A NIST egy új útmutatót tett közzé, amelynek célja, hogy segítse a szervezeteket a cserélhető adathordozók operatív technológiai (operational technology – OT) környezetekben történő használatából adódó kiberbiztonsági kockázatok csökkentésében.
A NIST Special Publication (SP) 1334 dokumentumot a National Cybersecurity Center of Excellence (NCCoE) készítette. Elsősorban az USB flash meghajtók biztonságos használatára összpontosít, de kitér más típusú cserélhető adathordozókra is, például külső merevlemezekre, CD/DVD-meghajtókra.
Az USB meghajtók gyakran használatosak OT-környezetben, például firmware frissítések telepítésére vagy diagnosztikai adatok lekérésére, viszont ezek az eszközök a rosszindulatú kódok terjesztésének forrásai is lehetnek. Annak ellenére, hogy a kiberbiztonsági szektor már régóta figyelmeztet az ilyen eszközök jelentette kockázatokra, használatuk továbbra is jelentős fenyegetést jelent az ipari vezérlőrendszerekre (industrial control systems – ICS).
A NIST arra is figyelmeztet, hogy egy fertőzött USB-eszköz képes megfertőzni az ipari vezérlőrendszereket, ami működési zavarokat, biztonsági kockázatokat, sőt akár üzembiztonsági problémákat is okozhat.
A NIST SP 1334 egy tömör, kétoldalas dokumentumban foglalja össze az ICS USB-alapú fenyegetések elleni védekezés legfontosabb tudnivalóit.
Az útmutató négy fő területet emel ki:
- eljárási ellenőrzések,
- fizikai ellenőrzések,
- műszaki ellenőrzések, valamint
- szállítás és végleges adattörlés
Az eljárási ellenőrzések tekintetében az útmutató azt tanácsolja a szervezeteknek, hogy dolgozzanak ki szabályzatokat a szervezeti tulajdonban lévő adathordozók beszerzésére, engedélyezésére és kezelésére. Minden egyéb eszközt megbízhatatlannak kell tekinteni. Az engedélyezett eszközöknek meg kell felelniük a korszerű biztonsági előírásoknak, használatukat pedig csak meghatározott személyek számára és célok megvalósítására szabad engedélyezni. A fizikai ellenőrzéseket illetően, az eszközöket biztonságos helyen kell tárolni, nyilvántartásba venni és egyértelműen címkézni.
A NIST útmutatójának a technikai ellenőrzésekről szóló része az alábbiakat javasolja:
- felesleges portok letiltása a jogosulatlan használat megelőzésére,
- eszközök átvizsgálása használat előtt és után a kártevők ellen,
- automatikus futtatás letiltása,
- hordozható adathordozón tárolt adatok titkosítása, valamint
- írásvédelem engedélyezése.