Bảo vệ hạ tầng CNTT tài chính bằng công nghệ Data Diodes | OPSWAT

Khi tần suất và mức độ tinh vi của các mối đe dọa mạng nhắm vào các tổ chức tài chính ngày càng gia tăng, công tác phòng thủ mạng cần phải vượt ra ngoài các biện pháp bảo mật truyền thống để bảo vệ các hệ thống CNTT quan trọng của họ. Việc phân đoạn mạng hợp lý là yếu tố then chốt để bảo vệ các hệ thống CNTT quan trọng khỏi các mối đe dọa mạng, và các thiết bị diode dữ liệu mang lại mức độ bảo mật cao hơn so với các giải pháp bảo mật mạng khác.

Ban đầu được phát triển cho các hệ thống quân sự và quốc phòng, diode dữ liệu đang tìm thấy sự liên quan mới trong lĩnh vực tài chính, nơi tính toàn vẹn, tính bảo mật và tuân thủ quy định của dữ liệu là tối trọng yếu.

Diode dữ liệu là một thiết bị bảo mật mạng được thực thi bằng phần cứng, có chức năng đảm bảo luồng dữ liệu một chiều giữa hai mạng. Khác với tường lửa hay hệ thống bảo mật dựa trên phần mềm, diode dữ liệu được thiết kế để đảm bảo dữ liệu chỉ có thể di chuyển theo một hướng, từ đó loại bỏ nguy cơ các cuộc tấn công từ xa lây lan trở lại cơ sở hạ tầng CNTT quan trọng.

Chính sách bảo mật một chiều của diode dữ liệu được thực thi trong phần cứng và không thể bị xâm phạm. Bằng cách tạo đường truyền thông tin một chiều, diode dữ liệu tách biệt các tài sản có giá trị cao khỏi môi trường kém an toàn hơn trong khi vẫn cho phép truyền dữ liệu trọng yếu.

Một lợi ích bảo mật thứ hai và cũng không kém phần quan trọng của bộ chuyển mạch dữ liệu là việc nó đảm bảo sự tách biệt về giao thức giữa mạng nguồn và mạng đích. Ban đầu, bộ chuyển mạch dữ liệu được thiết kế để đáp ứng các yêu cầu về truyền thông xuyên miền của Bộ Quốc phòng, trong đó bao gồm việc duy trì tính bảo mật mạng tuyệt đối giữa mạng nguồn và mạng đích.

Khác với tường lửa, vốn mở kết nối TCP hoặc UDP giữa các mạng, các bộ chuyển mạch dữ liệu (data diodes) chỉ truyền tải phần dữ liệu thực (payload). Phần mềm proxy ở phía nguồn của bộ chuyển mạch sẽ loại bỏ thông tin định tuyến khỏi tiêu đề gói dữ liệu và chỉ truyền tải phần dữ liệu thực sang phía đích của bộ chuyển mạch. Phần mềm ở phía đích sẽ tái tạo lại gói dữ liệu và, thông qua quá trình cấu hình riêng biệt, định tuyến gói dữ liệu đến điểm cuối chính xác.

Được triển khai rộng rãi để bảo vệ các mạng lưới mật, cơ sở hạ tầng sản xuất điện hạt nhân và nhiều hệ thống quan trọng khác, các bộ phận chuyển tiếp dữ liệu (data diodes) giúp củng cố chiến lược phân đoạn mạng và đảm bảo an toàn cho việc truyền thông giữa các miền mạng.

Cũng giống như các ngành khác, các tổ chức tài chính đã xây dựng một hệ thống cơ sở hạ tầng CNTT phức tạp để hỗ trợ các quy trình kinh doanh của mình, trong đó bao gồm việc chia sẻ dữ liệu giữa các phòng ban khác nhau cũng như với các đối tác và nhà cung cấp bên ngoài. Thông thường, việc chia sẻ dữ liệu chỉ diễn ra theo một chiều, nhưng hệ thống mạng truyền tải dữ liệu lại hoạt động hai chiều, từ đó tạo ra các lỗ hổng tiềm ẩn về an ninh mạng cho tổ chức.

