Defense in Depth — несколько дополняющих уровней защиты, чтобы отказ одного не разрушал всю систему. Least Privilege — только необходимые для задачи права и ресурсы. Trust Boundary — граница разных контекстов доверия; пересекающие ее данные и запросы требуют предусмотренных проверок. Эти понятия работают вместе, но не заменяют друг друга.
Что означают Defense in Depth, Least Privilege и Trust Boundaries?
Три связанных понятия: многоуровневая защита, минимально необходимые полномочия и границы, на которых меняются предположения о доверии.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Defense in Depth, или эшелонированная защита, означает сочетание дополняющих технических и организационных мер. Цель — не ставить безопасность в зависимость от единственного барьера. NIST включает сюда людей, технологии и рабочие процессы. Несколько одинаковых фильтров с общей ошибкой не обязательно дают несколько независимых уровней защиты.
Least Privilege — принцип минимальных привилегий: пользователю, службе или процессу предоставляют только необходимые для его функции полномочия и ресурсы. Так его определяет NIST. Например, сервису отчетов достаточно чтения нужных таблиц; права изменять схему или управлять пользователями базы ему не требуются. Доступ пересматривают при смене задач, а временные дополнительные права не оставляют бессрочно.
Trust Boundary — граница, на которой меняются контекст или предположения о доверии. Она бывает между браузером и сервером, разными организациями, процессами или арендаторами системы. Это не обязательно межсетевой экран. При проектировании определяют, какие данные ее пересекают, кто их контролирует и где проверяются подлинность, полномочия и допустимость значений. Границы доверия и потоки данных входят в модель системы у OWASP.
Общий пример: API не доверяет переданной браузером роли, самостоятельно проверяет право читать отчет, работает с ограниченной учетной записью БД и фиксирует подозрительные обращения. Здесь граница доверия определяет место проверки, минимальные привилегии ограничивают последствия, а несколько мер образуют эшелонированную защиту.
На интервью важно объяснить именно взаимосвязь: наличие одного принципа не доказывает, что остальные уже реализованы.