导图社区 身份与访问管理
这是一篇关于身份与访问管理的思维导图，主要包含管理身份与认证、控制与监控访问等。
这是一篇关于安全工程的思维导图，包含密码学和对称密钥算法、PKI和密码应用、安全模型、设计和能力的原则等。
这是一篇关于安全评估测试的思维导图，包含构建安全评估与测试方案、开展漏洞评估、测试软件、实施安全管理流程等。
这是一篇关于通信与网络安全的思维导图，1包含安全网络架构和保护网络组件、安全通信与网络攻击等。
社区模板帮助中心，点此进入>>
互联网9大思维
产品立项报告
产品经理如何做好项目管理
经验分享：产品经理必懂的产品思维
产品诞生过程
产品周期图
开门红的思考
招创智搜
网易星球
教学教务系统
身份与访问管理
管理身份与认证
控制对资产的访问
控制物理和逻辑访问
物理安全控制
物理安全控制通过控制访问和环境来保护系统、设备和设施。例如，组织通常拥有一个 服务器机房，机房内运行着服务器，且通常包含路由器和交换机。物理安全控制的好处是能 提升服务器机房的安全性，例如控制进入服务器机房的密码锁。虽然台式计算机通常不如服 务器有价值，但常规物理安全控制(比如锁)可以提供保护。
逻辑访问控制
逻辑访问控制是一种技术控制，用千保护对信息、系统、设备和应用程序的访问。逻辑 访问控制包括身份认证、授权和权限。将这些逻辑访问控制结合起来，有助千预防对系统及其他设备上的数据和配置的未经授权的访问。例如，个体在系统或网络上通过身份认证之后， 才可以访问数据。权限有助千确保只有经授权的实体可以访问数据。同样，逻辑访问控制限 制系统和网络设备配置的访问权限，仅允许经授权的个体进行访问。许多逻辑访问控制应用 千本地或云上的资源。
CIA三性与访问控制
保密性
问控制有助于确保只有已经授权的主体能够访问客体。如果未经授权的实体 可以访问系统或数据，将导致保密性的丧失。
完整性
完整性可以确保主体经授权后才可以修改数据或系统配置，或如果发生未经授 权的变更，安全控制可以检测到变更。如果客体发生了未授权的变更或不需要的变更，会导 致完整性丢失。
可用性
必须在合理时间内向主体授予访问客体的权限。换句话说，系统和数据应该在 需要时可以供用户和其他主体使用。一如果系统无法运行或数据无法访间，会导致可用性降低。
管理身份标识认证
比较主体和客体
主体
主体是一种活动实体，访问被动客体以从客体接收信息或数据。主体可以是用户、 程序、进程、服务、计算机或可以访问资源的其他东西。经授权后，主体可以修改客体。
客体
客体是一个被动实体，可以向活动主体提供信息。文件、数据库、计算机、程序、 进程、服务、打印机和存储介质都可以是客体。
身份注册、证明和创建
授权和问责
授权
基于已验证的身份授予主体对客体的访问权限。例如，管理员根据用户经过验证 的身份授予用户对文件的访问权限。
问责
在实施审计时，用户和其他主体可以对其行为负责。审计在主体访问客体时追踪 主体和记录，并在一个或多个审计日志中创建审计轨迹。例如，审计可以记录用户何时读取、 修改或删除文件。审计提供问责机制。
身份认证因素
单因素身份认证仅使用一种身份认证因素。多因素身份认证使用两个或多个身份认证因素。
你知道什么
口令是用户输入的一串字符串，是最常见的身份认证技术。口令通常是静态的，静态口 令在一段时间内保持不变，例如 60 天，但静态口令是最弱的身份认证形式。口令是脆弱的安全机制
脆弱原因
用户往往选择容易记住的口令，这样的口令也容易猜测或破解。
随机生成的门令难以记忆，因此，许多用户将口令抄写下来。
用户经常共享口令或忘记口令。
攻击者可以通过多种方式查出口令，包括监视、网络嗅探和窃取数据库。
口令有时通过明文形式或容易破解的加密协议传输。攻击者可以使用网络嗅探器来捕 获这些口令。
口令数据库有时存储在可公开访问的网络位置。
暴力破解攻击可以快速发现弱口令。
口令策略组件
最长期限
口令复杂度
口令长度
最短期限
口令历史
NIST口令建议
口令必须经过哈希
口令不应该过期
不应要求用户使用特殊字符
用户可以复制和粘贴口令
口令长度至少为 8 个字符，最多为 64 个字符
你拥有什么
智能卡
令牌
你是什么
指纹
面部扫描
视网膜扫描
虹膜扫描
手掌扫描
生物特征注册
多因素身份认证
