訪問控制是幾乎所有系統(包括計算機系統和非計算機系統)都需要使用的技術。訪問控制是壹種根據用戶的身份和他們所屬的某個定義組來限制用戶訪問某些信息項或使用某些控制功能的技術。比如UniNAC網絡門禁系統的原理就是基於這種技術。系統管理員通常使用訪問控制來控制用戶對服務器、目錄和文件等網絡資源的訪問。
中文名:訪問控制mbth: Aess控制限制:用戶對某些信息項的訪問包括:服務器、目錄、文件等功能:防止非法主體進入受保護的應用範圍:幾乎所有的系統功能、實現策略、分類、實現和開發，功能主要包括以下內容:1 .防止非法主體進入受保護的網絡資源。第二，允許合法用戶訪問受保護的網絡資源。三、防止合法用戶未經授權訪問受保護的網絡資源。實施策略1。網絡訪問控制2。網絡權限限制3。目錄級安全控制4。屬性安全控制5。網絡服務器安全控制。網絡監控和鎖定控制。網絡連接端口和節點安全控制8。防火墻控制分類訪問控制可以分為兩類:自主訪問控制和強制訪問控制。自訪問控制是指用戶有權訪問訪問對象(文件、數據表等。)由他們自己創建，並且可以向其他用戶授予對這些對象的訪問權限，並從已經授予權限的用戶那裏收回他們的訪問權限。強制訪問控制是指系統(通過專門設置的系統安全官)對用戶創建的對象進行統壹控制，按照規定的規則決定哪些用戶可以訪問哪些對象，訪問哪些操作系統類型。即使是創建者用戶在創建對象後也可能無權訪問該對象。基於對象的訪問控制模型OBAC模型:DAC或MAC模型的主要任務是對系統中的訪問主體和受控對象進行壹維管理。當用戶數量多，處理的信息和數據量巨大時，用戶權限的管理任務會變得非常繁重，難以維護，降低了系統的安全性和可靠性。對於海量數據和不同的數據類型，需要專門的系統和專門的人員來處理。如果采用RBAC模型，安全管理員不僅要維護用戶和角色之間的關系，還要將巨大的信息資源訪問權限授予有限數量的角色。當信息資源的類型增加或減少時，安全管理員必須更新所有角色的訪問權限設置。如果被控對象的屬性發生變化，需要將被控對象不同屬性的數據分配給不同的訪問主體進行處理，那麽安全管理員就必須添加新的角色，還必須更新所有角色的訪問權限設置和訪問主體的角色分配設置。這種訪問控制需求的變化往往是不可預測的，導致了訪問控制管理的難度和巨大的工作量。因此，在這種情況下，有必要引入基於受控對象的訪問控制模型。控制策略和規則是OBAC訪問控制系統的核心。在基於受控對象的訪問控制模型中，訪問控制列表與受控對象或其屬性相關聯，訪問控制選項被設計為用戶、組或角色及其相應權限的集合。同時，策略和規則可以重用、繼承和派生。這樣不僅可以控制被控對象本身，還可以控制其屬性，派生對象可以繼承父對象的訪問控制設置，這對於信息量巨大、信息內容變化頻繁的管理信息系統非常有利，可以減少信息資源派生、演化、重組帶來的角色權限分配和設置的工作量。OBAC門禁系統從信息系統和用戶需求的數據差異和變化出發，有效解決了信息數據量大、數據類型多、數據更新變化頻繁的大型管理信息系統的安全管理。從被控對象的角度來看，訪問主體的訪問權限直接與被控對象相關聯。壹方面，易於定義對象的訪問控制列表，易於添加、刪除和修改訪問控制項。另壹方面，當被控對象的屬性發生變化，或者被控對象發生繼承和派生時，不需要更新訪問主體的訪問權限，只需要修改被控對象對應的訪問控制項，從而降低了訪問主體的權限管理和授權數據管理的復雜度。基於任務的訪問控制模型TBAC模型(Task-based Aess Control Model)是從應用層和企業層的角度解決安全問題，從面向任務的角度從任務(活動)的角度建立安全模型和實現安全機制，在任務處理過程中提供動態、實時的安全管理。在TBAC中，對象的訪問權限控制不是靜態的，而是隨著任務執行的上下文而變化。