信息系统安全机制-访问控制演示教学.pptVIP

一个(yī ɡè)基于角色的访问控制的实例 在银行环境中，用户角色可以定义为出纳员、分行管理者、顾客、系统管理者和审计员 访问控制策略的一个例子如下(rúxià)： （1）允许一个出纳员修改顾客的帐号记录（包括存款和取款、转帐等），并允许查询所有帐号的注册项 （2）允许一个分行管理者修改顾客的帐号记录（包括存款和取款，但不包括规定的资金数目的范围）并允许查询所有帐号的注册项，也允许创建和终止帐号 第三十页，共42页。 （3）允许一个顾客只询问他自己的帐号的注册项 （4）允许系统的管理者询问系统的注册项和开关系统，但不允许读或修改用户的帐号信息 （5）允许一个审计员读系统中的任何数据，但不允许修改任何事情 系统需要添加出纳员、分行(fēn xínɡ)管理者、顾客、系统管理者和审计员角色所对应的用户，按照角色的权限对用于进行访问控制。 第三十一页，共42页。 常用(chánɡ yònɡ)操作系统中的访问控制 第三十二页，共42页。 国际安全(ānquán)标准 1984年，美国国防部发布了《可信计算机系统评估标准》（TCSEC），即桔皮书。 TCSEC采用等级评估的方法，将计算机安全分为A、B、C、D四个等级八个级别，D等安全级别最低，A安全级别最高。 现在大多数通用(tōngyòng)操作系统（WindowsNT、Linux等）为C2级别，即控制访问保护级。 第三十三页，共42页。