工業(yè)網(wǎng)絡(luò)環(huán)境下USB移動(dòng)存儲(chǔ)介質(zhì)的安全防護(hù)

　　一、應(yīng)用背景

　　工業(yè)控制系統(tǒng)是工業(yè)生產(chǎn)運(yùn)行的基礎(chǔ)核心，廣泛應(yīng)用于工業(yè)生產(chǎn)的各個(gè)行業(yè)領(lǐng)域。工業(yè)企業(yè)為避免和阻斷網(wǎng)絡(luò)攻擊，保障工業(yè)控制系統(tǒng)的運(yùn)行安全與穩(wěn)定，通常采用內(nèi)網(wǎng)隔離的方式使其獨(dú)立于其他網(wǎng)絡(luò)，只采用USB接口的移動(dòng)存儲(chǔ)介質(zhì)作為數(shù)據(jù)交換的載體。

　　近年來(lái)，伴隨信息技術(shù)的飛速發(fā)展，專門利用USB、移動(dòng)存儲(chǔ)介質(zhì)對(duì)工控系統(tǒng)開(kāi)展攻擊的事件日漸增多。據(jù)霍尼韋爾工業(yè)USB威脅報(bào)告數(shù)據(jù)顯示，目前生產(chǎn)設(shè)施中USB設(shè)備的使用增加了30%，是數(shù)據(jù)交換的主要載體。37%的威脅是專門為利用USB可移動(dòng)介質(zhì)而設(shè)計(jì)的，在OT環(huán)境中79%的關(guān)鍵業(yè)務(wù)中斷來(lái)自USB設(shè)備或可移動(dòng)媒體的網(wǎng)絡(luò)威脅。利用USB設(shè)備搭載病毒、惡意程序進(jìn)而實(shí)施攻擊的方式已成為攻擊者們的常用手段之一。

　　以電力行業(yè)為例，電力監(jiān)控系統(tǒng)通常以內(nèi)網(wǎng)隔離的方式，封閉獨(dú)立于其他網(wǎng)絡(luò)。電力運(yùn)維人員現(xiàn)場(chǎng)作業(yè)時(shí)使用USB移動(dòng)存儲(chǔ)設(shè)備對(duì)文件進(jìn)行導(dǎo)入或?qū)С觯员闶占こ處熣竞筒僮鲉T站的數(shù)據(jù)信息，對(duì)電力監(jiān)控系統(tǒng)進(jìn)行維護(hù)。雖然電力企業(yè)采用了專人專管、粘貼封條和拷貝數(shù)據(jù)前格式化等制度化方式對(duì)USB移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行管理，但主要依靠員工自覺(jué)的制度管理方式無(wú)法完全避免非授權(quán)、非安全移動(dòng)介質(zhì)接入系統(tǒng)，也不能從根本上保障系統(tǒng)的安全。

　　在工業(yè)環(huán)境下，如何實(shí)現(xiàn)對(duì)USB移動(dòng)存儲(chǔ)介質(zhì)的安全防護(hù)是工業(yè)企業(yè)亟待解決的安全難題。

　　二、USB移動(dòng)存儲(chǔ)介質(zhì)“防護(hù)傘”

　　面對(duì)新型多變莫測(cè)的攻擊方式，工業(yè)企業(yè)應(yīng)重點(diǎn)采取“預(yù)防”為主的防護(hù)方式，提前構(gòu)建USB移動(dòng)存儲(chǔ)介質(zhì)的“防護(hù)傘”和“保護(hù)罩”，為內(nèi)網(wǎng)安全筑起堅(jiān)實(shí)防線。

　　珞安科技作為國(guó)內(nèi)工控安全領(lǐng)域技術(shù)先進(jìn)、實(shí)力深厚的優(yōu)秀企業(yè)，針對(duì)USB移動(dòng)存儲(chǔ)介質(zhì)防護(hù)難題，自主研發(fā)USB安全管理系統(tǒng)，通過(guò)技術(shù)手段與管理制度相結(jié)合來(lái)加強(qiáng)移動(dòng)介質(zhì)的管控，實(shí)現(xiàn)移動(dòng)介質(zhì)的權(quán)限控制、無(wú)毒驗(yàn)證、操作審計(jì)等方面的全流程管控，滿足工業(yè)企業(yè)USB移動(dòng)存儲(chǔ)介質(zhì)安全管理需求。

