本文主要介紹權(quán)限安全控件的設(shè)計(jì)思想是什么(權(quán)限安全控件的設(shè)計(jì)思想是什么)，下面一起看看權(quán)限安全控件的設(shè)計(jì)思想是什么(權(quán)限安全控件的設(shè)計(jì)思想是什么)相關(guān)資訊。
owasp發(fā)布了最新的《2021年版owasp top 10》，其中 打破訪問(wèn)控制 排名第一。訪問(wèn)控制安全是常規(guī)安全產(chǎn)品難以解決的邏輯漏洞安全之一，也是應(yīng)用層中危害最大的?；诖?，參考以往遇到的此類(lèi)問(wèn)題，我提出了一些想法?！緜€(gè)人想法，注意溝通】
各個(gè)角度，細(xì)顆粒。1.盡量減少訪問(wèn)控制授權(quán)；建立完善的權(quán)限級(jí)別管理模型，對(duì)訪問(wèn)控制的權(quán)限查詢、分配、授權(quán)和撤銷(xiāo)進(jìn)行有效管理和監(jiān)控。
2、對(duì)每組數(shù)據(jù)和接口/頁(yè)面的粒度控制；一般來(lái)說(shuō)，訪問(wèn)控制的粒度是從三個(gè)層次來(lái)管理的:頁(yè)面、接口和數(shù)據(jù)。更細(xì)粒度的方法是以數(shù)據(jù)為鍵來(lái)管理權(quán)限和控制訪問(wèn)控制。
3.建立統(tǒng)一的訪問(wèn)控制權(quán)限驗(yàn)證接口或模塊；訪問(wèn)控制權(quán)限的查詢、分配、授權(quán)和撤銷(xiāo)應(yīng)建立統(tǒng)一的管理接口或驗(yàn)證接口，并對(duì)權(quán)限進(jìn)行統(tǒng)一管理。
4、訪問(wèn)控制統(tǒng)一權(quán)限檢查查詢；每一次數(shù)據(jù)查詢都要進(jìn)行檢查和驗(yàn)證，每一次數(shù)據(jù)查詢都要進(jìn)行訪問(wèn)權(quán)限驗(yàn)證接口調(diào)用(或者頁(yè)面渲染和接口調(diào)用)，以驗(yàn)證權(quán)限分配和授權(quán)的合法性。權(quán)限為空的數(shù)據(jù)查詢、頁(yè)面渲染和接口調(diào)用應(yīng)記錄在一個(gè)本子上，其他權(quán)限為非空的數(shù)據(jù)查詢、頁(yè)面渲染和接口調(diào)用應(yīng)統(tǒng)一檢查、查詢、分配、授權(quán)和撤銷(xiāo)。
全程監(jiān)控，便于追蹤。1.訪問(wèn)控制的權(quán)限管理日志；需要記錄所有的權(quán)限(管理)查詢、分配、授權(quán)、撤銷(xiāo)和驗(yàn)證。
2.訪問(wèn)控制權(quán)限監(jiān)控日志；在授予所有合法權(quán)限后，有必要記錄全周期操作歷史。
3.訪問(wèn)控制權(quán)限風(fēng)險(xiǎn)日志；需要記錄所有非空權(quán)限的強(qiáng)制請(qǐng)求，設(shè)置安全閾值，進(jìn)行記錄、警告、強(qiáng)制報(bào)廢、鎖號(hào)等定制化的風(fēng)險(xiǎn)應(yīng)對(duì)。
溫馨提示:權(quán)限的設(shè)計(jì)模式要以安全性為基礎(chǔ)，不能有嚴(yán)重的設(shè)計(jì)缺陷?？傮w情況:
對(duì)自動(dòng)攻擊的響應(yīng)
自動(dòng)化攻擊是目前成本較低的攻擊手段，爆破、目錄遍歷、參數(shù)遍歷、模糊手段等安全風(fēng)險(xiǎn)是自動(dòng)化攻擊的主要目標(biāo)。鑒于這些，驗(yàn)證碼一般是為了避免被爆破猜到，為了避免安全穿越問(wèn)題帶來(lái)的安全隱患，一般采用來(lái)降低危害。
授權(quán)周期的安全性
在執(zhí)行高度敏感的操作(或訪問(wèn))時(shí)，應(yīng)給予臨時(shí)授權(quán)或一次授權(quán)，并按照全程監(jiān)控、易于追溯的原則(全周期:分配-查詢-驗(yàn)證-授權(quán)-撤銷(xiāo)-注銷(xiāo))，將每次授權(quán)操作的內(nèi)容記錄在全周期日志中，這里更重要。這是一個(gè)周期長(zhǎng)短的問(wèn)題。理論上不應(yīng)授予長(zhǎng)期授權(quán)經(jīng)營(yíng)，但 運(yùn)行后申請(qǐng)，完成后取消，并完整記錄周期和來(lái)限制循環(huán)的持續(xù)時(shí)間。到時(shí)候應(yīng)該撤銷(xiāo)授權(quán)操作，可以考慮強(qiáng)制退休的策略。這里的授權(quán)操作并不是指管理員每次都需要去系統(tǒng)進(jìn)行操作，而是管理員在實(shí)現(xiàn)后已經(jīng)把權(quán)限分配給了用戶，只是這個(gè)權(quán)限存在于權(quán)限分配表中。每執(zhí)行一次操作，都需要去正確的分配表檢查自己是否有授權(quán)資格，執(zhí)行授權(quán)。超過(guò)規(guī)定時(shí)間后，授權(quán)自動(dòng)結(jié)束，授權(quán)被撤銷(xiāo)。此后，您需要再次執(zhí)行檢查授權(quán)資格的步驟。從檢查授權(quán)資格的步驟開(kāi)始，記錄每一次授權(quán)操作的全過(guò)程。對(duì)記錄在授權(quán)分配表中的權(quán)限分配項(xiàng)目執(zhí)行整個(gè)周期中的分配和取消。
監(jiān)控授權(quán)周期
基于 的原則全面監(jiān)控和方便的可追溯性，建立訪問(wèn)控制權(quán)限的全周期，以可視化、可追溯、可定位的記錄重要授權(quán)操作的全過(guò)程。如上，這里可視化的實(shí)現(xiàn)可以是多樣化的，目的是采用鏈?zhǔn)礁欀钡绞跈?quán)撤銷(xiāo)的模式實(shí)現(xiàn)每一次授權(quán)的每一次操作。這需要注意 可定位性和。一般情況下，發(fā)生安全事故后，應(yīng)立即追溯該功能點(diǎn)，并以鏈?zhǔn)?、可追溯的查看和顯示所有執(zhí)行過(guò)該操作的授權(quán)(日志)記錄。
指出訪問(wèn)控制權(quán)限控制的關(guān)鍵點(diǎn)是 細(xì)顆粒授權(quán)控制和全周期監(jiān)測(cè)授權(quán)運(yùn)行；。
標(biāo)簽:
許可訪問(wèn)控制
了解更多權(quán)限安全控件的設(shè)計(jì)思想是什么(權(quán)限安全控件的設(shè)計(jì)思想是什么)相關(guān)內(nèi)容請(qǐng)關(guān)注本站點(diǎn)。