Datendiode cyber-diode – technischer Überblick (Teil 1)

Datendiode cyber-diode – technischer Überblick (Teil 1)

Die Security Appliance cyber-diode erlaubt "by Design" Datenkommunikation in nur eine Richtung, lässt aber gleichzeitig Feedback zu, ob die Daten korrekt beim Empfänger angekommen sind. So können Daten zuverlässig und schnell von einem Netzwerk an ein anderes übertragen werden – ohne Risiko, dass der Sender in Gegenrichtung angegriffen werden kann. Hier erfahren Sie mehr.

Typischer Einsatzbereich ist der Schutz von Produktionsanlagen, die via Internet Daten an Monitoring-Systeme senden und somit prinzipiell angreifbar sind. Die cyber-diode verhindert unbefugte Zugriffe sowie das Eindringen von Malware, ohne das Anlagen-Monitoring zu beeinträchtigen.

Daten fließen "by Design" in nur eine Richtung

Von außen betrachtet und auf den ersten Blick verhält sich die cyber-diode ähnlich wie eine Firewall – sie wird zwischen zwei Netzen eingebaut und kontrolliert den Datenverkehr. Daten von Clients auf der sogenannten "schwarzen" Seite werden von der cyber-diode angenommen und an Zielserver auf der anderen, "roten" Seite weitergeleitet. Die dabei erlaubten Quell- und Ziel-IP-Adressen und Ports lassen sich konfigurieren.

Übertragungsmodi

Im Proxy-Modus adressiert der Client die cyber-diode und die ausgehenden Pakete tragen dann auch deren Quell-IP-Adresse, im transparenten Modus spricht der Client direkt den Server an und der Server sieht die Quell-IP-Adresse des Clients:

Proxy-Modus und transparenter Modus im Vergleich

Jeglicher Verbindungsaufbau von der roten Seite zur schwarzen Seite wird abgelehnt. Anders als bei einer Firewall ist es jedoch bei der cyber-diode auch innerhalb einer bestehenden Verbindung nicht erlaubt, Daten an die schwarze Seite zu senden. In diesem Fall wird die Verbindung sofort abgebrochen. Dieses Verhalten ist fest einprogrammiert, wird immer durchgesetzt und lässt sich auch durch Fehler bei der Konfiguration nicht aushebeln.

Interner Aufbau im Überblick

Die Software der cyber-diode besteht aus mehreren Subsystemen (siehe Abbildung): Basis ist ein L4-Microkernel, der die Hardware in mehrere streng voneinander getrennte Bereiche, sogenannte Compartments, aufteilt. In zwei Compartments läuft die Software unserer Firewall & VPN-Appliance genuscreen, durch Paravirtualisierung angepasst an den Microkernel.

Die Compartments mit ihren Funktionen

Die schwarze genuscreen nimmt die gesendeten Daten per TCP/IP von den Clients aus dem schwarzen Netz an, die rote genuscreen leitet die Daten letztlich an die Zielserver im roten Netz weiter. In der Mitte zwischen dem roten und dem schwarzen genuscreen Compartment befindet sich als zentrale Filterkomponente der Oneway-Task. Dieser kopiert die Daten vom einen in das andere genuscreen Compartment und stellt dabei sicher, dass Nutzdaten nur von Schwarz nach Rot gelangen und niemals in Gegenrichtung. Das sogenannte Update Compartment erlaubt es, die Konfiguration und Software der cyber-diode bei Bedarf per USB-Stick zu aktualisieren.

Die cyber-diode basiert auf dem L4-Microkernel und Separationstechnologie. Die Details erfahren Sie im zweiten Teil unseres Beitrags!

 

Bildquellen: © Cigdem - Fotolia.com


Lesen Sie auch

Diskutieren Sie mit

Sie können diesen Artikel sofort ohne Registrierung als Gast-User kommentieren.

Registrieren Sie sich jetzt! Mit einem User Account genießen Sie Vorteile:
Ihr Kommentar wird sofort im genublog veröffentlicht und Sie werden über Reaktionen auf Ihre Kommentare informiert.

Bereits registrierte User gelangen hier zum Login.



Registrieren Sie sich jetzt! Mit einem User Account genießen Sie Vorteile:
Ihr Kommentar wird sofort im genublog veröffentlicht und Sie werden über Reaktionen auf Ihre Kommentare informiert.

Bereits registrierte User gelangen hier zum Login.