Off-grid cybersecurity: cas d'usage
Certains des systèmes les plus critiques ne peuvent présumer d'un réseau, et la plupart des outils de sécurité en présument un en silence. Le Groupe de cybersécurité construit des architectures de sécurité pour les environnements isolés, coupés du réseau et distants, apportant protection et assurance là où il n'y a aucune connectivité fiable sur laquelle s'appuyer ni console cloud à qui téléphoner. Les systèmes les plus critiques d'une nation, sites énergétiques, réseaux déployés et environnements classifiés, sont précisément ceux qui ne peuvent téléphoner à un cloud de sécurité, et les adversaires visent l'écart entre l'outillage connecté et la réalité déconnectée. Le travail ici est protection et assurance plutôt qu'un boîtier sur un mur, car ce qui défaille dans un parc déconnecté est généralement la discipline de frontière, non le câble. Unstrat représente la capacité avec un partenaire dépourvu de ligne de compte rendu à un gouvernement étranger, si bien que rien du parc ne s'écoule vers une infrastructure étrangère.
Où elle est employée
Protéger un réseau coupé du réseau se décompose en trois tâches. Contrôler ce qui franchit la frontière sur des supports amovibles, rendre le chemin réseau unidirectionnel partout où des données doivent sortir, puis vérifier à répétition que le fossé est toujours réel. Les deux premières sont des achats matériels auprès de fournisseurs d'appareils établis ; un kiosque de balayage des supports contrôle ce qui entre et une passerelle unidirectionnelle impose le sens comme une physique plutôt qu'une règle qu'on peut mal configurer. La troisième est un service, c'est celle que la plupart des exploitants sautent, et c'est la couche d'assurance que cette capacité fournit, depuis une source indépendante sans ligne de compte rendu à un gouvernement étranger.
Les fossés d'air tombent rarement sous une attaque spectaculaire ; ils s'érodent par le travail ordinaire. Une liaison de mise en service laissée en place, un ordinateur portable de fournisseur en rotation, un nouveau contrat de télésurveillance que personne à la sécurité n'a vu, chacun franchit discrètement une isolation qu'un schéma montre encore intacte. Quelqu'un d'indépendant de ceux qui entretiennent le système, auditant assez souvent pour capter la dérive plutôt qu'un incident, est ce qui garde la frontière honnête. Cet examen des personnes, du processus et de la configuration est l'engagement, mené sur des parcs déjà en service plutôt qu'un banc d'essai, et traiter chaque visite de maintenance comme un événement de frontière sert plus que n'importe quelle cadence d'audit fixe.
Là où un réseau ne peut jamais se reconnecter au cloud d'aucun fournisseur, un fossé d'air permanent est une donnée de conception plutôt qu'un problème à contourner. Les mécanismes de détection, de réponse et d'intégrité tournent localement et sur des liaisons intermittentes, et les procédures sont celles que l'équipe sur site peut exécuter seule sans tunnel vers une console vendeur. L'engagement commence par la réalité d'exploitation de chaque environnement, connectivité, dotation et classification, et bâtit l'architecture autour d'elle. Parce que le modèle présume la déconnexion au lieu de la traiter comme une exception, les forces déployées et les installations distantes se rangent dans le même schéma que les enclaves classifiées.
Un site distant que nul n'atteint pendant des mois force à planifier la dégradation. Les piles de balayage par signatures perdent leur valeur dès que leurs mises à jour cessent d'arriver, et les connecteurs de passerelle ont besoin d'entretien à mesure que les systèmes derrière eux changent, si bien que quelqu'un de senior doit posséder le chemin de mise à jour par écrit. La réponse ici est un maintien en condition dans la région par l'équipe qui a mené l'évaluation, plutôt qu'une file de tickets dans un autre fuseau horaire qu'un ingénieur ne peut atteindre depuis une salle de contrôle. La même équipe régionale revient plutôt qu'un palier de soutien délocalisé, ce qui compte le plus exactement là où la connectivité est la pire.
Une passerelle unidirectionnelle est excellente pour un trafic qui ne voyage que vers l'extérieur, et sa limite est énoncée clairement : elle ne résout pas les besoins bidirectionnels, n'inspecte pas le contenu et ne dit rien à un défenseur de ce qui se passe à l'intérieur du réseau protégé. Un kiosque de supports contrôle ce qui entre mais ne peut confirmer qu'un second modem n'est pas apparu lors d'une refonte. Cette capacité ne vend pas un appareil équivalent et ne prétendra pas le contraire ; là où les règles d'acquisition mettent un produit précis hors de portée, la voie pratique est d'apparier le matériel de contrôle des supports que les règles permettent avec un partenaire d'assurance indépendant.
Les architectures coupées du réseau complètent plutôt que remplacent le reste d'une posture défensive. Le durcissement d'infrastructure réduit la surface d'attaque des systèmes de contrôle, les opérations défensives continues surveillent ce qui peut l'être, et les architectures coupées du réseau gardent les parties isolées et coupées du parc protégées là où l'outillage connecté ne peut atteindre. Les trois s'assemblent par un seul canal redevable. La même approche sous-tend une épine dorsale de communications qui doit survivre à la chute du réseau, où des radios reconfigurables sur le terrain et des liaisons satellite résilientes portent le trafic et les architectures coupées du réseau gardent les nœuds protégés quand le réseau terrestre tombe, sans aucune condition d'accès de coalition attachée.
