什么是细粒度访问控制

㈠ 堡垒机有哪些核心功能堡垒机的核心功能介绍

单点登录功能、账号管理、身份认证、资源授权、访问控制、操作审计。介绍同一楼~~，碉堡堡垒机具备这些功能

㈡ 什么叫粗粒度控制，什么又叫细粒度控制

客体的访问控制粒度由粗到细可以是整个应用系统 某个网络系统．某个服务器细粒度的访问控制，通常是指在操作系统、数据库管理系统中所提供的用户对文件

㈢ 为什么基于密码学地细粒度访问控制仍然有研究和应用的必要呢

大数据安全的基础, 就是基于密码学的访问控制. 这种访问控制技术依赖于密钥的安全性, 不需要可信监控机, 传统的基于引用监控机的访问控制不能适应庞大的数据量的需求, 出现难以管理和耗费大量资源的窘境, 因此基于密码学的访问控制技术就是数据时代的必由之路.

分类
基于密码学的访问控制主要有两大类

基于密钥管理的访问控制, 通过确保数据解密密钥只有授权用户持有来实现, 通常依靠可信密钥管理服务器实现. 不过这种方法同可信监控机一样不适用于大数据环境, 但是有一种广播加密技术提供解决方案.
基于属性加密的访问控制, 不带可信监控机的ABAC模型, 将属性集合作为公钥, 只有符合属性集合的用户才能解密数据. 衍生有两种, 基于密钥策略的属性加密(Key Policy Attribute-Based Encryption, KP-ABE)和基于密文策略的属性加密(Ciphertext Policy Attribute-Based Encryption, CP-ABE)

