纵深防御

从军事到信息安全

纵深防御（Defense in Depth）最初是中世纪城堡建造的核心原则：护城河、外墙、内墙、主楼，每一层都是独立的防线，攻击者必须逐一突破。二战中德军的「纵深防御」战术把防线向纵深延伸，让突破正面防线的敌军陷入后续阵地的包围。

1996 年，NSA 把这一概念引入信息安全领域，发布了「Defense in Depth」白皮书，明确提出没有任何单一的安全措施可以单独保护系统，安全控制必须是多层且冗余的。

这与「Security by Obscurity（通过隐晦实现安全）」的思路截然相反——后者依赖攻击者不知道实现细节，一旦秘密泄露整个防护即崩溃；纵深防御则假设任何单层都可能失效，主动设计后备层。[1]

实践中的分层结构

典型的 Web 应用纵深防御从外到内包含：

• 边界层：CDN、DDoS 清洗、BGP 黑洞路由
• 网络层：防火墙白名单规则、入侵检测系统（IDS/IPS）、VPC 子网隔离
• 应用层：WAF、速率限制、输入验证、参数化查询
• 认证层：多因素认证（MFA）、SSO 策略、会话管理
• 授权层：RBAC/ABAC、最小权限、对象级权限验证
• 数据层：静态加密、传输加密、字段级加密（如信用卡号）、数据库审计日志
• 端点层：EDR（端点检测响应）、补丁管理、磁盘加密
• 流程层：安全开发生命周期（SDL）、渗透测试、员工安全培训、漏洞赏金计划

2020 年 Twitter 员工遭社会工程学攻击导致 130 个大 V 账号被劫持，是流程层（员工培训和内部权限审批）缺失在技术层面之外造成重大事故的典型案例。