Представим термин дня: изолированная среда (air gap). Что это такое и как это помогает организациям в критических секторах?
Проще говоря, изолированная (air-gapped) среда — это замкнутая совокупность устройств (например, ПК, серверов, операционных технологий и т. д.), которая физически изолирована от внешних сетей для снижения вероятности несанкционированного доступа и кибератак.
Например, представьте, что вы администратор больницы в США, где закон HIPAA предписывает строгий контроль над медицинскими данными. Чтобы гарантировать недоступность таких записей, лучше всего увести их «из сети» или, другими словами, добавить уровень изоляции между ними и подключенными IT-системами.
Вывод медицинских записей из сети должен гарантировать, что вредоносный доступ через открытые для интернета и готовые к взлому IT-устройства будет полностью исключен, а атаки не вызовут сбоев, которые приведут к непреднамеренному раскрытию информации.
Во многом изоляция среды похожа на возведение «ограждения», чтобы данные не могли покинуть систему. Этого можно добиться несколькими способами, но главный из них — полностью отключить изолируемую систему от интернета. Другой вариант — сегментировать только ту часть сети, которая относится к данной системе, однако это не обеспечивает всей необходимой безопасности.
Что такое сегментация сети? Сегментация предполагает разделение сетей на зоны (обычно обеспечиваемое с помощью таких средств контроля, как брандмауэры и демилитаризованные зоны) для регулирования и мониторинга трафика. Изоляция (air gapping), напротив, полностью исключает это взаимодействие, физически отключая системы друг от друга.
Что такое сегментация сети?
Сегментация предполагает разделение сетей на зоны (обычно обеспечиваемое с помощью таких средств контроля, как брандмауэры и демилитаризованные зоны) для регулирования и мониторинга трафика. Изоляция (air gapping), напротив, полностью исключает это взаимодействие, физически отключая системы друг от друга.
Однако полная изоляция не всегда практична. Критически важным системам зачастую все же необходим контролируемый доступ к данным, обновлениям или централизованному управлению. Например, медицинские записи должны быть доступны уполномоченному персоналу по мере необходимости, в то время как ветряная электростанция не сможет легко передавать отчеты в центральный диспетчерский пункт, если каждый объект полностью отрезан от сети.
Управление крупной организацией, состоящей из множества полностью отключенных друг от друга точек и систем, также может стать дорогостоящим и сложным с операционной точки зрения делом, особенно когда на каждом объекте требуются квалифицированные специалисты.
Тем не менее, изоляция добавляет ценный уровень безопасности, который может принимать самые разные формы в зависимости от реализации.
Изоляция в критической инфраструктуре: благо или вызов?
Но прежде чем мы погрузимся в различные формы изоляции, вернемся к истории из вступления, так как она приведена не просто для привлечения читателей. Похожая ситуация чуть не произошла в Польше в прошлом году, где злоумышленники, предположительно связанные с Россией (идентифицированные ESET как участники APT-группы Sandworm), едва не вывели из строя часть электросети при содействии вредоносного ПО DynoWiper.
Существует множество причин, почему критически важный объект, например электростанция, может стремиться к тому, чтобы его системы были «подключены к сети», поскольку в современную эпоху подключение зачастую имеет решающее значение для производительности и эффективности:
- Производители и энергетические компании: Заводские среды становятся все более взаимосвязанными под влиянием спроса на расширенную видимость и контроль. Это привело к повсеместному внедрению удаленного управления операционными технологиями (OT) — будь то через внутреннюю интеграцию IT или доступ третьих лиц, — что расширяет оперативную гибкость, но также создает дополнительные каналы воздействия. Это еще более справедливо для энергетического сектора из-за его больших масштабов и сложности.
- Транспорт: Железнодорожные системы, включая сигнализацию и управление, подключаются не только по операционным соображениям — здесь задействованы факторы безопасности. Это справедливо и для морской индустрии, где контейнерные краны, терминальные операционные системы и другие системы автоматизированы или эффективно контролируются и интегрируются посредством IT. Сюда же относятся транспортные системы (например, мониторинг шоссе, управление туннелями и т. д.).
- Города и коммунальные службы: Чем умнее становятся наши города, тем более уязвимыми они оказываются. Общественная инфраструктура (коммунальные сети), экологические системы (борьба с наводнениями) и системы видеонаблюдения (камеры видеонаблюдения) теперь также управляются централизованно и доступны удаленно, что разрушает изоляцию, на которую они раньше полагались.
- Услуги ИКТ: По мере того как регулирующие органы уделяют особое внимание атакам на цепочки поставок, в центре внимания оказывается уязвимость ИКТ-провайдеров. Взаимосвязь ИКТ-услуг с любым критическим субъектом подвергает их опасности, потенциально выступая в качестве плацдарма для атак.