㈣ 什么算是信息系统整体访问控制策略

信息系统整体的安全运行。
身份鉴别与访问控制是信息安全领域的两个十分重要的概念。然而，对这两个概念的含义往往有不同的理解。希望通过本文所引发的讨论能对统一这两个概念的理解有所帮助。
在GB17859中．身份鉴别指的是用户身份的鉴别，包括用户标识和用户鉴别。在这里．用户标识解决注册用户在一个信息系统中的惟一性问题．用户鉴别则解决用户在登录一个信息系统时的真实性问题。一般情况下．当用户注册到一个系统时，系统应给出其惟一性的标识．并确定对其进行鉴别使用的信息(该信息应是保密的、并且是难以仿造的．一方面以一定方式提供给用户．另一方面由系统保存)。当用户登录到该系统时，用户应提供鉴别信息，系统则根据注册时所保留的鉴别信息对用户所提供的鉴别信息的真实性进行鉴别。
其实．从更广义的范围来讲．信息系统中的身份鉴别应包括用户身份鉴别和设备身份鉴别．用户身份鉴别又分为注册用户的身份鉴别和网上数据交换用户的身份鉴别。上述GB17859中的身份鉴别主要指的是注册用户的身份鉴别。网上数据交换时用户的身份鉴别是指非注册用户间进行数据交换时的身份鉴别。也就是通常所说的在相互不知道对方身份的情况下，又要确认对方身份的真实、可信．从而确认数据交换的可信赖性。这就需要通过所谓的可信第三方(如由CA系统提供的认证机制)实现数据交换双方身份的真实性认证。关于设备的身份鉴别．其实与注册用户的身份鉴别没有多大区别．只是鉴别的对象是接入系统的设备而已。对接入系统的设备进行身份鉴别．同样要先对其进行注册，并在注册时确定鉴别信息(鉴别信息既与设备相关联．又由系统保留)。当需要将设备接入系统时．被接入设备需提供鉴别信息，经系统确认其身份的真实性后方可接入。
访问控制在GB17859中同样有其特定的含义．并对自主访问控制和强制访问控制的策略做了具体的说明。其实．访问控制在更广的范围有着更广泛的含义。在许多情况下．人们往往把身份鉴别也称作是一种访问控制。如果我们把是否允许登录系统看作是是否允许对系统进行访问．把身份鉴别称为访问控制也未尝不可。问题是需要对其具体含义做清晰的描述。这也是我们为什么把身份鉴别与访问控制这两个概念一起进行讨论的原因
谈到访问控制．首先必须对访问控制的粒度有所了解。访问控制讲的是对主体访问客体的控制。粒度显然涉及主体和客体两个方面。主体一般是以用户为单位实施访问控制(划分用户组只是对相同访问权限用户的一种管理方法)．网络用户也有以IP地址为单位实施访问控制的。客体的访问控制粒度由粗到细可以是整个应用系统 某个网络系统．某个服务器系统，某个操作系统．某个数据库管理系统、某个文件 某个数据库．数据库中的某个表 甚至库表中的某个记录或字段等。一般来讲 对整个系统(包括信息系统、网络系统、服务器系统、操作系统、数据库管理系统、应用系统等)的访问．通常是采用身份鉴别的方法进行控制．也就是相对的粗粒度访问控制。细粒度的访问控制，通常是指在操作系统、数据库管理系统中所提供的用户对文件或数据库表、记录／字段的访问所进行的控制．也就是GB17859中所描述的经典的访问控制。这类访问控制分为自主访问控制和强制访问控制两种。当然也可以在网关等处设置以服务器为对象的自主访问控制或强制访问控制机制，实现以服务器为粒度的访问控制。
所谓自主访问控制是指由系统提供用户有权对自身所创建的访问对象(文件、数据库表等)进行访问．并有权将对这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限。访问对象的创建者还有权进行授权转让” 即将 授予其他用户访问权限 的权限转
让给别的用户。需要特别指出的是，在一些系统中．往往是由系统管理员充当访问对象的创建者角色 并进行访问授权 而在其后通过”授权转让 将权限转让给指定用户．于是容易引起这种访问控制不是由用户自主决定访问权限的误会。
所谓强制访问控制是指由系统(通过专门设置的系统安全员)对用户所创建的对象进行统一的强制性控制，按照确定的规则决定哪些用户可以对哪些对象进行哪些操作类型的访问，即使是创建者用户，在创建一个对象后．也可能无权访问该对象。强制访问控制常见的安全模型是Bell—La pala模型(也称多级安全模型)。该模
型的安全策略分为强制访问和自主访问两部分。自主访问控制允许用户自行定义其所创建的数据．它以一个访问矩阵表示包括读、写、执行、附加以及控制等访问模式。由于它的自主访问控制策略已广为人们熟知。所以在提到多级安全模型时．往往重点探讨其强制访问控制策略。多级安全模型的强制访问控制策略以等级和范畴
作为其主、客体的敏感标记，并施以”从下读、向上写”的简单保密性规则。需要强调的是．作为敏感标记的等级和范畴．必须由专门设置的系统安全员，通过由系统提供的专门界面设置和维护．敏感标记的改变意味着访问权限的改变。因此可以说．所有用户的访问权限完全是由安全员根据需要决定的。强制访问控制还有其他安
全策略 比如 角色授权管理 。该安全策略将系统中的访问操作按角色进行分组管理。一种角色执行一组操作．由系统安全员统一进行授权。当授予某个用户某一角色时，该用户就具有执行该角色所对应的一组操作的权限。当安全员撤销其授予用户的某一角色时，相应的操作权限也就被撤销。这完全类似于现实社会中对领导职务的任命和撤销。这一策略的访问权限也是通过安全员通过角色授权决定的。
与访问控制相关联的另一个十分重要的概念是 用户一主体绑定 。这一概念的引入．对多用户环境、进程动态运行所实施的访问操作的控制提供了支持。作为动态运行的系统进程．它在不同时间段为不同的用户服务 因而无法为其设置固定的敏感标记。通过用户一主体绑定机制．可以将进程动态地与其所服务的用户相关联。于是．在任何时候．进程所实施的访问操作都能够通过这种关联找到其所服务的用户，也就能找到实施强制访问控制的主体。操作是由进程实施的．而确定是否允许进行此次访问的主体对象却是进程为其服务的用户

