Una red unidireccional (también conocida como puerta de enlace unidireccional o diodo de datos ) es un dispositivo o dispositivo de red que permite que los datos viajen en una sola dirección. Los diodos de datos se pueden encontrar más comúnmente en entornos de alta seguridad, como la defensa, donde sirven como conexiones entre dos o más redes de diferentes clasificaciones de seguridad. Dado el auge de la IoT industrial y la digitalización , esta tecnología ahora se puede encontrar a nivel de control industrial para instalaciones tales como plantas de energía nuclear , generación de energía y sistemas críticos de seguridad como redes ferroviarias. [1]
Después de años de desarrollo, los diodos de datos han evolucionado de ser solo un dispositivo de red o dispositivo que permite que los datos sin procesar viajen solo en una dirección, utilizados para garantizar la seguridad de la información o la protección de sistemas digitales críticos, como los sistemas de control industrial, de los ataques cibernéticos entrantes. [2] [3] a combinaciones de hardware y software que se ejecutan en computadoras proxy en las redes de origen y destino. El hardware refuerza la unidireccionalidad física y el software replica las bases de datos y emula los servidores de protocolo para manejar la comunicación bidireccional. Los diodos de datos ahora son capaces de transferir múltiples protocolos y tipos de datos simultáneamente. Contiene una gama más amplia de funciones de ciberseguridad como arranque seguro , gestión de certificados , integridad de datos , corrección de errores de reenvío (FEC), comunicación segura a través de TLS , entre otras. Una característica única es que los datos se transfieren de forma determinista (a ubicaciones predeterminadas) con una "interrupción" de protocolo que permite que los datos se transfieran a través del diodo de datos.
Los diodos de datos se encuentran comúnmente en entornos gubernamentales y militares de alta seguridad, y ahora se están extendiendo ampliamente en sectores como petróleo y gas , agua / aguas residuales, aviones (entre unidades de control de vuelo y sistemas de entretenimiento en vuelo), fabricación y conectividad en la nube para aplicaciones industriales. IoT . [4] Las nuevas regulaciones [5] han aumentado la demanda y, con el aumento de la capacidad, los principales proveedores de tecnología han reducido el costo de la tecnología central.
Historia
Los primeros diodos de datos fueron desarrollados por organizaciones gubernamentales en los años ochenta y noventa. Debido a que estas organizaciones trabajan con información confidencial , asegurarse de que su red sea segura es de máxima prioridad. Las principales soluciones utilizadas por estas organizaciones fueron las brechas de aire. Pero, a medida que aumentaba la cantidad de datos transferibles y se volvía más importante un flujo de datos continuo y en tiempo real, estas organizaciones tuvieron que buscar una solución automatizada.
En la búsqueda de una mayor estandarización, un número creciente de organizaciones comenzaron a buscar una solución que se adaptara mejor a sus actividades. Las soluciones comerciales creadas por organizaciones estables tuvieron éxito dado el nivel de seguridad y soporte a largo plazo.
