شبکه یک‌طرفه
یک شبکه یک جهته (که به آن دروازه یک طرفه یا دیود داده نیز می‌گویند) یک دستگاه شبکه می‌باشد که اجازه می‌دهد داده‌ها تنها در یک جهت حرکت کنند. دیودهای داده یا Data Diodes را بیشتر در محیط‌های با امنیت بالا می‌توان یافت، به عنوان مثال در مراکز دفاعی، این دستگاه به عنوان دو اتصال بین دو یا چند شبکه با کلاس‌های امنیتی متفاوت عمل می‌کند. با توجه به ظهور و رشد اینترنت اشیاء صنعتی و دیجیتالی شدن، این تکنولوژی را اکنون می‌توان در مقیاس‌های کنترل صنعتی برای تأسیساتی مانند نیروگاه‌های هسته ای، تولید برق، و سیستم‌های حیاتی ایمنی(safety critical systems) مانند شبکه‌های راه‌آهن مشاهده کرد.[۱]
پس از سالها توسعه، دیودهای داده از تنها یک ابزار شبکه و دستگاهی که به داده‌های خام تنها اجازه جرکت در حرکت را می‌داد، که در تضمین امنیت اطلاعات یا محافظت از سیستم‌های دیجیتال حیاتی، مانند محافظت از سیستم‌های کنترل صنعتی از حملات سایبری درونی[۲][۳] (inbound cyber attacks) تا ترکیبی از سخت‌افزار و نرم‌افزارهایی که در پراکسی سرورها در شبکه مبدأ و مقصد استفاده می‌شود، تبدیل شده‌است. سخت‌افزار انتقال داده در یک حهت را از منظر فیزیکی اعمال می‌کند و نرم‌افزار از پایگاه داده‌ها رونوشت ایجاد کرده و پروتکل‌های سرور را برای مدیریت ارتباطات دو طرفه آماده می‌کند. دیودهای داده اکنون قادرند که نوع‌های داده مختلف را تحت چندین پروتکل به‌طور همزمان انتقال دهند. این شامل طیف گسترده‌ای از قابلیت و ویژگی‌های امنیت سایبری مانند راه‌اندازی امن (secure boot)، مدیریت گواهی، یکپارچگی داده‌ها، تصحیح خطای رو به جلو (forward error correction - FEC)، ارتباط امن از طریق TLS و غیره می‌باشد. یک ویژگی محنصر بفرد دیودهای داده این است که داده‌ها به‌طور قطعی (به مکان‌های از پیش تعیین شده) توسط یک پروتکل "شکست" یا "break" انتقال داده می‌شوند که به داده‌ها اجازه می‌دهند تا از طریق دیود داده منتقل شوند.
دیودهای داده به‌طور معمول در محیط‌های نظامی و دولتی با با امنیت بالا پیدا می‌شوند و اکنون نیز در حال گسترش به بخش‌هایی مانند نفت و گاز، آب/فاضلاب، هواپیماها (بین واحدهای کنترل پرواز و سیستم‌های سرگرمی داخل پرواز)، تولید و اتصال ابری اینترنت اشیا صنعتی می‌باشند.[۴] مقررات جدید[۵] تقاضاها را افزایش داده و با افزایش ظرفیت، فروشندگان عمده فناوری و تکنولوژی هزینه فناوری اصلی مورد نیاز را کاهش داده‌اند.
تاریخچه[ویرایش]
اولین دیودهای داده توسط سازمان‌های دولتی در دهه‌های هشتاد و نود میلادی ساخته شد. به دلیل اینکه این سازمان‌ها با اطلاعات محرمانه کار می‌کنند، اطمینان ا امن بودن شبکه آنها از بالاترین اولویت‌های آنها می‌باشد. راه حل‌های اولیه که توسط این سارمان‌ها مورد اسافتاده قرار می‌گرفت، شکاف‌های هوایی یا air gaps بود. اما با افزایش مقدار داده‌های قابل انتقال و پراهمیت تر شدن ارتباط‌ها و جریان‌های داده پیوسته و بی درنگ (real-time)، این سازمان‌ها مجبور بودند که به دنبال یک راه حل اتوماتیک باشند.
