какая шина предназначена для однонаправленной передачи кода данных

Современные средства однонаправленной передачи данных

Сети являются средством для реализации различных угроз: по сети распространяются «черви», злоумышленники могут скомпрометировать корпоративные ресурсы через сетевые каналы связи, многие утечки информации происходят с помощью банальной пересылки инсайдерами данных из корпоративной сети. Конечно, для борьбы с сетевыми угрозами существуют различные средства защиты, например межсетевые экраны. Сегодня на рынке присутствует множество средств межсетевого экранирования – как программных, так и программно-аппаратных, позволяющих реализовать защиту от сетевых атак на разных уровнях иерархической модели OSI. Однако, как и любые другие программные решения, межсетевые экраны могут содержать в своем коде ошибки, которые теоретически могут позволить захватить контроль над всем устройством.

Угрозы в промышленных и корпоративных сетях

Существует множество критически важных объектов, для которых даже теоретическая возможность реализации упомянутого выше сценария недопустима. В качестве примера такого объекта можно привести автоматизированную систему управления компонентами электростанции.

Сама промышленная сеть обычно изолируется от внешней сети предприятия, но при этом необходимо вести мониторинг работы компонентов АСУ и отправлять данные об их состоянии во внешнюю сеть, к примеру производителю оборудования электростанции, для того чтобы он мог осуществлять техподдержку и своевременно реагировать на проблемы в работе компонентов электростанции. Как правило, в таких случаях на границе промышленной и корпоративной сетей устанавливают обычный межсетевой экран и настраивают на нем передачу необходимых данных только в одну сторону – из промышленной сети в корпоративную. Казалось бы, все сделано правильно. Однако в случае компрометации корпоративной сети и получения доступа на межсетевой экран злоумышленники без труда смогут проникнуть в промышленный сегмент. Причем для компрометации межсетевого экрана совершенно необязательно наличие уязвимости в его коде, достаточно лишь перехватить учетные данные администратора устройства. Нередки также случаи, когда администраторы некорректно настраивают списки доступа на межсетевых экранах, в результате чего злоумышленники могут проникнуть в промышленную сеть из корпоративной даже без компрометации непосредственно файрвола.

Поэтому для критически важных объектов необходимо гарантировать невозможность влияния на критичный сегмент извне даже в случае компрометации пограничных устройств. Решить эту проблему призваны средства однонаправленной передачи данных.

Требования регуляторов

В России необходимость использования средств однонаправленной передачи данных определяют требования регуляторов.

В частности, приказ ФСТЭК № 31 предписывает использовать средства однонаправленной передачи данных при:

Близкие требования содержатся и в приказах ФСТЭК № 17 и № 21 (УПД.3, ЗСВ.4). Таким образом, необходимость использования однонаправленных шлюзов определяется в том числе и требованиями российских регуляторов. Рассмотрим основных российских и зарубежных игроков на рынке средств однонаправленной передачи данных, решения которых реально применяются на предприятиях, и следующие решения: АПК InfoDiode, «СТРОМ», Fox DataDiode, Waterfall Security Solutions.

АПК АМТ InfoDiode

Аппаратно-программный комплекс InfoDi-ode 1 разработан компанией «АМТ-ГРУП» на российской аппаратной платформе, российской сертифицированной операционной системе Astra Linux и программном обеспечении собственного производства. Решение АПК InfoDiode состоит из следующих компонентов:

Передача трафика через аппаратное устройство InfoDiode возможна только в одном направлении, благодаря гальванической развязке, гарантирующей отсутствие обратной связи. При этом прокси-серверы обеспечивают связь с внешними системами и организуют однонаправленный транспорт данных между собой. Для внешних систем взаимодействие ограничивается прокси-серверами: на принимающей стороне прокси-сервер выступает в роли сервера данных (FTP, SMTP, CIFS, OPC UA), на передающей – в роли клиента. Такая архитектура позволяет использовать АПК InfoDiode для реализации различных сценариев.

Помимо описанной ранее однонаправленной передачи данных, иногда требуется передавать данные в обоих направлениях. Например, в силу исторических причин часть промышленных систем или сегментов «размазаны» по корпоративной ЛВС. Данный сценарий позволяет расширить границы критичного сегмента, создав защищенную информационную систему внутри другой информационной системы.

