Una red unidireccional (también conocida como puerta de enlace unidireccional o diodo de datos ) es un dispositivo o dispositivo de red que permite que los datos viajen en una sola dirección. Los diodos de datos se pueden encontrar más comúnmente en entornos de alta seguridad, como la defensa, donde sirven como conexiones entre dos o más redes de diferentes clasificaciones de seguridad. Dado el auge de la IoT industrial y la digitalización , esta tecnología ahora se puede encontrar en el nivel de control industrial para instalaciones como plantas de energía nuclear , generación de energía y sistemas críticos de seguridad como redes ferroviarias. [1]
Después de años de desarrollo, los diodos de datos han evolucionado desde ser solo un dispositivo o dispositivo de red que permite que los datos sin procesar viajen solo en una dirección, utilizados para garantizar la seguridad de la información o la protección de sistemas digitales críticos, como los sistemas de control industrial, de ataques cibernéticos entrantes, [2] [3] a combinaciones de hardware y software que se ejecutan en computadoras proxy en las redes de origen y destino. El hardware impone la unidireccionalidad física y el software replica las bases de datos y emula los servidores de protocolo para manejar la comunicación bidireccional. Los diodos de datos ahora son capaces de transferir múltiples protocolos y tipos de datos simultáneamente. Contiene una gama más amplia de funciones de ciberseguridad como arranque seguro , gestión de certificados, integridad de datos , corrección de errores de reenvío (FEC), comunicación segura a través de TLS , entre otros. Una característica única es que los datos se transfieren de forma determinista (a ubicaciones predeterminadas) con una "ruptura" de protocolo que permite que los datos se transfieran a través del diodo de datos.
Los diodos de datos se encuentran comúnmente en entornos militares y gubernamentales de alta seguridad, y ahora se están difundiendo ampliamente en sectores como petróleo y gas , agua/aguas residuales, aviones (entre unidades de control de vuelo y sistemas de entretenimiento en vuelo), fabricación y conectividad en la nube para IoT industrial . [4] Las nuevas regulaciones [5] han aumentado la demanda y, con una mayor capacidad, los principales proveedores de tecnología han reducido el costo de la tecnología central.
Los primeros diodos de datos fueron desarrollados por organizaciones gubernamentales en los años ochenta y noventa. Dado que estas organizaciones trabajan con información confidencial , garantizar la seguridad de su red es una de sus principales prioridades. Las principales soluciones que utilizaban estas organizaciones eran los huecos de aire. Pero, a medida que aumentaba la cantidad de datos transferibles y se volvía más importante un flujo de datos continuo y en tiempo real, estas organizaciones tuvieron que buscar una solución automatizada. [ cita requerida ]
En la búsqueda de una mayor estandarización, un número cada vez mayor de organizaciones comenzaron a buscar una solución que se adaptara mejor a sus actividades. Las soluciones comerciales creadas por organizaciones estables tuvieron éxito debido al nivel de seguridad y el soporte a largo plazo. [ cita requerida ]
En Estados Unidos, las empresas de servicios públicos y de petróleo y gas han utilizado diodos de datos durante varios años, y los reguladores han fomentado su uso para proteger equipos y procesos en sistemas instrumentados de seguridad (SIS) . La Comisión Reguladora Nuclear (NRC) ahora exige el uso de diodos de datos y muchos otros sectores, además del eléctrico y nuclear, también utilizan diodos de datos de manera efectiva. [1]
En Europa, los reguladores y operadores de varios sistemas críticos para la seguridad comenzaron a recomendar e implementar regulaciones sobre el uso de pasarelas unidireccionales. [6]
En 2013, el proyecto de Sistemas de Control Industrial de Ciberseguridad, dirigido por la Agencia Francesa de Seguridad de las Redes y de la Información ( ANSSI ), declaró prohibido el uso de cortafuegos para conectar cualquier red de clase 3, como los sistemas de conmutación ferroviaria, a una red de clase inferior o una red corporativa, permitiéndose únicamente la tecnología unidireccional. [5]
Los dispositivos de red unidireccionales se utilizan normalmente para garantizar la seguridad de la información o la protección de sistemas digitales críticos, como los sistemas de control industrial , frente a ataques cibernéticos. Si bien el uso de estos dispositivos es común en entornos de alta seguridad como la defensa, donde sirven como conexiones entre dos o más redes con diferentes clasificaciones de seguridad, la tecnología también se utiliza para imponer comunicaciones unidireccionales salientes desde sistemas digitales críticos a redes no confiables conectadas a Internet .
