【等保小知识】什么是基于安全标记的访问控制机制?有什么特性?

这篇具有很好参考价值的文章主要介绍了【等保小知识】什么是基于安全标记的访问控制机制?有什么特性?。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

【导读】依据《信息安全技术网络安全等级保护基本要求》(GB/T 22239—2019),第三级以上的等级保护对象应实现基于安全标记的访问控制机制(LBAC)。那具体什么是基于安全标记的访问控制机制?有什么特性?

什么是基于安全标记的访问控制机制?

首先我们要清楚,访问控制机制是指对主体访问客体的权限或能力的限制,以及限制进入物理区域(出入控制)和限制使用计算机系统和计算机存储数据的过程(存取控制)。

其次,我们要知道基于安全标记的访问控制机制是指以安全标记为基础,访问许可是根据访问主体和被访问数据资源的安全标记进行判定。

最后我们来看看基于安全标记的访问控制机制有什么特性?

1、以安全标记为基础,访问许可是根据访问主体和被访问数据资源的安全标记进行判定;

2、强制性,访问控制策略(含安全标记)应由授权主体配置,且第四级明确提出了强制访问控制规则的要求,明显区别于自主访问控制机制(DAC);

3、细粒度,访问控制策略对主体和客体的粒度有明确的要求。

基于安全标记的访问控制机制构建模块(来源于网络安全等级保护网)

1、构建数据安全标记:在构建安全标记时,可以依据等级保护对象的定级结果对业务应用系统的数据资源进行梳理,并将数据资源的分类(业务范围)、分级(业务信息安全保护等级)结果作为数据安全标记。

2、构建用户安全标记:梳理业务应用系统的用户职责及工作流,按照日常业务所需为用户打上安全标记,并将用户标识与对应的用户安全标记数据存储在用户标签表中。其中,用户安全标记也包含业务范围和业务信息安全保护等级两个要素,其含义与数据安全标记保持一致。数据资源梳理完成后,将安全标记数据存储到数据库中的数据标签表中,该表用于存储数据资源的基本信息以及对应的数据安全标记。

3、构建访问策略。依据用户及数据资源的安全标记梳理结果初步构建用户安全标记与数据安全标记的映射关系,并将策略结果存储到数据库中访问控制策略表。

4、实现访问控制机制:以J2EE框架的应用为例,为了最小化的对业务逻辑的侵占,可以利用java注解和AOP的方式实现强制访问控制。首先,Controller层打上业务数据的注解,注解记录需要用到的数据库表名。其次,实现框架的AOP切面接口对Controller层的调用进行拦截,解析请求获取用户角色信息,同时利用反射机制获取表名信息。最后,通过关联查询数据库中的强制访问控制策略表,数据标签表和用户标签表来判断用户是否具备访问对应数据表的权限。文章来源地址https://www.toymoban.com/news/detail-461776.html

到了这里,关于【等保小知识】什么是基于安全标记的访问控制机制?有什么特性?的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • Windows安全——访问控制概述

    在Windows安全体系中,授权(Authorizatiion)是授予个人使用系统和其中存储的数据的权利。通常由系统管理员设置并根据用户身份进行验证。            授权是Windows安全机制中一个非常重要的环节,由于要应对各种应用场景,所以授权成为一个庞大复杂的体系。今天我只根据

    2024年04月27日
    浏览(27)
  • linux安全-自主访问控制

    在计算机安全领域,访问发起者被称为主体,访问动作就是具体的操作,被访问者被称为客体。比如,进程A 读文件 a,进程 A 是主体,读是操作,文件 a 是客体。Linux的主体只能是进程;操作只有读、写或者执行;客体可以是目录和文件{包括管道、设备、IPC(进程间通信)

    2024年02月06日
    浏览(38)
  • 计算机安全学习笔记(I):访问控制安全原理

    从广义上来讲,所有的计算机安全都与访问控制有关。 RFC 4949: Internet Security Glossary, Version 2 (rfc-editor.org) RFC 4949 定义的计算机安全:用来实现和保证计算机系统的安全服务的措施,特别是保证访问控制服务的措施。 访问控制实现的安全策略是,指定对于每个具体的系统资源,

    2024年02月10日
    浏览(43)
  • 41 JAVA安全-目录遍历访问控制XSS等安全问题

    Javaweb代码分析-目录遍历安全问题 代码解析及框架源码追踪: 第一关: Payload: …/x …/相当于跨越上级目录的符号,…/x可以更改默认上传文件的路径 通过命名文件的名字,在文件名命名加入路径符号,来实现将这个文件在上传路径上的更改 目录解析,如果对方设置了目录解

    2024年01月21日
    浏览(34)
  • HBase安全策略:访问控制与数据加密

    在大数据时代,HBase作为一个分布式、可扩展的列式存储系统,已经成为了许多企业的核心基础设施。然而,随着数据的增长和业务的复杂化,数据安全性和访问控制也成为了关键的问题。因此,在本文中,我们将深入探讨HBase安全策略的两个核心方面:访问控制和数据加密。

    2024年02月22日
    浏览(37)
  • 信息安全系统导论第四章访问控制

    1)基本目标:依据授权对提出的资源访问请求进行控制,防止对任何资源进行未授权的访问。 2)访问控制模型基本组成: 3)三要素: 主体(subject):访问的发起者,通常为进程或用户。 客体(object):可供访问的各种软硬件资源。 策略(policy):定义了主体对客体的权

    2024年02月13日
    浏览(47)
  • 信息系统安全——Linux 访问控制机制分析

    实验   4    Linux   访问控制机制分析 4.1   实验名称 《 Linux   访问控制机制分析》 4.2   实验目的 1   、熟悉   Linux 基本访问控制机制使用和原理 2   、熟悉   Linux   S   位的作用和使用 3   、熟悉强制访问控制   Selinux   原理及其使用 4.3   实验步骤及内容 1   、 Linux  

    2024年01月18日
    浏览(55)
  • 【计算机三级信息安全】访问控制模型

    在计算机系统中, 认证、访问控制(Access Control)和审计 共同建立了保护系统安全的基础。认证是用户进入系统的第一道防线,访问控制是在鉴别用户的合法身份后,控制用户对数据信息的访问,它是通过引用监控器实施这种访问控制的。 访问控制是在身份认证的基础上,

    2024年02月06日
    浏览(48)
  • C++ 访问说明符详解:封装数据,控制访问,提升安全性

    访问说明符是 C++ 中控制类成员(属性和方法)可访问性的。它们用于封装类数据并保护其免受意外修改或滥用。 public :允许从类外部的任何地方访问成员。 private :仅允许在类内部访问成员。 protected :允许在类内部及其派生类中访问成员。 解释: 在 Person 类中,

    2024年04月24日
    浏览(36)
  • 等保中级测评师知识框架——一、基础知识(8)

    工具测试,是利用各种测试工具,通过对目标系统的扫描、探测等操作,使其产生特定的响应等活动,通过查看、分析响应结果,获取证据以证明信息系统安全保护措施是否得以有效实施的一种方法 利用工具测试,可以直接获取到目标系统存在的系统、应用等方面的漏洞。

    2023年04月08日
    浏览(43)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包