導航：安全管理網>> 培訓課件>> 其他>>正文

信息安全安全架構與設計

		點擊數：	更新時間： 2020年11月18日
下載地址：點擊這里	文件大小： 1.22 MB 共81頁	文檔格式： PPT	下載點數： 13 點（VIP免費）

全屏查看

部分內容預覽 [文件共81頁]

本文件共81頁，只能預覽部分內容，查看全部內容需要下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：1.22 MB 共81頁文件格式：PPT 下載點數：13 點（VIP會員免費）

下一篇：安全試驗和安全工藝要求

上一篇：人工搬運風險與控制培訓課件

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

安全架構和設計Security Architecture and Design 
備注：1
關鍵知識領域
A. 理解安全模型的基本概念（如保密性、完整性與多層次模型）
B. 理解信息系統安全評估模型的組成
B.1 產品評估模型（如通用準則）
B.2 工業與國際安全實施準則（如PIC-DSS、ISO）
C. 理解信息系統的安全功能（如內存保護、虛擬技術、可信平臺模塊）
D. 理解安全架構的漏洞
D.1 系統（如隱蔽通道、狀態攻擊、電子發射）
D.2 技術與流程的整合（如單點故障、面向服務的架構）
E. 理解軟件與系統的漏洞與威脅
E.1 基于Web（如XML、SAML、OWASP）
E.2 基于客戶端（如小程序）
E.3 基于服務器（如數據流量控制）
E.4 數據庫安全（如推斷、聚合、數據挖掘、數據倉庫）
E.5 分布式系統（如云計算、網格計算、對等網絡）
F. 理解對抗原理（如深度防御）
備注：2
目錄
計算機安全
系統架構
計算機系統結構
操作系統架構
系統安全體系結構
安全模型
操作安全模式
系統評價方法
橘皮書和彩虹系列
信息技術安全評估標準
通用標準
認證與認可
開放與封閉系統
一些威脅的評估
備注：3
計算機安全（Computer Security ）
可用性：防止丟失或訪問，數據和資源流失
Availability: Prevention of loss of, or loss of access to, data and resources
完整性：防止數據和資源的未經授權的修改
Integrity: Prevention of unauthorized modification of data and resources
保密性：防止未授權披露的數據和資源
Confidentiality: Prevention of unauthorized disclosure of data and resources
備注：4
系統架構（System Architecture ）
架構（Architecture）：體現在其組成部分，它們彼此之間以及與環境的關系，和指導原則其設計和演進的系統的基本組織。
架構描述（Architectural description ，AD）：以正式的方式表述一個架構的文檔集合。
利益相關者（Stakeholder）：對于系統有利益關系或關注系統的個人、團隊、組織（或集體）
視圖（View）：從相關的一組關注點透視出的整個系統的表述
視角（Viewpoint）：關于建設和使用視圖的慣例性說明，也是通過明確視圖建立目的、讀者，確立視圖與分析技巧后開發單個視圖的模板。
備注：5
正式的架構術語和關系
備注：6
計算機系統結構（Computer Architecture ）
計算機體系結構包括所有用于它的計算機系統的所必需的部件的功能，包括操作系統，存儲芯片，邏輯電路，存儲設備，輸入和輸出設備，安全組件，總線和網絡接口。
中央處理器（The Central Processing Unit）
多重處理（Multiprocessing）
操作系統組件（Operating System Components）
備注：7
中央處理器（The Central Processing Unit，CPU）
計算機的大腦。對CPU最常見的描述可能是：它從存儲器中提取指令并加以執行。
控制單元
算術邏輯單元
寄存器
數據高速緩存器
解碼單元
預取單元
指令高速緩存器
總線單元
（主存儲器）
備注：8
中央處理器（The Central Processing Unit，CPU）
中央處理單元是計算機硬件的核心，主要任務是執行各種命令，完成各種運算和控制功能，是計算機的心臟，決定著系統的類型、性能和速度，CPU中包含：
(1)算術邏輯運算單元ALU (Arithmetic Logic Unit) ：主要負責數據的計算或處理。
(2)控制單元(Control unit)：控制數據流向，例如數據或指令進出CPU；并控制ALU的動作。
(3)寄存器/緩存器(Registers)：負責儲存數據，以利CPU快速地存取。
累加器(Accumulator)
程序記數器(Program Counter)
內存地址寄存器(Memory Address Register) 
內存數據寄存器(Memory Buffer Register)
指令寄存器(Instruction Register) 
(4)連結路徑(interconnection path)：負責連接CPU內部的組件，以利數據或控制訊號在不同組件間流傳。
備注：9
CPU運行狀態
運行狀態：Run/operating state
