一、行业背景
当下，因USB接口引发的威胁事件数量在工控企业中逐年增加。根据去年霍尼韦尔(Honeywell)发布的工业USB威胁报告表明，37%的威胁是专门为利用可移动存储而设计的，威胁数量几乎是年报告的19%的两倍。该研究还强调，79%来自USB设备或可移动存储的网络威胁可能会导致运营技术(OT)环境中的关键业务中断。与此同时，去年生产设施中USB设备的使用增加了30%，更加突显了可移动存储介质的使用安全问题。
二、企业痛点
随着近些年来工控安全事件的不断发生，工控企业已经逐渐注重移动存储介质的管控，然而，由于管理手段不足，仍然存在较多问题：
1、U盘滥用难避免
由于工业网络相对封闭，现场工程师及维护人员使用移动存储介质进行报表下载或数据拷贝的行为比较普遍，这给僵木蠕等病毒悄悄进入工业网络创造了机会。多数企业采用”一刀切”的方式封闭全部USB接口，但此解决方式在保护系统的同时也在很大程度上牺牲了用户使用的便利性。如何在安全风险管理与操作便利性之间找到合适的平衡点成为急迫解决的问题。
2、带毒运行成常态
工业环境中为了生产的连续性，大量上位机需要7×24小时不间断运行，即便已经意识到通过移动存储介质存在感染病毒的风险，但只要没有威胁到工业企业的正常生产，工业企业几乎都采取放任自流的处理方式。这导致潜伏的勒索病毒和未知漏洞一旦被唤醒利用，必然给工业企业带来不可估量的损失。
3、老旧系统难兼容
工业控制系统的使用生命周期较长，生产环境中存在大量长期服役的设备。虽然随着业务的增长会添加新设备、新系统，但是大多工业产线依然存在嵌入式低配老旧系统，找到一款适用的工业主机USB防护软件成为了一大难题。即便工业主机已经安装了防护软件，限于工业网络的封闭性，防护软件病毒库无法得到实时更新，防护效果难称理想。
4、国产系统适配成需求
目前，随着自主可控的国产化控制系统技术日趋成熟并逐步落地应用，工业领域国产化替代正在加速运行，随之安全防护方案中配套的安全产品和技术也急需完成国产化适配需求。
三、网藤科技移动存储介质三重管控方案
1、方案概述
网藤科技移动存储介质全流程细粒度三重管控方案主要通过USB安全隔离装置、工控主机安全卫士两类产品实现移动存储介质从认证授权、病毒查杀到U盘加密、读写权限控制的三重安全管控，具体管控流程如下图所示
2、方案详解
一重：通过USB安全隔离装置实现移动存储介质的认证授权、病毒查杀、U盘加解密等工作，同时生成认证授权标记及病毒查杀标记。此举不仅可以从源头有效地降低木马、病毒及恶意软件给主机带来安全性威胁，同时还摆脱了传统防护软件的兼容性问题，充分满足了工业主机对USB设备安全防护的需求。
二重：联动工控主机安全卫士实现移动存储介质的闭环管理，未在USB安全隔离装置上获取认证授权标记及查杀标记的设备，无法通过终端主机上工控主机安全卫士的安全校验，进而无法正常读取使用。此外，经USB安全隔离装置加密过的移动存储介质，只能通过工控主机安全卫士解密后方可使用，确保核心资产数据不被外泄。
三重：通过工控主机安全卫士可以对已在USB安全隔离装置授权的移动存储介质进行控制，配置“禁用、只读、读写”权限，并记录相关日志。同时，通过禁止未授权移动存储介质的使用，保障企业内部不会受到企业外部病毒的感染。
四、核心产品介绍
USB安全隔离装置是专为实现USB移动存储介质接入安全防控而设计开发的软硬件一体化产品，创新性地采用外设杀毒技术，集“认证、授权、杀毒、审计”于一体，可有效减少通过U盘等移动存储介质携带病毒对内网计算机的安全性造成威胁，填补了国内工控安全产品在USB攻击领域安全防护的技术空白。
USB安全隔离装置产品技术优势
工控安全主机卫士是一款针对工控系统主机进行安全加固的软件产品。产品针对工控系统主机病毒入侵、恶意软件运行、应用程序零日攻击等问题，建立了基于“白名单”的防御隔离屏障，用于监控工控主机的进程状态等资源。此外，产品具有完善的安全控制机制和周全的防御性能，可以有效隔离僵木蠕的传播，提高工控系统的稳定性和健壮性。
工控主机安全卫士产品技术优势
五、总结
网藤科技移动存储介质全流程细粒度三重管控方案可以实现对U盘等移动存储介质从身份认证、授权认证、病毒查杀到权限控制、文件控制等全流程细粒度的管控，是一套完整的移动存储介质管控与病毒查杀方案。其既可以满足用户的政策合规需求，真正确保移动存储介质的安全使用，又可以提升工业企业用户的核心资产数据防泄密的能力，全生命周期确保用户数据安全、系统安全。
