Defense in Depth

request → [TLS] → [authentication] → [authorization] → [business logic] → [audit log]
            fail       fail                fail
             ↓          ↓                   ↓
          dropped    401                  403         (প্রতিটা স্তর স্বাধীনভাবে ঠেকাতে পারে)

• প্রতিটা স্তর স্বাধীন হতে হবে — একই bug দুই স্তরেই থাকলে defense in depth কাজ করে না
• Target breach (2013): একটা compromised third-party credential-ই পুরো payment system পর্যন্ত পৌঁছাতে পেরেছিল — মাঝে দ্বিতীয় স্বাধীন স্তর ছিল না
• Least privilege আর পরিপূরক নীতি — least privilege ঠিক করে “কার কতটুকু access”, defense in depth ঠিক করে “সেই সিদ্ধান্ত ভুল হলে কে ঠেকাবে”
• Network segmentation, WAF, input validation, output encoding, audit logging — একই threat-এর বিরুদ্ধে ভিন্ন স্তরের সাধারণ উদাহরণ