Sieć jednokierunkowa

Sieć jednokierunkowa (nazywana również jednokierunkową bramą lub diodą danych ) to urządzenie sieciowe lub urządzenie umożliwiające przesyłanie danych tylko w jednym kierunku. Diody danych można znaleźć najczęściej w środowiskach o wysokim poziomie bezpieczeństwa, takich jak obrona, gdzie służą jako połączenia między dwiema lub więcej sieciami o różnych klasyfikacjach bezpieczeństwa. Biorąc pod uwagę rozwój przemysłowego Internetu Rzeczy i cyfryzacji , technologię tę można obecnie znaleźć na poziomie sterowania przemysłowego w takich obiektach, jak elektrownie jądrowe , wytwarzanie energii i systemy krytyczne dla bezpieczeństwa, takie jak sieci kolejowe.

Po latach rozwoju diody danych ewoluowały od bycia tylko urządzeniem sieciowym lub urządzeniem umożliwiającym przesyłanie nieprzetworzonych danych tylko w jednym kierunku, wykorzystywanym do gwarantowania bezpieczeństwa informacji lub ochrony krytycznych systemów cyfrowych, takich jak przemysłowe systemy sterowania, przed przychodzącymi atakami cybernetycznymi, do kombinacji sprzętu i oprogramowania działających na komputerach proxy w sieci źródłowej i docelowej. Sprzęt wymusza fizyczną jednokierunkowość, a oprogramowanie replikuje bazy danych i emuluje serwery protokołów w celu obsługi komunikacji dwukierunkowej. Diody danych mogą teraz przesyłać jednocześnie wiele protokołów i typów danych. Zawiera szerszy zakres tzw funkcje bezpieczeństwa cybernetycznego, takie jak między innymi bezpieczny rozruch , zarządzanie certyfikatami, integralność danych , korekcja błędów w przód (FEC), bezpieczna komunikacja przez TLS . Unikalną cechą jest to, że dane są przesyłane deterministycznie (do z góry określonych miejsc) z protokołem „break”, który umożliwia przesyłanie danych przez diodę danych.

Diody danych są powszechnie spotykane w środowiskach wojskowych i rządowych o wysokim stopniu bezpieczeństwa, a obecnie są szeroko rozpowszechnione w sektorach takich jak ropa naftowa i gaz , woda/ścieki, samoloty (między jednostkami kontroli lotu a systemami rozrywki podczas lotu), produkcja i łączność w chmurze dla przemysłu Internet Rzeczy Nowe przepisy zwiększyły popyt, a wraz ze wzrostem wydajności główni dostawcy technologii obniżyli koszty podstawowej technologii.

Historia

Pierwsze diody danych zostały opracowane przez organizacje rządowe w latach osiemdziesiątych i dziewięćdziesiątych. Ponieważ organizacje te pracują z poufnymi , zapewnienie bezpieczeństwa ich sieci ma najwyższy priorytet. Podstawowym rozwiązaniem stosowanym przez te organizacje były szczeliny powietrzne. Jednak wraz ze wzrostem ilości przesyłanych danych i rosnącym znaczeniem ciągłego strumienia danych w czasie rzeczywistym organizacje te musiały szukać zautomatyzowanego rozwiązania.

W poszukiwaniu większej standaryzacji coraz więcej organizacji zaczęło szukać rozwiązania, które lepiej pasowałoby do ich działalności. Komercyjne rozwiązania tworzone przez stabilne organizacje odniosły sukces, biorąc pod uwagę poziom bezpieczeństwa i długoterminowe wsparcie.

W Stanach Zjednoczonych przedsiębiorstwa użyteczności publicznej oraz firmy naftowe i gazowe używają diod danych od kilku lat, a organy regulacyjne zachęcają do ich stosowania w celu ochrony sprzętu i procesów w oprzyrządowanych systemach bezpieczeństwa (SIS) . Nuclear Regulatory Commission (NRC) nakazuje teraz stosowanie diod danych, a wiele innych sektorów, oprócz sektora elektrycznego i jądrowego, również skutecznie wykorzystuje diody danych.