La naturaleza física de las redes unidireccionales sólo permite que los datos pasen de un lado de una conexión de red a otro, y no al revés. Esto puede ser desde el "lado bajo" o red no confiable, al "lado alto" o red confiable, o viceversa. En el primer caso, los datos en la red del lado alto se mantienen confidenciales y los usuarios conservan el acceso a los datos del lado bajo. [12] Esta funcionalidad puede ser atractiva si los datos sensibles se almacenan en una red que requiere conectividad con Internet : el lado alto puede recibir datos de Internet del lado bajo, pero ningún dato del lado alto es accesible a una intrusión basada en Internet. En el segundo caso, un sistema físico crítico para la seguridad puede hacerse accesible para monitoreo en línea, pero estar aislado de todos los ataques basados en Internet que podrían intentar causar daño físico. En ambos casos, la conexión sigue siendo unidireccional incluso si tanto la red baja como la alta se ven comprometidas, ya que las garantías de seguridad son de naturaleza física.
Existen dos modelos generales para utilizar conexiones de red unidireccionales. En el modelo clásico, el propósito del diodo de datos es evitar la exportación de datos clasificados desde una máquina segura y, al mismo tiempo, permitir la importación de datos desde una máquina insegura. En el modelo alternativo, el diodo se utiliza para permitir la exportación de datos desde una máquina protegida y, al mismo tiempo, evitar ataques a esa máquina. Estos se describen con más detalle a continuación.
Implica sistemas que deben estar protegidos contra ataques remotos o externos desde redes públicas mientras se publica información en dichas redes. Por ejemplo, un sistema de gestión electoral utilizado con votación electrónica debe poner los resultados electorales a disposición del público y, al mismo tiempo, debe ser inmune a los ataques. [13]
Este modelo es aplicable a una variedad de problemas de protección de infraestructura crítica , donde la protección de los datos en una red es menos importante que el control confiable y el funcionamiento correcto de la red. Por ejemplo, la población que vive aguas abajo de una presa necesita información actualizada sobre el caudal de salida, y la misma información es un insumo crítico para el sistema de control de las compuertas . En tal situación, es fundamental que el flujo de información sea desde el sistema de control seguro hacia la población, y no al revés.
La mayoría de las aplicaciones de redes unidireccionales en esta categoría se encuentran en el sector de defensa y en los contratistas de defensa. Estas organizaciones tradicionalmente han aplicado espacios de aire para mantener los datos clasificados separados físicamente de cualquier conexión a Internet. Con la introducción de redes unidireccionales en algunos de estos entornos, puede existir un cierto grado de conectividad de forma segura entre una red con datos clasificados y una red con una conexión a Internet.