به دنبال استانداردسازی‌های بیشتر، سازمان‌ها و نهادهای بیشتری به دنبال راه حل‌های بهتری گشتند تا گزینه بهتر و مناسب تری برای فعالیت‌ها و نیازهای آنها باشد. راه حل‌های تجاری ایجاد شده توسط‌های سازمان‌های پایدار و بزرگ، با توجه به سطح امنیت و پشتیبانی طولانی مدن موفق شدند.
در ایالات متحده، شرکت‌های اب، برق، نفت و گاز برای برای سال‌های طولانی از دیودها داده استفاده می‌کردند، تنظیم کننده‌ها و ناظران نیز استفاده از آنها را برای محافظت از تجهیزات و فرایندهای SIS تشویق کرده‌اند. کمسیون تنظیم مقررات هسته ای (NRC) نیز اکنون استفاده از دیودهای داده را اجباری کرده‌است. علاوه بر تأسیسات هسته ای و برق خیلی بخش‌های دیگر نیز از دیودهای داده به‌طور مؤثر استفاده می‌کنند.[۱]
در اروپا، تنظیم‌کننده‌ها و اپراتورهای چندین سیستم حیاتی ایمنی(safety-critical systems) شروع به توصیه و اجرای مقررات در مورد استفاده از دروازه‌های یک طرفه همانند دیودهای یک طرفه کرده‌اند.[۶]
در سال ۲۰۱۳، سیستم کنترل صنعتی امنیت سایبری، توسط آژانس امنیت شبکه و اطلاعات فرانسه (ANSSI) اعلام کرد که استفاده از فایروال یا دیوار آتش برای اتصال هر شبکه کلاس ۳، مانند سیستم‌های سوییچینگ راه‌آهن، به یک شبکه کلاس پایینتر یا شبکه شرکتی ممنوع است و تنها باید از فناوری یک طرفه مانند دیودهای داده استفاده کرد.[۵]
کاربردها[ویرایش]
- نظارت بی درنگ بر شبکه‌های حیاتی ایمنی (safety-critical)
- OT امن - IT Bridge
- اتصال ابری ایمن شبکه‌های OT حیاتی (OT networks)
- تکثیر و رونوشت پایگاه داده
- داده کاوی
- راه‌حل‌های میزبانی ابری ترکیبی و بک‌اند مورد اعتماد (خصوصی / عمومی)
- تبادل امن داده برای بازارهای داده
- تأمین اعتبارسنجی / گواهی امن
- به اشتراک گذاری امن پایگاه داده‌های متقابل
- چاپ ایمن از یک شبکه با امنیت کمتر به یک شبکه با امنیت بالاتر (کاهش هزینه چاپ)
- انتقال به‌روزرسانی‌های برنامه‌ها و سیستم‌عامل از شبکه‌ای با امنیت کمتر به شبکه‌ای با امنیت بالا
- همگام سازی زمان در شبکه‌های بسیار امن
- انتقال فایل (File transfer)
- رسانه جاری (استریم ویدیو)
- ارسال/دریافت هشدار یا آلارم از شبکه‌های باز به حیاتی/محرمانه[۷]
- ارسال/دریافت ایمیل از شبکه‌های باز به شبکه‌های حساس/محرمانه
- دولت[۸]
- شرکت‌های تجاری[۹]
استفاده[ویرایش]
دستگاه‌های شبکه یک طرفه مانند دیودها داده معمولاً برای تضمین کردن امنیت اطلاعات یا محافظت از سیستم‌های دیجیتال حیاتی، مانند سیستم‌های کنترل صنعتی که در برابر حمله‌های سایبری قرار می‌گیرند، استفاده می‌شود. در حالی که استفاده از این دستگاه‌ها در محیط‌های با امنیت بالا مانند دفاع و جاهایی که آنها به عنوان اتصال میان دو یا چند شبکه با طبقه‌بندی‌های امنیتی مختلف عمل می‌کنند رایج است. این تکنولوژی همچنین برای اعمال ارتباطات یک طرفه خروجی از سیستم‌های دیجیتال حیاتی به شبکه‌های غیرقابل اعتماد که به اینترنت متصل شده‌اند استفاده می‌شود.
