Air Gap, Επανεφευρεμένο: Από τη Μόνιμη Απομόνωση στη Χρονικά Καθορισμένη Αποσύνδεση

01Βασικά συμπεράσματα

1. 01

   Το air gap δεν ήταν ποτέ αισθητική προτίμηση. Ήταν ένας τρόπος να καταστεί η προσβασιμότητα φυσικά αδύνατη για συστήματα των οποίων η παραβίαση θα ήταν απαράδεκτη.

2. 02

   Η μόνιμη απομόνωση λειτουργεί για ένα στενό σύνολο περιβαλλόντων, αλλά οι περισσότεροι οργανισμοί χρειάζονται πλέον σύντομα, ελεγχόμενα παράθυρα για δημιουργία αντιγράφων ασφαλείας, συντήρηση, ενημερώσεις και συλλογή αποδεικτικών στοιχείων.

3. 03

   Ένα ελεγχόμενο air gap μετατρέπει τη συνδεσιμότητα από μια μόνιμη κατάσταση σε ένα ρητό συμβάν: ανοιχτό για έναν σκοπό, κλειστό εξ ορισμού, και καταγεγραμμένο ως επιχειρησιακό αποδεικτικό στοιχείο.

4. 04

   Η βασική σχεδιαστική κίνηση δεν είναι περισσότερο φιλτράρισμα. Είναι η μεταφορά της τελικής απόφασης σε μια διακοπή υλικού που ελέγχεται εκτός ζώνης, ώστε η προστατευμένη διαδρομή να μην μπορεί να ανοίξει ξανά τον εαυτό της από το δίκτυο δεδομένων.

02Το παλιό air gap έλυνε ένα πραγματικό πρόβλημα

Για δεκαετίες, η φράση air gap σήμαινε ένα πράγμα: καμία διαδρομή δικτύου. Σε στρατιωτικά συστήματα, απόρρητη έρευνα, βιομηχανικό έλεγχο και τα πιο ευαίσθητα περιβάλλοντα SCADA, αυτός ο κανόνας είχε νόημα. Αν ένα σύστημα δεν μπορούσε να προσεγγιστεί από ένα εχθρικό δίκτυο, η απομακρυσμένη εκμετάλλευση δεν είχε καμία διαδρομή προς αυτό.

Αυτή η ιδέα εξακολουθεί να είναι βάσιμη. Η δυσκολία είναι ότι οι σύγχρονες λειτουργίες δεν οικοδομούνται πλέον γύρω από τη μόνιμη διαχώριση. Τα αντίγραφα ασφαλείας πρέπει να εκτελούνται. Οι προμηθευτές χρειάζονται προγραμματισμένη πρόσβαση. Το υλικολογισμικό πρέπει να ενημερώνεται. Οι ομάδες παρακολούθησης χρειάζονται αποδεικτικά στοιχεία. Το ερώτημα δεν είναι αν έχει σημασία η απομόνωση. Το ερώτημα είναι πώς να καταστεί η απομόνωση χρησιμοποιήσιμη χωρίς να μετατραπεί σε μόνιμη έκθεση.

Το σύγχρονο air gap δεν εγκαταλείπει την απομόνωση. Καθιστά την απομόνωση λειτουργική.

03Γιατί η μόνιμη απομόνωση έπαψε να κλιμακώνεται

Ένα ελεγχόμενο air gap διατηρεί την κλασική αρχή: όταν το προστατευμένο περιουσιακό στοιχείο δεν χρειάζεται να είναι online, δεν θα πρέπει να υπάρχει προσβάσιμη διαδρομή προς αυτό. Αυτό που αλλάζει είναι το μοντέλο λειτουργίας. Αντί να θεωρεί ότι το περιουσιακό στοιχείο είναι εκτός σύνδεσης για πάντα, ο οργανισμός ορίζει πότε μπορεί να υπάρχει η διαδρομή και ποιος επιτρέπεται να την ανοίξει.

Αυτό κάνει το σύγχρονο air gap διαφορετικό από τρεις γνωστούς ελέγχους:

Κανόνας τείχους προστασίας

μια απόφαση λογισμικού σε μια δρομολογημένη διαδρομή που εξακολουθεί να υπάρχει. Χρήσιμος, αλλά εξαρτώμενος από τη διαμόρφωση και την ακεραιότητα του επιπέδου διαχείρισης.

Πρόσβαση VPN

μια πιστοποιημένη σήραγγα για έναν χρήστη ή προμηθευτή. Απαραίτητη σε ορισμένες ροές εργασίας, αλλά εξακολουθεί να αποτελεί ζωντανή επιφάνεια απομακρυσμένης πρόσβασης.

Τμηματοποίηση

ένας τρόπος περιορισμού των διαδρομών εντός του δικτύου. Πολύτιμη, αλλά όχι το ίδιο με την αφαίρεση της φυσικής διαδρομής όταν το περιουσιακό στοιχείο είναι αδρανές.

