Fiziksel Erişim Denetimleri: Rozetler, Kilitler ve Geçiş Tuzakları

Donanıma fiziksel erişim, neredeyse tüm mantıksal denetimleri etkisiz kılar. Bir sunucuya fiziksel erişimi olan bir saldırgan harici medyadan önyükleme yapabilir, anahtar olmadan disk şifrelemesini aşabilir (soğuk önyükleme saldırısı), donanımsal tuş kaydediciler kurabilir, sabit diskleri çıkarabilir veya ekipmanla birlikte doğrudan binadan çıkabilir. Yetkisiz bir kişi donanıma fiziksel olarak dokunabiliyorsa hiçbir güvenlik duvarı, şifreleme veya kimlik doğrulama verileri koruyamaz. Fiziksel güvenlik, diğer tüm denetimlerin dayandığı temeldir.

Etkili fiziksel güvenlik, erişim kısıtlamalarının giderek arttığı katmanlı bölgeler kullanır. En dış bölge bina çevresidir (çitler, güvenlik görevlileri, otopark kameraları). Sonraki katman bina girişidir (kart okuyucular, resepsiyon). İç bölgeler arasında ofis alanları (departman bazında kart erişimi), sunucu odaları (yüksek güvenlikli erişim) ve veri merkezi çekirdeği (en kısıtlı erişim) bulunur. Her katmanın kendine ait denetimleri vardır; en dış katmanın ele geçirilmesi en iç bölgeye erişim sağlamaz.

Erişim kartları, en yaygın fiziksel erişim kimlik bilgisidir. Modern kartlarda, okuyucuların temas olmadan algıladığı yakınlık (RFID/NFC) teknolojisi veya gömülü şifreleme çiplerine sahip akıllı kart teknolojisi kullanılır. Akıllı kartlar daha güvenlidir çünkü yalnızca bir kimlik numarası yayınlamak yerine şifreli sorgulama-yanıt işlemi gerçekleştirir. ABD hükümeti çalışanlarına verilen PIV (Personal Identity Verification) kartları FIPS 201 standartlarını karşılar ve hem fiziksel hem de mantıksal (bilgisayar) erişimi destekler.

Yüksek güvenlikli alanlarda çok faktörlü fiziksel kimlik doğrulama gerekir; bu yöntem sahip olduğunuz bir şeyi (kart), bildiğiniz bir şeyi (PIN) ve sizi temsil eden bir şeyi (biyometrik veri) birleştirir. Veri merkezlerine erişimde yaygın bir kombinasyon şudur: kart okutma + PIN girme + parmak izi taraması. Bu sayede yalnızca çalınmış bir kartın erişim sağlamayacağından, fotoğrafı çekilmiş bir parmak izinin kart olmadan işe yaramayacağından ve bilinen bir PIN'in fiziksel kart olmadan kullanılamayacağından emin olunur. Fiziksel erişimde üç faktörlü kimlik doğrulama, savunma ve finans ortamlarında yaygındır.

Güvenlik geçiş odası (hava kilidi veya erişim denetimi giriş bölümü olarak da adlandırılır), birbirine kilitlenen iki kapısı olan küçük bir odadır: ikinci kapı açılmadan önce ilk kapı kapanıp kilitlenmelidir. Bu fiziksel mekanizma, yetkisiz bir kişinin güvenli bir kapıdan yetkili kişinin arkasından geçmesini ifade eden başkasının peşine takılma eylemini önler. Güvenlik geçiş odalarında, odaya birden fazla kişinin girip girmediğini algılamak için ağırlık sensörleri, kızılötesi sayaçlar ve kameralar bulunabilir; başkasının peşine takılma girişimi algılanırsa otomatik olarak alarm tetiklenir.

Başkasının peşine takılma, yetkisiz bir kişinin yetkili kişinin bilgisi olmadan güvenli bir kapıdan onun arkasından geçmesiyle gerçekleşir. Birlikte geçme benzer bir durumdur, ancak yetkili kişi iş birliği yaparak kapıyı açık tutar. Her ikisi de fiziksel erişim denetimlerini tamamen aşar. Savunmalar arasında güvenlik geçiş odaları, her kart okutma işleminde yalnızca bir kişinin geçmesine izin veren turnikeler, güvenlik kültürü eğitimi (çalışanlar tanımadıkları kişiler için kapıyı açık tutmamalıdır) ve video analizine sahip başkasının peşine takılma algılama kameraları bulunur.

