知识卡片
内部失误与恶意同防
内容
内部异常很难及时判定是疏忽还是恶意，因此控制措施应同时限制两者的影响。最小特权减少错误或被劫持账户可触达的范围，可恢复性处理误删与蓄意破坏后的后果。发散：先追究意图会延误止损；系统应先把可造成的伤害设计得足够小。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第2章《了解攻击者》（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_031.html`）
- 结论依据：原文要求在设计、运行和维护中同时考虑恶意与意外操作，并以最小特权保护关键数据库说明同一机制可覆盖安全和可靠性风险。
- 原始内容：重要的是，在设计、运行和维护系统时要考虑恶意操作和意外操作的情况，并且假设无法知道两者的区别。最小特权技术可同时防范可靠性和安全性风险。