När är en brandvägg inte tillräckligt?

Om du behöver överföra information till eller från ett säkerhetskänsligt nätverk bör en brandvägg inte vara den enda lösningen du använder för att öka din cybersäkerhet. Även om syftet med en brandvägg är att skydda nätverket, behövs ett tillägg med betydligt högre assurans i form av en Cross Domain Solution.

Vad är en brandvägg och när räcker den inte till?

En brandvägg är en enhet vars syfte är att skydda ditt nätverk genom att endast släppa igenom viss trafik. Den övervakar och filtrerar vilka paket av data som kommer in i nätverket och vilka som ska blockeras baserat på olika regelverk. Om du däremot behöver överföra information till eller från ett säkerhetskänsligt nätverk bör en brandvägg inte vara den enda lösningen du använder för att öka din cybersäkerhet. Även om syftet med en brandvägg är att skydda nätverket, behövs ett tillägg med betydligt högre assurans i form av en Cross Domain Solution (CDS).

Vad är en Cross Domain Solution?

Cross Domain Solution är en term som används för att beskriva hur man bibehåller ett säkert informationsutbyte mellan domäner med olika säkerhets- och skyddsbehov. Detta kan ske mellan databaser, servrar, applikationer eller en kombination av dessa.

CDS belyser värdet av att kunna kommunicera, att dela eller flytta information mellan domäner och samtidigt tillämpa validering, transformering och filtrering under utbytet.

Hur fungerar en Cross Domain Solution?

Cross Domain Solutions inkluderar tre typer av principer för informationsutbyte:

• Dubbelriktat för att uppfylla domänhandslag och skräddarsytt informationsutbyte.
• Enkelriktat för att säkerställa integritet eller konfidentialitet för domäner.
• Airgap mellan system med manuell överföring och kontroll av informationen.

Dubbelriktat informationsutbyte

Dubbelriktade gateways möjliggör ett strikt kontrollerat dubbelriktat och filtrerat informationsflöde som stödjer tredjepartskontroller för att upprätthålla en digitalt signerad informationspolicy. Den använder filter i båda riktningarna och informationen kontrolleras alltid med hjälp av fullständig meddelandeinspektion. Filtret kan låta information passera beroende på flera faktorer t.ex. käll-/destinationsadresser, filformat, attribut eller förekomsten av en digital signatur.

Enkelriktat informationsutbyte

En lösning som kan användas för enkelriktat informationsutbyte är att använda en datadiod.Att garantera ett enkelriktat informationsflöde innebär att känslig information kan överföras utan att äventyra nätverkets integritet eller konfidentialitet, beroende på hur datadioden används. En annan fördel ligger i tekniken för en datadiod. Att den är hårdvarubaserad och inte mjukvarubaserad betyder att den inte kan attackeras av skadlig kod och heller inte konfigureras fel. Intrång förhindras därmed. En datadiod låter dig överföra data utan att äventyra nätverkets säkerhet.

Hur höjer jag nätverkets säkerhetsnivå?

Om du har skyddsvärd eller till och med säkerhetsklassad information behöver du en pålitlig Cross Domain Solution som erbjuder säker och filtrerad dubbelriktad kommunikation. Syftet är att tillämpa en strikt kontroll på informationsnivå under själva informationsöverföringen och minska cyberhot som exempelvis manipulation, dataläckage och intrång. Advenicas lösning heter ZoneGuard. ZoneGuard ersätter inte en brandvägg utan höjer istället nätverkets övergripande säkerhetsnivå. Lösningen möjliggör digitalisering utan att kompromissa med säkerheten samtidigt som den är flexibel och enkel att justera beroende på din organisations olika behov.

Vad är skillnaden mellan en Security Gateway och en brandvägg?

En dubbelriktad Security Gateway kan jämföras med en brandvägg eftersom den reglerar vilken trafik som kan komma in och ut ur ett nätverk. En jämförelse för att förklara skillnaden mellan en Security Gateway och en brandvägg är att visualisera en flygplats. Brandväggen skulle vara incheckningsdisken där en enkel kontroll utförs, till exempel identitets- och biljettkontroll. En Security Gateway skulle vara säkerhetskontrollen där du granskas mer, dina väskor tittas igenom, du går igenom en kroppsvisitation och så vidare.

En brandvägg är en enhet med syftet att skydda ditt nätverk genom att blockera viss trafik att komma in eller ut. Den övervakar och bestämmer vilka protokoll som är tillåtna och vilka som blockeras baserat på dess konfiguration.

