《网络安全0-100》访问控制

1访问控制

1.1概念

访问控制是在身份认证的基础上，依据授权对提出的资源访问请求加以控制，他是系统安全防范和保护的主要策略，它可以限制对关键资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏。

1.2控制访问三要素

客体(Object)：接受其他实体访问的被动实体。可以被操作的信息、资源、对象都可以认为是客体，例如信息、文件，网络硬件设施。

主体(Subject)：提出资源访问请求或要求的实体。用户或其它任何代理用户行为的实体，例如计算机资源，如管理员、合法用户。

控制策略(Policy)：确定主体是否对客体拥有访问能力的规则。从数学角度来看，访问控制本质上是一个矩阵，行表示资源，列表示用户，行和列的交叉点表示某个用户对某个资源的访问权限(读、写、执行、修改、删除等)。

1.3 控制访问基本原则

最小特权原则：最小特权原则是指应限定网络中每个主体所必须的最小特权，确保可能的事故、错误、网络部件的篡改等原因造成的损失最小。

多人负责原则：即授权分散化，对于关键的任务必须在功能上进行划分，由多人来共同承担，保证没有任何个人具有完成任务的全部授权或信息。

职责分离原则：指将不同的责任分派给不同的人员以期达到互相牵制，消除一个人执行两项不相容的工作的风险。例如收款员、出纳员、审计员应由不同的人担任。

1.4 访问控制每层应用

应用层：可实施灵活，丰富和复杂的安全策略

中间件：维护基本的保护特性(簿记系统，数据库系统)

操作系统：对操作系统级的资源实施保护(文件，网络等)

硬件：进程的物理保护(处理器和内存管理

硬件)