【文章內(nèi)容簡介】 些列表針對特定的客體，限定了哪些用戶可以實現(xiàn)何種安全策略的操作行為。 ? 基于組的策略。 基于組的策略是基于個人的策略的擴充，指一些用戶被允許使用同樣的訪問控制規(guī)則訪問同樣的客體。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 基于規(guī)則的安全策略 ?基于規(guī)則的安全策略中的授權(quán)通常依賴于敏感性。在一個安全系統(tǒng)中，數(shù)據(jù)或資源應(yīng)該標(biāo)注安全標(biāo)記。代表用戶進行活動的進程可以得到與其原發(fā)者相應(yīng)的安全標(biāo)記。在實現(xiàn)上，由系統(tǒng)通過比較用戶的安全級別和客體資源的安全級別來判斷是否允許用戶進行訪問。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 安全級別 ?安全級別有兩個含義，一個是主、客體系統(tǒng)資源的安全級別，分為有層次的安全級別和無層次的安全級別；另一個是訪問控制系統(tǒng)實現(xiàn)的安全級別，這和《可信計算機系統(tǒng)評估標(biāo)準(zhǔn)》的安全級別是一樣的，分為 D， C（ C1， C2）， B（ B1， B2， B3）和 A共 4類 7級，由低到高。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 安全審計 ?計算機網(wǎng)絡(luò)安全審計是通過一定的策略，利用記錄和分析系統(tǒng)活動和用戶活動的歷史操作事件，按照順序檢查、審查和檢驗每個事件的環(huán)境及活動，其中系統(tǒng)活動包括操作系統(tǒng)和應(yīng)用程序進程的活動；用戶活動包括用戶在操作系統(tǒng)中和應(yīng)用程序中的活動，如用戶使用何種資源、使用的時間、執(zhí)行何種操作等方面，發(fā)現(xiàn)系統(tǒng)的漏洞并改進系統(tǒng)的性能和安全。審計是計算機網(wǎng)絡(luò)安全的重要組成部分。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 安全審計概述 ?安全審計的目標(biāo)： 對潛在的攻擊者起到震懾和警告的作用；對于已經(jīng)發(fā)生的系統(tǒng)破壞行為，提供有效的追究責(zé)任的證據(jù)，評估損失，提供有效的災(zāi)難恢復(fù)依據(jù)；為系統(tǒng)管理員提供有價值的系統(tǒng)使用日志，幫助系統(tǒng)管理員及時發(fā)現(xiàn)系統(tǒng)入侵行為或潛在的系統(tǒng)漏洞。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 安全審計的類型 ? 有三種：系統(tǒng)級審計、應(yīng)用級審計和用戶級審計。 ? 系統(tǒng)級審計。 系統(tǒng)級審計的內(nèi)容主要包括登錄（成功和失?。?、登錄識別號、每次登錄嘗試的日期和時間、每次退出的日期和時間、所使用的設(shè)備、登錄后運行的內(nèi)容（如用戶啟動應(yīng)用的嘗試，無論成功或失?。?。典型的系統(tǒng)級日志還包括和安全無關(guān)的信息，如系統(tǒng)操作、費用記賬和網(wǎng)絡(luò)性能。 ? 應(yīng)用級審計。 系統(tǒng)級審計可能無法跟蹤和記錄應(yīng)用中的事件，也可能無法提供應(yīng)用和數(shù)據(jù)擁有者需要的足夠的細(xì)節(jié)信息。通常，應(yīng)用級審計的內(nèi)容包括打開和關(guān)閉數(shù)據(jù)文件，讀取、編輯和刪除記錄或字段的特定操作以及打印報告之類的用戶活動。 ? 用戶級審計。 用戶級審計的內(nèi)容通常包括：用戶直接啟動的所有命令、用戶所有的鑒別和認(rèn)證嘗試、用戶所訪問的文件和資源等方面。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 安全審計系統(tǒng)的基本結(jié)構(gòu) ? 安全審計是通過對所關(guān)心的事件進行記錄和分析來實現(xiàn)的，因此審計過程包括審計發(fā)生器、日志記錄器、日志分析器和報告機制幾部分，如圖所示。 系統(tǒng)事件 安全事件 應(yīng)用事件 網(wǎng)絡(luò)事件 其他事件 審計發(fā)生器 審計發(fā)生器 審計發(fā)生器 審計發(fā)生器 審計發(fā)生器 日志 記錄器 日志 分析器 審計分析報告 日志文件 審計策略 和規(guī)則 … 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 日志的審計 ? 