Τι είναι η δίοδος δεδομένων; Πώς λειτουργεί η μονόδρομη επιβολή σε επίπεδο υλικού

01Βασικά συμπεράσματα

1. 01

   Η δίοδος δεδομένων χρησιμοποιείται όταν η ασφαλέστερη δικτυακή διαδρομή είναι μια μονόδρομη διαδρομή: δεδομένα προς τα έξω, καμία κίνηση επιστροφής προς τα μέσα.

2. 02

   Η αξία ασφάλειας προέρχεται από την επιβολή στο όριο του υλικού ή στο φυσικό όριο, όχι μόνο από έναν κανόνα ελέγχου πρόσβασης.

3. 03

   Οι δίοδοι δεδομένων είναι πιο χρήσιμες όπου συστήματα OT, ICS ή κρίσιμων υποδομών πρέπει να μοιράζονται δεδομένα με πλατφόρμες IT, cloud, SOC ή αναφορών.

4. 04

   Μια μονόδρομη πύλη (unidirectional gateway) συνήθως σημαίνει μια δίοδο δεδομένων μαζί με λογισμικό που διαχειρίζεται πρωτόκολλα, προσωρινή αποθήκευση (buffering), αναπαραγωγή και παρακολούθηση.

5. 05

   Η δίοδος δεδομένων δεν αντικαθιστά την απογραφή περιουσιακών στοιχείων, τον διαχωρισμό (segmentation), την ενημέρωση κώδικα (patching), τους ελέγχους ταυτότητας ή την παρακολούθηση. Μειώνει έναν συγκεκριμένο κίνδυνο: την αμφίδρομη προσβασιμότητα.

02Τι είναι η δίοδος δεδομένων;

Η δίοδος δεδομένων είναι μια συσκευή που επιτρέπει στα δικτυακά δεδομένα να μετακινούνται προς μία μόνο κατεύθυνση. Η προστατευόμενη πλευρά μπορεί να αποστέλλει πληροφορίες προς τα έξω, αλλά η πλευρά λήψης δεν μπορεί να χρησιμοποιήσει την ίδια διαδρομή για να στείλει κίνηση πίσω.

Αυτό την κάνει διαφορετική από μια κανονική δικτυακή σύνδεση. Σε μια συμβατική διαδρομή Ethernet, τα συστήματα μπορούν συνήθως να ανταλλάσσουν κίνηση και προς τις δύο κατευθύνσεις, εκτός εάν κανόνες λογισμικού το μπλοκάρουν. Η δίοδος δεδομένων αλλάζει το μοντέλο εμπιστοσύνης: η διαδρομή επιστροφής απουσιάζει ή αποτρέπεται φυσικά, ώστε ο δέκτης να μην μπορεί να ξεκινήσει μια συνεδρία πίσω προς το προστατευόμενο δίκτυο.

Με λίγα λόγια: η δίοδος δεδομένων είναι μονόδρομη επιβολή σε επίπεδο υλικού για τη δικτυακή επικοινωνία.

03Πώς λειτουργεί η μονόδρομη επιβολή σε επίπεδο υλικού

Η ακριβής μηχανική εξαρτάται από τον κατασκευαστή και το μέσο, αλλά η βασική ιδέα είναι απλή: η δυνατότητα εκπομπής υπάρχει προς τη μία κατεύθυνση, ενώ η δυνατότητα λήψης προς την αντίστροφη κατεύθυνση δεν είναι διαθέσιμη μέσω αυτής της διαδρομής.

Στους οπτικούς σχεδιασμούς, για παράδειγμα, η μία πλευρά μπορεί να περιλαμβάνει έναν πομπό και η άλλη πλευρά έναν δέκτη, χωρίς τα συζευγμένα αντίστροφα εξαρτήματα που απαιτούνται για αμφίδρομη επικοινωνία. Άλλοι σχεδιασμοί μπορούν να χρησιμοποιούν διαφορετικά φυσικά μέσα ή ελεγχόμενα μοτίβα μεταγωγής, αλλά ο αγοραστής πρέπει πάντα να θέτει το ίδιο ερώτημα: τι αποτρέπει την επιστροφή της κίνησης;

