信息安全---（七）访问控制技术原理与应用

本文主要是介绍信息安全---（七）访问控制技术原理与应用，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

在使用本博客提供的学习笔记及相关内容时，请注意以下免责声明：
信息准确性：本博客的内容是基于作者的个人理解和经验，尽力确保信息的准确性和时效性，但不保证所有信息都完全正确或最新。
非专业建议：博客中的内容仅供参考，不能替代专业人士的意见和建议。在做出任何重要决定之前，请咨询相关领域的专业人士。
个人责任：使用本博客内容的风险由用户自行承担。作者不对因使用本博客内容而导致的任何直接或间接损失承担责任。
版权声明：本博客中的所有内容均为作者原创，如需转载，请注明出处。同时，若有引用他人作品，也将尽力标明出处，如有侵权请及时联系作者。
链接免责：博客中可能包含外部链接，作者对这些链接所指向的内容不负责任，访问此类链接需谨慎。
感谢您的理解与支持！希望本博客能够为您的学习提供帮助。

访问控制概述

■ 访问控制：指对资源对象的访问者授权、控制的方法及运行机制。

·访问者又称为主体，可以是用户、进程、应用程序等。

·资源对象又称为客体，即被访问的对象，可以是文件、应用服务、数据等。

·授权：访问者可以对资源对象进行访问的方式，如文件的读、写、删除、追加或电子邮件服务的接收、发送等。

·控制：对访问者是否允许用户访问资源对象做出决策，如拒绝访问、授权许可、禁止操作等。

■ 访问控制目标

·① 防止非法用户进入系统。

·②阻止合法用户对系统资源的非法使用，即禁止合法用户的越权访问。

实现访问控制目标

■要实现访问控制的目标，首先要对网络用户进行有效的身份认证，然后根据不同的用户授予不同的访问权限，进而保护系统资源。同时还可以进行系统的安全审计和监控，检测用户对系统的攻击企图。

■通过访问控制与认证机制、审计机制的协同，实现访问控制。

访问控制参考模型

■访问控制参考模型组成要素

·主体 (Subject, 操作的实施者)

·客体 (Object, 被操作的对象)

·参考监视器 (Reference Monitor,访问控制的决策单元和执行单元的集合体)

·访问控制数据库(记录访问权限及其访问方式，提供访问控制决策判断的依据，也称为访问控制策略库)

·审计库(存储主体访问客体的操作信息，如访问成功、失败等)。

访问控制模型- DAC自主访问控制

■自主访问控制 (Discretionary Access Control,DAC) 指客体的所有者按照自己的安全策略授予系统中的其他用户对其的访问权。实现方式有两大类：

· (1)基于行的自主访问控制：能力表、前缀表、口令

· (2)基于列的自主访问控制：保护位、访问控制列表ACL

■自主访问控制是最常用的一种对网络资源进行访问约束的机制，其好处是用户自己根据其安全需求，自行设置访问控制权限，访问机制简单、灵活。但这种机制的实施依赖于用户的安全意识和技能，不能满足高安全等级的安全要求。例如，网络用户由于操作不当，将敏感的文件用电子邮件发送到外部网，则造成泄密事件。

访问控制模型- MAC强制访问控制

■ 强制访问控制 (MAC) 是指根据主体和客体的安全属性，以强制方式控制主体对客体的访问。安全操作系统中的每个进程、每个文件等客体都被赋予了相应的安全级别和范畴，当一个进程访问一个文件时，系统调用强制访问控制机制，当且仅当进程的安全级别不小于客体的安全级别，并且进程的范畴包含文件的范畴时，进程才能访问客体，否则就拒绝。

■ 与自主访问控制相比较，强制访问控制更加严格。用户使用自主访问控制虽然能够防止其他用户非法入侵自己的网络资源，但对于用户的意外事件或误操作则无效。因此，自主访问控制不能适应高安全等级需求。在政府部门、军事和金融等领域，常利用强制访问控制机制，将系统中的资源划分安全等级和不同类别，然后进行安全管理。

访问控制模型- RBAC基于角色的访问控制

■ 基于角色的访问控制 (RBAC) 是目前国际上流行的先进的安全访问控制方法。它通过分配和取消角色来完成用户权限的授予和取消，并且提供角色分配规则。RBAC 包括用户(U)、角色 (R)、会话 (S) 和权限 (P) 四个基本要素。

