信息安全工程师核心考点：物理与环境安全（上篇）

一、引言

（一）核心概念定义

物理安全是信息安全体系的底层基础，传统定义为保护网络信息系统运行相关的全部硬件实体（包括机房环境、计算设备、存储介质等）免受盗窃、破坏、非授权访问的安全措施集合。随着信息物理系统（CPS）、工业互联网的发展，广义物理安全已扩展为保障由硬件、软件、操作人员、环境共同构成的 "人、机、物" 融合系统的安全，与功能安全、网络安全深度交织，是所有上层安全机制落地的前提。

（二）软考考点定位

物理与环境安全属于软考信息安全工程师考试大纲中 "系统安全" 模块的核心内容，历年考试占比约 5%-8%，考点覆盖概念辨析、威胁类型识别、防护措施选型、标准合规等多个维度，既有选择题也常出案例分析题。

（三）发展脉络

物理安全的发展经历了三个阶段：1990 年以前为传统物理安全阶段，核心防护目标是防盗窃、防火、防水等物理破坏；1990-2015 年为硬件安全阶段，防护重点扩展到电磁泄露防护、介质安全、供应链安全；2015 年至今为融合安全阶段，随着硬件攻击技术的发展，防护范围覆盖芯片级威胁、软硬件协同攻击、物理环境侧信道攻击等新型场景。

（四）本文知识覆盖

本文将系统讲解物理安全的概念演进、新兴硬件威胁原理、三层防护体系、通用防护方法及传统防护要点，帮助考生建立完整的物理安全知识框架。

二、物理安全核心概念与范围

（一）传统物理安全边界

传统物理安全的保护对象包含三类核心实体：

1. 环境实体：机房场地、供电系统、空调系统、消防系统等支撑性物理设施，是信息系统运行的基础环境。
2. 设备实体：服务器、交换机、路由器、终端、工业控制设备等计算与网络硬件，是信息处理的核心载体。
3. 介质实体：硬盘、U 盘、磁带、光盘等存储介质，是数据存储的物理载体。

（二）广义物理安全的扩展范围

随着 "人机物" 融合系统的普及，物理安全的边界已扩展至三类融合场景：

1. 功能安全与物理安全融合：工业控制系统、自动驾驶系统等场景中，信息安全事件可直接导致物理设备故障，引发人身伤害或财产损失。
2. 网络安全与物理安全融合：远程网络攻击可穿透网络边界，直接操纵物理设备的运行参数，实现物理破坏。
3. 供应链安全与物理安全融合：芯片、硬件设备的设计、制造、运输、部署全链条都可能被植入恶意组件，成为攻击入口。

（三）物理安全在纵深防御体系中的定位

物理安全是纵深防御体系的第一层防线，所有上层的密码技术、访问控制、入侵检测等安全机制，都依赖于物理硬件的可信运行环境。如果物理层被突破，上层安全机制的有效性将大幅降低甚至完全失效。

物理安全在信息安全纵深防御体系中的层级示意图

三、新兴物理安全威胁原理与典型案例

（一）硬件木马

1. 定义与原理：硬件木马是在集成电路芯片的设计、制造、封装、测试等任意环节被植入的恶意电路模块，通常具有触发条件隐蔽、功能恶意、难以检测的特点。触发后可实现修改芯片功能、泄露敏感数据、破坏芯片运行等攻击目标。
2. 技术细节：硬件木马通常由触发逻辑和攻击逻辑两部分组成，触发逻辑可设计为特定时间、特定输入序列、特定电压 / 温度条件等，攻击逻辑可实现特权指令执行、密钥泄露、电路烧毁等功能。
3. 典型案例：2019 年某安全研究团队披露，某商用 FPGA 芯片在制造环节被植入硬件木马，当处理特定加密运算时会通过电磁信号泄露私钥信息，影响全球超过 10 万台相关设备。
4. 检测难点：硬件木马的电路规模通常仅占芯片总电路的 0.1% 以下，常规功能测试无法覆盖，需要采用反向工程、侧信道分析等专业检测手段，检测成本可达芯片生产成本的 10 倍以上。

