Глибокоешелонований захист () — це концепція, що використовується в інформаційній безпеці, за якої множинні рівні засобів безпеки (захисту) розміщуються по всій інформаційно-технологічній (ІТ) системі. Її метою є забезпечення надлишковості у разі відмови засобу безпеки або експлуатації вразливості.
Передумови Ідея підходу глибокоешелонованого захисту полягає в тому, щоб захищати систему від певної атаки за допомогою кількох незалежних методів. Це тактика багаторівневого захисту, задумана Агентством національної безпеки США (NSA) як комплексний підхід до інформаційної та електронної безпеки.National Security Agency, Defense in Depth: A practical strategy for achieving Information Assurance in today’s highly networked environments.OWASP CheatSheet: Defense in depth
Глибокоешелонований захист іноді уявляють як формування шарів цибулі, де дані перебувають у ядрі цибулі, люди — у наступному зовнішньому шарі цибулі, а безпека мережі, безпека на рівні хоста та безпека прикладних програм формують найзовнішніші шари цибулі.
Рівні Глибокоешелонований захист можна поділити на три загальні області: фізичну, технічну та адміністративну.
Фізичний Фізичні засоби контролю — це все, що фізично обмежує або запобігає доступу до ІТ-систем. Прикладами фізичного захисного забезпечення є: паркани, охоронці, собаки та системи CCTV.
Технічний Технічні засоби контролю — це апаратне або програмне забезпечення, призначене для захисту систем і ресурсів. Прикладами технічних засобів контролю є шифрування дисків, програмне забезпечення для контролю цілісності файлів, автентифікація, засоби безпеки мережі, антивіруси та програмне забезпечення для поведінкового аналізу.
У разі відмови одного рівня захисту глибокоешелонований захист має забезпечити мережеву безпеку за допомогою другої лінії захисту. Наприклад, якщо зловмисник проникає в комп'ютерну систему на певному рівні OSI (наприклад, рівні 3), на іншому рівні (рівні 7) має існувати надлишковий захист для забезпечення багаторівневого захисту. Автентифікація, авторизація та облік Конфіденційність, цілісність і доступність (тріада CIA) Автентифікація та безпека паролів Шифрування Хешування
Безпека застосунків Безпека прикладних програм Міжмережеві екрани для вебзастосунків
Безпека хоста Сканери вразливостей Пісочниця Виявлення та реагування на кінцевих точках
Мережева безпека Журналювання Системи виявлення вторгнень Міжмережеві екрани Демілітаризовані зони Сегментація мережі Віртуальна приватна мережа
Адміністративний та операційний Адміністративні засоби контролю — це політики та процедури організації, які регулюють її людські ресурси, технології та операції.
Люди Багатофакторна автентифікація Політики щодо паролів Навчання обізнаності щодо безпеки в Інтернеті
Технології Керування виправленнями Оцінювання ризиків Інформаційне забезпечення
Операції Принцип найменших привілеїв
Див. також Стратегія захисту (обчислювальна техніка) Модель швейцарського сиру
Примітки