文档介绍：CBK2 访问控制
主要内容
n 身份标识方法和技术
n 身份验证方法、模型和技术
n 自主访问控制、强制访问控制和非自主访问控制
n 可问责性、监控和审计实践
n 发射安全和技术
n 入侵检测系统
n 访问控制实践和技术中可能遇到的安全问题
访问控制概述
n 一种安全手段
Ø控制用户和系统如何与其他系统和资源进行通信和交互
Ø保护系统和资源免受未授权访问,并在身份验证成功后确定授权访问
等级
n 访问是在主体和客体之间进行的信息流动
Ø主体- 主动的实体;用户、程序或进程
Ø客体- 包含被访问信息或所需功能的被动实体;计算机、数据库、文
件、程序、目录等
n 涵盖对计算机系统、网络和信息资源进行访问控
制的不同机制
Ø第一道防线
Ø给予组织机构控制、限制、监控及保护资源安全CIA的能力
安全原则
n 三个安全原则 AIC
Ø可用性
Ø完整性
Ø机密性
n 可用性
Ø信息、系统和资源必须在时间上保证用户使用,不影响其工作效率
Ø采用容错和恢复机制保证资源可用性的持续性
n 完整性
Ø信息必须准确,完整,并且不会受未授权更改
n 机密性
Ø保证信息不会泄露给未授权的个人、程序和进程
Ø加密、逻辑性和物理性访问控制、传输协议、数据库视图、流量控制等
身边标识、身份验证、授权与可问责性
n 身份标识和身份验证
Ø描述一种能够确保主体就是其所声明实体的方法
Ø用户名+密码,或其他凭证
n 授权
Ø系统验证过用户身份,需要确定主体是否具有执行请求的权限
Ø查看访问控制矩阵、安全标签
n 竞态条件
Ø进程按错误的顺序对某个共享资源执行任务,两个或多个进程使用一
个共享资源时,就可能造成竞态条件
Ø授权在身份验证步骤之前完成,及可造成未授权访问
身边标识、身份验证、授权与可问责性
n 可问责性
Ø主体被唯一标识,并且记录主体行为
n 逻辑访问控制
Ø用于身份标识、身份验证、授权与可问责性的技术工具
Ø实施针对系统、程序、进程和信息的访问控制措施的软件组件
l 可嵌入操作系统、应用程序、附加安全包、通信管理系统内
Ø身份验证2步骤- 身份标识和身份验证
l 输入公共信息- 用户名、雇员号、账号或部门ID
l 输入私有信息- 静态密码,智能令牌,感知密码,一次性密码、PIN或数字签名
身份标识和身份验证
n 三种因素能用于身份验证
Ø某人知道的内容
Ø某人拥有的物品
Ø某人的特征
n 强身份验证包含上述三种方法的两种
n 创建和发布安全身份- 3个关键
Ø唯一性
Ø非描述性- 不标明账户目的
Ø签发- 由一个权威机构提供,用于证明身份
系统身份验证
n 可根据硬件地址/IP地址对设备进行身份标识、验
证、监视和控制
Ø网络访问控制NAC技术
n MAC三个概念
Ø介质访问控制- 第二层DLL子层- Media Access Control
Ø强制访问控制- Mandatory Access Control
Ø消息认证码- Message Authentication Code
n 身份标识组件要求
Ø每个值都是唯一的,便于用户问责
Ø应遵循标准的命名方案
Ø身份标识不得描述用户职位或任务
Ø身份标志值不得在用户之间共享
身份管理 Identity Management
n IdM - Identity Mgmt
Ø内容广泛的术语,包含不同的技术和过程- AAA
Ø使用不同产品对用户进行自动化的身份标识、身份验证和授权
l 用户账号管理、访问控制、密码管理、单点登录功能、管理用户账户的权限和特权、
设计和监控上述所有项目
l 管理唯一标识的实体- 特征、凭证和资格
l 数字身份的生命周期- 创建、维护、终止
l 满足业务需求以及面向内部系统和外部系统的标准
ØIdM的目的在于简化身份、身份验证、授权管理,以及对多系统内主
体的审计
l 传统的身份管理- 使用具有权限、访问控制列表ACL和配置文件的目录服务手工进
行
访问控制概念
n 身份标识Identification
Ø提供身份标识信息的主体
Ø用户名、用户ID、账号
n 身份验证Authentication
Ø验证身份标识信息
Ø密码短语、PIN值、生物测定学、一次性密码、密码
n 授权Authorisation
Ø使用一个准则来确定主体能对客体进行的操作
n ountaility
Ø跟踪主体对客体所执行活动的审计日志和监控