门禁系统详细讲解

门禁系统详细讲解访问控制访问控制是一种使管理机构能够控制对特定物理设施或计算机信息系统中的区域和资源的访问的系统。在计算机安全领域，访问控制包括身份验证、授权和审计。它还包括一些措施，例如物理设备（包括生物识别扫描和金属锁）、隐藏路径、数字签名、加密、社会屏障以及人工和自动化系统的监控。在任何访问控制模型中，能够在系统中执行操作的实体称为主体，而代表需要控制访问权限的资源的实体称为对象（另见访问控制矩阵）。主体和对象都应被视为软件实体和人类用户。当前系统使用的访问控制模型往往分为两类：基于能力的访问控制模型和基于访问控制列表(ACL)的访问控制模型。在基于能力的模型中，持有对某一对象不可伪造的参照或能力，即可获得对该对象的访问权限。通过安全通道传输此类功能，即可将访问权限传递给另一方。在基于访问控制列表（ACL）的模型中，主体对对象的访问权限取决于其身份是否在与该对象关联的列表中。身份识别、授权、认证身份识别与认证(I&A)、授权和问责等基本服务，其中：身份识别和认证决定了谁可以登录系统，以及用户与他们登录后能够控制的软件主体之间的关联；授权决定了主体可以做什么；问责制明确了主体（或与用户相关的所有主体）的行为。身份识别和认证（I&A）：身份识别和认证（I&A）是验证身份是否与提出身份主张或声明的实体相关的过程。身份与认证流程假定已对身份进行初步验证，通常称为身份验证。身份验证方法多种多样，从使用政府颁发的身份证明进行当面验证，到允许申请人保持匿名但系统在其返回时仍能识别其身份的匿名方法，不一而足。用于身份验证的方法应提供与系统中身份预期用途相称的安全级别。随后，实体通过身份验证器声明其身份，以此作为验证手段。标识符的唯一要求是它在其安全域内必须是唯一的。身份验证器通常基于以下四个因素中的至少一个：你知道的信息，例如密码或个人识别码（PIN）。这假设只有账户所有者知道访问账户所需的密码或PIN码。您拥有的物品，例如智能卡或安全令牌。这假设只有账户所有者才拥有解锁账户所需的智能卡或令牌。你自身的某些特征，例如指纹、声音、视网膜或虹膜特征（生物识别）。您所在的位置（在公司防火墙内还是防火墙外），或者登录位置与个人GPS设备的距离。授权：授权适用于主体。授权决定主体可以在系统上执行哪些操作。大多数现代操作系统都定义了一系列权限，这些权限是三种基本访问类型的变体或扩展：阅读（R）：该主题可以读取文件内容，列出目录内容写入（W）：用户可以通过以下任务更改文件或目录的内容：添加、创建、删除、重命名执行(X)：如果文件是程序，则用户可以执行该程序。（在Unix系统中，当授予目录“执行”权限时，它也兼具“遍历目录”权限。）访问控制保护对象：需要保护的系统资源。内存、文件、目录、硬件资源、软件资源等。主体：请求访问资源的活跃实体用户、所有者、程序等。访问模式：访问类型读、写、执行访问控制要求无法绕过强制执行最小权限和按需知悉原则执行组织政策访问控制：确保所有对对象的直接访问均已获得授权。通过规范数据和程序的读取、写入和执行，防止意外和恶意威胁。需要：正确的用户身份识别和认证指定访问权限的信息受到保护，不得修改。访问控制组件：访问控制策略：指定系统的授权访问权限。访问控制机制：实施并强制执行策略组件分离可以实现以下目标：定义访问要求，使其独立于实施过程。比较不同政策实施能够强制执行各种政策的机制访问控制模型所有访问权限自主空调强制空调基于角色的空调自主访问控制自主访问控制（DAC）：是由对象所有者决定的访问策略。所有者决定谁可以访问该对象以及他们拥有哪些权限。DAC中的两个重要概念是文件和数据所有权：系统中的每个对象都有一个所有者。在大多数数据访问控制系统中，每个对象的初始所有者是创建该对象的主体。对象的访问策略由其所有者决定。访问权限：这是所有者可以分配给其他主体对特定资源的控制权限。在基于访问控制列表（ACL）或基于能力的访问控制系统中，访问控制可能具有自主性。（在基于能力的系统中，通常没有明确的“所有者”概念，但对象的创建者对其访问策略拥有类似的控制权。）自主访问控制因此，在自主访问控制中，访问控制基于用户身份和访问控制规则最常见的管理方式：业主主导用户可以保护自己的财产。所有者可允许他人进入。所有者可以定义授予他人的访问权限类型。DAC概述优势：直觉的易于实施缺点：固有的脆弱性维护ACL或能力列表维持授予/撤销有限的否定授权权强制访问控制强制访问控制(MAC)是一种由系统而非所有者决定的访问策略。MAC用于处理高度敏感数据（例如政府和军事机密信息）的多级系统中。多级系统是指能够处理主体和对象之间多个密级分类的单一计算机系统。敏感度标签：在基于消息认证码（MAC）的系统中，所有主体和客体都必须被分配标签。主体的敏感度标签指定其信任级别。客体的敏感度标签指定访问所需的信任级别。为了访问特定客体，主体的敏感度级别必须等于或高于所请求客体的敏感度级别。数据导入和导出：控制从其他系统导入信息以及向其他系统（包括打印机）导出信息是基于MAC的系统的关键功能，必须确保敏感信息标签得到正确维护和实施，以便敏感信息始终得到适当保护。强制访问控制对象：安全分类

