近段時間，一個網絡攻擊的段子在互聯網上火了起來。

“某公司被黑客勒索，每20分鐘斷一次網，給公司帶來了極其嚴重的影響，但通過技術手段怎么也找不到問題。最后公司發現是黑客買通了保安，每20分鐘拔一次網線。”

看完后，網友不禁感嘆，“最有效的攻擊往往只需要使用最樸素的方式。”

誠然這個段子有點夸大的成分，卻也點出了物理安全(這里指“物理設備安全”)對于企業網絡安全體系的重要性：在絕大部分時間它都很不起眼，經常被大家遺忘在角落里，以至于出現問題后竟一時無法發現，更別提進行應急響應。

其原因在于，企業在建設安全體系時會更側重于防范網絡性攻擊風險。而且安全投入的資源和人力有限，自然無法面面俱到，自然也就會遺忘一些不起眼的角落。但在這些角落里，同樣隱藏著致命的風險。

隨著物聯網技術的快速發展并廣泛應用于生活之中，物理安全的重要性進一步凸顯。此時，企業也需要開始重視物理安全。畢竟安全是一個整體，只要有一個地方出現了漏洞，攻擊者就有可能順著這個漏洞進行入侵。

隨著一年一度的HW即將開始，那些被遺忘在角落里的物理安全還好嗎?

物理安全是網絡安全的基礎

所謂物理安全，是指拒絕未經授權訪問設施，設備和資源并保護人員和財產免受損害或傷害(如間諜活動，盜竊或恐怖襲擊)的安全措施。 物理安全涉及使用多層互相依賴的系統，其中包括閉路電視監控、安全警衛、防護屏障、鎖、訪問控制協議以及許多其他技術。

物理安全主要涉及機房環境要求、設備安全和傳輸介質安全三個方面，每個方面都有不同的要求。其中，設備安全主要包括設備的防盜、防毀壞、防設備故障、防電磁信息輻射泄漏、防止線路截獲、抵抗電磁干擾及電源保護等方面的內容。其目標是防止組織遇到資產損壞、資產流失、敏感信息泄露或商業活動中斷的風險。

針對物理安全，此前頒布的等保2.0也有類似的明確要求。

例如，在機房的物理位置選擇上，等保2.0就明確規定：

• 機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內；
• 機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。

畢竟數據機房關乎企業的生命線，倘若出現斷電、漏水等問題，導致數據機房無法工作，那么將會給企業業務連續性造成毀滅性打擊，甚至導致企業無法運轉。

而在物理訪問控制上，等保2.0也指出：

• 機房出入口應安排專人值守，控制、鑒別和記錄進入的人員;
• 需進入機房的來訪人員應經過申請和審批流程，并限制和監控其活動范圍;
• 應對機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過渡區域;
• 重要區域應配置電子門禁系統，控制、鑒別和記錄進入的人員等。

事實上，物理安全就在我們身邊。例如我們常見的門禁系統就是一道物理安全措施，可以避免外部人員進出公司，但要注意其他進出渠道，如樓梯間;類似還有嚴格區分訪客網絡和內部員工網絡，避免攻擊者可直接訪問員工網絡，并以此發起網絡攻擊等。

此外，還有一些敏感重要的地方應設置權限規則，盡可量減少非必要人員的靠近，包括數據機房、財務系統等，防止攻擊者混入其中。

千萬別以為沒有人會去破壞數據機房或中心，這樣的思維定勢對于安全工作來說極為不利。2021年，美國德克薩斯州一名男子就曾策劃，對亞馬遜部署在弗吉尼亞州的網絡服務(AWS)數據中心發動炸彈襲擊，目標是“毀壞約70%的互聯網”。

所幸FBI的臥底給了該男子一枚啞彈，使得這一瘋狂的舉動并未成功。事后亞馬遜表示，公司非常重視員工和客戶數據的安全保障，并不斷審查各種載體，以應對任何潛在威脅，未來將繼續保持對員工和客戶的這種警惕性。

目前，企業與機構對于數據安全愈加重視，各種安全產品、安全策略安排得井井有條。但是與此同時，對于機房、數據中心等重要場地的物理安全也不容忽視。

美國FBI逮捕了一名德克薩斯州的男子，原因是據稱該男子計劃對弗吉尼亞州的一個亞馬遜網絡服務(AWS)數據中心發動炸彈襲擊，并且他的目標是“毀壞約70%的互聯網”。

