信息安全：访问控制技术原理与应用.

访问控制是网络信息系统的基本安全机制。访问控制是指对资源对象的访问者授权、控制的方法及运行机制。访问者又称为主体，可以是用户、进程、应用程序等；而资源对象又称为客体，即被访问的对象，可以是文件、应用服务、数据等；授权是访问者可以对资源对象进行访问的方式，如文件的读、写、删除、追加或电子邮件服务的接收、发送等；控制就是对访问者使用方式的监测和限制以及对是否许可用户访问资源对象做出决策，如拒绝访问、授权许可、禁止操作等。

访问控制概括：

（1）访问控制目标：

◆ 访问控制的目标有两个：一是防止非法用户进入系统，二是防止合法用户对系统资源的方法使用，即禁止合法用户的越权访问。

◆ 实现访问控制的目标：首先要对网络用户进行有效的身份认证，然后根据不同的用户授予不同的访问权限，进而保护系统资源。同时还可以进行系统的安全审计和监控，检测用户对系统的攻击企图。

访问控制模型：

（1）访问控制参考模型组成要素：

◆ 访问控制机制由一组安全机制构成，可以抽象为一个简单的模型，组成要素主要有：主体、参考监视器、客体、访问控制数据库、审计库.

▶ 主体：主体是客体的操作实施者。实体通常是人、进程或设备等，一般是代表用户执行操作的进程。比如编辑一个文件，编辑进程是存取文件的主体，而文件则是客体。

▶ 客体：客体是被主体操作的对象。通常来说，对一个客体的访问隐含着对其信息的访问。

▶ 参考监视器：参考监视器是访问控制的决策单元和执行单元的集合体。控制从主体到客体的每一次操作，监督主体和客体之间的授权访问行为，并将重要的安全事件存入审计文件之中。

▶ 访问控制数据库：记录主体访问客体的权限及其访问方式的信息，提供访问控制决策判断的依据，也称为访问控制策略库。该数据库随着主体和客体的产生、删除及其权限的修改而动态变化。

▶ 审计库：存储主体访问客体的操作信息，包括访问成功、访问失败以及访问操作信息。

（2）访问控制橾型发展：

◆ 自主访问控制模型、◆ 强制访问控制模型、◆ 基千角色的访问控制模型：

自主访问控制模型、强制访问控制模型、基于角色的访问控制模型常用于：操作系统、数据库系统的资源访问；

◆ 基于使用的访问控制模型：

基于使用的访问控制模型则用于隐私保护、敏感信息安全限制、知识产权保护；

◆ 基于地理位置的访问控制模型：

基于地理位置的访问控制模型可用于移动互联网应用授权控制，如打车服务中的地理位置授权使用；

◆ 基于属性的访问控制模型：

基于属性的访问控制是一个新兴的访问控制方法，其主要提供分布式网络环境和 Web 服务的模型访问控制；

◆ 基于行为的访问控制模型：

基于行为的访问控制模型根据主体的活动行为，提供安全风险的控制，如上网行为的安全管理和电子支付操作控制；

◆ 基于时态的访问控制模型：

基于时态的访问控制模型则利用时态作为访问约束条件，增强访问控制细粒度，如手机网络流量包的限时使用。

（3）访问控制类型（DAC）（ACL在里面）：

◆ 自主访问控制：是指客体的所有者按照自己的安全策略授予系统中的其他用户对其的访问权。

基于行的自主访问控制：基于行的自主访问控制方法是在每个主体上都附加一个该主体可访问的客体的明细表，根据表中信息的不同又可分成三种形式，即能力表、前缀表和口令。

(1) 能力表：能力是访问客体的钥匙，它决定用户能否对客体进行访问以及具有何种访问模式（读、写、执行）。拥有一定能力的主体可以按照给定的模式访问客体。

(2) 前缀表：前缀表包括受保护客体名和主体对它的访问权限。当主体要访问某客体时，自主访问控制机制检查主体的前缀是否具有它所请求的访问权。

(3) 口令：在基于口令机制的自主存取控制机制中，每个客体都相应地有一个口令。主体在对客体进行访问前，必须向系统提供该客体的口令。如果正确，它就可以访问该客体。

基于列的自主访问控制：在每个客体上都附加一个可访问它的主体的明细表，它有两种形式，即保护位和访问控制表（ACL)

