Повітряний зазор (air gap) — захід безпеки, за якого комп’ютер або мережу фізично ізольовано від інтернету та інших недовірених мереж, без жодного дротового чи бездротового з’єднання з ними.
Як працює повітряний зазор
Ізольована система не має мережевого шляху в зовнішній світ. Дані можна переносити лише фізично — на USB-накопичувачах, оптичних дисках або через спеціальні односпрямовані пристрої, які називають діодами даних. Повітряний зазор застосовують у військових і секретних мережах, промислових системах керування, на ядерних та енергетичних об’єктах, у платіжних системах і системах голосування, для зберігання криптографічних ключів та офлайн-резервних копій.
Чому це важливо і як його обходять
Ізоляція усуває основну поверхню атаки, але не є абсолютною. Слабкі місця — знімні носії та людський чинник:
- Stuxnet (виявлений у 2010 році), як вважають, проник на ізольований завод зі збагачення урану в Натанзі (Іран) на заражених USB-накопичувачах, а потім вивів з ладу центрифуги.
- Agent.btz (2008) — хробак, що потрапив з USB-накопичувача до військових мереж США; це спричинило операцію з очищення Buckshot Yankee та заборону знімних носіїв.
- Шпигунські платформи, наприклад приписувані Equation Group, а згодом і інструменти APT-угруповань, використовували приховані області на USB-накопичувачах, щоб переносити дані через зазор.
Дослідники, зокрема з Університету імені Бен-Гуріона в Ізраїлі, також продемонстрували приховані канали витоку даних з ізольованих комп’ютерів через шум вентиляторів, блимання світлодіодів, електромагнітне випромінювання й тепло — це різновид атаки через побічні канали. Такі канали повільні й потребують, щоб на комп’ютер спершу потрапило шкідливе ПЗ. На практиці в багатьох «ізольованих» мережах є приховані підключення — наприклад, ноутбуки для обслуговування або віддалений доступ підрядників.
Рекомендації
- Суворо контролювати й перевіряти знімні носії; використовувати виділені станції для перенесення даних.
- Застосовувати діоди даних там, де дані мають передаватися лише в один бік.
- Регулярно перевіряти відсутність незадокументованих підключень.
- Забезпечувати фізичну безпеку й моніторинг і всередині ізольованої мережі.