Разумеется, такие среды можно ограничивать — например, путем сегментирования ПЛК (программируемых логических контроллеров) и связанных с ними устройств от интернета; введения жестко контролируемых внутренних сетей для таких систем, как железнодорожные стрелки; или полной изоляции таких критически важных активов, как инфраструктура восстановления.
Физическая изоляция (Air gaps)
Оставив в стороне сегментацию, давайте рассмотрим физическую изоляцию и принципы ее работы.
Принцип прост: устройство или сеть физически отключены от внешних сетей, включая интернет. Через эту границу нет сетевого соединения, и любая передача данных должна происходить вручную, под контролем человека.
Это не значит, что каждое устройство внутри изолированной среды должно работать в одиночку. Компьютеры, серверы и промышленное оборудование по-прежнему могут обмениваться данными внутри изолированной сети. Главное, чтобы эта сеть не имела проводного или беспроводного подключения к внешнему миру, поскольку простого отключения кабеля Ethernet недостаточно, если очевидным образом сохраняется другое соединение.
Например, организация может захотеть изолировать среду операционных технологий (OT) от корпоративной IT-сети. Устранение сетевого маршрута между ними может привести к снижению уязвимости к атакам извне изолированной среды. Но это также меняет способ обслуживания данной среды: обновления, файлы и информация о безопасности теперь требуют контролируемых процессов автономной передачи вместо использования постоянного внешнего подключения. Кроме того, мониторинг и защита также должны учитывать эти условия отключения от сети.
Следовательно, платой за более надежную изоляцию является более осознанное, если не сказать трудоемкое, обслуживание. И хотя устранение внешних подключений создает существенный барьер, оно не гарантирует абсолютной безопасности.
Можно ли взломать изолированные системы?
Изоляция может дать сбой. Истина заключается в том, что изолированные системы не полностью ограждены от человеческой деятельности (основного вектора кибератак). Даже физически разделенным средам часто требуются обновления, файлы или данные обслуживания для перемещения между системами. Эта точка передачи — будь то USB-накопитель, доверенный подрядчик или контролируемый процесс — может стать тем мостом, который необходим злоумышленнику, особенно когда задействована социальная инженерия.
Отличным примером является прародитель всех атак на АСУ ТП, Stuxnet, который шокировал мир в 2010 году, когда был применен против ядерного объекта. Хотя считалось, что объект полностью изолирован, он все же зависел от механизмов контролируемой передачи данных. Злоумышленники использовали вредоносные USB-накопители и доверенных подрядчиков, чтобы преодолеть воздушный зазор. Оказавшись внутри, вредоносное ПО перемещалось в латеральном направлении по системам и перепрограммировало промышленные контроллеры, маскируя при этом свою активность.
Можно утверждать, что компрометация через USB является следствием не столько частичных воздушных зазоров, сколько изолированных сред в целом. Даже полностью изолированные системы обычно зависят от съемных носителей для передачи данных.
Можно утверждать, что компрометация через USB является следствием не столько частичных воздушных зазоров, сколько изолированных сред в целом. Даже полностью изолированные системы обычно зависят от съемных носителей для передачи данных.
Всего семь лет спустя, в 2017 году, TRITON был использован против систем противоаварийной защиты на нефтехимическом заводе. При этом эксплуатировались уязвимости в IT-OT сегментации (недостаточная изоляция) и была скомпрометирована инженерная станция в рамках системы безопасности. Оттуда TRITON установил бэкдор в ПЛК, предоставив злоумышленникам контроль над ним. Впрочем, это вторжение в конечном итоге потерпело неудачу, поскольку системы отключились до того, как злоумышленники смогли достичь своей цели.
В обоих случаях изоляция не сработала. Половинчатые меры в критических секторах недопустимы. Любой зазор, любой, даже физический, может быть использован при правильной тактике.
Исследования ESET: Случай GoldenJackal, преодолевающий воздушные зазоры
Компания ESET также внесла свой вклад в обнаружение... скажем так, брешей в воздушных зазорах. В 2024 году исследователи ESET сообщили о серии атак на правительственные организации в Европе со стороны APT-группы GoldenJackal с использованием инструментов, способных атаковать изолированные системы. Эти атаки происходили в 2019 году, а также в период с мая 2022 года по март 2024 года.
Компрометация изолированной сети требует огромных ресурсов, но это возможно. За пять лет группа GoldenJackal сумела создать несколько наборов инструментов для решения этой задачи: GoldenDealer (для доставки исполняемых файлов в системы посредством мониторинга USB), GoldenHowl (модульный бэкдор) и GoldenRobo (сборщик и эксфильтратор файлов).
