موضوع مقاله: شبکه یک‌طرفه | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # شبکه یک‌طرفه | مقدمه: یک شبکه یک جهته (که به آن دروازه یک طرفه یا دیود داده نیز می‌گویند) یک دستگاه شبکه می‌باشد که اجازه می‌دهد داده‌ها تنها در یک جهت حرکت کنند. | ## بخش 1: شبکه یک‌طرفه | دیودهای داده یا Data Diodes را بیشتر در محیط‌های با امنیت بالا می‌توان یافت، به عنوان مثال در مراکز دفاعی، این دستگاه به عنوان دو اتصال بین دو یا چند شبکه با کلاس‌های امنیتی متفاوت عمل می‌کند. پس از سالها توسعه، دیودهای داده از تنها یک ابزار شبکه و دستگاهی که به داده‌های خام تنها اجازه جرکت در حرکت را می‌داد، که در تضمین امنیت اطلاعات یا محافظت از سیستم‌های دیجیتال حیاتی، مانند محافظت از سیستم‌های کنترل صنعتی از حملات سایبری درونی (inbound cyber attacks) تا ترکیبی از سخت‌افزار و نرم‌افزارهایی که در پراکسی سرورها در شبکه مبدأ و مقصد استفاده می‌شود، تبدیل شده‌است. سخت‌افزار انتقال داده در یک حهت را از منظر فیزیکی اعمال می‌کند و نرم‌افزار از پایگاه داده‌ها رونوشت ایجاد کرده و پروتکل‌های سرور را برای مدیریت ارتباطات دو طرفه آماده می‌کند. دیودهای داده اکنون قادرند که نوع‌های داده مختلف را تحت چندین پروتکل به‌طور همزمان انتقال دهند. یک ویژگی محنصر بفرد دیودهای داده این است که داده‌ها به‌طور قطعی (به مکان‌های از پیش تعیین شده) توسط یک پروتکل "شکست" یا "break" انتقال داده می‌شوند که به داده‌ها اجازه می‌دهند تا از طریق دیود داده منتقل شوند. دیودهای داده به‌طور معمول در محیط‌های نظامی و دولتی با با امنیت بالا پیدا می‌شوند و اکنون نیز در حال گسترش به بخش‌هایی مانند نفت و گاز، آب/فاضلاب، هواپیماها (بین واحدهای کنترل پرواز و سیستم‌های سرگرمی داخل پرواز)، تولید و اتصال ابری اینترنت اشیا صنعتی می‌باشند. مقررات جدید تقاضاها را افزایش داده و با افزایش ظرفیت، فروشندگان عمده فناوری و تکنولوژی هزینه فناوری اصلی مورد نیاز را کاهش داده‌اند. تاریخچه اولین دیودهای داده توسط سازمان‌های دولتی در دهه‌های هشتاد و نود میلادی ساخته شد. به دلیل اینکه این سازمان‌ها با اطلاعات محرمانه کار می‌کنند، اطمینان ا امن بودن شبکه آنها از بالاترین اولویت‌های آنها می‌باشد. راه حل‌های اولیه که توسط این سازمان‌ها مورد اسافتاده قرار می‌گرفت، شکاف‌های هوایی یا air gaps بود. اما با افزایش مقدار داده‌های قابل انتقال و پراهمیت تر شدن ارتباط‌ها و جریان‌های داده پیوسته و بی درنگ (real-time)، این سازمان‌ها مجبور بودند که به دنبال یک راه حل اتوماتیک باشند. به دنبال استانداردسازی‌های بیشتر، سازمان‌ها و نهادهای بیشتری به دنبال راه حل‌های بهتری گشتند تا گزینه بهتر و مناسب تری برای فعالیت‌ها و نیازهای آنها باشد. راه حل‌های تجاری ایجاد شده توسط‌های سازمان‌های پایدار و بزرگ، با توجه به سطح امنیت و پشتیبانی طولانی مدن موفق شدند. در ایالات متحده، شرکت‌های اب، برق، نفت و گاز برای برای سال‌های طولانی از دیودها داده استفاده می‌کردند، تنظیم کننده‌ها و ناظران نیز استفاده از آنها را برای محافظت از تجهیزات و فرایندهای SIS تشویق کرده‌اند. کمسیون تنظیم مقررات هسته ای (NRC) نیز اکنون استفاده از دیودهای داده را اجباری کرده‌است. علاوه بر تأسیسات هسته ای و برق خیلی بخش‌های دیگر نیز از دیودهای داده به‌طور مؤثر استفاده می‌کنند. در سال ۲۰۱۳، سیستم کنترل صنعتی امنیت سایبری، توسط آژانس امنیت شبکه و اطلاعات فرانسه (ANSSI) اعلام کرد که استفاده از فایروال یا دیوار آتش برای اتصال هر شبکه کلاس ۳، مانند سیستم‌های سوییچینگ راه‌آهن، به یک شبکه کلاس