3 最小特权实现.pptVIP

3 最小特权的实现;(2)?? Linux最小特权的实现; (1)Linux系统中对权能的定义;(2)基于Linux系统中的权能构造最小特权机制;新进程继承的特权;1）文件的特权的实现;2）进程的特权 ;新进程时的特权计算;（ 3）权能表的修改;（4）进程的特权;;（5）文件的特权;4 安全审计的实现;审计记录应包括;审计缓冲区;(4)审计点的处理; b)系统调用的出口处：检查进程task结构的AUDITME标记是否置位，是则通过系统调用号索引“系统记录函数表”，得到真正的记录函数入口，调用它将数据写入缓冲区，并清除AUDITME标记；否则不做审计动作。 c)主体访问客体的权限检查处：对于系统调用引发的客体访问，要根据客体安全级判定是否审计。可以在客体访问的必经之地namei作检查，若进程task结构的AUDITME标记置位，则说明该事件已经属于主体(进程)审计范围，不必重复记录，返回即可； 否则，根据系统调用入口判定的事件号a_event，检查该事件是否属于对象审计标准，是则检查当前客体的安全级是否在待审计的系统安全级范围中，若是则置位AUDITME标记，否则返回。; (6)审计系统自身的安全保护;2)系统配置和审计数据的安全;7.5.5 信息系统安全评估标准简介;2操作系统安全评测方法;3操作系统安全测评准则;TCSEC的主要内容;4类7个安全等级;7.6 实例研究：安全操作系统SELinux;;;;7.7实例研究：Windows 2000/XP安全机制?;;;;;;;7.7.1安全性组件和安全登录;(3)LSA策略数据库。是一个包含了系统安全性规则设置的数据库，该数据库被保存在注册表中的HKEY-LOCAL-MACHINE/security下。它包含的信息有：哪些域被信任用于认证登录企图；哪些用户可以访问系统以及怎样访问(交互、网络和服务登录方式)；谁被赋予了哪些权限；执行的安全性审计的种类。 (4)安全账号管理服务器。是一组负责管理数据库的子例程，该数据库包含定义在本地机器上或用于域(如果系统是域控制器)的用户名和组。SAM在LSASS进程的描述表中运行。 ;(5)SAM数据库。是一个包含定义用户和组以及它们的密码和属性的数据库，它被保存在HKEY-LOCAL-MACHINE＼SAM下的注册表中。 (6)默认身份认证包。是一个被称为MSV1_0的动态链接库(DLL)，在进行Windows 身份验证的LSASS进程的描述表中运行。这个DLL负责检查给定的用户名和密码是否和SAM数据库中指定的相匹配，如果匹配，返回该用户的信息。 ;(7)登录进程。是一个运行WINLOGON.EXE的用户态进程，它负责搜寻用户名和密码，并发送给LSA用以验证它们，并在用户会话中创建初始化进程。 (8)网络登录服务。是一个响应网络登录请求的SERVICES.EXE进程内部的用户态服务。身份验证同本地登录一样，是通过把它们发送到LSASS进程来验证的。 ;2安全登录;7.7.2 访问控制;2访问控制方案;Windows 2000/XP的安全结构;5 ACL的分配;6访问控制算法;7访问掩码; ; 7.7.3 安全审计;7.7.4 加密文件系统; EFS系统结构;EFS工作流程