本文为软考信息安全工程师个人学习笔记依据官方考试大纲与公开技术规范整理仅用于学习交流不作为商业用途。一、访问控制策略1.1 访问控制策略的概念访问控制策略用于规定访问资源的权限防止资源损失、泄密或非法使用。策略是访问控制实施的依据所有访问决策都必须遵循预定义的策略规则。1.2 策略设计的考虑因素设计访问控制策略时一般需要考虑以下六个方面序号考虑因素说明1不同网络应用的安全需求区分内部用户访问与外部用户访问的不同权限要求2应用相关信息的确认如通信端口号、IP地址等与访问控制相关的网络信息3网络信息传播和授权策略明确信息的安全级别和分类如绝密/机密/秘密/公开4不同系统间策略的一致性各系统的访问控制和信息分类策略需保持统一避免策略冲突5法规与合同义务符合数据保护相关法律法规及合同中约定的安全义务6访问权限的更新和维护人员变动、业务调整时需及时更新权限分配1.3 访问控制策略的规则原则访问控制策略必须明确指明禁止什么和允许什么。在制定规则时应遵循以下原则原则说明安全等级白名单原则“未经明确允许的都是禁止的”——默认拒绝仅开放明确授权的访问高推荐黑名单原则“未经明确禁止的都是允许的”——默认允许仅阻止明确禁止的访问低不推荐考试重点访问控制规则应以未经明确允许的都是禁止的为前提而非较弱的未经明确禁止的都是允许的。这是白名单与黑名单的核心区别。此外规则制定还需注意记录信息标记的变化包括系统自动引起和用户决定引起的变更记录用户许可的变化由信息系统和管理人员引起规则颁布前需经管理人员批准或其他形式许可二、访问控制规则访问控制规则是访问约束条件的集合常见的规则类型有以下六种规则类型说明典型实例基于用户身份的访问控制根据用户名等身份信息决定是否允许访问用户admin可登录管理后台基于角色的访问控制根据用户所属角色组决定权限管理员组可修改配置访客组仅可查看基于地址的访问控制根据IP地址、MAC地址或域名进行控制仅允许192.168.1.0/24网段访问内网服务基于时间的访问控制限定特定时间段内允许访问工作时间9:00-18:00开放财务系统基于异常事件的访问控制检测到异常行为时触发限制措施登录连续失败3次后一段时间内冻结账户基于服务数量的访问控制根据服务负载情况动态调整访问权限网站服务能力接近阈值时暂时拒绝新的访问请求易忽略考点基于异常事件和基于服务数量的规则是六种类型中较容易被忽视的两种需特别记忆。三、访问控制的实施过程实现访问控制管理一般分为五个步骤步骤名称核心动作①明确资产确定需要保护的对象如网络系统的路由器、Web服务、数据库等②分析安全需求分析资产的保密性、完整性、可用性CIA要求③制定访问控制策略确定访问控制规则以及用户权限分配方案④实现访问控制策略建立用户身份认证系统根据用户类型授权访问资产⑤运行和维护持续监控访问控制系统运行及时调整访问策略明确资产 → 分析需求 → 制定策略 → 实现控制 → 运行维护 ↑ │ └──────────── 反馈调整 ────────────────────┘五个步骤形成闭环运维阶段发现的问题会反馈到策略制定环节持续优化。四、访问控制安全管理4.1 最小特权管理定义系统中每一个主体只能拥有完成其任务所必要的权限集。特权的分配原则是按需使用。核心价值保证系统不会将过多权限分配给用户从而限制特权滥用可能造成的危害范围。企业实践网络管理、数据库管理、虚拟化管理权限需严格分离避免单一用户掌握多个系统的最高权限临时权限应设置有效期到期自动回收考试重点最小特权原则是访问控制安全管理的核心原则选择题高频考点。4.2 用户访问管理用户访问管理覆盖用户全生命周期包括阶段管理内容用户登记新用户注册建立身份档案权限分配根据岗位职责授予相应访问权限访问记录记录用户的访问行为用于审计追溯权限监测定期审查权限是否合理发现异常权限权限取消岗位变动或项目结束时回收相应权限撤销用户员工离职时禁用或删除账户用户访问管理属于流程管理范畴与技术实现同等重要。技术再完善若管理流程缺失如离职账户未及时禁用仍会造成安全漏洞。