安全边界越来越模糊，纵深防御到分层安全的演进

在云计算，移动设备，软件定义的数据中心，高级持续威胁，零日漏洞攻击利用，大数据系统和物联网（IoT）是当今通用流行技术，纵深防御和分层安全是否依旧适用呢？

01什么是纵深防御

纵深防御原本是一种军事战略，其目的是减缓敌人的进攻，直到可以进行反击。由于信息安全系统很大程度上是被动的，网络安全的反击是一个较新的发展，但是安全防御通常建立在多个层面上以试图阻止入侵者。

如果入侵者突破了一个障碍，那么在发生任何破坏或破坏之前将会有更多不同的障碍被绕过。

随着纵深防御的演化，整个信息技术（IT）基础设施应用了多层安全性，并扩展到包括人员和物理安全性。

它的基本思想是，现有的安全层越多，越难破坏所有的防御手段来窃取有价值的资产或造成破坏。

纵深防御的核心概念仍然可行，但随着计算技术和威胁的发展，必须不断进行重新调整。对当前的安全趋势和不断变化的安全技术进行更新是一项具有挑战性的任务，在将是信息安全团队的主要目标。

02分层安全

保护信息资产需要结合不同的信息安全技术来创建多层安全性，以解决各种安全问题。有许多重要的安全层，但最重要的一些关键如下：

防火墙控制和监控传入和传出网络流量，以保护运行服务的基础架构和操作系统。它基本上是内部和外部网络之间的障碍。


Web应用程序防火墙过滤特定Web应用程序的内容以保护正在运行的任何应用程序。最终，它们可以防止源自Web应用程序安全漏洞的攻击。


安全信息和事件管理（SIEM）系统汇总来自多个系统的访问数据，以关联数据并寻找可能表明可疑活动的异常情况。


身份和访问管理（IAM）解决方案用于身份验证，授权和用户管理，以确保只有合适的个人才能访问正确的应用程序和服务，而无需其他任何东西。

在IAM领域内，动态授权是一个关键部分，能够正确访问敏感和有价值的数字资产，并对不适当或恶意访问构成障碍。

IAM为纵深防御战略提供了重要元素。（反恶意软件，反病毒，异常检测等安全技术是纵深防御策略的一部分，但在本文中未作更详细的介绍。）

此外，人事政策和程序必须满足您安全意识培训的需求，因为您公司的每个成员都是网络安全策略的一部分。

03使用动态授权控制访问

动态授权也称为基于属性的访问控制（ABAC），提供了基于策略的访问控制方法，可用于企业内的多个安全层。ABAC可以集成到不同的安全层，以提供相关的动态授权。

作为纵深防御思路的一部分，ABAC支持可称之为“任何深度保护”的方法。ABAC过程的一个关键要素是拦截尝试访问受保护资源的能力，这可以在应用程序体系结构中的不同级别或层次上完成。

这些拦截点可以在确定用户访问的表示层发生，或者在应用程序基础设施中间件层内更深处发生。当然，ABAC系统经常用来保护API和微服务，并且在数据层面实现动态授权。

由于其模块化架构和行业标准支持，易于与其他工具集成是动态授权系统的特点。这至少有两个重要的原因。

首先，与其他IAM和安全工具（如Web访问管理或API网关）的无缝集成有助于确保您的安全防御措施中不存在差距。

其次，行业标准的使用为企业提供了一定程度的互操作性和供应商独立性选择，而且在支持行业标准时还需要有限的定制。

分层安全是保护信息时代客户信息的关键，失败的企业将面临来自客户和监管机构的不信任。通过增加智能的动态授权访问控制方法，企业可以确保最小权限的数据访问，以防止数据泄露。

众测困住你的那些问题
企业安全攻与防之看不到的上帝视角
构建自己的FUZZ系统
浅谈企业网络入侵应对就绪
中小企业公有云的安全挑战及威胁情报的结合
业务流量数据安全应用实践
未来企业安全战力：虚拟化与物理环境的完美融合
企业_SDL_实践与经验
零信任架构下的资产安全管理
电子认证在互联网司法服务中的作用
威胁与安全AI战场上的决斗
IOT安全的To_B与To_C
AI安全实践：探索图模型异常检测
智能IOT安全遇到的挑战
IOT安全实践：高效协议分析
大安全下的_IoT_安全威胁演变与应对
IoT_Reverse_Engineering
小米_IoT_安全思考与实践
智能门锁，让居住更安全
IoT_安全战地笔记
小米IoT隐私数据合规实践
Frida在移动安全审计中的应用
浅谈互联网安全建设
保护数字时代安全
SAE2018_AVST_Brochure_自动驾驶汽车安全技术国际论坛
DEKRA_-_助推自动驾驶未来发展
自动驾驶-功能安全与预期功能安全相互作用的挑战
OBD-II_设备的网络安全风险
自动驾驶汽车的设计确认和安全分析
功能安全-_安全自动驾驶是团队工作
关于现代车辆中不可预知行为的挑战
业务上线前后的漏洞管理实践
自动化安全扫描，在软件产品开发过程中保障安全
企业漏洞管理与持续化追踪建设浅析
DevSecOps_最佳实践探索
自动化威胁利用场景下的金融业务安全浅析_全方位提高软件安全性
OWASP自动化威胁项目(Automated_Threat_Project)
聊一聊办公网安全建设
携程Docker安全实践分享
基于NIDS构建纵深防御体系
项目方式讲解WAF建设
个人数据保护实践
区块链系统中的攻击与安全防护
数字钱包安全浅析
漫谈以太坊公链安全
区块链标准化进展
充满活力的块数据侦查取证
面向社会目标的复杂网络态势感知与取证分析
多种网络环境下应急响应的探索
DDoS_的灾难性攻击解析与应对
教育系统应急响应最佳实践