ISSP \ Домен 04. Физическая безопасность и безопасность окружения. Часть 4

В этой части рассмотрены следующие вопросы:

• Безопасность периметра
• Контроль доступа в здание и помещения
• Замки
• Контроль доступа персонала

5. Безопасность периметра

Первая линия защиты – это контроль периметра здания для предотвращения несанкционированного доступа в него. Как говорилось ранее в этом Домене, физическая безопасность должна использовать многоуровневый подход к защите. Например, перед тем, как нарушитель сможет получить записи о секретном рецепте приготовления соуса барбекю, принадлежащем вашей компании, он должен перелезть через ограждение, скрыться от охранников, взломать дверной замок, обмануть биометрическую систему контроля доступа во внутреннее помещение, а затем взломать сейф, в котором хранится рецепт. Идея заключается в том, что если атакующий преодолеет один уровень защиты, на его пути к ценностям компании, должен существовать еще один (как минимум) уровень защиты.

ПРИМЕЧАНИЕ. Важно иметь раздельные и независимые защитные меры. Например, если один ключ подходит к замкам четырех дверей, злоумышленнику может хватить только одного ключа. Каждый замок должен иметь свой ключ или аутентификационную комбинацию.

Эта модель защиты должна работать в двух основных режимах: в рабочее время компании и в нерабочее. Когда здание в нерабочее время закрыто, все двери должны быть заперты, а средства мониторинга включены для выявления подозрительной активности. В рабочее время обеспечение безопасности усложняется, так как уполномоченный персонал нужно отличать от неуполномоченных посетителей. Безопасность периметра связана со зданием, контролем доступа персонала, механизмами защиты внешних границ, выявлением вторжений, корректирующими действиями. Следующие разделы описывают элементы, которые входят в состав этих категорий.

5.1. Контроль доступа в здание и помещения

Контроль доступа в рамках физической безопасности должен обеспечиваться физическими и техническими компонентами. Физический контроль доступа использует механизмы идентификации людей, пытающихся войти в здание или в помещение. Он разрешает проход уполномоченным посетителям и блокирует доступ неуполномоченным, а также предоставляет журнал регистрации этих действий. Наличие персонала в наиболее критичных помещениях – это одна из лучших мер безопасности, так как люди в таком помещении могут самостоятельно выявить подозрительное поведение. Однако их нужно предварительно обучить, какую деятельность считать подозрительной и как сообщать о ней.

Перед тем, как компания внедрит необходимые механизмы защиты, необходимо провести детальный анализ и определить какие люди в какие помещения должны иметь доступ. Должны быть определены точки контроля доступа, затем эти точки должны быть классифицированы как внешние, основные и запасные входы. Персонал должен входить и выходить только через определенные входы, доставка должна осуществляться через другие входы, доступ в критичные помещения должен быть ограничен. На Рисунке 4-11 показаны различные типы точек контроля доступа в здании. После определения и классификации точек контроля доступа, следующим шагом является определение порядка их защиты.

Рисунок 4-11. Точки контроля доступа должны быть идентифицированы, промаркированы и надлежащим образом контролироваться

Замки

Замок – это недорогой, общепризнанный и широко используемый механизм контроля доступа. Замок является задерживающим устройством по отношению к нарушителям. Чем больше времени займет взлом замка, тем больше времени будет у охраны и полиции, чтобы приехать на место в случае выявления нарушителя. Почти любая дверь оснащена замком, но ключи легко потерять или скопировать, а сам замок может быть сломан или взломан. Если компания применяет для защиты только механизмы с замками и ключами, любой, кто имеет ключ, может беспрепятственно войти и выйти, избежав какого-либо контроля. Замки следует использовать только как часть схемы защиты, но не как единственный компонент этой схемы.

Замки имеют различный функционал. Навесные замки (padlock) могут использоваться на воротах в изгороди, врезные замки (preset lock) обычно используются в дверях, кодовые замки используются в дверях и хранилищах. Замки бывают различных видов и имеют различные размеры. Важно использовать правильный тип замков, это позволит обеспечить нужный уровень защиты.

Для взломщика замок – это маленькая головоломка, а не средство устрашения. Вы должны обеспечить сложность этой головоломки, ее стойкость и высокое качество запирающего механизма.

ПРИМЕЧАНИЕ. Задержка времени, обеспечиваемая замком, должна соответствовать сопротивляемости проникновению окружающих элементов (дверей, дверных рам, петлей). Умный вор пойдет по пути наименьшего сопротивления – не обязательно взламывать замок, если можно удалить штифты из петель или просто ударить по двери.

