第章第讲问控制.ppt

第三章 安全业务及其实现方法 一、 访问控制概述 (1) 访问控制的概念 访问控制（Access Control）是指对网络中的某些资源访问进行的控制，只有被授予不同权限的用户，才有资格访问特定的资源、程序或数据。网络的访问控制技术是通过对访问的申请、批准和撤销的全过程进行有效的控制。 访问控制是系统保密性、完整性、可用性和合法使用性的基础，是网络安全防范和保护的主要策略。其主要任务是保证网络资源不被非法使用和非法访问，也是维护网络系统安全、保护网络资源的重要手段。 访问控制是主体依据某些控制策略或权限对客体本身或是其资源进行的不同授权访问。 访问控制包括三个要素，即主体、客体和控制策略。 （2）访问控制模型基本组成 7、网络端口和节点的安全控制 网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。在对用户的身份进行验证之后，才允许用户进入用户端。然后，用户端和服务器端再进行相互验证。 安全策略实施原则 最小特权原则 指主体执行操作时，按照主体所需权利的最小化原则分配给主体权力。其优点是最大限度地限制了主体实施授权行为，可避免来自突发事件、错误和示授权主体的危险。 最小泄漏原则 指主体执行任务时，按照主体所需要知道的信息最小化的原则分配主体权力 多级安全策略 指主体和客体间的数据流向和权限控制按照安全级别的绝