W Europie organy regulacyjne i operatorzy kilku systemów krytycznych dla bezpieczeństwa zaczęli zalecać i wdrażać przepisy dotyczące korzystania z jednokierunkowych bramek.

W 2013 roku działający Industrial Control System Cybersecurity, kierowany przez francuską Agencję ds. Bezpieczeństwa Sieci i Informacji ( ANSSI ), stwierdził, że zabrania się używania zapór ogniowych do łączenia jakiejkolwiek sieci klasy 3, takiej jak kolejowe systemy przesiadkowe, z siecią niższej klasy lub siecią korporacyjną , dozwolona jest tylko technologia jednokierunkowa.

Bramka jednokierunkowa w szafce

Aplikacje

  • Monitorowanie w czasie rzeczywistym sieci o krytycznym znaczeniu dla bezpieczeństwa
  • Bezpieczny most OT – IT
  • Bezpieczna łączność w chmurze krytycznych sieci OT
  • Replikacja bazy danych
  • Eksploracja danych
  • Zaufane rozwiązania back-end i hostowane w chmurze hybrydowej (prywatne/publiczne)
  • Bezpieczna wymiana danych dla rynków danych
  • Bezpieczne udostępnianie poświadczeń/certyfikatów
  • Bezpieczne udostępnianie między bazami danych
  • Bezpieczne drukowanie z mniej bezpiecznej sieci do sieci o wysokim poziomie bezpieczeństwa (zmniejszenie kosztów drukowania)
  • Przenoszenie aktualizacji aplikacji i systemu operacyjnego z mniej bezpiecznej sieci do sieci o wysokim poziomie bezpieczeństwa
  • Synchronizacja czasu w wysoce bezpiecznych sieciach
  • Transfer plików
  • Przesyłanie strumieniowe wideo
  • Wysyłanie/odbieranie alertów lub alarmów z sieci otwartych do krytycznych/poufnych
  • Wysyłanie/odbieranie wiadomości e-mail z sieci otwartych do krytycznych/poufnych
  • Rząd
  • Spółki handlowe

Używać

Jednokierunkowe urządzenia sieciowe są zwykle używane do zagwarantowania bezpieczeństwa informacji lub ochrony krytycznych systemów cyfrowych, takich jak przemysłowe systemy sterowania , przed cyberatakami. Chociaż korzystanie z tych urządzeń jest powszechne w środowiskach o wysokim poziomie bezpieczeństwa, takich jak obrona, gdzie służą jako połączenia między dwiema lub więcej sieciami o różnych klasyfikacjach bezpieczeństwa, technologia ta jest również wykorzystywana do wymuszania jednokierunkowej komunikacji wychodzącej z krytycznych systemów cyfrowych do niezaufanych sieci podłączony do Internetu .

Fizyczna natura sieci jednokierunkowych umożliwia przekazywanie danych tylko z jednej strony połączenia sieciowego do drugiej, a nie odwrotnie. Może to dotyczyć sieci „niskiej” lub niezaufanej, sieci „wysokiej” lub sieci zaufanej lub odwrotnie. W pierwszym przypadku dane w sieci high side są traktowane jako poufne, a użytkownicy zachowują dostęp do danych ze strony low side. Taka funkcjonalność może być atrakcyjna, jeśli wrażliwe dane są przechowywane w sieci, która wymaga połączenia z Internetem : wysoka strona może odbierać dane internetowe ze strony niskiej, ale żadne dane po stronie wysokiej nie są dostępne dla włamań internetowych. W drugim przypadku krytyczny dla bezpieczeństwa system fizyczny można udostępnić do monitorowania online, ale jednocześnie odizolować go od wszelkich ataków internetowych, które mogłyby spowodować fizyczne szkody. W obu przypadkach połączenie pozostaje jednokierunkowe, nawet jeśli zarówno sieć niska, jak i wysoka zostaną naruszone, ponieważ gwarancje bezpieczeństwa mają charakter fizyczny.

