Provocare pentru „ Firewall ”: dacă o infrastructură critică nu are nevoie de o cale de retur, eliminați-o

Infrastructura critică depinde de conectivitate, dar fiecare conexiune creează o potențială cale de atac. Având în vedere atacurile recente, lecțiile desprinse din noua mea serie documentară „Into the Breach: Breaking the Firewall ” și evoluția tehnologiilor de izolare, precum diodele de date, trebuie să regândim modul în care sunt proiectate sistemele noastre cele mai critice — și să analizăm de ce atât guvernele, cât și industriile ar trebui să pornească de la o întrebare simplă: Este cu adevărat necesară această conexiune?

În acest weekend am lansat „Into the Breach: Breaking the Firewall ”, primul episod pe care l-am produs prin intermediul Cyber King Productions, prezentat de Kari Byron din emisiunea „MythBusters”.

De ce am decis să realizez o emisiune despre securitatea cibernetică?

De ani de zile încerc să explic ce înseamnă securitatea cibernetică a infrastructurilor critice clienților, reprezentanților autorităților, jurnaliștilor, partenerilor, prietenilor și, uneori, chiar și propriilor mei membri ai familiei.

De obicei, nu trece mult timp până când ajungem să discutăm despre firewall-uri, bariere fizice, PLC-uri, IT, OT, segmentare, modelul „Zero Trust”, diode de date, malware și vulnerabilități.

Și îmi dau seama când încep să pierd oameni.

La un moment dat mi-am dat seama că, poate, problema nu era publicul.

Poate că domeniul securității cibernetice nu mai reușește deloc să-și prezinte propria poveste.

Gândiți-vă la ce anume se ocupă acest sector: atacatori din partea statelor-națiune, centrale electrice, rețele de alimentare cu apă, sateliți, fabrici, inteligența artificială, calculatoare cuantice și atacuri care pot avea consecințe fizice reale.

Și totuși, într-un fel sau altul, continuăm să explicăm toate acestea cu încă o prezentare PowerPoint.

Am vrut să fac ceva diferit.

Alegeți un subiect pe care oamenii cred că îl înțeleg. Elaborați un experiment concret în jurul acestuia. Analizați-l în detaliu. Testați-l. Apelați la experți care cunosc tehnologia. Prezentați-l într-un mod vizual. Faceți-l captivant. Și, cel mai important, puneți sub semnul întrebării presupunerile pe care industria securității cibernetice le-a repetat de ani de zile fără a le analiza suficient.

Astfel a luat naștere „Into the Breach”. Serialul combină atacuri cibernetice reale, experimente practice, interviuri cu experți și demonstrații pentru a face securitatea cibernetică mai concretă și mai ușor de înțeles.

Pentru episodul nr. 1, am vrut să încep cu una dintre cele mai importante ipoteze:

„Dacă îl plasezi în spatele unui firewall, este protejat.”

Apoi, aproape în același moment cu lansarea episodului, evenimentele din Minnesota au acaparat atenția mass-media.

În zilele de 26 și 27 iulie, un atac cibernetic coordonat a vizat tehnologia operațională a peste 30 de rețele comunitare de alimentare cu apă din Minnesota. Statul Minnesota a activat mecanismul de intervenție în materie de securitate cibernetică la nivel statal pentru a investiga atacurile și a oferi sprijin comunităților afectate.

Două zile mai târziu, FBI și EPA au emis o avertizare mai amplă. Începând cu 27 iulie, companiile de alimentare cu apă și de canalizare din cel puțin șapte state au semnalat incidente care au implicat dispozitive PLC conectate la internet.

Atacatorii au accesat de la distanță dispozitivele, au modificat adresele IP și parolele și au determinat pierderea monitorizării și a controlului de către operatori. FBI-ul a semnalat consecințe operaționale, printre care scăderea presiunii și inundarea. De asemenea, a identificat configurații de rețea similare ale unor terți la mai multe victime, care ar fi putut permite atacatorilor să repete același succes.

Oprește-te și gândește-te la asta.

Vorbim despre calculatoare care controlează apa.

