Tek yönlü ağ - Unidirectional network

Bir tek yönlü ağ (aynı zamanda bir tek yönlü ağ geçidi veya veri diyotu), verilerin yalnızca tek yönde hareket etmesine izin veren bir ağ cihazı veya cihazıdır. Veri diyotları, en yaygın olarak, farklı güvenlik sınıflandırmalarına sahip iki veya daha fazla ağ arasında bağlantı görevi gördükleri savunma gibi yüksek güvenlikli ortamlarda bulunabilir. Endüstrinin yükselişi göz önüne alındığında IoT ve sayısallaştırma, bu teknoloji artık aşağıdaki gibi tesisler için endüstriyel kontrol düzeyinde bulunabilir. nükleer enerji santralleri, güç üretimi ve güvenlik kritik sistemler demiryolu ağları gibi.[1]

Yıllar süren geliştirmeden sonra veri diyotlarının kullanımı iki varyasyon oluşturarak artmıştır:[2][3]

  • Veri diyotu: Ham verilerin yalnızca bir yönde seyahat etmesine izin veren, bilgi güvenliğini garanti etmek veya endüstriyel kontrol sistemleri gibi kritik dijital sistemlerin gelen siber saldırılardan korunmasını sağlamak için kullanılan ağ cihazı veya cihazı.[3]
  • Tek yönlü ağ geçidi: Kaynak ve hedef ağlarda proxy bilgisayarlarda çalışan donanım ve yazılım kombinasyonu. Bir veri diyotu olan donanım, fiziksel tek yönlülüğü zorlar ve yazılım, iki yönlü iletişimi idare etmek için veritabanlarını çoğaltır ve protokol sunucularını taklit eder. Tek yönlü ağ geçidi, birden çok protokolü ve veri türünü aynı anda aktarabilir. Daha geniş bir yelpazeyi içerir siber güvenlik gibi özellikler Güvenli Önyükleme, sertifika yönetimi, veri bütünlüğü, ileri hata düzeltme (FEC), üzerinden güvenli iletişim TLS diğerleri arasında. Benzersiz bir özellik, verilerin, verilerin veri diyotu aracılığıyla aktarılmasına izin veren bir protokol "kesintisi" ile belirleyici olarak (önceden belirlenmiş konumlara) aktarılmasıdır.

Veri diyotları genellikle yüksek güvenlikli askeri ve hükümet ortamlarında bulunur ve şu anda gibi sektörlerde yaygınlaşmaktadır. Petrol gazı su / atık su, uçaklar (uçuş kontrol üniteleri ile uçak içi eğlence sistemleri arasında), imalat ve bulut için bağlantı endüstriyel IoT[4]. Yeni düzenlemeler[5] artan talep ve artan kapasite ile büyük teknoloji satıcıları çekirdek teknolojinin maliyetini düşürmüştür.

Tarih

İlk veri diyotları, seksenlerde ve doksanlarda devlet kurumları tarafından geliştirildi. Çünkü bu kuruluşlar birlikte çalışıyor gizli bilgi, ağlarının güvenli olduğundan emin olmak en yüksek önceliğe sahiptir. Bu kuruluşların kullandığı başlıca çözümler hava boşluklarıydı. Ancak, aktarılabilir veri miktarı arttıkça ve sürekli ve gerçek zamanlı veri akışı daha önemli hale geldikçe, bu kuruluşlar otomatik bir çözüm aramak zorunda kaldı.

Daha fazla standardizasyon arayışında, artan sayıda kuruluş, faaliyetlerine daha uygun bir çözüm aramaya başladı. İstikrarlı kuruluşlar tarafından oluşturulan ticari çözümler, güvenlik seviyesi ve uzun vadeli destek göz önüne alındığında başarılı oldu.

