Однонаправленная сеть
Однонаправленная сеть (также называемая однонаправленным шлюзом или диодом данных ) — это сетевое устройство или устройство, которое позволяет данным передаваться только в одном направлении. данных Диоды чаще всего встречаются в средах с высоким уровнем безопасности, например, в обороне, где они служат соединениями между двумя или более сетями с разными классами безопасности. Учитывая рост промышленного Интернета вещей и цифровизации , эту технологию теперь можно найти на уровне промышленного контроля для таких объектов, как атомные электростанции , производство электроэнергии и критически важных систем безопасности, таких как железнодорожные сети. [1]
После многих лет разработки диоды данных превратились из простого сетевого устройства или устройства, позволяющего передавать необработанные данные только в одном направлении, используемого для обеспечения информационной безопасности или защиты критически важных цифровых систем, таких как промышленные системы управления, от входящих кибератак. [2] [3] к комбинациям аппаратного и программного обеспечения, работающим на прокси-компьютерах в исходной и целевой сетях. Аппаратное обеспечение обеспечивает физическую однонаправленность, а программное обеспечение реплицирует базы данных и эмулирует серверы протоколов для обеспечения двунаправленной связи. Диоды данных теперь способны передавать несколько протоколов и типов данных одновременно. Он содержит более широкий спектр кибербезопасности функций , таких как безопасная загрузка , управление сертификатами , целостность данных , прямое исправление ошибок (FEC), безопасная связь через TLS и другие. Уникальной особенностью является то, что данные передаются детерминированно (в заранее определенные места) с «разрывом» протокола, который позволяет передавать данные через диод данных.
Диоды для передачи данных обычно используются в военных и правительственных учреждениях с высоким уровнем безопасности и в настоящее время получают широкое распространение в таких секторах, как нефть и газ , водоснабжение и водоотведение, самолеты (между блоками управления полетом и бортовыми развлекательными системами), производство и облачные соединения для промышленных предприятий. Интернет вещей . [4] Новые правила [5] В результате возросшего спроса и увеличения мощности основные поставщики технологий снизили стоимость базовой технологии.
История
[ редактировать ] | Этот раздел нуждается в дополнительных цитатах для проверки . ( Июль 2023 г. ) |
Первые информационные диоды были разработаны правительственными организациями в восьмидесятых и девяностых годах. Поскольку эти организации работают с конфиденциальной информацией, обеспечение безопасности их сети имеет высший приоритет. Основными решениями, использованными этими организациями, были воздушные зазоры. Но поскольку объем передаваемых данных увеличился, а непрерывный поток данных в режиме реального времени стал более важным, этим организациям пришлось искать автоматизированное решение. [ нужна ссылка ]
В поисках большей стандартизации все большее число организаций начало искать решение, которое лучше подходило бы для их деятельности. Коммерческие решения, созданные стабильными организациями, имели успех благодаря уровню безопасности и долгосрочной поддержке. [ нужна ссылка ]
В США коммунальные предприятия и нефтегазовые компании уже несколько лет используют информационные диоды, а регулирующие органы поощряют их использование для защиты оборудования и процессов в автоматизированных системах безопасности (SIS) . Комиссия по ядерному регулированию (NRC) теперь требует использования информационных диодов, и многие другие отрасли, помимо электротехнической и ядерной, также эффективно используют информационные диоды. [1]
В Европе регуляторы и операторы нескольких критически важных для безопасности систем начали рекомендовать и внедрять правила использования однонаправленных шлюзов. [6]
В 2013 году рабочая группа Industrial Control System Cybersecurity, возглавляемая Французским агентством сетевой и информационной безопасности ( ANSSI ), заявила, что запрещено использовать межсетевые экраны для подключения любой сети класса 3, такой как системы железнодорожной коммутации, к сети более низкого класса или корпоративной сети. разрешена только однонаправленная технология. [5]
Приложения
[ редактировать ]- Мониторинг в режиме реального времени критически важных для безопасности сетей
- Безопасный ОТ – ИТ-мост [7]
- Безопасное подключение к облаку критически важных OT-сетей [8]
- базы данных Репликация
- Интеллектуальный анализ данных
- Надежные серверные и гибридные облачные решения (частные/публичные)
- Безопасный обмен данными для торговых площадок данных
- Безопасное предоставление учетных данных/сертификатов
- Безопасное совместное использование баз данных
- Безопасная печать из менее защищенной сети в сеть с высоким уровнем безопасности (снижение затрат на печать)
- Перенос обновлений приложений и операционной системы из менее безопасной сети в сеть с высоким уровнем безопасности.
