在過去的幾年里，工業(yè)物聯(lián)網(wǎng)系統(tǒng)的漏洞引發(fā)了很多關(guān)于網(wǎng)絡(luò)安全的討論，但大部分討論都集中在防止基于網(wǎng)絡(luò)的外部攻擊上。然而，一個同樣重要的攻擊媒介使用了一種更加（字面意義上的）普通方法：在 USB 驅(qū)動器上手動攜帶的惡意軟件。現(xiàn)在霍尼韋爾正在推出一種系統(tǒng)，可以幫助保護(hù)工業(yè)網(wǎng)絡(luò)免受此類“sneakernet”攻擊。

閃存驅(qū)動器對計(jì)算機(jī)系統(tǒng)構(gòu)成的危險已為人所知多年。大多數(shù)防止外部攻擊的系統(tǒng)對在防火墻內(nèi)工作的人沒有這種保護(hù)。對于員工或承包商來說，使用插入網(wǎng)絡(luò)安全邊界內(nèi)計(jì)算機(jī) USB 端口的簡單閃存驅(qū)動器來上傳惡意軟件太容易了。它甚至不必是蓄意攻擊。如果員工在停車場或餐廳周圍發(fā)現(xiàn)了一個（植入的）閃存驅(qū)動器，則只需插入驅(qū)動器以查看其中的內(nèi)容，就可能無意中上傳了惡意軟件。

對于許多工業(yè)網(wǎng)絡(luò)，防止此類安全漏洞的主要工作是公司政策，禁止現(xiàn)場人員使用任何個人閃存驅(qū)動器或完全禁止便攜式媒體。雖然這提供了一些防止意外感染的保護(hù)，但它無助于防止故意采取的行動。針對在防火墻內(nèi)使用的可能受感染的 USB 驅(qū)動器的某種主動安全屏障是必不可少的。

然而，簡單地鎖定 USB 端口是不切實(shí)際的。許多工業(yè)系統(tǒng)依賴這種便攜式媒體作為關(guān)鍵系統(tǒng)軟件更新的載體。端口需要保持開放，但也需要受到保護(hù)。

進(jìn)入霍尼韋爾的SMX（安全媒體交換）系統(tǒng)。SMX 系統(tǒng)與基于 Windows 的計(jì)算設(shè)備一起使用，通過遵循簡單的檢查-檢查-執(zhí)行過程，使用兩管齊下的方法來提供安全性。根據(jù)霍尼韋爾的產(chǎn)品新聞發(fā)布，使用 SMX，USB 驅(qū)動器必須首先在 SMX 智能網(wǎng)關(guān)上登記，然后才能在受保護(hù)的網(wǎng)絡(luò)中使用。當(dāng)驅(qū)動器稍后插入受保護(hù)的系統(tǒng)時，該計(jì)算機(jī)會在允許系統(tǒng)訪問驅(qū)動器之前驗(yàn)證驅(qū)動器的簽入狀態(tài)。未正確簽入的驅(qū)動器根本不會注冊為系統(tǒng)可用。并且記錄所有驅(qū)動器使用情況，從簽入到最終簽出，以便 IT 管理員可以跟蹤活動。

在一次集團(tuán)新聞發(fā)布會上，霍尼韋爾的首席產(chǎn)品技術(shù)專家賽斯·卡彭特 (Seth Carpenter) 詳細(xì)介紹了該系統(tǒng)的工作原理。他解釋說，SMX 情報網(wǎng)關(guān)鏈接到霍尼韋爾基于云的 ATIX（高級威脅情報交換）軟件，該軟件使用多種技術(shù)來驗(yàn)證正在檢入的驅(qū)動器上的文件。與許多防病毒系統(tǒng)一樣，它檢查針對已知威脅的文件，并使用啟發(fā)式檢查來幫助識別未知威脅。他說，這些步驟導(dǎo)致了文件的三種分類——已知良好、已知不良和未知。如果該文件已知良好，例如預(yù)先批準(zhǔn)的軟件更新，則批準(zhǔn)該文件供系統(tǒng)使用。他指出，如果一個文件被認(rèn)為是壞的，它會被隔離在一個加密的 ZIP 文件中，這樣受保護(hù)的系統(tǒng)就無法訪問它們。

但是，如果初始檢查將該文件歸類為未知文件，則 SMX 系統(tǒng)可能會超出正常的防病毒操作。未知文件受系統(tǒng) IT 管理員可以控制的策略的約束。這些文件可以被批準(zhǔn)供系統(tǒng)使用，可以被隔離，或者可以轉(zhuǎn)發(fā)到 ATIX 系統(tǒng)進(jìn)行深入分析。Carpenter 說，這種分析可以包括在配置為匹配用戶自己的系統(tǒng)的“沙盒”系統(tǒng)中運(yùn)行未知文件，然后尋找異常行為等步驟。沙盒方法有助于確保檢測到目標(biāo)惡意軟件，例如僅在找到特定系統(tǒng)配置時才會起作用的 Stuxnet 病毒。

Carpenter 指出，SMX 的兩部分方法具有幾個優(yōu)點(diǎn)。網(wǎng)關(guān)與基于云的 ATIX 的連接確保 SMX 系統(tǒng)使用最新的威脅信息，而不會給用戶的 IT 部門帶來負(fù)擔(dān)。受保護(hù)網(wǎng)絡(luò)中各個系統(tǒng)上的保護(hù)代理是用于 Windows 的簡單替代 USB 驅(qū)動程序，它允許 SMX 系統(tǒng)甚至在異構(gòu)網(wǎng)絡(luò)中工作。一旦安裝在目標(biāo)計(jì)算機(jī)上，代理將在確認(rèn)之前自動驗(yàn)證任何插入的驅(qū)動器是否已通過網(wǎng)關(guān)正確簽入，然后只能訪問標(biāo)記為已批準(zhǔn)的文件。此行為獨(dú)立于網(wǎng)關(guān)，因此無需使用威脅信息更新代理，也無需網(wǎng)關(guān)與受保護(hù)網(wǎng)絡(luò)進(jìn)行交互。

Carpenter 提出的最后一個注意事項(xiàng)：簽入閃存驅(qū)動器會導(dǎo)致“驅(qū)動器內(nèi)容的某些混淆”，從而使驅(qū)動器在 SMX 系統(tǒng)之外暫時無法使用。他說，當(dāng)驅(qū)動器通過網(wǎng)關(guān)檢出時，這個過程就相反了。同時，系統(tǒng)會驗(yàn)證驅(qū)動器的內(nèi)容沒有發(fā)生未經(jīng)授權(quán)的更改，從而有助于防止信息被盜。

審核編輯 黃昊宇