网络安全中的访问控制

什么是访问控制？

访问控制是指在 IT 环境中限制对资源的访问与使用的安全过程，是组织整体安全态势所必需的。通过仅向需要这些资源来履行职责的人员授予访问权限，组织可以减少攻击面，并降低数据被泄露的风险。

尽管访问控制在概念上与物理访问控制相似——后者用于管理进入本地基础设施等资源或类似有形资产的权限——但 access control in cybersecurity 专门适用于数字系统和数据。

为什么访问控制很重要？

如果没有可靠的 security access controls，敏感信息可能会落入错误的手中，从而导致财务损失、声誉受损以及潜在的法律后果。

有效的访问控制有助于阻止来自内部和外部来源的未经授权的数据访问，从而降低内部威胁、数据泄露和安全事件的风险。访问控制管理还能帮助组织按照数据保护最佳实践开展工作，支持 compliance 并符合 HIPAA、GDPR、SOC 2、PCI DSS 以及 ISO 27001 等主要法规。

限制访问也与其他基础安全原则高度一致。最小特权原则会将用户权限限制在其岗位所需的最低程度，而网络安全中的访问控制能够直接支持这一原则。 Zero trust 通过提供额外的手段，以便在需要时验证或限制用户，网络安全访问控制同样能有效支持“Zero trust”。著名的“need to know, right to know（按需知悉、权利知悉）”规则没有访问控制无法实现。

访问控制系统也能通过使分布式员工能够协作并访问所需资源，同时防止未经授权的访问，从而支持混合办公与远程工作模式。

在支持远程办公或 BYOD 政策的环境中，有效的访问控制有助于在终端和应用程序之间执行一致的安全控制。

访问控制的关键组成部分

在发挥最大效能时，访问控制系统由以下核心组成部分构成：

• 认证： 通过将凭据与集中式身份存储进行比对验证来确认用户身份。
• 授权： 根据用户已验证的身份、角色或属性授予访问权限。
• 访问： 根据已定义的访问控制策略限制用户对数据和系统的交互。
• 管理： 通过自动化的用户预配与撤销预配，更新策略并使身份保持一致，从而维护准确的访问权限。
• 审计： 会话监控和自动化的访问日志提供对访问活动的持续可视性，以支持调查和取证就绪。

这些要素共同作用，以简化并优化访问控制管理：尽可能实现流程自动化，从而在节省 SOC 团队时间与精力的同时，防止手工操作带来的错误。

访问控制模型的类型

网络安全中的访问控制通常根据以下模型之一部署：

自主访问控制（Discretionary Access Control，DAC）

DAC 是最基础且最灵活的访问控制管理模型。它规定：服务器上任意资源的所有者可以决定其他用户是否以及如何访问该资源。该方法对于需要频繁访问资源的高度协作型组织可能很有帮助，但如果用来保护敏感数据，也可能带来风险，因为它将限制条件交由个人自行酌情决定，而不是遵循网络安全最佳实践。

Mandatory Access Control (MAC)

在 MAC 访问控制系统下，资源的访问权限会受到诸如系统管理员之类的中心权威的限制；该中心权威会指定哪些资源可以被哪些用户查看。 这种形式的强制访问控制在对安全性要求更严格的场景中更常见，例如政府或军事用途。

Role-Based Access Control (RBAC)

RBAC 是最知名的访问控制模型之一，它会根据用户在组织中的角色以及该角色在日常职责中所需的资源来限制数据访问。在该模型下，任何与这些职责不具备绝对必要性的数据都会被禁止，以尽量减少攻击面。

Attribute-Based Access Control (ABAC)

ABAC 根据已验证用户的角色，以及其他属性（例如正在访问的具体资源、访问设备的物理位置、一天中的时间等）来确定其访问权限。尽管这使 ABAC 与 RBAC 类似，但它也使 ABAC 能够提供更细粒度的访问控制：根据工作职能以及更广泛的上下文情况来限制或启用访问。

