2018访问控制系统的属性注意事项NIST.SP.800-205.docx

《2018访问控制系统的属性注意事项NIST.SP.800-205.docx》由会员分享，可在线阅读，更多相关《2018访问控制系统的属性注意事项NIST.SP.800-205.docx（37页珍藏版）》请在优知文库上搜索。

1、计算机安全NlST特别出版物800-205属性注意事项门禁系统Nl三NationalInstituteofStandardsandTechnologyU.S.DepartmentofCommerce计算机系统技术报告美国国家标准与技术研究院(NIST)的信息技术实验室(IT1.)通过为国家测量和标准基础设施提供技术领导来促进美国经济和公共福利。ITl劫械、测防法、螭数据、概念验H碳术分析，以促进信息技术的开发和生产利用。IT1.的职责包括制定管理、行政技术和刎标喇箭询喃藤麴冲除酶安电联信蚊外6蜗高姐皮渊辘,糊恸跑800系列报告了IT1.在信息系统安全方面的研究、指胡雕广工作及其与行业、政府樗术

2、组织的合作活动。抽象的本文档为联邦机构提供了在访问控制系统中实施属性的指南。属性支持噩访问僦防法，其中执行一组操作的麒是通过评估与主题、客体、请求嬲作以及在某些临兄下与艇允许操作的第咯、规贝域关系的环境条件f联联的属性来确定的对于一组给定的属性，本文件概述了权威机构在标准化属性系统时必须解决的影响属性的因素，并提出了T概念性的实施建议供考虑。关键词访问控制;访问控制机制；访问控耕镂；访蜩獭；属储虑；属性;保证;基于属性的访问控制(ABAC)特权。用于门禁系统基于属性的访问控制系统依靠属性不仅定义访问控制策略规则,而且还强制肺J：访问控制。属性需要在权限下建立、绮、存储和管埋。跨组织共享的属性应

3、通过位、检索、发布、验证、撕J数安翻髓削承翳俏越即匕所有属性都必须根据适当的数字策略所需的允许值来建立、定义和约束；必须完成这些属雷吮许的属性值的麟的成堀曙以帮助主体（例如）娥者）和客体（例如，受保护的资源/服务）所有者进彳J策略和关系开发。一旦建立了属性及其允许的值，还必须建立在存储、检索、u三或髓辗性阿琛内向主体用居体提供属性和适当的属性值的方法。此外，必须开发或采用接口和机制屎实现这些属性的共享。最后，为了趣属性的保三,属怪铅方罐于五个属性带来置信度需要确定的主要兴趣领域：准备工作是指规划属性创建和共享机制，以及属怕1供者和i方问控制能之间维护属性隐私的规则。这种考虑应基于业务运营要求，

4、以满足运营效率和保密性的目标。准确性为主体、客体属性或环境条件的语义和句法正确性建立了策略和技术基础，并确保基于商定或可信的属性定义、协议、测后和维护过程所获得的属性是可信的。安全性考虑用于系统之间安全传输和属性存储库的不同标准和协议，以避免损害属性的数据完整性和机密性或暴宓属性提供程序、访问控制功能或未经授权实体执行的其他类型的恶意操作中的漏洞。就绪度是指更改属性的刷新频率。系级须确保三性嬷丽检频率充分支持涧控J实施功能。止劭能还确保在信息系统紧急情况（例如J皤宽、月陶跌）o此外，还需要考虑属性存储库的嫄转移和备份能人管理提供维护属性的机制.以确保属性的效率和一致使用，包场勰层属愣灌的宸烯构

5、、属性麒的最4*0撼昉法以姗咬持功能（例如,与身份验证的属性集成、用于记属性访问的日志）和更新）。NlST特别出版物（SP）800-162,基于属性的访!可控制（ABAo指南定义和注意事项介绍了访问控制定义的指南以及实施访问控制系统的注意事项，但没有包括有关准备、獭性、安全性、溷身嘱性管ff等注意事项的详细建议。本文件旨在为联邦怵提供属性注意事财蹒以及访问榔螭属性评估方案示例。属性评估方案应根据企业信息系统的需求确定，企业信息系统应对这些需求进行验证,以实现符合性能和成本的适当的组织属性评估方案能力建议.需要注意的是，本文档并没有建立TS合所有业务能力和性能需求的通用属性方案；相反它提供了在定