TBAC首先考慮的是工作流環境中信息的保護:在工作流環境中，數據的處理與最後的處理相關，相應的訪問控制也是如此，所以TBAC是上下文敏感的訪問控制模型。其次，TBAC不僅可以為不同的工作流實現不同的訪問控制策略，還可以為同壹工作流的不同任務實例實現不同的訪問控制策略。在這個意義上，TBAC是基於任務的，這也說明TBAC是基於實例的訪問控制模型。TBAC模型由四部分組成:工作流、授權結構、受信者集和權限集。任務是工作流中的壹個邏輯單元，是壹個可區分的操作，它與多個用戶相關，也可能包含幾個子任務。授權結構是計算機中受控任務的壹個例子。任務中的子任務對應於授權結構中的授權步驟。授權單元:它是由壹個或多個授權步驟組成的結構，這些步驟在邏輯上鏈接在壹起。授權結構分為通用授權結構和原子授權結構。壹般授權結構中的授權步驟是依次執行的，原子授權結構中的每個授權步驟都是緊密相關的，任何壹個授權步驟的失敗都會導致整個結構的失敗。授權步驟代表原始授權處理步驟，指的是工作流中處理對象的處理過程。授權步驟是訪問控制能夠控制的最小單元，由受托者集和多個權限集組成。受信者集是壹組可以被授予授權步驟的用戶，權限集是受信者集的成員在被授予授權步驟時擁有的訪問權限。當授權步驟被初始化時，受信者集中的壹個成員將被授予授權步驟。我們把這個受托者稱為授權步驟的執行主體，這個受托者在執行授權步驟的過程中所需要的權限集合稱為執行者權限集合。授權步驟或授權結構之間的關系稱為依賴關系，它反映了基於任務的訪問控制的原理。授權步驟的狀態變化壹般是自我管理的，狀態根據執行條件自動變化，但有時也可以由管理員部署。工作流的業務流程由多個任務組成。壹個任務對應壹個授權結構，每個授權結構由壹個具體的授權步驟組成。授權結構和授權步驟通過依賴關系聯系在壹起。在TBAC中，壹個授權步驟的處理可以決定後續授權步驟對處理對象的操作權限，上述權限集稱為激活權限集。執行者權限集和激活權限集合稱為授權步驟的保護狀態。TBAC模型壹般用五元組(S，O，P，L，AS)表示，其中S表示主體，O表示客體，P表示權限，L表示生命周期，AS表示授權步驟。因為任務是時間敏感的，所以在基於任務的訪問控制中，用戶對授予他的權限的使用也是時間敏感的。因此，如果P是授權步驟AS激活的權限，那麽L就是授權步驟AS的生存期。在授權步驟AS被激活之前，其保護狀態是無效的，並且其中包含的許可證不能被使用。當授權步驟AS被觸發時，其委托的執行人開始擁有該執行人權限集中的權限，其生命周期開始倒計時。五元組(s，o，p，l，AS)在生存期內有效。生命周期結束時，五元組(s，o，p，l，AS)失效，收回委托執行人擁有的許可權。TBAC的訪問策略及其內部組件關系通常由系統管理員直接配置。通過授權步驟的動態權限管理，TBAC支持最小特權和最小泄露原則，在執行任務時只給用戶分配需要的權限，任務未執行或終止後用戶不再擁有分配的權限；此外，在執行任務的過程中，當不再使用許可權時，授權步驟自動收回許可權；另外，對於敏感任務，需要不同的用戶來執行，可以通過授權步驟之間的去中心化依賴來實現。TBAC從工作流中任務的角度建模，可以根據不同的任務和任務狀態動態管理權限。因此，TBAC非常適合於分布式計算的信息處理控制和工作流、分布式處理和事務管理系統中的多點訪問控制和決策。基於角色的訪問控制模型RBAC模型(基於角色的AESS模型):RBAC模型的基本思想是給某些角色分配訪問權限，用戶可以通過扮演不同的角色來獲得角色所擁有的訪問權限。這是因為在很多實際應用中，用戶並不是可訪問對象信息資源(這些信息屬於企業或公司)的所有者。在這種情況下，訪問控制應該基於員工的職位，而不是基於員工屬於哪個組或其信息所有者，即訪問控制由部門中每個用戶的角色決定。例如，壹所學校可以有教職員工、教師、學生和其他管理人員等角色。RBAC從控制主體的角度，根據管理中相對穩定的權限和責任劃分角色，將訪問權限與角色關聯起來，不同於傳統的MAC和DAC直接授予用戶權限的方式。