Механические замки

Существует два основных типа механических замков – с нарезкой и цилиндровые. Замок с нарезкой (warded lock) – это обычный висячий замок, показанный на Рисунке 4-12. Он имеет пружинную задвижку с вырезанным в ней пазом. Ключ заполняет этот паз, и задвижка смещается из заблокированного в разблокированное положение. Внутри замка имеются металлические выступы (ward) вокруг замочной скважины, как показано на Рисунке 4-13. Правильный ключ для такого замка имеет вырезы, которые совпадают с этими выступами и пазом, что позволяет задвижке двигаться вперед и назад. Это самые дешевые замки, которые легче всего взломать.

Рисунок 4-12. Замок с нарезкой

Рисунок 4-13. Ключ заполняет паз для перемещения задвижки в заблокированное или разблокированное положение

Цилиндровый замок (tumbler lock) имеет больше частей и элементов, чем замок с нарезкой. Как показано на Рисунке 4-14, ключ входит в цилиндр, в котором поднимаются запорные металлические штифты (пины) на нужную высоту, чтобы задвижка могла переместиться в заблокированное или разблокированное положение. После того, как все металлические штифты встали на правильный уровень, внутренний цилиндровый механизм может быть повернут. Правильный ключ имеет правильную длину и последовательность выступов, обеспечивающих перемещение металлических штифтов в правильное положение.

Рисунок 4-14. Цилиндровый замок

Существует три вида цилиндровых замков – пиновые (штифтовые), пластинчатые и сувальдные (lever tumbler lock). Пиновый цилиндровый замок (pin tumbler lock) показан на Рисунке 4-14, это наиболее часто использующийся тип цилиндровых замков. Ключ должен иметь соответствующие канавки, которые поставят все пружинные штифты в правильное положение, необходимое для блокировки или разблокировки замка.

Пластинчатые цилиндровые замки (wafer tumbler lock) (также называемые дисковыми цилиндровыми замками) представляют собой небольшие круглые замки, которые вы обычно видите на картотечных шкафах. Они используют плоские диски (пластины) вместо штифтов внутри замка. Они часто используются в качестве автомобильных замков или замков в письменном столе. Такой тип замков не предоставляет существенной защиты, поскольку его можно легко взломать.

ПРИМЕЧАНИЕ. Некоторые замки имеют сменные сердечники, т.е. они предусматривают возможность извлечения сердечника замка. Вы можете использовать такой тип замков, если вам нужно открывать одним ключом несколько замков. Для этого вы можете просто установить во все замки одинаковый сердечник.

Кодовые замки (combination lock) требуют ввода правильного сочетания цифр для их открытия. Внутри этих замков есть колесики, которые должны выстроиться в правильную линию, что необходимо для разблокировки замка. Пользователь использует внешний интерфейс замка для правильного выстраивания внутренних колесиков. После того, как все элементы установлены на свои места, все колесики находятся в правильном положении, замок может быть разблокирован. Чем больше колесиков в замке, тем больший уровень защиты он обеспечивает. Современные кодовые замки не используют внутренние колесики, вместо них используется клавиатура, которая более удобна.

Шифро-замки (cipher lock), также называемые программируемыми замками (programmable lock), не имеют ключа и используют клавиатуру для контроля доступа в помещение или здание. Такой замок требует ввода определенной комбинации на клавиатуре или с помощью карточки. Они дороже, чем обычные замки, но их комбинации могут быть изменены, отдельные комбинации могут быть заблокированы, кроме того, можно ввести специальные комбинации, которые позволят персоналу под принуждением ввести соответствующий код, который не только откроет дверь, но и включит сигнал тревоги. Таким образом, по сравнению с традиционными замками, шифро-замки могут обеспечить гораздо более высокий уровень безопасности и контроля доступа в здание.

Ниже перечислены некоторые функциональные возможности, доступные на большинстве шифро-замков, повышающие эффективность контроля доступа и обеспечивающие повышенный уровень безопасности:

• Дверной таймер (Door delay). Если дверь была открыта дольше определенного времени, будет подан сигнал для оповещения персонала безопасности о подозрительной деятельности.
• Замещение ключа (Key override). Может быть запрограммирована специальная комбинация для использования в чрезвычайных ситуациях с целью обхода обычных процедур или контроля.
• Мастер-ключ (Master keying). Позволяет контролирующему персоналу изменить коды доступа и другие функции шифро-замка.
• Открытие под принуждением (Hostage alarm). Если человека принуждают открыть дверь, он может ввести специальную комбинацию, что вызовет передачу охране (и, возможно, в полицейский участок) специального сигнала.

