來源：嘶吼專業(yè)版
網(wǎng)絡安全領(lǐng)域的發(fā)展速度太快，隔一段時間就會有一些流行語和技術(shù)術(shù)語冒出來。如果你有一段時間不關(guān)注該領(lǐng)域，則感覺已經(jīng)跟不上時代了。“縱深防御”(Defence-in-Depth, DiD)就是這樣一個技術(shù)術(shù)語。
那么為什么會出現(xiàn)這個術(shù)語呢？簡單地說，DiD要求將安全性應用于多個層，其工作原理是為每個層提供不同類型的保護，以便為提供阻止攻擊的最佳手段。這些層也可以防止不同的問題，全方位覆蓋多個不同問題。
那么，我們?nèi)绾问褂迷摬呗阅?簡單地說，我們將不同的安全措施分組到不同的功能類別中并應用它們。這與傳統(tǒng)的物理安全的實現(xiàn)方式或分組方式?jīng)]有太大區(qū)別。
事實上，任何負責任的安全專家都會告訴你，絕對沒有辦法100%保護你的IT網(wǎng)絡免受所有可能的威脅。你唯一能做的就是弄清楚你愿意承受多大程度的風險，然后采取措施來應對其余的風險。
這樣說吧，安全防御行為其實就是一種平衡行為，找到安全性和可用性之間的平衡點，是一項困難的任務。
這種復雜性可以通過使用來自單個供應商的一套產(chǎn)品來管理，但也有其自身的缺點。正如一篇文章所提到的觀點：
一方面，如果你能夠從中央控制臺獲得一套安全產(chǎn)品，并且能夠在一次成功的操作中報告這些產(chǎn)品，那就太好了。但另一方面，采用單一供應商會有限制防御的風險。
最好的例子就是殺毒軟件產(chǎn)品，不同的供應商可能能夠識別大多數(shù)相同的病毒, 但處理的方法卻大相徑庭。而且，有時這些不同的產(chǎn)品會與正常的操作行為發(fā)生沖突。另一個考慮因素是，確實沒有明確的規(guī)定要求你必須采取哪些措施來保護你的IT網(wǎng)絡，因為具體的措施要施取決于你的組織規(guī)模、預算以及你嘗試保護的數(shù)據(jù)的性質(zhì)、你的組織可能會成為攻擊目標的攻擊類型以及你愿意接受的風險程度。
接下來，我將會討論縱深防御的解決方案包括的不同層。
在網(wǎng)絡世界里，一個機構(gòu)可能遇到的攻擊者大致可分為以下5類，每一類都有不同的攻擊動機和能力：
腳本小子
以“黑客”自居并沾沾自喜的初學者。腳本小子不像真正的黑客那樣發(fā)現(xiàn)系統(tǒng)漏洞，他們通常使用別人開發(fā)的程序來惡意破壞他人系統(tǒng)。他們常常從某些網(wǎng)站上復制腳本代碼，然后到處粘貼，卻并不一定明白他們的方法與原理。他們欽慕于黑客的能力與探索精神，但與黑客所不同的是，腳本小子通常只是對計算機系統(tǒng)有基礎了解與愛好，但并不注重程序語言、算法、和數(shù)據(jù)結(jié)構(gòu)的研究，
內(nèi)部人員或解雇人員
有合法途徑使用公司網(wǎng)絡的人士他們往往是受金錢或報復驅(qū)使。
真正的黑客
他們注重程序語言、算法、和數(shù)據(jù)結(jié)構(gòu)的研究。
有組織犯罪
他們會造成大量的電子郵件垃圾郵件并開發(fā)常見的惡意軟件。
國家行為攻擊
通常是高度自律的組織，擁有進行復雜攻擊所需的時間、資源和成本。
與政府合作或與重要國家基礎設施相關(guān)的實體或公司的IT系統(tǒng)，往往會成為攻擊目標。金融機構(gòu)可能更有可能發(fā)現(xiàn)他們正面臨有組織犯罪的襲擊。了解威脅的來源可以幫助組織更有效地引導其資源并規(guī)劃其安全性，在以下案例中，我會說明為什么研究人員不主張 “一刀切”的預防方法，這也是縱深防御策略之所以流行的原因。現(xiàn)在就讓我們看一下構(gòu)成縱深防御策略解決方案的一些不同部分。
