Physische Serversicherheit

Es wird viel Zeit und viel Zeit in Spalten investiert, um einen Server vor Angriffen von außen zu schützen. Dies ist absolut richtig, da es für einen Angreifer einfacher ist, über das Internet einen Server zu beschädigen, als für ihn, physischen Zugriff zu erhalten.

Einige IT-Experten überschätzen jedoch die Bedeutung der physischen Serversicherheit. Viele, wenn nicht die meisten der gravierendsten Sicherheitsverletzungen werden innerhalb des Unternehmens durchgeführt.

• Wie schützen Sie Ihre Server vor Benutzern mit Vor-Ort-Zugriff, die nicht auf den Server oder den Serverraum selbst zugreifen müssen?

Befindet es sich direkt neben dem Schreibtisch des IT-Managers in einer Kabine oder hinter mehreren Türen mit elektronischer Karte und biometrischem Zugang?

Wenn jemand physischen Zugriff auf die Server hat, welche Schutzmaßnahmen verhindern oder protokollieren den Zugriff auf vertrauliche Daten, die er nicht unbedingt sehen muss?

Dies ist natürlich von Unternehmen zu Unternehmen unterschiedlich und von Unternehmen zu Unternehmen unterschiedlich, aber selbst Druckserver haben Zugriff auf vertrauliche Daten (Verträge und Mitarbeiterinformationen), die gedruckt werden. Das bedeutet, dass mehr dahinter steckt, als auf den ersten Blick zu vermuten ist.

Alle unsere Produktionsserver sind auf der anderen Seite der Welt in einem soliden Rechenzentrum gespeichert. Menschenfallen, biometrische Scanner, die ganze Kiste und Würfel.

Für die Maschinen, die sich in unserem Büro befinden, wohnen sie im Serverraum, der nur über eine Swipe-Karte zugänglich ist. Nur die Sysadmins haben Swipe-Karten, die auf diesen Bereich zugreifen können.

Kurz gesagt, wenn jemand Ihre Ausrüstung physisch in Händen hält, gehören Ihre Daten ihnen. Wenn dies ein ausreichendes Anliegen ist, ist es eine schwierige, aber notwendige Anforderung, irgendetwas Wertvolles zu pgpen und es im Handumdrehen zu entschlüsseln.

Bearbeiten: Sie können dies auf Fragen der physischen Sicherheit Ihrer Sicherungsmedien ausweiten. Was nützt solide physische Sicherheit, wenn Ihre Offsites nicht so oder sicherer sind?

Die Menge an physischer Sicherheit, die Sie benötigen, hängt von der Art und Größe Ihres Unternehmens, des IT-Personals usw. ab. Für die meisten kleineren Unternehmen reichen eine verschlossene Tür und eine kostengünstige Überwachungskamera aus.

Es ist auch wichtig, den Zugang zum elektrischen Schrank zu sichern. Das Abschalten von Computersystemen ist ein wichtiger Schritt, um einen Breaker zu werfen.

Alle Arten der physischen Sicherheit können mit Smartcard-Zugriff, Prox-Sensoren, schweren Türen, Trittplatten, Kameras, sicheren Passwörtern und biometrischen Daten erreicht werden.

Das Problem ist, wenn Elektriker die Verkabelung durchführen, die Tür mit einem Ziegelstein öffnen und zum Mittagessen aufbrechen mussten, ohne jemanden zu benachrichtigen. Es war einmal passiert. Zum Glück kam ich einen Moment später herein. Witzig, wie ein Ziegelstein mehr als 10.000 US-Dollar an Sicherheit umgehen kann.

Etwas anderes. Hüten Sie sich vor nicht-technischen Benutzern und deren Dummheit.

Unsere Produktionsserver waren im Colocation-Center sicher, die Entwicklungsserver im Büro. Einmal fand die Putzfrau keine freie Steckdose und steckte den Staubsauger in die USV des Servers. Zum Glück hatte es einen ziemlich lauten Überlastungsalarm, so dass wir sofort reagieren konnten.

Anderer Fall (ich weiß nicht, wie viel echte oder urbane Legende es ist), in dem es jeden Tag in den frühen Morgenstunden zu mysteriösen Ausfallzeiten auf einem der Server kommt. Niemand konnte das Problem identifizieren. Dies hatte zur Folge, dass der Wachmann zu Beginn seiner Schicht einen der Server auszog und die Kaffeemaschine anschloss. Er meinte, dass "niemand es merken würde, es waren nur 3 Minuten".

