L'air gap réinventé : de l'isolation permanente à la déconnexion temporelle

01Points clés à retenir

1. 01

   L'air gap n'a jamais été une préférence esthétique. C'était un moyen de rendre l'accessibilité physiquement impossible pour les systèmes dont la compromission serait inacceptable.

2. 02

   L'isolation permanente convient à un ensemble restreint d'environnements, mais la plupart des organisations ont désormais besoin de fenêtres courtes et contrôlées pour la sauvegarde, la maintenance, les mises à jour et la collecte de preuves.

3. 03

   Un air gap contrôlé transforme la connectivité d'un état permanent en un événement explicite : ouvert dans un but précis, fermé par défaut et consigné comme preuve opérationnelle.

4. 04

   Le geste de conception clé n'est pas davantage de filtrage. C'est de déplacer la décision finale vers une coupure matérielle pilotée hors bande, afin que le chemin protégé ne puisse pas se rouvrir de lui-même depuis le réseau de données.

02L'ancien air gap résolvait un vrai problème

Pendant des décennies, l'expression air gap n'a signifié qu'une seule chose : aucun chemin réseau. Dans les systèmes militaires, la recherche classifiée, le contrôle industriel et les environnements SCADA les plus sensibles, cette règle avait du sens. Si un système ne pouvait être atteint depuis un réseau hostile, l'exploitation à distance n'avait aucune voie vers lui.

Cette idée reste valable. La difficulté est que les opérations modernes ne sont plus organisées autour d'une séparation permanente. Les sauvegardes doivent s'exécuter. Les fournisseurs ont besoin d'accès planifiés. Le micrologiciel doit être mis à jour. Les équipes de surveillance ont besoin de preuves. La question n'est pas de savoir si l'isolation compte. La question est de savoir comment rendre l'isolation utilisable sans la transformer en exposition permanente.

L'air gap moderne n'abandonne pas l'isolation. Il rend l'isolation opérationnelle.

03Pourquoi l'isolation permanente a cessé de passer à l'échelle

Un air gap contrôlé conserve le principe classique : lorsque l'actif protégé n'a pas besoin d'être en ligne, il ne devrait exister aucun chemin accessible vers lui. Ce qui change, c'est le modèle de fonctionnement. Au lieu de supposer que l'actif est hors ligne pour toujours, l'organisation définit quand le chemin peut exister et qui est autorisé à l'ouvrir.

Cela distingue l'air gap moderne de trois contrôles familiers :

Règle de pare-feu

une décision logicielle sur un chemin routé qui existe toujours. Utile, mais dépendante de la configuration et de l'intégrité du plan d'administration.

Accès VPN

un tunnel authentifié pour un utilisateur ou un fournisseur. Nécessaire dans certains flux de travail, mais reste une surface d'accès distant active.

Segmentation

un moyen de restreindre les chemins à l'intérieur du réseau. Précieux, mais pas équivalent à supprimer le chemin physique lorsque l'actif est inactif.

Un air gap contrôlé est plus strict. Il affirme que le chemin le plus sûr est celui qui n'est pas présent, sauf pendant une fenêtre de fonctionnement définie.

04Le temps est la surface de contrôle manquante

L'évolution devient claire lorsque l'on examine le cyber-risque à travers le temps :

Les air gaps classiques tentaient de ramener le temps d'exposition à zéro. L'architecture toujours active le porte à 168 heures par semaine. Un air gap temporel se situe entre ces deux extrêmes. Il admet que certains flux de travail nécessitent une connectivité, puis fait de la durée de cette connectivité la variable contrôlée.

Cette distinction est importante, car la plupart des chemins de compromission ne sont pas spectaculaires. Ils sont opportunistes, automatisés et patients. Une cible de sauvegarde, un segment de caméras ou une interface d'administration accessible en permanence est disponible chaque fois que l'infrastructure de scan, des identifiants volés ou un déplacement latéral l'atteignent.

Si le même actif n'est accessible que pendant une fenêtre de maintenance ou de sauvegarde de quatre heures, l'attaquant doit coïncider avec cette fenêtre. Le contrôle ne promet pas l'invulnérabilité. Il supprime le chemin toujours disponible dont dépendent de nombreuses attaques.

