Воздушный зазор (air gap) — мера безопасности, при которой компьютер или сеть физически изолированы от интернета и других недоверенных сетей и не имеют с ними ни проводного, ни беспроводного соединения.
Как работает воздушный зазор
У изолированной системы нет сетевого пути во внешний мир. Данные можно переносить только физически — на USB-накопителях, оптических дисках или через специальные однонаправленные устройства, называемые диодами данных. Воздушный зазор применяют в военных и секретных сетях, промышленных системах управления, на ядерных и энергетических объектах, в платёжных системах и системах голосования, для хранения криптографических ключей и офлайн-резервных копий.
Почему это важно и как его обходят
Изоляция устраняет основную поверхность атаки, но не абсолютна. Слабые места — съёмные носители и человеческий фактор:
- Stuxnet (обнаружен в 2010 году), как считается, проник на изолированный завод по обогащению урана в Натанзе (Иран) на заражённых USB-накопителях, а затем вывел из строя центрифуги.
- Agent.btz (2008) — червь, попавший с USB-накопителя в военные сети США; это повлекло операцию по зачистке Buckshot Yankee и запрет съёмных носителей.
- Шпионские платформы, например приписываемые Equation Group, а позже и инструменты APT-группировок, использовали скрытые области на USB-накопителях, чтобы переносить данные через зазор.
Исследователи, в частности из Университета имени Бен-Гуриона в Израиле, также продемонстрировали скрытые каналы утечки данных с изолированных компьютеров через шум вентиляторов, мигание светодиодов, электромагнитное излучение и тепло — это разновидность атаки по сторонним каналам. Такие каналы медленные и требуют, чтобы на компьютер сначала попало вредоносное ПО. На практике во многих «изолированных» сетях находятся скрытые подключения — например, ноутбуки для обслуживания или удалённый доступ подрядчиков.
Рекомендации
- Строго контролировать и проверять съёмные носители; использовать выделенные станции для переноса данных.
- Применять диоды данных там, где данные должны передаваться только в одну сторону.
- Регулярно проверять отсутствие незадокументированных подключений.
- Обеспечивать физическую безопасность и мониторинг и внутри изолированной сети.
