一、工控網(wǎng)絡(luò)安全現(xiàn)狀

在工控網(wǎng)絡(luò)病毒越來(lái)越引起人們的的關(guān)注，工控網(wǎng)絡(luò)常見(jiàn)的病毒來(lái)源包括系統(tǒng)或工控軟件自帶病毒、下載攜帶病毒第三方程序、用戶使用了帶病毒的U盤(pán)，由于工控網(wǎng)絡(luò)相對(duì)隔離，所以U盤(pán)等移動(dòng)存儲(chǔ)介質(zhì)使用的越來(lái)越廣泛，它已經(jīng)成為木馬、病毒等傳播的主要途徑之一。通過(guò)U盤(pán)傳播病毒的案例非常多，在工業(yè)控制系統(tǒng)中最知名的攻擊“震網(wǎng)”蠕蟲(chóng)就是通過(guò)U盤(pán)侵入控制網(wǎng)絡(luò)，更改PLC中的程序和數(shù)據(jù)，然后對(duì)伊朗的核設(shè)施造成了嚴(yán)重的破壞。本文將詳細(xì)介紹U盤(pán)病毒是如何在工控網(wǎng)絡(luò)傳播以及如何對(duì)它進(jìn)行防范的。

二、U盤(pán)病毒傳播方式

所說(shuō)的U盤(pán)病毒，并不是單指某一種病毒，也不是說(shuō)只是通過(guò)U盤(pán)傳播的病毒，而是泛指所有通過(guò)U盤(pán)介質(zhì)進(jìn)行傳播的病毒。目前U盤(pán)病毒傳播的方式主要有以下幾種：

1）通過(guò)autorun.inf文件進(jìn)行傳播的，這U盤(pán)病毒傳播最普遍的方式；

2）偽裝成其他的文件，病毒把U盤(pán)下所有文件夾隱藏，并把自己復(fù)制成與原文件夾名稱(chēng)相同的具有文件夾圖標(biāo)的文件，當(dāng)你點(diǎn)擊時(shí)病毒會(huì)執(zhí)行自身并且打開(kāi)隱藏的該名稱(chēng)的文件夾；

3）通過(guò)可執(zhí)行文件感染傳播，是一種傳統(tǒng)但非常有效的傳播手段。

三、U盤(pán)病毒傳播防范技術(shù)

3.1 傳統(tǒng)的防范方法

一般的情況下通過(guò)修改操作系統(tǒng)相關(guān)安全配置來(lái)達(dá)到U盤(pán)病毒的基本防范能力，同時(shí)增加專(zhuān)業(yè)的病毒軟件可以達(dá)到U盤(pán)病毒防范功能，操作系統(tǒng)本身提供以下途徑進(jìn)行U盤(pán)病毒防護(hù)。

1）關(guān)閉自動(dòng)化播放功能，關(guān)閉windows系統(tǒng)的U盤(pán)自動(dòng)運(yùn)行功能，U盤(pán)插入到電腦后就不會(huì)自動(dòng)運(yùn)行從而防止防毒入侵；

2）修改注冊(cè)表讓U盤(pán)病毒禁止雙機(jī)盤(pán)符自動(dòng)運(yùn)行；

3）打開(kāi)U盤(pán)時(shí)請(qǐng)選擇右鍵打開(kāi)，使用U盤(pán)的時(shí)候通過(guò)右鍵單擊U盤(pán)盤(pán)符選擇“打開(kāi)”命令或者通過(guò)“資源管理器”窗口進(jìn)入，因?yàn)殡p擊實(shí)際上是立刻激活了病毒，這樣做可以避免中毒；

4）創(chuàng)建Autorun.inf文件夾。在所有磁盤(pán)中創(chuàng)建名為“Autorun.inf”的文件夾，如果有病毒要侵入時(shí)，這樣病毒就無(wú)法自動(dòng)創(chuàng)建再創(chuàng)建同名的Autorun.inf文件了，即使你雙擊盤(pán)符也不會(huì)運(yùn)行病毒，從而控制了U盤(pán)病毒的傳播；

