CISSP 物理安全 | 攻击者拿到你的服务器只需要几秒钟️ Domain 3 安全架构与工程 · 第11章 考试权重占 Domain 313%的 15%-20%场景题极高频⚠️ 一句话记住物理安全是信息安全的第一道防线也是最后一道。加密再强、防火墙再硬攻击者只要拿到了设备一切归零。 四条不可突破的红线① 人身安全永远是最高优先级任何场景下生命安全 资产安全 业务连续性 数据安全。火灾时先撤人不是先搬服务器。这条是所有场景题的第一判断依据永远不会错。② 物理安全必须分层纵深防护单点防护失效不能让整个体系崩溃。禁止仅靠一道围墙或一套门禁撑全场——就像银行金库外围围墙→园区门禁→大楼门禁→电梯权限→防尾随门→金库门锁→内部监控缺一不可。③ 全生命周期无断点从设施选址、建设运维到设备退役、介质销毁全程覆盖不能有任何空窗期。④ 最终责任不可外包物理安全的最终责任由企业最高管理层承担。机房托管给第三方不等于甩锅企业仍然是最终责任人。 核心术语速查10 个必记① 物理安全Physical Security保护人员、设施、设备、介质、数据免受物理威胁的全流程管控体系覆盖预防→检测→响应→恢复四个闭环环节。② CPTED通过环境设计预防犯罪第十版重点强化的核心框架。不靠堆安保设备而是从建筑和场地设计源头降低犯罪风险。三大策略自然监视透明玻璃外墙、无死角照明让犯罪无处藏身自然访问控制停车场远离入口通过景观围栏引导人流只能走指定入口领域强化围墙标识绿化明确企业边界外来人员进入时会被明显识别③ 安全分区Security Zoning按资产重要性和风险等级将设施划分为不同安全等级的区域实施差异化防护是分层防护的核心基础。④ 防尾随门Mantrap两道互锁门第一道关闭锁定后第二道才能打开中间区域配金属探测监控。高安全区域的强制准入设备考试极高频。核心作用就一个字防尾随。⑤ UPS不间断电源市电中断后提供短时过渡供电覆盖备用发电机的启动时间。记住UPS 是过渡用的不是长期供电不能替代发电机。⑥ 消磁Degaussing通过强磁场破坏磁性介质机械硬盘、磁带的数据。对 SSD 固态介质完全无效SSD 必须物理粉碎。最高频易错点没有之一。⑦ 安全边界Security Perimeter分隔企业受控区域与外部公共区域的物理边界包括围墙、栅栏、大门、建筑外墙是第一道防线。⑧ EMI/EMF电磁干扰/电磁场电磁干扰会导致设备异常和数据泄露高安全场景需要法拉第笼屏蔽。⑨ 关键作业区Critical Operations Area企业安全等级最高的禁区——数据中心机房、核心主控室、密钥管理室仅极少数授权人员可进入。⑩ 入侵检测系统IDS物理层面检测未授权物理入侵的设备包括红外探测器、震动传感器、玻璃破碎探测器、门窗接触开关等。️ 模块一物理安全核心设计原则OSG 第十版明确了6 大设计原则无优先级高低之分——但人身安全优先是不可突破的最高红线。原则① 人身安全优先任何物理安全设计的最高红线。应急处置时必须先明确人员疏散路线再制定资产保护方案。场景题中出现优先保护资产的选项直接排除。原则② 纵深防御/分层防护从外到内层层设防单层被突破还有下一层兜底。考试中仅依赖单一围墙/门禁的设计 错误答案。原则③ CPTED环境设计预防犯罪三大核心策略必须全部落地自然监视建筑外墙透明玻璃园区无遮挡照明停车场无视觉死角自然访问控制访客停车场远离大楼入口员工通道靠近入口领域强化围墙标识绿化明确企业边界设计时未落地 CPTED 的方案 不完整答案。原则④ 最小授权/最小访问只授权必需的最小区域。普通员工只能进办公区运维人员只能进对应机房访客只能在接待区。过度授权 错误答案。原则⑤ 职责分离门禁权限与钥匙管理分属不同人员安保负责监控不能单独开高安全区门禁介质领用与销毁必须双人复核。核心目标防范内部威胁与监守自盗。原则⑥ 预防-检测-响应-恢复闭环物理安全不是装完摄像头就完事了必须形成完整闭环️预防围墙、门禁、防尾随门检测监控、入侵探测器、震动报警响应安保联动、告警处置恢复设施修复、设备恢复、业务重启无响应流程的检测系统 无效系统。️ 模块二安全分区模型必考企业必须按安全等级从低到高将设施划分为5 个标准区域越靠内部防护越强。五级分区逐级拆解① 公共区域无安全等级企业外部的公共区域不受企业直接管控。仅通过边界防护隔离配合 CPTED 设计压缩犯罪空间。② 接待区/访客区低安全等级前台、访客等候室。