En los Estados Unidos, las empresas de servicios públicos y de petróleo y gas han utilizado diodos de datos durante varios años, y los reguladores han fomentado su uso para proteger equipos y procesos en los SIS [ definición necesaria ] . La Comisión Reguladora Nuclear (NRC) ahora ordena el uso de diodos de datos y muchos otros sectores, además del eléctrico y nuclear, también usan diodos de datos de manera efectiva. [1]
En Europa, los reguladores y operadores de varios sistemas críticos para la seguridad comenzaron a recomendar e implementar regulaciones sobre el uso de pasarelas unidireccionales. [6]
En 2013, el trabajo, Industrial Control System Cybersecurity, dirigido por la Agencia Francesa de Seguridad de Redes e Información ( ANSSI ) declaró que está prohibido usar firewalls para conectar cualquier red de clase 3, como sistemas de conmutación ferroviaria, a una red de clase inferior o red corporativa. , solo se permite la tecnología unidireccional. [5]
Aplicaciones
- Monitoreo en tiempo real de redes críticas para la seguridad
- OT seguro - puente de TI
- Conectividad segura en la nube de redes OT críticas
- Replicación de la base de datos
- Procesamiento de datos
- Soluciones confiables alojadas en la nube híbrida y back-end (privada / pública)
- Intercambio seguro de datos para mercados de datos
- Aprovisionamiento seguro de credenciales / certificados
- Uso compartido seguro de bases de datos cruzadas
- Impresión segura desde una red menos segura a una red muy segura (reduciendo los costos de impresión)
- Transferencia de actualizaciones de aplicaciones y sistemas operativos de una red menos segura a una red de alta seguridad
- Sincronización horaria en redes de alta seguridad
- Transferencia de archivos
- Transmitiendo video
- Enviar / recibir alertas o alarmas desde redes abiertas a redes críticas / confidenciales [7]
- Enviar / recibir correos electrónicos desde redes abiertas a redes críticas / confidenciales
- Gobierno [8]
- Empresas comerciales [9]
Usar
Los dispositivos de red unidireccionales se utilizan normalmente para garantizar la seguridad de la información o la protección de los sistemas digitales críticos, como los sistemas de control industrial , frente a los ciberataques. Si bien el uso de estos dispositivos es común en entornos de alta seguridad como la defensa, donde sirven como conexiones entre dos o más redes de diferentes clasificaciones de seguridad, la tecnología también se está utilizando para hacer cumplir las comunicaciones unidireccionales salientes de sistemas digitales críticos a redes no confiables. conectado a Internet .
La naturaleza física de las redes unidireccionales solo permite que los datos pasen de un lado de una conexión de red a otro, y no al revés. Esto puede ser desde el "lado bajo" o la red que no es de confianza, al "lado alto" o la red confiable, o viceversa. En el primer caso, los datos de la red del lado alto se mantienen confidenciales y los usuarios conservan el acceso a los datos del lado bajo. [10] Dicha funcionalidad puede resultar atractiva si los datos confidenciales se almacenan en una red que requiere conectividad con Internet : el lado alto puede recibir datos de Internet desde el lado bajo, pero ningún dato del lado alto es accesible para intrusiones basadas en Internet. En el segundo caso, un sistema físico crítico para la seguridad puede ser accesible para monitoreo en línea, pero estar aislado de todos los ataques basados en Internet que puedan buscar causar daño físico. En ambos casos, la conexión permanece unidireccional incluso si tanto la red baja como la alta están comprometidas, ya que las garantías de seguridad son de naturaleza física.
Hay dos modelos generales para utilizar conexiones de red unidireccionales. En el modelo clásico, el propósito del diodo de datos es evitar la exportación de datos clasificados desde una máquina segura mientras permite la importación de datos desde una máquina insegura. En el modelo alternativo, el diodo se usa para permitir la exportación de datos desde una máquina protegida mientras se previenen ataques a esa máquina. Estos estan descritos en mas detalle abajo.
Flujo unidireccional a sistemas menos seguros
Implica sistemas que deben protegerse contra ataques remotos / externos de redes públicas mientras se publica información en dichas redes. Por ejemplo, un sistema de gestión electoral que se utiliza con voto electrónico debe poner los resultados de las elecciones a disposición del público y, al mismo tiempo, debe ser inmune a los ataques. [11]
Este modelo es aplicable a una variedad de problemas de protección de infraestructura crítica , donde la protección de los datos en una red es menos importante que el control confiable y el funcionamiento correcto de la red. Por ejemplo, el público que vive aguas abajo de una presa necesita información actualizada sobre el flujo de salida, y la misma información es una entrada fundamental para el sistema de control de las compuertas . En tal situación, es fundamental que el flujo de información sea del sistema de control seguro al público, y no al revés.