Có rất nhiều trường hợp có thể áp dụng điốt dữ liệu để chia sẻ dữ liệu một cách an toàn. Dưới đây là một số ví dụ:

1. Sao lưu và lưu trữ dữ liệu nhạy cảm: Các tổ chức tài chính thực hiện sao lưu dữ liệu từ các hệ thống vận hành sang các cơ sở lưu trữ nhằm đảm bảo tính liên tục của hoạt động kinh doanh trong trường hợp hệ thống gặp sự cố. Các thiết bị Data Diodes có thể chuyển tệp tin, sao chép cơ sở dữ liệu và chuyển thông tin sự kiện hệ thống sang cơ sở lưu trữ, đồng thời truy xuất dữ liệu từ cơ sở lưu trữ một cách an toàn.
2. Secure dữ liệu thị trường Secure sang các mạng độc lập: Các môi trường giao dịch phụ thuộc vào nguồn dữ liệu thị trường thời gian thực từ Bloomberg, Reuters và các nguồn khác. Dữ liệu này được truyền một chiều vào các môi trường giao dịch thường là độc lập. Có thể triển khai các thiết bị truyền dữ liệu một chiều (data diodes) tại ranh giới mạng, giúp truyền tải video thời gian thực và các nguồn dữ liệu mới khác với độ trễ tối thiểu mà không cần mở kênh truyền thông ngược lại.
3. Báo cáo theo quy định: Các công ty tài chính gửi báo cáo tuân thủ đến các cơ quan quản lý từ các môi trường an toàn. Đây là quá trình truyền dữ liệu một chiều, thường được thực hiện qua các mạng hai chiều. Có thể cấu hình các thiết bị truyền dữ liệu một chiều (data diodes) để tự động gửi tệp tin đến đích thích hợp, đảm bảo dữ liệu nhạy cảm liên quan đến quy định được truyền tải mà không làm ảnh hưởng đến tính toàn vẹn của môi trường nguồn.
4. Tích hợp Secure : Sao chép dữ liệu từ Splunk sang Splunk: Trong ngành dịch vụ tài chính, Splunk chủ yếu được sử dụng để hợp nhất dữ liệu vào một "bảng điều khiển tổng quan" duy nhất, hỗ trợ các hoạt động giám sát và phân tích thời gian thực tại bộ phận hậu cần. Giải pháp này được áp dụng nhằm nâng cao an ninh, hiệu quả hoạt động và trải nghiệm khách hàng. Việc bảo mật quá trình truyền dữ liệu sang Splunk thông qua cơ chế "data diodes" giúp bảo vệ tính toàn vẹn của các hoạt động kinh doanh như:
   1. Giám sát giao dịch và phát hiện gian lận: Splunk hỗ trợ các hệ thống phát hiện gian lận. Các bản ghi giao dịch từ hệ thống ngân hàng cần được truyền tải an toàn đến Splunk theo thời gian thực. Các thiết bị Data Diodes giúp duy trì việc phân đoạn mạng theo yêu cầu đồng thời hỗ trợ việc truyền dữ liệu theo thời gian thực cần thiết cho việc phát hiện các bất thường.
   2. Tình trạng hệ thống tuân thủ quy định: Các bộ chuyển đổi dữ liệu (data diodes) đảm bảo an toàn cho quá trình truyền dữ liệu sang Splunk, hỗ trợ các hoạt động kiểm toán cần thiết.
   3. Các điốt dữ liệu truyền nhật ký hệ thống và cảnh báo đến Splunk qua một kết nối mạng được bảo mật cao
5. Chia sẻ thông tin tài chính: Tương tự như các ứng dụng trong Bộ Quốc phòng, các thiết bị Data Diodes có thể được sử dụng để chia sẻ thông tin giữa các phòng ban trong một tổ chức hoặc với các cơ quan đối tác khác. Các thiết bị Data Diodes đảm bảo duy trì tính liên tục của hoạt động kinh doanh đồng thời ngăn ngừa rủi ro xâm phạm các mạng nội bộ an toàn.
6. Chuyển Cloud : Các tổ chức tài chính có thể sử dụng thiết bị Data Diodes để sao chép dữ liệu lên các nền tảng đám mây nhằm xử lý, phân tích hoặc lưu trữ, mà không làm ảnh hưởng đến tính bảo mật của mạng nội bộ.