ضوابط الوصول المادي: البطاقات والأقفال والممرات الأمنية

يؤدي الوصول المادي إلى الأجهزة إلى تجاوز جميع عناصر التحكم المنطقية تقريبًا. فالمهاجم الذي يملك وصولًا ماديًا إلى خادم يمكنه الإقلاع من وسيط خارجي، أو تجاوز تشفير القرص من دون المفتاح (هجوم الإقلاع البارد)، أو تثبيت مسجلات مفاتيح مادية، أو إزالة محركات الأقراص، أو ببساطة الخروج بالمعدات. ولا يمكن لأي قدر من جدران الحماية أو التشفير أو المصادقة حماية البيانات إذا كان بإمكان شخص غير مصرح له لمس الأجهزة ماديًا. فالأمان المادي هو الأساس الذي تستند إليه جميع الضوابط الأخرى.

يستخدم الأمان المادي الفعّال مناطق متعددة الطبقات تزداد قيود الوصول إليها تدريجيًا. والمنطقة الخارجية هي محيط المبنى (السياج، وحراس الأمن، وكاميرات موقف السيارات). وتليها طبقة مدخل المبنى (قارئات البطاقات، ومكتب الاستقبال). وتشمل المناطق الداخلية مساحات المكاتب (وصول بالبطاقات حسب القسم)، وغرف الخوادم (وصول أمني مشدد)، وقلب مركز البيانات (الأكثر تقييدًا). ولكل طبقة ضوابطها الخاصة؛ فاختراق الطبقة الخارجية لا يمنح الوصول إلى الطبقة الداخلية.

تُعد بطاقات الوصول أكثر بيانات اعتماد الوصول المادي شيوعًا. وتستخدم البطاقات الحديثة تقنية القرب (RFID/NFC) التي تكتشفها القارئات من دون تلامس، أو تقنية البطاقات الذكية المزودة بشرائح تشفير مدمجة. وتكون البطاقات الذكية أكثر أمانًا لأن الشريحة تنفذ استجابة لتحدٍّ تشفيري بدلًا من بث رقم تعريف فحسب. وتستوفي بطاقات PIV (Personal Identity Verification) التي تُصدر لموظفي الحكومة الأمريكية معايير FIPS 201، وتدعم الوصول المادي والمنطقي (إلى الحاسوب) معًا.

تتطلب المناطق عالية الأمان مصادقة مادية متعددة العوامل تجمع بين شيء تملكه (بطاقة)، وشيء تعرفه (رمز PIN)، وشيء يميزك (بيانات حيوية). ومن التركيبات الشائعة للوصول إلى مركز البيانات: تمرير البطاقة + إدخال رمز PIN + مسح بصمة الإصبع. ويضمن ذلك أن البطاقة المسروقة وحدها لا تمنح الوصول، وأن صورة بصمة الإصبع لا تنجح من دون البطاقة، وأن رمز PIN المعروف لا يمكن استخدامه من دون البطاقة المادية. وتشيع المصادقة ثلاثية العوامل للوصول المادي في بيئات الدفاع والقطاع المالي.

الممر الأمني (ويُسمى أيضًا غرفة العزل أو ردهة التحكم في الوصول) هو غرفة صغيرة ببابين متشابكين؛ إذ يجب أن يُغلق الباب الأول ويُقفل قبل أن يتمكن الباب الثاني من الفتح. وتمنع هذه الآلية المادية التسلل خلف شخص مصرح له (اتباع شخص غير مصرح له لشخص مصرح له عبر باب مؤمّن). وقد تتضمن الممرات الأمنية مستشعرات الوزن، وعدادات الأشعة تحت الحمراء، والكاميرات لاكتشاف دخول أكثر من شخص إلى الحجرة، مع إطلاق إنذار تلقائي عند اكتشاف محاولة تسلل.

يحدث التسلل خلف شخص مصرح له عندما يتبع شخص غير مصرح له شخصًا مصرحًا له عبر باب مؤمّن من دون علم الشخص المصرح له. أما المرور بمساعدة شخص مصرح له فهو مشابه، لكن مع تعاون الشخص المصرح له، إذ يُبقي الباب مفتوحًا. ويتجاوز كلا الأسلوبين ضوابط الوصول المادي بالكامل. وتشمل وسائل الحماية الممرات الأمنية، والبوابات الدوارة التي لا تسمح إلا بمرور شخص واحد لكل تمرير للبطاقة، والتدريب على ثقافة الأمان (يجب ألا يُبقي الموظفون الأبواب مفتوحة لأشخاص مجهولين)، وكاميرات اكتشاف التسلل المزودة بتحليلات الفيديو.