(1) 保护位：这种方法通过对所有主体、主体组以及客体的拥有者指明一个访问模式集合，通常以比特位来表示访问权限。 UNIX/Linux 系统就利用这种访问控制方法。

(2) 访问控制表（ACL）：它是在每个客体上都附加一个主体明细表，表示访问控制矩阵。表中的每一项都包括主体的身份和主体对该客体的访问权限。

（4）强制访问控制（MAC）：

◆ 强制访问控制 ( MAC) ：指系统根据主体和客体的安全属性，以强制方式控制主体对客体的访问。

◆ 在强制访问控制机制下，安全操作系统中的每个进程、每个文件等客体都被赋予了相应的安全级别和范畴，当一个进程访问一个文件时，系统调用强制访问控制机制，当且仅当进程的安级别不小千客体的安级别，并且进程的范畴包含文件的范畴时，进程才能访问客体，否则就拒绝。

◆ 与自主访问控制相比较，强制访问控制更加严格。用户使用自主访问控制虽然能够防止其他用户非法入侵自己的网络资源，但对于用户的意外事件或误操作则无效。因此，自主访问控制不能适应高安全等级需求。在政府部门、军事和金融等领域，常利用强制访问控制机制，将系统中的资源划分安全等级和不同类别，然后进行安全管理。

（5）基于角色的访问控制（RBAC）：

◆ 基于角色的访问控制 (RBAC) 就是指根据完成某些职责任务所需要的访问权限来进行授权和管理。 RBAC 由用户 (U) 、角色 (R) ，会话 (S) 和权限 (P) 四个基本要素组成.

◆ 在一个系统中，可以有多个用户和多个角色，用户与角色的关系是多对多的关系。权限就是主体对客体的操作能力，这些操作能力有读、写、修改、执行等。通过授权，角色可以拥有多个权限，而一个权限也可以赋予多个角色。同时，一个用户可以扮演多个角色，一个角色也可以由多个用户承担。

◆ 在一个采用 RBAC 作为授权存取控制的系统中，由系统管理员负责管理系统的角色集合和访问权限集合，并将这些权限赋予相应的角色，

然后把角色映射到承担不同工作职责的用户身上。 RBAC 的功能相当强大、灵活，适用于许多类型的用户需求 。

（6）基于属性的访问控制（ABAC）：

◆ 基于安全属性的访问控制，简称ABAC，其访问控制方法是根据主体的属性，客体的属性，环境的条件，访问策略对主体的请求操作进行授权许可或拒绝.

访问控制策略设计与实现：

（1）访问控制策：

◆ 访问控制策略由所要控制的对象、访问控制规则、用户权限或其他访问安全要求组成。在一个网络系统中，访问控制策略有许多，具体包括机房访问控制策略、拨号服务器访问控制策略、路由器访问控制策略、交换机访问控制策略、防火墙访问控制策略、主机访问控制策略、数据库访问控制策略、客户端访问控制策略、网络服务访问控制策略等。

（2）访问控制规则：

◆ 访问控制规则实际上就是访问约束条件集，是访问控制策略的具体实现和表现形式。目前，常见的访问控制规则有基于用户身份、基于时间、基于地址、基于服务数量等多种情况，下面分别介绍主要的访问控制规则。

