【正文】 類和 A類，每類又分幾個(gè)級(jí)別， 2022/2/5 81 安全級(jí)別 類別 級(jí)別 名稱 主要特征 D D 低級(jí)保護(hù) 沒有安全保護(hù) C C1 自主安全保護(hù) 自主存儲(chǔ)控制 C2 受控存儲(chǔ)控制 單獨(dú)的可查性，安全標(biāo)識(shí) B B1 標(biāo)識(shí)的安全保護(hù) 強(qiáng)制存取控制，安全標(biāo)識(shí) B2 結(jié)構(gòu)化保護(hù) 面向安全的體系結(jié)構(gòu)，較好的抗?jié)B透能力 B3 安全區(qū)域 存取監(jiān)控、高抗?jié)B透能力 A A 驗(yàn)證設(shè)計(jì) 形式化的最高級(jí)描述和驗(yàn)證 2022/2/5 82 安全級(jí)別（續(xù)） ? D級(jí)是最低的安全級(jí)別，擁有這個(gè)級(jí)別的操作系統(tǒng)就像一個(gè)門戶大開的房子，任何人都可以自由進(jìn)出，是完全不可信任的。 ? 對(duì)于硬件來(lái)說(shuō)，是沒有任何保護(hù)措施的，操作系統(tǒng)容易受到損害，沒有系統(tǒng)訪問限制和數(shù)據(jù)訪問限制，任何人不需任何賬戶都可以進(jìn)入系統(tǒng)，不受任何限制可以訪問他人的數(shù)據(jù)文件。 ? 屬于這個(gè)級(jí)別的操作系統(tǒng)有： ? DOS和 Windows98等。 2022/2/5 83 安全級(jí)別（續(xù)） ? C1是 C類的一個(gè)安全子級(jí)。 C1又稱選擇性安全保護(hù)（ Discretionary Security Protection）系統(tǒng)，它描述了一個(gè)典型的用在 Unix系統(tǒng)上安全級(jí)別 ? 這種級(jí)別的系統(tǒng)對(duì)硬件又有某種程度的保護(hù)，如用戶擁有注冊(cè)賬號(hào)和口令，系統(tǒng)通過賬號(hào)和口令來(lái)識(shí)別用戶是否合法，并決定用戶對(duì)程序和信息擁有什么樣的訪問權(quán)，但硬件受到損害的可能性仍然存在。 ? 用戶擁有的訪問權(quán)是指對(duì)文件和目標(biāo)的訪問權(quán)。文件的擁有者和超級(jí)用戶可以改變文件的訪問屬性，從而對(duì)不同的用戶授予不通的訪問權(quán)限。 2022/2/5 84 安全級(jí)別（續(xù)） ? 使用附加身份驗(yàn)證就可以讓一個(gè) C2級(jí)系統(tǒng)用戶在不是超級(jí)用戶的情況下有權(quán)執(zhí)行系統(tǒng)管理任務(wù)。授權(quán)分級(jí)使系統(tǒng)管理員能夠給用戶分組，授予他們?cè)L問某些程序的權(quán)限或訪問特定的目錄。 ? 能夠達(dá)到 C2級(jí)別的常見操作系統(tǒng)有： （ 1）、 Unix系統(tǒng) （ 2）、 Novell （ 3）、 Windows NT、 Windows 2022和 Windows 2022 2022/2/5 85 安全級(jí)別（續(xù)） ? B級(jí)中有三個(gè)級(jí)別， B1級(jí)即標(biāo)志安全保護(hù)（ Labeled Security Protection），是支持多級(jí)安全（例如：秘密和絕密）的第一個(gè)級(jí)別，這個(gè)級(jí)別說(shuō)明處于強(qiáng)制性訪問控制之下的對(duì)象，系統(tǒng)不允許文件的擁有者改變其許可權(quán)限。 ? 安全級(jí)別存在保密、絕密級(jí)別，這種安全級(jí)別的計(jì)算機(jī)系統(tǒng)一般在政府機(jī)構(gòu)中，比如國(guó)防部和國(guó)家安全局的計(jì)算機(jī)系統(tǒng) 。 2022/2/5 86 安全級(jí)別（續(xù)） ? B2級(jí)，又叫結(jié)構(gòu)保護(hù)級(jí)別（ Structured Protection），它要求計(jì)算機(jī)系統(tǒng)中所有的對(duì)象都要加上標(biāo)簽，而且給設(shè)備（磁盤、磁帶和終端）分配單個(gè)或者多個(gè)安全級(jí)別。 ? B3級(jí)，又叫做安全域級(jí)別（ Security Domain），使用安裝硬件的方式來(lái)加強(qiáng)域的安全，例如，內(nèi)存管理硬件用于保護(hù)安全域免遭無(wú)授權(quán)訪問或更改其他安全域的對(duì)象。該級(jí)別也要求用戶通過一條可信任途徑連接到系統(tǒng)上。 2022/2/5 87 安全級(jí)別（續(xù)） ? A級(jí)，又稱驗(yàn)證設(shè)計(jì)級(jí)別（ Verified Design），是當(dāng)前橙皮書的最高級(jí)別，它包含了一個(gè)嚴(yán)格的設(shè)計(jì)、控制和驗(yàn)證過程。