無論是物理安全還是網(wǎng)絡安全，這都是最重要的原則之一。在現(xiàn)實世界中，這通常是通過門、柵欄和墻，甚至警衛(wèi)來實現(xiàn)的，所有這些設計都是為了把不應該在這里的人擋在外面。在網(wǎng)絡安全的世界里，邊界防御原則也是這個道理，這通常是通過防火墻來實現(xiàn)的。
防火墻技術(shù)的功能主要在于及時發(fā)現(xiàn)并處理計算機網(wǎng)絡運行時可能存在的安全風險、數(shù)據(jù)傳輸?shù)葐栴}，其中處理措施包括隔離與保護，同時可對計算機網(wǎng)絡安全當中的各項操作實施記錄與檢測，以確保計算機網(wǎng)絡運行的安全性，保障用戶資料與信息的完整性，為用戶提供更好、更安全的計算機網(wǎng)絡使用體驗。
防火墻代主要是借助硬件和軟件的作用于內(nèi)部和外部網(wǎng)絡的環(huán)境間產(chǎn)生一種保護的屏障，從而實現(xiàn)對計算機不安全網(wǎng)絡因素的阻斷。只有在防火墻同意情況下，用戶才能夠進入計算機內(nèi)，如果不同意就會被阻擋于外，防火墻技術(shù)的警報功能十分強大，在外部的用戶要進入到計算機內(nèi)時，防火墻就會迅速的發(fā)出相應的警報，并提醒用戶的行為，并進行自我的判斷來決定是否允許外部的用戶進入到內(nèi)部。
不幸的是，防火墻往往不牢固，很容易犯錯誤，暴露你的整個網(wǎng)絡。
另一種用于邊界防御的常見解決方案是入侵檢測系統(tǒng)或IDS，通常在已經(jīng)受到防火墻保護的網(wǎng)絡中使用。IDS不是阻止攻擊，而是監(jiān)控你的IT系統(tǒng)并標識任何看起來不正確的東西。從本質(zhì)上講，它是一個早期預警系統(tǒng)，一旦發(fā)現(xiàn)可疑的東西，就會在造成任何損害之前就采取行動。這可以通過觀察整個網(wǎng)絡來實現(xiàn)，也可以通過關(guān)注單個計算機來實現(xiàn)或者兩者兼而有之。
乍一看，使用上述(防火墻和IDS)之一或兩者都使用似乎是保證網(wǎng)絡安全所需的惟一解決方案，但遺憾的是，實際情況并非如此。正如上面所提到的，錯誤地設置防火墻，調(diào)用錯誤的安全方法都可以讓這些防護措施成為擺設。
該方法就是依靠記錄日志，IT網(wǎng)絡中發(fā)生的任何操作都可以生成日志。因此記錄的所有內(nèi)容都可以生成大量數(shù)據(jù)，而這些數(shù)據(jù)則需要存儲在某個位置，對于想要通覽所有數(shù)據(jù)以找到特定內(nèi)容的人來說，工作量似乎有些嚇人。
雖說如此，記錄日志還是非常有必要的。不過，你不需要把所有發(fā)生的事情都記錄下來，但還多多益善，原因如下:
1.盡可能增加對攻擊事件識別；
2.對攻擊事件做出快速反應；
然而，如果你不對日志記錄執(zhí)行任何操作，那么保留日志數(shù)據(jù)就沒有意義了。這就像在開會時讓同事幫你做筆記一樣，如果你不讀筆記，你仍然不知道發(fā)生了什么。只要日志受到監(jiān)控，它就非常有用，因為它可以告訴你很多關(guān)于網(wǎng)絡上正在發(fā)生的事情。它們可以幫助你識別任何可疑行為、任何不能正常工作的行為，甚至是網(wǎng)絡的哪些部分需要更嚴格的安全控制。當有人成功地攻擊了你的網(wǎng)絡，日志可以幫助你了解攻擊的過程、原理，以及如何防止它再次發(fā)生。
強化系統(tǒng)的過程，本質(zhì)上是一種“強生健體”的本質(zhì)措施，以確保攻擊者無可乘之機，這就像好的身體素質(zhì)不會經(jīng)常得病一樣。
在保護網(wǎng)絡方面，這意味著系統(tǒng)要確保不必要的程序不會運行, 確保系統(tǒng)已經(jīng)安裝最新的安全更新, 并確保系統(tǒng)訪問僅限于那些需要它的人。