▶ 基于用户身份的访问控制规则：通常以账号名和口令表示用户，当用户输入的＂账号名和口令”都正确后，系统才允许用户访问。

▶ 基于角色的访问控制规则：基于角色的访问控制规则是根据用户完成某项任务所需要的权限进行控制的。

▶ 基于地址的访问控制规则：则利用访问者所在的物理位置或逻辑地址空间来限制访问操作。

▶ 基于时间的访问控制规则：例如，下班时间不允许访问服务器。

▶ 基于异常事件的访问控制规则：例如，当系统中的用户登录出现三次失败后，系统会在一段时间内冻结账户。

▶ 基于服务数量的访问控制规则：例如，为了防范拒绝服务攻击，网站在服务能力接近某个阙值时，暂时拒绝新的网络访问请求，以保证系统正常运行。

访问控制过程与安全管理：

（1）访问控制过程：

◆ 访问控制的目的是保护系统的资产，防止非法用户进入系统及合法用户对系统资源的非使用。要实现访问控制管理，一般需要五个步骤：

第一步，明确访问控制管理的资产，例如网络系统的路由器、 Web 服务等；

第二步，分析管理资产的安全需求，例如保密性要求、完整性要求、可用性要求等；

第三步，制定访问控制策略，确定访问控制规则以及用户权限分配；

第四步，实现访问控制策略，建立用户访问身份认证系统，并根据用户类型授权用户访问资产；

第五步，运行和维护访问控制系统，及时调整访问策略。

（2）最小特权管理：

◆ 特权：是用户超越系统访问控制所拥有的权限.

◆ 最小特权：指系统中每个主体只能拥有完成任务所必要的权限集.

◆ 最小特权管理的目的：是系统不应赋予特权拥有者完成任务的额外权限，阻止特权乱用.

◆ 特权的分配原则：是 “ 按需使用 "

（3）用户访问管理：

◆ 用户管理是网络安全管理的重要内容之一，其主要工作包括：用户登记、用户权限分配、访问记录、权限监测、权限取消、撤销用户。

（4）口令安全管理：

◆ 口令是当前大多数网络实施访问控制进行身份鉴别的重要依据，因此，口令管理尤为重要，一般遵守以下原则：

▶ 口令选择应至少在8个字符以上，应选用大小写字母、数字、特殊字符组合；

▶ 禁止使用与账号相同的口令；

▶ 更换系统默认口令，避免使用默认口令；

▶ 限制账号登录次数，建议为3次；

▶ 禁止共享账号和口令；

▶ 口令文件应加密存放，并只有超级用户才能读取；

▶ 禁止以明文形式在网络上传递口令；

▶ 口令应有时效机制，保证经常更改，并且禁止重用口令；

▶ 对所有的账号运行口令破解工具，检查是否存在弱口令或没有口令的账号。

访问控制主要产品与技术指标：

（1）访问控制主要产品：

◆ 访问控制的主要产品类型有 4A 系统、安全网关、系统安令增强等，下面分别进行介绍：

◆ 4A 系统：4A 是指认证、授权、账号、审计，中文名称为统一安全管理平台，平台集中提供账号、认证、授权和审计等网络安全服务。平台常用基于角色的访问控制方法，以便于账号授权管理。

◆ 安全网关：安全网关产品的技术特点是利用网络数据包信息和网络安全威胁特征库，对网络通信连接服务进行访问控制。这类产品是一种特殊的网络安全产品，如防火墙、统一威胁管理(UTM) 等。

◆ 系统安全增强：系统安全增强产品的技术特点是通常利用强制访问控制技术来增强操作系统、数据库系统的安全，防止特权滥用。

访问控制主要技术指标：

◆ 产品支持访问控制策略规则类型；

◆ 产品支持访问控制规则最大数量；

◆ 产品访问控制规则检查速度；

◆ 产品自身安全和质量保障级别；

访问控制技术应用：

（1）访问控制技术应用场景类型：

◆ 物理访问控制：主要针对物理环境或设备实体而设置的安全措施，一般包括门禁系统、警卫、个人证件、门锁、物理安全区域划分。

◆ 网络访问控制：主要针对网络资源而采取的访问安全措施，一般包括网络接入控制、网络通信连接控制、网络区域划分、网络路由控制、网络节点认证。

◆ 操作系统访问控制：针对计算机系统资源而采取的访问安全措施，例如文件读写访问控制、进程访问控制、内存访问控制等。

◆ 数据库／数据访问控制：针对数据库系统及数据而采取的访间安全措施，例如数据库表创建、数据生成与分发。

◆ 应用系统访问控制：针对应用系统资源而采取的访问安全措施，例如业务执行操作、业务系统文件读取等。

学习书籍：信息安全工程师教程...