"Всех впускать - никого не выпускать". Об однонаправленных МСЭ

С пару недель назад имел беседу с коллегой, который пытался доказать, что в технологических сетях имеют право на жизнь только однонаправленные межсетевые экраны, т.к. они обеспечивают идеальную защиту индустриальных сегментов от направленных или случайных воздействий. А вчера услышал про идею стартапа о создании "чисто российского" однонаправленного МСЭ (на волне разговоров об импортозамещении очень модная тема).

Собственно, критиковать идею однонаправленных МСЭ я не планирую. Она вполне себе ничего. Ничем не лучше и не хуже других средств управления информационными потоками. Хотелось бы только заметить, что в индустриальных системах важно учитывать технологию, в т.ч. и технологию обработки информации, и под нее подстраивать средства защиты, а не наоборот. Ключевой принцип, в т.ч. зафиксированный и в последних документах ФСТЭК, "система защиты не должна мешать штатному и безопасному функционированию системы".

Возьмем к примеру передачу диагностической информации из индустриального сегмента. Тут, безусловно, однонаправленному МСЭ самое место. Он будет разрешать передавать данные только в одном направлении и блокировать любые иные коммуникации. А теперь возьмем нефтепровод. С ним через однонаправленный МСЭ уже не пообщаешься, а технология требует взаимных коммуникаций. Мало собирать статистику об объемах нефтеперекачки, необходимо иметь возможность регулирования режима работы нефтепровода, который определяется его загрузкой, реологическими свойствами нефти, содержанием в ней парафина, воды, газа и т.п. Как в такой схеме найти месте однонаправленному МСЭ? Никак.

В западной практике однонаправленные МСЭ нашли свое активное применение преимущественно в электро- и ядерной энергетике и, в основном, для репликации данных из индустриальных сегментов в бизнес-сеть. И хотя существуют немалое количество доводов "за" (преимущественно с точки зрения безопасности) применение данной технологии, безоглядно начинать ее использовать в АСУ ТП не стоит. В любом случае, при принятии решения о переходе на однонаправленные МСЭ стоит подумать вот о каких вопросах:

• Защищаемый сегмент подразумевает двунаправленную или однонаправленную передачу данных?
• Используемые в сегменте протоколы работают в однонаправленной среде? Те же OPC, DNP3, Modbus надо зачастую переписывать в виде своих агентов, чтобы они работали в однонаправленной среде.
• Как обеспечивается высокая доступность? Квитирование, номера подтверждения, биты ошибок... Все это используется для обеспечения отказоустойчивости в обычной среде. Но в однонаправленном сегменте чем это будет заменено?
• Как осуществляется управление полосой пропускания? Мы не можем через однонаправленное устройство послать команду "замедли передачу" или "ускорь ее".
• Как осуществляется удаленное и централизованное управление однонаправленными устройствами? Особенно через глобальные сети.