（计算机应用技术专业论文）分布式安全策略部署模型的研究.pdf

西北工业人学(,r _ 卜 论文 摘咬 摘要 互联网的发展为全球范围内 实现高效的资源和信息共享提供了方便。 随着大 规模、 分布式信息系统的广泛建立和社会信息化的迅猛发展， 计算机的应用形式 逐渐上升为网络形态， 网络安全也面临着新的挑战。 从大的方面来说，网络安全 问题己 威胁到国家的政治、 经济、 军事等各种领域。从小的方面来说，网络安全 问题也是人们能否保护自己个人隐私的关键。 随着网络应用的深入以及安全意识 的提高， 各种安全技术也得到了前所未有的发展和应用。 但是， 安全的威胁并没 有因此而消失。 相反，由于网络应用的推广以及网络业务的复杂性， 网络在给人 们带来更多便利的同时， 也可能带来巨大的威胁和损失。 因此， 网络安全技术的 进一步研究与发展有着重要的意义和广阔的前景。 新形势下网 络安全体系种种需求， 都可以 通过基于策略管理的解决方案来满 足。 基于策略的管理解决方案通过策略来实现对被管理系统的分布式、自动化以 及动态自 适应的管理， 已 经成为大规模企业级网络内部分布式系统管理的最有发 展前途的研究方向。 本文通过对安全策略在内容、 框架以及形式上的 研究， 结合对集中式访问控 制模型p p t r的分析， 提出了基于面向对象的分布式安全策略部署模型， 并对该 模型的技术要点进行说明和分析。 文章在最后描述了一个基于该模型在企业内部网的一个简单实现实例， 并通 过理论分析和相关的测试数据对该模型的应用实例作了客观的评估。 关键字:安全策略、部署模型、访问控制、分布式 西北不业人学硕 f . 论文ab s t r a c t ab s t r a c t t h e d e v e l o p m e n t a n d p o p u l a r i t y o f i n t e r n e t h a v e p r o v i d e d g r e a t c o n v e n i e n c e f o r h i g h - e f f i c i e n t s h a r i n g o f g l o b a l r e s o u r c e s a n d i n f o r m a t i o n. w i t h t h e w i d e l y e s t a b l i s h i n g o f l a r g e s c a l e a n d d i s t r i b u t e d i n f o r m a t i o n s y s t e m , a n d t h e r a p i d l y d e v e l o p i n g o f i n f o r m a t i o n s o c i e t y , t h e a p p l i c a t i o n f o r m o f t h e c o m p u t e r b e c o m e s t h e f o r m o f t h e n e t w o r k g r a d u a l l y , t h e n e t w o r k s e c u r i t y f a c e s t h e n e w c h a l l e n g e t o o . b y t h e l o o k o f g r e a t r e s p e c t , t h e n e t w o r k s e c u r i t y q u e s t i o n h a s a l r e a d y t h r e a t e n e d v a r i o u s k i n d s o f f i e l d s , s u c h a s p o l i t i c s , e c o n o m y , m i l i t a r y a f f a i r s o f t h e c o u n t r y , e t c . b y t h e l o o k o f s m a l l r e s p e c t , t h e n e t w o r k s e c u r i t y q u e s t i o n i s a k e y w h e t h e r p e o p l e c o u l d p r o t e c t o n e s o w n i n d i v i d u a l p r i v a c y t o o . h o w e v e r , t h e t h r e a t o f t h e s e c u r i t y h a s n o t d i s a p p e a r e d b e c a u s e o f t h i s . o n t h e c o n t r a r y , b e c a u s e o f t h e p o p u l a r i z a t i o n o f n e t w o r k a p p l i c a t i o n a n d c o m p l e x i t y o f t h e n e t w o r k b u