Hava-boşluklu (air-gap) ağ, kritik bir sistemin internetten ve kurumun diğer ağlarından hiçbir kablolu ya da kablosuz bağlantı bulunmayacak şekilde tamamen koparılmasıdır. Fikir basittir: veri paketinin sisteme ulaşabileceği bir yol yoksa, uzaktaki saldırgan da o sisteme erişemez. Nükleer santral kontrol üniteleri, askeri komuta sistemleri ve bazı endüstriyel üretim hatları bu yöntemle korunur.

Air-gap, bir sistemi ağa erişilemez kılarak korumaya çalışır; ama gerçek bir hava boşluğu değil, sürekli ihlal edilme riski taşınan bir disiplindir.

Neden Tercih Edilir?

Air-gap, kaybı tolere edilemeyecek sistemler için son savunma hattıdır. Bir üretim SCADA sistemi ele geçirildiğinde sonuç veri sızıntısı değil, fiziksel hasar, üretim durması ya da can kaybı olabilir. Bu tür ortamlar Kritik altyapı güvenliği kapsamına girer ve buradaki mantık, tehdidin karmaşık savunmalarla süzülmesini beklemek yerine tehdide ulaşabileceği yolu tümden ortadan kaldırmaktır. Bu yönüyle air-gap kavramının kendisi, Hava boşluğu ilkesinin ağ düzeyine taşınmış halidir.

İzolasyon Gerçekten Mutlak mı?

Uygulamada tam bir hava boşluğu neredeyse hiç mevcut değildir, çünkü izole sistemin de güncellenmesi, yamalanması ve veri alması gerekir. Bu ihtiyaç, izolasyonu delen köprüler yaratır. Stuxnet’in İran santrifüjlerine ulaşırken kullandığı yol tam da buydu: internet yerine bir USB belleğe bulaşıp fiziksel olarak taşınmak. Air-gap’i aşan tipik yollar şunlardır:

• Sistemler arasında taşınan enfekte USB bellek ve harici diskler
• Bakım için getirilen dizüstü bilgisayarlar ve teknisyen ekipmanları
• Tedarik zincirine yerleştirilmiş, cihaz daha kurulmadan bulaşmış yazılım/donanım
• Ekran parlaklığı, fan sesi ya da elektromanyetik sızıntı gibi egzotik yan kanallar
• Yanlışlıkça açık bırakılan yönetim ya da kablosuz arayüzler

Air-Gap’i Bir Katman Olarak Görmek

Bu kaçış yollarının gösterdiği şey nettir: air-gap tek başına yeterli değil, tamamlayıcı katmanlarla desteklenmesi gereken bir kontroldür. Endüstriyel ortamlarda ağların katmanlara ayrılması için Purdue referans modeli kullanılır; kurumsal ağ ile üretim ağı arasına DMZ ve tek yönlü veri diyotları yerleştirilerek, verinin yalnızca dışarı akmasına izin verilir, içeri girmesine izin verilmez. Bu, air-gap’in katı halinin daha yönetilebilir bir versiyonudur.

Aynı mantık genel bir prensibe dayanır: hiçbir tek kontrol kusursuz değildir. Derinlemesine savunma yaklaşımıyla air-gap; USB port kısıtlama, uç nokta beyaz listesi, taşınan medyanın karantina taramasından geçirilmesi ve fiziksel erişim denetimiyle katmanlanır. Böylece izolasyon bir kez delinse bile arkasında ikinci ve üçüncü bariyerler kalır.

Tasarımı Doğrulamak

Air-gap’li bir ortamın en tehlikeli yanı, güvenli olduğuna dair yanlış bir güven duygusu yaratmasıdır; oysa çoğu kurum, izole sandığı sisteme aslında birkaç köprü bıraktığını fark etmez. Bu köprülerin, güncelleme kanallarının ve segmentasyon sınırlarının bağımsız gözle haritalanması gerekir. Kritik ağların gerçekten iddia edildiği kadar izole olup olmadığını doğrulamak için Altyapı ve mimari gözden geçirme hizmetimiz gizli veri yollarını ve yanlış yapılandırılmış segment sınırlarını ortaya çıkarır.