- Синхронизация времени в высокозащищенных сетях
- Передача файлов
- Потоковое видео
- Отправка/получение оповещений или сигналов тревоги из открытых в критически важные/конфиденциальные сети. [9]
- Отправка/получение электронной почты из открытых в критически важные/конфиденциальные сети.
- Правительство [10]
- Коммерческие компании [11]
Использование
[ редактировать ]Однонаправленные сетевые устройства обычно используются для обеспечения информационной безопасности или защиты критически важных цифровых систем, таких как промышленные системы управления , от кибератак. Хотя использование этих устройств распространено в средах с высоким уровнем безопасности, таких как оборона, где они служат соединениями между двумя или более сетями с разными классами безопасности, технология также используется для обеспечения односторонней связи, исходящей от критически важных цифровых систем к ненадежным сетям. подключен к Интернету .
Физическая природа однонаправленных сетей позволяет данным передаваться только с одной стороны сетевого соединения на другую, но не наоборот. Это может быть от «низкой стороны» или ненадежной сети к «высокой стороне» или доверенной сети или наоборот. В первом случае данные в сети верхнего уровня остаются конфиденциальными, а пользователи сохраняют доступ к данным нижнего уровня. [12] Такая функциональность может быть привлекательной, если конфиденциальные данные хранятся в сети, требующей подключения к Интернету : верхняя сторона может получать данные Интернета от нижней стороны, но никакие данные на верхней стороне не доступны для вторжения через Интернет. Во втором случае критичная с точки зрения безопасности физическая система может быть доступна для онлайн-мониторинга, но при этом быть изолирована от всех интернет-атак, которые могут быть направлены на причинение физического ущерба. В обоих случаях соединение остается однонаправленным, даже если скомпрометированы как нижняя, так и верхняя сеть, поскольку гарантии безопасности носят физический характер.
Существует две основные модели использования однонаправленных сетевых подключений. В классической модели целью диода данных является предотвращение экспорта секретных данных с защищенной машины и в то же время разрешение импорта данных с незащищенной машины. В альтернативной модели диод используется для экспорта данных с защищенной машины и предотвращения атак на эту машину. Более подробно они описаны ниже.
Односторонний поток к менее безопасным системам
[ редактировать ]Включает системы, которые должны быть защищены от удаленных/внешних атак из общедоступных сетей при публикации информации в таких сетях. Например, система управления выборами, используемая при электронном голосовании, должна предоставлять общественности результаты выборов и в то же время быть защищенной от атак. [13]
Эта модель применима к множеству задач защиты критической инфраструктуры , где защита данных в сети менее важна, чем надежный контроль и правильная работа сети. Например, населению, живущему ниже по течению от плотины, необходима актуальная информация о стоке, и эта же информация является важным входным сигналом для системы управления шлюзами . В такой ситуации крайне важно, чтобы поток информации шел от защищенной системы контроля к общественности, а не наоборот.
Односторонний поток к более безопасным системам
[ редактировать ]Большинство однонаправленных сетевых приложений в этой категории производятся оборонными предприятиями и оборонными подрядчиками. Эти организации традиционно применяли воздушные зазоры , чтобы физически отделить секретные данные от любого подключения к Интернету. С введением однонаправленных сетей в некоторых из этих сред может безопасно существовать определенная степень соединения между сетью с секретными данными и сетью с подключением к Интернету.