基于规则的访问控制

与基于角色的访问控制类似，基于规则的访问控制会基于组织设置的集中式访问控制规则来限制对资源的访问。这些规则可能会根据位置、设备类型、访问时间或其他可变条件指定限制。

基于策略的访问控制（PBAC）

PBAC 通过为每个用户分配一组访问控制策略来控制对数字资源的访问，并决定用户可以访问哪些文件。它不同于其他基于规则或基于策略的访问控制模型，因为这些策略是分配给用户的，而不是在整个站点范围内统一制定的。因此，策略可以在无需进行大规模审计或更改用户角色的情况下被修改或更新。

断路/紧急“破窗”访问控制

正如警报装置的画面所暗示的那样，Break-Glass Access Control 是一种应急协议，允许特权用户立即访问受限制的数据。该措施通过为经过认证的用户提供对敏感资源可靠的访问方式，为访问控制管理带来更大的灵活性。然而，若其成为机密数据的“后门”，可能会带来风险，因此尤其关键的是要对政策进行充分的文档化，以避免误解，并强制实施诸如 MFA 之类的严格认证措施。

尽管这些访问控制模型中有不少具有重叠之处，但其中大多数仍然足够独立，组织可能希望结合多种保护措施，以防止对不同网络资源的未授权访问。

访问控制如何运作

“什么是访问控制？”这个问题，或许最容易通过拆解访问控制管理背后的实际步骤来回答。通常，该过程包含以下阶段：

• 用户输入登录凭据，并被验证为已登录到集中式数据库的特定个人。
• 系统会检查访问控制策略，以验证用户可能获得哪些权限。
• 根据既定的访问控制策略，向用户授予特定权限。

作为网络安全中的关键概念，访问控制可以与其他 identity and access management (IAM) 协议集成，以建立进一步的保护。实施 MFA 是强化身份验证流程的极其有效方式，并且可以很容易地要求用于初次登录。还可以在认证过程中实施更广泛的基于目录的验证措施（例如 SAML 或 LDAP），以实现更严格的控制。

尽管访问控制策略通常应当非常全面，组织仍可以通过要求在令牌过期或自动注销的情况下进行持续身份验证来进一步提升其防护能力。另一方面，在访问控制策略中加入异常条款，明确在哪些情境下可以授予基于上下文的访问权限，也会很有帮助；这能更好地确保在紧急或迫切的情境中，按需查看敏感数据。

物理访问控制 vs. 逻辑访问控制

问“在安全领域中，访问控制是什么？”可能会得到两个答案，因为“访问控制”既可以指物理环境中的控制，也可以指数字（逻辑）环境中的控制。不过，网络安全中的逻辑访问控制并不等同于物理访问控制。

物理访问控制 关注的是限制对物理 IT 资源的访问，例如现场数据中心或计算机。该控制的具体措施可能包括摄像头或自动门锁等预期的安全措施；而用于识别用户的措施可能包括钥匙扣、键盘 PIN 码或生物识别读卡器。物理访问控制通常与设施管理（Facility Management）一起管理，或由设施管理单独负责。

逻辑访问控制 另一方面，在网络安全中，逻辑访问控制专门处理的是在 IT 环境中限制对数字资源的访问。虽然它也可能使用钥匙扣、键盘、PIN 或生物识别读卡器，但这些只用于控制对数字资源的访问。因此，逻辑访问控制管理主要是制定有效的网络策略，而不是去控制对任何实际设备或服务器的访问。

访问控制中的挑战

作为覆盖整个组织的综合性政策，访问控制并不总是容易实施。规模庞大的云环境或分布式服务器由于布局复杂，往往尤其难以管理；此外，远程访问可能并非对每一台终端设备都能立即提供，尤其是在通过 BYOD 进一步提高设备多样性的组织中。

如果你们组织中的各个部门会分别保存人员记录，那么访问控制也可能因此变得更为复杂，从而形成“身份孤岛（identity silos）”：某些身份数据包彼此之间无法交互。想想存放在 HR、设施管理（m.a.）以及 IT 里的数据集，以及组织将这些数据在一起进行整合会有多么困难。如果用户开始出现“密码疲劳（password fatigue）”，也可能引发问题；密码疲劳是指用户因持续需要提供或重置密码而感到筋疲力尽，于是重复使用密码或创建不安全的密码来应对。

