Из Википедии, бесплатной энциклопедии
Перейти к навигации Перейти к поиску

Однонаправленная сеть (также упоминаются как однонаправленный шлюз или диод данных ) представляет собой сетевое устройство или устройство , которое позволяет данные для перемещения только в одном направлении. Диоды данных чаще всего встречаются в средах с высоким уровнем безопасности, таких как защита, где они служат в качестве соединений между двумя или более сетями с разными классификациями безопасности. Учитывая рост промышленного Интернета вещей и цифровизацию , эту технологию теперь можно найти на уровне промышленного контроля для таких объектов, как атомные электростанции , производство электроэнергии и критически важные системы безопасности, такие как железнодорожные сети. [1]

После многих лет развития использование дата-диодов увеличилось, создав два варианта: [2] [3]

  • Диод данных : Сетевое устройство или устройство, позволяющее необработанным данным перемещаться только в одном направлении, используемое для обеспечения информационной безопасности или защиты критически важных цифровых систем, таких как промышленные системы управления, от входящих кибератак. [3]
  • Однонаправленный шлюз : сочетание аппаратного и программного обеспечения, работающего на прокси-компьютерах в исходной и целевой сетях. Аппаратное обеспечение, диод данных, обеспечивает физическую однонаправленность, а программное обеспечение реплицирует базы данных и эмулирует серверы протоколов для обработки двунаправленной связи. Однонаправленный шлюз может одновременно передавать несколько протоколов и типов данных. Он содержит более широкий спектр функций кибербезопасности, таких как безопасная загрузка , управление сертификатами , целостность данных , прямое исправление ошибок (FEC), безопасная связь через TLS., среди прочего. Уникальной характеристикой является то, что данные передаются детерминированно (в заранее определенные места) с «разрывом» протокола, который позволяет передавать данные через диод данных.

Диоды передачи данных обычно используются в военной и правительственной среде с высоким уровнем безопасности, и в настоящее время они получают широкое распространение в таких секторах, как нефть и газ , водоснабжение / сточные воды, самолеты (между блоками управления полетом и бортовыми развлекательными системами), производство и подключение к облаку для промышленных предприятий. Интернет вещей . [4] Новые правила [5] увеличили спрос, и с увеличением емкости основные поставщики технологий снизили стоимость базовой технологии.

История [ править ]

Первые информационные диоды были разработаны правительственными организациями в восьмидесятых и девяностых годах. Поскольку эти организации работают с конфиденциальной информацией, обеспечение безопасности их сети является наивысшим приоритетом. Основными решениями, использованными этими организациями, были воздушные зазоры. Но по мере того, как объем передаваемых данных увеличивался, а непрерывный поток данных в реальном времени становился все более важным, этим организациям пришлось искать автоматизированное решение.

В поисках большей стандартизации все большее число организаций начали искать решение, которое лучше подходило бы для их деятельности. Коммерческие решения, созданные стабильными организациями, оказались успешными, учитывая уровень безопасности и долгосрочную поддержку.

В Соединенных Штатах коммунальные предприятия и нефтегазовые компании используют светодиоды в течение нескольких лет, и регулирующие органы поощряют их использование для защиты оборудования и процессов в SIS [ необходимо определение ] . Комиссия по ядерному регулированию (NRC) теперь требует использования диодов для передачи данных, и во многих других секторах, помимо электрических и ядерных, также эффективно используются диоды для передачи данных. [1]

В Европе регулирующие органы и операторы нескольких критически важных для безопасности систем начали рекомендовать и внедрять правила использования однонаправленных шлюзов. [6]

В 2013 году рабочая группа Industrial Control System Cybersecurity, управляемая Французским агентством сетевой и информационной безопасности ( ANSSI ), заявила, что запрещено использовать межсетевые экраны для подключения любой сети класса 3, такой как системы железнодорожной коммутации, к сети более низкого класса или корпоративной сети. , разрешена только однонаправленная технология. [5]

Однонаправленный шлюз в шкафу

Приложения [ править ]

  • Мониторинг критически важных сетей в реальном времени
  • Secure OT - IT-мост
  • Безопасное облачное подключение критически важных сетей OT
  • Репликация базы данных
  • Сбор данных
  • Надежные серверные и гибридные облачные решения (частные / общедоступные)
  • Безопасный обмен данными для торговых площадок
  • Безопасное предоставление учетных данных / сертификатов
  • Безопасное совместное использование баз данных между пользователями
  • Безопасная печать из менее защищенной сети в высокозащищенную сеть (снижение затрат на печать)
  • Перенос обновлений приложений и операционной системы из менее защищенной сети в высокозащищенную.
  • Синхронизация времени в высокозащищенных сетях
  • Передача файла
  • Потоковое видео
  • Отправка / получение предупреждений или аварийных сигналов из открытых в критические / конфиденциальные сети [7]
  • Отправка / получение электронных писем из открытых в критические / конфиденциальные сети
  • Правительство [8]
  • Коммерческие компании [9]

Используйте [ редактировать ]

Однонаправленные сетевые устройства обычно используются для обеспечения информационной безопасности или защиты критически важных цифровых систем, таких как промышленные системы управления , от кибератак. Хотя использование этих устройств является обычным явлением в средах с высоким уровнем безопасности, таких как защита, где они служат в качестве соединений между двумя или более сетями с различными классификациями безопасности, технология также используется для обеспечения односторонней исходящей связи от критических цифровых систем к ненадежным сетям. подключен к Интернету .

