|
CISSP培训系列（1）访问控制系统和方法 (图)
[color=Blue][b]CISSP培训系列（1）访问控制系统和方法 (图)[/b][/color]
编前语：从本期开始，我们对CISSP培训课程进行详细介绍，内容包括：访问控制、安全管理实务、通信与网络安全、密码学、安全体系与模型、运作安全、应用程序与系统开发、企业持续运作与灾难恢复计划、法律与犯罪调查及道德规范、物理安全等方面的知识。
什么样的计算机系统是安全的？通常对安全系统定义是，安全的系统可以通过使用特定的安全方式控制对信息的访问，只有授权的用户或处理程序才可以对信息进行读、写、删除操作。
访问控制是系统管理员对系统的内容、行为和使用所施加的直接或间接影响的一系列方法。通过访问控制的手段和方法，系统管理员可以指定谁对何种资源采取何种操作。
作为CISSP需要掌握第一部分的内容，考生需要彻底了解在计算机系统访问控制的概念、方法、实施，同时访问控制与识别、审计和管理密不可分。CISSP考试访问控制部分也是从如下知识点展开：
1． 可说明性；
2． 访问控制策略；
3． 访问控制管理；
4． 访问控制所涉及的模型；
5． 验证和鉴别技术；
6． 访问控制方法和实施；
7． 文件和数据属主和管理人；
8． 进攻方法；
9． 检测。
本文主要描述访问控制和其他安全服务的关系和比较常用的访问控制策略。
[b]访问控制和其他安全服务[/b]
在计算机系统中访问控制和其他安全服务并存并相辅相成，如图1所示。访问控制可以简单理解为对合法用户行为的限制，它是通过调节对每个试图访问系统中对象的用户（或系统）的参考标准来实施的。
[align=center][img]http://www.netadmin.com.cn/train/20040609/beryl20040324144021.jpg[/img]
图1[/align]
当一个用户企图访问系统中的对象时，参考标准首先在权限数据中查找此用户是否对他要操作的对象具有他所希望的权限。数据库中相应的权限是由一个安全管理员管理和维护的。管理员是根据企业的实际需求针对不同人给予不同的权限。当然用户本身也可以设置一定的权限，如可以授权其他的用户访问自己创建的文件等。管理员可以通过打开审计监视器来记录系统中的相应行为。
图1反映了各个安全服务之间的关系，在实际应用中验证、访问控制、审核和管理不一定反映得如此清晰，并且很有可能其中几项功能没有发挥作用，但区分验证和访问控制是十分必要的。验证是指如何确定用户身份；而访问控制是用户已经通过身份验证后根据预先定义好的参照标准限定用户的行为。
很多人都经历过登录到计算机系统要求输入用户名和密码的验证过程，在网络环境中用户的验证就更困难，例如，入侵者可以捕获网络中有关验证的数据，并冒充合法的用户登录到系统中，另外，网络中计算机相互间的访问也应该建立在彼此信任的基础上。
尤为重要的是，单纯通过访问控制并不能保证系统安全，还必须配以审核。审核是指对系统中用户所有企图或已经发生行为的分析。
1． 审核对预防和追究非法操作至关重要。从预防角度说，入侵者考虑到所有的攻击动作可能会记录在案，自然会有所退却。而通过审核记录可以追查到企图破坏甚至已经实施的破坏。
2． 审核可以发现系统中可能存在的问题。
3． 审核可以防止授权用户越级操作。
总之，对用户记录动作（account）是非常重要的，也是 CISSP考试，访问控制的核心。当然这种可记账性是建立在良好验证的基础上的。
在访问控制系统中有两个需要区分的概念：策略和方法。策略是决定如何控制访问和访问如何确定的高层次方针；而方法是用来实施策略的软件和硬件。安全方面的研究人员已经开发了很多访问控制方法来适应不同的访问控制策略。这些不依赖于策略的方法可用于不同的安全需求。多数情况下，访问控制方法都可用于保密性、完整性和有效性的目的，而访问控制策略却千变万化而且很难区分高低，使得策略的实施者甚为头痛。
一般情况下，很难确定一个策略要比另一个好，或是比另一个更可靠，况且，不是所有的系统都需要相同的防护措施。对一个系统适合的策略不一定适合其他的系统，比如说为一些对安全要求很高的系统设定的严格的访问控制策略，就不太适合用户对资源访问比较宽松的情况。
[b]访问控制策略[/b]
在计算机系统中主要有三类访问控制方法：
1． 自由选择策略；
2． 强制策略；
3． 基于角色的策略。
不同策略可以配合使用以适合不同的需求。
[b]1．自由选择策略[/b]
自由选择策略是指只有通过身份验证用户（组）才能访问资源（need-to-know）。用户对资源每次访问都会检查用户对资源的访问权限。
TCB(Trusted Computing Base)C1级（国际上使用C1、C2、C3等来划分安全等级，C1级最高。）系统符合自由选择策略:将数据和用户分开。C1系统访问控制就是基于个人的，用户能够管理自己的数据和信息并防止其他用户无意读取或破坏自己的数据。在C1环境中用户只能处理和其同一等级的数据。
自由选择策略基于用户灵活性，使得这种策略适合各类操作系统和应用程序，特别是在商业和工业领域。但这种策略也存在不能保证信息传输的安全性等隐患，因为入侵者可以通过很多方法绕过验证而获得资源。例如，一个用户能读取某些数据，然后将这些数据转发给其他原本没有这一权限的人。这是因为，自由选择策略本身没有对已经具有权限的用户强加任何限制去使用和传播信息。但在强制策略系统中，高安全等级数据传播到低安全等级是受到限制的。
