[計算機軟件及應(yīng)用]訪問控制-wenkub.com
2025-01-12 07:34 本頁面
【正文】 ?用戶標識符 ?分為管理性用戶和普通用戶，用整數(shù)表示。而且，管理權(quán)限的委托代理是角色訪問控制管理的重要特點，在以上的兩種訪問控制的管理策略中都不存在。 ? 所屬權(quán)管理 ：如果一個用戶是一個客體的所有者 ， 則該用戶可以對其它用戶訪問該客體進行授權(quán)訪問和授權(quán)撤消 。因此，強制訪問控制的授權(quán)管理策略是比較簡單的，只有安全管理員能夠改變主體和客體的安全級別?？蓴U大基于身份的或基于規(guī)則的策略。 69 附加的控制 ?1）依賴于值的控制 目標數(shù)據(jù)項無論數(shù)據(jù)值存儲在哪兒，都有確定的訪問控制許可。 ? 便于賦于最小特權(quán) ， 如即使用戶被賦于高級身份時也未必一定要使用 ， 以便減少損失 。 ? 定義了角色的繼承關(guān)系 Role r1 “inherits” role r2,角色 r2的權(quán)限同樣是 r1的權(quán)限。 ?同時具有基于身份策略的特征，也具有基于規(guī)則的策略的特征。 47 MAC Information Flow TS S C U TS S C U R/W W R/W R R/W R W R R R R/W R W W W W Subjects Objects Information Flow 密級 英文 絕密 TS Top Secret 秘密 S Secret 機密 C Confidential 無密級 U Unclassified 48 自主 /強制訪問的問題 ? 自主訪問控制 – 配置的粒度小 – 配置的工作量大，效率低 ? 強制訪問控制 – 配置的粒度大 – 缺乏靈活性 49 基于角色的策略 ? 與現(xiàn)代商業(yè)環(huán)境相結(jié)合的產(chǎn)物 ? 基于角色的訪問控制是一個復(fù)合的規(guī)則，可以被認為是 IBAC和 RBAC的變體。 46 強制訪問控制實現(xiàn)機制 安全標簽 ?安全標簽是定義在目標上的一組安全屬性信息項。 MAC決策在批準一個訪問之前需要進行安全級別信息和限制信息的比較。 ? 等價于用一個目標的訪問矩陣 列 來描述 ? 基礎(chǔ) (前提 )：一個隱含的、或者顯式的缺省策略 – 例如，全部權(quán)限否決 – 最小特權(quán)原則：要求最大限度地限制每個用戶為實施授權(quán)任務(wù)所需要的許可集合 – 在不同的環(huán)境下，缺省策略不盡相同，例如，在公開的布告板環(huán)境中，所有用戶都可以得到所有公開的信息 – 對于特定的用戶，有時候需要提供顯式的否定許可 ? 例如，對于違紀的內(nèi)部員工，禁止訪問內(nèi)部一些信息 40 基于身份的策略：基于組的策略 ? 一組用戶對于一個目標具有同樣的訪問許可。 靈活性高，被大量采用。 30 訪問能力表 (CL) Obj1 Own R W O Obj2 R O Obj3 R W O UserA 每個主體都附加一個該主體可訪問的客體的明細表。 ?規(guī)則使用戶與資源配對，指定該用戶可在該資源上執(zhí)行哪些操作，如只讀、不許執(zhí)行或不許訪問。 ?一個主體為了完成任務(wù)，可以創(chuàng)建另外的主體，這些子主體可以在網(wǎng)絡(luò)上不同的計算機上運行，并由父主體控制它們。 17 訪問控制的作用 ?訪問控制對機密性、完整性起直接的作用。 從而使計算機系統(tǒng)在合法范圍內(nèi)使用；決定用戶能做什么，也決定代表一定用戶的程序能做什么。 主要防范技術(shù)是密碼技術(shù) 網(wǎng)絡(luò)與信息安全涵蓋范圍 11 網(wǎng)絡(luò)與信息安全涵蓋范圍 這些層面都反映出可用性屬性 。 數(shù)據(jù)安全 保證數(shù)據(jù)的發(fā)送 源頭不被偽造 保證數(shù)據(jù)在傳輸 、 存儲 過程中不被獲取并解析 保證數(shù)據(jù)在傳輸 、 存儲等過程中不 被非法修改 保證系統(tǒng)的可用性 ， 使得發(fā) 布 者無法否認所發(fā)布的信息 內(nèi)容 保證系統(tǒng)不以電磁等 方式向外泄漏信息 。綜合起來說，就是要保障電子信息的有效性?！? ? 我國計算機信息系統(tǒng)安全專用產(chǎn)品分類原則給出的定義是：“涉及實體安全、 運行安全和信息安全三個方面。” ? 我國相關(guān)立法給出的定義是：“保障計算機及其相關(guān)的和配套的設(shè)備、設(shè)施（網(wǎng)絡(luò)）的安全，運行環(huán)境的安全，保障信息安全，保障計算機功能的正常發(fā)揮，以維護計算機信息系統(tǒng)的安全”。” ? 英國 BS7799信息安全管理標準給出的定義是：“信息安全是使信息避免一系列威脅，保障商務(wù)的連續(xù)性，最大限度地減少商務(wù)的損失，最大限度地獲取投資和商務(wù)的回報，涉及的是機密性、完整性、可用 性。 6 內(nèi)容安全 數(shù)據(jù)安全 運行安全 物理安全 路由欺騙 域名欺騙 對傳遞信息進行 捕獲并解析 刪除局部內(nèi)容 或附加特定內(nèi)容 阻斷信息傳輸系統(tǒng) ， 使得被 傳播的內(nèi)容不能送達目的地 網(wǎng)絡(luò)與信息安全涵蓋范圍 7 這些層面具有相同的 性質(zhì) ， 都可以歸并為真實 性 。 其中 抗否認性可看作是可用性的子集 ， 是 為了保證系統(tǒng)確實能夠遵守游戲規(guī)則 不被惡意使用所反映的可用性的屬性 12 網(wǎng)絡(luò)與信息安全涵蓋范圍 保證信息與信息系統(tǒng)可被授權(quán)人 員正常使用 。 ? 未授權(quán)的訪問包括：未經(jīng)授權(quán)的使用、泄露、修改、銷毀信息以及頒發(fā)指令等。 ?對于可用性，訪問控制通過對以下信息的有效控制來實現(xiàn)： （ 1）誰可以頒發(fā)影響網(wǎng)絡(luò)可用性的網(wǎng)絡(luò)管理指令 （ 2）誰能夠濫用資源以達到占用資源的目的 （ 3）誰能夠獲得
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1