清华大学计算机网络安全课件--访问控制

清华大学计算机网络安全课件访问控制——访问控制是网络安全的核心技术之一，它确保只有经过授权的用户才能访问特定的网络资源本课程将深入探讨访问控制的理论基础、实现机制和实际应用，为构建安全可靠的网络环境提供理论指导和实践方法通过本课程的学习，学生将掌握访问控制的基本概念、主要模型、实施策略以及在现代网络环境中的应用，培养分析和解决网络安全问题的能力网络安全概述机密性保护完整性保证可用性维护确保敏感信息不被未授权人员获取，维护数据的准确性和完整性，防止保证网络服务和资源能够持续稳定通过加密技术和访问控制机制实现数据在传输或存储过程中被恶意篡地为授权用户提供服务，防范拒绝数据的保密性，防止信息泄露给恶改，确保信息的真实性和可靠性服务攻击和系统故障对业务连续性意攻击者的影响访问控制概述访问控制定义在网络安全中的作用访问控制是一种安全机制，用于限制和管理用户对系统资源访问控制在网络安全中起到关键作用，它是实现数据保护、的访问权限它通过身份验证、授权和审计等手段，确保只系统安全和合规性要求的重要手段通过精确控制用户权限，有经过授权的主体才能访问特定的客体资源可以有效防范内部威胁和外部攻击访问控制是网络安全防护体系的基础组件，为保护系统资源现代网络环境中，访问控制技术已经成为构建零信任架构和免受未授权访问提供了重要保障实施多层防御策略的核心技术访问控制基本原则最小特权原则需要知道原则用户只应获得完成其工作职责所用户只能访问与其工作直接相关必需的最小权限集合，避免过度的信息和资源，限制对敏感数据授权带来的安全风险这一原则的不必要接触这一原则在保护有效减少了权限滥用和内部威胁商业机密和个人隐私方面发挥重的可能性要作用责任分离原则将关键操作分解为多个步骤，由不同的用户或角色执行，防止单一用户拥有过大权限这种机制有效防范了欺诈行为和系统滥用访问控制的核心要素客体（）访问权限Object被访问的资源，包括文件、定义主体对客体可以执行的数据库、网络服务等客体操作类型，如读取、写入、主体（）具有不同的安全级别和访问执行等权限管理是访问控Subject控制机制要求制的核心发起访问请求的实体，通常是用户、进程或应用程序实施访问控制策略的技术手主体需要经过身份验证才能段，包括访问决策、权限检获得系统认可查和审计记录等功能模块访问控制的分类自主访问控制（）DAC资源所有者可以自主决定谁能访问其资源这种模式灵活但安全性相对较低，常用于个人计算机和小型组织强制访问控制（）MAC系统根据预定义的安全策略强制执行访问控制，用户无法自主修改权限这种模式安全性高，适用于高安全性要求的环境基于角色的访问控制（）RBAC通过角色来管理权限，用户通过被分配角色来获得相应权限这种模式便于管理大型组织的复杂权限结构基于属性的访问控制（）ABAC根据主体、客体和环境的各种属性动态决定访问权限这种模式提供了最大的灵活性和精细度控制自主访问控制（）介绍DAC权限创建资源所有者创建资源时自动获得完全控制权，可以决定其他用户的访问权限这种机制简单直观，便于理解和操作权限授予所有者可以将特定权限授予其他用户或用户组，支持读、写、执行等不同级别的权限分配授权过程灵活且可撤销权限撤销当不再需要某些用户访问资源时，所有者可以随时撤销之前授予的权限这种机制确保了权限管理的时效性和准确性强制访问控制（）介绍MAC安全标签分配系统为每个主体和客体分配安全标签，这些标签反映了其安全级别和分类信息标签由系统管理员统一管理，用户无法自主修改策略规则执行系统根据预定义的安全策略自动执行访问控制决策，确保信息只能在相同或更低安全级别之间流动，防止机密信息的意外泄露完整性保护不仅保护信息的机密性，还确保数据的完整性不被恶意MAC或意外的修改破坏，为高安全性环境提供全面的保护角色基访问控制（）RBAC高级管理角色拥有系统最高权限，负责制定安全策略和管理其他角色部门管理角色管理特定部门的资源和人员权限普通用户角色执行日常工作任务的基本权限通过将权限与角色关联，再将角色分配给用户的方式，大大简化了权限管理的复杂性这种模式特别适合大型组织，能RBAC够有效支持组织结构变化和人员流动属性基访问控制（）ABAC主体属性客体属性环境属性用户的身份信息、部门、资源的分类级别、所有访问时间、地理位置、职位、安全许可等级等者、创建时间、敏感度网