網(wǎng)絡(luò)安全領(lǐng)域的發(fā)展速度太快，隔一段時間就會有一些流行語和技術(shù)術(shù)語冒出來。如果你有一段時間不關(guān)注該領(lǐng)域，則感覺已經(jīng)跟不上時代了?！翱v深防御”(Defence-in-Depth, DiD)就是這樣一個技術(shù)術(shù)語。

那么為什么會出現(xiàn)這個術(shù)語呢？簡單地說，DiD要求將安全性應(yīng)用于多個層，其工作原理是為每個層提供不同類型的保護，以便為提供阻止攻擊的最佳手段。這些層也可以防止不同的問題，全方位覆蓋多個不同問題。

那么，我們?nèi)绾问褂迷摬呗阅?簡單地說，我們將不同的安全措施分組到不同的功能類別中并應(yīng)用它們。這與傳統(tǒng)的物理安全的實現(xiàn)方式或分組方式?jīng)]有太大區(qū)別。

事實上，任何負責(zé)任的安全專家都會告訴你，絕對沒有辦法100%保護你的IT網(wǎng)絡(luò)免受所有可能的威脅。你唯一能做的就是弄清楚你愿意承受多大程度的風(fēng)險，然后采取措施來應(yīng)對其余的風(fēng)險。

這樣說吧，安全防御行為其實就是一種平衡行為，找到安全性和可用性之間的平衡點，是一項困難的任務(wù)。

這種復(fù)雜性可以通過使用來自單個供應(yīng)商的一套產(chǎn)品來管理，但也有其自身的缺點。正如一篇文章所提到的觀點：

最好的例子就是殺毒軟件產(chǎn)品，不同的供應(yīng)商可能能夠識別大多數(shù)相同的病毒, 但處理的方法卻大相徑庭。而且，有時這些不同的產(chǎn)品會與正常的操作行為發(fā)生沖突。另一個考慮因素是，確實沒有明確的規(guī)定要求你必須采取哪些措施來保護你的IT網(wǎng)絡(luò)，因為具體的措施要施取決于你的組織規(guī)模、預(yù)算以及你嘗試保護的數(shù)據(jù)的性質(zhì)、你的組織可能會成為攻擊目標(biāo)的攻擊類型以及你愿意接受的風(fēng)險程度。

接下來，我將會討論縱深防御的解決方案包括的不同層。

在網(wǎng)絡(luò)世界里，一個機構(gòu)可能遇到的攻擊者大致可分為以下5類，每一類都有不同的攻擊動機和能力：

腳本小子

以“黑客”自居并沾沾自喜的初學(xué)者。腳本小子不像真正的黑客那樣發(fā)現(xiàn)系統(tǒng)漏洞，他們通常使用別人開發(fā)的程序來惡意破壞他人系統(tǒng)。他們常常從某些網(wǎng)站上復(fù)制腳本代碼，然后到處粘貼，卻并不一定明白他們的方法與原理。他們欽慕于黑客的能力與探索精神，但與黑客所不同的是，腳本小子通常只是對計算機系統(tǒng)有基礎(chǔ)了解與愛好，但并不注重程序語言、算法、和數(shù)據(jù)結(jié)構(gòu)的研究，

內(nèi)部人員或解雇人員

有合法途徑使用公司網(wǎng)絡(luò)的人士他們往往是受金錢或報復(fù)驅(qū)使。

真正的黑客

他們注重程序語言、算法、和數(shù)據(jù)結(jié)構(gòu)的研究。

有組織犯罪

他們會造成大量的電子郵件垃圾郵件并開發(fā)常見的惡意軟件。

國家行為攻擊

通常是高度自律的組織，擁有進行復(fù)雜攻擊所需的時間、資源和成本。

與政府合作或與重要國家基礎(chǔ)設(shè)施相關(guān)的實體或公司的IT系統(tǒng)，往往會成為攻擊目標(biāo)。金融機構(gòu)可能更有可能發(fā)現(xiàn)他們正面臨有組織犯罪的襲擊。了解威脅的來源可以幫助組織更有效地引導(dǎo)其資源并規(guī)劃其安全性，在以下案例中，我會說明為什么研究人員不主張 “一刀切”的預(yù)防方法，這也是縱深防御策略之所以流行的原因?，F(xiàn)在就讓我們看一下構(gòu)成縱深防御策略解決方案的一些不同部分。

無論是物理安全還是網(wǎng)絡(luò)安全，這都是最重要的原則之一。在現(xiàn)實世界中，這通常是通過門、柵欄和墻，甚至警衛(wèi)來實現(xiàn)的，所有這些設(shè)計都是為了把不應(yīng)該在這里的人擋在外面。在網(wǎng)絡(luò)安全的世界里，邊界防御原則也是這個道理，這通常是通過防火墻來實現(xiàn)的。