執行指令
解題狀態：Application/Problem state
執行應用程序
僅執行非特權(nonprivileged instructions)指令
管理程序狀態：Supervisor state 
特權模式下執行
程序可以訪問整個系統，同時執行特權( Privileged instructions )和非特權指令
等待狀態：Wait state 
等待特定事件完成
備注：10
多重處理（Multiprocessing）
對稱模式多重處理（Symmetric mode multiprocessing ）
計算機有兩個或者多個CPU且每個CPU都使用加載均衡方式
非對稱模式多重處理（Asymmetric mode multiprocessing ）
計算機有兩個或者多個CPU，且有一個CPU僅專門處理一個特定程序，而其他CPU執行通用的處理程序
備注：11
關鍵概念
中央處理單元CPU，算術邏輯單元ALU，寄存器，控制單元
通用寄存器（General registers ）：CPU在執行指令過程中使用的臨時存儲位置。
特殊寄存器（Special registers ）：保存關鍵處理參數的臨時存儲位置。保存諸如程序計數器，堆棧指針，程序狀態字（PSW）。
程序計數器（Program counter ）：為CPU所要執行的指令保存存儲器地址
棧（Stack ）：進程用來彼此傳輸指令和數據的存儲器分段
程序狀態字（Program status word ）：向CPU表明需要用什么狀態（內核模式還是用戶模式）運行的條件變量
備注：12
關鍵概念
用戶模式（問題狀態）（User mode (problem state) ）：CPU在執行不太可信的進程指令時所用的保護模式
內核模式（監管狀態、特權模式）（Kernel mode (supervisory state, privilege mode)）：CPU在執行較為可信的進程指令時所用的工作狀態，進程在內核模式下比在用戶模式下可以訪問更多的計算機資源
地址總線（Address bus）：處理組件和存儲器段之間的物理連接，用來傳輸處理過程中所擁到的物理存儲器地址
數據總線（Data bus）：處理組件和存儲器段之間的物理連接，用來傳輸處理過程中所用到的數據。
對稱模式多重處理，不對稱模式多重處理
備注：13
操作系統組件（Operating System Components）
進程管理（Process Management）
線程管理（Thread Management）
進程調度（Process Scheduling）
進程活動（Process Activity）
備注：14
進程管理（Process Management）
進程管理：操作系統的職能之一，主要是對處理機進行管理。為了提高CPU的利用率而采用多道程序技術。通過進程管理來協調多道程序之間的關系，使CPU得到充分的利用。
進程：Process
一個獨立運行的程序，有自己的地址空間, 是程序運行的動態過程
只能有限地與其它進程通信，由OS負責處理進程間的通信
進程是程序運行的一個實例，是運行著的程序
備注：15
關鍵概念
多程序設計(MultiProgramming)
一個處理器允許多處程序的將交叉運行, 即兩個或兩個以上程序在計算機系統中同處于開始個結束之間的狀態：多道、宏觀上并行、微觀上串行 
解決主機和外轉設備速度不匹配問題，為提高CPU的利用率。通過進程管理，協調多道程序之間的CPU分配調度、沖突處理及資源回收等關系。
對象重用問題, TOC/TOU
多任務（MultiTasking）
單個處理器對兩個或兩個以上的任務并行執行、交叉執行
實時多任務(Realtime)、搶占式多任務(Preemptive)、協作式多任務(Cooperative)。協調式多任務各個進程控制釋放CPU時間，搶占式多任務主要由操作系統控制時間
備注：16
關鍵概念
進程表PCB：包含CPU所需的進程狀態數據
中斷（Interrupts）：
分配給計算機部件（硬件和軟件）的值，以對計算機資源進行有效的時間分片。
可屏蔽中斷（Maskable interrupt ）：分配給非關鍵操作系統活動中斷值。
不可屏蔽中斷（Nonmaskable interrupt）：分配給關鍵操作系統活動中斷值，如復位鍵
備注：17
線程管理（Thread Management）
線程（Thread）：是為了節省資源而可以在同一個進程中共享資源的一個執行單位。
多線程（Multithreading）：通過生成不同指令集（線程）同時執行多個活動的應用程序
備注：18
進程調度（Process Scheduling）
無論是在批處理系統還是分時系統中，用戶進程數一般都多于處理機數、這將導致它們互相爭奪處理機。另外，系統進程也同樣需要使用處理機。這就要求進程調度程序按一定的策略，動態地把處理機分配給處于就緒隊列中的某一個進程，以使之執行。
軟件死鎖（Software deadlock ）：兩個進程都在等待系統資源被釋放額導致不能完成他們的活動的情況。
備注：19
進程活動
早期操作系統中，一個進程掛起，其它所有程序也會掛起
進程隔離：對象封裝，共享資源時分復用，命名區分，虛擬映射
備注：20
關鍵概念
進程
多程序設計：操作系統交叉執行不止一個進程
多任務處理：操作系統同時執行不止一個任務
協調式多任務
搶占式多任務
進程狀態：就緒，運行，阻塞
中斷，可屏蔽中斷
線程，多線程
軟件死鎖

