什麼是氣隙？優勢與最佳實務

「氣隙」一詞在資安領域中經常被提及，被視為保護系統或資料安全的基本但有效技術之一。就此而言，了解什麼是氣隙，以及檢視其優勢與最佳實務，對組織而言可能至關重要。本文將以非常詳細的方式探討什麼是氣隙、其重要性與運作方式，以及此技術在更廣泛資安版圖中的優勢與限制。

資安中的氣隙是什麼？

氣隙是一種安全措施，要求電腦或網路與其他系統隔離，尤其是與網際網路或任何外部網路隔離。這種隔離是透過確保某些所謂的「氣隙」系統在實體或電子層面上都不與外界連接來實現。根據定義，氣隙系統是指與外部世界其餘部分完全「氣隙」隔離的系統；因此，依其設計，它應能免受遠端駭客攻擊嘗試。

氣隙已經過時了嗎？

氣隙曾被視為保護關鍵系統的堅不可破替代方案；然而，隨著網路威脅與複雜攻擊向量的演進，這種看法如今正逐漸受到質疑。相反地，由於現代進階持續性威脅對其所宣稱的不可攻破性帶來挑戰，也有人主張氣隙仍持續構成資安工具箱中的實用組成部分，尤其是在與其他安全控制搭配使用時更是如此。

氣隙的重要性

對於敏感資料與其他系統而言，氣隙對於保存這類高度敏感資訊，甚至控制大型關鍵基礎設施的系統來說至關重要。在這種情況下，組織可透過實體或電子方式隔離這些系統，以防範各種網路威脅。

1. 遠端攻擊： 在此架構中，氣隙系統與網際網路及網路連線完全隔離；因此，若遠端系統依賴網路連線，就不可能進一步入侵或攻擊它。不存在可讓駭客利用漏洞取得未授權存取或干擾營運的進入點。
2. 惡意程式： 由於與網路連線隔離，氣隙系統較不容易受到透過網路流量或其他線上來源傳入的惡意程式感染。即使惡意程式以某種方式透過實體媒介被引入，其造成的損害也會被侷限，且無法擴散到其他系統。
3. 資料外洩： 從設計之初開始，氣隙即確保不會發生任何未經授權的資料傳輸或複製，從而防止資料被轉移到環境之外。這使入侵者更難將資訊或惡意程式從環境中外傳，因此可保護重要資訊免於未授權存取或外洩。

資安中的氣隙類型

氣隙有數種類型，每種類型都會根據所需的隔離程度服務不同目的：

1. 實體氣隙 – 系統之間存在純粹的實體隔離；不得有任何直接或間接的電子互連。這是指氣隙系統在實際上與網際網路及其他網路完全切斷。任何形式的遠端存取或透過電子媒介進行的資料傳輸皆不可能。這可提供最高等級的安全性，因為電子形式中的各種潛在路徑都可被消除，因此使基礎架構控制適用於高度敏感的系統。
2. 邏輯氣隙 – 在邏輯氣隙中，隔離是透過網路設定來實現，而非實際的實體斷開。它使用網路技術以及如 VLAN 和 防火牆 等技術來限制並分割網路流量。雖然系統在實體上仍有連線，但系統互動實際上受到限制，且主要由網路規則加以管控。因此，在這種情況下，它提供了一種在網路中隔離敏感系統的彈性方式；因此，不需要實體分離。
3. 混合式氣隙 –  混合式氣隙是同時使用實體與邏輯隔離來增強安全性的混合版本。它會在實體上分隔系統，並搭配網路設定控制來建立多層防護。如此一來，即使某一層安全性遭到突破，仍會有另一層持續提供保護，使這種方法在需要同時具備實體與網路層級隔離以獲得最佳保護的情境中特別實用。