基础门禁 前台实名登记 全程监控。访客不得自行进入内部区域。③ 受控区中安全等级普通办公区、会议室、员工休息区。员工专属门禁 常规监控 基础巡逻。禁止访客无陪同进入。④ 受限区高安全等级财务室、研发实验室、运维中心、工控操作间。严格门禁权限 防尾随设计 无死角监控 全程访问审计。仅对授权的特定部门人员开放。⑤ 关键区/禁区最高安全等级数据中心机房、核心金库、主控室。双因素认证 防尾随门 双人双锁 生物识别 24 小时专人值守 物理隔离 禁止任何无线设备进入。仅极少数授权人员可进入。通俗比喻就像故宫——天安门广场公共→ 午门入口接待→ 外朝受控→ 内廷受限→ 皇家金库关键区。越靠里防护越强能进去的人越少。⚠️ 高频考点分区逻辑从外到内安全等级逐级提升必考概念题关键区标配双因素 防尾随门 双人双锁 24 小时值守访客进入受控区及以上必须授权人员全程陪同禁止自行进入 模块三物理访问控制核心措施 外部边界访问控制围墙/栅栏普通防护高度 ≥ 2.4 米8 英尺高安全区域高度 ≥ 3 米顶部加装带刺铁丝网底部嵌入地面防挖洞大门/入口控制主入口安保值守 车辆道闸 行人门禁高安全园区车辆防撞柱 防冲撞路障货运入口与人员入口分离单独管控照明系统边界、入口、停车场全覆盖夜间照明无视觉死角。敏感区域亮度不低于 2 勒克斯。符合 CPTED 自然监视要求。停车场管控访客停车场设在园区外围远离建筑入口员工停车场靠近建筑入口配车牌识别 门禁 全覆盖监控。 内部区域访问控制防尾随门Mantrap——最高频考点 ⭐双门互锁第一道关闭锁定后第二道才能打开中间区域配金属探测视频监控。核心作用彻底防范尾随入侵。机房、财务室、关键区的强制准入设备。门禁系统三要素something youknow密码 / PIN 码something youhave门禁卡 / 智能令牌something youare指纹 / 人脸 / 虹膜⚠️高安全区域必须双因素认证禁止单密码或单门禁卡准入。锁具管理高安全区域必须防撬高安全等级锁具钥匙全生命周期管理领用/归还/复制全程审批登记丢失立即换锁离职当日归还全部钥匙门禁卡。访客管理提前预约 → 前台实名登记 → 发放临时凭证 →授权人员全程陪同→ 临时权限当日有效 → 离开时回收凭证。禁止携带未审批的摄影/存储设备进入敏感区域。双人双锁/多人控制关键区/禁区的强制要求必须两名授权人员同时到场同时验证身份才能开启门禁。防范单人监守自盗。️ 模块四环境与生命安全控制 消防与火灾安全——人身安全第一红线消防核心优先级人员疏散优先灭火其次。应急出口必须从内部轻松开启、外部无法打开且不能成为入侵入口。灭火剂选择——必考场景题水适用普通固体可燃物纸张、木材⛔绝对禁用于机房和电气设备间——会损坏精密设备残留水分导致永久损坏哪怕断电后也禁止二氧化碳CO₂适用电气火灾、精密设备火灾优势不损坏设备灭火后无残留⚠️ 密闭空间人员聚集区慎用会导致窒息干粉灭火剂适用配电室、仓库、化学品火灾⛔ 不适用于核心机房——干粉会损坏精密设备且极难清理FM-200 / 洁净气体灭火剂适用数据中心机房、封闭空间精密设备优势替代哈龙环保安全对人体无害不损坏设备✅机房火灾的首选方案⚡ 电力供应安全三层冗余架构高频考点三者区别和互补关系双路市电核心业务区域必须采用来自不同变电站的双路市电供电避免单路中断导致停电。UPS不间断电源市电中断 → UPS 立即接管 → 发电机启动完成 → 切换发电机。电池容量至少 15 分钟高安全场景需 1-4 小时。UPS ≠ 发电机不能相互替代。⛽备用发电机长时间停电的持续供电方案。必须储备至少 72 小时燃油定期启动测试安装在远离洪水/火灾风险的通风位置。一句话记忆UPS 是过渡桥发电机是长跑选手市电是主路三条路互补不能替代。️ 温湿度与电磁防护标准环境参数必考数值数据中心/机房标准温度18℃ - 24℃标准相对湿度40% - 60%湿度过高 → 腐蚀 短路湿度过低 → 静电 → 击穿电子元件静电防护机房必须铺设防静电地板进入前释放静电禁止穿着易产生静电的衣物。电磁防护核心设备远离强电磁源变压器、电机、雷达机房做电磁屏蔽高安全场景配置法拉第笼。防水/防洪机房必须设置在地上楼层⛔ 禁止地下室/低洼区域配置漏水检测系统建筑周边设置防洪排水设施。 