等保测评2.0：应用访问控制
字数 1792 2025-08-15 21:31:29
等保测评2.0：应用访问控制详解
1. 概述
本文档详细解析等保测评2.0中应用访问控制的相关要求，包括7个测评项的具体实施要点，并结合Scada软件的实际案例进行说明。
2. 测评项详解
2.1 测评项a：应对登录的用户分配账户和权限
核心要求：
- 系统应存在至少两个账户，且权限不同
- 需具备权限分配机制，将权限通过账户分配给用户
常见问题：
- 高风险情况：不登录可直接访问后台地址
- 系统只有一个账户或数个账户但无权限分配机制
实施要点：
- 检查系统是否存在多个账户
- 验证不同账户是否具备不同权限
- 确认权限分配机制是否有效
2.2 测评项b：应重命名或删除默认账户，修改默认账户的默认口令
核心要求：
- 不应存在admin、system等常见默认账户
- 需修改软件默认用户名和口令
实施要点：
- 检查是否存在常见默认账户名
- 验证默认账户的口令是否已修改
- 注意某些软件特有的默认用户名也需要修改
2.3 测评项c：应及时删除或停用多余的、过期的账户，避免共享账户的存在
核心要求：
- 定期清理多余、过期账户
- 禁止账户共享使用
实施要点：
- 主要针对管理员账户、后台账户进行检查
- 检查账户管理记录和策略
2.4 测评项d：应授予管理用户所需的最小权限，实现管理用户的权限分离
核心要求：
- 遵循最小权限原则
- 实现权限分离
实施要点：
- 业务复杂系统（如医院、财务系统）通常权限划分较细
- 业务简单系统可能存在权限划分过粗的问题
- 判定标准：
- 权限划分细致：符合
- 仅分普通用户和后台用户两类：部分符合或不符合
2.5 测评项e：应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则
核心要求：
- 明确授权主体（如超级管理员）
- 明确定义访问控制策略
实施要点：
- 通常由超级管理员或系统管理员负责
- 大多数系统可判定为符合
2.6 测评项f：访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级
核心要求：
- 主体控制粒度：用户级或进程级
- 客体控制粒度：文件、数据库表级
实施要点：
主体控制粒度
- 理想情况：能直接将权限赋予具体用户
- 常见实现：通过角色分配权限，用户属于角色
- 深度要求：应支持绕过角色直接为用户分配权限
客体控制粒度
- 表单页面可类比数据库表
- 检查是否能对表单页面权限进行分配
- 更细粒度：检查按钮级权限控制
访问控制表现验证
B/S架构验证方法：
- 用有权限账户登录，记录表单地址
- 用无权限账户登录，直接访问表单地址
- 检查是否成功访问
- 对Ajax方式显示的表单，需找到接口并用jQuery的get/post方法测试
C/S架构验证方法：
- 检查表单是否直接不显示
- 注意检查是否存在独立exe未做权限验证的情况
2.7 测评项g：应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问
实施要点：
- 实际测评中基本没有系统能完全实现
- 可酌情判定
3. Scada软件访问控制特例
3.1 Scada系统简介
SCADA(Supervisory Control And Data Acquisition)系统是数据采集与监视控制系统，广泛应用于电力、冶金、石油、化工、燃气、铁路等领域。
3.2 Wonderware Scada软件特点
默认账户：
- Administrator：访问级别9999（最高），默认口令wonderware
- None：访问级别0
- Administrator账户不可删除
访问级别特性：
- 访问级别≥9000的用户可更改Administrator口令
- 无法更改None操作员的口令
- 界面可能显示用户访问级别
权限实现特点：
- 通常无标准权限分配、角色分配功能
- 部分软件甚至无口令修改功能，需在WindowMaker开发工具中设置
- 权限判断主要依赖访问级别属性
权限粒度：
- 可达到极细粒度，如控制到单个动画组件、文本框级别
测评注意事项：
- 访谈可能不可靠，配合人员可能不了解技术细节
- 需结合软件实际特性进行判断
4. 总结
等保测评2.0的应用访问控制要求强调：
- 账户和权限的合理分配与管理
- 默认账户的安全处理
- 权限的最小化和分离原则
- 访问控制的细粒度实现
- 特殊系统（如Scada）需考虑其特有机制
实际测评中应根据系统特性和实现方式灵活判断，特别关注B/S架构的前后端权限验证完整性和C/S架构的独立组件权限控制。