安全概論ppt課件-資料下載頁(yè)
2025-01-18 07:53本頁(yè)面
【正文】 有的對(duì)象都要加上標(biāo)簽，而且給設(shè)備（磁盤(pán)、磁帶和終端）分配單個(gè)或者多個(gè)安全級(jí)別。 ? B3級(jí)，又叫做安全域（ Security Domain）級(jí)別，使用安裝硬件的方式來(lái)加強(qiáng)域的安全，例如，內(nèi)存管理硬件用于保護(hù)安全域免遭無(wú)授權(quán)訪(fǎng)問(wèn)或更改其他安全域的對(duì)象。該級(jí)別也要求用戶(hù)通過(guò)一條可信任途徑連接到系統(tǒng)上 。 ? A級(jí)，又稱(chēng)驗(yàn)證設(shè)計(jì)（ Verified Design）級(jí)別，是當(dāng)前橙皮書(shū)的最高級(jí)別，它包含了一個(gè)嚴(yán)格的設(shè)計(jì)、控制和驗(yàn)證過(guò)程。該級(jí)別包含較低級(jí)別的所有的安全特性。 ? 安全級(jí)別設(shè)計(jì)必須從數(shù)學(xué)角度上進(jìn)行驗(yàn)證，而且必須進(jìn)行秘密通道和可信任分布分析。可信任分布（ Trusted Distribution）的含義是：硬件和軟件在物理傳輸過(guò)程中已經(jīng)受到保護(hù)，以防止破壞安全系統(tǒng)。橙皮書(shū)也存在不足， TCSEC是針對(duì)孤立計(jì)算機(jī)系統(tǒng)，特別是小型機(jī)和主機(jī)系統(tǒng)。假設(shè)有一定的物理保障，該標(biāo)準(zhǔn)適合政府和軍隊(duì)，不適合企業(yè)，這個(gè)模型是靜態(tài)的。 歐洲評(píng)價(jià)標(biāo)準(zhǔn) ? 90年代初西歐四國(guó)（英、法、荷、德）聯(lián)合提出了信息技術(shù)安全評(píng)價(jià)標(biāo)準(zhǔn)（ ITSEC， Information Technology Standards Evaluation Criteria）。除了吸收 TCSEC的成功經(jīng)驗(yàn)外，首次提出了信息安全的保密性、完整性、可用性的概念，把可信計(jì)算機(jī)的概念提高到可信信息技術(shù)的高度上來(lái)認(rèn)識(shí)。他們的工作成為歐共體信息安全計(jì)劃的基礎(chǔ)，并對(duì)國(guó)際信息安全的研究、實(shí)施帶來(lái)深刻的影響。 ? ITSEC定義了七個(gè)安全級(jí)別： E6：形式化驗(yàn)證； E5：形式化分析； E4：半形式化分析； E3：數(shù)字化測(cè)試分析；E2：數(shù)字化測(cè)試； E1：功能測(cè)試； E0：不能充分滿(mǎn)足保證。 通用評(píng)價(jià)準(zhǔn)則 ? 美國(guó)為了保持他們?cè)谥贫?zhǔn)則方面的優(yōu)勢(shì)，不甘心TCSEC的影響被 ITSEC取代，他們采取聯(lián)合其他國(guó)家共同提出新的評(píng)估準(zhǔn)則的辦法體現(xiàn)其領(lǐng)導(dǎo)作用。 1991年 1月宣布了制定通用安全評(píng)價(jià)準(zhǔn)則（ CC， Common Criteria）的計(jì)劃，它的全稱(chēng)是 Common Criteria for IT security Evaluation。制定的國(guó)家涉及到六國(guó)七方，他們是美國(guó)的國(guó)家標(biāo)準(zhǔn)及技術(shù)研究所（ NIST）和國(guó)家安全局（ NSA），歐洲的四個(gè)國(guó)家為荷、法、德、英以及北美的加拿大。 ? CC評(píng)價(jià)準(zhǔn)則基礎(chǔ)是歐洲的 ITSEC，美國(guó)的包括 TCSEC 在內(nèi)的新的聯(lián)邦評(píng)價(jià)標(biāo)準(zhǔn)，加拿大的 CTCPEC，以及國(guó)際標(biāo)準(zhǔn)化組織 ISO:SC27 WG3 的安全評(píng)價(jià)標(biāo)準(zhǔn)。 1995年頒布 ， 1996年 1月出版了 。 1997年 8月頒布 Beta版， 版于 1998年 5月頒布。