Fiziksel kilitler basit modellerden yüksek güvenlikli modellere kadar çeşitlenir. Pin tumbler kilitleri temel düzeydedir; kilit açmaya ve anahtar kopyalamaya karşı savunmasızdır. Yüksek güvenlikli kilitler (Medeco, Abloy), kilit açmaya dayanıklı mekanizmalara ve anahtar denetimi programlarına sahiptir. Şifreli kilitler bilinen bir PIN gerektirir ancak denetim izi bırakmaz. Anahtar kartları veya PIN panelleri bulunan elektronik kilitler erişim günlüklerini tutar ve uzaktan erişime kapatılabilir. Tuşlu kilitler (düğmeler) ezberlenmiş bir kod gerektirir; kart gerekmez, ancak kombinasyon sabittir ve yetkili kullanıcılar arasında paylaşılır.

Biyometrik denetimler, benzersiz fiziksel özelliklere dayanarak kimlik doğrular. Yaygın türler arasında parmak izi tarayıcıları (hızlı, düşük maliyetli ve en yaygın), el geometrisi okuyucuları (eski teknoloji, veri merkezlerinde bulunur), iris tarayıcıları (çok yüksek doğruluk, pahalı) ve yüz tanıma (kullanışlı ancak loş ışıkta doğruluk sorunları yaşayabilir) bulunur. Biyometrik sistemlerin temel ölçütleri şunlardır: Yanlış Kabul Oranı (FAR) — yetkisiz bir kişinin ne sıklıkla kabul edildiği — ve Yanlış Reddetme Oranı (FRR) — yetkili bir kişinin ne sıklıkla reddedildiği.

Meşru olarak fiziksel erişime ihtiyaç duyan ziyaretçiler, yükleniciler ve bakım personeli için denetimli prosedürler gerekir. En iyi uygulamalar arasında şunlar bulunur: varıştan önce tüm ziyaretçilerin önceden onaylanması, resepsiyonda resmî kimlik doğrulaması, otomatik olarak devre dışı kalan süre sınırlı ziyaretçi kartlarının verilmesi, ziyaret boyunca ziyaretçinin yanında kalacak belirli bir refakatçinin görevlendirilmesi ve varış saatini, ayrılış saatini, erişilen alanları ve ziyaret amacını kaydeden bir ziyaretçi günlüğünün tutulması. Ziyaretçi günlükleri, ziyaretten sonra bir olay meydana gelirse adli incelemeyi destekler.

Fiziksel güvenlik denetimleri, fiziksel sızma testleri (kırmızı takım çalışmaları) aracılığıyla düzenli olarak test edilmelidir. Test uzmanları, saldırganlardan önce zayıflıkları belirlemek için başkasının peşine takılmayı, resepsiyon görevlilerine yönelik sosyal mühendisliği, kart kopyalamayı ve kilit açmayı dener. Kart denetimleri, işten ayrılan çalışanların kimlik bilgilerinin derhâl devre dışı bırakılmasını sağlar. Erişim incelemesi denetimleri, yalnızca hâlen yetkili personelin hassas alanlara erişimini sürdürmesini sağlar. Düzenli testler, kâğıt üzerinde işe yarayan denetimlerin uygulamada gerçekten çalışıp çalışmadığını ortaya çıkarır.

Rozet kontrollü her kapı erişim olayı kayda geçirilmelidir: kim (rozet kimliği), nerede (kapı/oda), ne zaman (zaman damgası) ve erişimin verilip verilmediği. Bu kayıtlar, olaylar meydana geldiğinde güvenlik soruşturmalarını (“ekipman kaybolduğunda sunucu odasında biri var mıydı?”), uyumluluk denetimlerini (PCI-DSS bölgelerine kim erişti?) ve anomali tespitini (bir çalışanın hafta sonları sabah 3’te binaya erişmesi) mümkün kılar. Rozet kayıtları güvenli biçimde saklanmalı ve en az 90 gün ya da uyumluluk gereksinimleri uyarınca daha uzun süre tutulmalıdır.

Bu derste şunları öğrendiniz: fiziksel güvenlik, hassas alanlara yaklaşıldıkça daha güçlü denetimlerin uygulandığı katmanlı bölgeler kullanır, mantrap sistemleri, bir sonraki kapının açılmasından önce bir kapının kapanmasını zorunlu kılarak tailgating saldırılarını önler ve rozetleri, PIN’leri ve biyometrik doğrulamayı birleştiren çok faktörlü fiziksel kimlik doğrulama, yalnızca çalınmış kimlik bilgilerinin erişim sağlamamasını güvence altına alır. Sırada fiziksel güvenlik izleme için gözetim sistemlerini — CCTV, hareket sensörlerini ve logging özelliğini — inceleyeceğiz.