　　三、產(chǎn)品簡(jiǎn)介

　　USB安全管理系統(tǒng)是一款防止USB移動(dòng)存儲(chǔ)設(shè)備濫用導(dǎo)致病毒傳播的產(chǎn)品。它通過(guò)控制USB移動(dòng)存儲(chǔ)設(shè)備的使用、病毒檢查，實(shí)現(xiàn)對(duì)USB移動(dòng)存儲(chǔ)設(shè)備的“認(rèn)證、授權(quán)、殺毒、審計(jì)”等功能，既滿足用戶通過(guò)USB移動(dòng)存儲(chǔ)設(shè)備進(jìn)行文件資料高速、便捷傳輸，又保證了文件資料的安全性、可靠性，有效阻止未知病毒文件在用戶業(yè)務(wù)系統(tǒng)內(nèi)的傳播，保障用戶業(yè)務(wù)系統(tǒng)安全。

　　四、產(chǎn)品配套

　　1、C/S客戶端

　　針對(duì)安全性要求高的客戶(如：電網(wǎng)客戶)，提供了C/S架構(gòu)的USB安全管理系統(tǒng)專用客戶端，采用基于國(guó)密算法的加密通道進(jìn)行U盤文件的訪問(wèn)，支持Windows7及以上版本和常用Linux系統(tǒng)(兼容如：凝思6.0.60、紅帽6.6和6.8、centos6以上等10余種linux版本瀏覽器)。

　　2、安全U盤

　　安全U盤采用金屬材質(zhì)的外殼定制，確保了U盤的耐用性和穩(wěn)定性，使用通用USB協(xié)議實(shí)現(xiàn)數(shù)據(jù)交互，依據(jù)策略和標(biāo)簽配置控制用戶對(duì)U盤的讀寫(xiě)行為，并由USB安全隔離裝置進(jìn)行U盤的行為審計(jì)與日志記錄，實(shí)現(xiàn)對(duì)U盤訪問(wèn)的安全控制。

　　3、終端端口管控

　　對(duì)于電力監(jiān)控系統(tǒng)中的主機(jī)類終端，可部署終端端口管控程序，在操作系統(tǒng)內(nèi)核層實(shí)現(xiàn)對(duì)USB設(shè)備的接入過(guò)濾管控，確保非法USB設(shè)備無(wú)法接入受保護(hù)的主機(jī)設(shè)備中。

　　五、技術(shù)優(yōu)勢(shì)

　　專業(yè)掃毒引擎

　　采用自研高速掃描引擎和標(biāo)準(zhǔn)病毒庫(kù)對(duì)U盤進(jìn)行病毒掃描，擁有強(qiáng)勁的文件深度分析、提取、解碼能力，以及豐富多樣、針對(duì)性強(qiáng)的惡意軟件識(shí)別技術(shù)，支持病毒庫(kù)持續(xù)更新。

　　白+黑雙重過(guò)濾

　　采用“白名單+黑名單”雙重過(guò)濾技術(shù)，實(shí)現(xiàn)對(duì)入網(wǎng)高風(fēng)險(xiǎn)文件的自動(dòng)過(guò)濾以及對(duì)拷出的重要文件的過(guò)濾檢查，減少潛在的病毒入侵攻擊面，防范敏感信息外泄。

　　三重可信防護(hù)

　　USB安全管理系統(tǒng)通過(guò)用戶身份可信、U盤授信、文件傳輸可信三重管控機(jī)制，同時(shí)支持完整的審計(jì)操作記錄、嚴(yán)格的授權(quán)操作和安全可靠的病毒防護(hù)措施，實(shí)現(xiàn)三重安全防護(hù)，確保用戶業(yè)務(wù)系統(tǒng)的安全性。

　　文件加密傳輸

　　提供C/S模式的專用客戶端，實(shí)現(xiàn)基于國(guó)密算法進(jìn)行加密文件傳輸，滿足高安全場(chǎng)景的安全防護(hù)需求;支持基于SFTP加密傳輸協(xié)議的文件訪問(wèn)，滿足通用場(chǎng)景下的文件安全傳輸。

　　全流程日志記錄

　　從USB存儲(chǔ)設(shè)備的接入、病毒掃描、加載使用，到文件的拷入、拷出、修改、刪除等操作，再到設(shè)備的彈出，全程記錄設(shè)備的每一步操作日志，確保安全問(wèn)題可追蹤溯源。

　　六、客戶價(jià)值