диод данных что это
Обеспечение безопасности критичных информационных систем является нетривиальной задачей. Критичные системы существуют практически во всех отраслях – это и государственные организации (в том числе силовые структуры), промышленность и топливно-энергетический комплекс (критически важные объекты), а также коммерческие организации.
Критичность хранящейся и обрабатываемой в таких системах информации зачастую накладывает серьезные требования к применяемым средствам ее защиты. Иногда требуется максимальная изоляция критичной системы с целью недопущения попыток несанкционированного доступа к информации.
Однако такая изоляция не позволяет обеспечить полноценную и удобную работу с защищаемой информацией и ограничивает взаимодействие со смежными информационными системами. Также, зачастую, максимальная или полная изоляция провоцирует сотрудников на нарушение установленных правил информационной безопасности.
Выходом в таких ситуациях может стать использование систем однонаправленной передачи данных.
Компания АМТ-ГРУП разработала собственное решение для однонаправленной передачи данных InfoDiode, реализованное в виде программного-аппаратного комплекса (АПК).
АПК АМТ InfoDiode позволяет решать ряд уникальных задач, в рамках которых гарантируется защита от многих угроз информационной безопасности. InfoDiode обеспечивает высочайший уровень изоляции критичных информационных систем, сохраняя при этом нужный уровень их функциональности для взаимодействия со смежными информационными системами.
Принцип работы системы InfoDiode
InfoDiode состоит из трех компонент: два прокси-сервера и аппаратное устройство однонаправленной передачи данных. Передача трафика через аппаратное устройство InfoDiode возможно только в одном направлении. Гальваническая развязка гарантирует отсутствие обратной связи. Прокси-серверы обеспечивают связь с внешними системами и организуют однонаправленный транспорт данных между собой. Для внешних систем взаимодействие ограничивается прокси-серверами: на принимающей стороне прокси-сервер выступает в роли сервера данных (FTP\FTPS, SMTP\StartTLS, CIFS), на передающей – в роли клиента.
Решения с использованием технологии однонаправленной передачи данных уже давно применяются в различных отраслях.
Сертификация
Это позволяет применять InfoDiode на предприятиях совершенно различных отраслей для защиты конфиденциальной информации (автоматизированные системы до класса 1 Г, системы защиты персональных данных до 1 уровня защищенности, государственные информационные системы до 1 класса, а также системы АСУ ТП (КСИИ) до 1 класса включительно).
Сертификаты и дополнительные документы по продукту Вы можете найти на сайте InfoDiode.ru
Сценарии применения АПК АМТ InfoDiode
Сценарий 1. Экспорт данных
Сфера применения: государственные предприятия, предприятия оборонно-промышленного комплекса, критически важные объекты, коммерческие организации, использующие закрытые сети.
В данном сценарий обеспечивается гарантия целостности передаваемых данных.
Сценарий 2. Импорт данных из внешних источников
Сфера применения: государственные предприятия, предприятия оборонно-промышленного комплекса, критически важные объекты, коммерческие организации, использующие закрытые сети.
В данном сценарии обеспечивается гарантия конфиденциальности защищаемых данных.
Сценарий 3. Одновременная выгрузка и загрузка данных
Сфера применения: любые организации, использующие закрытые сегменты сети.
Данный сценарий обеспечивает двунаправленное взаимодействие между сегментами. Это позволяет достигнуть высокого уровня защищенности и изоляции сегментов с возможностью как выгрузки, так и загрузки данных. Учитывая невозможность установления соединений (исключение обратной связи для злоумышленника по большинству протоколов), данный сценарий значительно (по оценкам компании
в 10 раз) превосходит по уровню защищенности традиционные схемы с межсетевым экраном на периметре.
Сценарий 4. Защищенное удаленное взаимодействие критичных сетевых сегментов (Site-to-Site VPN)
Сфера применения: любые организации, использующие территориально-разнесенные закрытые сегменты сети.
Уникальный дизайн АМТ-ГРУП, использующий АПК «АМТ InfoDiode» в схеме VPN-сетей. Схема обеспечивает высокий уровень защиты от внешних угроз (по аналогии со Сценарием 3, уровень защищенности от внешних угроз возрастает
в 10 раз) и существенную изоляцию, при этом сохраняется полноценное двустороннее защищенное взаимодействие удаленных узлов посредством VPN. Важным условием реализации схемы является поддержка системами передачи данных шифрованного трафика и использования стойких криптоалгоритмов.