При этом используются два отдельных устройства InfoDiode, позволяющих обеспечить однонаправленную передачу в каждом из направлений. Злоумышленнику в случае захвата одного шлюза придется вслепую пытаться получить доступ на второй однонаправленный шлюз, что многократно ограничивает его возможности и требует огромных затрат на реализацию.

Управление компонентами АПК InfoDiode может осуществляться тремя способами: через Web-интерфейс, CLI и с помощью XML. АПК InfoDiode сертифицирован ФСТЭК России на соответствие требованиям технических условий и руководящего документа «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей» (Гостехкомиссия России, 1999) по 4-му уровню контроля. Система сертификации средств защиты информации. Сертификат соответствия № 3434.

АПК «СТРОМ»

«СТРОМ» предназначен для решения двух видов задач:

1. Передача потоковой информации. Представляет собой однонаправленную передачу данных с камер видеонаблюдения, телеметрии, передачи аудиопотоков и т.д.

2. Передача файлов. Для нее, помимо однонаправленного шлюза, также необходимы два сервера с установленным специальным программным обеспечением, которое обеспечивает хранение, предоставление пользователям сетевых дисков и однонаправленную передачу файлов. В качестве операционных систем на данных серверах могут использоваться: Linux 32/64 bit, RedHat 64, Windows (от XP и выше), МСВС-3.0, МСВС-5.1.

Fox DataDiode

ПАК Fox DataDiode имеет классическую для однонаправленных шлюзов архитектуру:

При этом для внешних систем взаимодействие ограничивается прокси-серверами: на принимающей стороне прокси-сервер выступает в роли сервера данных (FTP, SMTP, CIFS), на передающей – в роли клиента.

ПАК Fox Data Diode сертифицирован ФСТЭК России на соответствие требованиям технических условий и руководящего документа «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля недекларированных возможностей» (Гостехкомиссия России, 1999) по 4-му уровню контроля.

Система сертификации средств защиты информации. Сертификат соответствия № 3446. Однако, говоря о сертификации голландского решения, не лишним будет заметить, что данный продукт также имеет сертификацию NATO Secret, что в нынешних непростых политических условиях может осложнить использование данного решения в некоторых российских организациях.

Waterfall Security Solutions

Waterfall’s ® Unidirectional Security Gateways 4 – это семейство продуктов на базе единого технологического ядра, реализующих функционал однонаправленных сетевых шлюзов на аппаратном уровне, с поддержкой широкого числа сетевых приложений и протоколов, в том числе специфичных для промышленных сетей.

Здесь разработчики вместо прокси используют агентов. Однонаправленный шлюз состоит из двух физических устройств:

Трафик из технологической сети поступает на агента, который может размещаться на модуле TX. Далее устройство TX передает трафик на RX, где агент RX передает пакеты уже системе назначения. В зависимости от выбранного варианта агенты могут как располагаться на устройстве, так и быть развернуты на выделенных узлах.

В реестре сертифицированных средств защиты ФСТЭК информацию о наличии сертификатов на ПАК Waterfall Security Solutions найти не удалось.

Основные критерии выбора

В данной статье были рассмотрены основные реально используемые в России решения по обеспечению однонаправленной передачи данных.

Основные характеристики представленных в статье решений приведены в таблице.

Как видно, все решения имеют схожую архитектуру и технические характеристики. Тем не менее у каждого из них есть свои особенности, которые могут стать определяющими при выборе. В одном случае важным может оказаться наличие сертификата ФСТЭК, в другом – достаточная функциональность для решения конкретной задачи. Безусловно, значительную роль играет наличие русскоязычной документации и техподдержки. Кроме того, для критических сетей важно наличие круглосуточной поддержки, позволяющей оперативно решать возникающие проблемы.

Говоря о стоимости каждого из решений, стоит отметить, что иностранные разработки стоят более чем в 1,5 раза дороже отечественных аналогов. Учитывая, что российские производители предлагают свою продукцию за рубли, стоимость их решений также меньше зависит от изменений стоимости валют.

Таким образом, заказчик может самостоятельно выбрать необходимые решения по обеспечению защиты критических сегментов сети на основе однонаправленных шлюзов в зависимости от выдвигаемых требований.

