Camera, kiểm soát ra vào và hạ tầng mạng: vì sao hệ thống an ninh phải được thiết kế như một khối

Khi công cụ bảo vệ trở thành cửa hậu

Camera IP, đầu đọc thẻ, bộ điều khiển cửa, điện thoại cửa có hình, đầu ghi hình đều là máy tính nhúng chạy trên mạng. Chúng mang theo đủ loại rủi ro của một máy tính, cộng thêm một điều mà máy tính văn phòng không có: chúng điều khiển được thế giới thật. Tấn công đi theo cả hai chiều.

Từ mạng sang vật lý: ai chiếm được phần mềm quản lý ra vào có thể đổi lịch mở cửa, thêm một thẻ lạ vào danh sách được phép, hoặc tắt camera ở đúng hành lang mình cần đi qua. Không phá khóa nào cả. Nhật ký vẫn ghi đầy đủ, chỉ là ghi những gì kẻ đó muốn.

Từ vật lý sang mạng: người lạ vào được phòng kỹ thuật hay tủ rack ở tầng thì chỉ cần vài giây để cắm một thiết bị nhỏ vào cổng mạng còn trống. Một camera gắn ngoài hàng rào thực chất là một ổ cắm mạng nằm ở phía bên kia hàng rào, nếu cổng switch nối với nó không được khóa.

Hướng dẫn hành động về hội tụ an ninh vật lý và an ninh mạng mà Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) công bố đầu năm 2021 nêu thêm những tình huống ít ai nghĩ tới. Hệ thống điều hòa thông gió bị chiếm quyền từ xa, đẩy nhiệt độ phòng máy lên cho tới khi máy chủ ngừng chạy. Một lỗ hổng trong kiểm soát ra vào mở đường cho kẻ xấu cắm USB đưa mã độc vào mạng. Kết luận của tài liệu khá thẳng: khi hai bộ phận làm việc tách rời, không bên nào có được bức tranh đầy đủ về mối đe dọa, và khả năng bị tấn công thành công tăng lên.

"Một khối" nghĩa là gì trên bản vẽ

Hội tụ không có nghĩa là mua hết từ một hãng. Nó là cách tổ chức thiết kế, vận hành và trách nhiệm sao cho các hệ thống biết về nhau. Trong thực tế công trình, nó hiện ra ở mấy chỗ cụ thể sau.

• Một sự kiện được nhìn trên một màn hình. Thẻ quẹt vào phòng máy chủ lúc hai giờ sáng thì camera gần nhất tự gọi hình lên. Cửa bị chèn giữ mở quá thời gian thì cảnh báo đến kèm đoạn hình của chính cánh cửa đó, thay vì một dòng chữ trong phần mềm khác mà không ai mở.
• Hạ tầng mạng dành riêng cho an ninh: switch cấp nguồn PoE riêng, VLAN riêng, cổng mạng ở vị trí công cộng hoặc ngoài trời chỉ chấp nhận đúng thiết bị đã đăng ký (xác thực 802.1X hoặc tối thiểu khóa theo địa chỉ thiết bị). Phần này nên nằm trong thiết kế hạ tầng mạng ngay từ đầu.
• Một nguồn danh tính chung. Khi bộ phận nhân sự cho một người nghỉ việc, thẻ ra vào và tài khoản mạng phải bị khóa trong cùng một thao tác. Hai hệ thống quản lý danh tính riêng thì gần như chắc chắn sẽ có ngày lệch nhau.
• Bảo vệ vật lý cho chính hạ tầng mạng. Phòng máy chủ, phòng kỹ thuật tầng, tủ rack đặt ngoài hành lang phải có kiểm soát ra vào và camera như mọi khu vực nhạy cảm khác.
• Thiết kế cho lúc hỏng. Bộ điều khiển cửa phải tiếp tục làm việc theo quy tắc đã lưu khi mất kết nối mạng. Cửa thoát hiểm phải mở theo tín hiệu báo cháy dù phần mềm có treo. Đầu ghi hình và bộ điều khiển cần nguồn ổn định và lưu điện đủ để không mất dữ liệu đúng lúc cần nhất.
• Một đầu mối chịu trách nhiệm tích hợp và một kịch bản nghiệm thu liên hệ thống: quẹt thẻ sai ba lần thì chuyện gì xảy ra, cắt mạng một tầng thì cửa ở tầng đó ra sao, báo cháy kích hoạt thì camera, cửa và loa phát thanh phản ứng thế nào.

Trong các tòa nhà có hệ thống vận hành tập trung, lớp an ninh này còn nối thêm với điều hòa, chiếu sáng, thang máy. Mỗi kết nối thêm vào là thêm tiện ích và thêm một đường phải canh. Cách duy nhất để kiểm soát được là nhìn toàn bộ trên cùng một sơ đồ.