隐私工程与安全架构融合实战 - 第2节
安全架构基础：核心原则与常见模型
聊安全架构，我习惯先看三个核心原则。它们就像地基，打不好后面全白搭。咱们一个一个说。
最小权限原则
说白了，就是给每个人、每个系统、每段代码，只给刚刚够用的权限。多一点都不行。
我在项目中遇到过一件事。有个内部运维平台，所有管理员都能访问生产数据库。结果有人误操作，把一张核心表删了。恢复花了整整两天。后来我强制改了权限模型——运维A只能看日志，运维B只能做备份，只有特定流程审批后才能执行写操作。你想想看，如果一开始就按最小权限来，那次事故完全可以避免。
核心要点：
- 权限粒度要细，别搞「一刀切」
- 默认拒绝，按需开放
- 定期审计，回收闲置权限
我的习惯：每次设计权限模型时，我会先问自己三个问题——这个人真的需要这个权限吗？没有它能不能干活？出了事影响范围有多大？
纵深防御原则
别指望单点防御能挡住所有攻击。我见过太多公司，只靠一个防火墙就觉得自己安全了。结果呢？内部一台机器被攻破，整个网络就沦陷了。
纵深防御，就是多层防护。一层被突破，还有下一层等着。我记得有一次做金融系统架构，我们设计了五层防护：网络层、主机层、应用层、数据层、人员操作层。每一层都有独立的检测和阻断机制。攻击者就算突破了第一层，也会在第二层留下痕迹。
避坑指南：我曾经犯过一个错误——把所有安全日志都集中到一个系统里。结果那个系统被攻破，所有证据都没了。后来我学乖了，关键日志必须异地备份，而且要有独立的访问通道。
默认安全原则
这个原则最容易被忽视。很多产品出厂时，默认配置是「方便优先」，安全靠后。比如默认密码是admin/admin，默认端口全开，默认日志不开启。
我建议所有系统上线前，必须做一件事：检查默认配置。把不需要的服务关掉，把默认密码改掉，把日志级别调到最高。嗯，这里要注意，别为了省事跳过这一步。我在审计时发现过太多「默认配置跑了一年」的案例，想想都后怕。
| 原则 | 常见误区 | 正确做法 |
|---|---|---|
| 最小权限 | 给所有人管理员权限 | 按角色细分权限，定期回收 |
| 纵深防御 | 只依赖单一防护手段 | 多层防护，每层独立检测 |
| 默认安全 | 使用出厂默认配置 | 上线前全面检查并加固 |
安全架构的常见模型
原则讲完了，咱们看看实际怎么落地。我常用的两个模型：零信任和分层防御。
零信任模型
零信任的核心思想很简单：不信任任何人，不信任任何设备，不信任任何网络。每次访问都要验证。
为什么会这样？因为传统的内外网边界已经失效了。我在帮一家企业做安全改造时发现，他们的内网里跑着大量未授权的设备，有人把个人笔记本直接插到办公网，还有人用U盘拷数据。边界防御根本防不住。
零信任的落地，我一般分三步走：
- 身份先行——所有访问必须基于身份认证，不能只看IP地址
- 最小授权——每个会话只给临时权限，用完即收回
- 持续验证——不是登录时验证一次就完事，而是整个会话过程中持续检查
实战经验：零信任最难的不是技术，而是改变人的习惯。我见过开发人员抱怨「每次都要输密码太麻烦」，运维人员觉得「动态权限太复杂」。这时候需要耐心，一点点推。先从核心系统开始，再逐步扩展到外围。
分层防御模型
这个模型和纵深防御一脉相承。它把安全分成几个层次，每层负责不同的防护任务。
我习惯这样分层：
- 网络层：防火墙、入侵检测、流量分析
- 主机层：系统加固、漏洞扫描、主机入侵检测
- 应用层：WAF、代码审计、输入验证
- 数据层：加密、脱敏、访问控制
- 管理层：权限管理、审计日志、应急响应
每一层之间要有信息联动。比如网络层发现异常流量，要能通知应用层加强防护；应用层检测到攻击，要能触发数据层的加密策略变更。说白了，各层不能各自为战，要形成协同。
一个小技巧：我每次设计分层防御时，会先画一张攻击路径图。从攻击者视角出发，看他们可能怎么进来，然后在每个关键节点部署防护。这样比凭空想方案靠谱得多。
好了，核心原则和常见模型就聊到这儿。记住，原则是道，模型是术。道对了，术才能发挥作用。下次咱们聊聊怎么把这些东西落地到具体项目里。