ماهیت و ذات فیزیکی شبکه‌های یک طرفه این است که به داده‌ها اجازه می‌دهند تا تنها از یک طرف شبکه به طرف دیگر اتصال منتقل می‌شوند و در جهت عکس داده‌ای نمی‌تواند منتقل شود. این انتقال می‌تواند از سمت بودن اعتماد به طرف شبکه مورد اعتماد و امن باشد یا برعکس. در حالت اول، داده در سمت مورد اعتماد ما به‌طور محرمانه نگهداری می‌شود و دسترسی کاربران به داده‌ها از سمت پایین شبکه و نه قسمت محرمانه می‌باشد.[۱۰] این گونه عملکرد در شبکه‌هایی که داده‌های حساس آن نیازمند اتصال به اینترنت می‌باشند، می‌تواند جذاب باشند: سمت بالا و امن می‌تواند داده‌های اینترنت را از سمت پایین دریافت کند اما به هیچ داده‌ای از طرف بالا نمی‌توان از طرف اینترنت دسترسی داشت. در حالت دوم، یک سستم فیزیکی حیانتی می‌تواند می‌تواند برای مونیتور شدن و نظارت آنلاین قابل دسترسی باشد، اما در برابر تمام حملات مبتنی بر اینترنت که ممکن است آسیب فیزیکی به سیستم وارد شود ایزوله باشد. در هر دو حالت، ارتصال موجود به صورت یک طرفه باقی می‌ماند حتی اگر هر دو طرف شبکه به خطر بیفتند، زیرا ضمانت‌هایی که در داده‌ها را در این شبکه انتقال می‌دهند، ماهیت فیزیکی دارند.
دو مدل کلی برای استفاده از ارتباطات شبکه یک طرفه وجود دارد. در مدل کلاسیک، هدف دیودهای داده جلوگیری از خارج شدن اطلاعات محرمانه و طبقه‌بندی شده از یک ماشین امن می‌باشد در حالی که اجازه می‌دهد تا اطلاعات از دستگاه‌های نا امن وارد شوند. در مدل دوم و جایگزین، دیود اجازه می‌دهد تا داده‌ها از یک ماشین محافظت شده خارج شوند در حالی که از مورد حمله قرار گرفتن آن ماشین جلوگیری می‌شود. این دو مدل در بخش‌های پایین به‌طور جزئی توضیح داده شده‌اند.
جریان یک طرفه به سیستم‌های کمتر امن[ویرایش]
جریان یک طرفه به سیستم‌های با امنیت کمتر شامل سیستم‌هایی است که باید در برابر حملات راه دور/خارجی که از شبکه‌های عمومی که داده‌ها و اطلاعات را به آنها منتشر می‌کنند، ایمن باشند. به عنوان مثال، یک سیستم مدیریت انتخاباب که از رای‌گیری الکترونیکی استفاده می‌شود را در نظر بگیرید، این سیستم باید نتایج انتخابات را در دسترس عموم قرار دهد در حالی باید از حمله در امان باشد.[۱۱]
این مدل برای انواع مشکلات حفاظت از زیرساخت‌های حیاتی، که در آن حفاظت از داده‌ها در یک شبکه اهمیت کمتری نسبت به کنترل قابل اعتماد و عملکرد صحیح شبکه دارد، قابل استفاده و مناسب است. به عنوان مثال، مردمی که در پایین دست یک سد زندگی می‌کنند به اطلاعات به روز در مورد جریان خروجی نیاز دارند و همین اطلاعات یک ورودی حیاتی برای سیستم کنترل برای سیل‌بندها است. در چنین شرایطی، بسیار مهم است که جریان اطلاعات از سیستم کنترل امن به عموم باشد و نه برعکس.
جریان یک طرفه به سیستم‌های امن تر[ویرایش]
اکثر کاربردهای شبکه‌های یک طرفه در این دسته مربوط به دفاع و پیمانکاران دفاعی می‌باشد. این سازمان‌ها به‌طور سنتی از شکاف‌های هوایی (air gaps) استفاده می‌کنند تا داده‌های طبقه‌بندی شده و محرمانه را به‌طور فیزیکی از هرگونه ارتباطات با اینترنت جدا کنند. با معرفی شبکه‌های یک طرفه در برخی از این محیط‌های دفاعی، درحه ای از اتصال می‌تواند به‌طور ایمن بین یک شبکه که دارای اطالاعات طبقه‌بندی شده و محرمانه می‌باشد و یک شبکه با اتصال به اینترنت وجود داشته باشد.
