=Start=

缘由：

备考CISSP，学习、整理在看《CISSP官方学习指南（第7版）》时的一些知识点，方便以后快速复习。

正文：

参考解答：

第14章 控制和监控访问

14.1 对比访问控制模型

• 许可一般情况下，许可是指授予对象的访问权以及对具体访问权内容的确定。如果对文件有读取许可，就能打开和阅读文件。可以授予用户权限来创建、读取、编辑或删除文件服务器上的一个文件。类似地，可以授予用户对文件的访问权限，所以在这种情况下，访问权和许可是同义的。例如，你可能被授予读取和执行应用程序文件的许可，这样你就有了运行应用程序的权限。此外，你可能被授予数据库内的数据权限，这使你能够在数据库中检索或更新信息。
• 权限主要是指对一个对象采取行动的能力。例如，一个用户可能有权修改电脑上的系统时间或有权恢复备份数据。这是一个微妙的区别，并不强调。然而，你很少会看到将在系统上采取行动的许可称为权限。
• 特权是许可和权限的结合。例如，电脑管理员会有完整的特权，允许管理员在电脑上有充分的许可和权限。管理员将能够在计算机上执行任何操作井访问任何数据。

• ACL和功能表的区别是专注点。ACL专注于客体，能识别对特定客体予的主体访问权。功能表专注于主体，能识别主体可以访问的客休。
• 限制接口应用程序使用限制接口来根据用户的特权限制用户可以做什么或看什么。拥有完整特权的用户对应用程序的所有功能都有访问权。拥有限制特权的用户访问权有限。应用程序使用不同的方法限制接口。如果用户没有权限使用它，那么一种常见的方法是隐藏功能。例如，管理员可以通过菜单或右击某项来获得命令，但如果普通用户没有权限，命令就不会出现。其他时候，应用程序显示菜单项，但它们是暗的或禁用的。普通用户可以看到菜单项，但无法使用。
• 内容有关的控制内容有关的控制基于客体中的内容来限制对数据的访问。数据库视图是基于内容的控制。视图从一个或多个表中检索特定列，创建一个虚拟表。例如，数据库中的客户表可能包括客户名称、电子邮件地址、电话号码和信用卡数据。基于客户的视图只会向用户展示客户名称和电子邮件地址，但没有别的信息。被授予访问视图权限的用户可以看到客户名称和电子邮件地址，但不能访问底层表中的数据。
• 上下文相关的控制上下文相关的访问控制需要在授予用户访问权之前进行特定的活动。例如，考虑在网上销售数码产品的交易的数据流。用户将产品添加到购物车中，开始结账过程。结账流程的第一页显示购物车中的商品，下一个页面收集信用卡数据，最后一页确认购买并提供下载数码商品的指令。如果用户不先完成购买过程，系统会拒绝对下载页面的访问。也可以使用日期和时间控制作为上下文相关的控制。例如，可以基于当前日期和/或时间限制对计算机和应用程序的访问。如果用户试图在允许时间之外的时间访问资源，系统就会拒绝他们的访问。
• 知其所需这条原则确保主体只在他们的工作任务和工作职能有要求时被授予访问权。主体可能有访问机密或限制数据的许可，但没有获得数据访问授权，除非他们真正需要来执行工作。
• 最小特权最小特权原则确保主体只被授予他们执行工作任务和工作职能所需的特权。这一原则有时和”知其所需”原则混为一谈。唯一的区别在于，最小特权还将包括在系统上采取行动的权利。职责分离这一原则确保敏感功能被分成由两个或两个以上员工执行的任务，这有助于通过创建制衡系统来防止欺诈和错误。