En el modelo de seguridad de Bell-LaPadula , los usuarios de un sistema informático solo pueden crear datos en su nivel de seguridad o por encima de él. Esto se aplica en contextos en los que existe una jerarquía de clasificaciones de información . Si los usuarios de cada nivel de seguridad comparten una máquina dedicada a ese nivel, y si las máquinas están conectadas por diodos de datos, las restricciones de Bell-LaPadula se pueden aplicar de forma rígida. [14]
Tradicionalmente, cuando la red de TI proporciona acceso a un servidor DMZ a un usuario autorizado, los datos son vulnerables a intrusiones desde la red de TI. Sin embargo, con puertas de enlace unidireccionales que separan un lado crítico o red OT con datos confidenciales de un lado abierto con conectividad empresarial y de Internet, normalmente la red de TI, las organizaciones pueden lograr lo mejor de ambos mundos, permitiendo la conectividad necesaria y garantizando la seguridad. Esto es así incluso si la red de TI está comprometida, porque el control del flujo de tráfico es de naturaleza física. [15]
La forma más simple de una red unidireccional es un enlace de red de fibra óptica modificado, con transceptores de envío y recepción eliminados o desconectados para una dirección y cualquier mecanismo de protección contra fallas de enlace desactivado. Algunos productos comerciales se basan en este diseño básico, pero agregan otras funciones de software que brindan a las aplicaciones una interfaz que las ayuda a pasar datos a través del enlace. [ cita requerida ]
Los diodos de datos totalmente ópticos pueden admitir capacidades de canal muy altas y se encuentran entre los más simples. En 2019, Controlled Interfaces demostró su enlace de fibra óptica unidireccional (ahora patentado) utilizando transceptores comerciales listos para usar de 100 G en un par de plataformas de conmutación de red Arista. No se requiere software de controlador especializado.
Otras ofertas comerciales más sofisticadas permiten la transferencia simultánea de datos unidireccionales de múltiples protocolos que normalmente requieren enlaces bidireccionales. [ cita requerida ] Las empresas alemanas INFODAS y GENUA han desarrollado diodos de datos ("lógicos") basados en software que utilizan un sistema operativo Microkernel para garantizar la transferencia unidireccional de datos. Debido a la arquitectura del software, estas soluciones ofrecen mayor velocidad que los diodos de datos convencionales basados en hardware. [ cita requerida ]
ST Engineering ha desarrollado su propio Secure e-Application Gateway, que consta de múltiples diodos de datos y otros componentes de software, para permitir transacciones de servicios web HTTP(S) bidireccionales en tiempo real a través de Internet, al tiempo que protege las redes seguras tanto de inyecciones maliciosas como de fugas de datos. [16]
En 2018, Siemens Mobility lanzó una solución de puerta de enlace unidireccional de grado industrial en la que el diodo de datos, la unidad de captura de datos, utiliza inducción electromagnética y un nuevo diseño de chip para lograr una evaluación de seguridad EBA , garantizando una conectividad segura de sistemas críticos de seguridad nuevos y existentes hasta el nivel de integridad de seguridad (SIL) 4 [17] para permitir una IoT segura y proporcionar análisis de datos y otros servicios digitales alojados en la nube . [18]
En 2022, Fend Incorporated lanzó un diodo de datos capaz de actuar como una puerta de enlace Modbus con aislamiento óptico completo. Este diodo está dirigido a los mercados industriales y a la infraestructura crítica y sirve para unir la tecnología obsoleta con los sistemas de TI más nuevos. El diodo también funciona como un convertidor Modbus, con la capacidad de conectarse a sistemas RTU en serie en un lado y a sistemas TCP Ethernet en el otro. [ cita requerida ]
El Laboratorio de Investigación Naval de los Estados Unidos (NRL) ha desarrollado su propia red unidireccional llamada Network Pump. [19] En muchos sentidos, esta red es similar al trabajo de DSTO, excepto que permite un canal de retorno limitado que va del lado alto al lado bajo para la transmisión de reconocimientos. Esta tecnología permite utilizar más protocolos en la red, pero introduce un canal encubierto potencial si tanto el lado alto como el lado bajo se ven comprometidos al retrasar artificialmente el momento del reconocimiento. [20]
Las diferentes implementaciones también tienen distintos niveles de certificación y acreditación de terceros. Un protector de dominio cruzado destinado a su uso en un contexto militar puede tener o requerir una amplia certificación y acreditación de terceros. [21] Sin embargo, un diodo de datos destinado a un uso industrial puede no tener o no requerir ninguna certificación y acreditación de terceros, según la aplicación. [22]
{{cite web}}: CS1 maint: copia archivada como título ( enlace )