由于按鍵注入工具（BadUSB）的實用性和低價格，USB按鍵注入攻擊長期以來一直是一個不可忽視的安全問題。這類攻擊能在人類眨眼之間內(nèi)運行惡意命令，只要配合少許社會工程學(xué)，受害者實際上是完全意識不到攻擊的發(fā)生。這類技術(shù)最初的目的是為了簡化系統(tǒng)管理員的任務(wù)，但攻擊者卻將其用于惡意目的，破壞他人的系統(tǒng)。以下是一個攻擊的例子，只需簡單的payload即可完成（https://github.com/google/ukip）：

為了攔截這類攻擊，我們開發(fā)出了一種工具，它可以監(jiān)測按鍵輸入的時間，并根據(jù)預(yù)定義的啟發(fā)程序判斷它是否是惡意攻擊（不需要用戶參與決策）。與上面成功的“攻擊”視頻相比，下面展示在相同的payload下，防御系統(tǒng)是如何工作的（在命令注入到一半時，后續(xù)動作被攔截）：

運行模式

該工具提供兩種不同的操作模式：MONITOR和HARDENING。當(dāng)它在監(jiān)控模式下運行時，它不會攔截被識別為惡意設(shè)備的動作，但會向syslog寫入該設(shè)備的日志信息。如果它以強化模式運行，就會立即阻止被歸類為惡意/攻擊的設(shè)備。該工具默認(rèn)是在強化模式下運行。

細(xì)節(jié)

如果該工具在監(jiān)視模式下運行，它就會將信息記錄到syslog。你可以通過以下命令簡單地讀取日志數(shù)據(jù)：

journalctl -u ukip.service日志更重要意義在于，如果將它部署到網(wǎng)絡(luò)中的大量機器上，那么將每個syslog收集到一處進行研究是有很有意義的。

啟發(fā)式

使用該工具時的一個挑戰(zhàn)是如何正確選擇兩個主要的控制變量：KEYSTROKE_WINDOW和ABNORMAL_TYPING，這兩個變量控制著該工具的行為及其檢測能力。第一個是設(shè)定監(jiān)測的擊鍵次數(shù)，以確定它是否為惡意攻擊。數(shù)字越低，陰性概率越高。如果數(shù)字為2，則該工具僅通過1個間隔時間（兩次擊鍵之間的時間）來判斷是否為攻擊。由于不少用戶打字時某一刻都會同時按下兩個鍵，這就導(dǎo)致誤判概率大大增加。

根據(jù)我們的內(nèi)部觀察，5是一個比較合理的值，但也應(yīng)根據(jù)不同的用戶以及實踐經(jīng)驗和行為進行調(diào)整。第二個變量代表多長的按鍵間隔應(yīng)被歸類為惡意。更長的間隔會出現(xiàn)更多的誤報（正常的打字速度也會被歸類為惡意），而較低的數(shù)字同樣也會出現(xiàn)誤報（即使是非常快的打字速度也會被歸類為正常）。雖然工具在初始安裝后預(yù)設(shè)了一個安全默認(rèn)值50000，但是使用者應(yīng)該根據(jù)用戶的實際打字速度設(shè)置合適的閾值。這主要可以通過兩種方式實現(xiàn)：1.通過使用各種工具計算打字速度；2.使用監(jiān)控模式運行幾天（或者幾周），根據(jù)記錄逐步提高正確率。

運行

Github上的README包含一個詳細(xì)的指南，如何設(shè)置該工具，如何將該工具作為systemd daemon運行，如何在重新啟動時自動運行。隨著時間的推移，你可能需要修改該工具的變量，這時只需調(diào)整/usr/sbin/ukip中的值，并重新啟動守護進程：

sudo systemctl restart ukip.service后續(xù)

需要說明的是，該工具并不是針對BadUSB攻擊的靈丹妙藥，因為攻擊者如果可以接觸受害者的機器，那這本身就是一件非常危險的事，也許會有更糟糕的事情發(fā)生。該工具只是能輔助防護短暫離開電腦而又忘記鎖屏的用戶，他們或許可以根據(jù)日志記錄對某些惡意行為進行溯源。而且BadUSB攻擊很難預(yù)防的原因之一是因為它們是通過USB（全球最廣泛的計算機外圍設(shè)備）進行的，日常的工作交流中離不開它。

該工具可以與其他Linux安全工具（如USBGuard之類的開源項目）相互補充，從而使攻擊更難成功（該工具可定義可插入機器的設(shè)備以及USB生效的場景）。