Centrale sikkerhedsprincipper

Det er ikke nok at rette fejl — du har brug for et fundament. Denne lektion gennemgår grundlæggende sikkerhedsprincipper, altså planerne for at bygge sikker software fra starten.

Sikkerhedsprincipper er tankesæt, ikke værktøjer: grundlæggende regler, der styrer sikkert design på tværs af alle systemer og sprog og reducerer antallet af sårbarheder.

Mindste privilegium: Giv hver bruger eller proces kun de tilladelser, den faktisk har brug for — ikke mere. Det begrænser skaden, hvis en konto bliver kompromitteret.

I praksis betyder mindste privilegium, at en rapporteringskonto ikke har administratorrettigheder, og at en tjeneste, der henter produkter, ikke kan ændre kundeoplysninger. En mindre angrebsflade giver mindre risiko.

Forsvar i dybden: Læg flere uafhængige sikkerhedskontroller oven på hinanden, ligesom et slots mure og voldgrave. Hvis én fejler, stopper den næste stadig angriberen.

Forsvar i dybden kombinerer flere lag: firewall, godkendelse, validering af input, adgangskontrol og kryptering — hvert lag dækker det, de andre overser.

Sikkerhed gennem design: Indbyg sikkerhed i alle faser fra planlægningen og frem. Den skal være proaktiv, ikke lappes på senere — sikkerhed er en kernefunktion.

Indbyg sikkerheden fra dag ét med trusselsmodellering, sikker arkitektur, kodningsstandarder samt sikkerhedsgennemgange under design og kodegennemgang.

Disse principper styrker hinanden: sikkerhed gennem design hjælper dig med at anvende mindste privilegium og forsvar i dybden, så en enkelt svigtende kontrol aldrig bliver fatal.

Tre grundlag i opsummering: mindste privilegium (minimal adgang), forsvar i dybden (kontroller i flere lag) og sikkerhed gennem design (sikkerhed fra starten). Næste emne: OWASP Top 10.