在企業的資訊保安策略中，訪問控制策略起著非常重要的作用。資訊保安中的訪問控制是一種保證資訊資源不被非授權使用的管理方法，而訪問控制策略中定義了如何對訪問資訊的行為進行驗證、授權和記錄。在這篇文章中介紹了訪問控制策略所包含的主要內容，並就如何制訂訪問控制策略給出了一些基本方法。認證
對於具有價值的資訊資源的訪問都應該通過認證，這可以有效的保證資訊訪問管理的質量。使用者在進行訪問之前，通常會被要求提供正確的認證。最常見的認證方法是使用者名稱和密碼的組合。結合密碼的強度設定，使用者名稱密碼對一種靈活的可以滿足基本安全保護需要的認證方法。使用使用者名稱和密碼保護資訊存在的最大問題就是強度不足，因為這是一種靜態形式的保護。攻擊者可以通過很多手段對使用者名稱及密碼進行探察和猜解。儘管我們很容易的更改密碼，但是考慮到管理成本和可用性的問題，通常密碼更改的頻率都會限制在乙個不是非常高的水平。不過由於靜態認證方式是最容易獲得的一種機制，我們在可能的情況下還是要盡量利用這種方法。通過制訂更詳細的密碼使用方案，可以在很大程度上增強靜態認證方式的強度，例如我們可以對密碼的複雜度和長度進行要求，還可以限制嘗試輸入密碼的次數。總體來說，我們建議對相對低價值的資訊採用這種認證手段，對於具有較**值尤其是可能對企業運營造成嚴重影響的資訊應採用強度更高的認證方法。通過組合多種認證要素可以簡單而有效的提高認證強度。乙個基本的原則是這兩種認證要素必須具有不相關性。例如，除了分配給使用者乙個訪問標識(類似於使用者名稱)，另外通過分配給每個使用者的私鑰生成乙個額外的標識，在認證的時候要求使用者同時提供這兩個標識。由於分配的標識和使用者在訪問時生成的標識沒有直接的聯絡，所以這種組合相對於具有相關性的使用者名稱密碼對要更加強壯。如果這種方式仍無法滿足需要，我們還可以應用一次性密碼進一步增強保護水平。增加了一次性密碼特性的認證方案可以在極大程度上杜絕暴力破解和密碼嗅探等主要的攻擊方式。相對來說，這些認證方法都屬於分布式型別，是針對每個系統以及每種應用的。近年來另一種集中式的認證手段正在逐漸受到重視，那就是單一登入(sso)。乙個較常見的例子就是微軟的passport，我們使用乙個passport帳號可以登入微軟的msn、e-mail、blog等各種服務。總的來說無論是分布式還是集中式的認證都有各自的優點和缺點。單一登入可以在很大程度上減輕認證管理的負擔，畢竟記憶十幾個不允許重複的密碼對任何人都並非樂事。但是想將越多的應用納入單一登入的管理範疇，就需要付出越多的額外努力，以處理各種技術方面的融合。另外，單一登入資訊如果失竊其波及面相對於分布式認證來說也要廣泛得多。
授權
在通過了認證之後，使用者將被賦予規定的許可權。我們在啟用乙個訪問控制體系之前通常已經定義了許可權的分配，其基本內容是決定誰在什麼時候可以訪問什麼。通常我們在應用程式的層次進行授權，因為在這個層次授權可以更好的反映我們對整個應用基礎設施的理解。在授權時乙個典型的問題是只考慮了軟體方面的授權而忽略了物理方面的授權。包括伺服器和網路介面這樣的物理設施一旦被攻擊者佔據，大部分的安全防禦措施都將失效。我們在進行授權的時候通常會利用組的形式來管理具有同樣許可權的使用者集合，在組的基礎上結合組成員能夠執行的活動進行管理，可以實施基於角色的訪問控制。這種訪問控制非常適用於被廣泛使用的大型資料來源，但是基於使用者的訪問控制通常可以提供更嚴格的保護。這兩種方式並不衝突，為了獲得兩者的優點我們可以將其結合起來使用。例如，當使用者joey通過了訪問認證之後，系統首先根據其所屬組向其賦予基本的訪問授權；由於joey還具有單獨授予的另外幾項附加許可權，所以joey所能夠訪問的資訊實際是組許可權和單獨設定的特殊許可權的組合。實際上，如果joey同時隸屬於多個使用者組，那麼他的訪問許可權就是這些組的合集，在通常情況下也可以被看做是一種隱含的基於角色與基於使用者方式的組合。
記錄
通常的訪問控制系統都會對認證和授權過程中產生的各種事件進行記錄，並成為安全審計活動的基礎。目前大多數的現代作業系統都具有整合的日誌系統以記錄系統產生的各種事件，其中訪問控制事件就是其最重要的組成部分之一。class unix平台的作業系統通常使用符合syslog標準的日誌系統，而微軟windows使用的是自有的事件日誌系統。通過這些機制獲得的資訊對於維持訪問控制系統的正常運作是非常重要的，所以如何記錄資訊以及如何對這些資訊進行管理也是訪問控制策略中的乙個不可或缺的組成部分。我們在啟用各種記錄系統之前需要仔細的斟酌資訊記錄的詳細程度和事件範圍，這不但與記錄系統的執行有關，更重要的是會影響到這些資訊的管理和應用。在獲得了大量的資訊素材之後，應該正確的對這些資訊進行篩選和判斷，以發現不正常的訪問事件。規律而有效的進行這項工作，可以不斷的改進和完善訪問控制策略，為企業的整體資訊保安設施提供良好的保障。
《訪問控制策略描述語言與策略衝突研究》閱讀總結
訪問控制技術能夠保證資訊的完整性和機密性。介紹了五種主要的訪問控制策略描述語言，分析了各自的特點及適用環境 總結了訪問控制策略衝突產生的原因 型別 衝突檢測以及衝突消解方法 訪問控制策略規範定義了訪問控制策略描述語言的語法和語義，是保證訪問控制機制得以正確實 施的基礎。分布式環境中的訪問控制策略描述...
訪問控制模型 強制訪問控制
強制安全訪問控制基於安全標籤的讀寫策略使資料庫管理系統能夠跟蹤資料的流動，可以避免和防止大多數對資料庫有意或無意的侵害，因而，可以為木馬程式問題提供一定程度的保護，在資料庫管理系統中有很大的應用價值。其典型代表是bell la padula模型 簡稱 blp模型 和 biba 模型，也是目前應用最為...
擁塞控制策略
分享一下我老師大神的人工智慧教程！零基礎，通俗易懂！擁塞控制策略 刺蝟 tcp ip v1 中tcp的超時和重傳這章講得實在凌亂無比，再加之我們親愛的譯者同志翻譯的時候也按部就班地不幸地湊齊了字數，裡面很多概念看起來特別的晦澀難懂。這裡我參考了 tcp ip簇 關於tcp的相關章節，稍稍總結了下，方...