Defense in depth (obrona w głąb) to strategia bezpieczeństwa, w której stosuje się wiele niezależnych warstw zabezpieczeń. Dzięki temu przełamanie jednej z nich nie daje atakującemu pełnego dostępu do systemu.
Jakie warstwy obejmuje strategia?
- sieć: zapora, segmentacja, WAF,
- aplikacja: walidacja danych, ochrona przed XSS i CSRF,
- dane: szyfrowanie, kopie zapasowe, zasada najmniejszych uprawnień,
- tożsamość: silne hasła i uwierzytelnianie dwuskładnikowe,
- monitoring: logi i alerty.
Przykład na stronie WWW
Jeśli atakujący wykorzysta lukę w formularzu, kolejne warstwy mogą go zatrzymać: ograniczone prawa użytkownika bazy danych, brak uprawnień do zapisu w kodzie, nagłówek CSP blokujący obce skrypty i alert o nietypowym ruchu. Żadna z nich nie jest idealna, ale razem utrudniają skuteczny atak.
Dlaczego nie wystarczy jedno zabezpieczenie?
Żadne narzędzie nie jest nieomylne, a zapora nie zatrzyma błędu w kodzie. Strategia zakłada, że każde zabezpieczenie może zawieść, i dlatego liczy się dodatkowe zabezpieczenie na kolejnym poziomie.
Najczęściej opisywanym przykładem podatności aplikacji internetowych jest SQL Injection, a jej wykrywanie i usuwanie w praktyce obejmuje zabezpieczenie aplikacji przed SQL Injection.
Zobacz w praktyce
Jak zabezpieczyć aplikację przed SQL Injection 
Ochrona przed atakami brute force – jak zabezpieczam logowanie na stronie i serwerze 
Konfiguracja CDN – cache, czyszczenie i reguły