L'air gap reinventato: dall'isolamento permanente alla disconnessione su base temporale

01Punti chiave

1. 01

   L'air gap non è mai stato una preferenza estetica. Era un modo per rendere la raggiungibilità fisicamente impossibile per i sistemi la cui compromissione sarebbe inaccettabile.

2. 02

   L'isolamento permanente funziona per un ristretto insieme di ambienti, ma la maggior parte delle organizzazioni oggi ha bisogno di finestre brevi e controllate per backup, manutenzione, aggiornamenti e raccolta di evidenze.

3. 03

   Un air gap controllato trasforma la connettività da condizione permanente a evento esplicito: aperta per uno scopo, chiusa per impostazione predefinita e registrata come evidenza operativa.

4. 04

   La mossa progettuale chiave non è aumentare il filtraggio. È spostare la decisione finale su un'interruzione hardware controllata out-of-band, in modo che il percorso protetto non possa riaprirsi da solo dalla rete dati.

02Il vecchio air gap risolveva un problema reale

Per decenni, l'espressione air gap ha significato una cosa sola: nessun percorso di rete. Nei sistemi militari, nella ricerca classificata, nel controllo industriale e negli ambienti SCADA più sensibili, quella regola aveva senso. Se un sistema non poteva essere raggiunto da una rete ostile, lo sfruttamento da remoto non aveva alcuna via per arrivarci.

Quell'idea è ancora valida. La difficoltà è che le operazioni moderne non sono più costruite attorno alla separazione permanente. I backup devono essere eseguiti. I fornitori hanno bisogno di accessi pianificati. Il firmware deve essere aggiornato. I team di monitoraggio hanno bisogno di evidenze. La domanda non è se l'isolamento sia importante. La domanda è come rendere l'isolamento utilizzabile senza trasformarlo in esposizione permanente.

L'air gap moderno non abbandona l'isolamento. Rende l'isolamento operativo.

03Perché l'isolamento permanente ha smesso di essere scalabile

Un air gap controllato conserva il principio classico: quando l'asset protetto non ha bisogno di essere online, non dovrebbe esistere alcun percorso raggiungibile verso di esso. Ciò che cambia è il modello operativo. Invece di presupporre che l'asset sia offline per sempre, l'organizzazione definisce quando il percorso può esistere e chi è autorizzato ad aprirlo.

Questo rende l'air gap moderno diverso da tre controlli familiari:

Regola di firewall

una decisione software su un percorso instradato che continua a esistere. Utile, ma dipendente dalla configurazione e dall'integrità del piano di gestione.

Accesso VPN

un tunnel autenticato per un utente o un fornitore. Necessario in alcuni flussi di lavoro, ma pur sempre una superficie di accesso remoto attiva.

Segmentazione

un modo per restringere i percorsi all'interno della rete. Prezioso, ma non equivale a rimuovere il percorso fisico quando l'asset è inattivo.

Un air gap controllato è più rigoroso. Afferma che il percorso più sicuro è quello che non è presente se non durante una finestra operativa definita.

04Il tempo è la superficie di controllo mancante

Il cambiamento diventa chiaro quando si osserva il cyber-rischio attraverso il tempo:

Gli air gap classici cercavano di portare il tempo di esposizione a zero. L'architettura always-on lo porta a 168 ore a settimana. Un air gap su base temporale vive tra questi estremi. Accetta che alcuni flussi di lavoro necessitino di connettività, poi rende la durata di quella connettività la variabile controllata.

Questa distinzione conta perché la maggior parte dei percorsi di compromissione non è cinematografica. Sono opportunistici, automatizzati e pazienti. Un target di backup, un segmento di telecamere o un'interfaccia di gestione raggiungibile 24 ore su 24 è disponibile ogni volta che vi arriva un'infrastruttura di scansione, credenziali rubate o un movimento laterale.

Se lo stesso asset è raggiungibile solo durante una finestra di manutenzione o backup di quattro ore, l'aggressore deve intersecare quella finestra. Il controllo non promette invulnerabilità. Rimuove il percorso sempre disponibile da cui dipendono molti attacchi.

