6-4 安全对策的物理性架构 · 波仔的云计算课

📄 一句话概括

数字世界里的一切最后都落在一个真实的房间里，所以物理防线是一层一层往里走的同心圆。它的价值不在【挡住】，而在拖延时间 + 留下记录——每往里一层都要花时间，每一层都会留下痕迹。把五层的记录拼起来，就是一条完整的证据链。

📝 本节和前面几节的关系

上一节画出了攻击链和对策的总纲，这一节开始逐层展开，从最外面、也最容易被忘掉的那一层讲起。

它接着支撑云服务的技术① 数据中心那条线：那一节讲的是机房怎么建（选址、抗震、门禁、供电、消防），这一节讲的是机房怎么守。两节合起来才是【数据中心】这个词的完整含义——它既是技术的底座，也是一处需要看护的实体。

一、为什么物理层不可跳过

有一种错觉：东西都在云上了，物理安全是云服务商的事。这个想法漏掉了两件事：

物理接触就等于完全控制。能碰到机器的人可以接键盘、拔硬盘、插 U 盘、断电——这一层上的所有软件防护全部作废（因为攻击者根本不需要经过软件那一层）。
物理入侵常常是网络入侵的跳板。撬开机房门的人，可以在机房里接一根网线进内网——前面几节讲的所有网络防线，都是防【从外面进来的流量】，而他现在已经在里面了。

所以物理层是所有对策的前提：它失守了，上面几层就失去了意义。 而它又特别容易被忽略，原因很简单——它不体现在监控大屏上，也不产生告警，直到出事那天。

二、动手 Demo：五层同心圆

看到什么算成功：

==================================================================================================
【Demo 4】安全对策的物理性架构：五层同心圆
==================================================================================================
  数字世界里的一切，最后都落在一个真实的房间里。
  所以物理防线是一层一层往里走的同心圆——越往里，门槛越高。

  【一】五层防线：每层都要花时间，也都留下记录

  层              是什么                        突破大约需要          告警够不够响
  ------------------------------------------------------------------------------------------------
  1 周界          围栏、地桩、照明、外围摄像    2 分钟                高（一路都在曝光）
  2 建筑入口      旋转门、登记台、护卫          15 分钟               高（有人核对身份）
  3 机房          双因素：刷卡 + 人脸 / 指纹    30 分钟               极高（每次刷都留档）
  4 机柜          电子锁，按柜授权              10 分钟               高（开柜有记录）
  5 设备          带锁面板、开机与 BIOS 密码    5 分钟                中
  ------------------------------------------------------------------------------------------------
  合计                                          62 分钟

  【二】物理防线的价值不在【挡不住】，而在【拖延 + 留痕】

    · 62 分钟，够值班的人从监控里发现、并赶到现场
    · 每一层单独看都可能被过掉，但每层的记录拼起来就是完整证据链
    · 所以这一层真正的产出不是【进不来】，而是【进来一定会被知道】

  【三】2026 年这一层的两个变化

    1. 人脸识别从【可选项】变成基线要求，但必须带活体检测
       —— 否则照片、视频、面具都能骗过读头
    2. 门禁读卡器与控制器之间的通信要加密（行业协议 OSDP）
       —— 否则读卡器被拆下来接一根线，就能复制出你的卡

  一句话：物理安全的对手不只是攻击者，还有【自己的员工】——
  所以每一层既防外人，也记录自己人。

读结果：

表格最右一列【告警够不够响】才是设计重点。第 5 层（设备）标的是【中】——这一层没有人工核对，也没有通道留档。也就是说：前四层是【会被人看见】的，第五层是【进了机房就没人再看】的。这正是现实中机柜锁和带锁面板必须存在的原因——它补的是【没有人看】这个缺口。
【合计 62 分钟】这个数字不要当成精确值，它想说的是一个道理：每加一层，攻击者要花的时间就往上跳一截。而防护方的响应时间是有上限的（监控值班发现 + 赶到现场，通常十几到几十分钟）。只要【突破需要的时间】大于【响应需要的时间】，物理防线就成立了。
第二段的结论值得抄在本子上：物理层的产出不是【进不来】，而是【进来一定会被知道】。 这句话也能推广到整章——很多安全措施的目标都不是【阻止】，而是【让坏事留下证据】。

三、物理安全的一半对手是自己人

这一节最容易被跳过、但最值钱的一条：物理安全事件里，相当一部分来自内部——有权限的人、被尾随进来的人、管理外包的施工方。

对应到设计上，有四条具体做法：

做法	防的是什么
双人规则（某些区域不能单独进入）	单人作恶
防尾随（闸机、双重门、一人一过）	跟着别人溜进去
出入记录与作业录像	事后追查，也让当事人知道会被查
机柜按柜授权（不是【全机房通用钥匙】）	一个人的权限波及全部设备

