Air-gap ≠ безопасность

Если ваша сеть физически изолирована от интернета, вам может казаться, что она в безопасности. Нет входящих соединений, нет внешнего трафика — значит, данные никуда не утекут. Однако самые критичные инфраструктуры в мире используют air-gap, и все равно периодически оказываются взломаны. Изоляция усложняет атаку, но не делает ее невозможной. 

В 2022-2024 годах хакерская группа GoldenJackal атаковала изолированные сети правительственных и дипломатических учреждений в Европе. Злоумышленники создали вредоносное ПО, которое при подключении флешки к изолированному компьютеру активировалось, собирало данные и записывало их в скрытую область на том же USB-накопителе. Когда этот флеш-накопитель попадал в обычную сеть, данные передавались злоумышленникам. 

На практике air-gap довольно успешно атакуют уже больше 15 лет. Компьютерный червь Stuxnet, разработанный для уничтожения иранской атомной программы, также распространялся через флешки. В 2010 году Stuxnet добрался до управления центрифугами в Натанзе, перехватил управление и изменил режим их работы. В результате более тысячи центрифуг вышли из строя. По масштабу физического ущерба эта атака была сопоставима с точечной воздушной бомбардировкой.

Исследования показывают, что данные можно вытаскивать через акустику, электромагнитное излучение от кабелей, мерцание светодиодов на жестком диске, изменение температуры процессора и даже через электропитание. Два компьютера, подключенные к разным розеткам, но находящиеся в одном здании, могут обмениваться данными через общую электрическую сеть. Один компьютер кратковременно меняет энергопотребление (кодируя биты данных), а второй фиксирует микроскопические колебания напряжения, вызванные этой нагрузкой. Атака не требует никакого дополнительного оборудования. 

Еще один способ взлома air-gap — физическое взаимодействие с инфраструктурой. Человек, имеющий доступ в помещения, где находятся компьютеры изолированного сегмента сети, может целенаправленно скомпрометировать периметр. Для этого достаточно подключить к сети миниатюрное вредоносное устройство, предварительно снабдив его сим-картой и выходом в мобильный Интернет. В 2017-2018 годах целями подобных атак стали несколько банков в Восточной Европе. Ущерб от действий злоумышленников составил несколько десятков миллионов долларов. 

Как обеспечить безопасность закрытого контура

Безопасность изолированного контура определяется не отсутствием внешних подключений, а жестким контролем за любым пересечением периметра. Каждый USB-порт, каждый сотрудник с допуском, каждый перенос данных — потенциальный вектор атаки. Все должно проверяться, журналироваться и контролироваться. Физическая изоляция сети — это не разовая установка барьера, а ежедневная рутина. Как чистка зубов: вы не можете начистить зубы один раз на всю жизнь. Это надо делать ежедневно — только тогда будет эффект.