Da unser Gebäude früher eine Bank war, haben wir unsere Server im Tresor aufbewahrt. Die Kühlung ist nicht so toll, aber wir haben nur ein halbes Dutzend, und keiner von ihnen ist enorm leistungsfähig, also ist es kein wirkliches Problem.

Dies ist eine teils urbane Legende, teils Wahrheit.

UL: Eine Firma ließ einen neuen Computerraum bauen und der IT-Administrator zeigte einem seiner Freunde die Sicherheitsmaßnahmen (Man-Trap, Swipe Cards usw.). Der Freund nickte und schien sehr beeindruckt zu sein. Ein paar Minuten später unterhalten sich die beiden direkt vor der Tür, als der Freund eine Idee hat. Er dreht der Wand den Rücken zu und gibt ihr einen guten Tritt, wobei er ein großes Loch in die Wand schlägt. Unnötig zu erwähnen, dass der Administrator die Wände vor dem Einzug verstärkte.

Wahrheit: Mietfläche für kleine Unternehmen in einem Gebäude mit mehreren Mietern. Kartenschlüssel usw. Über ein Wochenende schlug jemand ein Loch in die Trockenbauwand neben der Tür und stahl 20 Computer (einschließlich des Servers mit allen Lizenzschlüsseln).

Wir haben eine Metallschicht unter der Trockenmauer unseres Computerraums.

Unser Serverraum ist durch eine Keycard geschützt. Nur IT-Mitarbeiter verfügen über Schlüsselkarten, die die Tür öffnen, und nur die Sicherheitsabteilung hat die Kontrolle über die Zugriffsberechtigungen Ihrer Schlüsselkarte.

Sobald sich alle Server im Serverraum befinden, werden sie in geschlossenen Racks aufbewahrt. Die Vorder- und Hintertüren jedes Racks sind verriegelt, und nur IT-Personal erhält Rackschlüssel.

Wir halten auch die Netzwerkschränke auf allen Etagen verschlossen, und nur Mitglieder des Facilities-Teams haben Schlüssel für diese Türen.

Wenn es sich um ein kleines bis mittleres Unternehmen handelt, werden die Server wahrscheinlich im Colocation Center sein. Wenn es sich um ein großes Unternehmen handelt, wird es ein eigenes Unternehmen sein.

Dies bietet normalerweise physische Sicherheitsmittel, die Sie erwähnt haben. Was Sie nicht erwähnt haben, ist die elektromagnetische Abschirmung, die das Abhören verhindert (es gibt im Handel erhältliche Produkte, die Twisted-Pair-Ethernet aus einer Entfernung von etwa dreißig Metern abhören können). Bei Banken handelt es sich um bunkerartige Strukturen, die selbst EMP-Angriffen standhalten .

Es ist auch typisch für ein Rechenzentrum, mindestens zwei physische Standorte zu haben und ein Backup für den Fall einer Naturkatastrophe (Überschwemmung, Brand, was auch immer) zu haben. Natürlich ist es eine eigene Stromversorgung, nicht nur USV, sondern auch Generatoren.

Lassen Sie Ihre IT-Mitarbeiter (und wenn möglich einen Polizisten / Reservisten-Freund oder jemanden aus dem Sicherheitsbereich) eines Tages in einem Raum sitzen. Beobachten Sie Sneakers, Mission Impossible und Oceans 11.

Überlegen Sie sich dann jedes Szenario, in dem jemand in den Raum eindringen würde. Unter dem Boden, durch die Wände, das Türschloss, durch die Decke, durch die Lüftungsschlitze.

Dann schichten Sie Ihre Sicherheit.

Verwenden Sie Türen, Schlösser, Beton und Metallgitter, um den Raum so undurchlässig wie möglich zu machen.

Nehmen Sie dann an, dass Ihre erste Sicherheitslinie verletzt ist.

Bewegungssensoren, stille Alarme und akustische Alarme sind alle gut.

Schlösser an allen Racks halten Leute fern (oder bremsen sie).

Ein paar Kameras (vor der Tür und im Serverraum), die sich in einem separaten Raum / Standort anmelden, sind eine hervorragende Abschreckung.

Vergessen Sie nicht, die Backups zu sichern.

Meine Arbeit dreht sich um etwas, das nicht so kritisch ist ... also ist die Sicherheit nicht so streng wie " Iron Mountain " oder so. Jedoch...

