第二章操作系统全安机制课件

PPT

阅读 90 次
下载 0 次
页数 81 页
大小 331.652 KB
2022-11-26 上传

下载文档30.00 元 加入VIP免费下载

此文档由【小橙橙】提供上传，收益归文档提供者，本网站只提供存储服务。若此文档侵犯了您的版权，欢迎进行违规举报或版权认领

可在后台配置第一页与第二页中间广告代码

可在后台配置第二页与第三页中间广告代码

可在后台配置第三页与第四页中间广告代码

还剩10页未读，继续阅读

【这是免费文档，您可以免费阅读】

/ 81

下载文档30.00 元 加入VIP免费下载

TA最新上传

文本内容

【文档说明】第二章操作系统全安机制课件.ppt，共(81)页，331.652 KB，由小橙橙上传

转载请保留链接：https://www.ichengzhen.cn/view-55036.html

以下为本文档部分文字说明：

ication)：用来标明用户身份，确保用户的惟一性和可辨认性的标志，一般选用用户名称和用户标识符(UID)来标明一个系统用户，名称和标识符均为公开的明码信息。用户标识是有效实施其他安全策略，如用户数据保护和安全审计的基础。通过为用户提供标识，TCB能使用户对自己的行为

息对用户身份、设备和其他实体的真实性进行确认，用于鉴别的信息是非公开的和难以仿造的，如口令(也称密钥)。用户鉴别是有效实施其他安全策略的基础。Evaluationonly.eatedwithAspose.Slidesfor.NET3

11AsposePtyLtd.2.2访问控制用户进程是固定为某特定用户服务的，它在运行中代表该用户对客体资源进行访问，其权限应与所代表的用户相同，这一点可通过用户与主体绑定实现。Evaluationon

其服务的进程的权限动态地相关联。这也就是说，一个进程在不同时刻对一个客体有不同的访问权限，取决于它当时所执行的任务。当进程在执行正常的用户态应用程序时(用户进程)，它所拥有的权限与其代表的用户有关；当进程进行系统调用时，它开始执行内核函数(系统进程)，此时运行在核心态，拥有操作系统权限。Ev

证机制首先标识与鉴别用户身份用户进入系统后，再由授权机制检查其是否拥有使用本机资源的权限及有多大的访问权限。授权机制的功能是授权和存取控制，其任务是：授权，确定给予哪些主体存取哪些客体的权力。确定存取权限，通常有：读、写、

011AsposePtyLtd.2.2.2自主访问控制策略本策略根据系统中信息属主指定方式或默认方式、即按照用户的意愿来确定用户对每一个客体的访问权限，这一点上对信息属主是“自主的”。这样一来，它能提供精细的访问控

制策略，能将访问控制粒度细化到单个用户(进程)。按照系统访问控制策略实现的访问控制机制，能够为每个命名客体指定命名用户和用户组，并规定他们对客体的访问权限，没有访问权限的用户，只允许由授权用户指定其对客体的访问权。Evaluationonly.eatedwithAspose.Slidesfor.N

1，o2，…，on}。设R为全体权力的集合，R＝{r1，r2，…，rl}。记权力矩阵为：a11，a12，…，a1nS1a21，a22，…，a2nS2A＝……＝…=[o1,o2,…on]am1，am2，…，amnSm自主访问控制模型Evaluationonly.eated

行访问时，访问控制机制检查aij，看主体si是否具有对客体oj进行访问的权力，以决定主体si是否可对客体oj进行访问，以及进行什么样的访问。③自主性客体的属主有权将其客体的访问权力授予其它主体，或收回。自主访问控制模型Evaluationonly.e

标明各拥有权力的主体的标识与权限。UNIX，LINUX，NT基于矩阵的行在每个主体上附件一个可访问的客体的明细表：权力表口令自主访问控制模型Evaluationonly.eatedwithAspose.Slidesfor.NET3.5Clie

;程序Y(r--);进程IDn的CL：内存段Z(rw-);程序Y(r-x);……用户可以把全能表拷贝给其他用户，也可以从其他用户取回Evaluationonly.eatedwithAspose.Slidesfor.NET3.5

