“数据二极管”强化工业 4.0 网络安全

物联网和工业 4.0 网络需要可靠、安全和可靠的数据链接。然而，如今，即使采用传统安全方法保护，任何网络也容易受到网络攻击。为了解决这个问题，数据二极管作为一种硬件和软件设备，只允许向外部世界上传数据，并出于安全原因避免任何向后下载数据。

网络二极管​​扩展了传统网络安全解决方案的功能。 Bundesamt für Sicherheit in der Informationstechnik（BSI 或德语联邦信息安全办公室）对网络攻击进行的一项研究证明了安全和可靠网络的重要性。根据该研究，包括木马、勒索软件和特技机器人在内的恶意软件数量在 2019 年 6 月至 2020 年 5 月期间增加到 1170 亿个，恶意软件的变化和强度持续上升。互联行业和关键基础设施对最佳安全性的要求非常高，必须充分保护工业设备接口以避免任何负面影响。另一个重要的点是传输的数据必须保密且不可篡改。

“但即使使用现有的安全解决方案，仍然存在风险，”Genua GmbH 战略产品营销经理 Steve Schoner 告诉 EE Times Europe . “有了网络二极管​​，我们正在缩小这一差距。” Genua GmbH 成立于 1992 年，是 Bundesdruckerei（德国联邦印刷局）的一个业务部门。它在处理机密信息的私人实体方面拥有丰富的经验，并且专门保护任何网络和数字通信。

随着 IT 和 OT 越来越互联，工业网络的安全性较差，这就是许多公司放弃通过互联网将工厂与外界连接起来所取得的进步的原因。联网可实现高效、经济且灵活的制造，小到批量大小为 1。它还允许监控和优化机器和系统（例如，用于预测性维护和分析）。然而，通过互联网连接，工业 4.0 网络正成为网络犯罪分子破坏和间谍活动的目标。

最大限度地提高网络安全性

“由于现有的网络安全解决方案要么是专有的，要么非常昂贵，所以我们开发了工业网络二极管​​，以确保安全、可靠、独立于制造商和平台的通信，”Schoner 解释说。 “它是全球唯一基于经过认证的机密产品的数据二极管。”为了在工业环境中安全传输数据，它支持 OPC UA 协议（OPC 统一架构），这是一种用于交换机器数据的开放标准。它还允许通过 IPSec VPN 将数据加密传输到客户端应用程序。如果 IPSec 被激活，外部客户端只能通过加密通信与二极管进行通信。这是由二极管内部防火墙确保的，它可以极其安全地将数据传输到云端或任何其他外部位置中的任何所需服务。

网络二极管​​的详细信息

Cyber​​-diode 硬件通过使用 I/O 内存管理单元 (IOMMU) 进行隔间分隔而安全。功能框图中的黑色隔间（左）说明了变送器，在本例中，它是一个 OPC UA 客户端。在中心，获得专利的 One-Way-Task 代表单向数据传输功能。红色隔间（右）是 VPN 就绪端，它通过网络接口 (NIC) 将 VPN 安全数据传输到外部目标系统。额外的更新隔间（顶部）允许集成网络出于安全原因不允许的新功能或升级。更新只能上传到设备本身——通过网络设置，基本配置无法更改。该硬件适用于节省空间的 DIN 导轨或 19 机架外壳，并提供 UEFI 和安全启动支持。该公司表示，网络二极管​​可以扩展以通过移动电话 (LTE) 和 WLAN 进行连接。

网络二极管​​框图（图片来源：Genua）

该软件的核心是建立在一个极简的强化微内核和一个强化的 OpenBSD 操作系统上。两者都只包含几行代码，这最大限度地减少了黑客和攻击媒介的入口点。 “这样的架构极难攻击，”Schoner 说。即使是操作系统中的漏洞也不会影响获得专利的 One-Way 功能。只有 Genua 提供的软件才能在网络二极管​​上运行。 “它具有成本效益，可作为包括一个系统的硬件和整个软件的终身许可证提供，”Schoner 说。还保证提供热线服务或完整的系统管理服务。网络中所需的网络二极管​​数量取决于用户的风险需求和网络结构。

完善安全功能

Schoner 声称，与传统的网络安全方法（如气隙、防火墙和光纤）相比，网络二极管​​具有多种优势。例如，气隙将 IT 与 OT 网络分开，避免任何自动数据交换，从而确保安全性。但在工业 4.0 中，无论如何都必须在不同网络之间交换环境数据。在这种情况下，数据传输通常是通过U盘或其他存储设备完成的，效率不高，容易出现故障。 U 盘和其他存储设备可能包含一些恶意软件。

另一种选择是防火墙，它可以配置为仅在一个方向上传输数据。这可能是一个解决方案，但它非常复杂，因为几乎所有防火墙都具有不止一组规则。这也意味着可能会意外更改这些规则集，或者它们会随着时间的流逝而过时。这使得将新网段链接到它变得复杂，或者至少需要丰富的知识才能这样做。单向功能可能会被停用。

这些风险被排除在网络二极管​​中。光纤二极管是第三种传统选项，能够阻止反向数据，但需要一个单独的通道来了解数据传输是否成功。为了增加可靠的数据传输，网络二极管​​仅通过发送回一位来确认成功的数据传输。最后，网络二极管​​可以轻松集成到现有的工业网络中。

>> 本文最初发表在我们的姊妹网站 EE时代欧洲。