數(shù)字化轉(zhuǎn)型為經(jīng)濟增長和工業(yè)增長帶來新機遇。得益于物聯(lián)網(wǎng)（IoT）的發(fā)展，企業(yè)通過構(gòu)建端到端的數(shù)字服務(wù)提高分析數(shù)據(jù)并監(jiān)測設(shè)備運行和狀態(tài)的能力。運維技術(shù)平臺（OT）如今已無處不在，然而，技術(shù)發(fā)展催生出復(fù)雜的網(wǎng)絡(luò)環(huán)境變化，導(dǎo)致平臺成為網(wǎng)絡(luò)犯罪分子的潛在攻擊目標(biāo)。目前急需一種全新的模式，確保適用于復(fù)雜環(huán)境下的網(wǎng)絡(luò)安全解決方案，并始終保持可靠且高效?！熬W(wǎng)絡(luò)免疫”正是這種解決方案所依據(jù)的設(shè)想之一。
物聯(lián)網(wǎng)及運維技術(shù)平臺中的威脅日益普遍化和復(fù)雜化
隨著連接到物聯(lián)網(wǎng)的設(shè)備數(shù)量呈指數(shù)增長，要為每臺設(shè)備安裝定期更新的保護工具會耗費大量時間與資源。此外，很多設(shè)備不具備相應(yīng)的處理能力，無法使用網(wǎng)絡(luò)安全附加工具（如殺毒軟件），導(dǎo)致上述問題更加復(fù)雜。
卡巴斯基研究人員發(fā)現(xiàn)，物聯(lián)網(wǎng)的安全威脅已非常普遍，并會針對看似無害的設(shè)備進行攻擊。例如，有一種常見的寵物喂食器可以定時輸出寵物食品，并能通過攝像頭查看寵物狀況，但這類寵物喂食器很容易被黑客入侵，攻擊者可以實施未經(jīng)授權(quán)的訪問，將寵物喂食器有效用作間諜攝像頭。此外，還存在連鎖響應(yīng)式攻擊風(fēng)險，一旦黑客控制家庭網(wǎng)絡(luò)中的寵物喂食器，就能以此為樞紐，對網(wǎng)絡(luò)中其他設(shè)備發(fā)起更多攻擊。
在運維技術(shù)平臺上，由機器人、工業(yè)控制系統(tǒng)（ICS）、監(jiān)控與數(shù)據(jù)采集（SCADA）、可編程邏輯控制器（PLC）以及計算機數(shù)控（CNC）設(shè)備組成的多元網(wǎng)絡(luò)也為專業(yè)黑客發(fā)起針對性攻擊提供可乘之機?？ò退够囊豁椦芯匡@示，2022年全球超過40%的工業(yè)控制系統(tǒng)計算機遭到過攻擊。運維技術(shù)平臺會生成和處理海量數(shù)據(jù)，因此，迫切需要找到一些高效、定制化并能快速擴展的網(wǎng)絡(luò)安全解決方案。
“網(wǎng)絡(luò)免疫”設(shè)想與卡巴斯基操作系統(tǒng)
日新月異的網(wǎng)絡(luò)信息技術(shù)伴生更多的網(wǎng)絡(luò)安全問題，而傳統(tǒng)的網(wǎng)絡(luò)安全防護依然沿用“檢測和響應(yīng)”的方式?？ò退够铝τ陂_發(fā)具有“天生”防護能力的IT系統(tǒng)，即“網(wǎng)絡(luò)免疫”?！熬W(wǎng)絡(luò)免疫”設(shè)想可將IT系統(tǒng)劃分為若干獨立部分，并控制各部分間的交互，使系統(tǒng)能夠執(zhí)行一些關(guān)鍵功能（即便在攻擊性環(huán)境中亦是如此），并阻止?jié)撛谛怨?。其目的是確保針對組織實施攻擊的成本遠高于攻擊可能造成的損失，從而使攻擊失去意義。
為將“網(wǎng)絡(luò)免疫”設(shè)想投入使用，卡巴斯基研發(fā)自主操作系統(tǒng)——KasperskyOS（卡巴斯基操作系統(tǒng)），該系統(tǒng)包含微內(nèi)核和卡巴斯基安全系統(tǒng)（KSS）模塊，兩者結(jié)合可提供默認保護。微內(nèi)核表示內(nèi)核中僅安裝最關(guān)鍵的系統(tǒng)運行機制，不太重要的功能則被設(shè)計為普通應(yīng)用程序，安裝在內(nèi)核之外。這樣更容易確保內(nèi)核代碼免于出現(xiàn)錯誤和漏洞，并盡可能縮小攻擊面。這種微內(nèi)核與卡巴斯基安全系統(tǒng)模塊協(xié)同工作，后者會檢查每次交互是否符合安全策略，并阻止任何不合規(guī)的交互。因此，即便某個組件受損，卡巴斯基安全系統(tǒng)仍能消除或最大限度減輕可能造成的損害。
通用系統(tǒng)的傳統(tǒng)單內(nèi)核在Linux操作系統(tǒng)內(nèi)需要3500萬行代碼，相比之下，卡巴斯基操作系統(tǒng)的微內(nèi)核只需約10萬行代碼即可開發(fā)，大大降低了開發(fā)人員利用卡巴斯基操作系統(tǒng)創(chuàng)建“網(wǎng)絡(luò)免疫”解決方案的門檻，減少了開發(fā)和支持安全IT解決方案的成本，即便在使用不可信的第三方代碼時亦是如此。值得注意的是，卡巴斯基操作系統(tǒng)的微內(nèi)核架構(gòu)還具有可證明的安全性（基于數(shù)學(xué)證明），并最大限度縮小所需的可信代碼庫。雖然可以將可證明安全性應(yīng)用于其他操作系統(tǒng)，但所需的工作量要大得多。（以上文章摘取自《中國網(wǎng)信》2024年第6期）