络环境、设备类型等属性，这些属性动态反等属性，帮助系统理解上下文信息，为访问决映用户的当前状态和权资源的安全要求和访问策提供更丰富的判断依限需求限制据策略引擎基于机器学习和人工智能技术的决策引擎，能够处理复杂的属性组合和动态策略规则访问控制策略设计白名单策略黑名单策略明确列出允许访问的主体或资源，只有在白名单中的实体才列出禁止访问的主体或资源，除黑名单外的实体都被允许访能获得访问权限这种策略提供了最高的安全性，但管理复问这种策略管理相对简单，但安全性不如白名单策略杂度较高黑名单策略常用于一般性的网络防护，如防火墙规则和反垃白名单策略适用于高安全性要求的环境，如军事系统和金融圾邮件系统机构的核心业务系统访问控制模型分类详解43主要模型类型核心维度访问矩阵、、能力列表和权限图构主体、客体和权限三个维度构成了访问ACL成了访问控制的四大基础模型控制模型的基本框架2实现方式基于列表和基于令牌的两种主要实现方式各有优劣不同的访问控制模型适用于不同的应用场景和安全要求访问矩阵提供了理论基础，而和能力列表则是实际系统中常用的实现方式ACL访问控制矩阵模型用户资源文件文件数据库应用/A BC D用户读写只读无权限执行Alice用户只读读写查询无权限Bob管理员完全控制完全控制完全控制完全控制访客无权限只读无权限无权限访问控制矩阵是一个二维表格，行代表主体，列代表客体，交叉点表示相应的访问权限这种模型直观地展示了系统中所有的访问关系，便于理解和分析然而，在大型系统中，访问矩阵可能变得非常庞大且稀疏，导致存储和管理效率低下因此，实际系统通常采用其他更高效的实现方式访问控制列表（）ACL权限检查创建ACL当用户请求访问资源时，系统检查该为每个资源创建访问控制列表，记录资源的，确认用户是否具有相应ACL有权访问该资源的用户及其相应权限权限性能优化动态更新通过缓存和索引技术提高查询效管理员可以随时修改，添加或删ACL ACL率，减少访问决策的延迟时间除用户权限，保持访问控制的时效性能力列表（）Capabilities令牌生成系统为用户生成包含访问权限的安全令牌权限验证用户携带令牌请求访问，系统验证令牌的有效性访问授权验证通过后，用户获得令牌中指定的访问权限能力列表模型通过分发包含访问权限的令牌来实现访问控制这种方式避免了集中式权限检查的性能瓶颈，但需要确保令牌的安全性和防伪造能力基于标签与安全级别的访问控制多级安全模型通过为信息和用户分配不同的安全级别标签来实现访问控制这种模型广泛应用于军事和政府部门，确保机密信息不会泄露给未授权人员模型专注于保护信息的机密性，而模型则重点关注数据的完整性保护，两者共同构成了多级安全的理论基Bell-LaPadula Biba础模型详解Bell-LaPadula不读上规则低安全级别的主体不能读取高安全级别的信息，防止机密信息向下泄露这一规则确保了信息的向上机密性保护不写下规则高安全级别的主体不能向低安全级别的客体写入信息，防止机密信息的意外或恶意泄露应用场景模型主要应用于军事指挥系统、政府机密文档管理和国防科研项目等高机密性要求的环境Bell-LaPadula模型详解Biba不写上规则不读下规则调用规则其他机制模型Clark-Wilson1约束数据项（）2转换程序（）CDI TP系统中需要保护完整性的经过认证的程序，能够维重要数据项，这些数据必护的完整性约束所CDI须通过特定的转换程序进有对的修改操作都必CDI行修改，确保数据的一致须通过这些程序执行，防性和正确性止非法修改3完整性验证程序（）IVP用于验证是否满足完整性约束的程序，定期检查数据的一CDI致性和正确性，发现并报告完整性违规访问控制实施机制身份认证验证用户身份的真实性授权决策根据策略确定访问权限访问监控实时监控访问行为审计记录记录访问日志供后续分析完整的访问控制实施需要多个环节协同工作身份认证确保用户身份的可信性，授权决策根据策略规则确定访问权限，访问监控实时跟踪用户行为，审计记录为事后分析和合规检查提供依据身份认证技术密码认证双因素认证生物识别认证基于用户知道的秘密信息进结合两种不同类型的认证因利用指纹、虹膜、面部特征行身份验证，简单易用但安子，如密码加短信验证码或等生物特征进行身份验证，全性受到密码强度和管理方硬件令牌，显著提高了身份具有唯一性和难以伪造的特式的影响，容易受到字典攻认证的安全性和可