系统访问控制与审计技术.ppt
《系统访问控制与审计技术.ppt》由会员分享,可在线阅读,更多相关《系统访问控制与审计技术.ppt(32页珍藏版)》请在三一办公上搜索。
1、系统访问控制与审计技术,第 11 章,基本内容,除了加强网络安全技术外,一般需要对系统的资源进行访问控制,根据用户需求设置相应的访问权限,并对使用情况进行审计。本章介绍访问控制与审计相关的知识。,11.1 访问控制技术,访问控制是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。访问控制也是信息安全理论基础的重要组成部分。本章讲述访问控制的原理、作用、分类和研究前沿,重点介绍较典型的自主访问控制、强制访问控制和基于角色的访问控制。,11.1.1 访问控制技术的概念,11.1 访问控制技术,访问控制与其他安全措施之间的关系可以用图11-1来简要说明。在用户身份认证(如果必要)和授权之后
2、,访问控制机制将根据预先设定的规则对用户访问某项资源(目标)进行控制,只有规则允许时才能访问,违反预定的安全规则的访问行为将被拒绝。资源可以是信息资源、处理资源、通信资源或者物理资源,访问方式可以是获取信息、修改信息或者完成某种功能,一般情况可以理解为读、写或者执行。,11.1.2 访问控制原理,11.1 访问控制技术,11.1.2 访问控制原理,访问控制的目的是为了限制访问主体对访问客体的访问权限,从而使计算机系统在合法范围内使用;它决定用户能做什么,也决定代表一定用户身份的进程能做什么。访问控制一般包括三种类型:自主访问控制、强制访问控制和基于角色的访问控制。,11.1 访问控制技术,11
3、.1.2 访问控制原理,自主访问控制(Discretionary Access Control,DAC)是一种常用的访问控制方式,它基于对主体或主体所属的主体组的识别来限制对客体的访问,这种控制是自主的。自主是指主体能够自主的(可能是间接的)将访问权或访问权的某个子集授予其他主体。,1自主访问控制,自主访问控制是一种比较宽松的访问控制,一个主体的访问权限具有传递性。传递可能会给系统带来安全隐患,某个主体通过继承其他主体的权限而得到了它本身不应具有的访问权限,就可能破坏系统的安全性。这是自主访问控制方式的缺点。,为了实现完整的自主访问系统,访问控制一般由一个矩阵来表示。矩阵中的一行表示一个主体的
4、所有权限;一列则是关于一个客体的所有权限;矩阵中的元素是该元素所在行对应的主体对该元素所在列对应的客体的访问权限。具体实现时,往往是基于矩阵的行或者列来表达访问控制信息。,11.1 访问控制技术,11.1.2 访问控制原理,访问控制表(Access Control List,ACL)是基于访问控制矩阵中列的自主访问控制。,1自主访问控制(续),(1)访问控制表,对系统中一个需要保护的客体Oj附加的访问控制表的结构如下图所示,在上图的例子中,对于客体Oj,主体S0具有读(r)和执行(e)的权利;主体S1只有读的权利;主体S2只有执行的权利;主体Sm具有读、写(w)和执行的权利。,11.1 访问控
5、制技术,11.1.2 访问控制原理,1自主访问控制(续),(2)访问能力表,访问能力表(Access Capabilities List)是最常用的基于行的自主访问控制。能力(capability)是为主体提供的、对客体具有特定访问权限的不可伪造的标志,它决定主体是否可以访问客体以及以什么方式访问客体。主体可以将能力转移给为自己工作的进程,在进程运行期间,还可以添加或者修改能力。,能力的转移不受任何策略的限制,所以对于一个特定的客体,不能确定所有有权访问它的主体。因此,访问能力表不能实现完备的自主访问控制,而访问控制表是可以实现的。,11.1 访问控制技术,11.1.2 访问控制原理,2强制访
6、问控制,强制访问控制系统为所有的主体和客体指定安全级别,比如绝密级、机密级、秘密级和无密级。不同级别标记了不同重要程度和能力的实体。不同级别的主体对不同级别的客体的访问是在强制的安全策略下实现的。在强制访问控制机制中,将安全级别进行排序,如按照从高到低排列,规定高级别可以单向访问低级别,也可以规定低级别可以单向访问高级别。这种访问可以是读,也可以是写或修改。,1)保障信息完整性策略。,2)保障信息机密性策略。,自主访问控制较弱,而强制访问控制又太强,会给用户带来许多不便。因此,实际应用中,往往将自主访问控制和强制访问控制结合在一起使用。自主访问控制作为基础的、常用的控制手段;强制访问控制作为增
7、强的、更加严格的控制手段。,11.1 访问控制技术,11.1.2 访问控制原理,3基于角色的访问控制,基于角色的访问控制模式(Role Based Access Control,RBAC)中,用户不是自始至终以同样的注册身份和权限访问系统,而是以一定的角色访问,不同的角色被赋予不同的访问权限,系统的访问控制机制只看到角色,而看不到用户。用户在访问系统前,经过角色认证而充当相应的角色。用户获得特定角色后,系统依然可以按照自主访问控制或强制访问控制机制控制角色的访问能力。,(1)角色的概念,在基于角色的访问控制中,角色(role)定义为与一个特定活动相关联的一组动作和责任。系统中的主体担任角色,完