Flujo unidireccional hacia sistemas más seguros
La mayoría de las aplicaciones de redes unidireccionales en esta categoría están en defensa y contratistas de defensa. Estas organizaciones tradicionalmente han aplicado espacios de aire para mantener los datos clasificados físicamente separados de cualquier conexión a Internet. Con la introducción de redes unidireccionales en algunos de estos entornos, puede existir cierto grado de conectividad de forma segura entre una red con datos clasificados y una red con conexión a Internet.
En el modelo de seguridad de Bell-LaPadula , los usuarios de un sistema informático solo pueden crear datos en o por encima de su propio nivel de seguridad. Esto se aplica en contextos donde existe una jerarquía de clasificaciones de información . Si los usuarios en cada nivel de seguridad comparten una máquina dedicada a ese nivel, y si las máquinas están conectadas por diodos de datos, las restricciones de Bell-Lapadula se pueden hacer cumplir rígidamente. [12]
Beneficios
Tradicionalmente, cuando la red de TI proporciona acceso al servidor DMZ para un usuario autorizado, los datos son vulnerables a las intrusiones de la red de TI. Sin embargo, con puertas de enlace unidireccionales que separan un lado crítico o una red OT con datos confidenciales de un lado abierto con conectividad comercial e Internet, normalmente una red de TI, las organizaciones pueden lograr lo mejor de ambos mundos, permitiendo la conectividad requerida y asegurando la seguridad. Esto es cierto incluso si la red de TI se ve comprometida, porque el control del flujo de tráfico es de naturaleza física. [13]
- No se informaron casos de diodos de datos que se desviaron o explotaron para permitir el tráfico bidireccional. [2]
- Costo de costo operativo a largo plazo (OPEX) más bajo ya que no hay reglas que mantener. Aunque habrá actualizaciones de software para instalar. A menudo, estos dispositivos deben ser mantenidos por los proveedores. [2]
- La capa de software unidireccional no se puede configurar para permitir el tráfico bidireccional debido a la desconexión física de la línea RX o TX. [2]
Debilidades
- En junio de 2015, las puertas de enlace unidireccionales aún no se usaban con frecuencia ni se entendían bien. [2]
- Las puertas de enlace unidireccionales no pueden enrutar la mayor parte del tráfico de red y rompen la mayoría de los protocolos. [2]
- Costo; Los diodos de datos eran originalmente costosos, aunque ahora se encuentran disponibles soluciones de menor costo.
- Los casos de uso específicos que requieren un flujo de datos bidireccional pueden ser difíciles de lograr.
Variaciones
La forma más simple de una red unidireccional es un enlace de red de fibra óptica modificado, con los transceptores de envío y recepción retirados o desconectados en una dirección, y los mecanismos de protección contra fallos de enlace desactivados. Algunos productos comerciales se basan en este diseño básico, pero agregan otra funcionalidad de software que proporciona a las aplicaciones una interfaz que les ayuda a pasar datos a través del enlace.
Los enlaces de diodos de datos totalmente ópticos pueden presentar una capacidad de canal mayor que su electrónica de conducción. En 2019, Controlled Interfaces demostró conectividad de enlace óptico unidireccional utilizando fibras ópticas y transceptores comerciales 100G Off The Shelf.
Otras ofertas comerciales más sofisticadas permiten la transferencia de datos unidireccional simultánea de múltiples protocolos que generalmente requieren enlaces bidireccionales. Las empresas alemanas INFODAS y GENUA tienen base ( "lógicos") diodos de datos de software desarrollados que utilizan un sistema operativo microkernel para asegurar la transferencia de datos unidireccional. Debido a la arquitectura del software, estas soluciones ofrecen mayor velocidad que los diodos de datos convencionales basados en hardware.
