CISSP学习笔记-14（控制和监控访问）.pdf

CISSP学习笔记-14（控制和监控访问）

知识点

⽐较访问控制模型

⽐较权限、权利和特权

权限

访问客体的权限

权利

对客体采取⾏动的能⼒，如备份、恢复数

特权

权利和权限的组合

理解授权机制

隐式拒绝

默认拒绝

访问控制矩阵

包含主体，客体和权限的列表

能⼒表

主体分配权限的⽅式，关注主体，能⼒表主要关注主体（如⽤户、组或⻆⾊），ACL主要关注客体

约束接⼝

应⽤程序使⽤受约束或受限制的接⼝来限制⽤户可执⾏或查看的内容

基于内容的控制

依赖内容的访问控制根客体内的内容限制对数的访同。数库视图

基于上下⽂的控制

依赖于上下⽂的访问控制在授予⽤户访问权限之前需要特定的活动，如未购买完成，不能浏览电⼦书内容

因需可知

这个原则确保主体只能访问他们的⼯作任务和⼯作职能必须知道的内容。主体可获得访问分类或受限数的许可，但未获得数

授权，除⾮他们确实需要它来执⾏⼯作。

最⼩特权

最⼩特权原则确保主体仅被授予执⾏其⼯作任务和⼯作职能所需的权限。与因需可知唯⼀的区别是最⼩特权还包括对系统采取⾏

动的权利

职责分离

职责分离原则确保将敏感职能分为两个或多个员⼯执⾏的任务。通过创建⼀个检查和制衡系统来防⽌欺诈和错误

使⽤安全策略定义需求

⾼级领导批准安全策略，并在此过程中提供组织安全需求的⼴泛概述。安全策略不介绍如何满⾜安全需求、如何实施策略，专业⼈

员⽤安全策略作为安全需求的指南

防御纵深

使⽤多个层级的访问控制来提供分层安全性

纵深防御的概念突出了⼏个重点：

•组织的安全策略是管理访问控制之⼀，它通过定义安全要求为资产提供了⼀层防御。

•⼈员是防御的关键组成部分。

•但他们需要适当的培训和教育来实现，遵守和⽀持组织安全策略中定义的安全元素。

•管理、技术和物理访问控制的组合提供了更强⼤的防御。

介绍访问控制模型

⾃主访问控制DAC

客体有所有者，所有者允许或者拒绝其他主体访问客体微软的NTFS使⽤了DAC

可以把权⼒委派给数托管员

基于身份访问是⼀个⼦集

ACL控制客体，win是

当⽤户离开组织时，很容易禁⽤账户

基于⻆⾊的访问控制RBAC

将主体放⼊⻆⾊中，对⻆⾊进⾏分配权限win就是

组-⻆⾊，这些⻆⾊通常由职责功能标识

防⽌特权蠕变，在⼈员频繁变动的环境中

区别TBAC-基于任务的访问控制，如Project就是

基于规则的访问控制

⼀个关键特征是它采⽤适⽤于所有主体的全局规则

防⽕墙

基于属性的访问控制ABAC

基于属性的访问控制模型的⼀个关键特征是它使⽤可包含多个属性的规则。

⽐基于规则的访问控制模型更灵活，该模型将规则平等地应⽤于所有主体

SDN使⽤ABAC

如允许使⽤移动设备的⽤户在某个时段登录设备

允许管理员使⽤简单语⾔在策略中创建规则，例如“允许管理员使⽤移动设备访问WAN“

强访问控制MAC

基于标签、格⼦

主体客体都有标签

主体复合⼀定要求获得标签，根标签获得访问相同标签的客体

隔离区-加强因需可知

MAC是基于BLP开发的，主体和客体都有安全标签（SecurityLabel）⼜叫敏感标签，其中包含有安全许可（ecurity

clearance）和安全分级（ecurityclaification）信息，⽤于对信息机密性⾮常严格的环境。在这种模型中，资源所有者不能

决定资源的访问，所有的访问控制都由操作系统按照安全策略（SecurityPolicy）来决定，因此，这样的操作系统都是专⽤的。

⽤户被赋予机密，秘密，保密等安全许可，资源也按照这个分级，系统依赖于安全标签和安全策略来实现访问控制。主体的安全

标签必须要⾼于或者等于客体的安全标签才可以访问客体。

环境分类

分层环境

⾼可以访问低，不可以访问更⾼