访问控制技术PPT幻灯片课件

第5章访问控制技术，1，本章学习目标，审计访问控制的三个要素，7种策略，内容，模型访问控制的安全策略和安全级别的安全审计类型，实施问题日志在WindowsNT操作系统中的访问5.1访问控制概述，访问控制是一种在拒绝未授权用户的同时保证授权用户可以获得所需的资源的安全机制。 网络的访问控制技术通过有效地控制访问的申请、批准和撤销的全过程，确保只有合法用户的合法访问被批准，合适的访问只能执行被批准的操作。 访问控制是计算机网络系统安全防范和保护的重要手段，是保证网络安全的最重要核心战略之一，也是计算机网络安全理论基础的重要组成部分。 3、5.1.1访问控制的定义和访问控制是代理基于特定的控制策略或权限对对象本身或其资源授予不同的访问。 访问控制包括三个元素：代理、对象和控制策略。 主体S(Subject )是提出要求和要求的实体，虽然是动作的发起者，但不一定是动作的执行者。 代理可以是用户或用户启动的进程、服务或设备。 对象O(Object )是接受其它实体的访问的无源实体。 对象的概念也很广泛，可以操作的信息、资源、对象都可以视为对象。 在信息社会中，对象可以包括诸如信息、文档、记录等的集合，无线通信中的终端，或者一个对象可以包括另一对象。4、控制策略和控制策略a (属性)是对象的主体访问规则集，即属性集。 访问策略实际上表示允许对象主体授权的授权行为。 访问控制的目的是限制对以访问为主体的访问对象的访问，并确定用户可以做什么以及代表用户身份的进程可以做些什么以合法的范围使用计算机网络系统。 为了实现上述目的，访问控制必须完成两项任务：标识和验证访问系统的用户。 该用户可以对某个系统资源进行什么类型的访问，5、7种访问控制策略，加入访问控制。 网络的权限控制。 目录级别的安全控制。 属性安全控制。 网络服务器的安全控制。 网络监视和锁定控制。 网络端口和节点的安全控制。 6、用户接入控制提供了对网络接入的第一层接入控制。 控制可以登录服务器并获取网络资源的用户，以及控制允许用户加入的时间和允许的工作站。 用户的参与访问控制分为三个步骤：标识和验证用户名、标识和验证用户密码以及检查用户帐户的默认限制。 在3个级别中，如果没有通过任何级别，该用户就不能进入那个网络。 用户密码是用户为了访问网络必须提交的“证书”，用户可以修改自己的密码，在用户名和密码验证生效后，进一步执行用户帐户的默认限制检查。 网络可以登录到用户加入的站点，限制用户加入的时间，限制用户加入的工作站数量。 用户访问收费网络如果“费用”消失，则网络应该可以限制用户的帐户，并且用户当时无法访问网络。 网络审计所有用户的访问权限。 如果多次输入的密码不正确，则认为是非法用户的入侵，应该发出警告消息。 7、权限控制网络权限控制是对网络非法操作提出的安全保护措施。 用户和用户组被授予了一定的权限。 网络控制用户和用户组可以访问的目录、子目录、文件和其他资源。 您可以指定用户可以对这些文件、目录和设备执行的操作。 受托人分配和继承权限掩码(irm )可通过两种方式实现。 受托人被指定为控制用户和用户组如何使用网络服务器上的目录、文件和设备。继承权限掩码对应于限制子目录从父目录继承的权限的筛选器。 根据访问权限，可以将用户分类为特殊用户(系统管理员)。一般用户、系统管理员可以根据实际需要为用户分配操作权限。审计用户负责网络安全控制和资源使用情况审计。 可以使用访问控制表描述用户对网络资源的访问权限。 8、目录级安全控制网络应允许用户访问目录、文件和设备。 用户在目录级别指定的权限对所有文件和子目录都有效，还可以指定对目录下的子目录和文件的权限。 目录和文件的访问权限通常有八种：系统管理员权限、读取权限、写入权限、创建权限、删除权限、修改权限、文件搜索权限和访问控制权限。 用户对文件或目标的有效权限取决于以下两个因素：分配用户受托人、分配用户所属组的受托人以及继承未被授权掩码的用户权限。 网络管理员必须为用户分配适当的访问权限，以控制用户对服务器的访问。 有效的八种访问权限组合可以有效地帮助用户完成工作，同时有效地控制用户对服务器资源的访问，从而提高网络和服务器的安全性。 如果使用、9、属性安全控制文件、目录或网络设备，则网络系统管理员必须为文件、目录等指定访问属性。 