s i n e s s , w h i l e t h e n e t w o r k i s b r i n g i n g m o r e f a c i l i t i e s t o p e o p l e , m a y b r i n g e n o r m o u s t h r e a t a n d l o s s t o o . s o , t h e r e a r e i m p o r t a n t m e a n i n g a n d w i d e p r o s p e c t i n t h e f u r t h e r r e s e a r c h a n d d e v e l o p m e n t o f t h e s a f e p r a c t i c e o f t h e n e t w o r k . t h e r e q u i r e m e n t s f o r n e t w o r k s e c u r i t y a r c h i t e c t u r e o f c u r r e n t s i t u a t i o n i d e n t i f i e d a b o v e c a n b e s a t i s f i e d t h r o u g h t h e s o l u t i o n b a s e d o n p o l i c y - b a s e d m a n a g e m e n t a p p r o a c h e s . b y u s i n g t h e p o l i c i e s t o r e a l i z e t h e m a n a g e m e n t o f d i s t r i b u t i o n , a u t o m a t i o n a n d d y n a m i c a d a p t a t i o n o f t h e b e h a v i o r o f t h e m a n a g e d s y s t e m , p o l i c y - b a s e d m a n a g e m e n t h a s r e c e n t l y b e c o m e t h e m o s t r i s i n g r e s e a r c h d i r e c t i o n o f m a n a g i n g e n t e r p r i s e - w i d e n e t w o r k s a n d d i s t r i b u t e d s y s t e m s a n o b j e c t - o r i e n t e d d i s t r i b u t e d s e c u r i t y m o d e l i s p r o p o s e d i n t h i s d i s s e r t a t i o n b a s e d u p o n t h e r e s e a r c h o n t h e c o n t e n t , c o n f i g u r a t i o n a n d f o r m s o f t h e s e c u r i t y p o l i c y , c o m b i n e d t o t h e a n a l y s i s o f t h e c e n t r a l i z e d a c c e s s c o n t r o l m o d e l o f p p t r , a n d s p e c i f y t h e t e c h n o l o g i c a l m a i n p o i n t o f t h i s m o d e l a t t h e l a s t o f t h e d i s s e r t a t i o n , w e d e m o n s t r a t e a n i n s t a n c e o f t h e m o d e l i n a n i n t r a n e t , a n d t h r o u g h t h e o r y a n a l y s i s m a k e o b j e c t i v e a s s e s s m e n t w i t h r e l e v a n t t e s t d a t a t o t h e a p p l i c a t i o n i n s t a n c e o f t h i s m o d e l . k e y w o r d s : s e c u r i t y p o l i c y , d e p l o y m e n t m o d e l , a c c e s s c o n t r o l , d i s t r i b u t e d 1 1 听! t 丁业大学顽 匕 论文 第一章 绪论 第一章绪论 1 . 1课题研究背景 近年来， 随着计算机技术的发展， i n t e rn e t 己 经被广大计算机用户所认识和接 受。 