ProfiDIODE — аппаратный однонаправленный шлюз (диод данных)
Устройство российского производства, которое разрешает передачу данных только в одну сторону — на уровне железа, а не настроек. Применяется для изоляции сегментов АСУ ТП, объектов КИИ и других закрытых контуров, где межсетевой экран не даёт достаточных гарантий.
Кому это нужно
Диод данных нужен там, где сегмент нельзя оставить с обычным двусторонним подключением, но и полностью отрезать его не получается: технологические данные всё равно надо отдавать наверх, а обновления и антивирусные базы — заводить внутрь.
- Субъектам КИИ — при построении системы безопасности значимых объектов по 187-ФЗ, когда требуется гарантированная изоляция технологического сегмента.
- Промышленным предприятиям и энергетике — выгрузка данных из АСУ ТП в корпоративную сеть, MES и системы отчётности.
- Организациям с сегментами разной конфиденциальности — загрузка данных в закрытый контур без риска утечки из него.
- Тем, кто передаёт события безопасности во внешний SOC — журналы и NetFlow наружу без обратного доступа в защищаемый сегмент.
- Компаниям, которые допускают подрядчиков к своим системам — зеркальные сервисы в DMZ вместо прямого доступа во внутреннюю сеть.
Межсетевой экран — программное средство: он разбирает трафик по правилам, и его решение можно обойти. На практике это четыре разных сценария: обход правил фильтрации, эксплуатация уязвимости в самом ПО межсетевого экрана, атака на его сетевой стек некорректными пакетами и — чаще всего — ошибка в конфигурации. Любой из них снимает изоляцию сегмента. У диода данных обратного канала нет физически: на приёмной стороне отсутствует передатчик, поэтому ни ошибка администратора, ни уязвимость прошивки не создают маршрут внутрь.
Как это устроено
Обратного канала нет: на приёмной стороне отсутствует передатчик, поэтому маршрута внутрь защищаемого сегмента не существует физически
Комплекс состоит из двух прокси-серверов и аппаратного модуля между ними. Сервер на стороне источника принимает данные обычным протоколом и передаёт их в оптический канал, способный работать только в одну сторону. Сервер на приёмной стороне восстанавливает поток и отдаёт его штатным протоколом дальше. Для прикладных систем с обеих сторон обмен выглядит привычным: подтверждения доставки формирует прокси, а не удалённая сторона.
Сценарии применения
Выгрузка данных из технологического сегмента
Телеметрия, архивы и события из АСУ ТП, КСИИ и КВО передаются в корпоративную сеть. Сам технологический сегмент при этом остаётся недоступным извне — в том числе из интернета.
Загрузка данных в закрытый контур
Данные из сегмента низкой конфиденциальности передаются в контур высокой. Гарантия работает в обратную сторону: из защищаемого контура наружу не уходит ничего.
Двусторонний обмен на паре диодов
Два комплекса, направленных навстречу друг другу: один отдаёт промышленные данные наверх, второй заводит внутрь обновления ПО и антивирусные базы. Прямого сетевого маршрута между сегментами при этом по-прежнему не существует.
DMZ с зеркальными сервисами для подрядчиков
Файловый, почтовый и FTP-серверы зеркалируются в демилитаризованную зону через диод. Подрядчики и внешние пользователи работают с копией и не могут повлиять на исходные системы.
Совместимость с PT ISIM
В августе 2020 года ProfiDIODE и система анализа трафика сетей АСУ ТП PT Industrial Security Incident Manager (PT ISIM) компании Positive Technologies прошли совместные испытания на совместимость. Проверяли:
- Корректность работы связки «диод — система мониторинга».
- Устойчивость при резкой смене нагрузки.
- Целостность данных в получаемой копии трафика.
Испытания проводились на скорости передачи до 100 Мбит/с — это стандартное значение для реальных сетей АСУ ТП. Результаты признаны удовлетворительными: по итогам испытаний оборудование Oreol Security может быть рекомендовано для совместного использования с PT ISIM в технологических сетях промышленных предприятий. Отдельно специалисты Positive Technologies отметили компактные размеры устройства и возможность разместить несколько диодов в стандартной телекоммуникационной стойке на одной полке.
Схема простая: копия трафика технологического сегмента уходит через диод в сторону системы мониторинга, а обратного маршрута не существует физически. Мониторинг видит всё, но повлиять на технологический процесс не может — даже теоретически.
Что передаётся через комплекс
- Файлы и каталоги — FTP, FTPS, SFTP, CIFS.
- Электронная почта и журналы событий — SMTP, syslog: доставка во внешний SIEM или SOC без обратного доступа в сегмент.
- Промышленные протоколы — OPC DA и OPC UA, Modbus, DNP3, МЭК 60870-5-104: данные SCADA в корпоративные и MES-системы.