例如，grades=(confidential,{student-info})主题：安全许可

例如，Joe=(confidential,{student-info})访问规则：通过比较请求对象的安全分类与主体的安全许可来定义。

例如，只有当标签（主语）大于标签（宾语）时，主语才能读取宾语。强制访问控制如果满足访问控制规则，则允许访问。

例如，乔想查看成绩。label(Joe)=(confidential,{student-info})label(grades)=(confidential,{student-info})乔可以查看成绩。基于角色的访问控制基于角色的访问控制(RBAC)是一种由系统而非所有者决定的访问策略。RBAC广泛应用于商业应用和军事系统，尤其是在军事系统中，这些系统可能存在多级安全需求。RBAC与DAC的区别在于，DAC允许用户控制对其资源的访问，而RBAC的访问控制则在系统层面进行，用户无法干预。尽管基于角色的访问控制(RBAC)不具有自主性，但它与监控与授权控制(MAC)的主要区别在于权限处理方式。MAC根据用户的权限级别和附加标签来控制读写权限。RBAC控制权限集合，这些权限集合可能包含复杂的操作（例如电子商务交易），也可能像读写操作一样简单。在RBAC中，角色可以被视为一组权限。RBAC动机多用户系统多应用系统权限与角色相关联角色权限分配是持久性的，而用户权限分配则是永久性的。直觉：能力、权威和责任规则基于角色的访问控制（RBAC）定义了三条主要规则：1.角色分配：只有当主体选择或被分配了角色后，主体才能执行事务。2.角色授权：用户的活动角色必须经过其授权。结合上述规则1，此规则确保用户只能担任其已获授权的角色。3.交易授权：主体只有在其当前角色拥有交易授权的情况下才能执行交易。结合规则1和2，此规则确保用户只能执行其拥有授权的交易。还可以施加其他限制，并且可以按层次结构组合角色，其中较高级别的角色包含子角色拥有的权限。大多数IT供应商都在一种或多种产品中提供基于角色的访问控制（RBAC）。应用/软件安全确保安全的起点任何关于安全的讨论都应该从清点以下内容开始：利益相关者（所有者、公司……）他们的资产（数据、服务、客户信息……）这些资产面临的威胁（删除、盗窃……）攻击者员工、客户、脚本小子、罪犯如果不了解这些问题，任何关于安全的讨论都是毫无意义的。安全目标知名三人组保密性、完整性、可用性(CIA)还有更多“具体”的目标可追溯性和审计（取证）监控（实时审计）多层安全隐私与匿名...以及元属性确保——目标得以实现“信息保障”如何实现安全目标。AAAA验证你是谁？访问控制/授权控制谁可以做什么这就需要明确规定谁有权做什么。审计检查是否出现任何问题。行动如果是这样，请采取行动。最后三个A的其他名称预防采取措施阻止违反安全目标检测检测违反安全目标的措施反应追回资产、修复损失以及追究（和威慑）违法者的措施良好的预防措施并不能使检测和反应变得多余。例如，闯入任何有窗户的房子都轻而易举；尽管缺乏预防措施，但侦测和应对措施仍然无法阻止窃贼。威胁与安全需求信息披露保密性篡改信息正直拒绝服务攻击（DoS）可用性欺骗验证未经授权的访问访问控制应对措施应对措施可能与信息技术无关。建筑物的物理安全人员筛选威慑犯罪的法律框架培训员工软件/应用程序安全那是什么？软件安全是指通过工程设计，使软件在遭受恶意攻击时仍能继续正常运行。软件安全的各个方面如果我们想要提供安全保障，有哪些方法和技术可供我们选择？软件开发生命周期中的安全性工程与设计原理安全技术敌方如果想要破坏安全系统，可以使用哪些方法和技术？我们面临哪些威胁和漏洞？攻击者可以利用哪些资源和工具？软件漏洞来源应用程序或其基础架构中的错误即，它没有按预期工作。例如，访问标志可以通过用户输入进行修改。基础设施中不恰当的功能它做了它不应该做的事情功能性胜过安全性例如，一个可以显示其他用户信息的搜索功能不当使用基础设施提供的功能主要原因：这些特征的复杂性功能性再次凌驾于安全性之上。开发人员的无知硬件安全硬件安全是指通过物理设备而非安装在计算机系统硬件上的软件来提供漏洞保护。硬件安全可能与用于扫描系统或监控网络流量的设备有关。常见的例子包括：硬件防火墙和代理服务器。硬件系统比软件系统能提供更强的安全性，还可以为关键任务系统增加额外的安全层。硬件安全一词也指保护物理系统免受损害。例如，设备破坏性攻击主要针对计算设备和联网的非计算设备，例如机器对机器或物联网(IoT)环境中的设备。这些环境为大量硬件设备提供连接和通信，这些设备必须通过基于硬件或软件的安全措施进行保护。硬件攻击类型罗姆锤攻击。

