【正文】 是客體（目標對象）的屬性表，它給定每個主體（用戶）對給定的目標的訪問權(quán)限，即一系列實體及其對資源的訪問權(quán)限的列表。 訪問控制技術 主機訪問控制的基本方案 User A Own R W O User B R O User C R W O Object1 維護訪問控表和實施訪問控制本質(zhì)上是系統(tǒng)和圍繞目標的環(huán)境的責任。訪問控制列表反映了一個目標對應于訪問矩陣列中的內(nèi)容。因此，基于身份的訪問控制策略包括基于個人的、基于組的和基于角色的多重策略，可以用很簡單地應用訪問控制列表來實現(xiàn)?；镜脑L問控制列表概念能以多種形式推廣。 訪問控制技術 主機訪問控制的基本方案 身份 類型 允許權(quán)限 拒絕 權(quán)限 時間限制 位置 限制 用戶 A 個人 讀、寫、管理 用戶 B 組 讀 用戶 C 角色 寫、 管理 用戶 D 組 讀、寫 管理 8： 0020：00 本地 終端 表 53 訪問控制列表示例 訪問控制技術 主機訪問控制的基本方案 訪問控制列表最適合于有相對少的需要補區(qū)分的用戶，并且這些用戶中的絕大多數(shù)是穩(wěn)定的情況。如果訪問控制列表太大或經(jīng)常改動，維護訪問控制列表會成為最主要的問題。 訪問控制技術 主機訪問控制的基本方案 （ CLCapabilities List） 訪問能力表這也是一種矩陣表示法 ， 但以主體為索引。 每個主體對應有一個訪問能力表 ， 指出對各個客體的訪問權(quán)限 。 這種方法的優(yōu)缺點與直 ACL相反 。 在分布式系統(tǒng)中 ， 可允許主體只進行一次認證便獲得它的 CL， 不必在會話期間不斷地對各個分布的系統(tǒng)進行授權(quán)申請和處理 。 訪問控制技術 主機訪問控制的基本方案 Obj2 Own R W O Obj2 R O Obj2 R W O User A 網(wǎng)絡中通常包括多種安全區(qū)域。直接地圍繞一個目標的安全區(qū)域，通常立即需要一個關于該目標的訪問決策的表達。然而，訪問能力適合于聯(lián)系相對少的目標，并且對發(fā)起者訪問控制決策容易實現(xiàn)的情況。訪問能力方案的實施主要依賴于在系統(tǒng)間所采用的安全傳遞能力。其缺點是，目標的擁有者不容易廢除以前授予的權(quán)限。 訪問控制技術 主機訪問控制的基本方案 訪問控制技術 主機訪問控制的基本方案 授權(quán)關系 (Authorization relations)這種方案是 ACL與 CL的 結(jié)合，使用關系來表示訪問矩陣。每個關系表示一個主 體對一個客體的訪問權(quán)限，并使用關系式數(shù)據(jù)庫來存放 這個 訪問矩陣 。 用戶 A 權(quán)限 目標 UserA R Obj1 UserA W Obj1 UserA W Obj2 UserA R Obj2 網(wǎng)絡中通常包括多種安全區(qū)域。直接地圍繞一個目標的安全區(qū)域，通常立即需要一個關于該目標的訪問決策的表達。然而，訪問能力適合于聯(lián)系相對少的目標，并且對發(fā)起者訪問控制決策容易實現(xiàn)的情況。訪問能力方案的實施主要依賴于在系統(tǒng)間所采用的安全傳遞能力。其缺點是，目標的擁有者不容易廢除以前授予的權(quán)限。 訪問控制技術 主機訪問控制的基本方案 訪問控制管理涉及訪問控制在系統(tǒng)中的部署 、 測試 、 監(jiān)控以及對用戶訪問的終止 。 雖然不一定需要對每一個用戶設定具體的訪問權(quán)限 ， 但是訪問控制管理依然需要大量復雜和艱巨的工作 。 訪問控制決定需要考慮機構(gòu)的策略 、 員工的職務描述 、 信息的敏感性 、用戶的職務需求等因素 。 訪問控制技術 有三種基本的訪問管理模式： （ 1）集中式 （ 2）分布式 （ 3）混合式 每種管理模式各有優(yōu)缺點。