Was ist ein luftdichtes Netz?

Ein Air-Gapped-Netz ist eine Sicherheitsarchitektur, in der Computer oder Netzwerke physisch oder logisch von ungesicherten Systemen, einschließlich des öffentlichen Internets, isoliert sind. Diese Trennung, die gemeinhin als "Air Gap" bezeichnet wird, verhindert den unbefugten Zugriff und gewährleistet, dass sensible Daten und Systeme vor externen Cyber-Bedrohungen geschützt bleiben.

Air-Gapped-Systeme werden häufig in Umgebungen eingesetzt, die ein Höchstmaß an Schutz erfordern, wie z. B. klassifizierte Netzwerke oder OT-Systeme (Operational Technology) in kritischen Infrastrukturen, und bieten eines der sichersten verfügbaren Netzwerkdesigns.

Während die Netzwerkisolierung die Segmentierung von Netzwerken durch softwaredefinierte Grenzen wie VLANs oder Firewalls beinhalten kann, wird bei Air-Gapped-Netzwerken die Konnektivität vollständig aufgehoben. Durch diese physische Trennung werden ein- und ausgehende Datenverkehrspfade eliminiert, was Air-Gapped-Systeme widerstandsfähiger gegen externe Kompromisse macht. 

Bei Air-Gapped-Netzen wird entweder eine physische oder logische Trennung von ungesicherten Systemen erzwungen. Diese Maßnahmen stellen sicher, dass keine direkte Kommunikation - kabelgebunden oder drahtlos - zwischen dem isolierten System und externen Netzen besteht.

Eine gängige Architektur besteht in der Verwendung von hardwaregestützten unidirektionalen Gateways, wie z. B. Datendioden, die den Informationsfluss aus der abgekapselten Umgebung heraus ermöglichen, ohne einen eingehenden Datenfluss zuzulassen.

Unter physischer Isolierung versteht man die vollständige Abtrennung der Systeme von allen Netzen, die ein Risiko darstellen könnten. Dies kann bedeuten, dass die Systeme in abgeschirmten Räumen untergebracht oder alle drahtlosen oder Ethernet-Schnittstellen vollständig entfernt werden.

Die Netzwerksegmentierung kann die physische Isolierung ergänzen, indem sie strenge interne Grenzen zwischen Systemen auf der Grundlage von Empfindlichkeit und Funktion schafft.

Abgeschirmte Netzwerke sind zwar nicht perfekt, aber sie bieten im Allgemeinen Schutz vor externen Cyberbedrohungen. Da sie von externen Systemen getrennt sind, verringern sie das Risiko von Bedrohungen, die vom Internetzugang abhängen, einschließlich vieler Arten von Malware, Ransomware und Remote-Exploitation-Tools.

Systeme mit Luftüberwachung sind oft die letzte Verteidigungslinie für die kritischsten Operationen, von militärischen Kommandozentralen bis hin zur Steuerung von Nuklearanlagen.

Die Einrichtung und Verwaltung eines Air-Gapped-Netzes erfordert eine sorgfältige Planung und strenge Betriebsdisziplin. Unternehmen müssen entscheiden, ob sie physische oder logische Luftlücken verwenden und wie sie den Datenimport/-export sicher handhaben.

Backup-Strategien, so genannte Air-Gap-Backups, sind ebenfalls von entscheidender Bedeutung. Diese Backups werden offline oder in isolierten Umgebungen gespeichert, um zu verhindern, dass sie von Ransomware verschlüsselt oder gelöscht werden.

Eine physische Sicherheitslücke bedeutet, dass keine Netzwerkkabel, Wi-Fi-Verbindungen oder andere digitale Brücken zwischen dem gesicherten System und externen Netzwerken bestehen. Bei einer logischen Sicherheitslücke werden Softwarekontrollen wie Firewall-Regeln oder Routing-Beschränkungen verwendet, die zwar bequem sind, aber weniger sicher und anfällig für Fehlkonfigurationen oder Ausnutzung.

Trotz ihrer Stärke sind Netze mit Luftabdeckung allein einfach nicht praktikabel. Es muss eine Möglichkeit geben, auf Echtzeitdaten zuzugreifen. Das bedeutet, dass eine Kommunikation zwischen Hochsicherheits- und Niedrigsicherheitsnetzen implementiert werden muss - idealerweisein Form von einseitigen, hardwareverstärkten Datendioden.

Außerdem sind luftgestützte Netze nicht unangreifbar. Spezialisierte Angriffe sind erfolgreich in luftgestützte Systeme eingedrungen, wobei unkonventionelle Vektoren wie kompromittierte USB , elektromagnetische Signale oder Insider-Bedrohungen eingesetzt wurden.

Die Wartung dieser Systeme kann auch ressourcenintensiv und operativ komplex sein.

Der berühmteste Air Gap-Angriff ist Stuxnet, ein ausgeklügelter Wurm, der auf Urananreicherungsanlagen im Iran abzielte. Er verbreitete sich über infizierte USB und wurde speziell entwickelt, um den Betrieb von speicherprogrammierbaren Steuerungen (SPS) ohne Netzwerkzugang zu verändern.

Andere Forschungsarbeiten haben Möglichkeiten aufgezeigt, wie Daten durch blinkende LEDs, Ultraschallsignale oder Stromschwankungen entwendet werden können - was zeigt, dass selbst isolierte Systeme unter den richtigen Bedingungen untersucht werden können.

Air-Gapped-Netzwerke werden oft mit Firewalled-Umgebungen, Netzwerksegmentierungsstrategien und Datendioden-Implementierungen verglichen. Jedes hat seinen Platz in einem robusten Sicherheitskonzept, aber sie unterscheiden sich erheblich in Bezug auf Kosten, Komplexität und Wirksamkeit.