3、设计阶段安全：安全架构设计、最小权限原则、纵深防御策略

3.1 安全架构设计

安全架构设计是系统安全的基石，它定义了安全组件、控制措施以及它们之间的交互关系。一个优秀的安全架构应当具备可扩展性、可审计性，并能有效应对已知与未知威胁。

安全架构设计关键考量

维度	设计要点	常见误区
身份与访问	统一身份管理、多因素认证、最小权限	共享账号、权限过度授予
数据保护	传输加密(TLS 1.3)、存储加密(AES-256)、密钥轮换	明文传输、硬编码密钥
网络隔离	微隔离、DMZ、VPC划分	扁平网络、所有端口开放
日志与监控	集中日志收集、异常行为检测、告警响应	日志缺失、无告警机制

3.2 最小权限原则 (Principle of Least Privilege)

最小权限原则要求任何用户、程序或进程只应拥有完成其任务所必需的最小权限集合。这能有效限制攻击面，防止权限滥用和横向移动。

实施要点

• 角色分离：将管理员、操作员、审计员角色严格分离，避免一人身兼多权。
• 临时权限：使用 Just-In-Time (JIT) 权限提升，任务完成后自动回收。
• 权限审计：定期审查权限分配，清理僵尸账号和过期权限。
• 代码层面：函数/方法级别的最小权限，避免使用全局变量或万能密码。

3.3 纵深防御策略 (Defense in Depth)

纵深防御是一种分层防御策略，通过部署多层安全控制措施，确保即使某一层被攻破，其他层仍能提供保护，从而大幅提升攻击成本。

纵深防御实施清单

层级	控制措施	设计阶段关注点
物理层	门禁、监控、环境控制	数据中心选址、冗余设计
网络层	防火墙、IDS/IPS、DDoS防护	网络拓扑设计、流量清洗
主机层	系统加固、漏洞扫描、HIDS	镜像安全、基线配置
应用层	WAF、RASP、安全编码	API安全、会话管理、CSRF/XSS防护
数据层	加密、DLP、备份恢复	数据分类、密钥管理、容灾策略

设计阶段最佳实践

• 威胁建模：在设计初期使用 STRIDE 或 PASTA 方法进行威胁建模，识别潜在攻击路径。
• 安全组件复用：优先使用经过验证的安全库、框架和服务，避免重复造轮子。
• 默认安全：所有安全配置默认启用，关闭不必要的服务和端口。
• 安全评审：建立设计安全评审机制，邀请安全专家参与架构评审。