CISSP的成长之路（十九）：详述安全威胁控制手段

　　◆用户需要对自己的行为负责

　　用户所使用的唯一个人标识在不同的场合有不同的叫法，比如登录ID（Logon ID）、用户ID(User ID)、账户号码(Account Number)等，但它最常见的叫法是用户名（User Name）——用户向系统提供用户名，以使系统辨认出使用者是谁。同理，在系统中有许多实体也需要有唯一的身份标识，如系统服务、硬件设备等，任何会对系统进行访问的功能或需求都需要分配一个唯一的标识。

　　由于目前网络的广泛分布及网络中用户数量巨大，因此，一些简单的管理方法往往会引入到身份识别管理流程中以降低管理成本，比如对系统中的用户名命名方式进行书面规定。有的组织使用用户的姓加上名的第一个字母组成用户名，也有的组织会使用用户的全名并在姓和名之间加入下划线组成用户名。不管组织使用的是哪种命名方式，它使用的原则都是根据组织的流程规定，而非取决于所使用的系统类型。

　　除了逻辑的身份识别方式之外，物理的卡片或证件系统也往往执行身份识别的职能，物理身份识别系统往往用于限制对某些区域的进入和访问，如对某个建筑物、服务器机房等。在一些组织中，卡片或证件系统往往也同时用作网络访问控制的手段，比如，智能卡系统在组织中常常被用作对能够接入网络的服务器机房或网络终端机房的进入进行限制，如果用户没有有效的智能卡，便不能从机房接入企业的网络。生物识别系统，如指纹识别、掌纹识别和语音识别系统也往往用于执行物理访问控制系统的用户身份识别功能。

　　身份识别功能的另外一个重要功能就是保证可审计性，一个唯一的身份标识可以使管理员通过日志审计功能，对该标识所属的实体——用户或系统服务所执行过的行为进行跟踪；同时，一个唯一的身份标识也会使用户在执行对系统访问及特定操作时对自己的行为负责。

　　2、身份识别使用指导：

　　确定性（Issuance）：生成身份识别的过程必须是安全并经过文件记录的，从根本上说，身份识别的使用效率及安全性，与身份识别的生成过程密切相关。

　　命名标准（Naming Standard）：用户或其他系统实体的身份识别必须遵守同一个命名的标准，如，系统中所有用户名的格式必须是名+姓的第一个字母，那么John Smith的用户名就应该是SmithJ。

　　不对工作责任进行描述（Non-descriptive for user’s job function）：出于安全考虑，用户的身份识别不应该包括对应用户的工作职责，如系统管理员最好不要使用“Administrator“或”Manager”这样的名字做用户名。

　　非共享原则（No sharing）：一个身份识别在整个系统或网络中应该只由一个用户或实体所有的，否则会造成授权或审计上的麻烦。

　　可校验性（Verifiable）：身份识别要能够通过简单并有效的方法进行校验，校验方法还应该是任何时候在系统的任何部位都是可用的，自动化的。

　　唯一性（Unique）：用户或实体的身份识别在整个系统或网络中必须是唯一的。