訪問控制（Access Control）是CISSP知識體系中的第三個(gè)CBK，它的內(nèi)容包括如何使用多種系統(tǒng)提供的安全功能來控制對組織的信息和數(shù)據(jù)處理資源的訪問，這些訪問控制措施通過管理、物理和邏輯控制的手段

　　在51CTO安全頻道特別策劃的CISSP的成長之路系列的上一篇文章《系統(tǒng)架構(gòu)和設(shè)計(jì)之安全標(biāo)準(zhǔn)》里，J0ker給大家介紹了CISSP知識體系中的第二個(gè)CBK系統(tǒng)——安全架構(gòu)和設(shè)計(jì)。接下來的8個(gè)CBK里，我們將進(jìn)入CISSP知識體系中更為具體的部分，它們也都更多的從技術(shù)層面來講述如何使用各種安全方法和安全技術(shù)來實(shí)現(xiàn)信息安全目標(biāo)——保密性、完整性和可用性。

　　訪問控制（Access Control）是CISSP知識體系中的第三個(gè)CBK，它的內(nèi)容包括如何使用多種系統(tǒng)提供的安全功能來控制對組織的信息和數(shù)據(jù)處理資源的訪問，這些訪問控制措施通過管理、物理和邏輯控制的手段，我們可以從第一個(gè)CBK——信息安全管理里面中了解到它們的實(shí)施原則， 我們來逐一了解下這三類手段的定義：

　　物理手段（Physical Control）：是歷史最悠久的訪問控制手段，從許多個(gè)世紀(jì)前開始，人類就開始使用城墻、門鎖等方式來限制其他人對自己財(cái)產(chǎn)的占有。另外一種古老的物理訪問方法就是“口令”方式，要進(jìn)入某個(gè)區(qū)域，進(jìn)入者必須向哨兵提供一個(gè)口令，只有提供了正確的口令的人才能進(jìn)入指定的區(qū)域。這些古老的物理訪問控制方法經(jīng)過發(fā)展仍然在我們現(xiàn)在的生活中發(fā)揮重要的左右，它們的基本原理依然沒有改變，不同的也就是更多使用現(xiàn)代技術(shù)來實(shí)現(xiàn)。盡管訪問控制這個(gè)CBK中提到的許多技術(shù)是用在物理訪問控制方面的，但訪問控制CBK的主要目的并非是物理訪問控制，而是如何控制對信息系統(tǒng)的訪問。關(guān)于物理安全的更多內(nèi)容會(huì)在后面的一個(gè)CBK——物理安全中詳細(xì)講述。

　　邏輯手段（Logical Control）：主要指的是在信息系統(tǒng)中部署的各種訪問控制手段，其中我們?nèi)粘Ｉ钪凶畛Ｒ姷降木褪恰懊艽a”這種方法，密碼因?yàn)樗牡统杀疽撞渴鸲蔀榻^大部分操作系統(tǒng)中的標(biāo)準(zhǔn)配置，但它的安全性并不高，也容易被惡意的攻擊者所獲得。在訪問控制后面的內(nèi)容里，我們還會(huì)了解到如何克服“密碼”的弱點(diǎn)和更安全的邏輯訪問控制方法。

　　管理手段（Administrative Control）：是指通過特定的規(guī)章制度或工作流程來限制對業(yè)務(wù)資源和特定的工作目標(biāo)進(jìn)行限制的訪問控制方法。和物理/邏輯訪問控制方法針對的對象是資源為主不同的是，管理手段主要針對的是一個(gè)業(yè)務(wù)流程，主要的原則是防止單個(gè)人員能夠獨(dú)自的控制特定的業(yè)務(wù)流程，以防止欺詐等犯罪行為的出現(xiàn)。常見的管理訪問控制方法有職責(zé)分離（Separation of Duties）、職責(zé)輪換（Rotation of Duties）和最低權(quán)限（Least Privilege）。