互联网在中国己经进入了高速发展期， 并逐步进入了人们的日常生活， 为人 们的信息交流提供了极大的便利。 在信息化社会中， 网络信息系统在政治、 军事、 金融、 商业、 交通、电 信、 文教等方面发挥越来越大的作用。 社会对网络信息系 统的依赖也日益增强。 各种各样完备的网络信息系统， 使得秘密信息和财富高度 集中于计算机中。 另一方面， 这些网络信息系统都依靠计算机网 络接收和处理信 息， 实现其相互间的联系和对目 标的管理、 控制。 以网络方式获得信息和交流信 息己 成为现代信息社会的一个重要特征。 网 络正在逐步改变人们的工作方式和生 活方式，成为当今社会发展的一个主题。 然而，伴随着网络信息产业发展而产生的i n t e r n e t 和网络信息的安全问题， 也己成为热点问题。 各种网络系统以及有关软硬件系统的缺陷、 各种系统管理方 面的漏洞， 都带来了许多安全上的隐患， 出现了许多严重的网络安全问题a i n t e r n e t 本身所具有的开放性和共享性对信息的安全问题提出了严峻的挑战。目前， 全世 界每年由于信息系统的脆弱性而导致的经济损失逐年上升，安全问题日 益严重。 对网络安全体系构成的诸多威胁， 都可以通过网络安全策略管理的方式来解 决。 基于策略的管理已 经成为大规模企业级网络内部分布式系统管理的最有发展 前途的研究方向。 安全策略作为安全服务的基本框架， 它包括物理安全策略和访 问控制策略。 物理安全策略的目 的 是保护计算机系统、 网络服务器、 打印机等硬 件实体和通信链路免受自 然灾害、 人为破坏和搭线攻击; 验证用户的身份和使用 权限、 防止用户越权操作; 确保计算机系统有一个良 好的电磁兼容工作环境; 建 立完备的安全管理制度， 防止非法进入计算机控制室和各种偷窃、 破坏活动的发 生。 访问控制是网络安全防范和保护的主要策略， 它的主要任务是保证网络资源 不被非法使用和非法访问。 它也是维护网络系统安全、 保护网络资源的重要手段。 各种安全策略必须相互配合才 一 能真正起到保护作用， 但访问控制可以说是保证网 络安全最重要的核心策略之一。 对安全策略部署模型的研究是安全策略的实现阶段，目 前研究相对成熟的技 术主要是集中式访问控制模型，在这方面处于领先地位的技术有 l s m ( l i n u x s e c u r e d m o d e l ) 和基于g f a c的r s b a c ( r o l c s e t b a s e d a c c e s s c o n t r o l ) ， 这些不 听! t 丁业大学顽 匕 论文 第一章 绪论 第一章绪论 1 . 1课题研究背景 近年来， 随着计算机技术的发展， i n t e rn e t 己 经被广大计算机用户所认识和接 受。 互联网在中国己经进入了高速发展期， 并逐步进入了人们的日常生活， 为人 们的信息交流提供了极大的便利。 在信息化社会中， 网络信息系统在政治、 军事、 金融、 商业、 交通、电 信、 文教等方面发挥越来越大的作用。 社会对网络信息系 统的依赖也日益增强。 各种各样完备的网络信息系统， 使得秘密信息和财富高度 集中于计算机中。 另一方面， 这些网络信息系统都依靠计算机网 络接收和处理信 息， 实现其相互间的联系和对目 标的管理、 控制。 以网络方式获得信息和交流信 息己 成为现代信息社会的一个重要特征。 网 络正在逐步改变人们的工作方式和生 活方式，成为当今社会发展的一个主题。 然而，伴随着网络信息产业发展而产生的i n t e r n e t 和网络信息的安全问题， 也己成为热点问题。 各种网络系统以及有关软硬件系统的缺陷、 各种系统管理方 面的漏洞， 都带来了许多安全上的隐患， 出现了许多严重的网络安全问题a i n t e r n e t 本身所具有的开放性和共享性对信息的安全问题提出了严峻的挑战。目前， 全世 界每年由于信息系统的脆弱性而导致的经济损失逐年上升，安全问题日 益严重。 对网络安全体系构成的诸多威胁， 都可以通过网络安全策略管理的方式来解 决。 基于策略的管理已 经成为大规模企业级网络内部分布式系统管理的最有发展 前途的研究方向。 安全策略作为安全服务的基本框架， 它包括物理安全策略和访 问控制策略。 物理安全策略的目 的 是保护计算机系统、 网络服务器、 打印机等硬 件实体和通信链路免受自 然灾害、 人为破坏和搭线攻击; 验证用户的身份和使用 权限、 防止用户越权操作; 确保计算机系统有一个良 好的电磁兼容工作环境; 建 立完备的安全管理制度， 防止非法进入计算机控制室和各种偷窃、 破坏活动的发 生。 访问控制是网络安全防范和保护的主要策略， 它的主要任务是保证网络资源 不被非法使用和非法访问。 它也是维护网络系统安全、 保护网络资源的重要手段。 各种安全策略必须相互配合才 一 能真正起到保护作用， 但访问控制可以说是保证网 络安全最重要的核心策略之一。 