OT-export ut, styrning eller uppdatering in

Topologi: timglaset

Katalogens produktsida för de dubbelriktade enheterna beskriver samma användningsfall: sensordata ut från anläggningen till kontrollrummet, ventilstyrning in från kontrollrummet till anläggningen, med separata enkelriktade vägar.

Dataflöden

Styrkommandon in är den svåraste posten. Att en kommandokanal är hårdvarumässigt enkelriktad säger ingenting om att kommandona är legitima. Dioden garanterar att kontorsdomänen inte kan läsa styrdomänen — den garanterar inte att kontorsdomänen inte kan styra den. Är kontorsdomänen komprometterad har angriparen en väg. Detta är skälet till att mellanzonen och den manuella driftsättningen finns i diagrammet, och de får inte optimeras bort.

Utan mottryck

• Periodisk telemetri: förlust är acceptabel. Nästa mätning kommer om en sekund.
• Larm: förlust är oacceptabel. Larm kommer i skurar, exakt när nätet är som mest belastat, och ett tappat larm är hela poängen med systemet. Larm och telemetri bör inte dela samma dimensionering. Antingen separata länkar, eller telemetritakt satt så att larmskuren alltid får plats.
• Historian-replikering: förlust är oacceptabel men fördröjning acceptabel. Hör hemma i mellanprogramvara med hashverifiering, inte i ett UDP-flöde.

Verifiering

Utåt: räknarjämförelse och livstecken enligt Loggexport och bevisbevarande. Dessutom jämförelse mot en känd konstant — ett värde som ska vara samma på båda sidor kontinuerligt, exempelvis en räknare som räknar upp. Avviker den finns bortfall.

Inåt: kvittering av en inkommande uppdatering får inte gå tillbaka via den utgående dioden med automatik. Gör den det har man byggt en logisk returkanal av två fysiska envägsvägar, och den kanalen kan bära mer information än man tänkt sig — den är i praktiken en låghastighetskanal ut ur styrdomänen. Antingen bekräftas driftsättning manuellt av en människa, eller så accepteras att bekräftelsen är en informationskanal och den dimensioneras och granskas som en sådan. Detta är den mest underskattade risken i det dubbelriktade mönstret.

Vad som INTE skyddas

Styrdomänens inre säkerhet. En PLC med standardlösenord är lika sårbar bakom en diod. Dioden är en domängräns, inte ett systemskydd. Inte heller skyddas mot fysisk åtkomst, mot leverantörens serviceverktyg som bärs in, eller mot att inkommande uppdateringspaket är komprometterade i leveranskedjan.