Сценарий 5. Защищенный удаленный доступ Remote Access VPN и создание изолированной демилитаризованной зоны
Сфера применения: ллюбые организации, которым необходима организация защищенного удаленного доступа.
В ряде случаев необходимо обеспечить защищенный удаленный доступ к внутренним ресурсам компании как внутренним пользователям, так и партнёрам, подрядчикам. Сценарий 5 подразумевает создание изолированной демилитаризованной зоны, куда выгружаются только допустимые для удаленных пользователей и подрядчиков/партнёров данные. При этом мы получаем гарантию сохранения конфиденциальности и целостности критичных данных внутри информационной системы: исключается возможность доступа удаленных пользователей посредством VPNсоединений к внутренним ресурсам.
Сценарий 6. Трансляция рабочего стола с АРМ в закрытом сегменте
Сфера применения: подрядные организации, внешние службы поддержки, службы поддержки вендоров, удаленный мониторинг.
В случае сопряжения сетей с разным уровнем критичности требуется обеспечить внешний мониторинг за состоянием показателей технологического оборудования, сети и т.п. в точном соответствии с тем, что наблюдается на экране монитора АРМ оператора, вплоть до контроля перемещения мыши и/или манипулятора. Сценарий 6 позволяет организовать стриминг рабочего стола АРМ «как есть» за пределы критического сегмента. При этом гарантируется конфиденциальность и целостность данных внутри информационной системы: исключается возможность доступа и влияния удаленных пользователей на АРМ и сеть внутри критического сегмента посредством VPN-соединений, RDP подключений к внутренним ресурсам.
Отказоустойчивость и интеграция с внешними системами
Кластеризация для обеспечения отказоустойчивости
Интеграция с системами Data Loss Prevention (DLP)
Интерфейс управления АПК InfoDiode
Управление реализовано на базе интуитивно понятного WEB-интерфейса, с возможностью конфигурации (настройки) различных функций с минимальным количеством манипуляций (концепция настройки функции одного окна). В интерфейсе реализована защита от случайных изменений конфигурации, существует возможность Out-of-Band управления посредством файлов конфигурации в формате XML, либо CLI.
Диод Данных
Вы хотите, с одной стороны получать информацию из Интернета, а с другой гарантировать 100% отсутствие утечек из своей сети в Интернет. Значит Вам нужно использовать Диод Данных. Статья посвящена тем, кто устал переносить информацию на флешках из открытой сети в закрытую.
Введение
Почему многие компании отключают сети физически от Интернет? Потому что мы почти ежедневно узнаем про случаи с утечками конфиденциальной информации разного рода: от данных о здоровье сотрудников из военных подразделений США до схем месторождений из нефтяных компаний мирового уровня.
Многие считают, что 100% защиты данных от утечек по сети решается ТОЛЬКО при помощи физического разделения сетей. При наличии такого технического решения как Диод Данных вам совершенно необязательно это делать. При этом, вы все равно гарантируете 100% отсутствие утечек, одновременно с возможностью получения данных из Интернет.
История термина «Диод Данных» или «Data Diode»
Защита государственных органов власти
В России государственные органы не имеют права по законодательству подключать свои сети к Интернет физически. Однако потребность в информации из Интернета в этих сетях остается: от обновления используемых программных продуктов до информации о погоде, необходимой в МЧС. Также существует потребность передавать данные из сетей с меньшей конфиденциальностью в сети с более высокими требованиями к секретности: допустим из сети, где обрабатываются документы с грифом «ДСП» в сеть, где обрабатываются документы с грифом «Секретно». Такие же потребности есть у коммерческих организаций, например банков: есть разные типы информации: персональные данные, коммерческая тайна и документы с этими грифами также должны быть гарантированно защищены от утечек, в том числе от одной группы сотрудников к другой. То есть диод данных применяют даже внутри сети.
