网络与信息安全技术_课件_11章系统访问控制与审计技术.ppt

访问控制三要素 客体：系统控制的资源，如，文件、硬件接口等。 主体：某个用户、用户执行的程序和服务，它产生对客体的访问或操作。主体和客体是相对的，主体也可能成为客体。 授权：规定主体对该资源执行的动作（如读、写、执行、从属权或拒绝访问等）。 从上图看出：在用户身份认证(不一定每用户次每次都需要论证)和授权之后，访问控制机制将根据预先设定的规则对用户访问某项资源进行控制。 只有规则允许时才能访问，违反预定的安全规则的访问行为将被拒绝。 资源可以是信息资源、处理资源、通信资源或者物理资源，访问方式可以是获取信息、修改信息或者完成某种功能(一般可以简称为读、写、执行) 访问控制的目的： 为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用。也为了能够安全可控地使用数据。 访问控制需要完成以下两个任务： 1)识别 和确认访问系统的用户； 2)决定该用户可以对某一系统资源进行何种类型的访问。 访问控制的类型： 自主访问控制（DAC）是一种常用的访问控制方式，它基于对主体或主体组的识别来限制对客体的访问，这种控制是自主的。自主是指主体能够自主的(可能是间接的)将访问权或访问权的某个子集授予其他主体。 DAC是一种比较宽松的访问控制，一个主体的访问权限具有传递性。传递可能会给系统带来安全隐患，某个主体通过继承其他主体的权限而得到了它本身不应具有的访问权限，就可能破坏系统的安全性。这是自主访问控制方式的缺点。 为了实现完整的自主访问系统，访问控制一般由一个矩阵来表示。 矩阵中的一行表示一个主体的所有权限； 一列则是关于一个客体的所有权限； 矩阵中的元素是该元素所在行对应的主体对该元素所在列对应的客体的访问权限。 访问控制表(ACL)是基于访问控制矩阵中列的自主访问控制机制。它在一个客体上附加一个主体对客体的访问权限。 对系统中一个需要保护的客体Oj附加的访问控制表的结构如下图)（S为主体、r为读、w为写、e为执行) 在有非常多的主体和客体的系统中，需要将它们分组或使用通配符，以简化访问控制表和减少对内在的占用。例如： 把一类用户作为一个组，分配一个组名(称为GN)、使用通配符”*”代替任何组名或者主体标识符。这时ACL中的主体标识为： 上图中的info为组名。对于客体Oj, 主体Liu具有读(r)、执行(e)和写(w)的权利； 组中所有主体都具有读(r)和执行(e)的权利。 无论哪个组中的zhang的主体都有读(r)的权利… 所有其他的组,只要主体名不为zhang且不属于info组，都不具备对Oj有任何访问的权限。 访问能力表：是最常用的基于访问控制矩阵中行的自主访问控制。 能力-是为主体提供的、对客体具有特定访问权限的不可伪造的标志，它决定主体是否可以访问客体以及以什么方式访问客体。 主体可以将能力转移、添加、修改。 访问能力表不能实现完备的自主访问控制，而访问控制表却可以实现。 自主访问控制的最大优点是自主，即资源的拥有者具有对资源访问策略的决策权，因此是一种限制比较弱的访问控制策略。这种方式给用户带来灵活性的同时，也带来了安全隐患。 为了达到更加强硬的控制手段，在有些系统中，就采取了强制访问控制(MAC)。 强制访问控制系统为所有的主体和客体指定安全级别，比如绝密级、机密级、秘密级和无密级。不同级别标记了不同重要程度和能力的实体。不同级别的主体对不同级别的客体的访问是在强制的安全策略下实现的。 在强制访问控制机制中，将安全级别进行排序，如按照从高到低排列，规定高级别可以单向访问低级别，也可以规定低级别可以单向访问高级别。这种访问可以是读，也可以是写或修改。 一、Windows的安全模型与基本概念 1)登录过程(LP)。接受本地用户或者远程用户的登录请求，处理用户信息，为用户做一些初始化工作。 2)本地安全授权机构(LSA)。根据安全账号管理器中的数据处理本地或者远程用户的登录信息，并控制审计和日志。这是整个安全子系统的核心。 3)安全账号管理器(SAM)。维护账号的安全性管理数据库(SAM数据库，又称目录数据库)。 4)安全引用监视器(SRM)。检查存取合法性，防止非法存取和修改。 一、Windows的安全模型与基本概念 1)安全标识(SID)：安全标识和账号唯一对应，在账号创建时创建，账号删除时删除，而且永不再用。安全标识与对应的用户和组的账号信息一起存储在SAM数据库里。 2)访问令牌(Access Token)。当用户登录时，本地安全授权机构为用户创建一个访问