Amerika Birleşik Devletleri'nde, kamu hizmetleri ve petrol ve gaz şirketleri birkaç yıldır veri diyotlarını kullanıyor ve düzenleyiciler, SIS'lerdeki ekipman ve süreçleri korumak için bunların kullanılmasını teşvik ediyor.[tanım gerekli ]. Nükleer Düzenleme Komisyonu (NRC) artık veri diyotlarının ve elektrik ve nükleerin yanı sıra diğer birçok sektörün de veri diyotlarını etkili bir şekilde kullanmasını zorunlu kılıyor.[1]

Avrupa'da, çeşitli kuruluşların düzenleyicileri ve işletmecileri güvenlik açısından kritik sistemler tek yönlü ağ geçitlerinin kullanımına ilişkin düzenlemeler önermeye ve uygulamaya başladı.[6]

2013 yılında Fransız Ağ ve Bilgi Güvenliği Ajansı tarafından yönetilen Endüstriyel Kontrol Sistemi Siber Güvenliği (ANSSI ) kullanmanın yasak olduğunu belirtti güvenlik duvarları demiryolu anahtarlama sistemleri gibi herhangi bir sınıf 3 ağını daha düşük sınıf bir ağa veya kurumsal ağa bağlamak için yalnızca tek yönlü teknolojiye izin verilir.[5]

Bir kabinde tek yönlü ağ geçidi

Başvurular

  • Gerçek zamanlı izleme Emniyet açısından kritik ağlar
  • Güvenli OT - BT köprüsü
  • Güvenli bulut bağlantısı kritik OT ağları
  • Veri tabanı çoğaltma
  • Veri madenciliği
  • Güvenilir arka uç ve melez bulut barındırılan çözümler (özel / genel)
  • Veri pazarları için güvenli veri alışverişi
  • Güvenli kimlik bilgisi / sertifika sağlama
  • Güvenli veri tabanı paylaşımı
  • Daha az güvenli bir ağdan yüksek güvenli bir ağa güvenli baskı (baskı maliyetlerini düşürür)
  • Uygulama ve işletim sistemi güncellemelerini daha az güvenli bir ağdan yüksek güvenli bir ağa aktarma
  • Son derece güvenli ağlarda zaman senkronizasyonu
  • Dosya transferi
  • Video akışı
  • Açıktan kritik / gizli ağlara uyarılar veya alarmlar gönderme / alma[7]
  • Açıktan kritik / gizli ağlara e-posta gönderme / alma
  • Devlet[8]
  • Ticari şirketler[9]

Kullanım

Tek yönlü ağ cihazları tipik olarak bilgi güvenliğini veya kritik dijital sistemlerin korunmasını garanti etmek için kullanılır. Endüstriyel kontrol sistemleri, siber saldırılardan. Bu cihazların kullanımı, farklı güvenlik sınıflandırmalarına sahip iki veya daha fazla ağ arasında bağlantı görevi gördükleri savunma gibi yüksek güvenlikli ortamlarda yaygın olsa da, teknoloji aynı zamanda kritik dijital sistemlerden güvenilmeyen ağlara giden tek yönlü iletişimleri zorlamak için de kullanılmaktadır. bağlı İnternet.

Tek yönlü ağların fiziksel yapısı, verilerin yalnızca bir ağ bağlantısının bir tarafından diğerine geçmesine izin verir, tersi değil. Bu, "düşük taraftan" veya güvenilmeyen ağdan "yüksek tarafa" veya güvenilen ağa veya tam tersi olabilir. İlk durumda, yüksek taraftaki ağdaki veriler gizli tutulur ve kullanıcılar alt taraftan verilere erişimi sürdürür.[10] Bu tür bir işlevsellik, hassas veriler ağda depolanıyorsa çekici olabilir ve İnternet: yüksek taraf İnternet verilerini düşük taraftan alabilir, ancak yüksek taraftaki hiçbir veriye İnternet tabanlı izinsiz girişler için erişilemez. İkinci durumda, güvenlik açısından kritik bir fiziksel sistem çevrimiçi izleme için erişilebilir hale getirilebilir, ancak fiziksel hasara neden olabilecek tüm İnternet tabanlı saldırılardan izole edilebilir. Her iki durumda da, güvenlik garantileri doğası gereği fiziksel olduğundan, hem düşük hem de yüksek ağ tehlikeye atılsa bile bağlantı tek yönlü kalır.

Tek yönlü ağ bağlantılarını kullanmanın iki genel modeli vardır. Klasik modelde, veri diyotunun amacı, güvenli olmayan bir makineden verilerin içe aktarılmasına izin verirken, sınıflandırılmış verilerin güvenli bir makineden dışa aktarılmasını önlemektir. Alternatif modelde, diyot, korumalı bir makineden veri aktarımına izin verirken, bu makineye yapılan saldırıları önlemek için kullanılır. Bunlar aşağıda daha ayrıntılı olarak açıklanmaktadır.

