Thiết bị lưu trữ di động vẫn là một trong những phương thức tấn công phổ biến nhất trong môi trường công nghệ vận hành (OT) và hệ thống điều khiển công nghiệp (ICS). Một ấn phẩm đặc biệt gần đây do Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) phát hành, NIST SP 1334, cung cấp các khuyến nghị thiết thực cho các tổ chức vận hành OT và ICS. Với tiêu đề “Giảm thiểu rủi ro an ninh mạng từ thiết bị lưu trữ di động trong môi trường OT”, tài liệu này cung cấp các hướng dẫn nhằm hạn chế rủi ro liên quan đến việc sử dụng thiết bị ngoại vi và thiết bị lưu trữ di động.
Theo Báo cáo An ninh mạng ICS/OT năm 2025 của SANS, 27% các cuộc tấn công được khởi xướng bởi các thiết bị lưu trữ di động và thiết bị tạm thời bị xâm nhập. Trong môi trường air-gapped, thiết bị lưu trữ di động thường được sử dụng để truyền dữ liệu như cập nhật phần mềm nhúng, tệp cấu hình và nhật ký. Điều này làm tăng nguy cơ phần mềm độc hại, khai thác lỗ hổng bảo mật zero-day và can thiệp vào chuỗi cung ứng, vượt qua các biện pháp phòng thủ hiện có. Tiêu chuẩn NIST SP 1334 nhằm mục đích giúp các nhà vận hành và nhà sản xuất OT quản lý các rủi ro liên quan đến thiết bị lưu trữ di động, bao gồm USB, thẻ SD và ổ cứng di động, trong môi trường OT/ICS.
Tại sao nó quan trọng đối với môi trường OT
Không giống như môi trường IT, môi trường OT/ICS thường gặp phải những thách thức và hạn chế về an ninh mạng do các yêu cầu chung về cô lập và phân tách mạng. Việc điều chỉnh các hoạt động an ninh mạng theo hướng dẫn NIST SP 1334 giúp các tổ chức giảm thiểu bề mặt tấn công, hỗ trợ các biện pháp bảo vệ chuyên sâu và quản lý tốt hơn việc sử dụng và truyền tệp qua thiết bị lưu trữ di động.
Những thách thức phổ biến nhất đối với môi trường OT/ICS bao gồm:
- Sử dụng Hệ thống Cũ: Nhiều thiết bị và hệ thống OT vẫn phụ thuộc vào các hệ thống cũ thiếu các biện pháp an ninh mạng hiện đại và không thể nâng cấp. Việc thay thế các hệ thống này có thể tốn kém và ngoài tầm với.
- Yêu cầu về tính khả dụng cao: Thời gian ngừng hoạt động và gián đoạn dịch vụ có thể gây ra thiệt hại vật chất, rủi ro an toàn hoặc tổn thất hoạt động lớn.
- Vận hành trong môi trường cách ly: Mạng OT thường bị tách biệt, cô lập hoặc cách ly, gây ra những hạn chế cho các biện pháp phòng thủ dựa trên hệ thống mạng.
- Sử dụng thiết bị lưu trữ di động là không thể tránh khỏi: thường được dùng cho cập nhật phần mềm, chẩn đoán hệ thống và truyền dữ liệu.
Những điểm chính cần lưu ý từ NIST SP 1334
NIST SP 1334 nhấn mạnh việc phân lớp các biện pháp kiểm soát trên bốn lĩnh vực chính: thủ tục, vật lý, kỹ thuật và vận chuyển.
Kiểm soát thủ tục
Các tổ chức nên xây dựng chính sách rõ ràng để quản lý việc sử dụng thiết bị. Các chính sách này bao gồm mua phương tiện thuộc sở hữu của tổ chức với mã hóa phần cứng (được chứng nhận FIPS), cấm các thiết bị trái phép và thiết lập các quy trình nghiêm ngặt để cung cấp, làm sạch và xử lý thiết bị. Việc ghi lại thông tin chi tiết về việc sử dụng như danh tính người dùng, số sê-ri thiết bị và dấu thời gian; và đào tạo nhân viên về các chính sách cũng rất cần thiết.
