【正文】 下午 10時 11分 0秒 下午 10時 11分 22:11: MOMODA POWERPOINT Lorem ipsum dolor sit amet, consectetur adipiscing elit. Fusce id urna blandit, eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis ut cursus. 感 謝 您 的 下 載 觀 看 專家告訴 。 2023年 3月 下午 10時 11分 :11March 7, 2023 1業(yè)余生活要有意義，不要越軌。 :11:0022:11:00March 7, 2023 1意志堅強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 22:11:0022:11:0022:11Tuesday, March 7, 2023 1知人者智，自知者明。 22:11:0022:11:0022:113/7/2023 10:11:00 PM 1越是沒有本領(lǐng)的就越加自命不凡。 下午 10時 11分 0秒 下午 10時 11分 22:11: 楊柳散和風(fēng)，青山澹吾慮。 2023年 3月 下午 10時 11分 :11March 7, 2023 1少年十五二十時，步行奪得胡馬騎。 2023年 3月 7日星期二 下午 10時 11分 0秒 22:11: 1楚塞三湘接，荊門九派通。 22:11:0022:11:0022:11Tuesday, March 7, 2023 1不知香積寺，數(shù)里入云峰。 22:11:0022:11:0022:113/7/2023 10:11:00 PM 1成功就是日復(fù)一日那一點(diǎn)點(diǎn)小小努力的積累。 下午 10時 11分 0秒 下午 10時 11分 22:11: 沒有失敗，只有暫時停止成功！。 2023年 3月 下午 10時 11分 :11March 7, 2023 1行動出成果，工作出財富。 2023年 3月 7日星期二 下午 10時 11分 0秒 22:11: 1比不了得就不比，得不到的就不要。 22:11:0022:11:0022:11Tuesday, March 7, 2023 1乍見翻疑夢，相悲各問年。 22:11:0022:11:0022:113/7/2023 10:11:00 PM 1以我獨(dú)沈久，愧君相見頻。 ? 對策 ? 應(yīng)用“軟件鎖”，在執(zhí)行“檢查”任務(wù)時鎖定要使用的項 交流與討論 2023年 3月 7日星期二 靜夜四無鄰，荒居舊業(yè)貧。 評估標(biāo)準(zhǔn)間的比較 T7 F6+E 6A1: 驗證設(shè)計EA L7 正式驗證的設(shè)計和測試5: 訪問驗證保護(hù)級T6F5+E 5B3: 安全域EA L6 半正式驗證的設(shè)計和測試4: 結(jié)構(gòu)化保護(hù)級T5F4+E 4B2: 結(jié)構(gòu)保護(hù)EA L5 半正式設(shè)計和測試3: 安全標(biāo)記保護(hù)級T4F3+E 3B1: 標(biāo)識安全保護(hù)EA L4 方法設(shè)計，測試和評審2: 系統(tǒng)審計保護(hù)級T3F2+E 2 C2: 控制存取保護(hù)EA L3 方法測試和檢驗1: 用戶自主保護(hù)級T2 F1+E 1C1: 任意安全保護(hù)EA L2 結(jié)構(gòu)測試T1 EA L1 功能測試T0E0D: 最小保護(hù)中國G B17859 1999加拿大CTCPEC歐洲ITSEC美國TCSECCC 標(biāo)準(zhǔn)驗證設(shè)計正式驗證的設(shè)計和測試訪問驗證保護(hù)級安全域半正式驗證的設(shè)計和測試結(jié)構(gòu)化保護(hù)級結(jié)構(gòu)保護(hù)半正式設(shè)計和測試安全標(biāo)記保護(hù)級標(biāo)識安全保護(hù)方法設(shè)計，測試和評審系統(tǒng)審計保護(hù)級控制存取保護(hù)方法測試和檢驗用戶自主保護(hù)級任意安全保護(hù)結(jié)構(gòu)測試功能測試最小保護(hù)加拿大標(biāo)準(zhǔn)認(rèn)證與認(rèn)可（ Certification vs. Accreditation ） ? 認(rèn)證 , Certification ? 評估技術(shù)和非技術(shù)特征以確定設(shè)計是否符合安全要求 ? 認(rèn)可 , Accreditation ? 認(rèn)證權(quán)威 DAA (Designated Approving Authority ) ? 來自于指定的認(rèn)證權(quán)威的正式聲明，表明系統(tǒng)已被認(rèn)可在安全狀態(tài)下運(yùn)行 一些威脅的評估（ A Few Threats to Review ） ? 維護(hù) 鉤子（ Maintenance Hooks） ? 檢驗時間 /使用時間攻擊 (TimeofCheck/TimeofUse Attacks， TOC/TOU) 維護(hù)鉤子（ Maintenance Hooks） ? 軟件內(nèi)開發(fā)人員才知道和能夠調(diào)用的指令 ,使他們能夠方便的訪問代碼 . ? 對策 ? 使用主機(jī)入侵檢測系統(tǒng)監(jiān)視通過后門進(jìn)入系統(tǒng)的供給者 ? 使用文件系統(tǒng)加密來保護(hù)敏感信息 ? 實(shí)現(xiàn)審計 ,以檢測任何類型的后門使用 檢驗時間 /使用時間攻擊 (TimeofCheck/TimeofUse Attacks， TOC/TOU) ? 也稱異步攻擊。 ? 安全功能（ Security functional requirements） 規(guī)范 IT產(chǎn)品和系統(tǒng)的安全行為，應(yīng)做的事 ? 安全保證（ Security assurance requirements） 對功能產(chǎn)生信心的方法 ? 包 功能保證級（ Packages— EALs）把 功能和保證要求 封裝起來，以便今后使用 。 ? 評估對象（ Target of evaluation ， TOE） 作為評估主體的 IT產(chǎn)品及系統(tǒng)以及相關(guān)的管理員和用戶指南文檔。 ? 第三部分：安全保障 —— 對 TOE的保障需求 (assurance requirement)，對保護(hù)輪廓 (Protection Profile)和安全目標(biāo) (Security Target)的評估標(biāo)準(zhǔn)。對消費(fèi)者來說是不錯的背景介紹和參考。 ? 以超越 TCSEC為目的，將安全概念分為功能與功能評估兩部分。允許系統(tǒng)管理員為一些程序或數(shù)據(jù)設(shè)立訪問許可權(quán)限。 B3 安全域 (security domain) 安全內(nèi)核，高抗?jié)B透能力 用戶工作站或終端能過可信任途徑連接網(wǎng)絡(luò)系統(tǒng) B2 結(jié)構(gòu)防護(hù) （ structured protection） 設(shè)計系統(tǒng)時必須有一個合理的總體設(shè)計方案，面向安全的體系結(jié)構(gòu)，遵循最小授權(quán)原則，較好的滲透能力，訪問控制應(yīng)對所有的主體和客體提供保護(hù)，對系統(tǒng)進(jìn)行隱蔽通道分析 計算機(jī)系統(tǒng)中所有對象都加標(biāo)簽，而且給設(shè)備（如工作站、終端和磁盤驅(qū)動器）分配安全級別。 ? TCSEC2023年被 Common Criteria所替代，是第一個涉及計算機(jī)系統(tǒng)的安全規(guī)范。 1985年公布。 ? 主體只能對客體執(zhí)行一組有限的操作 ? HRU被軟件設(shè)計人員用來確保沒有引入意外脆弱性，從而可以實(shí)現(xiàn)訪問控制目標(biāo) 操作安全模式（ Security Modes of Operation ） 專用安全模式 Dedicated Security Mode 訪問系統(tǒng)上所有信息的適當(dāng)許可 訪問系統(tǒng)上所有信息的正式訪問批準(zhǔn) 訪問系統(tǒng)上所有信息的簽名 NDA 訪問系統(tǒng)上所有信息的有效 ” 知其所需 “ 任何用戶都能夠訪問所有數(shù)據(jù) 系統(tǒng)高安全模式 System HighSecurity Mode 訪問系統(tǒng)上所有信息的適當(dāng)許可 訪問系統(tǒng)上所有信息的正式訪問批準(zhǔn) 訪問系統(tǒng)上所有信息的簽名 NDA 訪問系統(tǒng)上所有信息的有效 ” 知其所需 “ 根據(jù)他們的 “ 知其所需 ”, 所有用戶都能訪問一些數(shù)據(jù) 分隔安全模式 Compartmented Security Mode 訪問系統(tǒng)上所有信息的適當(dāng)許可 訪問系統(tǒng)上所有信息的正式訪問批準(zhǔn) 訪問系統(tǒng)上所有信息的簽名 NDA 訪問系統(tǒng)上所有信息的有效 ” 知其所需 “ 根據(jù)他們的 “ 知其所需 ” 和正式批準(zhǔn) ,所有用戶都能訪問一些數(shù)據(jù) 多級安全模式 Multilevel Security Mode 訪問系統(tǒng)上所有信息的適當(dāng)許可 訪問系統(tǒng)上所有信息的正式訪問批準(zhǔn) 訪問系統(tǒng)上所有信息的簽名 NDA 訪問系統(tǒng)上所有信息的有效 ” 知其所需 “ 根據(jù)他們的 “ 知其所需 ” 、許可和正式批準(zhǔn) ,所有用戶都能訪問一些數(shù)據(jù) 信任與保證 ? TCSEC中，較低保證級別評定工作會考察系統(tǒng)的保護(hù)機(jī)制和測試結(jié)果，較高保證級別評定工作更多考查系統(tǒng)的設(shè)計、規(guī)范、開發(fā)過程、支持文檔以及測試結(jié)果 系統(tǒng)評估方法（ Systems Evaluation Methods ） ITSEC 1991 CC 1996 TCSEC 1985 CTCPEC 1993 FC 1992 ISO15408 1999 CC 1998 GB/T 18336 2023 CD 1997 FCD 1998 GIB 2646 1996 GB 17859 1999 GB/T 18336 2023 ISO15408 1999 橘皮書（ Orange Book） ? Trusted Computer System Evaluation Criteria（ TCSEC） ，是一個評估 OS、應(yīng)用的、系統(tǒng)的規(guī)范，評價不同系統(tǒng)的尺度，檢查系統(tǒng)的功能性、有效性和保證程度，提供多種級別。 ? Chinese Wall安全模型的兩個主要屬性： ? 用戶必須選擇一個他可以訪問的區(qū)域 ? 用戶必須自動拒絕來自其它與用戶所選區(qū)域的利益沖突區(qū)域的訪問 ? 這種模型同時包括了 DAC和 MAC的屬性：銀行家可以選擇為誰工作（ DAC），但是一旦選定，他就被只能為該客戶工作（ MAC）。在投資銀行中，一個銀行會同時擁有多個互為競爭者的客戶，一個銀行家可能為一個客戶工作，但他可以訪問所有客戶的信息。最初是為投資銀行設(shè)計的，但也可