3.2 終端防護(hù)軟件和安全U盤(pán)結(jié)合

管理中心是集中策略和日志查看中心，終端防護(hù)軟件是采用白名單方式的終端防護(hù)軟件被安裝在內(nèi)網(wǎng)主機(jī)上。管理中心可以設(shè)置主機(jī)的U盤(pán)訪問(wèn)策略（訪問(wèn)策略一般包括禁用、只讀、讀寫(xiě)）和查看U盤(pán)訪問(wèn)的日志；終端防護(hù)軟件控制連接到主機(jī)的普通U盤(pán)和安全U盤(pán)讀寫(xiě)權(quán)限。一般情況下不允許普通U盤(pán)在安裝終端防護(hù)軟件的主機(jī)使用，限制安全U盤(pán)只能在安裝終端防護(hù)軟件的機(jī)器使用且控制主機(jī)按照訪問(wèn)策略讀寫(xiě)U盤(pán)，同時(shí)在U盤(pán)使用過(guò)程實(shí)時(shí)記錄U盤(pán)違規(guī)訪問(wèn)日志。

1）對(duì)于安全U盤(pán)，終端防護(hù)軟件默認(rèn)允許其使用。安全U盤(pán)分為普通分區(qū)和安全分區(qū)，不同使用環(huán)境配置不同的分區(qū)。

安全分區(qū)僅在安裝有工控終端防護(hù)軟件產(chǎn)品的主機(jī)上可以使用，同時(shí)開(kāi)放相應(yīng)訪問(wèn)策略后才可看到和正常使用，實(shí)現(xiàn)“專(zhuān)區(qū)專(zhuān)用”。同時(shí)對(duì)安全分區(qū)進(jìn)行加密，采用高強(qiáng)度商密算法，有效防止暴力破解導(dǎo)致的數(shù)據(jù)泄露。安全分區(qū)主要用于內(nèi)網(wǎng)與內(nèi)網(wǎng)之間傳輸安全級(jí)別較高的數(shù)據(jù)，保障數(shù)據(jù)的安全性，也保證數(shù)據(jù)不會(huì)在外網(wǎng)泄露。

普通分區(qū)在未安裝工控終端防護(hù)軟件產(chǎn)品的計(jì)算機(jī)上可讀取，在安裝工控終端防護(hù)軟件的主機(jī)上可以寫(xiě)數(shù)據(jù)，主要用來(lái)向外傳輸安全級(jí)別較低的數(shù)據(jù)；

2）對(duì)于普通U盤(pán)，為了保護(hù)內(nèi)網(wǎng)主機(jī)安全，不允許普通U盤(pán)在安裝終端防護(hù)軟件的系統(tǒng)上使用，以保證受保護(hù)的主機(jī)不感染病毒。

3.3終端防護(hù)軟件和U盤(pán)白名單結(jié)合

這個(gè)方案的管理中心和終端防護(hù)軟件功能同“終端防護(hù)軟件和安全U盤(pán)結(jié)合”方案功能一致，只是為了降低成本，普通U盤(pán)在管理中心注冊(cè)之后變成U盤(pán)白名單，安裝終端防護(hù)軟件的主機(jī)允許其按照訪問(wèn)策略讀寫(xiě)白名單U盤(pán)，而不允許訪問(wèn)于非白名單的U盤(pán)，同時(shí)在U盤(pán)使用過(guò)程實(shí)時(shí)記錄U盤(pán)違規(guī)訪問(wèn)日志。

3.4 安全擺渡機(jī)

通過(guò)擺渡機(jī)進(jìn)行單向的數(shù)據(jù)傳遞，對(duì)病毒進(jìn)行阻隔。將外網(wǎng)的數(shù)據(jù)通過(guò)U盤(pán)拷貝到不連內(nèi)外網(wǎng)的擺渡機(jī)上，對(duì)其進(jìn)行清除竊密程序和查殺病毒后，再用另外的優(yōu)盤(pán)拷貝到內(nèi)網(wǎng)計(jì)算機(jī)上，同時(shí)可以記錄所有擺渡事件的記錄并進(jìn)行U盤(pán)的認(rèn)證和登記。該方案必須滿足有以下幾個(gè)要求：

