¿Qué es un Air Gap?

Un espacio de aire opera sobre un principio de desconexión absoluta. Mientras que la seguridad de red estándar se basa en filtros de software, un espacio de aire se basa en la ausencia física de un medio de transmisión.

Para lograr esto, el sistema protegido típicamente tiene sus NICs retirados o desactivados. No hay cables Ethernet conectados, no hay antenas Wi-Fi activas y no hay radios Bluetooth habilitados. El sistema se convierte efectivamente en una isla, invisible al resto del océano digital.

Dado que el sistema no puede comunicarse a través de protocolos de red estándar, la transferencia de información se basa en un método manual. Para mover datos al entorno aislado por aire, un usuario debe copiar físicamente archivos en medios extraíbles y llevarlos a la máquina aislada. Este proceso crea un punto de intervención humana obligatorio.

Este flujo de trabajo manual introduce una fricción significativa que actúa como una característica de seguridad. Debido a que no hay conexión persistente, un hacker no puede ejecutar un shell de comando remoto, exfiltrar datos en tiempo real o moverse lateralmente de una estación de trabajo infectada al servidor de respaldo. El único puente a través de la brecha es temporal, físico y estrictamente controlado.

Tipos de configuraciones de aislamiento por aire

Las organizaciones implementan el aislamiento por aire a través de diversas configuraciones arquitectónicas, que van desde dispositivos desconectados simples hasta bóvedas empresariales sofisticadas. Estas configuraciones se eligen en función del equilibrio entre los requisitos de seguridad y la necesidad de accesibilidad operativa.

• Sistemas aislados autónomos: Esta es la configuración más básica, que consiste en una sola computadora o servidor que no tiene absolutamente ninguna conexión de interfaz de red. Se utiliza principalmente para tareas altamente sensibles, como la gestión de autoridades de certificación raíz o el procesamiento de documentos clasificados, donde la entrada y salida ocurren estrictamente a través de medios extraíbles inspeccionados.
   
• Biblioteca de cintas: Una configuración tradicional pero altamente efectiva donde los datos de respaldo se escriben en cartuchos de cinta magnética. Una vez que la copia de seguridad está completa, las cintas se expulsan de la biblioteca robótica y se transportan a una instalación de almacenamiento segura y fuera del sitio, creando una brecha literal entre los datos y la red.
   
• Diodos de datos de hardware: Esta configuración utiliza un dispositivo de hardware especializado que impone un flujo de información unidireccional en la capa física. Los datos pueden enviarse a la red de alta seguridad (por ejemplo, para archivar registros), pero ninguna señal puede regresar físicamente a la red de origen, lo que hace imposible que un atacante envíe señales de comando y control de vuelta.
   
• Dispositivos de copia de seguridad aislados: Estos son dispositivos de almacenamiento diseñados específicamente para permanecer desconectados por defecto. El sistema se conecta física o lógicamente a la red de producción solo durante la duración precisa de una ventana programada, después de lo cual se desconecta o apaga inmediatamente para minimizar la superficie de ataque.
   
• Almacenes de recuperación gestionados: En esta configuración, los datos críticos se replican en un entorno aislado (a menudo una sala limpia) que está completamente segregado del directorio de producción y los servicios de red. Este almacén es gestionado por un conjunto separado de credenciales y administradores para evitar que un atacante con privilegios de administrador robados acceda a las copias seguras.

Beneficios de la separación

Implementar una estrategia de separación proporciona el nivel más alto de defensa para los activos más críticos de una organización. Al separar físicamente los datos de la red, las empresas obtienen varias ventajas estratégicas que las soluciones puramente basadas en software no pueden replicar.

• Protección contra ransomware y malware: El principal beneficio es su capacidad para detener el movimiento lateral de malware que se propaga por sí mismo; dado que no hay conexión física para que el código atraviese, el ransomware que cifra la red de producción no puede alcanzar ni infectar las copias, preservando un estado limpio para la recuperación.

