Fizyczna kontrola dostępu: identyfikatory, zamki i śluzy

Fizyczny dostęp do sprzętu niweczy niemal wszystkie mechanizmy kontroli logicznej. Atakujący mający fizyczny dostęp do serwera może uruchomić go z nośnika zewnętrznego, obejść szyfrowanie dysku bez klucza (atak cold boot), zainstalować sprzętowe keyloggery, wyjąć dyski twarde lub po prostu wynieść sprzęt. Żadna liczba zapór sieciowych, mechanizmów szyfrowania ani metod uwierzytelniania nie ochroni danych, jeśli osoba nieupoważniona może fizycznie dotknąć sprzętu. Bezpieczeństwo fizyczne stanowi fundament, na którym opierają się wszystkie pozostałe mechanizmy kontroli.

Skuteczne bezpieczeństwo fizyczne wykorzystuje warstwowe strefy o coraz bardziej restrykcyjnych zasadach dostępu. Najbardziej zewnętrzną strefą jest granica obiektu (ogrodzenie, ochroniarze, kamery na parkingu). Kolejną warstwę stanowi wejście do budynku (czytniki kart, recepcja). Strefy wewnętrzne obejmują obszary biurowe (dostęp za pomocą kart zależny od działu), pomieszczenia serwerowe (dostęp o wysokim poziomie bezpieczeństwa) oraz rdzeń centrum danych (najbardziej ograniczony dostęp). Każda warstwa ma własne mechanizmy kontroli — przełamanie zabezpieczeń warstwy zewnętrznej nie zapewnia dostępu do warstwy wewnętrznej.

Karty dostępu są najczęściej stosowanymi fizycznymi danymi uwierzytelniającymi dostępu. Nowoczesne karty wykorzystują technologię zbliżeniową (RFID/NFC), którą czytniki wykrywają bez kontaktu, albo technologię kart inteligentnych z wbudowanymi układami kryptograficznymi. Karty inteligentne są bezpieczniejsze, ponieważ układ wykonuje kryptograficzną odpowiedź na wyzwanie, zamiast jedynie rozgłaszać numer identyfikacyjny. Karty PIV (Personal Identity Verification) wydawane pracownikom rządu USA spełniają normy FIPS 201 i obsługują zarówno dostęp fizyczny, jak i logiczny (do komputerów).

Obszary o wysokim poziomie bezpieczeństwa wymagają wieloskładnikowego uwierzytelniania fizycznego — połączenia czegoś, co Państwo mają (karta), czegoś, co Państwo znają (PIN), oraz cechy, którą Państwo posiadają (dane biometryczne). Typowa kombinacja przy dostępie do centrum danych to: przeciągnięcie karty + wprowadzenie kodu PIN + skan odcisku palca. Dzięki temu sama skradziona karta nie wystarczy do uzyskania dostępu, sfotografowany odcisk palca nie zadziała bez karty, a znany kod PIN nie może zostać użyty bez fizycznej karty. Uwierzytelnianie trzyskładnikowe przy dostępie fizycznym jest powszechne w środowiskach obronnych i finansowych.

Śluza osobowa (nazywana także śluzą powietrzną lub przedsionkiem kontroli dostępu) to niewielkie pomieszczenie z dwojgiem drzwi połączonych blokadą: pierwsze drzwi muszą się zamknąć i zablokować, zanim otworzą się drugie. Ten fizyczny mechanizm zapobiega tailgatingowi (podążaniu osoby nieupoważnionej za osobą upoważnioną przez zabezpieczone drzwi). Śluzy osobowe mogą zawierać czujniki wagi, liczniki podczerwieni i kamery wykrywające wejście więcej niż jednej osoby do komory oraz automatycznie uruchamiające alarm po wykryciu próby tailgatingu.

Tailgating ma miejsce, gdy osoba nieupoważniona podąża za osobą upoważnioną przez zabezpieczone drzwi bez wiedzy tej drugiej osoby. Piggybacking jest podobny, ale odbywa się za zgodą osoby upoważnionej — otwiera ona drzwi i przytrzymuje je. Oba przypadki całkowicie omijają mechanizmy kontroli dostępu fizycznego. Zabezpieczenia obejmują śluzy osobowe, kołowrotki pozwalające na przejście tylko jednej osoby na jedno użycie karty, szkolenia z zakresu kultury bezpieczeństwa (pracownicy nie mogą przytrzymywać drzwi nieznanym osobom) oraz kamery wykrywające tailgating z analizą obrazu.