多因素身份认证(MFA)是使用两个或更多因素的身份认证。双因素身份认证(2FA)需要两 种不同的认证因素来实施身份认证。相反，仅使用单一因素的身份认证方法都是单因素身份 认证。例如，智能卡通常要求用户将卡插入读卡器并箱入 PIN码。智能卡是“你拥有什么“ 的因素，而 PIN码是“你知道什么”的因素。一般规则是，使用更多的类型或因素时可以提 供更安全的身份认证。
使用身份认证应用程序进行双因素身份认证
HOTP
基千哈希的消息身份认证码 (HMAC)包含一个哈希函数，该函数被基于 HMAC 的一次性口令(HOTP)标准用来创建一次性口令。 HOTP 通常生成六至八位数的 HOTP 值。 HOTP 口令类似于令牌创建的异步动态口令。 HOTP 口令在使用前保持有效。
TTOP
基千时间的一次性口令(TOTP)标准类似千 HOTP。但是， TOTP 使用时间戳并在 特定时间范围内保持有效，如 30 秒。如果用户未在时间范围内使用 TOTP 口令，则该口令将 过期。 TOTP 口令类似千令牌使用的同步动态口令。
设备身份认证
服务身份认证
双向身份认证
实施身份管理
单点登陆
LDAP 与集中式访问控制
在单个组织内，集中式访问控制系统往往应用千 SSO
LDAP 与 PKI
在将数字证书集成到传输过程时，公钥基础设施(PK.I)使用 LDAP
sso 与联合身份标识
基于云的联合
本地联合
混合联合
准时刻
凭证管理系统
凭证管理系统为用户名和密码提供存储空间。例如，许多网络浏览器可以记录用户访问 站点的用户名和口令。
凭证管理器应用程序
Windows 的控制面板中包含凭证管理器(Credential Manager)小程序。当用户在浏览器或 Windows 应用程序中输入凭证时，凭证管理器会询问是否保存凭证。凭证管理器加密凭证并 进行存储。当用户返回网站或打开应用程序时，系统可以在凭证管理器中检索凭证。
脚本访问
在登录会话开始时，脚本访问或登录脚本可以提供自动传输登录凭证，以建立通信链接。 即使环境仍然需要单独的身份认证过程来连接到每个服务器或资源，脚本访问通常可以模拟一 SSO。脚本可以在未真正实现 SSO 技术的环境中模拟实现 SSO。因为脚本和批处理文件通常 包含明文形式的访问凭证，所以它们应该存储在受保护的区域。
会话管理
屏幕保护程序可以配置时间范围(以分钟为单位)。时间范围通常设定在 10 到 20 分钟之 间。如果将其设置为 10 分钟，则屏幕保护程序在 10 分钟后激活。这要求用户在系统空闲 10 分钟或更长时间后再进行登录。
管理身份与访问配置生命周期
配置和入职
取消配置和离职
定义新角色
账户维护
账户访问审查
控制与监控访问
比较访问控制模型
比较权限、权利和特权
权限
权限通常是指授予对客体的访问权限，并明确允许对客体执行的操作。如果具有 文件的读取权限，那么你可打开并读取文件。你可以授予用户创建、读取、编辑或删除文件 的权限。同样，你可以授予用户对某个文件的访问权利，因此在此场景中，访问权利和权限 是同等含义。例如，如果获得应用程序文件的读取和执行权限，你就拥有运行应用程序的权 利。此外，你可以获得某个数据库的数据权利，因而可以检索或更新数据库中的信息。
权利
权利主要是指对某个客体采取行动的能力。例如，用户可以有权利修改计算机系 统时间或恢复备份数据。权利和权限有细微的区别，并不总被刻意强调。然而，你很少看到 在系统上采取行动的权利被称作权限。
特权
特权是权利和权限的组合。例如，计算机管理员将拥有全部特权，即授予计算机 管理员对计算机的全部权利和权限。计算机管理员可以在计算机上执行任意操作并访问所有 数据。
理解授权机制
隐式拒绝
访问控制的基本原则是隐式拒绝
访问控制矩阵
访问控制矩阵是一种包含主体、客体和分配权限的表格
能力表
能力表(capabilitytable)是另一种确定主体所分配权限的方式
约束接口
应用程序利用受约束或受限制的接口
基于内容的控制
于内容的访问控制依据客体内容来限制对数据的访问
基千上下文的控制
千上下文的访问控制在授予用户权限之前需要用户执行特定的活 动
因需可知
这个原则确保主体仅能访问为完成工作任务和工作职能而需要知道的内容
最小特权
