一、工控網絡安全現狀

在工控網絡病毒越來越引起人們的的關注，工控網絡常見的病毒來源包括系統或工控軟件自帶病毒、下載攜帶病毒第三方程序、用戶使用了帶病毒的U盤，由于工控網絡相對隔離，所以U盤等移動存儲介質使用的越來越廣泛，它已經成為木馬、病毒等傳播的主要途徑之一。通過U盤傳播病毒的案例非常多，在工業控制系統中最知名的攻擊“震網”蠕蟲就是通過U盤侵入控制網絡，更改PLC中的程序和數據，然后對伊朗的核設施造成了嚴重的破壞。本文將詳細介紹U盤病毒是如何在工控網絡傳播以及如何對它進行防范的。

二、U盤病毒傳播方式

所說的U盤病毒，并不是單指某一種病毒，也不是說只是通過U盤傳播的病毒，而是泛指所有通過U盤介質進行傳播的病毒。目前U盤病毒傳播的方式主要有以下幾種：

1）通過autorun.inf文件進行傳播的，這U盤病毒傳播最普遍的方式；

2）偽裝成其他的文件，病毒把U盤下所有文件夾隱藏，并把自己復制成與原文件夾名稱相同的具有文件夾圖標的文件，當你點擊時病毒會執行自身并且打開隱藏的該名稱的文件夾；

3）通過可執行文件感染傳播，是一種傳統但非常有效的傳播手段。

三、U盤病毒傳播防范技術

3.1 傳統的防范方法

一般的情況下通過修改操作系統相關安全配置來達到U盤病毒的基本防范能力，同時增加專業的病毒軟件可以達到U盤病毒防范功能，操作系統本身提供以下途徑進行U盤病毒防護。

1）關閉自動化播放功能，關閉windows系統的U盤自動運行功能，U盤插入到電腦后就不會自動運行從而防止防毒入侵；

2）修改注冊表讓U盤病毒禁止雙機盤符自動運行；

3）打開U盤時請選擇右鍵打開，使用U盤的時候通過右鍵單擊U盤盤符選擇“打開”命令或者通過“資源管理器”窗口進入，因為雙擊實際上是立刻激活了病毒，這樣做可以避免中毒；

4）創建Autorun.inf文件夾。在所有磁盤中創建名為“Autorun.inf”的文件夾，如果有病毒要侵入時，這樣病毒就無法自動創建再創建同名的Autorun.inf文件了，即使你雙擊盤符也不會運行病毒，從而控制了U盤病毒的傳播；

3.2 終端防護軟件和安全U盤結合

管理中心是集中策略和日志查看中心，終端防護軟件是采用白名單方式的終端防護軟件被安裝在內網主機上。管理中心可以設置主機的U盤訪問策略（訪問策略一般包括禁用、只讀、讀寫）和查看U盤訪問的日志；終端防護軟件控制連接到主機的普通U盤和安全U盤讀寫權限。一般情況下不允許普通U盤在安裝終端防護軟件的主機使用，限制安全U盤只能在安裝終端防護軟件的機器使用且控制主機按照訪問策略讀寫U盤，同時在U盤使用過程實時記錄U盤違規訪問日志。

1）對于安全U盤，終端防護軟件默認允許其使用。安全U盤分為普通分區和安全分區，不同使用環境配置不同的分區。

安全分區僅在安裝有工控終端防護軟件產品的主機上可以使用，同時開放相應訪問策略后才可看到和正常使用，實現“專區專用”。同時對安全分區進行加密，采用高強度商密算法，有效防止暴力破解導致的數據泄露。安全分區主要用于內網與內網之間傳輸安全級別較高的數據，保障數據的安全性，也保證數據不會在外網泄露。