備注：21
存儲器管理
管理目標
為編程人員提供一個抽象層
通過有限的可用存儲器提供最高性能
保護操作系統與加載入存儲器的應用程序
存儲器管理器五項基本功能
重新部署
根據需要，在RAM和硬盤之間交換內容
保護
限制進程只與分配給它們的存儲器段交互，為存儲器段提供訪問控制
共享
當進程需要使用相同的共享存儲器段時，使用復雜的控制來確保完整性和機密性
邏輯組織
允許共享特定的軟件模塊
物理組織
為應用程序和操作系統進程劃分物理存儲器空間
備注：22
存儲器類型
隨機存取存儲器（Random access memory，RAM）
可隨時寫入或讀出數據
用于操作系統和應用所執行的讀寫活動，即通常所說的內存
寄存器，Register
Cache
動態隨機儲存內存(Dynamic RAM, DRAM)
靜態隨機儲存內存(Static RAM，SRAM)：面積更大，造價更高，速度更快
由CPU直接存取
關閉電源存放在DRAM、寄存器、Cache的內容消失，不可永久保存資料
抖動：讀取數據所花時間超過處理數據的時間
備注：23
存儲器類型
只讀存儲器（Read only memory，ROM）
只能讀不能寫
關閉電源內容不消失，可永久保存數據。而使用SRAM進行存儲，需要有電池等設備。
種類：
PROM( programmable ROM)：數據或程序可依使用者的需求來燒錄，程序或數據一經燒錄便無法更改。
EPROM( erasable PROM)：可擦拭可程序規劃的ROM，舊有的數據或程序可利用紫外線的照射來加以消除，使用者可以重復使用該顆EPROM，來燒錄不同程序的程序或數據。
EEPROM( electrically erase PROM)：電子式可擦拭可程序規劃的ROM。
MASK ROM：屏蔽式，數據由制造廠商在內存制造過程時寫入。
備注：24
存儲器類型
高速緩存（Cache Memory）
為了緩和CPU與主存儲器之間速度的矛盾，在CPU和主存儲器之間設置一個緩沖性的高速存儲部件，它的工作速度接近CPU的工作速度，但其存儲容量比主存儲器小得多。
高速緩存分為兩種，一種是內建在CPU中的L1快取，另一種則是在CPU之外，稱為L2快取。
高速緩存愈大，對計算機執行效率的幫助愈大。
速度最快、最貴
存儲器映射（Memory Mapping）：邏輯地址引導到特定的物理地址
緩沖區溢出（Buffer Overflows）
緩沖區溢出攻擊利用編寫不夠嚴謹的程序，通過向程序的緩存區寫入超過預定長度的數據，造成緩存的溢出，從而破壞程序的堆棧，導致程序執行流程的改變。 
ALSR：地址空間隨機布局化
DEP：數據執行保護
存儲器泄露（Memory Leaks）
開發正確釋放存儲器的更完善的代碼
使用垃圾收集器（garbage collector）
備注：25
虛擬存儲器（Virtual Memory）
通過使用二級存儲器(部分硬盤空間)來擴展內存(RAM)的容量，對未被執行的程序頁進行處理
虛擬存儲器屬于操作系統中存儲管理的內容，因此，其大部分功能由軟件實現。 
虛擬存儲器是一個邏輯模型，并不是一個實際的物理存儲器。
虛擬存儲器的作用：分隔地址空間；解決主存的容量問題；程序的重定位
虛擬存儲器不僅解決了存儲容量和存取速度之間的矛盾，而且也是管理存儲設備的有效方法。有了虛擬存儲器，用戶無需考慮所編程序在主存中是否放得下或放在什么位置等問題。
備注：26
關鍵概念
進程隔離
動態鏈接庫
基礎寄存器（起始地址），限制寄存器（終止地址）
RAM ROM 高速緩沖存儲器
絕對地址，邏輯地址
緩沖區溢出，ASLR，DEP
垃圾收集器，虛擬存儲器
備注：27
輸入輸出設備管理
輸入是把信息送入計算機系統的過程，輸出是從計算機系統送出信息的過程，用戶通過輸入/輸出設備與計算機系統互相通信。
常用輸入設備：鍵盤、鼠標器、掃描儀
常用輸出設備：顯示器、打印機、繪圖儀
輸出/輸入接口
數據要從計算機內部輸出時，它會將內部的表示法轉成外圍設備看得懂的表示法以利輸出。反之，若要從外圍設備傳數據到計算機內部，它也會將外界的數據格式轉成計算機內部看得懂的表示法。檢驗數據的完整性
備注：28
I/O技術
可編程Programmed I/O
速度慢
中斷驅動Interrupt-driven I/O
由外部發出請求，請求CPU中斷或結束正常程序運行
處理中斷導致時間消耗
DMA I/O using DMA
是一種完全由硬件執行I/O交換的工作方式。速度快
映射前Premapped I/O
I/O取得足夠信任，IIO與存儲器直接交互數據
全映射Fully mapped I/O
不完全信任I/O，IO設備只與邏輯地址直接交互
備注：29
CPU架構
保護環Protection Ring
一組同心的編號環   
環數決定可以訪問的層次，越低的環數表示越高的特權
程序假定執行環數的位置     
程序不可以直接訪問比自身高的層次，如需訪問，系統調用(system call)
一般使用4個保護環：
Ring 1 操作系統安全核心
Ring 2 其他操作系統功能 – 設圖示控制器
Ring 3 系統應用程序，數據庫功能等
Ring 4 應用程序空間
備注：30
操作系統架構（Operating System Architectures）
單塊操作系統架構
分層操作系統架構
備注：31
操作系統架構
單片（Monolithic ）
所有操作系統進程在內核模式下運行。
分層（Layered）
所有操作系統進程在內核模式下的分層模型上運行。內核過大
微內核（Microkernel）
核心操作系統進程運行在內核模式，其余運行在用戶模式。內核過小
混合微內核（Hybrid microkernel）
所有操作系統進程在內核模式下運行。核心進程運行在微內核，其他運行在客戶端\服務器模式。
備注：32
分層操作系統

