Download miễn phí Báo cáo Tìm hiểu về Access Control List
Contents
I. Tổng quan .3
1. Giới thiệu .3
2. Những nguyên tắc cơ bản của bảo mật: .3
2.1 Availability .4
2.2 Integrity .5
2.3 Confidentiality.5
2.4 Non-repudiation : .6
3. Các nhân tố bảo mật thông tin: .6
4. Các phương pháp kiểm soát truy cập .7
4.1 Mandatory Access Control (MAC): .8
4.2 Discretionary Access Control (DAC) .9
4.3 Role Based Access Control (RBAC): . 10
II. ACCESS CONTROL LIST TRONG WINDOW . 10
1. Quản lý đối tượng (Object Manager): . 10
2. Cơ chế bảo mật (SRM - Security Reference Monitor): . 11
3. Cơ chế an toàn của File và thư mục trong Windows NT . 12
4. Các thuộc tính của File và thư mục . 14
5. Chia sẻ thư mục trên mạng . 15
6. Thiết lập quyền truy cập cho 1 người hay một nhóm sử dụng. 18
7. NTFS Permission . 20
Để tải bản Đầy Đủ của tài liệu, xin Trả lời bài viết này, Mods sẽ gửi Link download cho bạn sớm nhất qua hòm tin nhắn.
Ai cần download tài liệu gì mà không tìm thấy ở đây, thì đăng yêu cầu down tại đây nhé:
Nhận download tài liệu miễn phí
Tóm tắt nội dung tài liệu:
1/2009 Page 4 Availability (tính sẵn có)
Integrity ( tính toàn vẹn)
Confidentiality ( tính tin cậy)
2.1 Availability
Hey, tui sẵn có. Nhưng không ai muốn bạn.
Thông tin, hệ thống, và tài nguyên cần có sẵn cho người dùng một cách kịp thời nên
năng suất sẽ không bị ảnh hưởng. Hầu hết thông tin cần được tiếp cận và sẵn cho người
dùng khi nó được yêu cầu để họ có thể thực hiện các nhiệm vụ và thực hiện trách nhiệm của họ.
Truy cập thông tin không có vẻ là quan trọng cho đến khi nó không thể tiếp cận. Kinh nghiệm
của người quản trị khi một tập tin trên máy chủ hay ở mức cao sử dụng cơ sơ dữ liệu gặp vấn đề
vì một lý do nào đó. Fault tolerance và recovery thì được áp dụng để đảm bảo tính liên tục của sự
sẵn có của các nguồn lực. Năng suất của người sử dụng có thể bị ảnh hưởng lớn nếu yêu cầu dữ
liệu không được sẵn sàng. Thông tin có những thuộc tính khác nhau, như độ chính xác, sự thích
hợp, kịp thời và tính riêng tư. Nó có thể rất quan trọng đối với môi giới chứng khoán để có thông
tin chính xác và kịp thời, để mua và bán chứng khoán tại thời điểm thích hợp. các môi giới
chứng khoán có thể không cần thiết phải quan tâm về sự riêng tư của thông tin này, chỉ cần nó
sẵn có. Một công ty nước giải khát thì phụ thuộc vào công thức chế biến. vì vậy mà quan tâm
đến tính riêng tư của bí mật thương mại, và cơ chế bảo mật những nơi cần chắc là bí mật.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin
17/11/2009 Page 5
2.2 Integrity
Thông tin phải chính xác, đầy đủ, và được bảo vệ khỏi sự thay đổi trái phép. Khi một cơ chế
bảo đảm cung cấp toàn vẹn, nó bảo vệ dữ liệu, tài nguyên khỏi sự thay đổi trái phép. Nếu một
loại sử đổi bất hợp pháp xảy ra cơ chế bảo đảm phải cảnh bào cho người sử dụng. Ví dụ: khi một
người dùng gửi yêu cầu vào tài khoản ngân hàng trực tuyến của mình để trả tiền nước của bà
$24.56. Ngân hàng cần được bảo đảm tính toàn vẹn của giao dịch đo và không được thay
đôi trong qua trình trao đổi thông tin. Toàn vẹn dữ liệu là rất quan trọng. Điều gì nếu một email
mật được gửi từ bộ trưởng nhà nước cho Tổng Thống của Hoa Kỳ và đã được ngăn chặn và thay
đổi mà không có một cơ chế an ninh với sự không cho phép hay thông báo của chủ tịch rằng:
thông tin này đã bị thay đổi, thay vì nhận được một thông điệp đã bị thay đổi.
2.3 Confidentiality
Điều này là bí mật của tui và bạn không thể có nó. Trả lời: tui không muốn nó.
Confidentiality là đảm bảo rằng thông tin không được tiết lộ trái phép cho những cá nhân,
chương trình, hay quy trình. Một số thông tin nhạy cảm hơn những thông tin khác và đòi hỏi
mức độ bảo mật cao hơn. Cơ chế kiểm soát cần được thực hiện để biết những người có thể truy
cập dữ liệu và những gì các subject có thể làm. Những chính sách này cần được kiểm soát, kiểm
tra, và quản lý.