通過為用戶分配適當的角色，用戶與訪問權限相關聯。角色成為訪問控制中訪問主體和受控對象之間的橋梁。壹個角色可以看作是壹組操作，不同的角色有不同的操作集，由系統管理員分配給角色。在下面的例子中，我們假設Tch1，Tch2，tch3...tchi是對應的老師，study 1，Stud 2，stud3...studj是對應的學生，還有Mng1，Mng 2，mng3...mngk是教務處的管理員，所以老師的權限是tchmn =。學生的權限是Stud MN = {查詢成績，反映意見}；教務人員的權限是MngMN={查詢，修改成績，打印成績列表}。然後，根據不同的角色，每個主體只能執行自己的訪問功能。用戶在某個部門有壹定的角色，所執行的操作與所扮演角色的功能相匹配，這就是基於角色的訪問控制(RBAC)的根本特征，即根據RBAC策略，系統定義各種角色，每個角色可以執行壹定的功能，不同的用戶根據其功能和職責被賦予相應的角色。壹旦用戶成為某個角色的成員，他就可以完成該角色的功能。現在數據安全已經成為壹種病，蠕蟲病毒橫行。如何提高網絡安全性？選擇網絡訪問控制(NAC)是不可避免的，它可以幫助企業網絡避免各種網絡安全威脅。許多企業通常不願意實現基於角色的訪問控制。因為企業擔心執行過程冗長復雜，又因為員工的訪問權限會發生變化，也會給工作效率帶來副作用。完成基於角色的矩陣可能是壹個復雜的過程，需要企業花費數年時間。
有壹些新的方法可以縮短這個過程並帶來立竿見影的效果。企業可以使用人力資源系統作為數據源來收集所有員工的部門、職位、地點和層級結構等信息，並使用這些信息來創建每個訪問級別的角色。下壹步是從active directory和其他地方獲取當前權限，以及與不同角色的員工相關的數據。
接下來，標準化數據以確保相同角色的員工擁有相同的訪問權限。可以從人力資源和活動目錄、修訂報告和員工經理那裏收集數據，以便檢查和糾正。基於角色的訪問控制應用程序與身份管理系統相結合，可以自動實現管理員所做的更改。這個過程可以在包含敏感信息的企業網絡的其他應用中重復多次，以確保訪問權限的正確性。訪問控制的實現機制是壹種抽象而復雜的行為。要實現訪問控制，不僅要保證授權用戶的許可權與其擁有的許可權相對應，還要制止非授權用戶的非授權行為。我們還必須確保敏感信息的交叉感染。為了方便對這個問題的討論，我們以檔案的訪問控制為例來詳細說明訪問控制的實現。通常用戶訪問信息資源(文件或數據庫)，可能的行為是讀、寫和管理。為了方便起見，我們用Read或r表示讀取，Write或w表示寫入，Own或o表示管理。我們之所以把管理操作和讀寫分開，是因為管理員可能會修改控制規則本身或者文件的屬性，也就是修改我們下面說的訪問控制列表。訪問控制列表訪問控制列表(ACL:Aess控制列表)是圍繞歸檔構建的訪問權限列表，縮寫為ACL。目前，大多數PC、服務器和主機都使用ACL作為訪問控制的實現機制。訪問控制列表的優點是易於實現。任何授權主體都可以有壹個訪問列表。例如，授權用戶A1的訪問控制規則存儲在文件File1中，A1的訪問規則可以由A1下面的權限表ACLsA1確定，該權限表定義了用戶U1的訪問控制規則。訪問控制矩陣訪問控制矩陣(ACM)是壹種以矩陣形式表示授權用戶的訪問控制規則和權限的方法。也就是說，對於每個主體，他們對哪些對象有哪些訪問權限；至於對象，哪些主體可以拜訪他；通過闡述這種關系，形成控制矩陣。其中，特權用戶或特權用戶組可以修改主體的訪問控制權限。訪問控制矩陣的實現很容易理解，但是很難找到和實現。而且，如果用戶和文件系統有大量的文件需要管理，控制矩陣會呈幾何級增長，所以不斷增長的矩陣會有大量的空余空間。