Daha az güvenli sistemlere tek yönlü akış

Bu tür ağlarda bilgi yayınlarken, genel ağlardan gelen uzak / dış saldırılara karşı güvence altına alınması gereken sistemleri içerir. Örneğin, bir seçim yönetim sistemi ile kullanılan elektronik oylama seçim sonuçlarını kamuya açık hale getirirken aynı zamanda saldırılara karşı bağışık olmalıdır.[11]

Bu model, çeşitli kritik altyapı koruması bir ağdaki verilerin korunmasının, ağın güvenilir kontrolü ve doğru çalışmasından daha az önemli olduğu sorunlar. Örneğin, bir nehrin aşağısında yaşayan halk baraj çıkış hakkında güncel bilgiye ihtiyaç duyar ve aynı bilgi, kontrol sistemi için kritik bir girdidir. bent kapakları. Böyle bir durumda, bilgi akışının güvenli kontrol sisteminden halka olması ve bunun tersi olmaması çok önemlidir.

Daha güvenli sistemlere tek yönlü akış

Bu kategorideki tek yönlü ağ uygulamalarının çoğu savunma ve savunma yüklenicilerindedir. Bu kuruluşlar geleneksel olarak uyguladı hava boşlukları sınıflandırılmış verileri herhangi bir İnternet bağlantısından fiziksel olarak ayrı tutmak. Bu ortamların bazılarında tek yönlü ağların ortaya çıkmasıyla, sınıflandırılmış verilere sahip bir ağ ile İnternet bağlantısı olan bir ağ arasında bir dereceye kadar bağlantı güvenli bir şekilde mevcut olabilir.

İçinde Bell-LaPadula güvenlik modelinde, bir bilgisayar sisteminin kullanıcıları yalnızca kendi güvenlik düzeylerinde veya üzerinde veri oluşturabilir. Bu, bir hiyerarşinin olduğu bağlamlarda geçerlidir. bilgi sınıflandırmaları. Her güvenlik seviyesindeki kullanıcılar o seviyeye ayrılmış bir makineyi paylaşırsa ve makineler veri diyotlarıyla bağlanırsa, Bell-Lapadula kısıtlamaları katı bir şekilde uygulanabilir.[12]

Faydaları

Geleneksel olarak, BT ağı sağlar DMZ yetkili bir kullanıcı için sunucu erişimi, veriler BT ağından gelen izinsiz girişlere karşı savunmasızdır. Bununla birlikte, kritik bir tarafı ayıran tek yönlü ağ geçitleri ile veya OT ağı İş ve İnternet bağlantısına sahip açık bir taraftan alınan hassas verilerle, normalde BT ağı, kuruluşlar her iki dünyanın da en iyisini elde edebilir, gerekli bağlanabilirliği ve güvenliği sağlayabilir. Bu, BT ağı tehlikeye atılsa bile geçerlidir, çünkü trafik akışı kontrolü doğası gereği fizikseldir.[13]

  • İki yönlü trafiği etkinleştirmek için atlanan veya kötüye kullanılan hiçbir veri diyotu vakası rapor edilmemiştir.[2]
  • Korunması gereken kurallar olmadığından daha düşük uzun vadeli işletme maliyeti (OPEX) maliyeti. Yüklenecek yazılım güncellemeleri olmasına rağmen. Genellikle bu cihazların satıcılar tarafından bakımının yapılması gerekir.[2]
  • Tek yönlü yazılım katmanı, RX veya TX hattının fiziksel bağlantısının kesilmesi nedeniyle iki yönlü trafiğe izin verecek şekilde yapılandırılamaz.[2]

Zayıf yönler

  • Haziran 2015 itibarıyla, tek yönlü ağ geçitleri henüz yaygın olarak kullanılmamış veya iyi anlaşılmamıştır.[2]
  • Tek yönlü ağ geçitleri, ağ trafiğinin çoğunu yönlendiremez ve çoğu protokolü kıramaz.[2]
  • Maliyet; veri diyotları başlangıçta pahalıydı, ancak daha düşük maliyetli çözümler artık mevcut.
  • İki yönlü veri akışı gerektiren özel kullanım durumlarına ulaşmak zor olabilir.

