Обход системы СКУД в БЦ

Однажды был проект по тестированию СКУД в одном из БЦ в МСК. Ребята действительно заботяться о своей безопасности! 

Гостевые карты выдаются по любому удостоверяющему документу (водительские права, паспорт и т.п.). Сам пропуск программируется под каждого Гостя индивидуально, по окончанию пребывания в здании - сбрасывается в специальный приемник карт на пропускной рамке СКУДа.

Все вроде бы классно и надежно, но стоит учитывать возможные вектора для обхода данной защиты:

1. Злоумышленник может подделать документ не прикладывая больших усилий (про фотошоп все слышали, а если им мастерски владеть можно нарисовать что угодно). А это значит что пропуск выдадут без проблем, первый контур защиты будет пройден. Камеры конечно вас увидят, но это не помешает нанести импакт. Лифт не оснащен системой контроля доступа по этажам - поэтому побродить в поисках сетевой розетки или серверного оборудования вполне можно.

2. Классический вектор на считывания карт работает, где флиппер может оказать хорошую услугу Злоумышленнику (считать карту пока едешь в метро, переодеваешься в гардеробе либо стоишь в очереди на ланч с сотрудником атакуемой организации)

3. В зданиях где есть кафе, кальянные и подобные заведения для отдыха, можно получить пропуск Гостя, который откроет Злоумышленнику возможность побродить по зданию с целью считать привилегированный пропуск (интерес будет вызывать служба безопасности или администраторы, у которых иногда пропуска являются мастер-ключом ко всем помещениям)

Не смотря на все нюансы, доступы во 2 контур и выше будет получить достаточно проблематично. У ребят минимизировано наличие механических замков, что отметает вариант использования слесарного инструмента (отмычек).

Единственным вектором, позволяющим 100% нанести какой-либо импакт, является проведения атак на основе социальной инженерии, где необходимо подбираться через взаимодействие с персоналом или сообразить трудоустройство в атакуемую компанию под видом IT специалиста (другие должности создадут некоторые проблемы, когда нужно будет добраться до серверной)

Рекомендации:

- Использовать пин-код в дополнение к идентификации по карте-пропуску.

- Установить разграничение доспупа по этажам в лифте.

- Делать фотографию Гостя, который решил посетить БЦ для ведения базы посетителей, прикрепляя сканы документов.

- Проводить митапы с внутренними сотрудниками на тему социальной инженерии.

- Систематически проводить физические пентесты от представителей разных компаний.