訪問(wèn)控制技術(shù)及發(fā)展趨勢(shì)_第1頁(yè)
訪問(wèn)控制技術(shù)及發(fā)展趨勢(shì)_第2頁(yè)
訪問(wèn)控制技術(shù)及發(fā)展趨勢(shì)_第3頁(yè)
全文預(yù)覽已結(jié)束

下載本文檔

版權(quán)說(shuō)明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡(jiǎn)介

1、訪問(wèn)控制技術(shù)及發(fā)展趨勢(shì)馬紅紅信息安全2011級(jí)2班一.訪問(wèn)控制技術(shù)計(jì)算機(jī)系統(tǒng)的活動(dòng)主要是在主體(進(jìn)程、用戶)和客體(資源、數(shù)據(jù))之間進(jìn)行的。計(jì)算 機(jī)安全的核心問(wèn)題是確保主體對(duì)客體的訪問(wèn)的合法性,即通過(guò)對(duì)數(shù)據(jù)、程序讀出、寫(xiě)入、修 改、刪除和執(zhí)行等的管理,確保主體對(duì)客體的訪問(wèn)是授權(quán)的,并拒絕非授權(quán)的訪問(wèn),以保證 信息的機(jī)密性、完整性和可用性。訪問(wèn)控制是對(duì)進(jìn)入系統(tǒng)的控制,通常作為對(duì)資源訪問(wèn)處理 的一部分,它的作用是對(duì)需要訪問(wèn)系統(tǒng)及其數(shù)據(jù)的人進(jìn)行識(shí)別,并檢查其合法身份。1訪問(wèn)控制主要有兩種不同的類(lèi)型:自由訪問(wèn)控制和強(qiáng)制訪問(wèn)控制1)自主訪問(wèn)控制(又稱(chēng)任選訪問(wèn)控制)自主訪問(wèn)控制是應(yīng)用得很廣泛的訪問(wèn)控制方法

2、,用這種方法,資源的所有者(也往往是 創(chuàng)建者)可任意規(guī)定誰(shuí)可以訪問(wèn)他們的資源。這樣,用戶或用戶進(jìn)程就可有選擇的與其他用 戶共享資源,它是一種對(duì)單個(gè)用戶執(zhí)行訪問(wèn)控制的過(guò)程和措施。 方法(是基于矩陣的行或列來(lái)表達(dá)訪問(wèn)控制信息)a. 基于行的自主訪問(wèn)控制:是在每個(gè)主體上都附加一個(gè)該主體可訪問(wèn)的客體的明細(xì)表。按照表內(nèi)信息的不同,可分為 3種形式。權(quán)利表(權(quán)能表),根據(jù)該表可決定用戶是否可 以對(duì)客體進(jìn)行訪問(wèn),以及可以進(jìn)行何種訪問(wèn);前綴表,包括受保護(hù)的客體名和主體對(duì)它的訪 問(wèn)權(quán);口令,主體對(duì)客體進(jìn)行訪問(wèn)前,必須向操作系統(tǒng)提供該客體的口令。b. 基于列的自主訪問(wèn)控制:是對(duì)每個(gè)客體附加一份可訪問(wèn)它的主體的明細(xì)

3、表,有兩 種形式。保護(hù)位,它不能完備的表達(dá)訪問(wèn)控制矩陣,但可對(duì)所有主體、主體組以及該客體的 擁有者指明一個(gè)訪問(wèn)模式集合,擁有者是唯一能夠改變客體保護(hù)位的主體;訪問(wèn)控制表,每 個(gè)客體都有一張?jiān)L問(wèn)控制表(ACL)記錄該客體可被哪些主體訪問(wèn)以及訪問(wèn)的形式。主體訪 問(wèn)控制表可以決定任何一個(gè)特定的主體是否可對(duì)某一客體進(jìn)行訪問(wèn),它是利用在客體上附加 一個(gè)主體明細(xì)表的方法來(lái)表示訪問(wèn)控制矩陣的,表中的每一項(xiàng)包括主體的身份和對(duì)該客體的 訪問(wèn)權(quán)。 類(lèi)型a. 等級(jí)型:可將對(duì)修改客體訪問(wèn)控制表的能力的控制組織成等級(jí)型的。優(yōu)點(diǎn)是可通 過(guò)選擇值得信任的人擔(dān)任各級(jí)領(lǐng)導(dǎo),使得可用最可信的方式對(duì)客體實(shí)施控制,缺點(diǎn)是會(huì)同時(shí) 有多