氣隙如何運作？

氣隙的運作方式是切斷任何可能讓外部威脅與隔離系統互動的途徑。這可透過以下方式達成：

1. 中斷網路介面 – 實作氣隙隔離的基本方式之一，是透過實體中斷網路介面的連線。網路介面可以透過拔除網路線、停用 Wi-Fi，或關閉任何其他類型的無線通訊來中斷。這會使氣隙隔離系統與所有其他外部網路及廣大的網際網路完全斷開。系統斷線可確保在隔離系統與任何外部來源之間的任何資料流動都受到阻斷。這進而阻止針對該系統的遠端網路攻擊嘗試與未經授權的存取嘗試。因此，該系統可免受以網路為基礎的威脅或其他形式的入侵。
2. 限制實體存取 – 另一個與有效 air gap 妥善維護相關的重大問題，是對隔離系統實體存取的控制。這表示只有指定人員才被允許實際進入 air-gapped 環境。因此，存取控制的範圍可能從門上的簡單鎖具，到更複雜的監控設備，目的都是為了避免未經授權的人員採取可能干擾系統的行動。在這方面，組織可降低內部威脅、意外暴露或實體攻擊的可能性，因為這些情況都可能導致 air-gapped 系統完整性喪失。
3. 實施嚴格的資料傳輸控制 – 由於氣隙系統與外部網路隔離，因此只能使用受控且安全的資料傳輸方式。例如，用於傳輸資料的 USB 隨身碟或其他可移除式媒體，在接觸氣隙系統之前，會先掃描是否含有惡意軟體。這可確保沒有任何磁碟區遭到感染，且不會以任何方式將惡意軟體引入系統。此外，資料傳輸程序通常也受到嚴格規範的管控，以進一步降低引入弱點或未經授權存取資料的風險。

氣隙網路實作（設定）

設定氣隙涉及數個步驟，以確保有效隔離：

1. 設計架構

這涉及將系統架構設計作為建立氣隙的第一步。這就像是識別出某些需要隔離的特定系統，並為其制定實體與邏輯規劃。您必須判定哪些系統處理敏感或關鍵資料，然後決定如何以最佳方式將這些系統與其他網路實體分離。這可能會導致需要專用機房或設施，並且可能需要變更網路組態，才能與其他系統完全隔離。

2. 隔離網路

確保存在實體網路隔離。這表示所有網路介面都必須與氣隙系統中斷連線。這包括拔除網路線、停用無線連線，以及任何其他可能適用的電子通訊模式。可使用實體安全屏障（例如上鎖的房間或安全區域）來實施隔離。有必要確保不會使用任何間接連線方式將氣隙系統橋接至外部網路。

3. 控制資料傳輸

使用經過惡意程式掃描的 USB 隨身碟或其他可移除式媒體，以最高謹慎程度管理進出氣隙系統的資料。首先，任何進入氣隙系統的資料都應檢查是否存在安全威脅。資料傳輸應限制為授權人員執行，以利控管並確保安全，且應建立嚴格的處理與文件記錄程序。

4. 監控與稽核

最後，制定監控與稽核程序，以確保氣隙的有效性。應有監控工具可觀察隔離網路上發生的所有活動，以及任何其他未經授權的存取情況或其他異常事件。應定期進行稽核，以檢查氣隙是否正常運作、評估存取的實體控制措施，並驗證網路隔離的完整性。應根據稽核結果與新興威脅持續精進與發展安全措施，以確保強大的防護。

氣隙的優勢

1. 氣隙是一種安全措施，涉及將電腦或網路與任何外部連線隔離，例如網際網路或其他網路。隔離帶來多項關鍵優勢，使其成為在需要極高安全等級環境中的必要策略。
2. 安全性是採用氣隙最重要的原因之一。由於移除了任何類型的外部連線，氣隙系統通常較不容易受到遠端攻擊，這些攻擊可能包括駭侵、勒索軟體，以及許多其他需要網路存取才能傳播或引爆的惡意程式形式。換言之，這些系統不易受到影響連線網路的常見威脅，因此更為安全。
3. 另一項關鍵優勢是防止資料外洩。在連線世界中，未經授權的資料傳輸或外洩可透過許多管道發生，包括網際網路或可移除式媒體。氣隙系統可降低該風險。由於從實體上防止外部存取，使未授權方擷取敏感資訊變得更加複雜，因此風險顯著降低。