備注：33
微內核操作系統
備注：34
Windows混合微內核架構
備注：35
主要的操作系統內核架構
備注：36
虛擬機
備注：37
虛擬機優勢
多個服務器整合
遺留應用程序運行
運行不可信程序，提供安全的隔離的沙箱
模仿獨立計算機網絡
多個系統，多種硬件適合
強大的調試和性能監控
超強隔離能力
備份、恢復、遷移更簡單

備注：38
系統安全體系結構（System Security Architecture）
安全策略（Security Policy）
安全架構要求（Security Architecture Requirements）
備注：39
安全策略（Security Policy）
指導性綱領，為系統整體和構成它的組件從安全角度提出根本的目標，是戰略工具。安全策略是一個系統的基礎規范，使系統集成后評估它的基準。
備注：40
安全架構要求（Security Architecture Requirements）
可信計算基（Trusted Computing Base）
安全邊界（Security Perimeter）
引用監視器（Reference Monitor，RM）
安全內核（Security Kernel）
備注：41
可信計算基（Trusted Computing Base）
TCB是計算機系統內保護機制的總體, 包括硬件、固體、軟件和負責執行安全策略的組合體。
TCB由一系列的部件構成，在產品或系統中執行統一的安全策略。
TCB的三個要求
TCB必須保證其自身在一個域中的執行，防止被外界干擾或破壞
TCB所控制的資源必須是已經定義的主體或客體的子集
TCB必須隔離被保護的資源，以便進行訪問控制和審計
TCB維護每個域的保密性和完整性，監視4個基本功能
進程激活：Process activation
執行域的切換：Execution domain switching
內存保護：Memory protection
I/O操作：I/O operation
備注：42
引用監視器（Reference Monitor，RM）
RM是一個抽象機的訪問控制概念，基于訪問控制數據庫協調所有主體對客體的訪問
RM的任務
根據訪問控制數據庫，對主體對客體的訪問請求做出是否允許的裁決，并將該請求記錄到審計數據庫中。注意：基準監視器有動態維護訪問控制數據庫的能力。
RM的特性：
執行主體到對象所有訪問的抽象機
必須執行所有訪問，能夠在修改中被保護，能夠恢復正常，并且總是被調用。
處理所有主體到客體訪問的抽象機
備注：43
安全內核（Security Kernel）
安全內核是TCB中執行引用監視器概念的硬件、固件和軟件元素
理論基礎：在一個大的操作系統中，只將相對比較小的一部分軟件負責實施系統安全，并將實施安全的這部分軟件隔離在一個可信的安全核，這個核就稱為安全核。
需要滿足三個原則
完備性：協調所有的訪問控制
隔離性：受保護，不允許被修改
可驗證性：被驗證是正確的
安全核技術是早期構建安全操作系統最為常用的技術，幾乎可以說是唯一能夠實用的技術。
引用監視器RM是概念，抽象的機器，協調所有主體對對象間的訪問；安全內核是硬件，是TCB中執行RM的部分，TCB中除安全內核外還有其它安全機制
備注：44
關鍵概念
虛擬化
Hypervisor:用來管理模擬環境中的虛擬機的中央程序
安全策略
可信計算基
可信路徑：進程之間用來通信的，不能被繞過的可信軟件通道
安全邊界
引用監視器
安全內核
多級安全策略
備注：45
安全模型（Security Models ）
狀態機模型（State Machine Models）
Bell-LaPadula 模型
Biba模型
Clark-Wilson模型
信息流模型（Information Flow Model）
非干涉模型（Noninterference Model）
格子模型（Lattice Model）
Brewer and Nash模型
Graham-Denning模型
Harrison-Ruzzo-Ullman（HRU）模型
