运行安全模型.docVIP

1.安全模型将安全策略整合到系统中。模型和策略是对称的，将策略的要求影射成一系列规则用于计算机遵守。2.安全模型将抽象的安全策略影射，通过明确数据结构、技术。安全模型通常是以运算或者分析的方式表示，映像成为系统说明，通过程序员的编程代码开发。 一.state machine model1.在state machine model下，为核实系统安全性，使用state，意味着必须获得所有现行的许可和现行的主体对对象的访问实例。维护系统的状态处理每个主体对对象的访问。如果主体按照安全策略要求的形式访问对象，那么系统是安全的。state machines提供了信息安全模型的基础。系统的状态一个时刻上系统的snapshot。许多活动可以更改状态，被称为state transitions.2.状态机用于描述系统针对不同的输入的反应。它提供了数学的构建，表示成set集合和顺序。当对象接受输入，这更改了一个状态变量。变量是OS指令集合的一部分。3.使用状态机模型的开发者必须识别系统的所有initial states(默认变量值，初始状态),并列示这些数值如何变化使得变量的最后状态仍然确保系统的安全。4.采用状态机模型的系统将随时处于安全状态之下。安全启动、安全执行命令和交易、允许在安全状态下主体访问资源、在安全状态下关闭和fail。在安全状态下fail非常重要，如果发生了任何不安全的事情，系统必须保护自己。当OS显示一个error messages要求reboot，它执行的是一个安全的措施。OS经历了某些不合法的操作并且不能自行解决，所以确保自己不处于这个不安全的状态，做出反应。5.在开发状态机模型的产品时应注意以下几点:?? 首先,开发者要定义状态变量是什么,在哪里?在计算机环境中,所有的数据变量需要独立的看作是状态变量,不安全的变更会影响系统或者其他的进程活动.?? 其次,开发者必须为每个状态变量定义安全的状态.?? 然后,定义和识别所有允许的状态转换功能.这些功能将表述对状态变量允许的变动.?? 当定义完状态转换功能后,必须经过测试来核实整个状态机是安全的,而转换功能将保持系统的完整性.?? 二.the Bell-LaPadula model1.Bell-LaPadula model开发出来关注的是time-sharing主机系统的安全性,和分级信息的leakage泄露，它是第一个用于多极别安全策略的数学模型，用于定义安全状态机的概念和访问modes以及规则。这个模型的主要目的是为了保护机密信息非授权访问。2.采用Bell-LaPadula model的系统被称为multilevel security system。因为不同clearances的用户有不同的级别来使用系统和处理数据。信息分级所处的水平决定了应该采取的处理流程。Bell-LaPadula model市一个状态机模型，确保访问控制的机密性confidentiality。使用一个矩阵和安全级别来判断主体是否能访问不同的对象。主体的clearance同对象的classification比较，然后采取不同的访问控制规则。3.这个模型使用主体、对象、访问操作（read,write,read/write）和安全级别。主体和对象放在不同安全级别，之间的访问活动受到规则的限制。如果这个模型适当配置，将提供一个安全的和有效的操作系统。Bell-LaPadula model也是一个information-flow 安全模型，意味着信息以安全方式flow。4.Bell-LaPadula model是一个 subject-to-object模型。Bell-LaPadula model关注的是主体适当认证：有必要的安全clearance、need to know、正式的访问申请5.Bell-LaPadula model使用的三个主要规则：? 1)simple security rule 表示的一个给定安全级别的主体必能读取一个高安全级别的数据。 no read up? 2)the *-property(star property)rule 表示一个给定安全级别的主体不能写信息到低安全级别的对象。no write down? 3)strong star property rule 表示主体只能在相同的安全级别上进行read和write。主体和客体的clearance 和classification必须相同。6.这三个规则规定了系统能处的状态。状态是一个时刻上软件变量的数值。? 系统的状态随着不同的操作而变动。Bell-LaPadula model定义了安全的状态，意味着安全的计算环境和允许的操作，这些操作是security-preserving操作。7.B