Kiểm soát vật lý
Các biện pháp kiểm soát vật lý trong hướng dẫn NIST SP 1334 bao gồm việc lưu trữ thiết bị lưu trữ di động ở vị trí an toàn về mặt vật lý, có kiểm soát ra vào và lập danh mục cũng như dán nhãn thiết bị được phê duyệt kèm theo thông tin chi tiết về cách sử dụng như một phần cơ bản của chương trình quản lý tài sản nhằm giảm thiểu rủi ro.
Kiểm soát kỹ thuật
Các tổ chức cần triển khai các kiểm soát kỹ thuật để bảo vệ thiết bị lưu trữ di động, bao gồm: vô hiệu hóa các cổng không cần thiết; áp dụng danh sách cho phép để kiểm soát thiết bị và thực thi tệp; quét trước và sau khi sử dụng; định dạng lại trước khi tái sử dụng; bật chế độ chống ghi cho tệp chỉ đọc; tắt tính năng tự động chạy; sử dụng thiết bị được mã hóa; và thiết lập cảnh báo cho các hoạt động liên quan đến thiết bị lưu trữ di động.
Kiểm soát vận chuyển và Làm sạch
Các tổ chức cần triển khai các kiểm soát kỹ thuật để bảo vệ thiết bị lưu trữ di động, bao gồm: vô hiệu hóa các cổng không cần thiết; áp dụng danh sách cho phép để kiểm soát thiết bị và thực thi tệp; quét trước và sau khi sử dụng; định dạng lại trước khi tái sử dụng; bật chế độ chống ghi cho tệp chỉ đọc; tắt tính năng tự động chạy; sử dụng thiết bị được mã hóa; và thiết lập cảnh báo cho các hoạt động liên quan đến thiết bị lưu trữ di động.
Cách OPSWAT ngăn chặn tấn công qua thiết bị ngoại vi và thiết bị lưu trữ di động
OPSWAT cung cấp một loạt các giải pháp được thiết kế để bảo vệ các môi trường OT quan trọng khỏi các mối đe dọa từ thiết bị ngoại vi và thiết bị lưu trữ di động. Các giải pháp này giúp các tổ chức tuân thủ các hướng dẫn quy định, bao gồm NIST, ISA/IEC 62443, NEI 18-08, NERC CIP, ISO27001, ANSSI, NIS2 và GDPR.
Giảm thiểu rủi ro từ thiết bị lưu trữ di động tại điểm truy cập
Được thiết kế cho các môi trường yêu cầu bảo mật cao, MetaDefender Kiosk™thực hiện quét và làm sạch thiết bị lưu trữ di động ngay tại điểm vào của các môi trường air-gapped, đảm bảo an toàn cho luồng dữ liệu vào hệ thống OT. Giải pháp đồng thời giúp nâng cao khả năng vận hành liên tục, giảm thiểu rủi ro gián đoạn ngoài kế hoạch, ảnh hưởng đến sản xuất và các sự cố an toàn. MetaDefender Kiosk cũng được công nhận trong hệ sinh thái DeltaV Silver Alliance của Emerson, khẳng định hiệu quả triển khai trong nhiều môi trường và kịch bản sử dụng.
Bảo vệ thiết bị đầu cuối trước thực thi và kiểm soát thiết bị
MetaDefender Endpoint™ tăng cường bảo mật thiết bị đầu cuối và cung cấp khả năng bảo vệ tiên tiến cho môi trường vận hành. Giải pháp này chủ động quét và phát hiện các thiết bị lưu trữ di động và thiết bị ngoại vi khi được lắp đặt, trước khi chúng được các hệ thống quan trọng truy cập. Khả năng này giúp các tổ chức tuân thủ các yêu cầu an ninh mạng đối với thiết bị lưu trữ di động được nêu trong NIST SP 1334. Giải pháp cũng cho phép người dùng xóa dữ liệu trên thiết bị lưu trữ di động một cách an toàn, đáp ứng các yêu cầu làm sạch thiết bị theo tiêu chuẩn.