　　職責(zé)分離，就是指在完成一個(gè)關(guān)鍵的業(yè)務(wù)流程的時(shí)候，必須要根據(jù)業(yè)務(wù)的階段分割，來安排不同的人員合作完成。比如在一個(gè)企業(yè)里面，如果一個(gè)職員能夠負(fù)責(zé)設(shè)備的報(bào)廢上報(bào)、審批和入庫過程，他就有可能利用這個(gè)權(quán)利，將還沒有符合報(bào)廢標(biāo)準(zhǔn)的設(shè)備當(dāng)作報(bào)廢設(shè)備進(jìn)行替換，然后再通過對倉庫的控制權(quán)將其出售，在國外發(fā)生過類似的案件。因此，為了防止單個(gè)人員控制某個(gè)關(guān)鍵業(yè)務(wù)的整個(gè)流程，企業(yè)的管理層應(yīng)該根據(jù)某個(gè)業(yè)務(wù)流程的階段，安排不同的人員負(fù)責(zé)，進(jìn)行互相監(jiān)督，盡管這樣有可能會(huì)導(dǎo)致合謀犯罪的發(fā)生，但這樣進(jìn)行權(quán)限分離后的風(fēng)險(xiǎn)仍然要比單個(gè)人員控制整個(gè)流程要安全得多。在CISSP的考試中常常會(huì)出考察權(quán)限分離的情景題，回答這類題的關(guān)鍵就是要根據(jù)防止個(gè)人獨(dú)自控制整個(gè)業(yè)務(wù)的原則來進(jìn)行答案的篩選。

　　職責(zé)輪換，對于重要業(yè)務(wù)流程的某個(gè)職務(wù)或不太重要的業(yè)務(wù)流程，盡管進(jìn)行了職責(zé)分離但仍然會(huì)有欺詐行為的風(fēng)險(xiǎn)，職責(zé)輪換便作為職責(zé)分離的補(bǔ)充被提出。在企業(yè)中常見的職責(zé)輪換的形式一般如下，管理層給重要崗位的員工安排假期，并在該員工休假期間進(jìn)行目標(biāo)崗位的工作審計(jì)。因?yàn)槁氊?zé)輪換一般都涉及到放假，所以職責(zé)輪換也通常成為強(qiáng)制放假。職責(zé)輪換除了可以進(jìn)一步的防止重要崗位的欺詐之外，另外也可以讓人員熟悉本來不屬于他負(fù)責(zé)的其他工作，為業(yè)務(wù)流程的崗位安排帶來人員備份和協(xié)調(diào)工作能力提升的好處。

　　最低權(quán)限，就是管理層只給用戶分配滿足他的日常工作所需的權(quán)限，比如財(cái)務(wù)部門的用戶不允許訪問審計(jì)部門的數(shù)據(jù)和資源、銷售部門的用戶不能訪問產(chǎn)品定價(jià)等。在軍事領(lǐng)域里面也有一個(gè)類似的“Need to know” 的原則，這就是最低權(quán)限原則的一個(gè)特例。最低權(quán)限原則還在系統(tǒng)架構(gòu)設(shè)計(jì)、操作安全、網(wǎng)絡(luò)安全等領(lǐng)域有所要求，屬于CISSP知識體系中較為重要的概念，在復(fù)習(xí)時(shí)可以適當(dāng)關(guān)注一下。

　　以上介紹到的都是屬于訪問控制CBK中最關(guān)鍵的概念，CISSP考試時(shí)對這幾個(gè)概念的考察也是比較多的，在復(fù)習(xí)時(shí)可以充分結(jié)合工作經(jīng)驗(yàn)或常見案例，掌握這幾個(gè)概念。

轉(zhuǎn)載于:https://www.cnblogs.com/China-Dragon/archive/2009/03/22/1419312.html

總結(jié)

以上是生活随笔為你收集整理的CISSP的成长之路（十六）：复习访问控制（1）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。