forniscono dati ai consumatori IT di Livello 4

I sistemi IT non interrogano mai direttamente l'OT

Questa architettura di push dati unidirezionale, rafforzata da firewall, controlli di accesso e opzionalmente data diode hardware, impedisce a un attaccante che compromette la rete aziendale di raggiungere i sistemi che controllano i processi fisici.

Vantaggi Chiave dell'Implementazione del Modello Purdue

Se implementato correttamente, il Modello Purdue offre valore di sicurezza crescente in quattro aree operative.

• Difesa in profondità tramite segmentazione applicata. Ogni livello Purdue crea un confine di sicurezza che un attaccante deve attraversare. Anche se la rete aziendale viene completamente compromessa da ransomware, una segmentazione corretta può prevenire l'arresto operativo dei processi fisici.
• Allineamento a normative e standard. Il Modello Purdue costituisce la base esplicita per le valutazioni di conformità ISA/IEC 62443, i requisiti architetturali NIST SP 800-82 e le attuali linee guida CISA. Implementarlo offre un'architettura verificabile e difendibile davanti ai regolatori.
• Contenimento del movimento laterale. Il DBIR Verizon 2025 ha rilevato che il ransomware rappresenta ora il 44% di tutte le violazioni di dati. Negli ambienti OT, il ransomware minaccia direttamente la disponibilità e la sicurezza operativa, non solo i dati. La segmentazione Purdue limita la propagazione del ransomware dall'IT verso le zone OT.
• Controllo compensativo per sistemi legacy. I cicli di vita delle apparecchiature industriali di 15-25 anni significano che l'ambiente OT probabilmente contiene sistemi che non possono essere patchati, autenticati o monitorati con strumenti moderni. Le linee guida CISA raccomandano specificamente la segmentazione di rete come principale protezione per questi sistemi.

Questi vantaggi si sommano, ma solo se l'implementazione è solida. E una buona implementazione parte dalla comprensione delle sfide strutturali che rendono il Modello Purdue più difficile da applicare di quanto sembri sulla carta.

Sfide nell'Implementazione del Modello Purdue

I principi del Modello Purdue sono chiari sulla carta. La realtà operativa della loro applicazione in ambienti industriali reali non lo è. Diverse sfide strutturali creano costantemente attrito tra ciò che mostra il diagramma architetturale e ciò che il traffico fa realmente sulla rete.

1. La convergenza IT/OT crea architetture non documentate. I requisiti operativi moderni creano continuamente nuove connessioni attraverso i confini Purdue. La ricerca peer-reviewed pubblicata nel 2025 identifica i requisiti di flusso dati, la complessità delle zone di sicurezza e il bridging dei protocolli come le tre principali sfide della convergenza.
2. I sistemi legacy resistono ai controlli di sicurezza moderni. I PLC e RTU di Livello 1 eseguono tipicamente sistemi operativi real-time con protocolli proprietari che la maggior parte degli strumenti di sicurezza IT non può ispezionare. Non è possibile installare agent endpoint su un PLC con RTOS del 2005. La segmentazione di rete diventa l'unico controllo praticabile.
3. La sicurezza operativa limita le opzioni di sicurezza. NIST SP 800-82 Rev. 3 richiede esplicitamente che la segmentazione tenga conto di "prestazioni operative e sicurezza". Gli ambienti ICS non possono tollerare errori di autenticazione o latenza di rete che sarebbero accettabili nell'IT. Nessun controllo di sicurezza può diventare un singolo punto di guasto per i sistemi di produzione o sicurezza.
4. Cloud e IIoT non hanno una collocazione chiara nel Purdue. Il DOE specifica che i dispositivi di Livello 0 e 1 non sono adatti alla virtualizzazione o all'hosting in cloud a causa dei requisiti di tempistica real-time. Cloud e virtualizzazione si applicano dal Livello 3 in su, ma molte organizzazioni integrano analytics cloud e sensori IIoT senza un framework chiaro su dove collocarli.
5. L'accesso remoto viola i principi fondamentali. Le soluzioni VPN tradizionali spesso creano connettività diretta verso i livelli OT inferiori, violando direttamente la gerarchia di controllo del Modello Purdue. CISA ha documentato gruppi hacktivisti pro-Russia che hanno compromesso dispositivi di controllo OT tramite connessioni VNC esposte a Internet e scarsamente protette.

Conoscere queste sfide aiuta ad anticiparle. Ma i fallimenti più pericolosi sono quelli creati dai team stessi.

Errori Comuni da Evitare nel Modello Purdue

Dove le sfide sono strutturali, gli errori sono scelte: decisioni prese dai team durante la progettazione, il deployment o la gestione che minano le protezioni che il modello dovrebbe offrire. Questi sono gli errori che i threat hunter CISA riscontrano più frequentemente negli ambienti industriali reali.

