對核能產業來說，資安防護至關重要，必須採取嚴格的保護措施來對抗各種網路威脅，其中包括 PMMD（可攜式多媒體設備）攻擊。由於許多核能設施是在空氣隔離區中運作，設施與終端設備間的資料傳輸通常仰賴周邊裝置及可攜式媒體（例如 USB 隨身碟及軟碟）。
核能產業受到高度的法規規範。美國核能管制委員會（NRC）制定了涵蓋全面的安全規定，名為《聯邦法規彙編》（CFR）。CFR 第 10 篇第 73.54 節概述了保護「數位電腦和通訊系統與網路」的網路安全要求。
核能設施的網路安全框架與法規
為了符合對數位與通訊系統資安的高標準要求，美國核能學會（NEI）制定了 NEI 08-09 與 NEI 18-08 兩份指引檔案，內容皆與 CFR 第 10 篇第 73.54 條一致，並為核能設施建立了穩固的資安基礎，強調風險導向的資安管理方法。
CFR 第 73.54 節
聯邦法規》第 10 篇第 73.54 節透過建立針對核材料與設施的安全框架，在核能設施中實施嚴格的保護措施。它要求營運方部署強而有力的實體保護系統，確保系統完整性與備援性，並實施嚴格的存取控管程序。該條文採用全方位策略，不僅涵蓋實體保護，也針對來自 USB、DVD、軟碟等周邊媒體的惡意攻擊做出防範。
NEI 08-09
NEI 08-09 提供了一個全面的框架，為核能反應爐建立資安計畫提供一套完整的架構。其內容包含辨識關鍵數位資產（CDA）、防範內部與外部威脅，以及降低包括可攜式媒體和行動媒體在內的系統弱點。
NEI 18-08
NEI 18-08 針對不斷演進的資安標準提供新的防護指引。由於核能設施常包含多個空氣隔離區，區域間的資料傳輸多仰賴可攜式與行動媒體，因此設施中須配備掃描站（Scan Station）或掃描終端機（通常稱為 Kiosk）。
NEI 018-08 指引的重點在於處理 PMMD 攻擊的攻擊途徑，並指導降低此類攻擊的風險。這些指引也包括風險管理的現代方法，以及保護較新的數位系統 (包括 IoT 裝置) 的方法。
制定核能設施網路安全計畫
制定符合法規要求的有效網路安全計畫應包括下列考量。
識別風險
風險識別是擬定資安計畫的首要步驟，須涵蓋設施中的 OT（操作技術）與 IT（資訊技術）系統。常見的風險包括內部與外部威脅、潛在的硬體／軟體漏洞，以及來自周邊裝置與抽取式媒體的威脅。
深度防禦
NEI 08-09 指導方針建議在網路安全計畫中實施多層防禦，例如限制裝置使用、網路分割以隔離關鍵系統，以及即時監控與掃描惡意軟體。
存取控制
存取控制包括確保只有授權人員才能在安全區內使用可攜式媒體，同時也確保未經授權的裝置無法存取安全網路。
執行嚴格的周邊多媒體使用政策
除了部署掃描站之外，USB 的使用也必須僅限於核准的裝置。這些裝置也應受到端點防護軟體的監控。
裝置隔離
對於疑似受到感染或未授權的裝置，必須進行隔離處理。用於維護作業的周邊媒體應於使用前後進行清除，防止交叉感染。除實體隔離外，也可透過 NAC（網路存取控制）系統進行管理。
保護與雲端裝置和行動應用程式的安全
即使有嚴格的隔離及存取要求，在現代仍無法避免使用雲端連線裝置。規定雲端連線裝置的實體存在位置，以及存取控制解決方案 (例如零信任) 是不可或缺的。
可攜式多媒體（PMMD）攻擊的途徑
在空氣隔離的環境中，Kiosk 成為網路攻擊的主要目標。解決 PMMD 攻擊的途徑對於規劃和實施健全的網路安全計畫至關重要。
資訊Kiosk的實體存取