对安全策略部署模型的研究是安全策略的实现阶段，目 前研究相对成熟的技 术主要是集中式访问控制模型，在这方面处于领先地位的技术有 l s m ( l i n u x s e c u r e d m o d e l ) 和基于g f a c的r s b a c ( r o l c s e t b a s e d a c c e s s c o n t r o l ) ， 这些不 西 北 业大学椒 卜 价笙华y 始+$ 但 是一 些 成熟 的 渔论 模 型， 而 且 推出 了 相 关 产品， 但是 th于 其 技 术 特点， 很 难 部 署在大型分布式应用环境中。 所以对分布式安全策略部署模型的研究受到普遍的 重视，这也是本文的应用背景。 本文提出的基于面向对象的分布式安全策略部署模型，通过高度的抽象机 制， 建立了一个企业级安全统一模型。 把访问控制策略的外延拓展到所有的计算 实体 ( 主体、客体、策略等) 。为分布式计算应用提供了一个有效的基础访问控 制安全支撑平台。 网络安全和网络应用安全统一模型的研究， 对进一步促进网络 技术的发展和应用有着及其重要的现实意义。 1 . 2分布式安全策略研究意义 i n t e m e t 是一把双刃剑。 它在给企业、 政府机构、 个人提供一个巨 大的发展空 间的同时， 也带来了不可忽视的威胁和破坏。 一些机构和部门在得益于网络加快 业务运作的同时，其上网的数据也遭到了不同程度的破坏， 或被删pim 被复制， 数据的安全性和自 身的利益受到了严重的威胁。如在%年初，美国旧金山的计 算机安全协会与联邦调查局的一次联合调查统计显示:有 5 3 %的企业受到过计 算机病毒的侵害，4 2 %的企业的计算机系统在过去的1 2 个月被非法使用过。而 五角大楼的一个研究小组称美国一年中遭受的攻击就达2 5 万次之多。根据赛门 铁 克 网 络 安 全 威 胁 研 究 报 告 预 测 ， 在 今 后 的6 个 月 内 ， 网 络 安 全 仍 将 受 勤 数 据 包 监听、垃圾邮件、恶意代码，宽频路由器防火墙等诸多攻击方式的威胁。 面对当前网络安全威胁的挑战，不能再从单个安全功能、单个安全机制、 单 个安全范围来考虑安全问题，而必须从体系结构上全面而系统的研究网络安全。 适应多平台计算环境的、面向整个网络的分布式安全体系己经成为主要研究方 向。 总结起来， 当前网络安全威胁和网络安全技术的发展趋势对网络安全体系有 以下几点需求: 首先， 安全体系的部署和管理必须是分布式的， 也就是要提供足 够的可伸缩性 ( s c a l a b i l i t y ) 来适应不同规模企业网 络的需要; 其次，网络安全 体系应该具备动态可调整的能力， 因为信息安全技术、 网络所提供的服务以及网 络本身都在不断变化， 不可能存在一劳永逸的解决方案; 第三，安全管理的过程 要尽可能提高自 动化的程度以减少管理费用和部署周期，因为人工管理非常昂 贵， 并且随着系统规模的扩大， 人工管理开销将按照指数规律增加， 而冗长的部 署周期将导致安全体系的灵活性和应变能力无法满足动态网络安全的需求;最 后， 安全体系内部要具备良 好的信息共享和协作能力， 既可以防范分布式的攻击， 尽可能快的恢复网络服务， 减少损失， 也可以充分利用系统内各安全组件的安全 功能，使整个网络始终处于风险最低的状态。 现阶段对网络安全体系的种种需求， 最可行的解决方案是通过基于安全策略 西 北 业大学椒 卜 价笙华y 始+$ 但 是一 些 成熟 的 渔论 模 型， 而 且 推出 了 相 关 产品， 但是 th于 其 技 术 特点， 很 难 部 署在大型分布式应用环境中。 所以对分布式安全策略部署模型的研究受到普遍的 重视，这也是本文的应用背景。 本文提出的基于面向对象的分布式安全策略部署模型，通过高度的抽象机 制， 建立了一个企业级安全统一模型。 把访问控制策略的外延拓展到所有的计算 实体 ( 主体、客体、策略等) 。为分布式计算应用提供了一个有效的基础访问控 制安全支撑平台。 网络安全和网络应用安全统一模型的研究， 对进一步促进网络 技术的发展和应用有着及其重要的现实意义。 1 . 2分布式安全策略研究意义 i n t e m e t 是一把双刃剑。 它在给企业、 政府机构、 个人提供一个巨 大的发展空 间的同时， 也带来了不可忽视的威胁和破坏。 一些机构和部门在得益于网络加快 业务运作的同时，其上网的数据也遭到了不同程度的破坏， 或被删pim 被复制， 数据的安全性和自 身的利益受到了严重的威胁。如在%年初，美国旧金山的计 算机安全协会与联邦调查局的一次联合调查统计显示:有 5 3 %的企业受到过计 算机病毒的侵害，4 2 %的企业的计算机系统在过去的1 2 个月被非法使用过。而 五角大楼的一个研究小组称美国一年中遭受的攻击就达2 5 万次之多。根据赛门 铁 克 网 络 安 全 威 胁 研 究 报 告 预 测 ， 在 今 后 的6 个 月 内 ， 网 络 安 全 仍 将 受 勤 数 据 包 监听、垃圾邮件、恶意代码，宽频路由器防火墙等诸多攻击方式的威胁。 面对当前网络安全威胁的挑战，不能再从单个安全功能、单个安全机制、 单 个安全范围来考虑安全问题，而必须从体系结构上全面而系统的研究网络安全。 适应多平台计算环境的、面向整个网络的分布式安全体系己经成为主要研究方 向。 