Ví dụ: thông tin đó có thể là bí mật hồ sơ y tế, thông tin tài khoản tài chính, hồ sơ hình sự, mã
nguồn, bí mật kinh doanh, hay chiến thuật, kế hoạch quân sự. Một số cơ chế sẽ cung cấp
confidentiality là mã hóa, điều khiển truy cập vật lý, logic, giao thức truyền dẫn, view trong cơ
sở dữ liệu và kiểm soát lưu lượng.
Một trong những mục tiêu quan trọng nhất của bảo mật thông tin là bảo đảm sự riêng tư của
dữ liệu. Điều này có nghĩa là dữ liệu hay thông tin của người nào thì chỉ người đó được biết và
những người khác không được quyền can thiệp vào. Trong thực tế, chúng ta thường thấy khi phát
lương ngoài bì thư hay đề chữ Confidentiality nhằm không cho các nhân viên biết mức lương
của nhau để tránh sự đố kỵ, so sánh giữa họ. hay trong những khu vực riêng của một cơ quan
hay tổ chức nhằm ngăn chặn người lạ xâm nhập với bảng cấm “không phận sự miễn vào” cũng là
một hình thức bảo vệ tính riêng tư. Đối với dữ liệu truyền để bảo vệ tính riêng tư
(confidentiality) thì dữ liệu thường được mã hóa hay sử dụng các giao thức truyền thông an tòan
như SSH.
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin
17/11/2009 Page 6
2.4 Non-repudiation :
Đây là một trong những mục tiêu thứ cấp của 3 mục tiêu chính CIA trong quá trình bảo mật
thông tin. Non-repudation là tinh không thể chối bỏ, nhằm bảo đảm và xác nhận nguồn gốc của
thông điệp. Nếu như các bạn hay download các chương trình trên mạng thì sẽ thấy nhà cung cấp
hay kèm theo một chuỗi số hàm băm MD5 hay SHA dùng để xác nhận có phải bạn đã download
đúng chương trình trên từ nhà cung câp này hay không. Vì nếu như một chương trình khác được
các attacker/hacker đưa lên thì chắc chắn có sự thay đổi về nội dung và khi đó giá trị MD5/SHA
đã bị thay đổi, khác với giá trị mà nhà cung cấp đưa ra. Còn ngược lại, nếu giá trị MD5/SHA
giống như giá trị mà nhà cung cấp đưa ra thì chương trình trên đúng là của nha 2cung cấp này và
khi no gây ra các tác hại nài đó thì học không được quyền chố bỏ trách nhiệm bằng cách nói
rằngchương trình đó không phải do họ viết.
3. Các nhân tố bảo mật thông tin:
Vậy để đạt được 3 mục tiêu CIA chúng ta cần thực hiện những điều gì? Đó chính là 4 nhân
tố bảo mật thông tin sau đây:
Authentication: Xác thực, là một quá trình xác nhận đặc điểm nhận biết của người dùng
qua đó quyết định quyền truy nhập cơ sở dữ liệu và khả năng thực hiện các giao dịch của
người đó. Việc xác thực thường thông qua tên truy nhập và mật khẩu và các phương pháp
Báo Cáo Đồ Án Bảo Mật Hệ Thống Thông Tin
17/11/2009 Page 7
phức tạp hơn như chứng thực số. Ví dụ khi bạn đăng nhập một hệ thống máy tính thì tiến
trình xác thực diễn ra khi bạn nhập vào tài khỏan bao gồm username và password trên
màn hình logon.
Authorization : là tiến trình kiểm tra quyền hạn của người dùng sau khi đăng nhập hệ
thống. Ví dụ một người dùng sau khi đăng nhập hệ thống cần trải qua tiến trình
Authorization, sau đó người dùng này được phép truy cập vào máy chủ hay dữ liệu nào
thì tùy thuộc vào quyền hạn mà anh ta có được do tiến trình
Access control : là quá trình kiểm soát truy cập có chức năng gán quyền cho người dùng
hay xác nhận quyền hạn của người dùng. Khi các bạn tạo một tập tin thư mục và chia sẽ
nó cho các nhân viên khác thì chúng ta thướng gán các quyền như được phép đọc, ghi
…Quá trình này được gọi là kiểm sóat truy cập (Access control)
Auditing hay accounting: đây là quá trình ghi nhật ký hệ thống để lưu giữ lại các hành
động diễn ra đối với các đối tượng hay dữ liệu. Thông thường chúng ta thường hay ghi
log file các lần user đăng nhập thành công hay thất bại hệ thống của mình, hay sau khi
đăng nhập anh ta có những thao tác gì, quá trình này được gọi là Auditing hay
accounting.
4. Các phương pháp kiểm soát truy cập
Theo danh sách các mục tiêu chính do Comptia đề xuất thì phần này có tên là” Nhận Dạng
Và Giải Thích Các Mô Hình Điều Khiển Truy Cập”. Vậy mô hình điều khiển truy cập là gì? Đó
chính là phương pháp hay các kỹ ...