Air-gapped architektúra

1. Az air gap architektúrák típusai¶

Modern légzáras (air gap) architektúrákat többféleképpen is meg lehet valósítani, az alkalmazott megoldások eltérő védelmi szintet és használhatóságot eredményeznek. Az alábbi főbb típusokat különböztetjük meg:

Fizikai légrés: Teljes hardveres elszigetelés, amelynél semmilyen hálózati interfész nem érhető el – sem ethernet, sem Wi‑Fi, sem más vezeték nélküli kapcsolat. Az adatok mozgatása kizárólag fizikai eszközökkel (USB-meghajtók, külső merevlemez, mágnesszalag stb.) lehetséges. Ez a legszigorúbb biztonsági forma: a digitális támadási felület minimális (gyakorlatilag nulla), így távoli behatolással szinte lehetetlen ártani a rendszernek. Ugyanakkor üzemeltetése rendkívül körülményes: a manuális adatátvitel lassú és hibalehetőségekkel teli, ráadásul a frissítések és integritásellenőrzések is komoly logisztikai terhet jelentenek. Tipikus alkalmazási terület például a nukleáris erőművek vezérlőrendszere vagy katonai titkosított adatkezelés. Ilyen környezetben a biztonságért cserébe lemondanak a gyors adatkapcsolatról: a fizikai légzár biztosítja, hogy csak fizikai hozzáférés (engedélyezett személy belépése a helyiségbe) esetén lehessen adatot bevinni vagy kivenni.
Operatív légrés: Eljárás- és időalapú izoláció. A rendszer jellemzően zárt (offline) állapotban van, és csak meghatározott időablakokban vagy manuálisan aktiválják (pl. biztonsági mentési időszak alatt). Az operatív légrés nem csak fizikai leválasztást használ, hanem szigorú protokollokat és felügyeleti folyamatokat: tűzfalak, hálózati szabályok, VPN-ek és egyéb kontrollok korlátozzák a forgalmat, és csak engedélyezett személyek kezelhetik az adatcsere folyamatát. Mivel a rendszerek csak ideiglenesen, ellenőrzött módon csatlakoznak a hálózathoz, ez rugalmasabb működést tesz lehetővé, mint a teljes fizikai elszigetelés. Ugyanakkor nagy körültekintést igényel: a biztonság alul vagy felül mért nyitottsága emberi hibából adódó veszélyforrást jelenthet. Értelmezhetjük úgy, hogy itt „virtuális légzárt” hoznak létre szervezeti szabályokkal és ütemezéssel. Példa: egy kórházi rendszer a biztonsági mentési tárhelyet csak éjszakánként 1 órára kötik be a hálózatba, majd újra lekapcsolják azt.
Elektronikus légrés (hálózati légzár): Egyirányú adatátvitelre épülő izoláció. A cél zónákat olyan speciális eszközökkel vagy konfigurációkkal választják el, hogy az adatkapcsolat csak egy irányban engedélyezett. A legismertebb példa az adatdióda: egy hardveres megoldás, amely fizikailag csak a biztonságos (magasabb biztonsági szintű) oldalról engedi meg az adatok áramlását, visszafelé semmilyen jelt nem enged át. Ennek köszönhetően az adatok (például SCADA-rendszer adatai) kikerülhetnek egy auditált adattárolóba vagy magasabb biztonsági zónába, de visszafelé semmilyen parancs vagy kártevő nem juthat be. Az elektronikus légrés jó kompromisszumot jelent a teljes lezárás és a munka közbeni adatáramlás között: nem teljesen leválasztott, de a kétirányú kapcsolat lehetőségét hardveresen megszünteti. Ipari környezetben (energiaipar, vízgazdálkodás, olaj- és gázipar, gyártás) gyakran alkalmazzák az ilyen megoldásokat, hogy a kritikus vezérlőrendszereket elválasszák a külső hálózatoktól. Hátrány, hogy speciális eszközök (adatdiódák, egyirányú átvitelt támogató hálózati komponensek) szükségesek, és csak korlátozott adatforgalom engedhető meg.
Logikai légrés: Szoftveres izoláció, amelynél a rendszer továbbra is hálózati kapcsolatokkal rendelkezik, de a hozzáférés erősen korlátozott és elkülönített zónákra van bontva. Ilyenkor virtuális korlátokkal (hálózati szegmentáció, VLAN-ok, tűzfal szabályok, szerepkör-alapú engedélyezés, titkosítás stb.) válnak el az érzékeny adatok a többi hálózati forgalomtól. A logikai légzáron belül például létrehozhatnak külön biztonsági zónákat a backup-adatoknak vagy csak olvasható hozzáférési pontokat az adminisztrátorok számára. Az ilyen megoldások előnye, hogy skálázhatók és automatizálhatók, valamint nem igényelnek fizikailag különálló hálózatot. Ugyanakkor a konfiguráció és felügyelet nagyon körültekintő tervezést követel meg: ha rosszul állítják be, véletlenül mégis átjárhatók maradhatnak az adatok. Tipikus példák: felhőalapú biztonsági mentési tárolók elkülönítése, vállalati hálózatok mikroszegmentálása, vagy külön virtualizált tartományok használata.