當下，企業所面臨的物理威脅形勢越來越嚴峻。根據Ontic 保護情報中心發布的《2021 年年中展望保護情報報告》，大多數受訪者表示企業應對物理威脅保持一定的警惕;半數以上受訪者認為物理攻擊活動正在逐漸增加;一半以上的受訪者認為，自己的企業在物理安全方面準備不足。

那些“神奇”的物理攻擊

隨著網絡攻擊的趨利性日漸明顯，攻擊者更傾向于使用較低的成本，獲取更高的收益。某些時候，物理攻擊往往成本更加低廉，以一種出人意料的方式來完成攻擊行為，但效果有時卻更直接、有效，讓人不禁感嘆“這樣也可以”。

這里簡單列舉幾個代表性案例。

1. 故意丟失的U盤

21世紀初，U盤攻擊是一種十分常見的攻擊手法，2007年，“U盤寄生蟲”病毒更是登上了病毒排行榜榜首，成為互聯網面臨重大威脅之一。攻擊者一般會將已經加載好木馬的U盤故意丟在目標用戶的必經之路，一旦對方撿起U盤并插入電腦之中，其木馬病毒將會繞過電腦的防護系統，黑客可以輕而易舉地入侵目標用戶的系統。

除了U盤之外，MP3、MP4、移動硬盤、數碼相機等移動儲存設備無一例外地成為此類病毒的傳播載體。2018年，臺積電生產線感染了臭名昭著的WannaCry勒索病毒，導致多個廠區被迫停產，損失達到驚人的近10億人民幣。而這一切的根源，很有可能是臺積電員工使用了加載了勒索病毒的U盤。

2. 利用電源竊取數據

以色列內蓋夫本·古里安大學曾發布了一項研究報告揭露了一種“會說話”的惡意軟件。它通過啟動和停止CPU工作負載，影響電源的開關頻率，從而讓電源中的變壓器和電容器發出聲音信號。

簡單來說，惡意軟件利用變化電流所對應的變化電磁場，將其轉化為音頻，以便竊取數據。 而這種特殊的“噪音”，一旦被聲波接收設備捕獲，稍加提取處理，就能復原成原始信息，也就是目標電腦設備上的高敏感數據。

這樣的攻擊方式聽起來是不是和傳統的網絡攻擊大相徑庭，既不需要WiFi，也不需要藍牙，黑客竟然可以輕松獲取目標的機密數據。另外，由于這樣的攻擊并不是以傳統入侵的方式進行，因此極難被發現。

3. 災備不完善導致損失慘重

2020年，微盟就因程序員刪庫一事損失慘重。根據公開報告，程序員因個人原因深夜刪除微盟數據庫，導致微盟自2020年2月23日19時起癱瘓，300余萬用戶無法正常使用該公司SaaS產品，故障持續時間長達8天14個小時。微盟一夜之間市值蒸發超10億，300萬商鋪慘遭癱瘓，微盟支付恢復數據服務費、商戶賠付費及員工加班報酬等經濟損失共計人民幣2260余萬元。

雖然刪庫不是一項真正意義上的物理攻擊，但是從刪庫一事造成的嚴重影響來看，很明顯微盟沒有做好容災備份，最起碼每天的增量備份工作沒有完成，還有可能沒有對非機構化數據進行備份。而缺乏對物理安全的重視，最終讓微盟付出了無比慘痛的代價。

類似的案例歷史上已經出現過許多次，其中不乏無法恢復備份的情況，但是總有企業心存僥幸，以至于事故出現時無能為力。

4. 直接潛入公司獲取登錄憑證

很多人因為不愿意記賬號和密碼，就直接將其貼在了桌子上。在某次HW演練中，攻擊方成員了解到這一情況后，就偽裝成該公司的保潔人員，光明正大進入公司辦公區域，并以打掃衛生，清理垃圾為由，悄悄查看員工的登錄憑證，最終憑借這些信息成功入侵企業內網。而目標公司對此則一臉懵逼，看著沒有被攻擊的安全體系，始終弄不明白為什么這么容易就被打破了內網。

