Még az Anthropic is aggódik az alállomásod miatt.
A mesterséges intelligencia-vállalat 2026 júniusában tette közzé „Advanced AI Framework” című dokumentumát – egy olyan irányelvgyűjteményt, amely látszólag a legkorszerűbb mesterséges intelligencia-fejlesztések szabályozását célozza. A 2. részben, az AI-fenyegetésekkel szembeni kiberreziliencia témájú szakaszban található egy ajánlássorozat, amely inkább egy OT (operatív technológia) biztonsági szakember kívánságlistájára hasonlít, mint egy AI-irányelvre. Termékfejlesztő csapataink számára három ilyen ajánlás tűnt ki:
1. Kötelező érvényű frissítés-telepítési gyakoriság meghatározása a kritikus infrastruktúra-üzemeltetők számára
2. Pénzügyi támogatást kell nyújtani az üzemeltetőknek azoknak a rendszereknek a felméréséhez és elkülönítéséhez, amelyek már nem kapnak biztonsági frissítéseket
3. Hosszú beszerzési idővel járó OT-hardverekből (védőrelék, RTU-k, PLC-k) stratégiai tartalékot kell létrehozni azoknak az üzemeltetőknek, akiknek berendezéseit egy pusztító támadás működésképtelenné teheti
A „azoknak a rendszereknek az elkülönítése, amelyek már nem kapnak biztonsági frissítéseket” című ajánlás a legsúlyosabb, mert:
1. Hatással van a már telepített régi OT-berendezések nagy részére
2. Az OT-hálózatok úgynevezett „air-gapping” megoldáshoz való visszatérését szorgalmazza.
Van azonban egy módszer a rendszerek biztonságos elszigetelésére a kapcsolódás fenntartása mellett: az adatdiódák használata. Az Anthropic még ugyanebben a szakaszban, az erőforráshiánnyal küzdő üzemeltetők számára javasolt megelőző intézkedések között kifejezetten meg is említi az adatdiódákat: „az operatív technológia internethez való kitettségének csökkentése (adatdiódák segítségével).”
A „csak izoláljuk” megközelítés problémája
Az élettartamuk végéhez közeledő OT-berendezések mindenütt megtalálhatók. Találhatunk olyan programozható logikai vezérlőket, amelyek még 2009-es firmware-t futtatnak, olyan SCADA-rendszereket, amelyek még az iPhone megjelenése előttről származnak, sőt, olyan adatkezelő szervereket is, amelyek Windows Server rendszeren futnak. Ezeket a rendszereket gyakran nem lehet frissíteni, mivel a gyártó már nem létezik, a támogatási szerződés lejárt, vagy a frissítéshez napokig vagy hetekig tartó termelésleállásra lenne szükség, nem pedig percekre.
Az elvileg helyes általános tanács az, hogy izoláljuk a rendszert. Válasszuk le a hálózatról, szakítsuk meg a támadási útvonalat, és korlátozzuk a károsodás hatókörét. A gyakorlatban azonban a „csak izoláljuk” megközelítés saját problémákat vet fel:
- A láthatóság nélküli elszigetelés egyenlő a támadásokkal szembeni vaksággal. Ha az EOL-adatgyűjtő rendszered leáll, mert egy támadó megfertőzte, vagy oldalirányú terjedést hajt végre, akkor erről csak akkor fogsz tudomást szerezni, amikor már túl késő. Azok az üzemeltetők, akik egy rendszert légi réssel szigetelnek el anélkül, hogy biztosítanák a rendszer láthatóságát, az egyik kockázatot egy másikra cserélték.
- Az adatáramlás nélküli elszigetelés megszakítja a működést. A legtöbb olyan OT-rendszer, amelyre nem lehet frissítést telepíteni, továbbra is hasznos, sőt néha kritikus feladatokat lát el. Érzékelőadatokat generálnak, folyamatadatokat rögzítenek, és táplálják azokat a vezérlőpaneleket, amelyekre az üzemeltetők támaszkodnak az elemzések, az állapotellenőrzések, a szabályozási követelmények betartása, valamint az üzem hatékony működtetése érdekében. A hálózat teljes leválasztása ugyan elszigeteli a támadási felületet, de egyúttal megszakítja azokat az üzemeltetési adatokat is, amelyek biztosítják a rendszer zavartalan működését.
- A megfelelés bizonyítéka nélküli elszigetelés egy nem igazolt állítás. Az ellenőrök és a szabályozó hatóságok bizonyítékot fognak kérni arra, hogy egy rendszer valóban el van szigetelve, és nem csupán feltételezik, hogy el van szigetelve. A tűzfal-szabály egy szoftveres ellenőrzési mechanizmus. Software meghibásodhatnak.
Mit is csinálnak valójában az adatdiódák ebben az esetben?
A hardveresen megvalósított egyirányú átjáró (adatdióda) az a biztonsági intézkedés, amely az elszigetelést működőképessé teszi.
