《計算機網(wǎng)絡與信息安全技術(shù)》電子課件ch11系統(tǒng)訪問控-文庫吧
2025-01-15 16:58 本頁面
【正文】 戶帶來許多不便。因此，實際應用中，往往將自主訪問控制和強制訪問控制結(jié)合在一起使用。自主訪問控制作為基礎(chǔ)的、常用的控制手段；強制訪問控制作為增強的、更加嚴格的控制手段。 10 訪問控制技術(shù) 訪問控制原理 3．基于角色的訪問控制 基于角色的訪問控制模式 (Role Based Access Control， RBAC)中，用戶不是自始至終以同樣的注冊身份和權(quán)限訪問系統(tǒng)，而是以一定的角色訪問，不同的角色被賦予不同的訪問權(quán)限，系統(tǒng)的訪問控制機制只看到角色，而看不到用戶。用戶在訪問系統(tǒng)前，經(jīng)過角色認證而充當相應的角色。用戶獲得特定角色后，系統(tǒng)依然可以按照自主訪問控制或強制訪問控制機制控制角色的訪問能力。 （ 1）角色的概念 在基于角色的訪問控制中，角色 (role)定義為與一個特定活動相關(guān)聯(lián)的一組動作和責任。系統(tǒng)中的主體擔任角色，完成角色規(guī)定的責任，具有角色擁有的權(quán)限。一個主體可以同時擔任多個角色，它的權(quán)限就是多個角色權(quán)限的總和?；诮巧脑L問控制就是通過各種角色的不同搭配授權(quán)來盡可能實現(xiàn)主體的最小權(quán)限 (最小授權(quán)指主體在能夠完成所有必需的訪問工作基礎(chǔ)上的最小權(quán)限 )。 11 訪問控制技術(shù) 訪問控制原理 3．基于角色的訪問控制 （ 2）基于角色的訪問控制 基于角色的訪問控制就是通過定義角色的權(quán)限，為系統(tǒng)中的主體分配角色來實現(xiàn)訪問控制的。用戶先經(jīng)認證后獲得一定角色，該角色被分派了一定的權(quán)限，用戶以特定角色訪問系統(tǒng)資源，訪問控制機制檢查角色的權(quán)限，并決定是否允許訪問。 這種訪問控制方法的具體特點如下： 1）提供了三種授權(quán)管理的控制途徑 2）系統(tǒng)中所有角色的關(guān)系結(jié)構(gòu)可以是層次化的，便于管理。 3）具有較好的提供最小權(quán)利的能力，從而提高了安全性。 4）具有責任分離的能力。 12 Windows 2023的訪問控制 Windows的安全模型與基本概念 1．安全模型 Windows的安全模型由以下幾個關(guān)鍵部分構(gòu)成： 1） 登錄過程 (Logon Process， LP)。 接受本地用戶或者遠程用戶的登錄請求 ， 處理用戶信息 ， 為用戶做一些初始化工作 。 2） 本地安全授權(quán)機構(gòu) (Local Security Authority， LSA)。 根據(jù)安全賬號管理器中的數(shù)據(jù)處理本地或者遠程用戶的登錄信息 ， 并控制審計和日志 。 這是整個安全子系統(tǒng)的核心 。 3） 安全賬號管理器 (Security Account Manager， SAM)。 維護賬號的安全性管理數(shù)據(jù)庫 (SAM數(shù)據(jù)庫 ， 又稱目錄數(shù)據(jù)庫 )。 4） 安全引用監(jiān)視器 (Security Reference Monitor， SRM)。 檢查存取合法性 ， 防止非法存取和修改 。 這幾部分在訪問控制的不同階段發(fā)揮了各自的作用。 13 Windows 2023的訪問控制 Windows的安全模型與基本概念 2．安全概念 1）安全標識 (Security Identifier， SID)：安全標識和賬號唯一對應，在賬號創(chuàng)建時創(chuàng)建，賬號刪除時刪除，而且永不再用。安全標識與對應的用戶和組的賬號信息一起存儲在 SAM數(shù)據(jù)庫里。 2） 訪問令牌 (Access Token)。 當用戶登錄時 ， 本地安全授權(quán)機構(gòu)為用戶創(chuàng)建一個訪問令牌 ， 包括用戶名 、 所在組 、 安全標識等信息 。 3） 主體 。 用戶登錄到系統(tǒng)之后 ， 本地安全授權(quán)機構(gòu)為用戶構(gòu)造一個訪問令牌 ， 這個令牌與該用戶所有的操作相聯(lián)系 ， 用戶進行的操作和訪問令牌一起構(gòu)成一個主體 。 4） 對象 、 資源 、 共享資源 。 對象的實質(zhì)是封裝了數(shù)據(jù)和處理過程的一系列信息集合體 。 資源是用于網(wǎng)絡環(huán)境的對象 。 共享資源是在網(wǎng)絡上共享的對象 。 5）安全描述符 （ Security Descript）。 Windows系統(tǒng)會為共享資源創(chuàng)建安全描述符，包含了該對象的一組安全屬性 。 14 安全描述符分為四個部分： ① 所有者安全標識 (Owner SecurityID)。 擁有該對象的用戶或者用戶組的 SD。 ② 組安全標識 (GroupSecurity)。 ③ 自主訪問控制表 (Discretionary Access Control List， DAC)。該對象的訪問控制表 ， 由對象的所有者控制 。 ④ 系統(tǒng)訪問控制表 (System Access Control List， ACL)。 定義操作系統(tǒng)將產(chǎn)生何種類型的審計信息 ， 由系統(tǒng)的安全管理員控制 。 其中，安全描述符中的
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1