Как сейчас решается задача однонаправленной передачи данных
Многим известно как обходятся физические ограничения доступа: люди внутри организации на флешках переносят информацию из Интернет в закрытую сеть или из бухгалтерии к программистам или из рабочей сети в тестовую, тратя на это уйму времени. Им приходится игнорировать, что вовнутрь можно принести вредоносный код на флешке точно так же как и по сети. И что самое обидное для владельца информации: на этой же флешке можно унести все в открытый доступ или, не ограничивая общности, к себе домой. А существуют сегменты сети в которых вообще нет никакого контроля. Я имею в виду тестовые сети с совершенно нетестовыми данными. Я пожалуй не буду описывать что творится в тестовых сетях, чтобы совсем уже не испортить безопасникам настроение.
Итак, архитекторы по информационной безопасности используют для упрощения жизни таких компаний специальные сетевые решения, которые называются диод данных. Эти решения позволяют передавать данные только в одном направлении, гарантируя 100%, что утечка не может произойти из внутренней сети и одновременно проверяя получаемые данные, гарантируя отсутствие вредоносных вложений. Как аналог таких решений можно привести обыкновенное радио, которые мы все слушаем в машине или дома. Мы можем переключиться на любую радиостанцию, но передать им ничего не можем – у нас нет передатчика. И именно по такому принципу и работает диод данных – у него физически нет передатчика информации. Как же это сделано?
Пример: задание политики по перемещению потоков информации в сеть и внутри сети государственного органа.
Пример: задание политики по перемещению потоков информации в сеть и в сети коммерческой организации.
Принцип работы диода данных
Существует несколько производителей диодов данных, но все они используют для гарантии однонаправленной передачи законы физики. А именно: отсутствие передатчика в защищаемой сети и приемника в сети с более низким грифом (или публичной).
Как вы знаете, для соединения сетей используют оптоволоконное соединение, которое в привычном многим случае состоит из двух оптоволоконных кабелей. В случае с диодом данных кабель, который отвечает за передачу данных из секретной сети убирают и, заодно, выпаивают передатчик и приемник. Соответственно, поскольку у канала передачи данных теперь есть только кабель, по которому можно передавать в одну сторону, то передавать в обратную сторону физически невозможно. То есть образуется однонаправленный канал передачи. Таким образом мы физичечески гарантируем отсутствие утечки информации из секретной сети, но зато имеем возможность получать информацию из Интернет или других сетей: своих партнеров или своей же организации. Производители таких решений должны решить как этот физический канал окружить необходимым функционалом, программным обеспечением и другими компонентами, о которых мы поговорим ниже, например антивирусной защитой принимаемой информации. Однако, первый вопрос, который мне задают, когда слышат про диод данных:
«А как же работает TCP/IP?”. Читаем дальше.
Пример: диод данных, окруженный Ethernet конверторами. Вы видите, что второго оптического кабеля нет, соответственно передавать информацию возможно только в одном направлении.
Реализация диода данных
Казалось бы – так просто, что можно сделать самому. Однако производители таких устройств сталкиваются с несколькими проблемами. В первую очередь это как гарантировать высокую и безошибочную скорость передачи и синхронизацию данных, когда нет никаких сигналов подтверждения. Вдобавок, оказалось, что все транспортные протоколы, например TCP (или кто еще помнит SPX) – им всем нужна двунаправленная физическая линия для работы. В случае с прерыванием передачи данных в одном из направлений, транспортный протокол вообще не работает.
Для того, чтобы заработали двунаправленные протоколы все производители устанавливают до и после диода данных специальные прокси сервера. Это могут быть обычные компьютеры, которые эмулируют необходимый протокол: TCP/IP, FTP, SMTP, SMB, HTTP и т.д. Таким образом до диода данных и после диода данных в обеих разделяемых сетях работает двунаправленный протокол, работают привычные нам сервисы FTP, SMB(CIFS), SMTP, POP3, IMAP, HTTP и, благодаря совместной работе таких прокси серверов через диод данных, наши данные оказываются внутри защищаемой сети, но никак не могут уже выйти наружу. Соответственно, при выборе производителя интересуйтесь какие прокси реализованы и, самое главное, кто будет их настраивать под ваши задачи.
Физическая скорость передачи данных бывает разная. Я встречал производителей, которые декларируют скорость 1Гбит в секунду. В основном скорость работы таких устройств 100Мб/с. При выборе такого устройства, обязательно интересуйтесь этим параметром.
Пример: схема использования диода данных с прокси серверами.