訪問控制能力列表能力(access control capability list capability)是訪問控制中的壹個重要概念，是指請求訪問的發起方所擁有的壹張有效票證，它授權票證所指示的持有者按照什麽訪問方式訪問特定的對象。Accls (Aess控制能力列表)是壹個以用戶為中心的訪問權限列表。例如，訪問控制權限表ACCLsF1表示授權用戶UserA對文件1的訪問權限，UserAF表示UserA對文件系統的訪問控制規則集。所以ACCLs的實現正好和ACLs相反。定義能力的重要作用在於能力的特殊性。如果壹個主體被賦予了壹種能力，實際上就說明這個主體擁有某種相應的許可權。實現這種能力有兩種方式，可傳遞的和不可傳遞的。有些能力可以由代理傳遞給其他代理使用，而有些則不能。能力的轉移涉及到授權的實現，我們將在後面詳細闡述訪問控制的授權管理。安全標簽安全標簽是壹組安全屬性信息，被限制並附加到主題或對象上。安全標簽的含義比能力更廣更嚴，因為它實際上建立了壹套嚴格的安全級別。Acslls (AESS控制安全標簽列表)是壹組限制用戶訪問對象目標的安全屬性。安全標簽可以區分敏感信息，因此可以對用戶和對象資源實施安全策略。因此，在強制訪問控制中經常使用這種實現機制。特定類別訪問控制是網絡安全防範和保護的重要手段。其主要任務是維護網絡系統安全，確保網絡資源不被非法使用和訪問。通常技術實現包括以下幾個部分:(1)訪問控制:訪問控制為網絡訪問提供了第壹層訪問控制，是網絡訪問的第壹道屏障。它控制哪些用戶可以登錄到服務器並獲得網絡資源，並控制何時允許用戶訪問網絡以及允許他們在哪個工作站訪問網絡。比如ISP服務商實現接入服務。用戶的訪問控制是對合法用戶的驗證，通常使用用戶名和密碼認證。壹般分為用戶名識別驗證、用戶密碼識別驗證、用戶賬號預置限制檢查三個步驟。
(2)資源訪問控制:是對對象整體資源信息的訪問控制管理。包括文件系統的訪問控制(文件目錄訪問控制和系統訪問控制)、文件屬性訪問控制和信息內容訪問控制。檔案目錄的訪問控制是指賦予用戶和用戶組壹定的權限。在權限控制規則下，哪些用戶和用戶組可以訪問哪些目錄、子目錄、文件等資源，哪些用戶可以對哪些文件、目錄、子目錄和設備進行哪些操作。系統訪問控制是指網絡系統管理員應該為用戶指定適當的訪問權限，控制用戶對服務器的訪問；應設置密碼鎖定服務器控制臺，防止非法用戶修改、刪除重要信息或破壞數據；應設置服務器登錄的時間限制、非法訪問者檢測和關閉的時間間隔；我們應該對網絡進行監控，記錄用戶對網絡資源的訪問，並對非法網絡訪問以圖形、文本或聲音的形式進行報警。文件屬性訪問控制:使用文件、目錄和網絡設備時，要為文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與要訪問的文件、目錄和網絡設備相關聯。
(3)網絡連接端口和節點的訪問控制:網絡中的節點和連接端口經常加密和傳輸數據，這些重要位置的管理必須防止黑客發動的攻擊。為了管理和修改數據，應該要求訪問者提供能夠證明其身份的認證器(例如智能卡)。網絡訪問控制(NAC)的發展名聲不好，我們必須改變它。在過去的十年中，訪問控制部署失敗，安全策略過於嚴格，這使得許多CEO發現，根據IT部門實施的訪問控制，他們的筆記本電腦無法訪問網絡。然而，現在情況發生了變化。專家指出，訪問控制不再僅僅是訪問控制；但是提供了終端可見性和感知環境的安全性。企業戰略集團的研究表明，訪問控制正在演變為壹種新的平臺產品，稱為終端監控、訪問和安全(EVAS)。它可以實現環境感知的安全性，向其他安全平臺提供信息，並應用針對這些平臺的策略。早期的訪問控制解決方案檢查用戶設備的狀態，以確保它們沒有感染病毒，並在允許它們連接到網絡之前安裝正確的終端安全軟件。後來，訪問控制增加了軟件補丁和配置檢查。現在，該訪問控制解決方案已經進壹步發展成為壹個EVAS平臺，滿足了企業對感知環境安全性的需求。