備注：46
安全策略與安全模型
安全策略勾勒出目標，寬泛、模糊而抽象，安全模型提供了實現這些目標應該做什么，不應該做什么，具有實踐指導意義，給出了策略的形式
備注：47
狀態機模型（State Machine Models）
狀態機模型描述了一種無論處于何種狀態都是安全的系統
一個狀態（State）是處于特定時刻系統的一個快照，如果該狀態所有方面都滿足安全策略的要求，就稱之為安全的
State transition：狀態轉換，
許多活動可能會改變系統狀態，成為狀態遷移（State transition），遷移總是導致新的狀態的出現
如果所有的行為都在系統中允許并且不危及系統使之處于不安全狀態，則系統執行一個——安全狀態機模型：secure state model。
一個安全的狀態機模型系統，總是從一個安全狀態啟動，并且在所有遷移當中保持安全狀態，只允許主體以和安全策略相一致的安全方式來訪問資源
安全的狀態機模型是其他安全模型的基礎
備注：48
狀態機模型（State Machine Models）
備注：49
Bell-LaPadula 模型
1973年，David Bell和Len LaPadula提出了第一個正式的安全模型，該模型基于強制訪問控制系統，以敏感度來劃分資源的安全級別。將數據劃分為多安全級別與敏感度的系統稱之為多級安全系統
為美國國防部多級安全策略形式化而開發
Bell-LaPadula保密性模型是第一個能夠提供分級別數據機密性保障的安全策略模型(多級安全)。
特點：
信息流安全模型
只對機密性進行處理
運用狀態機模型和狀態轉換的概念
基于政府信息分級——無密級、敏感但無密級、機密、秘密、絕密
“Need to know”——誰需要知道？
開始于安全狀態，在多個安全狀態中轉換(初始狀態必須安全，轉變結果才在安全狀態)
備注：50
Bell-LaPadula 模型安全規則
簡單安全規則ss (Simple Security Property )
安全級別低的主體不能讀安全級別高的客體信息(No Read Up)
星規則* The *  (star) security Property
安全級別高的主體不能往低級別的客體寫(No write Down)
強星規則 Strong * property
不允許對另一級別進行讀取
自主安全規則ds (Discretionary security Property )
使用訪問控制矩陣來定義說明自由存取控制
內容相關 Content Dependent 
上下文相關Context Dependent
備注：51
BLP模型的缺陷
不能防止隱蔽通道(covert channels)
不針對使用文件共享和服務器的現代信息系統
沒有明確定義何謂安全狀態轉移(secure state transition)
基于多級安全保護(multilevel security)而未針對其他策略類型 
不涉及訪問控制管理
不保護完整性和可用性
備注：52
Biba模型
完整性的三個目標：保護數據不被未授權用戶更改；保護數據不被授權用戶越權修改(未授權更改)；維持數據內部和外部的一致性
1977作為Bell-Lapadula的完整性補充而提出, 用于非軍事行業
Biba基于一種層次化的完整性級別格子(hierarchical lattice of integrity levels)，是一種信息流安全模型。
特點：
基于小于或等于關系的偏序的格
最小上限(上確界)， least upper bound (LUB)
最大下限(下確界)，greatest lower bound (GLB)
Lattice = (IC,<= , LUB, GUB) 
數據和用戶分級
強制訪問控制
備注：53
Biba模型安全規則
*完整性公理：主題不能向位于較高完整性級別的客體寫數據，不能向上寫
簡單完整性公理：主題不能從較低完整性級別讀取數據，不能向下讀
調用屬性：主體不能請求完整性級別更高的主體服務