在自由选择策略环境中，为了保证安全，默认参考设置是拒绝访问，以提高信息安全性。
在这样的情况下，任何用户访问系统中对象时，必须对比所有的权限，直到有一项是没有明确拒绝的，用户才具有此权利,此方式通常称为反向验证。正向验证和反向验证也可以结合起来使用，但实现起来很复杂。
[b]2．强制策略[/b]
强制策略管理访问是基于计算机系统不同类别的主体（subject）和对象(object),系统将所有用户和对象分成不同的安全等级。给予对象的安全等级能反映出对象本身敏感程度。用户的安全等级，也称为许可（clearance）,标志着用户不会将信息透露给未经授权的用户。安全等级根据需求分为不同的级别，在军事和市政领域安全等级由高至低分为：TS(Top Secret)、S(Secret)、C(Confidential)、U(Unclassified)。这些安全级别可以支配同一级别或低一级别的对象。
当一个主体访问一个对象时必须符合两方面的安全级别需求，特别是如下两个原则必须遵守：
◆ Read Down:主体安全级别必须高于被读取对象的级别；
◆ Write up：主体安全级别必须低于被写入对象的级别。
这些规则可以防止高级别对象的信息流失到低级别的对象中。这样系统中的信息只能在同一层次传送或流向更高一级。
[b]3．基于角色的策略[/b]
自由控制策略和强制策略是美国国防部所定义的官方标准，但是很多安全的研究人员和开发人员发现这两个策略不能满足所有实际需求。强制策略源于严格的环境，如军事；而自由控制策略来自于自发的需求，如学术开发者。但二者都不能满足大多数商业需求。因此，一些其他的访问控制方法应运而生，这些策略不仅可以针对不同的对象给不同的人授予权限，也可以在用户实施权限时给予限制。
基于角色的访问控制，是依据对系统中角色行为来限制对资源的访问。角色可以理解成为工作所涉及相同行为和责任范围内的一组人，因此给予角色权限，要比单独为个人授权方便得多。具有相关角色的用户拥有赋予此角色的所有权限，而且一个用户可以扮演多个角色，当然同一个角色可以包含多个用户。当前流行的数据管理系统都采用了角色策略来管理权限。基于角色的访问控制具有如下优点：
[b]1) 授权管理[/b]
基于角色的策略将单独对特定用户授权拆分成两个动作：给用户赋予角色，给予角色对对象的权限。这样可以极大简化安全管理，举例来讲，当一个人的职位变动，比如升迁，那这个人可以退出原有的角色，让新用户加入其中，新用户可以获得同样的权限。而如果对象和用户是一一对应的话，那撤销和赋予新的权限将是非常耗时耗力的事情。
[b]2) 角色层次化[/b]
角色在实际应用也要分层的，如图2所示，当一个用户被赋予Hareware Engineer（或Software Engineer）的权限时他自然继承了Engineer，而Supervising Engineer也同时具有了Hareware Engineer和Software Engineer的所有权限。正是这种层次化的继承，使得授权工作得以简单化。
[align=center][img]http://www.netadmin.com.cn/train/20040609/beryl20040324144000.jpg[/img]
图2[/align]
[b]3) 最少的特权[/b]
角色允许单独用户对数据传播最少的特权。被授予超级用户权限的用户，不一定使用超级权限，除非有特殊的需求，而只使用普通角色所拥有的权利。这样可以降低入侵者冒充合法用户对数据造成破坏。
[b]4) 责任独立[/b]
责任独立是指没有用户可以获得滥用系统资源的特权。比如，授予权限的用户本身不能具有被授予的权限。
[b]5) 对象等级化[/b]
基于角色的策略根据用户行为将用户分为不同等级，同样的，对操作对象也分不同的等级。例如，职员可能需要访问银行账务，秘书需要读取信件和备忘录。对象应该依据类型和使用范围分等级。对角色的授权应该是针对不同等级而不是特定的对象。比如，秘书角色可以读取、写入所有类别对象的信件，而不是对个别信件分别授权。
[[i] 本帖最后由 jojo 于 2005-12-13 14:20 编辑 [/i]] |
|
[quote]原帖由 [i]Guest[/i] from 221.217.211.x 于 2005-12-13 14:58 发表
楼主辛苦了 [/quote]
一般一般，全国第三．． |
| zitianxing | | 2007-7-30 08:39 |
|
| 谢谢楼主！ |
| xiaoyuan2008 | | 2007-9-2 17:46 |
|
回复 #1 jojo 的帖子
谢谢 |
| duchaofeng | | 2007-9-30 05:26 |
|
| 好极了,对我很有用 |
| anima_bian | | 2008-1-22 04:27 |
|
| thanks |
关键词： cissp 访问控制 培训 控制 访问
相关文章：
CISCO路由器基于时间的访问列表的应用
ASP.NET 2.0 中的数据访问
北大青鸟 ACCP培训教材
详述Cisco路由器的时间控制策略的应用
可以远程控制计算机的软件
Powered by 51CTO.COM
|