14.2 理解访问控制攻击方式

• 对系统的物理访问控制。关于安全性的一句名言是，”如果攻击者无限制地对计算机进行物理访问，攻击者就会拥有它”。如果攻击者可以对身份认证服务器进行物理访问，他们就可以在很短时间内盗取密码文件。一旦攻击者盗取了密码文件，他们就可以在线下进行密码破解。如果攻击者成功下载密码文件，就可以认为所有的密码都存在危险。
• 对文件的电子访问控制。严格控制和监控对密码文件的电子访问。终端用户和非账户管理人员在日常工作中不需要访问密码数据库。安全专业人员应该对任何未经授权的密码数据库访问进行及时调查。
• 加密密码文件。对可用操作系统的密码文件进行强加密有助于保护它们免受未经授权的访问。散列法(如前所述)是一种常见的加密方法。此外，在进行密码散列之前，对密码加盐(salting)可以提供更强的保护。对包含密码数据库文件副本的所有介质进行严格控制也非常重要，如备份磁带或磁盘修复。最后，在传输过程中对敏感数据进行加密也是很重要的，包括通过网络发送密码。
• 创建强密码策略。通过编程的密码策略可以强制使用强密码，确保用户定期更改密码。攻击者在破解多种宇符类型的长密码时需要用更长的时间。如果有足够的时间，攻击者可以通过离线暴力攻击找到所有的密码，所以要保持安全性，就需要定期更换密码。很多安全或敏感环境需要更强的密码，并且会要求用户频繁更改密码。许多组织对特权账户实行单独的密码策略，如管理员账户，以确保这些账户的密码更强且管理员与普通用户相比，会更加频繁地修改密码。
• 使用密码掩码。确保应用程序在任何屏幕上都没有以明文方式显示过密码，而且在显示密码时以替代性字符表示密码，如星号(*)。这能减少肩窥，但用户应该意识到，攻击者能够通过观察用户在键盘上的按键方式获得密码。
• 配置多因素身份认证。配置多因素身份认证，比如使用生物识别技术或令牌设备。当某组织使用多因素身份认证时，攻击者就算发现了密码，也无法访问网络。许多在线服务，比如谷歌，现在提供的就是多因素身份认证，作为额外的保护措施。
• 使用账户锁定控制。账户锁定控制有利于防止在线密码攻击。在密码输入不正确超过预先设定的次数后，账户就会被锁定。账户锁定控制通常使用阀值水平(clipping levels)，虽然会忽略一些用户错误，但在达到某个阔值后就会采取行动。例如，通常会允许用户发生5次的错误输入，之后就会锁定账户。对于不支持账户锁定控制的系统和服务，比如大多数的FTP服务器，会在登录时附加入侵检测系统以保护服务器的安全。
• 使用最后一次登录通知。许多系统会显示一条消息，包含最后一次成功登录的时间、日期和地点(如计算机名或IP地址)。如果用户关注此消息，则可能会注意到是否有其他人登录自己的账户。例如，如果用户是在上周五登录账户，但最后一次登录通知显示周六时有人访问该账户，则表明存在问题。怀疑别人登录自己账户的用户可以更改密码或向系统管理员报告这个问题。
• 对用户进行安全教育。获得恰当训练的用户对安全性和使用强密码有着更好的理解。警告用户他们不应该分享或写下自己的密码。管理员可能会对最敏感的账户，如管理员账户或根账户，设置又长又复杂的密码，并把这些密码存储在库或保险箱中。提示用户如何创建强密码，如密码短语。
• 以及如何预防肩窥。让用户知道在所有网上账户(如银行账户和游戏账户)上使用相同密码的危险。当用户对所有这些账户使用相同的密码时，对游戏系统的成功攻击可以让攻击者访问用户的银行账户。用户也应该知道常见的社会工程学手段。

14.3 本章小结

• 本章涵盖了许多访问控制模型相关的概念。权限是指对客体的访问权，并决定着用户(主体)能够对客体做什么。权利主要是指对客体采取行动的能力。特权包括权利和权限。隐式拒绝确保对客体的访问被拒绝，除非访问权被明显地授予主体。
• 访问控制矩阵是一个关注客体的表，包括客体、主体以及分配给主体的特权。表中的每一行代表单个客体的ACL。ACL关注客体，并识别为任何特定客体而授予主体的访问权。功能表关注主体，并识别主体可以访问的客体。
• 限制接口基于用户的特权限制他们可以做什么或者可以看到什么。内容有关的控制基于客体的内容限制访问。情境有关的控制在授予用户访问权之前需要进行特定的活动。
• 最小特权原则确保主体只被授予执行工作任务和工作职能所需的特权。职责分离有助于防止欺诈，因为它确保敏感功能会分别由两名或两名以上的员工负责。
• 书面安全策略定义了组织的安全需求、安全控制的实施和执行安全策略。深度防御策略实现了多级安全控制以对资产进行保护。
• 在有自主访问控制时，所有客体都有一个所有者，所有者对客体具有完全控制权。管理员集中管理不可任意支配的控制。基于角色的访问控制使用通常与组织层级结构相匹配的角色和组。管理员为用户设定角色，并基于工作或任务为角色分配权限。基于规则的访问控制使用适用于所有主体的全局规则。强制访问控制要求所有客体都有标签，访问基于主体是否有相匹配的标签。
• 重要的是要理解评估访问控制攻击潜在损失时的基本风险元素。风险是威胁利用漏洞带来损失的可能性。资产估值确定资产的价值，威胁建模识别潜在威胁，脆弱性分析识别漏洞。这些都是在实施控制以防止访问控制攻击时需要理解的重要概念。
• 常见的访问控制攻击试图绕过身份认证机制。访问聚合是收集和聚合非敏感信息以便推断出敏感信息的行为。
• 密码是一种常见的身份认证机制，存在几个不同的攻击类型试图破解密码。密码攻击包括字典攻击、暴力攻击、生日攻击、彩虹表攻击和嗅探攻击。套路攻击是针对智能卡的被动攻击。
• 社会工程学技术经常在为了得到密码和其他数据时使用。网络钓鱼使用电子邮件试图让用户放弃有价值的信息(比如凭证)、单击链接或打开恶意附件。鱼叉式网络钓鱼针对的是一群人，比如在某个组织工作的人。捕鲸针对的是高层管理人员。