信息來源，可信數據

備注：54
Clark-Wilson模型
在1987年被提出的
經常應用在銀行應用中以保證數據完整性
實現基于成形的事務處理機制
要求完整性標記
定義：
受限數據條目Constrained Data Item (CDI) 
完整性檢查程序Integrity Verification Procedure (IVP)
轉換程序Transformation Procedure (TP)
自由數據條目Unconstrained Data Item
Clark-Wilson需要integrity label用于確定一個數據項的完整級別，并在TP后驗證其完整性是否維持，采用了實現內/外一致性的機制，separation of duty, mandatory integrity policy
備注：55
Clark-Wilson模型
完整性的模型
沒有像Biba那樣使用lattice結構，而是使用Subject/Program/Object這樣的三方關系（triple），Subject并不能直接訪問Object，只能通過Program來訪問
兩個原則：
well-formed transactions：采用了program的形式，主體只能通過program訪問客體，每個恰當設計的program都有特定的限制規則，這就有效限制了主體的能力
separation of duties：將關鍵功能分成兩個或多個部分，必須由不同的主體去完成各個部分，可防止已授權用戶進行未授權的修改
要求具有審計能力（Auditing）
Clark-Wilson model也被稱作restricted interface model
該模型考慮到了完整性的3個目標，而Biba模型只考慮了第一個：防止未授權用戶更改；防止授權用戶的不正確更改（職責分離），維護內部和外部的一致性
備注：56
信息流模型（Information Flow Model）
基于狀態機，由對象、狀態轉換以及格(流策略)狀態組成,對象可以是用戶，每個對象都被分配一個安全等級和值
Bell-LaPadula和Biba模型都是信息流模型，前者要防止信息從高安全等級流向低安全等級，后者要防止信息從低安全等級流向高安全等級
信息流模型并不是只處理信息流向，也可以處理流類型
信息流模型用于防止未授權的、不安全的或者受到限制的信息流，信息流可以是同一級別主體與客體之間的，也可以是不同級別間的
信息流模型允許所有授權信息流，無論是否在同一級別;   信息流模型防止所有未授權的信息流，無論是否在同一級別
信息被限制在策略允許的方向流動
備注：57
隱蔽信道（Covert Channels）
隱蔽通道是一種讓一個實體以未授權方式接收信息。
條件
在產品開發過程中不當監督
在軟件中實施不當的訪問控制
兩個實體之間未適當地控制共享資源
隱蔽通道有兩種類型：
存儲：
存儲隱蔽通道，進程能夠通過系統的一些類型的存儲空間通信。（木馬）
通過創建文件。
計時
一個進程通過調整其使用系統資源的信息轉發到另一個進程中繼續傳送數據。
備注：58
非干涉模型（Noninterference Model）
基于信息流模型
非干涉模型并不關心信息流，而是關心影響系統狀態或者其他主體活動的某個主體的活動
確保在較高安全級別發生的任何活動不會影響，或者干涉在較低安全級別發生的活動。如果在較高安全級內的一個實體執行一項操作，那么它不能改變在較低安全級內實體的狀態
如果一個處于較低安全級的實體感受到了由處于較高安全級內的一個實體所引發的某種活動，那么該實體可能能夠推斷出較高級別的信息，引發信息泄漏
基本原理為，一組用戶(A)使用命令(C)，不被用戶組(B)(使用命令D)干擾，可以表達成A, C:| B, D，同樣，使用命令C的組A的行為不能被使用命令D的組B看到
備注：59