در مدل امنیتی Bell-LaPadula، کاربران یک سیستم کامپیوتری تنها می‌توانند داده‌ها را در سطح امنیتی خود یا بالاتر از آن ایجاد کنند. این در زمینه‌هایی که سلسه مراتبی از طبقه‌بندی اطلاعات وجود دارد اعمال می‌شود. اگر هر کاربر در هر سطح امنیتی یک ماشین اختصاصی داده شده به آن سطح را به اشتراک بگذارند و اگر ماشین‌ها توسط دیودها داده به یکدیگر متصل شده باشند محدودیت‌های مدل Bell-Lapadula را می‌توان به شدت اعمال کرد.[۱۲]
فواید[ویرایش]
به‌طور سنتی، زمانی که شبکه IT دسترسی به سرور DMZ را برای یک کاربر که احراز هویت شده‌است را فراهم می‌کند، داده‌ها در برابر نفوذ توسط شبکه IT آسیب‌پذیر هستند. اگرچه، با یک دروازه یک طرفه که یک بخش حیاتی شبکه OT یا OT network با داده‌های حساس را از یک بخش باز با اتصال‌های تجاری و ایترنت جدا می‌کند، معمولاً شبکه‌های IT و سازمان‌ها می‌توانند هر دو نیازها خود را در بهترین حالت ممکن برطرف کنند به طوری هم اتصال‌های مورد نیاز خود را دارند و هم از مورد امنیت داده‌ها، اطمینان دارند. این امر حتی اگر شبکه IT ما در معرض خطر قرار گیرد نیز برقرار است، زیرا کنترل جریان ترافیک در این روش ماهیت فیزیکی دارد.[۱۳]
- هیچ موردی از دور زدن یا سوء استفاده از دیودهای داده برای فعال کردن ترافیک دو طرفه گزارش نشده‌است.[۲]
- هزینه پایینتر عملیات بلندمدت (OPEX) به میزانی است به طوری قوانینی برای نگهداری و تعمیر وجود ندارد. اگرچه به روز رسانی‌های نرم‌افزاری برای نصب وجود خواهد داشت. اغلب این دستگاه‌ها باید توسط فروشندگان نگهداری شوند.[۲]
- لایه نرم‌افزار تک جهتی را نمی‌توان به گونه ای پیکربندی کرد که به دلیل قطع فیزیکی خط RX یا TX به ترافیک دو طرفه اجازه دهد.[۲]
نقاط ضعف[ویرایش]
- تا ژوئن ۲۰۱۵، دروازه‌های یک طرفه هنوز به‌طور رایج مورد استفاده قرار نگرفته یا به خوبی شناخته نشده‌اند.[۲]
- دروازه‌های یک طرفه قادر به مسیریابی اکثر ترافیک شبکه و شکستن(break) اکثر پروتکل‌ها نیستند.[۲]
- هزینه؛ دیودهای داده در ابتدا گران بودند، اگرچه راه‌حل‌های کم‌هزینه‌تر اکنون در دسترس هستند.
- موارد استفاده خاص که نیاز به یک جریان داده دو طرفه دارند ممکن است دشوار باشد.
تغییرات[ویرایش]
ساده‌ترین شکل یک شبکه یک طرفه، یک پیوند شبکه فیبر نوری اصلاح شده‌است که فرستنده-گیرنده آن برای ارسال در دریافت از یک جهت قطع یا برداشته شده‌اند و هر مکانیزم حفاظت از شکست لینک (link failure protection mechanisms) غیرفعال شده‌است. برخی از محصولات تجاری بر اساس همین طراحی پایه ای ساخته شده‌اند، اما دیگر قابلیت‌های نرم‌افزاری به آن اضافه شده‌است که نرم‌افزارهای کاربردی‌ها با واسط‌ها یا interfaceهایی فراهم کند و به آنها اجازه دهد تا داده‌ها بر روی لینک‌ها منتقل کنند.