• Prevención del acceso no autorizado: La separación neutraliza efectivamente los intentos de hacking remoto y las intrusiones no autorizadas porque un actor de amenaza no puede explotar vulnerabilidades, forzar contraseñas o usar credenciales comprometidas para acceder a un sistema que es invisible para la red y la internet.

• Garantizando la integridad y el cumplimiento: Muchos marcos regulatorios (como GDPR, HIPAA y estándares financieros) requieren medidas estrictas para garantizar que los datos no hayan sido manipulados; la separación satisface estas rigurosas demandas de cumplimiento al garantizar que una vez que los datos se archivan en el entorno aislado, permanecen inmutables y sin alteraciones por fuerzas externas.

• Recuperación ante desastres y continuidad del negocio: Una copia de seguridad aislada sirve como la "póliza de seguro" o "copia dorada" definitiva, asegurando que incluso en el peor de los casos donde todo el entorno de producción es eliminado o bloqueado, la organización retiene un conjunto recuperable de información para reanudar las operaciones comerciales.

Aunque el aislamiento físico ofrece una seguridad superior, introduce una fricción operativa y complejidad significativas que pueden obstaculizar la agilidad. La dependencia de transferencias de datos manuales impide la sincronización en tiempo real, lo que significa que los datos separados siempre están ligeramente desactualizados en comparación con el entorno de producción en vivo.

Además, el aislamiento no es absoluto; el puente necesario utilizando medios extraíbles como unidades USB crea una vulnerabilidad donde el malware puede ser transportado manualmente a través de la brecha, como demostró famosamente el gusano Stuxnet, haciendo que los protocolos rigurosos de descontaminación y seguridad física sean tan críticos como la desconexión misma.

Mientras que el "verdadero" aislamiento físico tradicional es físico, los entornos modernos a menudo emplean aislamiento lógico para lograr objetivos de protección similares con mayor agilidad.

Un aislamiento físico es el enfoque "clásico" donde el sistema está completamente desconectado de la infraestructura. No hay cableado, no hay Wi-Fi, y el hardware reside en una ubicación separada o en un rack asegurado.

En contraste, un aislamiento lógico se basa en la segmentación de red y controles de software para crear aislamiento. Los datos de respaldo pueden residir en la misma red que el entorno de producción, pero son lógicamente invisibles e inaccesibles para los usuarios y aplicaciones estándar. Esto se logra utilizando políticas de almacenamiento inmutables (WORM - Escribir una vez, Leer muchas), dominios de autenticación distintos y configuraciones de red de confianza cero que rechazan todo el tráfico excepto flujos de respaldo específicos y autorizados.

Las tecnologías de aislamiento físico son esenciales en sectores de alto riesgo donde la compromisión de datos puede tener consecuencias físicas o financieras catastróficas. En los sectores gubernamental y militar, los aislamientos físicos son el protocolo estándar para proteger inteligencia de alto secreto y sistemas de control de armas de espionaje extranjero.

Los operadores de infraestructura crítica, como plantas de energía y instalaciones de tratamiento de agua, dependen de sistemas de control industrial (ICS) y redes SCADA aisladas para prevenir ataques que podrían poner en peligro la seguridad pública.

Mientras tanto, las instituciones financieras utilizan redes aisladas para asegurar terminales de transacciones SWIFT y libros contables centrales de banca contra fraudes, y las organizaciones de salud adoptan cada vez más copias de seguridad inmutables y lógicamente aisladas para proteger registros sensibles de pacientes de la creciente amenaza de malware que apunta a la disponibilidad hospitalaria.

Mejores prácticas para implementar aislamientos físicos

Implementar un aislamiento físico no es una tarea de "configurar y olvidar"; requiere disciplina rigurosa para seguir siendo efectivo contra amenazas como ransomware.

• Definir controles de acceso estrictos: Limitar el acceso físico al entorno aislado a un número mínimo de personal verificado y hacer cumplir una "regla de dos personas" para operaciones críticas para prevenir amenazas internas.
   