Επειδή πολλά χρήσιμα πρωτόκολλα αναμένουν επιβεβαιώσεις (acknowledgements), συνεδρίες ή ανατροφοδότηση κατάστασης αρχείων, οι πραγματικές υλοποιήσεις συνήθως προσθέτουν λογισμικό γύρω από τη δίοδο. Αυτό το λογισμικό μπορεί να προωθεί αρχεία καταγραφής, να αναπαράγει αρχεία, να αντικατοπτρίζει δεδομένα historian, να μετασχηματίζει πρωτόκολλα ή να αποθηκεύει προσωρινά δεδομένα όταν ο προορισμός δεν είναι διαθέσιμος. Το όριο ασφάλειας εξακολουθεί να είναι η μονόδρομη διαδρομή· το λογισμικό απλώς καθιστά αυτό το όριο αξιοποιήσιμο.

04Δίοδος δεδομένων έναντι τείχους προστασίας

Το τείχος προστασίας είναι μια συσκευή επιβολής πολιτικής. Αποφασίζει αν θα επιτρέψει, θα απορρίψει, θα επιθεωρήσει ή θα δρομολογήσει την κίνηση σύμφωνα με κανόνες. Αυτό καθιστά τα τείχη προστασίας απαραίτητα στις περισσότερες αρχιτεκτονικές, αλλά η σύνδεση παραμένει τεχνικά ικανή για αμφίδρομη κίνηση εάν το επιτρέψει η πολιτική, η διαμόρφωση ή μια παραβίαση.

Η δίοδος δεδομένων είναι μια συσκευή επιβολής κατεύθυνσης. Επιλέγεται όταν η επιχειρησιακή απαίτηση δεν είναι απλώς "να επιτρέπεται μόνο η εγκεκριμένη κίνηση", αλλά "να μην παρέχεται δικτυακή διαδρομή επιστροφής προς αυτό το περιβάλλον".

Χρησιμοποιήστε τείχος προστασίας όταν

τα συστήματα χρειάζονται ελεγχόμενη αμφίδρομη επικοινωνία, έλεγχο ταυτότητας, επιθεώρηση και ευελιξία πολιτικής.

Χρησιμοποιήστε δίοδο δεδομένων όταν

το προστατευόμενο δίκτυο χρειάζεται να δημοσιεύει δεδομένα προς τα έξω, αλλά δεν πρέπει να δέχεται δικτυακή κίνηση επιστροφής μέσω αυτού του καναλιού.

05Δίοδος δεδομένων έναντι μονόδρομης πύλης

Οι όροι δίοδος δεδομένων και μονόδρομη πύλη (unidirectional gateway) χρησιμοποιούνται συχνά μαζί. Το γλωσσάρι του NIST αντιμετωπίζει την έννοια της διόδου δεδομένων ως μια μονόδρομη δικτυακή συσκευή και σημειώνει σχετικές διατυπώσεις, όπως μονόδρομη πύλη ή μονόδρομη συσκευή ορίου (one-way boundary device).

Στις πρακτικές συζητήσεις με αγοραστές, μια χρήσιμη διάκριση είναι η εξής: η δίοδος δεδομένων είναι το στοιχείο επιβολής· η μονόδρομη πύλη είναι το σύστημα που αναπτύσσεται γύρω από αυτήν. Η πύλη μπορεί να περιλαμβάνει προσαρμογείς πρωτοκόλλων, ροές εργασίας μεταφοράς αρχείων, παρακολούθηση, διαχείριση, καταγραφή και λειτουργικούς ελέγχους.

Κατά την αξιολόγηση προϊόντων, μη βασίζεστε μόνο στην ορολογία. Ρωτήστε πώς το προϊόν επιβάλλει την κατεύθυνση, ποια πρωτόκολλα υποστηρίζει και τι συμβαίνει όταν η πλευρά λήψης δεν λειτουργεί.

06Πού εντάσσονται οι δίοδοι δεδομένων στην ασφάλεια OT και ICS

Η επιχειρησιακή τεχνολογία (OT) έχει διαφορετικό προφίλ κινδύνου από τη συνηθισμένη IT. Τα συστήματα παραγωγής μπορεί να λειτουργούν για χρόνια, τα παράθυρα ενημέρωσης κώδικα μπορεί να είναι σπάνια, και η διακοπή λειτουργίας μπορεί να επηρεάσει την ασφάλεια, την ποιότητα ή τις φυσικές λειτουργίες. Γι' αυτό η ασφάλεια OT συχνά εστιάζει στη μείωση της περιττής προσβασιμότητας τόσο όσο και στον εντοπισμό κακόβουλης δραστηριότητας.

