网络安全的核心目标是保护计算机系统免受恶意攻击者的侵害，而为了达到这个目标，现代网络安全借鉴了军队的防御策略，其中“纵深防御”（Defense in Depth, DiD）是重要的一环。
“纵深防御”的概念源自军事战略，可以追溯到中世纪的城堡防御体系。那时，城堡为了安全，会设置多重防护，比如吊桥、壕沟、护城河、城墙和瞭望塔，层层设防，以增强城堡的整体安全。
在第一次和第二次世界大战期间，“纵深防御”也被广泛应用。军队会挖掘战壕， strategically 部署机枪，构筑防御工事，并设置反坦克障碍，以此来迟滞敌人的进攻速度，对敌人造成伤亡，并为己方争取到反击的时间。
在网络安全领域，“纵深防御”是一种安全实践，它将多种安全产品和控制措施，例如防火墙、加密技术和入侵检测系统，分层并协同使用，从而达到保护网络和计算机系统免受攻击的目的。
这种做法能显著提升关键资产的安全性，使系统更难被攻破。因为即使其中一层安全措施失效，还有额外的安全层可以继续保护系统免受威胁。
“纵深防御”采用了网络安全冗余的策略，这使得它异常有效。因为单一的网络安全措施或控制无法阻止所有形式的网络攻击。 多层的网络安全方法能够有效防御各种类型的网络攻击，从而使计算机系统更加安全，难以被破坏。
纵深防御的关键要素
纵深防御由以下几个关键要素组成：
物理控制
物理控制是指为了保护计算机系统并防止入侵者进行物理访问而采取的安全措施。 这通常包括限制对计算机系统的物理访问，例如设置安全摄像头、锁门、使用身份证扫描仪和生物识别系统等，甚至在配备重要计算机系统的房间内安排警卫。
技术控制
技术控制指的是为了保护系统免受恶意攻击而实施的硬件和软件。 常见的技术控制措施包括防火墙、多因素身份验证、入侵检测/防御系统（IDS/IPS）、防病毒软件以及配置管理等。
行政控制
行政控制包括组织内部的员工政策和程序。 这些政策和程序旨在控制对组织资源的访问，并指导员工采用恰当的网络安全实践，以此来减少人为错误，因为人为错误可能导致计算机系统被攻击者入侵。
为什么纵深防御至关重要
凯文·米特尼克曾入侵过 Sun Microsystems、诺基亚和摩托罗拉等公司的系统，被认为是世界上最著名的黑客之一。他曾说过一句名言：“只要有足够的时间和资源，任何东西都容易受到攻击”。
时至今日，这句话依然适用，特别是考虑到攻击者所能使用的复杂工具。 这意味着，不存在一种万能的网络安全解决方案可以完全杜绝风险。 这也是为什么在当今世界，面对那些拥有大量资源、技术娴熟的攻击者，“纵深防御”显得尤为重要。
“纵深防御”迫使组织对安全采取积极主动的态度，认真考虑其资源的安全性，即便在某一种安全措施出现故障时也是如此。
这种不同安全产品的分层部署，为公司的关键资源提供了坚实有力的保护，显著降低了系统被攻破的可能性。 “纵深防御”使得攻击者难以入侵系统。
此外，“纵深防御”还促使组织以全面的角度考虑安全问题，并解决其系统可能遭受攻击的所有潜在方式。 正如在军事领域，“纵深防御”可以减缓攻击速度，并为反击争取时间一样，它在网络安全领域也发挥着类似的作用。
“纵深防御”可以在恶意行为者访问系统之前减缓他们的攻击速度，让管理员有足够的时间来识别攻击，并采取相应的对策，在攻击破坏系统之前将其阻止。
它还可以在一种安全措施失效的情况下限制攻击者造成的损害，因为其他的安全控制措施可以限制访问，并降低攻击者可能对系统造成的破坏程度。
纵深防御如何运作
“纵深防御”的关键要素之一是安全措施的冗余性，它使得攻击者难以成功执行攻击。 例如，一个攻击者可能会试图亲自来到您的场所，并将感染病毒的U盘插入您的系统。
通过安排保安人员值守，或使用生物识别技术记录和控制对计算机的访问，可以阻止这类攻击者。
假设攻击者非常顽强，并转而试图通过向网络发送恶意软件来发起攻击，此时可以使用监控网络流量的防火墙，或安装在网络中的防病毒软件来阻止此类攻击。