Istnieją dwa ogólne modele korzystania z jednokierunkowych połączeń sieciowych. W modelu klasycznym zadaniem diody danych jest zapobieganie eksportowi danych niejawnych z zabezpieczonej maszyny przy jednoczesnym umożliwieniu importu danych z niezabezpieczonej maszyny. W alternatywnym modelu dioda służy do umożliwienia eksportu danych z chronionej maszyny, jednocześnie zapobiegając atakom na tę maszynę. Zostały one opisane bardziej szczegółowo poniżej.

Jednokierunkowy przepływ do mniej bezpiecznych systemów

Obejmuje systemy, które muszą być zabezpieczone przed zdalnymi/zewnętrznymi atakami z sieci publicznych podczas publikowania informacji w takich sieciach. Na przykład system zarządzania wyborami wykorzystywany do głosowania elektronicznego musi upubliczniać wyniki wyborów, a jednocześnie musi być odporny na ataki.

Model ten ma zastosowanie do różnorodnych problemów ochrony infrastruktury krytycznej , gdzie ochrona danych w sieci jest mniej istotna niż niezawodna kontrola i poprawność działania sieci. Na przykład społeczeństwo mieszkające w dole rzeki od tamy potrzebuje aktualnych informacji na temat odpływu, a te same informacje stanowią krytyczne dane wejściowe do systemu sterowania wrotami przeciwpowodziowymi . W takiej sytuacji niezwykle ważne jest, aby przepływ informacji odbywał się z bezpiecznego systemu kontroli do opinii publicznej, a nie odwrotnie.

Jednokierunkowy przepływ do bezpieczniejszych systemów

Większość jednokierunkowych aplikacji sieciowych w tej kategorii znajduje się w obronności i wykonawcach obronnych. Organizacje te tradycyjnie stosowały szczeliny powietrzne , aby fizycznie odseparować dane niejawne od jakiegokolwiek połączenia internetowego. Wraz z wprowadzeniem sieci jednokierunkowych w niektórych z tych środowisk, pewien stopień łączności może bezpiecznie istnieć między siecią z danymi niejawnymi a siecią z połączeniem internetowym.

W modelu bezpieczeństwa Bella-LaPaduli użytkownicy systemu komputerowego mogą tworzyć dane tylko na swoim poziomie bezpieczeństwa lub wyższym. Ma to zastosowanie w kontekstach, w których istnieje hierarchia klasyfikacji informacji . Jeśli użytkownicy na każdym poziomie bezpieczeństwa współdzielą maszynę przeznaczoną dla tego poziomu i jeśli maszyny są połączone diodami danych, można sztywno narzucić ograniczenia Bella-Lapaduli.

Korzyści

Tradycyjnie, gdy sieć IT zapewnia autoryzowanemu użytkownikowi dostęp do serwera DMZ , dane są narażone na włamania z sieci IT. Jednak dzięki jednokierunkowym bramom oddzielającym stronę krytyczną lub sieć OT z wrażliwymi danymi od strony otwartej z łącznością biznesową i internetową, zwykle siecią IT, organizacje mogą osiągnąć to, co najlepsze z obu światów, umożliwiając wymaganą łączność i zapewniając bezpieczeństwo. Dzieje się tak nawet wtedy, gdy sieć IT jest zagrożona, ponieważ kontrola przepływu ruchu ma charakter fizyczny.

  • Nie zgłoszono przypadków omijania lub wykorzystywania diod danych w celu umożliwienia ruchu dwukierunkowego.
  • Niższe długoterminowe koszty operacyjne (OPEX), ponieważ nie ma zasad, których należy przestrzegać. Chociaż będą instalowane aktualizacje oprogramowania. Często te urządzenia muszą być konserwowane przez dostawców.
  • Warstwa oprogramowania jednokierunkowego nie może być skonfigurowana do zezwalania na ruch dwukierunkowy ze względu na fizyczne rozłączenie linii RX lub TX.

Słabości

  • Od czerwca 2015 r. Jednokierunkowe bramy nie były jeszcze powszechnie używane ani dobrze rozumiane.
  • Bramy jednokierunkowe nie są w stanie kierować większości ruchu sieciowego i łamać większość protokołów.
  • Koszt; diody danych były pierwotnie drogie, chociaż obecnie dostępne są tańsze rozwiązania.
  • Konkretne przypadki użycia, które wymagają dwukierunkowego przepływu danych, mogą być trudne do osiągnięcia.