Физическая природа однонаправленных сетей позволяет данным передаваться только с одной стороны сетевого подключения на другую, а не наоборот. Это может быть от «низкой стороны» или ненадежной сети, к «высокой стороне» или доверенной сети, или наоборот. В первом случае данные в сети высокого уровня остаются конфиденциальными, и пользователи сохраняют доступ к данным на стороне низкого уровня. [10] Такая функциональность может быть привлекательной, если конфиденциальные данные хранятся в сети, которая требует подключения к Интернету.: высокая сторона может получать интернет-данные с нижней стороны, но никакие данные на высокой стороне недоступны для вторжения через Интернет. Во втором случае критически важная для безопасности физическая система может быть сделана доступной для онлайн-мониторинга, но при этом быть изолированной от всех атак через Интернет, которые могут попытаться нанести физический ущерб. В обоих случаях соединение остается однонаправленным, даже если скомпрометированы как низкая, так и высокая сеть, поскольку гарантии безопасности носят физический характер.

Есть две общие модели использования однонаправленных сетевых подключений. В классической модели целью диода данных является предотвращение экспорта секретных данных с защищенной машины при одновременном импорте данных с незащищенной машины. В альтернативной модели диод используется для экспорта данных с защищенной машины и предотвращения атак на эту машину. Они описаны более подробно ниже.

Односторонний переход к менее безопасным системам [ править ]

Включает системы, которые должны быть защищены от удаленных / внешних атак из общедоступных сетей при публикации информации в таких сетях. Например, система управления выборами, используемая с электронным голосованием, должна делать результаты выборов доступными для общественности, и в то же время она должна быть защищена от атак. [11]

Эта модель применима к множеству критических проблем защиты инфраструктуры , где защита данных в сети менее важна, чем надежный контроль и правильная работа сети. Например, люди, живущие ниже по течению от плотины, нуждаются в актуальной информации о оттоке, и эта же информация является критически важным входом в систему контроля шлюзов . В такой ситуации критически важно, чтобы поток информации шел от защищенной системы управления к общественности, а не наоборот.

Односторонний переход к более безопасным системам [ править ]

Большинство однонаправленных сетевых приложений в этой категории относятся к оборонным и оборонным подрядчикам. Эти организации традиционно использовали воздушные зазоры, чтобы физически отделить секретные данные от любого подключения к Интернету. С появлением однонаправленных сетей в некоторых из этих сред определенная степень связи может безопасно существовать между сетью с секретными данными и сетью с подключением к Интернету.

В модели безопасности Bell-LaPadula пользователи компьютерной системы могут создавать данные только на уровне их собственного уровня безопасности или выше. Это применимо в контекстах, где существует иерархия классификаций информации . Если пользователи на каждом уровне безопасности совместно используют машину, выделенную для этого уровня, и если машины соединены информационными диодами, ограничения Белла-Лападулы могут быть жестко соблюдены. [12]

Преимущества [ править ]

Обычно, когда ИТ-сеть предоставляет доступ к серверу DMZ для авторизованного пользователя, данные уязвимы для вторжений из ИТ-сети. Однако с помощью однонаправленных шлюзов, отделяющих критическую сторону или сеть OT с конфиденциальными данными от открытой стороны с подключением к бизнесу и Интернету, обычно это ИТ-сеть, организации могут добиться лучшего из обоих миров, обеспечивая необходимое подключение и обеспечивая безопасность. Это верно, даже если ИТ-сеть скомпрометирована, поскольку управление потоком трафика носит физический характер. [13]

  • Не сообщалось о случаях обхода или использования диодов данных для обеспечения двустороннего трафика. [2]
  • Более низкие долгосрочные эксплуатационные расходы (OPEX) за счет отсутствия правил, которые необходимо поддерживать. Хотя будут и обновления ПО устанавливать. Часто эти устройства должны обслуживаться поставщиками. [2]
  • Однонаправленный программный уровень не может быть настроен для разрешения двустороннего трафика из-за физического отключения линии RX или TX. [2]

Слабые стороны [ править ]

  • По состоянию на июнь 2015 года однонаправленные шлюзы еще не были широко распространены или хорошо изучены. [2]
  • Однонаправленные шлюзы не могут маршрутизировать большую часть сетевого трафика и нарушают работу большинства протоколов. [2]
  • Расходы; Изначально диоды для передачи данных были дорогими, хотя сейчас доступны более дешевые решения.
  • Определенные варианты использования, требующие двустороннего потока данных, могут быть труднодостижимыми.