應該根據(jù)機構(gòu)的實際情況選擇合適的管理模式。 訪問控制技術 集中管理就是由一個管理者設置訪問控制。當用戶對信息的需求發(fā)生變化時，只能由這個管理者改變用戶的訪問權(quán)限。由于只有極少數(shù)人有更改訪問權(quán)限的權(quán)力，所以這種控制是比較嚴格的。每個用戶的賬號都可以被集中監(jiān)控，當用戶離開機構(gòu)時，其所有的訪問權(quán)限可以很容易地被終止。因為管理者較少，所以整個過程和執(zhí)行標準的一致性就比較容易達到。但是，當需要快速而大量修改訪問權(quán)限時，管理者的工作負擔和壓力就會很大。 訪問控制技術 分布式管理就是把訪問的控制權(quán)交給了文件的擁有者或創(chuàng)建者 ， 通常是職能部門的管理者 （ functional managers） 。 這就等于把控制權(quán)交給了對信息負有直接責任 、 對信息的使用最熟悉 、 最有資格判斷誰需要信息的管理者的手中 。 但是這也同時造成在執(zhí)行訪問控制的過程和標準上的不一致性 。 在任一時刻 ， 很難確定整個系統(tǒng)所有的用戶的訪問控制情況 。 不同管理者在實施訪問控制時的差異會造成控制的相互沖突以致無法滿足整個機構(gòu)的需求 。 同時也有可能造成在員工調(diào)動和離職時訪問權(quán)不能有效地清除 。 訪問控制技術 混合式管理是集中式管理和分布式管理的結(jié)合 。 它的特點是由集中式管理負責整個機構(gòu)中基本的訪問控制 ，而由職能管理者就其所負責的資源對用戶進行具體的訪問控制 。 混合式管理的主要缺點是難以劃分哪些訪問控制應集中控制 ， 哪些應在本地控制 。 訪問控制技術 防火墻技術 防火墻是一種安全有效的防范技術，是訪問控制機制、安全策略和防入侵措施。 從狹義上講，防火墻是指安裝了防火墻軟件的主機或路由器系統(tǒng)； 從廣義上講，防火墻還包括了整個網(wǎng)絡的安全策略和安全行為。它是通過在網(wǎng)絡邊界上建立起來的相應網(wǎng)絡安全監(jiān)測系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡，以確定哪些內(nèi)部服務允許外部訪問，以及允許哪些外部服務訪問內(nèi)部服務，阻擋外部網(wǎng)絡的入侵。 防火墻在 Inter與內(nèi)部網(wǎng)中的位置 防火墻技術 防火墻從本質(zhì)上說是一些設備 ， 是外部網(wǎng)絡訪問內(nèi)部網(wǎng)絡的訪問控制設備 ， 是用來保護內(nèi)部網(wǎng)絡的數(shù)據(jù) 、資源和用戶聲譽的 。 防止 Inter上的危險 （ 病毒 、 資源盜用等 ） 傳播到的網(wǎng)絡內(nèi)部 。 這樣的設備通常是單獨的計算機 ， 路由器或防火墻盒 （ 專有硬件設備 ） 。 它們充當訪問網(wǎng)絡的唯一入口點 ， 并且判斷是否接收某個連接請求 。 只有來自授權(quán)主機 根據(jù)用戶的服務需要 ， 保證一定的安全系數(shù) 。 防火墻概述 防火墻技術 防火墻概述 防火墻技術 ? 把安全網(wǎng)絡連接到不安全全網(wǎng)上 。 ? 保護安全網(wǎng)絡最大程度地訪問網(wǎng)絡 。 ? 將不安全網(wǎng)絡轉(zhuǎn)變成安全網(wǎng)絡 。 間諜 ：試圖偷走敏感信息的黑客的和闖入者； 盜竊 ：盜竊對象包括數(shù)據(jù)、磁盤空間、ＣＰＵ資源等； 破壞系統(tǒng) ：通過路由器或主機 /服務器蓄意破壞文件系統(tǒng)或阻止授權(quán)用戶訪問內(nèi)部網(wǎng)絡 （ 外部網(wǎng)絡 ） 和服務器 。 （ 1） 集中化的安全管理 ， 強化安全策略 由于 Inter上每天都有上百萬人在 那里收集信息 、交換信息 ， 不可避免地會出現(xiàn)個別品德不良的人 ， 或違反規(guī)則的人 ， 防火墻是為了防止不良現(xiàn)象發(fā)生的 “ 交通警察 ” ， 它執(zhí)行站點的安全策略 ， 僅僅容許 “ 認可的 ” 和符合規(guī)則的請求通過 。 （ 2） 網(wǎng)絡日志及使用統(tǒng)計 因為防火墻是所有進出信息必須通路 ， 所以防火墻非常適用收集關于系統(tǒng)和網(wǎng)絡使用和誤用的信息 。 作為訪問的唯一點 ， 防火墻能在被保護的網(wǎng)絡和外部網(wǎng)絡之間進行記錄 ， 對網(wǎng)絡存取訪問進行和統(tǒng)計 。 防火墻概述 防火墻技術 （ 3） 保護那些易受攻擊的服務 防火墻能夠用來隔開網(wǎng)絡中一個網(wǎng)段與另一個網(wǎng)段 。這樣 ， 能夠防止影響一個網(wǎng)段的問題通過整個網(wǎng)絡傳播 。 （ 4） 增強的保密 用來封鎖有關網(wǎng)點系統(tǒng)的 DNS信息 。 因此 ， 網(wǎng)點系統(tǒng)名字和 IP地址都不要提供給 Inter。 （ 5） 實施安全策略 防火墻是一個安全策略的檢查站 ， 控制對特殊站點的訪問 。 所有進出的信息都必須通過防火墻 ， 防火墻便成為安全問題的檢查點 ， 使可疑的訪問被拒絕于門外 。 防火墻概述 防火墻技術 防火墻概述 防火墻技術 安全操作系統(tǒng) 網(wǎng)關 認證 socks Email處理 代理 認證 域名服務 過濾器 專 用網(wǎng) Inter 防火墻概述 防火墻技術 防火墻由安全操作系統(tǒng) 過濾器：過濾器（ filter）阻止某一類別的流量 網(wǎng)關 域名服務 Email處理等部分組件構(gòu)成，如圖 56所示。 SOCKS協(xié)議： IETF的 AFT（ Authenticated Firewall Traversal） 工作組開發(fā)了一種同時支持 TCP和 UDP應用 穿越防火墻的通用認證框架。 開放式 Inter 接入 過濾器 過 濾 器、 網(wǎng)關 過濾器 、網(wǎng)關和域名服務及郵件處理 過濾器 、 網(wǎng)關 、 域名服務 、 郵件處理 、 安全操作系統(tǒng) 過濾器 、 網(wǎng)關 、 域名服務郵件處理、 數(shù)據(jù)完整性 、 安全操作系統(tǒng) 無接入 功能 安全性 完全安全性 安全級 根據(jù)防火墻的安全策略的不同 ， 防火墻的安全級別也不同 。 防火墻概述 防火墻技術 (1)不能防范來自內(nèi)部惡意的知情者的攻擊 防火墻不能防止專用網(wǎng)中內(nèi)部用戶對資源的攻擊 。 它只是設在專用網(wǎng)和 Inter之間 ， 對其間的信息進行干預的安全設施 。 防火墻可以禁止系統(tǒng)用戶經(jīng)過網(wǎng)絡連接發(fā)送專有的信息 ， 但用戶可以將數(shù)據(jù)復制到磁盤 、 磁帶上 ， 放在 公文包中帶出去 。 (2)不能防范不通過它的連接 只對所有通過防火墻的進行 Inter數(shù)據(jù)流進行處理 ，才能發(fā)揮防火墻的作用 。 防火墻能夠有效地防止通過它進行傳輸信息 ， 然而不能防止不通過它而傳輸?shù)男畔?。 如果用網(wǎng)中有些資源繞過防火墻直接與 Inter連通 ， 則得不到防火墻的保護 。 防火墻概述 防火墻技術 (3)防火墻不能防范病毒 一般防火墻不對專用網(wǎng)提供防護外部病毒的侵犯 。 病毒可以通過 FTP或其它工具傳至專用網(wǎng) 。 如果要實現(xiàn)這種防護 ， 防火墻中應設置檢測病毒的邏輯 。 (4)不能防備全部的威脅 防火墻被用來防備已知的威脅 ， 如果是一個很好的防火墻設計方案 ， 可以防備新的威脅 ， 但沒有一個防火墻能自動防御所有的新的威脅 。 防火墻概述 防火墻技術 防