【正文】 制矩陣來表示。在對用戶的身份進行驗證之后，才允許用戶進入用戶端。自動回呼設備用于防止假冒合法用戶，靜默調制解調器用以防范黑客的自動撥號程序對計算機進行攻擊。 (守護神： ? ★在管理者與被管理者之間建立監(jiān)控關系 ? ★ 全屏幕及多畫面實時在線跟蹤 ★ 類似監(jiān)控錄象機制的增量圖象過程監(jiān)控，能夠將全部被監(jiān)控端的活動記錄用錄象的形式保存下來，以便管理者進行分析查找。 ? 網(wǎng)絡監(jiān)測和鎖定控制 ? 網(wǎng)絡管理員應對網(wǎng)絡實施監(jiān)控，服務器應記錄用戶對網(wǎng)絡資源的訪問，對非法的網(wǎng)絡訪問，服務器應以圖形或文字或聲音等形式報警，以引起網(wǎng)絡管理員的注意。用戶使用控制臺可以裝載和卸載模塊，可以安裝和刪除軟件等操作。屬性往往能控制以下幾個方面的權限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。用戶對網(wǎng)絡資源的訪問權限對應一張訪問控制表，用以表明用戶對網(wǎng)絡資源的訪問能力。屬性安全在權限安全的基礎上提供更進一步的安全性。八種訪問權限的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對服務器資源的訪問 ，從而加強了網(wǎng)絡和服務器的安全性。用戶對文件或目標的有效權限取決于以下兩個因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權限屏蔽取消的用戶權限。用戶在目錄一級指定的權限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權限。用戶對網(wǎng)絡資源的訪問權限可以用訪問控制表來描述。繼承權限屏蔽相當于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權限。受托者指派和繼承權限屏蔽（ irm）可作為兩種實現(xiàn)方式。網(wǎng)絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源。 ? 權限控制 網(wǎng)絡的權限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。網(wǎng)絡應對所有用戶的訪問進行審計。網(wǎng)絡應能控制用戶登錄入網(wǎng)的站點、限制用戶入網(wǎng)的時間、限制用戶入網(wǎng)的工作站數(shù)量。三道關卡中只要任何一關未過，該用戶便不能進入該網(wǎng)絡。它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源，控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站入網(wǎng)。 ? 網(wǎng)絡端口和節(jié)點的安全控制。 ? 網(wǎng)絡服務器安全控制。 ? 目錄級安全控制。 ?決定該用戶可以對某一系統(tǒng)資源進行何種類型的訪問 7種訪問控制策略 ? 入網(wǎng)訪問控制。 ?訪問控制的目的是為了限制訪問主體對訪問客體的訪問權限，從而使計算機網(wǎng)絡系統(tǒng)在合法范圍內使用；它決定用戶能做什么，也決定代表一定用戶身份的進程能做什么。 控制策略 ?控制策略 A（ Attribution）是主體對客體的訪問規(guī)則集，即屬性集合?？腕w的概念也很廣泛，凡是可以被操作的信息、資源、對象都可以認為是客體。主體可以是某個用戶，也可以是用戶啟動的進程、服務和設備。訪問控制包括三個要素，即主體、客體和控制策略。 ?訪問控制是計算機網(wǎng)絡系統(tǒng)安全防范和保護的重要手段，是保證網(wǎng)絡安全最重要的核心策略之一，也是計算機網(wǎng)絡安全理論基礎重要組成部分。第 5章 訪問控制技術 本章學習目標 ? 訪問控制的三個要素、 7種策略、內容、模型 ? 訪問控制的安全策略與安全級別 ? 安全審計的類型、與實施有關的問題 ? 日志的審計 ? Windows NT操作系統(tǒng)中的訪問控制與安全審計 訪問控制概述 ?訪問控制是在保障授權用戶能獲取所需資源的同時拒絕非授權用戶的安全機制。網(wǎng)絡的訪問控制技術是通過對訪問的申請、批準和撤銷的全過程進行有效的控制，從而確保只有合法用戶的合法訪問才能給予批準，而且相應的訪問只能執(zhí)行授權的操作。 