Австралийский провайдер телекоммуникационных услуг Vocus начал аудит системы физической безопасности в одном из своих центров обработки данных в Новой Зеландии после того, как недовольный клиент заснял и загрузил в социальную сеть Twitter видео, демонстрируя насколько легким может быть процесс проникновения в данный ЦОД.
Видеозапись, созданная Лиамом Фарром (Liam Farr), который является опытным инженером и специалистом по центрам обработки данных, а также генеральным директором компании Maxum Data, показывает, что дверь во внешней ограде ЦОД, которая предположительно была защищена цифровым замком, открывается одним нажатием без необходимости использования ключ-карты. То же самое было верно для входной двери в само здание. По словам Фарра, двери оставались сломанными около шести месяцев, о чем операторам ЦОД сообщалось несколько раз.
После того, как пост Фарра в Twitter стал вирусным, компания Vocus отреагировала, наконец, на критику, сообщив австралийскому информационному ресурсу ITnews Australia о намерении провести расследование. На момент написания статьи соответствующее видео было просмотрено почти 40 тыс. раз.
В то же время, компания преуменьшает проблему, комментируя инцидент в Twitter: «Будьте уверены, что ЦОД не был небезопасным. В этом дата-центре используется карта с многофакторной аутентификацией (2FA) и биометрическая охранная система, безопасные зоны обслуживания и круглосуточное наблюдение. Вход в ЦОД для посторонних лиц закрыт».
Операторы центров обработки данных часто делают все возможное, чтобы максимизировать уровень физической защиты своих объектов, размещая внутри них и по периметру ЦОД такие системы безопасности как камеры видеонаблюдения, заборы, биометрические замки и тамбуры-шлюзы.
Некоторые идут дальше, размещая серверы в ядерных бункерах, нанимая вооруженных охранников и устанавливая клетки Фарадея для защиты IT-оборудования, чтобы сделать его устойчивым к воздействию электромагнитного импульса (ЭМИ).
Независимые эксперты рекомендуют операторам коммерческих ЦОД принимать на вооружение эти технологии и меры не потому, что они важны, а потому, что их легко продемонстрировать потенциальным клиентам и партнерам, в отличие от систем кибербезопасности. Скандал вокруг системы физической безопасности центра обработки данных Vocus, кажется, лишь подтверждает эту точку зрения.
Пусть физическая безопасность не является серьезной проблемой для поставщиков услуг по совместному размещению клиентского серверного оборудования (колокейшн). Ведь в течение примерно шести месяцев посетители могли получить доступ к ЦОД Vocus 7A возле Окленда без каких-либо ключей или общения лицом к лицу с сотрудниками службы безопасности. И они в большинстве своем не выражали недовольства таким положением вещей. Все потому, что потенциальные злоумышленники могли оказаться в здании, но не могли бы получить доступ к самому машзалу.
С другой стороны, раскошелиться на охранников и полноценный пропускной пункт Vocus все же стоило. Ведь даже в ЦОД с реально работающими системами физической безопасности, которые не дублируются контролирующими ситуацию людьми, можно с легкостью использовать обычную тактику проникновения, такую как “хвостовая” атака. Речь про несанкционированный проход через пропускной пункт нескольких лиц по одному предъявленному идентификатору или практика следования злоумышленников за держателем пропуска в зону c ограниченным доступом через открывшуюся без какого-либо взлома дверь.
