HW在即,那些被遗忘的物理安全还好吗?

安全 移动安全
随着网络安全产业的发展和融合,网络攻击的复杂性正在快速上升,一次成功的网络攻击往往包含多个步骤。在这个过程中,物理攻击往往以网络攻击的跳板或后门出现,并且同样呈现出快速上升的趋势。

近段时间,一个网络攻击的段子在互联网上火了起来。

“某公司被黑客勒索,每20分钟断一次网,给公司带来了极其严重的影响,但通过技术手段怎么也找不到问题。最后公司发现是黑客买通了保安,每20分钟拔一次网线。”

看完后,网友不禁感叹,“最有效的攻击往往只需要使用最朴素的方式。”

诚然这个段子有点夸大的成分,却也点出了物理安全(这里指“物理设备安全”)对于企业网络安全体系的重要性:在绝大部分时间它都很不起眼,经常被大家遗忘在角落里,以至于出现问题后竟一时无法发现,更别提进行应急响应。

其原因在于,企业在建设安全体系时会更侧重于防范网络性攻击风险。而且安全投入的资源和人力有限,自然无法面面俱到,自然也就会遗忘一些不起眼的角落。但在这些角落里,同样隐藏着致命的风险。

随着物联网技术的快速发展并广泛应用于生活之中,物理安全的重要性进一步凸显。此时,企业也需要开始重视物理安全。毕竟安全是一个整体,只要有一个地方出现了漏洞,攻击者就有可能顺着这个漏洞进行入侵。

随着一年一度的HW即将开始,那些被遗忘在角落里的物理安全还好吗?

物理安全是网络安全的基础

所谓物理安全,是指拒绝未经授权访问设施,设备和资源并保护人员和财产免受损害或伤害(如间谍活动,盗窃或恐怖袭击)的安全措施。 物理安全涉及使用多层互相依赖的系统,其中包括闭路电视监控、安全警卫、防护屏障、锁、访问控制协议以及许多其他技术。

物理安全主要涉及机房环境要求、设备安全和传输介质安全三个方面,每个方面都有不同的要求。其中,设备安全主要包括设备的防盗、防毁坏、防设备故障、防电磁信息辐射泄漏、防止线路截获、抵抗电磁干扰及电源保护等方面的内容。其目标是防止组织遇到资产损坏、资产流失、敏感信息泄露或商业活动中断的风险。

针对物理安全,此前颁布的等保2.0也有类似的明确要求。

例如,在机房的物理位置选择上,等保2.0就明确规定:

  • 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;
  • 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。

毕竟数据机房关乎企业的生命线,倘若出现断电、漏水等问题,导致数据机房无法工作,那么将会给企业业务连续性造成毁灭性打击,甚至导致企业无法运转。

而在物理访问控制上,等保2.0也指出:

  • 机房出入口应安排专人值守,控制、鉴别和记录进入的人员;
  • 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围;
  • 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域;
  • 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员等。

事实上,物理安全就在我们身边。例如我们常见的门禁系统就是一道物理安全措施,可以避免外部人员进出公司,但要注意其他进出渠道,如楼梯间;类似还有严格区分访客网络和内部员工网络,避免攻击者可直接访问员工网络,并以此发起网络攻击等。

此外,还有一些敏感重要的地方应设置权限规则,尽可量减少非必要人员的靠近,包括数据机房、财务系统等,防止攻击者混入其中。

千万别以为没有人会去破坏数据机房或中心,这样的思维定势对于安全工作来说极为不利。2021年,美国德克萨斯州一名男子就曾策划,对亚马逊部署在弗吉尼亚州的网络服务(AWS)数据中心发动炸弹袭击,目标是“毁坏约70%的互联网”。

所幸FBI的卧底给了该男子一枚哑弹,使得这一疯狂的举动并未成功。事后亚马逊表示,公司非常重视员工和客户数据的安全保障,并不断审查各种载体,以应对任何潜在威胁,未来将继续保持对员工和客户的这种警惕性。

目前,企业与机构对于数据安全愈加重视,各种安全产品、安全策略安排得井井有条。但是与此同时,对于机房、数据中心等重要场地的物理安全也不容忽视。

美国FBI逮捕了一名德克萨斯州的男子,原因是据称该男子计划对弗吉尼亚州的一个亚马逊网络服务(AWS)数据中心发动炸弹袭击,并且他的目标是“毁坏约70%的互联网”。

