Access controls and authentication systems

• 良好的訪問控制能維持數據的保密性、完整性和可用性。
• knowledge ownership characteristic authentication systems use to verify a user's identity.

AAA framwork

• 身份驗證（Authentication）：這是確定用戶身份的過程，常見的方式包括使用密碼、指紋或其他生物識別技術。只有當用戶的身份得到確認後，系統才會允許其訪問資源。

• 授權（Authorization）：這個過程是在身份驗證之後進行的，用來確定已驗證的用戶可以訪問哪些資源或執行哪些操作。這通常通過設定權限來實現，這樣即使一個用戶訪問了系統，也不意味著他/她可以查看或改動所有的數據。

• 會計（Accounting）：這一功能是指跟蹤和記錄用戶在系統中的活動。會計有助於檢查用戶的行為是否符合公司的政策，也有助於在發生安全事件時進行調查。

身份驗證因素

SSO 與MFA technology的興起

SSO 與 MFA 比較表

The mechanisms of authorization授權機制

authentication

accounting framework

為何進行用戶活動審計?

• 監控系統的訪問日誌。訪問日誌幫助識別趨勢，例如失敗的登錄嘗試。
• 日誌記錄用戶誰、何時、使用了哪些資源。可用於發現黑客入侵和檢測事件（如數據洩露）。

Identity and access management

基本安全原則

• The principle ofLeast Privilege（最小特權） :用戶僅被授予完成任務所需的最低訪問權限
• Separation of Duties（職責分離）:防止任何一個用戶擁有濫用系統的授權級別

身份與訪問管理 (IAM)

• 組織越來越依賴技術，需遵循規範要求
• IAM是一套管理數位身份的流程與技術
  • 與AAA系統相似：
  • 驗證用戶、確定訪問權限、追蹤活動
• 「正確的用戶user」、「正確的資源resources」、「正確的時間time」以及「正確的理由reasons」形成了組織IAM政策及流程的根本基礎。
  職責分離（Separation of Duties）：這是一個安全控制原則，要求將關鍵任務或權限分配給多個人員，以減少風險。這樣，即使一個人濫用權限，也無法完成整個流程。
  職責隔離（Segregation of Duties）：這個術語在實際應用中通常與職責分離互換使用，功能和目的相同。它旨在確保無一人能夠在一個流程中獨立執行所有責任，從而防止欺詐行為和錯誤。

Authenticating users 用戶驗證

需要用戶提供身份證明來訪問資源

• 驗證因素：
  • Knowledge（知識）：用戶所知的
  • Ownership（擁有）：用戶所擁有的
  • Characteristic（特徵）：用戶本身的特徵
    單一登錄（SSO）
    單一登錄是一種技術，它使得用戶能夠用一組登錄憑證（如一個用戶名和密碼），直接訪問多個應用程序或網站。這不僅提高了用戶的便利性，還減少了記住多組登錄信息的負擔，降低了因為忘記密碼而導致的安全風險。然而，SSO也需要合適的安全措施來確保其不被壟斷或濫用。

多因素身份驗證（MFA）
多因素身份驗證則是增強安全的一種措施，它要求用戶提供兩種或以上的身份驗證方式才能獲得對系統或網絡的訪問權限。這些可以是知識（如密碼）、持有物（如手機生成的動態密碼）或生物識別（如指紋或面部識別）。多因素身份驗證大幅提升了安全性，即使有人獲得了用戶的密碼，沒有其他所需的驗證形式，仍然無法成功登錄。

用戶配備（User Provisioning）

• 創建和維護用戶數位身份的過程
• 包括用戶的授權和去授權
• 分析師在IAM中負責撤銷用戶權限deprovision users的角色凸顯了安全管理中的一個核心概念，即隨時管理用戶訪問權限是確保系統安全的關鍵步驟。隨著企業環境的變化，用戶可能會更換角色、離職或因其他原因不再需要訪問某些資源。這時，需要快速且有效地撤銷其權限，以保護組織資源不受未經授權的訪問。

授權程序