格子模型（Lattice Model）
Lattice 模型通過劃分安全邊界對BLP模型進行了擴充，它將用戶和資源進行分類，并允許它們之間交換信息，這是多邊安全體系的基礎。
多邊安全的焦點是在不同的安全集束（部門，組織等）間控制信息的流動，而不僅是垂直檢驗其敏感級別。
建立多邊安全的基礎是為分屬不同安全集束的主體劃分安全等級，同樣在不同安全集束中的客體也必須進行安全等級劃分，一個主體可同時從屬于多個安全集束，而一個客體僅能位于一個安全集束。
在執行訪問控制功能時，lattice模型本質上同BLP模型是相同的，而lattice模型更注重形成"安全集束"。BLP模型中的"上讀下寫"原則在此仍然適用，但前提條件必須是各對象位于相同的安全集束中。主體和客體位于不同的安全集束時不具有可比性，因此在它們中沒有信息可以流通。
備注：60
Brewer and Nash Model
Brew and Nash: Chinese Wall
Chinese Wall模型是應用在多邊安全系統中的安全模型（也就是多個組織間的訪問控制系統），應用在可能存在利益沖突的組織中。最初是為投資銀行設計的，但也可應用在其它相似的場合。 
Chinese Wall安全策略的基礎是客戶訪問的信息不會與目前他們可支配的信息產生沖突。在投資銀行中，一個銀行會同時擁有多個互為競爭者的客戶，一個銀行家可能為一個客戶工作，但他可以訪問所有客戶的信息。因此，應當制止該銀行家訪問其它客戶的數據。
Chinese Wall安全模型的兩個主要屬性：
用戶必須選擇一個他可以訪問的區域
用戶必須自動拒絕來自其它與用戶所選區域的利益沖突區域的訪問
這種模型同時包括了DAC和MAC的屬性：銀行家可以選擇為誰工作（DAC），但是一旦選定，他就被只能為該客戶工作（MAC）。
備注：61
Graham-Denning模型
如何安全地創建一個客體
如何安全地創建一個主體
如何安全地刪除客體
如何安全地刪除主體
如何安全地提供讀訪問權
如何安全地提供準許接入權
如何安全地提供刪除訪問權限
如何安全地提供轉移訪問權限
備注：62
Harrison-Ruzzo-Ullman（HRU）模型
主體的訪問權限以及這些權限的完整性。
主體只能對客體執行一組有限的操作
HRU被軟件設計人員用來確保沒有引入意外脆弱性，從而可以實現訪問控制目標
備注：63
操作安全模式（Security Modes of Operation ）
專用安全模式
Dedicated Security Mode	訪問系統上所有信息的適當許可
訪問系統上所有信息的正式訪問批準
訪問系統上所有信息的簽名NDA
訪問系統上所有信息的有效”知其所需“
任何用戶都能夠訪問所有數據
系統高安全模式
System High-Security Mode	訪問系統上所有信息的適當許可
訪問系統上所有信息的正式訪問批準
訪問系統上所有信息的簽名NDA
訪問系統上所有信息的有效”知其所需“
根據他們的“知其所需”,所有用戶都能訪問一些數據
分隔安全模式
Compartmented Security Mode	訪問系統上所有信息的適當許可
訪問系統上所有信息的正式訪問批準
訪問系統上所有信息的簽名NDA
訪問系統上所有信息的有效”知其所需“
根據他們的“知其所需”和正式批準,所有用戶都能訪問一些數據
多級安全模式
Multilevel Security Mode	訪問系統上所有信息的適當許可
訪問系統上所有信息的正式訪問批準
訪問系統上所有信息的簽名NDA
訪問系統上所有信息的有效”知其所需“
根據他們的“知其所需”、許可和正式批準,所有用戶都能訪問一些數據
備注：64
信任與保證
TCSEC中，較低保證級別評定工作會考察系統的保護機制和測試結果，較高保證級別評定工作更多考查系統的設計、規范、開發過程、支持文檔以及測試結果

