訪問控制概述

訪問控制是對(duì)資源對(duì)象的訪問授權(quán)控制的方法以及運(yùn)行機(jī)制

訪問控制又叫訪問者，又稱為主體，他可以是我們的用戶，也可以是系統(tǒng)的進(jìn)程或者應(yīng)用程序，資源對(duì)象又稱為客體，他是被訪問的對(duì)象，可以是文件應(yīng)用服務(wù)或者數(shù)據(jù)，另外兩個(gè)關(guān)鍵字授權(quán)和控制

它指的是訪問者可以對(duì)資源對(duì)象進(jìn)行訪問的方式，是讀、寫、刪除或者是有其他的這種權(quán)力，不同的用戶群體權(quán)力是不一樣的

就對(duì)訪問者是否允許用戶訪問的資源對(duì)象做出決策，本來是只可以讀的用戶，你搞一個(gè)可以寫的文件，這個(gè)肯定是有問題的，我們做出的決策可以是拒絕訪問，或者是允許、禁止操作，根據(jù)我們相應(yīng)的權(quán)限來對(duì)我們?cè)L問的過程進(jìn)行控制

訪問控制的目標(biāo)有兩個(gè)，第一個(gè)防止非法的用戶進(jìn)入系統(tǒng)，通過認(rèn)證進(jìn)入我們的系統(tǒng)，第二個(gè)阻止合法用戶對(duì)系統(tǒng)資源非法的訪問，以及禁止合法用戶的越權(quán)訪問，你本來只能讀的，你就不能寫，這就是訪問控制的目標(biāo)

實(shí)現(xiàn)訪問控制目標(biāo)

首先要對(duì)用戶進(jìn)行身份認(rèn)證，然后根據(jù)不同的用戶授予不同的訪問權(quán)限。第二個(gè)就是授權(quán)，從而保護(hù)系統(tǒng)的資源，同時(shí)還可以進(jìn)行系統(tǒng)的安全審計(jì)和監(jiān)控檢測(cè)，檢測(cè)用戶對(duì)系統(tǒng)的攻擊企圖，我們的審計(jì)一般是事后的，我們來做分析，所以實(shí)際的應(yīng)用當(dāng)中一般是訪問控制，他會(huì)與認(rèn)證、授權(quán)、審計(jì)機(jī)制相互去協(xié)同使用，這是訪問控制跟其他安全機(jī)制的一個(gè)關(guān)系，前置有一個(gè)認(rèn)證，后置有一個(gè)審計(jì)，中間是訪問控制，這三個(gè)是經(jīng)常聯(lián)合起來用的

訪問控制參考模型

主體比如說是我，文件就是客體，中間有訪問控制數(shù)據(jù)庫、參考監(jiān)視器、審計(jì)庫這三個(gè)東西來控制我們?cè)L問的，參考監(jiān)視器，具體能不能訪問是在這里去執(zhí)行和決策的，相當(dāng)于它就是一個(gè)判斷機(jī)制，根據(jù)我們的訪問控制數(shù)據(jù)庫去判斷能不能訪問，訪問控制數(shù)據(jù)庫它里面存的是一些訪問控制的策略，比如說，我能訪問這個(gè)文件嗎，是能讀還是能寫，審計(jì)庫主要是存儲(chǔ)我們操作的信息，比如說訪問成功或者失敗、連續(xù)失敗，比如說我在訪問這個(gè)文件，可能需要密碼，我嘗試了一萬遍，都沒有成功，最后我們審計(jì)庫里面是不是會(huì)有記錄，證明我可能是攻擊者，我在攻擊這個(gè)文件，我想去獲得越權(quán)的訪問，但是沒成功，所以審計(jì)庫記錄下這些信息可以供我們管理員來進(jìn)行安全的防護(hù)、安全的加固

常見訪問控制模型

常見的訪問控制模型有這幾種，重點(diǎn)理解的是標(biāo)黃的這幾種，其中重點(diǎn)是自主訪問控制、強(qiáng)制訪問控制和基于角色的訪問控制模型，他們常被用于操作系統(tǒng)、數(shù)據(jù)庫等等這些資源的訪問

基于屬性的訪問控制模型，比如張三是個(gè)男人，這個(gè)就是屬性，像女廁所肯定只有女人能進(jìn)，男人進(jìn)不了

基于行為的訪問控制模型，常見的上網(wǎng)管理，它可以對(duì)我們的用戶一些行為進(jìn)行控制，比如你要瀏覽非法的網(wǎng)站，他給你阻止了，干違法的操作把你阻止了，比如說典型的上網(wǎng)行為管理、電子支付等等

基于時(shí)間的訪問控制，我們寫acl的時(shí)候，可以寫time range，時(shí)間范圍，比如，我上班的時(shí)候不能聊QQ，不能下迅雷，不能看在線的視頻，但是你下下來就可以隨便看

