第三季度DDoS报告

3）基于对象的访问控制

DAC或MAC模型的主要任务都是对系统中的访问主体和受控对象进行一维的权限管理。当用户数量多、处理的信息数据量巨大时，用户权限的管理任务将变得十分繁重且难以维护，这就会降低系统的安全性和可靠性。

对于海量的数据和差异较大的数据类型，需要用专门的系统和专门的人员加以处理，如果采用基于角色的访问控制模型，安全管理员除了需要维护用户和角色的关联关系外，还需要将庞大的信息资源访问权限赋予有限个角色。

当信息资源的种类增加或减少时，安全管理员必须更新所有角色的访问权限设置，如果受控对象的属性发生变化，以及需要将受控对象不同属性的数据分配给不同的访问主体进行处理时，则安全管理员将不得不增加新的角色，还必须更新原来所有角色的访问权限设置以及访问主体的角色分配设置。

这样的访问控制需求变化往往是不可预知的，这会导致访问控制管理难度增加工作量变大。因此，在这种情况下，有必要引入基于受控对象的访问控制模型。

控制策略和控制规则是基于对象的访问控制（Object-based Access Control，OBAC）系统的核心所在。在基于受控对象的访问控制模型中，会将访问控制列表与受控对象或受控对象的属性相关联，并会将访问控制选项设计成为用户、组或角色及其对应权限的集合；同时允许对策略和规则进行重用、继承和派生操作。这样，不仅可以对受控对象本身进行访问控制，也可以对受控对象的属性进行访问控制，而且派生对象可以继承父对象的访问控制设置，这对于信息量巨大、信息内容更新变化频繁的信息管理系统非常有益，可以减轻由信息资源的派生、演化和重组等带来的分配、设定角色权限等工作量。

OBAC系统从信息系统的数据差异变化和用户需求出发，有效地解决了信息数据量大、数据种类繁多、数据更新变化频繁的大型信息管理系统的安全管理问题。同时，从受控对象的角度出发，将访问主体的访问权限直接与受控对象相关联。一方面，定义对象的访问控制列表，使增、删、修改访问控制项易于操作；另一方面，当受控对象的属性发生改变，或者受控对象发生继承和派生行为时，无须更新访问主体的权限，只须修改受控对象的相应访问控制项即可，从而减少了访问主体的权限管理，降低了授权数据管理的复杂性。

4）基于任务的访问控制

基于任务的访问控制（Task-based Access Control，TBAC）是从应用和企业层面来解决安全问题的，从任务（活动）的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态、实时的安全管理。

在TBAC模型中，对象的访问权限控制并不是静止不变的，而是会随着执行任务的上下文环境发生变化。TBAC首要考虑的是在工作流的环境中对信息的保护问题：在工作流环境中，数据的处理与上一次的处理相关联，相应的访问控制也是如此，因此TBAC是一种上下文相关的访问控制模型。其次，TBAC不仅能对不同的工作流实行不同的访问控制策略，还能对同一工作流的不同任务实例实行不同的访问控制策略。从这个意义上说，TBAC是基于任务的，这也表明，TBAC是一种基于实例（instance-based）的访问控制模型。

TBAC模型由工作流、授权结构体、受托人集、许可集这4部分组成。

任务（task）是工作流中的一个逻辑单元，是一个可区分的动作，与多个用户相关，也可能包括几个子任务。授权结构体（authorization unit）是任务在计算机中进行控制的一个实例。任务中的子任务对应于授权结构体中的授权步。

授权结构体是由一个或多个授权步（authorization step）组成的结构体，它们在逻辑上是联系在一起的。授权结构体分为一般授权结构体和原子授权结构体。一般授权结构体内的授权步依次执行，原子授权结构体内的每个授权步紧密联系，其中任何一个授权步失败都会导致整个结构体的失败。

授权步表示一个原始授权处理步，是指在一个工作流中对处理对象的一次处理过程。授权步是访问控制所能控制的最小单元，由受托人集（trustee-set）和多个许可集（permissions-set）组成。

受托人集是可被授予执行授权步的用户的集合，许可集则是受托集的成员被授予授权步时拥有的访问许可。在授权步初始化以后，一个来自受托人集中的成员将被授予授权步，我们称这个受托人为授权步的执行委托者，该受托者执行授权步过程中所须许可的集合称为执行者许可集。授权步之间或授权结构体之间的相互关系称为依赖（dependency），依赖反映了基于任务的访问控制的原则。授权步的状态变化一般由自身管理，即依据执行的条件自动变迁状态，但有时也可以由管理员进行调配。

一个工作流的业务流程由多个任务构成，而一个任务对应于一个授权结构体，每个授权结构体由特定的授权步组成。授权结构体之间以及授权步之间通过依赖关系联系在一起。在TBAC中，一个授权步的处理可以决定后续授权步对处理对象的操作许可，这些许可的集合称为激活许可集。执行者许可集和激活许可集一起称为授权步的保护态。

（编辑：伊春站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!