防火墻技術(shù)的功能主要在于及時發(fā)現(xiàn)并處理計算機網(wǎng)絡(luò)運行時可能存在的安全風(fēng)險、數(shù)據(jù)傳輸?shù)葐栴}，其中處理措施包括隔離與保護，同時可對計算機網(wǎng)絡(luò)安全當(dāng)中的各項操作實施記錄與檢測，以確保計算機網(wǎng)絡(luò)運行的安全性，保障用戶資料與信息的完整性，為用戶提供更好、更安全的計算機網(wǎng)絡(luò)使用體驗。

防火墻代主要是借助硬件和軟件的作用于內(nèi)部和外部網(wǎng)絡(luò)的環(huán)境間產(chǎn)生一種保護的屏障，從而實現(xiàn)對計算機不安全網(wǎng)絡(luò)因素的阻斷。只有在防火墻同意情況下，用戶才能夠進入計算機內(nèi)，如果不同意就會被阻擋于外，防火墻技術(shù)的警報功能十分強大，在外部的用戶要進入到計算機內(nèi)時，防火墻就會迅速的發(fā)出相應(yīng)的警報，并提醒用戶的行為，并進行自我的判斷來決定是否允許外部的用戶進入到內(nèi)部。

不幸的是，防火墻往往不牢固，很容易犯錯誤，暴露你的整個網(wǎng)絡(luò)。

另一種用于邊界防御的常見解決方案是入侵檢測系統(tǒng)或IDS，通常在已經(jīng)受到防火墻保護的網(wǎng)絡(luò)中使用。IDS不是阻止攻擊，而是監(jiān)控你的IT系統(tǒng)并標(biāo)識任何看起來不正確的東西。從本質(zhì)上講，它是一個早期預(yù)警系統(tǒng)，一旦發(fā)現(xiàn)可疑的東西，就會在造成任何損害之前就采取行動。這可以通過觀察整個網(wǎng)絡(luò)來實現(xiàn)，也可以通過關(guān)注單個計算機來實現(xiàn)或者兩者兼而有之。

乍一看，使用上述(防火墻和IDS)之一或兩者都使用似乎是保證網(wǎng)絡(luò)安全所需的惟一解決方案，但遺憾的是，實際情況并非如此。正如上面所提到的，錯誤地設(shè)置防火墻，調(diào)用錯誤的安全方法都可以讓這些防護措施成為擺設(shè)。

該方法就是依靠記錄日志，IT網(wǎng)絡(luò)中發(fā)生的任何操作都可以生成日志。因此記錄的所有內(nèi)容都可以生成大量數(shù)據(jù)，而這些數(shù)據(jù)則需要存儲在某個位置，對于想要通覽所有數(shù)據(jù)以找到特定內(nèi)容的人來說，工作量似乎有些嚇人。

雖說如此，記錄日志還是非常有必要的。不過，你不需要把所有發(fā)生的事情都記錄下來，但還多多益善，原因如下:

1.盡可能增加對攻擊事件識別；

2.對攻擊事件做出快速反應(yīng)；

然而，如果你不對日志記錄執(zhí)行任何操作，那么保留日志數(shù)據(jù)就沒有意義了。這就像在開會時讓同事幫你做筆記一樣，如果你不讀筆記，你仍然不知道發(fā)生了什么。只要日志受到監(jiān)控，它就非常有用，因為它可以告訴你很多關(guān)于網(wǎng)絡(luò)上正在發(fā)生的事情。它們可以幫助你識別任何可疑行為、任何不能正常工作的行為，甚至是網(wǎng)絡(luò)的哪些部分需要更嚴(yán)格的安全控制。當(dāng)有人成功地攻擊了你的網(wǎng)絡(luò)，日志可以幫助你了解攻擊的過程、原理，以及如何防止它再次發(fā)生。

強化系統(tǒng)的過程，本質(zhì)上是一種“強生健體”的本質(zhì)措施，以確保攻擊者無可乘之機，這就像好的身體素質(zhì)不會經(jīng)常得病一樣。

在保護網(wǎng)絡(luò)方面，這意味著系統(tǒng)要確保不必要的程序不會運行, 確保系統(tǒng)已經(jīng)安裝最新的安全更新,  并確保系統(tǒng)訪問僅限于那些需要它的人。

