Что такое однонаправленный шлюз?

Однонаправленный шлюз (unidirectional security gateway, unidirectional network) – сетевое устройство, обеспечивающее передачу файловой и потоковой информации, транспортируемой по IP-протоколу в одном направлении и не позволяющее передачу в обратном. Однонаправленность передачи информации гарантируется, как правило, аппаратными решениями. Устройство применяется для соединения разных сегментов сети и используется в области защиты информации.

Первые описания аналогичных систем в литературе можно найти в 90-е годы прошлого века в трудах австралийской научной и технологической оборонной организации (DSTO)  и факультета электротехники и вычислительной техники американского университета в Цинциннати. Рассматриваемое техническое решение из-за схожести принципа действия с электронным компонентом в статьях называется Data Diode (Digital Diode) – информационный диод (диод данных). Эти названия стали общеупотребительными и в настоящее время также используются для названия класса подобных устройств.

В современных практических решениях в основном реализуют две схемы использования шлюзов однонаправленной передачи информации. Исходя из этих схем, рассмотрим преимущества применения сетевых диодов.

Обеспечение конфиденциальности.

В данном случае через однонаправленный шлюз (диод данных) соединяются два сегмента сети с разными требованиями по уровню безопасности. Основной задачей является недопущение возможности утечки информации из сегмента сети с большим уровнем безопасности. При этом простая физическая изоляция этой сети не позволяет в полном объеме выполнять стоящие перед ней задачи, так как необходимо получение информации из внешних сетей, в том числе подключенных к сети Интернет.

В качестве примеров, подобных требований можно привести необходимость обновления программного обеспечения, получение почты из открытых сетей, заведение сигнала с IP-камер, находящихся вне охраняемого периметра и т.п. Единственным решением, обеспечивающим возможность оперативного ввода информации в конфиденциальную сеть из открытых сетей и гарантирующим отсутствие утечек из нее, является использование однонаправленного шлюза (информационного диода). Как показывает практика применение съемных носителей информации для решения подобных задач требует больших административных затрат и увеличивает число вероятных каналов утечки. К дополнительным преимуществам использования сетевых диодов данных также следует отнести возможность их круглосуточной автоматической работы, не требующей участия обслуживающего персонала. Достаточно провести при внедрении системы минимальное администрирование, дальше данные будут передаваться согласно введенным правилам маршрутизации. Использование однонаправленных шлюзов позволяет значительно снизить вероятность успешной атаки на конфиденциальную сеть, особенно если дополнительно будет интегрирован антивирусный анализ и контроль сетевых пакетов передаваемых данных. Успешность внешней атаки в данном случае анализируется только в отношении целостности и доступности секретной сети. Утечки из нее не возможны, так как данные гарантированно передаются только в одном направлении.

Обеспечение целостности и доступности.

При данной реализации через однонаправленный шлюз соединяются два сегмента сети с равными требованиями по уровню безопасности. Основной задачей является обеспечение целостности и доступности одного из сегментов, в том числе и для другого сегмента, который в свою очередь может быть подключен к сети Интернет.

В качестве примера можно привести промышленные сети систем управления технологическими процессами, которые должны быть соединены с корпоративными сетями предприятий. При этом важно не допустить возможность воздействия извне на промышленные сети, особенно если мы имеем дело с опасными производствами, инциденты на которых могут привести к техногенным авариям. Соединение сегмента сети, для которого необходимо гарантировать недопустимость внешнего воздействия, с другими сегментами, в том числе подключенными к сети Интернет, через сетевой информационный диод обеспечивает выполнение этого требования. Информация из защищаемого сегмента доступна и гарантированно ограждена от внешнего воздействия вследствие однонаправленности соединения. Как и в первом варианте использования сетевого диода данных к преимуществам реализации можно отнести возможность круглосуточной автоматической работы системы. Требуется только минимальное администрирование при настройке, в дальнейшем данные передаются в автоматическом режиме согласно заданным правилам маршрутизации.

Помимо этих основных вариантов использования решения возможны реализации других схем применения однонаправленных шлюзов, когда сегменты сети соединяются через сетевые информационные диоды в обоих направлениях. Подробно рассматривать их не будем, так как подобные проекты достаточно специфичны и связаны с конкретными задачами, которые должна решить проектируемая система информационной безопасности. Ограничимся несколькими замечаниями. Процессы передачи в противоположных направлениях должны проходить асинхронно и не взаимодействовать между собой. В данном случае можно получить преимущества обеих схем, описанных выше. Например, через встречное однонаправленное соединение можно обновлять программное обеспечение защищаемой промышленной сети из схемы обеспечения целостности и доступности. Однако надо иметь в виду, что при разработке подобных систем необходимо реализовать дополнительные меры по проверке возможности организации успешных атак, так как гарантировать однонаправленность передачи мы уже не можем. Необходимо провести комплексный анализ, чтобы оценить стоят ли полученные преимущества затрат и рисков, полученных в результате их реализации.