它们有个共同点：都是为了把【信任】从【人】转成【制度】。因为靠人自觉是不可核验的，而门禁记录、录像、双人签字，都是可以事后核对的。

四、2026 年的两个变化

这两个变化都出现在 Demo 的第三段，值得单独说清楚：

人脸识别要有【活体检测】。人脸这件事的问题在于它是一把不能换的钥匙——密码泄露了可以改，脸泄露了改不了。所以只用【长得像】来判断已经不够了，必须判断【是不是活人当场在】，否则照片、视频、面具都能过。
读卡器与控制器之间的通信要加密。这是个很具体的攻击：拆下一个门禁读卡器，接一根线上去，就能读出（甚至复制）别人的卡。行业里对应的做法是让读卡器和控制器之间的链路用加密协议通信（也就是 Demo 里写的 OSDP）。这一条几乎没有客户会主动提，但它恰恰是【最容易被动手脚】的地方——因为读卡器都装在门外。

30 秒实验

想一件你今天进过的大楼（公司、商场、医院都行），在心里过一遍：

从大门到你能到达的最里面那个房间，一共要过几道门？
哪几道门是【有人核对身份】的，哪几道是【刷一下就过】的，哪几道是【谁都能推】的？

做完你会发现一个规律：真正决定这栋楼安全程度的，是【最后一公里】那道没人看的门——比如消防通道、货梯、以及跟着送外卖的人一起进去的那一下。这也正是物理防线设计的核心思路：不是把大门做得多气派，而是把每一道不设防的门都找出来。

常见误区

错误：数据都在云上，物理安全是云服务商的事，与我无关。——纠正：这话只对【云服务商自己机房的物理安全】成立。你这一侧的物理面还有一大片：办公室里的打印机、员工随身带走的笔记本、报废的硬盘、以及能登录云控制台的那台电脑——这些都归你管。本节的五层模型同样适用于你自己的办公室，而且往往是薄弱的一环：没人登记访客、没人锁机柜、硬盘报废直接扔垃圾桶。
错误：门禁系统装了人脸识别就安全了。——纠正：识别方式只是最后一道判断，防不住前面几件事。人脸能识出【这个人是谁】，但防不住尾随（前一个人刷卡进去，后面跟一个人）、防不住胁迫（被人跟着刀进去，只能开门），也防不住内鬼刷自己的脸。所以真实的门禁方案里，人脸只是其中一环，还要配防尾随的物理结构（双重门、闸机）、双人规则、以及完整的日志。只比较【识别方式先不先进】，是把问题看窄了。
错误：机房重地，员工进出登记一下就行。——纠正：登记是【事后清单】，不是【事前控制】。真出事时，一份手写的访客登记表既证明不了谁进去过，也追不上时间点。现代做法是【单据 + 系统】两条腿：访客提前登记身份、现场核验证件、全程有人陪同、离场后权限立刻失效，而且这些动作要在系统里留下带时间戳的记录。 原因很简单——只有能自动对得上的记录，事后才追得下去。
错误：物理安全是一次性工程，装完就完事了。——纠正：它和其它所有安全措施一样，是要持续维护的。授权在变（离职的人权限撤了吗）、设施在改（新开的消防门谁在管）、供应商在换（外包的安保与保洁有没有权限）。这些变化不主动处理，防线就会在日常里悄悄失效——而它失效的时候，通常不会有任何告警。这正是本节要强调【留痕】的原因：痕迹能让失效被看见。

自测三问（点开对答案）

1. 为什么说【物理层失守，上面的防线就失去了意义】？ —— 因为**物理接触等于完全控制**。前面几节讲的所有防护（防火墙、检测、防病毒、权限）都假设一件事：**攻击者只能通过软件和数据通道够到这个系统**。但如果一个人能走到机柜前，他可以**直接接键盘、插 U 盘、拔硬盘、按电源键**——**这些动作全部发生在所有软件防护的【下面】**，根本不需要经过那一层。更麻烦的是，**他还能就地接一根网线进内网**：网络防线防的是【从外面进来的流量】，而他现在已经在里面了。 2. 【拖延 + 留痕】里的【留痕】为什么和【拖延】一样重要？ —— 因为**两者防的是不同的东西**。拖延防的是【这次进不去】，但正如 Demo 第二段说的，**每一层单独看都可能被过掉**——所以光靠拖延，总有一天会失守。而留痕防的是【下次还进得来】：**每一次门禁记录、每一段录像，都在事后构成证据链**，能让攻击者被找到、被追究，并据此堵住那个口子。而且留痕还有一个**事前的作用**——**当人们知道自己会被记录时，行为会不一样**。所以这一层的真正产出是那句：**不是【进不来】，而是【进来一定会被知道】。** 3. 为什么门禁记录要做到【带时间戳、能自动核对】才算数？ —— 因为**只有能自动对上的记录，事后才追得下去**。手写的访客登记表看起来也是记录，但真出事的时候你没法**把【谁在哪个时间点经过哪道门】与【哪台设备在那时发生了什么】两张表放进同一个时间轴**——而事故复盘必须做这件事。带时间戳的系统记录（+ 对应的录像片段）才能把这两件事对上。**这也是为什么现代门禁方案里，【日志设计】和【识别方式】一样重要**——识别决定谁能进，日志决定出了事能不能查清楚。

☐ 下一节（6-5 数据中心的城墙：防火墙）