it-swarm-es.com

Seguridad del servidor físico

Se gastan mucho tiempo y columnas discutiendo asegurar un servidor de ataques externos. Esto es perfectamente válido porque es más fácil para un atacante usar Internet para romper su servidor de lo que es para que obtengan acceso físico.

Sin embargo, algunos profesionales de TI brillan sobre la importancia de la seguridad física del servidor. Muchos, si no la mayoría, de las infracciones más egreenas de seguridad se realizan desde dentro de la organización.

  • ¿Cómo protege sus servidores de los usuarios con acceso en el sitio que no necesita acceder al servidor o la sala de servidores?

¿Está justo al lado del escritorio del gerente de TI en un cubículo, o bloqueado detrás de varias puertas con tarjeta electrónica y acceso biométrico?

Una vez que alguien tiene acceso físico a los servidores, ¿qué protecciones están en su lugar que impiden, o al menos el registro, el acceso a los datos sensibles no tienen una necesidad razonable de ver?

Por supuesto, esto variará de la organización a la organización, y la necesidad comercial de necesidades comerciales, pero incluso los servidores de impresión tienen acceso a datos confidenciales (contratos y información de los empleados), por lo que hay más en esto de lo que puede aparecer a primera vista.

21
Adam Davis

Todos nuestros servidores de producción se almacenan en el otro lado del mundo en un centro de datos sólidos. Trampas de hombre, escáneres biométricos, toda la caja y los dados.

Para las máquinas que están en nuestra oficina, viven en la sala de servidores, accesibles solo a través de la tarjeta Swipe. Solo los SysAdmins tienen tarjetas de deslizamiento que pueden acceder a esa área.

En resumen, si alguien físicamente tiene sus manos en su kit, entonces sus datos son los suyos. Si esta es una preocupación suficiente, entonces PGP'ing Algo de valor y descifrarlo sobre la marcha es un requisito muy necesario pero necesario.

edición: Podría extender esto a las preguntas de seguridad física de sus medios de respaldo. ¿Qué bueno es la seguridad física sólida si sus offsites no son tan o más seguros?

23
Dave Cheney

Todos los modales de seguridad física se pueden tomar con acceso a tarjeta inteligente, sensores de prox, puertas pesadas, placas de patadas, cámaras, contraseñas fuertes, biometría.

El problema es cuando los electricistas necesitaban hacer un cableado, apoyar la puerta con un ladrillo y la cabeza al almuerzo sin notificar a nadie. Había pasado una vez. Por suerte volví momentos más tarde. Divertido cómo un ladrillo puede evitar $ 10k + de seguridad.

6
Terry

Otra cosa. Tenga cuidado con los usuarios no técnicos y su estupidez.

Nuestros servidores de producción estaban seguros en el Centro de Colocación, pero los desarrollados en la oficina. Una vez que la Limpieza de Limpieza no pudo encontrar una toma de corriente gratuita, y enchufó la aspiradora a los servidores UPS. Afortunadamente, tenía una alarma de sobrecarga bastante alta, por lo que podríamos reaccionar con prontitud.

Otro caso (no sé cuánta leyenda real o urbana es), allí donde los tiempos de espera misteriosos de uno de los servidores todos los días temprano en la mañana. Nadie podría identificar el problema. Resultaron, que el guardia de seguridad al inicio de su turno desenchufará a uno de los servidores, y enchufaría la cafetera. Aunque "nadie se nadará, fue solo 3 minutos".

5
vartec

Nuestro edificio solía ser un banco, por lo que mantenemos a nuestros servidores en la bóveda. El enfriamiento no es genial, pero solo tenemos media docena, y ninguno de ellos es muy poderoso, por lo que no es realmente un problema.

3
Dentrasi

La legendidad urbana de este uno, parte de la verdad.

