什麼是細粒度訪問控制

㈠ 堡壘機有哪些核心功能堡壘機的核心功能介紹

單點登錄功能、賬號管理、身份認證、資源授權、訪問控制、操作審計。介紹同一樓~~，碉堡堡壘機具備這些功能

㈡ 什麼叫粗粒度控制，什麼又叫細粒度控制

客體的訪問控制粒度由粗到細可以是整個應用系統 某個網路系統．某個伺服器細粒度的訪問控制，通常是指在操作系統、資料庫管理系統中所提供的用戶對文件

㈢ 為什麼基於密碼學地細粒度訪問控制仍然有研究和應用的必要呢

大數據安全的基礎, 就是基於密碼學的訪問控制. 這種訪問控制技術依賴於密鑰的安全性, 不需要可信監控機, 傳統的基於引用監控機的訪問控制不能適應龐大的數據量的需求, 出現難以管理和耗費大量資源的窘境, 因此基於密碼學的訪問控制技術就是數據時代的必由之路.

分類
基於密碼學的訪問控制主要有兩大類

基於密鑰管理的訪問控制, 通過確保數據解密密鑰只有授權用戶持有來實現, 通常依靠可信密鑰管理伺服器實現. 不過這種方法同可信監控機一樣不適用於大數據環境, 但是有一種廣播加密技術提供解決方案.
基於屬性加密的訪問控制, 不帶可信監控機的ABAC模型, 將屬性集合作為公鑰, 只有符合屬性集合的用戶才能解密數據. 衍生有兩種, 基於密鑰策略的屬性加密(Key Policy Attribute-Based Encryption, KP-ABE)和基於密文策略的屬性加密(Ciphertext Policy Attribute-Based Encryption, CP-ABE)

