物理隔离网络 (Air-Gapped).

物理隔离网络与不可信网络没有任何直接连接;数据只能通过受控方式跨越边界,例如可移动介质、数据二极管或自助转移工作站。物理隔离用于核电站安全系统、涉密军事网络、加密货币冷存储、选举基础设施以及部分 ICS,其前提假设是:物理隔离迫使攻击者必须跨越这道"空气间隙"。

历史表明这道间隙是可以被跨越的。Stuxnet(2010 年曝光)通过 U 盘进入伊朗纳坦兹浓缩厂,并借助 LNK 文件漏洞 CVE-2010-2568 等 0-day 在隔离网络中传播。agent.btz 蠕虫于 2008 年经由 U 盘进入美国中央司令部的涉密网络,由此引发了"Buckshot Yankee 行动",并促成美国国防部长期禁用可移动介质。除 U 盘外,由本-古里安大学 Mordechai Guri 领导的研究人员还演示了一系列可从真正断网主机窃取数据的隐蔽信道:AirHopper(从 GPU 总线发射 FM 无线电)、Fansmitter(通过风扇转速的声学信道)、BitWhisper(热学信道)和 LANtenna(从以太网布线发射射频)。它们带宽虽低但真实存在,说明物理隔离只能拖延、却无法消除已经潜伏其中的坚定攻击者。

flowchart LR
  subgraph Untrusted["企业网 / 互联网"]
    A[攻击者]
  end
  subgraph Gap["受控边界"]
    B[U 盘 / 可移动介质]
    C[数据二极管 - 单向]
    D[自助 / 扫描工作站]
  end
  subgraph AirGap["物理隔离网络"]
    E[工程师工作站]
    F[ICS / SIS 控制器]
  end
  A -.->|感染 U 盘 / 供应链| B
  B --> E
  C --> E
  D --> E
  E --> F
  F -.->|隐蔽信道:<br/>射频、声学、热学| A

有效的方案将物理隔离与以下措施结合:严格的介质管控策略、经签名并验证的固件、基于主机的入侵检测、用于单向遥测的数据二极管,以及对异常设备、U 盘或射频活动的监控——将物理隔离视为纵深防御中的一层,而非万无一失的保证。