A lényeg a fizikai megvalósításban rejlik. Az adatdiódák kizárólag egy irányba továbbítanak adatokat, amit hardveresen, optikai szigeteléssel biztosítanak. Nincs olyan szoftverbeállítás, amelyet rosszul lehetne konfigurálni, nincs olyan szabály, amelyet meg lehetne kerülni, és nincs olyan kétirányú csatorna, amelyet kihasználni lehetne. Az a támadó, aki behatol egy külső OT- vagy IT-hálózatba, nem tud az adatdiódán keresztül bejutni egy biztonságos hálózatba.
OPSWAT ezt a védelmet a MetaDefender Diode™ segítségével OPSWAT , amely az OT-környezetekre tervezett, speciális hardverben egyirányú adatátvitelt valósít meg. Az Optical Diode a száloptikai átvitel révén a fizikai rétegen egyirányú adatáramlást Optical Diode : nincs visszatérő út, mivel a fény nem halad visszafelé a közegen keresztül. Olyan környezetekben, ahol a biztonsági incidens következményei a közbiztonság szempontjából mérhetők, bizonyosságra van szükség, nem pedig valószínűségre.
Az Anthropic 2. számú ajánlására alkalmazva ez megváltoztatja a számításokat:
Az elszigetelés a „védj és figyelj” elvvé válik a „védj és hagyd figyelmen kívül” helyett.
Az EOL-rendszerből adatdiódát üzemeltethet, amely a naplókat, az érzékelői telemetriai adatokat és az eseményadatokat továbbítja egy SIEM-rendszerbe (biztonsági információ- és eseménykezelő rendszer) vagy egy OT-felügyeleti platformra. A rendszer hatékonyan el van szigetelve; semmi sem jut vissza belőle. A SOC (biztonsági operációs központ) azonban továbbra is figyelemmel kísérheti. A rendellenességek láthatók, az incidensek pedig felismerhetők.
A működés folytonossága biztosítva van.
A történetnyomkövető továbbra is naplóz; az RTU (távoli terminál egység) továbbra is jelentést küld. Azok az adatok, amelyekre a rendszer alatti rendszerek támaszkodnak, továbbra is biztonságosan áramlanak kifelé olyan hardveren keresztül, amelyet nem lehet megkerülni. Az üzemeltetőknek nem kell a biztonság és az üzemidő közötti hamis választás előtt állniuk.
A megfelelés igazolása hardveresen van rögzítve.
Az elszigeteltség bizonyítható. Nem azt állítod, hogy egy tűzfal-szabályzat védi a rendszert, hanem azt mutatod be, hogy a hálózat fizikai felépítése lehetetlenné teszi a rendszer felé irányuló bejövő forgalmat. Ez egy teljesen másfajta beszélgetés egy auditálóval.
Elsősorban a készletprobléma áll a középpontban
Az Anthropic ajánlása kifejezetten az „inventory” és az „isolate” kifejezéseket párosítja; azt nem lehet megvédeni, amiről nem tudjuk, hogy létezik.
Az EOL-eszközök szisztematikus leltározása az első lépés. Ez feltárja a védelemre szoruló rendszereket, meghatározza azok hálózati kitettségét, és létrehozza azt az alapvonalat, amelyhez viszonyítva az elszigetelési intézkedések hatékonyságát mérik. OPSWATkritikus infrastruktúra-védelmi megközelítése innen indul: először meg kell ismerni a hálózaton található elemeket, mielőtt eldöntenénk, hogyan védjük meg azokat.
Miután elkészült a leltár, az adatdiódákat sebészi pontossággal lehet beépíteni, így elsősorban a legnagyobb kockázatú, élettartamuk végéhez közeledő rendszereket védve meg, miközben megőrzik azokat az adatáramlásokat, amelyekre a működés támaszkodik.
Egy komolyan veendő politikai jelzés
Az Anthropic nem egy operatív technológiai (OT) biztonsági cég. Éppen ez teszi érdekessé ezt a keretrendszert. Amikor egy LMM-eket fejlesztő mesterséges intelligencia-fejlesztő olyan kiberreziliencia-ajánlásokat fogalmaz meg, amelyek kifejezetten megemlítik az adatdiódákat és az RTU-kat, az egy egyre szélesebb körben kialakuló konszenzust tükröz: az operatív technológiai infrastruktúra biztonsága rendszerszintű kockázatot jelent, nem pedig egy szűk körű problémát.
Az a javaslat, hogy „a szolgáltatóknak támogatást kell nyújtani azoknak a rendszereknek a leltározásához és elszigeteléséhez, amelyek már nem kapnak biztonsági frissítéseket”, fel fog merülni a beszerzési tárgyalásokon, a szabályozási követelményekben és az igazgatósági szintű kockázati megbeszéléseken. Azok a szolgáltatók, akik már megoldották ezt a problémát, akik leltározták az EOL-állapotú eszközeiket, és hardveresen érvényesített elszigeteléssel védték meg őket, készen állnak majd erre a megbeszélésre.
Azok, akik ezt nem tették meg, magyarázatot kell adniuk arra, miért hagyták, hogy rendszereik továbbra is veszélynek legyenek kitéve.
Forduljon az OPSWAT a frissíthetetlen OT-eszközökön történő, hardveresen érvényesített adatdiódák bevezetésével kapcsolatban.