В модели безопасности Белла-ЛаПадулы пользователи компьютерной системы могут создавать данные только на своем собственном уровне безопасности или выше. Это применимо в контекстах, где существует иерархия классификаций информации . Если пользователи на каждом уровне безопасности совместно используют машину, выделенную для этого уровня, и если машины соединены диодами данных, ограничения Белла-ЛаПадулы могут быть жестко соблюдены. [14]
Преимущества
[ редактировать ]Традиционно, когда ИТ-сеть предоставляет DMZ авторизованному пользователю доступ к серверу , данные уязвимы для вторжений из ИТ-сети. Однако с помощью однонаправленных шлюзов, отделяющих критическую сторону или сеть OT с конфиденциальными данными от открытой стороны с возможностью подключения к бизнесу и Интернету (обычно это ИТ-сеть), организации могут достичь лучшего из обоих миров, обеспечивая необходимое соединение и гарантируя безопасность. Это справедливо даже в том случае, если ИТ-сеть скомпрометирована, поскольку управление потоками трафика носит физический характер. [15]
- Не сообщалось о случаях обхода или использования диодов данных для обеспечения двустороннего трафика. [2]
- Снижение долгосрочных эксплуатационных затрат (OPEX) , поскольку нет никаких правил, которые необходимо поддерживать. Хотя будут установлены обновления программного обеспечения. Часто эти устройства должны обслуживаться поставщиками. [2]
- Однонаправленный программный уровень нельзя настроить для разрешения двустороннего трафика из-за физического отключения линии RX или TX. [2]
Слабые стороны
[ редактировать ]- По состоянию на июнь 2015 года однонаправленные шлюзы еще не получили широкого распространения и не были хорошо изучены. [2]
- Однонаправленные шлюзы не могут маршрутизировать большую часть сетевого трафика и нарушают большинство протоколов. [2]
- Расходы; Диоды передачи данных изначально были дорогими, хотя теперь доступны более дешевые решения. [ нужна ссылка ]
- Конкретные варианты использования, требующие двустороннего потока данных, могут быть труднореализуемыми. [ нужна ссылка ]
Вариации
[ редактировать ]Самая простая форма однонаправленной сети — это модифицированное оптоволоконное сетевое соединение приема и передачи , в котором приемопередатчики удалены или отключены для одного направления, а все механизмы защиты от сбоев канала отключены. Некоторые коммерческие продукты основаны на этой базовой конструкции, но добавляют к ним другие функциональные возможности программного обеспечения, которые предоставляют приложениям интерфейс, который помогает им передавать данные по каналу связи. [ нужна ссылка ]
Полностью оптические диоды передачи данных могут поддерживать очень высокую пропускную способность канала и являются одними из самых простых. В 2019 году компания Controlled Interfaces продемонстрировала свою (теперь запатентованную) одностороннюю оптоволоконную связь с использованием готовых коммерческих трансиверов 100G в паре платформ сетевых коммутаторов Arista. Никакого специального программного обеспечения-драйвера не требуется.
Другие более сложные коммерческие предложения обеспечивают одностороннюю передачу данных по нескольким протоколам, которые обычно требуют двунаправленных каналов. [ нужна ссылка ] Немецкие компании INFODAS и GENUA разработали программные («логические») диоды данных, которые используют операционную систему микроядра для обеспечения однонаправленной передачи данных. Благодаря программной архитектуре эти решения обеспечивают более высокую скорость, чем традиционные аппаратные диоды передачи данных. [ нужна ссылка ]
Компания ST Engineering разработала собственный защищенный шлюз электронных приложений, состоящий из нескольких диодов данных и других программных компонентов, для обеспечения двунаправленных транзакций веб-сервисов HTTP (S) в режиме реального времени через Интернет, одновременно защищая защищенные сети от обоих вредоносных атак. и утечка данных. [16]
В 2018 году компания Siemens Mobility выпустила решение однонаправленного шлюза промышленного уровня , в котором диод данных Data Capture Unit использует электромагнитную индукцию и новую конструкцию чипа для достижения оценки безопасности EBA , гарантируя безопасное соединение новых и существующих критически важных для безопасности систем на уровне целостности безопасности. уровень (SIL) 4 [17] для обеспечения безопасного Интернета вещей и предоставления аналитики данных и других облачных цифровых услуг. [18]
В 2022 году компания Fend Incorporated выпустила диод данных, способный работать как шлюз Modbus с полной оптической изоляцией. Этот диод предназначен для промышленных рынков и критически важной инфраструктуры, призванной соединить старые устаревшие технологии с новыми ИТ-системами. Диод также функционирует как преобразователь Modbus с возможностью подключения к последовательным системам RTU с одной стороны и системам Ethernet TCP с другой. [ нужна ссылка ]
Исследовательская лаборатория ВМС США (NRL) разработала собственную однонаправленную сеть под названием Network Pump. [19] Это во многом похоже на работу DSTO, за исключением того, что он допускает ограниченный обратный канал, идущий от верхней стороны к нижней стороне для передачи подтверждений. Эта технология позволяет использовать больше протоколов в сети, но вводит потенциальный скрытый канал, если как верхняя, так и нижняя сторона скомпрометированы из-за искусственной задержки времени подтверждения. [20]
Различные реализации также имеют разные уровни сертификации и аккредитации третьей стороны. Междоменная защита, предназначенная для использования в военных целях, может иметь или требовать обширную сертификацию и аккредитацию третьей стороны. [21] Однако цифровой диод, предназначенный для промышленного использования, может вообще не иметь или вообще не требовать сертификации и аккредитации третьей стороны, в зависимости от применения. [22]
Известные продавцы
[ редактировать ]- BAE Systems – США/Великобритания
- Fend Incorporated – США
- Сименс - Германия
- СТ Инжиниринг - Сингапур
- Технолюшн - Нидерланды
См. также
[ редактировать ]- Белла – ЛаПадулы Модель безопасности
- Сетевой кран
- Система обнаружения вторжений
Ссылки
[ редактировать ]- ^ Jump up to: а б «Улучшение кибербезопасности системы промышленного управления с помощью стратегий глубокоэшелонированной защиты - Министерство внутренней безопасности США» (PDF) . Агентство кибербезопасности и безопасности инфраструктуры . Сентябрь 2016 года . Проверено 15 апреля 2023 г.
