导图社区 计算机系统访问控制知识点
计算机系统访问控制知识点学习笔记
倪海厦经方229方中医思维导图，整理了1-50方、50-100方、100-150方、150-200方、200-229方，感兴趣的看图。
网店详情页排版方法分享~包括中心页面组成，优质详情必备，详情页的排版参考方法。感兴趣的小伙伴可以看看哦~
喷绘色彩基础培训方案，内容涵盖色彩基础，喷绘写真。框架清晰，内容丰富，希望对小伙伴有所帮助哦~
社区模板帮助中心，点此进入>>
互联网9大思维
组织架构-单商户商城webAPP 思维导图。
域控上线
python思维导图
css
CSS
计算机操作系统思维导图
计算机组成原理
IMX6UL(A7)
考试学情分析系统
概念
目标：防范未授权的访问
非法用户对系统资源的使用
合法用户对系统资源的非法使用
概念：访问控制是一种安全手段 控制用户和系统如何与其他系统和资源进行通信和交互
作用
保护机密性、完整性、可用性
机密性(Confidentiality)
防止敏感信息泄漏
完整性(Integrality)
非法篡改
未授权修改
内外信息一致性
可用性(Availability)
可靠及时访问资源
访问控制步骤
标识（Identification ）： 提供标识信息的主体
宣称用户身份
要素
唯一性：在一个控制环境独一无二，便于稽核
非描述性：身份标识不应暴漏用户身份或职务
发布：发布的过程必须是安全和具有档案的
特点：
访问控制第一步
唯一身份标识
可追溯性的前提
鉴别（Authentication） 核实标识信息
验证用户身份标识信息
知道什么？
密码 (password)
静态的，固定长度的
密码词 (Passphrase)
虚密码，通常比密码更长
认知密码 (cognitive password)
基于个人事实或判断的信息
示例：
信用卡还款日期等信息
毕业学校或母亲姓氏
可以有多个认知信息组合
拥有什么？
存储卡
存储信息，但不能处理
智能卡
包含微处理器和集成电路，具备信息处理能力
分类：
接触式
表面具有金色封印
需要提供电源和数据I/O
非接触式
四周饶有天线
通过进入读卡器的电磁场提供电源
智能卡具有更强的防窜改性
是什么， 做了什么？
遗传特征 (Genotypic traits)
面部扫描
扫描脸部的属性和特征， 包括骨骼、额头等信息
算法：区域特征分析算法
特点
识别精确度高，速度快
误识率、拒认率较低
手型外形
人手的形状的几何特征，手指以及整个手型信息
包括：手掌和手指的长度、宽度和外形
手部拓扑
检查沿着整个手型及其弯曲部分的不同起伏形状。
缺点：手型拓扑需要和手部外形组合使用
手掌扫描
手掌具有沟槽、脊状突起和折缝，唯一特征
包括：每个手指的指纹
指纹 (fingerprints)
指纹由一些曲线和分叉以及一些非常微小的特征构成
声音辨识
语音模式之间的差别
登记时要求说不同的单词，测试时需要将单词混杂要求复述
视网膜扫描
扫描眼球后方视网膜上的血管图案
虹膜扫描
虹膜是眼睛中位于瞳孔周围的一圈彩色部分，
虹膜具有独特的图案、分叉、颜色、换装、光环以及皱纹
特点：虹膜是最精确的
行为特征 (Behavioral traits)
签名分析
签名的速度和方式，签名者握笔的方式。
签名引起的物理移动会产生电信号，可以被当作生物测定
击键动作
动态击键获取输入具体短语时所产生的电信号，
捕获动作的速度和运动。
强化密码 （strong authentication）
双因素
动态密码 (dynamic password)
一次性密码 (One-Time Password,OTP)
特点：周期变更
实现：令牌装置
同步模式
计数器同步： 用户按下令牌设备的按钮来启动一次性密码创建
时间同步： 令牌和服务器必须具有相同时钟
特点：共享加密和解密的相同安全密钥
异步模式
挑战/应答机制
优缺点：
一旦用户ID和令牌设备被共享或窃取，则会被冒用。
不容易遭受电子窃听，密码猜解和嗅探
RSA SecurID：时间-同步：双因素
多因素
满足多个认证素
三种鉴别方法的优缺点
知道什么：比较经济，但是容易被冒用
拥有什么：用于访问设施或敏感区域，物品容易丢失
是什么，做了什么：基于物理特征和生物鉴定学，不易被冒用
授权（Authorization） 确定主体对可客体执行的操作
确定主体对客体执行的操作
访问准则
基于角色
基于组
基于物理位置或逻辑位置
基于时间段或时间间隔
基于事务类型
默认决绝访问
知其所需
最小特权原则
稽核或审计（accountability） 追踪用户活动的审计日志和监控
可追溯性/责任
审计