En 2018, Siemens Mobility lanzó una solución de puerta de enlace unidireccional de grado industrial en la que el diodo de datos, la Unidad de captura de datos , utiliza inducción electromagnética y un nuevo diseño de chip para lograr una evaluación de seguridad EBA , garantizando la conectividad segura de los sistemas críticos de seguridad nuevos y existentes hasta la integridad de la seguridad. nivel (SIL) 4 [14] para permitir un IoT seguro y proporcionar análisis de datos y otros servicios digitales alojados en la nube . [15]
El Laboratorio de Investigación Naval de los Estados Unidos (NRL) ha desarrollado su propia red unidireccional llamada Bomba de Red [16] . Esto es en muchos aspectos similar al trabajo de DSTO, excepto que permite un canal de retorno limitado que va del lado alto al lado bajo para la transmisión de acuses de recibo. Esta tecnología permite que se utilicen más protocolos en la red, pero introduce un canal encubierto potencial si tanto el lado alto como el lado bajo se ven comprometidos al retrasar artificialmente la sincronización del reconocimiento. [17]
Las diferentes implementaciones también tienen diferentes niveles de certificación y acreditación de terceros. Un guardia de dominio cruzado diseñado para su uso en un contexto militar puede tener o requerir una amplia certificación y acreditación de terceros. [18] Sin embargo, es posible que un diodo de datos destinado a uso industrial no tenga o no requiera certificación y acreditación de terceros, según la aplicación. [19]
Vendedores
- Advenica - Suecia [20]
- Arbit - Dinamarca [21]
- BAE Systems - EE.UU. / Reino Unido [22]
- Deepsecure - Reino Unido [23]
- Defender - Estados Unidos [24]
- Fox-IT - Países Bajos [25]
- Fibersystem - Suecia [26]
- GENUA - Alemania [27]
- Hirschmann - Estados Unidos [28]
- INFODAS - Alemania [29]
- Oakdoor de PA Consulting Group - Reino Unido [30]
- Defensa cibernética de OWL - EE. UU. [31]
- Siemens - Alemania [32]
- ST Engineering - Singapur [33]
- Vado - Israel [34]
- Cascada - Israel [35]
- WizLan : Israel [36]
- Rovenma Corp - Turquía [37]
- Bilge SGT - Turquía [38]
- Interfaces controladas - EE. UU. [39]
- Filbico - Polonia [40]
Ver también
- Modelo Bell-LaPadula para seguridad
- Grifo de red
- Sistema de detección de intrusos
- Punto final de comunicación asimétrica [41]
Referencias
- ^ a b "Mejora de la ciberseguridad del sistema de control industrial con estrategias de defensa en profundidad - Departamento de seguridad nacional de Estados Unidos" (PDF) .
- ^ a b c d e f "Diodos de datos tácticos del Instituto SANS en sistemas de control y automatización industrial" .
- ^ "Instituto Nacional de Estándares y Tecnología. Guía de Seguridad de Sistemas de Control Industrial (ICS)" (PDF) .
- ^ "Seguridad de IoT" .
- ^ a b "ANSSI - Ciberseguridad para sistemas de control industrial" (PDF) .
- ^ "Las directrices de seguridad alemanas VDMA Industrie 4.0 recomiendan el uso de diodos de datos para proteger los segmentos críticos de la red" (PDF) .
- ^ "Monitoreo en tiempo real" .
- ^ Oficina de gestión de información del gobierno australiano 2003, Asegurar sistemas con Starlight, Departamento de Finanzas y Administración, consultado el 14 de abril de 2011, [1] Archivado el 6 de abril de 2011 en Wayback Machine.
- ^ Wordsworth, C 1998, Comunicado de prensa: Minister Awards Pioneer in Computer Security, consultado el 14 de abril de 2011, [2] Archivado el 27 de marzo de 2011 en Wayback Machine.
- ^ Slay, J & Turnbull, B 2004, 'Los usos y limitaciones de los puentes de red unidireccionales en un entorno de comercio electrónico seguro', documento presentado en la Conferencia INC 2004, Plymouth, Reino Unido, 6 al 9 de julio de 2004
- ^ Douglas W. Jones y Tom C. Bowersox, Exportación segura de datos y auditoría mediante diodos de datos , Actas del Taller de tecnología de votación electrónica USENIX / ACCURATE 2006 , 1 de agosto de 2006, Vancouver.
