I diodi dati sono sicuri? Cosa c'è da sapere

Con l'aumento delle richieste di connettività, le organizzazioni si trovano di fronte a una sfida cruciale: come possono sfruttare i vantaggi della connettività garantendo al contempo una solida protezione contro le minacce informatiche in continua evoluzione? Una soluzione sempre più diffusa è il diodo dati, un dispositivo hardware specializzato progettato per garantire una comunicazione unidirezionale e proteggere i sistemi critici da attacchi esterni.

In questo post esploreremo le capacità dei diodi di dati e risponderemo alla domanda più importante: I diodi di dati sono veramente sicuri?

A diodo dati è un dispositivo hardware che applica comunicazione unidirezionale (ad esempio, da una rete ad alta sicurezza a una rete meno sicura) attraverso un collegamento fisico in cui non esiste un percorso fisico per il ritorno dei dati.

I diodi di dati sono ampiamente utilizzati negli ambienti protetti dall'aria. Una rete protetta dall'aria è completamente isolata dalle comunicazioni esterne. Dato il loro isolamento fisico, queste reti sono un modo affidabile per proteggere i sistemi e i dati sensibili. Tuttavia, le reti air-gapped richiedono spesso un meccanismo controllato per lo scambio di informazioni con altri sistemi, ad esempio per trasferire log o aggiornamenti di sistema. Un diodo dati serve a questo scopo, consentendo trasferimento dati unidirezionale mantenendo l'integrità e l'isolamento della rete a tenuta d'aria nell'altra direzione.

Indipendentemente dal tipo di file o di dati trasferiti, un diodo di dati è deterministico per design, garantendo che il flusso di dati sia rigorosamente unidirezionale e operi con un comportamento prevedibile. Ciò rende i diodi di dati adatti ad affrontare le sfide che le soluzioni software tradizionali, come i firewall, non sono in grado di risolvere, in particolare in ambienti con dati altamente sensibili o classificati. I firewall, essendo basati su software, sono suscettibili alle vulnerabilità del software e agli errori di configurazione e non possono prevenire gli attacchi delle minacce interne.

Con il suo natura unidirezionale, il diodo dati assicura:

• Nessun dato esterno può tornare indietro attraverso il canale, eliminando le vulnerabilità ad attacchi come l'esfiltrazione dei dati.
• Applicazione della segregazione di rete, per soddisfare i requisiti di conformità dei settori delle infrastrutture critiche come le utility, la difesa e i sistemi finanziari.

In alcuni scenari, i firewall e i diodi di dati possono essere utilizzati insieme per implementare una strategia di sicurezza specifica. I firewall ispezionano e filtrano il traffico di rete in base a regole, mentre i data diode impongono un flusso di dati unidirezionale attraverso un percorso fisico unidirezionale. La combinazione di queste tecnologie fornisce una difesa a strati, particolarmente utile in architetture di sicurezza complesse o come meccanismo di sicurezza.

La natura unidirezionale del diodo dati è garantita dalla progettazione: la connessione fisica consiste in un modulo T (modulo di trasmissione) sull'unità mittente e in un modulo R (modulo di ricezione) sull'unità ricevente, collegati tramite una connessione in fibra ottica progettata per un flusso di dati unidirezionale, come si vede nel diagramma seguente.

Il modulo T è dotato di un diodo laser (o di un altro trasmettitore ottico) per la trasmissione dei dati (TX), mentre il modulo R contiene solo un ricevitore, privo di un laser di trasmissione, impedendo così la trasmissione dei dati all'indietro (RX). Questa architettura brevettata rende fisicamente impossibile l'inversione del flusso di dati, anche in caso di errata configurazione o manomissione informatica.

ST Engineering (Singapore Technologies Engineering) è una società globale di tecnologia e ingegneria che fornisce soluzioni in diversi settori, tra cui la sicurezza informatica, i sistemi autonomi, la mobilità urbana, le tecnologie di difesa e le infrastrutture critiche.

ST Engineering ha lanciato ufficialmente i suoi primi diodi dati nel 2015 come parte della sua linea di prodotti per la cybersecurity. Le caratteristiche attuali dei diodi di dati includono:

1. Velocità di trasferimento ad alta velocità, che li rende in grado di gestire in modo efficiente grandi volumi di dati senza compromettere la sicurezza - fino a 10 Gbps per i modelli 5282/5283.
2. Trasferimento di file senza perdite, testato rigorosamente per migliorare l'affidabilità.
3. Trasferimento di file ad alta velocità (più di 5 TB di file al giorno)
4. Alta disponibilità (HA) configurabile senza hardware o software aggiuntivi, per garantire la ridondanza.
5. Facilità di manutenzione: non sono necessari proxy, aggiornamenti regolari o patch.
6. Versatilità del protocollo, con supporto di un'ampia gamma di protocolli :

• • Protocolli di rete e di comunicazione: TCP, UDP, SYSLOG, SNMP Traps, HTTP, HTTP(S), Modalità Sonda
  • Protocolli di trasferimento e archiviazione dei file: Mirroring delle cartelle (SMB, SAMBA), SFTP, FTP, SMTP
  • Protocolli industriali e IoT: OPC UA, Kafka, Sistema PI, MODBUS (RS232/TCP), IEC 104, MQTT, RTSP

7. Affidabile e certificato: Diodo dati ST Engineering 3284 & 5282/5283 sono certificati NITES e CC EAL 4+.
8. Portale di gestione integrato, che consente di semplificare l'implementazione e il monitoraggio.

Queste caratteristiche rendono la soluzione altamente adattabile a diversi casi d'uso, dalle operazioni industriali ai sistemi governativi sicuri.

Dal 2025 in poi, I diodi dati ST Engineering possono essere combinati con le soluzioni software di sincronizzazione Connecting Softwareoffrendo un'indispensabile via pratica alla sincronizzazione ad alta sicurezza.

Presentiamo questo approccio con ulteriori dettagli tecnici nel nostro post sul blog sincronizzare in modo sicuro i server Microsoft Exchange in ambienti protetti da diodi di dati.

Ecco alcune risposte rapide alle domande pratiche più comuni sull'impiego dei diodi di dati:

• Opzioni di monitoraggio: Il monitoraggio può essere effettuato tramite Syslog, Trap SNMP o avvisi e-mail SMTP a livello di applicazione.
• Caching per TCP: La funzionalità di cache del ricevitore garantisce la continuità dei dati anche in caso di problemi di connessione.
• Garanzia e SLA: Dovreste verificare qual è la garanzia standard sull'hardware ed eventualmente considerare la possibilità di aggiornarla con contratti di servizio personalizzati (SLA).