Варианты [ править ]

Самая простая форма однонаправленной сети - это модифицированный волоконно-оптический сетевой канал с удаленными или отключенными приемопередатчиками для одного направления и отключенными механизмами защиты от сбоев канала . Некоторые коммерческие продукты полагаются на этот базовый дизайн, но добавляют другие программные функции, которые предоставляют приложениям интерфейс, который помогает им передавать данные по ссылке.

Полностью оптические диодные линии передачи данных могут иметь пропускную способность, превышающую пропускную способность их управляющей электроники. В 2019 году компания Controlled Interfaces продемонстрировала возможность одностороннего подключения по оптическому каналу с использованием оптических волокон и готовых коммерческих трансиверов 100G.

Другие, более сложные коммерческие предложения обеспечивают одновременную одностороннюю передачу данных по нескольким протоколам, для которых обычно требуются двунаправленные каналы. Немецкие компании INFODAS и GENUA разработали программные («логические») диоды данных, которые используют операционную систему Microkernel для обеспечения однонаправленной передачи данных. Благодаря программной архитектуре эти решения предлагают более высокую скорость, чем обычные аппаратные диоды данных.

В 2018 году компания Siemens Mobility выпустила решение для однонаправленного шлюза промышленного уровня, в котором диод данных, Data Capture Unit , использует электромагнитную индукцию и новую конструкцию микросхемы для достижения оценки безопасности EBA , гарантируя безопасное соединение новых и существующих систем, важных для безопасности, вплоть до полноты безопасности. уровень (SIL) 4 [14] для обеспечения безопасного Интернета вещей и предоставления аналитики данных и других цифровых услуг, размещенных в облаке . [15]

Научно - исследовательская лаборатория ВМС США (NRL) разработала свою собственную однонаправленную сеть под названием Сеть [16] Насос. Это во многом похоже на работу DSTO, за исключением того, что позволяет ограниченному обратному каналу переходить от высокой стороны к низкой для передачи подтверждений. Эта технология позволяет использовать больше протоколов в сети, но вводит потенциальный скрытый канал, если как верхняя, так и нижняя стороны скомпрометированы из-за искусственной задержки времени подтверждения. [17]

Различные реализации также имеют разные уровни сертификации и аккредитации третьей стороной. Междоменное средство защиты, предназначенное для использования в военных целях, может иметь или требовать обширной сертификации и аккредитации третьей стороной. [18] Диод данных, предназначенный для промышленного использования, может вообще не иметь сертификации и аккредитации третьей стороной, в зависимости от области применения. [19]

Продавцы [ править ]

  • Адвеника - Швеция [20]
  • Арбитраж - Дания [21]
  • BAE Systems - США / Великобритания [22]
  • Deepsecure - Великобритания [23]
  • Fend - США [24]
  • Fox-IT - Нидерланды [25]
  • GENUA - Германия [26]
  • Хиршманн - США [27]
  • INFODAS - Германия [28]
  • PA Consulting Group - Великобритания [29]
  • OWL Cyber ​​Defense - США [30]
  • Siemens - Германия [31]
  • ST Engineering - Сингапур [32]
  • Вадо - Израиль [33]
  • Водопад - Израиль [34]
  • WizLan - Израиль [35]
  • Rovenma Corp - Турция [36]
  • Bilge SGT - Турция [37]
  • Управляемые интерфейсы - США [38]
  • Филбико - Польша [39]

См. Также [ править ]

  • Модель Bell-LaPadula для безопасности
  • Сетевой кран
  • Система обнаружения вторжений
  • Конечная точка асимметричной связи [40]

Ссылки [ править ]