氣隙的限制與挑戰

氣隙提供強大的安全性，但也伴隨挑戰：

1. 營運複雜性

對於一系列氣隙系統而言，在作業環境中手動傳輸資料與變更所涉及的操作非常複雜。

2. 彈性有限

隔離會限制資料傳輸以及與其他系統集合的整合，而這些整合原本可能提升效率並促進協作。

3. 內部威脅

即使僅與任何外部位置直接連結，仍可存取系統的內部人員，可能會引入惡意軟體或危及資料。

這些限制突顯出需要審慎規劃與嚴格的內部控制，以補強氣隙隔離的安全效益。

氣隙隔離最佳實務

為了將氣隙隔離的有效性發揮到最大，請考慮以下最佳實務：

1. 定期更新與修補系統

嚴格執行系統更新與修補的制度，有助於維持氣隙隔離系統的安全性。這仍可能是手動流程，涉及使用 USB 或其他外接磁碟等媒體裝置，將修補程式從安全系統傳輸到具備氣隙隔離的系統。

由於這是手動流程，因此任何更新都必須先從可信任的原始網站下載，然後在傳輸前掃描是否含有任何惡意軟體。

2. 使用受控的資料傳輸方法

所有進出氣隙隔離系統的資料傳輸都必須經過謹慎管理，以避免任何安全性受損。所有可移除媒體也都應在連接至隔離系統之前，先掃描是否含有任何惡意軟體。

這是一項保護措施，可確保在資料傳輸期間，任何情況下都不會將惡意軟體引入敏感電腦系統。在此情況下，對傳輸中的資料套用加密，可額外增加一層防護，即使資料因欺騙或遭未授權者窺探而受損，也能防止其被存取。

3. 實施強式存取控制

考量到具備氣隙隔離的系統無法完全與其他設備的任何形式連線徹底隔離，因此應限制對其系統的存取。可能需要同時具備實體與邏輯控制。

這通常應將存取控制範圍涵蓋到氣隙隔離系統的實際位置——可能包括存取點，以及透過安全入口進行的全面監控。就邏輯層面而言，系統本身應透過強式驗證妥善保護，其中可能包括多重要素驗證，以確保只有適當的人員能夠存取。

4. 定期監控與稽核系統

持續監控與稽核對於維持氣隙隔離系統的安全性至關重要。應部署監控工具，以追蹤系統活動並保留相關日誌。

這可即時偵測最異常的行為與潛在的安全性入侵。氣隙隔離系統的隔離環境意味著監控與稽核必須從隔離環境內部執行。

氣隙隔離的使用案例

氣隙隔離在以下情境中特別有效：

1. 關鍵基礎設施

保護控制關鍵基礎設施的系統，例如電網或工業控制系統。

2. 敏感資料處理

保護處理或儲存極度敏感資訊的系統，例如政府或金融資料的過程。

3. 研究與開發

保護智慧財產與專有研究，免受任何形式的外部威脅。

氣隙隔離與其他安全措施的比較

為了了解氣隙隔離在更廣泛的安全版圖中的定位，讓我們將其與其他措施進行比較：

1. 與防火牆的比較

1. 氣隙隔離：提供完整的實體與電子隔離，由於沒有網路連線，因此可阻擋所有遠端攻擊。
2. 防火牆：根據規則控制網路流量，並可封鎖未授權存取，但若設定錯誤或存在弱點，仍可能遭到入侵。