Zamki fizyczne obejmują rozwiązania od podstawowych po wysoce bezpieczne. Zamki bębenkowe kołkowe są podstawowym rozwiązaniem i są podatne na otwieranie wytrychem oraz kopiowanie kluczy. Zamki o wysokim poziomie bezpieczeństwa (Medeco, Abloy) mają mechanizmy odporne na otwieranie wytrychem oraz programy kontroli kluczy. Zamki szyfrowe wymagają znajomości kodu PIN, ale nie prowadzą rejestru zdarzeń. Zamki elektroniczne z kartami dostępu lub klawiaturami PIN prowadzą dzienniki dostępu i można je zdalnie blokować. Zamki kodowe (przyciskowe) wymagają zapamiętanego kodu — karta nie jest potrzebna, ale kombinacja jest stała i współdzielona przez upoważnionych użytkowników.

Mechanizmy biometryczne uwierzytelniają na podstawie unikatowych cech fizycznych. Typowe rodzaje obejmują skanery odcisków palców (szybkie, tanie i najczęściej stosowane), czytniki geometrii dłoni (starsza technologia spotykana w centrach danych), skanery tęczówki (bardzo wysoka dokładność, wysoki koszt) oraz rozpoznawanie twarzy (wygodne, ale potencjalnie mniej dokładne przy słabym oświetleniu). Najważniejsze metryki systemów biometrycznych to: False Acceptance Rate (FAR) — częstotliwość wpuszczania osoby nieupoważnionej — oraz False Rejection Rate (FRR) — częstotliwość odmawiania dostępu osobie upoważnionej.

Goście, wykonawcy i pracownicy serwisowi, którzy zasadnie potrzebują fizycznego dostępu, muszą podlegać kontrolowanym procedurom. Najlepsze praktyki obejmują: wstępną akceptację wszystkich gości przed ich przybyciem, weryfikację dokumentu tożsamości wydanego przez państwo w recepcji, wydawanie czasowych kart gościa, które automatycznie tracą ważność, wymaganie imiennie wyznaczonego opiekuna pozostającego z gościem przez cały czas oraz prowadzenie rejestru gości zawierającego godzinę przybycia, godzinę wyjścia, odwiedzone obszary i cel wizyty. Rejestry gości pomagają w dochodzeniu po incydencie, jeśli doszło do niego po wizycie.

Mechanizmy bezpieczeństwa fizycznego należy regularnie testować za pomocą testów penetracyjnych bezpieczeństwa fizycznego (ćwiczeń zespołu red team). Testerzy próbują stosować tailgating, socjotechnikę wobec pracowników recepcji, klonowanie kart i otwieranie zamków wytrychem, aby wykryć słabości, zanim zrobią to atakujący. Audyty kart zapewniają szybkie dezaktywowanie danych uwierzytelniających zwolnionych pracowników. Audyty przeglądu dostępu zapewniają, że dostęp do wrażliwych obszarów zachowują wyłącznie osoby aktualnie upoważnione. Regularne testowanie ujawnia, czy mechanizmy kontroli, które działały na papierze, faktycznie działają w praktyce.

Każde zdarzenie dostępu przez drzwi kontrolowane za pomocą karty powinno być rejestrowane: kto (identyfikator karty), gdzie (drzwi/pomieszczenie), kiedy (znacznik czasu) oraz czy dostęp został przyznany, czy odmówiony. Rejestry te umożliwiają dochodzenia dotyczące bezpieczeństwa w razie incydentów („czy ktoś przebywał w serwerowni, gdy zniknęło wyposażenie?”), audyt zgodności (kto uzyskał dostęp do stref objętych PCI-DSS?) oraz wykrywanie anomalii (pracownik wchodzący do budynku o 3:00 nad ranem w weekend). Rejestry dostępu za pomocą kart powinny być bezpiecznie przechowywane przez co najmniej 90 dni lub dłużej, jeśli wymagają tego przepisy dotyczące zgodności.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: bezpieczeństwo fizyczne wykorzystuje warstwowe strefy z coraz bardziej rygorystycznymi zabezpieczeniami w kierunku obszarów wrażliwych, śluzy bezpieczeństwa zapobiegają podążaniu za uprawnioną osobą, wymagając zamknięcia jednych drzwi przed otwarciem kolejnych, a wieloskładnikowe uwierzytelnianie fizyczne, łączące karty, kody PIN i dane biometryczne, zapewnia, że same skradzione dane uwierzytelniające nie wystarczą do uzyskania dostępu. Następnie omówimy systemy nadzoru — CCTV, czujniki ruchu i rejestrowanie zdarzeń na potrzeby monitorowania bezpieczeństwa fizycznego.