电子商务安全实用教程 第六章 防火墙和入侵检测系统.ppt

第六章防火墙和入侵检测系统 目录 6.1 访问控制概述 6.2 防火墙概述 6.3 防火墙的主要技术 6.4 防火墙的体系结构 6.5 入侵检测系统 访问控制概述 访问控制是在保障授权用户获取所需资源的同时，拒绝非授权用户访问的机制。 是在身份认证的基础上，根据身份的合法性对提出的资源访问请求加以控制 在用户身份已得到认证的前提下，限制主体对访问客体的访问权限，访问控制目的是“你能做什么，你有什么样的权限”。 身份认证——防止非法用户进入系统； 访问控制——防止合法用户对系统资源的非法使用 访问控制的三要素 主体（Subject）：发出访问操作、存取要求的主动方，通常为进程、程序或用户。 客体（Object）：被访问的对象，通常可以是被调用的程序、进程，要存取的数据、信息，要访问的文件、系统或各种网络设备、设施等资源。 授权：授权是资源的所有者或者控制者准许其他主体访问这种资源，访问控制就是一种加强授权的方法 访问控制的主要过程 ① 规定需要保护的资源，即系统中被访问的对象（如文件、程序、存储器等），也就是确定客体。 ② 规定可以访问该资源的主体（通常是一个人，但有时也可能是一个程序或进程）； ③ 规定可以对该资源执行的操作（如读、写、执行或不允许访问）； ④ 通过确定每个实体可对哪些资源执行哪些动作来确定该安全方案。 访问控制系统的基本组成 访问控制的具体实现机制 访问控制矩阵（Access Control Matrix） 银行系统的访问控制矩阵 访问权限和访问模式 访问控制就是一种加强授权的方法。 这些授权对于主体可表示为访问权限， 而对于客体则可表示为访问模式。 访问控制列表（ACL） 2.访问控制列表（ACL） 访问控制列表对应于访问控制矩阵中一列的内容，每个客体附加一个可以访问它的主体及相应权限的明细表。设S表示系统中主体的集合，RS表示权限的集合，访问控制表是有序对的集合ACL={(Si, RSi) | Si∈S, RSi∈RS}。例如，文件2对应的访问控制列表是： ACL(文件2) = {(张三, {R}), (李四, { R, W, Own }), (王五, {R})} 访问能力表（CL） 3. 访问能力表（CL） 访问能力表对应于访问控制矩阵中一行的内容，与ACL相反，是以主体为索引建立的列表，表中规定了该用户可以访问的文件名及访问权限。设O表示系统中客体的集合，RO表示权限的集合，则访问能力表CL是有序对的集合CL={(Oi, ROi) | Oi∈O, ROi∈RO}。例如，与表6.1中张三对应的访问能力表是： CL(张三) = { (文件1, {R, W, Own}), (文件2, { R}), (文件3, {R})} 访问控制策略 自主访问控制 强制访问控制 基于角色的访问控制 自主访问控制 自主访问控制又称任意访问控制(Discretionary Access Control，DAC)，是目前计算机系统中实现最多的访问控制机制，它是根据访问者的身份和授权来决定访问模式的。 其基本思想是：允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及可执行的访问类型。 Windows、UNIX操作系统都采用了自主访问控制 自主访问控制策略 基于个体的策略 基于个体的策略是基于身份的策略的一种类型。一个基于个体的策略是根据哪些用户可对某一个目标允许实施哪一种行为的列表来表示的。 基于组的策略 基于组的策略是基于身份的策略的特殊类型。一组用户被允许对一个目标具有同样的访问权限。当访问控制策略被执行时，认为其成员是平等的。 强制访问控制（Mandatory Access Control，MAC）是将主体和客体分级，然后根据主体和客体的级别标记来决定访问模式。 “强制”主要体现在系统强制主体服从访问控制策略上。如果系统认为某一个用户不适合访问某个文件，那么任何人（包括文件所有者）都无法使该用户具有访问该文件的权利。 所谓“强制”，就是安全属性由系统管理员人为设置，或由操作系统自动地按照严格的安全策略与规则进行设置，用户和他们的进程不能修改这些属性。 所谓“强制访问控制”，是指访问发生前，系统通过比较主体和客体的安全属性来决定主体能否以他所希望的模式访问一个客体。 强制访问控制的实质是对系统当中所有的客体和所有的主体分配敏感标签(Sensitivity Label)。用户的敏感标签指定了该用户的信任等级，也被称为安全许可；而文件的敏感标签则说明了要访问该文件的用户所必须具备的信任等级。 强制访问控制就是利用敏感标签来确定谁可以访问系统中的特定信息的。 贴标签和强制访问控制可以实现多级安全策略(Multi-