심층 방어(컴퓨팅)

Defense in depth (computing)
군사 전략에 대해서는 상세한 방어를 참조해 주세요.

심층 방어는 정보 보안에 사용되는 개념으로, 정보 기술(IT) 시스템 전체에 걸쳐 여러 계층의 보안 제어(방어)가 배치됩니다.보안 제어가 실패하거나 취약성이 악용될 경우 시스템의 라이프 사이클 기간 동안 인력, 절차, 기술 및 물리적 보안 측면을 커버할 수 있는 용장성을 제공하는 것이 목적입니다.

배경

심층 방어 접근법의 배후에 있는 아이디어는 몇 가지 독립적인 [1]방법을 사용하여 특정 공격으로부터 시스템을 방어하는 것입니다.NSA(National Security Agency)는 정보 및 전자 [3][4]보안에 대한 포괄적인 접근으로 간주하는[2] 계층화 전략입니다.컴퓨팅에서 심층 방어라는 용어는 같은 이름의 군사 전략에서 영감을 얻었지만 개념은 상당히 다릅니다.군사전략은 경계방어가 약해지고 상대에게 시간을 벌고, 포위하고, 궁극적으로 반격할 수 있는 공간을 의도적으로 양보하는 것을 중심으로 전개되는 반면, 정보보안전략은 단순히 여러 층의 제어가 수반될 뿐 고의로 지반을 양보하는 것은 아닙니다(cf).허니팟)

컨트롤

심층 방어는 세 가지 영역으로 나눌 수 있습니다.물리, 기술 및 관리.[5]

물리적.

물리적[3] 제어는 IT 시스템에 대한 액세스를 물리적으로 제한하거나 방해하는 모든 것입니다.울타리, 경비원, 개, CCTV 시스템 등입니다.

테크니컬

테크니컬 컨트롤은 시스템과 자원을 보호하는 것을 목적으로 하는 하드웨어 또는 소프트웨어입니다.기술 제어의 예로는 디스크 암호화, 파일 무결성 소프트웨어 및 인증이 있습니다.하드웨어 테크니컬컨트롤은 물리적인 시스템 자체에 대한 접근이 금지된다는 점에서 물리적인 컨트롤과 다릅니다.

관리

관리 제어는 조직의 정책 및 절차입니다.그 목적은 보안과 관련하여 적절한 지침을 제공하고 규정을 준수하도록 보장하는 것이다.여기에는 고용 관행, 데이터 처리 절차, 보안 요건 등이 포함됩니다.

방법들

다음 레이어 중 하나 이상을 사용하는 것은 심층적인 방어의 한 예가 됩니다.

시스템 및 응용 프로그램

네트워크

물리적.

예

다음 시나리오에서는 웹 브라우저가 상세방어를 사용하여 개발됩니다.

  • 브라우저 개발자는 보안 교육을 받는다
  • 보안 분석 도구를 사용하여 코드베이스가 자동으로 검사됩니다.
  • 브라우저는 사내 보안팀에 의해 정기적으로 감사된다
  • 외부 보안 팀에 의해 감사되는 경우가 있다
  • ...는 샌드박스 내에서 실행됩니다.

「 」를 참조해 주세요.

레퍼런스

  1. ^ 보안에 관한 Schneier:클라우드 보안
  2. ^ "Some principles of secure design. Designing Secure Systems module Autumn PDF Free Download". docplayer.net. Retrieved 2020-12-12.
  3. ^ a b 심층 방어: 오늘날의 고도로 네트워크화된 환경에서 정보 보증을 실현하기 위한 실용적인 전략입니다.
  4. ^ OWASP Wiki: 심층 방어
  5. ^ Stewart, James Michael; Chapple, Mike; Gibson, Darril (2015). CISSP (ISC)2 Certified Information Systems Security Professional Official Study Guide.