Ένα ελεγχόμενο air gap είναι αυστηρότερο. Λέει ότι η ασφαλέστερη διαδρομή είναι εκείνη που δεν υπάρχει παρά μόνο κατά τη διάρκεια ενός καθορισμένου παραθύρου λειτουργίας.

04Ο χρόνος είναι η επιφάνεια ελέγχου που λείπει

Η μετατόπιση γίνεται σαφής όταν κοιτάξετε τον κυβερνοκίνδυνο μέσα από τον χρόνο:

Τα κλασικά air gaps προσπαθούσαν να οδηγήσουν τον χρόνο έκθεσης στο μηδέν. Η αρχιτεκτονική «πάντα ενεργή» τον οδηγεί στις 168 ώρες την εβδομάδα. Ένα χρονικά καθορισμένο air gap βρίσκεται ανάμεσα σε αυτά τα άκρα. Αποδέχεται ότι ορισμένες ροές εργασίας χρειάζονται συνδεσιμότητα, και στη συνέχεια καθιστά τη διάρκεια αυτής της συνδεσιμότητας την ελεγχόμενη μεταβλητή.

Αυτή η διάκριση έχει σημασία επειδή οι περισσότερες διαδρομές παραβίασης δεν είναι κινηματογραφικές. Είναι ευκαιριακές, αυτοματοποιημένες και υπομονετικές. Ένας στόχος αντιγράφων ασφαλείας, ένα τμήμα καμερών ή μια διεπαφή διαχείρισης που είναι προσβάσιμη όλο το εικοσιτετράωρο είναι διαθέσιμη όποτε τη φτάσει η υποδομή σάρωσης, τα κλεμμένα διαπιστευτήρια ή η πλευρική μετακίνηση.

Αν το ίδιο περιουσιακό στοιχείο είναι προσβάσιμο μόνο κατά τη διάρκεια ενός τετράωρου παραθύρου συντήρησης ή δημιουργίας αντιγράφων ασφαλείας, ο επιτιθέμενος πρέπει να συμπέσει με αυτό το παράθυρο. Ο έλεγχος δεν υπόσχεται το άτρωτο. Αφαιρεί τη διαρκώς διαθέσιμη διαδρομή από την οποία εξαρτώνται πολλές επιθέσεις.

05Τρεις μετατοπίσεις πίσω από το σύγχρονο air gap

06Γιατί οι έλεγχοι μόνο λογισμικού δεν είναι το ίδιο πράγμα

Οι έλεγχοι λογισμικού παραμένουν απαραίτητοι. Πιστοποιούν χρήστες, φιλτράρουν κίνηση, επιθεωρούν συνεδρίες και παράγουν αρχεία καταγραφής. Αλλά δεν δημιουργούν τον ίδιο τρόπο αστοχίας με μια φυσική διακοπή. Ένας έλεγχος λογισμικού μπορεί να αλλαχθεί από λογισμικό, να διαχειριστεί μέσω λογισμικού και μερικές φορές να παρακαμφθεί μέσω λογισμικού.

Απόκλιση διαμόρφωσης

Οι κανόνες συσσωρεύονται, οι εξαιρέσεις παραμένουν ανοιχτές και η προσωρινή πρόσβαση γίνεται κανονική πρόσβαση.

Κοινή μοίρα

Αν το επίπεδο ελέγχου βρίσκεται στο ίδιο δίκτυο με το περιουσιακό στοιχείο, μια παραβίαση μπορεί να επηρεάσει τόσο τον στόχο όσο και τον μηχανισμό που προορίζεται να τον προστατεύσει.

Έκθεση διαπιστευτηρίων

Τα VPN και οι πύλες διαχείρισης μεταφέρουν το πρόβλημα στην ταυτότητα. Αυτό βοηθά, αλλά τα κλεμμένα διαπιστευτήρια μπορούν ακόμη να ανοίξουν μια ζωντανή διαδρομή.

Εξάρτηση από την ανίχνευση

Η παρακολούθηση μπορεί να σας πει ότι κάτι συνέβη. Δεν εγγυάται ότι η διαδρομή απουσίαζε πριν συμβεί.

Το ζητούμενο δεν είναι να αντικαταστήσετε αυτούς τους ελέγχους. Το ζητούμενο είναι να τους δώσετε ένα μικρότερο χρονικό παράθυρο προς υπεράσπιση.

07Αποσύνδεση εκτός ζώνης που επιβάλλεται από υλικό

Ένα σύγχρονο ελεγχόμενο air gap θα πρέπει να έχει δύο ιδιότητες. Πρώτον, η προστατευμένη διαδρομή Ethernet ανοίγει ή κλείνει φυσικά από το υλικό. Δεύτερον, η διαδρομή εντολών που ελέγχει αυτήν τη διακοπή βρίσκεται εκτός ζώνης, ώστε το προστατευμένο δίκτυο δεδομένων να μην μπορεί να δώσει εντολή στη συσκευή να επανασυνδεθεί μόνη της.

