Физическая изоляция сетей: уязвимости и методы атак

Введение

Меры сетевой безопасности

Разрыв связи, воздушная стена, создание разрыва связи или изолированная сеть — это мера сетевой безопасности, применяемая к одному или нескольким компьютерам для обеспечения физической изоляции защищенной компьютерной сети от незащищенных сетей, таких как общедоступный Интернет или незащищенная локальная сеть. Это означает, что компьютер или сеть не имеет подключенных к другим сетям сетевых интерфейсных контроллеров, с физическим или концептуальным разрывом связи, аналогичным воздушному зазору, используемому в сантехнике для поддержания качества воды.

Использование в секретных условиях

Компьютер или сеть с воздушным зазором – это компьютер или сеть, не имеющие сетевых интерфейсов, проводных или беспроводных, подключенных к внешним сетям. Поэтому в определенных ситуациях, например, в критически важных отраслях, для передачи данных используются диоды данных и электронные воздушные зазоры, обеспечивающие физическое разделение сети с помощью специализированного оборудования. Сложные компьютерные вирусы, предназначенные для кибервойны, такие как Stuxnet и Agent.BTZ, были разработаны для заражения систем с воздушным зазором, используя уязвимости в безопасности, связанные с обработкой съемных носителей. Исследователи также продемонстрировали возможность использования акустической связи. Кроме того, исследователи показали возможность утечки данных с использованием FM-сигналов.

Ограничения

Ограничения, налагаемые на устройства, используемые в этих средах, могут включать запрет на беспроводные соединения с защищенной сетью или из нее, или аналогичные ограничения на электромагнитную утечку из защищенной сети с помощью TEMPEST или клетки Фарадея. Несмотря на отсутствие прямого соединения с другими системами, сети с воздушным разрывом оказались уязвимыми для атак в различных ситуациях. В 2013 году ученые продемонстрировали возможность создания вредоносного ПО, предназначенного для обхода изоляции воздушного разрыва с использованием акустической сигнализации. Вскоре после этого вредоносная программа BadBIOS, разработанная исследователем в области сетевой безопасности Драгосом Руиу, привлекла внимание прессы. В 2014 году исследователи представили AirHopper – схему атаки, демонстрирующую возможность вывода данных с изолированного компьютера на находящийся поблизости мобильный телефон с использованием FM-сигналов. Позднее, в 2015 году, исследователи представили GSMem – метод экфильтрации данных с компьютеров с воздушным разрывом через сотовые частоты. Передача, генерируемая стандартной внутренней шиной, превращает компьютер в небольшую антенну сотового передатчика. Вредоносное ПО ProjectSauron, обнаруженное в 2016 году, демонстрирует, как зараженное USB-устройство может быть использовано для удаленной утечки данных с компьютера с воздушным разрывом. Вредоносное ПО оставалось незамеченным в течение 5 лет и использовало скрытые разделы на USB-накопителе, невидимые для Windows, в качестве канала связи между компьютером с воздушным разрывом и компьютером, подключенным к Интернету, предположительно, для обмена файлами между двумя системами. NFCdrip – название, данное обнаружению скрытой утечки данных посредством злоупотребления радиочастотами NFC (Near Field Communication) и обнаружения сигналов в 2018 году. Хотя NFC позволяет устройствам эффективно взаимодействовать при расположении на расстоянии нескольких сантиметров друг от друга, исследователи показали, что его можно использовать для передачи информации на гораздо большем расстоянии, чем ожидалось – до 100 метров. В целом, вредоносное ПО может использовать различные комбинации оборудования для утечки конфиденциальной информации из систем с воздушным разрывом, используя "скрытые каналы". Эти аппаратные комбинации используют различные среды для преодоления воздушного разрыва, включая: акустические, световые, сейсмические, магнитные, тепловые и радиочастотные.

Limitations imposed on devices used in these environments may include a ban on wireless connections to or from the secure network, or similar restrictions on EM leakage from the secure network through the use of TEMPEST or a Faraday cage. Despite a lack of direct connection to other systems, air gapped networks have been shown to be vulnerable to attack in various circumstances. Scientists in 2013 demonstrated the viability of air gap malware designed to defeat air gap isolation using acoustic signaling. Shortly after that, network security researcher Dragos Ruiu's BadBIOS received press attention. In 2014, researchers introduced AirHopper, a bifurcated attack pattern showing the feasibility of data exfiltration from an isolated computer to a nearby mobile phone, using FM frequency signals. Later in 2015, researchers introduced GSMem, a method for exfiltrating data from air gapped computers over cellular frequencies. The transmission generated by a standard internal bus renders the computer into a small cellular transmitter antenna. ProjectSauron malware discovered in 2016 demonstrates how an infected USB device can be used to remotely leak data off of an air gapped computer. The malware remained undetected for 5 years and relied on hidden partitions on a USB drive not visible to Windows as a transport channel between the air gapped computer and a computer connected to the internet, presumably as a way to share files between the two systems. NFCdrip was the name given to the discovery of stealthy data exfiltration through NFC (Near field communication) radio abuse and signal detection in 2018. Although NFC enables devices to establish effective communication by bringing them within a few centimeters of each other, researchers showed that it can be abused to transmit information at a much longer range than expected up to 100 meters. In general, malware can exploit various hardware combinations to leak sensitive information from air gapped systems using "air gap covert channels". These hardware combinations use a number of different media to bridge the air gap, including: acoustic, light, seismic, magnetic, thermal, and radio frequency.

Обновления программного обеспечения

С точки зрения безопасности, основным недостатком сети с воздушным зазором является невозможность автоматического самообновления программного обеспечения. Пользователям и системным администраторам приходится скачивать и устанавливать обновления вручную. Если не соблюдается строгий график обновлений, в сети начинает работать устаревшее программное обеспечение, которое может содержать известные уязвимости в системе безопасности. Если злоумышленнику удается получить доступ к сети с воздушным зазором (например, через недовольного сотрудника или с помощью социальной инженерии), он может быстро распространиться внутри этой сети, используя эти уязвимости, и, возможно, с большей вероятностью успеха, чем в публичном интернете. Системные администраторы могут управлять обновлениями программного обеспечения в сети с воздушным зазором, используя специализированные решения, такие как Windows Server Update Services или сетевые скрипты входа в систему. Эти механизмы позволят всем компьютерам в сети автоматически устанавливать обновления после того, как системный администратор один раз загрузит их из интернета. Однако проблема полностью не решается, особенно если у пользователей есть административные права на своих локальных рабочих станциях и они могут устанавливать неконтролируемое централизованно программное обеспечение. Наличие IoT-устройств, требующих обновления прошивки, также может осложнить ситуацию, поскольку часто эти обновления невозможно централизованно управлять.