تتراوح الأقفال المادية من الأساسية إلى عالية الأمان. فأقفال الأسطوانة ذات الدبابيس أساسية، وقابلة لفتح الأقفال ونسخ المفاتيح. أما الأقفال عالية الأمان (Medeco, Abloy) فتحتوي على آليات مقاومة للفتح وبرامج للتحكم في المفاتيح. وتتطلب أقفال التوليفة رمز PIN معروفًا، لكنها لا توفر سجل تدقيق. وتحافظ الأقفال الإلكترونية المزودة ببطاقات مفاتيح أو لوحات PIN على سجلات الوصول، ويمكن قفلها عن بُعد. أما أقفال الشيفرة (الأزرار) فتتطلب رمزًا محفوظًا؛ فلا تحتاج إلى بطاقة، لكن التوليفة ثابتة ومشتركة بين المستخدمين المصرح لهم.

تتحقق الضوابط الحيوية من الهوية استنادًا إلى خصائص مادية فريدة. وتشمل الأنواع الشائعة ماسحات بصمات الأصابع (سريعة ومنخفضة التكلفة والأكثر شيوعًا)، وقارئات هندسة اليد (تقنية أقدم توجد في مراكز البيانات)، وماسحات قزحية العين (دقة عالية جدًا وتكلفة مرتفعة)، والتعرف على الوجه (مريح، لكنه قد يعاني مشكلات في الدقة عند الإضاءة الخافتة). وتشمل المقاييس الأساسية للأنظمة الحيوية: معدل القبول الخاطئ (FAR) — مدى تكرار السماح لشخص غير مصرح له بالدخول — ومعدل الرفض الخاطئ (FRR) — مدى تكرار رفض شخص مصرح له.

يتطلب الزوار والمتعاقدون وموظفو الصيانة الذين يحتاجون بشكل مشروع إلى وصول مادي إجراءات مضبوطة. وتشمل أفضل الممارسات: الموافقة المسبقة على جميع الزوار قبل الوصول، والتحقق من الهوية الحكومية في مكتب الاستقبال، وإصدار بطاقات زوار محددة المدة تُعطّل تلقائيًا، واشتراط وجود مرافق محدد بالاسم يبقى مع الزائر طوال الوقت، والاحتفاظ بـسجل للزوار يتضمن وقت الوصول ووقت المغادرة والمناطق التي تم الوصول إليها وسبب الزيارة. وتدعم سجلات الزوار التحقيق الجنائي إذا وقع حادث بعد الزيارة.

ينبغي اختبار ضوابط الأمان المادي بانتظام من خلال اختبار الاختراق المادي (تمارين الفريق الأحمر). ويحاول المختبرون التسلل خلف الأشخاص المصرح لهم، والهندسة الاجتماعية لموظفي الاستقبال، واستنساخ البطاقات، وفتح الأقفال لاكتشاف نقاط الضعف قبل المهاجمين. وتضمن عمليات تدقيق البطاقات تعطيل بيانات اعتماد الموظفين الذين انتهت خدمتهم فورًا. كما تضمن عمليات تدقيق مراجعة الوصول احتفاظ الأشخاص المصرح لهم حاليًا فقط بإمكانية الوصول إلى المناطق الحساسة. ويكشف الاختبار المنتظم ما إذا كانت الضوابط التي تبدو فعالة على الورق تعمل فعلًا في الممارسة.

ينبغي تسجيل كل عملية دخول عبر الأبواب الخاضعة للتحكم بالبطاقات: مَن (معرّف البطاقة)، وأين (الباب/الغرفة)، ومتى (الطابع الزمني)، وما إذا كان الدخول قد مُنح أو رُفض. تتيح هذه السجلات إجراء تحقيقات أمنية عند وقوع الحوادث («هل كان أي شخص في غرفة الخوادم عندما اختفت المعدات؟»)، وإجراء عمليات تدقيق للامتثال (مَن دخل إلى مناطق PCI-DSS؟)، واكتشاف الحالات الشاذة (مثل دخول موظف إلى المبنى الساعة الثالثة صباحًا في عطلات نهاية الأسبوع). ينبغي تخزين سجلات البطاقات بأمان والاحتفاظ بها لمدة 90 يومًا على الأقل، أو لمدة أطول وفقًا لمتطلبات الامتثال.

اختبر مدى فهمك لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلمت في هذا الدرس أن الأمن المادي يستخدم مناطق متعددة الطبقات تزداد فيها قوة الضوابط تدريجيًا كلما اتجهنا نحو المناطق الحساسة، وأن الممرات الأمنية تمنع التسلل خلف الأشخاص من خلال اشتراط إغلاق باب قبل فتح الباب التالي، وأن المصادقة المادية متعددة العوامل التي تجمع بين البطاقات وأرقام PIN والقياسات الحيوية تضمن أن بيانات الاعتماد المسروقة وحدها لا تكفي لمنح الوصول. بعد ذلك سنستكشف أنظمة المراقبة — كاميرات CCTV، ومستشعرات الحركة، والتسجيل لمراقبة الأمن المادي.