Air gap na nowo: od trwałej izolacji do odłączania opartego na czasie

01Najważniejsze wnioski

1. 01

   Air gap nigdy nie był preferencją estetyczną. Był sposobem na fizyczne uniemożliwienie osiągalności systemów, których kompromitacja byłaby nie do zaakceptowania.

2. 02

   Trwała izolacja sprawdza się w wąskim zestawie środowisk, ale większość organizacji potrzebuje dziś krótkich, kontrolowanych okien na kopie zapasowe, konserwację, aktualizacje i zbieranie materiału dowodowego.

3. 03

   Kontrolowany air gap zamienia łączność ze stanu stałego w jawne zdarzenie: otwierane w konkretnym celu, domyślnie zamknięte i rejestrowane jako dowód operacyjny.

4. 04

   Kluczowym posunięciem projektowym nie jest więcej filtrowania. Jest nim przeniesienie ostatecznej decyzji do sprzętowego przerwania sterowanego poza pasmem, tak aby chroniona ścieżka nie mogła sama się otworzyć z sieci danych.

02Stary air gap rozwiązywał realny problem

Przez dziesięciolecia określenie air gap oznaczało jedno: brak ścieżki sieciowej. W systemach wojskowych, badaniach niejawnych, sterowaniu przemysłowym i najbardziej wrażliwych środowiskach SCADA taka zasada miała sens. Jeśli systemu nie dało się osiągnąć z wrogiej sieci, zdalne wykorzystanie podatności nie miało do niego drogi.

Ta idea jest wciąż słuszna. Trudność polega na tym, że nowoczesne operacje nie są już budowane wokół trwałego rozdzielenia. Kopie zapasowe muszą się wykonywać. Dostawcy potrzebują zaplanowanego dostępu. Firmware trzeba aktualizować. Zespoły monitorujące potrzebują materiału dowodowego. Pytanie nie brzmi, czy izolacja ma znaczenie. Pytanie brzmi, jak sprawić, by izolacja była użyteczna, nie zamieniając jej w trwałą ekspozycję.

Nowoczesny air gap nie rezygnuje z izolacji. Czyni izolację operacyjną.

03Dlaczego trwała izolacja przestała się skalować

Kontrolowany air gap zachowuje klasyczną zasadę: gdy chroniony zasób nie musi być online, nie powinno do niego istnieć żadne osiągalne połączenie. Zmienia się model operacyjny. Zamiast zakładać, że zasób jest offline na zawsze, organizacja definiuje, kiedy ścieżka może istnieć i kto jest uprawniony, aby ją otworzyć.

To odróżnia nowoczesny air gap od trzech znanych mechanizmów:

Reguła zapory

programowa decyzja na wciąż istniejącej trasie routingu. Przydatna, ale zależna od konfiguracji i integralności płaszczyzny zarządzania.

Dostęp VPN

uwierzytelniony tunel dla użytkownika lub dostawcy. Niezbędny w niektórych przepływach pracy, ale wciąż stanowi żywą powierzchnię zdalnego dostępu.

Segmentacja

sposób na zawężenie ścieżek wewnątrz sieci. Wartościowy, ale nie to samo co usunięcie ścieżki fizycznej, gdy zasób jest bezczynny.

Kontrolowany air gap jest surowszy. Mówi, że najbezpieczniejsza ścieżka to ta, której nie ma poza zdefiniowanym oknem pracy.

04Czas to brakująca powierzchnia kontroli

Zmiana staje się jasna, gdy spojrzysz na cyberryzyko przez pryzmat czasu:

Klasyczne air gapy próbowały sprowadzić czas ekspozycji do zera. Architektura „zawsze włączona” wywinduje go do 168 godzin tygodniowo. Air gap oparty na czasie mieści się między tymi skrajnościami. Akceptuje, że niektóre przepływy pracy wymagają łączności, a następnie czyni czas trwania tej łączności zmienną kontrolowaną.

To rozróżnienie ma znaczenie, ponieważ większość ścieżek kompromitacji nie jest filmowa. Są oportunistyczne, zautomatyzowane i cierpliwe. Cel kopii zapasowej, segment kamer czy interfejs zarządzania osiągalny przez całą dobę jest dostępny, gdy tylko dosięgnie go infrastruktura skanująca, skradzione poświadczenia lub ruch boczny.

Jeśli ten sam zasób jest osiągalny wyłącznie podczas czterogodzinnego okna konserwacji lub kopii zapasowej, atakujący musi trafić w to okno. Zabezpieczenie to nie obiecuje niewrażliwości. Usuwa zawsze dostępną ścieżkę, na której opiera się wiele ataków.

