Sieć air-gap to sieć, która nie ma żadnego połączenia z innymi sieciami, w tym z internetem. Idea jest prosta i skuteczna: skoro nie ma łącza, ataki przenoszone przez sieć nie mogą dotrzeć do chronionych systemów za jego pośrednictwem.
Air gapping bywa opisywany jako najsilniejsza dostępna forma izolacji i w wąskim sensie tak właśnie jest. Prawdziwy air gap jest jednak również wymagający w eksploatacji, a w praktyce przerwa ta ma tendencję do erozji. Ten artykuł wyjaśnia, przed czym air gap naprawdę chroni, gdzie zawodzi oraz jakie nowoczesne alternatywy pozwalają zachować większość jego korzyści.
01Najważniejsze wnioski
- 01
Sieć air-gap nie ma połączenia z innymi sieciami, więc nie da się jej zaatakować przez łącze sieciowe.
- 02
Ochrona jest realna, ale wąska: dotyczy osiągalności sieciowej, a nie ścieżek fizycznych czy ludzkich.
- 03
Nośniki wymienne, insiderzy i łańcuch dostaw pozostają drogami wejścia, a znane rodzaje złośliwego oprogramowania pokonywały air gapy przez USB.
- 04
Prawdziwe air gapy są kosztowne w eksploatacji i mają tendencję do erozji, gdy ludzie dokładają łączność dla wygody.
- 05
Nowoczesne alternatywy, takie jak transmisja jednokierunkowa i rozłączanie czasowe, zachowują większość korzyści, pozostając praktyczne w użyciu.
02Czym jest sieć air-gap?
Sieć air-gap jest fizycznie i logicznie oddzielona od innych sieci. Nie istnieje żadna ścieżka przewodowa ani bezprzewodowa między nią a światem zewnętrznym, więc dane nie mogą przepływać przez połączenie sieciowe, którego po prostu nie ma.
Termin pochodzi od dosłownej przerwy powietrznej (ang. air gap) między systemami. Stosuje się go w najbardziej wrażliwych środowiskach: w sieciach niejawnych, w części infrastruktury krytycznej oraz w systemach, których naruszenie miałoby katastrofalne skutki.
W skrócie: air gap całkowicie usuwa ścieżkę sieciową, zamiast próbować ją kontrolować.
03Jak działa prawdziwy air gap
Prawdziwy air gap oznacza brak jakiejkolwiek łączności sieciowej między chronionym środowiskiem a pozostałymi: żadnych kabli łączących obie strony, żadnych współdzielonych przełączników i żadnych interfejsów bezprzewodowych, które mogłyby utworzyć łącze.
Ponieważ przez przerwę nie przechodzi nic drogą sieciową, wszelkie dane, które muszą wejść lub wyjść, muszą to robić w jakiś celowy, niesieciowy sposób. To ograniczenie jest całym sensem air gapu, a zarazem źródłem każdej praktycznej trudności, jaką stwarza.
04Przed czym chroni air gap
Air gap jest skuteczny wobec dużej klasy zagrożeń, które zależą od osiągalności sieciowej. Jeśli atakujący nie może dotrzeć do systemu przez sieć, cały zestaw technik staje się dla niego niedostępny.
- Zdalna eksploatacja usług udostępnionych w sieci.
- Ruch boczny (lateral movement) z przejętego systemu zewnętrznego lub korporacyjnego.
- Kanały command-and-control, które opierają się na ścieżce sieciowej do serwera zarządzającego.
- Oportunistyczne skanowanie internetu i masowa eksploatacja.
- Bezpośrednia eksfiltracja danych przez łącze sieciowe.
05Ograniczenia air gapu
Air gap usuwa jedynie ścieżkę sieciową. Nie robi nic z pozostałymi sposobami, w jakie przemieszczają się dane i kod, a to właśnie tędy air gapy są naruszane w rzeczywistości.
- Nośniki wymienne
- Pamięci USB i inne nośniki fizycznie przenoszą dane oraz złośliwe oprogramowanie przez przerwę. Znane przemysłowe rodzaje malware docierały tą drogą do systemów odseparowanych air gapem.
- Insiderzy
- Osoby z legalnym dostępem mogą wynosić lub wnosić dane, celowo bądź przez pomyłkę, niezależnie od istnienia przerwy.
- Łańcuch dostaw
- Skompromitowane oprogramowanie, firmware lub sprzęt mogą dotrzeć, już niosąc zagrożenie, zanim air gap w ogóle stanie się istotny.
- Koszt operacyjny
- Każda legalna wymiana danych staje się procesem ręcznym, który jest powolny, podatny na błędy i źle znoszony przez zespoły.
06Dlaczego czyste air gapy są rzadkie i erodują
Ponieważ air gapy są tak kosztowne w eksploatacji, presja na ich obchodzenie jest nieustanna. Ktoś musi wyeksportować dane do raportu, ktoś musi wnieść aktualizację, a każda z tych potrzeb zostaje zaspokojona tymczasowym połączeniem lub pamięcią USB, która przeradza się w stały nawyk.
