air gap

Air gap to całkowite fizyczne odseparowanie systemu od innych sieci, w tym od internetu. CERT Polska nazywa air gapping najbardziej rygorystyczną odmianą separacji fizycznej i opisuje go jako fizyczny brak połączenia kablowego z jakimikolwiek innymi sieciami ^[1]. Słownik NIST, za instrukcją CNSSI 4009-2022, definiuje air gap jako styk dwóch systemów, które nie są połączone fizycznie, a każde połączenie logiczne jest nieautomatyczne: dane przechodzą przez nie tylko ręcznie, pod kontrolą człowieka ^[2]. Pojęcie jest skrajnym przypadkiem segmentacji sieci.

Jak działa

Istotą air gapu jest brak jakiejkolwiek ścieżki sieciowej między systemem chronionym a resztą świata. Nie ma kabla, łącza bezprzewodowego ani wspólnego przełącznika. Dane wchodzą i wychodzą wyłącznie przez człowieka, najczęściej na nośniku wymiennym ^[2]. Ta jedna ścieżka jest zarazem jedynym kanałem, przez który może przejść atak, więc wokół niej buduje się procedury.

Z definicji NIST wynika ważna konsekwencja: połączenie logiczne musi być nieautomatyczne ^[2]. Jeśli system odizolowany dostaje dane przez zaplanowaną synchronizację, udział sieciowy albo stale podłączony dysk, nie spełnia już warunków air gapu, nawet gdy nie ma kabla do internetu. To samo dotyczy nośnika kopii zapasowej, który po zapisie pozostaje podłączony do serwera. Separacja fizyczna w szerszym sensie oznacza z kolei odrębne urządzenia sieciowe dla każdej wydzielonej sieci, tak że komunikacja między nimi nie jest możliwa bez specjalnego połączenia ^[1].

Typowy przebieg przeniesienia pliku do sieci odizolowanej pokazuje schemat poniżej.

RYS. 1Przeniesienie danych do systemu air-gapped

Oprócz izolacji fizycznej istnieje separacja logiczna, realizowana na tej samej infrastrukturze. CERT Polska wymienia tu sieci VLAN, listy ACL, VRF, VXLAN i mikrosegmentację; ruch między sieciami VLAN jest domyślnie blokowany i wymaga routingu przez zaporę lub router ^[1].

Odmiany

Air gap stosuje się w systemach sterowania przemysłowego i w infrastrukturze krytycznej ^[1]. W świecie kopii zapasowych ta sama idea występuje jako kopia offline: nośnik, który przez większość czasu nie jest podłączony do żadnego systemu.

W WordPressie

Strona WordPress z definicji działa w sieci, więc sam serwis nie może być air-gapped. Pojęcie ma jednak dwa praktyczne zastosowania.

Kopie zapasowe offline. Dokumentacja WordPressa wskazuje, że kopia musi obejmować bazę danych oraz pliki: rdzeń, motywy, wtyczki, przesłane media, wp-config.php i .htaccess ^[6]. Zaleca przechowywanie 3–5 ostatnich kopii w różnych miejscach, na przykład jednej na serwerze hostingu, jednej w chmurze i jednej pobranej na komputer lokalny ^[6]. Kopia na serwerze i w chmurze są osiągalne przez sieć. Dopiero nośnik odłączony po zapisie spełnia ideę air gapu i jest poza zasięgiem kogoś, kto przejął panel hostingu albo konto chmurowe. Dokumentacja radzi też robić kopię bazy przed każdą aktualizacją ^[6].

Klucze i sekrety. Materiał najbardziej wrażliwy, na przykład kopia kluczy do podpisywania albo hasła awaryjne do rejestratora domeny, można trzymać na nośniku przechowywanym offline, poza stałym dostępem z sieci.

Zagrożenia i skutki

Air gap nie jest absolutną ochroną. Najsłabszym punktem jest nośnik wymienny. CERT Polska przypomina, że ataki na sieci air-gapped mogą przebiegać przez nośniki takie jak pendrive, co pokazał wirus Stuxnet ^[1].

ESET w październiku 2024 roku opisał dwa zestawy narzędzi grupy GoldenJackal przeznaczone do atakowania systemów odizolowanych ^[3]. Komponent GoldenDealer monitorował podłączanie dysków wymiennych zarówno na komputerach odizolowanych, jak i podłączonych do sieci, i przenosił w ten sposób złośliwe oprogramowanie oraz wykradzione dane ^[3]. Celami były ambasada jednego z państw Azji Południowej na Białorusi, atakowana od sierpnia 2019 roku, oraz organizacja rządowa Unii Europejskiej w okresie od maja 2022 do marca 2024 roku ^[3]. Badacze podkreślają, że takie narzędzia dotąd tworzyły wyłącznie grupy APT ^[3].

Drugą klasą zagrożeń są ukryte kanały fizyczne, bliskie atakom bocznym kanałem. Na konferencji Black Hat w sierpniu 2015 roku zespół Anga Cui pokazał Funtennę: złośliwe oprogramowanie sterujące pinami GPIO tak, by przewody urządzenia działały jak nadajnik radiowy ^[5]. W pokazie drukarka laserowa z przerobionym oprogramowaniem układowym nadawała sygnał odbierany poza budynkiem ze zbrojonego betonu ^[5]. Taka eksfiltracja danych omija interfejsy, które zwykle się monitoruje ^[5].

Jak się bronić

Skuteczność air gapu zależy od dyscypliny wokół jedynego kanału wymiany danych.

• Dedykowane, ewidencjonowane nośniki i stacja kontrolna, która skanuje każdy plik przed importem.
• Blokada automatycznego uruchamiania z nośników i fizyczna kontrola portów USB na systemach odizolowanych.
• Zakaz podłączania znalezionych lub niezweryfikowanych nośników; atak przez podrzucony pendrive to baiting.
• Ograniczenie osób, które mogą przenosić dane, i rejestr każdego transferu.

W ochronie przed ransomware CISA zaleca przechowywanie zaszyfrowanych kopii krytycznych danych offline oraz regularne sprawdzanie ich dostępności i integralności w scenariuszu odtwarzania ^[4]. Uzasadnia to tym, że wiele odmian ransomware wyszukuje dostępne kopie i usuwa je albo szyfruje ^[4]. CISA wspomina też o pamięci niezmiennej oferowanej przez dostawców chmury, zaznaczając ryzyko kosztów przy błędnej konfiguracji ^[4]; zob. kopia niezmienna (immutable backup). Kopia offline i kopia niezmienna uzupełniają się w planie disaster recovery (DR), a ich częstotliwość wyznacza przyjęte RPO.