访问控制是一种安全措施，可用于防止未经授权访问敏感数据。 但是强制访问控制 (MAC) 对安全有何贡献？ 请仔细阅读，找出答案。
什么是访问控制？
用户在探索物理和数字网络时，经常会接触到他们应该或不应该访问的资源和资产。 在数字系统中尤其如此，横向迁移到单独的存储、应用程序或处理位置可能会使整个基础设施面临危险的安全威胁。
为了将资产和资源分开，安全经理使用“访问控制”，它定义了谁可以访问某些资源。
一旦用户已通过身份验证并授权使用用户帐户或身份进入系统，访问控制系统就会建立限制，以管理谁、何时、何地以及在某些情况下该用户如何浏览系统。
虽然从表面上看，这个概念看起来很简单，但有各种不同的访问控制模式可以帮助保护资源免受未经授权的访问，但我们将在这里关注一个——强制访问控制。
什么是强制访问控制 MAC？
强制访问控制 (MAC) 是一种访问控制模型，其中操作系统根据数据机密性和用户许可级别授予用户访问权限。 在此模型中，访问是在需要知道的基础上授予的：用户必须在获得访问权之前证明对信息的需求。
强制访问控制 MAC 也称为非自主控制模型，这意味着控制权不是由用户或文件所有者自行决定授予的。 MAC 的控制机制遵循零信任原则。
MAC被认为是最安全的访问控制模型。 在此模型中，访问规则由系统管理员手动指定，并由操作系统或安全内核严格执行。 即使对于他们开发的数据，普通用户也无法更改安全属性。
强制访问控制 MAC 的基本概念是什么？
- 组织资源的隐私和机密性至关重要。 没有人拥有对其他人数据的默认访问或编辑权限。
- 访问配置是集中管理的。
- 具有分类和类别的安全标签分配给系统中的每个人和资源。
通过 MAC 获取访问权限的过程如下：
- 管理员为不同的项目和资源类型配置访问限制并建立保密级别和许可等安全参数。
- 每个主体（访问数据的用户或资源）和对象（文件、数据库、端口等）都由管理员赋予一组属性。
- 当主体试图访问对象时，操作系统会评估主体的安全属性并确定是否允许访问。
- 用户输入他们的凭据以访问该项目。
除了评估机密性和许可级别（主体和客体之间的分类匹配）之外，操作系统还关注主体和客体之间的类别匹配。 如果用户不是对象所需类别的成员，则拥有“绝密”分类不会自动授予他们对文件的完全访问权限。
考虑具有“绝密”保密级别和“工程项目”安全等级的数据。 只有同时拥有“绝密”许可（分类）和访问工程文档（类别）权限的用户才能访问它。 这些用户还可以访问需要较低级别安全许可的材料。 另一方面，许可级别较低或无法访问工程文件的员工无法访问此类信息。
网络安全系统极大地受益于 MAC。 然而，有许多缺点需要考虑。 考虑强制访问控制的优点和缺点。
MAC的优点和缺点
优点
- 高水平的数据安全性 – 对象的访问权限由管理员定义，用户无法更改该访问权限。
- 粒度 — 管理员手动配置用户访问权限和对象访问参数。
- 免受特洛伊木马攻击 – 用户无法解密或提供对机密材料的访问权限，从而使其免受特洛伊木马攻击。
- 错误更少 – 严格且定期监控的策略有助于减少导致用户权限过高的系统错误。
- 严格划分 – 管理员将用户划分为子集，并利用安全属性来限制这些分组的资源暴露。
缺点
- 可维护性 – 手动配置安全级别和权限需要管理员持续关注。
- 可扩展性 – MAC 不会自动扩展。 新用户和数据需要经常调整对象和帐户配置。
- 干扰用户工作 – 用户必须请求访问他们遇到的每条新数据； 他们无法为自己的数据定义访问参数。
什么时候应该使用强制访问控制 MAC？
这种访问控制模型主要由政府机构、军队和执法机构采用。 美国政府使用 MAC 来保护机密信息以及支持分层安全策略和应用程序。 在保险和银行业，MAC 用于控制对客户账户数据的访问，以实现更好的数据保护和合规性。 这种非自主访问控制模型还可以保护对数据库的访问，其中对象是过程、表、视图和其他特性。
在将数据安全性置于运营灵活性和费用之上的公司中使用 MAC 是有意义的。 由于系统的复杂性和不灵活性，在私人组织中实施 MAC 并不常见。
纯 MAC 模型提供细粒度和高级别的安全性。 但是，很难设置和管理。 因此，MAC 经常与其他访问控制方案结合使用。
例如，将它与基于角色的模型结合起来可以加快用户配置文件的创建。 管理员可以构建用户角色，而不是为每个单独的用户定义访问权限。 每个组织中都存在具有类似角色和访问权限的用户：具有相同职位的员工、第三方供应商等。 管理员可以为这些组配置角色，而不是从头开始构建单个用户配置文件。
另一个常见的配对是 MAC 与自由访问控制模型，缩写为 DAC。 MAC 保护敏感数据，而 DAC 允许同事在公司文件系统内共享信息。
其他访问控制方法
＃1。 基于规则的访问控制