或者，假设他们试图使用泄露的凭据来访问网络，那么在网络中实施的多因素身份验证可以阻止他们访问系统。
假设他们仍然设法进入了系统，入侵检测系统可能会捕获并报告他们的入侵行为，之后可以在造成进一步破坏之前解决这些入侵问题。 或者，也可以使用入侵防御系统来主动阻止威胁。
即使攻击者设法绕过了所有这些安全措施，您还可以通过加密传输中和静态的数据来防止攻击者利用敏感信息。
尽管攻击者有时可能非常坚定，并试图绕过为了保护数据而安装的各种安全措施，但“纵深防御”的有效之处在于，它让攻击者难以获得对系统的访问权限。 这可以有效地阻止他们的攻击，或者，至少可以让组织有足够的时间在系统被破坏之前对攻击做出反应。
纵深防御的应用场景
“纵深防御”可以应用到多种不同的场景。 其中包括：
#1. 网络安全
“纵深防御”的一个常见应用是保护网络免受攻击。 这通常通过让防火墙根据组织的安全策略来监视网络流量，同时让入侵保护系统来监控恶意网络活动，并采取措施来预防和减轻网络中的入侵行为来实现。
此外，网络中还会安装防病毒软件，以防止恶意软件在网络中安装或删除已经安装的任何恶意软件。
最后一层安全措施是对静态数据和网络中传输的数据进行加密。 这样，即使攻击者绕过了所有之前的安全措施，他们也无法使用他们所访问的加密数据。
#2. 端点安全
端点是指连接到组织网络的设备，例如服务器、台式计算机、虚拟机和移动设备。 端点安全的目标是保护这些设备免受威胁。
端点安全中的“纵深防御”策略可能包括对端点所在位置进行物理保护，使用强密码和多因素身份验证来控制对设备的访问，以及记录设备的活动。 还可以实施防火墙、防病毒软件和数据加密来增加额外的安全层。
#3. 应用程序安全
“纵深防御”在保护应用程序安全方面也很有用，因为应用程序会处理敏感数据，例如用户的银行账户、个人身份证号码和地址等。
在这种情况下，可以通过以下方式实施“纵深防御”：采用良好的编码实践来最大程度地减少安全漏洞；定期测试应用程序以查找漏洞；对传输中和静态的数据进行加密；实施多因素身份验证以确认用户身份；以及保留应用程序用户的活动日志。
分层安全与纵深防御
虽然这两种安全措施都涉及使用多层安全产品来增强计算机资源的安全性，但它们在实施和侧重点上有所不同。 尽管如此，它们都依赖于构建冗余来提高安全性。
分层安全是一种安全方法，它在组织安全中最脆弱的区域部署多种安全产品。
在这种方法中，多种安全方法被部署在同一层或堆栈中，例如使用不同的防病毒软件，以便当某一款防病毒软件遗漏了病毒或存在缺陷时，另一种可用的防病毒软件可以检测到病毒或克服另一个软件的缺陷。
另一个例子是使用多个防火墙或入侵检测系统，这样当一个产品未能检测到或阻止入侵时，另一个产品可能会发现它。
这种方法可确保即使一个产品出现故障，计算机系统的安全也不会受到损害。 分层安全可以跨越不同的安全层，以增强关键计算机系统的安全性。
与在单个安全层构建冗余的分层安全不同，“纵深防御”在多个层或潜在的攻击区域构建冗余，以保护计算机系统免受各种攻击。
“纵深防御”的一个例子是实施防火墙、多因素身份验证、入侵检测系统、将计算机物理锁定在房间内以及使用防病毒软件。 每一种安全产品都侧重解决不同的安全问题，从而保护系统免受各种类型的攻击。
结论
以往的网络攻击表明，恶意行为者在寻找可以利用的系统漏洞时会尝试不同的攻击手段。 鉴于攻击者可以发起多种类型的攻击来破坏系统，组织不能依赖单一的安全产品来保护其计算机资源免受攻击。
因此，实施“纵深防御”以保护关键计算机资源免受各种攻击至关重要。 这样做的好处在于，可以确保覆盖恶意行为者可能用来利用系统的所有潜在渠道。
“纵深防御”还可以为组织提供减缓攻击速度和检测正在进行的攻击的优势，从而让他们有足够的时间在威胁行为者破坏系统之前采取反制措施。
您还可以进一步研究网络安全中的蜜罐和蜜网。