การควบคุมการเข้าถึงทางกายภาพ: บัตรผ่าน กุญแจล็อก และห้องกับดัก

การเข้าถึงฮาร์ดแวร์ทางกายภาพสามารถเอาชนะมาตรการควบคุมเชิงตรรกะได้เกือบทั้งหมด Attacker ที่เข้าถึง Server ทางกายภาพสามารถบูตจากสื่อภายนอก ข้ามการเข้ารหัสดิสก์โดยไม่ต้องมีคีย์ (การโจมตีแบบ cold boot) ติดตั้งอุปกรณ์บันทึกการกดแป้นพิมพ์ ถอดฮาร์ดไดรฟ์ หรือเพียงนำอุปกรณ์เดินออกไปได้ ไม่มีไฟร์วอลล์ การเข้ารหัส หรือการยืนยันตัวตนปริมาณใดที่จะปกป้อง Data ได้ หากบุคคลที่ไม่ได้รับอนุญาตสามารถสัมผัสฮาร์ดแวร์ได้โดยตรง ความปลอดภัยทางกายภาพคือรากฐานที่มาตรการควบคุมอื่นทั้งหมดพึ่งพา

ความปลอดภัยทางกายภาพที่มีประสิทธิผลใช้ โซนหลายชั้น ซึ่งมีข้อจำกัดในการเข้าถึงเพิ่มขึ้นตามลำดับ โซนชั้นนอกสุดคือแนวเขตอาคาร (รั้ว เจ้าหน้าที่รักษาความปลอดภัย กล้องในลานจอดรถ) ชั้นถัดมาคือทางเข้าอาคาร (เครื่องอ่านบัตร โต๊ะต้อนรับ) ส่วนโซนภายในประกอบด้วยพื้นที่สำนักงาน (การเข้าถึงด้วยบัตรแยกตามแผนก) ห้อง Server (การเข้าถึงความปลอดภัยสูง) และแกนกลางศูนย์ข้อมูล (จำกัดการเข้าถึงมากที่สุด) แต่ละชั้นมีมาตรการควบคุมของตนเอง การเจาะผ่านชั้นนอกสุดไม่ได้ทำให้เข้าถึงชั้นในสุดได้

บัตรควบคุมการเข้าถึง เป็นข้อมูลรับรองสำหรับเข้าถึงพื้นที่ทางกายภาพที่ใช้กันมากที่สุด บัตรสมัยใหม่ใช้เทคโนโลยี ระยะใกล้ (RFID/NFC) ซึ่งเครื่องอ่านตรวจจับได้โดยไม่ต้องสัมผัส หรือใช้เทคโนโลยี สมาร์ตการ์ด ที่มีชิปเข้ารหัสฝังอยู่ สมาร์ตการ์ดมีความปลอดภัยมากกว่า เพราะชิปจะดำเนินการตอบสนองต่อคำท้าทายทางการเข้ารหัส แทนการกระจายหมายเลข ID เพียงอย่างเดียว บัตร PIV (การตรวจสอบยืนยันตัวบุคคล) ที่ออกให้พนักงานรัฐบาล US เป็นไปตามมาตรฐาน FIPS 201 และรองรับทั้งการเข้าถึงทางกายภาพและการเข้าถึงเชิงตรรกะ (คอมพิวเตอร์)

พื้นที่ที่มีความปลอดภัยสูงต้องใช้ การยืนยันตัวตนทางกายภาพแบบหลายปัจจัย ซึ่งผสานสิ่งที่คุณมี (บัตร) สิ่งที่คุณรู้ (PIN) และสิ่งที่เป็นคุณ (ข้อมูลชีวมิติ) การผสมผสานที่ใช้กันทั่วไปสำหรับการเข้าศูนย์ข้อมูลคือ แตะบัตร + ป้อน PIN + สแกนลายนิ้วมือ วิธีนี้ช่วยให้มั่นใจว่าบัตรที่ถูกขโมยเพียงอย่างเดียวไม่สามารถใช้เข้าพื้นที่ได้ ลายนิ้วมือที่ถูกถ่ายภาพไว้ไม่สามารถใช้ได้หากไม่มีบัตร และ PIN ที่ผู้อื่นรู้ก็ไม่สามารถใช้ได้หากไม่มีบัตรจริง การยืนยันตัวตนสามปัจจัยสำหรับการเข้าถึงทางกายภาพพบได้ทั่วไปในสภาพแวดล้อมด้านกลาโหมและการเงิน

