CISSP:信息安全中的控制手段[10-17]

控制手段分为三类：

 

1，管理 主要包括策略和规程，安全意识的培训，背景调查，工作习惯检查，职业历史复查，增加监管等。

 

2，逻辑和技术控制 主要包括 限制访问和信息保护，如加密，智能卡验证，访问控制列表以及传输协议等。

 

3，物理控制 包括安全保卫，如门锁，机房安全，笔记本电脑安全，线缆的保护，责任的分散，文件备份等。

 

控制的实现是以保护域为单位的，保护域是指共享相同资源的一组进程。

 

控制的基础是鉴别，验证和审计。。。。。

 

具体实现主要包括两部分：subject和object，subject指资源的使用者，如人和进程。object则是访问目标，如计算机，文件等资源。

 

访问控制的实现方式多种多样，主要分为几类：

 

1，强制访问控制 用于安全要求较高的场景，采用基于策略的访问控制，资源分成不同的保护等级，如普通，秘密，机密，绝密等。

 

2，基于用户的访问控制 通过访问控制列表实现，访问控制列表是一个矩阵，可以用来表述安全主体对资源的访问权限。

 

3，基于角色的访问控制 适用于资源访问授权经常变化的情况，可以基于角色或任务进行授权，在较大的系统中经常采用。

本文出自 “西蒙[爱生活，爱学习]” 博客，谢绝转载！