1）人工把普通U盤(pán)區(qū)分為內(nèi)網(wǎng)或外網(wǎng)U盤(pán)；

2）內(nèi)外網(wǎng)U盤(pán)不得同時(shí)插入中間機(jī)，以防交又感染；

3）U盤(pán)插入中間機(jī)后必須先經(jīng)過(guò)殺毒處理；

4）只能從外網(wǎng)到內(nèi)網(wǎng)交換信息，而不能反向操作。

3.5 USB口隔離硬件

安全擺渡機(jī)通過(guò)主機(jī)軟件來(lái)實(shí)現(xiàn)U盤(pán)與U盤(pán)之間的安全數(shù)據(jù)交換，為了能夠更加安全簡(jiǎn)潔地完成交換功能，還可以在U盤(pán)和主機(jī)的USB口之間增加硬件介質(zhì)實(shí)現(xiàn)物理隔離。在部署USB口隔離硬件的時(shí)候，工控網(wǎng)絡(luò)內(nèi)部主機(jī)上除USB口隔離硬件連接使用的USB接口外的其他USB口采用物理方式封閉，然后把原來(lái)連接在主機(jī)USB扣上所有硬件（如鼠標(biāo)、鍵盤(pán)燈）連接到U盤(pán)隔離專(zhuān)用硬件上。

USB口隔離硬件通過(guò)專(zhuān)有硬件在U盤(pán)與計(jì)算機(jī)之間形成物理隔離區(qū)，USB口隔離硬件對(duì)U盤(pán)的數(shù)據(jù)文件進(jìn)行預(yù)讀處理，阻擋惡意文件的拷貝并通過(guò)病毒軟件進(jìn)行文件過(guò)濾，從而保障USB數(shù)據(jù)的安全可靠的讀寫(xiě)。

3.6 方案對(duì)比

企業(yè)要求內(nèi)外網(wǎng)絡(luò)隔離，外網(wǎng)的數(shù)據(jù)不允許帶入內(nèi)網(wǎng)和且不允許操作系統(tǒng)和軟件隨意升級(jí)，從工控網(wǎng)絡(luò)這種應(yīng)用場(chǎng)景來(lái)看，“終端防護(hù)軟件和安全U盤(pán)結(jié)合”和“終端防護(hù)軟件和U盤(pán)白名單結(jié)合”的安全解決方案可以基本解決問(wèn)題。

1）“終端防護(hù)軟件和U盤(pán)白名單結(jié)合”解決方案為了防止外網(wǎng)病毒向內(nèi)網(wǎng)的傳播需要通過(guò)制度來(lái)限制白名單U盤(pán)在外網(wǎng)使用，存在很大的不可控的人為風(fēng)險(xiǎn)。

2）“終端防護(hù)軟件和安全U盤(pán)結(jié)合”解決主機(jī)安全的同時(shí)，再增加少量的成本的情況下解決客戶安全需求

a）對(duì)外只提供普通U分區(qū)的只讀功能可以防止外網(wǎng)通過(guò)U盤(pán)把病毒傳播到內(nèi)網(wǎng)；

b）限制內(nèi)部主機(jī)使用安全分區(qū)傳輸可以防止U盤(pán)病毒在內(nèi)部網(wǎng)絡(luò)交叉感染；

c）把重要資料加密并放在安全專(zhuān)區(qū)且對(duì)外網(wǎng)不可見(jiàn)可以防止內(nèi)網(wǎng)重要資料泄露；

d）把一些安全級(jí)別較低的資料放在普通分區(qū)可以滿足外網(wǎng)讀取內(nèi)網(wǎng)的資料。

因此，“終端防護(hù)軟件和安全U盤(pán)結(jié)合”的方案從目前來(lái)看是工控企業(yè)最好的選擇。對(duì)于特殊客戶需要從外網(wǎng)把數(shù)據(jù)傳輸?shù)絻?nèi)網(wǎng)，只需要額外增加安全擺渡機(jī)來(lái)解決外網(wǎng)數(shù)據(jù)到內(nèi)網(wǎng)的安全性。

四、U盤(pán)的使用和管理規(guī)范

除了從技術(shù)上解決了U盤(pán)病毒傳輸渠道，同時(shí)需要從企業(yè)制度和管理上杜絕安全U盤(pán)的使用習(xí)慣。

一是加強(qiáng)密安全意識(shí)培訓(xùn)，提高安全意識(shí)，做好工作U盤(pán)的保管和使用工作。

二是加強(qiáng)對(duì)U盤(pán)的管理。做到專(zhuān)盤(pán)專(zhuān)用，專(zhuān)人保管。日常工作中，存儲(chǔ)重要或涉密文件的安全U盤(pán)（或內(nèi)網(wǎng)U盤(pán)）與一般用途的普通U盤(pán)（或外網(wǎng)U盤(pán)）要嚴(yán)格區(qū)分，嚴(yán)格限制其使用范圍，不得用于與其他計(jì)算機(jī)頻繁交換文件，尤其要避免在互聯(lián)網(wǎng)計(jì)算機(jī)上使用。