Источник

Глава 1. Компьютер. Программное и аппаратное обеспечение

Магистраль: шина данных шина адреса и шина управления. Шины периферийных устройств

Вспомним, на прошлом уроке рассматривалось устройство материнской платы. Рассмотрим более подробно, какие же логические устройства можно установить на системную плату, т.к. системная плата наравне с процессором является основным устройством любого современного компьютера. Так же необходимость более подробного знакомства с системной платой обусловлено тем, что на системных платах реализуются шины различных типов. В гнёзда расширения системной платы устанавливаются платы таких периферийных устройств, как модем, сетевая плата, видеоплата и т.п.

Быстродействие различных компонентов компьютера (процессора, оперативной памяти и контроллеров периферийных устройств) может существенно различаться. Для согласования быстродействия на системной плате, как было сказано на прошлом уроке, устанавливаются специальные микросхемы (чипсеты), вклю­чающие в себя контроллер оперативной памяти (так называемый северный мост) и контроллер периферийных устройств (южный мост). (см. рис. 1)

Северный мост обеспечивает обмен информацией между процессором и оперативной памятью по системной шине. В процессоре используется внутреннее умножение частоты, поэтому частота процессора в несколько раз больше, чем частота системной шины. В современных компьютерах частота процессора может превышать частоту системной шины в 10 раз (например, частота процессора 1 ГГц, а частота шины — 100 МГц).

Южный мост обеспечивает обмен информацией между се­верным мостом и портами для подключения периферийного оборудования.

Мышь и внешний модем подключаются к южному мосту с помощью последовательных портов, которые передают элек­трические импульсы, несущие информацию в машинном коде, последовательно один за другим. Обозначаются после­довательные порты как СОМ1 и COM2, а аппаратно реализуются с помощью 25-контактного и 9-контактного разъемов, которые выведены на заднюю панель системного блока.

Для подключения сканеров и цифровых камер обычно используется порт USB ( Universal Serial Bus — универсальная последовательная шина), который обеспечивает высокоскоростное подключение к компьютеру сразу нескольких периферийных устройств.

Рассмотрим структуру магистрали (системной шины), т.к. модульная организация системы опирается на магистральный (шинный) принцип обмена информации.

Магистраль

Системная магистраль осуществляет обмен данными между процессором или ОЗУ с одной стороны и контроллерами внешних устройств компьютера с другой стороны.

Рис 2. Магистрально-модульный принцип

Шина данных

По этой шине данные передаются между различными устройствами. Например, считанные из оперативной памяти данные могут быть переданы процессору для обработки, а затем полученные данные могут быть отправлены обратно в оперативную память для хранения. Таким образом, данные по шине данных могут передаваться от устройства к устройству в любом направлении, т. е. шина данных является двунаправленной.

Разрядность шины данных определяется разрядностью процессора, т.е. количеством двоичных разрядов, которые процессор обрабатывает за один такт. Разрядность процессоров постоянно увеличивалась по мере развития компьютерной техники.

За 25 лет, со времени создания первого персонального компьютера (1975г.), разрядность шины данных увеличилась с 8 до 64 бит.

К основным режимам работы процессора с использованием шины передачи данных можно отнести следующие: запись/чтение данных из оперативной памяти и из внешних запоминающих устройств, чтение данных с устройств ввода, пересылка данных на устройства вывода.

Шина адреса

Шина адреса предназначена для передачи по ней адреса того устройства (или той ячейки памяти), к которому обращается процессор. Адрес на нее выдает всегда только процессор. По шине данных передается вся информация. При операции записи информацию на нее выставляет процессор, а считывает то устройство (например, память или принтер), адрес которого выставлен на шине адреса. При операции чтения информацию выставляет устройство, адрес которого выставлен на шине адреса, а считывает процессор.

Таким образом, каждое устройство или ячейка оперативной памяти имеет свой адрес. Адрес передается по адресной шине, причем сигналы по ней передаются в одном направлении от процессора к оперативной памяти и устройствам (однонаправленная шина).