- ^ Jump up to: а б с д и ж Скотт, Остин (30 июня 2015 г.). «Тактические информационные диоды в системах промышленной автоматики и управления» . Институт САНС . Проверено 15 апреля 2023 г.
- ^ «Национальный институт стандартов и технологий. Руководство по безопасности промышленных систем управления (ICS)» (PDF) .
- ^ «Интернет-безопасность» .
- ^ Jump up to: а б «ANSSI — Кибербезопасность для промышленных систем управления» (PDF) .
- ^ «Немецкие рекомендации по безопасности VDMA Industrie 4.0 рекомендуют использовать диоды данных для защиты критически важных сегментов сети» (PDF) .
- ^ «Защита нефте- и газопроводов от кибератак с использованием диодов Fend Data» (PDF) . fend.tech .
- ^ «Безопасное открытие двери в облако для критически важных производственных объектов» (PDF) . fend.tech .
- ^ «Мониторинг в режиме реального времени» .
- ^ Управление управления информацией правительства Австралии, 2003 г., Защита систем с помощью Starlight, Департамент финансов и администрации, просмотрено 14 апреля 2011 г., [1] Архивировано 6 апреля 2011 г. на Wayback Machine.
- ^ Вордсворт, C 1998 г., Пресс-релиз: Министр награждает пионера в области компьютерной безопасности, просмотрено 14 апреля 2011 г., [2] Архивировано 27 марта 2011 г. на Wayback Machine.
- ^ Слей, Дж. и Тернбулл, Б. 2004, «Использование и ограничения однонаправленных сетевых мостов в безопасной среде электронной коммерции», документ, представленный на конференции INC 2004, Плимут, Великобритания, 6–9 июля 2004 г.
- ^ Дуглас В. Джонс и Том К. Бауэрсокс, Безопасный экспорт данных и аудит с использованием диодов данных , Материалы семинара USENIX/ACCURATE по технологиям электронного голосования 2006 г. , 1 августа 2006 г., Ванкувер.
- ^ Курт А. Нильсен, Метод передачи данных с незащищенного компьютера на защищенный компьютер, патент США № 5,703,562 , 30 декабря 1997 г.
- ^ «Улучшение кибербезопасности системы промышленного управления с помощью стратегий глубокоэшелонированной защиты - Министерство внутренних дел США» (PDF) .
- ^ «Диод для инженерных данных ST в промышленности» (PDF) .
- ^ «Новый диод данных Siemens теперь доступен: безопасный мониторинг ваших сетей - Истории железных дорог - Глобально» . Сименс . Проверено 15 апреля 2023 г.
- ^ «Изюминки Иннотрас 2018» .
- ^ «Архивная копия» (PDF) . Архивировано из оригинала (PDF) 11 ноября 2020 года . Проверено 11 февраля 2015 г.
{{cite web}}: CS1 maint: архивная копия в заголовке ( ссылка ) - ^ Мьонг, Гонконг, Московиц, И.С. и Чинчек, С. 2005, «Насос: Десятилетие тайного веселья»
- ^ «Междоменные решения» . Локхид Мартин . Архивировано из оригинала 7 марта 2019 года . Проверено 6 марта 2019 г.
- ^ «Информационные диоды» . МикроАркс . Проверено 6 марта 2019 г.
Внешние ссылки
[ редактировать ]- Блог Паттона: Использование симплексных схем передачи данных для сетей сверхвысокой безопасности
- Доклад Института SANS о тактических информационных диодах в системах промышленной автоматизации и управления.
- Руководство по безопасности промышленных систем управления (ICS) Министерство торговли США — Национальный институт стандартов и технологий по использованию информационных диодов в промышленных системах управления.
- Улучшение кибербезопасности систем промышленного управления с помощью стратегий глубокоэшелонированной защиты Министерство внутренних дел США - Группа реагирования на кибер-чрезвычайные ситуации в системах промышленного управления безопасностью об использовании информационных диодов.