訪問控制模型-DAC自主訪問控制

自主訪問控制(Discretionary Access Control，DAC)指客體的所有者按照自己的安全策略授予系統(tǒng)中的其他用戶對(duì)其的訪問權(quán)，他實(shí)現(xiàn)方式有兩大類，基于行的訪問控制和基于列的自主訪問控制

自主訪問控制是最常用的一種對(duì)網(wǎng)絡(luò)資源進(jìn)行訪問約束的機(jī)制，其好處是用戶自己根據(jù)其安全需求，自行設(shè)置訪問控制權(quán)限，訪問機(jī)制簡(jiǎn)單、靈活。但這種機(jī)制的實(shí)施依賴于用戶的安全意識(shí)和技能，不能滿足高安全等級(jí)的安全要求。例如，網(wǎng)絡(luò)用戶由于操作不當(dāng)，將敏感的文件用電子郵件發(fā)送到外部網(wǎng)則造成泄密事件。所以在一些高安全場(chǎng)景不太適用

訪問控制模型-MAC強(qiáng)制訪問控制

強(qiáng)制訪問控制(MAC)是指根據(jù)主體和客體的安全屬性，以強(qiáng)制方式控制主體對(duì)客體的訪問。安全操作系統(tǒng)中的每個(gè)進(jìn)程、每個(gè)文件等客體都被賦予了相應(yīng)的安全級(jí)別和范疇，當(dāng)一個(gè)進(jìn)程訪問一個(gè)文件時(shí)，系統(tǒng)調(diào)用強(qiáng)制訪問控制機(jī)制，當(dāng)且僅當(dāng)進(jìn)程的安全級(jí)別不小于客體的安全級(jí)別，并且進(jìn)程的范疇包含文件的范疇時(shí)，進(jìn)程才能訪問客體，否則就拒絕。

我們現(xiàn)在常用的一些操作系統(tǒng)，他底層都是有用強(qiáng)制訪問控制的

與自主訪問控制相比較，強(qiáng)制訪問控制更加嚴(yán)格，用戶使用自主訪問控制雖然能夠防止其他用戶非法入侵自己的網(wǎng)絡(luò)資源，但對(duì)于用戶的意外事件或誤操作則無效，因此，自主訪問控制不能適應(yīng)高安全等級(jí)需求。在政府部門、軍事和金融等領(lǐng)域，常利用強(qiáng)制訪問控制機(jī)制，將系統(tǒng)中的資源劃分安全等級(jí)和不同類別，然后進(jìn)行安全管理。

訪問控制模型-RBAC基于角色的訪問控制

基于角色的訪問控制(RBAC)是目前國(guó)際上流行的先進(jìn)的安全訪問控制方法。它通過分配和取消角色來完成用戶權(quán)限的授予和取消，并且提供角色分配規(guī)則。RBAC包括用戶(U)、角色?、會(huì)話(S)和權(quán)限§四個(gè)基本要素。

不同的角色，他的權(quán)限是不一樣的，你也可以理解成不同的分組，他的權(quán)限也不一樣，像我們windows里面，他其實(shí)有很多用戶組，administrator超級(jí)管理員、user、power、back-up 備份，這些就是用戶組，其它對(duì)應(yīng)的就是角色

角色簡(jiǎn)單理解就是用戶組，我們通過用戶組來集中的授權(quán)，我們權(quán)限管理就會(huì)簡(jiǎn)單很多，比如我這個(gè)系統(tǒng)里面有1千個(gè)用戶，我要實(shí)現(xiàn)1千個(gè)用戶的一個(gè)授權(quán)管理，對(duì)1千個(gè)用戶進(jìn)行操作是不是很麻煩，但是我如果把1千個(gè)用戶劃分成不同的角色，一個(gè)是管理員，一個(gè)是訪客，或者三個(gè)，還有一個(gè)是內(nèi)部工作人員，相當(dāng)于只是對(duì)三個(gè)角色的權(quán)限進(jìn)行劃分，整個(gè)操作就簡(jiǎn)單很多，這是基于角色的訪問控制，應(yīng)用非常廣泛

訪問控制模型-ABAC基于屬性的訪問控制

基于屬性的訪問控制(ABAC)：訪問控制方法是根據(jù)主體的屬性、客體的屬性、環(huán)境的條件以及訪問控制策略對(duì)主體的請(qǐng)求操作進(jìn)行授權(quán)許可或拒絕。

比如說有些電影要求我們滿18歲才能看，這個(gè)電影是涉及到暴力血腥，這里面我們對(duì)主體屬性的要求是你要大于等于18歲，客體屬性就是暴力血腥這一類的，如果小于18歲，肯定拒絕，這個(gè)是基于屬性的訪問控制，相對(duì)而言，他會(huì)比較靈活，可以根據(jù)我們主客體的屬性去自定義，第一個(gè)是自主訪問控制，第二個(gè)是強(qiáng)訪問控制，第三個(gè)基于決策的訪問控制