Enkelriktat nätverk

Ett enkelriktat nätverk (även kallat en enkelriktad gateway eller datadiod ) är en nätverksapparat eller enhet som tillåter data att färdas i endast en riktning. Datadioder finns oftast i högsäkerhetsmiljöer, såsom försvar, där de fungerar som anslutningar mellan två eller flera nätverk med olika säkerhetsklassificeringar . Med tanke på framväxten av industriell IoT och digitalisering kan denna teknik nu hittas på industriell kontrollnivå för sådana anläggningar som kärnkraftverk , kraftgenerering och säkerhetskritiska system som järnvägsnät.

Efter år av utveckling har datadioder utvecklats från att bara vara en nätverksapparat eller enhet som tillåter rådata att färdas endast i en riktning, som används för att garantera informationssäkerhet eller skydd av kritiska digitala system, såsom industriella kontrollsystem, från inkommande cyberattacker, till kombinationer av hårdvara och mjukvara som körs i proxydatorer i käll- och destinationsnätverken. Hårdvaran tvingar fram fysisk enkelriktad, och programvaran replikerar databaser och emulerar protokollservrar för att hantera dubbelriktad kommunikation. Datadioder kan nu överföra flera protokoll och datatyper samtidigt. Den innehåller ett bredare utbud av cybersäkerhetsfunktioner som säker start , certifikathantering, dataintegritet , forward error correction (FEC), säker kommunikation via TLS , bland annat. En unik egenskap är att data överförs deterministiskt (till förutbestämda platser) med ett protokoll "break" som gör att data kan överföras genom datadioden.

Datadioder finns vanligtvis i militära och statliga miljöer med hög säkerhet, och blir nu allmänt spridda inom sektorer som olja och gas , vatten/avloppsvatten, flygplan (mellan flygkontrollenheter och underhållningssystem under flygning), tillverkning och molnanslutningar för industri IoT . Nya regleringar har ökat efterfrågan och med ökad kapacitet har stora teknikleverantörer sänkt kostnaden för kärntekniken.

Historia

De första datadioderna utvecklades av statliga organisationer på åttio- och nittiotalet. Eftersom dessa organisationer arbetar med konfidentiell information är det högsta prioritet att se till att deras nätverk är säkert. De primära lösningarna som användes av dessa organisationer var luftgap. Men eftersom mängden överförbar data ökade och en kontinuerlig dataström i realtid blev viktigare, var dessa organisationer tvungna att leta efter en automatiserad lösning.

I jakten på mer standardisering började ett ökande antal organisationer leta efter en lösning som passade bättre för deras verksamhet. Kommersiella lösningar skapade av stabila organisationer lyckades med tanke på säkerhetsnivån och det långsiktiga stödet.

I USA har kraftbolag och olje- och gasbolag använt datadioder i flera år, och tillsynsmyndigheter har uppmuntrat användningen av dem för att skydda utrustning och processer i säkerhetsinstrumenterade system (SIS) . Nuclear Regulatory Commission (NRC) ger nu mandat att använda datadioder och många andra sektorer, förutom elektriska och nukleära, använder också datadioder effektivt.

I Europa har regulatorer och operatörer av flera säkerhetskritiska system börjat rekommendera och implementera bestämmelser om användning av enkelriktade gateways.

År 2013 uppgav det fungerande, Industrial Control System Cybersecurity, under ledning av den franska byrån för nätverks- och informationssäkerhet ( ANSSI ) att det är förbjudet att använda brandväggar för att ansluta alla klass 3-nätverk, såsom järnvägsväxlingssystem, till ett lägre klassnät eller företagsnätverk , är endast enkelriktad teknik tillåten.

Enkelriktad gateway i ett skåp

Ansökningar

  • Realtidsövervakning av säkerhetskritiska nätverk
  • Säker OT – IT-brygga
  • Säker molnuppkoppling av kritiska OT-nätverk
  • Databasreplikering _
  • Data mining
  • Pålitliga back-end- och hybridlösningar för moln (privat/offentligt)
  • Säkert datautbyte för datamarknadsplatser
  • Säker leverans av autentiseringsuppgifter/certifikat
  • Säker delning över databaser
  • Säker utskrift från ett mindre säkert nätverk till ett högt säkert nätverk (sänker utskriftskostnaderna)
  • Överföra program- och operativsystemuppdateringar från ett mindre säkert nätverk till ett högsäkert nätverk
  • Tidssynkronisering i mycket säkra nätverk
  • Filöverföring
  • Strömmande video
  • Skicka/ta emot varningar eller larm från öppna till kritiska/konfidentiella nätverk
  • Skicka/ta emot e-post från öppna till kritiska/konfidentiella nätverk
  • Regering
  • Kommersiella företag

