第3章 访问控制与防火墙20100914.ppt

信息安全原理与技术  第 3 章 访问控制与防火墙 3.1 访问控制 3.1.1 访问控制概述 3.1.2 自主访问控制技术 3.1.3 强制访问控制技术 3.1.4 基于角色的访问控制技术 3.1.5 基于任务的访问控制技术 3.1.6 基于对象的访问控制技术 3.2 防火墙 3.2.1 防火墙技术概述 3.2.2 常用的防火墙技术 3.2.3 防火墙的实现技术、性能与功能指标 3.2.4 防火墙的局限性和发展 第 3 章 访问控制与防火墙（续） 3.3 物理隔离 3.3.1 物理隔离概述 3.3.2 物理隔离的原理、分类和发展趋势 3.3.3 物理隔离网闸的原理与特点 3.1 访问控制 访问控制实质上是对资源使用的限制，它决定主体是否被授权对客体执行某种操作。它依赖于鉴别使主体合法化，并将组成员关系和特权与主体联系起来。只有经授权的用户，才允许访问特定的网络资源。 3.1.1 访问控制概述 访问控制的定义 访问控制是按照事先确定的规则决定主体对客体的访问是否合法。 访问控制是针对越权使用资源的防御措施，是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非法访问。 访问控制的三要素 主体（Subject）：是指一个提出请求或要求的实体，是动作的发起者，但不一定是动作的执行者，简记为S。主体可以是用户或其他任何代理用户行为的实体（如进程、作业和程序）。这里规定的实体是指计算机资源或一个合法用户。 客体（Object）：是接受其他实体访问的被动实体，简记为O。在信息社会中，客体可以是信息、文件、记录等的集合体，也可以是网络上的硬件设施，无线通信中的终端，甚至一个客体可以包含另外一个客体。 访问控制的三要素 控制策略：是主体对客体的操作行为集和约束集，简记为KS。简单讲，控制策略是主体对客体的访问规则集，这个规则集直接定义了主体可以的作用行为和客体对主体的条件约束。访问策略体现了一种授权行为，也就是客体对主体的权限允许，这种允许不得超越规则集。 访问控制的基本目标 防止对任何资源（如计算资源、通信资源或信息资源）进行未授权的访问，从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做什么。 未授权的访问包括：未经授权的使用、泄露、修改、销毁信息以及颁发指令等；非法用户进入系统；合法用户对系统资源的非法使用。 访问控制的作用 访问控制对机密性、完整性起直接的作用。 对于可用性，访问控制通过对信息的有效控制来实现 。 访问控制的内容 用户身份的识别和认证。访问控制的第一道设防是用户身份的识别和认证，鉴别合法用户和非法用户，从而有效地阻止非法用户访问系统。 对访问的控制。当用户被批准访问系统后，就要对访问的操作进行控制。 审计跟踪。审计跟踪记录系统活动和用户活动。 访问控制的分类 访问控制通常有两种不同的类型：自主访问控制（DAC）和强制访问控制（MAC）。下面将对这两种类型的访问控制以及目前一些新型的访问控制技术进行介绍。 3.1.2 自主访问控制技术 自主访问控制（Discretionary Access Control，DAC）最早出现在20世纪70年代初期的分时系统中，它是多用户环境下最常用的一种访问控制手段。 在自主访问控制下，用户可以按自己的意愿对系统参数做适当的修改，可以决定哪个用户可以访问系统资源。因此，DAC有时又被称为基于主人的访问控制。 自主访问控制的“自主” 自主访问控制基于对主体或主体所属的主体组的识别来限制对客体的访问，这种控制是自主的。 自主是指对其他具有授予某种访问权力的主体能够自主地（可能是间接的）将访问权的某个子集授予其他主体。 自主访问控制的特点 自主访问控制的特点是灵活性高，被大量采用。 目前常用的Linux、Unix、Windows操作系统中的文件系统使用的都是自主访问控制，因为这比较适合操作系统资源的管理特性。 缺点是安全性最低。 访问控制矩阵 访问控制矩阵是实现DAC策略的基本数据结构，矩阵的每一行代表一个主体，每一列代表一个客体，行列交叉处的矩阵元素中存放着该主体（用户）访问该客体（文件）的权限。 1.基于行的DAC 在访问控制矩阵的基础上，DAC主要采用了按矩阵的行或列存储访问控制信息。 基于行的DAC在每个主体上都附加一个该主体可访问的客体的明细表，根据表中信息的不同又可分为： 权力表（Capabilities List，CL） 权力表决定用户是否可对客体进行访问，以