Физический контроль доступа: пропуска, замки и шлюзовые тамбуры

Физический доступ к оборудованию сводит на нет почти все логические средства контроля. Attacker, получивший физический доступ к серверу, может загрузиться с внешнего носителя, обойти шифрование диска без ключа (атака холодной загрузки), установить аппаратный кейлоггер, извлечь жёсткие диски или просто вынести оборудование. Никакие межсетевые экраны, шифрование или аутентификация не защитят данные, если посторонний человек может физически прикоснуться к оборудованию. Физическая безопасность — это фундамент, на котором основаны все остальные средства контроля.

Эффективная физическая безопасность использует многоуровневые зоны с постепенно ужесточающимися ограничениями доступа. Самая внешняя зона — периметр здания (ограждение, охранники, камеры на парковке). Следующий уровень — вход в здание (считыватели пропусков, стойка регистрации). Внутренние зоны включают офисные помещения (доступ по пропускам для каждого отдела), серверные (доступ высокой степени безопасности) и ядро центра обработки данных (наиболее ограниченный доступ). У каждого уровня есть собственные средства контроля — компрометация внешнего уровня не даёт доступа к внутреннему.

Пропуска доступа — самые распространённые физические учётные данные для доступа. В современных пропусках используется технология ближнего действия (RFID/NFC), которую считыватели обнаруживают без контакта, или технология смарт-карт со встроенными криптографическими микросхемами. Смарт-карты безопаснее, поскольку микросхема выполняет криптографический запрос-ответ, а не просто передаёт номер ID. Карты PIV (Personal Identity Verification), выдаваемые государственным служащим US, соответствуют стандартам FIPS 201 и поддерживают как физический, так и логический (компьютерный) доступ.

Для зон высокой степени безопасности требуется многофакторная физическая аутентификация — сочетание того, чем Вы владеете (пропуск), того, что Вы знаете (PIN), и того, чем Вы являетесь (биометрический признак). Распространённая комбинация для доступа в центр обработки данных: прикладывание пропуска + ввод PIN + сканирование отпечатка пальца. Это гарантирует, что одного украденного пропуска недостаточно для доступа, сфотографированный отпечаток не сработает без пропуска, а известный PIN нельзя использовать без физического пропуска. Трёхфакторная аутентификация физического доступа распространена в оборонной и финансовой сферах.

Тамбур-шлюз (также называемый воздушным шлюзом или вестибюлем контроля доступа) — это небольшое помещение с двумя взаимосвязанными дверями: первая дверь должна закрыться и запереться, прежде чем сможет открыться вторая. Этот физический механизм предотвращает проникновение вслед (прохождение постороннего человека через защищённую дверь вслед за допущенным сотрудником). Тамбур-шлюзы могут включать датчики веса, инфракрасные счётчики и камеры, чтобы определять, вошёл ли в помещение более одного человека, и автоматически включать тревогу при обнаружении попытки проникновения вслед.

Проникновение вслед происходит, когда посторонний человек проходит через защищённую дверь вслед за допущенным сотрудником без ведома последнего. Проход за другим человеком похож, но происходит с согласия допущенного сотрудника — он удерживает дверь открытой. Оба способа полностью обходят средства физического контроля доступа. Защита включает тамбур-шлюзы, турникеты, пропуска через которые можно предъявить только одному человеку, обучение культуре безопасности (сотрудники не должны придерживать двери для незнакомых людей) и камеры обнаружения проникновения вслед с видеоаналитикой.

Физические замки бывают от простых до высокозащищённых. Штифтовые замки просты и уязвимы для вскрытия отмычкой и копирования ключей. Замки высокой степени безопасности (Medeco, Abloy) имеют механизмы, устойчивые к вскрытию, и программы контроля ключей. Кодовые замки требуют знания PIN, но не ведут журнал аудита. Электронные замки с картами-ключами или PIN-панелями ведут журналы доступа и могут удалённо блокироваться. Цифровые замки (кнопочные) требуют запомненного кода — карта не нужна, но комбинация статична и общая для авторизованных пользователей.

Биометрические средства контроля выполняют аутентификацию на основе уникальных физических характеристик. Распространённые типы включают сканеры отпечатков пальцев (быстрые, недорогие, самые распространённые), считыватели геометрии кисти (устаревшая технология, встречается в центрах обработки данных), сканеры радужной оболочки (очень высокая точность, высокая стоимость) и распознавание лица (удобно, но в условиях слабого освещения возможны проблемы с точностью). Ключевые метрики биометрических систем: коэффициент ложного допуска (FAR) — как часто допускается посторонний человек, — и коэффициент ложного отказа (FRR) — как часто получает отказ допущенный человек.

Посетители, подрядчики и технический персонал, которым обоснованно требуется физический доступ, должны проходить контролируемые процедуры. Рекомендуемые меры включают: предварительное согласование всех посетителей до прибытия, проверку удостоверения личности государственного образца на стойке регистрации, выдачу временных пропусков посетителей, которые автоматически деактивируются, обязательное наличие назначенного сопровождающего, остающегося с посетителем всё время, и ведение журнала посетителей с указанием времени прибытия, времени ухода, посещённых зон и цели визита. Журналы посетителей помогают проводить судебно-техническое расследование, если после визита происходит инцидент.

Средства физической безопасности следует регулярно проверять с помощью тестирования физического проникновения (учений красной команды). Проверяющие пытаются пройти вслед за сотрудником, применить социальную инженерию к регистраторам, клонировать пропуска и вскрыть замки, чтобы выявить слабые места раньше Attacker. Аудит пропусков гарантирует своевременную деактивацию учётных данных уволенных сотрудников. Аудит проверки доступа гарантирует, что доступ к чувствительным зонам сохраняется только у имеющих текущие полномочия сотрудников. Регулярное тестирование показывает, работают ли средства контроля, эффективные на бумаге, на практике.

Каждое событие доступа через дверь, управляемую системой пропусков, следует регистрировать: кто (ID пропуска), где (дверь или помещение), когда (временная метка) и был ли доступ предоставлен или отклонён. Эти журналы позволяют проводить расследования инцидентов безопасности («был ли кто-нибудь в серверной, когда оборудование исчезло?»), аудиты соответствия требованиям (кто получил доступ к зонам PCI-DSS?) и обнаружение аномалий (например, сотрудник входит в здание в 3 часа ночи по выходным). Журналы доступа по пропускам следует надёжно защищать и хранить не менее 90 дней или дольше в соответствии с требованиями нормативов.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что физическая безопасность использует многоуровневые зоны с постепенно усиливающимися мерами защиты по мере приближения к важным областям, шлюзы безопасности предотвращают проход вслед за другим человеком, требуя закрыть одну дверь до открытия следующей, а многофакторная физическая аутентификация, объединяющая пропуски, PIN-коды и биометрические данные, гарантирует, что одних украденных учётных данных недостаточно для получения доступа. Далее мы рассмотрим системы наблюдения — CCTV, датчики движения и регистрацию событий для мониторинга физической безопасности.