الأمن المادي في اختبار الاختراق

يُفحص ما إذا كان يمكن الالتفاف على إجراءات الحماية المادية لموقع ما في ظروف واقعية: المحيط، وعمليات الدخول والمرافقة، وتأمين غرف الخوادم والمساحات التقنية، وسلوك الموظفين. ويصف NIST SP ⁦800-115⁩ اختبارات الأمن المادي بأنها أسلوب فحص غير تقني، يُتغلَّب فيه على الأقفال وقارئات البطاقات وغيرها من الضوابط المادية للحصول على وصول غير مصرَّح به إلى أنظمة معينة. ويصنّف OSSTMM 3 الصادر عن ISECOM هذه الفحوصات ضمن فئة Physical Security ‏(PHYSSEC) بقناتيها Human وPhysical، ويشترط نتائج قابلة للقياس الكمي ومتسقة وقابلة للتكرار ولا تتضمن إلا حقائق من الاختبار نفسه – ودون تفسيرات ذاتية صراحةً. كما يذكر الدليل العملي لاختبارات اختراق أمن المعلومات الصادر عن BSI صراحةً مرافق البنية التحتية مثل آليات التحكم في الدخول وأنظمة التحكم في المبنى كموضوع فحص معتاد.

يتمحور الأمر حول الدخول غير المصرَّح به والسؤال: إلى أي مدى يمكن للمهاجم أن يتقدم داخل المبنى: التتبع خلف الأشخاص المصرَّح لهم (Tailgating)، وانتحال أدوار مثل مقدّم خدمة أو مورّد أو مدقق (الهندسة الاجتماعية في الموقع)، والمداخل الجانبية غير المؤمَّنة عبر منطقة التسليم أو المرأب السفلي أو المداخل الفرعية، والهجمات الميكانيكية على تقنيات الإقفال والتأمين. وفي استنساخ البطاقات يكون اختيار تقنية البطاقة حاسمًا: ففي بطاقة MIFARE Classic واسعة الانتشار يُحمى كل قطاع ذاكرة بمفتاح خاص بطول 48 بت من خوارزمية التشفير التدفقي CRYPTO1؛ ومنذ عام 2009 نُشرت هجمات لا تحتاج إلا إلى الاتصال اللاسلكي بالبطاقة – دون الوصول إلى قارئ حقيقي – وتعيد بناء المفتاح في أقل من ثانية واحدة على أجهزة متاحة تجاريًا، بحيث يمكن نسخ البطاقة فورًا. ويختبر إسقاط وحدات USB الميل الأخير في الداخل: ففي دراسة ميدانية شملت 297 وحدة USB متروكة في حرم جامعي، تراوح معدل النجاح المقدَّر بين 45 و98 بالمئة، ووُصلت أول وحدة في أقل من ست دقائق – في الغالب بدافع العثور على مالكها. والهدف ليس أبدًا جمع أخطاء منفردة، بل مسار الهجوم المُثبَت من المحيط الخارجي حتى هدف حماية محدد.

لا يجوز إجراء اختبار مادي دون تفويض كتابي: فمن يقتحم مقرات الأعمال بشكل غير مشروع يستوفي أركان جريمة انتهاك حرمة المسكن (المادة 123 من StGB، عقوبة السجن حتى سنة واحدة أو الغرامة، جريمة لا تُلاحق إلا بناءً على شكوى)؛ وإذا جرى إضافةً إلى ذلك التغلب على وسيلة تأمين الوصول إلى البيانات، فقد تُمَس المادة 202a من StGB. ويؤكد BSI أن المدققين لا ينبغي لهم أبدًا الاختبار دون تكليف كتابي، وأنه يجب تنظيم موضوع الفحص وفترته وعمقه، وكذلك التزامات المشاركة والمسؤولية والسرية تعاقديًا؛ وإذا كانت الخدمات مُسندة خارجيًا، فيجب إدراج مقدّم الخدمة في العقد أيضًا. ويوفر NIST SP ⁦800-115⁩ في الملحق B قالبًا لقواعد الاشتباك يتضمن الغرض والنطاق، والافتراضات والحدود، والمخاطر، واللوجستيات (الأشخاص، ونوافذ زمنية، ومواقع الفحص بما في ذلك البطاقات والمرافقة وأفراد الأمن، وأدوات الفحص)، ومسارات التواصل والتصعيد بما في ذلك معايير الإيقاف، وقائمة استثناءات صريحة. وعمليًا يعني ذلك: خطاب تفويض يحمله المختبرون – إذ ينص NIST على نموذج لذلك يتضمن التوقيعات وبيانات الاتصال، يمكن للمختبرين إبرازه لأفراد الأمن أو جهات إنفاذ القانون –، وشخص اتصال مفوَّض يمكن الوصول إليه في أي وقت خلال نافذة الاختبار، ووسيلة تحقق محددة: يجب أن يتمكن أفراد الحراسة من التحقق من شرعية المختبرين عبر جهة اتصال أو وثائق.