不过，无论是这些挑战还是其他任何挑战都存在的情况下，关键在于组织要在访问控制方面保持一致性与可见性，以实现更可靠的保护。即使在分布式或复杂的环境中，控制措施也必须以统一的方式应用，并提供足够的透明度，让用户能够理解自己的个人访问权限。不一致或其他方面不明确的访问控制可能会导致员工困惑，从而影响工作效率，甚至促使用户寻找缺乏安全保障的后端方式来访问资源。

借助 DSPM 实现数据可见性与风险态势

在建立访问控制时，第一步、そしておそらく最も重要な步骤是评估你的数字环境、其中的所有数据，以及保护这些信息的现有访问策略。然而，手动清点和核算所有这些资源不仅费时，而且问题重重；因为组织中通常会存在大量“影子数据（shadow data）”，在典型的搜索中往往看不到。

这就是 Netwrix Data Security Posture Management (DSPM) 的用武之地。它是一款全面的工具，用于管理与环境数据相关的风险；DSPM 会自动化系统监控，以发现并分类数字环境中的所有资源。通过对所有 敏感数据 进行编目——包括隐藏在环境内部、较不为人所察觉的影子数据——DSPM 能够提供对服务器上最脆弱资源的全面洞察，同时清晰列出哪些人可以访问、哪些人不可以访问。

借助这种可视性，IT 团队可以使用 DSPM，通过清晰了解“谁能访问哪些资源、原因是什么，以及他们是否应该继续拥有该权限”来增强或实施 IAM 策略。DSPM 甚至还为特定合规计划提供了简化支持，以便在监管最佳实践的基础上进一步强化访问控制。

由于访问管理是一个持续的过程，DSPM 也内置了通过自动化实时风险评估实现持续改进的能力：该评估会在云端与混合环境中扫描潜在漏洞和威胁。软件会对这些发现进行分析，将其转化为可采取行动的洞察与建议，以降低与访问相关的威胁，并通过个性化指导有效支持 SOC 团队的工作。

现代访问控制解决方案

当今的访问控制管理解决方案通常以 IAM 平台的形式提供，将访问控制与相关领域的 Identity Management（身份管理）结合起来。其他选择包括云访问安全代理（CASB），它在云服务提供商与企业云用户之间充当安全检查点；以及 Zero Trust Network Access（ZTNA）模型，该模型要求用户持续进行身份认证。此外，还有一种更直接的模式：集中式目录，用于存储用户数据库和策略控制。

无论负责访问管理的工具是什么，关键在于它必须为用户提供自助服务门户。该功能通常会提供自动化方式，让用户输入密码重置请求、按需时刻（just-in-time）进行的权限提升请求，或其他足够日常、可由软件处理而无需由 IT 专业人员来处理的请求。

访问控制中一个新兴的解决方案类别是 data security posture management (DSPM)。DSPM 不像中介那样位于用户与服务器环境之间，而是强调通过扫描系统、突出访问威胁、存在风险的用户行为以及其他漏洞，来识别对数字资源的潜在危险。

示例软件包括 Netwrix Data Security Posture Management。作为弥合数据可见性与有效访问控制之间差距的综合解决方案，Netwrix DSPM 会自动化以下流程：在 IT 环境中识别数据、核实这些资源当前的访问规则，以及突出系统边界内外对数据的潜在威胁。

零信任（Zero Trust）在访问控制中的作用

安全的访问控制本质上与零信任（Zero Trust）策略相辅相成：通过要求持续验证来访问数据。在零信任模型下，访问控制必须对每一次访问请求都进行验证，从而大幅降低对手获取机密资源访问权限的风险。这在安全边界的内外部共同建立了“永不信任，始终验证”的策略，以实现整体更强的安全态势。