4.3 口令安全管理口令是最基础也是最常用的认证手段口令安全管理需遵循以下规范管理维度具体要求复杂度至少8个字符以上选用大小写字母、数字、特殊字符组合账号关联禁止使用与账号相同的口令默认口令更换系统默认口令避免使用出厂默认值登录限制限制账号登录尝试次数建议为3次共享禁止禁止共享账号和口令存储安全口令文件应加密存放只有超级用户才能读取传输安全禁止以明文形式在网络上传递口令如Telnet时效机制口令应有时效机制保证定期更改禁止重用历史口令弱口令排查定期对所有账号运行口令破解工具检查是否存在弱口令或空口令账号案例题考点当题目描述系统存在空口令/弱口令时整改措施应包括强制修改口令、设置复杂度策略、限制登录次数、加密存储、定期排查弱口令。五、访问控制产品5.1 4A系统定义4A是指认证Authentication、授权Authorization、账号Account、审计Audit中文名称为统一安全管理平台。要素英文功能账号Account集中管理用户账号的生命周期认证Authentication统一身份认证支持多种认证方式授权Authorization基于策略的访问权限管理审计Audit集中记录和分析用户操作行为技术特点集成了访问控制机制和认证功能提供多种访问控制服务通常采用基于角色的访问控制RBAC方法便于账号授权管理与3AAAA的区别3A通常指认证、授权、审计Authentication、Authorization、Accounting/审计4A在此基础上增加了账号Account管理维度更强调账号的集中管理。5.2 安全网关技术原理利用网络数据包信息和网络安全威胁特征库对网络通信连接服务进行访问控制。典型产品产品类型说明适用场景防火墙基础的网络边界访问控制设备各类网络边界统一威胁管理UTM集成防火墙、VPN、防病毒、入侵检测等多功能于一体中小型单位10-20人规模下一代防火墙NGFW在传统防火墙基础上增加应用识别、用户识别、深度包检测等能力中大型网络性能优于UTMUTM与NGFW的对比对比维度UTMNGFW功能集成多功能集成但开启过多功能会影响性能性能更优多功能并行开启影响较小适用规模中小型单位中大型网络处理能力功能全开时性能下降明显硬件架构优化处理能力更强大型项目通常部署多种专业安全设备独立的防火墙、IDS/IPS、防病毒网关等而非依赖单一UTM设备。5.3 系统安全增强技术特点通常利用强制访问控制MAC技术来增强操作系统、数据库系统的安全防止特权滥用。系统增强机制说明LinuxSELinuxSecurity-Enhanced Linux美国国家安全局NSA开发的强制访问控制模块在内核层面实施细粒度访问控制Windows操作系统加固通过安全策略配置、权限最小化、服务裁剪等方式增强系统安全性考试重点系统安全增强产品的核心技术是强制访问控制MAC而非自主访问控制DAC。SELinux是MAC技术的典型应用实例。六、访问控制技术的应用6.1 UNIX/Linux系统访问控制权限表示方法UNIX/Linux系统中用10个比特位表示访问控制权限第1位 第2-4位 第5-7位 第8-10位 文件类型 用户权限 用户组权限 其他用户权限第1位——文件类型字符类型-普通文件d目录文件l链接文件b设备文件块设备p管道文件后9位——三组权限权限字符表示数字表示对文件的含义对目录的含义读r4读取文件内容列出目录内容写w2修改文件内容在目录中创建/删除文件执行x1执行文件进入目录cd字符权限与数字权限转换每组权限的数字值 r(4) w(2) x(1)有对应权限则加无则加0。字符表示计算过程数字表示说明rw-r–r–(420)(400)(400)644所有者可读写组和其他只读rwxr-xr-x(421)(401)(401)755所有者可读写执行组和其他可读执行r-xr-x—(401)(401)(000)550所有者和组可读执行其他无权限rwx------(421)(000)(000)700仅所有者可读写执行实例解析-rw-r--r-- 1 root root 26195 Dec 15 12:42 install.log-普通文件rw-所有者root可读写6r--所属组root只读4r--其他用户只读4数字权限644考试重点Linux文件权限的字符与数字互转是下午大题高频考点2020年曾考过必须熟练掌握r4、w2、x1的换算规则。