UL: una compañía estaba teniendo una nueva sala de computación construida y el administrador de TI estaba mostrando las medidas de seguridad (trampa hombre, tarjetas de deslizamiento, etc.) a uno de sus amigos. El amigo asintió con la cabeza que parecía estar muy impresionado. Unos minutos después, los dos hablan justo afuera de la puerta cuando el amigo tiene una idea. Él le da la espalda a la pared y le da una buena patada, rompiendo un agujero de buen tamaño en la pared. No hace falta decir que el administrador tenía las paredes reforzadas antes de mudarse.

Verdad: Espacio de arrendamiento de pequeñas empresas en un edificio multi-inquilino. Las teclas de tarjetas, etc., durante un fin de semana, alguien golpeó un agujero en el panel de yeso al lado de la puerta y robó 20 computadoras (incluido el servidor con todas las claves de licencia)

Tenemos una capa de metal debajo del panel de yeso de nuestra sala de computadoras.

3
Brad Bruce

Dependiendo de sus datos, tal vez desee considerar la supervisión.

Un centro de datos que conozco, no accedí a ella, pero los compañeros de equipo lo hicieron. Necesitaba identificación con foto y autorización para acceder. Por lo tanto, en el caso de nuestro equipo que solo lo visitó rara vez tuvimos que obtener una carta de nuestro director para acceder a nuestros servidores.

Una vez que decidieron dejarte entrar, tomarían un pulgar imprimir y colgarían la insignia/tarjeta de acceso estándar. Luego fuiste acompañado por dos personas, una escolta técnica y un guardia de seguridad. Entiendo que la idea era que si la persona técnica te viera, haces algo que no le gustaba que estuviera preparando al guardia de seguridad para evitar que hiciera lo que fuera.

Este fue un centro de datos que celebró servidores para los principales bancos internacionales en la ciudad de Londres.

1
Jason Tan

Ja, ja, supe que la gente tomó la seguridad en serio, pero ¿biometría? mental. Supongo que realmente depende de la naturaleza de los datos que ha almacenado. Tuve que investigar una configuración de tamaño pequeño para nuestra empresa de diseño y encontramos algunas cosas buenas en GuruOnline, muchos videos sobre la seguridad de la red y las cosas. Es bastante básico, pero podría ser un buen comienzo ...

1
Rob Thomas

La señora de la limpieza con un cargador de seguridad con una máquina de café. ja ja. Al menos no se les paga para conocer todas las cosas de TI. Aquí está la historia real de Halloween.

nuestro gerente de TI decidió seguir adelante y dejar de fumar. El Director General de la Compañía contrató a algunos slick que no tenían idea de eso, pero fueron a la misma escuela elegante, así que supongo en la entrevista, estaban hablando B0Llox sobre los viejos tiempos, los desafíos de remo, el alcohol y las niñas.

en su segunda semana, el nuevo gerente de TI fue a la sala de servidores y se quedó después de horas por un tiempo, haciéndose familiarizado con la configuración (todavía no tengo idea de lo que estaba haciendo allí). Debido a que los aeronáticos son bastante fuertes allí, los apagó. Después de unas pocas horas de bromas, se fue a casa (tal vez muy satisfecho, tal vez incluso, literalmente, no excluyo la posibilidad de observar a P0RN allí). Seguramente estaba muy cansado (mucho tiempo de gran cantidad de ruido, etc.), por lo que naturalmente se olvidó de cambiar el aire acondicionado.

por la mañana, el servidor de la base de datos se cocinó completamente para detener y se fallaron otros 2 servidores en los próximos 2 días.

y dices limpiar a la señora. Ella seguramente le haría un mejor trabajo (especialmente por la cantidad que le pagó). Las únicas cosas buenas en esa historia son que todo el departamento de TI, cada uno de nosotros fue a la MD uno por uno y dijo que será un desastre si se queda. Afortunadamente, MD se dio cuenta de que es algo realmente equivocado si todos dijeron eso y dispararon el IDI0T.

1
Boppity Bop