多層防御（Defense in Depth）とは｜Webセキュリティ入門

このレッスンで学ぶこと

多層防御（Defense in Depth）は、確認を1か所に預けない考え方です。この回では、何を重ねるのか、何を重ねても意味が無いのかを分けます。

読み終えるころには、層として数えてよい確認とそうでない確認を見分けられるようになります。

多層防御の出発点は、どの対策も破られ得るという前提です。

対策に不備が見つかることもあれば、設定が誤っていることも、想定していなかった使い方をされることもあります。1つの対策に全部を預けていると、そこが破られた瞬間に何も残りません。

そこで、破られても次で止まる形にします。

同じ確認を2回書くことではありません。違う層で、違う観点から確かめることです。

注文の詳細を返す機能で考えます。

3が抜けていても4で止まります。4が緩くても5で余分は出ません。5まで抜けても、6と7があれば後から気づける。気づけることも防御のうちです。

止められない層にも役割がある

記録と監視は攻撃を止めません。それでも、起きたことを知り、範囲を確かめ、二度目を防ぐために要ります。

どこにでも重ねればよいわけではありません。確認が増えるほど、コードは読みにくくなり、可用性は下がります。

重ねる価値が大きいのは、次のような場所です。

逆に、影響の小さい表示だけの機能に何層も重ねても、労力に見合いません。どこに重ねるかは、起こりやすさと影響の大きさで決めます。

重ねるときは、通り抜けるために全部を越えなければならない形にします。

よくある誤りは、「ブラウザ側で確認しているから、サーバー側は簡単でよい」という置き方です。これは重なっていません。ブラウザ側は利用者の手の中にあるので、越えるべき層が実質1つしかない状態です。

信頼境界の外側にある確認は、層として数えない。 利用者の手の中にあるものは、こちらが引いた線の外側だからです。