Глубокоэшелонированная защита (вычисления)
 | Эта статья нуждается в дополнительных цитатах для проверки . ( апрель 2012 г. ) |
Глубокоэшелонированная защита — это концепция, используемая в информационной безопасности , в которой несколько уровней контроля безопасности (защиты) размещаются по всей системе информационных технологий (ИТ). Его цель состоит в том, чтобы обеспечить резервирование в случае сбоя контроля безопасности или использования уязвимости, которая может охватывать аспекты кадровой , процедурной , технической и физической безопасности на протяжении всего жизненного цикла системы.
Предыстория [ править ]
Идея подхода глубокоэшелонированной защиты заключается в защите системы от любой конкретной атаки с использованием нескольких независимых методов. [1] Это многослойная тактика, задуманная [2] Агентством национальной безопасности (АНБ) как комплексный подход к информационной и электронной безопасности. [3] [4] эшелонированная защита в вычислительной технике» вдохновлен одноименной военной , стратегией Термин « но по своей концепции он совершенно другой. Военная стратегия вращается вокруг более слабой защиты по периметру и намеренного уступки пространства, чтобы выиграть время, окружить и, в конечном итоге, контратаковать противника, тогда как стратегия информационной безопасности просто включает в себя несколько уровней контроля, но не намеренную уступку территории ( ср . Honeypot. )
Управление [ править ]
Глубокоэшелонированную защиту можно разделить на три области: физическую, техническую и административную. [5]
Физический [ править ]
Физический контроль [3] — это все, что физически ограничивает или предотвращает доступ к ИТ-системам. Заборы, охрана, собаки, системы видеонаблюдения и тому подобное.
Технический [ править ]
Технические средства контроля — это аппаратное или программное обеспечение, целью которого является защита систем и ресурсов. Примерами технических средств контроля могут быть шифрование диска, программное обеспечение для обеспечения целостности файлов и аутентификация. Аппаратные технические средства контроля отличаются от физических средств контроля тем, что они предотвращают доступ к содержимому системы, но не к самим физическим системам.
Административный [ править ]
Административный контроль — это политика и процедуры организации. Их цель — обеспечить наличие надлежащего руководства в отношении безопасности и соблюдение правил. Они включают в себя такие вещи, как практика найма, процедуры обработки данных и требования безопасности.
Методы [ править ]
Использование более чем одного из следующих уровней представляет собой пример глубокоэшелонированной защиты.
Система и приложение [ править ]
- Антивирусное программное обеспечение
- Аутентификация и пароля безопасность
- Шифрование
- Хеширование паролей
- Ведение журнала и аудит
- Многофакторная аутентификация
- Сканеры уязвимостей
- Контроль доступа по времени
- Обучение по вопросам безопасности в Интернете
- Песочница
- Системы обнаружения вторжений (IDS)
Сеть [ править ]
- Брандмауэры (аппаратные или программные)
- Демилитаризованные зоны (ДМЗ)
- Виртуальная частная сеть (VPN)
Физический [ править ]
Пример [ править ]
В следующем сценарии веб-браузер разрабатывается с использованием глубокоэшелонированной защиты:
- разработчики браузера проходят обучение по безопасности
- кодовая база проверяется автоматически с помощью инструментов анализа безопасности
- браузер регулярно проверяется внутренней службой безопасности
- ... время от времени проверяется внешней службой безопасности
- ... выполняется внутри песочницы
См. также [ править ]
Ссылки [ править ]
- ^ Шнайер о безопасности: Безопасность в облаке
- ^ «Некоторые принципы безопасного проектирования. Модуль «Проектирование безопасных систем» Осень Скачать PDF бесплатно» . docplayer.net . Проверено 12 декабря 2020 г.
- ^ Jump up to: Перейти обратно: а б Глубокая защита: практическая стратегия обеспечения информационной безопасности в современных сетевых средах.
- ^ Памятка OWASP: Глубокоэшелонированная защита
- ^ Стюарт, Джеймс Майкл; Чаппл, Майк; Гибсон, Дэррил (2015). Официальное учебное пособие для сертифицированных специалистов по безопасности информационных систем CISSP (ISC)2 .