㈤ 细粒度访问原则

分区细粒度访问控制 例如:在一个控制环境中 这个特性被用来控制两个公司对sales表的访问 每一个公司拥有的独立的应用程序sell_it和prod_opt 需要拥有不同的安全策略 第一个公司的sell_it应用程序认证的用户需要只能访问表中来自他们相同地区的记录;那就是sales cust_id+untry的联合校验必须符合这个用户的地区相吻合 第二个公司的prod_opt应用程序的访问权限被设置为只能访问最近事务提交的记录上 也就是与sales time_id相关联 在 i中 在一个细粒度访问控制中拥有这两个策略将需要开发公司共同协作部署 如果两个产品来自竞争的两个公司 这实际上是不可行的 依靠定义 应用程序设置 来强行控制对基本objects的一些特殊规定 每一个应用程序现在能够实现一系列私有的安全策略 二:细粒度审计 一个提供扩展的入侵检测 捕获sql执行语句 而不是返回数据的工具 可以将审计策略捆绑在带有where条件的select语句的表或视图上 oracle用自治事务来处理用户自定义的审计事件 一个基于列的审计特性减少了错误审计的发生 数据库管理系统中的审计经常被用来监控数据的访问 审计纪录是验证违反数据访问权限的基础 新的细粒度审计机制从事于执行更细小级别的审计 新的审计原则是基于简单的用户定义关于表的查询条件的sql谓词 谓词可以在当查询结果中返回了指定的值得时候进行审计 在基于查询值的审计中 也有一些情形下管理员只关心某一个特定的被引用和访问列情况 因为无论一个列的查询审计发生在dml的任何部分都可以进行审计 所以oracle对这个查询的审计将不存在任何问题 在 i中 审计项只能被设置用来监控对对象的访问权 只有一些固定的情况 比如用户id 时间戳 对象名称会被记录在审计跟踪里 细粒度审计可以调用一个存储过程来作为审计过程的一部分 如何进行细粒度审计 安全管理员用dbms_fga包来为有问题的表建立审计原则 dbms_fga add_policy() dbms_fga enable_policy() dbms_fga disable_policy() dbms_fga drop_policy() PROCEDURE ADD_POLICY 参数名称 类型输入/输出默认值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN AUDIT_CONDITIONVARCHAR IN DEFAULT AUDIT_COLUMN VARCHAR IN DEFAULT HANDLER_SCHEMA VARCHAR IN DEFAULT HANDLER_MODULE VARCHAR IN DEFAULT ENABLE BOOLEAN IN DEFAULT PROCEDURE DISABLE_POLICY 参数名称 类型输入/输出默认值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN PROCEDURE DROP_POLICY 参数名称 类型输入/输出默认值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN PROCEDURE ENABLE_POLICY 参数名称 类型输入/输出默认值？ OBJECT_SCHEMAVARCHAR IN DEFAULT OBJECT_NAMEVARCHAR IN POLICY_NAMEVARCHAR IN ENABLE BOOLEAN IN DEFAULT 用表dba_audit_policies来列出已定义的原则 用表dba_fga_audit_trail来放置审计纪录 这个表包括触发审计的用户名 SQL语句 审计名称 会话ID号 时间戳 和其他一些属性 管理员可以定义审计事件处理器来处理发生的时间 比如像管理员传送警告页 下面列举一个新的细粒度原则的例子 从这个例子我们可以看出 I细粒度审计原则与 I的区别 如果我们的原则设为:AUDIT_CONDITION= SALARY> 这个时候我们看一下我们执行 SELECT last_name salary FROM employees WHERE last_name = Russell 尽管我们选择的查询条件中没有包含SALARY列 但是由于我们的对SALARY列进行查询 如果RUSELL的SALARY值大于 那么这条记录将被审计 审计纪录如下 SELECT LAST_NAME SALARY FROM EMPLOYEES WHERE LAST_NAME= RUSSELL <TIMESTAMP> <SCN> <USERNAME> 如果我们执行 SELECT LAST_NAME SALARY FROM EMPLOYEES WHERE SALARY< 那么尽管这条语句访问 查询了SALARY列 但是由于他访问的值未达到审计阀值 那么将不被审计 细粒度审计只对一个有WHERE条件的SELECT语句有效 并且只能设定一个被审计的列 上面的查询语句触发的事件不是造成用户无法查询到这些语句 这些SALARY> 实际上被返回 给查询用户 但是同时一个审计事件被写到审计跟踪里 包括完整的SQL语句 时间戳等信息 细粒度审计并不自动的捕获返回给查询用户的查询结果 但是你可以用细粒度审计原则结合闪回 查询重建返回给用户的纪录 细粒度审计能够实现数据库系统的入侵监测功能 例如 开发人员可以为一个审计增加一个事件处理器来通知管理员 是否有被审计的事件发生 非SQL的访问是不被审计的 例如:如果你使用DIRECT PATH EXPORT 这种方式绕过了数据库的SQL层 审计条件将不被触发 细粒度审计事件处理器 如何创建 CREATE PROCEDURE catchlog (schema_name VARCHAR table_name VARCHAR policy VARCHAR ) AS BEGIN send an alert note to my pager UTIL_ALERT_PAGER( CatchLog: ||Table_name||SYSDATE); END; / 如何添加 DBMS_FGA ADD_POLICY ( HANDLER_SCHEMA=> HRMGR HANDLER_MODULE=> CATCHLOG ); 细粒度审计事件处理器总结: 在上面的例子中 用户HRMGR创建了一个存储过程CATCHLOG 参数的类型和我们的例子必须 一致 但是名字可以改变 审计事件处理器的添加需要一个拥有权限的用户 当第一个我们关心的行被取得时 审计事件纪录将被记录并存放下来 审计函数HRMGR CATCHLOG 被调用 lishixin/Article/program/Oracle/201311/16647