Nu este vorba despre cineva care fură un număr de card de credit. Nu este vorba doar despre un program de tip ransomware care criptează laptopul unui angajat.

Atunci când un atacator poate interveni asupra unei pompe, a unei supape, a unui întrerupător electric, a unei conducte, a unei linii de producție sau a unui alt proces fizic, securitatea cibernetică capătă o amploare mult mai mare.

Aceasta devine o problemă de siguranță publică.

Iar Minnesota nu este primul semnal de alarmă.

Volt Typhoon este unul dintre cele mai elocvente exemple.

Agențiile de securitate cibernetică din SUA și din țările aliate au constatat că actori chinezi susținuți de stat au obținut acces persistent în cadrul unor organizații din infrastructura critică din sectoarele comunicațiilor, energiei, transporturilor, aprovizionării cu apă și din alte sectoare.

Într-un caz confirmat de compromitere, atacatorii au obținut probabil accesul inițial prin exploatarea vulnerabilității CVE-2022-42475 într-un firewall perimetral FortiGate 300D neactualizat.

Gândește-te la ce s-a întâmplat acolo.

Dispozitivul instalat pentru a proteja perimetrul a devenit calea de trecere prin perimetru.

Aceasta nu este o critică la adresa Fortinet.

Orice platformă software sofisticată poate prezenta, în cele din urmă, vulnerabilități. Firewall-urile au nevoie de patch-uri. Rețelele VPN au nevoie de patch-uri. Sistemele de operare au nevoie de patch-uri. Datele de autentificare pot fi furate. Configurațiile pot fi eronate. Administratorii fac greșeli. Se întâmplă atacuri de tip „zero-day”.

Aceasta este realitatea din domeniul software-ului.

Ucraina a ilustrat consecințele fizice într-un mod și mai dramatic. În decembrie 2015, atacatorii au compromis trei companii de distribuție a energiei electrice. Aceștia au trecut de la sistemele IT la cele operaționale, au accesat mediul ICS prin intermediul infrastructurii VPN, au acționat întrerupătoarele electrice și au provocat întreruperi de curent care au afectat aproximativ 225.000 de clienți.

Există o diferență mare între faptul ca un atacator să aibă acces la unul dintre computerele tale și faptul ca același atacator să aibă acces la computerul care controlează rețeaua electrică.

Consecințele pot depăși limitele ecranului.

Vreau să fiu foarte clar în privința asta.

Avem nevoie de firewall-uri.

OPSWAT le utilizează. Clienții noștri le utilizează. Aproape orice rețea modernă depinde de ele.

Ceea ce contest este presupunerea că un firewall echivalează cu izolarea.

Îmi imaginez un firewall ca pe un agent de pază foarte inteligent care stă în fața unei uși. Agentul cunoaște mii de reguli. Verifică datele de autentificare. Analizează traficul. Decide ce are voie să intre și ce are voie să iasă.

Acest lucru este extrem de valoros.

Dar mai există o ușă.

Dacă cineva fură datele de autentificare corespunzătoare, descoperă o vulnerabilitate, profită de o eroare de configurare sau compromite chiar tehnologia de securitate, calea de acces rămâne deschisă.

Așa că am început să pun o altă întrebare:

Dar dacă, de fapt, nimeni nu are nevoie să intre pe ușă?

De ce să cheltuiți atâția bani pentru a face ușa mai inteligentă, dacă cerințele afacerii nu impun, de la bun început, existența unei uși?

Tocmai în acest aspect dioda de date se deosebește în mod fundamental.

O diodă de date nu este un firewall mai bun.

Rezolvă o altă problemă.

În loc să se bazeze exclusiv pe reguli software pentru a stabili ce trafic este permis, o diodă de date poate impune direcția de comunicare la nivel hardware.

NIST a demonstrat exact acest tip de arhitectură într-un proiect de referință pentru sectorul energiei electrice. Datele de monitorizare operațională sunt transmise către exterior printr-o poartă de acces unidirecțională, iar arhitectura împiedică datele să se întoarcă prin aceeași conexiune în mediul industrial protejat.

Aceasta este o proprietate de securitate fundamental diferită.