4、個(gè)主體有能力修改它的訪問(wèn)控制表。b. 有主型:是對(duì)客體設(shè)置一個(gè)擁有者,它是唯一有權(quán)訪問(wèn)客體訪問(wèn)控制表的主體。 擁有者對(duì)其擁有的客體具有全部控制權(quán),但無(wú)權(quán)將客體的控制權(quán)分配給其它主體。c. 自由型:一個(gè)客體的生成者可對(duì)任何一個(gè)主體分配對(duì)它擁有的客體的訪問(wèn)控制表 的修改權(quán),還可使其對(duì)其它主體具有分配這種權(quán)利的能力。2) 強(qiáng)制訪問(wèn)控制(MAC)在強(qiáng)制訪問(wèn)控制中,系統(tǒng)給主體和客體分配了不同的安全屬性,用戶不能改變自身或任 何客體的安全屬性,即不允許單個(gè)用戶確定訪問(wèn)權(quán)限,只有系統(tǒng)管理員可確定用戶和用戶組 的訪問(wèn)權(quán)限。系統(tǒng)通過(guò)比較客體和主體的安全屬性來(lái)決定主體是否可訪問(wèn)客體。此外,強(qiáng)制 訪問(wèn)控制不允許一個(gè)

5、進(jìn)程生成共享文件,從而防止進(jìn)程通過(guò)共享文件將信息從一個(gè)進(jìn)程傳送 到另一個(gè)進(jìn)程。MAC可通過(guò)使用敏感標(biāo)號(hào)對(duì)所有用戶和資源強(qiáng)制執(zhí)行安全策略,即實(shí)現(xiàn)強(qiáng)制訪問(wèn)控制。MAC可抵御特洛依木馬和用戶濫用職權(quán)等攻擊,當(dāng)敏感數(shù)據(jù)需在多種環(huán)境下受到 保護(hù)時(shí),就需要使用MAC。強(qiáng)制訪問(wèn)控制是比自主訪問(wèn)控制功能更強(qiáng)的訪問(wèn)控制機(jī)制,但是這種機(jī)制也給合法用戶帶來(lái)許多不便。例如,在用戶共享數(shù)據(jù)方面不靈活且受到限制。因此, 一般在保護(hù)敏感信息時(shí)使用MAC,需對(duì)用戶提供靈活的保護(hù)且更多的考慮共享信息時(shí),使用 MAC。2. 基于角色的訪問(wèn)控制(RBAC)基于角色的訪問(wèn)控制根據(jù)常見(jiàn)的訪問(wèn)需求來(lái)分組用戶。你可以為一組執(zhí)行同樣的工作并

6、 且對(duì)資源的訪問(wèn)有著類(lèi)似需要的用戶分配一個(gè)角色。通過(guò)簡(jiǎn)單的將多個(gè)用戶分到某個(gè)組,然 后根據(jù)訪問(wèn)控制的目的來(lái)為該組賦予相應(yīng)的權(quán)限,基于角色的訪問(wèn)控制簡(jiǎn)化了用戶訪問(wèn)權(quán)限 的授予和撤銷(xiāo)工作。當(dāng)存在大量員工調(diào)動(dòng)或員工角色經(jīng)常需要變更時(shí)這特別有用。使用RBAC 的組織報(bào)告說(shuō),與使用傳統(tǒng)的基于用戶的訪問(wèn)系統(tǒng)相比,在分配新用戶訪問(wèn)權(quán)限和提高改變、 修改、終止用戶權(quán)限的能力上,基于角色的訪問(wèn)控制在時(shí)間的花銷(xiāo)上有了顯著地降低。RBAC 在機(jī)構(gòu)快速調(diào)整方面也有很大的幫助,并能提高生產(chǎn)力和效率。3. 訪問(wèn)控制列表訪問(wèn)控制列表(Access Control Lists,ACL)是關(guān)于用戶信息的列表或文件,這些用戶被授

7、 予訪問(wèn)系統(tǒng)或資源(數(shù)據(jù)庫(kù)等)的權(quán)限。這個(gè)文件保存用戶的ID和與之相關(guān)的系統(tǒng)資源訪問(wèn) 權(quán)限或權(quán)限集合。這些權(quán)限通常是讀(Read)寫(xiě)(Write)、更新(Update)、刪除(Delete)或 重命名。訪問(wèn)控制列表不但可以起到控制網(wǎng)絡(luò)流量、流向的作用,而且在很大程度上起到保 護(hù)網(wǎng)絡(luò)設(shè)備、服務(wù)器的關(guān)鍵作用。作為外網(wǎng)進(jìn)入企業(yè)內(nèi)網(wǎng)的第一道關(guān)卡,路由器上的訪問(wèn)控 制列表成為保護(hù)內(nèi)網(wǎng)安全的有效手段。二.發(fā)展趨勢(shì)隨著企業(yè)信息系統(tǒng)的建立及規(guī)模的不斷擴(kuò)大,存儲(chǔ)在系統(tǒng)中的敏感數(shù)據(jù)和關(guān)鍵數(shù)據(jù)也越 來(lái)越多,而這些數(shù)據(jù)都依賴(lài)于系統(tǒng)來(lái)進(jìn)行處理、交換、傳遞。因此,保護(hù)系統(tǒng)及其數(shù)據(jù)不被 未經(jīng)授權(quán)的非法訪問(wèn)顯得越來(lái)越重要,訪