Если дверь оборудована шифро-замком, его клавиатура должна быть закрыта от просмотра посторонними набираемых на ней комбинаций. Автоматизированные шифро-замки должны иметь резервную батарею электропитания и должны быть настроены на автоматическое разблокирование в случае отсутствия питания, чтобы персонал не оказался в ловушке внутри помещения в случае чрезвычайной ситуации.

ПРИМЕЧАНИЕ. Важно периодически менять кодовую комбинацию замка и использовать при этом случайные последовательности цифр. Зачастую люди не меняют кодовые комбинации и не чистят клавиатуру, что позволяет злоумышленнику узнать, какие цифры используются в комбинации, т.к. соответствующие им клавиши грязные и изношенные. Злоумышленнику останется только подобрать правильное сочетание этих цифр.

Некоторые шифро-замки требуют, чтобы все пользователи знали и использовали одну и ту же комбинацию, что не обеспечивает какого-либо персонифицированного учета и контроля. Некоторые из наиболее сложных шифро-замков позволяют присвоить персональные коды, уникальные для каждого пользователя. Это дает больше возможностей, так как каждый человек несет ответственность за сохранение в тайне своего личного кода доступа, а также позволяет фиксировать факты входа и выхода каждого пользователя персонально. Эти замки часто называют умными замками (smart lock), поскольку они позволяют разграничивать доступ уполномоченных лиц по определенным дверям и в определенное время.

ПРИМЕЧАНИЕ. В гостиницах часто используются смарт-карты. Они программируются персоналом гостиницы перед их передачей клиенту. С помощью такой карты клиент может войти в свой номер в гостинице, в спорт-зал или мини-бар.

Блокирующие устройства

К сожалению, часто происходят случаи хищения оборудования из помещений компаний. Чтобы помешать этому, необходимы блокирующие устройства (device lock). Например, существуют специальные замки с металлическими кабелями (kensington lock), которые могут обеспечить защиту компьютера, периферийного устройства или другого оборудования.

Ниже приведены некоторые примеры существующих блокирующих устройств:

• Защита кнопок включения (switch control). Закрывает кнопки, позволяющие включать и отключать устройство.
• Защитные слоты (slot lock). В них закрепляется стальной кабель, другой конец которого прикрепляется к стационарному объекту, что позволяет защитить устройство от хищения.
• Защита портов (port control). Блокирует доступ к дисковым устройствам, неиспользуемым последовательным и параллельным портам.
• Защита включения периферийных устройств (peripheral switch control). Защищает клавиатуру, путем установки переключателя (включено/выключено) между системным блоком и клавиатурным разъемом.
• Кабели-ловушки (cable trap). Предотвращают извлечение устройств ввода/вывода, пропуская их кабели через блокирующее устройство.

Административные обязанности

Важно не только выбрать правильный тип блокирующего устройства, но и обеспечить его правильное использование и сопровождение. Между ответственными за здание (помещения) руководителями следует распределить ключи, оформив это документально. Должны быть разработаны процедуры, подробно описывающие порядок распределения ключей, их инвентаризации, уничтожения (при необходимости), а также порядок действий в случае потери ключей. Среди ответственных за здание (помещения) руководителей компании должна быть выделена роль, на которую возложены обязанности по контролю и сопровождению ключей и комбинаций для шифро-замков.

Большинство компаний имеют мастер-ключи и субмастер-ключи для использования ответственными за здание (помещения) руководителями. Мастер-ключ открывает все замки внутри здания, а субмастер-ключ – один или несколько замков отдельных помещений. Желательно, чтобы каждый замок имел свой собственный уникальный ключ. Поэтому, если в здании 100 офисов, работник каждого офиса может иметь собственный ключ. А мастер-ключ позволяет получить доступ к любому офису для персонала безопасности, а также на случай чрезвычайных ситуаций. Если один охранник отвечает за половину здания, ему может быть выдан субмастер-ключ только от соответствующих офисов.

Мастер- и субмастер-ключи должны надежно охраняться и не использоваться излишне широким кругом лиц. Политика безопасности должна описывать, какие части здания и какое оборудование должны быть заперты. Как специалист по безопасности, вы должны понимать какие типы замков предпочтительно использовать в каждой конкретной ситуации, какой уровень защиты обеспечивается различными типами замков и как эти замки можно взломать.