Εκεί είναι που προϊόντα όπως το AIRGAPNET επανατοποθετούν την ιδέα του air gap. Δεν ζητούν από κάθε οργανισμό να λειτουργεί με μοντέλο απόρρητου δικτύου. Καθιστούν μια φυσική αποσύνδεση διαθέσιμη για συνηθισμένα περιουσιακά στοιχεία που χρειάζονται μόνο διακοπτόμενη προσβασιμότητα.

Χρονοδιάγραμμα

ανοίξτε τη διαδρομή κατά τη διάρκεια ενός καθορισμένου παραθύρου δημιουργίας αντιγράφων ασφαλείας, ενημέρωσης ή επιθεώρησης.

Κατ' απαίτηση

επανασυνδεθείτε όταν ένας εξουσιοδοτημένος χειριστής εγκρίνει μια εργασία.

Κλείσιμο συνδεδεμένο με εργασία

αποσυνδεθείτε ξανά όταν ο επιχειρησιακός λόγος έχει λήξει.

Αποδεικτικά στοιχεία

καταγράψτε το γεγονός ότι το παράθυρο άνοιξε και έκλεισε.

Το αποτέλεσμα δεν είναι μια μυστικιστική ζώνη ασφάλειας. Είναι ένα μικρότερο, πιο πειθαρχημένο παράθυρο επίθεσης που υποστηρίζεται από μια φυσική αλλαγή κατάστασης.

Αν το δίκτυο δεδομένων μπορεί να ανοίξει ξανά τον δικό του έλεγχο απομόνωσης, η απομόνωση είναι απλώς πολιτική. Αν δεν μπορεί, ο έλεγχος γίνεται όριο.

08Πού ταιριάζουν τα ελεγχόμενα air gaps

09Ένα πρακτικό μοτίβο ανάπτυξης

Ένα ελεγχόμενο air gap ξεκινά με το ημερολόγιο λειτουργίας, όχι με μια συσκευή. Πριν τοποθετήσετε υλικό στη διαδρομή, ορίστε ακριβώς πότε χρειάζεται η διαδρομή και ποια αποδεικτικά στοιχεία αποδεικνύουν ότι έκλεισε ξανά.

1. Επιλέξτε το περιουσιακό στοιχείο

   Ξεκινήστε με ένα αποθετήριο, μια διεπαφή διαχείρισης, ένα τμήμα καμερών ή μια συσκευή που συντηρείται από προμηθευτή, όπου η παραβίαση θα ήταν δαπανηρή.

2. Ορίστε το παράθυρο

   Καταγράψτε το μικρότερο εύλογο παράθυρο σύνδεσης για δημιουργία αντιγράφων ασφαλείας, συντήρηση, ενημέρωση ή επιθεώρηση.

3. Ορίστε τον υπεύθυνο

   Καταστήστε μία ομάδα υπόλογη για την έγκριση των επανασυνδέσεων και το κλείσιμο της διαδρομής μετά την εργασία.

4. Τοποθετήστε τη διακοπή

   Τοποθετήστε τη φυσική αποσύνδεση στο σημείο όπου αφαιρεί την προσβασιμότητα χωρίς να διαταράσσει άσχετη κίνηση.

5. Καταγράψτε την αλλαγή κατάστασης

   Διατηρήστε αποδεικτικά στοιχεία για κάθε συμβάν ανοίγματος και κλεισίματος, ώστε οι ομάδες ασφάλειας και ελέγχου να μπορούν να επαληθεύσουν τη ροή εργασίας.

Οι απλούστερες αναπτύξεις είναι συχνά οι ισχυρότερες. Μία κατηγορία περιουσιακού στοιχείου, ένα παράθυρο, ένας υπεύθυνος, μία απόδειξη ότι η διαδρομή είναι κλειστή εκτός του παραθύρου.

10Τρεις συνήθεις αντιρρήσεις

11Καταληκτική σκέψη

Το air gap δεν κατέστη παρωχημένο επειδή απέτυχε η αρχή. Έγινε δύσκολο στη χρήση επειδή οι λειτουργίες άλλαξαν ταχύτερα από το μοντέλο ελέγχου.

Η επανεφεύρεση είναι μετριοπαθής και πρακτική: διατηρήστε το φυσικό όριο, καταστήστε το χρονικά καθορισμένο, ελέγξτε το εκτός ζώνης και αντιμετωπίστε κάθε επανασύνδεση ως συμβάν που χρειάζεται λόγο. Αυτό δίνει στις σύγχρονες ομάδες το κομμάτι του air gap που εξακολουθεί να έχει τη μεγαλύτερη σημασία: λιγότερες ώρες κατά τις οποίες το προστατευμένο περιουσιακό στοιχείο μπορεί καν να προσεγγιστεί.