An Endpoint-Oriented DLP Architecture for Preventing USB-Based Data Leakage in Air-Gapped Environments

Öz

In air-gapped network architectures, where physical isolation is critical, traditional network security controls are limited in nature, and data leakages are often facilitated by portable storage devices such as USB devices. This research proposes the design and experimental evaluation of Data Leak Prevention architecture, which has been specially designed to counter data leakages due to USB devices in air-gapped architectures. The Data Leak Prevention architecture is an offline architecture and relies on mandatory transfer interface control at the endpoints. The proposed methodology has also aimed at addressing the issues associated with Analog Hole scenarios by incorporating an OCR engine in the rule-based content analysis for scanned documents and image files. Additionally, to ensure uninterrupted operation and to overcome issues due to contextual ambiguity, a Human-in-the-Loop mechanism has also been integrated into this architecture. The evaluation process was performed using balanced data sets for texts, images, and mixed scenarios. Normalized and proportional performance metrics were used for presenting the experimental outcomes. Experimental outcomes have shown that high and consistent levels of detection are achieved for text-based content analysis scenarios, and the OCR support for the pipeline has helped in achieving higher levels in image-based scenarios with a few instances of failure due to sensitivity to image quality. For mixed scenarios, balanced levels are achieved using both methods combined, and it is validated that attempts for unauthorized copying outside the mandatory transfer stream can be prevented using the anti-bypass approach. Moreover, the functionality of the management layer with minimal resource usage was validated, making it appropriate for environments that require minimal power usage, such as those in the Raspberry Pi family. In conclusion, the proposed approach in this research provides a DLP solution that is endpoint-centric, content-sensitive, and operationally viable, particularly for environments that are air-gapped and resource-scarce.

Anahtar Kelimeler

• Data leakage prevention
• air-gapped networks
• USB data transfer
• OCR
• analog hole
• human-in-the-loop

Air-Gapped Ortamlarda USB Tabanlı Veri Sızıntısını Önlemeye Yönelik Uç Nokta Odaklı Bir DLP Mimarisi

Öz

Fiziksel izolasyonun kritik olduğu hava boşluklu ağ topolojilerinde, geleneksel ağ güvenliği önlemleri temel sınırlamalarla karşılaşır ve veri sızıntısı genellikle USB sürücüler gibi taşınabilir depolama aygıtları aracılığıyla gerçekleşir. Bu araştırma, hava boşluklu ortamlarda USB tabanlı veri aktarımını önlemek için tasarlanmış bir veri sızıntısı önleme çerçevesinin tasarımını ve deneysel değerlendirmesini özetlemektedir. Bu mimari çevrimdışı çalışmakta ve uç noktadaki vazgeçilmez bir aktarım arayüzü aracılığıyla kontrolü uygulamaktadır. Önerilen metodoloji, metin dosyaları için kural tabanlı içerik değerlendirmesi uygulayan, belirleyici ve doğrulanabilir bir tespit mekanizması sunmaktadır. Taranmış belgeler ve görüntü tabanlı veriler için OCR özellikli bir analitik çerçeve entegre ederek analog delik durumlarının eksikliklerini gidermeyi amaçlamaktadır. Çalışma sürekliliğini garanti etmek ve bağlamsal belirsizliklerden kaynaklanan hataları çözmek için tasarıma insan müdahalesi içeren bir karar verme süreci entegre edilmiştir. Değerlendirme, metin, görüntü ve karma senaryoları içeren dengeli veri kümeleri üzerinde gerçekleştirilmiş; bulgular, sınırlı veri ayarları altında karşılaştırmayı sağlamak için normalize edilmiş ve orantılı metrikler kullanılarak gösterilmiştir. Deneysel bulgular, metin tabanlı içerik analizinde üstün ve tutarlı tespit performansının elde edildiğini göstermektedir; OCR destekli yaklaşım, görüntü tabanlı bağlamlarda kapsamı iyileştirirken, görüntü kalitesine duyarlılık nedeniyle birkaç eksiklik gözlemlenmiştir. Karma durumlarda, her iki analitik işlem hattının entegre kullanımıyla optimum performans elde edilmiş ve zorunlu aktarım akışının ötesindeki yetkisiz kopyalama girişimlerinin, atlatma önleme stratejisiyle azaltılabileceği doğrulanmıştır. Ayrıca, komut katmanının minimum kaynak tüketimiyle çalışabilme kapasitesi kanıtlanmış ve Raspberry Pi gibi düşük güç tüketimli platformlar için ideal hale getirmiştir. Bu araştırma, uç nokta merkezli, içeriğe duyarlı ve operasyonel olarak uygulanabilir, hava boşluklu ve kaynak kısıtlı ortamlar için optimize edilmiş bir DLP metodolojisi geliştirmektedir.