Distribuire VLAN senza applicare il controllo degli accessi inter-VLAN. Le attività di threat hunting proattivo di CISA hanno scoperto organizzazioni con VLAN IT e SCADA separate e correttamente configurate ma senza regole firewall corrispondenti, lasciando il routing inter-VLAN non controllato. Il risultato: "un utente non privilegiato all'interno della rete IT [potrebbe] utilizzare le proprie credenziali per accedere alla VLAN SCADA critica." Le VLAN da sole sono uno strumento di gestione della rete, non un controllo di sicurezza.

I seguenti errori aggravano quell'errore di base e sono altrettanto comuni negli ambienti reali:

• Lasciare regole firewall permissive attive. Le regole di troubleshooting "temporanee" (allow any/any, apertura RDP/VNC) diventano configurazioni permanenti che persistono attraverso audit e cambi di personale.
• Consentire accesso IT diretto ai controller di campo. NIST SP 800-82 Rev. 3 richiede regole firewall che impediscano ai dispositivi di Livello 4 di comunicare con Livello 2, 1 o 0. Le violazioni creano percorsi di attacco che bypassano tutti i controlli di supervisione.
• Trattare l'implementazione come un progetto una tantum. Le organizzazioni che implementano la segmentazione Purdue e non la rivedono accumulano connessioni non documentate man mano che cambiano le esigenze operative. La validazione architetturale deve includere l'analisi del traffico reale e l'audit delle regole, non solo la revisione dei diagrammi.
• Concedere ampio accesso remoto ai fornitori nelle zone OT. Le linee guida di threat hunting CISA identificano l'accesso remoto dei fornitori come una vulnerabilità frequentemente sfruttata. L'accesso VPN che termina direttamente nelle zone OT invece che nei jump server DMZ crea percorsi di attacco persistenti.

Evitare questi errori richiede pratiche deliberate e allineate agli standard.

Best Practice per il Modello Purdue

Sapere cosa può andare storto è metà del lavoro. L'altra metà consiste nel costruire e mantenere l'architettura in modo che resista alla pressione operativa, agli audit e alle minacce attive. Le seguenti pratiche riflettono le attuali linee guida CISA, NIST e DOE per gli ambienti ICS.

Implementare una DMZ industriale a doppio firewall. Le linee guida CISA sono esplicite: distribuire firewall sia al confine IT-DMZ che OT-DMZ, due punti di enforcement separati. Ospitare tutti i servizi condivisi (historian, jump server, endpoint di accesso remoto) all'interno della DMZ. Gli host DMZ non devono mai avviare connessioni verso le zone OT.

Distribuire controlli di sicurezza consapevoli dell'ICS. I firewall IT standard non sono sufficienti. CISA richiede firewall SCADA-aware in grado di ispezionare i protocolli industriali a livello applicativo, application allowlisting per i protocolli autorizzati e deep packet inspection per le comunicazioni industriali.

Da qui, quattro controlli operativi rafforzano l'architettura giorno per giorno:

• Applicare controlli di comunicazione bidirezionali. NIST SP 800-82 Rev. 3 raccomanda di rendere le regole in uscita altrettanto rigorose di quelle in ingresso, prevenendo sia attacchi in ingresso che esfiltrazione di dati da sistemi OT compromessi.
• Utilizzare data diode per flussi dati ad alta sicurezza. Il trasferimento dati unidirezionale applicato via hardware per la replica degli historian impedisce fisicamente la comunicazione inversa, eliminando il rischio di command-and-control verso l'OT tramite i canali degli historian.
• Validare l'architettura rispetto al traffico reale. Confrontare i set di regole firewall con i diagrammi di rete. I threat hunt CISA hanno ripetutamente riscontrato contraddizioni tra questi. Simulare scenari di attacco: tentare di raggiungere le VLAN SCADA critiche da account IT non privilegiati compromessi.
• Terminare tutto l'accesso remoto nella DMZ. Ogni sessione remota di fornitori, dipendenti e appaltatori deve atterrare nei jump server di Livello 3.5 con logging delle sessioni, mai direttamente nelle zone OT.

Estendere lo zero trust ai livelli superiori. Sia le linee guida CISA 2025 che la posizione Zero Trust per OT del DoD considerano lo zero trust complementare al Purdue, non un sostituto. La verifica dell'identità si applica dal Livello 3.5 in su. I Livelli 0-2 richiedono la segmentazione di rete come controllo principale.

Queste pratiche riflettono il modello così come è stato progettato per funzionare. Ma il Modello Purdue stesso non è rimasto fermo, e comprendere come si è evoluto è essenziale per i team che operano in ambienti dove IT e OT non sono più separati nettamente.

L'Evoluzione Moderna: Convergenza IT/OT e Purdue 2.0

Il Modello Purdue si è evoluto da un'architettura a 6 livelli a un modello a 7 livelli con il Livello 3.5 come controllo di sicurezza obbligatorio. Gli architetti della sicurezza ora si riferiscono a questo come "Purdue 2.0", rappresentando un adattamento e non una sostituzione. Il principio della segmentazione gerarchica combinato con la iDMZ di Livello 3.5 rimane l'approccio più validato operativamente per la protezione dei processi industriali fisici.