Cred că principiul este suficient de simplu încât să merite un nume simplu:

Fără cale de retur inutilă

Este posibil ca o companie de distribuție a apei să fie nevoită să transmită alarme.

Este posibil ca o centrală electrică să trebuiască să transmită date de telemetrie.

Este posibil ca o fabrică să aibă nevoie să exporte informații din baza de date istorică.

Un operator de conducte ar putea avea nevoie de o monitorizare centralizată.

Este posibil ca un mediu de apărare să aibă nevoie să exporte jurnale.

Toate aceste informații pot părăsi rețeaua protejată.

Dar dacă nu există niciun motiv operațional pentru ca comunicarea să se întoarcă prin aceeași graniță:

De ce se creează calea de retur?

Știu că nu toate mediile pot funcționa în acest fel. Există motive întemeiate pentru întreținerea la distanță, controlul de la distanță, actualizările de software, confirmările și alte procese bidirecționale.

Dacă ai nevoie de această conexiune, apără-o cu toată forța.

Cele mai recente recomandări ale FBI-ului pentru sectorul apei le indică operatorilor să elimine expunerea directă la internet a controlerelor logice programabile (PLC), să asigure accesul la distanță prin intermediul unor gateway-uri securizate, să restricționeze accesul, să valideze fișierele de proiect ale PLC-urilor, să asigure securitatea conexiunii de date mobile și să mențină capacitatea de a opera manual în urma unui incident.

Sunt de acord cu toate acestea.

Dar cred că am înțeles greșit setarea implicită.

Astăzi, prea des începem cu conectivitatea și abia apoi cerem echipei de securitate cibernetică să o protejeze.

În ceea ce privește sistemele noastre cele mai importante, ar trebui să începem prin a le izola și să ne întrebăm:

De ce trebuie să deschizi calea?

Există un aspect important al acestei discuții care este uneori trecut cu vederea.

O diodă de date rezolvă problema direcției.

Nu rezolvă automat problema conținutului.

Chiar dacă unui fișier rău intenționat i se permite să se deplaseze în direcția permisă, acesta rămâne totuși rău intenționat.

Dacă o actualizare de software compromisă trece prin diodă, aceasta rămâne în continuare compromisă.

Dacă cineva introduce un document compromis într-un mediu izolat, izolarea în sine nu garantează siguranța documentului.

De aceea, consider că următoarea generație a acestei arhitecturi trebuie să fie:

Drept și curat

Folosește dioda pentru a controla direcția.

Apoi verificați ce are voie să treacă.

Aceasta înseamnă combinarea comunicării unidirecționale asigurate la nivel hardware cu tehnologii precum „ Multiscanning ”, „Data Sanitization” și tehnologia Deep CDR™, sandboxing, DLP, inspecția conținutului bazată pe IA, validarea fișierelor și aplicarea politicilor.

OPSWATArhitectura actuală „ MetaDefender ” combină deja tehnologia Deep CDR™, Metascan™ Multiscanning, tehnologia sandboxing, Proactive DLP și inspecția bazată pe IA în fluxuri de lucru controlate pentru fișiere, iar produsele noastre inter-domenii combină aceste tehnologii de prevenire cu arhitecturi de transfer securizate. MetaDefender™ Core poate utiliza în paralel peste 30 de motoare antimalware în cadrul acestor fluxuri de lucru.

Obiectivul nu ar trebui să fie pur și simplu:

Aceste date pot fi transferate de la A la B?

Întrebările ar trebui să fie:

Ar trebui să se îndrepte în această direcție, în primul rând?

...sau, și mai bine...

Ar trebui ca acest conținut să fie permis în vreun fel?

Aceasta este diferența dintre simpla creare a unui spațiu de izolare și crearea unui proces sigur de transfer al informațiilor prin intermediul acestuia.

Vreau să contest CISA, dar vreau totodată să le recunosc meritele.

Direcția se schimbă.

