一、前言

應用系統是我們在日常生活中經常會使用到的，我們購買火車票經常使用的12306系統；到醫院看病前需要先掛號，醫院都有掛號系統；在公司與同事交流傳送檔案，都會使用公司專門的OA系統等等，其實我們手機上安裝的各種APP都是應用系統的一種，應用系統方便了我們的生活、工作和學習，使我們身邊的事變得高效，越來越多的人已經離不開各種應用系統的幫助，也正因為如此，人們對應用系統安全方面的問題也越來越重視，今天我們來講一講應用系統測評中關於訪問控制方面的要求。

應用系統

二、測評項

和之前我們講到的作業系統、資料庫裡邊關於身份鑑別的要求一樣，應用系統對於身份鑑別方面的要求也是一樣的，我們還是按照慣例列出各項測評項。

a)應對登入的使用者分配賬戶和許可權；

d)應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離；

e)應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；

f)訪問控制的粒度應達到主體為使用者級或程序級，客體為檔案、資料庫表級；

g)應對重要主體和客體設定安全標記，並控制主體對有安全標記資訊資源的訪問。

三、測評項a

a)應對登入的使用者分配賬戶和許可權；

從字面意思看，對登陸的使用者分配賬戶和許可權，既然已經登陸了，自然就存在賬戶了，這裡的意思是一開始就有幾個待分配的賬戶，當有使用者需要使用這些賬戶時，就分配給該使用者，至於許可權問題，就必須存在至少兩個賬戶，且這兩個賬戶的許可權不一樣，才有分配許可權的必要性。

許可權設定

因此，這一測評項就需要應用系統最少擁有兩個賬戶，而且這兩個賬戶的許可權不一樣，一般來說比較正規的應用系統大部分會採用三權分立的賬戶分配原則，也就是系統管理員、安全員、審計員，以下是對系統管理員、安全員、審計員的解釋：

系統管理員：管理系統中的賬戶、文件、檔案等；

安全管理員：授權策略以及其它基本策略的設定，還有安全引數的設定。安全引數的設定是安全管理中心安全類中的安全管理中的測評項裡說的，如果安全管理中的安全和安全管理員的安全是一個意思，那麼安全管理員的職能就應該包括安全引數的設定。我對於安全引數的理解就是惡意程式碼防範和入侵防範，也就是防毒軟體、防火牆、ip策略、防入侵軟體的引數的設定。

審計管理員：對系統中審計策略的管理，比如日誌的儲存策略，以及組策略中稽核策略等。

有的時候在這三個賬戶之上還存在一個超級管理員的賬戶，擁有應用系統的全部許可權，掌握這個賬戶的人員應該限制在最小的範圍內。

這一項對於不同的應用系統來說會有不同的預設賬戶，一般來說比較常見的預設賬戶有admin、system等，口令則是根據不同應用的開發方的不同，因人而異，只要在應用系統正式交付時，刪除或者修改這些賬戶的使用者名稱和口令就可以了，值得一提的是，應用系統一般都會建立測試賬戶，這個賬戶的使用者名稱一般為test，密碼都比較簡單，正式交付時最好刪除這些測試賬戶。

預設口令

至於共享賬戶，這個只能透過訪談來確定了，一般被訪談人都會否認存在共享賬戶，測評人員也無從查證，一般都會符合。

六、測評項d

d)應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離；

這一項要根據應用系統的功能多少和使用人數來確定，一般來說功能越多，使用人數越多的應用系統許可權劃分的越細，一般來說我們會根據使用者所使用的系統功能，或者使用者所處的具體處室來劃分許可權，大部分應用系統的許可權劃分都不會有問題，反倒是那些功能單一，使用人數較少的應用系統，容易出現許可權劃分不明確的問題，最常見的就是一個應用系統只有一個管理員賬號，擁有整個應用系統的所有許可權，這顯然是不符合要求的。

許可權分配

七、測評項e

e)應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；

這一項的授權主體應該由安全管理員擔任，至於訪問規則應該是在應用系統設計之初，根據需要已經設計好了的，一般情況下只要設計合理就可以了，這裡每個應用系統都有每個系統的實際需求，並沒有統一標準，這裡就不多說了，視情況而定吧。

合理分配

八、測評項f

f)訪問控制的粒度應達到主體為使用者級或程序級，客體為檔案、資料庫表級；

訪問控制粒度主體達到使用者級或者程序級，我認為就是每一個使用者或者程序都可以擁有不同的訪問客體（也就是許可權），而大部分應用系統則是有多個使用者擁有幾種不同許可權，我們把這種擁有同一種許可權的使用者稱為是一種角色，也就是把訪問幾種客體的許可權打包授予一種角色，再把這個角色授予有需要的使用者，這些使用者就擁有了這些打包好的許可權，這樣一來訪問主體和客體的粒度就不滿足本項要求了，當然有時候我們可以設定角色可以有那些許可權，這樣一來也可以算是符合要求了。

粒度

九、測評項g

g)應對重要主體和客體設定安全標記，並控制主體對有安全標記資訊資源的訪問。

這一項我在測評的過程中還沒有遇到過符合要求的情況，而且我也一直不理解設定這個測評項的初衷是什麼，本來從外表看不出什麼區別的主體和客體，加上安全標記後反而可以一眼認出，如果你想提醒主體這些客體是設定了安全標記的重要客體，不要隨意訪問，你完全可以設定許可權讓這些主體訪問不了就是了，沒有必要設定那麼明顯的標誌，這樣一來倒讓人有一種一探究竟的衝動。

重要標記