Описание атаки выглядит несколько сложным (впрочем, как и среды, на которые она была направлена), поэтому наберитесь терпения.
Сначала GoldenJackal скомпрометировала систему, подключенную к интернету (вероятно, с помощью вредоносного файла). Этот файл содержал GoldenDealer, который самостоятельно копируется на USB-накопители. Когда такой зараженный накопитель использовался в изолированной среде, вредоносная программа запускалась, и GoldenDealer собирал информацию с ПК. При повторной вставке накопителя в подключенный компьютер программа связывалась с C2-сервером для получения дополнительных исполняемых файлов. При следующем подключении к изолированному устройству GoldenDealer самостоятельно запускал эти новые программы.
Насколько высока вероятность того, что USB-накопитель будет перемещаться между изолированными и подключенными средами? Когда ваши изолированные устройства зависят от физически распределяемых обновлений (например, через USB-порты), вероятность использования такого накопителя для преодоления воздушного зазора существенно возрастает.
Дальнейшая активность GoldenJackal по проникновению через воздушный зазор
В мае 2022 года ESET зафиксировала атаки GoldenJackal на правительственную организацию в Европе. Набор инструментов по-прежнему полагался на USB-накопители для сбора файлов, распространения полезной нагрузки и эксфильтрации файлов, используя некоторые ПК в сети организации в качестве серверов для доставки файлов в другие системы, а также задействуя Impacket для помощи злоумышленникам в латеральном перемещении по сети.
В ходе этой кампании GoldenJackal использовала высокомодульный подход, развертывая специализированные компоненты для сбора файлов, подготовки, распространения, доставки команд и эксфильтрации. Таким образом, различные скомпрометированные системы могли поддерживать разные части операции в зависимости от их связности и положения в сети: одни выступали в качестве локальных точек подготовки или распространения, в то время как машины с доступом в интернет могли эксфильтровать собранные данные через такие сервисы, как Google Drive или Outlook SMTP.
Такая модульность давала злоумышленникам гибкость для создания многоэтапного пути за счет использования съемных носителей для соединения изолированных и подключенных сред без опоры на единый универсальный имплант.
Чего позволяет добиться такой модульный подход? Гибкости и, потенциально, скрытности. Разделяя операцию между различными компонентами и хостами, злоумышленники могут ограничить функционал любой отдельной машины, уменьшить свой след в индивидуальных системах и адаптировать свой набор инструментов для максимального использования специфической роли каждого скомпрометированного устройства. Такой подход не делает вредоносную активность невидимой, но может усложнить обнаружение, особенно в средах с ограниченным внутренним мониторингом.
В этом контексте воздушный зазор — это скорее не непроницаемый барьер, а расстояние. Если на самом «острове» отсутствуют надежные внутренние средства контроля, он просто превращается в более удаленную сеть с запоздалой видимостью, что помогает объяснить, почему модульные подходы, подобные подходу GoldenJackal, могут иметь успех.
Лучшие практики безопасности изолированных систем: многоуровневый подход в автономном режиме
Хотя изолированные среды могут значительно снизить подверженность кибератакам, сама по себе изоляция не гарантирует безопасность. Организации также должны учитывать риски, связанные с человеческим фактором, физическим доступом и контролируемой передачей данных.
Таким образом, изолированные системы наиболее эффективны при поддержке надежных операционных процессов и дополнительных мер безопасности, таких как:
- Автономная киберзащита: Обеспечьте поддержание непрерывной безопасности, конфиденциальности данных и операционной непрерывности среды даже в условиях полной изоляции. Это снижает зависимость от внешней связи и исключает риски, связанные с сетевыми угрозами.
- Локальное детектирование угроз: Анализируйте подозрительные или неизвестные файлы локально, а не отправляйте их вовне. Это защищает конфиденциальные данные от утечки из вашей среды и при этом позволяет эффективно расследовать угрозы.
- Более безопасные механизмы обновления: Избегайте импровизированных методов, таких как перенос данных через USB или временные незащищенные соединения. Вместо этого используйте контролируемые специализированные процессы обновления для безопасной и своевременной доставки патчей и аналитики.
- Гибкое развертывание: Выбирайте решения, которые надежно работают в различных конфигурациях: от частных сетей до изолированных систем. Это обеспечивает стабильную защиту и снижает риск использования злоумышленниками уязвимостей, характерных для конкретной среды.
- Безопасная обработка данных: Даже изолированные системы требуют резервного копирования или периодической передачи файлов. Установите строго контролируемые процессы для передачи конфиденциальных данных и управления ими. Это предотвращает несанкционированное вмешательство, снижает риск неразрешенных изменений и гарантирует доверие к целостности ваших данных.
