Lesson 24 · 约 18 分钟 · 冲刺补缺

最后一道防线：物理安全与网闸（Gap）

本课目标：背住机房选址/门禁/防火防水防静电、TEMPEST 屏蔽、介质销毁、UPS 与气体灭火；秒判物理隔离高于防火墙逻辑隔离；会把网闸和防火墙 / VPN / IDS 拆开。

开场：主干学完了，机房和网闸还没上

第 1–23 课主干已经走完。第 23 课 §八把冲刺缺口排在第一的，就是教材 第 5 章 物理与环境安全和第 11 章 网络物理隔离。 上午卷会问「电磁泄漏怎么防」「隔离强度谁最高」；下午卷拓扑里，要近物理隔离时填的是网闸，不是防火墙。 第 5 课的防火墙是逻辑隔离；第 12 课等保技术五大类第一项是安全物理环境——本课把这两头接上。

第 23 课结业测 7/7。本课是冲刺补缺第一课：把「锁门、断电、毁盘、隔网」收成一张可背的表。

零、先复习再开新

R1 · 等保等级测评与网络安全风险评估是同一件事吗？
答案 B。等保测评 = 符合性判定；风险评估 = R=f(资产,威胁,脆弱性)。第 18 课易错点。
R2 · 数字签名的密钥方向，正确的是？
答案 B。公钥加密 → 私钥解密；私钥签名 → 公钥验签。第 3–4 课持续复习点。

一、物理安全管什么（先定位）

密码、防火墙、IDS 都管「线上」；有人进机房抽硬盘、电磁把屏幕辐射收走、停电把系统打挂——这些要靠物理与环境安全。 教材第 5 章把它分成三块：物理防护（选址、门禁、防火防水防静电）· 电磁与介质（TEMPEST、销毁）· 环境保障（温湿度、UPS、防雷、消防）。

等保 2.0（GB/T 22239—2019）技术五大类第一项就是安全物理环境——门禁、监控、机房环境不是「后勤常识」，是合规条目。

易错：物理安全常被当成「最后才想起来的一道防线」，但上午卷有题；等保答题漏写机房门禁/介质销毁也会丢分。

二、机房选址、门禁与防护

考点要记住什么
选址与结构机房选址、建筑结构要利于防护（避开易受灾害、易被非法进入的位置）
门禁生物识别、IC 卡、双因子；访客登记与陪同
监控 / 防盗区域监控、防盗措施，核心机房不能「刷卡进了就没人管」
防火防水防静电三类环境危害并列记；电子设备怕水、怕静电击穿
口诀（机房物理防护要点）：选址结构把门禁，监控防盗防火水，静电也要防。
口诀（机房门禁与访客）：生物识别配 IC 卡，双因子进门，访客登记须陪同。

三、电磁泄漏（TEMPEST）与介质销毁

显示器、线缆会向外辐射电磁信号，被接收后可能还原信息——这就是电磁泄漏，教材点名 TEMPEST。 防护靠屏蔽、干扰，不是靠加密、防火墙或 VPN（第 5 章章末自测原口径）。

手段对应什么别混成
屏蔽 / 干扰防电磁泄漏（TEMPEST）≠ 加密、≠ 防火墙
消磁、物理粉碎存储介质销毁≠ 只删文件、≠ 只格式化
报废清数据设备报废须清除数据，防信息残留≠ 硬盘直接扔掉或转卖
口诀（电磁泄漏防护 TEMPEST）：防电磁泄漏靠屏蔽，干扰可辅助，加密防火墙帮不上。
口诀（存储介质销毁）：报废先清数据，消磁粉碎才算毁。
易错：删分区、清空回收站 ≠ 销毁。题干出现「报废硬盘 / 信息残留」→ 选消磁或物理粉碎。

四、环境安全：电、温湿度、消防

措施保的是哪条
温湿度设备稳定运行，防过热、结露
UPS 不间断电源市电中断时仍可用（可用性）
防雷雷击与浪涌损坏设备
消防（气体灭火等）机房灭火；教材点名气体灭火
口诀（机房环境保障）：温湿度要稳，UPS 保电，防雷气体灭火。

五、物理隔离与网闸（Gap）

防火墙再严，两边仍然在同一套协议上「连着」——这是逻辑隔离。 物理隔离要求：内外网不直连；需要交换数据时，用单向或受控摆渡。 典型设备是网闸（Gap）；教材还点了双网卡隔离、光单向导入。

摆渡的直观图：同一时刻只接通一侧，数据先落到隔离区再转到另一侧——所以叫「渡」，不是开一条常连的网线。

口诀（物理隔离与网闸）：内外网不直连，网闸摆渡或单向，强度高于防火墙。
易错：第 5 课「双重宿主主机」也是双网卡，那是防火墙体系结构（一台主机当关卡），不是网闸。 网闸的考点词是 Gap、不直连、摆渡/单向；防火墙的考点词是规则、端口、会话。

