Fiziskā drošība
Ievads
Fiziskā drošība ir IT drošības pamats. Pat visspēcīgākais ugunsmūris nespēs aizsargāt datus, ja ļaundaris var fiziski piekļūt serverim, paņemt cieto disku vai pieslēgt ļaunprātīgu ierīci tieši pie tīkla komutatora. Šajā nodaļā apskatīsim, kā organizēt un kontrolēt fizisko piekļuvi IT infrastruktūrai.
Mācīšanās rezultāti
Identificē kritiskās zonas (serveru telpa, komutācijas skapis, darbstacijas) un tām nepieciešamos drošības līmeņus.
Izskaidro dažādu autentifikācijas metožu (atslēgas, kartes, biometrija) priekšrocības un trūkumus.
Plāno piekļuves režīmu dažādām personu grupām (IT personāls, darbinieki, apmeklētāji).
Pielieto “dziļum-aizsardzības” (defense-in-depth) principu fiziskajā drošībā.
Atslēgtermini
Piekļuves kontroles sistēma (ACS): Elektroniska sistēma durvju un vārtu vadībai.
Autentifikācija (Kas tu esi?): Personas pārbaude (karte, PIN, pirkstu nospiedums).
Autorizācija (Ko tu drīksti?): Tiesību piešķiršana ieiet konkrētā telpā.
Audita pēdas (Audit trail): Ieraksti žurnālā par katru ieiešanas/iziešanas mēģinājumu.
Biometrija: Identifikācija pēc fiziskām pazīmēm (pirksts, seja, acs tīklene).
1. Drošības zonējums (Dziļuma aizsardzība)
Fizisko drošību veido slāņos (kā sīpolam), lai uzbrucējam būtu jāpārvar vairāki šķēršļi.
| Zona | Apraksts | Drošības pasākumi |
|---|---|---|
| 1. Publiskā zona | Ieeja ēkā, recepcija, autostāvvieta. | Videonovērošana, apgaismojums, apsargs, turniketi. |
| 2. Darba zona | Biroji, gaiteņi, sanāksmju telpas. | ID kartes, slēdzamas durvis ārpus darba laika. |
| 3. Ierobežota zona | Tīkla komutācijas skapji, arhīvi. | Slēdzami skapji, piekļuve tikai atbildīgajiem. |
| 4. Kritiskā zona | Serveru telpa, datu centrs. | Divfaktoru autentifikācija (MFA), biometrija, pilna videonovērošana, žurnālfaili. |
2. Autentifikācijas metodes
Lai atvērtu durvis, tiek izmantoti trīs faktori:
Ko tu zini? (PIN kods, parole).
Pluss: Lēti.
Mīnuss: Kodu var nodot citam vai noskatīties.
Kas tev pieder? (Atslēga, RFID karte, viedtālrunis).
Pluss: Viegli lietot.
Mīnuss: Karti var nozagt vai nozaudēt. Kartes var nokopēt.
Kas tu esi? (Biometrija: pirkstu nospiedums, sejas atpazīšana).
Pluss: Nevar nodot citam, nevar aizmirst mājās.
Mīnuss: Dārgāka ieviešana, privātuma bažas (GDPR).
Labākā prakse kritiskām telpām: Izmantot divfaktoru autentifikāciju (MFA), piemēram, Karte + PIN kods.
3. Serveru telpas prasības
Serveru telpa ir IT sirds, tādēļ tai nepieciešama visstingrākā kontrole.
Durvis: Jābūt ugunsdrošām, bez logiem (vai ar rūdītu/matētu stiklu), veramām uz āru (evakuācijai), bet aprīkotām ar pašaizvērējiem.
Piekļuves saraksts: Jābūt precīzi definētam sarakstam, kurš drīkst ieiet (parasti tikai IT administratori).
Apmeklētāju žurnāls: Visiem citiem (elektriķiem, apkopējiem, vendoriem) jāreģistrējas žurnālā un jāatrodas telpā tikai IT darbinieka pavadībā.
Atslēgu pārvaldība: Ja izmanto fiziskas atslēgas, tās jāglabā seifā un to izsniegšana jāreģistrē. Labāk izmantot elektroniskās kartes, jo tās var momentāni bloķēt.
4. Tīkla iekārtu fiziskā drošība ārpus serveru telpas
Bieži aizmirsts risks ir tīkla rozetes un komutatori gaiteņos.
Komutācijas skapji (Racks): Jābūt aizslēgtiem. Atslēgām jābūt pieejamām tikai IT personālam.
Neaktīvās rozetes: Birojos un sanāksmju telpās tīkla rozetes, kuras netiek lietotas, komutatorā ir jāatslēdz (vai jāieliek speciālā "Viesu" VLAN), lai neviens nevarētu pieslēgties iekšējam tīklam.
Portu drošība (Port Security): Uz komutatoriem var konfigurēt, lai konkrēts ports strādā tikai ar konkrētu MAC adresi.
