訪問控制（Access Control）是CISSP知識體系中的第三個CBK，它的內(nèi)容包括如何使用多種系統(tǒng)提供的安全功能來控制對組織的信息和數(shù)據(jù)處理資源的訪問，這些訪問控制措施通過管理、物理和邏輯控制的手段

　　在51CTO安全頻道特別策劃的CISSP的成長之路系列的上一篇文章《系統(tǒng)架構(gòu)和設(shè)計之安全標準》里，J0ker給大家介紹了CISSP知識體系中的第二個CBK系統(tǒng)——安全架構(gòu)和設(shè)計。接下來的8個CBK里，我們將進入CISSP知識體系中更為具體的部分，它們也都更多的從技術(shù)層面來講述如何使用各種安全方法和安全技術(shù)來實現(xiàn)信息安全目標——保密性、完整性和可用性。

　　訪問控制（Access Control）是CISSP知識體系中的第三個CBK，它的內(nèi)容包括如何使用多種系統(tǒng)提供的安全功能來控制對組織的信息和數(shù)據(jù)處理資源的訪問，這些訪問控制措施通過管理、物理和邏輯控制的手段，我們可以從第一個CBK——信息安全管理里面中了解到它們的實施原則， 我們來逐一了解下這三類手段的定義：

　　物理手段（Physical Control）：是歷史最悠久的訪問控制手段，從許多個世紀前開始，人類就開始使用城墻、門鎖等方式來限制其他人對自己財產(chǎn)的占有。另外一種古老的物理訪問方法就是“口令”方式，要進入某個區(qū)域，進入者必須向哨兵提供一個口令，只有提供了正確的口令的人才能進入指定的區(qū)域。這些古老的物理訪問控制方法經(jīng)過發(fā)展仍然在我們現(xiàn)在的生活中發(fā)揮重要的左右，它們的基本原理依然沒有改變，不同的也就是更多使用現(xiàn)代技術(shù)來實現(xiàn)。盡管訪問控制這個CBK中提到的許多技術(shù)是用在物理訪問控制方面的，但訪問控制CBK的主要目的并非是物理訪問控制，而是如何控制對信息系統(tǒng)的訪問。關(guān)于物理安全的更多內(nèi)容會在后面的一個CBK——物理安全中詳細講述。

　　邏輯手段（Logical Control）：主要指的是在信息系統(tǒng)中部署的各種訪問控制手段，其中我們?nèi)粘Ｉ钪凶畛Ｒ姷降木褪恰懊艽a”這種方法，密碼因為它的低成本易部署而成為絕大部分操作系統(tǒng)中的標準配置，但它的安全性并不高，也容易被惡意的攻擊者所獲得。在訪問控制后面的內(nèi)容里，我們還會了解到如何克服“密碼”的弱點和更安全的邏輯訪問控制方法。

　　管理手段（Administrative Control）：是指通過特定的規(guī)章制度或工作流程來限制對業(yè)務(wù)資源和特定的工作目標進行限制的訪問控制方法。和物理/邏輯訪問控制方法針對的對象是資源為主不同的是，管理手段主要針對的是一個業(yè)務(wù)流程，主要的原則是防止單個人員能夠獨自的控制特定的業(yè)務(wù)流程，以防止欺詐等犯罪行為的出現(xiàn)。常見的管理訪問控制方法有職責(zé)分離（Separation of Duties）、職責(zé)輪換（Rotation of Duties）和最低權(quán)限（Least Privilege）。

　　職責(zé)分離，就是指在完成一個關(guān)鍵的業(yè)務(wù)流程的時候，必須要根據(jù)業(yè)務(wù)的階段分割，來安排不同的人員合作完成。比如在一個企業(yè)里面，如果一個職員能夠負責(zé)設(shè)備的報廢上報、審批和入庫過程，他就有可能利用這個權(quán)利，將還沒有符合報廢標準的設(shè)備當(dāng)作報廢設(shè)備進行替換，然后再通過對倉庫的控制權(quán)將其出售，在國外發(fā)生過類似的案件。因此，為了防止單個人員控制某個關(guān)鍵業(yè)務(wù)的整個流程，企業(yè)的管理層應(yīng)該根據(jù)某個業(yè)務(wù)流程的階段，安排不同的人員負責(zé)，進行互相監(jiān)督，盡管這樣有可能會導(dǎo)致合謀犯罪的發(fā)生，但這樣進行權(quán)限分離后的風(fēng)險仍然要比單個人員控制整個流程要安全得多。在CISSP的考試中常常會出考察權(quán)限分離的情景題，回答這類題的關(guān)鍵就是要根據(jù)防止個人獨自控制整個業(yè)務(wù)的原則來進行答案的篩選。

　　職責(zé)輪換，對于重要業(yè)務(wù)流程的某個職務(wù)或不太重要的業(yè)務(wù)流程，盡管進行了職責(zé)分離但仍然會有欺詐行為的風(fēng)險，職責(zé)輪換便作為職責(zé)分離的補充被提出。在企業(yè)中常見的職責(zé)輪換的形式一般如下，管理層給重要崗位的員工安排假期，并在該員工休假期間進行目標崗位的工作審計。因為職責(zé)輪換一般都涉及到放假，所以職責(zé)輪換也通常成為強制放假。職責(zé)輪換除了可以進一步的防止重要崗位的欺詐之外，另外也可以讓人員熟悉本來不屬于他負責(zé)的其他工作，為業(yè)務(wù)流程的崗位安排帶來人員備份和協(xié)調(diào)工作能力提升的好處。

　　最低權(quán)限，就是管理層只給用戶分配滿足他的日常工作所需的權(quán)限，比如財務(wù)部門的用戶不允許訪問審計部門的數(shù)據(jù)和資源、銷售部門的用戶不能訪問產(chǎn)品定價等。在軍事領(lǐng)域里面也有一個類似的“Need to know” 的原則，這就是最低權(quán)限原則的一個特例。最低權(quán)限原則還在系統(tǒng)架構(gòu)設(shè)計、操作安全、網(wǎng)絡(luò)安全等領(lǐng)域有所要求，屬于CISSP知識體系中較為重要的概念，在復(fù)習(xí)時可以適當(dāng)關(guān)注一下。

　　以上介紹到的都是屬于訪問控制CBK中最關(guān)鍵的概念，CISSP考試時對這幾個概念的考察也是比較多的，在復(fù)習(xí)時可以充分結(jié)合工作經(jīng)驗或常見案例，掌握這幾個概念。

轉(zhuǎn)載于:https://www.cnblogs.com/China-Dragon/archive/2009/03/22/1419312.html

總結(jié)

以上是生活随笔為你收集整理的CISSP的成长之路（十六）：复习访问控制（1）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。