- Планирование готовности к требованиям регуляторов: храните конфиденциальные данные в изолированных средах и внедряйте надежные локальные средства контроля, такие как ведение журналов, мониторинг и отчетность. Это упрощает соблюдение нормативных требований, повышает прозрачность для аудита и соответствует требованиям к суверенитету данных.
Для организаций со сложной инфраструктурой и строгими требованиями к изоляции решения ESET PRIVATE Air-Gapped Solutions помогают обеспечить многоуровневую защиту, которая поддерживает безопасную работу даже в самых ограниченных средах.
Для организаций со сложной инфраструктурой и строгими требованиями к изоляции решения ESET PRIVATE Air-Gapped Solutions помогают обеспечить многоуровневую защиту, которая поддерживает безопасную работу даже в самых ограниченных средах.
Кроме того, не забывайте регулярно тестировать возможности восстановления. Многие организации используют изолированные (air-gapped) среды для защиты резервных копий. Однако резервные копии имеют ценность только в том случае, если их можно успешно восстановить при необходимости. Регулярное тестирование помогает убедиться, что планы восстановления сработают во время реального инцидента. Наряду с этой практикой хорошей идеей является и тестирование на проникновение, чтобы убедиться, что «изоляция» работает так надежно, как это необходимо при отражении смоделированной атаки.
Заключение
Организации, управляющие критической инфраструктурой, сталкиваются со сложной задачей поиска баланса. Большая связанность повышает эффективность и прозрачность, но также создает новые возможности для злоумышленников. Изолированные среды помогают снизить этот риск за счет ограничения воздействия внешних сетей и пресечения потенциальных путей атак. Тем не менее, как показали реальные инциденты, изолированные системы все же могут быть скомпрометированы с помощью косвенных методов, таких как съемные носители, компрометация цепочки поставок или действия инсайдеров.
Тем не менее, при целенаправленном проектировании в рамках многоуровневой системы безопасности изолированные среды остаются одним из наиболее эффективных способов снижения системных рисков, заставляя злоумышленников использовать более сложные, ресурсоемкие и в конечном итоге более легко обнаруживаемые пути атак.
Дальнейшие шаги по повышению устойчивости изолированных систем. Оцените готовность государственного сектора. Изучите отчет SANS 2026 Government Readiness Survey, чтобы получить аналитические данные на основе фактов о том, как государственные ведомства готовятся к меняющемуся ландшафту угроз. Обратитесь к эксперту. Пообщайтесь со специалистом ESET и узнайте, как ускорить повышение уровня кибербезопасности в сложных экосистемах.
Дальнейшие шаги по повышению устойчивости изолированных систем
Оцените готовность государственного сектора. Изучите отчет SANS 2026 Government Readiness Survey, чтобы получить аналитические данные на основе фактов о том, как государственные ведомства готовятся к меняющемуся ландшафту угроз.
Обратитесь к эксперту. Пообщайтесь со специалистом ESET и узнайте, как ускорить повышение уровня кибербезопасности в сложных экосистемах.
Часто задаваемые вопросы: об изоляции сетей (air gaps)
Что такое изолированная система?
Изолированная система (air-gapped system) — это устройство, сеть или среда, изолированные от внешних сетей, особенно от интернета, что снижает риск несанкционированного доступа и последовавшей за ним кибератаки.
Кому следует использовать изоляцию сетей?
Операторы критической инфраструктуры, такие как предприятия энергетического сектора, транспортные компании, медицинские организации и коммунальные службы, используют изоляцию для защиты операционных технологий (OT), резервных копий и конфиденциальных данных от киберугроз, способных нарушить предоставление жизненно важных услуг.
Могут ли хакеры взломать изолированные сети?
Да. Хотя изолированные среды гораздо сложнее скомпрометировать, злоумышленники все же могут использовать такие методы, как зараженные USB-накопители, недобросовестные подрядчики, внутренние угрозы или атаки на цепочку поставок для получения доступа. Однако взлом изолированной сети обычно требует больше времени, ресурсов и высокого уровня квалификации.
Актуальна ли изоляция сетей в эпоху облачных технологий и взаимосвязанной инфраструктуры?
Определенно. По мере того как критически важные среды становятся все более взаимосвязанными, изоляция остается ценной стратегией безопасности для защиты ценных активов, хранилищ резервных копий и критически важных для бизнеса систем. Тем не менее, современные организации должны сочетать изоляцию с многоуровневыми мерами безопасности не только для того, чтобы соблюсти баланс между устойчивостью, соответствием требованиям и операционной эффективностью, но и чтобы не полагаться на изоляцию как на единственное средство защиты.