بعد توضيح الأهداف وتحديد النطاق يأتي الاستطلاع وتخطيط السيناريوهات (المعلومات المتاحة علنًا، والجولات الميدانية، ومراقبة تبديل المناوبات وحركة التسليم)، ثم التنفيذ، فاجتماع ختامي، والتقرير. وفي الاختبارات الممتدة لعدة أيام يوصي BSI بحديث قصير كل صباح بين المدققين والموظفين التقنيين المعنيين لدى العميل، وبملخص قصير بعد انتهاء الأعمال؛ وينبغي تقييم النتائج الحرجة في الموقع بالقدر الذي يتيح للمسؤولين معالجتها فورًا. ومن المهم عمق تدخل معتدل: يجب تقديم أدلة الإثبات، لكن دون إلحاق الضرر بالأنظمة وتقنيات الإقفال. وإذا تعلق الأمر ببيانات شخصية، يجب إشراك مسؤول حماية البيانات، وعند الاقتضاء ممثلي الموظفين، قبل الاختبارات؛ ووفقًا لـ BSI لا ينبغي إجراء الفحوصات المتضمنة عنصر هندسة اجتماعية إلا في ظل شروط إطارية محددة بدقة، وبإشراك ممثلي الموظفين، ومن قبل متخصصين مدرَّبين على ذلك. ويؤكد NIST بالنسبة لهذه الاختبارات أن النتائج تخدم أمن المؤسسة لا إبراز أفراد بعينهم. وبالنسبة للفحوصات المتكررة يذكر BSI دورية من سنتين إلى ثلاث سنوات، نظرًا لظهور ثغرات أمنية وأساليب هجوم جديدة بانتظام.

يقسّم الملحق A من ISO/IEC 27001:2022 ضوابطه الـ 93 إلى أربعة محاور؛ 14 منها ضوابط مادية (A.7.1 إلى A.7.14)، من محيطات الأمن (A.7.1) مرورًا بالدخول المادي (A.7.2) وتأمين المكاتب والغرف والمرافق (A.7.3) وصولًا إلى العمل في المناطق الآمنة (A.7.6) والمكتب النظيف والشاشة النظيفة (A.7.7). والجديد مقارنة بإصدار 2013 هو A.7.4 بشأن مراقبة الأمن المادي؛ ويقدّم ISO/IEC 27002:2022 إرشادات التنفيذ. ولا يشترط المعيار صراحةً اختبار اختراق ماديًا – لكنه يطلب مراقبة العمليات والإجراءات وقياسها وتقييم فعالية نظام الإدارة (الفصل 9.1)، وإخضاع أمن المعلومات لمراجعة مستقلة على فترات مخطط لها (A.5.35). وفي IT-Grundschutz الصادر عن BSI تقابلها وحدات الطبقة INF، ومنها INF.1 المبنى العام وINF.2 مركز البيانات وغرفة الخوادم.

ينبغي أن يبدأ التقرير بوصف موضوع الفحص وظروفه، يليه ملخص إداري وفصول تقنية تتضمن أوصافًا وتوصيات قابلة للتتبع؛ ويوصي BSI بالامتناع عن توصيات المنتجات وذكر فئات المنتجات بدلًا منها. ولتحديد الأولويات يناسب تصنيف يربط بين احتمال الضرر وزمن الاستجابة المطلوب – إذ يستخدم BSI مستويات مرتفع (فورًا)، ومتوسط (على المدى القصير)، ومنخفض (على المدى المتوسط)، وللعلم (على المدى الطويل)، ويُدخل في التقييم الحاجة إلى حماية البيانات والقدرات والوسائل التي يحتاجها المهاجم. وفي الاختبارات المادية يُضاف إلى ذلك: إعادة البناء الزمني لمسارات الهجوم مع الأدلة، وربط النتائج بالضوابط المعنية (مثل A.7.1 إلى A.7.4)، والذكر الصريح لما نجح – أي المحاولات التي اكتُشفت وصُدّت كأساس لتقييم خدمة الحراسة وعمليات الإبلاغ. كما يشمل ذلك دائرة توزيع محدودة، وتصنيفًا للسرية، والإشارة إلى أن النتائج تعكس الحالة وقت الاختبار.