《安全評估標準》ppt課件

《《安全評估標準》ppt課件》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、第十四章安全評估標準信管06-2焦德磊董昌賓安全評估標準信息技術(shù)安全評估準則發(fā)展過程安全評估標準的發(fā)展歷程TCSEC通用準則CC國內(nèi)的安全評估標準信息技術(shù)安全評估準則發(fā)展過程安全評估標準最早起源于美國20世紀60年代后期，1967年美國國防部（DOD）成立了一個研究組，針對當時計算機使用環(huán)境中的安全策略進行研究，其研究結(jié)果是“DefenseScienceBoardreport”70年代的后期DOD對當時流行的操作系統(tǒng)KSOS，PSOS，KVM進行了安全方面的研究信息技術(shù)安全評估準則發(fā)展過程80年代后，美國國防部發(fā)布的“可信計算機系統(tǒng)評估準則（TCSEC）”（即桔

2、皮書）后來DOD又發(fā)布了可信數(shù)據(jù)庫解釋（TDI）、可信網(wǎng)絡解釋（TNI）等一系列相關(guān)的說明和指南90年代初，英、法、德、荷等四國針對TCSEC準則的局限性，提出了包含保密性、完整性、可用性等概念的“信息技術(shù)安全評估準則”（ITSEC），定義了從E0級到E6級的七個安全等級信息技術(shù)安全評估準則發(fā)展過程加拿大1988年開始制訂《TheCanadianTrustedComputerProductEvaluationCriteria》（CTCPEC）1993年，美國對TCSEC作了補充和修改，制定了“組合的聯(lián)邦標準”（簡稱FC）國際標準化組織（ISO）從1990年開始開

3、發(fā)通用的國際標準評估準則信息技術(shù)安全評估準則發(fā)展過程在1993年6月，CTCPEC、FC、TCSEC和ITSEC的發(fā)起組織開始聯(lián)合起來，將各自獨立的準則組合成一個單一的、能被廣泛使用的IT安全準則發(fā)起組織包括六國七方：加拿大、法國、德國、荷蘭、英國、美國NIST及美國NSA，他們的代表建立了CC編輯委員會（CCEB）來開發(fā)CC信息技術(shù)安全評估準則發(fā)展過程1996年1月完成CC1.0版,在1996年4月被ISO采納1997年10月完成CC2.0的測試版1998年5月發(fā)布CC2.0版1999年12月ISO采納CC，并作為國際標準ISO15408發(fā)布安全評估標準的發(fā)展

4、歷程美國桔皮書（TCSEC）1985英國安全標準1989德國標準法國標準加拿大標準1993聯(lián)邦標準草案1993ITSEC1991通用標準CCV1.01996V2.01998V2.11999TCSECTCSEC的發(fā)布主要有三個目的：（1）為制造商提供一個安全標準，使他們在開發(fā)商業(yè)產(chǎn)品時加入相應的安全因素，為用戶提供廣泛可信的應用系統(tǒng)；（2）為國防部各部門提供一個度量標準，用來評估計算機系統(tǒng)或其他敏感信息的可信程度；（3）在分析、研究規(guī)范時，為制定安全需求提供基礎(chǔ)。TCSEC在TCSEC中，美國國防部按處理信息的等級和應采用的響應措施，將計算機安全從高到低分為：A、

5、B、C、D四個等級八個級別，共27條評估準則TCSEC從安全策略、可審計性、保證和文檔四個方面對不同安全級別的系統(tǒng)提出不同強度的要求，隨著安全等級的提高，系統(tǒng)的可信度隨之增加，風險逐漸減少。TCSEC四個安全等級：D類：無保護級C類：自主保護級B類：強制保護級A類：驗證保護級TCSECD類是最低保護等級，即無保護級是為那些經(jīng)過評估，但不滿足較高評估等級要求的系統(tǒng)設(shè)計的，只具有一個級別。該類是指不符合要求的那些系統(tǒng)，因此，這種系統(tǒng)不能在多用戶環(huán)境下處理敏感信息。TCSEC四個安全等級：無保護級自主保護級強制保護級驗證保護級TCSECC類為自主保護級具有一定的保護能

6、力，主要通過身份認證、自主訪問控制和審計等安全措施來保護系統(tǒng)。一般只適用于具有一定等級的多用戶環(huán)境具有對主體責任及其動作審計的能力TCSECC類分為C1和C2兩個級別:自主安全保護級（C1級)控制訪問保護級（C2級）TCSECC1級通過隔離用戶與數(shù)據(jù)，滿足TCB自主安全要求，使用戶具備自主安全保護的能力它具有多種形式的控制能力，對用戶實施訪問控制為用戶提供可行的手段，保護用戶和用戶組信息，避免其他用戶對數(shù)據(jù)的非法讀寫與破壞C1級的系統(tǒng)適用于處理同一敏感級別數(shù)據(jù)的多用戶環(huán)境TCSECC2級計算機系統(tǒng)比C1級具有更細粒度的自主訪問控制，細化到單個用戶而不是組C2級通

7、過注冊過程控制、審計安全相關(guān)事件以及資源隔離，使單個用戶為其行為負責TCSEC四個安全等級：無保護級自主保護級強制保護級驗證保護級TCSECB類為強制保護級主要要求是TCB應維護完整的安全標記，并在此基礎(chǔ)上執(zhí)行一系列強制訪問控制規(guī)則B類系統(tǒng)中的主要數(shù)據(jù)結(jié)構(gòu)（客體）必須攜帶敏感標記系統(tǒng)的開發(fā)者還應為TCB提供安全策略模型以及TCB規(guī)約應提供證據(jù)證明訪問監(jiān)控器得到了正確的實施TCSECB類分為三個類別：標記安全保護級（B1級）結(jié)構(gòu)化保護級（B2級）安全區(qū)域保護級（B3級）TCSECB1級系統(tǒng)要求具有C2級系統(tǒng)的所有特性并增加了標記、強制訪問控制、責任、審計和保證功能

8、。在此基礎(chǔ)上，還應提供安