14.4 考试要点

• 识别常见授权机制。考虑到分配给已认证身份的权限，授权确保请求的活动或客体访问是可能的。例如，可以确保具有适当权限的用户可以访问文件和其他资源。常见的授权机制包括隐式拒绝、访问控制列表、访问控制矩阵、功能表、限制接口、内容有关的控制和情境有关的控制。这些机制应实施安全原则，如“知其所需”、“最小特权原则”和“职责分离”。
• 了解每个访问控制模型的细节。在自主访问控制模型中，所有客体都有所有者，所有者可以修改权限。管理员集中管理不可任意支配的控制。基于角色的访问控制模型使用基于任务的角色，当管理员为账户分配角色后，用户获得特权。基于规则的访问控制模型使用一套规则、限制或过滤器来确定访问。强制访问控制模型使用标签来识别安全域。主体需要匹配标签来访问客体。
• 理解基本的风险元素。风险是威胁利用漏洞、破坏资产的可能性。资产估值确定资产的价值，威胁建模识别对这些资产的威胁，脆弱性分析识别组织有价值资产的弱点。访问聚合是一种结合、聚合非敏感信息以获取敏感信息的攻击，用于侦察攻击。
• 理解暴力攻击和字典攻击的运行方式。暴力攻击和字典攻击针对的是被盗密码数据库文件或系统的登录提示。设计它们是为了发现密码。暴力攻击使用的是键盘字符所有可能的组合，而字典攻击中使用的是可能密码的预定义列表。账户锁定控制能阻止它们对网络攻击的有效性。
• 理解强密码的必要性。强密码会使密码破解工具失效。强密码包括多个字符类型，而不是字典中的单词。密码策略确保用户创建强密码。密码在存储时应被加密，通过网络发送时也应进行加密。身份认证可以通过使用密码以外的额外因素进行增强。
• 理解嗅探攻击。在嗅探攻击(或窃听攻击)中，攻击者使用数据包捕获工具(如嗅探器或协议分析器)来获取、分析和读取通过网络发迭的数据。攻击者可以很容易地读取在网络上以明文发送的数据，但是在传输中加密数据就可以防止这种类型的攻击。
• 理解电子欺骗攻击。电子欺骗指的是假装成别的东西或其他人，被用在许多类型的攻击中，包括访问控制攻击。攻击者通常试图获得用户的凭据，以便可以诱骗用户的身份。欺骗攻击包括邮件欺骗、电话欺骗、IP欺骗。许多钓鱼攻击都使用欺骗的方法。
• 理解社会工程学。社会工程学攻击是指攻击者试图说服某人提供信息(如密码)或执行他们通常不会执行的动作(如单击恶意链接)，从而导致安全性损害。社会工程师经常试图获得对IT基础设施或物理设施的访问权限。用户教育是一种用来阻止社会工程学攻击的有效工具。
• 理解网络钓鱼。网络钓鱼攻击常用来诱使用户放弃个人信息(如用户账户和密码)、单击恶意链接或打开恶意附件。鱼叉式网络钓鱼的目标针对特定的用户群，捕鲸针对高层管理人员。电话钓鱼使用VoIP技术。

参考链接：

• CISSP官方学习指南第7版（中文）-文字版带完整书签

=END=