Разрядность шины адреса определяет адресное пространство процессора, т.е. количество ячеек оперативной памяти, которые могут иметь уникальные адреса. Количество адресуемых ячеек памяти можно рассчитать по формуле:

Каждой шине соответствует свое адресное пространство, т. е. максимальный объем адресуемой памяти:

Разрядность шины адреса постоянно увеличивалась и в современных персональных компьютерах составляет 32 бит. Таким образом, максимально возможное количество адресуемых ячеек памяти равно:

N == 2 32 = 4 294 967 296 = 4 Гб

Аппаратно на системных платах реализуются шины различных типов. В компьютерах РС/286 использовалась шина ISA (Industry Standard Architecture), имевшая 16-разрядную шину данных и 24-разрядную шину адреса. В компьютерах РС/386 и РС/486 используется шина EISA (Extended Industry Standard Architecture), имеющая 32-разрядные шины данных и адреса. В компьютерах PC/ Pentium используется шина PCI (Peripheral Component Interconnect), имеющая 64-разрядную шину данных и 32-разрядную шину адреса.

Шина управления

По шине управления передаются сиг­налы такие, например, как сигналы чтения, записи, готовности, определяющие характер обмена информацией по ма­гистрали. Сигналы управления определяют, какую операцию считывание или запись информации из памяти нужно производить, синхронизируют обмен информацией между устройствами. Кроме того, каждое внешнее устройство, которому нужно обратиться к процессору, имеет на этой шине собственную линию. Когда периферийное устройство «хочет обратиться» к процессору, оно устанавливает на этой линии специальный сигнал (сигнал прерывания), заметив который, процессор прерывает выполняемые в этот момент действия и обращается (командой чтения или записи) к устройству.

Рассмотрим в качестве примера, как процессор читает содержимое ячейки памяти (см. таблицу). Убедившись, что шина в данный момент свободна, процессор помещает на шину адреса требуемый адрес и устанавливает необходимую служебную информацию (операция – чтение, устройство – ОЗУ и т.п.) на шину управления. Теперь ему остается только ожидать ответа от ОЗУ. Последний, “увидев” на шине обращенный к нему запрос на чтение информации, извлекает содержимое необходимой ячейки и помещает его на шину данных. Разумеется, реальный процесс значительно подробнее.

Особо отметим, что обмен по шине при определенных условиях и при наличии определенного вспомогательного оборудования может происходить и без непосредственного участия процессора, например, между устройством ввода и внутренней памятью.

Подчеркнем также, что описанная нами функциональная схема на практике может быть значительно сложнее. Современный компьютер может содержать несколько согласованно работающих процессоров, прямые информационные каналы между отдельными устройствами, несколько взаимодействующих магистралей и т.д. Тем не менее, если понимать наиболее общую схему, то разобраться в конкретной компьютерной системе будет уже легче.

Магистральная структура позволяет легко подсоединять к компьютеру именно те внешние устройства, которые нужны для данного пользователя. Благодаря ей удается скомпоновать из стандартных блоков любую индивидуальную конфигурацию компьютера.

Необходимость использования контроллеров вызвана тем, что функциональные и технические параметры компонентов компьютера могут существенно различаться, например, их быстродействие. Так, процессор может проводить сотни миллионов операций в секунду, тогда как пользователь может вводить с клавиатуры, в лучшем случае 2-3 знака в секунду. Контроллер клавиатуры как раз и обеспечивает согласование скорости ввода информации со скоростью ее обработки.

Контроллер жестких дисков обычно находится на системной плате. Существуют различные типы контроллеров жестких дисков, которые различаются по количеству подключаемых дисков, скорости обмена информацией, максимальной емкости диска и др.

Источник

Шины микропроцессорной системы и циклы обмена

Циклы обмена информацией делятся на два основных типа:

В некоторых микропроцессорных системах существует также цикл «чтение-модификация- запись » или же «ввод-пауза- вывод «. В этих циклах процессор сначала читает информацию из памяти или устройства ввода/вывода, затем как-то преобразует ее и снова записывает по тому же адресу. Например, процессор может прочитать код из ячейки памяти, увеличить его на единицу и снова записать в эту же ячейку памяти. Наличие или отсутствие данного типа цикла связано с особенностями используемого процессора.

Особое место занимают циклы прямого доступа к памяти (если режим ПДП в системе предусмотрен) и циклы запроса и предоставления прерывания (если прерывания в системе есть). Когда в дальнейшем речь пойдет о таких циклах, это будет специально оговорено.