Η δίοδος δεδομένων ταιριάζει εκεί όπου τα δεδομένα πρέπει να φεύγουν από ένα δίκτυο OT, αλλά διαδρομές εντολών, απομακρυσμένες συνεδρίες ή κίνηση επιστροφής δεν πρέπει να εισέρχονται μέσω της ίδιας διαδρομής. Τυπικοί προορισμοί περιλαμβάνουν την εταιρική αναφορά, ένα SOC, μια πλατφόρμα αναλυτικής cloud, ένα αντίγραφο historian ή ένα περιβάλλον αντιγράφων ασφαλείας.

Για οργανισμούς που συγκρίνουν την πλήρη απομόνωση με πιο λειτουργικά μοντέλα, ένα μοτίβο ελεγχόμενης συνδεσιμότητας AIRGAPNET μπορεί να αξιολογηθεί παράλληλα με σχεδιασμούς διόδων δεδομένων και διαχωρισμού. Η σωστή επιλογή εξαρτάται από το αν η περίπτωση χρήσης απαιτεί μόνιμη μονόδρομη μεταφορά, χρονικά καθορισμένη αποσύνδεση, ή και τα δύο.

07Από τι προστατεύει μια δίοδος δεδομένων

Η δίοδος δεδομένων δεν είναι μια στοίβα ασφάλειας γενικής χρήσης. Η δύναμή της είναι πιο στενή και πιο συγκεκριμένη: αφαιρεί μια αμφίδρομη δικτυακή διαδρομή.

• Απόπειρες απομακρυσμένης πρόσβασης από το δίκτυο λήψης πίσω προς το προστατευόμενο δίκτυο.
• Κίνηση εντολών και ελέγχου (command-and-control) που εξαρτάται από την επιστροφή μέσω της ίδιας δικτυακής διαδρομής προς το περιβάλλον προέλευσης.
• Πλευρική μετακίνηση (lateral movement) μέσω μιας σύνδεσης που θα έπρεπε να μεταφέρει μόνο τηλεμετρία ή αναπαραγόμενα δεδομένα προς τα έξω.
• Τυχαία έκθεση που προκαλείται από απόκλιση κανόνων τείχους προστασίας σε μια σύνδεση που δεν θα έπρεπε ποτέ να ήταν αμφίδρομη.
• Λειτουργική πίεση για άνοιγμα εισερχόμενης πρόσβασης μόνο και μόνο για την ανάκτηση αρχείων καταγραφής, συμβάντων, δεδομένων historian ή αρχείων.

08Τι δεν λύνει μια δίοδος δεδομένων

Η δίοδος δεδομένων μειώνει την επιφάνεια επίθεσης ενός συγκεκριμένου δικτυακού ορίου. Δεν καθιστά αυτόματα ασφαλές το προστατευόμενο περιβάλλον.

• Δεν αντικαθιστά την απογραφή περιουσιακών στοιχείων OT ή την ορατότητα του δικτύου.
• Δεν εξαλείφει την ανάγκη για ενημέρωση κώδικα (patching) όπου αυτή είναι εφικτή.
• Δεν εξυγιαίνει κακόβουλα ή χαμηλής ποιότητας δεδομένα που κινούνται προς την επιτρεπόμενη κατεύθυνση.
• Δεν λύνει τον κίνδυνο των αφαιρούμενων μέσων, την κακή χρήση από εσωτερικούς παράγοντες ή τις μη ασφαλείς ροές εργασίας μηχανικής.
• Δεν παρέχει αμφίδρομη απομακρυσμένη συντήρηση, εκτός εάν συνδυαστεί με μια ξεχωριστή, προσεκτικά ελεγχόμενη διαδικασία.

Η ασφαλέστερη προσέγγιση είναι η άμυνα σε βάθος (defense in depth): ο διαχωρισμός, η παρακολούθηση, η ταυτότητα, ο έλεγχος διεργασιών και η μονόδρομη μεταφορά χειρίζονται το καθένα ένα διαφορετικό μέρος του κινδύνου.

