מהי רשת בעלת פערי אוויר?

רשת בעלת פער אוויר (air-gapped network) היא ארכיטקטורת אבטחה שבה מחשבים או רשתות מבודדים פיזית או לוגית ממערכות לא מאובטחות, כולל האינטרנט הציבורי. הפרדה זו, המכונה בדרך כלל "פער אוויר", מונעת גישה בלתי מורשית, ומבטיחה שנתונים ומערכות רגישים יישארו מוגנים מפני איומי סייבר חיצוניים.

מערכות בעלות מרווחי אוויר, המשמשות לעתים קרובות בסביבות הדורשות הגנה מקסימלית, כגון רשתות מסווגות או מערכות OT (טכנולוגיה תפעולית) בתשתיות קריטיות, מציעות את אחד מעיצובי הרשת המאובטחים ביותר שקיימים.

בעוד שבידוד רשת יכול לכלול פילוח של רשתות באמצעות גבולות מוגדרים על ידי תוכנה כמו VLAN או חומות אש, רשתות בעלות פער אוויר מסירות קישוריות לחלוטין. ניתוק פיזי זה מבטל נתיבי תעבורה נכנסים או יוצאים, מה שהופך מערכות בעלות פער אוויר לעמידות יותר בפני פגיעות חיצוניות. 

רשתות בעלות פער אוויר פועלות על ידי אכיפת הפרדה פיזית או לוגית ממערכות לא מאובטחות. אמצעים אלה מבטיחים שלא קיימת תקשורת ישירה - קווית או אלחוטית - בין המערכת המבודדת לרשתות חיצוניות.

ארכיטקטורה נפוצה אחת כוללת שימוש בשערי גישה חד כיווניים הנאכפים על ידי חומרה, כגון דיודות נתונים , כדי לאפשר למידע לזרום אל מחוץ לסביבה בעלת פערי אוויר מבלי לאפשר זרימת נתונים נכנסת.

בידוד פיזי מתייחס לניתוק מוחלט של מערכות מכל רשת שעלולה להוות סיכון. זה עשוי לכלול הצבת מערכות בחדרים מוגנים או הסרה מוחלטת של כל ממשקי אלחוטיים או Ethernet.

פילוח רשתות יכול להשלים בידוד פיזי על ידי יצירת גבולות פנימיים נוקשים בין מערכות המבוססים על רגישות ותפקוד.

רשתות בעלות פער אוויר כשלעצמן אינן מושלמות, אך הן בדרך כלל מציעות הגנה מפני איומי סייבר חיצוניים. מכיוון שהן מנותקות ממערכות חיצוניות, הן מפחיתות סיכונים מאיומים התלויים בגישה לאינטרנט, כולל סוגים רבים של תוכנות זדוניות, תוכנות כופר וכלי ניצול מרחוק.

מערכות עם מרווחי אוויר הן לעתים קרובות קו ההגנה הסופי עבור הפעולות הקריטיות ביותר, החל ממרכזי פיקוד צבאיים ועד לבקרות מתקנים גרעיניים.

פריסה וניהול של רשת בעלת פערי אוויר דורשים תכנון קפדניים ומשמעת תפעולית קפדנית. ארגונים חייבים להחליט האם להשתמש בפערי אוויר פיזיים או לוגיים, וכיצד לטפל בייבוא/ייצוא נתונים בצורה מאובטחת.

אסטרטגיות גיבוי, המכונות גיבויים מסוג air gap, הן גם קריטיות. גיבויים אלה מאוחסנים במצב לא מקוון או בסביבות מבודדות כדי למנוע מתוכנות כופר להצפין או למחוק אותן.

פער אוויר פיזי פירושו שאין כבלי רשת, חיבורי Wi-Fi או גשרים דיגיטליים אחרים בין המערכת המאובטחת לרשתות חיצוניות. פער אוויר לוגי משתמש בבקרות תוכנה כמו כללי חומת אש או הגבלות ניתוב, שיכולים להציע נוחות אך פחות מאובטחים ופגיעים לתצורה שגויה או ניצול לרעה.

למרות חוזקן, רשתות בעלות מרווח אוויר לבדן פשוט אינן פרקטיות. צריכה להיות דרך לגשת לנתונים בזמן אמת; משמעות הדבר היא שיש ליישם תקשורת בין רשתות בעלות אבטחה גבוהה לרשתות בעלות אבטחה נמוכה - באופן אידיאלי בצורה של דיודות נתונים חד כיווניות, הנאכפות על ידי חומרה .

בנוסף, רשתות בעלות מרווח אוויר אינן בלתי מנוצחות. התקפות מיוחדות פרצו בהצלחה מערכות בעלות מרווח אוויר באמצעות וקטורים לא קונבנציונליים כמו רשתות פרוצות. USB מכשירים, אותות אלקטרומגנטיים או איומים פנימיים.

תחזוקת מערכות אלו יכולה להיות גם עתירת משאבים ומורכבת מבחינה תפעולית.

מתקפת מרווח האוויר המפורסמת ביותר היא Stuxnet, תולעת מתוחכמת שנועדה לכוון למתקני העשרת אורניום באיראן. היא התפשטה באמצעות USB מכשירים ותוכנן במיוחד כדי לשנות את פעולות בקר הלוגיקה הניתן לתכנות (PLC) ללא גישה לרשת.

מחקרים אחרים הדגימו דרכים לסנן נתונים באמצעות נוריות LED מהבהבות, אותות אולטרסאונד או תנודות מתח - מה שמדגיש שגם מערכות מבודדות ניתנות לבדיקה בתנאים הנכונים.

רשתות בעלות פער אוויר מושוות לעתים קרובות לסביבות חומת אש, אסטרטגיות פילוח רשתות ופריסות דיודות נתונים. לכל אחת מהן יש מקום משלה במסגרת אבטחה חזקה, אך הן נבדלות באופן משמעותי מבחינת עלות, מורכבות ויעילות.