当下,企业所面临的物理威胁形势越来越严峻。根据Ontic 保护情报中心发布的《2021 年年中展望保护情报报告》,大多数受访者表示企业应对物理威胁保持一定的警惕;半数以上受访者认为物理攻击活动正在逐渐增加;一半以上的受访者认为,自己的企业在物理安全方面准备不足。

那些“神奇”的物理攻击

随着网络攻击的趋利性日渐明显,攻击者更倾向于使用较低的成本,获取更高的收益。某些时候,物理攻击往往成本更加低廉,以一种出人意料的方式来完成攻击行为,但效果有时却更直接、有效,让人不禁感叹“这样也可以”。

这里简单列举几个代表性案例。

1. 故意丢失的U盘

21世纪初,U盘攻击是一种十分常见的攻击手法,2007年,“U盘寄生虫”病毒更是登上了病毒排行榜榜首,成为互联网面临重大威胁之一。攻击者一般会将已经加载好木马的U盘故意丢在目标用户的必经之路,一旦对方捡起U盘并插入电脑之中,其木马病毒将会绕过电脑的防护系统,黑客可以轻而易举地入侵目标用户的系统。

除了U盘之外,MP3、MP4、移动硬盘、数码相机等移动储存设备无一例外地成为此类病毒的传播载体。2018年,台积电生产线感染了臭名昭著的WannaCry勒索病毒,导致多个厂区被迫停产,损失达到惊人的近10亿人民币。而这一切的根源,很有可能是台积电员工使用了加载了勒索病毒的U盘。

2. 利用电源窃取数据

以色列内盖夫本·古里安大学曾发布了一项研究报告揭露了一种“会说话”的恶意软件。它通过启动和停止CPU工作负载,影响电源的开关频率,从而让电源中的变压器和电容器发出声音信号。

简单来说,恶意软件利用变化电流所对应的变化电磁场,将其转化为音频,以便窃取数据。 而这种特殊的“噪音”,一旦被声波接收设备捕获,稍加提取处理,就能复原成原始信息,也就是目标电脑设备上的高敏感数据。

这样的攻击方式听起来是不是和传统的网络攻击大相径庭,既不需要WiFi,也不需要蓝牙,黑客竟然可以轻松获取目标的机密数据。另外,由于这样的攻击并不是以传统入侵的方式进行,因此极难被发现。

3. 灾备不完善导致损失惨重

2020年,微盟就因程序员删库一事损失惨重。根据公开报告,程序员因个人原因深夜删除微盟数据库,导致微盟自2020年2月23日19时起瘫痪,300余万用户无法正常使用该公司SaaS产品,故障持续时间长达8天14个小时。微盟一夜之间市值蒸发超10亿,300万商铺惨遭瘫痪,微盟支付恢复数据服务费、商户赔付费及员工加班报酬等经济损失共计人民币2260余万元。

虽然删库不是一项真正意义上的物理攻击,但是从删库一事造成的严重影响来看,很明显微盟没有做好容灾备份,最起码每天的增量备份工作没有完成,还有可能没有对非机构化数据进行备份。而缺乏对物理安全的重视,最终让微盟付出了无比惨痛的代价。

类似的案例历史上已经出现过许多次,其中不乏无法恢复备份的情况,但是总有企业心存侥幸,以至于事故出现时无能为力。

4. 直接潜入公司获取登录凭证

很多人因为不愿意记账号和密码,就直接将其贴在了桌子上。在某次HW演练中,攻击方成员了解到这一情况后,就伪装成该公司的保洁人员,光明正大进入公司办公区域,并以打扫卫生,清理垃圾为由,悄悄查看员工的登录凭证,最终凭借这些信息成功入侵企业内网。而目标公司对此则一脸懵逼,看着没有被攻击的安全体系,始终弄不明白为什么这么容易就被打破了内网。

5. 利用激光和LED突破物理隔离

众所周知,LED常用语打印机等设备内,用以显示设备状态,而这种LED是可以接受光信号。利用这一特性,攻击者将激光定向发送到事先安装好的LED,并记录LED灯的响应情况,建立了一个可以双向使用的长达25米的隐蔽通信通道。

根据测试情况,这个隐蔽通信通道的数据输入速率可以达到每秒18KB以上,数据输出速率可以达到每秒100KB,已经足够支持一般文字文件的实时传输。这就意味着,利用激光和LED,攻击者不仅可以读取物理隔离系统中的数据,还可以写入数据;并在不添加额外硬件的情况下,在被攻击的设备中检索数据。

