Rede unidirecional - Unidirectional network

Uma rede unidirecional (também conhecida como gateway unidirecional ou diodo de dados ) é um dispositivo ou dispositivo de rede que permite que os dados viajem em apenas uma direção. Os diodos de dados podem ser encontrados mais comumente em ambientes de alta segurança, como defesa, onde servem como conexões entre duas ou mais redes de diferentes classificações de segurança. Dada a ascensão da IoT industrial e da digitalização , essa tecnologia agora pode ser encontrada no nível de controle industrial para instalações como usinas nucleares , geração de energia e sistemas críticos de segurança, como redes ferroviárias.

Após anos de desenvolvimento, os diodos de dados deixaram de ser apenas um dispositivo ou dispositivo de rede que permite que os dados brutos viajem apenas em uma direção, usados ​​para garantir a segurança da informação ou proteção de sistemas digitais críticos, como sistemas de controle industrial, de ataques cibernéticos de entrada, a combinações de hardware e software em execução em computadores proxy nas redes de origem e de destino. O hardware impõe a unidirecionalidade física e o software replica bancos de dados e emula servidores de protocolo para lidar com a comunicação bidirecional. Os Diodos de Dados agora são capazes de transferir vários protocolos e tipos de dados simultaneamente. Ele contém uma gama mais ampla de recursos de segurança cibernética como inicialização segura , gerenciamento de certificados , integridade de dados , correção de erros de encaminhamento (FEC), comunicação segura via TLS , entre outros. Uma característica única é que os dados são transferidos de forma determinística (para locais predeterminados) com uma "quebra" de protocolo que permite que os dados sejam transferidos através do diodo de dados.

Diodos de dados são comumente encontrados em ambientes militares e governamentais de alta segurança e agora estão se tornando amplamente difundidos em setores como petróleo e gás , água / esgoto, aviões (entre unidades de controle de voo e sistemas de entretenimento em voo), fabricação e conectividade em nuvem para indústrias IoT . Novas regulamentações aumentaram a demanda e, com o aumento da capacidade, os principais fornecedores de tecnologia reduziram o custo da tecnologia principal.

História

Os primeiros diodos de dados foram desenvolvidos por organizações governamentais nas décadas de oitenta e noventa. Como essas organizações trabalham com informações confidenciais , garantir a segurança de sua rede é a mais alta prioridade. As principais soluções usadas por essas organizações foram as lacunas de ar. Mas, conforme a quantidade de dados transferíveis aumentou e um fluxo de dados contínuo e em tempo real se tornou mais importante, essas organizações tiveram que procurar uma solução automatizada.

Na busca por mais padronização, um número cada vez maior de organizações passou a buscar uma solução mais adequada para suas atividades. Soluções comerciais criadas por organizações estáveis ​​tiveram sucesso devido ao nível de segurança e suporte de longo prazo.

Nos Estados Unidos, concessionárias de serviços públicos e empresas de petróleo e gás têm usado diodos de dados por vários anos, e os reguladores têm incentivado seu uso para proteger equipamentos e processos em SISs. A Nuclear Regulatory Commission (NRC) agora exige o uso de diodos de dados e muitos outros setores, além de elétrico e nuclear, também usam diodos de dados de forma eficaz.

Na Europa, os reguladores e operadores de vários sistemas críticos para a segurança começaram a recomendar e implementar regulamentos sobre o uso de gateways unidirecionais.

Em 2013, o trabalho, Industrial Control System Cybersecurity, dirigido pela Agência Francesa de Segurança de Redes e Informações ( ANSSI ) declarou que é proibido o uso de firewalls para conectar qualquer rede de classe 3, como sistemas de comutação ferroviária, a uma rede de classe inferior ou rede corporativa , apenas a tecnologia unidirecional é permitida.

