信息系统安全概论

第一章定义1.2由一套应用软件及支撑其运行的所有硬件和软件构成的整体称为一个信息系统。定义1.3如果信息系统A的某些功能需要由主机系统H实施，则称信息系统A依赖主机系统H,或称主机系统H承载信息系统A。引理1.1承载任何一个信息系统所需要的主机系统数量是有限的。定义1.4如果信息系统A的某些功能需要由网络设施D实施,则称信息系统A依赖网络设施D,或称网络设施D承载信息系统A。定理1.1任何一个信息系统都只需要由有限数量的主机系统和有限数量的网络设施承载。信息安全经典要素CIA:※机密性是指防止私密的或机密的信息泄露给非授权的实体的属性。完整性分为数据完整性和系统完整性,数据完整性指确保数据（包括软件代码）只能按照授权的指定方式进行修改的属性,系统完整性指系统没有受到未经授权的操控进而完好无损的执行预定功能的属性。可用性是指确保系统及时工作并向授权用户提供所需服务的属性。信息系统基本概念：安全策略是指规定一个组织为达到安全目标如何管理、保护和发布信息资源的法律、规章和条例的集合。安全策略是指为达到一组安全目标而设计的规则的集合。安全策略是指关于允许什么和禁止什么的规定。安全模型是指拟由系统实施的安全策略的形式化表示。安全模型是指用更加形式化的或数学化的术语对安全策略的重新表述。安全机制是指实现安全功能的逻辑或算法。安全机制是指在硬件和软件中实现特定安全实施功能或安全相关功能的逻辑或算法。安全机制是指实施安全策略的方法、工具或规程。权能机制和访问控制表机制 人__•■权能机制•■权能机制访问控制农机■一八一八八』%餐击舉限第普.•描述主徉£拥有酣蒔问.客承巧西拭隈.安全机制设计八大原则①经济性原则②默认拒绝原则③完全仲裁原则④开放设计原则⑤特权分离原则⑥最小特权原则⑦最少公共机制原则⑧心理可接受原则第二章LEDxoJUMrJJ>zin宅巨才门LEDxoJUMrJJ>zin宅巨才门※※※贝-拉模型的构成贝-拉模型的核心内容由简单安全特性（SS-特性）、星号安全特性（*-特性）、自主安全特性（ds-特性）和一个基本安全定理构成。定义”伽-特性）如果（Sub.Obkr）是当前访问，那么-定有：f（Sub）鼻f（Obf）片？山/我示安全级别.2农不丸甩关系.定义rr■特性)在f「熄:状态，如黑⑻血0场,』理)是当前访问，那么F定有:⑴若如是r,则;扎伽的MftObj}； (D^Acc址小则：f{Obj)3倏⑻啲\ ⑶若』cc是}£+!H|tf(Otf/)-J^(Snb)'- 其中」表示安全级别•£袞示巧用安全级别，孑龙I示艾配.黃系：■定义2.8((ls-特性)如果(Sjib-hObj-hAcc}当前i方汇，耶么tAec 间用制矩阵M的兀素⑷屮.(基本安全定理)如果系统状态的每一次变化都满足SS-特性、*-特性和ds-特性的要求，那么，在系统的整个状态变化过程中，系统的安全性一定不会被破坏。毕巴模型一个信息传递路径是一个客体序列01,O2,…，On+1和一个对应的主体序列S1,S2,...,Sn，其中，对于所有的/(1W/Wn3),有Sir0i和Siw0i+1。写.读'写读写S信息从客休。中传递到客中写.读'写读写S信息从客休。中传递到客中“写”操作的实施由下面的规则①控制，“执行”操作的实施由下面的规则②控制：①当且仅当i(O)Wi(S)时，主体S可以写客体0。②当且仅当i(S2)Wi(S1)时，主体S1可以执行主体S2。！！！低水标模型读规则设S是任意主体，0是任意客体，imin=min(i(S),i(O))，那么，不管完整性级别如何,S都可以读0,但是，“读”操作实施后，主体S的完整性级别被调整为imin。低水标模型的信息传递在毕巴低水标模型的控制下，如果系统中存在一个从客体01到客体0n+1的信息传递路径，那么，对于任意的n>1,必有i(On+1)Wi(01)。环模型读规则不管完整性级别如何，任何主体都可以读任何客体。严格完整性读规则当且仅当i(S)Wi(O)时，主体S可以读客体0。