信息安全原理》-第10章信息系统安全等级与

《信息安全原理》-第10章信息系统安全等级与》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第10章信息系统安全等级与标准10.1国际安全评价标准概述10.2中国信息安全等级保护准则习题安全需求与安全代价，总是安全问题上相互对立的统一体。对于信息技术、信息系统和信息产品的安全等级进行评价，将会使生产者和用户在这两个方面容易找到一个科学的折中。因此，建立完善的信息技术安全的测评标准与认证体系，规范信息技术产品和系统的安全特性，是实现信息安全保障的一种有效措施。它有助于建立起科学的安全产品生产体系、服务体系。10.1国际安全评价标准概述10.1.1DoD5200.28-M和TCSEC10.1.2欧共体信息技术安全评价准则ITSEC10.1.3加拿大可信计算机产品安

2、全评价准则CTCPEC10.1.4美国信息技术安全评价联邦准则FC10.1.5国际通用准则CC第一个有关信息技术安全的标准是美国国防部于1985年提出的可信计算机系统评价准则TCSEC，又称桔皮书。以后，许多国家和国际组织也相继提出了新的安全评价准则。图10.1所示为国际主要信息技术安全测评标准的发展及其联系。加拿大可信计算机产品评价准则CTCOEC（1989年）美国国防部可信计算机评价准则TCSEC（1983年）美国联邦准则FC（1992年）国际通用准则（CC）（1996年）CC成为国际标准ISO15408（1999年）欧洲信息技术安全性评价准则ITSEC（1991年

3、）美国国防部DoD5200.28-M（1979年6月）GB17859-1999（1999年）图10.1国际主要信息技术安全测评标准的发展及其联系在信息安全等级标准中，一个非常重要的概念是可信计算基（TrustedComputerBase，TCB）。TCB是计算机系统内保护装置的总体，包括硬件、固件和软件。它们根据安全策略来处理主体（系统管理员、安全管理员、用户、进程）对客体（进程、文件、记录、设备等）的访问。TCB还具有抗篡改的性能和易于分析与测试的结构。10.1.1DoD5200.28-M和TCSEC1.DoD5200.28-M世界上最早的计算机系统安全标准应当是美国

4、国防部1979年6月25日发布的军标DoD5200.28-M。它为计算机系统定义了4种不同的运行模式。（1）受控的安全模式：系统用户对系统的机密材料的访问控制没有在操作系统中实现，安全的实现可以通过空子用户对机器的操作权等管理措施实现。（2）自主安全模式：计算机系统和外围设备可以在指定用户或用户群的控制下工作，该类用户了解并可自主地设置机密材料的类型与安全级别。（3）多级安全模式：系统允许不同级别和类型的机密资料并存和并发处理，并且有选择地许可不同的用户对存储数据进行访问。用户与数据的隔离控制由操作系统和相关系统软件实现。（4）强安全模式：所有系统部件依照最高级别类型得

5、到保护，所有系统用户必须有一个安全策略；系统的控制操作对用户透明，由系统实现对机密材料的并发控制。2.TCSECTCSEC是计算机系统安全评价的第一个正式标准，于1970年由美国国防科学技术委员会提出，于1985年12月由美国国防部公布。TCSEC把计算机系统的安全分为4等7级：（1）D等（含1级）D1级系统：最低级。只为文件和用户提供安全保护。（2）C等（含2级）C1级系统：可信任计算基TCB（TrustedComputingBase）通过用户和数据分开来达到安全目的，使所有的用户都以同样的灵敏度处理数据（可认为所有文档有相同机密性）C2级系统：在C1基础上，通过登录

6、、安全事件和资源隔离增强可调的审慎控制。在连接到网上时，用户分别对自己的行为负责。（3）B等（含3级）B级具有强制性保护功能。强制性意味着在没有与安全等级相连的情况下，系统就不会让用户寸取对象。（a）B1级系统：·对每个对象都进行灵敏度标记，导入非标记对象前要先标记它们；·用灵敏度标记作为强制访问控制的基础；·灵敏度标记必须准确地表示其所联系的对象的安全级别；·系统必须使用用户口令或身份认证来决定用户的安全访问级别；·系统必须通过审计来记录未授权访问的企图。（b）B2级系统：·必须符合B1级系统的所有要求；·系统管理员必须使用一个明确的、文档化的安全策略模式作为系统可信

7、任运算基础体制；可信任运算基础体制能够支持独立的操作者和管理员；·只有用户能够在可信任通信路径中进行初始化通信；·所有与用户相关的网络连接的改变必须通知所有的用户。（c）B3级系统具有很强的监视委托管理访问能力和抗干扰能力。要求：·必须符合B2系统所有安全需求；·必须设有安全管理员；·除控制个别对象的访问外，必须产生一个可读的安全列表；每个被命名的对象提供对该对象没有访问的用户列表说明；·系统验证每一个用户身份，并会发送一个取消访问的审计跟踪消息；·设计者必须正确区分可信任路径和其他路径；·可信任的通信基础体制为每一个被命名的对象建立安全