安全评估培训课件.pptxVIP

安全评估2005 - 2007安全评估准则DOD/TCSEC 橘皮书DOD/TNI 红皮书ITSEC CSSCNIST/FIPSCCBS7799密码设备的评估安全方案的规划需求分析具体方案基础设施产品规划ToC关于安全评估需要什么样的安全使用什么技术买什么产品对产品的评估如何部署和实施对运行系统的现状的评估标准：关于建立、评估、审计沿革关系TCSEC/85/AM ┣ ITSEC/90/EU ┓ ┣ CTCPEC/90/CA ┃ ┗ FC/91/AM ┫ ┗ CC/95 (99IS)BS7799/95/EN ┗ ISO17799/2000/ISODOD/TCSECC级 自主保护级 C级具有一定的保护能力，采用自主访问控制和审计跟踪 一般只适用于具有一定等级的多用户环境具有对主体责任及其动作审计的能力C1级 自主安全保护级隔离用户与数据，使用户具备自主安全保护的能力 为用户提供可行的手段，保护用户和用户组信息，避免其他用户对数据的非法读写与破坏适用于处理同一敏感级别数据的多用户环境 C2级 控制访问保护级比C1级具有更细粒度的自主访问控制通过注册过程控制、审计安全相关事件以及资源隔离，使单个用户为其行为负责 B级 强制保护级B级维护完整的安全标记，并在此基础上执行一系列强制访问控制规则主要数据结构必须携带敏感标记提供安全策略模型以及规约应提供证据证明访问监控器得到了正确的实施 B