网络安全技术与实践第6章 访问控制 课件.ppt

《网络安全技术与实践第6章 访问控制 课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、访问控制访问控制的有关概念当用户的身份通过鉴别后，是否可以任意使用系统内的资源呢？答案？采用访问控制技术！3访问控制的概念和目标一般概念——是针对越权使用资源的防御措施。基本目标：防止对任何资源（如计算资源、通信资源或信息资源）进行未授权的访问。从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做什么。未授权的访问包括：未经授权的使用、泄露、修改、销毁信息以及颁发指令等。非法用户进入系统。合法用户对系统资源的非法使用。访问控制的作用访问控制对机密性、完整性起直接的作用。对于可用性，访问控制通过对以下信息的有效控制来实现：（

2、1）谁可以颁发影响网络可用性的网络管理指令（2）谁能够滥用资源以达到占用资源的目的（3）谁能够获得可以用于拒绝服务攻击的信息访问控制的目标保护存储在某些机器上的个人信息或重要信息的保密性维护机器内系统的完整性减少病毒感染的机会56主体、客体和授权客体（Object）：规定需要保护的资源，又称作目标（target)。如网络、计算机、数据库、文件、目录、计算机程序、外设、网络。主体（Subject）：或称为发起者(Initiator)，是一个主动的实体，规定可以访问该资源的实体，提出访问资源具体请求，如用户，程序，进程等。授权（Authorization)：

3、规定可对该资源执行的动作（例如读、写、执行或拒绝访问）。一个主体为了完成任务，可以创建另外的主体，这些子主体可以在网络上不同的计算机上运行，并由父主体控制它们。主客体的关系是相对的。如：用户启动Office，用户是主体，Office是客体；Office打开文件A时，Office是主体，文件A是客体。访问控制与其他安全服务的关系访问控制系统的基本组成访问控制类型网络访问控制用于网络环境，限制用户访问网络等操作系统访问控制限制对文件等的访问应用程序访问控制控制对数据、功能模块等的操作权限10访问控制策略与机制访问控制策略(AccessControlPolic

4、y)：访问控制策略在系统安全策略级上表示授权。是对访问如何控制,如何作出访问决定的高层指南。访问控制机制（AccessControlMechanisms)：——是访问控制策略的软硬件低层实现。访问控制机制与策略独立，可允许安全机制的重用。安全策略之间没有更好的说法，只是一种可以比一种提供更多的保护。应根据应用环境灵活使用。访问控制策略访问控制模型自主访问控制强制访问控制基于角色的访问控制其他访问控制策略11如何决定访问权限用户分类资源资源及使用访问规则用户的分类（1）特殊的用户：系统管理员，具有最高级别的特权，可以访问任何资源，并具有任何类型的访问操作能

5、力（2）一般的用户：最大的一类用户，他们的访问操作受到一定限制，由系统管理员分配（3）作审计的用户：负责整个安全系统范围内的安全控制与资源使用情况的审计（4）作废的用户：被系统拒绝的用户。这是UNIX系统的用户类型资源系统内需要保护的是系统资源：磁盘与磁带卷标远程终端信息管理系统的事务处理及其应用数据库中的数据应用资源资源及使用对需要保护的资源定义一个访问控制包（Accesscontrolpacket)，包括：资源名及拥有者的标识符缺省访问权用户、用户组的特权明细表允许资源的拥有者对其添加新的可用数据的操作审计数据访问规则规定了若干条件，在这些条件下，可

6、准许访问一个资源。规则使用户与资源配对，指定该用户可在该文件上执行哪些操作，如只读、不许执行或不许访问。由系统管理人员来应用这些规则，由硬件或软件的安全内核部分负责实施。访问控制的一般实现机制和方法一般实现机制——基于访问控制属性——〉访问控制表/矩阵基于用户和资源分级（“安全标签”）——〉多级访问控制常见实现方法——访问控制表ACLs（AccessControlLists)访问能力表（Capabilities)授权关系表访问控制矩阵任何访问控制策略最终均可被模型化为访问矩阵形式：行对应于用户，列对应于目标，每个矩阵元素规定了相应的用户对应于相应的目标被

7、准予的访问许可、实施行为。访问控制矩阵按列看是访问控制表内容按行看是访问能力表内容访问控制表(ACL)每个主体都附加一个该主体可访问的客体的明细表。访问能力表(CL)每个主体都附加一个该主体可访问的客体的明细表。授权关系表访问控制的一般策略自主访问控制自主访问控制（discretionarypolicies,DAC)，基于身份的访问控制(IdentityBasedAccessControl)特点：根据主体的身份及允许访问的权限进行决策。自主是指具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体。灵活性高，被大量采用。缺点：信息在移动过程中其访

8、问权限关系会被改变。24基于身份的策略：基于个人的策略根据哪些用户可对一个目标实