沒(méi)有這些控件，罪犯就可以在不需要攻破防火墻或入侵防御系統(tǒng)的情況下直接拿到你的數(shù)據(jù)。而他所要做的只是打開(kāi)桌面或服務(wù)器就可以自由操縱你的電腦了。而且任何技術(shù)型或管理型控件都不能阻止有經(jīng)驗(yàn)的攻擊者以物理方式侵入你的系統(tǒng)。

物理安全控制

物理安全的目的是延緩并偵查處入侵者，如此保全人員或法律才能進(jìn)行有效干預(yù)。使用什么樣的控件需要考慮以下幾點(diǎn)：
1. 目標(biāo)的敏感性
2. 是否有保全人員值勤
3. 作出響應(yīng)的時(shí)間

首先，我們假設(shè)某黑客意圖入侵。該黑客接近建筑物的時(shí)候，發(fā)現(xiàn)建筑物被鐵絲網(wǎng)圍起來(lái)了。這些鐵絲網(wǎng)或許可以阻止某些隨機(jī)型入侵者，但是當(dāng)該黑客將數(shù)據(jù)傳輸?shù)侥繕?biāo)建筑中后，想到里面有成千上萬(wàn)美元在等著他時(shí)，他當(dāng)然受不起這樣的誘惑。

不過(guò)他不能直接跨過(guò)圍欄。建筑周圍的安全燈位外部安全攝像機(jī)提供了足夠的照明，所以攝像頭拍下任何異常翻越圍欄的圖像。除非黑客可以熄滅這些燈。仔細(xì)檢查了介于圍欄和建筑物之間的地方后，黑客會(huì)發(fā)現(xiàn)自己的準(zhǔn)備或許不足以應(yīng)對(duì)如此繁復(fù)的戒備。目標(biāo)企業(yè)安裝了運(yùn)動(dòng)傳感器來(lái)偵察是否有人翻越圍欄。黑客過(guò)去應(yīng)付過(guò)這樣的麻煩，但是這仍然會(huì)延緩他的入侵時(shí)間。也就是說(shuō)，僅到這一步，他就需要經(jīng)過(guò)安全燈，圍欄和運(yùn)動(dòng)傳感器三項(xiàng)阻礙。

到此，黑客會(huì)結(jié)束第一次偵察，而他下一步要做的是要看清楚建筑內(nèi)的安全設(shè)備?？拷ㄖ拇箝T還不夠，他還要了解目標(biāo)的響應(yīng)機(jī)制和內(nèi)部控制。黑客會(huì)約見(jiàn)安全經(jīng)理并設(shè)法實(shí)地查看一下目標(biāo)。他或許會(huì)裝扮成一個(gè)想學(xué)習(xí)如何保護(hù)自己設(shè)備安全的安全執(zhí)行官。而安全經(jīng)理則會(huì)自豪地解釋黑客的目標(biāo)系統(tǒng)處于怎樣的保護(hù)之中，殊不知已經(jīng)為黑客大開(kāi)方便之門。再者，通向目標(biāo)設(shè)備的門通常都上了鎖。值勤的保全人員會(huì)阻止任何未攜帶工作卡的人靠近設(shè)備。在進(jìn)入目標(biāo)房間前，必須向保全出示證件。如果來(lái)訪者被列入授權(quán)訪問(wèn)的名單之中，則可以進(jìn)入目標(biāo)房間，而保全也會(huì)隨即打開(kāi)電力鎖。

建筑內(nèi)部的所有活動(dòng)都被攝像頭記錄下來(lái)，不間斷地傳輸?shù)奖O(jiān)控室并保存下來(lái)。無(wú)論入侵者在何時(shí)被發(fā)現(xiàn)，應(yīng)急響應(yīng)方案都會(huì)被激活。成文的響應(yīng)方案包括鎖定設(shè)備，報(bào)警并在關(guān)鍵場(chǎng)所派駐保全。保安經(jīng)理稱他會(huì)定期與自己的團(tuán)隊(duì)訓(xùn)練這一流程，因此安全響應(yīng)可在非常短的時(shí)間里到位。

回到家后，黑客會(huì)仔細(xì)回顧目標(biāo)企業(yè)所部署的控件，分析過(guò)后，他覺(jué)得在被抓到之前，他無(wú)法跨越如此多的障礙并順利完成任務(wù)。他唯一的選擇或許是找到某個(gè)保全，進(jìn)行里應(yīng)外合。

保護(hù)你的企業(yè)

該黑客所遭遇的保護(hù)并非常見(jiàn)的典型安保。大多數(shù)企業(yè)的安保級(jí)別沒(méi)有達(dá)到這種程度，因?yàn)樗麄円床恍枰?，要么資金有限負(fù)擔(dān)不起這類型的物理保護(hù)級(jí)別。但是，不論你使用什么方法請(qǐng)謹(jǐn)記以下幾個(gè)原則：

1. 使用障礙物，如圍欄，圍墻，鎖等阻止攻擊或延緩入侵者。確保延緩的時(shí)間長(zhǎng)于響應(yīng)時(shí)間。
2. 部署偵查控件以便盡快識(shí)別入侵行為。
3. 對(duì)入侵響應(yīng)的流程進(jìn)行計(jì)劃，要有成文規(guī)定并對(duì)流程進(jìn)行演練。

物理安全間隙分析必須考慮風(fēng)險(xiǎn)和企業(yè)對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)。但是任何信息類的企業(yè)都應(yīng)該定期評(píng)估自己的物理安全性能以防止對(duì)關(guān)鍵系統(tǒng)和網(wǎng)絡(luò)設(shè)備的物理入侵。

wangliang