㈠ 一文看盡訪問控制模型
一文看盡訪問控制模型
訪問控製作為網路安全的核心機制，決定了誰可以訪問組織的資源以及可以進行哪些操作。為了抵禦未經授權的訪問，企業需實施有效的訪問控制措施。本文將詳細介紹幾種主要的訪問控制模型，包括強制訪問控制（MAC）、自主訪問控制（DAC）、基於角色的訪問控制（RBAC）、基於規則的訪問控制（RuBAC）以及其他較少見的模型，以幫助讀者全面了解並選擇適合自身組織的訪問控制模型。
一、強制訪問控制（MAC）
MAC採用集中管理方式，是訪問控制中最嚴格的形式。它將訪問控制的全部管理許可權授予組織所有者和保管人，取消了終端用戶將許可權賦予他人的能力。MAC為資源和用戶分配安全標簽，考慮分類、許可權清除以及區域隔離（物理或邏輯），因此除非標簽對齊，否則限制訪問。
優點：
安全規則執行嚴格，普通用戶無法修改或忽視由MAC管理員設定的政策。
安全標簽有助於對資源進行有效分類，確保只有特定用戶組能夠訪問。
缺點：
高度嚴格的安全措施可能限制部門間的合作。
實施復雜，維護和更新安全標簽需要較大工作量。
二、自主訪問控制（DAC）
DAC允許資源的所有者做出安全決策，將訪問許可權授予他人。安全管理員創建一個資源檔案，通過訪問控制列表詳細說明訪問許可權。DAC提供了極大的自由度，但安全性相對較弱。
優點：
靈活且直接，資源所有者可以快速增加新用戶和擴展許可權。
商業響應迅速，決策過程靈活，能更好地適應商業需求。
缺點：
過度靈活可能導致用戶許可權設置不當。
可見性受限，安全管理員難以追蹤資源共享情況。
引入管理不一致和監管空白，增加安全風險。
三、基於角色的訪問控制（RBAC）
RBAC按照用戶的職務角色來分配訪問許可權，優化了IT許可權的管理。該模型依據部門和職位將用戶分入不同角色，針對每個角色的訪問需求設定相應許可權。
優點：
自動化和可擴展性強。
易於維護，簡化了用戶的入職、離職及角色變更等操作。
實現了組織內政策的集中化管理，降低了安全風險。
缺點：
在大規模組織中實施復雜。
角色細分可能增強安全性，但也可能造成許可權重疊。
過多角色分配可能引入不必要的許可權。
四、基於規則的訪問控制（RuBAC）
RuBAC通過管理員設定的程序化條件來決定對象的訪問許可權。它考慮主體、對象及其行為，類似於編程中的if-then語句。RuBAC可以容納多個條件和變數來做出訪問決策。
優點：
對於需要基於時間或位置限制訪問的組織更有效。
可以容納多個條件和變數，提供靈活的訪問控制。
缺點：
修改程序化條件需要時間和編碼專業知識。
五、其他較少見的訪問控制模型
基於屬性的訪問控制（ABAC）：結合RBAC和RuBAC的特點，根據主體授權級別、對象類型、行為以及環境來授予許可權。需要大量編碼，但提供廣泛的控制。
基於風險的自適應訪問控制（RAdAC）：評估主體授權級別、安全指標、連接類型、位置以及認證方法，建立綜合檔案，根據風險確定訪問許可權。可以滿足動態安全需求，但配置復雜。
基於身份的訪問控制（IBAC）：根據主體的唯一身份（如登錄ID、密碼、指紋或面部識別）來控制訪問許可權。適合簡單場景，但涉及隱私問題和密碼疲勞。
基於組織的訪問控制（OrBAC）：考慮主體的角色、行為、對象許可權及其組織關聯性，適合具有多個分支機構的大型企業，能簡化許可權管理工作。
六、結論
訪問控制對於降低組織安全風險、抵禦攻擊以及確保遵守相關規定至關重要。選擇合適的訪問控制模型依賴於多種因素，包括預算、組織規模、易用性、安全需求、集成性以及可擴展性等。隨著技術進步和網路環境的日益復雜化，傳統的訪問控制模型已難以滿足現代企業的安全需求。因此，企業應結合實時監控、行為分析以及自適應技術，來增強訪問控制防護能力，確保業務目標實現和組織安全。
㈡ 《網路信息安全》訪問控制技術概述是什麼
訪問控制是指主體依據某些控制策略或許可權對客體本身或其資源進行的不同授權訪問。
包括三個要素：
1，主體：提出請求或要求的實體，是動作的發起者。某個用戶，進程，服務和設備等。
2，客體：接受其他實體訪問的被動實體，例如信息，資源和對象都可以被認為是客體。
3，控制策略：主體對客體的訪問規則集。簡單地說就是客體對主體的許可權允許。
訪問控制的目的：控制主體對客體資源的訪問許可權。
訪問控制的任務：
識別和確認訪問系統的用戶，決定該用戶可以對某一系統資源進行何種類型的訪問。