网络安全原理与技术(第二版) 教学课件 作者 冯登国 徐静chapter3c.ppt

《网络安全原理与技术(第二版) 教学课件 作者 冯登国 徐静chapter3c.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、3.2访问控制12345访问控制模型基本组成访问控制决策组件是一个对请求的行为用访问控制策略规则来做出访问控制决策的网络单元。访问控制实施组件实施由决策组件做出的决策。678访问控制访问控制策略访问控制机制网络访问控制组件的分布授权的管理路由控制9访问控制策略目标x读、修改、管理读、修改、管理目标y目标z用户a用户b用户c用户d读读读、修改、管理读、修改读、修改目标用户访问矩阵实例任何访问控制策略最终均可被模型化为访问矩阵形式。由于访问矩阵过大和元素稀疏，很少直接应用，但是一种很有用的概念模型。10访问控制策略访问控制策略基于身份策略基于规则策略基于角色策略11基于身

2、份的策略等同于自主式策略，允许系统中信息的拥有者按照自己的意愿去指定谁可以以何种访问模式去访问该客体。根据主体的身份及允许访问的权限进行决策。如何把用户和目标分组有很大的灵活性，其范围可从单个用户和目标的清晰识别到大组的使用。缺点：信息在移动过程中其访问权限关系会被改变。如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问O。12131415基于规则的策略广泛地应用于政府机密部门。这些策略能用算法表达，并能在计算机上自动执行。也称为强制访问控制。将主体和客体分级，根据主体和客体的级别标记来决定访问模式。如，绝密级，机密级，秘密级，无密级。其

3、访问控制关系分为：下读/上写规则BL模型机密性上读/下写规则Biba模型完整性1617示例通讯过程中如何体现BL模型思想。当企业的两个分支网络要跨越非可信网络进行互联时，可以假设两个分支机构的安全级别均为"机秘"，而Internet，作为VPN的传输媒介，它的安全级别为"公开"，因此依照BL模型，Internet上的用户仅可以看到"公开"的数据。而两个分支网络间的数据安全级别为"机秘"，因此，访问控制机制导致Internet用户不能访问"机秘"数据，而这是由于VPN使用了加密技术以实现访问控制机制。18processprocessFileAUrw后口袋文件Trojan

4、AUBUprocessprocessFileAUrw后口袋文件TrojanAU特洛伊木马和安全操作系统19特洛伊木马和安全操作系统用户AU通过程序与数据文件交互，只有属于AU的进程可以访问该文件。恶意用户BU安装了特洛伊木马和一个“后口袋”文件，攻击开始。BU将这个文件的读写权授予自己，将写权授予AU。引诱AU调用木马程序。当检测出程序被AU执行时，BU就从AU的文件中将敏感字段复制到“后口袋”中。安全操作系统：AU的进程和文件被赋予敏感级别，BU的文件和进程被限制为公共的。如果AU调用了木马程序，那个程序就获得了AU的安全级别，可以观察到敏感字段。但是，当试图存储到

5、“后口袋”时，违反了规则，被监视器禁止。20Biba模型在应用中的一个例子是对WEB服务器的访问过程。定义Web服务器上发布的资源安全级别为“秘密”，Internet上用户的安全级别为“公开”，依照Biba模型，Web服务器上数据的完整性将得到保障，Internet上的用户只能读取服务器上的数据而不能更改它。21基于角色的策略基于角色的访问控制是一个复合的规则，可以被认为是基于身份策略和基于规则策略的变体。基本思路：管理员创建角色，给角色分配权限，给角色分配用户，角色所属的用户可以执行相应的权限22232425基于角色的策略26附加的控制通过使用附加的控制来进一步强化

6、上述策略。1）依赖于值的控制目标的敏感性会根据当前存储的数据值而改变。大金额合同信息也许要提供更强的保护。27附加的控制2）多用户控制当多于一个用户共同提出一个请求时，在访问目标之前应该得到许可的策略。需要两个指定的个体同意；需要两个具有指定角色的个体同意；需要半数以上成员同意。28附加的控制3）基于上下文的控制允许访问控制策略在确定访问一个目标时依靠外部因素（时间、位置、通信路径、鉴别强度）。可扩大基于身份的或基于规则的策略。目的在于保护访问控制机制，鉴别机制或物理安全措施等防护措施的弱点。例如，访问一个特定目标可能只有在工作时间并在公司允许的终端上才可访问。293

7、031访问控制访问控制策略访问控制机制网络访问控制组件的分布授权的管理路由控制32访问控制列表访问控制列表是目标对象的属性表。它给定每个用户对给定目标的访问权限。访问控制列表反映了一个目标对应于访问矩阵列中的内容。身份类型读、修改、管理认可允许拒绝的允许时间限制位置限制个人D.Feng组员审计员ContractorXYZInc.组角色组读读读、修改修改、管理管理8：00－18：00Mon~Fri只有本地终端访问控制列表实例33访问控制列表访问控制列表机制最适合于有相对少的需要被区分的用户，并且这些用户中的绝大多数是稳定的情况。如果访问控制列表太大或经