Во время каждого цикла устройства, участвующие в обмене информацией, передают друг другу информационные и управляющие сигналы в строго установленном порядке или, как еще говорят, в соответствии с принятым протоколом обмена информацией.

Длительность цикла обмена может быть постоянной или переменной, но она всегда включает в себя несколько периодов сигнала тактовой частоты системы. То есть даже в идеальном случае частота чтения информации процессором и частота записи информации оказываются в несколько раз меньше тактовой частоты системы.

Чтение кодов команд из памяти системы также производится с помощью циклов чтения. Поэтому в случае одношинной архитектуры на системной магистрали чередуются циклы чтения команд и циклы пересылки (чтения и записи) данных, но протоколы обмена остаются неизменными независимо от того, что передается — данные или команды. В случае двухшинной архитектуры циклы чтения команд и записи или чтения данных разделяются по разным шинам и могут выполняться одновременно.

2.1. Шины микропроцессорной системы

Прежде чем переходить к особенностям циклов обмена, остановимся подробнее на составе и назначении различных шин микропроцессорной системы.

Шина данных — это основная шина, ради которой и создается вся система. Количество ее разрядов (линий связи) определяет скорость и эффективность информационного обмена, а также максимально возможное количество команд.

Шина данных всегда двунаправленная, так как предполагает передачу информации в обоих направлениях. Наиболее часто встречающийся тип выходного каскада для линий этой шины — выход с тремя состояниями.

Шина управления — это вспомогательная шина, управляющие сигналы на которой определяют тип текущего цикла и фиксируют моменты времени, соответствующие разным частям или стадиям цикла. Кроме того, управляющие сигналы обеспечивают согласование работы процессора (или другого хозяина магистрали, задатчика, master) с работой памяти или устройства ввода/вывода (устройства-исполнителя, slave ). Управляющие сигналы также обслуживают запрос и предоставление прерываний, запрос и предоставление прямого доступа.

Сигналы шины управления могут передаваться как в положительной логике (реже), так и в отрицательной логике (чаще). Линии шины управления могут быть как однонаправленными, так и двунаправленными. Типы выходных каскадов могут быть самыми разными: с двумя состояниями (для однонаправленных линий), с тремя состояниями (для двунаправленных линий ), с открытым коллектором (для двунаправленных и мультиплексированных линий).

По используемому типу обмена магистрали микропроцессорных систем также делятся на синхронные и асинхронные.

Источник

Диод Данных

Вы хотите, с одной стороны получать информацию из Интернета, а с другой гарантировать 100% отсутствие утечек из своей сети в Интернет. Значит Вам нужно использовать Диод Данных. Статья посвящена тем, кто устал переносить информацию на флешках из открытой сети в закрытую.

Введение

Почему многие компании отключают сети физически от Интернет? Потому что мы почти ежедневно узнаем про случаи с утечками конфиденциальной информации разного рода: от данных о здоровье сотрудников из военных подразделений США до схем месторождений из нефтяных компаний мирового уровня.

Многие считают, что 100% защиты данных от утечек по сети решается ТОЛЬКО при помощи физического разделения сетей. При наличии такого технического решения как Диод Данных вам совершенно необязательно это делать. При этом, вы все равно гарантируете 100% отсутствие утечек, одновременно с возможностью получения данных из Интернет.

История термина «Диод Данных» или «Data Diode»

Защита государственных органов власти

В России государственные органы не имеют права по законодательству подключать свои сети к Интернет физически. Однако потребность в информации из Интернета в этих сетях остается: от обновления используемых программных продуктов до информации о погоде, необходимой в МЧС. Также существует потребность передавать данные из сетей с меньшей конфиденциальностью в сети с более высокими требованиями к секретности: допустим из сети, где обрабатываются документы с грифом «ДСП» в сеть, где обрабатываются документы с грифом «Секретно». Такие же потребности есть у коммерческих организаций, например банков: есть разные типы информации: персональные данные, коммерческая тайна и документы с этими грифами также должны быть гарантированно защищены от утечек, в том числе от одной группы сотрудников к другой. То есть диод данных применяют даже внутри сети.