这种网络攻击利用了动态随机存取存储器（DRAM）中的一个漏洞。反复访问或敲击DRAM内部的存储单元会释放电荷，使相邻的比特位从0翻转为1，反之亦然。“邪恶女佣”攻击。“邪恶女佣”一词由计算机研究员乔安娜·鲁特科夫斯卡(JoannaRutkowska)于2009年提出，用来指代恶意女佣试图获取遗留在酒店房间的电子设备。这种攻击需要犯罪分子物理接触无人看管的硬件设备，并能以隐蔽的方式对其进行篡改，从而获取受害者的敏感数据。例如，犯罪分子可能会将装有设备修改软件的USB设备插入已关机的计算机，或者安装键盘记录器来记录受害者输入的每一个按键。修改攻击。

网络犯罪分子通过绕过硬件设备的限制，入侵硬件设备的正常运行，从而实施中间人攻击。

伪造硬件攻击。

这是一种供应链攻击，其中未经授权或假冒的设备被出售给组织，从而为网络犯罪分子通过后门渗透这些设备创造了机会。窃听攻击。

这种隐蔽的数据拦截攻击发生在敏感信息（例如信用卡详细信息和密码）从一个设备传输到另一个设备时。在设置和安装硬件时应注意的缓解技术和应对措施：对供应商进行调查。硬件安全风险始于产品开发的初期阶段。生产出有缺陷的硬件组件可能会使脆弱的设备暴露于外部威胁之下。为了最大限度地降低假冒设备的风险，在选择硬件供应商之前，务必对其进行彻底调查。这包括核实供应商的供应商，并审查负责各个部件制造和集成的相关方。此外，对供应商在硬件开发各个阶段采取的安全措施进行详细检查也至关重要。对所有设备进行加密。务必对所有硬件设备进行加密，包括外部闪存存储设备和DRAM接口。硬件加密对于便携式设备（例如笔记本电脑或U盘）尤为重要，因为它可以保护存储在这些设备上的敏感数据。尽量减少攻击面。安全妥善地退役废弃硬件有助于防止意外的硬件攻击。所有退役的硬件和组件，例如调试端口，都应禁用并妥善处置。加强实体安保措施。