دیودهای داده تمام نوری ظرفیت‌های بسیار بالایی را می‌توانند پشتبانی کنند و در میان ساده‌ترین طراحی‌ها قرار دارند. در سال ۲۰۱۹، Controlled Interfaces پیوند یا لینک فیبر نوری یک طرفه خود را با استفاده از فرستنده-گیرنده 100G Commercial Off The Shelf در یک جفت پلتفرم سوئیچ شبکه Arista معرفی کرد و هیچ نرم‌افزار یا درایور تخصصی برای استفاده مورد نیاز نیست.
دیگر پیشنهادهای تجاری پیچیده‌تر انتقال همزمان داده یک طرفه توسط پروتکل‌های متعدد و مختلف را امکان‌پذیر می‌کنند که معمولاً به پیوندهای دو طرفه نیاز دارند. شرکت‌های آلمانی INFODAS و GENUA دیودهای داده مبتنی بر نرم‌افزار ("منطقی") را توسعه داده‌اند که از یک سیستم عامل به مدل میکروکرنل استفاده می‌کند تا اطمینان حاصل شود که داده‌ها تنها در یک جهت حرکت می‌کنند. با توجه به معماری نرم‌افزاری این راه حل‌ها سرعت بالاتری را نسبت به دیودها داده مبتنی بر سخت‌افزار ارائه می‌دهند.
ST Engineering، دروازه برنامه الکترونیکی امن خود را متشکل از چندین دیود داده و سایر مولفه‌های نرم‌افزاری توسعه داده‌است، تا تراکنش‌های دو طرفه HTTP(S) را به صورت بی درنگ از طریق اینترنت فعال کند و در عین حال باید از شبکه‌های ایمن در برابر تزریق (inject)های مخرب و نشت داده‌ها محافظت کند.[۱۴]
در سال ۲۰۱۸، زیمنس موبیلیتی یک راه حل برای دروازه یک طرفه با درجه صنعتی را منتشر کرد که در آن دیودهای داده از القای الکترومغناطیس و طراحی جدید تراشه استفاده می‌کرد تا بتوان به ارزیابی امنیتی EBA دست یافت و اتصالی ایمن برای سیستم‌های ایمنی حیاتی جدید و موجود تا سطح یکپارچگی ایمنی (Safety integrity level (SIL)[۱۵]) تضمین شود و بدین سبب شرایط اینترنت اشیا ایمن و تجزیه و تحلیل داده و دیگر خدمات دیجیتال میزبان‌های ابری فراهم شود.[۱۶]
آزمایشگاه تحقیقات دریایی ایالات متحده (NRL) شبکه یک طرفه خود را به نام پمپ شبکه[۱۷] توسعه داده‌است این شبکه یک طرفه از خیلی جهات شبیه به کار DSTO می‌باشد، با این تفاوت که به یک کانال پشنی محدود اجازه می‌دهد تا از سمت بالا و ایمن شبکه به سمت پایینتر برای انتقال acknowledgementها حرکت کند. این تکنولوژی اجازه می‌دهد تا پروتکل‌های بیشتری در شبکه استفاده شود، اما اگر هردو طرف بالا و پایین شبکه از طریق تأخیر مصنوعی زمان تأیید به خطر بیفتند، یک کانال مخفی بالقوه را معرفی می‌کند.[۱۸]
پیاده‌سازی‌های متفاوت دارای سطوح متفاوتی از گواهینامه و اعتبار سنجی شخص ثالت می‌باشند. یک محافظ متقاطع دامنه (cross-domain) که برای استفاده در زمینه‌های در نظر گرفته شده‌است ممکن است دارای گواهینامه و اعتبار سنجی‌های زیادی نیاز داشته باشد.[۱۹] با این حال، یک دیود داده که برای مصارف صنعتی طراحی و در نظر گرفته شده‌است، بسته به کاربرد آن ممکن است اصلاً نیازی به تاییدیه شخص ثالث و گواهینامه نداشته باشد.[۲۰]
فروشندگان قابل توجه[ویرایش]
- BAE Systems - ایالات متحده / انگلستان
- زیمنس - آلمان
- ST Engineering - سنگاپور
- OWL CyberDefense - ایالات متحده
- Fend Incorporated - ایالات متحده
- امنیت آبشار - اسرائیل
جستارهای وابسته[ویرایش]
- مدل بل-لاپادولا برای امنیت
- شیر شبکه
- سیستم تشخیص نفوذ
منابع[ویرایش]
- ↑ ۱٫۰ ۱٫۱ "Improving Industrial Control System Cybersecurity with Defense-in-Depth Strategies - United States Department of Homeland Security" (PDF).