5. 利用激光和LED突破物理隔離

眾所周知，LED常用語打印機等設備內，用以顯示設備狀態，而這種LED是可以接受光信號。利用這一特性，攻擊者將激光定向發送到事先安裝好的LED，并記錄LED燈的響應情況，建立了一個可以雙向使用的長達25米的隱蔽通信通道。

根據測試情況，這個隱蔽通信通道的數據輸入速率可以達到每秒18KB以上，數據輸出速率可以達到每秒100KB，已經足夠支持一般文字文件的實時傳輸。這就意味著，利用激光和LED，攻擊者不僅可以讀取物理隔離系統中的數據，還可以寫入數據;并在不添加額外硬件的情況下，在被攻擊的設備中檢索數據。

類似的物理攻擊案例還有很多。而面對這些物理攻擊，企業的安全體系往往顯的捉襟見肘，傳統應對網絡的各種方法無法奏效，甚至短時間內都無法找到問題出現的原因。

物理攻擊廣泛存在于商業犯罪之中

除了利用物理攻擊突破企業安全體系外，物理攻擊還廣泛被用于商業犯罪和間諜竊聽中，其過程更加隱蔽且具有高威脅性。

例如在上世紀四十年代，蘇聯曾經利用一種名為“金唇”的竊聽器竊聽了美國駐蘇聯大使館長達七年的時間。期間歷任數屆大使，大使館還進行了翻新和裝修，但是這個竊聽器就一直安安穩穩放在了大使館的墻上。

該竊聽器藏在一枚蘇聯贈送的木制美國國徽之中，拿到該禮物后，大使館技術人員對此進行了細致的檢查，由于沒有發現電池，因此斷定絕不可能是竊聽器。

但實際上，“金唇”竊聽器所使用的是射頻識別技術。這是一種無線電通信技術，最大的特點就是自身無需電源即可工作。“金唇”內部有一個線圈組件，收到外部發射過來的無線電信號后， 通過電磁感應就會自動產生電流，實現無需電池就可以驅動設備工作。而沒有外部的無線電信號時，這個設備就不會工作，也不會發送任何無線電信號，非常隱蔽，不容易被發現。

此外，在商業環境中還有另外一種神奇的竊聽技術——激光竊聽。

其原理是用激光發生器產生一束極細的激光，發射到被竊聽房間的玻璃上。當房間里有人談話的時候，玻璃因受室內聲音變化的影響而發生輕微的振動，從玻璃上反射回的激光包含了室內聲波的振動信息。人們在室外一定的位置上，用專門的激光接收器接收，就能解調出聲音信號，從而監聽室內人的談話。

由于激光竊聽設備并不需要放置到被監聽者的房間內，所以很難被排查發現。較早的激光竊聽器需要極大的穩定性，往往會在一個較為固定的地方實施。據稱海灣戰爭期間，美國情報人員在伊拉克使用激光竊聽技術，從行駛的汽車反光鏡上捕捉到了車內伊拉克高級將領說話的聲音，通過技術處理掌握了車內談話的全部信息。

除竊聽外，其他被用于商業犯罪的攻擊手段還有很多，包括利用針孔攝像頭攝像，在車上或身上安裝定位設備，在鍵盤上安裝記錄器，安放無線干擾器干擾對手投標答辯等等。隨著經濟的不斷發展，當下商業犯罪手段出現的頻率越來越高，值得引起企業的重視。

結語

隨著網絡安全產業的發展和融合，網絡攻擊的復雜性正在快速上升，一次成功的網絡攻擊往往包含多個步驟。在這個過程中，物理攻擊往往以網絡攻擊的跳板或后門出現，并且同樣呈現出快速上升的趨勢。

究其原因，網絡安全體系的整體能力正在逐步提升，拉高了單次網絡攻擊的成本，迫使攻擊者選擇成本更低的攻擊路徑，而此時不怎么顯眼的物理安全就成為了新的突破點。尤其是當下很多企業的物理安全和網絡安全存在割裂感，給了攻擊者可趁之機。

當下，全國HW行動即將啟動，相信針對物理安全部分的攻擊也將逐漸增加。畢竟網絡安全是一個整體性的工程，短板效應十分明顯。

此時，企業也應適當回過頭，看看那些被遺忘在角落里的物理安全。