最小特权原则确保主体仅拥有执行工作任务和工作职能所需的权限
职责分离
责分离原则确保将敏感职能划分为两个或多个员工共同执行的任务。职责 分离通过创建一个检查和制衡系统，防止欺诈和错误的发生。
使用安全策略定义需求
介绍访问控制模型
自主访问控制
基千角色的访问控制
基千规则的访问控制
基千属性的访问控制
强制访问控制
基千风险的访问控制
采用自主访问控制的系统允许客体的所有者、创建者或数据托管员控制和定义对该客体 的访问
非自主访问控制
自主访问控制和非自主访问控制之间的主要区别在千如何控制和管理。管理员可以集中 管理非自主访问控制，而且可以实施影响整体环境的变更。相比之下， DAC模型允许所有者自行修改，并且修改不会影响环境的其他部分。
实现认证系统
互联网上实现 SSO
XML
可扩展标记语言 (XML)并非仅通过实际描述数据来描述如何显示数据。 XML 可以包含标 记，从而描述所有所需数据
SAML
安全断言标记语言 (SAML)是一种基千 XML 的开放标准，通常用千在联邦纠织之间交换 身份认证和授权(AA)信息。 SAML 提供支持浏览器访间的 SSO 功能。
OAuth
OAuth 2.0(意含开放授权)是 RFC 6749 中描述并由互联网工程任务组(IETF)维护的授权 框架。互联网上的许多公司使用 0Auth2.0 与第三方网站共享账户信息。
OpenlD
OpenID 也是一个开放标准，但由 OpenID Foundation 维护，它不是 RFC 标准。 OpenID 提供去中心化身份认证，允许用户使用一组凭证登录多个不相关的网站，这些凭证由第三方 服务维护，这类第三方被称为 OpenID 提供商。
OIDC
内部网络实现SSO
AAA协议
提供身份认证、授权和计费的协议被称为AAA协议。 AAA协议通过远程访问系统， 如虚拟专用网络 (VPN)和其他类型的网络访问服务器，提供集中式访问控制。 AAA 协议有 助于确保内部局域网身份认证系统和其他胀务器免受远程攻击。如果你使用单独的系统进 行远程访问，则系统受到的攻击只会影响远程访问用户。换句话说，攻击者将无法访问内 部账户。
Kerberos
票证身份认证是一种采用第三方实体来证明身份并提供身份认证的机制。 Kerberos 是最 常见和最著名的票证身份认证。 Kerberos 的主要目的是身份认证
RADIUS
远程认证拨入用户服务 (RADIUS)集中认证远程访问连接，例如 VPN 或拨号访问。RADIUS 通常适用于组织拥有多台网络访问服务器(或远程访问服务器)的情况。用户可以连 接到任意的网络访问服务器，然后该服务器将用户凭证传送至 RADIUS 服务器，开展身份认 证、授权和跟踪计费。这种情况下，网络访问服务器是 RADIUS 的客户端， RADIUS 服务器 充当身份认证服务器。 RADIUS 服务器还为多个远程访问服务器提供 AAA 服务。
TACACS+
Cisco 开发了增强型终端访问控制器访问控制系统(TACACS+)，后来将其作为开放标准 发布。 TACACS+对早期版本和 RADIUS 进行了多项改进。
了解访问控制攻击
常见访问控制攻击
访问控制从识别和授权开始，访问控制攻击通常试图窃取用户凭证。攻击者窃取了用户的凭证后，可通过用户身份登录并访问用户的资源，从而发起在线模拟攻击。在其他情况下，访问控制攻击可绕过身份认 证机制，仅窃取数据。
特权提升
使用SU和sudo命令
尽量减少sudo命令的使用
口令攻击
字典攻击
暴力破解攻击
喷射攻击
凭证填充攻击
生日攻击
Mimikatz
彩虹表攻击
哈希传递攻击
Kerberos漏洞利用攻击
嗅探攻击
欺骗攻击
特权提升是指给予用户的特权超过了其应有特权的膺况。通常，将通用户拥有足够的 特权来执行工作，但仅此而已。这包括他们对自己的计算机和网络服务器(如文件服务器) 的权利和权限。
核心保护方法
控制对系统的物理访问。
控制对文件的电子访问
哈希和加盐口令
使用 Argon2、 bcrypt 和 PBKDF2 等协议为口令加盐，并考虑使用外部 胡椒来进一步保护口令。结合强口令策略，加盐和加胡椒的口令很难被使用彩虹表或其他攻 击方法的攻击者破解。
使用口令掩码
部署多因素身份认证
使用账户锁定控制
安全意识培训