- ↑ ۲٫۰ ۲٫۱ ۲٫۲ ۲٫۳ ۲٫۴ ۲٫۵ "SANS Institute Tactical Data Diodes in Industrial Automation and Control Systems".
- ↑ "National Institute of Standards and technology. Guide to Industrial Control Systems (ICS) Security" (PDF).
- ↑ "IoT Security".
- ↑ ۵٫۰ ۵٫۱ "ANSSI - Cybersecurity for Industrial Control Systems" (PDF).
- ↑ "German VDMA Industrie 4.0 Security Guidelines recommends the use of data diodes to protect critical network segments" (PDF). Archived from the original (PDF) on 1 April 2022. Retrieved 20 May 2022.
- ↑ "Real-time Monitoring". Archived from the original on 16 April 2019. Retrieved 20 May 2022.
- ↑ Australian Government Information Management Office 2003, Securing systems with Starlight, Department of Finance and Administration, viewed 14 April 2011, «نسخه آرشیو شده». بایگانی‌شده از اصلی در ۶ آوریل ۲۰۱۱. دریافت‌شده در ۲۰ مه ۲۰۲۲.
- ↑ Wordsworth, C 1998, Media Release: Minister Awards Pioneer In Computer Security, viewed 14 April 2011, «نسخه آرشیو شده». بایگانی‌شده از اصلی در ۲۷ مارس ۲۰۱۱. دریافت‌شده در ۲۰ مه ۲۰۲۲.
- ↑ Slay, J & Turnbull, B 2004, 'The Uses and Limitations of Unidirectional Network Bridges in a Secure Electronic Commerce Environment', paper presented at the INC 2004 Conference, Plymouth, UK, 6–9 July 2004
- ↑ Douglas W. Jones and Tom C. Bowersox, Secure Data Export and Auditing Using Data Diodes, Proceedings of the 2006 USENIX/ACCURATE Electronic Voting Technology Workshop, 1 August 2006, Vancouver.
- ↑ Curt A. Nilsen, Method for Transferring Data from an Unsecured Computer to a Secured Computer, U.S. Patent 5,703,562, 30 December 1997.
- ↑ "Improving Industrial Control System Cybersecurity with Defense-in-Depth Strategies - United States Department of Homeland" (PDF).
- ↑ "ST Engineering Data Diode in Industries" (PDF). Archived from the original (PDF) on 19 May 2022. Retrieved 20 May 2022.
- ↑ "Siemens Data Capture Unit enables digital services".
- ↑ "Innotras 2018 highlights".
- ↑ «نسخه آرشیو شده» (PDF). بایگانی‌شده از اصلی (PDF) در ۱۱ نوامبر ۲۰۲۰. دریافت‌شده در ۲۰ مه ۲۰۲۲.
- ↑ Myong, HK, Moskowitz, IS & Chincheck, S 2005, 'The Pump: A Decade of Covert Fun'
- ↑ "Cross-Domain Solutions". Lockheed Martin. Archived from the original on 23 May 2021. Retrieved 2019-03-06.
- ↑ "Data Diodes". MicroArx (به انگلیسی). Archived from the original on 17 August 2021. Retrieved 2019-03-06.
- مقاله مؤسسه SANS در مورد دیودهای داده تاکتیکی در اتوماسیون صنعتی و سیستم‌های کنترل.
- راهنمای امنیت سیستم‌های کنترل صنعتی (ICS) وزارت بازرگانی ایالات متحده - مؤسسه ملی استانداردها و فناوری در مورد استفاده از دیودهای داده در سیستم‌های کنترل صنعتی.
- بهبود امنیت سایبری سیستم کنترل صنعتی با استراتژی‌های دفاعی عمیق وزارت کشور ایالات متحده - سیستم‌های کنترل صنعتی امنیتی تیم واکنش اضطراری سایبری در استفاده از دیود داده.