其中 1998年11月 15日發(fā)布的版本成為 ISO/IEC 15408信息技術(shù) 安全技術(shù) IT安全評(píng)價(jià)準(zhǔn)則。 ? CC評(píng)價(jià)準(zhǔn)則包括 3個(gè)部分：第一部分介紹和總體模型，對(duì) CC評(píng)價(jià)準(zhǔn)則的介紹。定義 IT安全評(píng)價(jià)和描述模型的一般概念和原則，提出選擇和定義說(shuō)明產(chǎn)品和系統(tǒng) IT安全客體的明確的組織的安全要求。第二部分安全功能要求，用標(biāo)準(zhǔn)化的方法對(duì)評(píng)價(jià)目標(biāo)建立一個(gè)明確的安全要求的部件功能集合。功能集合分類(lèi)為部件（ Components）、族（ Families）和類(lèi)（ Classes）。第三部分安全保證要求，用標(biāo)準(zhǔn)化的方法對(duì)評(píng)價(jià)目標(biāo)建立一個(gè)明確的安全要求的保證部件的集合。對(duì)保護(hù)方案和安全目標(biāo)進(jìn)行定義，并且對(duì)安全評(píng)價(jià)目標(biāo)提出安全評(píng)價(jià)保證級(jí)別（ EAL）。 ? CC標(biāo)準(zhǔn)將安全等級(jí)劃分為 17安全等級(jí)， EAL1：功能測(cè)試； EAL2：結(jié)構(gòu)測(cè)試； EAL3：方法測(cè)試與檢驗(yàn)； EAL4：方法設(shè)計(jì)措施與評(píng)審； EAL5：半形式化設(shè)計(jì)與測(cè)試；EAL6：半形式化驗(yàn)證設(shè)計(jì)與測(cè)試； EAL7：形式化驗(yàn)證和測(cè)試。 評(píng)估標(biāo)準(zhǔn)間的關(guān)系 ? TCSEC主要規(guī)范了計(jì)算機(jī)操作系統(tǒng)和主機(jī)的安全要求，側(cè)重于對(duì)保密性的要求。該標(biāo)準(zhǔn)至今對(duì)評(píng)估計(jì)算機(jī)安全仍然具有現(xiàn)實(shí)意義。 ITSEC將信息安全由計(jì)算機(jī)擴(kuò)展到更廣的實(shí)用系統(tǒng)，增強(qiáng)了對(duì)完整性和可用性的要求，發(fā)展了評(píng)估保證概念。 CC基于風(fēng)險(xiǎn)管理理論，對(duì)安全模型、安全概念和安全功能進(jìn)行了全面系統(tǒng)描繪，強(qiáng)化了評(píng)估保證。我國(guó)的評(píng)價(jià)標(biāo)準(zhǔn) GB17859與 TCSEC、ITSEC以及 CC評(píng)價(jià)安全等級(jí)的大體對(duì)應(yīng)關(guān)系如表 12所示。 我國(guó) GB17859 美國(guó) TCSEC 歐洲 ITSEC 通用標(biāo)準(zhǔn) CC D：低級(jí)保護(hù) E0： EAL1：功能測(cè)試 GB1：用戶(hù)自主保護(hù)級(jí) C1：自主保護(hù)級(jí) E1：功能測(cè)試 EAL2：結(jié)構(gòu)測(cè)試 GB2：系統(tǒng)審計(jì)保護(hù)級(jí) C2：受控存儲(chǔ)控制 E2：數(shù)字化測(cè)試 EAL3：方法測(cè)試與檢驗(yàn) GB3：安全標(biāo)記保護(hù)級(jí) B1：標(biāo)識(shí)的安全保護(hù) E3：數(shù)字化測(cè)試分析 EAL4：設(shè)計(jì)措施與評(píng)審 GB4：結(jié)構(gòu)化保護(hù)級(jí) B2：結(jié)構(gòu)化保護(hù) E4：半形式化分析 EAL5：半形式化設(shè)計(jì)與測(cè)試 GB5：訪(fǎng)問(wèn)驗(yàn)證保護(hù)級(jí) B3：安全區(qū)域 E5：形式化分析 EAL6：半形式化驗(yàn)證設(shè)計(jì)測(cè)試 A：驗(yàn)證設(shè)計(jì) E6：形式化驗(yàn)證 EAL7：形式化驗(yàn)證和測(cè)試
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1