Gateway unidirecional em um gabinete

Formulários

  • Monitoramento em tempo real de redes críticas para a segurança
  • OT seguro - ponte de TI
  • Conectividade segura em nuvem de redes OT críticas
  • Replicação de banco de dados
  • Mineração de dados
  • Soluções confiáveis hospedadas em nuvem híbrida e back-end (privado / público)
  • Troca de dados segura para mercados de dados
  • Provisionamento seguro de credencial / certificado
  • Compartilhamento seguro de banco de dados cruzado
  • Impressão segura de uma rede menos segura para uma rede altamente segura (reduzindo os custos de impressão)
  • Transferir atualizações de aplicativos e sistemas operacionais de uma rede menos segura para uma rede altamente segura
  • Sincronização de tempo em redes altamente seguras
  • Transferência de arquivo
  • Transmissão de vídeo
  • Envio / recebimento de alertas ou alarmes de redes abertas a críticas / confidenciais
  • Envio / recebimento de e-mails de redes abertas a críticas / confidenciais
  • Governo
  • Empresas comerciais

Usar

Dispositivos de rede unidirecionais são normalmente usados ​​para garantir a segurança da informação ou proteção de sistemas digitais críticos, como sistemas de controle industrial , contra ataques cibernéticos. Embora o uso desses dispositivos seja comum em ambientes de alta segurança, como defesa, onde servem como conexões entre duas ou mais redes de diferentes classificações de segurança, a tecnologia também está sendo usada para forçar a saída de comunicações unilaterais de sistemas digitais críticos para redes não confiáveis conectado à Internet .

A natureza física das redes unidirecionais permite apenas que os dados passem de um lado da conexão de rede para outro, e não o contrário. Isso pode ser do "lado baixo" ou rede não confiável, para o "lado alto" ou rede confiável, ou vice-versa. No primeiro caso, os dados da rede alta são mantidos em sigilo e os usuários mantêm o acesso aos dados da rede baixa. Essa funcionalidade pode ser atraente se dados confidenciais forem armazenados em uma rede que requer conectividade com a Internet : o lado superior pode receber dados da Internet do lado inferior, mas nenhum dado do lado superior está acessível à intrusão baseada na Internet. No segundo caso, um sistema físico crítico para a segurança pode ser tornado acessível para monitoramento online, mas pode ser isolado de todos os ataques baseados na Internet que podem procurar causar danos físicos. Em ambos os casos, a conexão permanece unidirecional, mesmo que a rede baixa e a alta sejam comprometidas, pois as garantias de segurança são de natureza física.

Existem dois modelos gerais para o uso de conexões de rede unidirecionais. No modelo clássico, o objetivo do diodo de dados é impedir a exportação de dados classificados de uma máquina segura, ao mesmo tempo que permite a importação de dados de uma máquina insegura. No modelo alternativo, o diodo é usado para permitir a exportação de dados de uma máquina protegida enquanto evita ataques a essa máquina. Estas são descritas em mais detalhe abaixo.

Fluxo unilateral para sistemas menos seguros

Envolve sistemas que devem ser protegidos contra ataques remotos / externos de redes públicas durante a publicação de informações nessas redes. Por exemplo, um sistema de gestão eleitoral usado com votação eletrônica deve tornar os resultados das eleições disponíveis ao público, ao mesmo tempo que deve ser imune a ataques.

Este modelo é aplicável a uma variedade de problemas críticos de proteção de infraestrutura , onde a proteção dos dados em uma rede é menos importante do que o controle confiável e a operação correta da rede. Por exemplo, o público que vive a jusante de uma barragem precisa de informações atualizadas sobre o escoamento, e as mesmas informações são uma entrada crítica para o sistema de controle das comportas . Em tal situação, é fundamental que o fluxo de informações seja do sistema de controle seguro para o público, e não vice-versa.

Fluxo unilateral para sistemas mais seguros

A maioria dos aplicativos de rede unidirecional nesta categoria são em defesa e empreiteiros de defesa. Essas organizações tradicionalmente aplicam lacunas de ar para manter os dados classificados fisicamente separados de qualquer conexão com a Internet. Com a introdução de redes unidirecionais em alguns desses ambientes, um certo grau de conectividade pode existir com segurança entre uma rede com dados classificados e uma rede com conexão à Internet.

No modelo de segurança Bell-LaPadula , os usuários de um sistema de computador só podem criar dados no nível de segurança ou acima dele. Isso se aplica em contextos onde há uma hierarquia de classificações de informações . Se os usuários em cada nível de segurança compartilham uma máquina dedicada a esse nível, e se as máquinas são conectadas por diodos de dados, as restrições Bell-Lapadula podem ser rigidamente aplicadas.