Varyasyonlar

Tek yönlü bir ağın en basit şekli değiştirilmiş bir ağdır, fiber optik ağ bağlantısı, gönder ve al ile alıcı-vericiler tek yön için kaldırılmış veya bağlantısı kesilmiş ve herhangi bir bağlantı hatası koruma mekanizmaları devre dışı. Bazı ticari ürünler bu temel tasarıma dayanır, ancak uygulamalara bağlantı üzerinden veri aktarmalarına yardımcı olan bir arabirim sağlayan başka yazılım işlevselliği ekler.

Tüm optik veri diyot bağlantıları, sürücü elektroniklerinden daha fazla kanal kapasitesi sunabilir. 2019 yılında Kontrollü Arayüzler optik fiberleri ve 100G Commercial Off The Shelf alıcı-vericileri kullanarak tek yönlü optik bağlantı bağlantısını gösterdi.

Diğer daha karmaşık ticari teklifler, genellikle çift yönlü bağlantılar gerektiren birden çok protokolün eşzamanlı tek yönlü veri aktarımına olanak tanır. Alman şirketleri BİLGİLER ve GENUA tek yönlü veri aktarımını sağlamak için bir Mikro Çekirdek İşletim sistemi kullanan yazılım tabanlı ("mantıksal") veri diyotları geliştirmiştir. Yazılım mimarisi nedeniyle bu çözümler, geleneksel donanım tabanlı veri diyotlarından daha yüksek hız sunar.

2018 yılında Siemens Mobilite yayınladı endüstriyel seviye veri diyotunun bulunduğu tek yönlü ağ geçidi çözümü, Veri Yakalama Birimi, elektromanyetik indüksiyon ve yeni çip tasarımını kullanarak EBA güvenlik değerlendirmesi, garanti güvenli bağlantı yeni ve mevcut güvenlik kritik sistemler kadar Güvenlik Bütünlüğü Seviyesi (SIL) 4[14] güvenli IoT sağlamak ve veri analizi ve diğerlerini sağlamak için bulut barındırılan dijital hizmetler.[15]

ABD Deniz Araştırma Laboratuvarı (NRL), Ağ adı verilen kendi tek yönlü ağını geliştirdi[16] Pompa. Bu, birçok yönden DSTO'nun çalışmasına benzer, tek fark, alındı ​​bildirimleri için yüksek taraftan alçak tarafa giden sınırlı bir arka kanala izin vermesidir. Bu teknoloji, ağ üzerinden daha fazla protokolün kullanılmasına izin verir, ancak bir potansiyel gizli kanal eğer hem yüksek hem de düşük taraf, onay zamanlamasını yapay olarak geciktirerek tehlikeye atılırsa.[17]

Farklı uygulamalar ayrıca farklı düzeylerde üçüncü taraf sertifikasyon ve akreditasyonuna sahiptir. Askeri bağlamda kullanılması amaçlanan bir alanlar arası koruma, kapsamlı üçüncü taraf sertifikasyonuna ve akreditasyonuna sahip olabilir veya bunu gerektirebilir.[18] Ancak endüstriyel kullanıma yönelik bir veri diyotu, uygulamaya bağlı olarak üçüncü taraf sertifikasyonuna ve akreditasyonuna sahip olmayabilir veya bunu gerektirmeyebilir.[19]