پایین‌تر یا شبکه شرکتی ممنوع است و تنها باید از فناوری یک طرفه مانند دیودهای داده استفاده کرد. در حالی که استفاده از این دستگاه‌ها در محیط‌های با امنیت بالا مانند دفاع و جاهایی که آنها به عنوان اتصال میان دو یا چند شبکه با طبقه‌بندی‌های امنیتی مختلف عمل می‌کنند رایج است. | ## بخش 2: شبکه یک‌طرفه | این تکنولوژی همچنین برای اعمال ارتباطات یک طرفه خروجی از سیستم‌های دیجیتال حیاتی به شبکه‌های غیرقابل اعتماد که به اینترنت متصل شده‌اند استفاده می‌شود. ماهیت و ذات فیزیکی شبکه‌های یک طرفه این است که به داده‌ها اجازه می‌دهند تا تنها از یک طرف شبکه به طرف دیگر اتصال منتقل می‌شوند و در جهت عکس داده‌ای نمی‌تواند منتقل شود. این انتقال می‌تواند از سمت بودن اعتماد به طرف شبکه مورد اعتماد و امن باشد یا برعکس. در حالت دوم، یک سستم فیزیکی حیانتی می‌تواند می‌تواند برای مونیتور شدن و نظارت آنلاین قابل دسترسی باشد، اما در برابر تمام حملات مبتنی بر اینترنت که ممکن است آسیب فیزیکی به سیستم وارد شود ایزوله باشد. در هر دو حالت، ارتصال موجود به صورت یک طرفه باقی می‌ماند حتی اگر هر دو طرف شبکه به خطر بیفتند، زیرا ضمانت‌هایی که در داده‌ها را در این شبکه انتقال می‌دهند، ماهیت فیزیکی دارند. در مدل کلاسیک، هدف دیودهای داده جلوگیری از خارج شدن اطلاعات محرمانه و طبقه‌بندی شده از یک ماشین امن می‌باشد در حالی که اجازه می‌دهد تا اطلاعات از دستگاه‌های نا امن وارد شوند. در مدل دوم و جایگزین، دیود اجازه می‌دهد تا داده‌ها از یک ماشین محافظت شده خارج شوند در حالی که از مورد حمله قرار گرفتن آن ماشین جلوگیری می‌شود. جریان یک طرفه به سیستم‌های کمتر امن جریان یک طرفه به سیستم‌های با امنیت کمتر شامل سیستم‌هایی است که باید در برابر حملات راه دور/خارجی که از شبکه‌های عمومی که داده‌ها و اطلاعات را به آنها منتشر می‌کنند، ایمن باشند. به عنوان مثال، یک سیستم مدیریت انتخاباب که از رای‌گیری الکترونیکی استفاده می‌شود را در نظر بگیرید، این سیستم باید نتایج انتخابات را در دسترس عموم قرار دهد در حالی باید از حمله در امان باشد.Douglas W. این مدل برای انواع مشکلات حفاظت از زیرساخت‌های حیاتی، که در آن حفاظت از داده‌ها در یک شبکه اهمیت کمتری نسبت به کنترل قابل اعتماد و عملکرد صحیح شبکه دارد، قابل استفاده و مناسب است. به عنوان مثال، مردمی که در پایین دست یک سد زندگی می‌کنند به اطلاعات به روز در مورد جریان خروجی نیاز دارند و همین اطلاعات یک ورودی حیاتی برای سیستم کنترل برای سیل‌بندها است. در چنین شرایطی، بسیار مهم است که جریان اطلاعات از سیستم کنترل امن به عموم باشد و نه برعکس. جریان یک طرفه به سیستم‌های امن تر اکثر کاربردهای شبکه‌های یک طرفه در این دسته مربوط به دفاع و پیمانکاران دفاعی می‌باشد. این سازمان‌ها به‌طور سنتی از شکاف‌های هوایی (air gaps) استفاده می‌کنند تا داده‌های طبقه‌بندی شده و محرمانه را به‌طور فیزیکی از هرگونه ارتباطات با اینترنت جدا کنند. با معرفی شبکه‌های یک طرفه در برخی از این محیط‌های دفاعی، درحه ای از اتصال می‌تواند به‌طور ایمن بین یک شبکه که دارای اطالاعات طبقه‌بندی شده و محرمانه می‌باشد و یک شبکه با اتصال به اینترنت وجود داشته باشد. فواید به‌طور سنتی، زمانی که شبکه IT دسترسی به سرور DMZ را برای یک کاربر که احراز هویت شده‌است را فراهم می‌کند، داده‌ها در برابر نفوذ توسط شبکه IT آسیب‌پذیر هستند. اگرچه، با یک دروازه یک طرفه که یک بخش حیاتی شبکه OT یا OT network با داده‌های حساس را از یک بخش باز با اتصال‌های تجاری و ایترنت جدا می‌کند، معمولاً شبکه‌های IT و سازمان‌ها می‌توانند