В наиболее распространенных коммерческих реализациях диодов данных на аппаратном уровне используют оптоволоконное соединение, в котором задействуют только одну нить. В результате получается однонаправленное соединение, так как нет физической среды для передачи информации в противоположном направлении. В итоге однонаправленность передачи гарантируется на аппаратном уровне. Помимо оптоволоконного соединения есть описания других схем реализации. Похожий приведенному в статье принцип, например, реализуется в системах однонаправленной передачи данных с USB-носителей (USB Datadiode). В общем случае однонаправленный шлюз представляет собой сложную микропроцессорную систему, которая реализует маршрутизацию передаваемых данных, обеспечивает высокую скорость и безошибочность процесса передачи. В традиционной схеме соединения разных сегментов сети через информационный диод используются два дополнительных прокси-сервера, которые располагают в разных соединяемых сегментах. Основная цель прокси-серверов обеспечение работы служб, поддерживающих работу всех сетевых протоколов, большинство из которых являются двунаправленными. По сути прокси-серверы представляют собой специальные программы, которые эмулируют необходимый протокол (TCP/IP, FTP, SMTP, SMB, UDP и т.п.) в соединяемых сегментах сети и подготавливают при необходимости данные для передачи через шлюз. В результате в соединяемых через однонаправленный шлюз сегментах сети функционирует традиционный двунаправленный протокол, работают привычные для нас сервисы FTP, SMB, SMTP, POP3, IMAP, при этом требуемые данные передаются в нужном направлении, и отсутствует возможность обратной передачи информации между сегментами сетями. В современных коммерческих реализациях через информационный диод обычно передаются следующие протоколы: UDP, FTP, SMB, SMTP. В зависимости от задач, решаемых системой однонаправленной передачи данных, разработчики реализуют возможность передачи других протоколов HTTP, Modbus, OPC, МЭК 870-5-104 и т.д. Использование прокси-серверов с диодом данных при соединении сегментов сети создает разрыв протокола. Через однонаправленный шлюз передаются только данные приложений, вся служебная информация, отвечающая за правильное функционирование протоколов, отсекается и не передается. Таким образом, система сможет противостоять атакам, связанным с манипулированием служебных данных сетевых протоколов. Это, а также дополнительное внедрение в систему антивирусов и механизмов контроля сетевых пакетов передаваемых данных, гарантирует повышение уровня защиты внутренней целостности и доступности секретной сети в схеме обеспечения конфиденциальности.

Известно большое количество зарубежных коммерческих реализаций однонаправленных шлюзов, в которых реализован разнообразный функционал поддержки передаваемых протоколов. Однако, как правило, возникают проблемы с их сертификацией по требованиям наших регуляторов. Непростая геополитическая ситуация не позволяет гарантировать бесперебойные поставки оборудования, прошедшего сертификацию НАТО и государственных служб разных зарубежных стран, отвечающих за безопасность. В связи с этим очевиден интерес к отечественным разработкам.

Использование систем однонаправленной передачи информации входит в состав мер по защите информации, содержащейся в государственных информационных системах, по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных и по обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, что отражено в Приказах ФСТЭК России от 11 февраля 2013 г. №17, от 18 февраля 2013 г. №21, от 14 марта 2014 г. №31.

В настоящее время в связи с повышением информатизации различных сторон нашей жизни растут риски, связанные с защитой информации. Это заставляет разработчиков использовать диоды данных в информационных системах различных государственных и коммерческих организаций. Применение комплексов однонаправленной передачи информации востребовано в государственных органах и силовых ведомствах, где с их помощью гарантируется изоляция секретных документов, организуется обновление программного обеспечения и другой необходимой для работы конфиденциальной сети информации из открытых сетей, в том числе подключенных к сети Интернет, обеспечивается отделение управленческой сети от сетей филиалов и безопасное соединение с сетями контролируемых организаций. Использование шлюзов однонаправленной передачи информации в банковском и финансовом секторе позволяет изолировать конфиденциальную информацию от публичных сетей, оптимизировать расходы на печать, обеспечить безопасное соединение головного офиса с сетью филиалов и банкоматов, организовать получение информации в конфиденциальные сети из открытых сетей, не опасаясь утечек данных. Эксплуатация сетевых информационных диодов в критически важных объектах производственных сетей энергетики, топливно-энергетического комплекса, химической промышленности, металлургии и транспорта позволяет предоставить трансляцию технологических данных в бизнес приложения в реальном времени, гарантируя защиту от атак злоумышленников, обеспечивая полную защиту периметра и реализуя возможность предоставления данных надзорным органам. В результате этого уполномоченные специалисты приобретают мощное средство оперативного контроля и управления, которое позволяет при необходимости, исходя из анализа данных, оперативно воздействовать на технологические процессы, экономя средства на командировки.