2. 與網路分段的比較

1. 氣隙隔離：確保系統之間完全分離，防止與外部網路進行任何通訊。
2. Network Segmentation：將網路劃分為隔離區段以降低風險，但無法提供絕對隔離，且仍可被遠端存取。

3. 與入侵偵測系統 (IDS) 的比較

1. 氣隙隔離：透過提供完全隔離，防止外部威脅到達系統，從而避免初始入侵。
2. IDS：偵測並警示網路中的可疑活動，但無法防止初始入侵或未授權存取。

總而言之，氣隙隔離提供最高等級的隔離，而防火牆、網路分段與 IDS 則各自提供不同類型的防護，並具有特定限制。

關於氣隙隔離的迷思與誤解

圍繞氣隙隔離概念存在數個迷思。讓我們解析其中幾項：

迷思：氣隙隔離完全萬無一失

說明：儘管氣隙隔離因系統與外部網路實體分離而被視為最安全的安全控制類型，但它並非對所有類型的攻擊都完全免疫。氣隙隔離的效果可阻止遠端與基於網路的威脅進入，然而，其他風險並未因氣隙隔離而被完全消除。範例包括：

• 內部威脅：由於氣隙隔離系統會讓具備權限的人員擁有實體存取權，因此可能利用此類存取來植入惡意軟體、竊取資料並造成損害。實際上，這是重大風險，因為內部人員不受氣隙隔離限制。
• 複雜的實體入侵：在這種情境下，層級更高的攻擊者可能會嘗試對氣隙環境進行實體安全突破，其中可能包括透過植入實體裝置傳播惡意軟體，或利用實體安全措施的弱點進行攻擊等技術。
• 社交工程:  社交工程 是攻擊者可能嘗試智取或欺騙授權人員，以取得系統存取權或誘使其洩露敏感資訊的另一種方式。

迷思：氣隙可消除所有風險

說明：雖然氣隙能大幅降低遠端攻擊或任何完全以網路為基礎的攻擊威脅，但絕不代表它能降低所有形式的安全風險。這可能涉及某些風險，包括：

• 內部威脅：即使在沒有外部連線的情況下，能夠存取氣隙系統的內部人員仍可能反過來危害系統，無論是插入惡意程式碼，還是濫用既有存取權限。
• 實體竄改：這可能包括對系統或元件進行實際的實體竄改，例如插入遭入侵的硬體，或以利用弱點的方式改變環境。
• 資料傳輸作業不當：氣隙系統與外部網路之間的資料傳輸流程，例如使用 USB 隨身碟，若管理不當，可能成為潛在風險。這可能包括掃描媒體時的不良作法、不安全的程序，或其他可能意外引入惡意軟體或導致資料外洩的傳輸方式。

氣隙的真實世界範例

氣隙系統的真實世界範例包括：

1. 關鍵基礎設施控制系統：許多工業控制系統和 SCADA 系統使用氣隙來防範網路威脅。
2. 政府與軍事網路：高安全性環境通常會採用氣隙來保護敏感資料與作業。
3. 軍事網路： 軍事網路通常會採用氣隙，以防止未經授權的存取，並保護敏感資訊不落入不當人士手中。例如在美國，國防部的機密網路會採用氣隙，以避免電子郵件系統遭駭與發生資料外洩。
4. 金融公司： 金融機構可部署氣隙網路，主要用於敏感交易場域或儲存大量客戶相關資料的位置，讓敵對勢力無法入侵並導致資料外洩。
5. 醫療保健組織： 處理敏感資訊的醫療保健組織，例如處理病患資料或研究傳染病的機構，可能會採用氣隙網路，以防止未經授權的存取並防範資料外洩。

結論

總而言之，氣隙仍是保護敏感系統與資料不可或缺的安全措施。雖然它們有其缺點與挑戰，但在提供對外部威脅的隔離方面仍然相當有效。透過更深入了解這些優勢、限制與最佳實務，組織便能在持續演變的威脅情勢下，更有效地保護其所管理的關鍵資產。