普通分區在未安裝工控終端防護軟件產品的計算機上可讀取，在安裝工控終端防護軟件的主機上可以寫數據，主要用來向外傳輸安全級別較低的數據；

2）對于普通U盤，為了保護內網主機安全，不允許普通U盤在安裝終端防護軟件的系統上使用，以保證受保護的主機不感染病毒。

3.3終端防護軟件和U盤白名單結合

這個方案的管理中心和終端防護軟件功能同“終端防護軟件和安全U盤結合”方案功能一致，只是為了降低成本，普通U盤在管理中心注冊之后變成U盤白名單，安裝終端防護軟件的主機允許其按照訪問策略讀寫白名單U盤，而不允許訪問于非白名單的U盤，同時在U盤使用過程實時記錄U盤違規訪問日志。

3.4 安全擺渡機

通過擺渡機進行單向的數據傳遞，對病毒進行阻隔。將外網的數據通過U盤拷貝到不連內外網的擺渡機上，對其進行清除竊密程序和查殺病毒后，再用另外的優盤拷貝到內網計算機上，同時可以記錄所有擺渡事件的記錄并進行U盤的認證和登記。該方案必須滿足有以下幾個要求：

1）人工把普通U盤區分為內網或外網U盤；

2）內外網U盤不得同時插入中間機，以防交又感染；

3）U盤插入中間機后必須先經過殺毒處理；

4）只能從外網到內網交換信息，而不能反向操作。

3.5 USB口隔離硬件

安全擺渡機通過主機軟件來實現U盤與U盤之間的安全數據交換，為了能夠更加安全簡潔地完成交換功能，還可以在U盤和主機的USB口之間增加硬件介質實現物理隔離。在部署USB口隔離硬件的時候，工控網絡內部主機上除USB口隔離硬件連接使用的USB接口外的其他USB口采用物理方式封閉，然后把原來連接在主機USB扣上所有硬件（如鼠標、鍵盤燈）連接到U盤隔離專用硬件上。

USB口隔離硬件通過專有硬件在U盤與計算機之間形成物理隔離區，USB口隔離硬件對U盤的數據文件進行預讀處理，阻擋惡意文件的拷貝并通過病毒軟件進行文件過濾，從而保障USB數據的安全可靠的讀寫。

3.6 方案對比

企業要求內外網絡隔離，外網的數據不允許帶入內網和且不允許操作系統和軟件隨意升級，從工控網絡這種應用場景來看，“終端防護軟件和安全U盤結合”和“終端防護軟件和U盤白名單結合”的安全解決方案可以基本解決問題。

1）“終端防護軟件和U盤白名單結合”解決方案為了防止外網病毒向內網的傳播需要通過制度來限制白名單U盤在外網使用，存在很大的不可控的人為風險。

2）“終端防護軟件和安全U盤結合”解決主機安全的同時，再增加少量的成本的情況下解決客戶安全需求

a）對外只提供普通U分區的只讀功能可以防止外網通過U盤把病毒傳播到內網；

b）限制內部主機使用安全分區傳輸可以防止U盤病毒在內部網絡交叉感染；

c）把重要資料加密并放在安全專區且對外網不可見可以防止內網重要資料泄露；

d）把一些安全級別較低的資料放在普通分區可以滿足外網讀取內網的資料。

因此，“終端防護軟件和安全U盤結合”的方案從目前來看是工控企業最好的選擇。對于特殊客戶需要從外網把數據傳輸到內網，只需要額外增加安全擺渡機來解決外網數據到內網的安全性。

四、U盤的使用和管理規范

除了從技術上解決了U盤病毒傳輸渠道，同時需要從企業制度和管理上杜絕安全U盤的使用習慣。

一是加強密安全意識培訓，提高安全意識，做好工作U盤的保管和使用工作。

二是加強對U盤的管理。做到專盤專用，專人保管。日常工作中，存儲重要或涉密文件的安全U盤（或內網U盤）與一般用途的普通U盤（或外網U盤）要嚴格區分，嚴格限制其使用范圍，不得用于與其他計算機頻繁交換文件，尤其要避免在互聯網計算機上使用。