- ^ Curt A. Nilsen, Método para transferir datos de una computadora sin garantía a una computadora protegida , Patente de Estados Unidos 5.703.562 , 30 de diciembre de 1997.
- ^ "Mejora de la ciberseguridad del sistema de control industrial con estrategias de defensa en profundidad - Departamento de Patria de los Estados Unidos" (PDF) .
- ^ "Siemens Data Capture Unit habilita servicios digitales" .
- ^ "Lo más destacado de Innotras 2018" .
- ^ http://www.nrl.navy.mil/itd/chacs/sites/edit-www.nrl.navy.mil.itd.chacs/files/files/networkPumpBrochure_0.pdf
- ^ Myong, HK, Moskowitz, IS & Chincheck, S 2005, 'La bomba: una década de diversión encubierta'
- ^ "Soluciones de dominio cruzado" . Lockheed Martin . Consultado el 6 de marzo de 2019 .
- ^ "Diodos de datos" . MicroArx . Consultado el 6 de marzo de 2019 .
- ^ "Diodo de datos SecuriCDS - Basado en hardware" .
- ^ "Arbit DataDiode - Basado en hardware" .
- ^ "Solución de diodos de datos - basada en hardware" .
- ^ "Data Diode - Basado en hardware" .
- ^ "Fend Data Diode - Basado en hardware" .
- ^ "Fox DataDiode - Basado en hardware" .
- ^ "Categoría: Diodos de datos" .
- ^ "Cyber-Diode - Basado en software" .
- ^ "Rail Data Diode - Basado en hardware" .
- ^ "Diodo SDoT - Basado en software" .
- ^ "Diodos de datos Oakdoor - Basado en hardware" .
- ^ "Diodos de datos OWL - Basado en hardware" .
- ^ "Unidad de captura de datos - Basado en inducción" .
- ^ "Diodo de datos de ingeniería ST / Diodo de datos DigiSAFE - Basado en hardware" .
- ^ "Diodo de datos de red - Basado en hardware" .
- ^ "Gateway de seguridad unidireccional - basado en hardware" .
- ^ "WSD & VIT Cyber Network Security - Basado en hardware" .
- ^ "Gateway de seguridad unidireccional - basado en hardware" .
- ^ "DataFlowX Next Generation Data Diode - Hardware & Software Integrated Turn Key Cross Domain Solution" .
- ^ "Soluciones de diodos de datos de hardware óptico de alto rendimiento utilizando electrónica COTS" .
- ^ "ZNO - Pasarela unidireccional de diodos de datos - Basado en hardware" .
- ^ https://firewalls.feuerbach.info
enlaces externos
- Documento del Instituto SANS sobre diodos de datos tácticos en sistemas de control y automatización industrial.
- Guía de seguridad de los sistemas de control industrial (ICS) Departamento de comercio de los Estados Unidos - Instituto Nacional de Estándares y tecnología sobre el uso de diodos de datos en sistemas de control industrial.
- Mejora de la seguridad cibernética del sistema de control industrial con estrategias de defensa en profundidad Departamento de Patria de los Estados Unidos - Equipo de respuesta a emergencias cibernéticas de sistemas de control industrial de seguridad sobre el uso de diodos de datos.
- Ciberseguridad reforzada por hardware para IoT industrial
- La Asociación Alemana de Ingeniería de Plantas y Maquinaria (VDMA) Industrie 4.0 Security Guidelines recomienda el uso de diodos de datos para proteger los segmentos críticos de la red.
- La asociación alemana de ingeniería de maquinaria e instalaciones (VDMA) IT Security in Industrie 4.0-Action fields for operadores recomienda el uso de diodos de datos en las zonas de transición.
- Uso de diodos de datos en la industria