此方法根据一组预定义的规则和策略为用户分配权限。 这些规则建立了一个“上下文”，从中可以获得资源访问。 这些限制在附加到“对象”（资源，无论是处理权限、数据、帐户访问还是其他）的访问控制列表 (ACL) 中进行了概述。
基于规则的访问的一些示例包括将系统访问限制在一天中的特定时间或位置（例如，限制对办公室位置或附近的设备的访问）。
#2。 基于角色的访问控制
基于角色的访问是一种组织的用户角色定义访问权限的方法。 该组织将具有明确定义的组织层次结构以及一组明确定义的权限，具体取决于该层次结构中的职责。 分配给角色的任何用户都将被授予与该角色关联的权限。
基于角色的访问非常普遍。 基于角色的权限最常见于多用户系统中。 面向公众的服务提供商（例如电子邮件或云服务提供商）可能有多个类别的帐户（用户、VIP 用户、管理员、版主等），每个帐户都有自己的权限和访问控制示例。 为了允许共享环境，基于角色的系统将限制谁可以访问系统内的内容。
#3。 基于属性的访问控制
基于属性的系统比基于角色和基于规则的系统更细化。 与查看与资源（如在规则系统中）或角色（如在角色系统中）相关的规则列表不同，基于属性的系统可以从用户帐户中提取动态信息，以创建更流畅和响应更快的访问系统。
假设一家公司处理分类示例。 因此，个人用户可能被指定访问秘密数据——这将是个人的属性，而不是角色或资源。
这些访问控制技术并不相互排斥。 例如，基于属性和角色的系统可用于微调系统和数据安全性。
#4。 自主访问控制
另一方面，自主访问控制 (DAC) 允许客户和业务最终用户对其访问控制进行额外控制。 虽然安全管理员可以在整个系统中创建角色和权限，但用户可以覆盖这些权限以向某些用户提供访问权限，这些用户应该根据他们的业务凭证具有访问权限。
这种策略可以为公司授予人们访问权限的方式提供一些灵活性。 当本地业务管理员忽略更新或配置其本地权限时，可能会引入漏洞。 因此，DAC 是一种高维护技术，虽然适应性强，但需要经常维护。
强制访问控制和自主访问控制有什么区别？
MAC 和 DAC 是极化的。 虽然各种访问控制方法可以以某种方式共存，但很难（如果不是不可能的话）成功地同时部署 DAC 和 MAC 而不会相互干扰。
话虽如此，这些不兼容性部分是由两种技术之间的差异引起的。 强制和酌情在几个重要方面有所不同：
- 保护： 如果应用得当，强制自由裁量权可提供更可靠和可预测的保护。 自主访问控制可以为组织提供重要的灵活性，但它也可能在个人和组织范围内的权限之间产生冲突。
- 用户控制： 此外，强制限制在其架构之外并不是非常灵活，并且有充分的理由来解决与访问相关的组织安全挑战。 但是，在某些真实情况下，即使他们的职位或用户属性不允许，也应该授予组织中的员工访问特定资源的权限。
- 可维护性： 通常，强制访问控制是自上而下开发并集中规划的。 也就是说，它们可以支持整个系统的强大授权，并在单个位置实施安全和监管要求。
另一方面，如果最终用户粗心地实施本地访问控制或在员工离职或终止时未能更新其权限列表，则 DAC 可能会变得复杂。
结论
强制访问控制 (MAC) 是一种安全方法，可限制单个资源所有者授予或禁止访问文件系统资源对象的能力。 系统管理员定义 MAC 要求，这些要求由操作系统 (OS) 或安全内核严格执行，最终用户无法更改。
强制访问控制通常用于政府和军事设施，通过为每个文件系统项目分配分类标签来运行。 分为三个级别：机密、机密和绝密。 系统上的每个用户和设备都在同一级别进行分类和清除。 当一个人或设备尝试访问某个资源时，操作系统或安全内核会检查实体的凭据以确定访问是否被授权。 虽然它是可用的最安全的访问控制选项，但 MAC 需要仔细规划和定期监控，以确保正确分类所有资源对象和用户。
MAC 是最高级别的访问控制，相对于较低级别的自主访问控制 (DAC)，它允许各个资源所有者创建自己的规则并施加安全约束。
强制访问控制常见问题解答
MAC和DAC有什么区别？
DAC 的使用不太安全。 MAC的使用更安全。 DAC 的所有者可以根据用户的身份定义访问和权限，以及限制资源。 在 MAC 中，系统只评估访问权限，并且根据个人权限限制资源。
Windows 使用 MAC 还是 DAC？
大多数操作系统，包括所有版本的 Windows、Linux 和 Macintosh，以及大多数种类的 Unix，都基于 DAC 模型。
什么是 DAC 型号？
自主访问控制 (DAC) 是一种访问控制模型，其中访问权限由资源的所有者决定。 资源的所有者可以控制谁有访问权，谁没有访问权，以及他们拥有什么样的访问权。
相关文章
- 自由访问控制：定义和示例
- Active Directory 管理工具：它是什么以及您需要了解的所有信息
- 全权委托投资管理：概述、优势和风险
- 可自由支配收入的定义：它是什么、区别和例子
- 学校管理软件：2022 年的首选
参考资料