6、义其属性而防案时可以适应的考虑因素和示例，以满足组织的特定需求。目录执行摘要介ivl简111.2范.21.3受11目的.困构22考虑因素43属性注意事项63.1准备考虑73.1.1主题属性准备73.1.2对象属性准备83.1.3属性粒度93.1.4环境条件准备103.1.5考虑示例103.2真实性考虑IO3.21属性可信fS.103.2.2属性准确度113.2.3考虑示例123.3号考虑123.3.1存储属性133.3.2传输属性133.3.3考虑示例143.4准备考虑143.4.1刷新143.4.2同步143.4.3缥存153.4.4备份153.4.5考虑示例153.5管理考虑因素153.5

7、.1组属性使用元数据构换成权查志153.5.2属性权限层次结173.5.3属性转173.5.4与身份验证集183.5.5授18356属性审193.5.7日193.5.8注意事项我194通用属性框架215属性评估方案265.1属性评估方案示例.明265.2属性实践说2829附录清单附录A表10和11的XACM1.实现30附录B参考文献32图列表图1:使用的*:访问极权、身份验诉嘱性证明图3主体和客体(b)的属性特权层次结构17图4：在不使用和使用(b)通用属性框架(GAF)的情况下生成访问控制策路22图5OMB6-16和OMB7-16的隐私规贝嫄文23图6OMB6-16和OMB7-16中的规则砌

8、24表格列表表3属性准备标%的考虑因素示例10表4属性可信度11表5属性准确性标准的考虑因素示例12表6属性安全标准的注意事项示例14表7属性准备标准的考虑因素示例15表8属性源元数据的标准属性名称/值示例16表9属性管理标准的考虑因素砌20表100MB7-16规则的通用属性到ISC系统的映射24表H0MB716规则的通用属性与联邦组织HRD系统的映射25表12：远程访问控制腿懒J属性的属性评估方案示例函数或属性提供者26表13：未提供的对象属性的属性评估方案考虑因素示例远程访问控制功能或属性提供者27用于门禁系统1.1 目的事实上，所有授权系统都依赖于属性来呈现访问控制决策并最终对系统对象的

9、主体访问请求实施策略,也许当今使用最多的授权方案是基于角色的访问控制（RBAC）,其中角色（例如经理、应收呻职员、信贷员履供了表达主体的权限、责任或工作职能的方法。将角色属性值分酉咐主体的过程间接授予主体与角色关联的权限。RBAC的一种新兴替代方案是根据主体和客体的企业特定属性以及可选的以这些属性表示的环境条件和策略来授予或拒绝访问系统对象的主体请求C这种访问控制方法通常称为基于属性的访问控制（ABAC）。应用在访问擀例表中的主体名称和组是用于制定访问策略和计算决策的属性的其他示例。访问控制系统通常包含四层功能和信息分解执行、决策、访问控制数据和管理涉及多个组件，这些组件协同工作以实现策略保留

10、访问。其核心唬融决策点（PDP）,它Vm决策以允许或拒绝主体请求对系统对象执h操作。献执行点（PEP）发出请求并接受基于访问控制数据当前状态的PDP决策.其中包括以属性和属性值表示的访问控制策睢例如，这些值可以步及寻求访问的主体的属性和目标对象的属性;策略和属性通过一个或多个策略管理点进行管理。无论部署哪种类型的授权方案，访问控制决策的可信度都取决于属性的准确性、完整性和及时可用性。如果一个主题被不恰当地分配了属性值,无论是由于自满、错误、延迟还是恶意,结果都是相同的不适当的访问状态。在过去的几十年,也蝴了各种m者、管H和应用属的访法C一种方法将懈和属性与PDP紧密耦合。考虑下f涧控制（NGA