- Репликация баз данных — Oracle, SQL: односторонняя репликация в аналитический или резервный контур.
- Обновления ПО и антивирусных баз — WSUS и обновления средств защиты внутрь изолированного сегмента.
- Произвольный TCP и UDP с трансляцией адресов, включая NetFlow, SNMP, RTP, RTSP, а также трафик IPSEC VPN.
Состав протоколов под вашу схему включения подтверждаем на этапе обследования. О том, что из этого готово сегодня, написано ниже — в разделе «Статус продукта».
Технические характеристики
Конфигурацию подбираем под задачу на этапе обследования: число каналов, тип интерфейсов и схему питания.
Модели и исполнения
ProfiDIODE PD-1S-X1
Один канал передачи между сегментами, до 1 Гбит/с.
- D1 — настольное исполнение, 2 × SFP LC 1G
- D2 — настольное исполнение, 2 × SFP RJ45 1000/100/10
- D3 — настольное исполнение, SFP LC 1G на вход, SFP RJ45 1G на выход
- D4 — настольное исполнение, SFP RJ45 1G на вход, SFP LC 1G на выход
- R1–R4 — те же четыре варианта в исполнении для монтажной полки
ProfiDIODE PD-2S-X2
Два независимых канала передачи в одном устройстве, до 1 Гбит/с на канал. Позволяет организовать выгрузку и загрузку одним устройством.
- D1 — настольное исполнение, 4 × SFP LC 1G
- D2 — настольное исполнение, 4 × SFP RJ45 1000/100/10
- R1, R2 — те же варианты в исполнении для монтажной полки
Как проходит поставка
Определяем, какие данные и в какую сторону должны передаваться и какие протоколы используют системы с обеих сторон.
Выбираем модель, число каналов и тип интерфейсов, согласуем схему включения и питания.
Отгружаем комплекс с трансиверами, блоками питания и — при монтаже в стойку — монтажной полкой.
Настраиваем прокси-серверы под ваши протоколы, проверяем передачу на реальных данных, оформляем документацию.
Консультации по эксплуатации, обновления и замена оборудования по гарантии.
Что входит в поставку
- Аппаратный модуль однонаправленной передачи данных.
- SFP-трансиверы под выбранный тип подключения — оптика LC или витая пара RJ45.
- Два внешних блока питания с разветвителями.
- Монтажная полка PD-SHELF-1 — при исполнении для 19″ стойки.
- Настройка прокси-серверов под протоколы ваших систем.
- Документация на комплекс и схема включения.
- Вариант с серверами и предустановленным программным обеспечением — по запросу.
Сроки и стоимость
Итоговая стоимость зависит от числа каналов, типа интерфейсов и объёма пусконаладочных работ. Оставьте заявку — подготовим коммерческое предложение по вашей схеме включения.
Аппаратная часть изготовлена: устройства выпускаются в исполнениях, перечисленных выше. Программная часть комплекса — прокси-серверы, которые обеспечивают передачу файлов, почты, баз данных и промышленных протоколов через односторонний канал, — находится в разработке. Сертификация во ФСТЭК России запланирована на 2027 год. Сейчас мы обсуждаем проекты с пилотными заказчиками: если у вас есть задача на изоляцию сегмента, расскажем о текущем состоянии продукта предметно и вместе с реальными сроками под вашу схему.
Почему Oreol Security
Лицензии ФСТЭК и ФСБ России работаем с конфиденциальной информацией и криптографией легально.
16 лет в информационной безопасности, 200+ проектов: банки, промышленность, энергетика, госсектор.
Своя команда из 30+ специалистов — не перепродаём чужие услуги.
Собственное производство: диод разрабатываем и выпускаем сами, а не перепродаём чужое железо.
Частые вопросы
Чем диод данных отличается от межсетевого экрана?
Есть ли сертификат ФСТЭК России?
Как работают протоколы, которым нужен ответ от получателя?
Можно ли передавать данные в обе стороны?
Не станет ли диод узким местом по скорости?
Придётся ли переделывать наши системы?
Проверялась ли совместимость с системами мониторинга АСУ ТП?
Вы только поставляете оборудование или внедряете его?
Связанные услуги
Безопасность КИИ (187-ФЗ)
Категорирование объектов, документы для ФСТЭК и система безопасности значимых объектов, включая АСУ ТП.
Внедрение средств защиты
Проектирование, поставка, настройка и ввод в эксплуатацию — включая сегментацию сети и изоляцию контуров.
Комплексный аудит ИБ
Документы, процессы и инфраструктура: карта рисков и дорожная карта на 6–12 месяцев.
Проконсультируем по вашему проекту
Оставьте свои контактные данные. Мы свяжемся с вами и подберем универсальное решение с широкими функциональными возможностями.
Успешно!
Ваш запрос успешно отправлен! В ближайшее время с вами свяжется представитель компании и ответит на все вопросы.