公司应在存放硬件和物理设备的区域实施严格的访问控制策略。硬件设备和外围设备不应无人看管地放置在开放区域，员工应采取措施保护其设备安全。提供实时监控。

安全团队应考虑对硬件和操作系统进行实时监控。这可以通过使用基于云的实时监控工具来实现，这些工具几乎可以在事件发生时立即通知安全团队。更新固件并升级旧硬件。硬件设备应升级到最新固件，以便接收最新的安全补丁。公司还应投资购买新硬件，因为旧硬件并非总能以最佳状态运行现代软件，并且可能出现兼容性问题，从而为安全入侵敞开大门。网络和电信安全电信电信用于通信的电子信号传输，包括以下方式：电话收音机电视电信媒介。任何能够传输电子信号并在发送设备和接收设备之间连接的设备。OSI参考模型被国际标准化组织(ISO)采纳

1984定义通信的标准协议

通过使用分层结构实现互操作性

方法。优势阐明沟通的功能​​

过程简化网络​

流程通过定义标准来促进互操作性

接口艾滋病

发展使操作更简便、更合乎逻辑

故障排除OSI层应用

层推介会

层会议

层运输

层网络

层数据链路

层身体的

层网络攻击域名服务器(DNS)投毒或欺骗是一种网络攻击，它利用域名服务器的系统漏洞，将流量从合法服务器重定向到虚假服务器。DNS缓存投毒代码通常存在于垃圾邮件中的URL中。这些邮件试图诱骗用户点击邮件中的URL，从而感染用户的计算机。电子邮件和不可信网站中的横幅广告和图片也可能将用户引导至此类代码。一旦被投毒，用户的计算机就会被重定向到伪装成真实网站的虚假网站，从而使用户面临间谍软件、键盘记录器或蠕虫等风险。SYN洪水SYN洪水攻击是一种拒绝服务攻击，攻击者向目标系统发送一系列SYN请求，试图消耗足够的服务器资源，使系统无法响应合法流量。ARP中毒地址解析协议投毒（ARP投毒）是一种攻击形式，攻击者通过伪造ARP请求和回复数据包来更改媒体访问控制（MAC）地址并攻击以太网LAN。ARP欺骗攻击对无线和有线局域网都非常有效。通过发起ARP欺骗攻击，黑客可以从目标计算机窃取敏感数据，利用中间人攻击技术进行窃听，并导致目标计算机拒绝服务。此外，如果黑客修改了负责网络连接互联网的计算机的MAC地址，则可能导致该计算机无法访问互联网和外部网络。网络嗅探网络嗅探是指使用一种称为网络嗅探器的软件工具，实时监控或嗅探计算机网络链路上传输的数据。这种软件工具可以是独立的软件程序，也可以是带有相应软件或固件的硬件设备。网络嗅探器会对网络上传输的数据进行快照式复制，而不会重定向或篡改数据。有些嗅探器只能处理TCP/IP数据包，但更高级的工具可以处理许多其他网络协议。IP欺骗IP欺骗是一种用于非法访问计算机的技术，攻击者通过篡改IP数据包来非法冒充另一台计算机。IP欺骗涉及修改数据包头部，使其包含伪造的源IP地址、校验和以及顺序值。黑客利用IP欺骗技术进行恶意和非法活动。其中一些活动包括拒绝服务攻击和中间人攻击。黑客利用这两种恶意行为在互联网上制造混乱或破坏，同时隐藏自身身份。其他攻击；DDoS攻击、Smurf攻击虚拟专用网络（VPN）使用公共网络的私有网络​​

连接远程站点或用户​

一起！VPN的功能安全可靠性可扩展性网络

管理政策

管理VPN概念封装包容性

的

一

数据

结构

之内

其他

结构加密隐藏真实​

信息隧道掘进提供虚拟路径​​

包VPN的优势扩展地理范围

连接提升

安全提升

生产率简化网络

拓扑提供全球网络

机会提供宽带网络

兼容性传统方式相比，提供更快的投资回报（ROI）。

广域网防火墙防止未经授权的系统

使用权到或来自​​

网络控制流量​​

交通防火墙类型数据包过滤

防火墙代理人

防火墙应用层

代理人电路级

代理人州级检查

防火墙动态数据包过滤

防火墙内核代理

防火墙数据包过滤防火墙受以下一系列规则约束

指令。在网络上工作

层。做出决定​数据包的源IP

地址数据包的目标IP

地址网络和传输协议是

用过的出发地和目的地

端口界面是​

穿越Ingress

过滤阻止入站流量

交通出口

过滤阻止出站

交通应用层代理包含代理​

代理人