真正意義上的物理安全包括滅火系統(tǒng)，備用電源和備份等。但是，這里我們不會談?wù)撨@些，而是要將注意力集中在阻擋鎖定和支持控件等可以延緩攻擊者侵入行為的工具上。在這篇文章里，我們談?wù)撐锢戆踩g隙分析的目的是要確定控件是否足夠并到位：

　　1. 延緩入侵者

　　2. 偵查入侵者

　　3. 抓獲入侵者

　　沒有這些控件，罪犯就可以在不需要攻破防火墻或入侵防御系統(tǒng)的情況下直接拿到你的數(shù)據(jù)。而他所要做的只是打開桌面或服務(wù)器就可以自由操縱你的電腦了。而且任何技術(shù)型或管理型控件都不能阻止有經(jīng)驗(yàn)的攻擊者以物理方式侵入你的系統(tǒng)。

　　物理安全控制

　　物理安全的目的是延緩并偵查處入侵者，如此保全人員或法律才能進(jìn)行有效干預(yù)。使用什么樣的控件需要考慮以下幾點(diǎn)：

　　1. 目標(biāo)的敏感性

　　2. 是否有保全人員值勤

　　3. 作出響應(yīng)的時(shí)間

　　圖一是為一個(gè)高敏感目標(biāo)部署的物理安全模型。雖然大部分的人都不需要這一級別的物理保護(hù)，下面有關(guān)此圖的討論有助于我們了解有哪些步驟可行。

　　首先，我們假設(shè)某黑客意圖入侵。該黑客接近建筑物的時(shí)候，發(fā)現(xiàn)建筑物被鐵絲網(wǎng)圍起來了。這些鐵絲網(wǎng)或許可以阻止某些隨機(jī)型入侵者，但是當(dāng)該黑客將數(shù)據(jù)傳輸?shù)侥繕?biāo)建筑中后，想到里面有成千上萬美元在等著他時(shí)，他當(dāng)然受不起這樣的誘惑。

　　不過他不能直接跨過圍欄。建筑周圍的安全燈位外部安全攝像機(jī)提供了足夠的照明，所以攝像頭拍下任何異常翻越圍欄的圖像。除非黑客可以熄滅這些燈。仔細(xì)檢查了介于圍欄和建筑物之間的地方后，黑客會發(fā)現(xiàn)自己的準(zhǔn)備或許不足以應(yīng)對如此繁復(fù)的戒備。目標(biāo)企業(yè)安裝了運(yùn)動(dòng)傳感器來偵察是否有人翻越圍欄。黑客過去應(yīng)付過這樣的麻煩，但是這仍然會延緩他的入侵時(shí)間。也就是說，僅到這一步，他就需要經(jīng)過安全燈，圍欄和運(yùn)動(dòng)傳感器三項(xiàng)阻礙。

　　到此，黑客會結(jié)束*次偵察，而他下一步要做的是要看清楚建筑內(nèi)的安全設(shè)備?？拷ㄖ拇箝T還不夠，他還要了解目標(biāo)的響應(yīng)機(jī)制和內(nèi)部控制。黑客會約見安全并設(shè)法實(shí)地查看一下目標(biāo)。他或許會裝扮成一個(gè)想學(xué)習(xí)如何保護(hù)自己設(shè)備安全的安全執(zhí)行官。而安全則會自豪地解釋黑客的目標(biāo)系統(tǒng)處于怎樣的保護(hù)之中，殊不知已經(jīng)為黑客大開方便之門。再者，通向目標(biāo)設(shè)備的門通常都上了鎖。值勤的保全人員會阻止任何未攜帶工作卡的人靠近設(shè)備。在進(jìn)入目標(biāo)房間前，必須向保全出示證件。如果來訪者被列入*訪問的名單之中，則可以進(jìn)入目標(biāo)房間，而保全也會隨即打開電力鎖。

　　建筑內(nèi)部的所有活動(dòng)都被攝像頭記錄下來，不間斷地傳輸?shù)奖O(jiān)控室并保存下來。無論入侵者在何時(shí)被發(fā)現(xiàn)，應(yīng)急響應(yīng)方案都會被激活。成文的響應(yīng)方案包括鎖定設(shè)備，報(bào)警并在關(guān)鍵場所派駐保全。保安稱他會定期與自己的團(tuán)隊(duì)訓(xùn)練這*程，因此安全響應(yīng)可在非常短的時(shí)間里到位。

　　回到家后，黑客會仔細(xì)回顧目標(biāo)企業(yè)所部署的控件，分析過后，他覺得在被抓到之前，他無法跨越如此多的障礙并順利完成任務(wù)。他*的選擇或許是找到某個(gè)保全，進(jìn)行里應(yīng)外合。

　　保護(hù)你的企業(yè)

　　該黑客所遭遇的保護(hù)并非常見的典型安保。大多數(shù)企業(yè)的安保級別沒有達(dá)到這種程度，因?yàn)樗麄円床恍枰促Y金有限負(fù)擔(dān)不起這類型的物理保護(hù)級別。但是，不論你使用什么方法請謹(jǐn)記以下幾個(gè)原則：

　　1. 使用障礙物，如圍欄，圍墻，鎖等阻止攻擊或延緩入侵者。確保延緩的時(shí)間長于響應(yīng)時(shí)間。

　　2. 部署偵查控件以便盡快識別入侵行為。

　　3. 對入侵響應(yīng)的流程進(jìn)行計(jì)劃，要有成文規(guī)定并對流程進(jìn)行演練。

　　物理安全間隙分析必須考慮風(fēng)險(xiǎn)和企業(yè)對風(fēng)險(xiǎn)的認(rèn)識。但是任何信息類的企業(yè)都應(yīng)該定期評估自己的物理安全性能以防止對關(guān)鍵系統(tǒng)和網(wǎng)絡(luò)設(shè)備的物理入侵。