Una red unidireccional (también conocida como puerta de enlace unidireccional o diodo de datos ) es un dispositivo o dispositivo de red que permite que los datos viajen en una sola dirección. Los diodos de datos se pueden encontrar más comúnmente en entornos de alta seguridad, como la defensa, donde sirven como conexiones entre dos o más redes de diferentes clasificaciones de seguridad. Dado el auge de la IoT industrial y la digitalización , esta tecnología ahora se puede encontrar a nivel de control industrial para instalaciones como plantas de energía nuclear , generación de energía y sistemas críticos para la seguridad como las redes ferroviarias. [1]
Después de años de desarrollo, los diodos de datos han pasado de ser solo un dispositivo o dispositivo de red que permitía que los datos sin procesar viajen en una sola dirección, y se utilizan para garantizar la seguridad de la información o la protección de sistemas digitales críticos, como los sistemas de control industrial, contra ataques cibernéticos entrantes. [2] [3] a combinaciones de hardware y software que se ejecutan en computadoras proxy en las redes de origen y destino. El hardware impone la unidireccionalidad física y el software replica bases de datos y emula servidores de protocolos para manejar la comunicación bidireccional. Los diodos de datos ahora son capaces de transferir múltiples protocolos y tipos de datos simultáneamente. Contiene una gama más amplia de funciones de ciberseguridad como arranque seguro , administración de certificados, integridad de datos , corrección de errores de reenvío (FEC), comunicación segura vía TLS , entre otras. Una característica única es que los datos se transfieren de manera determinista (a ubicaciones predeterminadas) con una "ruptura" de protocolo que permite que los datos se transfieran a través del diodo de datos.
Los diodos de datos se encuentran comúnmente en entornos militares y gubernamentales de alta seguridad, y ahora se están generalizando en sectores como petróleo y gas , agua/aguas residuales, aviones (entre unidades de control de vuelo y sistemas de entretenimiento a bordo), manufactura y conectividad en la nube para aplicaciones industriales. IoT . [4] Las nuevas regulaciones [5] han aumentado la demanda y con una mayor capacidad, los principales proveedores de tecnología han reducido el costo de la tecnología central.
Los primeros diodos de datos fueron desarrollados por organizaciones gubernamentales en los años ochenta y noventa. Debido a que estas organizaciones trabajan con información confidencial , asegurarse de que su red sea segura es la máxima prioridad. Las principales soluciones utilizadas por estas organizaciones fueron las brechas de aire. Pero, a medida que aumentó la cantidad de datos transferibles y un flujo de datos continuo y en tiempo real se volvió más importante, estas organizaciones tuvieron que buscar una solución automatizada. [ cita necesaria ]
En la búsqueda de una mayor estandarización, un número cada vez mayor de organizaciones comenzó a buscar una solución que se adaptara mejor a sus actividades. Las soluciones comerciales creadas por organizaciones estables tuvieron éxito dado el nivel de seguridad y soporte a largo plazo. [ cita necesaria ]
En Estados Unidos, las empresas de servicios públicos y de petróleo y gas han utilizado diodos de datos durante varios años, y los reguladores han fomentado su uso para proteger equipos y procesos en sistemas instrumentados de seguridad (SIS) . La Comisión Reguladora Nuclear (NRC) ahora exige el uso de diodos de datos y muchos otros sectores, además del eléctrico y nuclear, también utilizan diodos de datos de manera efectiva. [1]
En Europa, los reguladores y operadores de varios sistemas críticos para la seguridad comenzaron a recomendar e implementar regulaciones sobre el uso de pasarelas unidireccionales. [6]
En 2013, el Sistema de Control Industrial Ciberseguridad, dirigido por la Agencia Francesa de Seguridad de las Redes y de la Información ( ANSSI ), declaró que está prohibido utilizar cortafuegos para conectar cualquier red de clase 3, como los sistemas de conmutación ferroviaria, a una red de clase inferior o a una red corporativa. , sólo se permite la tecnología unidireccional. [5]
Los dispositivos de red unidireccionales se suelen utilizar para garantizar la seguridad de la información o la protección de sistemas digitales críticos, como los sistemas de control industrial , frente a ciberataques. Si bien el uso de estos dispositivos es común en entornos de alta seguridad como el de defensa, donde sirven como conexiones entre dos o más redes de diferentes clasificaciones de seguridad, la tecnología también se utiliza para imponer comunicaciones unidireccionales salientes desde sistemas digitales críticos hacia redes no confiables. conectado a Internet .