05Trzy zmiany stojące za nowoczesnym air gapem

06Dlaczego zabezpieczenia wyłącznie programowe to nie to samo

Zabezpieczenia programowe pozostają niezbędne. Uwierzytelniają użytkowników, filtrują ruch, inspekcjonują sesje i generują logi. Ale nie tworzą tego samego trybu awarii co fizyczne przerwanie. Zabezpieczenie programowe można zmienić programowo, administrować nim programowo, a czasem obejść je programowo.

Dryf konfiguracji

Reguły się nawarstwiają, wyjątki pozostają otwarte, a dostęp tymczasowy staje się dostępem normalnym.

Wspólny los

Jeśli płaszczyzna kontroli znajduje się w tej samej sieci co zasób, kompromitacja może dotknąć zarówno celu, jak i mechanizmu, który miał go chronić.

Ekspozycja poświadczeń

VPN-y i portale administracyjne przenoszą problem na tożsamość. To pomaga, ale skradzione poświadczenia wciąż mogą otworzyć żywą ścieżkę.

Zależność od wykrywania

Monitorowanie może powiedzieć, że coś się wydarzyło. Nie gwarantuje, że ścieżki nie było, zanim to się wydarzyło.

Nie chodzi o zastąpienie tych zabezpieczeń. Chodzi o to, by dać im mniejsze okno czasowe do obrony.

07Sprzętowo wymuszane odłączanie poza pasmem

Nowoczesny kontrolowany air gap powinien mieć dwie właściwości. Po pierwsze, chroniona ścieżka Ethernet jest fizycznie otwierana lub zamykana przez sprzęt. Po drugie, ścieżka poleceń sterująca tym przerwaniem znajduje się poza pasmem, tak aby chroniona sieć danych nie mogła nakazać urządzeniu ponownego połączenia się.

To właśnie tam produkty takie jak AIRGAPNET na nowo pozycjonują ideę air gapu. Nie żądają, aby każda organizacja prowadziła model operacyjny sieci niejawnej. Udostępniają fizyczne odłączenie dla zwykłych zasobów, które potrzebują jedynie przerywanej osiągalności.

Harmonogram

otwórz ścieżkę podczas zdefiniowanego okna kopii zapasowej, aktualizacji lub inspekcji.

Na żądanie

połącz ponownie, gdy uprawniony operator zatwierdzi zadanie.

Zamknięcie powiązane z zadaniem

odłącz ponownie, gdy powód operacyjny ustał.

Materiał dowodowy

zarejestruj fakt, że okno zostało otwarte i zamknięte.

Rezultatem nie jest mistyczna strefa bezpieczeństwa. To mniejsze, bardziej zdyscyplinowane okno ataku poparte fizyczną zmianą stanu.

Jeśli sieć danych może ponownie otworzyć własny mechanizm izolacji, izolacja jest jedynie polityką. Jeśli nie może, zabezpieczenie staje się granicą.

08Gdzie sprawdzają się kontrolowane air gapy

09Praktyczny wzorzec wdrożenia

Kontrolowany air gap zaczyna się od kalendarza operacyjnego, a nie od urządzenia. Zanim umieścisz sprzęt na ścieżce, określ dokładnie, kiedy ścieżka jest potrzebna i jaki dowód potwierdza jej ponowne zamknięcie.

1. Wybierz zasób

   Zacznij od repozytorium, interfejsu zarządzania, segmentu kamer lub urządzenia serwisowanego przez dostawcę, którego kompromitacja byłaby kosztowna.

2. Zdefiniuj okno

   Zapisz najmniejsze rozsądne okno połączenia na kopię zapasową, konserwację, aktualizację lub inspekcję.

3. Wskaż właściciela

   Uczyń jeden zespół odpowiedzialnym za zatwierdzanie ponownych połączeń i zamykanie ścieżki po zadaniu.

4. Umieść przerwanie

   Umieść fizyczne odłączenie w punkcie, w którym usuwa ono osiągalność bez zakłócania niepowiązanego ruchu.

5. Rejestruj zmianę stanu

   Zachowuj dowód każdego zdarzenia otwarcia i zamknięcia, aby zespoły bezpieczeństwa i audytu mogły zweryfikować przepływ pracy.

Najprostsze wdrożenia są często najmocniejsze. Jedna klasa zasobów, jedno okno, jeden właściciel, jeden dowód, że ścieżka jest zamknięta poza oknem.

10Trzy typowe zastrzeżenia

11Myśl na zakończenie

Air gap nie stał się przestarzały, ponieważ zasada zawiodła. Stał się trudny w użyciu, ponieważ operacje zmieniały się szybciej niż model kontroli.

Ta reinwencja jest skromna i praktyczna: zachowaj fizyczną granicę, uczyń ją opartą na czasie, steruj nią poza pasmem i traktuj każde ponowne połączenie jako zdarzenie, które wymaga powodu. To daje nowoczesnym zespołom tę część air gapu, która wciąż ma największe znaczenie: mniej godzin, w których chroniony zasób w ogóle da się osiągnąć.