工業(yè)網(wǎng)絡(luò)環(huán)境下USB移動存儲介質(zhì)的安全防護

中國電力網(wǎng)發(fā)布時間：2024-06-18 14:14:39

　　一、應(yīng)用背景

　　工業(yè)控制系統(tǒng)是工業(yè)生產(chǎn)運行的基礎(chǔ)核心，廣泛應(yīng)用于工業(yè)生產(chǎn)的各個行業(yè)領(lǐng)域。工業(yè)企業(yè)為避免和阻斷網(wǎng)絡(luò)攻擊，保障工業(yè)控制系統(tǒng)的運行安全與穩(wěn)定，通常采用內(nèi)網(wǎng)隔離的方式使其獨立于其他網(wǎng)絡(luò)，只采用USB接口的移動存儲介質(zhì)作為數(shù)據(jù)交換的載體。

　　近年來，伴隨信息技術(shù)的飛速發(fā)展，專門利用USB、移動存儲介質(zhì)對工控系統(tǒng)開展攻擊的事件日漸增多。據(jù)霍尼韋爾工業(yè)USB威脅報告數(shù)據(jù)顯示，目前生產(chǎn)設(shè)施中USB設(shè)備的使用增加了30%，是數(shù)據(jù)交換的主要載體。37%的威脅是專門為利用USB可移動介質(zhì)而設(shè)計的，在OT環(huán)境中79%的關(guān)鍵業(yè)務(wù)中斷來自USB設(shè)備或可移動媒體的網(wǎng)絡(luò)威脅。利用USB設(shè)備搭載病毒、惡意程序進而實施攻擊的方式已成為攻擊者們的常用手段之一。

　　以電力行業(yè)為例，電力監(jiān)控系統(tǒng)通常以內(nèi)網(wǎng)隔離的方式，封閉獨立于其他網(wǎng)絡(luò)。電力運維人員現(xiàn)場作業(yè)時使用USB移動存儲設(shè)備對文件進行導入或?qū)С?，以便收集工程師站和操作員站的數(shù)據(jù)信息，對電力監(jiān)控系統(tǒng)進行維護。雖然電力企業(yè)采用了專人專管、粘貼封條和拷貝數(shù)據(jù)前格式化等制度化方式對USB移動存儲介質(zhì)進行管理，但主要依靠員工自覺的制度管理方式無法完全避免非授權(quán)、非安全移動介質(zhì)接入系統(tǒng)，也不能從根本上保障系統(tǒng)的安全。

　　在工業(yè)環(huán)境下，如何實現(xiàn)對USB移動存儲介質(zhì)的安全防護是工業(yè)企業(yè)亟待解決的安全難題。

　　二、USB移動存儲介質(zhì)“防護傘”

　　面對新型多變莫測的攻擊方式，工業(yè)企業(yè)應(yīng)重點采取“預防”為主的防護方式，提前構(gòu)建USB移動存儲介質(zhì)的“防護傘”和“保護罩”，為內(nèi)網(wǎng)安全筑起堅實防線。

　　珞安科技作為國內(nèi)工控安全領(lǐng)域技術(shù)先進、實力深厚的優(yōu)秀企業(yè)，針對USB移動存儲介質(zhì)防護難題，自主研發(fā)USB安全管理系統(tǒng)，通過技術(shù)手段與管理制度相結(jié)合來加強移動介質(zhì)的管控，實現(xiàn)移動介質(zhì)的權(quán)限控制、無毒驗證、操作審計等方面的全流程管控，滿足工業(yè)企業(yè)USB移動存儲介質(zhì)安全管理需求。

　　三、產(chǎn)品簡介

　　USB安全管理系統(tǒng)是一款防止USB移動存儲設(shè)備濫用導致病毒傳播的產(chǎn)品。它通過控制USB移動存儲設(shè)備的使用、病毒檢查，實現(xiàn)對USB移動存儲設(shè)備的“認證、授權(quán)、殺毒、審計”等功能，既滿足用戶通過USB移動存儲設(shè)備進行文件資料高速、便捷傳輸，又保證了文件資料的安全性、可靠性，有效阻止未知病毒文件在用戶業(yè)務(wù)系統(tǒng)內(nèi)的傳播，保障用戶業(yè)務(wù)系統(tǒng)安全。

　　四、產(chǎn)品配套

　　1、C/S客戶端

　　針對安全性要求高的客戶(如：電網(wǎng)客戶)，提供了C/S架構(gòu)的USB安全管理系統(tǒng)專用客戶端，采用基于國密算法的加密通道進行U盤文件的訪問，支持Windows7及以上版本和常用Linux系統(tǒng)(兼容如：凝思6.0.60、紅帽6.6和6.8、centos6以上等10余種linux版本瀏覽器)。

　　2、安全U盤

　　安全U盤采用金屬材質(zhì)的外殼定制，確保了U盤的耐用性和穩(wěn)定性，使用通用USB協(xié)議實現(xiàn)數(shù)據(jù)交互，依據(jù)策略和標簽配置控制用戶對U盤的讀寫行為，并由USB安全隔離裝置進行U盤的行為審計與日志記錄，實現(xiàn)對U盤訪問的安全控制。

　　3、終端端口管控

　　對于電力監(jiān)控系統(tǒng)中的主機類終端，可部署終端端口管控程序，在操作系統(tǒng)內(nèi)核層實現(xiàn)對USB設(shè)備的接入過濾管控，確保非法USB設(shè)備無法接入受保護的主機設(shè)備中。

　　五、技術(shù)優(yōu)勢

　　專業(yè)掃毒引擎

　　采用自研高速掃描引擎和標準病毒庫對U盤進行病毒掃描，擁有強勁的文件深度分析、提取、解碼能力，以及豐富多樣、針對性強的惡意軟件識別技術(shù)，支持病毒庫持續(xù)更新。

　　白+黑雙重過濾

　　采用“白名單+黑名單”雙重過濾技術(shù)，實現(xiàn)對入網(wǎng)高風險文件的自動過濾以及對拷出的重要文件的過濾檢查，減少潛在的病毒入侵攻擊面，防范敏感信息外泄。

　　三重可信防護

　　USB安全管理系統(tǒng)通過用戶身份可信、U盤授信、文件傳輸可信三重管控機制，同時支持完整的審計操作記錄、嚴格的授權(quán)操作和安全可靠的病毒防護措施，實現(xiàn)三重安全防護，確保用戶業(yè)務(wù)系統(tǒng)的安全性。

　　文件加密傳輸