6.2 Windows系统访问控制核心机制Windows访问控制涉及以下关键组件组件英文功能访问令牌Access Token用户登录时由WinLogon进程创建包含用户及所属组的安全标识符SID作为用户身份标识自主访问控制列表DACLDiscretionary ACL附加在客体上标明哪些主体有权访问该客体及具体权限系统访问控制列表SACLSystem ACL附加在客体上标明哪些主体的访问需要被记录审计安全参考监视器SRMSecurity Reference Monitor内核组件将访问令牌与DACL比较以决定是否授权同时检查SACL确定是否审计访问控制流程用户进程 → Win32子系统 → 安全参考监视器(SRM) │ ┌─────────┴─────────┐ ↓ ↓ 比较访问令牌与DACL 检查客体SACL │ │ ↓ ↓ 允许/拒绝访问 确定是否审计用户进程通过Win32子系统向内核请求访问服务内核的安全参考监视器SRM将访问令牌与客体的DACL进行比较决定是否拥有访问权限同时检查客体的SACL确定本次访问是否落在既定审计范围内若需审计则将事件送至审计子系统记录DACL与SACL的区别DACL决定谁能访问权限控制SACL决定谁的访问被记录审计范围。两者功能不同不可混淆。6.3 IIS/FTP访问控制FTP访问控制认证方式说明匿名访问无需用户名密码使用通用匿名账户登录账号密码认证使用Windows用户账号进行身份验证FTP目录权限权限含义读取允许下载文件写入允许上传文件注意FTP站点的目录权限对所有FTP用户都有效而非针对单个用户。匿名访问存在安全风险生产环境建议禁用或严格限制。6.4 网络通信连接控制利用防火墙、路由器、网关等设备部署在两个不同通信网络的连接处对网络通信进行访问控制。控制逻辑仅允许符合安全策略的通信流通过边界设备拒绝或丢弃不符合规则的数据包。6.5 基于VLAN的网络隔离根据网络的功能和业务用途将网络划分为若干个逻辑子网网段实现不同部门或业务之间的网络隔离。典型场景VLAN部门访问权限VLAN 10研发部不可访问财务部VLANVLAN 20财务部不可访问研发部VLANVLAN 30总裁办可访问所有部门VLAN控制优势减少各网之间不必要的信息交换缩小广播域范围提升网络安全性和性能。6.6 Web服务访问控制Web服务访问控制采用多层验证机制任一环节失败即拒绝访问HTTP服务访问请求 │ ↓ ① 客户的IP地址或DNS是否允许──否──→ 访问拒绝 │是 ↓ ② Web用户是否允许访问──────否──→ 访问拒绝 │是 ↓ ③ 文件系统权限是否允许────否──→ 访问拒绝 │是 ↓ ④ 数据库系统权限是否允许──否──→ 访问拒绝 │是 ↓ 授权访问验证层级控制内容第一层客户端IP地址或DNS域名过滤第二层Web用户身份认证第三层文件系统权限检查网页文件、图片等静态资源第四层数据库系统权限检查后端数据访问Web访问控制体现了纵深防御思想——即使某一层被绕过后续层级仍能提供保护。本章小结本章节系统梳理了访问控制的策略设计、安全管理与产品应用策略层面掌握访问控制策略的六大设计考虑因素理解白名单原则未经允许即禁止与黑名单原则的区别熟记六种访问控制规则身份/角色/地址/时间/异常事件/服务数量掌握访问控制实施五步骤明确资产→分析需求→制定策略→实现控制→运行维护管理层面重点掌握最小特权原则按需分配、用户访问全生命周期管理登记→分配→监测→取消→撤销、口令安全管理九项要求8字符复杂度/禁默认/限3次/禁共享/加密存/禁明文/定期改/禁重用/查弱口令产品层面掌握4A系统账号/认证/授权/审计、安全网关防火墙/UTM/NGFW对比、系统安全增强MAC技术SELinux典型实例三类产品的技术特点应用层面重点掌握Linux文件权限10位表示法r4/w2/x1字符数字互转下午大题考点、Windows访问控制访问令牌/DACL/SACL/SRM四组件、FTP目录权限、VLAN隔离、Web四层访问控制流程上述内容中最小特权原则、口令安全管理、Linux权限换算、DACL与SACL区别、Web多层访问控制为高频考点Linux权限数字与字符互转可能出现在下午案例分析题中。本文为软考信息安全工程师个人学习笔记依据官方考试大纲与公开技术规范整理仅用于学习交流不作为商业用途。