Типовые задачи, которые решает диод данных
В первую очередь это получение обновлений для программного обеспечения и для средств безопасности. Например, вы можете установить у себя Microsoft WSUS и соотвественно централизованно в закрытой сети ставить с него обновления, а сами обновления WSUS будет получать из Интернет автоматически через диод данных. То же самое с другими программами, например обновление антивирусных баз удобно получать таким образом. Это гораздо быстрее чем на флешке.
Репликация базы данных из публичной сети с внутренней базой. Соответственно вы можете собирать любые необходимые вам данные, анализировать и обрабатывать, не боясь что результаты вашей работы «утекут» наружу. Пример такой системы – система сбора результатов выборов (президента или депутатов). В центре вы можете получать информацию о работе всех участков в стране, но сводные данные из центра гарантированно не могут быть отправлены в общедоступные сети.
Можно придумать и другие приложения, например, я знаю решение когда диод данных принимает скриншоты с компьютеров или другое, где передают буфер обмена (Clipboard) или где синхронизируют время по NTP между открытой и закрытой сетями. Число решений на этой базе можно увеличивать и увеличивать.
Обратная картина. Часто вы должны собирать информацию по SNMP, Syslog и другим способом из сетей, к которым у вас гарантированно не должно быть доступа. То есть вы должны получать ровно то, что вам передают. Вспоминаем пример с радио. Для этой задачи ставится диод данных – в центр мониторинга передают из таких сетей необходимые данные, а в случае появления злоумышленника в центре мониторинга – при всем желании он не сможет попасть в сети, которые мы мониторим. Естественно, здесь характерным примером являются сети SCADA (АСУТП). Именно в них часто не хватает такого необходимого компонента, как диод данных. Также такие решения являются полезными для аутсорсинга: когда некоторые внешние организации должны получать только явно заданную информацию, но никак не должны проникать внутрь через другие сервысы. На сегодняшний день для такого разграничения используются межсетевые экраны, но они гарантировать отсутствие утечек не могут.
Проверка данных, получаемых через диод данных.
Еще одна тонкость: данные, которые вы получаете в закрытую сеть через диод данных по-прежнему нужно проверять на целостность, точность и достоверность. Для этого существуют уже давно известные системы: шифрование, электронная подпись и т.д. Часто такие системы оборудуются проверкой на вирусы: любую информацию после диода данных нужно пропускать через антивирусную систему и через системы обнаружения (а лучше предотвращения) атак, поскольку передачу вредоносного кода и уязвимости в используемом вами программном обеспечении никто не отменял.
Пример: Диод данных, реализованный как сетевая карта. Работает либо как приемник, либо как передатчик информации. Разработка компании АНКАД.
Другие виды диодов данных
Другим сетевым устройством, которое вы можете рассмотреть, является TAP (не знаю как перевести c английского. Кран – некрасиво. Завёртыш – чуднО.) Кстати, купить его в нашей стране очень трудно. Он сделан так, что не может передавать данные в порт, на котором слушаете трафик. И он может быть полноценным диодом данных для вас, хотя, конечно, его предназначение другое. И еще у него нет сертификата. А у многих диодов данных есть сертификат по Commom Criteria EAL 4+ или даже EAL 7+.
Учитывайте, что бывают и версии TAP специально созданные под системы обнаружения атак, которые могут посылать данные в сеть (называются Active Response TAP). Они нужны, поскольку TCP Reset нужен для некоторых таких систем для остановки атаки.
Пример: TAP (на картинке оптический TAP) получает информацию о трафике в сети, но передавать не может.
Существуют еще диоды данных для USB, они гарантируют, что информация будет копироваться только в одном направлении через подключенную к ним флешку. Это какой-то эволюционно переходный метод, так что серьезно его рассматривать не стоит.
Пример: USB диод данных для передачи информации через флешку.
Заключение
На конец 2011 года диоды данных предлагаются одним российским и многочисленными зарубежными производителями. Лучше всего заказывать данное решение вместе с интеграцией, чтобы получить готовый функционал, который вам необходим.
В то же время расcмотренная технология однонаправленной передачи данных и используемые методы защиты еще редко преподаются на курсах и в институтах. Поэтому распространяйте эти знания среди своих коллег и используйте эту технологию сами.
