访问控制

极客时间《安全攻防技能 30 讲》学习笔记 04

05 | 访问控制：如何选取一个合适的数据保护方案？

通过身份认证，确认用户的身份；通过授权，控制用户的操作和访问行为。

DAC，Discretionary Access Control，自主访问控制，所有者对客体制定的访问控制策略，让客体所有者来定义访问控制规则，适合面向用户的时候使用，类似于 Linux 中的用户文件访问控制，由文件的所有者决定。

现在最常见的应该就是 role-BAC，role Based Access Control，基于角色的访问控制，管理员对主体制定的访问控制策略，实现最小特权原则，适合管理员集中管理。

rule-BAC，rule Based Access Control，基于规则的访问控制，制定规则，将主体、请求和客体的信息结合起来进行判定，针对请求本身制定访问控制策略。

MAC，Mandatory Access Control，强制访问控制，安全性最高的访问控制策略，基于安全级别标签的访问控制策略，对主体和客体划分级别——秘密、私人、敏感、公开，根据标签制定访问控制规则，机密性不能低读、高写；完整性不能高读、低写。

威胁评估主要有三个步骤：

1. 识别数据，安全保护的核心资产是数据

2. 识别攻击，明确什么样的数据有价值被攻击

3. 识别漏洞，ATTACK 框架

最后，复习一下前面的概念。

安全本质 CIA 三元组：机密性（不可见），完整性（不可改），可用性（可读）

安全原则（黄金法则）：身份认证（你是谁），授权（你能做什么），审计和问责（你做了什么）

对于思考题，我觉的在设计授权机制的时候，主要还是先要明确业务的情况，当然也可以进行威胁评估，然后再考虑采用哪种授权方式。一般来说倾向于采用 role-BAC 这种，相对简单高效的方式。

看了留言，在进行威胁评估之前，可以按照主体、客体和请求，对业务进行梳理。