㈣ 什麼算是信息系統整體訪問控制策略

信息系統整體的安全運行。
身份鑒別與訪問控制是信息安全領域的兩個十分重要的概念。然而，對這兩個概念的含義往往有不同的理解。希望通過本文所引發的討論能對統一這兩個概念的理解有所幫助。
在GB17859中．身份鑒別指的是用戶身份的鑒別，包括用戶標識和用戶鑒別。在這里．用戶標識解決注冊用戶在一個信息系統中的惟一性問題．用戶鑒別則解決用戶在登錄一個信息系統時的真實性問題。一般情況下．當用戶注冊到一個系統時，系統應給出其惟一性的標識．並確定對其進行鑒別使用的信息(該信息應是保密的、並且是難以仿造的．一方面以一定方式提供給用戶．另一方面由系統保存)。當用戶登錄到該系統時，用戶應提供鑒別信息，系統則根據注冊時所保留的鑒別信息對用戶所提供的鑒別信息的真實性進行鑒別。
其實．從更廣義的范圍來講．信息系統中的身份鑒別應包括用戶身份鑒別和設備身份鑒別．用戶身份鑒別又分為注冊用戶的身份鑒別和網上數據交換用戶的身份鑒別。上述GB17859中的身份鑒別主要指的是注冊用戶的身份鑒別。網上數據交換時用戶的身份鑒別是指非注冊用戶間進行數據交換時的身份鑒別。也就是通常所說的在相互不知道對方身份的情況下，又要確認對方身份的真實、可信．從而確認數據交換的可信賴性。這就需要通過所謂的可信第三方(如由CA系統提供的認證機制)實現數據交換雙方身份的真實性認證。關於設備的身份鑒別．其實與注冊用戶的身份鑒別沒有多大區別．只是鑒別的對象是接入系統的設備而已。對接入系統的設備進行身份鑒別．同樣要先對其進行注冊，並在注冊時確定鑒別信息(鑒別信息既與設備相關聯．又由系統保留)。當需要將設備接入系統時．被接入設備需提供鑒別信息，經系統確認其身份的真實性後方可接入。
訪問控制在GB17859中同樣有其特定的含義．並對自主訪問控制和強制訪問控制的策略做了具體的說明。其實．訪問控制在更廣的范圍有著更廣泛的含義。在許多情況下．人們往往把身份鑒別也稱作是一種訪問控制。如果我們把是否允許登錄系統看作是是否允許對系統進行訪問．把身份鑒別稱為訪問控制也未嘗不可。問題是需要對其具體含義做清晰的描述。這也是我們為什麼把身份鑒別與訪問控制這兩個概念一起進行討論的原因
談到訪問控制．首先必須對訪問控制的粒度有所了解。訪問控制講的是對主體訪問客體的控制。粒度顯然涉及主體和客體兩個方面。主體一般是以用戶為單位實施訪問控制(劃分用戶組只是對相同訪問許可權用戶的一種管理方法)．網路用戶也有以IP地址為單位實施訪問控制的。客體的訪問控制粒度由粗到細可以是整個應用系統 某個網路系統．某個伺服器系統，某個操作系統．某個資料庫管理系統、某個文件 某個資料庫．資料庫中的某個表 甚至庫表中的某個記錄或欄位等。一般來講 對整個系統(包括信息系統、網路系統、伺服器系統、操作系統、資料庫管理系統、應用系統等)的訪問．通常是採用身份鑒別的方法進行控制．也就是相對的粗粒度訪問控制。細粒度的訪問控制，通常是指在操作系統、資料庫管理系統中所提供的用戶對文件或資料庫表、記錄／欄位的訪問所進行的控制．也就是GB17859中所描述的經典的訪問控制。這類訪問控制分為自主訪問控制和強制訪問控制兩種。當然也可以在網關等處設置以伺服器為對象的自主訪問控制或強制訪問控制機制，實現以伺服器為粒度的訪問控制。
所謂自主訪問控制是指由系統提供用戶有權對自身所創建的訪問對象(文件、資料庫表等)進行訪問．並有權將對這些對象的訪問權授予其他用戶和從授予許可權的用戶收回其訪問許可權。訪問對象的創建者還有權進行授權轉讓」 即將 授予其他用戶訪問許可權 的許可權轉
讓給別的用戶。需要特別指出的是，在一些系統中．往往是由系統管理員充當訪問對象的創建者角色 並進行訪問授權 而在其後通過」授權轉讓 將許可權轉讓給指定用戶．於是容易引起這種訪問控制不是由用戶自主決定訪問許可權的誤會。
所謂強制訪問控制是指由系統(通過專門設置的系統安全員)對用戶所創建的對象進行統一的強制性控制，按照確定的規則決定哪些用戶可以對哪些對象進行哪些操作類型的訪問，即使是創建者用戶，在創建一個對象後．也可能無權訪問該對象。強制訪問控制常見的安全模型是Bell—La pala模型(也稱多級安全模型)。該模
型的安全策略分為強制訪問和自主訪問兩部分。自主訪問控制允許用戶自行定義其所創建的數據．它以一個訪問矩陣表示包括讀、寫、執行、附加以及控制等訪問模式。由於它的自主訪問控制策略已廣為人們熟知。所以在提到多級安全模型時．往往重點探討其強制訪問控制策略。多級安全模型的強制訪問控制策略以等級和范疇
作為其主、客體的敏感標記，並施以」從下讀、向上寫」的簡單保密性規則。需要強調的是．作為敏感標記的等級和范疇．必須由專門設置的系統安全員，通過由系統提供的專門界面設置和維護．敏感標記的改變意味著訪問許可權的改變。因此可以說．所有用戶的訪問許可權完全是由安全員根據需要決定的。強制訪問控制還有其他安
全策略 比如 角色授權管理 。該安全策略將系統中的訪問操作按角色進行分組管理。一種角色執行一組操作．由系統安全員統一進行授權。當授予某個用戶某一角色時，該用戶就具有執行該角色所對應的一組操作的許可權。當安全員撤銷其授予用戶的某一角色時，相應的操作許可權也就被撤銷。這完全類似於現實社會中對領導職務的任命和撤銷。這一策略的訪問許可權也是通過安全員通過角色授權決定的。
與訪問控制相關聯的另一個十分重要的概念是 用戶一主體綁定 。這一概念的引入．對多用戶環境、進程動態運行所實施的訪問操作的控制提供了支持。作為動態運行的系統進程．它在不同時間段為不同的用戶服務 因而無法為其設置固定的敏感標記。通過用戶一主體綁定機制．可以將進程動態地與其所服務的用戶相關聯。於是．在任何時候．進程所實施的訪問操作都能夠通過這種關聯找到其所服務的用戶，也就能找到實施強制訪問控制的主體。操作是由進程實施的．而確定是否允許進行此次訪問的主體對象卻是進程為其服務的用戶