属性安全性根据权限安全性提供更多安全性。 网络上的资源必须预先指定一组安全属性。 用户对网络资源的访问权限对应于表示用户对网络资源的访问能力的访问控制表。 属性设置可以复盖已指定委托人的分配和有效权限。 属性通常控制将数据写入文件、复制文件、删除目录或文件、查看目录和文件、运行文件、隐藏文件、共享文件以及系统属性等权限。 10、服务器安全控制网络可以在服务器控制台上执行一系列操作。 用户可以使用控制台加载和卸载模块、安装和删除软件等操作。 网络服务器安全控制包括服务器控制台，允许未经授权的用户设置密码，以防止重要信息被修改、删除或数据被破坏。您可以设置服务器登录时间限制，以及未经授权的访问者检测和关闭时间间隔。 此外，11、网络的监视和锁定控制网络管理者实施网络的监视，服务器必须记录用户对网络资源的访问、记录非法网络访问、服务器必须以图形、文字、语音等形式发出警告，唤起网络管理者的注意如果非法者尝试进入网络，则网络服务器会自动记录尝试进入网络的次数，如果非法访问的次数达到设置值，则会自动锁定帐户。 守护神：在管理者和被管理者之间建立监视关系，在线追踪全画面和多画面实时监视录像机制相似的增量影像过程监视，以录像形式保存所有被监视侧的活动记录，使管理者能够进行分析检索。 输入设备锁定控制是管理者通过键盘、鼠标等计算机输入设备的锁定，被监视侧的主动远程文件管理管理者通过NUMEN系统操作任意计算机上的任意文件来发送消息/能够广播的管理者通过NUMEN向全部或者一部分计算机发送消息信息管理数据分析系统通过NUMEN的管理数据分析系统，能够将全部被监视侧的计算机活动数字化，因此能够掌握某个时间带内的被监视段的活动状态！ 12、网络端口和节点安全控制网络中的服务器端口通常使用自动回调设备、静默调制解调器进行保护，以加密形式标识节点。 自动回调设备用于防止未经授权的用户，静默调制解调器防止黑客自动拨号程序攻击计算机。网络经常控制服务器端和客户端端，用户必须有身份证明器(智能卡、磁卡、安全密码发生器等)。 用户必须经过验证才能访问客户端。 然后在客户端和服务器端进行相互认证。 13、5.1.2访问控制矩阵和访问控制系统的三个元素之间的行为关系可以表示为一个访问控制矩阵。 对于任何一个siS，ojO，对应的aijA存在，aij=P(si，oj )，p是访问权的函数。 aij表示si对oj能够执行什么样的操作。 访问控制矩阵是，其中si (I=0，1，m )是代理对全部对象的访问权的集合，OJ (j=0，1，n )是对象对全部代理的访问权的集合，是14，5.1.3访问控制的内容因此，访问控制包括认证、实施控制策略和审计三个方面。 验证：包括代理识别对象的验证，以及对象验证对象的验证。 控制策略的具体实现：如何设置规则集合以确保正常用户合法使用信息资源，必须防止非法用户并考虑机密资源的泄露。 对合法用户来说，不能超过使用控制策略授予的权利以外的功能的权限。 安全审计：自动记录网络中的“正常”操作、“异常”操作、使用时间、机密信息等。 监察与飞机的“黑匣子”相似，为事故原因的查询、定位、事故发生前的预测、警报、事故发生后的实时处理提供详细的依据和支持。15、5.2访问控制模型、自主访问控制模型基于强制访问控制模型角色的访问控制模型基于其他访问控制模型任务的访问控制模型对象的访问控制模型、16、5.2.1自主访问控制模型、自主访问控制是基于自主访问控制策略构建的模型，基于代理或代理所属的代理组的标识符来限制对对象的访问，即拥有资源的用户本身可以在多大程度上将其他一个或多个代理分配给哪些资源自主访问控制也称为任意访问控制，一个主体的访问权限具有传递性。 为了实现完全自主访问系统，DAC模型通常使用访问控制表来表示访问控制信息。 访问控制表(ACL )是基于访问控制矩阵列的自主访问控制。 将代理列表添加到对象，以表示每个代理对此对象的访问权限。 明细表中的每个项目都包含代理的身份以及代理对该对象的访问权限。 附加到系统中需要保护的对象oj的访问控制表的结构如图所示。 此外，对于对象oj，代理s0或仅具有读取(r )的权限的主体s1，或仅具有写入(w )的权限的代理s2或仅具有执行(e )的权限的主体sx具有读取(r )、写入(w )或执行(e )的权限。 