🛡️ Fiziskā drošība kiberdrošībā
Fiziskā drošība ir kiberdrošības pamatslānis: ja uzbrucējam ir fiziska piekļuve ierīcei, loģiskās kontroles vairs nepasargā. Aizsardzība dziļumā, drošības zonas, 5 D modelis un standarti (ISO 27002 7. nodaļa, NIST SP 800-53 PE, NIST SP 800-88). Piemēri ir izdomāti, paredzēti mācībām.
Kāpēc tas svarīgi
Fiziska piekļuve apiet loģiskās kontroles
Pamatprincips: fiziskā un kiberdrošība ir saaudušas. Fiziska klātbūtne ļauj apiet ugunsmūri, MFA un šifrēšanu - tāpēc fiziskās kontroles ir tikpat svarīgas kā tīkla kontroles. Tas atspoguļojas arī ISO 27001 Pielikuma A.7 obligātajās fiziskajās kontrolēs.
Kāpēc tā ir kiberdrošība
Fiziskā piekļuve ļauj pievienot ierīces, izņemt diskus, nolasīt RAM vai pieslēgties konsolei - apejot tīkla un autentifikācijas kontroles. Tāpēc serveru telpas, datu centri un galiekārtas ir daļa no uzbrukuma virsmas.
Klasiskie fiziskie uzbrukumi
Evil maid (neuzraudzīta ierīce), cold-boot (RAM atslēgu nolasīšana), DMA caur Thunderbolt/PCIe, BadUSB un nozagtu disku lasīšana. Pretpasākumi: pilna diska šifrēšana, Secure Boot/TPM, portu bloķēšana, BIOS parole.
Mērķis
Ierobežo, kurš fiziski tuvojas aktīviem (least privilege arī telpām), un kārto aizsardzību slāņos (drošības zonas), lai viena slāņa pārkāpums nedotu tūlītēju piekļuvi datiem.
Aizsardzība dziļumā
Koncentriskas drošības zonas - no perimetra līdz ierīcei
Aizsardzība dziļumā: neviena atsevišķa kontrole nav pietiekama. Slāņi ir savstarpēji neatkarīgi, tāpēc viena pārkāpums (piem., ielavīšanās ēkā) joprojām saskaras ar nākamo (badge uz drošo zonu, mantrap datu centrā, slēdzene skapī).
Perimetrs un ieeja (7.1–7.2)
Skaidri definēts perimetrs (žogs, sienas, apsardzes postenis), kontrolēti ieejas punkti ar badge/PIN, apmeklētāju reģistrācija un pavadīšana. Mērķis - tikai pilnvarotie nokļūst iekšā un tas ir izsekojams.
Drošās zonas un darbs tajās (7.3/7.6)
Jutīgās telpas atdala atsevišķi, ar papildu piekļuves kontroli, clean desk / clean screen un noteikumiem par ierakstu ierīcēm. Darbu drošajā zonā uzrauga un dokumentē.
Datu centra īpatnības (7.4)
Nepārtraukta uzraudzība (CCTV, signalizācija, badge žurnāli), mantrap/sluzas pret tailgating, atsevišķa piekļuve serveru rindām un vides kontroles. Piekļuves žurnālus glabā un periodiski pārskata.
Aizsardzības mērķi
5 D modelis - atturēt, atklāt, liegt, aizkavēt, reaģēt
CPTED un 5 D: fiziskā drošība nav par neielaušanas garantiju, bet par to, lai uzbrukums būtu pamanīts un apturēts pirms mērķa sasniegšanas. Tāpēc aizkavēšanai jābūt ilgākai par laiku, kas vajadzīgs atklāšanai un reaģēšanai.
Starptautiskā prakse
ISO/IEC 27002:2022 7. nodaļa un NIST SP 800-53 PE
Fiziskās drošības perimetri
Definēti perimetri ap zonām ar jutīgu informāciju.
Fiziskā ieeja
Ieejas kontrole, apmeklētāju reģistrs un pavadīšana.
Biroju, telpu un iekārtu nodrošināšana
Jutīgo telpu fiziska aizsardzība un izvietojums.
Fiziskās drošības uzraudzība
Nepārtraukta novērošana (CCTV, signalizācija, žurnāli).
Aizsardzība pret fiziskiem un vides draudiem
Ugunsgrēks, plūdi, zemestrīce, civilā nemiers u.c.
Darbs drošajās zonās
Noteikumi un uzraudzība darbam jutīgajās telpās.
Tīrs galds un tīrs ekrāns
Dokumenti un ekrāni netiek atstāti neuzraudzīti.
