網絡信息安全——訪問控制

** 訪問控制**

訪問控制是給出一套方法，將系統中的所有功能標識出來，組織起來，托管起來，將所有的數據組織起來標識出來托管起來， 然后提供一個簡單的唯一的接口，這個接口的一端是應用系統一端是權限引擎。權限引擎所回答的只是：誰是否對某資源具有實施 某個動作（運動、計算）的權限。返回的結果只有：有、沒有、權限引擎異常了。

訪問控制是幾乎所有系統（包括計算機系統和非計算機系統）都需要用到的 一種技術。訪問控制是按用戶身份及其所歸屬的某項定義組來限制用戶對某些信息項的訪問，或限制對某些控制功能的使用的一種技術。訪問控制通常用于系統管理員控制用戶對服務器、目錄、文件等網絡資源的訪問。

訪問控制模型

1.自主訪問控制 DAC

授權用戶可以自主地將權限轉移給別人，權限的修改是由特權用戶來修改的。linux，unix ，windows 都采用這樣的形式。
權限信息存儲（訪問權限表）:
(1)訪問控制表(ACL)：以客體為核心，然后對客體聯系所有的主體及其對應的權限。
(2)訪問能力控制表(ACCL):以主體為核心，列出其所有允許訪問的客體及權限。
(3)訪問控制矩陣(ACM)：二元矩陣表示權限關系，會有冗余。

特點:數據訪問方式靈活，允許權限的自由轉移，但是同時會帶來安全問題，數據保護較低。

2.強制訪問控制 MAC

更為嚴格的權限管理，將主體和客體賦予一定的安全級別，每個用戶根據自己的安全級別，就會有自己全部的訪問權限，這種權限是于安全級別嚴格掛鉤的，不允許轉移，也不允許為單個用戶改動。

讀寫權限實例:（軍隊常用的兩種嚴格的機制）
（1）向上寫，向下讀:有效防止信息向低安全級泄露，保護機密性。
（2）向下寫，向上讀:有效防止了下級篡改信息，保護完整性。

3.基于角色的訪問控制 RBAC

將用戶不再單個考慮，而是將其組織為組，而將客體的權限也設置為角色，一種角色會有自己特定的能力，這樣用戶就可以以擔任角色的方式來獲取權限，而非直接得到權限。
這樣，就即保留了自由的靈活性，即用戶可以擔任不同的角色來獲取不同的權限，又保證了權限獲取的嚴格性，即角色是固定的，不能有自由組合的角色出現，且角色的獲取是可控的。
角色的獲取和增刪都是管理員決定，而非自由獲得。這是RBAC和DAC的區別。
權限是由角色組織起來的，一個角色可能獲取不同安全級的權限，所以就沒有安全級的概念，按需添加角色。這是RBAC和DAC的區別。

訪問控制模型的基本原則:

（1）最小特權原則:根據主體所需權力的最小化分配，能少不多。
（2）最小泄露原則:對于權限的行使過程中，使其獲得的信息最小。
（3）多級安全策略:對于信息安全級別要加以考慮，避免高級別信息向低級別主體泄露。

實現策略

入網訪問控制

網絡權限限制

目錄級安全控制

屬性安全控制

網絡服務器安全控制

網絡監測和鎖定控制

網絡端口和節點的安全控制

防火墻控制