網(wǎng)絡(luò)與信息安全概論網(wǎng)絡(luò)與信息安全概論

《網(wǎng)絡(luò)與信息安全概論網(wǎng)絡(luò)與信息安全概論》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、網(wǎng)絡(luò)與信息安全概論網(wǎng)絡(luò)與信息安全概論第九講第九講訪問控制訪問控制王昭北京大學(xué)信息科學(xué)技術(shù)學(xué)院軟件研究所--信息安全研究室wangzhao@infosec.pku.edu.cn1討論議題?訪問控制的有關(guān)概念?訪問控制的策略和機(jī)制?授權(quán)的管理?網(wǎng)絡(luò)訪問控制組件的分布2安全服務(wù)?安全服務(wù)（SecurityServices）：計(jì)算機(jī)通信網(wǎng)絡(luò)中，主要的安全保護(hù)措施被稱作安全服務(wù)。根據(jù)ISO7498-2,安全服務(wù)包括：1.鑒別（Authentication）2.訪問控制（AccessControl）3.數(shù)據(jù)機(jī)密性（D

2、ataConfidentiality）4.數(shù)據(jù)完整性（DataIntegrity）5.抗抵賴（Non-repudiation）3訪問控制的概念和目標(biāo)?一般概念——是針對(duì)越權(quán)使用資源的防御措施。?基本目標(biāo)：防止對(duì)任何資源（如計(jì)算資源、通信資源或信息資源）進(jìn)行未授權(quán)的訪問。從而使計(jì)算機(jī)系統(tǒng)在合法范圍內(nèi)使用；決定用戶能做什么，也決定代表一定用戶利益的程序能做什么。?未授權(quán)的訪問包括：未經(jīng)授權(quán)的使用、泄露、修改、銷毀信息以及頒發(fā)指令等。–非法用戶進(jìn)入系統(tǒng)。–合法用戶對(duì)系統(tǒng)資源的非法使用。4訪問控制的作用?訪問控制

3、對(duì)機(jī)密性、完整性起直接的作用。?對(duì)于可用性，訪問控制通過對(duì)以下信息的有效控制來實(shí)現(xiàn)：（1）誰可以頒發(fā)影響網(wǎng)絡(luò)可用性的網(wǎng)絡(luò)管理指令（2）誰能夠?yàn)E用資源以達(dá)到占用資源的目的（3）誰能夠獲得可以用于拒絕服務(wù)攻擊的信息5主體、客體和授權(quán)?客體（Object）：規(guī)定需要保護(hù)的資源，又稱作目標(biāo)（target)。?主體（Subject）：或稱為發(fā)起者(Initiator)，是一個(gè)主動(dòng)的實(shí)體，規(guī)定可以訪問該資源的實(shí)體，（通常指用戶或代表用戶執(zhí)行的程序）。?授權(quán)（Authorization)：規(guī)定可對(duì)該資源執(zhí)行的動(dòng)作（例如

4、讀、寫、執(zhí)行或拒絕訪問）。?一個(gè)主體為了完成任務(wù)，可以創(chuàng)建另外的主體，這些子主體可以在網(wǎng)絡(luò)上不同的計(jì)算機(jī)上運(yùn)行，并由父主體控制它們。?主客體的關(guān)系是相對(duì)的。6訪問控制模型基本組成提交訪問請(qǐng)求提出訪問請(qǐng)求發(fā)起者訪問控制實(shí)施功能Present目標(biāo)SubmitInitiatorAccessRequestAEFAccessRequestTarget請(qǐng)求決策　決策DecisionRequestDecision訪問控制決策功能ADF7訪問控制與其他安全服務(wù)的關(guān)系安全管理員訪問控授權(quán)數(shù)據(jù)庫制決策單元目目引用監(jiān)標(biāo)目用戶標(biāo)

5、目目標(biāo)控器標(biāo)標(biāo)身份鑒別訪問控制審計(jì)8討論議題?訪問控制的有關(guān)概念?訪問控制的策略和機(jī)制?授權(quán)的管理?網(wǎng)絡(luò)訪問控制組件的分布9訪問控制策略與機(jī)制?訪問控制策略(AccessControlPolicy):訪問控制策略在系統(tǒng)安全策略級(jí)上表示授權(quán)。是對(duì)訪問如何控制,如何作出訪問決定的高層指南。?訪問控制機(jī)制（AccessControlMechanisms):是訪問控制策略的軟硬件低層實(shí)現(xiàn)。?訪問控制機(jī)制與策略獨(dú)立，可允許安全機(jī)制的重用。?安全策略之間沒有更好的說法，只是一種可以比一種提供更多的保護(hù)。應(yīng)根據(jù)應(yīng)用環(huán)境

6、靈活使用。10訪問控制策略?自主訪問控制（discretionarypolicies,DAC),基于身份的訪問控制(IdentityBasedAccessControl)?強(qiáng)制訪問控制(mandatorypolicies,MAC),基于規(guī)則的訪問控制(RuleBasedAccessControl）?基于角色的訪問控制RBAC(role-basedpolicies)11如何決定訪問權(quán)限?用戶分類?資源?資源及使用?訪問規(guī)則12用戶的分類（1）特殊的用戶：系統(tǒng)管理員，具有最高級(jí)別的特權(quán)，可以訪問任何資源，并具

7、有任何類型的訪問操作能力（2）一般的用戶：最大的一類用戶，他們的訪問操作受到一定限制，由系統(tǒng)管理員分配（3）作審計(jì)的用戶：負(fù)責(zé)整個(gè)安全系統(tǒng)范圍內(nèi)的安全控制與資源使用情況的審計(jì)（4）作廢的用戶：被系統(tǒng)拒絕的用戶。13資源?系統(tǒng)內(nèi)需要保護(hù)的是系統(tǒng)資源：–磁盤與磁帶卷標(biāo)–遠(yuǎn)程終端–信息管理系統(tǒng)的事務(wù)處理及其應(yīng)用–數(shù)據(jù)庫中的數(shù)據(jù)–應(yīng)用資源14資源和使用?對(duì)需要保護(hù)的資源定義一個(gè)訪問控制包（Accesscontrolpacket)，包括：–資源名及擁有者的標(biāo)識(shí)符–缺省訪問權(quán)–用戶、用戶組的特權(quán)明細(xì)表–允許資源的擁有

8、者對(duì)其添加新的可用數(shù)據(jù)的操作–審計(jì)數(shù)據(jù)15訪問規(guī)則?規(guī)定了若干條件，在這些條件下，可準(zhǔn)許訪問一個(gè)資源。?規(guī)則使用戶與資源配對(duì)，指定該用戶可在該文件上執(zhí)行哪些操作，如只讀、不許執(zhí)行或不許訪問。?由系統(tǒng)管理人員來應(yīng)用這些規(guī)則，由硬件或軟件的安全內(nèi)核部分負(fù)責(zé)實(shí)施。16訪問控制的一般實(shí)現(xiàn)機(jī)制和方法一般實(shí)現(xiàn)機(jī)制——?基于訪問控制屬性——〉訪問控制表/矩陣?訪問控制表ACLs（AccessControlLists)?訪問能力表（Capab