Che cos'è un gateway unidirezionale? Data diode, protocolli e implementazioni reali

01Punti chiave

1. 01

   Un data diode è l'elemento di applicazione; un gateway unidirezionale è il sistema implementabile che rende utilizzabile il trasferimento a senso unico.

2. 02

   I gateway aggiungono gestione dei protocolli, replica dei file, buffering e monitoraggio affinché i flussi a senso unico resistano alle condizioni reali.

3. 03

   Poiché molti protocolli si aspettano conferme (acknowledgement), il gateway emula il lato mancante anziché aprire un percorso inverso.

4. 04

   Le implementazioni tipiche includono telemetria OT-verso-IT, replica dello storico (historian), inoltro dei log verso un SOC e spostamento dei backup.

5. 05

   Valuta il gateway sia come confine di sicurezza sia come sistema operativo: cosa impone la direzione, cosa accade in caso di guasto e se i trasferimenti possono essere dimostrati.

02Che cos'è un gateway unidirezionale?

Un gateway unidirezionale è un sistema che sposta i dati attraverso un confine in una sola direzione. Al suo centro c'è un data diode che, fisicamente o in altro modo, impone la direzione, circondato da software che gestisce i protocolli e i flussi di lavoro effettivamente utilizzati da un'organizzazione.

Il NIST descrive il concetto di data diode come un dispositivo di rete a senso unico, indicato anche come gateway unidirezionale o dispositivo di confine a senso unico. Nelle conversazioni con chi acquista una distinzione utile è questa: il diode risponde alla domanda "cosa impedisce al traffico di tornare indietro?" e il gateway risponde a "come facciamo funzionare un flusso di dati reale attraverso quel confine a senso unico?"

In breve: un gateway unidirezionale è un data diode più il software che rende operativamente utilizzabile il trasferimento a senso unico.

03Data diode vs gateway unidirezionale

I termini si sovrappongono, ma descrivono parti diverse dello stesso controllo. Il diode è l'applicazione; il gateway è il prodotto che si implementa e si gestisce.

Data diode

L'elemento di confine che impone il flusso a senso unico. Il suo compito è ristretto: garantire che non esista un percorso di ritorno utilizzabile attraverso quel canale.

Gateway unidirezionale

Il sistema completo attorno al diode: adattatori di protocollo, logica di replica, buffering, gestione e monitoraggio che rendono il percorso a senso unico capace di supportare applicazioni reali.

Ecco perché due prodotti possono entrambi dichiararsi "data diode" e tuttavia differire enormemente. L'applicazione può essere simile, ma è il software del gateway a determinare quali protocolli funzionano, come vengono gestiti i guasti e se gli operatori possono fidarsi di ciò che ha attraversato il confine.

04Come i gateway gestiscono protocolli e buffering

La maggior parte dei protocolli utili è bidirezionale per progettazione. Il TCP si aspetta conferme (acknowledgement); i trasferimenti di file si aspettano conferme; gli storici (historian) si aspettano uno stato di sessione. Un percorso a senso unico non può restituire nulla di tutto ciò, quindi il gateway emula il lato mancante.

Sul lato di invio, il gateway agisce come un proxy che accetta il normale protocollo bidirezionale dalla sorgente e lo converte in un flusso a senso unico. Sul lato di ricezione, un secondo componente ricostruisce il protocollo verso la destinazione. Nessuna delle due emulazioni apre un percorso inverso attraverso il diode; entrambe si limitano ad assorbire localmente le aspettative del protocollo.

• Buffering, affinché i dati non vadano persi quando la destinazione è temporaneamente non disponibile.
• Ritrasmissione all'interno del flusso a senso unico tramite forward error correction anziché conferme inverse.
• Adattatori di protocollo per syslog, trasferimento di file, replica dello storico (historian), dati OPC e flussi OT simili.
• Controlli di integrità, affinché il lato ricevente possa rilevare trasferimenti corrotti o incompleti.
• Monitoraggio che segnala lo stato di salute dei trasferimenti senza creare un percorso di gestione in ingresso.

05Implementazioni comuni dei gateway unidirezionali

Telemetria OT-verso-IT

Pubblica metriche di produzione, allarmi ed eventi verso i sistemi aziendali, mentre il lato aziendale non può avviare traffico di ritorno verso l'impianto.

Replica dello storico (historian)

Rispecchia tag selezionati dello storico in un ambiente di reporting o analisi senza esporre lo storico primario a query in ingresso.

Inoltro dei log verso il SOC

Invia log ed eventi di sicurezza verso l'esterno per il monitoraggio senza aprire un percorso di gestione o di query in ingresso.

Spostamento dei backup

Replica backup o snapshot in una sola direzione affinché la destinazione non possa essere usata per raggiungere l'ambiente protetto.

06Checklist di valutazione di un gateway unidirezionale

Valuta il gateway come un sistema operativo, non solo come una dichiarazione di unidirezionalità. Le domande che distinguono i prodotti riguardano per lo più il software attorno al diode.

• Cosa impone fisicamente la direzione e l'applicazione è indipendente dalla configurazione software?
• Quali protocolli e tipi di file sono supportati nativamente rispetto a quelli gestiti tramite soluzioni alternative?
• Come vengono gestiti buffering, ritrasmissione e integrità quando la destinazione non è disponibile?
• Gli operatori possono dimostrare cosa ha attraversato il confine, quando e se un trasferimento è fallito?
• Come viene protetto il piano di gestione da entrambe le reti, in modo da non reintrodurre un percorso di ritorno?
• Throughput e latenza soddisfano il carico di lavoro ed è possibile testarli senza interrompere la produzione?

Per i team che valutano il trasferimento a senso unico permanente rispetto alla disconnessione basata sul tempo, un pattern di connettività controllata AIRGAPNET può essere confrontato accanto a un gateway unidirezionale. La risposta giusta dipende dal fatto che il confine debba essere a senso unico in ogni momento oppure semplicemente offline per impostazione predefinita.

07Cosa non risolve un gateway unidirezionale

• Non fornisce sessioni bidirezionali; i flussi di lavoro che necessitano di una conversazione devono essere riprogettati o gestiti altrove.
• Non sanifica i dati dannosi o di bassa qualità che si muovono nella direzione consentita.
• Non sostituisce l'inventario degli asset, la segmentazione, il patching, l'identità o il monitoraggio.
• Non elimina la necessità di proteggere il proprio piano di gestione e i server di supporto.

Il gateway riduce un rischio specifico: la raggiungibilità bidirezionale attraverso un confine scelto. Tutto il resto rimane compito di un programma di difesa in profondità (defense-in-depth).

08Riflessione conclusiva

Se un data diode è la decisione di sicurezza, il gateway unidirezionale è il modo in cui quella decisione sopravvive al contatto con protocolli reali e operazioni reali. La maggior parte del lavoro di valutazione, e la maggior parte del rischio di delusione, risiede nel gateway, non nel diode.

Parti dal flusso di dati: cosa deve essere pubblicato, in quale direzione, con quale affidabilità. Poi chiedi al gateway di dimostrare che può trasportare quel flusso in un'unica direzione e rendere conto di ogni trasferimento.

FAQDomande frequenti

SRCFonti ufficiali