克拉克-威尔逊模型概念：事务、良构事务、CDI（约束数据项）、UDI（非约束数据项）、有效状态（所有的CDI都满足完整性策略要求）、IVP（完整性验证过程：验证系统是否处于有效状态的事务）、TP（转换过程：是系统从一个有效状态转换到另一个有效状态的事务）、E规则（实施规则：系统实施的规则）、C规则（证明规则：证明系统实施的规则的有效性的规则）四条E规则、5条C规则模型基本框架：规则C1、・规则C2、・规则E1TP可以操作所有的CDI:（T現UCD0叫…））对职责分离原则的支持：规则E2、・规则C3只有表中的用户才能执行相关的TP对相应的CDI进行操作，用户表示UserID,关系表格式如下：（UserID,TPh（CDIa?CDIb,CDIc....））对身份认证的要求E3对审计的要求C4对UDI的处理C5安全属性维护E4口心（皈TP沿怔UDITP註杆有他狀态J〔E1：口心（皈TP沿怔UDITP註杆有他狀态J〔E1：.：!总找权的吓才血帕茂心口｝；HP抽匹CCH喘占〕｛学换栏用丿哝戸IT：）*：〔： f Gb恰3的⑷话甘禺\E4l只竹安金捽思掘十敢修凶掛杞赛t类型实施模型TE（域-进程（主体）、类型-文件）-强制访问控制模型还存在一个域间作用表DIT（主体对主体的访问权限二维表）权限:发信号、创建进程、杀死进程TE模型的不足・访问控制权限的配置比较复杂・二维表结构无法反映系统的内在关系•控制策略的定义需要从零开始域类实施模型DTEDTEL语言类型描述・类型赋值・域描述・初始域设定访问权限・域对类型：r、w、x（执行）、d（搜索）•域对域（执行入口点程序的权限）：exec、auto策略定义语言DTEL的域描述功能:定义DTE模型中的主体域、定义域的入口点、设定域对类型的访问权限、域对其它域的访问权限。井detineDBFCZbin/sH.),(/bm/csh),(rxci->nnLX_t)■donLaijiengineered=DEF,(rwd->spe-cs_t);doniainproject_d=DEF,((rd->37at&s_t);donai)-]accounting^=DBF,(t已一出g■它讨暮汙_t};策略定义语言初始域设定语句功能：设定操作系统中第一个进程的工作域。domainsys-em_d=(/et.c/iriit)；[ruKcL->un.ix_t)r^auto->」ogin_cO:domain丄ogin_d=(/bin/Login),(rwxd->i_inix_tJrtei；ec->engineerdfproject^d,accouriting_d};irLitial_cloirtain=莫科尔树模型适用范围：设计一个算法，使得对于任意一个数据项Di(lW/Wn)，该算法能够快速验证该数据项的完整性，并且，占用较少的内存空间。第四章重要的身份认证技术：基于口令的身份认证（口令猜测攻击--字典攻击）质询-响应式身份认证（随机消息—计算—返回结果）基于生物特征的身份认证基于位置的身份认证身份标识与认证单个用户：用户名-内部身份标识（整数值-操作系统生成的）用户组：组名-组标识号UNIX系统用/etc/passwd表示账户信息数据库wenchang：x：500:500:"W^nchangS-hi:/home/wsnchang:/bin^bash※※※口令处理方法：口令信息管理：口令字段中保存口令的明文（直接明文）、对口令加密，保存口令的密文（直接密文）、用算法对口令进行运算，在口令字段中保存运算结果撒盐的身份认证：口令字段生成蝎⑴給口令q肌.撇盐：如=34册%”⑵用撒盐结黑做密钥：K=D^⑶用一个64比特忖的全0的二进制杭串构造一个数据块D阳⑷设嚎环次数初值:j-D：⑸对数据块加热D产A呦応巧）；⑹Dp="i=i^L⑺如果i<25r则回到第⑸步；⑻把数据块变擬匾字符串小⑼返冋肌撒盐的身份认证：口令字段维护飓⑴接收用户提供的口令口朋⑵生成一个盐值：n^=AMBdM（）;⑶生成H令信息：用ma卿（如g⑷把口令佶息y和%*存入数据应的口令字段中-撒盐的身份认证：身份认证⑴接收用户提供的帐户名％毗和口令％⑵在一帐户伫息数据库中检責瓦嘶的郃丈性・如果合法』|］找岀具对畅的.s和S⑶电成临时口令信息：畀二心応D.皿SJ；⑷如果歸与甞相等,则认证咸功「认鉅貴败°口令信息与账户信息的分离：口令信息数据库文件/etc/shadow/网络环境下的身份认证：把用户身份认证信息组织起来，集中放到服务器上，借助服务器实现身份认证信息的共享，解决用户在网络中不同主机上的身份认证问题。