安全审计
审计范围：系统级事件、应用程序级事件、用户级事件
审计内容：时间、地点、任务、发生什么
日志存储期限和大小
审计日志保护
日志服务器
一次性写入介质
日志的使用
手动检查
自动检查
日志的管理
击键监控
目的：审计某个人和他的活动
监控
入侵检测系统,IDS ( Intrusion Detection System)
组成：
传感器
分析器
管理员界面
网络型IDS
监控网络通信
主机型IDS
分析特定计算机系统内的活动
特征性IDS
效率取决与特征库的更新
知识型或特征型IDS
基于已有的特定攻击特征库或知识库， 进行模式匹配
状态型IDS
留意入侵前和入侵过程之间的 活动状态，与预设定规则进行匹配
异常型IDS
统计异常型IDS
缺点：误报
优点：能够发现0day攻击或“少量且缓慢”攻击
IDS在学习模式时一定不能出现攻击， 否则不能检测攻击行为
协议异常型IDS
协议本身存在缺陷
流量异常型IDS
构建正常流量基线
规则性或启发型IDS
基于专家系统，基于if x the y的规则
无法检测新的攻击
如果网络流量超过了IDS上线， 攻击就会被忽略
入侵防御系统，IPS (Intrusion Prevention System)
IDS被动检测
主动防御
蜜罐
诱骗
陷阱
非法，不能作为证据
访问控制应用
身份管理 (identity management)
目录

遵循层次化的数据结构格式，基于X.500标准和协议（如LDAP）
目录服务
允许管理员配置和管理在网络中出现的身份 标识、身份验证、授权和访问控制
元目录
一次只与一个目录连接
元目录包含身份数据
虚拟目录
与多个数据源连接
指向驻留实际数据的位置
身份存储库
身份管理目录中大量信息存储遍布整个企业
web访问管理
提供单点登录等功能的前端控制软件
HTTP是无状态的
cookie和session来维护应用的状态
密码管理 (password managerment)
密码同步
只维护一个密码，可以加强密码的强度
弱点：单点故障，如果获取密码可以访问所有资源
自助式密码重设
通过回答注册的问题，发送重置链接
辅助式密码重设
通过服务台进行身份验证后重置密码
降低了呼叫的成本
单点登录 SSO
身份集中存储
一次验证多资源访问
账户管理
集中化账户管理，同步身份目录
流程化的身份管理审批创建过程
联合身份
多个单位共享用户信息
授权
Kerberos
身份认证协议
基于对称密码技术
分布式环境单点登录的一个示例
提供端到端的安全
主要组件：
密钥分发中心KDC
票证授予服务 （Ticket Granting Service,TGS）
身份认证服务 (Authentication Service,AS)
秘密密钥：在KDC与委托人之间进行共享
会话密钥：在两个委托人之间进行秘密共享，会话结束销毁
弱点：
KDC是一个单点故障
秘密密钥临时存储在用户工作站上
会话密钥呗几米后驻留在用户工作站上
提供完整性和机密性，不保证可用性
Subtopic
SESAME
使用对称和非对称密码技术
特权属性服务器(PAS) (Privileged Attribute Server)
特权属性证书（PAC），具有数字签名。
PAC包括：主体的身份，对客体的访问能力、 访问时间段以及PAC生命周期
扮演与KDC类似角色
身份验证服务器(AS) Authentication Server
安全域
在共享统一的安全策略和管理的领域之间建立信任关系
访问控制标记语言
GML
SGML
HTML
超文本标记语言 (Hypertext Markup Language)
标准通用标记语言 (Standard Generalized Markup Language)
XML
SPML
SAML
XACML
面临的威胁
密码攻击手段
电子监控
通过监听流量，捕获密码信息，进行重放攻击
访问密码文件
访问服务器上的密码文件
蛮力攻击
使用所有可能的字符、数字和符合来循环猜解密码
字典攻击
构造字典文件与用户的密码进行比较
社会工程需
通过打电话重置密码或通过骗取密码
彩虹表
包括所有的散列格式的密码
密码安全建议
密码检查器
测试密码强度的工具
密码散列与加密
密码生命周期
规定密码更改周期
记住历史的密码个数
限制登录次数
智能卡面临攻击
旁路攻击
查分功率分析 (differential power analysis)
查看处理过程排放的功率量
电磁分析 (electromagnetic analysis)
查看发射频率
时序分析 (Timing analysis)
计算某以特定功能所需的时间
软件攻击
