Realizando Avaliação de Intrusão Física

Visão Geral

A avaliação de intrusão física avalia os controles de segurança física de uma organização ao tentar obter acesso não autorizado a instalações, salas de servidores e áreas restritas. Isso inclui seguir funcionários (tailgating), clonar crachás de acesso RFID, contornar fechaduras, implantar dispositivos de rede não autorizados e testar os procedimentos dos seguranças. Testes de segurança física são um componente crítico de engajamentos de equipe vermelha de escopo total, pois geralmente fornecem o caminho mais direto para o acesso à rede. O MITRE ATT&CK mapeia técnicas de acesso físico sob T1200 (Adições de Hardware) e T1091 (Replicação por Mídia Removível).

Quando Usar

• Ao realizar avaliações de segurança que envolvam a realização de avaliação de intrusão física
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes ou atividades de auditoria de segurança agendados
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Carta de autorização assinada (portar em todos os momentos durante a avaliação)
• Contato de emergência para a equipe de segurança do cliente (24/7)
• Carta de liberação assinada por autoridade executiva
• Kit de ferramentas para testes de segurança física
• Câmera corporal ou equipamento de documentação
• Materiais de disfarce/cobertura de identidade (uniforme, crachá, prancheta)

Mapeamento MITRE ATT&CK

Kit de Ferramentas para Testes de Segurança Física

Técnica 1: Tailgating (Seguir pela porta)

Tailgating envolve seguir uma pessoa autorizada por um ponto de entrada seguro sem apresentar credenciais.

Métodos:

• Abordagem de mãos ocupadas: Carregar caixas/equipamentos, pedir para alguém segurar a porta
• Retorno da pausa para fumar: Esperar perto da área de fumantes, seguir funcionários de volta para dentro
• Entregador: Usar uniforme de entregador, carregar pacotes
• Horário de pico de entrada: Entrar durante a troca de turno ou o rush do almoço
• Portas deixadas abertas: Observar se os funcionários deixam as portas abertas

Contramedidas para testar:

• Catracas / antecâmaras
• Procedimentos de abordagem dos seguranças
• Sistemas de detecção de piggybacking
• Conscientização de segurança dos funcionários

Técnica 2: Clonagem de Crachás

# Proxmark3 - Read a low-frequency (125kHz) HID card
proxmark3> lf hid read
# Output: HID Prox TAG ID: 2006xxxxxx - FC: 123 CN: 45678

# Clone to a T5577 blank card
proxmark3> lf hid clone --fc 123 --cn 45678

# Read high-frequency (13.56MHz) MIFARE card
proxmark3> hf mf rdbl --blk 0 -k FFFFFFFFFFFF

# Long-range capture with custom antenna (up to 3 feet)
proxmark3> lf hid read  # with extended antenna

# Flipper Zero - Read and emulate
# RFID > Read > Hold card to Flipper > Save > Emulate

Fluxo do ataque de clonagem de crachás:

1. Posicionar-se perto do leitor de crachás (elevador, entrada de porta)
2. Ler o crachá sem fio enquanto o funcionário passa (janela de 1-3 segundos)
3. Clonar para um cartão em branco
4. Usar o crachá clonado para acessar áreas seguras
5. Documentar quais áreas foram acessíveis

Técnica 3: Contorno de Fechaduras

# Teclado eletrônico - imagem térmica após o uso
# Teclas mais quentes = pressionadas mais recentemente
# Usar câmera FLIR para capturar assinaturas de calor em até 30 segundos

# Contorno do sensor REX (Request to Exit)
# Inserir fio fino ou usar uma lata de ar comprimido para acionar o sensor de movimento
# na parte interna de uma porta com trava magnética

…