基金会来信

• 原文链接：Letter from the Foundation

• 作者：Ed Maste

信息安全领域有一个“纵深防御”概念，这是一种应用多层安全措施的策略，这些措施协同工作，限制攻击者获得未授权访问所造成的影响，例如通过利用漏洞。这些层面包括应用于系统或程序设计阶段的技术、开发阶段应用的技术、运行时应用的缓解措施，以及操作流程和技术。

“最小权限原则”是一种可在设计和运营中应用的技术。该原则规定，进程应只拥有其所需特权。静态分析（自动化源代码分析）等工具在开发阶段应用。一些工具作为开发流程的一部分在运行中的软件上执行，例如代码覆盖率引导的自动化模糊测试。American Fuzzy Lop（AFL）和 Syzkaller 是两个这样的例子，在 FreeBSD 中得到有效使用。运行时缓解措施在软件用于生产环境时应用，例子包括地址随机化和内存保护限制。最后，操作流程和技术包括软件作者或提供者采用的流程（例如 FreeBSD 安全团队发布安全公告的流程），以及用户或系统管理员采用的流程（例如设置和记录配置选项）。

欢迎阅读这期以安全为主题的 FreeBSD 期刊。我们将涉及几个与安全相关的不同领域，包括 Ports、基本系统用户空间和内核主题，以及系统配置。

代表 FreeBSD 基金会，

Ed Maste

高级技术总监