Satıcılar

Ayrıca bakınız

Referanslar

  1. ^ a b "Derinlemesine Savunma Stratejileriyle Endüstriyel Kontrol Sistemi Siber Güvenliğini İyileştirme - Birleşik Devletler İç Güvenlik Bakanlığı" (PDF).
  2. ^ a b c d e f "SANS Enstitüsü, Endüstriyel Otomasyon ve Kontrol Sistemlerinde Taktik Veri Diyotları".
  3. ^ a b "Ulusal Standartlar ve teknoloji Enstitüsü. Endüstriyel Kontrol Sistemleri (ICS) Güvenliği Kılavuzu" (PDF).
  4. ^ "IoT Güvenliği".
  5. ^ a b "ANSSI - Endüstriyel Kontrol Sistemleri için Siber Güvenlik" (PDF).
  6. ^ "Alman VDMA Industrie 4.0 Güvenlik Yönergeleri, kritik ağ segmentlerini korumak için veri diyotlarının kullanılmasını önerir" (PDF).
  7. ^ "Gerçek zamanlı izleme".
  8. ^ Avustralya Hükümeti Bilgi Yönetim Ofisi 2003, Starlight ile güvenlik sistemleri, Finans ve İdare Bakanlığı, 14 Nisan 2011'de görüntülendi, [1] Arşivlendi 6 Nisan 2011 Wayback Makinesi
  9. ^ Wordsworth, C 1998, Media Release: Minister Awards Pioneer in Computer Security, 14 Nisan 2011'de görüntülendi, [2] Arşivlendi 27 Mart 2011 Wayback Makinesi
  10. ^ Öldür, J & Turnbull, B 2004, 'Güvenli Elektronik Ticaret Ortamında Tek Yönlü Ağ Köprülerinin Kullanımları ve Sınırlamaları', INC 2004 Konferansı'nda sunulan bildiri, Plymouth, İngiltere, 6–9 Temmuz 2004
  11. ^ Douglas W. Jones ve Tom C. Bowersox, Veri Diyotlarını Kullanarak Güvenli Veri Aktarımı ve Denetimi, Tutanaklar 2006 USENIX / ACCURATE Elektronik Oylama Teknolojisi Çalıştayı, 1 Ağustos 2006, Vancouver.
  12. ^ Curt A. Nilsen, Verileri Güvenli Olmayan Bir Bilgisayardan Güvenli Bir Bilgisayara Aktarma Yöntemi, ABD Patenti 5,703,562, 30 Aralık 1997.
  13. ^ "Derinlemesine Savunma Stratejileriyle Endüstriyel Kontrol Sistemi Siber Güvenliğini İyileştirme - Amerika Birleşik Devletleri Vatan Bakanlığı" (PDF).
  14. ^ "Siemens Veri Yakalama Birimi dijital hizmetler sağlıyor".
  15. ^ "Innotras 2018'de öne çıkanlar".
  16. ^ http://www.nrl.navy.mil/itd/chacs/sites/edit-www.nrl.navy.mil.itd.chacs/files/files/networkPumpBrochure_0.pdf
  17. ^ Myong, HK, Moskowitz, IS ve Chincheck, S 2005, 'The Pump: On Yıllık Gizli Eğlence'
  18. ^ "Alanlar Arası Çözümler". Lockheed Martin. Alındı 6 Mart 2019.
  19. ^ "Veri Diyotları". MicroArx. Alındı 6 Mart 2019.
  20. ^ "SecuriCDS Veri Diyotu - Donanım tabanlı".
  21. ^ "Arbit DataDiode - Donanım tabanlı".
  22. ^ "Veri Diyot Çözümü - Donanım tabanlı".
  23. ^ "Data Diode - Donanım tabanlı".
  24. ^ "Fend Data Diode - Donanım Tabanlı".
  25. ^ "Fox DataDiode - Donanım tabanlı".
  26. ^ "Siber Diyot - Yazılım tabanlı".
  27. ^ "Ray Veri Diyotu - Donanım tabanlı".
  28. ^ "SDoT Diyot - Yazılım tabanlı".
  29. ^ "Oakdoor Veri Diyotları - Donanım tabanlı".
  30. ^ "OWL Veri Diyotları - Donanım tabanlı".
  31. ^ "Veri Yakalama Birimi - Endüksiyon tabanlı".
  32. ^ "ST Mühendislik Veri Diyotu / DigiSAFE Veri Diyotu - Donanım tabanlı".
  33. ^ "Ağ Veri Diyotu - Donanım tabanlı".
  34. ^ "Tek Yönlü Güvenlik Ağ Geçidi - Donanım tabanlı".
  35. ^ "WSD ve VIT Siber Ağ Güvenliği - Donanım tabanlı".
  36. ^ "Tek Yönlü Güvenlik Ağ Geçidi - Donanım tabanlı".
  37. ^ "DataFlowX Yeni Nesil Veri Diyotu - Donanım ve Yazılım Entegre Anahtar Teslimi Alanlar Arası Çözüm".
  38. ^ "COTS elektroniği kullanan yüksek performanslı optik donanım Veri Diyot çözümleri".
  39. ^ "ZNO - Data Diode tek yönlü ağ geçidi - Donanım tabanlı".
  40. ^ https://firewalls.feuerbach.info

Dış bağlantılar