ห้องดักบุคคล (เรียกอีกอย่างว่าห้องปรับความดันหรือโถงควบคุมการเข้าถึง) คือห้องขนาดเล็กที่มีประตูสองบานซึ่งเชื่อมโยงการทำงานกัน โดยประตูแรกต้องปิดและล็อกก่อนประตูที่สองจึงจะเปิดได้ กลไกทางกายภาพนี้ป้องกันการ เดินตามผ่านประตู (บุคคลที่ไม่ได้รับอนุญาตเดินตามผู้ได้รับอนุญาตผ่านประตูรักษาความปลอดภัย) ห้องดักบุคคลอาจประกอบด้วย เซ็นเซอร์น้ำหนัก ตัวนับอินฟราเรด และกล้อง เพื่อตรวจจับว่ามีบุคคลเข้าห้องมากกว่าหนึ่งคนหรือไม่ และจะเรียกสัญญาณเตือนโดยอัตโนมัติหากตรวจพบความพยายามเดินตามผ่านประตู

การเดินตามผ่านประตู เกิดขึ้นเมื่อบุคคลที่ไม่ได้รับอนุญาตเดินตามผู้ได้รับอนุญาตผ่านประตูรักษาความปลอดภัยโดยที่ผู้ได้รับอนุญาตไม่รู้ตัว ส่วน การอาศัยผู้อื่นผ่านเข้าไป มีลักษณะคล้ายกัน แต่ผู้ได้รับอนุญาตให้ความร่วมมือด้วยการเปิดประตูค้างไว้ ทั้งสองวิธีข้ามมาตรการควบคุมการเข้าถึงทางกายภาพโดยสิ้นเชิง มาตรการป้องกัน ได้แก่ ห้องดักบุคคล ประตูกั้นหมุนที่อนุญาตให้ผ่านได้เพียงหนึ่งคนต่อการแตะบัตรหนึ่งครั้ง การฝึกอบรมวัฒนธรรมความปลอดภัย (พนักงานต้องไม่เปิดประตูให้บุคคลที่ไม่รู้จัก) และ กล้องตรวจจับการเดินตามผ่านประตู ที่มีการวิเคราะห์วิดีโอ

กลอนทางกายภาพมีตั้งแต่แบบพื้นฐานไปจนถึงแบบที่มีความปลอดภัยสูง กลอนลูกปืน เป็นแบบพื้นฐาน และเสี่ยงต่อการสะเดาะกลอนหรือการทำสำเนากุญแจ กลอนความปลอดภัยสูง (Medeco, Abloy) มีกลไกที่ต้านการสะเดาะและโครงการควบคุมกุญแจ กลอนรหัสผสม ต้องใช้ PIN ที่ทราบ แต่ไม่มีบันทึกการตรวจสอบย้อนหลัง กลอนอิเล็กทรอนิกส์ ที่ใช้บัตรหรือแป้นป้อน PIN จะเก็บบันทึกการเข้าถึงและสามารถล็อกไม่ให้เข้าได้จากระยะไกล กลอนปุ่มกด ต้องใช้รหัสที่จดจำไว้ ไม่ต้องใช้บัตร แต่รหัสจะคงที่และใช้ร่วมกันในกลุ่มผู้ได้รับอนุญาต

มาตรการควบคุมด้วยชีวมิติ ยืนยันตัวตนโดยอาศัยลักษณะทางกายภาพที่มีลักษณะเฉพาะ ประเภทที่ใช้กันทั่วไป ได้แก่ เครื่องสแกนลายนิ้วมือ (รวดเร็ว ราคาต่ำ และใช้มากที่สุด) เครื่องอ่านรูปทรงมือ (เทคโนโลยีรุ่นเก่าที่พบในศูนย์ข้อมูล) เครื่องสแกนม่านตา (แม่นยำมากแต่มีราคาแพง) และ การจดจำใบหน้า (สะดวก แต่ความแม่นยำอาจมีปัญหาในที่แสงน้อย) ตัวชี้วัดสำคัญของระบบชีวมิติ ได้แก่ อัตราการยอมรับผู้ที่ไม่ควรได้รับอนุญาต (FAR) ซึ่งหมายถึงความถี่ที่บุคคลไม่ได้รับอนุญาตได้รับอนุญาตให้เข้า และ อัตราการปฏิเสธผู้ที่ได้รับอนุญาต (FRR) ซึ่งหมายถึงความถี่ที่บุคคลได้รับอนุญาตถูกปฏิเสธ

