工業(yè)安全：在門(mén)口檢查您的閃存驅(qū)動(dòng)器

在過(guò)去的幾年里，工業(yè)物聯(lián)網(wǎng)系統(tǒng)的漏洞引發(fā)了很多關(guān)于網(wǎng)絡(luò)安全的討論，但大部分討論都集中在防止基于網(wǎng)絡(luò)的外部攻擊上。然而，一個(gè)同樣重要的攻擊媒介使用了一種更加（字面意義上的）普通方法：在 USB 驅(qū)動(dòng)器上手動(dòng)攜帶的惡意軟件?，F(xiàn)在霍尼韋爾正在推出一種系統(tǒng)，可以幫助保護(hù)工業(yè)網(wǎng)絡(luò)免受此類(lèi)“sneakernet”攻擊。

閃存驅(qū)動(dòng)器對(duì)計(jì)算機(jī)系統(tǒng)構(gòu)成的危險(xiǎn)已為人所知多年。大多數(shù)防止外部攻擊的系統(tǒng)對(duì)在防火墻內(nèi)工作的人沒(méi)有這種保護(hù)。對(duì)于員工或承包商來(lái)說(shuō)，使用插入網(wǎng)絡(luò)安全邊界內(nèi)計(jì)算機(jī) USB 端口的簡(jiǎn)單閃存驅(qū)動(dòng)器來(lái)上傳惡意軟件太容易了。它甚至不必是蓄意攻擊。如果員工在停車(chē)場(chǎng)或餐廳周?chē)l(fā)現(xiàn)了一個(gè)（植入的）閃存驅(qū)動(dòng)器，則只需插入驅(qū)動(dòng)器以查看其中的內(nèi)容，就可能無(wú)意中上傳了惡意軟件。

對(duì)于許多工業(yè)網(wǎng)絡(luò)，防止此類(lèi)安全漏洞的主要工作是公司政策，禁止現(xiàn)場(chǎng)人員使用任何個(gè)人閃存驅(qū)動(dòng)器或完全禁止便攜式媒體。雖然這提供了一些防止意外感染的保護(hù)，但它無(wú)助于防止故意采取的行動(dòng)。針對(duì)在防火墻內(nèi)使用的可能受感染的 USB 驅(qū)動(dòng)器的某種主動(dòng)安全屏障是必不可少的。

然而，簡(jiǎn)單地鎖定 USB 端口是不切實(shí)際的。許多工業(yè)系統(tǒng)依賴(lài)這種便攜式媒體作為關(guān)鍵系統(tǒng)軟件更新的載體。端口需要保持開(kāi)放，但也需要受到保護(hù)。

進(jìn)入霍尼韋爾的SMX（安全媒體交換）系統(tǒng)。SMX 系統(tǒng)與基于 Windows 的計(jì)算設(shè)備一起使用，通過(guò)遵循簡(jiǎn)單的檢查-檢查-執(zhí)行過(guò)程，使用兩管齊下的方法來(lái)提供安全性。根據(jù)霍尼韋爾的產(chǎn)品新聞發(fā)布，使用 SMX，USB 驅(qū)動(dòng)器必須首先在 SMX 智能網(wǎng)關(guān)上登記，然后才能在受保護(hù)的網(wǎng)絡(luò)中使用。當(dāng)驅(qū)動(dòng)器稍后插入受保護(hù)的系統(tǒng)時(shí)，該計(jì)算機(jī)會(huì)在允許系統(tǒng)訪問(wèn)驅(qū)動(dòng)器之前驗(yàn)證驅(qū)動(dòng)器的簽入狀態(tài)。未正確簽入的驅(qū)動(dòng)器根本不會(huì)注冊(cè)為系統(tǒng)可用。并且記錄所有驅(qū)動(dòng)器使用情況，從簽入到最終簽出，以便 IT 管理員可以跟蹤活動(dòng)。