Anahtar Kelimeler

• Veri sızıntısı önleme
• Hava boşluklu ağlar
• OCR
• Analog delik
• İnsan müdahalesi gerektiren süreç

Kaynakça

1. A. Shabtai, Y. Elovici, and L. Rokach, A Survey of Data Leakage Detection and Prevention Solutions. Boston, MA, USA: Springer, 2012.
2. D. S. Alberts, J. J. Garstka, and F. P. Stein, Network Centric Warfare: Developing and Leveraging Information Superiority, 2nd ed. Washington, DC, USA: CCRP Publication Series, 2002. [Online]. Available: www.dodccrp.org
3. M. Guri and Y. Elovici, “Bridgeware: The air-gap malware,” Commun. ACM, vol. 61, no. 4, pp. 74–82, Mar. 2018.
4. M. Guri, B. Zadov, and Y. Elovici, “ODINI: Escaping Sensitive Data From Faraday-Caged, Air-Gapped Computers via Magnetic Fields,” IEEE Trans. Inf. Forensics Security, vol. 15, pp. 1190–1203, 2020.
5. R. Langner, “Stuxnet: Dissecting a Cyberwarfare Weapon,” IEEE Secur. Privacy, vol. 9, no. 3, pp. 49–51, May 2011.
6. J. R. C. Nurse et al., “Understanding Insider Threat: A Framework for Characterising Attacks,” in Proc. IEEE Secur. Privacy Workshops, May 2014, pp. 214–228.
7. N. Saxena, E. Hayes, E. Bertino, P. Ojo, K.-K. R. Choo, and P. Burnap, “Impact and Key Challenges of Insider Threats on Organizations and Critical Businesses,” Electronics, vol. 9, no. 9, p. 1460, Sep. 2020.
8. A. Nicolaou, S. Shiaeles, and N. Savage, “Mitigating Insider Threats Using Bio-Inspired Models,” Appl. Sci., vol. 10, no. 15, p. 5046, Jul. 2020.

9. B. G. Arı and Z. Cömert, “Scene Text Recognition Using Permutated Autoregressive Sequence Model and YOLOv8,” in Proc. 32nd Signal Process. Commun. Appl. Conf. (SIU), May 2024, pp. 1–4.
10. R. Smith, “An Overview of the Tesseract OCR Engine,” in Proc. 9th Int. Conf. Doc. Anal. Recognit. (ICDAR), vol. 2, Sep. 2007, pp. 629–633.
11. D. Sporici, E. Cușnir, and C.-A. Boiangiu, “Improving the Accuracy of Tesseract 4.0 OCR Engine Using Convolution-Based Preprocessing,” Symmetry, vol. 12, no. 5, p. 715, May 2020.
12. S. Öztürk, S. A. Şahin, A. N. Aksoy, B. Arı, and A. Akinbi, “A Novel Approach for Cardiotocography Paper Digitization and Classification for Abnormality Detection,” IEEE Access, vol. 11, pp. 42521–42533, 2023.
13. S. Amershi, M. Cakmak, W. B. Knox, and T. Kulesza, “Power to the People: The Role of Humans in Interactive Machine Learning,” AI Mag., vol. 35, no. 4, pp. 105–120, Dec. 2014.
14. M. A. Hussain, K. Samrouth, and N. Bakir, “A survey on malware attacks in industrial air-gap systems,” Int. J. Inf. Secur., vol. 24, no. 3, Art. no. 146, Jun. 2025.
15. M. Guri, B. Zadov, A. Daidakulov, and Y. Elovici, “xLED: Covert Data Exfiltration from Air-Gapped Networks via Switch and Router LEDs,” in Proc. 16th Annu. Conf. Privacy, Secur. Trust (PST), Aug. 2018, pp. 1–12.
16. A. Saeed, Y. A. Bangash, M. Farooq, and H. Rehman, “Securing air-gapped systems—Review of covert techniques for data ex-filtration and a new clause proposal for ISO 27001,” Int. J. Inf. Secur., vol. 24, no. 4, Art. no. 182, Aug. 2025.
17. W. Shi, J. Cao, Q. Zhang, Y. Li, and L. Xu, “Edge Computing: Vision and Challenges,” IEEE Internet Things J., vol. 3, no. 5, pp. 637–646, Oct. 2016.
18. L. F. Cranor, “A framework for reasoning about the human in the loop,” in Proc. 1st Conf. Usability, Psychol., Secur. (UPS), Apr. 2008, pp. 1–15.
19. K. A. Scarfone and P. M. Mell, Guide to Intrusion Detection and Prevention Systems (IDPS). Gaithersburg, MD, USA: Natl. Inst. Stand. Technol. (NIST), 2007.
20. S. Axelsson, “The base-rate fallacy and the difficulty of intrusion detection,” ACM Trans. Inf. Syst. Secur., vol. 3, no. 3, pp. 186–205, Aug. 2000.
21. H. He and E. A. Garcia, “Learning from Imbalanced Data,” IEEE Trans. Knowl. Data Eng., vol. 21, no. 9, pp. 1263–1284, Sep. 2009.
22. R. Sommer and V. Paxson, “Outside the Closed World: On Using Machine Learning for Network Intrusion Detection,” in Proc. IEEE Symp. Secur. Privacy, 2010, pp. 305–316.
23. T. Saito and M. Rehmsmeier, “The Precision-Recall Plot Is More Informative than the ROC Plot When Evaluating Binary Classifiers on Imbalanced Datasets,” PLoS One, vol. 10, no. 3, Art. no. e0118432, Mar. 2015.
24. T. Fawcett, “An introduction to ROC analysis,” Pattern Recognit. Lett., vol. 27, no. 8, pp. 861–874, Jun. 2006.
25. M. Satyanarayanan, “The Emergence of Edge Computing,” Computer, vol. 50, no. 1, pp. 30–39, Jan. 2017.