于口令表的自主存取控制机制中，每个客体都有一个口令，主体在对客体访问前，必须向安全系统提供该客体的口令，如果正确便允许访问。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5Client

在每个客体上都附加一个可访问它的主体的明细表，表示存取控制矩阵，表中的每一项都包括主体的身份和主体对该客体的访问权限。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientPr

”和“拥有者/同组同户/其他用户”结合模式在安全操作系统UNIXSVR4.1中，采用“存取控制表ACL”和“拥有者/同组同户/其他用户”结合的实现方法，ACL只对于“拥有者/同组同户/其他用户”无法分组的

强制访问控制策略在强制访问控制机制下，系统内的每个用户或主体被赋予一个许可标记或访问标记，以表示他对敏感性客体的访问许可级别；同样，系统内的每个客体被赋予一个敏感性标记(sensitivitylabel)，

osePtyLtd.实现多级安全访问控制机制必须对系统的主体和客体分别赋予与其身份相对称的安全属性的外在表示--安全标签，它有两部分组成：{安全类别：范畴}Evaluationonly.eatedwithAspose.Sli

级别的外在表示，系统利用此敏感性标签来判定一进程是否拥有对此客体的访问权限。许可级别：进程（主体）的安全级别，用来判定此进程对信息的访问程度。许可标签：进程的安全级别的外在表示，系统利用进程的安全级别来判定此进

(2)范畴—无等级概念范畴是该安全级别信息所涉及的部门。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile5.2.0Copyrigh

t2004-2011AsposePtyLtd.公司内可以建立信息安全类别ConfidentialRestricted(技术信息)、Restricted(内部信息)Unrestricted(公开信息)；军事部门的信息安全类

别TopSecret(绝密)、Secret(秘密)、Confidential(机密)和Unclassified(公开)Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile5.2.

理与市场部经理虽然级别相同（都是经理），但由于两人分属不同部门（财务部负责财务，市场部负责市场），从而，分属两个不同的范畴（Accounting、Marketing），故市场部经理是不能够访问财务部经理的信息的。Evaluationonly.eatedwithAspose.Slidesfor

的基本思想根据用户在一个组织中担任的角色来确定对其所的授权。BRAC是强制访问模型，不是DAC虽然一个用户担任一个角色后，便可以拥有该角色的权限，但是他不能将权限转授给别人。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientP

角色，而且还必须激活这一角色，才能对一个对象进行访问或执行某种操作。安全管理员用户角色/权限指定访问或操作激活Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile

合为R.权限（permission）对客体的操作权力。权限集合为P.用户分配（UserAssignment）将用户与角色关联。用户分配集合为UA={(u,r)|u∈U,r∈R}.用户u与角色r关联后，将拥有r的

AC的基本概念权限分配（PermissionAssignment）将角色与权限关联。权限分配集合为PA={(p,r)|p∈P,r∈R}.权限p与角色r关联后，角色r将拥有权限p。激活角色（ActveRole）角色只有激活才能起作用，否则不起作用。通过会话激活

角色。会话（Session）用户要访问系统资源时，必须先建立一个会话。一次会话仅对应一个用户。一次会话可激活几个角色。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5C

件。最小特权原则职责分离原则角色互斥原则角色激活限制原则c.角色分级，高级角色可以继承低级角色的访问权限。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5Clie

（多对多的关系）a.一个角色可以拥有多个访问权限，b.不同的角色也可以拥有相同的权限。角色和角色的关系：（分级关系）高级角色可以继承低级角色的访问权限。Evaluationonly.eatedwithAspose.Slidesfor.NET3

ePtyLtd.角色分级(rolehierarchy)继承关系高级角色中间角色高级角色低级角色低级角色中间角色中间角色高级角色Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProf

可以是事件触发的，也可以不是事件触发的。职责分离约束合理划分任务和相关权限，以保证多用户协同工作的安全性。如，公检法三权分立，互相配合，又互相监督。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile5.2.0Copyri

ght2004-2011AsposePtyLtd.角色互斥约束如果一组角色是互斥的，那么一个用户或同一个访问权限只能被分配给其中的一个角色。利用角色互斥约束可实现职责分离。例如，一个人不能又当裁判员又当运动员。最小特权约束只给角色分配完成某工作所需的最小权力。角色激活约束激活数约束限制一

个角色同时授权和激活的数目。如总经理只有1个。角色激活时间约束限制一个角色激活的时间。如岗位任期制。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile5.2.0Copyright

2004-2011AsposePtyLtd.④BRAC96模型BRAC96模型包括4个层次：BRAC0：基础模型BRAC1：在BRAC0的基础上增加了角色分级BRAC2：在BRAC0的基础上增加了角色和权限

1AsposePtyLtd.BRAC96模型用户U角色B权限P用户分配权限分配分级安全约束会话Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile5.