Per i team di sicurezza che gestiscono questi ambienti sempre più convergenti, la visibilità trasversale agli ambienti diventa essenziale per individuare minacce che attraversano i confini IT/OT e correlare attività sospette tra endpoint, identità e traffico di rete.

Punti Chiave

Il Modello Purdue rimane l'architettura di riferimento riconosciuta a livello federale per la segmentazione di rete ICS, organizzando gli ambienti industriali in livelli gerarchici con confini di fiducia applicati. La Industrial DMZ al Livello 3.5 è ora obbligatoria per qualsiasi ambiente OT connesso. 

Il successo dell'implementazione dipende dall'applicazione, non dal design: validare le regole firewall rispetto al traffico reale, terminare tutto l'accesso remoto nella DMZ e distribuire controlli di sicurezza consapevoli dell'ICS. Con il ransomware presente nel 44% delle violazioni e il manifatturiero come settore più colpito per cinque anni consecutivi, la segmentazione basata su Purdue non è opzionale.

Domande frequenti

Cos'è il Purdue Model?

La Purdue Enterprise Reference Architecture (PERA), comunemente chiamata Modello Purdue, è un framework gerarchico che segmenta le reti dei sistemi di controllo industriale (ICS) in distinti livelli funzionali, dai processi fisici al Livello 0 fino all’IT aziendale e alle reti esterne ai Livelli 4 e 5. 

Sviluppata presso la Purdue University nel 1991, è stata originariamente progettata per la produzione integrata da computer ed è diventata lo standard di riferimento per la sicurezza ICS, attivamente supportata da CISA, NIST e dal Department of Defense.

Il Purdue Model è ancora rilevante nel 2025 o è stato sostituito dal zero trust?

Il Purdue Model continua a essere attivamente supportato da CISA, NIST e DoD nel 2025. Zero trust lo integra piuttosto che sostituirlo. Le linee guida CISA 2025 e la documentazione DoD Zero Trust for OT posizionano entrambe il zero trust come un miglioramento applicabile dal Livello 3.5 in su. 

I livelli da 0 a 2 in genere non possono supportare controlli basati sull'identità, rendendo la segmentazione di rete il principale meccanismo di protezione per il controllo dei processi fisici.

Qual è la differenza tra il Purdue Model originale e l'Extended Purdue Model?

Il modello originale del 1991 definiva sei livelli (da 0 a 5) per i flussi di dati nella produzione integrata da computer. L'Extended Purdue Model aggiunge il Livello 3.5, la Industrial DMZ, come zona cuscinetto obbligatoria tra OT (livelli da 0 a 3) e IT (livelli 4 e 5). 

Il DOE ha sviluppato questa estensione proprio perché la convergenza IT/OT ha reso insufficiente il confine originale. Ogni raccomandazione governativa attuale considera il Livello 3.5 essenziale.

Come si mappa il Purdue Model con ISA/IEC 62443?

ISA/IEC 62443 costruisce la sua architettura di sicurezza a zone e condotti direttamente sui livelli gerarchici del Modello Purdue. Ogni livello Purdue corrisponde a una zona di sicurezza con Livelli di Sicurezza definiti (SL 1 fino a 4), che vanno dalla protezione di base alla difesa contro attacchi sofisticati, sponsorizzati da stati. 

I condotti che collegano le zone devono essere protetti con lo stesso livello di criticità della zona più affidabile a cui sono collegati. Questa mappatura offre ai team di sicurezza un'architettura verificabile e conforme agli standard per le valutazioni di conformità ICS e le revisioni normative.

Perché il Livello 2 è considerato il gap di sicurezza più significativo negli ambienti ICS?

Il Livello 2 contiene sistemi SCADA e HMI che eseguono sistemi operativi basati su Windows mantenendo l'autorità di comando diretta sui PLC di Livello 1. Questo li rende vulnerabili alle tecniche di attacco IT standard e contemporaneamente in grado di comandare processi fisici. 

Poiché il Livello 2 spesso diventa il punto di pivot tra la compromissione aziendale e l'impatto sui processi fisici, rappresenta frequentemente il gap di monitoraggio e controllo accessi a maggiore leva negli impianti reali.

Qual è il singolo errore di implementazione più comune del Purdue Model?

Distribuzione di VLAN senza applicare controlli di accesso tra VLAN. Le attività di threat hunting proattive di CISA hanno documentato organizzazioni con VLAN IT e SCADA correttamente separate ma senza regole firewall tra di esse, consentendo agli utenti IT non privilegiati di accedere alle reti SCADA critiche. 

Le VLAN organizzano il traffico di rete; non lo limitano. Senza regole firewall corrispondenti che limitino esplicitamente la comunicazione tra VLAN, un attaccante che compromette la rete IT può spostarsi liberamente nei sistemi OT. La sola segmentazione tramite VLAN non fornisce un confine di sicurezza significativo.