北京大學(xué)網(wǎng)絡(luò)信息安全課件--訪問(wèn)控制-全文預(yù)覽
【正文】 授權(quán)（ Authorization)：規(guī)定可對(duì)該資源執(zhí)行的動(dòng)作（例如讀、寫、執(zhí)行或拒絕訪問(wèn)）。 – 合法用戶對(duì)系統(tǒng)資源的非法使用。 ? 基本目標(biāo)： 防止對(duì)任何資源（如計(jì)算資源、通信資源或信息資源）進(jìn)行未授權(quán)的訪問(wèn)。 根據(jù) ISO74982, 安全服務(wù)包括： （ Authentication） （ Access Control） （ Data Confidentiality） （ Data Integrity） （ Nonrepudiation） ISO74982到 TCP/IP的映射 TC P / I P 協(xié)議層安全服務(wù)網(wǎng)絡(luò)接口 互聯(lián)網(wǎng)層 傳輸層 應(yīng)用層對(duì)等實(shí)體鑒別 Y Y Y數(shù)據(jù)源鑒別 Y Y Y訪問(wèn)控制服務(wù) Y Y Y連接保密性 Y Y Y Y無(wú)連接保密性 Y Y Y Y選擇域保密性 Y流量保密性 Y Y Y有恢復(fù)功能的連接完整性 Y Y無(wú)恢復(fù)功能的連接完整性 Y Y Y選擇域連接完整性 Y無(wú)連接完整性 Y Y Y選擇域非連接完整性 Y源發(fā)方不可否認(rèn) Y接收方不可否認(rèn) Y訪問(wèn)控制的概念和目標(biāo) ? 一般概念 —— 是針對(duì)越權(quán)使用資源的防御措施。 – 非法用戶進(jìn)入系統(tǒng)。 ? 主體（ Subject） ：或稱為發(fā)起者 (Initiator)，是一個(gè)主動(dòng)的實(shí)體，規(guī)定可以訪問(wèn)該資源的實(shí)體，（通常指用戶或代表用戶執(zhí)行的程序）。 訪問(wèn)控制模型基本組成 發(fā)起者Init iato r訪問(wèn)控制實(shí)施功能A E F訪問(wèn)控制決策功能A DF目標(biāo)T ar g et提交訪問(wèn)請(qǐng)求Submi tA ccess Request提出訪問(wèn)請(qǐng)求P re s e ntA c c e s s R e ques t請(qǐng)求決策Dec isi o n Requ es t Deci s ion訪問(wèn)控制與其他安全服務(wù)的關(guān)系模型 引用監(jiān) 控器 身份鑒別 訪問(wèn)控制 授權(quán)數(shù)據(jù)庫(kù) 用戶 目標(biāo) 目標(biāo) 目標(biāo) 目標(biāo) 目標(biāo) 審 計(jì) 安全管理員 訪問(wèn)控制決策單元 訪問(wèn)控制策略與機(jī)制 ? 訪問(wèn)控制策略 (Access Control Policy):訪問(wèn)控制策略在系統(tǒng)安全策略級(jí)上表示授權(quán)。 ? 安全策略之間沒(méi)有更好的說(shuō)法，只是一種可以比一種提供更多的保護(hù)。 ? 規(guī)則使用戶與資源配對(duì)，指定該用戶可在該文件上執(zhí)行哪些操作，如只讀、不許執(zhí)行或不許訪問(wèn)。 訪問(wèn)能力表 (CL) Obj1 Own R W O Obj2 R O Obj3 R W O UserA 每個(gè)主體都附加一個(gè)該主體可訪問(wèn)的客體的明細(xì)表。 靈活性高，被大量采用。 ? 等價(jià)于用一個(gè)目標(biāo)的訪問(wèn)矩陣 列 來(lái)描述 ? 基礎(chǔ) (前提 )：一個(gè)隱含的、或者顯式的缺省策略 – 例如，全部權(quán)限否決 – 最小特權(quán)原則：要求最大限度地限制每個(gè)用戶為實(shí)施授權(quán)任務(wù)所需要的許可集合 – 在不同的環(huán)境下，缺省策略不盡相同，例如，在公開(kāi)的布告板環(huán)境中，所有用戶都可以得到所有公開(kāi)的信息 – 對(duì)于特定的用戶，有時(shí)候需要提供顯式的否定許可 ? 例如，對(duì)于違紀(jì)的內(nèi)部員工，禁止訪問(wèn)內(nèi)部一些信息 基于身份的策略：基于組的策略 ? 一組用戶對(duì)于一個(gè)目標(biāo)具有同樣的訪問(wèn)許可。 RBAC決策在批準(zhǔn)一個(gè)訪問(wèn)之前需要進(jìn)行授權(quán)信息和限制信息的比較。 精確描述 ? 強(qiáng)制訪問(wèn)控制 (MAC)中，系統(tǒng)包含主體集 S和客體集O，每個(gè) S中的主體 s及客體集中的客體 o，都屬于一固定的安全類 SC，安全類 SC=L,C包括兩個(gè)部分：有層次的安全級(jí)別和無(wú)層次的安全范疇。 ? 最通常的用途是支持多級(jí)訪問(wèn)控制策略。 ? 起源于 UNIX系統(tǒng)或別的操作系統(tǒng)中組的概念 ? 10year history ? 責(zé)任分離 (separation of duties) ? 角色分層 (role hierarchies) ? 角色激活 (role activation) ? 用戶角色關(guān)系的約束 (constraints on user/role membership) 角色的定義 ? 每個(gè)角色與一組用戶和有關(guān)的動(dòng)作相互關(guān)聯(lián)，角色中所屬的用戶可以有權(quán)執(zhí)行這些操作 ? A role can be defined as a set of actions and responsibilities associated with a particular working activity. ? 角色與組的區(qū)別 – 組：一組用戶的集合 – 角色：一組用戶的集合 + 一組操作權(quán)限的集合 一個(gè)基于角色的訪問(wèn)控制的實(shí)例 ? 在銀行環(huán)境中，用戶角色可以定義為 出納員 、 分行管理者 、 顧客 、 系統(tǒng)管理者 和 審計(jì)員 ? 訪問(wèn)控制策略的一個(gè)例子如下： （ 1）允許一個(gè)出納員修改顧客的帳號(hào)記錄（包括存款和取款、轉(zhuǎn)帳等），并允許查詢所有帳號(hào)的注冊(cè)項(xiàng) （ 2）允許一個(gè)分行管理者修改顧客的帳號(hào)記錄（包括存款和取款，但不包括規(guī)定的資金數(shù)目的范圍）并允許查詢所有帳號(hào)的注冊(cè)項(xiàng)，也允許創(chuàng)建和終止帳號(hào) （ 3）允許一個(gè)顧客只詢問(wèn)他自己的帳號(hào)的注冊(cè)項(xiàng) （ 4）允許系統(tǒng)的管理者詢問(wèn)系統(tǒng)的注冊(cè)項(xiàng)和開(kāi)關(guān)系統(tǒng)，但不允許讀或修改用戶的帳號(hào)信息 （ 5）允許一個(gè)審計(jì)員讀系統(tǒng)中的任何數(shù)據(jù)，但不允許修改任何事情 特點(diǎn) ? 該策略陳述易于被非技術(shù)的組織策略者理解 。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1