8、成角色规定的责任,具有角色拥有的权限。一个主体可以同时担任多个角色,它的权限就是多个角色权限的总和。基于角色的访问控制就是通过各种角色的不同搭配授权来尽可能实现主体的最小权限(最小授权指主体在能够完成所有必需的访问工作基础上的最小权限)。,11.1 访问控制技术,11.1.2 访问控制原理,3基于角色的访问控制,(2)基于角色的访问控制,基于角色的访问控制就是通过定义角色的权限,为系统中的主体分配角色来实现访问控制的。用户先经认证后获得一定角色,该角色被分派了一定的权限,用户以特定角色访问系统资源,访问控制机制检查角色的权限,并决定是否允许访问。,这种访问控制方法的具体特点如下:,1)提供了三
9、种授权管理的控制途径,2)系统中所有角色的关系结构可以是层次化的,便于管理。,3)具有较好的提供最小权利的能力,从而提高了安全性。,4)具有责任分离的能力。,11.2 Windows 2000的访问控制,11.2.1 Windows的安全模型与基本概念,1安全模型,Windows的安全模型由以下几个关键部分构成:1)登录过程(Logon Process,LP)。接受本地用户或者远程用户的登录请求,处理用户信息,为用户做一些初始化工作。2)本地安全授权机构(Local Security Authority,LSA)。根据安全账号管理器中的数据处理本地或者远程用户的登录信息,并控制审计和日志。这是
10、整个安全子系统的核心。3)安全账号管理器(Security Account Manager,SAM)。维护账号的安全性管理数据库(SAM数据库,又称目录数据库)。4)安全引用监视器(Security Reference Monitor,SRM)。检查存取合法性,防止非法存取和修改。,这几部分在访问控制的不同阶段发挥了各自的作用。,11.2 Windows 2000的访问控制,11.2.1 Windows的安全模型与基本概念,2安全概念,1)安全标识(Security Identifier,SID):安全标识和账号唯一对应,在账号创建时创建,账号删除时删除,而且永不再用。安全标识与对应的用户和组
11、的账号信息一起存储在SAM数据库里。2)访问令牌(Access Token)。当用户登录时,本地安全授权机构为用户创建一个访问令牌,包括用户名、所在组、安全标识等信息。3)主体。用户登录到系统之后,本地安全授权机构为用户构造一个访问令牌,这个令牌与该用户所有的操作相联系,用户进行的操作和访问令牌一起构成一个主体。4)对象、资源、共享资源。对象的实质是封装了数据和处理过程的一系列信息集合体。资源是用于网络环境的对象。共享资源是在网络上共享的对象。5)安全描述符(Security Descript)。Windows系统会为共享资源创建安全描述符,包含了该对象的一组安全属性。,安全描述符分为四个部分
12、:所有者安全标识(Owner SecurityID)。拥有该对象的用户或者用户组的SD。组安全标识(GroupSecurity)。自主访问控制表(Discretionary Access Control List,DAC)。该对象的访问控制表,由对象的所有者控制。系统访问控制表(System Access Control List,ACL)。定义操作系统将产生何种类型的审计信息,由系统的安全管理员控制。其中,安全描述符中的每一个访问控制表(ACL)都由访问控制项(Access Control Entries,ACEs)组成,用来描述用户或者组对对象的访问或审计权限。ACEs有三种类型:Acce
13、ss Allowed、Access Denied和System Audit。前两种用于自主访问控制;后一种用于记录安全日志。,11.2 Windows 2000的访问控制,11.2.1 Windows的安全模型与基本概念,2安全概念(续),Cacls命令,当一个账号被创建时,Windows系统为它分配一个SID,并与其他账号信息一起存入SAM数据库。每次用户登录时,登录主机(通常为工作站)的系统首先把用户输入的用户名、口令和用户希望登录的服务器域信息送给安全账号管理器,安全账号管理器将这些信息与SAM数据库中的信息进行比较,如果匹配,服务器发给工作站允许访问的信息,并返回用户的安全标识和用户所
14、在组的安全标识,工作站系统为用户生成一个进程。服务器还要记录用户账号的特权、主目录位置、工作站参数等信息。然后,本地安全授权机构为用户创建访问令牌,包括用户名、所在组、安全标识等信息。此后用户每新建一个进程,都将访问令牌复制作为该进程的访问令牌。当用户或者用户生成的进程要访问某个对象时,安全引用监视器将用户进程的访问令牌中的SID与对象安全描述符中的自主访问控制表进行比较,从而决定用户是否有权访问对象。,11.2 Windows 2000的访问控制,11.2.2 Windows的访问控制过程,11.2 Windows 2000的访问控制,11.2.2 Windows的访问控制过程,资源的本地访
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 系统 访问 控制 审计 技术
![提示](https://www.31ppt.com/images/bang_tan.gif)
链接地址:https://www.31ppt.com/p-5748014.html