Un nou ghid din 2026 privind izolarea infrastructurilor critice precizează că operatorii ar trebui să poată izola sistemele OT vitale de celelalte rețele, descrie izolarea fizică drept cea mai eficientă formă de protecție și recunoaște în mod specific că diodele de date și soluțiile inter-domenii oferă un nivel de siguranță mai ridicat decât arhitecturile standard de gateway-uri de rețea, atunci când sunt implementate corespunzător.

Acesta este un progres important.

My Provocarea cu care se confruntă CISA este următoarea:

Nu lăsați ca izolarea să fie doar o măsură pe care o luăm în timpul unei crize. Faceți din ea o componentă a modului în care proiectăm infrastructura critică încă de la început.

Înainte de a ne întreba cum asigurăm accesul la distanță, trebuie să ne întrebăm dacă acest acces este într-adevăr necesar.

Dacă răspunsul este da, asigură-l.

Dacă răspunsul este „nu”:

Eliminați calea.

Această analiză depășește granițele Statelor Unite. Cadrul european NIS2 stabilește acum un cadru comun de securitate cibernetică pentru 18 sectoare critice, printre care energia, transporturile, sănătatea, apa potabilă, apele uzate, infrastructura digitală, industria prelucrătoare, administrația publică și sectorul spațial.

Guvernele din întreaga lume impun cerințe din ce în ce mai stricte în ceea ce privește evaluarea riscurilor, autentificarea, raportarea incidentelor, aplicarea patch-urilor, monitorizarea, detectarea și recuperarea.

Toate aceste lucruri contează.

Dar cred că autoritățile de reglementare ar trebui să adauge și alte întrebări:

De ce există această legătură?

Cum asigurați securitatea conexiunii?

Este chiar necesar să existe această conexiune?

Aceste întrebări ar trebui puse oriunde funcționează infrastructuri critice.

Având în vedere toate acestea, consider că Statele Unite ar trebui să facă primul pas.

Solicit adoptarea unui decret prezidențial al SUA bazat pe un principiu simplu:

Fără cale de retur inutilă.

În ceea ce privește infrastructura noastră cea mai critică, totul se rezumă la cinci concepte:

1. Niciun controler critic nu ar trebui să fie expus direct la internet.
2. Dacă datele trebuie doar să părăsească rețeaua, configurați conexiunea ca fiind unidirecțională și asigurați-vă că datele sunt curate. Utilizați comunicarea unidirecțională impusă la nivel de hardware, împreună cu securitatea conținutului, scanarea multiplă, curățarea datelor și tehnologia Deep CDR™, astfel încât informațiile care traversează granița să fie inspectate și curățate.
3. Controlul de la distanță ar trebui să fie o excepție. Dacă este cu adevărat necesar, asigurați-i securitatea, restricționați-l, monitorizați-l, verificați-l și asigurați-vă că operatorii pot reveni la starea normală în condiții de siguranță.
4. Ajutați întreprinderile de utilități mai mici să se modernizeze. Nu ar trebui să se aștepte ca o rețea mică de alimentare cu apă să se apere singură împotriva unor atacatori cibernetici sofisticați, dispunând de resursele unei întreprinderi naționale de utilități.
5. Stabiliți cerințele de securitate, nu furnizorul. Guvernele ar trebui să definească rezultatul dorit și să lase industria să concureze pentru a oferi cea mai bună soluție.

Principiul este simplu:

Dacă traficul nu trebuie să se întoarcă, eliminați calea de retur. Iar tot ce trece de graniță trebuie să fie curat.

America poate da tonul, dar aș dori să încurajez guvernele din întreaga lume să adopte același principiu.

Există un alt motiv pentru care consider că ar trebui să luăm măsuri înainte de următoarea criză.

La 22 iunie 2026, Casa Albă a emis Ordinul executiv nr. 14412, intitulat „Protejarea națiunii împotriva atacurilor criptografice avansate”. Acesta recunoaște amenințarea viitoare pe care o reprezintă calculatoarele cuantice la scară largă pentru criptografia utilizată pe scară largă, accelerează tranziția la nivel federal către criptografia post-cuantică aprobată de NIST și solicită agențiilor să ajute proprietarii de infrastructuri critice să se pregătească pentru propria migrare.

Îmi place logica asta.

