Red unidireccional

Una red unidireccional (también conocida como puerta de enlace unidireccional o diodo de datos ) es un dispositivo de red que permite que los datos viajen en una sola dirección. Los diodos de datos se encuentran con mayor frecuencia en entornos de alta seguridad, como la defensa, donde sirven como conexiones entre dos o más redes con diferentes clasificaciones de seguridad. Dado el auge del IoT industrial y la digitalización , esta tecnología ahora se encuentra en el nivel de control industrial para instalaciones como centrales nucleares , generación de energía y sistemas críticos para la seguridad, como las redes ferroviarias. ^{[ 1 ]}

Tras años de desarrollo, los diodos de datos han evolucionado desde ser simplemente un dispositivo de red que permitía que los datos sin procesar viajaran en una sola dirección, utilizado para garantizar la seguridad de la información o la protección de sistemas digitales críticos, como los sistemas de control industrial, frente a ciberataques entrantes, ^{[ 2 ] [ 3 ]} hasta convertirse en combinaciones de hardware y software que se ejecutan en ordenadores proxy en las redes de origen y destino. El hardware impone la unidireccionalidad física, y el software replica bases de datos y emula servidores de protocolo para gestionar la comunicación bidireccional. Los diodos de datos ahora son capaces de transferir múltiples protocolos y tipos de datos simultáneamente. Incluyen una gama más amplia de funciones de ciberseguridad , como arranque seguro , gestión de certificados , integridad de datos , corrección de errores hacia adelante (FEC), comunicación segura mediante TLS , entre otras. Una característica única es que los datos se transfieren de forma determinista (a ubicaciones predeterminadas) con una "ruptura" de protocolo que permite que los datos se transfieran a través del diodo de datos.

Los diodos de datos se encuentran comúnmente en entornos militares y gubernamentales de alta seguridad, y ahora se están extendiendo ampliamente en sectores como el petróleo y el gas , el agua/aguas residuales, los aviones (entre las unidades de control de vuelo y los sistemas de entretenimiento a bordo), la fabricación y la conectividad en la nube para el IoT industrial . ^{[ 4 ]} Las nuevas regulaciones ^{[ 5 ]} han aumentado la demanda y, con el aumento de la capacidad, los principales proveedores de tecnología han reducido el costo de la tecnología central.

Los primeros diodos de datos fueron desarrollados por organizaciones gubernamentales en las décadas de 1980 y 1990. Dado que estas organizaciones manejan información confidencial , garantizar la seguridad de su red es de máxima prioridad. Las soluciones principales que utilizaban eran las redes aisladas. Sin embargo, a medida que aumentaba la cantidad de datos transferibles y la importancia de un flujo de datos continuo y en tiempo real, estas organizaciones tuvieron que buscar una solución automatizada.

En su búsqueda de una mayor estandarización, un número creciente de organizaciones comenzó a buscar una solución que se adaptara mejor a sus actividades. Las soluciones comerciales creadas por organizaciones consolidadas tuvieron éxito gracias a su nivel de seguridad y soporte a largo plazo.

En Estados Unidos, las empresas de servicios públicos y de petróleo y gas han utilizado diodos de datos durante varios años, y los organismos reguladores han fomentado su uso para proteger equipos y procesos en sistemas instrumentados de seguridad (SIS) . La Comisión Reguladora Nuclear (NRC) ahora exige el uso de diodos de datos, y muchos otros sectores, además del eléctrico y el nuclear, también los utilizan eficazmente. ^{[ 1 ]}

En Europa, los reguladores y operadores de varios sistemas críticos para la seguridad comenzaron a recomendar e implementar regulaciones sobre el uso de pasarelas unidireccionales. ^{[ 6 ]}