InfoDiode – новое слово в системах защиты данных
«АМТ-Груп» представила рынку новое решение собственной разработки, аппаратно-программный комплекс однонаправленной передачи данных InfoDiode. Создатели говорят об универсальности InfoDiode: решение предназначено для обеспечения безопасности данных в государственных организациях, в том числе силовых структурах, промышленности, топливно-энергетическом комплексе, а также коммерческих предприятия любых отраслей, использующих закрытые сети.
Новое решение «АМТ-Груп» – InfoDiode – позволяет гарантированно предотвратить утечки конфиденциальных данных
В основу решения был положен опыт и наработки «АМТ-Груп» в применении различных систем однонаправленной передачи данных. В частности, «АМТ-Груп» имеет опыт внедрения подобных систем в ряде проектов по защите АСУ ТП на ГЭС «РусГидро».
Решения на основе технологии однонаправленной передачи данных (data diode) уже несколько лет широко используются в мире. В западных странах класс устройств, гарантирующих однонаправленную передачу данных, регламентирован отраслевыми стандартами (например, NERC). В Российской Федерации применение однонаправленных систем передачи данных регламентировано приказами ФСТЭК (Приказы 17, 21 и 31). В решение InfoDiode заложен ряд уникальных возможностей, которые по-новому раскрывают потенциал использования систем однонаправленной передачи данных, что существенно увеличивает количество решаемых с их помощью задач и возможных сценариев применения.
Геополитическая обстановка диктует свои условия, и использование зарубежных решений однонаправленной передачи данных сегодня не всегда возможно в силу специфики оборудования и санкционных ограничений. В силу того, что большая часть западных решений используется для защиты объектов НАТО и критически важных объектов зарубежной инфраструктуры, никто не может гарантировать непрерывность поставок оборудования и его сервисной поддержки в РФ. Также стоит вопрос об отсутствии недекларированных возможностей в поставляемых комплексах и их сертификации на соответствие отечественным требованиям по информационной безопасности.
Одной из основных задач для разработчиков InfoDiode стало создание на 100% российского решения. InfoDiode — это полностью российская программная реализация («АМТ-Груп»), российская операционная система (ОС Astra Linux) и российская аппаратная платформа. Решение поддерживает основные протоколы однонаправленной передачи данных (UDP/TCP: FTP, SMTP, CIFS; ESP IPSec). InfoDiode также предусматривает возможность кластеризации и передачу данных с использованием помехоустойчивого кодирования. В настоящее время комплекс проходит сертификацию во ФСТЭК России.
Однонаправленная передача данных: как это делается
Что же такое однонаправленная передача данных? Принцип работы InfoDiode можно описать как однонаправленный транспорт трафика. Однонаправленность передачи обеспечивает высокий уровень защиты данных, предотвращая реализацию большинства угроз информационной безопасности. В ряде сценариев его применения можно сделать акцент на обеспечении конфиденциальности передаваемой и обрабатываемой информации, в ряде других сценариев – на целостности данных.
Принцип работы InfoDiode
Источник: «АМТ-Груп», 2015
Принцип работы InfoDiode заключается в использовании трех компонент: аппаратного сетевого устройства, гарантирующего однонаправленность передачи данных (за счет отсутствия обратного канала передачи и гальванической развязки), и двух прокси-серверов, терминирующих сервисы для однонаправленной передачи.
Совсем просто? И да, и нет. Дело в том, что не все типы трафика по своей природе взаимодействуют однонаправленно. Когда речь идет о UDP–трафике, то он изначально функционирует однонаправленно и для передачи UDP трафика достаточно «просто» (чуть ниже мы поговорим о том, что тут не совсем так все очевидно) маршрутизировать трафик. Некоторые производители, в том числе отечественные, пошли по этому пути и, в принципе, на нем остановились. В результате спектр применения устройства оказывается довольно узок: на выходе получаются простые однонаправленные маршрутизаторы с весьма узким диапазоном возможностей и ограниченным количеством сценариев применения.
Но если идет речь о TCP–трафике, предполагающем гарантированную доставку с установлением соединения? В этом случае необходима некая эмуляция соединения на участке с аппаратным сетевым устройством (диодом), позволяющая на части маршрута информационного потока заменять двунаправленное взаимодействие на однонаправленное.
