一台计算机的纵深防御

网络防御通常是为组织教授的：安全运营中心监视整个公司的流量。基本思想同样适用于一台 Mac，缩小到一个人观看。本课程阐述了本课程其余部分所基础的概念。

纵深防御：没有任何一层是单独可信的

纵深防御意味着安排多项独立的保护措施，这样一旦发生故障就不会导致机器处于开放状态。在一台 Mac 上，各层如下所示：操作系统本身（已更新，关闭了不必要的服务，在本网站的 macOS 强化课程中进行了介绍）、控制允许进出的连接的防火墙、一款软件造成真正损害所需的帐户和权限，最后是您自己对看起来异常的情况的关注。这些本身都不够。过时但防火墙完善的 Mac 仍然可能通过易受攻击的应用程序受到损害；根本没有防火墙的完全更新的 Mac 仍然可以将数据泄露给应用程序决定发送的任何内容。

MITRE 与 NSA 网络安全局联合构建的 D3FEND 矩阵，将这种分层思维准确地组织到命名的防御技术类别中：强化系统、检测可疑活动、隔离受到损害的内容，并最终驱逐攻击者并恢复正常运行。它是为比较工具和技术的大型组织而编写的，但类别清晰地映射到单个 Mac：该网站中的 macOS 强化课程涵盖了强化，本课程涵盖了检测和隔离，并且这些课程都不依赖于拥有一个大型安全团队才能在较小规模上发挥作用。

最大限度地减少暴露：攻击面，来自网络侧

纵深防御的伴随理念是最大限度地减少暴露：首先减少可触及的内容和可触及的内容。 macOS 强化课程涵盖了从机器内部关闭服务和端口的问题；网络防御涵盖了与流量本身相同的想法，决定哪些连接应该存在。从未开启的服务无法通过网络受到攻击；从未允许的连接无法泄露数据、传递有效负载或接收来自攻击者的指令。

最小权限，应用于网络流量

最小权限通常用帐户来描述：仅向用户或进程提供其需要的访问权限，仅此而已。同样的逻辑也适用于网络连接。天气应用程序没有正当理由与其服务器不在的国家/地区的域进行对话；文本编辑器根本没有正当理由进行网络连接。与应用程序应做的事情不匹配的流量值得质疑，就像帐户试图做其角色之外的事情一样。

默认拒绝及其成本

默认拒绝方法会阻止除明确允许的内容之外的所有内容； default-allow 仅阻止已明确标识为不良的内容。默认拒绝原则上是更强的姿态，因为它不依赖于已经了解威胁，但它有一个真实的、不可避免的成本：你真正需要的东西偶尔也会被阻止，你必须自己注意到并修复它。突然无法检查新消息的邮件客户端，或者无法找到打印机的打印机驱动程序，通常会默认拒绝执行其配置的操作，此时这很烦人，而不是有帮助。

这种权衡就是为什么默认拒绝防火墙倾向于在应用程序第一次尝试连接时询问，而不是默默地做出决定：使用计算机的人通常是唯一可以说出是否需要给定连接的人。下一课将介绍 macOS 上的特定工具，这些工具可让您在不同级别（从单个应用程序到整个网络堆栈）应用默认拒绝。