ผู้เยี่ยมชม ผู้รับเหมา และเจ้าหน้าที่ซ่อมบำรุงที่จำเป็นต้องเข้าถึงพื้นที่ทางกายภาพอย่างถูกต้องต้องปฏิบัติตามขั้นตอนที่มีการควบคุม แนวปฏิบัติที่ดี ได้แก่ การอนุมัติผู้เยี่ยมชมทุกคนล่วงหน้า ก่อนเดินทางมาถึง การตรวจสอบ ID ที่ออกโดยรัฐบาล ที่โต๊ะต้อนรับ การออก บัตรผู้เยี่ยมชมที่จำกัดเวลา และปิดใช้งานโดยอัตโนมัติ การกำหนด ผู้ติดตามที่ระบุชื่อ ซึ่งอยู่กับผู้เยี่ยมชมตลอดเวลา และการเก็บ บันทึกผู้เยี่ยมชม ที่บันทึกเวลามาถึง เวลาออก พื้นที่ที่เข้าถึง และวัตถุประสงค์ของการมา บันทึกผู้เยี่ยมชมช่วยสนับสนุนการสืบสวนทางนิติวิทยาศาสตร์หากเกิดเหตุการณ์หลังการเยี่ยมชม

ควรทดสอบมาตรการควบคุมความปลอดภัยทางกายภาพเป็นประจำผ่าน การทดสอบเจาะระบบทางกายภาพ (การฝึกซ้อมของทีมสีแดง) ผู้ทดสอบจะพยายามเดินตามผ่านประตู ใช้วิศวกรรมสังคมกับพนักงานต้อนรับ ทำสำเนาบัตร และสะเดาะกลอน เพื่อระบุจุดอ่อนก่อนที่ Attacker จะพบ การตรวจสอบบัตร ช่วยให้มั่นใจว่าข้อมูลรับรองของพนักงานที่พ้นสภาพถูกปิดใช้งานโดยรวดเร็ว การตรวจสอบสิทธิ์การเข้าถึง ช่วยให้มั่นใจว่าเฉพาะบุคลากรที่ได้รับอนุญาตในปัจจุบันเท่านั้นที่ยังเข้าถึงพื้นที่สำคัญได้ การทดสอบเป็นประจำจะเปิดเผยว่ามาตรการควบคุมที่ดูใช้ได้บนเอกสารนั้นใช้งานได้จริงหรือไม่

ควร บันทึก เหตุการณ์การเข้าออกทุกครั้งที่ประตูควบคุมด้วยบัตร ได้แก่ ใคร (ID ของบัตร) ที่ไหน (ประตูหรือห้องใด) เมื่อใด (การประทับเวลา) และได้รับอนุญาตให้เข้าหรือถูกปฏิเสธ บันทึกเหล่านี้ช่วยในการ สืบสวนด้านความปลอดภัย เมื่อเกิดเหตุการณ์ต่าง ๆ (เช่น “ตอนที่อุปกรณ์หาย มีใครอยู่ในห้องเซิร์ฟเวอร์หรือไม่”) ใช้สำหรับ การตรวจสอบการปฏิบัติตามข้อกำหนด (ใครเข้าโซน PCI-DSS) และ การตรวจจับความผิดปกติ (พนักงานเข้าตึกตอนตีสามในช่วงสุดสัปดาห์) ควรจัดเก็บบันทึกการใช้บัตรอย่างปลอดภัยและเก็บรักษาไว้อย่างน้อย 90 วัน หรือนานกว่านั้นตามข้อกำหนดด้านการปฏิบัติตามกฎระเบียบ

ทดสอบความเข้าใจแนวคิด CompTIA Security+ (SY0-701) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า การรักษาความปลอดภัยทางกายภาพใช้โซนหลายชั้น ซึ่งมีการควบคุมที่เข้มงวดขึ้นตามลำดับเมื่อเข้าใกล้พื้นที่สำคัญ, mantrap ป้องกันการลักลอบเดินตามเข้าไป โดยกำหนดให้ประตูหนึ่งบานปิดก่อนที่ประตูถัดไปจะเปิด และ การยืนยันตัวตนทางกายภาพหลายปัจจัย ที่ใช้บัตร, PIN และข้อมูลชีวมาตรร่วมกัน ช่วยให้ผู้โจมตีไม่สามารถเข้าถึงระบบได้ด้วยข้อมูลรับรองที่ถูกขโมยเพียงอย่างเดียว บทถัดไปเราจะสำรวจระบบเฝ้าระวัง ได้แก่ CCTV, เซนเซอร์ตรวจจับการเคลื่อนไหว และการบันทึกเพื่อการตรวจสอบความปลอดภัยทางกายภาพ