La naturaleza física de las redes unidireccionales sólo permite que los datos pasen de un lado de una conexión de red a otro, y no al revés. Esto puede ser desde el "lado bajo" o red no confiable, hasta el "lado alto" o red confiable, o viceversa. En el primer caso, los datos de la red del lado alto se mantienen confidenciales y los usuarios conservan el acceso a los datos del lado bajo. [12] Esta funcionalidad puede resultar atractiva si los datos confidenciales se almacenan en una red que requiere conectividad con Internet : el lado alto puede recibir datos de Internet desde el lado bajo, pero ningún dato del lado alto es accesible a la intrusión basada en Internet. En el segundo caso, se puede hacer accesible un sistema físico de seguridad crítica para el monitoreo en línea y, al mismo tiempo, estar aislado de todos los ataques basados en Internet que podrían intentar causar daños físicos. En ambos casos, la conexión sigue siendo unidireccional incluso si tanto la red baja como la alta están comprometidas, ya que las garantías de seguridad son de naturaleza física.
Hay dos modelos generales para utilizar conexiones de red unidireccionales. En el modelo clásico, el propósito del diodo de datos es evitar la exportación de datos clasificados desde una máquina segura y al mismo tiempo permitir la importación de datos desde una máquina insegura. En el modelo alternativo, el diodo se utiliza para permitir la exportación de datos desde una máquina protegida y al mismo tiempo evitar ataques a esa máquina. Estos se describen con más detalle a continuación.
Implica sistemas que deben protegerse contra ataques remotos/externos desde redes públicas mientras se publica información en dichas redes. Por ejemplo, un sistema de gestión electoral utilizado con votación electrónica debe poner los resultados electorales a disposición del público y, al mismo tiempo, debe ser inmune a los ataques. [13]
Este modelo es aplicable a una variedad de problemas de protección de infraestructura crítica , donde la protección de los datos en una red es menos importante que el control confiable y el funcionamiento correcto de la red. Por ejemplo, el público que vive aguas abajo de una presa necesita información actualizada sobre el caudal de salida, y la misma información es un aporte fundamental para el sistema de control de las compuertas . En tal situación, es fundamental que el flujo de información sea del sistema de control seguro al público, y no al revés.
La mayoría de las aplicaciones de red unidireccionales en esta categoría se encuentran en defensa y en contratistas de defensa. Estas organizaciones tradicionalmente han aplicado espacios de aire para mantener los datos clasificados físicamente separados de cualquier conexión a Internet. Con la introducción de redes unidireccionales en algunos de estos entornos, puede existir cierto grado de conectividad de forma segura entre una red con datos clasificados y una red con conexión a Internet.