在一次集團(tuán)新聞發(fā)布會(huì)上，霍尼韋爾的首席產(chǎn)品技術(shù)專(zhuān)家賽斯·卡彭特 (Seth Carpenter) 詳細(xì)介紹了該系統(tǒng)的工作原理。他解釋說(shuō)，SMX 情報(bào)網(wǎng)關(guān)鏈接到霍尼韋爾基于云的 ATIX（高級(jí)威脅情報(bào)交換）軟件，該軟件使用多種技術(shù)來(lái)驗(yàn)證正在檢入的驅(qū)動(dòng)器上的文件。與許多防病毒系統(tǒng)一樣，它檢查針對(duì)已知威脅的文件，并使用啟發(fā)式檢查來(lái)幫助識(shí)別未知威脅。他說(shuō)，這些步驟導(dǎo)致了文件的三種分類(lèi)——已知良好、已知不良和未知。如果該文件已知良好，例如預(yù)先批準(zhǔn)的軟件更新，則批準(zhǔn)該文件供系統(tǒng)使用。他指出，如果一個(gè)文件被認(rèn)為是壞的，它會(huì)被隔離在一個(gè)加密的 ZIP 文件中，這樣受保護(hù)的系統(tǒng)就無(wú)法訪問(wèn)它們。

但是，如果初始檢查將該文件歸類(lèi)為未知文件，則 SMX 系統(tǒng)可能會(huì)超出正常的防病毒操作。未知文件受系統(tǒng) IT 管理員可以控制的策略的約束。這些文件可以被批準(zhǔn)供系統(tǒng)使用，可以被隔離，或者可以轉(zhuǎn)發(fā)到 ATIX 系統(tǒng)進(jìn)行深入分析。Carpenter 說(shuō)，這種分析可以包括在配置為匹配用戶自己的系統(tǒng)的“沙盒”系統(tǒng)中運(yùn)行未知文件，然后尋找異常行為等步驟。沙盒方法有助于確保檢測(cè)到目標(biāo)惡意軟件，例如僅在找到特定系統(tǒng)配置時(shí)才會(huì)起作用的 Stuxnet 病毒。

Carpenter 指出，SMX 的兩部分方法具有幾個(gè)優(yōu)點(diǎn)。網(wǎng)關(guān)與基于云的 ATIX 的連接確保 SMX 系統(tǒng)使用最新的威脅信息，而不會(huì)給用戶的 IT 部門(mén)帶來(lái)負(fù)擔(dān)。受保護(hù)網(wǎng)絡(luò)中各個(gè)系統(tǒng)上的保護(hù)代理是用于 Windows 的簡(jiǎn)單替代 USB 驅(qū)動(dòng)程序，它允許 SMX 系統(tǒng)甚至在異構(gòu)網(wǎng)絡(luò)中工作。一旦安裝在目標(biāo)計(jì)算機(jī)上，代理將在確認(rèn)之前自動(dòng)驗(yàn)證任何插入的驅(qū)動(dòng)器是否已通過(guò)網(wǎng)關(guān)正確簽入，然后只能訪問(wèn)標(biāo)記為已批準(zhǔn)的文件。此行為獨(dú)立于網(wǎng)關(guān)，因此無(wú)需使用威脅信息更新代理，也無(wú)需網(wǎng)關(guān)與受保護(hù)網(wǎng)絡(luò)進(jìn)行交互。

Carpenter 提出的最后一個(gè)注意事項(xiàng)：簽入閃存驅(qū)動(dòng)器會(huì)導(dǎo)致“驅(qū)動(dòng)器內(nèi)容的某些混淆”，從而使驅(qū)動(dòng)器在 SMX 系統(tǒng)之外暫時(shí)無(wú)法使用。他說(shuō)，當(dāng)驅(qū)動(dòng)器通過(guò)網(wǎng)關(guān)檢出時(shí)，這個(gè)過(guò)程就相反了。同時(shí)，系統(tǒng)會(huì)驗(yàn)證驅(qū)動(dòng)器的內(nèi)容沒(méi)有發(fā)生未經(jīng)授權(quán)的更改，從而有助于防止信息被盜。

審核編輯 黃昊宇