Derinlemesine savunma nedir?
Derinlemesine savunma (defense in depth), bir sistemi tek bir güvenlik önlemine bağlı bırakmayıp ağ, sunucu, uygulama, veri ve insan katmanlarında birbirini tamamlayan birden çok kontrol uygulama yaklaşımıdır. Bir katman aşılırsa sonraki katman saldırıyı yavaşlatır, durdurur veya görünür kılar.
Ortaçağ kalelerindeki hendek, sur ve iç kule benzetmesi sıkça kullanılır. Amaç hiçbir kontrolün kusursuz olmadığı varsayımıyla tasarım yapmaktır.
Neden önemlidir?
Her güvenlik aracının atlanabileceği bir yöntem ya da yapılandırma hatası vardır. Tek katmana dayanan düzende bu bir kırılma noktasıdır. Katmanlı yapıda saldırganın birden çok engeli peş peşe aşması gerekir; bu da maliyetini artırır ve tespit şansını yükseltir.
Önemli bir ilke de çeşitliliktir: aynı zafiyetten etkilenmeyecek, farklı mantıkla çalışan kontroller kullanmak. İki ayrı güvenlik duvarı aynı hatayı taşıyorsa katman sayılmaz.
Sunucu ve hosting ortamında
Tipik bir web sunucusunda katmanlar şöyle sıralanabilir:
- Ağ: güvenlik duvarı, DDoS koruması, ağ bölümleme
- Sunucu: güncel yama, sertleştirme, SELinux/AppArmor, en az yetki
- Uygulama: WAF, girdi doğrulama, güncel CMS ve eklentiler
- Kimlik: iki adımlı doğrulama, SSH anahtarı, parola politikası