获课地址：xingkeit.top/8002/

访问控制是信息安全的核心基石，也是信息安全工程师考试的绝对重点。它不仅是选择题的高频考点，更是下午案例分析中综合应用能力的“试金石”。掌握其精髓，必须从模型理解、策略应用到真题实战三个层面系统突破。

一、核心模型：从经典到应用

访问控制模型是理解一切策略的基础。考试主要考查三类经典模型及其衍生思想。

1. 自主访问控制（DAC）

• 核心思想：“谁创建，谁管理”。资源的所有者可以自主地将访问权限授予其他用户。

• 典型实现：访问控制列表（ACL），即资源上附着一个列表，标明每个用户/组对该资源的操作权限（如读、写、执行）。

• 考查要点：

  • 优点：灵活，适用于非集中化管理环境。

  • 缺点：权限易“泛化”，难以实现统一的全局安全策略。存在“权限传递”问题，可能导致信息无意泄露。

  • 应用场景：传统Unix/Linux文件系统、小型工作组环境。

2. 强制访问控制（MAC）

• 核心思想：“系统强制，集中管控”。系统为主体（用户）和客体（资源）分配固定的安全属性（如密级、范畴），访问决策由系统根据安全属性强制比对决定，用户不能自行更改。

• 典型模型：多级安全模型，如Bell-LaPadula模型和Biba模型。

  • Bell-LaPadula模型（保密性）：遵循“不上读、不下写”原则，防止高密级信息流向低密级主体，保障保密性。

  • Biba模型（完整性）：遵循“不下读、不上写”原则，防止低完整性数据污染高完整性客体，保障完整性。

• 考查要点：

  • 优点：安全性强，能有效防止信息泄露和权限滥用。

  • 缺点：配置管理复杂，灵活性差。

  • 应用场景：军事、政府等高安全等级环境。

3. 基于角色的访问控制（RBAC）

• 核心思想：在用户和权限之间引入“角色”层。权限分配给角色，用户被赋予角色，从而实现“用户-角色-权限”的间接授权。

• 核心模型：通常考查RBAC96模型族，尤其是RBAC0（基础模型）、RBAC1（角色继承）、RBAC2（角色约束）。

• 考查要点：

  • 优势：极大地简化了权限管理。当用户职责变化时，只需调整其角色，无需逐一修改权限；容易实施最小特权原则和职责分离原则。

  • 核心概念：角色继承、角色互斥（如会计与出纳角色不能赋予同一用户）、角色基数约束。

  • 应用场景：绝大多数企业信息系统、ERP、CRM等。

二、访问控制策略：原则、技术与生命周期

1. 核心安全原则

• 最小特权原则：用户/进程只拥有完成其任务所必需的最小权限。这是抵御内部威胁和权限滥用的第一道防线。

• 职责分离原则：关键任务分解给不同用户/角色完成，避免单一实体拥有过大权力，形成内部制衡。真题常以“采购申请、审批、付款”为例。

• 特权账号管理：对管理员、root等特权账号进行重点监控、审批和审计。

2. 关键技术机制

• 身份认证：访问控制的前提（你是谁？）。常结合考查多因素认证（MFA）。

• 授权：访问控制的核心（你能做什么？）。体现为上述模型的实现。

• 审计：访问控制的必要环节（你做了什么？）。通过日志记录和分析，实现事后追溯和违规检测。

3. 访问控制生命周期管理

考试常考查一个完整的流程：
申请 -> 审批 -> 授权（配置）-> 使用 -> 复核 -> 权限回收（撤销）。其中“权限回收”环节最易被忽视，导致“权限累积”和“孤儿账户”，是安全盲点。

三、典型真题套路与解析

上午选择题套路

1. 模型定义对应：直接给出描述，选择对应模型（DAC/MAC/RBAC）。关键在于抓住核心特征：用户自主决定→DAC；系统强制属性→MAC；引入角色层→RBAC。

2. 模型特性判断：如“下列哪项是RBAC的优势？”或“Bell-LaPadula模型主要保证什么？（保密性）”。

3. 原则应用场景：给出一个业务场景（如银行信贷流程），问体现了什么原则（职责分离）。

下午案例分析套路

访问控制在案例分析中极少单独出现，通常作为解决方案的核心部分，与身份认证、安全审计、数据库安全等知识点结合考查。

常见命题场景与答题模板：

1. 场景：权限混乱导致信息泄露或越权操作

   • 问题分析：“系统采用自主授权方式（或权限直接分配给用户），缺乏集中管控，导致权限分配随意、权限累积、离职员工权限未及时回收。”

   • 解决方案：

     “应建设统一的基于角色的访问控制（RBAC）体系。

     1. 角色梳理：根据组织架构和业务流程，定义清晰的岗位角色（如‘部门经理’、‘项目专员’）。

     2. 权限分配：将系统权限（最小权限集）分配给角色，而非直接给用户。

     3. 用户指派：为用户分配一个或多个角色。

     4. 实施约束：对敏感角色实施职责分离（SoD） 和角色互斥约束。

     5. 生命周期管理：建立账号权限的申请-审批-复核-回收全流程管理机制。”

2. 场景：高安全等级系统（如涉密、金融核心）设计

   • 问题分析：“仅采用自主访问控制或普通RBAC，安全性不足，无法满足防止高密级信息泄露的强制性要求。”

   • 解决方案：

     “在RBAC基础上，引入强制访问控制（MAC） 思想，实施多级安全策略。

     1. 属性定义：为用户和数据定义安全属性标签（如密级：公开、内部、秘密）。

     2. 策略制定：采用类似Bell-LaPadula的模型，制定‘不上读、不下写’的强制规则。

     3. 系统实现：访问请求由系统内核或安全模块强制比对属性，用户无法绕过。同时，详细记录所有访问审计日志。”

3. 场景：综合身份与访问管理（IAM）建设

   • 问题分析：“存在多个系统，账号不互通，权限不一致，登录繁琐。”

   • 解决方案：

     “部署单点登录（SSO） 与统一身份管理系统。

     1. 集中身份库：建立统一用户目录，作为唯一可信源。

     2. 联邦与SSO：实现一次登录，多系统访问。

     3. 集中授权（RBAC）：在IAM平台实施统一的RBAC策略，将权限同步至各业务系统。

     4. 联动审计：集中收集各系统的访问日志，进行关联分析。”

结语

攻克访问控制考点，关键在于建立起清晰的逻辑框架：从原则（最小特权、职责分离）出发，理解不同模型（DAC/MAC/RBAC）的核心理念与适用场景，最终落脚到设计实施一个完整、可控、可审计的访问控制体系。在答题时，务必结合题干具体场景，将理论模型转化为有针对性的解决方案，避免生搬硬套。牢牢掌握这一知识模块，不仅能为考试拿下关键分数，更能为构建任何信息系统的安全防线打下坚实的思想基础。