Defense in Depth: эшелонированная защита информации

Defense in depth — это принцип, по которому защиту строят на нескольких независимых рубежах, а не на одном инструменте: если злоумышленник обходит один уровень, на пути остаются другие, и вся система не оказывается скомпрометирована из-за отказа одного средства защиты. Термин перекочевал в информационную безопасность из военной терминологии, где эшелонированная оборона строится не на одной линии фронта, а на нескольких рубежах в глубину территории — так, чтобы прорыв одной линии не решал исход всей операции.

В сфере ИБ понятие формализовало Агентство национальной безопасности США (NSA) в документе начала 2000-х годов «Defense in Depth: A Practical Strategy for Achieving Information Assurance in Today's Highly Networked Environments». Позже термин закрепился в отраслевом глоссарии: NIST определяет defense-in-depth как стратегию, которая объединяет людей, технологии и процессы для создания нескольких барьеров на разных уровнях и направлениях деятельности организации.

По-русски за этим же понятием закрепились два равнозначных перевода — «эшелонированная защита информации» и «многоуровневая защита», оба описывают одну и ту же стратегию.

Defense in depth принято систематизировать по семи типовым рубежам — от периметра сети до организационных мер, — и на каждом рубеже работают свои классы средств защиты информации, которые не дублируют, а дополняют друг друга и закрывают ту часть атаки, которую пропустил предыдущий рубеж. Единого обязательного стандарта, который фиксировал бы именно такое деление, нет — это распространённая в отрасли систематизация, которую по-разному детализируют разные вендоры и аналитики.

↔ таблицу можно прокрутить вбок

Defense in depth и Zero Trust не конкурируют, а решают разные задачи: defense in depth строит несколько последовательных рубежей на разных уровнях инфраструктуры, а Zero Trust требует проверять каждый отдельный запрос на доступ независимо от того, откуда он пришёл — даже из уже пройденного «доверенного» сегмента сети. Классическая многоуровневая защита исторически подразумевала, что пользователь или устройство, оказавшееся внутри периметра, получает определённый уровень доверия по умолчанию.

Zero Trust убирает это допущение полностью.

На практике эти модели совмещают: рубежи defense in depth остаются нужны — сетевой экран, EDR, шифрование данных никуда не деваются, — но Zero Trust добавляет к ним требование не доверять соединению только потому, что оно уже прошло несколько рубежей. Подробнее о принципах и компонентах модели — в статье про Zero Trust, а о том, как ограничить доступ внутри уже выстроенных рубежей, — в материале про управление доступом.

Внедрение defense in depth — это не покупка одного продукта, а последовательное закрытие рубежей: начинают обычно с периметра и идентификации, где ущерб при пробое выше всего, и постепенно добавляют рубежи на хосте, в приложениях и в данных, пока каждый типовой сценарий атаки не окажется закрыт хотя бы одним средством. Порядок внедрения зависит от того, какой рубеж у организации уже слабее остальных, а не от абстрактного идеала «всё сразу».

• Периметр и сеть. NGFW закрывает известные сетевые атаки на входе, а сегментация сети и NAC ограничивают перемещение злоумышленника, если периметр всё же пройден.
• Хост. EDR отслеживает поведение непосредственно на конечных точках — там, где сетевые средства защиты уже не видят активность.
• Приложения. WAF закрывает атаки на уровне логики веб-приложения, которые не остановит ни сетевой экран, ни антивирус на хосте.
• Данные. DLP контролирует исходящие каналы — даже если предыдущие рубежи пройдены, вывод данных за периметр остаётся последней точкой, где атаку ещё можно остановить.
• Идентификация. MFA обесценивает украденный или подобранный пароль, а PAM выносит привилегированный доступ в отдельный контролируемый контур.
• Связка рубежей. Управление доступом по принципу наименьших привилегий связывает рубеж идентификации с рубежом данных в единую политику — а не оставляет их двумя разрозненными инструментами.