8、問(wèn)控制作為網(wǎng)絡(luò)安全防范和保護(hù)的主要策略,主要 是要明確訪問(wèn)對(duì)象并確定授權(quán)。包括以下幾個(gè)方面:(一)用戶訪問(wèn)管理為防止對(duì)計(jì)算機(jī)信息系統(tǒng)的未經(jīng)授權(quán)的訪問(wèn),建立一套對(duì)信息系統(tǒng)和服務(wù)的訪問(wèn)權(quán)限分 配程序時(shí)必須的。這些程序應(yīng)當(dāng)覆蓋用戶訪問(wèn)的每一個(gè)階段,從新用戶的注冊(cè)到不再需要訪 問(wèn)信息系統(tǒng)和服務(wù)的用戶最終的注銷(xiāo)。通常,一個(gè)計(jì)算機(jī)信息系統(tǒng)是一個(gè)多用戶的系統(tǒng),為 防止對(duì)信息系統(tǒng)的非法操作,需要一種正式的用乜?jī)?cè)和注銷(xiāo)的安全保護(hù)措施,用戶和用戶 組被賦予一定的權(quán)限,體現(xiàn)為用戶組可以訪問(wèn)哪些系統(tǒng)資源,當(dāng)不再需要對(duì)信息系統(tǒng)訪問(wèn)時(shí),又可以注銷(xiāo)這些權(quán)限。特權(quán)訪問(wèn)具有超越一般用戶對(duì)系統(tǒng)訪問(wèn)的權(quán)限,而對(duì)系統(tǒng)特權(quán)的不當(dāng) 使用

9、往往可能導(dǎo)致系統(tǒng)發(fā)生故障,故特權(quán)分配可參照因素有:根據(jù)系統(tǒng)資源及每個(gè)應(yīng)用軟件 的實(shí)際需要確定分配、建立在需要與就事論事的基礎(chǔ)上、系統(tǒng)升級(jí)或更新版本后,特權(quán)所賦 予的限度應(yīng)重新審核。在計(jì)算機(jī)信息系統(tǒng)中,用戶口令與賬號(hào)的使用不僅能確定誰(shuí)正在使用 系統(tǒng),是何時(shí)登錄使用系統(tǒng)的,也能控制系統(tǒng)使用者在系統(tǒng)中可以做什么,因此,對(duì)口令禾賬號(hào)的管理是極其重要的。為了保持對(duì)數(shù)據(jù)和信息服務(wù)存取的有效控制,對(duì)用戶訪問(wèn)的權(quán)限 應(yīng)進(jìn)行定期復(fù)查。(二)網(wǎng)絡(luò)訪問(wèn)控制為保護(hù)網(wǎng)絡(luò)服務(wù),應(yīng)控制對(duì)內(nèi)部和外部網(wǎng)絡(luò)服務(wù)的訪問(wèn),這對(duì)于確保對(duì)網(wǎng)絡(luò)和網(wǎng)絡(luò)訪問(wèn) 有訪問(wèn)權(quán)限的用戶是完全必要的。與網(wǎng)絡(luò)服務(wù)的不安全連接會(huì)影響自身系統(tǒng)的安全性,因此 應(yīng)