Der Serverraum befindet sich im zweiten Stock eines Gebäudes, in dem 6-Zoll-Betonplattenwände verwendet werden. Der erste Außeneinstiegspunkt erfordert einen Schlüssel (und das Überholen von Mitarbeitern an der Rezeption). Der zweite Einstiegspunkt erfordert einen anderen Schlüssel. Der dritte Einstiegspunkt Benötigt einen dritten Schlüssel und die Tür besteht aus Glas mit Drahtgeflecht, um gelegentliche Angriffe zu verhindern, obwohl vermutlich jemand mit einer Kettensäge, einer Lötlampe oder einem anderen lauten / aufdringlichen / offensichtlichen Angriffsmittel durchkommen würde Bei DVRs, die Bewegungen rund um die Uhr aufzeichnen, und bei DVRs selbst erfolgt die Sicherung auf ähnliche Weise.

Backups werden im Serverraum in einem medienbewerteten feuerfesten Einsatz aufbewahrt, der dann in einem zusätzlichen feuerfesten Safe abgelegt wird. Offsite-Backups werden direkt vom IT-Manager erstellt, der in einem alarmierten Haus lebt (und ich bin sicher, dass er auch einen Safe vor Ort hat).

Nein, ich habe weder die physische Sicherheit entworfen noch die Richtlinie für die physische Sicherheit festgelegt. Der Laden verkauft Kisten mit Kohl und Orangen und so weiter. Es ist also nicht so, als würden wir mit Militär- oder Staatsgeheimnissen umgehen ...

Abhängig von Ihren Daten möchten Sie möglicherweise eine Überwachung in Betracht ziehen.

Ein mir bekanntes Rechenzentrum - ich habe nicht darauf zugegriffen, aber meine Teamkollegen. Sie benötigen einen Lichtbildausweis und eine Zugangsberechtigung. Im Fall unseres Teams, das es nur selten besuchte, mussten wir einen Brief von unserem Direktor erhalten, um auf unsere Server zuzugreifen.

Sobald sie sich entschieden hatten, Sie einzulassen, nahmen sie einen Daumenabdruck und hängten den Standardausweis / die Zugangskarte an Sie. Dann wurden Sie von zwei Personen begleitet, einer technischen Eskorte und einem Wachmann. Ich verstehe, die Idee war, wenn die technische Person sah, dass Sie etwas taten, das sie nicht mochte, setzte sie den Wachmann auf Sie, um Sie daran zu hindern, das zu tun, was es war.

In diesem Rechenzentrum befanden sich Server für große internationale Banken in der City of London.

Ha ha, ich wusste, die Leute haben die Sicherheit ernst genommen, aber die Biometrie? mental. Ich nehme an, es hängt wirklich von der Art der von Ihnen gespeicherten Daten ab. Ich musste ein kleines Setup für unsere Designfirma recherchieren und wir fanden einige gute Dinge auf GuruOnline, viele Videos über Netzwerksicherheit und andere Dinge. Es ist ziemlich einfach, könnte aber ein guter Anfang sein ...

Die Putzfrau mit Staubsauger und Wachmann mit Kaffeemaschine. Haha. Zumindest werden sie nicht dafür bezahlt, all das IT-Zeug zu kennen. Hier ist die wahre Halloween-Geschichte.

Unser IT-Manager hat beschlossen, weiterzumachen und zu kündigen. der geschäftsführer des unternehmens beauftragte jemanden, der keine ahnung von it hatte, aber sie gingen auf die gleiche schicke schule, also sprachen sie in dem interview wohl über alte zeiten, ruderherausforderungen, schnaps und mädchen.

In seiner zweiten Woche ging der neue IT-Manager in den Serverraum und machte sich nach einigen Stunden mit dem Setup vertraut (ich habe immer noch keine Ahnung, was er dort tat). weil die klimaanlagen dort ziemlich stark sind, hat er sie ausgeschaltet. nach ein paar stunden des scherzens ging er nach hause (vielleicht sehr zufrieden, vielleicht sogar buchstäblich - ich schließe die möglichkeit nicht aus, dass er p0rn dort beobachtet). Er war sicherlich sehr müde (viele Stunden Lärm usw.) und vergaß natürlich, die Klimaanlage wieder einzuschalten.

Am Morgen war der Datenbankserver vollständig zum Stillstand gebracht, und zwei andere Server fielen in den nächsten zwei Tagen aus.

und du sagst Putzfrau. Sie würde sicherlich bessere Arbeit leisten (vor allem für den Betrag, den er bezahlt hat). Das einzig Gute an dieser Geschichte ist, dass die gesamte IT-Abteilung, jeder von uns, nacheinander zum MD ging und sagte, dass dies eine Katastrophe sein wird, wenn er bleibt. Zum Glück wurde MD klar, dass etwas wirklich nicht in Ordnung ist, wenn alle das sagen und den Ausspruch aussprechen.