09Συνήθεις περιπτώσεις χρήσης διόδων δεδομένων

Τηλεμετρία OT προς IT

Αποστολή μετρήσεων παραγωγής, συναγερμών και συμβάντων σε εταιρικά συστήματα, χωρίς να επιτρέπεται στα εταιρικά συστήματα να ξεκινούν κίνηση επιστροφής.

Αναπαραγωγή historian

Αντικατοπτρισμός επιλεγμένων δεδομένων historian από ένα προστατευόμενο δίκτυο εγκατάστασης σε ένα περιβάλλον αναφορών ή αναλυτικής.

Παρακολούθηση SOC

Προώθηση αρχείων καταγραφής, ειδοποιήσεων και μεταδεδομένων πακέτων προς τα έξω, ώστε οι ομάδες ασφάλειας να παρακολουθούν χωρίς να ανοίγουν εισερχόμενη διαδρομή διαχείρισης.

Αναπαραγωγή αντιγράφων ασφαλείας

Μετακίνηση δεδομένων αντιγράφων ασφαλείας ή στιγμιότυπων προς μία κατεύθυνση, ώστε να μειωθεί η πιθανότητα το ransomware να ακολουθήσει την ίδια διαδρομή πίσω.

Αναφορές κρίσιμων υποδομών

Κοινοποίηση λειτουργικών δεδομένων σε ρυθμιστικές αρχές, εταιρικές πλατφόρμες ή συνεργάτες, διατηρώντας τις διαδρομές εντολών εκτός του προστατευόμενου δικτύου.

10Λίστα ελέγχου αξιολόγησης διόδου δεδομένων

Ο αγοραστής πρέπει να αξιολογεί μια δίοδο δεδομένων τόσο ως όριο ασφάλειας όσο και ως λειτουργικό σύστημα. Ο ισχυρισμός της μονόδρομης λειτουργίας είναι μόνο η αρχή.

• Τι επιβάλλει την κατεύθυνση, φυσικά ή κρυπτογραφικά;
• Ποια πρωτόκολλα, τύποι αρχείων και ροές δεδομένων υποστηρίζονται χωρίς παρακάμψεις;
• Πώς χειρίζονται οι αστοχίες, η προσωρινή αποθήκευση (buffering) και η αναμετάδοση στην πλευρά λήψης;
• Μπορούν οι χειριστές να αποδείξουν ποια δεδομένα διέσχισαν το όριο και πότε;
• Πώς προστατεύεται το επίπεδο διαχείρισης από αμφότερα τα δίκτυα;
• Υποστηρίζει το προϊόν τους απαιτούμενους περιορισμούς ρυθμαπόδοσης (throughput), καθυστέρησης (latency) και διαθεσιμότητας;
• Μπορεί η αρχιτεκτονική να δοκιμαστεί χωρίς διακοπή της παραγωγής;
• Πώς αντιστοιχίζεται ο σχεδιασμός στο NIST SP 800-82, στις ζώνες και τους αγωγούς (zones and conduits) του IEC 62443 και στις τοπικές υποχρεώσεις συμμόρφωσης;

11Καταληκτική σκέψη

Η δίοδος δεδομένων είναι πολύτιμη επειδή καθιστά μια απόφαση ασφάλειας φυσική: τα δεδομένα μπορούν να πάνε προς τα εκεί, όχι προς τα εδώ. Στην ασφάλεια OT, όπου κάθε περιττή διαδρομή μπορεί να μετατραπεί σε λειτουργικό κίνδυνο, αυτή η απλότητα είναι ισχυρή.

Το δύσκολο μέρος δεν είναι η κατανόηση της έννοιας. Το δύσκολο μέρος είναι η επιλογή του σωστού ορίου, της σωστής ροής δεδομένων και του σωστού λειτουργικού μοντέλου. Ξεκινήστε με το ερώτημα που η δίοδος καλείται να απαντήσει: ποια συστήματα χρειάζεται να δημοσιεύουν δεδομένα, και ποια συστήματα δεν πρέπει ποτέ να λαμβάνουν κίνηση επιστροφής μέσω αυτής της διαδρομής;

FAQΣυχνές ερωτήσεις

SRCΕπίσημες πηγές