Giám sát bảo mật tập trung trên một bảng điều khiển hợp nhất
Khi tích hợp với My OPSWAT™ Central Management , MetaDefender Endpoint Và MetaDefender Kiosk hỗ trợ thực thi chính sách tập trung để kiểm soát quyền truy cập thiết bị, giám sát và quản lý việc sử dụng thiết bị lưu trữ di động và ghi nhật ký hoạt động.
Xác thực thiết bị lưu trữ như một lớp bảo vệ bổ sung
OPSWAT cung cấp nhiều giải pháp nhằm tăng cường chiến lược phòng thủ nhiều lớp. MetaDefender Endpoint Validation, OPSWAT Media Validation Agent và MetaDefender Media Firewall™ bổ sung một lớp bảo mật bằng cách thực thi chính sách quét và làm sạch thiết bị lưu trữ.
MetaDefender Endpoint Validation và OPSWAT Media Validation Agent là các công cụ nhẹ được cài đặt trên thiết bị đầu cuối và hoạt động trong cả môi trường air-gapped lẫn môi trường kết nối mạng. Hai giải pháp này đóng vai trò như một điểm kiểm soát, đảm bảo chỉ các tệp đã được quét bởi MetaDefender Kiosk mới được phép mở, sao chép và truy cập trên thiết bị đầu cuối.
MetaDefender Media Firewall là giải pháp phần cứng triển khai ngay để bảo vệ các hệ thống máy chủ quan trọng khỏi các mối đe dọa từ thiết bị lưu trữ di động. Nó hoạt động với MetaDefender Kiosk như một lớp vật lý dễ sử dụng để bảo mật môi trường OT và đảm bảo không có thiết bị lưu trữ di động nào chưa được quét có thể vượt qua các điểm truy cập. Giải pháp này cũng giúp các tổ chức thực thi các chính sách quét phù hợp với các tiêu chuẩn tuân thủ quy định.
Công nghệ cốt lõi dẫn đầu ngành
MetaDefender Kiosk và MetaDefender Endpoint được hỗ trợ bởi các công nghệ hàng đầu trong ngành và đáng tin cậy trên toàn cầu, bao gồm:
- Công nghệ nâng cao nhận dạng mã độc với đa ứng dụng xử lý (Metascan™ Multiscanning): Đạt tỷ lệ phát hiện phần mềm độc hại lên tới 99,2% với hơn 30 công cụ chống phần mềm độc hại
- Công nghệ làm sạch và tái lập nội dung chuyên sâu (Deep CDR™): Làm sạch tệp theo cơ chế đa lớp, loại bỏ các mối đe dọa tiềm ẩn mà không ảnh hưởng đến chức năng, giúp ngăn chặn các mối đe dọa chưa biết, bao gồm zero-day; hỗ trợ hơn 200 định dạng tệp.
- Đánh giá lỗ hổng bảo mật dựa trên tệp: Phát hiện các lỗ hổng bảo mật đã biết với hơn 3.000.000 điểm dữ liệu được thu thập từ các thiết bị đang hoạt động và hơn 30.000 CVE liên quan với thông tin về mức độ nghiêm trọng
- Công nghệ ngăn ngừa thất thoát dữ liệu chủ động (Proactive DLP™): Sử dụng các mô hình hỗ trợ AI để định vị và tự động biên tập thông tin nhạy cảm như PII, PHI, PCI trong hơn 110 loại tệp
- Quốc gia xuất xứ: Phát hiện nguồn gốc địa lý của các tệp để xác định các vị trí và nhà cung cấp bị hạn chế, hỗ trợ tuân thủ quy định
Bảo vệ cơ sở hạ tầng trọng yếu khỏi các cuộc tấn công từ thiết bị lưu trữ có thể tháo rời
Tìm hiểu vì sao các tổ chức hạ tầng trọng yếu tin tưởng giải pháp của OPSWAT để tăng cường bảo mật môi trường OT/ICS trước các mối đe dọa từ thiết bị ngoại vi và thiết bị lưu trữ di động. Đăng ký lịch trao đổi và trải nghiệm trực tiếp về cách ngăn chặn các cuộc tấn công qua thiết bị lưu trữ di động thực tế cùng chuyên gia của chúng tôi.
