[企業(yè)管理]cisp0203訪問控制與審計(jì)監(jiān)控-在線瀏覽
2025-03-10 12:48本頁面
【正文】 /矩陣 v實(shí)現(xiàn)方法 訪問控制表（ Access Control Lists） 訪問能力表（ Capacity List） 22訪問控制矩陣v行：主體（用戶）v列：客體（文件）v矩陣元素：規(guī)定了相應(yīng)用戶對(duì)應(yīng)于相應(yīng)的文件被準(zhǔn)予的訪問許可、實(shí)施行為客體 x 客體 y 客體 z主體 a R、 W、 Own R、 W主體 b R R、 W、 Own主體 c R主體 d R、 W R、 W23訪問控制表v訪問控制矩陣按列：訪問控制表v訪問控制表：每個(gè)客體可以被訪問的主體及權(quán)限客體 y 主體 b 主體 dRWOwnRW24權(quán)能表v訪問控制矩陣按行：訪問能力表v訪問能力表：每個(gè)主體可訪問的客體及權(quán)限主體 b 客體 x 客體 yR RWOwn25訪問控制表與訪問能力表的比較ACL CL保存位置 客體 主體瀏覽訪問權(quán) 限 容易 困 難訪問權(quán) 限 傳遞 困 難 容易訪問權(quán) 限回收 容易 困 難使用 集中式系 統(tǒng) 分布式系 統(tǒng)26自主訪問控制的特點(diǎn) v優(yōu)點(diǎn)：167。 具有某種訪問能力的主體能夠自主地將訪問權(quán)的某個(gè)子集授予其它主體167。 安全性 較弱167。如用戶 A可將其對(duì)目標(biāo) C的訪問權(quán)限傳遞給用戶 B,從而使不具備對(duì) C訪問權(quán)限的 B可訪問 C。 理解強(qiáng)制訪問控制的分類和含義167。 主體和客體分配有一個(gè)安全屬性167。 可與自主訪問控制結(jié)合使用29常見強(qiáng)制訪問控制模型vBLP模型 167。 1977年， Biba提出的一種在數(shù)學(xué)上與 BLP模型對(duì)偶的完整性保護(hù)模型vClarkWilson模型167。 1989年， D. Brewer和 M. Nash提出的同等考慮保密性與完整性的安全策略模型，主要用于解決商業(yè)中的利益沖突30BLP模型的組成v主體集： Sv客體集： Ov安全級(jí)：密級(jí)和范疇167。 范疇： NUC、 EUR、 USv偏序關(guān)系：支配 ≥ 167。 S可以讀 O，當(dāng)且僅當(dāng) S的安全級(jí)可以支配 O的安全級(jí)167。 S可以寫 O，當(dāng)且僅當(dāng) O的安全級(jí)可以支配 S的安全級(jí)167。 主體有一個(gè)最高安全等級(jí)和一個(gè)當(dāng)前安全等級(jí)，最高安全等級(jí)必須支配當(dāng)前等級(jí)167。 完整等級(jí)： Crucial， Very Important， Important167。 安全級(jí) L=(C,S)高于安全級(jí) L’=(C’,S’) ，當(dāng)且僅當(dāng)滿足以下關(guān)系： C ≥ C’ ， S S’35Biba模型規(guī)則與實(shí)例vS可以讀 O，當(dāng)且僅當(dāng) O的 安全 級(jí)支配 S的 安全 級(jí)vS可以寫 O，當(dāng)且僅當(dāng) S的安全級(jí) 支配 O的安全級(jí)36ClarkWilson模型的目標(biāo)v解決商業(yè)系統(tǒng)最關(guān)心的問題：系統(tǒng)數(shù)據(jù)的完整性以及對(duì)這些操作的完整性v一致性狀態(tài)：數(shù)據(jù)滿足給定屬性，就稱數(shù)據(jù)處于一個(gè)一致性狀態(tài)n 實(shí)例：今天到目前為止存入金額的總數(shù)： D今天到目前為止提取金額的總數(shù)： W昨天為止所有賬戶的金額總數(shù)： YB今天到目前為止所有賬戶的金額總數(shù)： TB一致性屬性： D+YBW=TB37Chinese Wall模型的組成（一）v主體集： Sv客體集： O167。 有害客體：會(huì)產(chǎn)生利益沖突，需要限制的數(shù)據(jù)vPR(S)表示 S曾經(jīng)讀取過的客體集合v最早來源主要 是指金融投資銀行業(yè)需要將投資決策人和了解非公開的能夠影響投資決策的信息的人隔開，類似于避免內(nèi)幕 交易。