㈤ 細粒度訪問原則

分區細粒度訪問控制 例如:在一個控制環境中 這個特性被用來控制兩個公司對sales表的訪問 每一個公司擁有的獨立的應用程序sell_it和prod_opt 需要擁有不同的安全策略 第一個公司的sell_it應用程序認證的用戶需要只能訪問表中來自他們相同地區的記錄;那就是sales cust_id+untry的聯合校驗必須符合這個用戶的地區相吻合 第二個公司的prod_opt應用程序的訪問許可權被設置為只能訪問最近事務提交的記錄上 也就是與sales time_id相關聯 在 i中 在一個細粒度訪問控制中擁有這兩個策略將需要開發公司共同協作部署 如果兩個產品來自競爭的兩個公司 這實際上是不可行的 依靠定義 應用程序設置 來強行控制對基本objects的一些特殊規定 每一個應用程序現在能夠實現一系列私有的安全策略 二:細粒度審計 一個提供擴展的入侵檢測 捕獲sql執行語句 而不是返回數據的工具 可以將審計策略捆綁在帶有where條件的select語句的表或視圖上 oracle用自治事務來處理用戶自定義的審計事件 一個基於列的審計特性減少了錯誤審計的發生 資料庫管理系統中的審計經常被用來監控數據的訪問 審計紀錄是驗證違反數據訪問許可權的基礎 新的細粒度審計機制從事於執行更細小級別的審計 新的審計原則是基於簡單的用戶定義關於表的查詢條件的sql謂詞 謂詞可以在當查詢結果中返回了指定的值得時候進行審計 在基於查詢值的審計中 也有一些情形下管理員只關心某一個特定的被引用和訪問列情況 因為無論一個列的查詢審計發生在dml的任何部分都可以進行審計 所以oracle對這個查詢的審計將不存在任何問題 在 i中 審計項只能被設置用來監控對對象的訪問權 只有一些固定的情況 比如用戶id 時間戳 對象名稱會被記錄在審計跟蹤里 細粒度審計可以調用一個存儲過程來作為審計過程的一部分 如何進行細粒度審計 安全管理員用dbms_fga包來為有問題的表建立審計原則 dbms_fga add_policy() dbms_fga enable_policy() dbms_fga disable_policy() dbms_fga drop_policy() PROCEDURE ADD_POLICY 參數名稱 類型輸入/輸出默認值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN AUDIT_CONDITIONVARCHAR IN DEFAULT AUDIT_COLUMN VARCHAR IN DEFAULT HANDLER_SCHEMA VARCHAR IN DEFAULT HANDLER_MODULE VARCHAR IN DEFAULT ENABLE BOOLEAN IN DEFAULT PROCEDURE DISABLE_POLICY 參數名稱 類型輸入/輸出默認值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN PROCEDURE DROP_POLICY 參數名稱 類型輸入/輸出默認值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN PROCEDURE ENABLE_POLICY 參數名稱 類型輸入/輸出默認值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN ENABLE BOOLEAN IN DEFAULT 用表dba_audit_policies來列出已定義的原則 用表dba_fga_audit_trail來放置審計紀錄 這個表包括觸發審計的用戶名 SQL語句 審計名稱 會話ID號 時間戳 和其他一些屬性 管理員可以定義審計事件處理器來處理發生的時間 比如像管理員傳送警告頁 下面列舉一個新的細粒度原則的例子 從這個例子我們可以看出 I細粒度審計原則與 I的區別 如果我們的原則設為:AUDIT_CONDITION= SALARY> 這個時候我們看一下我們執行 SELECT last_name salary FROM employees WHERE last_name = Russell 盡管我們選擇的查詢條件中沒有包含SALARY列 但是由於我們的對SALARY列進行查詢 如果RUSELL的SALARY值大於 那麼這條記錄將被審計 審計紀錄如下 SELECT LAST_NAME SALARY FROM EMPLOYEES WHERE LAST_NAME= RUSSELL <TIMESTAMP> <SCN> <USERNAME> 如果我們執行 SELECT LAST_NAME SALARY FROM EMPLOYEES WHERE SALARY< 那麼盡管這條語句訪問 查詢了SALARY列 但是由於他訪問的值未達到審計閥值 那麼將不被審計 細粒度審計只對一個有WHERE條件的SELECT語句有效 並且只能設定一個被審計的列 上面的查詢語句觸發的事件不是造成用戶無法查詢到這些語句 這些SALARY> 實際上被返回 給查詢用戶 但是同時一個審計事件被寫到審計跟蹤里 包括完整的SQL語句 時間戳等信息 細粒度審計並不自動的捕獲返回給查詢用戶的查詢結果 但是你可以用細粒度審計原則結合閃回 查詢重建返回給用戶的紀錄 細粒度審計能夠實現資料庫系統的入侵監測功能 例如 開發人員可以為一個審計增加一個事件處理器來通知管理員 是否有被審計的事件發生 非SQL的訪問是不被審計的 例如:如果你使用DIRECT PATH EXPORT 這種方式繞過了資料庫的SQL層 審計條件將不被觸發 細粒度審計事件處理器 如何創建 CREATE PROCEDURE catchlog (schema_name VARCHAR table_name VARCHAR policy VARCHAR ) AS BEGIN send an alert note to my pager UTIL_ALERT_PAGER( CatchLog: ||Table_name||SYSDATE); END; / 如何添加 DBMS_FGA ADD_POLICY ( HANDLER_SCHEMA=> HRMGR HANDLER_MODULE=> CATCHLOG ); 細粒度審計事件處理器總結: 在上面的例子中 用戶HRMGR創建了一個存儲過程CATCHLOG 參數的類型和我們的例子必須 一致 但是名字可以改變 審計事件處理器的添加需要一個擁有許可權的用戶 當第一個我們關心的行被取得時 審計事件紀錄將被記錄並存放下來 審計函數HRMGR CATCHLOG 被調用 lishixin/Article/program/Oracle/201311/16647