該級(jí)別包含了較低級(jí)別的所有的安全特性 ? 設(shè)計(jì)必須從數(shù)學(xué)角度上進(jìn)行驗(yàn)證，而且必須進(jìn)行秘密通道和可信任分布分析?？尚湃畏植迹?Trusted Distribution）的含義是：硬件和軟件在物理傳輸過程中已經(jīng)受到保護(hù)，以防止破壞安全系統(tǒng)。 ? 橙皮書也存在不足。 TCSEC是針對(duì)孤立計(jì)算機(jī)系統(tǒng)，特別是小型機(jī)和主機(jī)系統(tǒng)。假設(shè)有一定的物理保障，該標(biāo)準(zhǔn)適合政府和軍隊(duì)，不適合企業(yè)，這個(gè)模型是靜態(tài)的。 2022/2/5 88 信息技術(shù)安全性評(píng)估準(zhǔn)則 ? 受美國(guó)開發(fā) TCSEC的影響和信息技術(shù)發(fā)展的需要， 1985年以后，歐洲國(guó)家和加拿大也紛紛開始開發(fā)自己的評(píng)估準(zhǔn)則。 1990年，法國(guó)、德國(guó)、荷蘭和英國(guó)提出了歐共體的信息技術(shù)安全性評(píng)估準(zhǔn)則 (Information Technology Security Evaluation Criteria)， 1991年提出成型的 。 ITSEC作為多國(guó)安全評(píng)估標(biāo)準(zhǔn)的綜合產(chǎn)物，適用于軍隊(duì)、政府和商業(yè)部門。它以超越 TCSEC為目的，將安全概念分為“功能”與“評(píng)估”兩部分。在 ITSEC中還首次提出“安全目標(biāo)” Security Target （ ST）的概念，包括對(duì)被評(píng)估產(chǎn)品或系統(tǒng)安全功能的具體規(guī)定及其使用環(huán)境的描述。 2022/2/5 89 信息技術(shù)安全性評(píng)估準(zhǔn)則（續(xù)） 其功能準(zhǔn)則從 F1～ F10共分 10級(jí)。 1～ 5級(jí)對(duì)應(yīng)于 TCSEC的 D到 A。 F6至 F10級(jí)分別對(duì)應(yīng)數(shù)據(jù)和程序的完整性、系統(tǒng)的可用性、數(shù)據(jù)通信的完整性、數(shù)據(jù)通信的保密性以及機(jī)密性和完整性的網(wǎng)絡(luò)安全。評(píng)估被分為 6級(jí)，具體內(nèi)容參見教材：表 14。 2022/2/5 90 信息技術(shù)安全性評(píng)估通用準(zhǔn)則 信息技術(shù)安全性評(píng)估通用準(zhǔn)則，簡(jiǎn)稱通用準(zhǔn)則（ Common Criteria ， CC），是評(píng)估信息技術(shù)產(chǎn)品和系統(tǒng)安全特性的基礎(chǔ)準(zhǔn)則。 1999年 12月 ISO正式將 準(zhǔn) [ISO /IEC 15408]發(fā)布，定名為“信息技術(shù) ——安全技術(shù) ——IT安全性評(píng)估準(zhǔn)則”，對(duì)應(yīng)的 CC版本為 。 CC準(zhǔn)則是從 TCSEC、 ITSEC、美國(guó)聯(lián)邦準(zhǔn)側(cè) FC 發(fā)展而來(lái)的。圖 13描述了該準(zhǔn)則的發(fā)展歷程。 2022/2/5 91 我國(guó)國(guó)家標(biāo)準(zhǔn) 《 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 》 ? 由我國(guó)公安部提出并組織制定的國(guó)家標(biāo)準(zhǔn) 《 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 》 ，已于 1999年 9月 13日經(jīng)國(guó)家質(zhì)量技術(shù)監(jiān)督局發(fā)布，并于 2022年 1月 1日起開始實(shí)施。該準(zhǔn)則是一個(gè)強(qiáng)制性的開展等級(jí)保護(hù)工作的基礎(chǔ)性標(biāo)準(zhǔn)，是信息安全等級(jí)保護(hù)系列標(biāo)準(zhǔn)編制、系統(tǒng)建設(shè)與管理、產(chǎn)品研發(fā)、監(jiān)督檢查的科學(xué)技術(shù)基礎(chǔ)和依據(jù)。 2022/2/5 92 我國(guó)評(píng)價(jià)標(biāo)準(zhǔn) ? 在我國(guó)根據(jù) 《 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 》 ， 1999年10月經(jīng)過國(guó)家質(zhì)量技術(shù)監(jiān)督局批準(zhǔn)發(fā)布準(zhǔn)則將計(jì)算機(jī)安全保護(hù)劃分為以下五個(gè)級(jí)別 ? 