数据访问控制.ppt

《数据访问控制.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第三章数据访问控制刘晓梅1内容目录访问控制基本概念访问控制步骤与应用访问控制模型访问控制技术访问控制层次控制的分类访问控制的管理访问控制实践访问控制的威胁2访问控制介绍访问控制是可以帮助系统管理员直接或者间接可控地对系统行为、使用和内容实施控制的机制的集合。管理员可以根据访问控制定义用户可以访问哪些资源，可以进行哪些操作。通常，访问控制批准或者限制任何对资源的访问，监控和记录访问企图，识别访问用户，并且确定其访问是否得到授权的硬件/软件/策略。3访问控制概念访问控制：针对越权使用资源的防御措施目标：防止

2、对任何资源（如计算资源、通信资源或信息资源）进行未授权的访问，从而使资源在授权范围内使用，决定用户能做什么，也决定代表一定用户利益的程序能做什么。未授权访问：包括未经授权的使用、泄露、修改、销毁信息以及颁发指令等。非法用户对系统资源的使用合法用户对系统资源的非法使用作用：机密性、完整性、和可用性4访问控制概念访问是存在主体和客体之间的信息流访问控制是可以帮助系统管理员直接或者间接可控地对系统行为、使用和内容实施控制的机制的集合。主体：访问者（用户、程序、进程、文件、计算机）客体：访问对象（程序、进程、文

3、件、计算机、数据库、打印机、存储介质）操作：控制主体对客体的访问权限（read,write,excute）和访问方式5访问控制概念信息分级定义评估组织的信息资产的风险等级，保障信息资产确实得到适当的安全保护。原因对所有的信息资产实施同一级别的安全保护不但可能会导致资源的浪费，而且会导致某些资产过保护而某些资产则保护力度不足。信息分级的好处极大提升组织的安全意识；关键信息被识别出来，同时得到更好的保护；对敏感信息的处理有了更清晰的指导；建立了资产的所有关系以及管理员和用户的关系；减少非敏感信息存储的开销。

4、6访问控制概念信息分级价值（value）价值是最通常的数据分类标准，如果信息对一个组织或者其竞争对手有价值，就需要分类。寿命（age）随着时间的推移，信息价值会降低，其分类也会降低。例如，政府部门，某些分类档案会在预定的时间期限过后自动解除分类。使用期（usefullife）如果由于新信息的替代、公司发生的真实变化或者其他原因，信息过时了，可以对其解除分类。人员关联（personnelassociation）如果信息与特定个人相关，或者法律（如隐私法）、规章和责任要求中指出的，需要分类。例如，如果调查信

5、息揭示了调查者的名字，就需要保留分类。7访问控制概念信息分级所有者（owner）通常是管理层的一员，对信息的保护和使用负有最终的责任；负有“适度关注（duecare）”责任，保障信息得到合适的安全控制；决定信息的安全级别；指派管理员数据日常保护以及维护的职责。管理者（custodian）负责数据的日常保护和维护；通常由IT人员担当；负有“适度勤勉（duediligence）”责任；日产工作包括周期的备份、恢复以及验证数据的完整性。用户（user）在相关工作中使用数据的任何人。8内容目录访问控制基本概念访

6、问控制步骤与应用访问控制模型访问控制技术访问控制层次控制的分类访问控制的管理访问控制实践访问控制的威胁9访问控制的步骤1、Identification：宣称用户的身份确定用户：确定用户是管理资源的第一步；标示谁有访问权限；访问权限与用户的需要和信任的级别。2、Authentication：验证用户的身份确定资源：资源可是信息、应用、服务、打印机、存储处理以及任何信息资产；确定资源的CIA。3、Authorization：指定使用确定用户的级别或者是控制级别；确定用户许可的操作。4、Accountabil

7、ity：可追溯性/责任确定员工对其行为应该承担的责任，记录了用户所做的以及时间。10身份识别唯一身份（uniqueidentity）的宣称；应用访问控制关键的第一步；是可追溯性（accountability）的前提；有关身份的三个最佳安全实践：唯一性：在一个控制环境中的独一无二的身份；非描述性的：身份标识应当不暴露用户的工作角色；发布：发布身份信息的过程必须是安全和存档的；身份标识的一般形式UserNameUserIDAccountNumberPersonalIdentificationNumber(P

8、IN)11身份管理身份管理概述（identitymanagement）在管理不同用户和技术的环境中，提高效率的一系列技术的集合；在企业中，身份管理涉及员工身份（identity）、验证（authentication）、授权（authorization）、保护（protection）和管理（manegement）;身份管理面临的挑战（challenges）一致性（consistent）:输入不同系统的用户数据应当保持一致；效率（efficie