Еще одна фундаментальная задача — обеспечение надежности. В некоторых случаях UDP предполагает подтверждение успешного приема блоков информации, а для TCP гарантированная доставка является нормой. Очевидно, что в случае использования системы однонаправленной передачи данных мы получаем участок, понижающей надежность всего информационного потока, и это необходимо компенсировать. Некоторые производители, хотя, конечно, далеко не все, на участке аппаратного диода используют инкапсуляцию с помехоустойчивой избыточностью (кодированием).
Сценарии использования InfoDiode: скорость, безопасность и многофункциональность
Существует мнение, что системы односторонней передачи данных, в основном, применимы для защиты АСУ ТП. Однако зарубежный опыт показывает, что спектр решаемых с их помощью задач гораздо шире, и потенциал использования таких систем пока еще не раскрыт. Российским компаниям, внедряющим подобные системы, все еще приходится сталкиваться с предрассудками. Действительно, односторонняя передача данных накладывает некоторые ограничения в реальном применении. В первую очередь, как говорилось выше, необходим однонаправленный характер информационного взаимодействия на прикладном уровне. С другой стороны, существует масса гибких сценариев, когда можно получить все преимущества использования систем однонаправленной передачи данных, оставляя функциональность взаимодействия между сетевыми сегментами на высоком уровне. Сценариев использования технологии односторонней передачи существует больше, чем кажется на первый взгляд. Ниже приведены некоторые из них.
Сценарий 1–2. Импорт и экспорт данных
Сфера применения: государственные предприятия, предприятия оборонно-промышленного комплекса, критически важные объекты, коммерческие организации, использующие закрытые сети.
Сценарии 1 и 2 гарантируют конфиденциальности и целостности защищаемых данных.
Источник: «АМТ-Груп», 2015
Сценарий 3. Одновременная выгрузка и загрузка данных
Сфера применения: Любые организации, использующие закрытые сегменты сети.
Данный сценарий позволяет обеспечить функциональность двустороннего информационного обмена, обеспечивая высокий уровень защиты периметра. Учитывая невозможность установления соединений (исключение обратной связи для злоумышленника по большинству протоколов), данный сценарий значительно (по оценкам компании примерно в 10 раз) превосходит по уровню защищенности традиционные схемы с межсетевым экраном на периметре.
Источник: «АМТ-Груп», 2015
Сценарий 4. Защищенное удаленное взаимодействие критичных сетевых сегментов (Site-to-Site IPSec VPN)
Сфера применения: любые организации, использующие территориально разнесенные закрытые сегменты сети.
В этом сценарии обеспечивается полноценное двустороннее защищенное взаимодействие удаленных узлов, находящихся в территориально разнесенных закрытых сегментах ЛВС, посредством IPsec VPN, через публичные сети. При этом реализуется уникальный дизайн «АМТ-Груп», использующий технологию однонаправленной передачи данных в схеме IPsec VPN сетей.
Сценарий обеспечивает высокий уровень защиты от внешних угроз (по аналогии со Сценарием 3, уровень защищенности от внешних угроз возрастает примерно в 10 раз) и существенную изоляцию критичных сегментов сети.
Источник: «АМТ-Груп», 2015
Сценарий 5. Защищенный удаленный доступ Remote Access VPN и создание изолированной демилитаризованной зоны
Сфера применения: любые организации, которым необходима организация защищенного удаленного доступа.
В ряде случаев необходимо обеспечивать защищенный удаленный доступ к внутренним ресурсам компании, как внутренним пользователям, так и партнерам и подрядчикам. Данный сценарий подразумевает создание изолированной демилитаризованной зоны, куда выгружаются только допустимые для удаленных пользователей и подрядчиков/партнеров данные. При этом обеспечивается гарантия сохранения конфиденциальности и целостности критичных данных внутри информационной системы: исключается возможность доступа удаленных пользователей посредством VPN-соединений к внутренним ресурсам.
Источник: «АМТ-Груп», 2015
И это далеко не полный список возможных сценариев применения однонаправленных систем передачи данных. Благодаря уровню безопасности, который гарантируют создатели, InfoDiode может решать задачи защиты данных в государственных и корпоративных информационных системах, на военных и любых других стратегических объектах, в образовательных учреждениях, организациях финансовой отрасли.