Как сейчас решается задача однонаправленной передачи данных

Многим известно как обходятся физические ограничения доступа: люди внутри организации на флешках переносят информацию из Интернет в закрытую сеть или из бухгалтерии к программистам или из рабочей сети в тестовую, тратя на это уйму времени. Им приходится игнорировать, что вовнутрь можно принести вредоносный код на флешке точно так же как и по сети. И что самое обидное для владельца информации: на этой же флешке можно унести все в открытый доступ или, не ограничивая общности, к себе домой. А существуют сегменты сети в которых вообще нет никакого контроля. Я имею в виду тестовые сети с совершенно нетестовыми данными. Я пожалуй не буду описывать что творится в тестовых сетях, чтобы совсем уже не испортить безопасникам настроение.

Итак, архитекторы по информационной безопасности используют для упрощения жизни таких компаний специальные сетевые решения, которые называются диод данных. Эти решения позволяют передавать данные только в одном направлении, гарантируя 100%, что утечка не может произойти из внутренней сети и одновременно проверяя получаемые данные, гарантируя отсутствие вредоносных вложений. Как аналог таких решений можно привести обыкновенное радио, которые мы все слушаем в машине или дома. Мы можем переключиться на любую радиостанцию, но передать им ничего не можем – у нас нет передатчика. И именно по такому принципу и работает диод данных – у него физически нет передатчика информации. Как же это сделано?

Пример: задание политики по перемещению потоков информации в сеть и внутри сети государственного органа.

Пример: задание политики по перемещению потоков информации в сеть и в сети коммерческой организации.

Принцип работы диода данных

Существует несколько производителей диодов данных, но все они используют для гарантии однонаправленной передачи законы физики. А именно: отсутствие передатчика в защищаемой сети и приемника в сети с более низким грифом (или публичной).

Как вы знаете, для соединения сетей используют оптоволоконное соединение, которое в привычном многим случае состоит из двух оптоволоконных кабелей. В случае с диодом данных кабель, который отвечает за передачу данных из секретной сети убирают и, заодно, выпаивают передатчик и приемник. Соответственно, поскольку у канала передачи данных теперь есть только кабель, по которому можно передавать в одну сторону, то передавать в обратную сторону физически невозможно. То есть образуется однонаправленный канал передачи. Таким образом мы физичечески гарантируем отсутствие утечки информации из секретной сети, но зато имеем возможность получать информацию из Интернет или других сетей: своих партнеров или своей же организации. Производители таких решений должны решить как этот физический канал окружить необходимым функционалом, программным обеспечением и другими компонентами, о которых мы поговорим ниже, например антивирусной защитой принимаемой информации. Однако, первый вопрос, который мне задают, когда слышат про диод данных:
«А как же работает TCP/IP?”. Читаем дальше.

Пример: диод данных, окруженный Ethernet конверторами. Вы видите, что второго оптического кабеля нет, соответственно передавать информацию возможно только в одном направлении.

Реализация диода данных

Казалось бы – так просто, что можно сделать самому. Однако производители таких устройств сталкиваются с несколькими проблемами. В первую очередь это как гарантировать высокую и безошибочную скорость передачи и синхронизацию данных, когда нет никаких сигналов подтверждения. Вдобавок, оказалось, что все транспортные протоколы, например TCP (или кто еще помнит SPX) – им всем нужна двунаправленная физическая линия для работы. В случае с прерыванием передачи данных в одном из направлений, транспортный протокол вообще не работает.

Для того, чтобы заработали двунаправленные протоколы все производители устанавливают до и после диода данных специальные прокси сервера. Это могут быть обычные компьютеры, которые эмулируют необходимый протокол: TCP/IP, FTP, SMTP, SMB, HTTP и т.д. Таким образом до диода данных и после диода данных в обеих разделяемых сетях работает двунаправленный протокол, работают привычные нам сервисы FTP, SMB(CIFS), SMTP, POP3, IMAP, HTTP и, благодаря совместной работе таких прокси серверов через диод данных, наши данные оказываются внутри защищаемой сети, но никак не могут уже выйти наружу. Соответственно, при выборе производителя интересуйтесь какие прокси реализованы и, самое главное, кто будет их настраивать под ваши задачи.

Физическая скорость передачи данных бывает разная. Я встречал производителей, которые декларируют скорость 1Гбит в секунду. В основном скорость работы таких устройств 100Мб/с. При выборе такого устройства, обязательно интересуйтесь этим параметром.

Пример: схема использования диода данных с прокси серверами.