11AsposePtyLtd.MAC和DAC的应用在C级操作系统中应用MAC访问控制模型在B级以上操作系统中将MAC和DAC联合应用访问请求MAC检查DAC检查拒绝访问失败通过通过接受访问Evaluationon

在完成某种操作时所赋予网络中每个主体（用户或进程）必不可少的特权"。最小特权原则，则是指"应限定网络中每个主体所必须的最小特权，确保可能的事故、错误、网络部件的篡改等原因造成的损失最小"。最小特权原则一方面给予主体"必不可

少"的特权，这就保证了所有的主体都能在所赋予的特权之下完成所需要完成的任务或操作；另一方面，它只给予主体"必不可少"的特权，这就限制了每个主体所能进行的操作。Evaluationonly.eatedwithAspose.Slidesfo

）的主体，不需要动辄运用到其所有的特权，只有在那些特权有实际需求时，主体才去运用它们。如此一来，将可减少由于不注意的错误或是侵入者假装合法主体所造成的损坏发生，限制了事故、错误或攻击带来的危害。它还减少了特权程序之间潜在的相互作用，从而使对特权无意的、没必要的或不适当的使用不太可能发生。这种想法

统的正常运行及其安全策略库，管理员往往需要一定的特权直接执行一些受限的操作或进行超越安全策略控制的访问。特权是超越访问控制限制的能力，它和访问控制结合使用，提高了系统的灵活性。Evaluationonly.eatedwith

sposePtyLtd.2.4可信通路是用户能够借以直接同可信计算基TCB通信的一种机制。保障用户和内核的可信通信。实现方法：两台终端，一台做通常工作，一台用作与内核的硬连接仍然用同种终端，通过发信号（安全注意键SAK）给核心Evaluationonly.eatedwithAs

是通过对日志的分析来完成的。日志就是记录的事件或统计数据，都能提供关于系统使用及性能方面的信息。主要作用：发现不安全因素，及时报警对违反安全规则的行为或企图提供证据对已受攻击的系统，可以提供信息帮

发生的所有事件，并恢复任何时刻进行的历史情况。但这样存储量过大，并且将严重影响系统的性能。因此。日志的内容应该是有选择的。一般情况下日志的记录应该满足如下的原则：（1）日志应该记录任何必要的事件，以检测已知的攻击模式。（2）日志应该记录任何必要的事件，以检测异

使用身份鉴别机制将客体引入主体的地址空间删除客体管理员、安全员、审计员和一般操作人员的操作其他专门定义的可审计事件日志系统根据安全要求记录上面事件的部分或全部。通常，对于一个事件，日志应包括事件发生的日期和时间、引发事件的用

制记录日志。但大多情况可用系统调用Syslog来记录日志，也可用SNMP记录。下面简单介绍下Syslog：Syslog由Syslog守护程序、Syslog规则集及Syslog系统调用三部分组成，如下图：Evalua

些规则去监控审计事件，并根据规则发现潜在的入侵。（2）基于异常检测的轮廓：确定正常行为轮廓，当日志中的事件违反它或超出他的一定门限，能指出将要发生的威胁。（3）简单攻击探测：对重大威胁特征有明确描述，当攻击现象出现，能及时指出。（4）复杂攻击检测：要求高的

日志分析系统还应能检测到多部入侵序列，当攻击序列出现，能预测其发生的步骤。日志分析就是在日志中寻找模式，其主要内容：Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientPr

层次来保证查阅的安全。（1）审计查阅：审计系统以可理解的方式为授权用户提供查阅日志和分析结果的功能。（2）有限审计查阅：审计系统只能提供对内容的读权限，因此应拒绝具有读以外权限的用户访问审计系统。（3）可选审计查阅：在有限审计