Acționează înainte de criză.

Asta înseamnă prevenție.

Cred că aceeași filosofie ar trebui să se aplice și arhitecturii infrastructurii critice.

Există, de asemenea, o legătură interesantă între diodele de date și era cuantică.

Ca să fim clari, o diodă de date nu face ca criptografia actuală să fie rezistentă la atacurile cuantice. Criptografia post-cuantică rezolvă această problemă matematică.

Dar cheile de criptare se află totuși undeva.

Sunt generate undeva. Sunt stocate undeva. Sunt utilizate undeva.

HSM-urile, sistemele de gestionare a cheilor, infrastructura de calcul cuantic și viitoarele rețele cuantice vor implica în continuare hardware, software, operatori și conexiuni de rețea.

Vor avea în continuare puncte vulnerabile.

Imaginați-vă un mediu criptografic extrem de sensibil, care trebuie să transmită către exterior date de telemetrie, informații de audit, evenimente de securitate sau rezultate de calcul aprobate, dar în care nu există niciun motiv pentru ca o rețea corporativă obișnuită să inițieze o comunicare înapoi către sistemele care protejează acele chei.

Consider că aceasta reprezintă o aplicație importantă pentru viitor în domeniul izolării asigurate la nivel hardware. Este vorba despre o abordare arhitecturală, nu despre un substitut pentru criptografia post-cuantică. Arhitecturile unidirecționale ale NIST ilustrează modul în care căile unidirecționale pot reduce accesibilitatea rețelei, în timp ce noua politică federală privind tehnologia cuantică evidențiază importanța tot mai mare a protejării viitoarelor sisteme criptografice.

My Ideea este simplă:

Criptografia post-cuantică protejează fundamentele matematice.

Hardware- izolarea impusă poate proteja calea către mașini prin protejarea principiilor matematice.

În ceea ce privește mediile noastre cele mai sensibile, cred că vom avea nevoie de ambele.

Ar trebui să precizez ceea ce este evident.

OPSWAT comercializează diode de date.

Dar nu am descoperit brusc această arhitectură pentru că Minnesota a fost atacată luna trecută și nu am intrat pe piață pentru că am decis să realizez o emisiune despre securitatea cibernetică.

Am făcut acest pariu cu ani în urmă.

De ani de zile, OPSWAT a integrat tehnologiile noastre cu cele ale furnizorilor de diode în medii sensibile din domeniile guvernamental, al apărării, al energiei și al industriei. Cu cât petreceam mai mult timp alături de acești clienți, cu atât deveneam mai convins că, dacă misiunea noastră era într-adevăr aceea de a proteja infrastructura critică a lumii, trebuia să deținem noi înșine o parte mai mare din această tehnologie.

Am făcut ceva ce nu era de așteptat din partea unei companii cunoscută de mult timp pentru produsele sale software.

Am achiziționat două companii din domeniul hardware-ului.

În 2021, OPSWAT a achiziționat activele companiei Bayshore Networks, integrând în structura sa capacități în domeniul securității industriale, al tehnologiilor operaționale (OT), al sistemelor de control industrial (ICS) și al transferului securizat de date.

În 2024, am achiziționat Fend, extinzându-ne capacitățile în domeniul diodelor de date și obținând astfel o altă arhitectură deosebit de potrivită pentru infrastructurile distribuite și la distanță, cum ar fi rețelele de alimentare cu apă.

Iar achiziționarea acelor companii a fost doar începutul.

Am triplat resursele alocate cercetării și dezvoltării în acest domeniu.

Am luat și o altă decizie.

Dacă urmează să construim echipamente hardware de care depind guvernele și operatorii de infrastructură critică, vreau să știu de unde provin aceste echipamente, cine le-a asamblat, ce componente au fost folosite, cum au fost testate și cum controlăm calitatea lor.

Așadar, am adus producția mult mai aproape de noi.

În noiembrie 2025, OPSWAT a inaugurat o unitate de producție în Tampa, Florida, internalizând astfel producția de componente hardware și sporind controlul asupra calității, conformității, dezvoltării produselor și integrității lanțului de aprovizionare.

