Stel je voor dat je gegevens kunt overdragen tussen verschillende netwerkdomeinen zonder je zorgen te maken over hackers, malware of lekken van gegevens. Klinkt dit te mooi om waar te zijn? Dat is het niet. Er bestaat een technologie die precies dat kan: de DataDiode. DataDiodes zijn aantoonbaar de veiligste manier om gegevens te verplaatsen tussen netwerkdomeinen met verschillende vertrouwens- of beveiligingsniveaus.
Maar sommige DataDiodes zijn veiliger dan andere. De beste manier om hun effectiviteit te vergelijken is door te kijken naar hun EAL-certificering - een internationale cyberbeveiligingsnorm. In dit artikel leer je wat DataDiodes inhouden en wat de belangrijkste risico's zijn die worden aangepakt door de hoogste waarde van EAL-certificering: Level 7+.
Aan de slag met EAL7+ certificering
"EAL" staat voor "Evaluation Assurance Level", een schaal die wordt gebruikt om te beoordelen hoe goed een product voldoet aan internationaal erkende IT-beveiligingscriteria, bekend als Common Criteria. Een internationale kwaliteitsnorm, ISO/IEC 15408, definieert de EAL-niveaus en hun criteria.
Al meer dan twintig jaar standaardiseren de Common Criteria hoe organisaties en overheden informatie en systemen beschermen. En hoe beveiligingsproducten worden getest op verschillende betrouwbaarheidsniveaus. In totaal zijn er acht verschillende betrouwbaarheidsniveaus, variërend van EAL1 tot EAL7+. Het verschil in betrouwbaarheidsniveau heeft te maken met de mate en formaliteit van de verificatiemethoden.
Verschillende niveaus van EAL
Vanaf EAL4 heb je te maken met een beveiligingsproduct van hoog niveau. EAL7+ is het hoogste certificeringsniveau. EAL7+ certificering betekent dat het product voldoet aan alle EAL7 criteria en enkele andere zekerheidscomponenten. Het certificeert dat het product en het gehele leveringsproces (van fabricage tot installatie) formeel zijn getest en zo ver mogelijk zijn geverifieerd.
De keuze van een organisatie voor een beveiligingsniveau hangt af van de risicoacceptatie, de beveiligingsdoelstellingen en de beschikbare middelen van deze organisatie bij het gebruik van het product. EAL7+ is geschikt voor producten die worden gebruikt in situaties met een extreem hoog risico. In deze situaties is de bescherming van kritieke of zeer gevoelige informatie vaak een zaak van levensbelang.
Belang van EAL7+ certificering voor DataDiodes
Laten we kort het concept van een DataDiode bekijken en daarna de potentiële kwetsbaarheid voor verschillende bedreigingen bespreken. Een DataDiode is een fysiek netwerkapparaat dat de informatiestroom in één richting stuurt, en slechts in één richting.
Het gebruik van een DataDiode is als het storten van geld in een nachtkluisje van een bank. Je kunt er geld instoppen via het luik, maar zodra je het loslaat, kun je het er niet meer op dezelfde manier uithalen. Omdat DataDiodes fysieke netwerkapparaten zijn, biedt deze technologie superieure beveiliging dan software firewalls; geen enkele poort (open of gesloten) wordt ooit blootgesteld buiten het beveiligde netwerk.
EAL7+ certificering voor DataDiodes garandeert 100% dat een DataDiode nooit gegevens in de ongewenste richting overdraagt tussen een niet-vertrouwd netwerk en een vertrouwd netwerk.
Bedreigingen EAL7+ adressen
Nu je een beter begrip hebt van wat DataDiodes doen, kunnen we de beveiligingsrisico's onderzoeken die door de EAL7+ certificering worden aangepakt:
- Fysieke sabotage: EAL7+ vereist fysieke bescherming van het product. Dit is om sabotage te voorkomen, zowel binnen de productieketen, het leveringsproces en tijdens het gebruik. DataDiodes kan verzegelingen, sloten, alarmen of sensoren gebruiken om fysieke aanvallen te detecteren.
- Analyse van zijkanalen: EAL7+ vereist het identificeren en aanpakken van potentiële kwetsbaarheden die kunnen voortvloeien uit de observatie of meting van de fysieke en prestatiekenmerken van een DataDiode. Factoren waarmee rekening moet worden gehouden zijn stroomverbruik, elektromagnetische straling en timinggedrag. DataDiodes kunnen encryptie, afscherming, filtering of randomisatie gebruiken om deze bedreigingen tegen te gaan.
- Foutinjectie: EAL7+ vereist fouttolerantie en foutdetectiemechanismen. Deze mechanismen moeten de effecten van opzettelijke of toevallige fouten die de functionaliteit of beveiliging van een systeem in gevaar brengen, voorkomen of corrigeren. De DataDiode kan bijvoorbeeld redundantie, controlesommen of waakhonden gebruiken om de integriteit en beschikbaarheid van gegevensoverdracht te garanderen.