05Tre cambiamenti alla base dell'air gap moderno

06Perché i controlli solo software non sono la stessa cosa

I controlli software restano necessari. Autenticano gli utenti, filtrano il traffico, ispezionano le sessioni e generano log. Ma non creano lo stesso comportamento in caso di guasto di un'interruzione fisica. Un controllo software può essere modificato via software, amministrato via software e talvolta aggirato via software.

Deriva di configurazione

Le regole si accumulano, le eccezioni restano aperte e l'accesso temporaneo diventa accesso normale.

Destino condiviso

Se il piano di controllo si trova sulla stessa rete dell'asset, una compromissione può colpire sia l'obiettivo sia il meccanismo destinato a proteggerlo.

Esposizione delle credenziali

Le VPN e i portali di amministrazione spostano il problema sull'identità. Aiuta, ma le credenziali rubate possono comunque aprire un percorso attivo.

Dipendenza dal rilevamento

Il monitoraggio può dirvi che qualcosa è accaduto. Non garantisce che il percorso fosse assente prima che accadesse.

L'obiettivo non è sostituire quei controlli. L'obiettivo è dare loro una finestra temporale più piccola da difendere.

07Disconnessione out-of-band imposta via hardware

Un air gap controllato moderno dovrebbe avere due proprietà. In primo luogo, il percorso Ethernet protetto viene aperto o chiuso fisicamente dall'hardware. In secondo luogo, il percorso di comando che controlla quell'interruzione è out-of-band, in modo che la rete dati protetta non possa istruire il dispositivo a riconnettersi da solo.

È qui che prodotti come AIRGAPNET riposizionano l'idea dell'air gap. Non chiedono a ogni organizzazione di adottare un modello operativo da rete classificata. Rendono disponibile una disconnessione fisica per gli asset ordinari che necessitano solo di raggiungibilità intermittente.

Programmazione

aprire il percorso durante una finestra definita di backup, aggiornamento o ispezione.

Su richiesta

riconnettere quando un operatore autorizzato approva un compito.

Chiusura legata al job

disconnettere di nuovo quando il motivo operativo è terminato.

Evidenza

registrare il fatto che la finestra si è aperta e chiusa.

Il risultato non è una zona di sicurezza mistica. È una finestra di attacco più piccola e più disciplinata, sostenuta da un cambiamento di stato fisico.

Se la rete dati può riaprire il proprio controllo di isolamento, l'isolamento è solo policy. Se non può, il controllo diventa un confine.

08Dove si collocano gli air gap controllati

09Uno schema di deployment pratico

Un air gap controllato parte dal calendario operativo, non da un dispositivo. Prima di collocare l'hardware nel percorso, definite esattamente quando il percorso è necessario e quale evidenza dimostra che è stato richiuso.

1. Scegliere l'asset

   Iniziare con un repository, un'interfaccia di gestione, un segmento di telecamere o un dispositivo gestito da un fornitore la cui compromissione risulterebbe costosa.

2. Definire la finestra

   Mettere per iscritto la più piccola finestra di connessione ragionevole per backup, manutenzione, aggiornamento o ispezione.

3. Nominare il responsabile

   Rendere un unico team responsabile dell'approvazione delle riconnessioni e della chiusura del percorso al termine del compito.

4. Collocare l'interruzione

   Posizionare la disconnessione fisica nel punto in cui rimuove la raggiungibilità senza interrompere il traffico non correlato.

5. Registrare il cambiamento di stato

   Conservare l'evidenza di ogni evento di apertura e chiusura affinché i team di sicurezza e di audit possano verificare il flusso di lavoro.

I deployment più semplici sono spesso i più robusti. Una classe di asset, una finestra, un responsabile, una prova che il percorso è chiuso al di fuori della finestra.

10Tre obiezioni comuni

11Considerazione conclusiva

L'air gap non è diventato obsoleto perché il principio ha fallito. È diventato difficile da usare perché le operazioni sono cambiate più velocemente del modello di controllo.

La reinvenzione è modesta e pratica: mantenere il confine fisico, renderlo su base temporale, controllarlo out-of-band e trattare ogni riconnessione come un evento che necessita di un motivo. Questo dà ai team moderni la parte dell'air gap che conta ancora di più: meno ore in cui l'asset protetto può essere raggiunto.