网络身份认证方法的三步：*第…部分：身份认证信息管理-笫二部分：客户机软件的功能-笫二部分：服务器软件的功能身份认证信息管理：亠OMl＜户怕息I］令時总用户姐荷息wenchang;x：5COs300;Wen-changShii/hCHDe/w-eneJiang汀fcdri/bs日!hme<nMang;豹$kTlyrJaO$Ct5FP&].NEUz;lxWApLcdnQE1:LAO91巾沁的姑泊：訂siscte丄丄uw:監13口£:wcej匚hHegpbln丄•1占口孚『zhiyong^zhaahui方案4.7—客户机软件的功能•用户提供的’帐户信息I口令信息宁才份认证诸求♦把请求发送给眼务辟•由服等器进行身份认讣方案4.7—服务器软件的功能UNEOuho匕■瞿lAgnNHNuljl■服务器根掘认证请求和认证伯息数掘療进行认汪。公钥加密与数字签名•公钥加密E•服务器根据认证诸求利认证信息数据库进行认证。•把认证结果返回给客户机a3答户机打也iirs9方案4」0—网上认证与加密通信・在服务器上存触服务器和用户的密钥对＜■・用户晉录时把用口令加密的用户私钥传给用户口*若以输入的口令解密成功，则得到用户私钥。-执行互认证*若以输入的口令解密成功，则得到用户私钥。-执行互认证＜■统一的身份认证框架：PAM实现服务程序与认证机制的分离，通过一个插拔式的接口，让服务器程序和认证机制分别插到接口的两端，从而实现两者的随意组合。配臂文件配臂文件PAM认证系统的构成：PAM应用编程接口（API）、PAM模块（动态装载共享库）、PAM配置文件PAM模块（动态装载共享库）提供以下服务功能支持（4种）：一身份认证（auth）一账户管理（account）—口令管理（password）一会话管理（session）命令控制标记：Requisite:模块执行失败时报告失败并结束认证。Required:模块执行失败时报告失败但继续认证。Sufficient:模块执行成功时报告成功并结束认证。Optional:模块的执行不影响报告结果和认证过程ionion第五章基于权限位的访问控制机制：简单访问控制权限及其表示方法題—个肚怔例子,了符半位串AL0或用户简单访问控制权限模式描述・f（文件，用户）权限-用户：可以是一个用户，也可以是一类用户。-权限：读+写+执行。・权限e位串e字符串e数字-位串：长度为3的二进制位。-字符串：长度为3。-数字：1个八进制数。对用户划分三类：属主、属组、其余类。用户域：分别在用户划分后加上域基本访问控制权限模式描述•f（文件，用户群）权限体-用户群：属主用户+属组用户+其余用户。-权限体：属主权限+属组权限+其余权限。

-权限：读+写+执行。・权限体e新位串《新字符串e新数字-新位串：长度为9位的二进制位。-新字符串：长度为9个字符。-新数字：3个八进制数。—例：111101001——rwxr-x--x——751！！！！基本访问控制判定算法任务：判断用户U可否对文件F执行a操作（a是r、w或x之一）？设：F的属主和属组分别为Uo和Go。当U等于Uo时，如果F的左3权限位串中与a对应的位为1，则允许U对F执行a操作，否则，不允许U对F执行a操作，判定结束。当Go是U的属组时，如果F的中3权限位串中与a对应的位为1，贝U允许U对F执行a操作，否则，不允许U对F进行a操作，判定结束。如果F的右3权限位串中与a对应的位为1，则允许U对F执行a操作，否则，不允许U对F进行!!!进程在系统中代表用户在工作，用户对系统的操作是由进程代实施的。进程到文件用户域的映射・已知：f（文件，用户群）权限体・亦即：f（文件，用户域）权限设想：g（进程）用户域・应有：f（文件,g（进程））权限所以：-只要把进程映射到文件对应的用户域中，就可以根据用户域对文件的访问权限,确定进程对文件的访问权限进程与文件和用户的关系丈件.皿戟・返程户是用户耳的化身・进凰卩的行为逻轲由丸件冋備定进程与文件和用户的关系丈件.皿戟・返程户是用户耳的化身・进凰卩的行为逻轲由丸件冋備定・竝稈卩对近件M如■的访问权限即何确足?*相关性：用户气对丈件戸应的访问軸限？用户气对丈件用啟的访问机限？!!!!方案5.7—判定进程的访问权问题：进程P是否拥有对文件F的访问权限y?