Iekārtu izvietojums un aizsardzība
Aprīkojums novietots tā, lai mazinātu riskus.
Aktīvu drošība ārpus telpām
Klēpjdatoru, mobilo ierīču aizsardzība ārpus biroja.
Datu nesēji
Storage media aprite, glabāšana un transports.
Atbalsta utilītas
Elektrība, dzesēšana, ūdens - nepārtrauktība.
Kabeļu drošība
Barošanas un datu kabeļu aizsardzība pret bojājumu/noklausīšanos.
Iekārtu apkope
Plānota apkope, lai saglabātu pieejamību un integritāti.
Droša iznīcināšana vai atkārtota izmantošana
Datu nesēju droša dzēšana pirms izmešanas/atkārtotas lietošanas.
NIST SP 800-53 - PE saime
Physical and Environmental Protection: PE-2 (piekļuves pilnvarojumi), PE-3 (piekļuves kontrole), PE-6 (uzraudzība), PE-8 (apmeklētāju žurnāli), PE-13 (ugunsaizsardzība), PE-14 (temperatūra/mitrums), PE-15 (ūdens), PE-18 (komponentu izvietojums).
NIS2 un MK 397
NIS2 (ES 2022/2555) 21. panta riska pārvaldības pasākumi ietver fiziskās vides drošību, piekļuves kontroli un aktīvu pārvaldību. Latvijas MK noteikumi Nr. 397 nosaka minimālās prasības, tostarp fizisko aizsardzību kritiskajiem resursiem.
Citi attiecināmi standarti
PCI DSS 9. prasība (fiziska piekļuve karšu datiem), ISO 27001 Pielikums A.7 (audita atsauce) un NIST SP 800-116 (PIV/PACS kartes piekļuves kontrolei).
Uzbrukumi un pretpasākumi
Fiziskie draudi un to kontroles
Sekošana pa atvērtām durvīm
Nepilnvarota persona ieiet aiz pilnvarotas.
↳ mantrap, turniketi, apziņošana, apsardzeKaršu kopēšana
Vāji šifrētas RFID kartes nolasa un klonē.
↳ šifrētas kartes, PIN+badge, biometrijaSkatīšanās pār plecu
Paroļu/PIN nolasīšana no ekrāna vai tastatūras.
↳ privātuma ekrāni, clean screen, izvietojumsRakšanās atkritumos
Dokumentu un nesēju izmešana bez iznīcināšanas.
↳ smalcinātāji, droša iznīcināšana (7.14)Neuzraudzīta ierīce
Īslaicīga fiziska piekļuve modificē iekārtu.
↳ FDE, Secure Boot/TPM, plombes, seifiIerīču un nesēju zudums
Klēpjdatori, diski un telefoni pazūd vai tiek nozagti.
↳ šifrēšana, attālināta dzēšana, inventarizācijaMehānisku slēdzeņu apiešana
Vājas slēdzenes atver bez atslēgas.
↳ kvalitatīvas slēdzenes, elektroniskā kontrole, žurnāliElektromagnētiskā noplūde
Signālu pārtveršana no kabeļiem/ekrāniem.
↳ ekranēšana, kabeļu drošība (7.12), zonējumsVide, utilītas un nesēji
Vides kontroles un datu nesēju droša iznīcināšana
Pieejamība ir drošība: vides un utilītu kontroles (ISO 7.5, 7.11) aizsargā informācijas pieejamību - barošanas, dzesēšanas vai ugunsgrēka incidents ir tikpat nopietns kā uzbrukums. Kabeļus aizsargā atsevišķi (ISO 7.12).
Loģiska dzēšana
Pārrakstīšana ar standarta komandām - aizsargā pret vienkāršu atjaunošanu. Nesējs paliek izmantojams.
Padziļināta dzēšana
Kriptogrāfiskā dzēšana, degausēšana vai iebūvētā secure erase - dati nav atjaunojami pat laboratorijā.
Fiziska iznīcināšana
Smalcināšana, sadedzināšana, kausēšana - augstākajai klasifikācijai. Nesēju vairs nevar izmantot.
Fiziski-kiber konverģence
Mūsdienu piekļuves kontroles (PACS), IP kameras un BMS sistēmas ir tīklā - tās pašas ir uzbrukuma virsma. Segmentē tās no ražošanas tīkla, atjaunini programmaparatūru un nelieto noklusējuma paroles.
Datu nesēju aprite (ISO 7.10/7.14)
Nesējus marķē pēc klasifikācijas, kontrolē transportu, glabā droši un iznīcina pēc NIST SP 800-88. Dzēšanas metode atbilst datu klasifikācijai - augstākai klasei stingrāka metode.