转贴经 ISS Source 授权转载
在数字化的今天，用户可以在线安装修补程序、修复程序和更新程序，使系统保持最佳运行状态，从而提高生产率和盈利能力。
然而，还有另一种情况，即关键网络与外部环境保持隔绝（或接近隔绝）--或称 "气隙"。气隙网络的目标是保持自由，不受任何外部恶意活动的影响，没有外部连接供攻击者进入并破坏网络。
为了在这些网络中进行修复和更新，需要采用其他方法来保持运行。这些方法包括在系统中插入装有最新版本软件的USB 驱动器，以便工作人员更新和修复过时的程序。
但问题是，虽然USB 硬盘是更新空气屏蔽系统的可靠方法，但它们也可能携带恶意软件，导致系统瘫痪。
2010 年的 Stuxnet 攻击就是一个很好的例子。该攻击源于一个装有软件的USB 驱动器，该软件可渗透系统，当位于纳坦兹的伊朗核设施的操作人员以为一切运行正常时，该软件却大肆破坏。那次攻击损坏了数百台离心机，使伊朗的核计划倒退了数年。
虽然 Stuxnet 似乎是攻击空中屏蔽系统的极端案例，但在其他一些较小的案例中，承包商、维护或控制工程师也会设置调制解调器和无线网络，以方便他们将数据传入或传出。此外，使用笔记本电脑、平板电脑和智能手机等设备也会造成问题。
消除进入途径
在这个数字化的时代，无论是USB 、智能手机还是平板电脑，所有这些设备都能提高工作效率并保持系统更新，但现实是，没有一个网络是真正的空中楼阁。攻击者总有办法侵入。我们的目标是消除尽可能多的或所有的进入途径。
"安全提供商OPSWAT 的产品高阶总监 Sal Morlando 说："如果你考虑到各种关键基础设施市场，那么在发电、水和废水处理以及其他一些关键行业中都在使用空气间隙网络，作为一种将OT 运营网络中的关键资产与任何外部威胁隔离开来的方法。"气隙将继续部署在许多关键市场中。我认为气隙不会消失。事实恰恰相反。更多的行业将采用气隙作为抵御外部网络威胁的手段。
多年来，业内人士一直认为气隙并不存在，从技术上讲，他们的观点是正确的，但企业仍在实施气隙，而且它们并没有真正做到密不透风，不受攻击。
"莫兰多说："在空气屏蔽网络内运行的系统仍然需要对其健康状况进行监控，需要更新并保持最新，还需要与空气屏蔽网络外的系统交换数据。莫兰多说："真正的挑战来自于如何使用安全技术，将数据安全地移入和移出空气屏蔽网络。已经出现了许多技术来解决这个问题，同时保持气隙网络与外部网络之间的隔离。
单向网关是从空气屏蔽网络中传输数据的一种选择。
"莫兰多说："这种技术是一种跨协议断点的强制单向数据传输，因此源网络和目标网络，即气隙网络和外部网络，并不是通过可路由连接连接的。"这是一种经过批准的技术，例如，核能发电行业和其他一些关键基础设施市场都在使用这种技术，用于安全地将数据移出或移入，同时保留空气间隙"。
扫描USB 设备
"OPSWAT 高阶产品经理 Matt Wiseman 说："在将数据带入或带出这些区域时，无论是收集日志还是应用更新，通常都要依赖可移动媒体或USB 设备来应用这些补丁或更新，或将日志带入或带出。将未经扫描的USB 设备带入会带来巨大风险。因此，我们需要确保有某种类型的扫描站或信息亭，这样所有带入的数据都经过检查和消毒，然后才允许进入受保护的网络。
"所有便携式媒体确实构成了相当大的威胁。当你拥有这些隔绝空气的网络时，当它们与更广泛的互联网隔离时，我们需要把东西带进带出。为了让数据进出这些环境，使用某种工具确实是必要的。要确保尽可能的安全，其实可以归结为三个关键领域。
"首先是我们的员工。他们往往是我们最薄弱的环节，我们需要确保每个人都接受过培训，了解如何将 USB 带入和带出受保护的网络。我们需要确保他们意识到这些设备可能造成的威胁，定期对每个人进行培训是非常有效的。这有助于在企业内部营造更多的网络安全文化，将网络安全放在首位。
"我认为第二点是政策；对任何类型的USB 或可移动媒体的使用都要有清晰、明确的书面政策，以确保没有漏洞。我们要确保当我们从一个设施转到另一个设施时，这些设备得到同样的对待。
"最后是技术。为你的环境设计强大的网络安全技术是必须的。Wiseman 说："如果你的员工训练有素，他们意识到了风险，你有关于他们需要做什么的政策，然后，技术可以实际扫描这些不同的USB 设备，确保带来的东西是安全的，并有一个信息亭的实体存在。
最佳做法
关于在气隙环境中采用的最佳做法，莫兰多说有很多选择。
他说，"围绕便携式媒体的使用纳入用户控制非常重要。"基本上，用户访问从OT 环境中删除的信息也是安全策略的重要组成部分。还有一种功能是防止数据丢失，例如，对从环境中提取的可能是机密的信息进行编辑，这样信息就不会对组织造成危害。在便携式媒体安全方面可以采用多种安全策略。
技术变革推动工业控制系统与企业环境之间的数据交换量不断增加。随着越来越多的制造商开始采用便携式介质，一个可靠的安全计划将有助于提供企业最初希望在气隙网络环境中获得的安全工作环境。