模块五监控、检测与告警视频监控CCTV全覆盖所有入口、边界、敏感区域无死角必须具备低照度 红外夜视能力录像不可篡改、不可删除留存至少30 天高安全区域 ≥ 90 天监控室 24 小时专人值守物理入侵检测系统边界防护震动传感器 红外对射探测器 围栏防攀爬探测器建筑防护门窗接触开关 玻璃破碎探测器 室内红外移动探测器高安全区门禁异常告警 防尾随门异常告警 金属探测告警⚠️ 关键要求所有检测系统告警必须实时联动安保人员和应急响应流程。无联动处置的检测系统 无效系统这是高频错误选项。安保巡逻定期 随机巡逻计划高安全区域提高频次全程打卡记录可审计配备应急通讯和处置设备。 模块六设备与存储介质物理安全设备物理防护核心设备部署在高安全等级机房严格访问控制设备加装物理锁防盗防非法拆卸BIOS/UEFI 设置密码防止被盗后非法启动必须配置全磁盘加密BitLocker 等设备被盗后数据无法被读取存储介质全生命周期管控入库/领用统一登记编号领用审批明确责任人使用中按数据分级标注密级存放保险柜禁止随意带出销毁——最高频考点⭐️机械硬盘 / 磁带磁性介质→ 消磁 物理粉碎两步都要做才彻底SSD / U盘 / 闪存固态介质→ 必须工业级物理粉碎→ ⛔消磁对 SSD 完全无效——最高频易错点纸质文件→ 交叉切碎机销毁禁止整张投入普通垃圾桶便携式设备安全必须加密 强密码开启远程定位 远程擦除功能丢失后立即清除数据禁止存储高敏感数据禁止未经审批的个人设备接入企业核心网络设备退役处置退役前彻底清除所有数据高敏感设备必须物理销毁存储介质禁止未经数据清除的设备转售/捐赠/丢弃。⚠️ 七大高频误区纠正误区① 发生火灾要先抢救核心设备和数据✅ 人身安全永远第一。先疏散人员再考虑资产。优先保护资产的选项永远是错误答案。误区② 加密做好了设备被盗也没关系✅ 物理安全是所有技术防护的基础。攻击者拿到设备可以用冷启动攻击、硬件拆解等方式突破加密。没有物理安全技术防护无法提供绝对保障。误区③ 消磁可以销毁 SSD 的数据✅ 消磁仅对机械硬盘/磁带有效。SSD 没有磁性存储元件消磁完全无效必须物理粉碎。考试最高频错题。误区④ 访客在前台登记后可以自行进入办公区✅ 访客仅能在接待区活动进入内部区域必须授权人员全程陪同禁止自行活动。误区⑤ UPS 可以替代备用发电机✅ UPS 短时过渡发电机长时持续二者互补不可替代。误区⑥ 机房火灾只要先断电就可以用水灭火✅ 哪怕断电后也绝对禁止用水。水会损坏精密设备且残留水分导致永久损坏。机房必须用 CO₂ 或洁净气体灭火剂。误区⑦ 普通员工只要有运维人员陪同就可以进入机房✅ 机房属于高安全等级的受限区/关键区仅授权运维人员可进入。非授权人员包括普通员工、高管无业务必需理由禁止进入即使有人陪同也不行。 跨域关联速查Domain 1 安全与风险管理物理威胁是企业核心风险物理防护是风险缓解的落地手段最终责任由最高管理层承担Domain 2 资产安全介质物理安全、设备安全、数据销毁是资产全生命周期管理的收尾闭环资产分级决定物理防护强度Domain 3 安全架构与工程物理安全是安全架构的底层基础与系统安全、密码学、安全模型深度绑定Domain 4 通信与网络安全物理边界防护是网络边界防护的基础电磁防护是通信安全的底层保障Domain 5 身份与访问管理物理访问权限与数字访问权限统一管理遵循相同的最小特权原则Domain 6 安全评估与测试物理安全审计、渗透测试、应急演练有效性验证Domain 7 安全运营物理监控告警处置、变更管理、应急响应是安全运营的日常工作Domain 8 软件开发安全开发环境物理隔离、源代码存储介质物理安全是软件供应链安全的底层基础⚡ 考前速记总结人身安全三条铁律人身安全 资产安全永远不会错应急出口内部轻松开启外部无法打开消防首要任务疏散人员不是灭火物理访问控制四件套防尾随门 高安全区域强制准入双门互锁双因素认证 高安全区域门禁标配双人双锁 关键区/禁区强制要求全程陪同 访客进入内部区域的必须条件灭火剂三选一机房 → CO₂ / 洁净气体 ✅机房 → 水 ❌哪怕断电也不行机房 → 干粉 ❌损坏设备难清理介质销毁两个必记磁性介质机械硬盘/磁带→ 消磁 物理粉碎固态介质SSD/U盘→ 只能物理粉碎消磁无效UPS vs 发电机UPS 短时过渡15 分钟 ~ 4 小时发电机 长时持续72 小时以上两者互补不可替代温湿度标准数值机房温度18℃ - 24℃机房湿度40% - 60%分区模型记忆口诀公共 → 接待 → 受控 → 受限 → 关键区越靠里防护越强人越少