5. Dokumentēšana un Audits
Piekļuves politika: Dokuments, kas nosaka, kurš kur drīkst iet.
Incidentu reģistrs: Jāfiksē visi neveiksmīgie piekļuves mēģinājumi vai durvju "uzlaušanas" trauksmes.
Regulāras pārbaudes: Reizi ceturksnī jāpārskata piekļuves tiesības (vai bijušajiem darbiniekiem kartes ir anulētas?).
6. Fiziskās piekļuves vadība
Fiziskās piekļuves vadība ir pasākumu kopums, kas nosaka, kas, kur un kādos apstākļos drīkst iekļūt telpās un zonās, kur atrodas informācija un informācijas apstrādes līdzekļi (datori, serveri, tīkla skapji, dokumenti, datu nesēji).
Mērķis ir novērst nesankcionētu piekļuvi, zādzību, sabotāžu un datu noplūdi, balstoties uz riska novērtējumu un auditējamu kontroļu kopumu.
Drošās zonas un klasifikācija
Pirmais solis ir identificēt “drošās zonas” (piem., serveru telpa, tīkla skapis, arhīvs, video novērošanas ierakstu glabātuve) un noteikt, kādi piekļuves līmeņi katrai zonai nepieciešami.
Praksē bieži izmanto zonējumu, piemēram: publiska zona (apmeklētāji), kontrolēta zona (darbinieki), ierobežota zona (IT, vadība) un īpaši aizsargāta zona (serveru telpa).
Piekļuves kontroles princips
Efektīva piekļuves vadība balstās uz trim elementiem: identifikācija (kas tu esi), autentifikācija (kā tu pierādi identitāti) un autorizācija (ko tieši drīksti darīt/kur drīksti iet).
Piekļuve jāpiešķir pēc “nepieciešamības” un lomas (role-based), un tā regulāri jāpārskata, lai novērstu situāciju, kad piekļuve paliek personām, kurām tā vairs nav vajadzīga.
Fiziskie kontroles līdzekļi
Biežākie fiziskie kontroles līdzekļi ir mehāniskas un elektroniskas slēdzenes, piekļuves kartes/žetoni, PIN kodi un biometrija.
Augstāka riska zonās tiek izmantoti papildu risinājumi, piemēram, “mantrap” (divdurvju kontrole), signalizētas avārijas izejas un piekļuves žurnālu glabāšana.
Uzraudzība, žurnāli un audits
Piekļuves kontrolei jābūt ne tikai “slēdzenei”, bet arī pierādāmai: jāuztur piekļuves notikumu žurnāli (kas/kur/kad), un tie regulāri jāpārskata anomāliju noteikšanai.
Papildu drošībai ieejas punktos un drošajās zonās izmanto videonovērošanu (CCTV), lai piekļuves notikumus varētu sasaistīt ar vizuālu apstiprinājumu.
Apmeklētāju (visitor) vadība
Apmeklētāji ir biežs riska avots, tāpēc tiem jābūt identificētiem, reģistrētiem un pēc iespējas iepriekš pieteiktiem, ar noteiktu uzturēšanās mērķi un laiku.
Labā prakse ir īslaicīgas apmeklētāja kartes, pavadoņa (escort) politika un aizliegums apmeklētājiem brīvi pārvietoties ierobežotās zonās.
Atslēgu, karšu un tiesību pārvaldība
Jābūt skaidrai kārtībai, kā tiek izsniegtas, uzskaitītas un atsauktas piekļuves kartes/atslēgas, kā arī ko darīt zuduma gadījumā (tūlītēja bloķēšana, incidenta reģistrācija).
Laba prakse paredz, ka darbiniekiem, kuri pamet organizāciju, piekļuves kartes tiek deaktivizētas īsā termiņā, un piekļuves saraksti tiek pārskatīti regulāri (piem., reizi ceturksnī).
Tipiski incidenti un pretpasākumi
Bieži sastopami incidenti ir “tailgating” (ieiešana aiz autorizētas personas), koplietošanas piekļuves kartes, neaizslēgti tīkla skapji un avārijas izeju izmantošana nepamatoti.
Pretpasākumi: apmācība, skaidras zīmes un noteikumi, ieejas punktu uzraudzība, piekļuves revīzijas un tehniski risinājumi (durvju aizvērēji, signalizācija, turniketi vai divpakāpju ieeja).
Minimālais kontrolsaraksts (IT kabinetam / tīkla skapim)
Telpa/tīkla skapis ir slēdzams, piekļuve tikai autorizētām personām.
Ir piekļuves žurnāls (elektronisks vai papīra), un to pārskata periodiski.
Apmeklētāji tiek reģistrēti un pavadīti, tiek izsniegta apmeklētāja identifikācija.
Ieejas punkti ir uzraudzīti (CCTV vai atbildīgā persona), īpaši serveru un tīkla skapju zonās.
Pastāv process piekļuves tiesību piešķiršanai, pārskatīšanai un atsaukšanai.