靠性点，但成本较高且存在隐私击和社会工程攻击问题智能卡认证使用智能卡或令牌等硬USB件设备存储认证凭据，提供了较高的安全性，但需要额外的硬件投入和管理成本权限管理与分配初始分配新用户入职时根据岗位职责分配基础权限，遵循最小特权原则权限调整根据工作需要和组织变化动态调整用户权限权限回收用户离职或角色变更时及时回收不再需要的权限有效的权限管理需要建立完整的生命周期管理流程，从权限的初始分配到最终回收，每个环节都需要有明确的责任人和操作规范定期的权限审核和清理是确保权限管理有效性的重要手段访问控制的实现技术操作系统访问控制网络设备访问控制现代操作系统内置了多层访问控制机制，包括用户账户控制、路由器、交换机和防火墙等网络设备通过规则、ACL VLAN文件系统权限和进程隔离等技术的、隔离和端口安全等技术实现网络层面的访问控制这些机制Windows UACLinux的机制都是典型的实现方式控制数据包的转发和过滤sudo操作系统访问控制是所有上层安全机制的基础，确保系统资网络设备的访问控制是构建安全网络架构的关键技术，能够源的安全访问和恶意代码的隔离防护有效防范网络攻击和非法访问网络访问控制（）NAC设备发现安全评估自动发现接入网络的设备，获取设备检查设备的安全配置、补丁状态和恶的身份信息和安全状态意软件感染情况持续监控策略执行对已接入设备进行持续监控，及时发根据评估结果执行相应的访问控制策现和响应安全威胁略，允许、限制或拒绝设备接入访问控制在终端安全中的应用终端设备管理远程接入控制通过（移动设备管理）和为远程办公人员提供安全的网络MDM（端点检测响应）等技术对接入服务，通过、零信任网EDR VPN终端设备实施统一的安全策略络等技术确保远程访问的安全性包括应用白名单、数据加密和远实施强身份认证和细粒度的权限程擦除等功能，确保企业数据在控制移动设备上的安全虚拟专用网络技术通过加密隧道保护远程访问的数据传输安全，结合访问控制策VPN略限制用户对内网资源的访问范围，实现安全的远程办公环境访问控制与安全协议访问控制SSL/TLS在传输层提供身份认证和加密保护，通过数字证书验证服务器和客户端身份，建立安全的通信信道，广泛应用于服务和电子商务Web安全机制IPSec在网络层实现端到端的安全通信，提供数据认证、完整性检查和加密保护支持隧道模式和传输模式，适用于和站点间连接VPN认证标准

802.1X制定的端口访问控制标准，通过协议实现网络接入认证IEEE EAP广泛应用于企业无线网络和有线网络的接入控制访问控制在数据库安全中的应用使用频率安全重要性访问控制在云计算中的挑战零信任架构云环境的最高安全模型多租户隔离确保不同客户数据的安全隔离身份联邦跨域身份认证和单点登录基础资源控制虚拟化环境的基础访问控制云计算环境带来了新的访问控制挑战，包括多租户安全隔离、动态资源分配、跨域身份管理等问题传统的边界防护模式已不适用，需要采用零信任架构和细粒度的访问控制策略零信任访问控制理念永不信任不信任网络内部或外部的任何用户、设备或应用，所有访问请求都需要验证和授权这一原则颠覆了传统的内网可信假设始终验证对每次访问请求都进行身份验证和权限检查，基于多种因素动态评估访问风险，包括用户身份、设备状态、行为模式等最小权限严格执行最小权限原则，用户只能访问完成当前任务所必需的资源，并且访问权限具有时效性，需要定期重新验证持续监控实时监控所有网络活动和用户行为，利用人工智能和机器学习技术检测异常行为，及时响应安全威胁访问控制漏洞与威胁系统后门权限提升身份冒充恶意软件或内部人员在攻击者利用系统漏洞或通过窃取凭据、会话劫系统中植入的隐秘访问配置错误获得比其合法持或社会工程等手段冒通道，绕过正常的访问权限更高的访问级别，充合法用户身份，获得控制机制，给攻击者提从普通用户提升为管理未授权的系统访问权限供持久的系统访问能力员权限内部威胁来自组织内部的恶意或无意的安全威胁，内部人员利用其合法访问权限进行数据泄露或系统破坏活动常见访问控制攻击案例分析权限绕过攻击攻击者通过注入、缓冲区溢出等技术手段绕过应用SQL程序的访问控制检查，直接访问受保护的资源和数据会话劫持攻击攻击者截获并重用合法用户的会话令牌，冒充用户身份进行未授权操作常见于不安全的无线网络环境社会工程攻击通过心理操控和欺骗手段获取用户的认证凭据或诱导用户执行危险操作，绕过技术性的