总结起来， 当前网络安全威胁和网络安全技术的发展趋势对网络安全体系有 以下几点需求: 首先， 安全体系的部署和管理必须是分布式的， 也就是要提供足 够的可伸缩性 ( s c a l a b i l i t y ) 来适应不同规模企业网 络的需要; 其次，网络安全 体系应该具备动态可调整的能力， 因为信息安全技术、 网络所提供的服务以及网 络本身都在不断变化， 不可能存在一劳永逸的解决方案; 第三，安全管理的过程 要尽可能提高自 动化的程度以减少管理费用和部署周期，因为人工管理非常昂 贵， 并且随着系统规模的扩大， 人工管理开销将按照指数规律增加， 而冗长的部 署周期将导致安全体系的灵活性和应变能力无法满足动态网络安全的需求;最 后， 安全体系内部要具备良 好的信息共享和协作能力， 既可以防范分布式的攻击， 尽可能快的恢复网络服务， 减少损失， 也可以充分利用系统内各安全组件的安全 功能，使整个网络始终处于风险最低的状态。 现阶段对网络安全体系的种种需求， 最可行的解决方案是通过基于安全策略 西北工业大学硕 i - 论文 第一 t 绪论 管理方式， 而安全策略管理只是项形式化阶段， 策略在实施前必须要构建完善的 部署模型。 安全策略部署模型是安全策略实施的重要保障。 策略部署模型涉及到 策略的表示、管理、 分布、部署以及运行等诸多方面， 对模型的研究对于冈络安 全来说具有深远的意义。 1 . 3课题的设计与开发工作 论文首先在了解网络安全理论和各种安全技术的基础上， 对网络安全策略的 不同层次 ( 概念、 框架、 表示、管理等) 进行了分析， 并结合集中式访问控制动 态安全模型提出了一种基于面形对象的策略部署模型 o p p d d r ，然后针对这一 模型， 在一个企业内部网环境下做了一定的实现， 并通过相应的技术及原理分析 对该应用实例作出评价。 1 . 4论文组织 全文共分四章。 第一章为绪论。 简单介绍了网络安全统一模型课题背景和应用背景，以 及讨 论了其相关领域的进展。 第二章主要是对安全策略理论的研究，其中包括策略的定义，策略的框架现 状。最后重点分析如何通过策略描述语言 p o n d e r 对安全策略进行形式化表示和 管理，为后文提出的策略部署模型提供理论基础。 第三章从集中式访问控制动态安全模型p p t r入手，分析了其优缺点，并提 出基于面向 对象的出分布式访问控制安全策略模型o p p d d r ，并对o p p d d r所 涉及到的相关概念和技术进行分析和说明。 第四章结合对本课题的研究和现有技术积累， 在一个企业内部网上对第三章 所提出的模型在一定层次上进行了实现。 在详细介绍了相关技术的设计和实现的 基础上，在对此模型的优缺点做了简单的评价，并对后期工作做了一些展望。 最后总结所做的工作，结束论文。 西北工业大学硕 i - 论文 第一 t 绪论 管理方式， 而安全策略管理只是项形式化阶段， 策略在实施前必须要构建完善的 部署模型。 安全策略部署模型是安全策略实施的重要保障。 策略部署模型涉及到 策略的表示、管理、 分布、部署以及运行等诸多方面， 对模型的研究对于冈络安 全来说具有深远的意义。 1 . 3课题的设计与开发工作 论文首先在了解网络安全理论和各种安全技术的基础上， 对网络安全策略的 不同层次 ( 概念、 框架、 表示、管理等) 进行了分析， 并结合集中式访问控制动 态安全模型提出了一种基于面形对象的策略部署模型 o p p d d r ，然后针对这一 模型， 在一个企业内部网环境下做了一定的实现， 并通过相应的技术及原理分析 对该应用实例作出评价。 1 . 4论文组织 全文共分四章。 第一章为绪论。 简单介绍了网络安全统一模型课题背景和应用背景，以 及讨 论了其相关领域的进展。 第二章主要是对安全策略理论的研究，其中包括策略的定义，策略的框架现 状。最后重点分析如何通过策略描述语言 p o n d e r 对安全策略进行形式化表示和 管理，为后文提出的策略部署模型提供理论基础。 第三章从集中式访问控制动态安全模型p p t r入手，分析了其优缺点，并提 出基于面向 对象的出分布式访问控制安全策略模型o p p d d r ，并对o p p d d r所 涉及到的相关概念和技术进行分析和说明。 第四章结合对本课题的研究和现有技术积累， 在一个企业内部网上对第三章 所提出的模型在一定层次上进行了实现。 在详细介绍了相关技术的设计和实现的 基础上，在对此模型的优缺点做了简单的评价，并对后期工作做了一些展望。 最后总结所做的工作，结束论文。 西北工业大学硕士论文 染_ 章 安全策略的 研? i 第二章安全策略的研究 本章主要是对分布式安全策略理沦方面的分析与研究。 首先介绍了策略的定 义以及目 前主流的集中访问 控制策略， 然后分析介绍了目 前业界定义的安全策略 框架， 最后比 较详细分析介绍了策略的抽象语言p o n d e r ， 为后文提到的基于面向 对象的安全策略部署模型提供理论支持。 2 . 1 策略定义 策略的定义:一条由管理需求而来的、 相对持久的、说明性的规则，此规则 约束了系统做出决策的过程 1 = 3 1 。 这一定义指出了 策略的几个特性: . 相对持久性: 就是说执行某一措施的一次性命令不是策略。 另外， 相对于被 管理系统的频繁变化的状态，策略应该是相对稳定的。 . 说明性:策略说明在特定的条件下，一些预定义的操作应当被执行， 但是策 略并不关心这些操作具体如何实施。 . 由管理需求而来:策略来自 于商务需求，服务等级约定或是信任关系，因此 管理需求也称为高层策略或是抽象策略。 访问控制策略是各种安全策略中核心的策略。 它是保护数据安全的一种重要 途径。 它可以限制对关键资源的访问， 防止非法用户的侵入或者因合法用户的不 慎操作所造成的破坏。 目 前传统的访问 控制模型主 要可分为3 种14 1 , ( 1 ) 自主性的访问控制 ( d a c ) 其基本思想是:允许用户自主地将访问权限 授予其他用户，但只能控制直接访问而无法控制间接访问。 ( 2 ) 强制性的访问控制 ( m a c ) 其基本思想是:由授权机构为主体和客体分 别定义固定的访问属性， 用户无权进行修改。 主体权限反映了信任程度， 客体权 限则与其所含信息的敏感度一致，通过二者的比较来判断访问的合法性。 ( 3 )基于角 色的 访问 控 制 ( r b a c ) 15 ii r b a c提出 了“ 角 色， 的 概 念， 它 采 用与企业组织结构一致的方式进行安全管理。 其基本思想是: 在用户与角色之间 建立多对多关联， 为每个用户分配一个或多个角色; 在角色与权限之间建立多对 多关联， 为每个角色分配一种或多种操作权限; 同时， 通过角色将用户与权限相 关联。 对于 ( 1 ) . ( 2 ) 类型，虽然能够达到访问控制的目的， 但是它们的管理非常 的困难。另外，d a c 以降低资源安全性为代价提供了较大的灵活性，适用于一 西北工业大学硕士论文 染_ 章 安全策略的 研? i 第二章安全策略的研究 本章主要是对分布式安全策略理沦方面的分析与研究。 首先介绍了策略的定 义以及目 前主流的集中访问 控制策略， 然后分析介绍了目 前业界定义的安全策略 框架， 最后比 较详细分析介绍了策略的抽象语言p o n d e r ， 为后文提到的基于面向 对象的安全策略部署模型提供理论支持。 2 . 1 策略定义 策略的定义:一条由管理需求而来的、 相对持久的、说明性的规则，此规则 约束了系统做出决策的过程 1 = 3 1 。 这一定义指出了 策略的几个特性: . 相对持久性: 就是说执行某一措施的一次性命令不是策略。 另外， 相对于被 管理系统的频繁变化的状态，策略应该是相对稳定的。 . 说明性:策略说明在特定的条件下，一些预定义的操作应当被执行， 但是策 略并不关心这些操作具体如何实施。 . 由管理需求而来:策略来自 于商务需求，服务等级约定或是信任关系，因此 管理需求也称为高层策略或是抽象策略。 访问控制策略是各种安全策略中核心的策略。 它是保护数据安全的一种重要 途径。 它可以限制对关键资源的访问， 防止非法用户的侵入或者因合法用户的不 慎操作所造成的破坏。 目 前传统的访问 控制模型主 要可分为3 种14 1 , ( 1 ) 自主性的访问控制 ( d a c ) 其基本思想是:允许用户自主地将访问权限 授予其他用户，但只能控制直接访问而无法控制间接访问。 ( 2 ) 强制性的访问控制 ( m a c ) 其基本思想是:由授权机构为主体和客体分 别定义固定的访问属性， 用户无权进行修改。 主体权限反映了信任程度， 客体权 限则与其所含信息的敏感度一致，通过二者的比较来判断访问的合法性。 ( 3 )基于角 色的 访问 控 制 ( r b a c ) 15 ii r b a c提出 了“ 角 色， 的 概 念， 它 采 用与企业组织结构一致的方式进行安全管理。 其基本思想是: 在用户与角色之间 建立多对多关联， 为每个用户分配一个或多个角色; 在角色与权限之间建立多对 多关联， 为每个角色分配一种或多种操作权限; 同时， 通过角色将用户与权限相 关联。 对于 ( 1 ) . ( 2 ) 类型，虽然能够达到访问控制的目的， 但是它们的管理非常 的困难。另外，d a c 以降低资源安全性为代价提供了较大的灵活性，适用于一 西北工业大学ila ; . 论文 第_章 安全策略的研究 般的商业机构和民间组织。m a c适用于军方的多极安全机制，灵活性较差。基 于角色的访问控制由于用角色来连接主体和客体，简化了客体本身的管理复杂 性。但是，基于角色的传统访问控制模型还存在以下缺陷: . 把用户认证和权限检查分开处理，容易形成效率低下的数据访问; . 隐含了无条件所有权，忽略了运行时语境对权力的制约; . 没有考虑到分布式环境下运行其用户权限的动态变化， 给安全管理带来了困 难。 . 访问控制策略不是相互排斥的， 不同的策略可以组合到一起实现更有效的系 统保护。 图2 . 1 多重访问控制策略 如上图所示， 三个内圆环分别代表了一种策略， 每一种策略保证了所有可能 访问的一个子集。 目 前对于访问控制策略的研究大多集中在现有策略模型的融合 和约束集大小的变换上， 比如目 前的一些具有时间约束的基于角色的访问控制策 略模型以及基于任务的访问控制策略模型。 对于策略外延的研究重要集中在下一 代网络的研究方面。 2 . 2 策略框架 完整的策略管理框架包括三个组成部分:具体实施策略规则的策略管理架 构、 定义策略描述语言的策略规范以 及为管理员提供的策略系统管理工具， 如图 2 .2所示。本节将按照这三个部分介绍策略框架的研究背景和现状。 西北工业大学ila ; . 