六、网闸 vs 防火墙 / VPN / IDS（高频辨析）

技术隔离性质一句话秒判
网闸 Gap 物理隔离（近物理隔离） 内外网不直连；单向或受控摆渡；不对外开端口
防火墙 逻辑隔离 按规则过滤；可开放端口；支持双向通信与会话
VPN 加密隧道，不是隔离 在公网上开私路；解决机密性，不替代网闸
IDS 不隔离 旁路检测告警；实现不了内外网隔离
IPS 逻辑层阻断 串联可阻断，仍不是物理隔离

2023–2025 机考把「防火墙 vs 网闸」写成：物理隔离强度、是否对外开端口。 下午卷拓扑：网站放 DMZ、库放内网；要近物理隔离的位置填网闸。 工控场景（第 20 课）边界常用工业防火墙 / 工业网闸 / 单向隔离，电力「横向隔离」接近物理隔离。

口诀（网闸与防火墙辨析）：防火墙逻辑可开端口，网闸物理不直连；VPN 加密不隔离，IDS 只看不隔离。
网闸隔的是链路直连，不是文件内容。摆渡过去的文档里若藏着恶意代码，仍可能打进内网——所以网闸不是万能，还要配合内容检查、介质管控。
口诀（等保物理环境定位）：技术五大类第一项，就是安全物理环境（字头：物通边算中的「物」）。

七、动手练一练

Q1 · 防止电磁泄漏（TEMPEST）应优先采用？
答案 A。TEMPEST 防泄漏靠屏蔽/干扰；加密、防火墙、VPN 不解辐射还原问题（教材第 5 章）。
Q2 · 报废硬盘防止信息残留，正确做法是？
答案 B。介质销毁：消磁、物理粉碎；设备报废须清除数据，防止信息残留。
Q3 · 机房环境安全保障通常包括？
答案 A。教材 5.6：温湿度、UPS、防雷、消防（气体灭火等）。
Q4 · 最高强度的内外网隔离技术是？
答案 A。物理隔离强度高于防火墙逻辑隔离；VPN/IDS 都不是隔离装置（教材第 11 章）。
Q5 · 关于防火墙与网闸，正确的是？
答案 B。网闸：不直连、摆渡/单向、不对外开端口；防火墙：逻辑隔离、可开端口、双向会话。
Q6 · 等保技术五大类中，机房门禁监控属于？
答案 A。技术五类：物理、通信、区域边界、计算环境、管理中心。门禁监控落在「安全物理环境」。
Q7 · A network gap device is mainly used to?（英文题）
答案 B。Gap = physical isolation + controlled ferry / one-way transfer；不是 VPN、不是 IDS。
附加题（下午卷风格）· 点击展开答案

某单位核心机房访客可随意进入；报废硬盘直接扔掉；生产内网与互联网只用普通防火墙互联并对外开放维护端口。请：（1）指出主要风险；（2）给出至少 5 条整改措施。

（1）主要风险
· 无门禁/陪同 → 未授权进入、设备被盗或被接线。
· 报废介质未销毁 → 数据残留被恢复。
· 仅逻辑隔离且对公网开口 → 远程入侵；达不到「近物理隔离」强度。
· 缺 UPS/消防等环境保障 → 断电、火灾导致可用性事故。

（2）整改措施（示例）
① 物理防护：选址与分区；门禁（生物识别/IC 卡/双因子）；监控防盗；访客登记陪同。
② 环境保障：温湿度、UPS、防雷、气体灭火。
③ 电磁与介质：机房屏蔽/干扰防 TEMPEST；报废消磁或粉碎并清数据。
④ 边界隔离：内外网不直连；部署网闸做摆渡/单向；关闭不必要公网端口。
⑤ 逻辑补充：防火墙仍用于外网逻辑隔离与会话控制；需要远程则走 VPN + 审计（不能拿 VPN 当网闸）。
⑥ 等保：落实安全物理环境 + 区域边界；测评是符合性检查，≠ 风险评估。
答题模板：先写门禁介质环境 → 再写网闸物理隔离 → 防火墙/VPN 只作补充 → 点等保物理环境。

八、今日任务（约 35 分钟）

  1. 精读第 5、11 章（20 分钟）：阅读 第 5 章 物理与环境安全 + 第 11 章 网络物理隔离， 对照物理安全与网闸速查卡。
  2. 口述自测（10 分钟）：不看笔记，说出：门禁三件套；TEMPEST 靠什么；介质怎么毁；UPS/气体灭火；网闸为什么强于防火墙；VPN/IDS 为什么不是隔离。
  3. 睡前回忆（5 分钟）：按考点背——① 机房物理防护要点：选址结构把门禁，监控防盗防火水，静电也要防；② TEMPEST：防电磁泄漏靠屏蔽；③ 介质：报废先清数据，消磁粉碎才算毁；④ 环境：温湿度要稳，UPS 保电，防雷气体灭火；⑤ 网闸：内外网不直连，摆渡或单向，强度高于防火墙；⑥ 辨析：防火墙逻辑可开端口，网闸物理不直连。

九、本课知识从哪来