（二）硬件协同恶意代码

1. 定义与原理：此类恶意代码通过利用硬件接口或功能漏洞，实现对硬件底层资源的非授权访问，可绕过操作系统、虚拟化软件等上层安全机制，直接访问受保护的特权内存区域、加密存储区域等敏感资源。
2. 技术细节：典型实现方式包括利用 PCIe 设备的 DMA（直接内存访问）功能绕过内存保护机制，通过 SPI 接口篡改 BIOS 固件实现持久化驻留，利用管理引擎（ME）、平台控制单元（PCH）等芯片内置模块的漏洞获取最高权限。
3. 典型案例：2021 年披露的 "SpyBIOS" 恶意代码，通过篡改主板 BIOS 固件，可在操作系统启动前获得控制权，能够绕过所有操作系统层面的安全软件，持久化窃取用户数据。

（三）硬件设计漏洞利用

1. 定义与原理：利用 CPU、GPU 等核心计算芯片的设计缺陷，通过构造特定的执行序列，实现敏感数据窃取、权限提升等攻击目标，此类漏洞属于硬件原生缺陷，无法通过常规软件补丁完全修复。
2. 典型漏洞原理：
   （1）熔断（Meltdown）漏洞：利用 CPU 的乱序执行机制，构造特定指令序列，可读取操作系统内核内存、其他进程内存中的任意数据，影响 2011 年以后生产的所有 Intel x86 架构 CPU。
   （2）幽灵（Spectre）漏洞：利用 CPU 的分支预测执行机制，通过侧信道分析可窃取其他进程、虚拟机、浏览器沙箱中的敏感数据，影响几乎所有现代 CPU 架构，包括 Intel、AMD、ARM 等。
3. 防护难点：完全修复此类漏洞需要修改 CPU 硬件架构，现有软件补丁只能降低攻击成功率，同时会导致 10%-30% 的性能损失。

（四）软件驱动的物理破坏攻击

1. 定义与原理：通过攻破控制系统的软件层面，篡改物理设备的运行参数，超出设备的物理承受极限，最终导致物理设备永久性损坏，此类攻击不需要物理接触目标设备，可通过远程网络发起。
2. 典型案例：震网（Stuxnet）病毒，2010 年被披露，专门针对伊朗核设施的西门子 PLC 控制系统，通过篡改离心机的转速参数，使离心机在高频变速运行中发生机械故障，最终损坏了超过 1000 台铀浓缩离心机，是首个公开的通过网络攻击实现大规模物理破坏的案例。
3. 攻击特点：攻击目标针对性极强，攻击过程隐蔽，不会触发常规软件安全告警，只有当物理设备出现不可逆损坏时才会被发现。

（五）环境侧信道攻击

1. 定义与原理：针对计算机设备运行依赖的外部环境参数（电磁场、温度、功耗、声波等）发起攻击，通过分析环境参数的变化还原设备处理的敏感数据，或直接干扰设备的正常运行。
2. 典型攻击方式：
   （1）电磁攻击：通过接收设备运行时产生的电磁辐射信号，分析还原出设备处理的密钥、明文数据等敏感信息，攻击距离可达数米至数十米。
   （2）故障注入攻击：通过电压毛刺、时钟毛刺、激光照射等方式，诱导芯片运行出现故障，利用故障输出破解加密密钥。
   （3）冷启动攻击：在设备关机后短时间内（DRAM 数据保留时间通常为几秒至几分钟）冷却内存芯片，将内存芯片取出后读取其中存储的敏感数据，包括加密密钥、登录密码等。