  1. ^ a b «Улучшение кибербезопасности системы промышленного контроля с помощью комплексных стратегий защиты - Министерство внутренней безопасности США» (PDF) .
  2. ^ a b c d e f "Тактические диоды данных института SANS в системах промышленной автоматизации и управления" .
  3. ^ a b «Национальный институт стандартов и технологий. Руководство по безопасности промышленных систем управления (ICS)» (PDF) .
  4. ^ «Безопасность Интернета вещей» .
  5. ^ a b «ANSSI - Кибербезопасность для промышленных систем управления» (PDF) .
  6. ^ «Немецкое руководство по безопасности VDMA Industrie 4.0 рекомендует использовать светодиоды для защиты критических сегментов сети» (PDF) .
  7. ^ «Мониторинг в реальном времени» .
  8. ^ Управление по управлению информацией правительства Австралии 2003, Обеспечение безопасности систем с помощью Starlight, Департамент финансов и администрации, просмотрено 14 апреля 2011 г. [1] Архивировано 6 апреля 2011 г. на Wayback Machine
  9. ↑ Вордсворт, C 1998 г., Пресс-релиз: Ministry Awards Pioneer In Computer Security, просмотрено 14 апреля 2011 г. [2] Архивировано 27 марта 2011 г. в Wayback Machine.
  10. ^ Слей, Дж. И Тернбулл, Б. 2004, «Использование и ограничения однонаправленных сетевых мостов в безопасной среде электронной коммерции», документ, представленный на конференции INC 2004, Плимут, Великобритания, 6–9 июля 2004 г.
  11. ^ Дуглас У. Джонс и Том С. Бауэрсокс, Безопасный экспорт и аудит данных с использованием диодов данных , Материалы семинара по технологиям электронного голосования USENIX / ACCURATE 2006 г., 1 августа 2006 г., Ванкувер.
  12. ^ Курт А. Нильсен, Метод передачи данных с незащищенного компьютера на защищенный , Патент США 5,703,562 , 30 декабря 1997 г.
  13. ^ «Улучшение кибербезопасности системы промышленного контроля с помощью комплексных стратегий защиты - Министерство внутренних дел США» (PDF) .
  14. ^ «Siemens Data Capture Unit позволяет использовать цифровые услуги» .
  15. ^ «Innotras 2018 основные моменты» .
  16. ^ http://www.nrl.navy.mil/itd/chacs/sites/edit-www.nrl.navy.mil.itd.chacs/files/files/networkPumpBrochure_0.pdf
  17. ^ Мён, HK, Московиц, IS & Chincheck, S 2005, 'Насос: Десятилетие Covert Fun'
  18. ^ «Междоменные решения» . Локхид Мартин . Проверено 6 марта 2019 .
  19. ^ "Диоды данных" . MicroArx . Проверено 6 марта 2019 .
  20. ^ "SecuriCDS Data Diode - Аппаратное обеспечение" .
  21. ^ "Arbit DataDiode - Аппаратное обеспечение" .
  22. ^ «Решение Data Diode - Аппаратное обеспечение» .
  23. ^ "Data Diode - Аппаратное обеспечение" .
  24. ^ "Fend Data Diode - Аппаратное обеспечение" .
  25. ^ "Fox DataDiode - Аппаратное обеспечение" .
  26. ^ "Cyber-Diode - Программное обеспечение" .
  27. ^ "Железнодорожный диод данных - аппаратное обеспечение" .
  28. ^ "SDoT Diode - Программное обеспечение" .
  29. ^ "Oakdoor Data Diodes - Аппаратное обеспечение" .
  30. ^ "Диоды данных OWL - Аппаратное обеспечение" .
  31. ^ «Блок сбора данных - на основе индукции» .
  32. ^ "ST Engineering Data Diode / DigiSAFE Data Diode - Аппаратное обеспечение" .
  33. ^ "Сетевой диод данных - аппаратное обеспечение" .
  34. ^ «Однонаправленный шлюз безопасности - аппаратный» .
  35. ^ "WSD & VIT Cyber ​​Network Security - Аппаратная безопасность" .
  36. ^ «Однонаправленный шлюз безопасности - аппаратный» .
  37. ^ "DataFlowX Data Diode следующего поколения - аппаратное и программное обеспечение, интегрированное под ключ междоменное решение" .
  38. ^ "Высокопроизводительные оптические аппаратные решения Data Diode с использованием электроники COTS" .
  39. ^ "ZNO - Data Diode однонаправленный шлюз - Аппаратное обеспечение" .
  40. ^ https://firewalls.feuerbach.info

Внешние ссылки [ править ]

  • Документ Института SANS о тактических диодах данных в системах промышленной автоматизации и управления.
  • Руководство по безопасности промышленных систем управления (ICS) Министерство торговли США - Национальный институт стандартов и технологий по использованию диодов данных в промышленных системах управления.
  • Повышение кибербезопасности системы промышленного контроля с помощью комплексных стратегий защиты Министерство внутренних дел США - Группа реагирования на кибербезопасность промышленных систем контроля по использованию диодов данных.
  • Аппаратная кибербезопасность для промышленного Интернета вещей
  • Немецкая ассоциация машиностроения и промышленного оборудования (VDMA) Industrie 4.0 Security Guidelines рекомендует использовать светодиоды для защиты критически важных сегментов сети.
  • Немецкая ассоциация машиностроения и промышленного оборудования (VDMA) IT-безопасность в областях Industrie 4.0-Action для операторов рекомендует использовать светодиоды данных в переходных зонах.
  • Использование диодов для передачи данных в промышленности