05Trois évolutions à l'origine de l'air gap moderne

06Pourquoi les contrôles purement logiciels ne sont pas la même chose

Les contrôles logiciels restent nécessaires. Ils authentifient les utilisateurs, filtrent le trafic, inspectent les sessions et génèrent des journaux. Mais ils ne créent pas le même mode de défaillance qu'une coupure physique. Un contrôle logiciel peut être modifié par logiciel, administré par logiciel et parfois contourné par logiciel.

Dérive de configuration

Les règles s'accumulent, les exceptions restent ouvertes et l'accès temporaire devient l'accès normal.

Sort partagé

Si le plan de contrôle se trouve sur le même réseau que l'actif, une compromission peut affecter à la fois la cible et le mécanisme censé la protéger.

Exposition des identifiants

Les VPN et les portails d'administration déplacent le problème vers l'identité. Cela aide, mais des identifiants volés peuvent toujours ouvrir un chemin actif.

Dépendance à la détection

La surveillance peut vous dire que quelque chose s'est produit. Elle ne garantit pas que le chemin était absent avant que cela ne se produise.

L'objectif n'est pas de remplacer ces contrôles. L'objectif est de leur donner une fenêtre temporelle plus réduite à défendre.

07Déconnexion hors bande imposée par le matériel

Un air gap contrôlé moderne devrait posséder deux propriétés. Premièrement, le chemin Ethernet protégé est ouvert ou fermé physiquement par le matériel. Deuxièmement, le chemin de commande qui pilote cette coupure est hors bande, de sorte que le réseau de données protégé ne peut pas ordonner au dispositif de se reconnecter lui-même.

C'est là que des produits tels qu'AIRGAPNET repositionnent l'idée de l'air gap. Ils ne demandent pas à chaque organisation d'adopter un modèle de fonctionnement de réseau classifié. Ils mettent une déconnexion physique à disposition d'actifs ordinaires qui n'ont besoin que d'une accessibilité intermittente.

Calendrier

ouvrir le chemin pendant une fenêtre définie de sauvegarde, de mise à jour ou d'inspection.

À la demande

reconnecter lorsqu'un opérateur autorisé approuve une tâche.

Fermeture liée à la tâche

déconnecter à nouveau lorsque la raison opérationnelle a pris fin.

Preuve

consigner le fait que la fenêtre s'est ouverte puis fermée.

Le résultat n'est pas une zone de sécurité mystique. C'est une fenêtre d'attaque plus réduite et plus disciplinée, appuyée par un changement d'état physique.

Si le réseau de données peut rouvrir son propre contrôle d'isolation, l'isolation n'est qu'une politique. S'il ne le peut pas, le contrôle devient une frontière.

08Là où les air gaps contrôlés trouvent leur place

09Un modèle de déploiement pratique

Un air gap contrôlé commence par le calendrier de fonctionnement, pas par un dispositif. Avant de placer du matériel sur le chemin, définissez précisément quand le chemin est nécessaire et quelle preuve atteste qu'il s'est refermé.

1. Choisir l'actif

   Commencez par un dépôt, une interface d'administration, un segment de caméras ou un équipement maintenu par un fournisseur dont la compromission serait coûteuse.

2. Définir la fenêtre

   Notez la fenêtre de connexion la plus courte raisonnable pour la sauvegarde, la maintenance, la mise à jour ou l'inspection.

3. Nommer le responsable

   Rendez une seule équipe responsable de l'approbation des reconnexions et de la fermeture du chemin après la tâche.

4. Placer la coupure

   Placez la déconnexion physique au point où elle supprime l'accessibilité sans perturber le trafic sans rapport.

5. Journaliser le changement d'état

   Conservez la preuve de chaque événement d'ouverture et de fermeture afin que les équipes de sécurité et d'audit puissent vérifier le flux de travail.

Les déploiements les plus simples sont souvent les plus solides. Une classe d'actif, une fenêtre, un responsable, une preuve que le chemin est fermé en dehors de la fenêtre.

10Trois objections courantes

11Réflexion finale

L'air gap n'est pas devenu obsolète parce que le principe a échoué. Il est devenu difficile à utiliser parce que les opérations ont évolué plus vite que le modèle de contrôle.

La réinvention est modeste et pratique : conserver la frontière physique, la rendre temporelle, la piloter hors bande et traiter chaque reconnexion comme un événement qui nécessite une raison. Cela donne aux équipes modernes la part de l'air gap qui compte encore le plus : moins d'heures pendant lesquelles l'actif protégé peut être atteint, tout simplement.