假设：给进程P分配用户标识和组标识Iup和Igp,文件F的属主、属组和权限位串分别为Iuf、Igf和S1S2S3。当Iup等于Iuf时，检查S1中是否有y权限，有则允许访问，否则，不允许访问,结束判定；当Igp等于Igf时，检查S2中是否有y权限，有则允许访问，否则，不允许访问，结束判定；检查S3中是否有y权限，有则允许访问，否则，不允许访问。进程的用户属性・用户属性：用户标识(UID)+组标识(GID)真实用户：进程为谁工作？有效用户：进程拥有的权限与谁相同？真实用户属性：RUID+RGID有效用户属性：EUID+EGID・访问判定时，进程到用户域的映射：-g(进程)->EUID+EGID进程映像进程变身UEHCJdoAJJ如Z一芝UEHCJdoAJJ如Z一芝虫杵 文件'通过执行新的程序映操.可为进程図换新的神经累统.*Irw1x举蜒件冠綺加老辭ija讯lt宀誌让创垃/u的_!!!!!!!方案5.10—确定进程的用户属性•用户U启动进程P时：一进程P的RUID和EUIDC用户U的ID-进程P的RGID和EGIDC用户U的属组ID・进程P变身且映像文件F允许时：-进程P的EUIDC文件F的属主ID(1)-进程P的EGIDC文件F的属组ID(2)一(1)的条件：文件F有SETUID标记-(2)的条件：文件F有SETGID标记！！！！！！！文件的SETUID/SETGID标记的表示・位串表示法：—utgtstrowoxorgwgxgrawaxa一ut=1<—>SETUID；gt=1<—>SETGID・字符串表示法：一RoWoXoRgWgXgRaWaXa—ut=1—>Xo=“s”；gt=1<—>Xg=“s•例子：一lOOlOlOOlOOlr-s—x—x一OlOlOlOOlOOlr-x--s—x基于ACL访问控制机制：（用户粒度细化）访问控制表風主用風主用I用户2用户州屈组mi组2其氽基于特权分离的访问控制机制特权集的定义•有效的特权集E：-访问判定的依据•许可的特权集P：-允许分配给进程的特权集合•可继承的特权集I：-可被新进程继承的特权集合进程特权集属性的确定・系统第一个进程：-由操作系统在初始化时设定・新生子进程：-与父进程相同・更新程序映像后的进程：-结合程序映像文件确定审计：系统运行足迹的分析。审计记录—日志。常用gyslog审计服务系统的结构运.1’'世详・由四个主耍部好构屈：5用衍钗日志处理呼护进牌-配直文杵、日也丈件刑卵皿唱函数暉"第六章SELinux实现的TE模型：访问控制模型的核心-DTE模型-TE模型 语言：SEPL->DTELSETE模型的访问授权规则*川巾用规则allowsokirce_typetarg-et_typ^:objeat_classpenu；_li3trSETE模型切换工作域的条件同时具备以下：个栄件；进程的新西丁作学必须拥有对可执行文件的类型的currypainti/i问权限；进理的旧的工作域必须拥有对入【1点程用的类型的旳胡?⑷日访问权曲进挥的1口的工作域必领拥有剁进稈的新的工作域的liattsiliujil/j问权限-allowuserdpasswdl_exect:file{g