En 2013, el informe "Ciberseguridad de los sistemas de control industrial", dirigido por la Agencia Francesa de Seguridad de las Redes y la Información ( ANSSI ), declaró que está prohibido utilizar cortafuegos para conectar cualquier red de clase 3, como los sistemas de conmutación ferroviaria, a una red de clase inferior o a una red corporativa; solo se permite la tecnología unidireccional. ^{[ 5 ]}

• Supervisión en tiempo real de redes críticas para la seguridad.
• Puente seguro entre OT e IT ^{[ 7 ]}
• Conectividad segura en la nube de redes OT críticas ^{[ 8 ]}
• Replicación de bases de datos
• minería de datos
• Soluciones de back-end confiables y alojadas en la nube híbrida (privada/pública).
• Intercambio seguro de datos para mercados de datos
• Aprovisionamiento seguro de credenciales/certificados
• Compartir de forma segura entre bases de datos
• Impresión segura desde una red menos segura a una red de alta seguridad (reduciendo los costos de impresión)
• Transferencia de actualizaciones de aplicaciones y del sistema operativo desde una red menos segura a una red de alta seguridad.
• Sincronización horaria en redes de alta seguridad
• Transferencia de archivos
• Vídeo en streaming
• Envío/recepción de alertas o alarmas desde redes abiertas a redes críticas/confidenciales ^{[ 9 ]}
• Envío/recepción de correos electrónicos desde redes abiertas a redes críticas/confidenciales
• Gobierno ^{[ 10 ]}
• Empresas comerciales ^{[ 11 ]}

Tradicionalmente, cuando la red de TI proporciona acceso al servidor DMZ a un usuario autorizado, los datos son vulnerables a intrusiones desde la red de TI. Sin embargo, con pasarelas unidireccionales que separan un lado crítico o red OT con datos confidenciales de un lado abierto con conectividad empresarial e Internet (normalmente la red de TI), las organizaciones pueden lograr lo mejor de ambos mundos, habilitando la conectividad necesaria y garantizando la seguridad. Esto se mantiene incluso si la red de TI se ve comprometida, ya que el control del flujo de tráfico es de naturaleza física. ^{[ 15 ]}

• No se han reportado casos de diodos de datos que hayan sido eludidos o explotados para habilitar el tráfico bidireccional. ^{[ 2 ]}
• Menor costo operativo a largo plazo (OPEX) ya que no hay reglas que mantener. Aunque habrá actualizaciones de software que instalar. A menudo, estos dispositivos requieren mantenimiento por parte de los proveedores. ^{[ 2 ]}
• La capa de software unidireccional no se puede configurar para permitir el tráfico bidireccional debido a la desconexión física de la línea RX o TX. ^{[ 2 ]}

• En junio de 2015, las pasarelas unidireccionales aún no se utilizaban comúnmente ni se comprendían bien. ^{[ 2 ]}
• Las pasarelas unidireccionales no pueden enrutar la mayor parte del tráfico de red y rompen la mayoría de los protocolos. ^{[ 2 ]}
• Coste; los diodos de datos eran originalmente caros, aunque ahora existen soluciones más económicas.
• Los casos de uso específicos que requieren un flujo de datos bidireccional pueden ser difíciles de lograr.

La forma más simple de una red unidireccional es un enlace de red de fibra óptica modificado , con los transceptores de envío y recepción retirados o desconectados para una dirección, y con cualquier mecanismo de protección contra fallos de enlace desactivado. Algunos productos comerciales se basan en este diseño básico, pero añaden funcionalidades de software que proporcionan a las aplicaciones una interfaz que les permite transmitir datos a través del enlace.

Los diodos de datos totalmente ópticos admiten capacidades de canal muy altas y se encuentran entre los más sencillos. En 2019, Controlled Interfaces demostró su enlace de fibra óptica unidireccional (ahora patentado) utilizando transceptores comerciales estándar de 100G en un par de plataformas de conmutación de red Arista . No se requiere software de controlador especializado.