För vissa typer av verksamheter räcker det helt enkelt inte med en brandvägg.

Med en brandvägg är det svårt att veta exakt vilken information som exporteras eller importeras i protokollen in till systemet. En brandväggskonfiguration blir ofta komplex, vilket ökar risken för felkonfiguration. Brandväggar separerar inte heller administration och dataflöde på ett sätt som skyddar informationen från insiders. Organisationer som har känslig information och som verkar inom kritisk infrastruktur, myndigheter eller försvaret, är i behov av att deras nätverk håller en högre säkerhetsnivå. Därför behövs ytterligare lösningar än en brandvägg.

Vad är en ZoneGuard?

ZoneGuard kontrollerar informationsutbytet som sker mellan olika nätverks- och säkerhetsdomäner. ZoneGuard fokuserar på informationsflödet och säkerställer att organisationers informationspolicys följs vid varje överföring. ZoneGuard skapar också loggar för spårning av informationsutbytet.

Hur fungerar en ZoneGuard?

ZoneGuard tillåter ett strikt kontrollerat tvåvägs-filtrerat informationsflöde som stödjer tredjeparts-kontroll för att införa en digitalt signerad informationspolicy. ZoneGuard använder filter i båda riktningar och informationen kontrolleras alltid med hjälp av fullständig meddelandeinspektion. Filtret kan tillåta information att passerade beroende på flera faktorer, exempelvis källa/destinationsadresser, filformat, attribut eller om det finns en digital signatur.

Hur ser ZoneGuards process ut?

När ett meddelande skickas från ett system till ett annat, där båda systemen är uppkopplade till en ZoneGuard, analyseras information i det meddelande som tas emot från ena systemet utifrån konfigurerade regler. Godkända delar av det mottagna meddelande sätts samman till ett nytt meddelande vilket sedan skickas till den avsedda mottagaren i det andra systemet.

1. Data skickas till en av ZoneGuards DATA-portar.
2. Datapaketen samlas in.
3. Hela meddelandet återskapas.
4. Meddelandet delas upp utefter specifikation i den laddade tjänsten.
5. Innehållet struktureras för att passa det laddade schemat.
6. Schema In accepterar endast det innehåll som är korrekt strukturerat.
7. Fördefinierade filter kontrollerar innehållet.
8. Schema Ut accepterar endast det innehåll som är korrekt strukturerat.
9. Hela meddelandet återskapas.
10. Meddelandet delas upp i datapaket.
11. Datapaketen skickas till den avsedda mottagaren.

Varför behöver man en ZoneGuard?

Det finns många befintliga system och lösningar som är känsliga för protokoll- eller implementeringsfel. Det kan röra sig om brister i en implementation av ett nätverksprotokoll eller applikationer som inte genomgått tillräckliga tester för validering av inkommande data. En ZoneGuard förhindrar dessa genom att erbjuda:

• Protokollavbrott för att förhindra möjliga attacker genom att ta bort attacker på nätverksnivå.
• Transformation av nätverksprotokoll och informationsinnehåll från ett format till ett annat som förhindrar skadliga program och minskar attacker på applikationsnivå.
• Validering och filtrering av information i enlighet med en organisations informationspolicy vilket säkerställer att endast information som har godkänts överförs.

Vem behöver en ZoneGuard?

Idag är cyberhoten diversifierade och ZoneGuard-teknologin har flera försvarsmekanismer som arbetar tillsammans för att skydda ditt informationsflöde. ZoneGuards förmåga att skydda vilken information som överförs till och från ett system skapar gedigen kontroll och pålitlighet för alla organisationer med ett kritiskt informationsflöde, vare sig du är verksam inom nationell säkerhet, kritisk infrastruktur eller offentlig sektor.

Vad är det som gör ZoneGuards informationsflöde och filtreringsprocess unik?

ZoneGuard möjliggör protokolloberoende informationsöverföring. Detta sker genom att separera den faktiska informationen från dess leveransformat vilket endast tillåter det faktiska informationsinnehållet att behandlas i filtret. Endast det informationsinnehåll som är nödvändigt och tillåtet släpps igenom. Detta förhindrar information som inte är godkänd av befintliga policys att passera genom filtret. Efter filtrering packas den relevanta informationen om till det begärda leveransformatet (antigen samma som vid inkommande överföring eller ett annat).

Detta gör det möjligt för dig att på ett säkert sätt kunna utbyta endast godkänd information mellan sändare och mottagare. Varken mer eller mindre.

Läs mer om hur ZoneGuard kan användas i våra Use Case.