هر دو نیازها خود را در بهترین حالت ممکن برطرف کنند به طوری هم اتصال‌های مورد نیاز خود را دارند و هم از مورد امنیت داده‌ها، اطمینان دارند. این امر حتی اگر شبکه IT ما در معرض خطر قرار گیرد نیز برقرار است، زیرا کنترل جریان ترافیک در این روش ماهیت فیزیکی دارد. | ## بخش 3: شبکه یک‌طرفه | هیچ موردی از دور زدن یا سوء استفاده از دیودهای داده برای فعال کردن ترافیک دو طرفه گزارش نشده‌است. هزینه پایینتر عملیات بلندمدت (OPEX) به میزانی است به طوری قوانینی برای نگهداری و تعمیر وجود ندارد. لایه نرم‌افزار تک جهتی را نمی‌توان به گونه ای پیکربندی کرد که به دلیل قطع فیزیکی خط RX یا TX به ترافیک دو طرفه اجازه دهد. نقاط ضعف تا ژوئن ۲۰۱۵، دروازه‌های یک طرفه هنوز به‌طور رایج مورد استفاده قرار نگرفته یا به خوبی شناخته نشده‌اند. دروازه‌های یک طرفه قادر به مسیریابی اکثر ترافیک شبکه و شکستن(break) اکثر پروتکل‌ها نیستند. هزینه؛ دیودهای داده در ابتدا گران بودند، اگرچه راه‌حل‌های کم‌هزینه‌تر اکنون در دسترس هستند. برخی از محصولات تجاری بر اساس همین طراحی پایه ای ساخته شده‌اند، اما دیگر قابلیت‌های نرم‌افزاری به آن اضافه شده‌است که نرم‌افزارهای کاربردی‌ها با واسط‌ها یا interfaceهایی فراهم کند و به آنها اجازه دهد تا داده‌ها بر روی لینک‌ها منتقل کنند. دیودهای داده تمام نوری ظرفیت‌های بسیار بالایی را می‌توانند پشتبانی کنند و در میان ساده‌ترین طراحی‌ها قرار دارند. دیگر پیشنهادهای تجاری پیچیده‌تر انتقال همزمان داده یک طرفه توسط پروتکل‌های متعدد و مختلف را امکان‌پذیر می‌کنند که معمولاً به پیوندهای دو طرفه نیاز دارند. شرکت‌های آلمانی INFODAS و GENUA دیودهای داده مبتنی بر نرم‌افزار ("منطقی") را توسعه داده‌اند که از یک سیستم عامل به مدل میکروکرنل استفاده می‌کند تا اطمینان حاصل شود که داده‌ها تنها در یک جهت حرکت می‌کنند. با توجه به معماری نرم‌افزاری این راه حل‌ها سرعت بالاتری را نسبت به دیودها داده مبتنی بر سخت‌افزار ارائه می‌دهند. در سال ۲۰۱۸، زیمنس موبیلیتی یک راه حل برای دروازه یک طرفه با درجه صنعتی را منتشر کرد که در آن دیودهای داده از القای الکترومغناطیس و طراحی جدید تراشه استفاده می‌کرد تا بتوان به ارزیابی امنیتی EBA دست یافت و اتصالی ایمن برای سیستم‌های ایمنی حیاتی جدید و موجود تا سطح یکپارچگی ایمنی (Safety integrity level (SIL تضمین شود و بدین سبب شرایط اینترنت اشیا ایمن و تجزیه و تحلیل داده و دیگر خدمات دیجیتال میزبان‌های ابری فراهم شود. آزمایشگاه تحقیقات دریایی ایالات متحده (NRL) شبکه یک طرفه خود را به نام پمپ شبکه توسعه داده‌است این شبکه یک طرفه از خیلی جهات شبیه به کار DSTO می‌باشد، با این تفاوت که به یک کانال پشنی محدود اجازه می‌دهد تا از سمت بالا و ایمن شبکه به سمت پایین‌تر برای انتقال acknowledgementها حرکت کند. یک محافظ متقاطع دامنه (cross-domain) که برای استفاده در زمینه‌های در نظر گرفته شده‌است ممکن است دارای گواهینامه و اعتبار سنجی‌های زیادی نیاز داشته باشد. با این حال، یک دیود داده که برای مصارف صنعتی طراحی و در نظر گرفته شده‌است، بسته به کاربرد آن ممکن است اصلاً نیازی به تاییدیه شخص ثالث و گواهینامه نداشته باشد. راهنمای امنیت سیستم‌های کنترل صنعتی (ICS) وزارت بازرگانی ایالات متحده - مؤسسه ملی استانداردها و فناوری در مورد استفاده از دیودهای داده در سیستم‌های کنترل صنعتی. | ## جمع‌بندی | بهبود امنیت سایبری سیستم کنترل صنعتی با استراتژی‌های دفاعی عمیق وزارت کشور ایالات متحده - سیستم‌های کنترل صنعتی امنیتی تیم واکنش اضطراری سایبری در استفاده از دیود داده.