你可以把網(wǎng)絡空間想象成一個有很多建筑的校園，如果你不在里面，就鎖上門。如果其中一棟大樓存放著了你所有的公司機密，確保門窗安全，且只有你信任的人才能進出。確保警報已設防，并且人們準備好在響應時做出響應。
而縱深防御這是一個很好的策略，它會為系統(tǒng)增加很多保護層，以減少任何可能的風險。
前面已經(jīng)說過, 每個IT系統(tǒng)都是不同的, 所以加強你的系統(tǒng)的方法將會有所不同。
網(wǎng)絡和物理安全策略之間的界限相當模糊，因為它們都旨在對惡意行為做出反應或先發(fā)制人的管理。縱深防御的目標是確保每層都知道如何在可疑的攻擊事件中采取行動，限制惡意或意外破壞的機會，并最大限度地提高快速識別任何安全漏洞的機會。比如：
1.讓員工先進行篩選；
2.最低權(quán)限的設定，僅允許對某人執(zhí)行其指定角色所需的系統(tǒng)和資源的最低級別訪問權(quán)限。例如，門衛(wèi)沒有理由訪問閉路電視系統(tǒng)，或者保安人員有一個允許他們重新配置網(wǎng)絡的計算機帳戶。
3.職責分離，這樣做是為了確保不將敏感流程或特權(quán)分配給單個人，這樣做有助于通過實現(xiàn)檢查和平衡來防止欺詐和錯誤。一個很好的例子是在醫(yī)院，在給藥之前，需要由另一個人檢查數(shù)量和類型，以防止出現(xiàn)用藥錯誤。
4.實施權(quán)限撤銷政策，例如立即撤銷任何IT或物理訪問權(quán)限，以快速對危機做出反應。
員工的安全培訓和意識也應考慮進來，甚至可以說這與縱深防御的使用處于同一等量級上。例如，強迫員工每隔幾周更換一次密碼，并讓他們?yōu)樾枰褂玫拿總€系統(tǒng)使用不同的密碼，如果人們不明白其中的原因，只是圖使用方便，那么很可能會導致快捷方式的出現(xiàn)，進而出現(xiàn)攻擊漏洞。
同樣，經(jīng)過培訓后，員工也會意識到一個組織面臨的威脅，可以促使他們參與進來，及時報告安全事件，以便迅速做出反應。然而，正如前文描述的那樣，僅僅意識到這一點是不夠的。例如，如果沒有防火墻阻止攻擊者從internet訪問網(wǎng)絡，那么無論你的員工多么小心地使用安全密碼也是無用的。
盡管本文的重點是講述保護IT系統(tǒng)的不同層，但是如果沒有提到物理安全措施，則縱深防御的策略就不是很完整了。如果有人偷走了你正在運行的筆記本電腦，那么任何監(jiān)控日志和在你的電腦上使用的殺毒軟件都將不會起到作用。
任何公司所需的物理安全措施都將根據(jù)所運行的環(huán)境來進行有針對性的安全配置，例如規(guī)模、位置、業(yè)務性質(zhì)等等。但是，在防止IT設備的地方，應該至少考慮一些以下的因素：
1.確保門窗安全，防止意外盜竊；
2.不使用時，把敏感設備或手提設備鎖好并保存好；
雖然，這些措施絕不能防止可能出現(xiàn)的盜竊，建議企業(yè)應該認真考慮實施更強大的物理安全機制。
災難發(fā)生后的數(shù)據(jù)恢復或備份
災難恢復就像它聽起來的那樣，確保你的組織有適當?shù)臋C制在最壞的情況下進行恢復。就IT系統(tǒng)而言，這則意味著有一個安全的備份，并確保在適當?shù)臅r間范圍內(nèi)進行維護。沒有人希望最壞的情況發(fā)生，但做好從最壞的情況中恢復的準備，可能會決定一家企業(yè)的生存和倒閉。
縱深防御策略就像是一種保險，只有災難發(fā)生后才能知道它的價值。這篇文章已經(jīng)說明了，盡管有多種方法可以保護網(wǎng)絡，并且每種方法都有其優(yōu)點，但任何一種解決方案都會留下可能防護空白。由于攻擊者有各種各樣的攻擊目標，因此，需要不同的防御層才能有效防御。
