第7章 物理环境与设备安全

第7章 物理环境与设备安全

概

述

本章先讲述物理层的安全威胁，主要包括 物理安全环境和物理安全设备由于威胁而引起 的不可用性。 然后讲述了要实现物理安全必须要注意的 一些要点。

目

录

7.1 物理层安全威胁 7.2 物理层安全防护 7.3 物理层安全设备 7.4 物理层管理安全

7.1 物理层安全威胁物理层负责传输比特流。它从第二层数据链路层(Data Link Layer)接受数据Frame,并将Frame的结构和内容串 行发送，即每次发送一个比特。 网络的物理安全风险主要指由于网络周边环境和物理特 性引起的网络设备和线路的不可用，而造成网络系统的不 可用。 例如：设备被盗、设备老化、意外故障、无线电磁辐射 泄密等。如果局域网采用广播方式，那么本广播域中的所 有信息都可以被侦听。 物理层的安全措施不多，如果黑客可以访问物理介质窃听，将可以 复制所有信息。唯一有效的保护是加密和流量填充 黑客最常用的方法是在公司内部安装数据包嗅探器(packet-Sniffer)

7.2 物理层安全防护 7.2.1 物理位置选择 机房应选择在具有防震、防风和防雨等能力的建筑内；机 房的承重要求应满足设计要求；机房场地应避免设在建筑 物的高层或地下室，以及用水设备的下层或隔壁；机房场 地应当避开强电场、强磁场、强震动源、强噪声源、重度 环境污染，易发生火灾、水灾，易遭受雷击的地区。

7.2 物理层安全防护 7.2.2 物理访问控制 有人值守机房出入口应有专人值守，鉴别进入的人员身份 有人值守机房出入口应有专人值守， 并登记在案；无人值守的机房门口应具备告警系统；应批 准进入机房的来访人员，限制和监控其活动范围；应对机 房划分区域进行管理，区域和区域之间设置物理隔离装置， 在重要区域前设置交付或安装等过渡区域；应对重要区域 配置电子门禁系统，鉴别和记录进入的人员身份并监控其 活动,并且门禁可以是带考勤的，这样就不用公司现在的考 勤卡了。可以考虑每个员工进入公司时，有一个身份卡， 这样出了安全问题后，容易找到具体实施的人。服务器应 该安放在安装了监视器的隔离房间内，并且监视器要保留 15天以上的摄像记录。

7.2 物理层安全防护 机箱，键盘，电脑桌抽屉要上锁，以确保旁人即使进入房 间也无法使用电脑，钥匙要放在安全的地方。在自己的办 工桌上安上笔记本电脑安全锁，以防止笔记本电脑的丢失。 图7.1和图7.2所示为笔记本电脑安全锁。

7.2 物理层安全防护 7.2.3 防盗窃和防破坏 应将相关服务器放置在物理受限的范围内；应利用光、电 等技术设置机房的防

盗报警系统，以防进入机房的盗窃和 破坏行为；应对机房设置监控报警系统。

7.2 物理层安全防护 7.2.4 防雷击 机房建筑应设置避雷装置；应设置防雷保安器，防止感应 雷；应设置交流电源地线。 7.2.5 防火 应设置火灾自动消防系统，自动检测火情，自动报警，并 自动灭火；机房及相关的工作房间和辅助房，其建筑材料 应具有耐火等级； 7.2.6 防水和防潮 水管安装不得穿过屋顶和活动地板下；应对穿过墙壁和楼 板的水管增加必要的保护措施，如设置套管；应采取措施 防止雨水通过屋顶和墙壁渗透；应采取措施防止室内水蒸 气结露和地下积水的转移与渗透；

7.2 物理层安全防护 7.2.7 防静电 应采用必要的接地等防静电措施；应采用防静电地板。 7.2.8 温湿度控制 应设置恒温恒湿系统，使机房温、湿度的变化在设备运行 所允许的范围之内。防尘和有害气体控制；机房中应无爆 炸、导电、导磁性及腐蚀性尘埃；机房中应无腐蚀金属的 气体；机房中应无破坏绝缘的气体。

7.2 物理层安全防护 7.2.9 电力供应 机房供电应与其他市电供电分开；应设置稳压器和过电压 防护设备；应提供短期的备用电力供应(如UPS设备); 应建立备用供电系统(如备用发电机),以备常用供电系 统停电时启用。 7.2.10 电磁防护要求 应采用接地方式防止外界电磁干扰和相关服务器寄生耦合 干扰；电源线和通信线缆应隔离，避免互相干扰。

7.3 物理层安全设备 我国2000年1月1日起实施的《计算机信息系统国际联网保 密管理规定》第2章第6条规定，“涉及国家秘密的计算机 信息系统，不得直接或间接地与国际互联网或其他公共信 息网络相连接，必须实行物理隔离”。从此之后，我国在 物理隔离领域不断有新的产品出现，如物理安全隔离卡、 双硬盘物理隔离器、物理隔离网闸等。

7.3 物理层安全设备 7.3.1 PC物理安全隔离卡 PC网络物理安全隔离卡把一台普通计算机分成两或三台虚 拟计算机，可以连接内部网或外部网，实现安全环境和不 安全环境的绝对隔离，保护用户的机密数据和信息免受国 际互联网上黑客的威胁和攻击。图4.3所示为物理安全隔离 卡。

7.3 物理层安全设备 1. 技术特点 (1) 内外网绝对隔离 把硬盘分成两个区：公共区和安全区， 分别拥有独立的操作系统。通过各自专用的 接口与网络连接，用硬件方式控制硬盘读写。 (2) 阻塞信息泄露通道 (3) 应用广泛 (4) 实现成本低

7.3 物理层安全设备 2. 技术原理 PC网络安全隔离卡属于端设备物理隔离设备，通过物 理隔离的方式，在两个网络间转换时

,保证计算机的数据 在网络之间不被重用。根据本产品设计方法：当计算机进 入其中一个网络时，物理隔离部件保证被隔离的计算机硬 盘(或硬盘分区)及网络相互不连通。在计算机处于内网 状态时，物理隔离部件可以禁止用户使用光、软驱。计算 机转换网络时必须重新启动，清空内存，不存在残留信息 泄漏的问题。

7.3 物理层安全设备 2. 技术原理

7.3 物理层安全设备 2. 技术原理

7.3 物理层安全设备 3. 解决方案 解决方案如图7.5所示。

7.3 物理层安全设备 7.3.2 其他物理隔离设备 1. 网络安全物理隔离器 网络安全物理隔离器是一种双硬盘物理隔离器，如图7.6所 示。它实际上只是在两个硬盘之间从物理上交换文件的一 个设备。其实现原理和上面的物理隔离网卡相似，只是前 面采用网卡的形式，这里采用的是磁盘的形式,这里就不再 赘述。