Djupförsvar och skiktad säkerhet

Defense in depth är en metod där flera oberoende säkerhetskontroller läggs i lager, så att andra fortfarande skyddar systemet om en kontroll fallerar. Ingen enskild försvarsåtgärd är perfekt, så ni bör aldrig förlita er på bara en.

Tänk på en borg: en vallgrav, murar, vakter och ett låst kärntorn. En angripare som tar sig förbi ett hinder möter fortfarande flera till innan något värdefullt kan nås.

Ett nätverk i lager kan kombinera en brandvägg vid nätverksperimetern, nätverkssegmentering, intrångsdetektering, antivirus på slutpunkter, stark autentisering, kryptering och användarutbildning. Varje lager täcker en annan angreppsvinkel.

Målet är att ingen enskild svaghet, som ett stulet lösenord eller en ouppdaterad server, ska ge en angripare hela nätverket. Varje kontroll köper tid och ger fler möjligheter att upptäcka inkräktaren.

Säkerhet börjar med fysiska kontroller: låsta serverrum, passerkort, kameror och kabelhantering. Om någon kan gå fram och ansluta till en switch eller stjäla en enhet kommer ingen programvarukontroll att stoppa dem.

Fysisk säkerhet är det yttersta lagret i defense-in-depth och förbises ofta, men ett olåst nätverksskåp kan omintetgöra en hel förmögenhet i digitalt skydd.

På nätverkslagret filtrerar brandväggar trafik mellan zoner, segmentering separerar grupper av enheter och VPN:er skyddar fjärranslutningar. Ett IDS/IPS (Intrusion Detection/Prevention System) övervakar efter angreppsmönster.

Dessa kontroller hindrar hot från att spridas fritt och ger försvarare insyn i trafiken. De utgör de mellersta lagren i en defense-in-depth-design.

Varje enhet bidrar med sitt eget lager: en värdbrandvägg, antivirus eller EDR (Endpoint Detection and Response), automatisk patchning och härdade konfigurationer som inaktiverar oanvända tjänster.

Även om en angripare tar sig förbi nätverksförsvaret står en väl härdad slutpunkt emot angrepp, och verktyg för slutpunkter kan upptäcka och stoppa skadligt beteende lokalt.

Närmare det värdefulla använder applikationer säker kodning, validering av indata och autentisering, medan själva datan skyddas av kryptering i vila och under överföring samt strikta åtkomstkontroller.

Kryptering av känsliga data innebär att även ett lyckat dataintrång bara ger oläsliga filer – det sista lagret som skyddar själva tillgången när de yttre lagren har fallerat.

Alla kontroller är inte tekniska. Administrativa kontroller är policyer och rutiner: utbildning i säkerhetsmedvetenhet, policyer för godtagbar användning, planer för incidenthantering och bakgrundskontroller.

Eftersom många attacker riktar sig mot människor genom nätfiske är utbildning av användare ett viktigt lager. Det starkaste tekniska försvaret fallerar om en användare frivilligt lämnar ut ett lösenord.

Minsta privilegium innebär att varje användare, tjänst och enhet bara får den åtkomst som krävs för att utföra sin uppgift, och inget mer. Om ett konto komprometteras begränsar de begränsade privilegierna skadan.

Den här principen genomsyrar varje lager. Tillsammans med försvar på djupet säkerställer den att ett intrång i ett konto eller system inte enkelt kan utvecklas till ett fullständigt övertagande av nätverket.

Modern säkerhet bygger dessutom på ett zero trust-tankesätt: anta aldrig att något inne i nätverket är säkert. Varje begäran verifieras, autentiseras och auktoriseras, oavsett varifrån den kommer.

Zero trust kompletterar försvar på djupet genom att avskaffa den gamla föreställningen om en betrodd insida och en farlig utsida. Varje anslutning behandlas som potentiellt fientlig tills motsatsen har bevisats.

Försvar på djupet innebär också att undvika enskilda kontroller vars fel skulle blottlägga allt. Om hela säkerheten beror på en enda brandvägg är den brandväggen en enskild felpunkt.

Redundanta och varierade kontroller säkerställer att ett kringgående av en kontroll inte innebär att alla kringgås, och att olika typer av angrepp möter ett försvar som är utformat för att upptäcka dem.

Försvar på djupet förvandlar säkerhet från en enda port till en serie överlappande nät. Från fysiska lås till nätverksbrandväggar, härdade slutpunkter, krypterade data och utbildade användare fångar varje lager upp det som de andra missar.

Tillsammans med minsta privilegium och zero trust utgår detta från att en enskild kontroll kan fallera och säkerställer att systemet förblir skyddat när det händer.

Försvar på djupet kombinerar oberoende kontroller i lager så att ett fel inte blottlägger systemet. Lagrerna omfattar fysiska, nätverksrelaterade (brandväggar, segmentering, IDS/IPS), värdrelaterade, applikations- och datarelaterade (kryptering) samt administrativa (utbildning, policy) kontroller. Kombinera detta med minsta privilegium och zero trust för att undvika enskilda felpunkter.