Use-case Cross-domain: Kritieke infrastructuur
Als de besturing van een infrastructuurobject niet in verkeerde handen mag vallen, moeten verbindingen met andere netwerken afdoende worden beveiligd. Zeker als het gaat om een systeem dat kritiek is voor de nationale veiligheid. Met een Cross-domainkoppelvlak wordt voorkomen dat de besturing van essentiële systemen wordt overgenomen.
De onderstaande use-case laat zien hoe de verbinding tussen een stormvloedkering en een commerciële dienstverlener wordt beveiligd met een Cross-domainkoppelvlak. Meer Cross-domain usecases
Situatie: Stormvloedkering deelt gevoelige data
Een stormvloedkering wordt bediend vanuit een controlekamer op locatie. Voor onderhoudsdoeleinden worden logbestanden van de kering gedeeld met een commerciële dienstverlener. De logbestanden bevatten besturingsdata en andere statistieken. Voor het delen van informatie is een permanente verbinding aangemaakt tussen de controlekamer en de dienstverlener.
Risico: Besturing in verkeerde handen
De integriteit van de controlekamer van de stormvloedkering is letterlijk van levensbelang. Als de besturing in verkeerde handen valt, kunnen levensgevaarlijke situaties ontstaan. Bijvoorbeeld overstromingen als de kering op een verkeerd moment wordt geopend.
De logbestanden worden vanuit de controlekamer met een file-transferapplicatie verzonden naar de commerciële dienstverlener. Het file-transferprotocol (FTP) heeft een dataverbinding met tweerichtingsverkeer nodig. Daardoor bestaat het risico dat de verbinding wordt misbruikt om toegang te krijgen tot de besturing van de stormvloedkering.
Oplossing: Cross-domainkoppelvlak met datadiode
In de controlekamer van de stormvloedkering plaatsen we een PrimeDiode 3010. Die blokkeert ontvangst van data van buitenaf. De besturing van de kering kan niet worden overgenomen. Verzending van informatie naar de commerciële dienstverlener blijft mogelijk.
Aan beide zijden van de datadiode komt een 19’’ PrimeProxy-server. Hierop draait de speciaal ontwikkelde PrimeDockssoftware die we configureren om de verzending van logbestanden via FTP te ondersteunen.
Alle fysieke apparatuur (omvang: 3U rackspace) wordt in de controlekamer geïnstalleerd.