■ 访问权限与角色相关联，角色再与用户关联，实现了用户与访问权限的逻辑分离。便于授权管理，便于根据工作需要分级，便于赋予最小特权，便于任务分担，便于文件分级管理。

访问控制模型- ABAC基于属性的访问控制

■ 基于属性的访问控制(ABAC): 访问控制方法是根据主体的属性、客体的属性、环境的条件以及访问控制策略对主体的请求操作进行授权许可或拒绝。

访问控制策略

■ 访问控制策略用于规定访问资源的权限，防止资源损失、泄密或非法使用。

■ 设计访问控制策略时，一般考虑如下要求：

· (1)不同网络应用的安全需求，如内部用户访问还是外部用户；

· (2)所有和应用相关信息的确认，如通信端口号、IP地址等；

· (3)网络信息传播和授权策略，如信息的安全级别和分类；

· (4)不同系统的访问控制和信息分类策略之间的一致性；

· (5)关于保护数据和服务的有关法规和合同义务；

· (6)访问权限的更新和维护。

■ 访问控制策略必须指明禁止什么和允许什么,在说明访问控制规则时，应做到以下几点：

· (1)所建立的规则应以“未经明确允许的都是禁止的”为前提，而不是以较弱的原则“未经明确禁止的都是允许的”为前提；

· (2)信息标记的变化，包括由信息处理设备自动引起的或是由用户决定引起的；

· (3)由信息系统和管理人员引起的用户许可的变化；

· (4)规则在颁布之前需要管理人员的批准或其他形式的许可。

访问控制规则

■ 访问控制规则是访问约束条件集，常见的访问控制规则有如下几种：

·1.基于用户身份的访问控制规则

·2.基于角色的访问控制规则

·3.基于地址的访问控制规则

·4.基于时间的访问控制规则

· 5.基于异常事件的访问控制规则(登录出现三次失败后，一段时间内冻结账户)

·6.基于服务数量的访问控制规则(网站在服务能力接近某个阈值时，暂时拒绝新的网络访问请求)

访问控制过程

■ 访问控制的目的是保护系统的资产，防止非法用户进入系统及合法用户对系统资源的非法使用。

■ 实现访问控制管理，一般五个步骤：

·①明确访问控制管理的资产，例如网络系统的路由器、Web 服务等。【明确资产】

·②分析管理资产的安全需求，例如保密性要求、完整性要求、可用性要求等。【分析需求】

·③制定访问控制策略，确定访问控制规则以及用户权限分配。【制定策略】

·④实现访问控制策略，建立用户访问身份认证系统，并根据用户类型授权用户访问资产。【实现控制】

·⑤运行和维护访问控制系统，及时调整访问策略。【运行维护】

访问控制产品

■ 4A系统

·4A 指认证 (Authentication)、授权 (Authorization)、账号 (Acount)、审计 (Audit) , 中文名称为统一安全管理平台，平台集中提供账号、认证、授权和审计等网络安全服务。该产品的技术特点是集成了访问控制机制和功能，提供多种访问控制服务，平台常用基于角色的访问控制方法，以便于账号授权管理。

■ 安全网关

·安全网关产品的技术特点是利用网络数据包信息和网络安全威胁特征库，对网络通信连接服务进行访问控制。这类产品是一种特殊的网络安全产品，如防火墙、统一威胁管理 (UTM) 等。

■ 系统安全增强

·系统安全增强产品的技术特点是通常利用强制访问控制技术来增强操作系统、数据库系统的安全，防止特权滥用。如Linux的安全增强系统SELinux,Windows 操作系统加固等。

访问控制技术应用

■ 按照访问控制的对象分类，访问控制技术的主要应用场景类型如下。

·物理访问控制：门禁系统、警卫、个人证件、门锁、物理安全区域划分。

·网络访问控制：网络接入控制、网络通信连接控制、网络区域划分、网络路由控制、网络节点认证。

·操作系统访问控制：文件读写访问控制、进程访问控制、内存访问控制等。

·数据库/数据访问控制：数据库表创建、数据生成与分发。 ·应用系统访问控制：业务执行操作、业务系统文件读取等。

访问控制技术应用- UNIX/Linux 系统