将零信任措施作为访问控制的一部分来实施，可以根据每一次具体访问尝试的情境制定更具上下文感知能力的策略，从而在安全控制中为组织提供微分段能力。Netwrix 通过赋能 IT 团队在多种情景（尤其是访问尝试）下要求进行验证，来支持所有解决方案中的零信任策略，使得各组织能够按需细化各自的安全策略。

实施访问控制的最佳实践

实施和维护访问控制是一个持续的过程，可能需要反复微调才能做到尽善尽美。一个至关重要的第一步是启用 MFA，以加强认证措施，并通过落实最小权限限制来最大限度地减少任何敏感资源的攻击面。用户账户不应被共享，也不应创建联合用户账户；同时，策略应仅授予单个用户所需的权限数量，以防止出现权限过高的账户。

所有访问控制策略都必须使用标准化格式命名，以便于文档编制和策略审查。这些审查应定期进行，以持续监测系统中的漏洞和潜在改进；同时，为了实现这些目的，以及确认组织的合规性，也必须开展定期审计。

不过，在紧急情况下，请在访问控制策略中预留例外的空间。如果事件管理人员或高层人员需要立即访问敏感资源，那么必须准备“断玻璃（break-glass）”措施，以便在瞬间向用户授予所需权限。这些策略应当尤其充分地进行文档化与定义，防止它们反而成为对手的后门。

Netwrix Data Security Posture Management (DSPM) 是一款极其有效的解决方案，可帮助您实现这些最佳实践：它会自动发现环境中的隐藏风险，并通过持续监控与日志记录来自动化监督。通过节省 SOC 团队的时间与精力，并让您能够全面了解数字环境的各个部分，DSPM 能以更高的效率和可用的数据洞察，立即增强访问控制。

按行业划分的访问控制用例

虽然访问控制对所有组织都至关重要，但不同的行业会采用不同的实施方式：

• 医疗保健： 医疗机构需要遵循严格的数据安全要求以符合 HIPAA，因此访问控制是一项必不可少的措施，用于保护患者档案以及数据库中任何可识别信息。
• 金融机构： 金融机构必须同时遵守 PCI DSS 以及 SOX，因此他们往往会使用访问控制，以更有效地保护用户的金融信息，同时不限制经授权方的访问。
• 政府： 政府机构采用严格的访问控制方法，依据最高安全标准来保护敏感数据，并根据 MAC 或许可级别授予访问权限。
• 企业 IT： 企业 IT 环境借助 IAM 和 DSPM 解决方案的组合，既能实现跨部门或分布式协作，又能防止未经授权的访问。
• 教育： 教育机构使用访问控制措施来保护学生的个人可识别信息，防止无关方或外部人员查看数据。

不论所属行业如何，所有组织都拥有敏感数据，而这些数据是绝对不能泄露的；要确保数据安全，有效的访问控制至关重要。

结论

无论是客户的财务数据、内部员工身份信息，还是公司的机密，任何组织中的机密数据都必须始终保持机密性。在适当的访问控制措施到位的情况下，这些资源就能够被可靠地保护，同时不会妨碍员工的工作职责。

然而，正如我们所看到的，“什么是访问控制？”这一问题的答案会因每个组织的性质以及需要保护的资源而有所不同。因此，在贵组织中部署有效的访问控制管理，首先需要考虑哪一种模型最符合贵组织特定的安全与合规需求。例如，医疗机构可以从 ABAC 的细粒度控制中获益，但联邦承包商可能会从 MAC 模型更严格的规则中获得更多收益。

无论部署到何种环境，Data Security Posture Management 都能通过对敏感数据及其漏洞的深入洞察，显著提升访问控制的安全性。 Netwrix Data Security Posture Management 特别是，Netwrix Data Security Posture Management 增加了关键的智能与可视性层，使访问控制策略更加聪明、更符合合规要求，并具备风险意识。

强有力的访问控制能够在不拖慢业务的情况下保护敏感数据。借助 Netwrix DSPM ，团队可以识别敏感数据，了解访问在何处暴露得过多，并在云端与混合环境中对修复工作进行优先级排序。最终效果是可视性更清晰、访问决策更严谨，并对合规与降低风险提供更强有力的支持。