Wariacje

Najprostszą formą sieci jednokierunkowej jest zmodyfikowane, światłowodowe łącze sieciowe , z usuniętymi lub odłączonymi nadajnikami-odbiornikami nadawczymi i odbiorczymi dla jednego kierunku oraz wyłączonymi wszelkimi mechanizmami ochrony przed awariami łącza . Niektóre produkty komercyjne opierają się na tym podstawowym projekcie, ale dodają inne funkcje oprogramowania, które zapewniają aplikacjom interfejs, który pomaga im przekazywać dane przez łącze.

Całkowicie optyczne diody danych mogą obsługiwać bardzo duże pojemności kanałów i należą do najprostszych. W 2019 roku firma Controlled Interfaces zademonstrowała swoje (teraz opatentowane) jednokierunkowe łącze światłowodowe z wykorzystaniem komercyjnych transceiverów 100G w parze platform przełączników sieciowych Arista. Nie jest wymagane żadne specjalistyczne oprogramowanie sterownika.

Inne, bardziej wyrafinowane oferty komercyjne umożliwiają jednoczesne jednokierunkowe przesyłanie danych z wielu protokołów, które zwykle wymagają łączy dwukierunkowych. Niemieckie firmy INFODAS i GENUA opracowały oparte na oprogramowaniu („logiczne”) diody danych, które wykorzystują system operacyjny Microkernel, aby zapewnić jednokierunkowy transfer danych. Ze względu na architekturę oprogramowania rozwiązania te oferują wyższą prędkość niż konwencjonalne diody danych oparte na sprzęcie.

Firma ST Engineering opracowała własną bramkę Secure e-Application Gateway, składającą się z wielu diod danych i innych komponentów oprogramowania, aby umożliwić dwukierunkowe transakcje usług sieciowych HTTP(S) w czasie rzeczywistym przez Internet, jednocześnie chroniąc zabezpieczone sieci przed złośliwymi wstrzyknięciami i wycieku danych.

W 2018 roku firma Siemens Mobility wypuściła jednokierunkowe rozwiązanie bramy klasy przemysłowej, w którym dioda danych, Data Capture Unit, wykorzystuje indukcję elektromagnetyczną i nową konstrukcję układu scalonego, aby uzyskać ocenę bezpieczeństwa EBA , gwarantując bezpieczną łączność nowych i istniejących systemów o krytycznym znaczeniu dla bezpieczeństwa aż do nienaruszalności bezpieczeństwa poziom (SIL) 4, aby umożliwić bezpieczny IoT i zapewnić analizę danych oraz inne usługi cyfrowe hostowane w chmurze .

Laboratorium Badawcze Marynarki Wojennej Stanów Zjednoczonych (NRL) opracowało własną jednokierunkową sieć zwaną pompą sieciową. Jest to pod wieloma względami podobne do pracy DSTO, z wyjątkiem tego, że umożliwia ograniczony kanał zwrotny przechodzący od strony wysokiej do niskiej w celu transmisji potwierdzeń. Ta technologia pozwala na użycie większej liczby protokołów w sieci, ale wprowadza potencjalny ukryty kanał , jeśli zarówno strona wysoka, jak i niska zostaną naruszone poprzez sztuczne opóźnienie synchronizacji potwierdzenia.

Różne wdrożenia mają również różne poziomy certyfikacji i akredytacji stron trzecich. Strażnik międzydomenowy przeznaczony do użytku w kontekście wojskowym może mieć lub wymagać obszernych certyfikacji i akredytacji strony trzeciej. Jednak dioda danych przeznaczona do użytku przemysłowego może w ogóle nie posiadać certyfikacji i akredytacji strony trzeciej lub w ogóle nie wymagać, w zależności od zastosowania.

Znani sprzedawcy

Zobacz też

Linki zewnętrzne

Pobrano z „ https://en.wikipedia.org/w/index.php?title=Unidirectional_network&oldid=1140750762 ”