五类新兴物理安全威胁的技术特性对比表

四、物理安全防护体系框架

（一）三层防护层级

1. 设备物理安全层
   （1）核心防护目标：保障计算、网络、存储等硬件设备的原生安全，从硬件设计到运行全生命周期的可信。
   （2）核心防护措施：防电磁泄露 / 干扰、电源保护、抗震加固、供应链安全管控、智能设备固件可信验证、硬件安全模块（HSM）部署等。
2. 环境物理安全层
   （1）核心防护目标：保障设备运行的机房及周边环境符合安全要求，避免环境因素导致设备故障或损坏。
   （2）核心防护措施：机房场地的防火、防水、防雷、防盗、防鼠虫、供电保障、温湿度控制、电磁屏蔽等。
3. 系统物理安全层
   （1）核心防护目标：保障硬件系统的访问可控、数据可恢复、运行可审计。
   （2）核心防护措施：存储介质安全管理、灾难备份与恢复、物理访问控制、硬件资源全生命周期管理等。

（二）七类通用防护方法

1. 安全合规：遵循国家《信息安全技术 信息系统物理安全技术要求》（GB/T 21052）、《网络安全等级保护基本要求》等标准，根据系统安全等级设计对应的物理安全防护方案。
2. 访问控制：对机房、设备间、介质存储等物理区域，采用门禁、生物识别、人员陪同、访问日志审计等措施，实现对物理访问的全流程管控。
3. 安全屏蔽：对核心计算设备、加密设备等采用电磁屏蔽柜、屏蔽机房等措施，防止电磁信号泄露，同时抵御外部电磁干扰攻击。
4. 故障容错：通过电源冗余、设备冗余、链路冗余等设计，确保系统在部分硬件故障时仍能正常运行，减少单点故障风险。
5. 安全监测与预警：部署温湿度传感器、烟雾报警器、漏水监测、入侵监测、视频监控等系统，对物理环境参数、非法访问行为进行实时监控和告警。
6. 供应链安全管理：建立硬件设备从采购、运输、部署、运维到报废的全生命周期安全管控机制，采用供应商资质审核、出厂检测、随机抽检、固件验证等措施，防范硬件木马、预置漏洞等供应链风险。
7. 容灾备份：根据业务连续性要求，建立不同等级的容灾备份体系，核心数据至少实现异地备份，确保在发生大规模物理灾难时数据可恢复、业务可快速恢复。

物理安全三层防护体系与七类方法对应关系图

五、传统物理安全核心防护要点

（一）九类基础防护措施

1. 防火：消除机房内易燃隐患，采用阻燃建材，安装感烟感温报警系统、气体灭火系统（禁止使用水灭火系统），制定消防应急预案，定期开展消防演练。
2. 防水：机房场地避免设置水管线路，墙壁和地板做防水处理，机房不宜设置在建筑底层或地下室，电缆沟做防水封堵，安装漏水监测系统。
3. 防震：机房建筑符合对应等级的抗震设计要求，机柜采用螺栓固定，禁止移动运行中的设备，重要设备采用抗震支架加固。
4. 防盗：机房出入口安装防盗报警系统、机械 / 电子锁具、全覆盖视频监控，视频监控保存时间不少于 90 天，严格执行来访人员审批和陪同制度。
5. 防鼠虫：封堵机房所有对外孔洞，部署超声波驱鼠装置，定期投放安全毒饵，电缆外层涂刷防鼠药剂，防止鼠虫啃咬电缆导致设备故障。
6. 防雷：机房建筑安装避雷针，所有设备实现可靠接地，接地电阻小于 1Ω，重要设备前端安装专用防雷模块，防范雷电感应导致设备损坏。
7. 防电磁：机房选址远离强电磁干扰源（雷达站、变电站、广播发射台等）200 米以上，核心设备采用接地、屏蔽等措施，符合《电磁兼容 通用标准》（GB/T 17626）相关要求。
8. 防静电：机房控制温湿度在 18-25℃、相对湿度 40%-60% 区间，铺设防静电地板，工作人员操作设备时穿防静电服、防静电鞋，佩戴防静电手套，避免静电放电损坏芯片。
9. 防介质泄露：存储介质实行分类分级管理，涉密介质采用物理隔绝存储，介质报废时采用消磁、物理粉碎等方式实现数据不可恢复，禁止未经审批带出受控区域。