Типовые задачи, которые решает диод данных

В первую очередь это получение обновлений для программного обеспечения и для средств безопасности. Например, вы можете установить у себя Microsoft WSUS и соотвественно централизованно в закрытой сети ставить с него обновления, а сами обновления WSUS будет получать из Интернет автоматически через диод данных. То же самое с другими программами, например обновление антивирусных баз удобно получать таким образом. Это гораздо быстрее чем на флешке.

Репликация базы данных из публичной сети с внутренней базой. Соответственно вы можете собирать любые необходимые вам данные, анализировать и обрабатывать, не боясь что результаты вашей работы «утекут» наружу. Пример такой системы – система сбора результатов выборов (президента или депутатов). В центре вы можете получать информацию о работе всех участков в стране, но сводные данные из центра гарантированно не могут быть отправлены в общедоступные сети.

Можно придумать и другие приложения, например, я знаю решение когда диод данных принимает скриншоты с компьютеров или другое, где передают буфер обмена (Clipboard) или где синхронизируют время по NTP между открытой и закрытой сетями. Число решений на этой базе можно увеличивать и увеличивать.

Обратная картина. Часто вы должны собирать информацию по SNMP, Syslog и другим способом из сетей, к которым у вас гарантированно не должно быть доступа. То есть вы должны получать ровно то, что вам передают. Вспоминаем пример с радио. Для этой задачи ставится диод данных – в центр мониторинга передают из таких сетей необходимые данные, а в случае появления злоумышленника в центре мониторинга – при всем желании он не сможет попасть в сети, которые мы мониторим. Естественно, здесь характерным примером являются сети SCADA (АСУТП). Именно в них часто не хватает такого необходимого компонента, как диод данных. Также такие решения являются полезными для аутсорсинга: когда некоторые внешние организации должны получать только явно заданную информацию, но никак не должны проникать внутрь через другие сервысы. На сегодняшний день для такого разграничения используются межсетевые экраны, но они гарантировать отсутствие утечек не могут.

Проверка данных, получаемых через диод данных.

Еще одна тонкость: данные, которые вы получаете в закрытую сеть через диод данных по-прежнему нужно проверять на целостность, точность и достоверность. Для этого существуют уже давно известные системы: шифрование, электронная подпись и т.д. Часто такие системы оборудуются проверкой на вирусы: любую информацию после диода данных нужно пропускать через антивирусную систему и через системы обнаружения (а лучше предотвращения) атак, поскольку передачу вредоносного кода и уязвимости в используемом вами программном обеспечении никто не отменял.

Пример: Диод данных, реализованный как сетевая карта. Работает либо как приемник, либо как передатчик информации. Разработка компании АНКАД.

Другие виды диодов данных

Другим сетевым устройством, которое вы можете рассмотреть, является TAP (не знаю как перевести c английского. Кран – некрасиво. Завёртыш – чуднО.) Кстати, купить его в нашей стране очень трудно. Он сделан так, что не может передавать данные в порт, на котором слушаете трафик. И он может быть полноценным диодом данных для вас, хотя, конечно, его предназначение другое. И еще у него нет сертификата. А у многих диодов данных есть сертификат по Commom Criteria EAL 4+ или даже EAL 7+.

Учитывайте, что бывают и версии TAP специально созданные под системы обнаружения атак, которые могут посылать данные в сеть (называются Active Response TAP). Они нужны, поскольку TCP Reset нужен для некоторых таких систем для остановки атаки.

Пример: TAP (на картинке оптический TAP) получает информацию о трафике в сети, но передавать не может.

Существуют еще диоды данных для USB, они гарантируют, что информация будет копироваться только в одном направлении через подключенную к ним флешку. Это какой-то эволюционно переходный метод, так что серьезно его рассматривать не стоит.

Пример: USB диод данных для передачи информации через флешку.

Заключение

На конец 2011 года диоды данных предлагаются одним российским и многочисленными зарубежными производителями. Лучше всего заказывать данное решение вместе с интеграцией, чтобы получить готовый функционал, который вам необходим.

В то же время расcмотренная технология однонаправленной передачи данных и используемые методы защиты еще редко преподаются на курсах и в институтах. Поэтому распространяйте эти знания среди своих коллег и используйте эту технологию сами.

Источник