2019年上半年信息安全工程师下午案例题及解析

试题一 【说明】

访问控制是保障信息系统安全的主要策略之一，其主要任务是保证系统资源不被非法使用和非常规访问。访问控制规定了主体对客体访问的限制，并在身份认证的基础上，对用户提出的资源访问请求加以控制。当前，主要的访问控制模型包括：自主访问控制(DAC)模型和强制访问控制(MAC)模型。

问题： 1.1(6 分)

针对信息系统的访问控制包含哪三个基本要素？

问题： 1.2(4 分)

BLP 模型是一种强制访问控制模型，请问：

(1)BLP 模型保证了信息的机密性还是完整性？

(2)BLP 模型采用的访问控制策略是上读下写还是下读上写？

问题： 1.3(4 分)

Linux 系统中可以通过Is 命令查看文件的权限，例如：文件net.txt 的权限属性如下所示：

-rwx-------1 root root 5025 May 25 2019 /home/abc/net.txt

请问：

(1)文件net.txt 属于系统的哪个用户？

(2)文件net.txt 权限的数字表示是什么？

试题一答案及解析：

【问题1】

参考答案信息系统访问控制的三个基本要素为：主体、客体、授权访问。

试题解析：访问控制的三个基本概念如下。

●主体：改变信息流动和系统状态的主动方。主体可以访问客体。主体可以是进程、用户、用户组、应用等。

●客体：包含或者接收信息的被动方。客体可以是文件、数据、内存段、字节等。

●授权访问：决定谁能访问系统，谁能访问系统的哪种资源以及如何使用这些资源。方式有读、写、执行、搜索等。

【问题2】

参考答案

(1)机密性

(2)下读上写

试题解析：BLP模型的特点：

①只允许主体向下读，不能上读（简单安全特性规则）；

②主体只能向上写，不能向下写(*特性规则)；

③既不允许低信任级别的主体读高敏感度的客体，也不允许高敏感度的客体写入低敏感度区域，禁止信息从高级别流向低级别。这样保证了数据的机密性。

【问题3】

参考答案

(1)root

(2)700

试题解析：文件权限属性各参数含义如下所示。

文件属性  文件数 拥有者 所属group  文件大小  创建日期        文件名

-rwx------  1     root    root       5025    May25 2019   /home/abc/net.txt

所以，文件/net.txt的所有者和所属组都为root。

第一列：表示文件的属性。Linux的文件分为三个属性：可读(r)可写(w)、可执行(x)。该列共有十个位置可以填。第一个位置是表示类型，可以是目录或连结文件，其中d表示目录，1表示连结文件，“-”表示普通文件，b代表块设备文件，c代表字符设备文件。

剩下的9个位置以每3个为一组。第一列格式如下图所示。默认情况下，系统将创建的普通文件的权限设置为-rw-r-r-。

 

图中后9位每三位一组共分成了三组，每组的表达方式有两种，分别是符号形式表示与数字形式表示。以rwx这组参数为例，其两种形式的表示方法及含义如下。

1)符号形式。

第一位表示是否有读权限。“r”表示有读权限；“-”表示没有读权限。

第二位表示是否有写权限。“w”表示有写权限；“-”表示没有写权限

第三位表示是否有执行权限。“x”表示有执行权限：“-”表示没有执行权限。

2)数字形式。

第一位表示是否有读权限。“4”表示有读权限；“0”表示没有读权限。

第二位表示是否有写权限。“2”表示有写权限：“0”表示没有写权限。

第三位表示是否有执行权限。“1”表示有执行权限：“0”表示没有执行权限。

各位相加即为该组权限的数值表达。

本题的第一组的权限符号形式为rwx，则对应数字形式为4+2+1=7。

本题的其他组的权限符号形式为---，则对应数字形式为0+0+0=0。

所以，文件net.txt权限的数字表示是700。

第二列：表示文件个数。如果是文件，这个数就是1；如果是目录，则表示该目录中的文件个数。

第三列：表示该文件或目录的拥有者。