第一級(jí)為用戶自主保護(hù)級(jí)：它的安全保護(hù)機(jī)制使用戶具備自主安全保護(hù)的能力，保護(hù)用戶的信息免受非法的讀寫破壞。 ? 第二級(jí)為系統(tǒng)審計(jì)保護(hù)級(jí)：除具備第一級(jí)所有的安全保護(hù)功能外，要求創(chuàng)建和維護(hù)訪問的審計(jì)跟蹤記錄，使所有的用戶對(duì)自己的行為的合法性負(fù)責(zé)。 2022/2/5 93 我國(guó)評(píng)價(jià)標(biāo)準(zhǔn) ? 第三級(jí)為安全標(biāo)記保護(hù)級(jí)：除繼承前一個(gè)級(jí)別的安全功能外，還要求以訪問對(duì)象標(biāo)記的安全級(jí)別限制訪問者的訪問權(quán)限，實(shí)現(xiàn)對(duì)訪問對(duì)象的強(qiáng)制保護(hù)。 ? 第四級(jí)為結(jié)構(gòu)化保護(hù)級(jí)：在繼承前面安全級(jí)別安全功能的基礎(chǔ)上，將安全保護(hù)機(jī)制劃分為關(guān)鍵部分和非關(guān)鍵部分，對(duì)關(guān)鍵部分直接控制訪問者對(duì)訪問對(duì)象的存取，從而加強(qiáng)系統(tǒng)的抗?jié)B透能力 ? 第五級(jí)為訪問驗(yàn)證保護(hù)級(jí)：這一個(gè)級(jí)別特別增設(shè)了訪問驗(yàn)證功能，負(fù)責(zé)仲裁訪問者對(duì)訪問對(duì)象的所有訪問活動(dòng)。 2022/2/5 94 我國(guó)網(wǎng)絡(luò)信息安全的相關(guān)法規(guī) ? 隨著網(wǎng)絡(luò)應(yīng)用的普及，網(wǎng)絡(luò)犯罪已經(jīng)成為一個(gè)日益嚴(yán)峻的社會(huì)現(xiàn)象。為了維護(hù)社會(huì)安定，發(fā)達(dá)國(guó)家比較早地開展了有關(guān)計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)用的法律問題研究，并陸續(xù)制定了相關(guān)的法律法規(guī)。我國(guó)在網(wǎng)絡(luò)信息安全方面的立法起步較晚，但是，近年來(lái)越來(lái)越受到國(guó)家的重視，目前網(wǎng)絡(luò)信息安全方面的法規(guī)已經(jīng)被寫入中華人民共和國(guó)憲法。 2022/2/5 95 我國(guó)網(wǎng)絡(luò)信息安全的相關(guān)法規(guī)（續(xù)） ? 其中，國(guó)家專門頒布的有關(guān)信息安全與保密方面的法律法規(guī)主要有： ? 中華人民共和國(guó)保守國(guó)家秘密法； ? 中華人民共和國(guó)保守國(guó)家秘密法實(shí)施辦法； ? 中華人民共和國(guó)國(guó)家安全法； ? 中華人民共和國(guó)國(guó)家安全法實(shí)施細(xì)則； ? 中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例； ? 中華人民共和國(guó)計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)管理暫行規(guī)定。 2022/2/5 96 小結(jié) ? 本章從網(wǎng)絡(luò)信息安全的基本內(nèi)涵入手，討論了網(wǎng)絡(luò)信息安全的內(nèi)涵和屬性、網(wǎng)絡(luò)安全威脅、網(wǎng)絡(luò)安全策略、服務(wù)及機(jī)制等基本概念，在此基礎(chǔ)上介紹了網(wǎng)絡(luò)安全體系結(jié)構(gòu)及幾個(gè)主要的安全評(píng)價(jià)標(biāo)準(zhǔn)，最后介紹了國(guó)內(nèi)網(wǎng)絡(luò)安全相關(guān)法律。通過本章學(xué)習(xí)，使學(xué)生初步了解網(wǎng)絡(luò)安全的概念和研究?jī)?nèi)容、研究方法，為后續(xù)內(nèi)容學(xué)習(xí)打下基礎(chǔ)。 2022/2/5 97 網(wǎng)絡(luò)安全工作的目的 進(jìn)不來(lái) 拿不走 看不懂 改不了 跑不了 2022/2/5 98 習(xí)題 網(wǎng)絡(luò)安全的屬性是什么？ 網(wǎng)絡(luò)安全服務(wù)主要包括哪些？ 網(wǎng)絡(luò)安全機(jī)制包括哪些？ 可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則將信息安全分為幾級(jí)？各級(jí)的主要特征是什么？ 簡(jiǎn)述 CC準(zhǔn)則的主要內(nèi)容。