大学课程《互联网金融信息安全》PPT教学课件：3.43策略的有效实施.pptxVIP

访问控制3.53.5.2策略的有效实施

3.5.2策略的有效实施策略是独立于机制的，它的实施点是描述了对系统中实体和行为的约束。例如一个系统接入到Internet，用户启动了Web浏览器，Web浏览器从远程站点下载程序并在本地执行，本地系统的策略会约束下载程序的功能范围。策略是应用内实现访问控制的一段代码或者监听程序。它截获访问者发出对某一目标的访问请示，对请求进行处理，根据用户信息、操作请求和目标形成决策请求，发给决策点。策略的决策点是一个判断逻辑，如访问控制代码中的判断函数。决策单元和执行单元不必是分开的模块。它根据用户权限，策略规则对决策请求进行判断，并将决策结果返回给策略执行点，允许/拒绝策略执行点根据决策结果执行访问或拒绝访问系统。决策单元中包含访问控制信息，能够提示攻击者哪些用户具有访问权限。为了防止攻击者获得这些信息，访问控制文件的内容应该是保密的。

3.5.2策略的有效实施访问控制实现有三种方式：访问控制代码，服务器插件和代理服务器。访问控制实现部件可以位于通路两端，如VPN机，加密路由器，加密防火墙等。访问控制策略主要分为以下几种类型：自主式策略（DAC）、强制式策略（MAC）、基于客体的策略和基于角色的策略等。在使用这些策略时，可能需要某些附加控制，例如使用基于上下文的控制，允许访问控制策略在确定一个目标时依靠外部因素，例如时间、用户的位置、通信路径、认证强度等。实施适当的策略并不意味着访问管理的结束。有时管理员需要重新测试访问策略以确定它是否能够正常工作。

粒度（granularity）是指访问控制的精细度或特异性。它是一个范围：在一端可以控制对每个单独的位、字节、文档中的每个字、电子表格中的每个数字及集合中的每个照片的访问。该水平的特异性通常是过度的并且不易实现。粒度越精细，要做的访问控制决策的数量就越多，因此有一个性能损失。通常文件、程序或数据空间是访问控制的最小单位。在具体应用中，硬件设备、存储块、程序代码存储的磁盘空间、特定的应用程序等对象都可能是访问控制的对象。3.5.2策略的有效实施3.5.2.1粒度

在作出访问决策后，系统允许该种决策的访问，并允许用户和对象完成通信。系统还记录被允许的访问，形成所谓的审计日志（AuditLog）审计日志由系统创建和维护，并被保存用于以后的分析。作为访问控制活动的一部分，该系统建立并保护这种审计日志。显然，粒度有很重要的作用，记录了每个内存字节的访问日志，如果太长就没有太大的实用价值，但一个写着“8：01用户升启系统，17：21用户关闭系统”的日志可能包含很多有帮助的小细节。3.5.2策略的有效实施3.5.2.2访问日志

THANKYOU感谢聆听