DAY46 Air-Gap實體隔離

• 一. 實體隔離是什麼？
• 二. 可移除式媒體
  • 2.1 BadUSB 惡意USB攻擊
  • 2.2 韌體是什麼？
• 三. 如何防止USB風險

假設今天系統根本沒有連外網
那還有什麼可能會中惡意軟體

一. 實體隔離是什麼？

Air-Gap/Air-Gapped System
實體隔離/實體隔離系統
讓高敏系統不直接連接外部網路或其他不可信網路
來降低遠端的攻擊面

為什麼需要做實體隔離？
假設今天有一個很重要的系統：
(如果讓它直接連接網際網路)
可能會面臨:

• 遠端漏洞利用
• 惡意程式下載
• 未授權遠端存取
• 網路攻擊

等等的風險
所以實體隔離的目的就是
降低外部網路直接進入重要系統的機會

雖然不能連接網路但不代表一定安全
因為:
資料還是可能透過實體媒介進出
例如:

• USB 隨身碟
• 外接硬碟
• CD/DVD光碟
• 工程師筆電

IPAS 115-1 Q34
針對採取實體隔離配置的系統環境，哪一種行為最可能成為惡意程式的入侵管道
B:人員利用可攜式媒體USB/隨身碟，私自進行資料交換

所以USB是需要被管理的安全風險來源

二. 可移除式媒體

可以從一台電腦拔下，再接到另一台電腦的儲存或傳輸裝置

例如:

• USB隨身碟
• 外接式硬碟
• SD記憶卡
• CD/DVD光碟

它們不受網路傳輸的限制，可以跨越原本的網路隔離傳到另一台電腦

USB 通用序列匯流排
Universal Serial Bus，USB
裝置與電腦之間
連接和通訊的介面標準

所以USB裝置可以是

• 隨身碟
• 鍵盤
• 滑鼠
• 網路介面卡
• 攝影機
• 手機

USB不一定是儲存裝置

2.1 BadUSB 惡意USB攻擊

修改或濫用USB裝置的韌體
讓電腦把它辨識成其他類型的裝置

IPAS 114-1 Q2
有關BadUSB的敘述，下列何者正確?
D.BadUSB利用修改USB裝置的韌體，使其在電腦上被辨識為其他的硬體裝置(如:鍵盤)

2.2 韌體是什麼？

寫在硬體裝置中，負責控制硬體基本功能的程式

正常USB隨身碟的韌體：

我是儲存裝置

BadUSB會修改韌體內容變成：

我是鍵盤

這時電腦可能真的會把它當成鍵盤
BadUSB可能模擬鍵盤快速輸入指令
執行惡意行為

三. 如何防止USB風險

1. 限制USB使用
2. 監控可移除式設備
3. 可移除媒體檔案加密
4. 停用不必要的USB Port
5. 關閉 AutoRun(USB自動執行)