實體存取控制是確保掃描站安全的重要一環。如果攻擊者取得底層硬體或未受保護連接埠的存取權，Kiosk 的軟體就會受到攻擊。
有線網路連接
即使採用空氣隔離部署，Kiosk 仍經常依賴有線連線進行維護作業。這樣的連線會成為惡意軟體注入等攻擊的潛在管道。
無線網路連接
有線連線應該是連接至資訊站的首選方式。與有線網路連線不同，無線連線更容易被威脅者和未授權使用者截取和入侵。
可移動多媒體連接
持續監控和嚴格的存取控制是必要的，以確保 Kiosk 的連接埠只用於掃描可攜式媒體。這有助於防止敵人取得可攜式媒體連接埠的實體存取權，從而保護資訊站的軟體及其掃描引擎免遭竄改。
供應鏈存取安全
除了之前提到的在部署資訊站之後引發風險的攻擊途徑之外，攻擊也可能發生在生產或散佈的過程中。在部署前攻擊資訊站的軟體會導致更大的風險，因為這會增加偵測的難度。
保護核電廠免受可攜式多媒體（ PMMD）攻擊
除了考慮建立網路安全計畫之外，實施這些具體措施也有助於確保核設施免受 PMMD 攻擊。
OT 環境中的裝置控制策略
在 OT 環境中對可攜式媒體和行動裝置實施嚴格的控制政策，以限制未經授權的裝置，並使用MetaDefender Endpoint™ 等端點防護解決方案，協助監控裝置的使用。此外，組織應該強制執行政策，要求對所有可攜式媒體進行加密，以保護裝置遺失或遭竊時的資料完整性。
授權、監視及控制抽取式裝置
在存取關鍵網路之前，連接至網路的周邊裝置和可移除裝置必須經過驗證。此程序可確保只有經過充分掃描和安全保護的裝置才能與設施的系統互動。MetaDefender Kiosk™ 等解決方案擁有MetaDefender Media 防火牆™技術，以及適用於不同地點的多種外形，已證明其在確保核能設施檔案傳輸作業安全方面的有效性。
監控與稽核
持續監控裝置活動和全面記錄資料傳輸，有助於識別異常活動或未經授權的存取嘗試。此外，維護裝置連線記錄也有助於安全稽核。
強制掃描與惡意軟體偵測
強制掃描所有進入設施的可攜式與行動多媒體，對於在允許存取網路之前檢查所有裝置是否有惡意軟體非常重要。除了固定掃描工具之外，可攜式裸機掃描工具 (例如MetaDefender Drive™)，具有偵測隱藏惡意軟體 (例如 rootkit 感染) 的能力，可協助強化網路安全計畫。
安全訓練與意識
大多數的現代安全系統仍然容易發生人為錯誤。組織應針對使用可攜式媒體和mobile 裝置的相關風險，定期提供最新的員工教育訓練。NEI 指導方針提倡教育員工有關最佳作法的知識，例如避免使用未知的USB ，並確保個人裝置不會連接至關鍵系統。
緊急應變規劃
即使採取最嚴格的安全措施，網路攻擊仍可能發生。健全的 PMMD 事件回應計畫必須包含隔離受感染裝置、通知相關團隊及復原受攻擊系統的步驟。
總結：關鍵OT系統受到保護 服務不間斷
許多核子設施的作業都發生在空氣隔離的區域內，因此必須使用周邊設備和可攜式多媒體，才能在設施與端點之間傳輸資料。這會增加網路攻擊的風險，尤其是 PMMD 攻擊，並需要遵守嚴格的法規遵循準則。MetaDefender Kiosk 及其MetaDefender Media Firewall 和MetaDefender Endpoint™ 等周邊設備和可攜式多媒體防護解決方案，加上MetaDefender Drive 及其偵測隱藏惡意軟體的能力，可提供整合式網路安全解決方案，達到高達 99.2% 的惡意軟體偵測率。
若要進一步瞭解OPSWAT用於保護關鍵基礎設施和降低 PMMD 攻擊風險的解決方案，請與我們的專家聯絡。