审计踪迹存储：即要求存储系统对日志事件具有防护功能，防止未授权的修改和删除，并具有检测修改和删除的能力。（2）审计数据的可用性保证：在审计存储系统遭受意外时，能防止或检测审计记录的修改，在存储介质存满或存储失败时，

能确保记录不被破坏。（3）防止审计数据丢失：在审计踪迹超过预定的门限或记满时，应采取相应的措施防止数据丢失。这种措施可以是忽略可审计事件、只允许记录有特殊权限的事件、覆盖以前记录、停止工作等等。Evaluationonly.eatedwithAs

策略，如登陆和退出、文件访问、权限非法和关闭系统等。WindowsNT使用一种特殊的格式存放它的日志文件，这种各式的文件可以被事件查看器Eventviewer读取。应用实例WindowsNT中的安全审计Evaluationon

用日志三个。这三个审计日志是审计一WindowsNT系统的核心。默认安装时安全日志不打开。WindowsNT中所有可被审计的事件都存入了其中的一个日志。（1）ApplicationLog：包括用NTSecurityauthority注册的应用

程序产生的信息。（2）SecurityLog：包括有关通过NT可识别安全提供者和客户的系统访问信息。（3）SystemLog:包含所有系统相关事件的信息。察看器可以在Administrativetool程序组中找到。系统管理员

-2011AsposePtyLtd.应用实例WindowsNT中的安全审计2.审计日志和记录格式WindowsNT的审计日志由一系列的事件记录组成，每一个事件记录分为三个功能部分：头、事件描述和可选的附加数据项。如下表显示了一个事件记录的结构。安全日志的入口

通常由头和事件描述组成。数据时间用户名计算机名事件ID源类型种类可变内容,依赖于事件。可以使问题的文本解释和纠正措施的建议附加域。如果采用的话，包含可以字节或字显示的二进制数据及事件记录的源应用产生的信息记录头事件描述附加数据Evaluationonly.ea

触发的。（4）计算机名：事件所在的计算机名。当用户在整个企业范围内集中安全管理时，该信息大大简化了审计信息的回顾。（5）事件ID：事件类型的数字标识。在事件记录描述中，这个域通常被映射成一个文本表识（事件名）。

(6)源：用来响应事件纪录的软件。源可以是一个应用程序、一个系统服务或一个设备驱动器。（7）类型：事件严重性指示器。在系统和应用日志中，类型可以是错误、警告或信息，按重要性降序排列。（8）种类：触发事件类型，主要用在安全日志中指示该类事件

PtyLtd.3.NT事件日志管理特征WindowsNT提供了大量特征给系统管理员区管理操作系统事件日志机制。例如：管理员能限制日志的大小并规定当文档达到容量上限时，如何去处理这些文件。选项包括：用新纪录去冲掉最老的纪录，停止系统直到事件日志备受共清除。Evaluationonly.e

T安全日志的审计策略NT安全日志由审计策略支配，审计策略可以通过配置审计策略对话框中的选项来建立。NT的审计规则如下（既可以审计成功的操作，又可以审计失败的操作）：（1）登陆及注销（2）用户及组管理（3）文件及对象访问（4）安全性规则更改（5）重新启动、关机及系统级事件（

ePtyLtd.5.管理和维护NT审计通常情况下，WindowsNT不是将所有的事件都记录日志，而需要手动启动审计的功能。这是首先需要从开始菜单中选择程序，然后再选择管理工具。从管理工具子菜单选择用户管理器，显示出用户管理起窗口。然后从用户管理器的菜单中单击

policies(策略)，再单击audit(审计)，审计策略窗口就出现了。接着选择单选框”auditthestevents”(审计这些事件)。最后选择需要启动事件的按OK，然后关闭用户管理器。值得注意的是在启动WindowsNT的审计功能时，需要仔细选择审计的内