10、明確對(duì)用戶提供哪些特權(quán)才可直接訪問(wèn)其服務(wù)。網(wǎng)絡(luò)服務(wù)使用策略應(yīng)考慮到網(wǎng)絡(luò)和網(wǎng)絡(luò)服 務(wù)的使用,具體應(yīng)包括:允許訪問(wèn)的網(wǎng)絡(luò)與網(wǎng)絡(luò)服務(wù)、用于確定誰(shuí)可訪問(wèn)那些網(wǎng)絡(luò)和網(wǎng)絡(luò)服 務(wù)的授權(quán)、保護(hù)對(duì)網(wǎng)絡(luò)連接和網(wǎng)絡(luò)服務(wù)的訪問(wèn)管理措施等。網(wǎng)絡(luò)的最大特征是最大限度的資 源共享和最大程度的路徑自由選擇,而這也可能為那些未經(jīng)授權(quán)的訪問(wèn)創(chuàng)造了機(jī)會(huì),成為信 息系統(tǒng)安全的一種隱患。故從終端用戶到計(jì)算機(jī)服務(wù)器的路徑必須受到控制。例如,建立一 條強(qiáng)制路徑,從而達(dá)到降低安全風(fēng)險(xiǎn)的目的。對(duì)于遠(yuǎn)程訪問(wèn)控制,需要進(jìn)行遠(yuǎn)程訪問(wèn)用戶認(rèn) 證,這需要對(duì)用戶的身份加以確認(rèn)和保護(hù)。撥號(hào)訪問(wèn)和訪問(wèn)控制也要求對(duì)用戶口令的識(shí)別和 保護(hù)其安全。網(wǎng)絡(luò)在使用通信和

11、信息的共享變得跟為容易的同時(shí),其自身也更多的被曝露在 損壞和毀壞的攻擊之中,因而必須加強(qiáng)網(wǎng)絡(luò)的安全管理。(三)應(yīng)用系統(tǒng)訪問(wèn)控制應(yīng)用系統(tǒng),特別是敏感的或關(guān)鍵的業(yè)務(wù)應(yīng)用系統(tǒng),對(duì)一個(gè)企業(yè)或一個(gè)機(jī)構(gòu)來(lái)說(shuō)是一筆財(cái) 富。為確保應(yīng)用系統(tǒng)的訪問(wèn)是經(jīng)過(guò)授權(quán)的,其應(yīng)當(dāng):控制用戶對(duì)應(yīng)用程序的訪問(wèn),并要求對(duì)所 制定的業(yè)務(wù)訪問(wèn)控制策略一致、對(duì)超越應(yīng)用程序限制的任何一個(gè)實(shí)用程序和操作系統(tǒng)中的部 分軟件提供保護(hù),防止未經(jīng)授權(quán)訪問(wèn)、不影響有共享信息資源的其它系統(tǒng)的安全、只能向所 有權(quán)人及其他被指定和經(jīng)授權(quán)者或確定的用戶群提供訪問(wèn)權(quán)限。為支持對(duì)信息訪問(wèn)的限制要 求,可采用的管理措施有:提供菜單控制訪問(wèn)應(yīng)用系統(tǒng)的功能;通過(guò)對(duì)用戶

12、文件的適當(dāng)編輯, 限制用戶對(duì)未經(jīng)授權(quán)訪問(wèn)的信息或應(yīng)用系統(tǒng)功能的了解;控制用戶對(duì)應(yīng)用系統(tǒng)訪問(wèn)的權(quán)限, 包括讀、寫(xiě)、刪除及執(zhí)行等權(quán)限;含有敏感信息的應(yīng)用系統(tǒng)的輸出只包括與輸出使用相關(guān)的 信息,而且只送到得到授權(quán)的終端和地點(diǎn)。敏感系統(tǒng)如果條件允許應(yīng)使用專(zhuān)用(隔離的)計(jì) 算環(huán)境,而且只同可信任的其他應(yīng)用系統(tǒng)共享資源。(四)數(shù)據(jù)庫(kù)訪問(wèn)控制數(shù)據(jù)庫(kù)訪問(wèn)控制是對(duì)用戶數(shù)據(jù)庫(kù)各種資源,包括表、視窗、各種目錄以及實(shí)用程序等的 權(quán)利(包括創(chuàng)建、撤銷(xiāo)、查詢、增、刪、改、執(zhí)行等)的控制。這是數(shù)據(jù)安全的基本手段。 對(duì)數(shù)據(jù)庫(kù)進(jìn)行訪問(wèn)控制,首先要正確識(shí)別用戶,防止可能的假冒。數(shù)據(jù)庫(kù)用戶在DBMS (數(shù)據(jù)庫(kù)管理系統(tǒng))注冊(cè)時(shí),給每一個(gè)用戶標(biāo)識(shí)。用戶標(biāo)識(shí)是用戶公開(kāi)的標(biāo)識(shí),不能成為其鑒別 用戶的憑證。鑒別用戶身份,一般采用:利用只有用戶知道的信息鑒別用戶,如廣泛使用的 口令;利用只有用戶知道的物品鑒別用戶,如磁卡;利用用戶的個(gè)人特征鑒別用戶,如指紋、 聲音、簽名等。對(duì)一般數(shù)

溫馨提示

  • 1. 本站所有資源如無(wú)特殊說(shuō)明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒(méi)有圖紙預(yù)覽就沒(méi)有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。

最新文檔

評(píng)論

0/150

提交評(píng)論