接上一条博文。

实施强效访问控制措施

要求 7 ：按业务知情需要限制对持卡人数据的访问

image.png

“知情需要“ 只授权访问工作所需的最低限度的数据量和权限，这一点原则在很多地方都有体现，譬如操作系统的最小权限原则等等，也很好理解，权限越高，所带来的隐藏的风险就越高，访问数据的人越多，同理风险也越高。解决这一问题就是给不同的角色设定不同的权限，对用户ID设置角色权限，授予为执行工作所需的最小权限。

image.png

访问控制系统默认设为“全部拒绝”。有时候为了管理用户访问，实体可具有一个或多个访问控制系统。

要求8：识别并验证对系统组件的访问

image.png

为有访问权限的每个人分配一个唯一标识符，确保每个人都能对自己的操作负责。避免出现多个员工共用一个ID。一个员工一个ID，出现问题，便可以根据用户ID执行操作和跟踪。同时必须使用强有力的流程来管理用户ID和其他验证凭证的所有变更。

image.png

看到第一点就笑出声来，也许很多人会觉得这种情况发生的机率很低。但是就笔者个人接触过的而言，这种情况太普遍了！尤其是在今年这个疫情的背景下，很多公司都进行了大规模的裁员，难免会出下员工不满足调剂或安排，利用自己的权限进行脱裤、删库、在暗网上贩卖客户信息等等，走之前捞一笔或者搞搞小破坏。所以这一点与上面的呼应起来，严格授予员工满足工作需要的最小权限，其实也是限制出现问题后的影响范围。对于一些不常用的用户，也需要进行监控和管理，因为这些用户很可能成为攻击的切入点。除此之外，对于授权供应商访问网络，也需要对其进行监控，确保供应商仅在获准时间段内访问必要的系统。暴力猜解密码是老问题了，账户锁定机制可以有效的降低被猜解的风险。

image.png
锁定时间：至少30mins，或者直接封ip。会话时间超过15分钟后需要重新验证用户来重新激活终端或会话。这样的措施是在避免在会话有效期内，非本用户的其他人可能会在有效期内进行非授权的访问。
image.png

对密码进行强效加密，避免明文传输被嗅探到。
社工这个问题，也是门学问吧。“保密问题”其实在很早之前就已经出现了，当时还感觉设置“保密问题”之类的简直是画蛇添足，接触安全之后，发现其实“保密问题”发挥的作用很大。

image.png

呼应上一页，这一页讲的是关于具体实现密码强度和相关问题。第一点密码或口令长度至少为7个字符，同时包含数字和字母字符。这里站在用户的角度，还需要注意不要过多将自己的个人信息作为密码口令的部分，譬如生日、姓名全拼等，这些带有社工属性的密码口令，也存在被猜解的风险。接着谈到密码变更的习惯，当然很大一部分人包括笔者没有这个习惯，但是站在企业公司的角度，周期性变更员工密码口令可以降低猜解的风险。这里我想到了密码本的问题，很多员工因为平台或业务的账号较多，喜欢将密码记录在第三方生成的密码本里，这是极不安全的一个行为。评价其既不安全，不是说第三方生成的密码本做的很low不安全，而是针对将大部分账号集中记录在某一块这样行为的不安全，一旦被入侵登陆其密码本，所造成的损失影响将是形如多米诺骨牌效应那样。第三点，不允许个人提交与最近所用的4个密码或口令中任何一个相同的新密码。想想这样的策略好像在很多大公司的产品里都有所体现，其实也是为了降低别人获取到用户密码的可能性。

image.png

每个用户首次使用和重置的密码口令为唯一值，并在首次使用后立即变更。关于多因子认证的问题，目前有很多种解决方案，这些方案我并没有具体了解过，但是每种方案都有各自的优缺点。多因子认证问题的引出，其实是为了解决一个最根本的问题：怎么样证明你是“你”？很玄学，却又很有意思的一个问题。听说生物特征验证最近挺火，不过了解的不多。