本文主要介紹權限安全控件的設計思想是什么(權限安全控件的設計思想是什么)，下面一起看看權限安全控件的設計思想是什么(權限安全控件的設計思想是什么)相關資訊。
owasp發(fā)布了最新的《2021年版owasp top 10》，其中 打破訪問控制 排名第一。訪問控制安全是常規(guī)安全產(chǎn)品難以解決的邏輯漏洞安全之一，也是應用層中危害最大的?；诖?，參考以往遇到的此類問題，我提出了一些想法?！緜€人想法，注意溝通】
各個角度，細顆粒。1.盡量減少訪問控制授權；建立完善的權限級別管理模型，對訪問控制的權限查詢、分配、授權和撤銷進行有效管理和監(jiān)控。
2、對每組數(shù)據(jù)和接口/頁面的粒度控制；一般來說，訪問控制的粒度是從三個層次來管理的:頁面、接口和數(shù)據(jù)。更細粒度的方法是以數(shù)據(jù)為鍵來管理權限和控制訪問控制。
3.建立統(tǒng)一的訪問控制權限驗證接口或模塊；訪問控制權限的查詢、分配、授權和撤銷應建立統(tǒng)一的管理接口或驗證接口，并對權限進行統(tǒng)一管理。
4、訪問控制統(tǒng)一權限檢查查詢；每一次數(shù)據(jù)查詢都要進行檢查和驗證，每一次數(shù)據(jù)查詢都要進行訪問權限驗證接口調(diào)用(或者頁面渲染和接口調(diào)用)，以驗證權限分配和授權的合法性。權限為空的數(shù)據(jù)查詢、頁面渲染和接口調(diào)用應記錄在一個本子上，其他權限為非空的數(shù)據(jù)查詢、頁面渲染和接口調(diào)用應統(tǒng)一檢查、查詢、分配、授權和撤銷。
全程監(jiān)控，便于追蹤。1.訪問控制的權限管理日志；需要記錄所有的權限(管理)查詢、分配、授權、撤銷和驗證。
2.訪問控制權限監(jiān)控日志；在授予所有合法權限后，有必要記錄全周期操作歷史。
3.訪問控制權限風險日志；需要記錄所有非空權限的強制請求，設置安全閾值，進行記錄、警告、強制報廢、鎖號等定制化的風險應對。
溫馨提示:權限的設計模式要以安全性為基礎，不能有嚴重的設計缺陷。總體情況:
對自動攻擊的響應
自動化攻擊是目前成本較低的攻擊手段，爆破、目錄遍歷、參數(shù)遍歷、模糊手段等安全風險是自動化攻擊的主要目標。鑒于這些，驗證碼一般是為了避免被爆破猜到，為了避免安全穿越問題帶來的安全隱患，一般采用來降低危害。
授權周期的安全性
在執(zhí)行高度敏感的操作(或訪問)時，應給予臨時授權或一次授權，并按照全程監(jiān)控、易于追溯的原則(全周期:分配-查詢-驗證-授權-撤銷-注銷)，將每次授權操作的內(nèi)容記錄在全周期日志中，這里更重要。這是一個周期長短的問題。理論上不應授予長期授權經(jīng)營，但 運行后申請，完成后取消，并完整記錄周期和來限制循環(huán)的持續(xù)時間。到時候應該撤銷授權操作，可以考慮強制退休的策略。這里的授權操作并不是指管理員每次都需要去系統(tǒng)進行操作，而是管理員在實現(xiàn)后已經(jīng)把權限分配給了用戶，只是這個權限存在于權限分配表中。每執(zhí)行一次操作，都需要去正確的分配表檢查自己是否有授權資格，執(zhí)行授權。超過規(guī)定時間后，授權自動結束，授權被撤銷。此后，您需要再次執(zhí)行檢查授權資格的步驟。從檢查授權資格的步驟開始，記錄每一次授權操作的全過程。對記錄在授權分配表中的權限分配項目執(zhí)行整個周期中的分配和取消。
監(jiān)控授權周期
基于 的原則全面監(jiān)控和方便的可追溯性，建立訪問控制權限的全周期，以可視化、可追溯、可定位的記錄重要授權操作的全過程。如上，這里可視化的實現(xiàn)可以是多樣化的，目的是采用鏈式跟蹤直到授權撤銷的模式實現(xiàn)每一次授權的每一次操作。這需要注意 可定位性和。一般情況下，發(fā)生安全事故后，應立即追溯該功能點，并以鏈式、可追溯的查看和顯示所有執(zhí)行過該操作的授權(日志)記錄。
指出訪問控制權限控制的關鍵點是 細顆粒授權控制和全周期監(jiān)測授權運行；。
標簽:
許可訪問控制
了解更多權限安全控件的設計思想是什么(權限安全控件的設計思想是什么)相關內(nèi)容請關注本站點。