DEF CON 34: почему при физическом пентесте нельзя тестировать только замок

Недано один из студентов задавал мне вопрос про альтернативы слесарному инструменту на проектах по физике. В контексте РФ - это слабоработающая тема. Условно говоря, мы редко сможем встретить дверь с большим допуском от пола до дверного полотна или язычек в замке, который можно отжать пластиковой картой. Но я надеюсь мы с вами не навсегда будем ограничены проектами в РФ. Поэтому знать и понимать особенности физической безопансоти других стран - это правильно да и в целом для общего развития полезно.

В программе этого года много внимания уделялось именно физической безопасности: дверной фурнитуре, механизмам запирания, датчикам, системам сигнализации, лифтам и различным сценариям обхода физических средств контроля доступа.
Как правило, специалист, который видит защищённую дверь, срузу сфокусироваться на цилиндре:
— что за замок;
— насколько он устойчив к манипуляциям;
— можно ли его открыть отмычками.

Но западные коллеги просят обратить внимание, что слабым местом зачастую оказывается совсем не сам цилиндр.
Поэтому дверь правильнее рассматривать как небольшую систему безопасности, состоящую из полотна, коробки, зазоров, защелки/ригеля, внутренней фурнитуры, доводчика, датчика состояния двери, СКУД, сигнализация, CCTV и т.п.

И как только вы декомпозировали на состовляющие весь объект тестирования, можно задать вопрос - какой элемент всей этой цепочки является самым слабым?

Например, можно поставить дорогой высокозащищённый цилиндр, но при этом оставить слабую дверную конструкцию, некорректно настроенный датчик открытия или плохо интегрировать дверь со СКУД и системой мониторинга. В результате стоимость самого замка почти ничего не говорит о реальной стойкости точки прохода.

Мне нравится именно такой инженерный подход к физическому пентесту: не пытаться обязательно "вскрыть замок", а анализировать всю систему и искать наиболее рациональный путь атаки.

Это же стоит закладывать и в собственную методику обследования объекта.

#PhysicalPentest #RedTeam #PhysicalSecurity #DEFCON #Lockpicking #propentest