Iar Tampa nu reprezintă punctul final al acestei strategii.

Dezvoltăm capacități regionale suplimentare și centre operaționale în Europa și Asia, deoarece guvernele acordă o atenție din ce în ce mai mare nu doar funcționalității tehnologiilor de securitate cibernetică, ci și locului în care sunt dezvoltate și entităților care controlează lanțul de aprovizionare.

Acesta nu este un proiect secundar.

Este o miză pe termen lung privind direcția în care considerăm că trebuie să evolueze securitatea infrastructurii critice.

Toate acestea se leagă de argumentul pe care l-am prezentat în cartea mea, „Cybersecurity Upside Down”.

Industria noastră a ajuns să fie incredibil de eficientă în a detecta problemele abia după ce le-am permis să ajungă în mediu.

Avem neapărată nevoie de sisteme de detectare. Avem nevoie de centre de operațiuni de securitate (SOC), informații privind amenințările, monitorizare și răspuns la incidente.

Însă prevenirea ar trebui să fie pe primul loc.

Dacă puteți elimina conținutul dăunător înainte ca acesta să se execute, eliminați-l.

Dacă poți elimina un privilegiu inutil, elimină-l.

Dacă poți izola mediul critic, izolează-l.

Și dacă un sistem critic nu are nevoie de o cale de rețea de intrare:

Eliminați calea.

Aceasta înseamnă securitatea cibernetică bazată pe prevenire.

Și asta mă readuce la punctul de plecare al acestei povești.

„Into the Breach ” nu este doar un alt videoclip de marketing de tip „ OPSWAT ”.

Am înființat Cyber King Productions deoarece consider că domeniul securității cibernetice are nevoie de o modalitate complet diferită de a comunica cu lumea.

Nu vreau să realizez reclame pentru companii.

Vreau să prezint povești despre securitatea cibernetică pe care oamenii chiar vor să le urmărească.

Alege un lucru pe care toată lumea crede că îl înțelege. Descoperă presupunerea care stă la baza lui. Concepe un experiment în jurul acesteia. Testează-l. Pune-l la încercare. Poate că îl vei distruge. Poate că vei arunca ceva în aer. Apoi, cheamă experți și explică-le ce s-a întâmplat de fapt.

Asta am încercat să facem cu primul episod din „Into the Breach”, intitulat „Breaking the Firewall ”.

Înainte de lansarea oficială, episodul a început să fie difuzat la bordul avioanelor United Airlines. Apoi, la Black Hat, s-a întâmplat ceva care m-a bucurat în mod deosebit: oamenii au venit la standul OPSWAT după ce au vizionat episodul în timpul zborului, iar unii au dorit să discute cu noi despre diodele de date.

Gândește-te la asta.

Cineva a urmărit o emisiune despre securitatea cibernetică în avion, a ajuns la Black Hat, a venit la standul nostru și a vrut să afle cum poate proteja mai bine o rețea critică.

Exact asta speram să poată face Cyber King.

Să ai o idee e ușor. Să o pui în practică, nu.

Sunt creatorul și producătorul executiv al serialului, dar am avut norocul să am alături o echipă incredibilă pentru realizarea primului episod:

• Kari Byron a fost prezentatoare și producătoare executivă

• Berry Blanton a fost regizor și producător

• Jason Richard a fost producător și editor

• Linda Wolkovitch a fost producătoare

• Erik Weinbrecht a fost scenarist

• Joanna Shemesh a fost producător asociat

• Scott Sorensen a fost director de imagine

• Shannon Wilkerson s-a ocupat de grafica 3D și de designul de mișcare

• Christopher Gore Gammon a fost redactor adjunct

• Din echipa de producție au făcut parte, de asemenea, Jesus „Chuy” Valadez, Mahlik Hailu, Jan Reichle, Christina Robles, Jesus Ocejo și Roman Molla.

...și, bineînțeles, Maxx, câinele-robot, a jucat propriul rol.

Mulțumiri speciale pentru Kari, Berry, Jason, Erik și tuturor celor care au contribuit la transformarea acestei idei în realitate.