日志的內(nèi)容：日志系統(tǒng)可根據(jù)安全要求的強度選擇記錄下列事件的部分或全部： ?審計功能的啟動和關(guān)閉。 ?使用身份驗證機制。 ?將客體引入主體的地址空間。 ?刪除客體。 ?管理員、安全員、審計員和一般操作人員的操作。 ?其他專門定義的可審計事件。 ? 通常，對于一個事件，日志應(yīng)包括事件發(fā)生的日期和時間、引發(fā)事件的用戶（地址）、事件和源及目的的位置、事件類型、事件成敗等。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 安全審計的記錄機制 ? 不同的系統(tǒng)可采用不同的機制記錄日志。日志的記錄可以由操作系統(tǒng)完成，也可以由應(yīng)用系統(tǒng)或其他專用記錄系統(tǒng)完成。但是，大部分情況都可用系統(tǒng)調(diào)用 Syslog來記錄日志，也可以用 SNMP記錄。 Syslog由 Syslog守護程序、Syslog規(guī)則集及 Syslog系統(tǒng)調(diào)用三部分組成。 日志素材 Syslog 系統(tǒng)調(diào)用 Syslog 守護程序 Syslog 規(guī)則集 日志記錄 系統(tǒng) 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 日志分析 ? 日志分析就是在日志中尋找模式，主要內(nèi)容如下： ? 潛在侵害分析。 日志分析應(yīng)能用一些規(guī)則去監(jiān)控審計事件，并根據(jù)規(guī)則發(fā)現(xiàn)潛在的入侵。這種規(guī)則可以是由己定義的可審計事件的子集所指示的潛在安全攻擊的積累或組合，或者其他規(guī)則。 ? 基于異常檢測的輪廓。 日志分析應(yīng)確定用戶正常行為的輪廓，當(dāng)日志中的事件違反正常訪問行為的輪廓，或超出正常輪廓一定的門限時，能指出將要發(fā)生的威脅。 ? 簡單攻擊探測。 日志分析應(yīng)對重大威脅事件的特征有明確的描述，當(dāng)這些攻擊現(xiàn)象出現(xiàn)時，能及時指出。 ? 復(fù)雜攻擊探測。 要求高的日志分析系統(tǒng)還應(yīng)能檢測到多步入侵序列，當(dāng)攻擊序列出現(xiàn)時，能預(yù)測其發(fā)生步驟 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 審計事件查閱 ? 由于審計系統(tǒng)是追蹤、恢復(fù)的直接依據(jù)，甚至是司法依據(jù)，因此其自身的安全性十分重要。審計系統(tǒng)的安全主要是查閱和存儲的安全。 ? 審計事件的查閱應(yīng)該受到嚴(yán)格的限制，不能篡改日志。通常通過以下不同的層次保證查閱的安全： ?審計查閱。審計系統(tǒng)以可理解的方式為授權(quán)用戶提供查閱日志和分析結(jié)果的功能。 ?有限審計查閱。審計系統(tǒng)只能提供對內(nèi)容的讀權(quán)限，因此應(yīng)拒絕具有讀以外權(quán)限的用戶訪問審計系統(tǒng) ?可選審計查閱。在有限審計查閱的基礎(chǔ)上限制查閱的范圍。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 審計事件存儲 ?審計事件的存儲也有安全要求，具體有如下幾種情況。 ?受保護的審計蹤跡存儲。即要求存儲系統(tǒng)對日志事件具有保護功能，防止未授權(quán)的修改和刪除，并具有檢測修改 /刪除的能力。 ?審計數(shù)據(jù)的可用性保證。在審計存儲系統(tǒng)遭受意外時，能防止或檢測審計記錄的修改，在存儲介質(zhì)存滿或存儲失敗時，能確保記錄不被破壞。 ?防止審計數(shù)據(jù)丟失。在審計蹤跡超過預(yù)定的門限或記滿時，應(yīng)采取相應(yīng)的措施防止數(shù)據(jù)丟失。這種措施可以是忽略可審計事件、只允許記錄有特殊權(quán)限的事件、覆蓋以前記錄、停止工作等。 計 算 機 網(wǎng) 絡(luò) 安 全 技 術(shù) 安全審計的實施 ? 為了確保審計數(shù)據(jù)的可用性和正確性，審計數(shù)據(jù)需要受到保護，因為不正確的數(shù)據(jù)也是沒用的。而且，如果不對日志數(shù)據(jù)進行及時審查，規(guī)劃和實施得再好的審計也會失去價值。審計應(yīng)該根據(jù)需要（經(jīng)常由安全事件觸發(fā)）定期審查、自動實時審查或兩者兼而有之。系統(tǒng)管理人員和系統(tǒng)管理員應(yīng)該根據(jù)計算機安全管理的要求確定需要維護多長時間的審計數(shù)據(jù)，其中包括系統(tǒng)內(nèi)保存的和歸檔保存的數(shù)據(jù)。 ? 與實施有關(guān)