信息安全工程师备考——信息系统安全工程（自用笔记）

信息安全工程师备考——信息系统安全工程（自用笔记）
1.基于角色的访问控制的定义及其基本思想？
基于角色的访问控制（RBAC）是实施面向企业安全策略的一种有效的访问控制方式。其基本思想是，对系统操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合。每一种角色对应一组相应的权限。一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。

2.一个非授权用户能够获得其无权访问的服务或数据，即工作站存在三种威胁？
一个工作站上一个用户可能冒充另一个用户操作；
一个用户可能改变一个工作站的网络地址，从而冒充另一台工作站工作；
一个用户可能窃听他人的信息交换，并用回放攻击获得对一个服务器的访问权或中断服务器的运行。

3.Kerberos协议的定义？
Kerberos（Network Authentication）是标准网络身份认证协议，采用传统加密算法（无公钥体制），旨在给计算机网络提供“身份验证”。它是基于信任第三方，如同一个经纪人集中进行用户认证和发放电子身份标识。

4.Kerberos系统应该满足的要求？
①安全。网络窃听者不能获得必要信息以假冒其他用户；
②可靠。Kerberos应高度可靠，并且应借助于一个分布式服务器体系结构，使得一个系统能够备份另一个系统。
③透明。用户除了要求输入口令以外应感觉不到认证的发生。
④可伸缩。系统应该能够支持大数量的客户和服务器。

复盘：
1.基于角色的访问控制的定义及其基本思想？
2.一个非授权用户能够获得其无权访问的服务或数据，即工作站存在三种威胁？
3.Kerberos协议的定义？
4.Kerberos系统应该满足的要求？