Segurança Física (Datacenter e Acesso)

A Segurança Física é a primeira barreira de proteção de qualquer rede de computadores. De nada adianta ter o firewall mais caro do mundo se um atacante pode simplesmente plugar um cabo em um switch desprotegido ou roubar um disco rígido do servidor. A segurança lógica pressupõe que a física já está garantida — violar a última significa violar ambas.

1. O Perímetro Físico

Engloba a proteção do ambiente onde os ativos de rede residem.

• Data Centers e Racks: Devem ser mantidos em salas trancadas com controle de acesso biométrico ou cartões RFID.
• Cabeamento: Cabos de rede devem passar por eletrodutos protegidos para evitar grampos físicos (Sniffing na camada 1).
• Consoles de Gerenciamento: switches e roteadores devem ter suas portas de console protegidas fisicamente para evitar o reset de senhas.

2. Ameaças de Camada 1 (Física)

Atacantes com acesso físico podem:

• Roubo de Equipamento: Levar embora roteadores ou servidores inteiros.
• Instalação de Keyloggers Físicos: Dispositivos USB que capturam senhas.
• Man-in-the-Middle Físico: Inserção de um dispositivo tap entre o cabo e a porta do switch.
• Sabotagem: Corte de cabos de fibra óptica ou desligamento de energia e ar-condicionado.
• Dumpster Diving: Recuperação de mídias e documentos descartados.
• Shoulder Surfing: Observação de telas e digitação de senhas.
• Engenharia Social in loco: Fingir ser técnico de manutenção para acessar a sala técnica.

3. Tiers de Datacenter (Uptime Institute)

O Uptime Institute classifica datacenters em quatro níveis (Tiers) conforme sua tolerância a falhas e disponibilidade:

A diferença entre Tier III e Tier IV é crítica: Tier IV suporta falha de qualquer componente ativo sem queda de serviço; Tier III exige agendamento para manutenção corretiva. Para bancos centrais, bolsas de valores e clouds hyperscale, exige-se Tier IV ou equivalente.

4. Controle de Acesso Físico

4.1 Modelos de Autenticação

Em datacenters Tier III/IV, exige-se 2FA físico: badge + biometria, ou smartcard + PIN, combinados com mantrap (porta de entrada e saída que não abrem simultaneamente, garantindo anti-passback).

4.2 Logs de Acesso

Toda entrada e saída deve ser registrada por sistema de controle de acesso eletrônico, com retenção mínima de 1 ano. Logs são enviados para SIEM e correlacionados com eventos lógicos (ex: login de admin fora de horário sem badge correspondente gera alerta crítico).

5. Vigilância e Monitoramento

• CCTV (Closed-Circuit TV): cobertura integral de todas as entradas, salas técnicas e corredores. Câmeras IP modernas com analítica (detecção de movimento, reconhecimento de placa, contagem de pessoas). Retenção típica: 30-90 dias.
• Sensores de Presença: PIR, infravermelho, micro-ondas. Detectam invasão quando o site está desocupado.
• Sensores Perimetrais: barreira infrapassiva, fibra óptica sensível à vibração ( Sensor fiber fence).
• Vídeo analítico com IA: detecção de loitering, abandono de objeto, máscara facial.

6. Energia e Disponibilidade

UPS (Uninterruptible Power Supply)

Baterias que suprem o gap entre a queda de energia e a entrada do gerador. Tipos:

Capacidade típica para uma sala técnica: 30-60 minutos de autonomia.

Geradores

Motores a diesel (ou gás natural) que assumem a carga após a bateria, em 10-30 segundos. Datacenters Tier IV têm 2N: dois conjuntos independentes com combustível para 24-72 horas.

PDU (Power Distribution Unit)

Distribui energia com medição por tomada, redundância A/B e medição remota por SNMP/Modbus. Em racks modernos, PDUs inteligentes com switching remoto e monitoramento ambiental.

7. Climatização (HVAC)

• Temperatura: ASHRAE recomenda 18-27°C no corredor frio.
• Umidade: 40-60% — abaixo de 40% gera eletricidade estática; acima de 60% gera condensação.
• Layout de resfriamento: corredores quentes/frios (hot aisle/cold aisle containment) — frente dos racks no corredor frio.
• CRAH/CRAC: Computer Room Air Conditioning/Handler — unidades dedicadas à sala técnica.
• Resfriamento líquido: para densidades > 30 kW/rack, imersão em fluido dielétrico ou direct-to-chip.

8. Supressão de Incêndio

Tubulações pintadas de vermelho devem estar claramente identificadas; sinalização "Gas Discharge — Do Not Enter" é obrigatória.

9. Gabinetes e Racks

• Fechaduras físicas: cilíndricas simples, mas o ideal são fechaduras eletrônicas com badge.
• Gabinetes com senhas rotativas: semelhante a cofres, evitam cópia indevida de chaves.
• Rack com selagem: lacres físicos tamper-evident detectam violação.
• Cofres para mídias: fitas de backup em cofres à prova de fogo (UL Class 350 1h ou 2h).

10. TEMPEST e EMI

TEMPEST é o estudo e controle de emissões eletromagnéticas comprometedoras (Compromising Emanations). Equipamentos eletrônicos emitem radiação que pode ser capturada e reconstruída a distância (ex: conteúdo de tela). Medidas:

• Gaiolas de Faraday em salas críticas.
• Filtros EMI/RFI em linhas de energia e dados.
• Distanciamento mínimo de 1 metro de janelas externas para equipamentos críticos.
• Vidros metálicos em salas de operação.

11. Resumo dos Controles por Camada

12. Normas e Compliance

• ISO/IEC 27001 Annex A.11 — Segurança física e ambiental.
• TIA-942 — Padrão de infraestrutura para datacenters.
• Uptime Institute Tier Standard — Disponibilidade.
• PCI DSS Req. 9 — Restrição de acesso físico a dados de cartão.
• SOC 2 Type II — Auditoria de controles físicos.

13. Boas Práticas

• Política de "clean desk" — nada de documentos sensíveis fora de gavetas trancadas.
• Política de visitante com escort obrigatório e badge V (visitor) com cor diferenciada.
• Política de data sanitization — discos retirados de serviço devem ser wiped (NIST SP 800-88) ou fisicamente destruídos.
• Testes de physical pentest anuais — simulacro de intrusão física.
• Manutenção preventiva de UPS, gerador e HVAC conforme cronograma do fabricante.
• Documentação de layout de racks atualizada (DCIM — Data Center Infrastructure Management).

14. Conclusão

A segurança física é frequentemente subestimada em organizações focadas em cibersegurança lógica, mas é o fundamento sobre o qual todo o resto opera. Um datacenter bem projetado segue padrões como Uptime Institute Tier III/IV, implementa múltiplas camadas de controle de acesso (badge + biometria + mantrap), mantém climatização adequada, supressão de incêndio sem água e redundância de energia. A regra de ouro é: nunca assumir que ameaças lógicas são mais prováveis que físicas. Em ambientes críticos, ambas as frentes devem ser tratadas com o mesmo rigor e ser auditadas com a mesma frequência.