訪問控制的定義 ? 訪問控制是指主體依據(jù)某些控制策略或權限對客體本身或是其資源進行的不同授權訪問。 ? 主體 S（ Subject）是指一個提出請求或要求的實體，是動作的發(fā)起者，但不一定是動作的執(zhí)行者。 ? 客體 O（ Object）是接受其他實體訪問的被動實體。在信息社會中，客體可以是信息、文件、記錄等的集合體，也可以是網(wǎng)路上的硬件設施，無線通信中的終端，甚至一個客體可以包含另外一個客體。訪問策略實際上體現(xiàn)了一種授權行為，也就是客體對主體的權限允許。為達到上述目的，訪問控制需要完成以下兩個任務： ?識別和確認訪問系統(tǒng)的用戶。 ? 網(wǎng)絡的權限控制。 ? 屬性安全控制。 ? 網(wǎng)絡監(jiān)測和鎖定控制。 ? 入網(wǎng)訪問控制 ? 為網(wǎng)絡訪問提供了第一層訪問控制。 用戶的入網(wǎng)訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶賬號的缺省限制檢查。 用戶口令應是每用戶訪問網(wǎng)絡所必須提交的“證件”、用戶可以修改自己的口令， 用戶名和口令驗證有效之后，再進一步履行用戶賬號的缺省限制檢查。當用戶對交費網(wǎng)絡的訪問“資費”用盡時，網(wǎng)絡還應能對用戶的賬號加以限制，用戶此時應無法進入網(wǎng)絡訪問網(wǎng)絡資源。如果多次輸入口令不正確，則認為是非法用戶的入侵，應給出報警信息。用戶和用戶組被賦予一定的權限?？梢灾付ㄓ脩魧@些文件、目錄、設備能夠執(zhí)行哪些操作。受托者指派控制用戶和用戶組如何使用網(wǎng)絡服務器的目錄、文件和設備。我們可以根據(jù)訪問權限將用戶分為以下幾類：特殊用戶（即系統(tǒng)管理員）；一般用戶，系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權限；審計用戶，負責網(wǎng)絡的安全控制與資源使用情況的審計。 ? 目錄級安全控制 網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。對目錄和文件的訪問權限一般有八種：系統(tǒng)管理員權限、讀權限、寫權限、創(chuàng)建權限、刪除權限、修改權限、文件查找權限、訪問控制權限。一個網(wǎng)絡管理員應當為用戶指定適當?shù)脑L問權限，這些訪問權限控制著用戶對服務器的訪問。 ? 屬性安全控制 當用文件、目錄和網(wǎng)絡設備時，網(wǎng)絡系統(tǒng)管理員應給文件、目錄等指定訪問屬性。網(wǎng)絡上的資源都應預先標出一組安全屬性。屬性設置可以覆蓋已經(jīng)指定的任何受托者指派和有效權限。 ? 服務器安全控制 網(wǎng)絡允許在服務器控制臺上執(zhí)行一系列操作。網(wǎng)絡服務器的安全控制包括可以設置口令鎖定服務器控制臺，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設定服務器登錄時間限制、非法訪問者檢測和關閉的時間間隔。如果不法之徒試圖進入網(wǎng)絡，網(wǎng)絡服務器應會自動記錄企圖嘗試進入網(wǎng)絡的次數(shù)，如果非法訪問的次數(shù)達到設定數(shù)值，那么該帳戶將被自動鎖定。 ? ★輸入設備的鎖定控制，管理者可以通過對鍵盤、鼠標等計算機輸入設備的鎖定來限制被監(jiān)控端的活動 ? ★ 遠程文件管理 管理者能夠通過 NUMEN系統(tǒng)對任何計算機上的任何文件進行操作 ? ★ 發(fā)送 /廣播消息 管理者能夠通過 NUMEN向全部或部分計算機發(fā)送消息信息 ? ★ 管理數(shù)據(jù)分析體系通過 NUMEN的管理數(shù)據(jù)分析體系，可以將所有被監(jiān)控端的計算機活動進行數(shù)字量化，從而可以掌握一個時間段內的被監(jiān)控段的活動狀態(tài)！ ） ? 網(wǎng)絡端口和節(jié)點的安全控制 網(wǎng)絡中服務器的端口往往使用自動回呼設備、靜默調制解調器加以保護，并以加密的形式來識別節(jié)點的身份。網(wǎng)絡還常對服務器端和用戶端采取控制，用戶必須攜帶證實身份的驗證器（如智能卡、磁卡、安全密碼發(fā)生器）。然后，用戶端和服務器端再進行相互驗證。對于任意一個 si∈ S，