你可以把網(wǎng)絡(luò)空間想象成一個有很多建筑的校園，如果你不在里面，就鎖上門。如果其中一棟大樓存放著了你所有的公司機密，確保門窗安全，且只有你信任的人才能進出。確保警報已設(shè)防，并且人們準(zhǔn)備好在響應(yīng)時做出響應(yīng)。

而縱深防御這是一個很好的策略，它會為系統(tǒng)增加很多保護層，以減少任何可能的風(fēng)險。

前面已經(jīng)說過, 每個IT系統(tǒng)都是不同的, 所以加強你的系統(tǒng)的方法將會有所不同。

網(wǎng)絡(luò)和物理安全策略之間的界限相當(dāng)模糊，因為它們都旨在對惡意行為做出反應(yīng)或先發(fā)制人的管理?？v深防御的目標(biāo)是確保每層都知道如何在可疑的攻擊事件中采取行動，限制惡意或意外破壞的機會，并最大限度地提高快速識別任何安全漏洞的機會。比如：

1.讓員工先進行篩選；

2.最低權(quán)限的設(shè)定，僅允許對某人執(zhí)行其指定角色所需的系統(tǒng)和資源的最低級別訪問權(quán)限。例如，門衛(wèi)沒有理由訪問閉路電視系統(tǒng)，或者保安人員有一個允許他們重新配置網(wǎng)絡(luò)的計算機帳戶。

3.職責(zé)分離，這樣做是為了確保不將敏感流程或特權(quán)分配給單個人，這樣做有助于通過實現(xiàn)檢查和平衡來防止欺詐和錯誤。一個很好的例子是在醫(yī)院，在給藥之前，需要由另一個人檢查數(shù)量和類型，以防止出現(xiàn)用藥錯誤。

4.實施權(quán)限撤銷政策，例如立即撤銷任何IT或物理訪問權(quán)限，以快速對危機做出反應(yīng)。

員工的安全培訓(xùn)和意識也應(yīng)考慮進來，甚至可以說這與縱深防御的使用處于同一等量級上。例如，強迫員工每隔幾周更換一次密碼，并讓他們?yōu)樾枰褂玫拿總€系統(tǒng)使用不同的密碼，如果人們不明白其中的原因，只是圖使用方便，那么很可能會導(dǎo)致快捷方式的出現(xiàn)，進而出現(xiàn)攻擊漏洞。

同樣，經(jīng)過培訓(xùn)后，員工也會意識到一個組織面臨的威脅，可以促使他們參與進來，及時報告安全事件，以便迅速做出反應(yīng)。然而，正如前文描述的那樣，僅僅意識到這一點是不夠的。例如，如果沒有防火墻阻止攻擊者從internet訪問網(wǎng)絡(luò)，那么無論你的員工多么小心地使用安全密碼也是無用的。

盡管本文的重點是講述保護IT系統(tǒng)的不同層，但是如果沒有提到物理安全措施，則縱深防御的策略就不是很完整了。如果有人偷走了你正在運行的筆記本電腦，那么任何監(jiān)控日志和在你的電腦上使用的殺毒軟件都將不會起到作用。

任何公司所需的物理安全措施都將根據(jù)所運行的環(huán)境來進行有針對性的安全配置，例如規(guī)模、位置、業(yè)務(wù)性質(zhì)等等。但是，在防止IT設(shè)備的地方，應(yīng)該至少考慮一些以下的因素：

1.確保門窗安全，防止意外盜竊；

2.不使用時，把敏感設(shè)備或手提設(shè)備鎖好并保存好；

雖然，這些措施絕不能防止可能出現(xiàn)的盜竊，建議企業(yè)應(yīng)該認真考慮實施更強大的物理安全機制。

災(zāi)難發(fā)生后的數(shù)據(jù)恢復(fù)或備份

災(zāi)難恢復(fù)就像它聽起來的那樣，確保你的組織有適當(dāng)?shù)臋C制在最壞的情況下進行恢復(fù)。就IT系統(tǒng)而言，這則意味著有一個安全的備份，并確保在適當(dāng)?shù)臅r間范圍內(nèi)進行維護。沒有人希望最壞的情況發(fā)生，但做好從最壞的情況中恢復(fù)的準(zhǔn)備，可能會決定一家企業(yè)的生存和倒閉。

縱深防御策略就像是一種保險，只有災(zāi)難發(fā)生后才能知道它的價值。這篇文章已經(jīng)說明了，盡管有多種方法可以保護網(wǎng)絡(luò)，并且每種方法都有其優(yōu)點，但任何一種解決方案都會留下可能防護空白。由于攻擊者有各種各樣的攻擊目標(biāo)，因此，需要不同的防御層才能有效防御。