但是，在大系统中，可能存在非常多的代理和对象，访问控制表非常长，占用大量的存储空间，导致访问效率的降低。 使用“组”(group )或通配符可以有效地缩短表的长度。 用户可以根据部门结构和工作性质分为几类。 同类用户使用的资源基本相同。 因此，可将某种用户作为组而分配组名“GN”，访问时可通过组名来判断。 通配符“*”可以替换为任何组名称或主体标识符。 此时，访问控制表中的代理id为代理id=idgn。 这里，ID是代理标识符，GN是代理所在组的组名。18、具有组和通配符的访问控制表的实例，上面的第二列指示属于TEACH组的所有代理都具有对对象oj的读写权限，但是只有TEACH组的主体Cai具有执行权限(第一列) 的最后一个表项目(第4列)可以读取任何组的Li中的对象oj (第3列)，说明了所有其他主体，属于任何组都没有访问oj的权限。 19、5.2.2强制访问控制模型，自主访问控制的最大特征是自主，即资源所有者对资源访问策略有决策权，因此限制了相对较弱的访问控制策略。 这种方式既给用户带来了灵活性，又带来了安全问题。 与DAC模型不同的是，强制访问控制模型(MandatoryAccessControlModel，MACModel )是多级访问控制策略，其主要特征是系统以主体为对象实施强制访问控制。 系统事先向所有主体和对象分配不同的安全级别(例如机密级别、机密级别、机密级别、无机密级别)。 当实施访问控制时，系统首先比较代理和对象的安全级别，然后确定代理是否能够访问对象。 因此，不同级别的代理访问不同级别的对象可以在强制性安全策略下实现。 20、强制访问控制模型规定了如果安全级别分级和从上到下分级，则上级可以单向访问下级，而下级可以单向访问上级。 这种访问可以读写或修改。 主体对对象的访问主要有以下4种方式：下读(rd，readdown )。 当对象的安全级别高于对象信息资源的安全级别时，可以引用的读取操作。 上读(ru，readup )。 对象安全级别低于对象信息资源的安全级别时允许的读取操作。 草稿(wd，writedown )。 当代理的安全级别高于对象信息资源的安全级别时允许执行的操作或写操作。 光源(wu、writeup )。 当代理的安全级别低于对象信息资源的安全级别时允许执行的操作或写操作。 21、MAC通过安全等级的排序实现了信息的单向流通，因此被军队采用。 MAC模型中最重要的三个模型是晶格模型、BellLaPadula模型(BLP模型)和bibibacmodel。 在这些模型中，因为分别考虑了信息的完整性和机密性，所以反过来规定了读写的方向。 保证信息完整性的策略。 为了保证信息的完整性，下级代理能够读取(不保密)上级对象的信息，但下级代理不能写入(保证信息完整)，因此采用了上级/下级策略。 保障信息机密性的政策。 与保证完整性的策略相反，为了保证信息的机密性，较低级别的代理不能读取较高级别的信息(机密性)，但是较低级别的代理能够写入较高级别的对象(可能会破坏完整性)，因此采用下一读/写策略。 基于、22、5.2.3角色的访问控制模型在上述两种访问控制模型中，用户的权限可以改变，但必须得到系统管理员的许可。 然而，具体实现往往不能满足实际需要。 主要问题是，同一个用户必须以不同的权限访问系统，但是变更权限必须在系统管理员的授权下进行修改。 用户数量大幅增加会使系统管理变得复杂，工作量急剧增加，容易出错。 实现系统的分层权管理并不容易。 具体地，当同一用户在不同位置处于不同的权限级别时，很难实现系统管理。 如果没有用多个用户名注册同一用户。 但是，如果企业的组织结构和系统安全需求在变化过程中发生变化，则需要进行很多麻烦的授权变更，系统管理员的工作变得非常繁重，主要是容易发生错误，从而导致意外的安全漏洞。在、23、角色概念和基于角色的访问控制模型中，角色(role )被定义为与特定活动相关联的一组操作和责任。 系统中的代理人负责角色，履行角色规定的责任，拥有角色所具有的权限。 代理可以同时承担多个角色，其权限是多个角色权限的总和。 基于角色的访问控制通过授予不同角色组合的权限，尽可能实现代理的最小权限。 最小权限是可完成所有必要访问任务的主体的