VOORBEELD: Om foutinjectie te voorkomen gebruikt een van de grootste metrosystemen van West-Europa enkele tientallen DataDiodes om de gegevens te controleren die vanuit het besturingssysteem naar openbare dienstregelingsschermen stromen. Het belangrijkste doel van deze diodes is om vijandige interferentie in de treinsignaleringssystemen te voorkomen. - Reverse engineering: EAL7+ vereist dat alle aspecten van de DataDiode grondig worden gedocumenteerd en geverifieerd met behulp van formele methoden. Dit zorgt voor een volledige en consistente weergave van het ontwerp, de onderdelen, de werking en de beveiligingsfunctionaliteit van een DataDiode. Het verificatieproces omvat het gebruik van wiskundige modellen, bewijzen of andere tests als bewijs dat de DataDiode voldoet aan de ontworpen specificaties. Je kunt snel zien dat je te maken hebt met het originele product en dat het werkt zoals bedoeld.
De rol van EAL7+ bij het waarborgen van het hoogste beveiligingsniveau
Naast fysieke manipulatie, analyse van nevenkanalen, foutinjectie en reverse engineering is EAL7+ certificering gericht op het bereiken van betrouwbaarheid, integriteit en vertrouwelijkheid. Om aan te tonen dat een DataDiode aan deze doelstellingen voldoet, eist EAL7+ van fabrikanten dat ze de weerstand van een DataDiode tegen een volledige reeks cyberaanvallen aantonen. Dit wordt gedaan door middel van uitgebreide functionele en penetratietests die de effectiviteit van de DataDiode vaststellen.
De gebruikte aanvalstypen kunnen algemeen zijn of specifiek voor DataDiodes. DataDiodes gebruiken bijvoorbeeld glasvezelkabels waar licht doorheen gaat. Deze kabels worden getest om er zeker van te zijn dat er geen lichtlekken kunnen worden afgetapt of dat eventueel licht in de ongewenste richting terugstroomt. Dit zijn diode-specifieke bedreigingen.
In de hele toeleveringsketen moet rekening worden gehouden met aanvallen. Tijdens het productieproces worden grondige tests uitgevoerd. Dit is om ervoor te zorgen dat de ontvangen DataDiode precies is zoals besteld, zonder extra onderdelen of wijzigingen. Dit garandeert dat het geleverde product in zijn oorspronkelijke vorm is, met een intact zegel en de zekerheid dat het werkt zoals beloofd.
Toepassingen in de industrie
Er zijn maar een paar DataDiodes in de wereld die een EAL7+ certificering hebben behaald. De Fox DataDiode is daar één van. Maar voor wie worden deze zeer veilige DataDiodes gemaakt?
- Overheid en publieke sector: EAL7+ producten of systemen kunnen tot op het niveau van staatsgeheimen of persoonlijke informatie beschermen tegen kwaadwillende actoren of bedreigingen van binnenuit. Deze producten en systemen moeten mogelijk extreem veilig zijn om te voldoen aan de wettelijke en regelgevende vereisten voor gegevensbescherming en privacy.
- Militair en defensie: EAL7+ producten beschermen gevoelige informatie tegen ongeautoriseerde toegang of verzekeren de integriteit van kritieke defensieactiviteiten. DataDiodes voorkomen cyberaanvallen en spionage op militaire netwerken.
- Kritieke infrastructuur: Dit omvat essentiële systemen zoals energie, water, transport, gezondheidszorg en beveiliging. Kritieke infrastructuur is kwetsbaar voor cyberaanvallen, vooral met standaardwachtwoorden of blootstelling aan het open internet. EAL7+ producten beschermen kritieke infrastructuur tegen cyberaanvallen en zorgen voor veerkracht en bedrijfscontinuïteit.
VOORBEELD: Iraanse hackers probeerden water in de VS te besmetten met natriumhydroxide in Oldsmar, Florida. DataDiodes kunnen een industrieel besturingssysteem zoals dit beveiligen en toegang tot bedrijfstechnologie voorkomen.
Samengevat
Je kunt een DataDiode voor twee dingen gebruiken: om je informatie te beveiligen en om je systemen te beveiligen. Met een CC EAL7+ DataDiode krijgt u de hoogst mogelijke beveiliging, EAL7+ certificeert dat een DataDiode volledig is beoordeeld op zijn weerstand tegen fysieke sabotage, side-channel analyse, foutinjectie en reverse engineering.
Een EAL7+ classificatie garandeert ook vertrouwen in de goede werking en integriteit van de DataDiode tegenover een volledige reeks cyberbedreigingen. Dit geeft automatisch zekerheid voor een reeks belangrijke regelgevings- en compliance-eisen voor veiligheid en gegevensbeveiliging.
Als je een netwerk beheert dat gebruikt wordt voor vitale operaties of voor het bewaren van uiterst gevoelige gegevens, dan is beveiliging je grootste zorg. Dat betekent dat je rekening moet houden met de dreiging van zeer geavanceerde tegenstanders die teams van mensen inzetten om elke beschikbare methode uit te proberen om in te breken in je netwerk, dag en nacht, 365 dagen per jaar.
Als het om wat voor reden dan ook essentieel is om een publiek netwerk te hebben, dan is er maar één haalbare optie: een DataDiode met EAL7+ rating. Eén die garandeert dat hij doet wat hij moet doen en niet doet wat hij niet moet doen.