在智能卡中输入提取用户指令的信息
故障生成 (fault generation)
通过一些环境组件来引起错误
包括：温度波动、改变输入电压、时钟频率
非旁道攻击
微区探查 (microprobing)
使用针头和超生震动去除智能卡点路上的外部保护材料， 直接连接智能卡ROM芯片来访问和操作其中的数据
智能卡标准ISO/IEC14443
信息泄露
第3章：社会工程许
第5章：隐蔽通道
第10章：恶意代码
客体重用
对象分配前未清除内存位置、变量 和寄存器
对象分配前未清除文件、数据表
发射安全
法拉第笼的金属外壳， 确保电子设备发射信号在一定范围内
白噪声
均匀频谱的随机电子信号 无法从电磁波中获取信息
控制区
设备表面使用特殊材料屏蔽电子信号
需要创建一个安全周界
授权过程问题
授权蠕动
因工作或部门调动而获取越来越多的权限
登陆欺骗
网络钓鱼
社会工程学一种攻击手段
创建于合法站点类似的web站点
网址嫁接
DNS中毒
重定向到非法网址IP地址或网址
身份盗窃
访问控制管理
类别
管理控制
策略和措施
人员控制
监管结构
安全意识i和培训
测试
物理控制
网络分段
周界安全
计算机控制
区域隔离
布线
技术控制
系统访问
网络体系结构
网络访问
加密和协议
功能
威慑
预防
纠正
恢复
检测
补偿
指令
访问控制管理方式
身份验证协议
密码身份认证协议,PAP (Password Authentication Protocol)
挑战握手身份验证协议,CHAP (Challenge Handshake Authentication Protocol)
可扩展身份验证协议,EAP (Extensible Authentication Protocol)
集中式访问控制管理 (Centralized access control administration)
RADIUS
组合身份验证和授权
UDP协议
仅加密在RADIUS客户端和RADIUS服务器之间传送的密码
TACACS+
TCP协议i
支持动态密码
使用AAA体系结构， 分离身份验证、授权和审计
加密客户端和服务器之间的所有流量
diameter
基本协议
扩展协议
构建在基本协议基础上， 能够扩展多种服务，如VoIP等
分散式访问控制管理 (decentralized access control administration)
对比：
集中式访问控制存在单点故障，统一访问高效
分散式访问控制:根据用户授权，不存在单点，缺乏一致性
访问控制的方法
基于规则访问控制 (rule-based )
基于 if x then y
是一种强制性控制
限制性用户接口
包括：
菜单
外壳(shell)
数据库视图
物理限制接口
访问控制矩阵 (Access Control Matrix)
主体与客体矩阵表
访问能力表
规定主体能够访问的客体
采用票证、令牌或密钥形式
示例：keberos的票证
访问控制表（ACL）
规定能够对其进行访问的主体
权限表
示例：防火墙、路由器的配置
能力为矩阵中的行 ACL为矩阵中的列
主体被绑定到能力表中， 客体被绑定在ACL
基于上下文相关访问控制 (context-dependent)
基于上下文做出的访问决策
示例：状态检测防火墙
基于内容访问控制 (content-dependent)
对客体的访问取决于客体内容
示例：基于内容的过滤规则
访问控制模型
自主访问控制模型
基于用户授权的
依靠对象所有者自主决定
橘皮书C级
UNIX
linux
windows
类型
基于用户和资源标识
直接面向用户进行限制
缺点：
不安全
管理繁琐
面临问题
木马
社会工程学
强制访问控制模型
MAC依赖于安全标签
制定客体敏感标签，同时只允许高于客体级别的用户访问
只有管理员可以更改客体级别，而不是客体属主
橘皮书B级
SElinux
安全级别较高场合：军队
难以配置和实施
基于角色访问控制模型
使用集中访问控制决定主客体的访问
建立在用户角色的基础上
基于工作职责的权限分配
能够遵循最小特权原则
职责分离
用户或组对应角色，赋予角色某些权限
核心RBAC
用户、角色、权限、操作和会话 应根据策略进行定义和对应
层次化RBAC
角色关系定义了用户成员和权限集成
反应组织机构和功能描述
有限层次
单角色继承
普通层次
多角色继承
受限RBAC
引入职责分离
RBAC中的静态职责分离
示例：会计和出纳
防止欺诈
RBAC中的动态职责分离
根据激活的会话中的角色， 动态限制另外的职责分离的权限
管理方式
非RBAC
有限RBAC方式
混合RBAC方式
完全RBAC方式