论文 第_章 安全策略的研究 般的商业机构和民间组织。m a c适用于军方的多极安全机制，灵活性较差。基 于角色的访问控制由于用角色来连接主体和客体，简化了客体本身的管理复杂 性。但是，基于角色的传统访问控制模型还存在以下缺陷: . 把用户认证和权限检查分开处理，容易形成效率低下的数据访问; . 隐含了无条件所有权，忽略了运行时语境对权力的制约; . 没有考虑到分布式环境下运行其用户权限的动态变化， 给安全管理带来了困 难。 . 访问控制策略不是相互排斥的， 不同的策略可以组合到一起实现更有效的系 统保护。 图2 . 1 多重访问控制策略 如上图所示， 三个内圆环分别代表了一种策略， 每一种策略保证了所有可能 访问的一个子集。 目 前对于访问控制策略的研究大多集中在现有策略模型的融合 和约束集大小的变换上， 比如目 前的一些具有时间约束的基于角色的访问控制策 略模型以及基于任务的访问控制策略模型。 对于策略外延的研究重要集中在下一 代网络的研究方面。 2 . 2 策略框架 完整的策略管理框架包括三个组成部分:具体实施策略规则的策略管理架 构、 定义策略描述语言的策略规范以 及为管理员提供的策略系统管理工具， 如图 2 .2所示。本节将按照这三个部分介绍策略框架的研究背景和现状。 西北 业大学硕 i 论文m二章 女全轰略的 研究 管 理 工 具 策 略 规 范 管 理 架 构 为 管 理 员 提 供 支 持 定 义 策 略 描 述 语 言 具 体 实 施 策 略 规 则 图2 .2 策略管理框架的三个组成部分 2 .2 . 1策略管理架构 ( 1 ) i e t f策略管理架构 根据互联网 工程任务 组 ( i n t e rn e t e n g i n e e r i n g t a s k f o r c e , i e t f ) 中 策略框架工 作 组 ( p o l ic y f r a m e w o r k w o r k in g g r o u p ) 制 定的 协 议， 策 略管 理 架构 中 包 括四 个 组件:策略服务器 ( 也称策略决定点， p d p ) ,策略管理员、目 录服务器 ( 也称 策略信息库) 和策略实施者 ( p e p ) . p d p负责根据策略实施者提交的策略请求， 从目 录服务器获取策略，并将策略解释为策略实施者能够理解的形式后返回给 p e p ; 策略管理员通过策略管理工具 ( p m t ) 维护目 录服务器中 存储策略的数据 库， 配置策略及相关信息， 监视整个策略控制系统的运行;目 录服务器是实 现策 略统一管理的基础，存储策略及其相关的各种信息;p e p就是网络中的策略受 控节点， 例如路由 器和交换机等， 通过分组过滤、 带宽预留、 业务分类和多转发 队列等去具体实施策略。 需要注意的是， i e t f策略管理架构主要面向计算机网 络服务质量的管理和控制。i e t f策略管理架构没有明确定义触发策略的事件 ( e v e n t ) ，因此实际中触发 p e p查找适用策略的是隐含的事件， 例如路由器收 到了一个符合某种特征的分组等。 i e t f策略管理架构中支持两种模式的策略散 发 : 一 种是p u s h - m o d e l , p d p主 动向p e p发 送 初始 化 策 略或 是 更 新策 略; 另 一 种是p u l l - m o d e l ， 在隐含事件的触发下， p e p向p d p请求策略。 厂 簧 w il i t- 1 策略服务器 * _。 l a d p协议 f - c o p s协议 图 2 . 3 i e t f策略管理架构 西北 业大学硕 i 论文m二章 女全轰略的 研究 管 理 工 具 策 略 规 范 管 理 架 构 为 管 理 员 提 供 支 持 定 义 策 略 描 述 语 言 具 体 实 施 策 略 规 则 图2 .2 策略管理框架的三个组成部分 2 .2 . 1策略管理架构 ( 1 ) i e t f策略管理架构 根据互联网 工程任务 组 ( i n t e rn e t e n g i n e e r i n g t a s k f o r c e , i e t f ) 中 策略框架工 作 组 ( p o l ic y f r a m e w o r k w o r k in g g r o u p ) 制 定的 协 议， 策 略管 理 架构 中 包 括四 个 组件:策略服务器 ( 也称策略决定点， p d p ) ,策略管理员、目 录服务器 ( 也称 策略信息库) 和策略实施者 ( p e p ) . p d p负责根据策略实施者提交的策略请求， 从目 录服务器获取策略，并将策略解释为策略实施者能够理解的形式后返回给 p e p ; 策略管理员通过策略管理工具 ( p m t ) 维护目 录服务器中 存储策略的数据 库， 配置策略及相关信息， 监视整个策略控制系统的运行;目 录服务器是实 现策 略统一管理的基础，存储策略及其相关的各种信息;p e p就是网络中的策略受 控节点， 例如路由 器和交换机等， 通过分组过滤、 带宽预留、 业务分类和多转发 队列等去具体实施策略。 需要注意的是， i e t f策略管理架构主要面向计算机网 络服务质量的管理和控制。