• Desinfectar medios extraíbles: Establecer una estación de escaneo obligatoria para analizar todas las unidades USB o discos externos en busca de malware antes de que se conecten al sistema seguro.
   
• Automatizar la aislamiento lógico: Si se utiliza un espacio aéreo lógico, asegúrese de que el almacén sea inmutable (WORM) y gestionado por un sistema de autenticación completamente separado (por ejemplo, no conectado al directorio corporativo principal).
   
• Probar regularmente el tiempo de respuesta: Un espacio aéreo es inútil si no se puede recuperar la información; programe simulacros periódicos para recuperar, montar y restaurar datos del entorno aislado para verificar la integridad y los tiempos de recuperación.

Espacio Aéreo vs Otras Medidas

Si bien las herramientas de seguridad estándar son esenciales para la defensa diaria, operan en redes conectadas, mientras que un espacio aéreo se basa en la total aislamiento.

• Espacio aéreo vs cortafuegos y IDS: Los cortafuegos y los sistemas de detección de intrusiones (IDS) filtran el tráfico en función de reglas y firmas, pero si un exploit de día cero elude estos filtros de software, la red queda expuesta; un espacio aéreo, en cambio, previene físicamente cualquier flujo de tráfico, haciendo que los exploits remotos sean imposibles independientemente de las vulnerabilidades del software.
   
• Espacio aéreo vs segmentación de red: La segmentación de red (usando VLANs) limita el movimiento lateral dividiendo una red en zonas más pequeñas, pero estas zonas siguen estando conectadas en realidad y potencialmente transitables a través de configuraciones incorrectas o robo de credenciales; un espacio aéreo elimina la conexión por completo, ofreciendo un límite físico más claro que la segmentación lógica no puede emular.
   
• Espacio aéreo vs aislamiento basado en la nube: El aislamiento basado en la nube (a menudo llamado "copia de seguridad inmutable") crea un espacio aéreo lógico al bloquear los datos contra cambios (WORM) dentro de un entorno conectado; aunque es muy efectivo para la recuperación rápida de malware, carece de la desconexión absoluta de un espacio aéreo físico, que protege contra compromisos a nivel de plataforma o amenazas internas con acceso administrativo a la nube.

Cómo OVHcloud Implementa Conceptos de Seguridad de Espacio Aéreo

OVHcloud integra los principios de aislamiento e inmutabilidad en su arquitectura para proporcionar una protección robusta que refleja el aislamiento tradicional por espacio aéreo.

• Aislamiento de datos y soluciones de copia de seguridad de datos seguras: La solución de archivo en frío de OVHcloud aprovecha la tecnología de biblioteca de cintas de IBM para almacenar datos fuera de línea para retención a largo plazo; esto proporciona un equivalente moderno y automatizado de un espacio aéreo físico donde los datos se escriben en cinta y se desacoplan físicamente del ecosistema de discos activos hasta que se solicita la recuperación.
   
• Preparación contra ransomware y recuperación ante desastres: Al admitir el bloqueo de objetos (WORM) en su Almacenamiento de Objetos compatible con S3, OVHcloud permite a los usuarios crear copias de seguridad inmutables que no pueden ser encriptadas, modificadas o eliminadas por malware o actores maliciosos durante un período determinado, creando efectivamente un espacio aéreo lógico para una respuesta inmediata ante desastres.
   
• Enfoque de cumplimiento y soberanía de OVHcloud: OVHcloud garantiza que los datos permanezcan en realidad y legalmente separados a través de su riguroso marco de soberanía de datos; los datos se almacenan en centros de datos localizados (inmunes a leyes extraterritoriales como la Ley CLOUD de EE. UU. para clientes no estadounidenses) y están protegidos por estrictos controles de acceso físico, asegurando que la "brecha" protege contra amenazas cibernéticas y riesgos geopolíticos.