Z czasem wiele rzekomo odseparowanych sieci gromadzi ciche połączenia, maszyny z dwoma interfejsami sieciowymi (dual-homed) oraz rutynowe transfery na nośnikach. Przerwa istnieje na schemacie architektury, lecz nie w rzeczywistości, co bywa gorsze od uczciwego, kontrolowanego połączenia, ponieważ ryzyko pozostaje niezarządzane i niewidoczne.
07Nowoczesne alternatywy dla czystego air gapu
Celem stojącym za air gapem zwykle nie jest dosłowne odłączenie; chodzi o zapewnienie, że systemy nie są osiągalne wtedy, gdy nie muszą być. Cel ten można osiągnąć za pomocą mechanizmów łatwiejszych w eksploatacji i trudniejszych do erozji.
- Transmisja jednokierunkowa pozwala danym wyjść bez tworzenia ścieżki powrotnej, zastępując ręczny eksport w wielu przepływach.
- Rozłączanie czasowe utrzymuje systemy w trybie offline domyślnie i podłącza je wyłącznie na zatwierdzone okna czasowe.
- Ścisła kontrola i sanityzacja nośników dla tych transferów, które muszą pozostać fizyczne.
- Segmentacja, dzięki której nawet połączone granice są ściśle nadzorowane.
Wzorzec kontrolowanej łączności AIRGAPNET stosuje to bezpośrednio: sprzętowo wymuszona fizyczna przerwa, która domyślnie utrzymuje zasób odłączony i podłącza go ponownie tylko według harmonogramu lub na żądanie. Zachowuje ducha air gapu, dając zarazem operatorom kontrolowany, audytowalny sposób przenoszenia danych wtedy, gdy naprawdę tego potrzebują.
08Myśl na koniec
Air gap nie jest magią i nie jest przestarzały. Jest silnym mechanizmem obrony przed zagrożeniami przenoszonymi przez sieć i słabym wobec wszystkiego innego, a przetrwa tylko tam, gdzie przetrwa dyscyplina niezbędna do jego utrzymania.
Zapytaj, czemu ta przerwa naprawdę ma służyć. Jeśli celem jest utrzymanie systemów w stanie nieosiągalnym wtedy, gdy nie muszą być osiągalne, kontrolowane, sprzętowo wymuszone rozłączenie często realizuje to lepiej niż czysty air gap, który po cichu wypełnia się wyjątkami.
FAQNajczęściej zadawane pytania
Czym jest sieć air-gap?
Sieć air-gap nie ma żadnego połączenia przewodowego ani bezprzewodowego z innymi sieciami, w tym z internetem. Ponieważ nie istnieje ścieżka sieciowa, ataki przenoszone przez sieć nie mogą dotrzeć do chronionych systemów za jej pośrednictwem.
Czy sieci air-gap są całkowicie bezpieczne?
Nie. Air gap usuwa jedynie ścieżkę sieciową. Nośniki wymienne, insiderzy i kompromitacja łańcucha dostaw pozostają drogami wejścia, a znane rodzaje złośliwego oprogramowania pokonywały air gapy przez pamięci USB. Jest silny wobec ataków sieciowych i słaby wobec ścieżek fizycznych oraz ludzkich.
Dlaczego air gapy erodują z czasem?
Ponieważ eksploatacja prawdziwego air gapu jest kosztowna, ludzie dokładają tymczasowe połączenia lub rutynowe transfery przez USB, aby przenosić dane do raportów lub aktualizacji. Z czasem stają się one trwałe, więc przerwa istnieje na schemacie, lecz nie w rzeczywistości.
Jakie są alternatywy dla air gapu?
Transmisja jednokierunkowa pozwala danym wyjść bez ścieżki powrotnej, a rozłączanie czasowe utrzymuje systemy offline domyślnie i podłącza je tylko na zatwierdzone okna czasowe. W połączeniu z kontrolą nośników i segmentacją zachowują one większość korzyści, pozostając możliwe do eksploatacji.
Czy kontrolowane rozłączenie jest lepsze od czystego air gapu?
Często tak. Jeśli celem jest utrzymanie systemów w stanie nieosiągalnym wtedy, gdy nie muszą być osiągalne, sprzętowo wymuszone rozłączenie według harmonogramu realizuje to w sposób audytowalny i opiera się erozji, która wypełnia czyste air gapy niezarządzanymi wyjątkami.
SRCŹródła referencyjne
Zachowaj ideę, pozbądź się kruchości
Zyskaj izolację klasy air gap, którą naprawdę da się eksploatować.
Utrzymuj zasoby domyślnie odłączone i podłączaj je ponownie tylko według harmonogramu lub na żądanie, aby izolacja się utrzymała bez ręcznego kosztu, który eroduje czysty air gap.