Använda sig av

Enkelriktade nätverksenheter används vanligtvis för att garantera informationssäkerhet eller skydd av kritiska digitala system, såsom industriella kontrollsystem, från cyberattacker. Även om användningen av dessa enheter är vanlig i högsäkerhetsmiljöer som försvar, där de fungerar som anslutningar mellan två eller flera nätverk med olika säkerhetsklassificeringar, används tekniken också för att upprätthålla envägskommunikation utgående från kritiska digitala system till opålitliga nätverk ansluten till Internet .

Den fysiska karaktären hos enkelriktade nätverk tillåter bara data att passera från en sida av en nätverksanslutning till en annan, och inte tvärtom. Detta kan vara från "lågsidan" eller opålitligt nätverk, till "högsidan" eller betrodda nätverk, eller vice versa. I det första fallet hålls data i högsidans nätverk konfidentiell och användare behåller tillgång till data från lågsidan. Sådan funktionalitet kan vara attraktiv om känslig data lagras i ett nätverk som kräver anslutning till Internet : den höga sidan kan ta emot internetdata från den låga sidan, men ingen data på den höga sidan är tillgänglig för internetbaserade intrång. I det andra fallet kan ett säkerhetskritiskt fysiskt system göras tillgängligt för onlineövervakning, men ändå vara isolerat från alla internetbaserade attacker som kan försöka orsaka fysisk skada. I båda fallen förblir anslutningen enkelriktad även om både det låga och det höga nätet äventyras, eftersom säkerhetsgarantierna är fysiska till sin natur.

Det finns två generella modeller för användning av enkelriktade nätverksanslutningar. I den klassiska modellen är syftet med datadioden att förhindra export av sekretessbelagda data från en säker maskin samtidigt som den tillåter import av data från en osäker maskin. I den alternativa modellen används dioden för att tillåta export av data från en skyddad maskin samtidigt som den förhindrar attacker på den maskinen. Dessa beskrivs mer i detalj nedan.

Enkelriktat flöde till mindre säkra system

Innebär system som måste säkras mot fjärrangrepp/externa attacker från publika nätverk samtidigt som information publiceras till sådana nätverk. Till exempel måste ett valledningssystem som används vid elektronisk röstning göra valresultat tillgängligt för allmänheten samtidigt som det ska vara immunt mot angrepp.

Denna modell är tillämpbar på en mängd olika problem med skydd av kritisk infrastruktur , där skydd av data i ett nätverk är mindre viktigt än tillförlitlig kontroll och korrekt drift av nätverket. Till exempel behöver allmänheten som bor nedströms en damm uppdaterad information om utflödet, och samma information är en kritisk ingång till kontrollsystemet för dammluckorna . I en sådan situation är det avgörande att informationsflödet sker från det säkra kontrollsystemet till allmänheten och inte vice versa.

Enkelriktat flöde till säkrare system

Majoriteten av enkelriktade nätverkstillämpningar i denna kategori finns inom försvars- och försvarsentreprenörer. Dessa organisationer har traditionellt tillämpat luftgap för att hålla sekretessbelagda data fysiskt åtskilda från alla Internetanslutningar. Med introduktionen av enkelriktade nätverk i vissa av dessa miljöer kan en viss grad av anslutning säkert existera mellan ett nätverk med sekretessbelagda data och ett nätverk med en Internetanslutning.

I Bell-LaPadula säkerhetsmodell kan användare av ett datorsystem bara skapa data på eller över sin egen säkerhetsnivå. Detta gäller i sammanhang där det finns en hierarki av informationsklassificeringar . Om användare på varje säkerhetsnivå delar en maskin dedikerad till den nivån, och om maskinerna är anslutna med datadioder, kan Bell-Lapadula-begränsningarna tillämpas strikt.

Fördelar

Traditionellt, när IT-nätverket tillhandahåller DMZ- serveråtkomst för en auktoriserad användare, är data sårbara för intrång från IT-nätverket. Men med en enkelriktad gateway som separerar en kritisk sida eller OT-nätverk med känslig data från en öppen sida med affärs- och Internetanslutning, normalt IT-nätverk, kan organisationer uppnå det bästa av två världar, möjliggöra den anslutning som krävs och garantera säkerhet. Detta gäller även om IT-nätverket äventyras, eftersom trafikflödeskontrollen är fysisk till sin natur.