v一個(gè)用戶必須扮演某種角色，而且還必須激活這一角色，才能對(duì)一個(gè)對(duì)象進(jìn)行訪問或執(zhí)行某種操作 。n 用戶 u與角色 r關(guān)聯(lián)后，將擁有 r的權(quán)限45RBAC 模型的組成（二）v權(quán)限分配（ Permission Assignment）n 將角色與權(quán)限關(guān)聯(lián)n 權(quán)限 p與角色 r關(guān)聯(lián)后，角色 r將擁有權(quán)限 pv激活角色（ Active Role）n 角色只有激活才能起作用，否則不起作用n 通過會(huì)話激活角色v會(huì)話（ Session）n 用戶要訪問系統(tǒng)資源時(shí)，必須先建立一個(gè)會(huì)話n 一次會(huì)話僅對(duì)應(yīng)一個(gè)用戶，一次會(huì)話可激活幾個(gè)角色46RBAC 模型的基本機(jī)制47RBAC模型實(shí)例48RBAC模型的特點(diǎn)v便于授權(quán)管理，如系統(tǒng)管理員需要修改系統(tǒng)設(shè)置等內(nèi)容時(shí)，必須有幾個(gè)不同角色的用戶到場(chǎng)方能操作，增強(qiáng)了安全性v便于處理工作分級(jí)，如文件等資源分級(jí)管理v利用安全約束，容易實(shí)現(xiàn)各種安全策略，如最小特權(quán)、職責(zé)分離等v便于任務(wù)分擔(dān)，不同角色完成不同的任務(wù)49知識(shí)域：訪問控制技術(shù)v知識(shí)子域：標(biāo)識(shí)和鑒別技術(shù)167。 了解生物識(shí)別技術(shù)及其實(shí)現(xiàn)（虹膜、指紋、掌紋等）167。 了解單點(diǎn)登錄技術(shù)（ SSO）及其實(shí)現(xiàn)（ Kerberos等）50標(biāo)識(shí)和鑒別的作用v作為訪問控制的一種必要支持，訪問控制的執(zhí)行依賴于確知的身份167。 與數(shù)據(jù)完整性機(jī)制結(jié)合起來使用v作為審計(jì)追蹤的支持167。 本地鑒別：實(shí)體在本地環(huán)境的初始化鑒別167。 單向鑒別：通信雙方中只有一方向另一方進(jìn)行鑒別167。 VTP53鑒別的基本途徑v基于你所知道的（ What you know ）167。 身份證、信用卡、鑰匙、智能卡、令牌等v基于你的個(gè)人特征（ What you are）167。 口令猜測(cè)167。 重放攻擊167。 解決辦法：在口令后使用隨機(jī)數(shù)58一次性口令機(jī)制v確保在每次鑒別中所使用的口令不同，以對(duì)付重放攻擊v口令的確定方法：167。 兩端共同擁有一串隨機(jī)口令，在該串的某一位置保持同步167。 指紋，視網(wǎng)膜，聲音，虹膜、語音、面部、簽名等v指紋167。 提取指紋中的一些特征并且存儲(chǔ)這些特征信息：節(jié)省資源，快速查詢v手掌、手型 167。 還包括每個(gè)手指的指紋 167。 掃描眼球后方的視網(wǎng)膜上面的血管的圖案；v虹膜掃描 167。 虹膜有其獨(dú)有的圖案，分叉，顏色，環(huán)狀，光環(huán)以及皺褶v語音識(shí)別 167。 人都有不同的骨骼結(jié)構(gòu)，鼻梁，眼眶，額頭和下顎形狀63指紋識(shí)別的實(shí)現(xiàn)原理v通過特殊的光電掃描和計(jì)算機(jī)圖像處理技術(shù)，對(duì)指紋進(jìn)行采集、分析和比對(duì)，自動(dòng)、迅速、準(zhǔn)確地認(rèn)證出個(gè)人身份。 按照用戶和姓名等信息將其存在指紋數(shù)據(jù)庫中的模板指紋調(diào)出來，然后再用用戶輸入的指紋與該模板的指紋相匹配，以確定這兩幅指紋是否出于同一幅指紋。 每一個(gè)虹膜都包含一個(gè)獨(dú)一無二的基于像冠、水晶體、細(xì)絲、斑點(diǎn)、結(jié)構(gòu)、凹點(diǎn)、射線、皺紋和條紋等特征的結(jié)構(gòu)167。 人的虹膜在出生后 618個(gè)月成型后終生不再發(fā)生變化65虹膜識(shí)別的實(shí)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1