（二）安全供电保障

1. 供电架构：采用专用供电线路，避免与其他大功率设备共用线路，核心设备采用双路市电供电。
2. 不间断电源：部署 UPS（不间断电源）系统，根据业务需求配置续航时间，核心系统 UPS 续航时间不少于 4 小时。
3. 备用电源：配置备用柴油发电机，定期开展启动测试，确保在市电中断时可在 15 分钟内启动供电，保障核心系统持续运行。

传统物理安全防护要点部署示意图

六、物理安全前沿发展与软考考点趋势

（一）技术发展动态

1. 硬件可信根技术：基于可信平台模块（TPM）、可信密码模块（TCM）的可信计算技术快速普及，通过在硬件层植入可信根，实现从 BIOS、操作系统到应用程序的全链条可信验证，防范硬件层面的恶意篡改。
2. 硬件安全检测技术：基于人工智能的硬件木马检测技术、侧信道分析检测技术不断成熟，检测成本较传统方法降低 60% 以上，逐步实现大规模商用。
3. 零信任物理访问控制：将零信任理念引入物理访问控制领域，采用动态权限、多因素认证、上下文感知等技术，实现对物理区域访问的精细化管控，替代传统的静态门禁权限管理。

（二）软考考点趋势

1. 考点占比提升：随着硬件攻击事件的增多，物理安全相关考点的占比呈逐年上升趋势，尤其是新兴硬件威胁的原理、典型案例、防护措施成为高频考点。
2. 案例分析考点增加：物理安全与等级保护、灾难恢复、供应链安全等知识点结合的案例分析题出现频率升高，要求考生能够结合实际场景设计物理安全防护方案。
3. 标准考点细化：《信息安全技术 信息系统物理安全技术要求》（GB/T 21052）、等级保护 2.0 中物理安全相关要求的具体条款成为考点，需要考生准确记忆不同安全等级对应的防护要求。

物理安全技术演进路线图与考点趋势图

七、总结与备考建议

（一）核心知识点提炼

1. 概念层面：理解物理安全从传统硬件防护到 "人机物" 融合安全的演进，明确物理安全在整个信息安全体系中的底层基石定位。
2. 威胁层面：掌握五类新兴物理安全威胁的原理、典型案例，重点记忆 "熔断"" 幽灵 ""震网" 等经典案例的攻击机制和影响范围。
3. 防护层面：掌握 "设备 - 环境 - 系统" 三层防护体系和七类通用防护方法，熟记 "九防一供" 的具体防护措施和技术参数要求。

（二）软考考试重点提示

1. 高频考点：物理安全的定义与范围、新兴硬件威胁的类型识别、典型攻击案例的对应关系、物理安全防护措施的选型、相关国家标准的核心要求。
2. 易错点：混淆硬件木马与硬件漏洞的区别、混淆电磁泄露防护与电磁干扰防护的措施、记忆错误不同等级保护对应的物理安全要求、遗漏供应链安全等新型防护要点。
3. 答题技巧：案例分析题中涉及物理安全方案设计时，需按照 "三层防护体系" 的框架逐一梳理，从设备、环境、系统三个层面分别提出对应防护措施，确保方案的完整性。

（三）实践应用建议

1. 企业物理安全建设应先根据等级保护要求确定安全等级，再对应设计防护方案，避免过度防护或防护不足。
2. 新兴硬件威胁防护应优先落实供应链安全管控，对核心设备采用多源采购、到货检测、固件验证等措施，从源头降低风险。
3. 物理安全管理需建立定期巡检制度，对消防、供电、防雷、环境监测等系统定期开展测试，确保防护措施持续有效。

（四）备考策略

1. 基础阶段：熟记物理安全的核心概念、防护层级、基础防护措施等知识点，建立完整的知识框架。
2. 强化阶段：重点掌握新兴硬件威胁的原理和案例，结合历年真题梳理考点分布，区分易混淆知识点。
3. 提升阶段：尝试结合等级保护要求，设计不同场景的物理安全防护方案，提升案例分析题的答题能力。