企業安全管理系列三 安全體系設計邏輯：安全四階（Security 4 D''s）

在開始之前，筆者先帶各位讀者回到古時候的場景。
古代防護有一套
在古代，為了抵禦外侮，有錢的領主都會想辦法建立城堡。城堡有高大的城牆，牆上面有兵士巡邏。有些還在城牆上建有敵樓，用來觀測遠方敵情。一些更重要的軍事堡壘或是交通要衝之地，在附近山脊或是前線重要隘口會設置瞭望塔或是烽火臺，用來做前進觀測敵情以及聯絡之用。城牆外，有些會挖護城河，用來防止地道攻擊，也避免近距離的攀城攻擊。如果現況不許可，可能是沒錢、地勢限制或者是附近沒有足夠水源，通常替代的方法就是在城牆外會有一片開闊之地。有些重要的城池還會有內外城牆之分。
城堡對外的出入就是經過長長的城門。城門通常有好幾個，在中國的習俗中，每一個城門的預定用途都不一樣，所以守城官兵對當地活動很容易觀測。城門除了厚重的大門外，有些還在裡面設機關，前後端可能會加上急降式柵門，用意是來困住入侵者。城門依時開啟和關閉，城門官兵必要時會檢驗證件。超過開放時間若要緊急開啟，要有守城將軍的親令。當然，若是持有特別通關「金牌」，就不一樣了。
一般而言，在通過城門前會有一告示牌，除了是一些治安公告之外，並要求行旅人士下馬通過城門。城門通道前會有一絆馬索，若是有人「飆馬」入城門，準叫他跌個四腳朝天。城牆外草叢裡，入夜之後會拉起一線線的串鈴，若是有人潛行想要靠近城牆，不小心就會碰到發出鈴聲，而驚動了守城官兵。城牆內，入夜會有巡夜人，除了看有沒有宵小祟動，也兼報時和安全警覺意識的宣導，他們的標準用語是：「緊閉門戶，提防宵小！」、「天乾物燥，小心火燭！」。
以上就是古早以前的實體安全防護體系。看上去是超級古意，像在看三國演義或是武俠小說，不過當時的這套安全體系可是要高度的文明、科技和管理才能做的到的。經過了時間的推移，其實我們現在的實體安全和資訊安全所用的方法原則，和當時也沒有太大的差別，唯一有變的就是使用的科技不同罷了。 運用安全四階




在安全體系設計中，有一個非常重要的概念應用，那就是安全四階（Security 4D''s）。分別為：嚇阻(Deter)、偵測(Detect)、阻延(Delay)、禁制(Deny)四階段。這基本邏輯同時適用於實體安全和資訊安全管理系統上。
不過在正式談Security 4''D之前，我們必須先稍微提一下風險評估的步驟：一般而言，安全專家們會對保護目標進行瞭解並分類（選定標的物），依目標可能會遭受的威脅加以辨識（辨識威脅），並分析目前目標物己身所暴露在威脅時之弱點，和目標物的緊要性來評估其風險等級（評估風險等級），以決定相對應的保護作為（決定保護措施）。
為了有效的運用有限資源，及達成實用效果，並且參照現地的限制（如地形、地物、活動狀況，甚至是企業文化），以決定恰當的步驟。對於這些安全專家們，最常用的方式，同時也證明比較有效的，就是建立所謂的「安全防禦縱深」(Security in Depth)。
安全防禦縱深的主要目的是增加預警時間、延遲入侵、使我方反制能力能有效施展運用。而我們建立安全防禦縱深的邏輯方式就是利用Security 4D''s，由外而內的建立。
一、 嚇阻(Deter)：
嚇阻的目的是讓入侵者在面對目標時，會因為風險或代價太大而心生畏懼，因而打消入侵行為。
在前面的故事中就是城內的安全維護體系、治安告示牌、高聳的城牆、守城士兵等等。在現代生活中，最常見的就是法律罰則的規定，標的物的保護嚴密，警告標誌、警衛（察）巡邏、CCTV攝影等使入侵行動不易進行等都是。簡單的還有，在進行辦公區或是社區等的防竊勤務時，大門警衛或是巡邏人員對陌生人的眼對眼接觸，對入侵者是很大的心理嚇阻。