访问控制措施访问控制审计与合规性登录审计权限变更资源访问异常行为系统配置访问控制策略的制定流程风险识别与评估全面分析组织面临的安全威胁和脆弱性，识别关键资产和潜在风险点通过威胁建模和安全评估确定需要保护的重要资源和相应的风险级别业务需求分析深入了解组织的业务流程和用户访问需求，平衡安全性与业务便利性确定不同角色的职责范围和资源访问要求，为策略设计提供业务依据策略设计与优化基于风险评估和需求分析结果，设计具体的访问控制策略和实施方案制定详细的权限分配规则、审批流程和异常处理机制访问控制策略的实施步骤组织准备技术部署人员培训效果评估建立跨部门协作团队，明确实配置访问控制系统和安全工具开展安全意识和操作技能培训监控实施效果并持续改进施责任成功的访问控制策略实施需要有序的执行步骤和充分的准备工作从组织架构调整到技术系统部署，从人员培训到效果评估，每个环节都需要精心规划和有效执行动态访问控制与上下文感知位置信息时间因素基于用户的地理位置和网络环境动态调整考虑访问时间的合理性，限制非工作时间访问权限的敏感操作办公室内外访问差异化工作时间访问控制••异地登录风险评估节假日特殊处理••移动办公场景适配紧急访问授权机制••设备环境行为模式根据访问设备的安全状态和合规性调整权分析用户的历史行为模式，识别异常访问限级别行为设备安全认证访问频率统计分析••软件版本检查操作习惯识别••恶意软件检测异常行为告警••分布式访问控制系统联邦身份管理多域访问控制在分布式环境中实现统一的身份认证和单点登录，支持跨域管理跨越多个安全域的访问请求，处理不同域之间的信任关的身份信任关系通过、等标准协议实现不同系和权限映射需要考虑域间的安全策略差异和权限转换机SAML OAuth系统间的身份互信制联邦身份管理解决了大型组织中多个独立系统的身份一致性多域环境下的访问控制面临策略一致性、性能优化和故障恢问题，提高了用户体验和管理效率复等技术挑战，需要精心设计的架构方案访问控制与隐私保护隐私权保障法规遵从个人控制权访问控制系统必须确保个人隐私信遵循、个人信息保护法等相赋予数据主体对其个人信息的控制GDPR息的安全保护，限制不必要的数据关法律法规要求，建立完善的数据权，包括访问权、更正权、删除权收集和使用，实施数据最小化原则，保护机制包括数据主体权利保障、和数据可携带权访问控制系统需保护用户的隐私权不受侵犯数据处理合法性审查和跨境传输限要支持这些权利的技术实现制等方面访问控制技术发展趋势人工智能应用利用机器学习和深度学习技术提升访问控制的智能化水平，实现自适应的安全策略和异常检测能力区块链技术通过区块链的去中心化和不可篡改特性，构建可信的身份管理和权限分发机制，提高系统的透明度和可审计性自动化管理实现访问控制策略的自动化制定、部署和维护，减少人工干预，提高管理效率和策略一致性访问控制工具与产品介绍身份云平台Microsoft ActiveDirectory OktaApache Ranger微软的企业级目录服务，提供集中化的领先的云端身份和访问管理解决方案，开源的大数据访问控制框架，为用户身份管理和访问控制功能支持组提供单点登录、多因素认证和用户生命生态系统提供集中化的安全管Hadoop策略管理、单点登录和跨域信任关系周期管理等服务理和细粒度的访问控制策略访问控制的性能与安全权衡系统性能用户体验访问控制典型项目实践高校网络访问控制企业权限集中管控某高校实施校园网统一身某大型制造企业建设全集团统985份认证和访问控制系统，覆盖一的权限管理平台，整合了教学、科研、管理等各个业务、、财务等核心业务ERP OA系统通过统一门户和单点登系统的权限管理通过角色模录提升用户体验，同时加强对板和审批流程标准化，大幅提敏感信息的保护项目实施后升了权限管理的效率和规范性显著提高了网络安全水平金融机构合规项目某银行为满足监管要求实施全面的访问控制改造，建立了完整的权限审计和风险监控体系项目重点关注特权账户管理和敏感操作审计，有效防范了内部风险访问控制相关标准与规范访问控制的实施需要遵循相关的国际标准和行业规范提供了信息安全管理的整体框架，发布了详细的ISO/IEC27001NIST访问控制指南，国内的网络安全法和数据安全法也对访问控制提出了明确要求这些标准和规范为组织建立有效的访问控制体系提供了重要指导，有助于确保访问控制措施的有效性和合规性。