访问控制基础与网络防御设备

访问权限（アクセス権）规定了对于文件、数据库等资源，谁可以进行何种操作。

操作可以按查看、修改、删除等类别分别设定，既可以逐个分配给用户，也可以按部门等组为单位统一分配。权限原则上只给工作所需的部分，这种思路称为最小权限（最小権限）。给得过多的权限，会在误操作或账户被盗用时扩大损失。

类比就像员工卡能打开的门因人而异。即使是同一家公司的人，有人能打开仓库的门，有人打不开。

记法英语是 access right。这里的 right 不是“正确”，而是“权利”，可以记成“可以使用的权利清单”。

该术语的过去问 3 题 アクセス権 →

访问控制（アクセス制御）是先确认使用者是谁，再对照设定的访问权限，只放行被允许的操作、拒绝其他操作的机制。

确认是否为本人的阶段称为认证（認証），判定已确认的对象所请求的操作是否为访问权限所允许的阶段称为授权（認可），访问控制按顺序执行这两步。如果设定为拒绝不符合任何规则的请求，即使登记有遗漏，结果也会落在安全的一侧。不仅是信息系统，用 IC 卡或生物特征认证来允许或拒绝进入房间的出入室管理，也是基于同样思路的访问控制。

类比就像会员制健身房的前台。先用会员卡确认本人，再看他的合约是否包含游泳池，然后决定能不能进去。

记法如果说访问权限是“名单”，访问控制就是看着名单决定是否放行的“门卫”。

该术语的过去问 3 题 アクセス制御 →

回拨（Callback，コールバック）是指对通过电话线路等接入的对方，先切断通信，再由系统一侧拨打已登记的号码建立连接的方式。

回拨的目标仅限于事先登记的号码，因此即使第三者盗取了 ID 和口令（密码）并从别处接入，通信也无法建立。由于是系统一侧回拨，通信费用也由系统一侧承担。

类比就像不接陌生号码的来电，而是自己回拨通讯录里的号码，再问对方有什么事。

记法英语 call back 就是日常所说的“回电话”。

防火墙（ファイアウォール）主要设置在组织网络与外部的分界处或终端的出入口，只放行符合既定规则的通信，阻断其他通信。

← 图可左右滑动查看 →

它主要查看通信的发送方和接收方地址以及端口号（表示通信种类的编号）来决定是否放行。用防火墙进行分隔，可以建立只放置对外公开服务器的中间区域，即 DMZ（隔离区）。安装在每台 PC（个人计算机）上、保护该终端的软件型防火墙称为个人防火墙（パーソナルファイアウォール）。

类比就像公寓带自动门锁的大门。只有住户和住户同意放进来的访客才能进入，其他人被挡在门口。

记法fire wall 原指建筑物中的防火隔墙，即在分区边界阻止火势蔓延的墙，名称由此而来。

该术语的过去问 3 题 ファイアウォール →

WAF（Web 应用防火墙）检查发往 Web 应用程序的请求内容，发现并阻止利用其弱点的攻击。

像在输入框中混入非法命令语句的攻击那样，与正常通信走同一路径而来的攻击，仅凭地址和端口号难以识别。WAF 将请求内容与攻击模式进行比对，不让这类攻击通过。它用于会员注册、搜索表单等接受用户输入的网站。

类比就像一位验货员，对通过大门的包裹不只看收件地址，还会打开箱子检查里面的东西。

记法名字里虽然有 Firewall，但它看的不是通信的目的地，而是请求的内容。开头的 W 代表它保护的对象 Web。

该术语的过去问 1 题 WAF →

IDS（入侵检测系统）是监视网络和服务器，发现非法入侵或攻击的迹象并发出通知的机制。

IDS 负责发现和通报，本身不会阻断通信。它独立于在边界筛选通信的防火墙，另行监视通信和设备，因此也能察觉穿过防火墙的攻击和来自内部的可疑活动。监视对象既有网络中流动的通信，也有服务器上的活动。

类比就像家里装的防盗报警器。窗户被打开时会响起来提醒你，但不会把入侵者推回去。

记法D 是 Detection（检测）。工作只到发现为止。

该术语的过去问 2 题 IDS →

IPS（入侵防御系统）与 IDS 一样会发现非法行为的迹象，并在此基础上自动阻断该通信。

IPS 设置在通信路径的中间，会当场阻断判定为攻击的通信，因此无需等待人工处理就能控制损失。反过来，如果把正常通信误判为攻击，连业务所需的通信也会被阻断。

类比就像商店的防盗设备，一感应到入侵就自动放下卷帘门。不只是察觉，还当场封住入口。

记法P 是 Prevention（防御）。IDS 和 IPS 只差 D 和 P 一个字母，区别就在于是“通知”还是“阻断”。