信息安全概论 访问控制.pptVIP

信息安全概论 访问控制  安全服务 口安全服务( Security Services): 计算机通信网络中,主要的安全保护措施被称作 安全服务。 根据Iso7498-2,安全服务包括 1鉴别( Authentication) 2访问控制( Access control) 3数据机密性( Data Confidentiality) 4数据完整性( Data Integrity) 5.抗抵赖(N。n- repudiation)  什么是访问控制 Access control 限制已授权的用户、程序、进程或计算 机网络中其他系统访问本系统资源的过程。 口令认证不能取代访问控制。 访问控制是指主体依据某些控制策略或 权限对客体或是其资源进行不同的授权访问。 控制什么能干什么不能干 包括三个要素:主体、客体和控制策略  主体( subject):访问的发起者 ■发起者是试图访问某个目标的用户或者是用户行 为的代理。必须控制它对客体的访问。 ■主体通常为进程,程序或用户。  客体( object): 口接收其他实体访问的被动实体。 口可供访问的各种软硬件资源  控制策略 口主体对客体的访问规则集,这个规则集直接定义 了主体可以的作用行为和客体对主体的约束条件 是主体对客体的操作行为集和约束条件集。 体现为一种授权行为。 口记录谁可以访问谁  访问控制策略 任何访问控制策略最终可被模型化为访问矩阵形式。 每一行:用户 每一列:目标 矩阵元素:相应的用户对目标的访问许可。 A X Y A Ez pBA♀E E SB BpU疽 心C1秀D )C2 SEA  访问控制关系图 主体S 信息系统入口 控制策略KS 监控器 客体O 客体信息 敏感区域  多级信息安全系统 口将敏感信息与通常资源分开隔离的系统。 口通常存在两种 有层次安全级别。目标按敏感性划分为不同密级:绝 密 top secret、秘密 secret、机密 confidential 限制 restricted、无密级 unclassified 无层次安全级别。  访问控制过程 口首先对合法用户进行验证。(认证) 口然后对选用控制策略。(控制策略的具体实现) 口最后对非法用户或越权操作进行审计。(审计)