一文看尽访问控制模型

近期的网络安全事件已经表明，无论组织规模大小，攻击者都可能会将其作为目标。其中，最常见的攻击方式是通过钓鱼手段获得对合法账户的未授权访问，为了抵御这种未经授权的访问，制定用户认证和授权的规则与政策十分关键。访问控制作为实施这些保护的机制，决定了谁可以在组织内进行哪些操作或访问哪些资源。

受到安全需求、基础设施考虑以及合规命令的驱动，企业需要对员工实施访问控制措施。然而，访问控制不应仅限于人类用户，还应扩展到系统进程以及应用程序中。

新型的访问控制技术通过采用智能卡和生物识别等先进技术来替代传统系统，从而增强安全性。这些系统不仅为授权用户提供了便利，并且通过云解决方案来对灵活的远程操作提供了支持。它们简化了安全管理流程，能够自动更新用户数据库，并根据不同角色提供精细的访问控制。同时，这些系统还与其他安全系统集成，增强了组织全面的监控和态势感知能力。

不同类型的访问控制模型对组织的资源访问进行调控，定义了授予权限、拒绝权限或撤销访问权的规则和机制。这些模型基于特定的原理运作，提供了不同级别的粒度和灵活性以对访问权限进行管理。

强制访问控制（MAC）

强制访问控制（Mandatory Access Control ，MAC）)采用集中管理方式，体现了访问控制的最严格程度。它将访问控制的全部管理权限仅授予组织所有者和保管人，取消了终端用户将权限赋予他人的能力。该模型为资源和用户分配安全标签，考虑分类、权限清除以及区域隔离（物理或逻辑），因此除非标签对齐，否则限制访问。MAC最初为军事和情报领域使用而开发，在包括金融和政府在内的各个领域中保护敏感数据。

MAC采用两个关键的安全模型：Biba模型和Bell-LaPadula模型。

• Biba 模型强调信息完整性，允许较低级别的主体读取较高级别的信息（“上读”），以及较高级别的主体为较低级别的对象编写信息（“下写”）。这个模型适合商业环境，便于高级管理人员与基层员工之间的沟通。

• Bell-LaPadula 模型重视保密性，通常用于政府或军事场景。例如拥有最高机密级别的用户，只能在自己的级别或更高级别上写入信息（“上写”），同时允许他们读取较低级别的信息（“向下读”）。这个模型确保了基于安全级别的严格访问控制。

优点

缺点

自主访问控制（DAC）

自主访问控制（Discretionary Access Control，DAC）允许资源的所有者做出安全相关的决策，使他们可以将自己所管理资源的访问权限授予他人。在这个过程中，安全管理员创建一个资源档案，通过访问控制列表来详细说明访问权限。

不像强制访问控制那样依赖单一个人，DAC允许一个管理团队或者非技术人员来对访问权限进行控制与管理。虽然它提供了极大的自由度，但DAC在安全性方面相较于其他模型较为薄弱。大部分操作系统中的文件共享功能都体现了DAC的特点，用户可以设置他们所拥有文件的读写权限和密码要求，这些设置涵盖了特定的个人和用户群体。

优点

缺点

基于角色的访问控制 (RBAC)

基于角色的访问控制（Role-based access control，RBAC）按照用户的职务角色来分配访问权限。这是工业控制系统（ Industrial Control Systems，ICS）中常用的访问控制系统部分。与强制和自主访问控制形式相对，RBAC通过自动化技术优化了IT权限的管理。该模型依据部门和职位将用户分入不同的角色，针对每个角色的访问需求设定相应的权限。

优点

缺点

基于规则的访问控制（RuBAC）

RuBAC 通过管理员设定的程序化条件来决定对象的访问权限。与某些模型不同，RuBAC 不仅考虑主体和对象，还将其行为纳入考虑，类似于编程中的 if-then 语句。它可以容纳多个条件和变量来做出访问决策。对于需要基于时间或位置限制访问的组织来说，RuBAC 可能更加有效，但修改程序化条件需要时间和编码专业知识。

以下访问控制模型较为少见，但在特定情境中仍具有价值：

基于属性的访问控制（Attribute-Based Access Control ，ABAC）

结合了 RBAC 和 RuBAC的特点，根据主体授权级别、对象类型、行为以及环境来授予权限。该模型允许广泛的控制，但需要大量编码。

基于风险的自适应访问控制（Risk-Adaptive Access Control ，RAdAC）

评估主体授权级别、安全指标、连接类型、位置以及认证方法，建立综合档案，然后根据风险来确定访问权限。该模型可以满足动态安全需求，但配置起来较为复杂。

基于身份的访问控制（Identity-Based Access Control，IBAC）

根据主体的唯一身份来控制访问权限，通常使用登录 ID、密码、指纹或面部识别。该模型适合简单的访问场景，但涉及隐私问题以及密码疲劳。

基于组织的访问控制（Organization-Based Access Control，OrBAC）

该模型考虑到了主体的角色、行为、对象权限及其组织关联性，非常适合具有多个分支机构的大型企业，能够简化组织内的权限管理工作。

访问控制对于降低组织安全风险、抵御攻击以及确保遵守相关规定十分关键。多种指南和标准，如ISO 27001、HIPAA及PCI DSS，规定了企业必须遵守的特定要求。选择合适的访问控制模型依赖于多种因素，包括预算、组织规模、易用性、安全需求、集成性以及可扩展性等。因此，挑选适合的访问控制模型对于实现业务目标并保障组织安全是至关重要的。

* 本文为茉泠编译，原文地址：https://www.tripwire.com/state-of-security/exploring-access-control-models-building-secure-systems-cybersecurity
图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

原文始发于微信公众号（数世咨询）：一文看尽访问控制模型