类似的物理攻击案例还有很多。而面对这些物理攻击,企业的安全体系往往显的捉襟见肘,传统应对网络的各种方法无法奏效,甚至短时间内都无法找到问题出现的原因。

物理攻击广泛存在于商业犯罪之中

除了利用物理攻击突破企业安全体系外,物理攻击还广泛被用于商业犯罪和间谍窃听中,其过程更加隐蔽且具有高威胁性。

例如在上世纪四十年代,苏联曾经利用一种名为“金唇”的窃听器窃听了美国驻苏联大使馆长达七年的时间。期间历任数届大使,大使馆还进行了翻新和装修,但是这个窃听器就一直安安稳稳放在了大使馆的墙上。

该窃听器藏在一枚苏联赠送的木制美国国徽之中,拿到该礼物后,大使馆技术人员对此进行了细致的检查,由于没有发现电池,因此断定绝不可能是窃听器。

但实际上,“金唇”窃听器所使用的是射频识别技术。这是一种无线电通信技术,最大的特点就是自身无需电源即可工作。“金唇”内部有一个线圈组件,收到外部发射过来的无线电信号后, 通过电磁感应就会自动产生电流,实现无需电池就可以驱动设备工作。而没有外部的无线电信号时,这个设备就不会工作,也不会发送任何无线电信号,非常隐蔽,不容易被发现。

此外,在商业环境中还有另外一种神奇的窃听技术——激光窃听。

其原理是用激光发生器产生一束极细的激光,发射到被窃听房间的玻璃上。当房间里有人谈话的时候,玻璃因受室内声音变化的影响而发生轻微的振动,从玻璃上反射回的激光包含了室内声波的振动信息。人们在室外一定的位置上,用专门的激光接收器接收,就能解调出声音信号,从而监听室内人的谈话。

由于激光窃听设备并不需要放置到被监听者的房间内,所以很难被排查发现。较早的激光窃听器需要极大的稳定性,往往会在一个较为固定的地方实施。据称海湾战争期间,美国情报人员在伊拉克使用激光窃听技术,从行驶的汽车反光镜上捕捉到了车内伊拉克高级将领说话的声音,通过技术处理掌握了车内谈话的全部信息。

除窃听外,其他被用于商业犯罪的攻击手段还有很多,包括利用针孔摄像头摄像,在车上或身上安装定位设备,在键盘上安装记录器,安放无线干扰器干扰对手投标答辩等等。随着经济的不断发展,当下商业犯罪手段出现的频率越来越高,值得引起企业的重视。

结语

随着网络安全产业的发展和融合,网络攻击的复杂性正在快速上升,一次成功的网络攻击往往包含多个步骤。在这个过程中,物理攻击往往以网络攻击的跳板或后门出现,并且同样呈现出快速上升的趋势。

究其原因,网络安全体系的整体能力正在逐步提升,拉高了单次网络攻击的成本,迫使攻击者选择成本更低的攻击路径,而此时不怎么显眼的物理安全就成为了新的突破点。尤其是当下很多企业的物理安全和网络安全存在割裂感,给了攻击者可趁之机。

当下,全国HW行动即将启动,相信针对物理安全部分的攻击也将逐渐增加。毕竟网络安全是一个整体性的工程,短板效应十分明显。

此时,企业也应适当回过头,看看那些被遗忘在角落里的物理安全。

责任编辑:赵宁宁 来源: FreeBuf.COM
相关推荐

2019-12-10 10:59:11

分层架构项目

2014-10-28 10:53:39

UNIX

2012-05-11 09:45:07

海量数据

2019-05-23 11:23:50

2022-02-23 15:41:10

Wi-Fi 6EGHz频段WiFi 7

2022-02-22 19:26:58

Wi-Fi 6EWi-Fi 7Wi-Fi 6

2009-07-27 10:11:08

富士康孙丹勇

2020-10-27 16:23:23

互联网老人技术

2019-12-18 15:05:17

运营商5G物联网

2020-07-20 11:23:24

信息安全个人信息数据安全

2013-07-15 09:57:24

微软SaaSTurner

2012-02-15 15:18:07

2023-03-09 08:13:34

2023-04-07 14:04:51

AI

2022-04-22 11:16:35

Linux工具命令

2021-06-21 10:26:09

Linuxgpio_keys代码

2022-08-22 07:08:12

敏捷开发软件

2020-07-13 07:27:16

Python开发

2010-07-27 16:07:25

点赞
收藏

51CTO技术栈公众号