Benefícios

Tradicionalmente, quando a rede de TI fornece acesso ao servidor DMZ para um usuário autorizado, os dados ficam vulneráveis ​​a intrusões da rede de TI. No entanto, com gateways unidirecionais separando um lado crítico ou rede OT com dados confidenciais de um lado aberto com conectividade de negócios e Internet, normalmente rede de TI, as organizações podem obter o melhor dos dois mundos, permitindo a conectividade necessária e garantindo a segurança. Isso é válido mesmo se a rede de TI estiver comprometida, porque o controle do fluxo de tráfego é de natureza física.

  • Nenhum caso relatado de diodos de dados sendo ignorados ou explorados para permitir o tráfego bidirecional.
  • Menor custo operacional de longo prazo (OPEX), pois não há regras a serem mantidas. Embora haja atualizações de software a serem instaladas. Freqüentemente, esses dispositivos precisam ser mantidos pelos fornecedores.
  • A camada de software unidirecional não pode ser configurada para permitir tráfego bidirecional devido à desconexão física da linha RX ou TX.

Fraquezas

  • Em junho de 2015, os gateways unidirecionais ainda não eram comumente usados ​​ou bem compreendidos.
  • Os gateways unidirecionais são incapazes de rotear a maior parte do tráfego da rede e quebrar a maioria dos protocolos.
  • Custo; diodos de dados eram originalmente caros, embora soluções de custo mais baixo estejam agora disponíveis.
  • Os casos de uso específicos que requerem um fluxo de dados bidirecional podem ser difíceis de alcançar.

Variações

A forma mais simples de uma rede unidirecional é um link de rede de fibra óptica modificado, com transceptores de envio e recepção removidos ou desconectados em uma direção e quaisquer mecanismos de proteção de falha de link desabilitados. Alguns produtos comerciais contam com esse design básico, mas adicionam outra funcionalidade de software que fornece aos aplicativos uma interface que os ajuda a passar dados pelo link.

Diodos de dados totalmente óticos podem suportar capacidades de canal muito altas e estão entre os mais simples. Em 2019, a Controlled Interfaces demonstrou seu link de fibra óptica unilateral (agora patenteado) usando transceptores 100G Commercial Off The Shelf em um par de plataformas de switch de rede Arista. Nenhum software de driver especializado é necessário.

Outras ofertas comerciais mais sofisticadas permitem a transferência de dados unilateral simultânea de vários protocolos que geralmente requerem links bidirecionais. As empresas alemãs INFODAS e GENUA tem software desenvolvido com base ( "lógicas") diodos de dados que utilizam um sistema Microkernel operacional para garantir a transferência de dados unidirecional. Devido à arquitetura de software, essas soluções oferecem maior velocidade do que diodos de dados convencionais baseados em hardware.

Em 2018, a Siemens Mobility lançou uma solução de gateway unidirecional de nível industrial em que o diodo de dados, Unidade de Captura de Dados , usa indução eletromagnética e novo design de chip para obter uma avaliação de segurança EBA , garantindo conectividade segura de sistemas críticos de segurança novos e existentes até a integridade da segurança nível (SIL) 4 para habilitar IoT segura e fornecer análise de dados e outros serviços digitais hospedados na nuvem .

O US Naval Research Laboratory (NRL) desenvolveu sua própria rede unidirecional chamada Network Pump. Isso é em muitos aspectos semelhante ao trabalho do DSTO, exceto que permite um backchannel limitado indo do lado alto para o lado baixo para a transmissão de confirmações. Essa tecnologia permite que mais protocolos sejam usados ​​na rede, mas introduz um canal secreto potencial se ambos os lados alto e baixo forem comprometidos por atrasar artificialmente o tempo de confirmação.

Implementações diferentes também têm níveis diferentes de certificação e credenciamento de terceiros. Um guarda de domínio cruzado destinado ao uso em um contexto militar pode ter ou exigir certificação e credenciamento de terceiros. Um diodo de dados destinado ao uso industrial, entretanto, pode não ter ou exigir certificação e credenciamento de terceiros, dependendo da aplicação.

Vendedores

Veja também

Referências

links externos