i e t f策略管理架构没有明确定义触发策略的事件 ( e v e n t ) ，因此实际中触发 p e p查找适用策略的是隐含的事件， 例如路由器收 到了一个符合某种特征的分组等。 i e t f策略管理架构中支持两种模式的策略散 发 : 一 种是p u s h - m o d e l , p d p主 动向p e p发 送 初始 化 策 略或 是 更 新策 略; 另 一 种是p u l l - m o d e l ， 在隐含事件的触发下， p e p向p d p请求策略。 厂 簧 w il i t- 1 策略服务器 * _。 l a d p协议 f - c o p s协议 图 2 . 3 i e t f策略管理架构 g 北 七 业 气 学硕 卜 y t 又准-安全策略的研究 由图2 .3中可知策略管理架构中还包括两个关键协议:轻量级目录访问协议 l d a p ( l i g h t w e i g h t d i r e c to r y a c c e s s p r o t o c o l ) ，和公共开放策略服务 c o p s ( c o m m o n o p e n p o l i c y s e r v i c e ) i -i . l d a p协议: l d a p协议 遵循x .5 0 0协议的数据模式， 实现p d p对目 录服 务器中策略信息的存取操作; l d a p协议中的数据是面向对象的， l d a p协 议的模式规定了数据库的结构. 而条目 则是模式的实现， 可以说， l d a p数 据库就是由条目构成的。 模式有两个重要的元素:属性类型和对象类，与对 象类相关的还有内容规则、命名规则和结构规则等。可以认为:对象类相当 于c + 十 中的类，而属性类型相当于类中的数据类型，条目 就相当于类实例。 . c o p s协议:c o p s协议描述了一个基于信令协议的 q o s策略控制客户/ 服务器模型。 c o p s协议在p d p及其客户( p e p ) 之间交换策略请求和决定 信息。 c o p s协议具有可扩展性， 可以支持其他类型的策略用户。 在协议中 没有对 p d p的工作机制提出其它约束，只是要求在每个策略受控的管理域 中， 至少应该有一个p d p ， 而且p d p能够对策略请求做出决定并将其返回。 c o p s协议是简单而又可扩展的， 采用了客户/ 服务器模型，在这个模型中 p e p发出策略请求、策略更新、策略删除的信息给远端 p d p p d p将其决 定返回给 p e p 。 c o p s协议使用t c p作为传输层协议，可以提供可靠的 报 文交换。c o p s提供了报文级的安全，可以进行确认、保护和维持报文的完 整。c o p s也能使用 i p s e c等已有协议来保证 p d p和 p e p间的认证和加 密。c o p s协议的一个重要特点就是策略请求/ 策略决定的当前状态为 p e p 与p d p所共享，p e p发出的策略请求被p d p登记在案直到被 p e p删除; 同时，对于已经被p u p所登记的策略请求，p d p可以在任何时候异步的产 生策略决定并将其下达给相关的p e p o ( 2 ) 安全策略架构 在对基于角色的管理和信任管理进行研究的过程中出现了一些安全策略的 部署架构， 这些安全策略架构都采用了认 证技术来支持基于证书的授权。 英国剑 桥 大 学 提出 的 安 全 互 联 开 放 架 构( o p e n a r c h it e c t u r e f o r s e c u r e i n t e r w o r k i n g ) la l 是这一类安全策略架构中的主要代表。 安全互联开放架构实施的是基于角色的访 问控制策略， 访问权限按照特定原则聚合成角色， 而用户提供的证书与特定的角 色 相关联。另外还有一些在现有中间件平台上实现 r b a c模型的研究， 例如在 c o r b a安全服务上实现r b a c模型。 宾夕 法尼亚大学在对k e y n o t e 管理系统 研究的 过程中 定 义了 一个s t r o n g m a n安全策略架构。 s t r o n g m a n的 基本原 理如图 2 .4所示。 其最重要的 特点就是将各 种全局的高 层策 略规范 编译成 基于k e y n o t e 的 低级策略， 交给策略互操作层 ( p o l i c y i n t e r o p e r a b i l i t y l a y e r ) ， 而 通用 策略层使 用的是与 底层机制和网络服务无关的高级策略。 需要注意的是， 现有的安全策略 西北 _ 业大学狈士论 l第_章 交 全策略的研究 架构几乎都忽略了大规模分布式系统中策略存储和散发的问题， 而论文第三章提 出的面向对象的策略部署模型很好的解决了这一问题。 全局策略 甲 本地策略 图2 .4 s t r o n g m a n安 全架构原 理图 2 . 2 . 2策略规范 策略规范定义了策略描述语言 的语义和语法。 诸多的文献从各个级别上制定 了策略规范， 不同级别的策略规范组成了策略的分层结构， 策略的分层结构不仅 体现了策略规范的不同视角以及不同