Стойкость замков. Существует три основных класса замков:

• Класс 1. Коммерческое и промышленное использование
• Класс 2. Усиленный для частного использования / облегченный для коммерческого использования
• Класс 3. Одноразовый для частного использования / потребительского использования

 Цилиндры в замках делятся на три основных категории:

• Низкая безопасность. Не обеспечивается защита от взлома или высверливания (может относиться к любому из трех классов замков)
• Средняя безопасность. Обеспечивается определенная степень сопротивления взлому (используется более плотная и сложная замочная скважина (комбинация пазов и выступов); может относиться к любому из трех классов замков)
• Высокая безопасность. Сопротивляемость взлому обеспечивается несколькими различными механизмами (используется только в замках классов 1 и 2)

Взлом замков

Для каждого типа замков существуют специальные средства, которые могут быть использованы для взлома (открывания без ключа). Для вращения движущейся части цилиндрового замка используется средство для поворота (tension wrench), похожее на букву «L». Взломщик использует отмычки для установки отдельных штифтов (пинов) замка в нужное положение. Когда некоторые штифты уже поставлены на правильное место, поворот цилиндра придерживает их, пока взломщик пытается поставить на место остальные штифты. После того, как все штифты поставлены на правильное место, средство поворота используется для открывания замка.

Взломщик может использовать другую технику, оказывающую воздействие на несколько штифтов (raking). Для этого используется отмычка с закругленным концом. Когда отмычка проходит вдоль штифтов, она поднимает и опускает их и в момент, когда поверхность одного из наиболее плотно сидящих штифтов совмещается с линией внутренней поверхности корпуса, цилиндр слегка поворачивается и т.д.

Также, взломщик может воспользоваться техникой бампинга (lock bumping). Для этого используется специальный, изготовленный из твердого материала (тверже материала замка) бамп-ключ, в котором все вырезы сделаны на максимальную глубину. Этот ключ вставляется на полую глубину замочной скважины, затем вытягивается на один штифт, после чего нужно ударить по тыльной стороне ключа. Импульс от ключа передастся штифтам, которые придут в движение, и уже через долю секунды нужно попытаться повернуть ключ и открыть замок.

А если все это злоумышленнику не удалось, он может просто высверлить замок, используя специальное сверло, попытаться взломать дверь или удалить петли. У плохих парней есть большой выбор.

5.2. Контроль доступа персонала

Чтобы проверить, имеет ли право доступа в здание или помещение пытающийся войти в него человек, необходима надежная идентификация. Идентификация и аутентификация могут производиться на основании анатомических атрибутов (биометрические системы), смарт-карт, магнитных (swipe) карт, с помощью предоставления сотрудникам охраны документа, содержащего фотографию, используя ключи, либо карты, защищенные паролем или пин-кодом.

Наиболее частой проблемой при контроле прав доступа в здание или помещение является проход неуполномоченного человека по реквизитам уполномоченного. Обычно это происходит, когда человек просто следует за другим и проходит через дверь не предъявляя своих реквизитов или прав доступа (piggybacking). Самой лучшей защитной мерой против этого является установка охранника в точках доступа и обучение сотрудников требованиям безопасности.
Если компания хочет использовать считыватели для карт-бейджей, она может выбирать из нескольких различных типов таких систем. Часто используются магнитные карты, которые содержат информацию для доступа. Считыватель должен просто «увидеть» наличие этой информации, либо он может быть подключен к более сложной системе, которая после считывания информации принимает более сложные решения о доступе, а также ведет учет использования бейджей по их идентификаторам и фиксирует время прохода.

Если используются карты памяти (магнитные карты), то считыватель просто загружает информацию с карты и принимает решение о доступе. Если используются смарт-карты, то человеку необходимо ввести пин-код или пароль, которые считыватель должен сравнить с информацией, хранящейся на самой карте или на сервере аутентификации. (Карты памяти и смарт-карты рассматривались в Домене 02).

Эти карты могут быть использованы со считывателями, активируемыми пользователем (т.е. пользователь должен самостоятельно выполнить какое-либо действие – провести карту по считывателю или ввести пин-код). Считыватели систем контроля доступа, которые называют proximity-устройствами или ретрансляторами (transponder), обнаруживают приближение объекта к определенным областям. Такая система не требует от пользователя проводить карту по считывателю. Считыватель посылает сигнал запроса и получает код доступа с карты пользователя без необходимости пользователю делать что-либо.

ПРИМЕЧАНИЕ. Токены электронного контроля доступа (EAC – Electronic access control) – это общий термин, который используется для описания аутентификационных proximity-устройств, которые могут быть бесконтактными считывателями, шифро-замками или биометрическими системами, проводящими идентификацию и аутентификацию пользователей, прежде чем позволить им войти в контролируемые помещения.

<<< Предыдущий раздел • Содержание • Следующий раздел >>>