USB口隔离硬件 - 如何预防工控网络的U盘病毒

3.5 USB口隔离硬件

安全摆渡机通过主机软件来实现U盘与U盘之间的安全数据交换，为了能够更加安全简洁地完成交换功能，还可以在U盘和主机的USB口之间增加硬件介质实现物理隔离。在部署USB口隔离硬件的时候，工控网络内部主机上除USB口隔离硬件连接使用的USB接口外的其他USB口采用物理方式封闭，然后把原来连接在主机USB扣上所有硬件（如鼠标、键盘灯）连接到U盘隔离专用硬件上。

USB口隔离硬件通过专有硬件在U盘与计算机之间形成物理隔离区，USB口隔离硬件对U盘的数据文件进行预读处理，阻挡恶意文件的拷贝并通过病毒软件进行文件过滤，从而保障USB数据的安全可靠的读写。

3.6 方案对比

企业要求内外网络隔离，外网的数据不允许带入内网和且不允许操作系统和软件随意升级，从工控网络这种应用场景来看，“终端防护软件和安全U盘结合”和“终端防护软件和U盘白名单结合”的安全解决方案可以基本解决问题。

1）“终端防护软件和U盘白名单结合”解决方案为了防止外网病毒向内网的传播需要通过制度来限制白名单U盘在外网使用，存在很大的不可控的人为风险。

2）“终端防护软件和安全U盘结合”解决主机安全的同时，再增加少量的成本的情况下解决客户安全需求

a）对外只提供普通U分区的只读功能可以防止外网通过U盘把病毒传播到内网；

b）限制内部主机使用安全分区传输可以防止U盘病毒在内部网络交叉感染；

c）把重要资料加密并放在安全专区且对外网不可见可以防止内网重要资料泄露；

d）把一些安全级别较低的资料放在普通分区可以满足外网读取内网的资料。

因此，“终端防护软件和安全U盘结合”的方案从目前来看是工控企业最好的选择。对于特殊客户需要从外网把数据传输到内网，只需要额外增加安全摆渡机来解决外网数据到内网的安全性。

四、U盘的使用和管理规范

除了从技术上解决了U盘病毒传输渠道，同时需要从企业制度和管理上杜绝安全U盘的使用习惯。

一是加强密安全意识培训，提高安全意识，做好工作U盘的保管和使用工作。

二是加强对U盘的管理。做到专盘专用，专人保管。日常工作中，存储重要或涉密文件的安全U盘（或内网U盘）与一般用途的普通U盘（或外网U盘）要严格区分，严格限制其使用范围，不得用于与其他计算机频繁交换文件，尤其要避免在互联网计算机上使用。