的审计要求。当需要审查审计日志以跟踪网络或机器上的异常事件时，采用一些第三方提供的工具是一个叫有效率的选择。最后介绍一下WindowsNT的三个日志文件的物理位置。系统日志：%systemroot%\system32\con

fig\sysevent.evt安全日志：%systemroot%\system32\config\secevent.evt应用程序日志：%systemroot%\system32\config\appevent.evt5.管理和维护NT审计Eval

sePtyLtd.保护方法①隔离操作系统的一个基本安全方法是隔离，把一个客体与其它客体隔离起来。物理隔离：不同的处理使用不同的物理设备。如，不同安全级别的处理输出使用不同的打印机；Evaluationonly.eatedwithAspose.Slidesfor.NET3.5C

作系统之下的支撑软件，可以使一套硬件运行多个操作系统，分别执行不同密级任务。密码隔离：用密码加密数据，以其它处理不能理解的形式隐藏数据Evaluationonly.eatedwithAspose.Slidesfor.NET3.5Clien

。每个处理有自己的地址空间、文件和其它客体。操作系统限制每个处理，使其它处理的客体完全隐蔽。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientPr

系统在界限的一边，而用户程序在界限的另一边。主要是阻止用户程序破坏操作系统的程序。这种固定界限方式的限制是死扳的，因为给操作系统预留的存储空间是固定的，不管是否需要。操作系统操作系统硬件地址界限操作系统

寄存器（fenceregister）：它存储操作系统的端地址。与固定界限方式不同，这里的界限是可以变化的。每当用户程序要修改一个地址的数据时，则把该地址与界限地址进行比较，如果该地址在用户区则执行，如果该地址在操作系统区则产生错误信号、并拒绝执行。操作系

入操作系统区，但不能保护一个用户对另一用户区的侵入。类似地，用户也不能隔离保护程序的代码区和数据区。通常采用多对地址界限寄存器，其中一个为上界，另一个为下界（或一个为基址，另一个为界长）。把程序之间，数据之间，堆栈之间隔离保护起来。Evaluationonly.eatedwi

的其余部分钥匙内存锁0110块1101块0101块0110块0110进程Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile5.2.0Copy

right2004-2011AsposePtyLtd.(2)支持虚拟内存的系统进程的存储空间的隔离可以很容易地通过虚拟存储器的方法来实现，分段、分页或段页式，提供了管理和保护主存的有效方法，这类系统通过段表、页表和段页表间接地访问虚拟内存的一个段或一个页。由于表对于进程是私有的，因此，通过

在有关表项中设置保护信息，每个进程可以对该进程能(私有或共享)访问的任何段或页面具有不同的访问权限，在每次地址转换时执行必需的权限检查。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientPr

带有特洛伊木马)，这种不受限制的访问是不允许的，会给系统造成严重威胁。为了限制不可信程序造成潜在损害的范围，系统可限制特权为调用进程所具有的授权的一小部分特权，通常称这种缩小访问后的环境为“沙盒”。Evaluationonly.eatedwithAspose.Slidesfor.NET3

同心环，进行运行的安全保护。•最内环具有最小的环号，具有最高的安全级别；•最外环具有最大的环号，具有最低的安全级别；•内环不受外环的入侵，却可利用外环的资源，并控制外环。Evaluationonly.eatedwithAspose.Slidesfor.NET3.5ClientProfile5

程中，用户不控制IO操作的细节。CPU与计算机系统相连接的各种外围设备通信时，必须读写设备控制器提供的各种寄存器，对这类寄存器的访问可采用两种途径：内存映射接口和I/O指令(集)。Evaluationonly.eatedwithAs

小橙橙

文档分享，欢迎浏览！

文档 25747
被下载 7
被收藏 0

TA的店铺

第二章操作系统全安机制课件

部编版历史中考一轮复习课件全套

专题复习俄国近现代的发展变化课件-人教版

专题04-世界资本主义制度的确立和发展课件

中考系统复习3-中国现代史-1.中华人民共和国的成立和巩固_人教版历史九年级名师课件

中考历史总复习第一编教材知识梳理第11讲中华民族的抗日战争课件

中考历史主题五-中华民族的抗日战争课件

中考历史总复习第二编热点专题速查专题7大国崛起与大国关系三年两次课件

中考历史总复习第二编热点专题速查专题1我国统一多民族国家的形成发展与巩固课件

中考历史专题复习对外关系-教学课件-人教版

中考历史复习专题四大国发展史及重要大国关系课件