備注：65
系統評估方法（Systems Evaluation Methods ）
ITSEC 
1991
CC 1.0
1996

TCSEC
 1985
CTCPEC 
1993
FC 
1992
ISO15408 1999
CC 2.0
1998
GB/T 18336 2001
CD
1997
FCD
1998
GIB 2646 
1996
GB 17859 
1999
GB/T 18336 2008
ISO15408 1999
備注：66
橘皮書（Orange Book）
Trusted Computer System Evaluation Criteria（TCSEC），是一個評估OS、應用的、系統的規范，評價不同系統的尺度，檢查系統的功能性、有效性和保證程度，提供多種級別。
1970年由美國國防科學委員會提出。1985年公布。
主要為軍用標準，延用至民用。
TCSEC2000年被Common Criteria所替代，是第一個涉及計算機系統的安全規范。
備注：67
TCSEC等級
D — 最小保護(minimal protection)
C — 自主保護(discretionary protection)
C1: 選擇安全性保護，Discretionary Security Protection
C2: 受約束的訪問保護，Controlled Access Protection 
B — 強制保護(mandatory protection)
B1: 標簽式安全保護，Labeled Security
B2: 結構化保護，Structure Protection
B3: 安全域，Security Domain
A — 校驗保護(verified protection)
A1: 驗證設計，Verified Design
備注：68
類別	名稱	主要特征	安全要求
A	驗證設計
（verity design）	形式化的最高級描述和驗證，形式化的隱密通道分析，非形式化的代碼一致性證明	設計必須從數學角度上經過驗證，而且必須進行秘密能道和可信任分布的分析。
B3	安全域
(security domain)	安全內核，高抗滲透能力	用戶工作站或終端能過可信任途徑連接網絡系統
B2	結構防護
（structured protection）	設計系統時必須有一個合理的總體設計方案，面向安全的體系結構，遵循最小授權原則，較好的滲透能力，訪問控制應對所有的主體和客體提供保護，對系統進行隱蔽通道分析	計算機系統中所有對象都加標簽，而且給設備（如工作站、終端和磁盤驅動器）分配安全級別。
B1	標號安全防護
（label security protection）	除了C2級別的安全需求外，增加安全策略模型，數據標號（安全和屬性）	在不同級別對敏感信息提供更高級的保護，讓每個對象都有有一個敏感標簽
C2	受控的訪問環境	存取控制以用戶為單位廣泛的審計	加入身份認證級別，系統對發生的事件加以審計并寫入日志
C1	選擇性安全防護
（discretionary security protection）	有選擇的存取控制，用戶與數據分離，數據的保護以用戶組為單位	硬件有一定的安全保護（如硬件有帶鎖裝置），用戶在使用計算機系統前必須先登錄。允許系統管理員為一些程序或數據設立訪問許可權限。
D	最小保護	保護措施很小，沒有安全功能	不要求用戶進行登記（要求用戶提供用戶名）或使用密碼（要求用戶提供惟一的字符串來進行訪問）
備注：69
橘皮書和彩虹系列（The Orange Book and the Rainbow Series ）
橘皮書（Orange Book）
專門針對操作系統
主要著眼于安全的一個屬性（機密性）
適用于政府分類
評級數量較少
紅皮書（Red Book）
單個系統的安全問題
解決網絡和網絡組件的安全評估問題，主要針對獨立局域網和廣域網系統
涉及通信完整性、防止拒絕服務、泄露保護
備注：70
信息技術安全評估標準（Information Technology Security）
Information Technology Security Evaluation Criteria （ITSEC） 
歐洲多國安全評價方法的綜合產物，軍用，政府用和商用。
以超越TCSEC為目的，將安全概念分為功能與功能評估兩部分。
首次提出了信息安全的保密性、完整性、可用性的概念
評估對象TOE(Target of Evaluation )
產品和系統
安全性目標security target
安全增強機制
安全策略

網友評論 more

其他最新內容

04-04