2. Iparági alkalmazások és példák¶

Az air gap megoldásokat elsősorban olyan területeken alkalmazzák, ahol a legmagasabb biztonsági követelmények teljesülése kiemelten fontos:

Katonai és kormányzati rendszerek: A védelmi minisztériumok és hírszerző ügynökségek rendszerint légzárral védik osztályozott információikat. Egyes titkos adatokat elkülönített, fizikailag leválasztott számítógépek vagy hálózatok tárolják, így biztosítva, hogy csak az arra jogosult személy juthasson hozzájuk.
Pénzügyi szektor: Bankok, brókercégek és pénzügyi intézmények gyakran alkalmazzák az air gappet a kritikus tranzakciós és ügyféladatok védelmére. A szabályozók előírják, hogy egyes archivált pénzügyi adatok ne legyenek elérhetők élő hálózati kapcsolaton keresztül. Ennek megfelelően a mentési szervereket elkülönítik (pl. külön VLAN-ban vagy fizikailag leválasztva), hogy szükség esetén visszaállítható legyen az adatok integritása. (Például pénzpiaci infrastruktúránál gyakori a légzárral védett pénzügyi mentőrendszerek kialakítása.)
Egészségügy: A személyes egészségügyi adatok védelme kritikus feladat. Kórházak és egészségügyi szolgáltatók titkosított, légzárral védett mentési megoldásokat használnak arra, hogy a betegek adatai biztonságban legyenek akár akkor is, ha a fő hálózat kompromittálódna. Itt az adatvédelmi törvények (pl. HIPAA) miatt különösen fontos, hogy a betegadatok ne szivároghassanak ki külső támadások révén.
Energia és közművek: Az atomerőművek, vízerőművek, gáztározók és hálózatvezérlő központok vezérlő rendszerei gyakran teljesen elszigetelt (fizikai levegővel elválasztott) hálózatokon működnek. A villamoshálózat irányítása vagy egy erőmű automatizálása szigorúan offline gépeken vagy adatdiódákon keresztül történik, így csökkentve a katasztrofális meghibásodás vagy támadás kockázatát.
Ipari vezérlőrendszerek (ICS/SCADA): A gyártás, vegyipar, olaj‐ és gázipar folyamatait felügyelő SCADA- és PLC-hálózatok tipikusan valamilyen légzárral vannak véve. Gyakori, hogy az érzékeny üzemviteli hálózatból egyirányú adatcsatornán (adatdiódán) továbbítanak információt a felügyeleti archívumba vagy az elemző rendszerekbe. Ezzel a módszerrel elkerülik, hogy külső hálózat felől rosszindulatú kód vagy távoli parancs jusson az irányító berendezések közelébe.

Az utóbbi években a levegőszigetelés olyan modern területeken is megjelent, mint a felhőalapú infrastruktúra: például külön AWS-fiókok vagy elkülönített adattárolók használatával igyekeznek analóg logikai légteret létrehozni a szolgáltatókon belül. Összességében elmondható, hogy a kritikus infrastruktúrák és magas biztonsági igényű rendszerek (katonai, energetikai, pénzügyi, egészségügyi) legtöbbjénél az air gap megoldások különböző formáit alkalmazzák, a veszélyeztetett adatok típusától és a működési követelményektől függően.

3. Biztonsági megfontolások és kihívások¶

Az air gap rendszerek jelentős biztonsági előnyöket nyújtanak: minimálisra csökkentik a kibertámadási felületet, és elszigetelik az adatokat a hálózati fenyegetésektől. Így például a ransomware típusú kártevők általában nem érik el a levegőbe zárt adatmentéseket, megőrizve azok sértetlenségét. Ugyanakkor az elnehezíti az üzemeltetést, és komoly követelményeket támaszt a szervezet felé. A főbb kihívások a következők:

Külön infrastruktúra szükségessége: A levegőszigetelt rendszer kiépítése általában külön fizikai környezetet és eszközparkot igényel, ami jelentős beruházási és üzemeltetési költséget jelent. Egy teljesen izolált környezethez például külön szervertermet, szigorú fizikai védelem és alacsony kilengésű működési szabályok szükséges.
Belső (insider) kockázat: Még a legszigorúbb levegőszigetelés sem véd meg a belső fenyegetésektől. Az erre kijelölt szakemberek, műszaki karbantartók vagy támadó szándékú belső rosszindulatú személyek továbbra is hozzáférhetnek a rendszerhez. Így a szigorú fizikai védelmen túl az operatív szabályok (kétfaktoros beléptetés, napi ellenőrzések) alkalmazása is elengedhetetlen.
Frissítések és karbantartás nehézsége: Az air gappelt rendszerek nem csatlakoznak a külvilágra, ezért a szoftverfrissítések, javítócsomagok telepítése csak manuálisan, offline módon történhet. Ez időigényes és hibaforrást jelent: ha elmarad egy kritikus frissítés, a rendszer sérülékeny maradhat. Hasonlóképpen bonyolult az adatstruktúrák naprakészen tartása és a mentési folyamatok hitelesítése is.

Összességében az air gap rendszerek hatékony megoldást jelentenek a legkritikusabb adatok védelmére, különösen a ransomware és kártevők elleni védelemben. Azonban kiépítésükkor meg kell teremteni a fizikai és operatív biztonság feltételeit, valamint vállalni a működési kompromisszumokat: a fokozott biztonság lassabb adatmozgást és nagyobb felügyeleti terhet ró a működtetőkre.