11、C）2,这是种ABAC标准，其中策略和属性者隔过可能驻留在PDP内存中的一组标准元素和关系的策略保留配置进行管理C可扩展访问控麻记语言（XACM1.）部署可以提供更加分布式的方法。獭被表示为可扩展标记语言（XM1.）文档，这些文档从策略检索点本地加载三PDP存储器中,并根据从f或多个策略信息点远程检索的属性进彳J评估。在另T4部署中，属性在多个依赖方之间存储、管明哄享（交换），每个依赖方者隋自己的PDP和策略存储。由于涉及相对风险因素.用于存储、管理和检索属性的方法非常重要。具有本地属性的授权系统提供封闭的保护用于门禁系统属性永远不需要暴露给外界的边界。在部署中属性是从远程系统存储、管理和检索

12、的，属性容易受到这些系统的管理和保护策略以及用于传输属性的网络的影响。由于访问控制系统类型和部署的可变性，本文档一般侧重于属性属性准备、准确性、安全性、就绪性和管理在计算访问控制决策和执行策略时,应该考虑懒闲使用属性的信本文件概述了权威机构在标准化属性评估系统时必须解蟠影响属性的因素,并提出了一些概念性的实施建议供考虑：，本文档扩展了1)NIST机构间或内部报告(NISTIR)8112中的信息，属性元数据：用于评估联合属性的提议模式冏；2)NIST特别出版物(SP)800-162,基于属性的访问控制(ABAC)定义和注意事项指南，定义了ABAC的术语和概念，并讨论了ABAC实施的注意事项，3)

13、NISTIR7316,访问懒标统评估4,演示了访问控制崛、模型和机制的基本概念系统；4)NISTIR7874,访问控制系统评估指指南5；和5)NISTSP800-178,数臧艮务应用程序基于属性的访问控制(ABAC)标准的比较6,它倘TrXACM1.和NGAC,然后根据五个标准对它们进行了比较。诲境，跳(是重点但访司控的购验的假设和依赖蛀题得到解决。1.2 范围本文档的目标受众是实施访问控制的组织实体期望与其他组织共享属性或访问其他组织信息的解决方案。本文件不规定组织在其企业系统或除组织本身之外的社区内可能需要的内部属性评估系统标准，相反，重点是建立对属性的信1.应用于组织的访问控制实施。1.

14、3 受众本文档假设读者熟悉访问(授权)序并具备操作辍数懒畸皮全6罐本知识:鉴于信e技术id行业不断变化的性质，强烈议读两用其他文档(包括本文档中列出的文档沫获取史最新、史详细的信息。14文档结构本文档中的章节和附录如下： 第1节规定了访司控制系统所用属性的目的和范围。 第2节概述了访问控制属性的基本抽象：主体属性、客体属性和工作环境中的环解和 第3节从准备的角度讨论了属性的考虑因素，准确性、安全性、就绪性和管理。 第4节演示了一个通用属性框架，并提供了Y集成和定义属性以实现属性的准确性。 第5节演示了属性考虑因素到属性的映射评估方案包含不同应用的示例，并解释了属性实践声明的使用。-附录列出了通

15、用属性框架中管理和预算办公室(OMB)备忘录M-07-16隐私规则的XACM1.翻译的附加信息，用于门禁系统使用属性的访问控制系统可以实施广泛的访问控制策略。属性（由名称-值对给出）包含主体、客体或环境条件M特征从而实现獭控M允许在访问控映策中使用更多数Q的离散输入并提供更多可能的组合集这些变吊反映了一套更广泛、更明确的可能规则来表达政策。除了NlST特别出版物800162口和OMBM-04-047中记录的早期工作之外，它建议应用于ABAC系统内的主体和客体以及环境条件的属性实现，需要根据以下定义来解决一般属性考虑因素”访问控制功能是AC机制或方案的功能。例如，可扩展访问控制标记语言（XACM1.）方案架构包括策略决策点（PDP）、懒抵I