  • Inga rapporterade fall av att datadioder har kringgåtts eller utnyttjats för att möjliggöra tvåvägstrafik.
  • Lägre kostnad för långsiktig driftkostnad (OPEX) eftersom det inte finns några regler att upprätthålla. Även om det kommer att finnas programuppdateringar som ska installeras. Ofta måste dessa enheter underhållas av leverantörerna.
  • Det enkelriktade mjukvarulagret kan inte konfigureras för att tillåta tvåvägstrafik på grund av den fysiska frånkopplingen av RX- eller TX-linjen.

Svagheter

  • Från och med juni 2015 var enkelriktade gateways ännu inte vanligt använda eller väl förstått.
  • Enkelriktade gateways kan inte dirigera större delen av nätverkstrafiken och bryter de flesta protokoll.
  • Kosta; datadioder var ursprungligen dyra, även om billigare lösningar nu finns tillgängliga.
  • Specifika användningsfall som kräver ett tvåvägsdataflöde kan vara svåra att uppnå.

Variationer

Den enklaste formen av ett enkelriktat nätverk är en modifierad, fiberoptisk nätverkslänk , med sändnings- och mottagningssändtagare borttagna eller frånkopplade för en riktning, och eventuella länkfelsskyddsmekanismer inaktiverade. Vissa kommersiella produkter förlitar sig på denna grundläggande design, men lägger till annan mjukvarufunktionalitet som ger applikationer ett gränssnitt som hjälper dem att skicka data över länken.

Helt optiska datadioder kan stödja mycket hög kanalkapacitet och är bland de enklaste. Under 2019 demonstrerade Controlled Interfaces sin (nu patenterade) enkelriktade optiska fiberlänk med 100G kommersiella off-the-shelf-transceivrar i ett par Arista-nätverksväxelplattformar. Ingen speciell drivrutin krävs.

Andra mer sofistikerade kommersiella erbjudanden möjliggör samtidig enkelriktad dataöverföring av flera protokoll som vanligtvis kräver dubbelriktade länkar. De tyska företagen INFODAS och GENUA har utvecklat mjukvarubaserade ("logiska") datadioder som använder ett Microkernel-operativsystem för att säkerställa enkelriktad dataöverföring. På grund av mjukvaruarkitekturen erbjuder dessa lösningar högre hastighet än konventionella hårdvarubaserade datadioder.

ST Engineering har utvecklat sin egen Secure e-Application Gateway, bestående av flera datadioder och andra programvarukomponenter, för att möjliggöra realtids dubbelriktade HTTP(S)-webtjänsttransaktioner över internet samtidigt som de skyddar de säkrade nätverken från både skadliga injektioner och dataläckage.

Under 2018 släppte Siemens Mobility en enkelriktad gateway-lösning av industriell kvalitet där datadioden, Data Capture Unit, använder elektromagnetisk induktion och ny chipdesign för att uppnå en EBA -säkerhetsbedömning, vilket garanterar säker anslutning av nya och befintliga säkerhetskritiska system upp till säkerhetsintegritet nivå (SIL) 4 för att möjliggöra säker IoT och tillhandahålla dataanalys och andra molnbaserade digitala tjänster.

US Naval Research Laboratory (NRL) har utvecklat sitt eget enkelriktade nätverk som kallas Network Pump. Detta liknar på många sätt DSTO:s arbete, förutom att det tillåter en begränsad backkanal som går från den höga sidan till den låga sidan för överföring av bekräftelser. Denna teknik tillåter att fler protokoll används över nätverket, men introducerar en potentiell hemlig kanal om både hög- och lågsidan äventyras genom att artificiellt försena timingen av bekräftelsen.

Olika implementeringar har också olika nivåer av tredje parts certifiering och ackreditering. En domänövervakare avsedd för användning i militära sammanhang kan ha eller kräva omfattande tredjepartscertifiering och ackreditering. En datadiod avsedd för industriellt bruk kan dock inte ha eller kräva tredje parts certifiering och ackreditering alls, beroende på applikation.

Anmärkningsvärda försäljare

Se även

externa länkar

Hämtad från " https://en.wikipedia.org/w/index.php?title=Unidirectional_network&oldid=1140750762 "