Unidirectional patch management solution to isolated network

Abstract

The security of a nation’s information systems is extremely important for the public security of an entire country. Various governmental networks worldwide are under constant attack from hackers and foreign state actors. Information systems are designed to be updated with security patches and newer versions of the software. If one does not apply security updates are not applied, it may compromise the system to an attack. Network isolation will achieve some information security, as the network is harder to reach by an attacker; however, this does not prevent attackers from attacking the network in some way.

The goal of the research was to identify the requirements for public authority implementing a unidirectional patch management solution to an isolated network and to develop a solution. The proposed solution, which was tested in a Proof of Concept environment that was built for this study purpose. The unidirectional patch management solution was developed with a use of an optical data diode product that transported Windows and Linux patch management files to the isolated network.

Information security audit tool for Finnish government authorities, KATAKRI 2015 was chosen for interpretation and assessment fulfilment of the requirements. Furthermore, the proposed solution was compared to publicly available information regarding a public authority’s approval of unidirectional security gateway solutions.

It was not possible to conclude from the results whether all requirements were identified and implemented exactly the way a competent accreditation authority would require in order to approve a solution due to the fact that the implementation examples presented in KATAKRI 2015 itself could only be regarded as a de facto way of implementation which can in some cases achieve the required level of fulfilment.

Valtiollisten tietojärjestelmien turvallisuus on kriittinen osa koko maan yleistä kokonaisturvallisuutta. Ympäri maailmaa lukuisat valtiolliset tietoverkot ovat jatkuvien hyökkäysten kohteena hakkereiden ja valtiollisten toimijoiden toimesta. Tietojärjestelmät on suunniteltu päivitettäväksi tietoturvapäivityksillä sekä uudempien ohjelmistoversioiden avulla. Jos tietojärjestelmiä ei ylläpidetä tietoturvapäivityksillä voi se vaarantaa koko tietojärjestelmän hyökkäyksille. Näiden järjestelmien eriyttämisellä suljettuun verkkoon saavutetaan joitain tietoturvaetuja, koska hyökkääjien on vaikeampi saavuttaa verkkoa, mutta eriyttäminen ei estä hyökkäyksiä kokonaan.

Opinnäytetyön tavoitteena oli tunnistaa, mitkä ovat valtiollisen toimijan toteuttamisvaatimukset yksisuuntaisen päivitysjärjestelmän toteuttamiselle suljettuun verkkoon ja toteuttaa Proof of Concept -ympäristö, missä vaatimuksien toteutuminen sekä toimivuus testataan. Yksisuuntainen päivitysjärjestelmä toteutettiin käyttämällä optista datadiodi-tuotetta, jonka avulla mahdollistettiin Windows- ja Linux-päivitystiedostojen siirtämiseen suljettuun verkkoon.

Tutkimuksen vaatimuksien identifioimiseen ja tulkintaan sekä työssä toteutetun ratkaisun arviointiin käytettiin kansallista KATAKRI 2015 tietoturvallisuuden auditointityökalua Suomen viranomaisille. KATAKRI 2015:n lisäksi tutkimuksessa toteutettua ratkaisua arviointiin käyttämällä julkisesti saatavilla olevaa tietoa arviointilaitoksen hyväksymästä yhdyskäytäväratkaisusta.

Tutkimuksen tuloksista ei voida todeta, olivatko kaikki vaatimukset yksilöity ja toteutettu täsmälleen sillä tavalla, jonka toimivaltainen viranomainen vaatisi hyväksytyltä ratkaisulta. Tämä johtuu siitä, että itse KATAKRI 2015:ssä esitettyjä toteutusesimerkkejä voidaan pitää vain de facto -mallina toteutukselle, joka voi vain tietyissä tapauksissa saavuttaa vaaditun tason, jota odotetaan hyväksytyltä mallilta.