至於在資訊世界中，因為不是實體，我們無法真正的看到入侵者，但是因網路世界具有匿名性，因此歹徒覺得可以恣意妄為，不會被發現。所以法律規範就變得很重要。因為資訊對於現代社會極為重要，一些電腦安全事件對社會的影響極大，現在世界各地，政府對資訊犯罪都開始採取嚴格的刑罰，希望能遏阻資訊犯罪的歪風。
企業中進行安全警覺意識宣導計畫是達成嚇阻很重要的一個方法。讓員工們都知道入侵是不對的，而且有罰則；當知道安全對大家的重要性，他們也會成為公司的「巡夜人」；而有入侵意圖的人（內部或是外部人員）則會因而投鼠忌器，怕被發現，而不敢輕舉妄動。
二、 偵測(Detect)：
偵測的目的是當入侵發生時，能夠及時發現。
以前面的故事為例，就是城外的前進觀測所、城牆上的守城士兵、敵樓、城外藏在草地上一線線的串鈴和夜巡人。而在我們的生活中所看到的就是警衛（察）巡邏、CCTV攝影和警報系統（如：紅外線、影像動態偵測、磁簧開關、超音波）等。
而在資訊世界中，則有入侵偵測系統(IDS)和病毒軟體等。至於定期於事後看日誌，也是一種安全機制，不過那不是預防行為，而算是安全補強行為。若是讓大家知道系統管理者或是安全單位會定期審閱日誌，對不當存取加以追查，且有相關罰則，此動作則具有「嚇阻」功能。
三、 阻延(Delay)：
阻延的目的是使入侵行為困難，必須使用工具，耗費更多的時間和精力，以增加其被發現的機會。
以前面的故事為例，高聳的城牆就具有阻延攀越的功能，絆馬索則可以迫使入侵者降低速度。在我們日常生活中所用的鑰匙和鎖，甚至是保險櫃的鎖實際上都是一個阻延器具。例如保險櫃的規格中有一個是TL-30，它的意義是用一般工具(tool)花30分鐘可以打開。記住，只要有足夠的時間，這世界上沒有不能打開的鎖。
在資訊系統中最常見的阻延設置就是帳戶密碼的設置。理論上是越複雜越好，六個字元以上無意義的英數交雜再加上特殊符號，而且還定時強制更換最好。但是切記不要複雜到讓人記不起來，最後寫在鍵盤後面或甚至是貼在螢幕上，那可是一點效果都沒有。另外，加密機制也是一種阻延手段。
四、 禁制(Deny)：
禁制的目的就是阻止入侵行為。
以前面的故事為例，堅實的城牆和城門、深廣的護城河和強大的守城兵力，就是古時候主要施行禁制功能的憑藉。在現代生活中，其實還是沒有太大的變化，我們靠的還是堅實的牆壁、大門、防盜窗（一般的鐵窗其實只算是阻延工具）、和有能力的警衛和警察。
在資訊系統中，防火牆(firewall)、路由器(router)等在一定程度條件下算是禁制工具。而當發生網路攻擊時，有一種最簡單但是應該算是治標不治本的最後手段就是拔掉網路線。
禁制是整個安全體系的最後一道防線，事實上也是最不容易做好的一部份。在企業安全上主要強調的是預防動作，若是入侵行動能夠一直攻到這裡，損害幾乎是不可避免。所以一旦發現，當下果斷的施以立即強力的反制措施是非常重要的。而當損害發生，接下來的動作就是緊急應變的範疇。《資安人》第三期中在另外一篇論SARS的文章中，筆者已經有稍微和讀者聊一下這個題目，有興趣者可以參考一下。
Security 4D''s是一種思考邏輯順序，其最重要意義是在建立防禦縱深，將保護目標置於中心安全部位。
對我們安全專業人員而言，讓入侵事件無法發生，或在發生初期就被化解，則是整個安全體系建立、維護和努力的目標。