OT / ICS SECURITY
DTLab Control Center.
Dai segnali di rete a un’indagine documentata.
In un laboratorio industriale, vedere un evento è soltanto il primo passo. DTLab Control Center collega inventario, telemetria ed evidenze al lavoro degli operatori: capire cosa è accaduto, assegnare una verifica e conservarne la traccia.
Il progetto in breve
- Ambito
- Cybersecurity & Networks
- Tecnologie
- Python · FastAPI · Next.js
- Stato
- Repository pubblico
- Esplora
- Codice e documentazione
- Contesto
- Repository pubblico · laboratorio OT/ICS
Il mio contributo
Ho sviluppato DTLab Control Center per collegare raccolta dei dati, correlazione, interfacce operative, ticket ed evidenze. Il codice e la cronologia delle revisioni sono pubblici. Il lavoro nasce nel contesto del DTLab Networking Bootcamp 2026.
Da dove parte il progetto
Il contesto, prima del codice.
Un ambiente OT/ICS mette insieme dispositivi industriali, macchine virtuali e protocolli di comunicazione con esigenze diverse da quelle di una normale applicazione web. Le informazioni utili a un’indagine possono trovarsi in sistemi separati: un asset nell’inventario, una comunicazione osservata in rete, una modifica rilevata sul dispositivo.
Cisco Cyber Vision resta la fonte per la visibilità della rete. Il progetto aggiunge un livello di correlazione e gestione operativa: mette in relazione quelle osservazioni con VMware e con i segnali endpoint, senza presentare come dato Cisco ciò che viene calcolato o confermato da un operatore. Il contesto documentato è un laboratorio; non una promessa di protezione universale degli impianti.
Il funzionamento
Le scelte, un passaggio alla volta.
Il percorso del progetto, dalle informazioni di partenza a ciò che le persone possono fare.
- 01 Raccolta in sola lettura
- 02 Snapshot e correlazione
- 03 Ticket e indagine
- 04 Dossier ed esportazione
Raccogliere senza interrogare gli apparati a ogni schermata.
I collector raccolgono i dati e pubblicano snapshot validati. Le interfacce leggono questi snapshot, invece di collegarsi direttamente agli apparati durante il rendering. Il tempo di risposta della dashboard viene così separato dalla disponibilità della singola sorgente.
I riferimenti current, previous e last_known_good rendono esplicite le versioni disponibili. Gli hash SHA-256 collegano un’evidenza al contenuto conservato: servono a verificarne l’integrità, senza attribuire agli hash il valore di una firma digitale dell’autore.
Mostrare da dove arriva una conclusione.
Il modello distingue osservazioni dirette, valori derivati, associazioni confermate da un operatore e informazioni non disponibili. Una correlazione tra una macchina virtuale e un asset di rete non deve diventare indistinguibile dal dato originale.
La vista Asset 360 raccoglie inventario, protocolli, vulnerabilità, segnali, ticket ed evidenze relativi allo stesso asset. Il rischio ricevuto da Cisco rimane separato dalle elaborazioni del progetto; una sorgente degradata continua a essere visibile come tale.
Integrare ciò che il sensore di rete non può vedere.
Una scrittura Modbus locale può non attraversare il punto in cui viene catturato il traffico. Il modulo di audit endpoint osserva queste operazioni e invia eventi autenticati al receiver, integrando la visibilità della rete.
Aggregazione in episodi, spool limitato e deduplicazione evitano di trasformare la ripetizione dello stesso evento in una sequenza incontrollata di segnalazioni. Questo modulo affianca Cyber Vision: non sostituisce i sensori di rete e non modifica il traffico industriale.
Portare l’evidenza dentro il lavoro dell’operatore.
Il ticketing conserva responsabile, priorità, stato, checklist, commenti e audit trail. Il segnale diventa una pratica da seguire, con ricorrenze ed esportazioni, anziché restare soltanto un indicatore su un cruscotto.
I dossier raccolgono snapshot e manifest per la verifica successiva. Gli export tecnici e quelli pubblici sono separati; questi ultimi rimuovono identificatori operativi. Il collegamento continuo a un SIEM richiede invece un destinatario reale configurato.
Dentro il progetto
La tecnologia ha un compito.
Strumenti e componenti letti attraverso il ruolo che svolgono nel sistema.
Python e Streamlit
Collector, servizi di correlazione e dashboard operativa. La raccolta è separata dalla consultazione degli snapshot.
FastAPI e Next.js
API con autenticazione e ruoli, insieme a un frontend alternativo. Il repository documenta anche un dataset sandbox per la demo.
SQLite e contratti JSON
Persistenza dei ticket, schemi dei dati e manifest delle evidenze. La documentazione comprende test, deployment e rollback.
Stato e prospettive
Che cosa c’è, oggi.
Ho sviluppato un flusso di laboratorio che collega raccolta, dashboard, rilevazione endpoint, ticketing, gestione delle evidenze e procedure di ripristino. Il valore del progetto è nella continuità tra questi passaggi, non nel numero di grafici mostrati.
Per approfondirlo sono disponibili codice, contratti, test e documentazione architetturale. Il contesto di utilizzo è il laboratorio OT/ICS.
Persone e documentazione
Contributi e fonti.
Codice e documentazione: Antonio Ferone. Le integrazioni Cisco e VMware sono descritte nei riferimenti tecnici del progetto.
Per andare oltre la scheda
Racconto basato sulla documentazione pubblica del progetto, consultata il 19 ottobre 2026. Le illustrazioni sono rappresentazioni grafiche, non schermate dei prodotti.