En el modelo de seguridad de Bell-LaPadula , los usuarios de un sistema informático sólo pueden crear datos en su propio nivel de seguridad o por encima de él. Esto se aplica en contextos donde existe una jerarquía de clasificaciones de información . Si los usuarios de cada nivel de seguridad comparten una máquina dedicada a ese nivel, y si las máquinas están conectadas mediante diodos de datos, las restricciones de Bell-LaPadula se pueden aplicar de forma rígida. [14]
Tradicionalmente, cuando la red de TI proporciona acceso al servidor DMZ para un usuario autorizado, los datos son vulnerables a intrusiones desde la red de TI. Sin embargo, con puertas de enlace unidireccionales que separan un lado crítico o red OT con datos confidenciales de un lado abierto con conectividad empresarial y a Internet, normalmente una red de TI, las organizaciones pueden lograr lo mejor de ambos mundos, permitiendo la conectividad requerida y garantizando la seguridad. Esto es válido incluso si la red de TI está comprometida, porque el control del flujo de tráfico es de naturaleza física. [15]
La forma más simple de una red unidireccional es un enlace de red de fibra óptica modificado, con transceptores de envío y recepción eliminados o desconectados para una dirección, y cualquier mecanismo de protección contra fallas de enlace deshabilitado. Algunos productos comerciales se basan en este diseño básico, pero añaden otras funciones de software que proporcionan a las aplicaciones una interfaz que les ayuda a pasar datos a través del enlace. [ cita necesaria ]
Los diodos de datos totalmente ópticos pueden admitir capacidades de canal muy altas y se encuentran entre los más simples. En 2019, Controlled Interfaces demostró su enlace de fibra óptica unidireccional (ahora patentado) utilizando transceptores comerciales de 100G disponibles en el mercado en un par de plataformas de conmutación de red Arista. No se requiere ningún software de controlador especializado.
Otras ofertas comerciales más sofisticadas permiten la transferencia de datos unidireccional simultánea de múltiples protocolos que normalmente requieren enlaces bidireccionales. [ cita necesaria ] Las empresas alemanas INFODAS y GENUA han desarrollado diodos de datos ("lógicos") basados en software que utilizan un sistema operativo Microkernel para garantizar la transferencia de datos unidireccional. Debido a la arquitectura del software, estas soluciones ofrecen mayor velocidad que los diodos de datos basados en hardware convencional. [ cita necesaria ]
ST Engineering , ha desarrollado su propio Secure e-Application Gateway, que consta de múltiples diodos de datos y otros componentes de software, para permitir transacciones de servicios web HTTP(S) bidireccionales en tiempo real a través de Internet mientras protege las redes seguras de ambos ataques maliciosos. y fuga de datos. [16]
En 2018, Siemens Mobility lanzó una solución de puerta de enlace unidireccional de grado industrial en la que el diodo de datos, la Unidad de captura de datos, utiliza inducción electromagnética y un nuevo diseño de chip para lograr una evaluación de seguridad EBA , garantizando una conectividad segura de sistemas críticos de seguridad nuevos y existentes hasta la integridad de la seguridad. nivel (SIL) 4 [17] para habilitar IoT seguro y proporcionar análisis de datos y otros servicios digitales alojados en la nube . [18]
En 2022, Fend Incorporated lanzó un diodo de datos capaz de actuar como una puerta de enlace Modbus con aislamiento óptico completo. Este diodo está dirigido a mercados industriales e infraestructuras críticas que sirven para unir tecnología obsoleta con sistemas de TI más nuevos. El diodo también funciona como un convertidor Modbus, con la capacidad de conectarse a sistemas RTU en serie por un lado y a sistemas Ethernet TCP por el otro. [ cita necesaria ]
El Laboratorio de Investigación Naval de EE. UU. (NRL) ha desarrollado su propia red unidireccional llamada Network Pump. [19] Esto es en muchos aspectos similar al trabajo de DSTO, excepto que permite un canal trasero limitado que va del lado alto al lado bajo para la transmisión de acuses de recibo. Esta tecnología permite el uso de más protocolos en la red, pero introduce un posible canal encubierto si tanto el lado alto como el lado bajo se ven comprometidos al retrasar artificialmente el momento del reconocimiento. [20]
Las diferentes implementaciones también tienen diferentes niveles de certificación y acreditación de terceros. Una guardia entre dominios destinada a su uso en un contexto militar puede tener o requerir una certificación y acreditación extensa de terceros. [21] Sin embargo, un diodo de datos destinado a uso industrial puede no tener o no requerir ninguna certificación y acreditación de terceros, dependiendo de la aplicación. [22]
{{cite web}}: Mantenimiento CS1: copia archivada como título ( enlace )