Otras soluciones comerciales más sofisticadas permiten la transferencia simultánea de datos en una sola dirección mediante múltiples protocolos que normalmente requieren enlaces bidireccionales. Las empresas alemanas INFODAS y GENUA han desarrollado diodos de datos basados ​​en software (lógicos) que utilizan un sistema operativo Microkernel para garantizar la transferencia de datos unidireccional. Gracias a su arquitectura de software, estas soluciones ofrecen mayor velocidad que los diodos de datos convencionales basados ​​en hardware.

ST Engineering ha desarrollado su propia puerta de enlace de aplicaciones electrónicas seguras, que consta de múltiples diodos de datos y otros componentes de software, para permitir transacciones de servicios web HTTP(S) bidireccionales en tiempo real a través de Internet, protegiendo al mismo tiempo las redes seguras contra inyecciones maliciosas y fugas de datos. ^{[ 16 ]}

En 2018, Siemens Mobility lanzó una solución de puerta de enlace unidireccional de grado industrial en la que el diodo de datos, Unidad de Captura de Datos , utiliza inducción electromagnética y un nuevo diseño de chip para lograr una evaluación de seguridad EBA , garantizando la conectividad segura de sistemas críticos de seguridad nuevos y existentes hasta el nivel de integridad de seguridad (SIL) 4 ^{[ 17 ]} para habilitar IoT seguro y proporcionar análisis de datos y otros servicios digitales alojados en la nube . ^{[ 18 ]}

En 2022, Fend Incorporated lanzó un diodo de datos capaz de funcionar como puerta de enlace Modbus con aislamiento óptico completo. Este diodo está dirigido a mercados industriales e infraestructuras críticas, y sirve para conectar tecnologías obsoletas con sistemas de TI más modernos. El diodo también funciona como convertidor Modbus, con la capacidad de conectarse a sistemas RTU serie por un lado y a sistemas Ethernet TCP por el otro.

El Laboratorio de Investigación Naval de EE. UU. (NRL) ha desarrollado su propia red unidireccional llamada Network Pump. ^{[ 19 ]} Esta es, en muchos aspectos, similar al trabajo de DSTO, excepto que permite un canal de retorno limitado que va del lado de alta a baja velocidad para la transmisión de acuses de recibo. Esta tecnología permite utilizar más protocolos en la red, pero introduce un posible canal encubierto si tanto el lado de alta como el de baja velocidad se ven comprometidos al retrasar artificialmente el momento del acuse de recibo. ^{[ 20 ]}

Las distintas implementaciones también presentan diferentes niveles de certificación y acreditación por parte de terceros. Un dispositivo de protección de dominio cruzado destinado a un contexto militar puede tener o requerir una amplia certificación y acreditación por parte de terceros. ^{[ 21 ]} Sin embargo, un diodo de datos destinado a uso industrial puede no tener ni requerir ninguna certificación ni acreditación por parte de terceros, dependiendo de la aplicación. ^{[ 22 ]}

• BAE Systems - EE. UU./Reino Unido
• OPSWAT - global
• Siemens - Alemania
• ST Engineering - Singapur

• Modelo Bell-LaPadula para la seguridad
• Conexión de red
• Sistema de detección de intrusiones

• Blog de Patton: Uso de circuitos de datos simplex para redes de ultra alta seguridad
• Documento del Instituto SANS sobre diodos de datos tácticos en sistemas de automatización y control industrial.
• Guía de seguridad para sistemas de control industrial (ICS) Departamento de Comercio de los Estados Unidos - Instituto Nacional de Estándares y Tecnología sobre el uso de diodos de datos en sistemas de control industrial.
• Mejora de la ciberseguridad de los sistemas de control industrial con estrategias de defensa en profundidad. Departamento de Seguridad Nacional de los Estados Unidos - Equipo de respuesta a emergencias cibernéticas de sistemas de control industrial sobre el uso de diodos de datos.
• Blog de DataFlowX: Ciberseguridad en entornos aislados: Protección de redes sensibles