是一种保护计算机网络安全的访问控制技术,计算机网络安全技技术访问控制技术.ppt...

计算机网络安全技术

第5章访问控制技术

本章学习目标

计算机网络安全技术

●访问控制的三个要素、7种策略、

内容、模型

●访问控制的安全策略与安全级别

●安全审计的类型、与实施有关的问

●日志的审计

● WindOws nt操作系统中的访问控

制与安全审计

5.1访问控制概述

计

算

机·访间控制是在保障授权用广能获取所需资源的

网

同时拒绝非授权用户的安全机制。网络的访

控制技术是通过对访问的申请、批准和撤销的

络

全过程进行有效的控制,从而确保只有合法用

安

户的合法访问才能给予批准,而且相应的访问

全

只能执行授权的操作。

技

术·访问控制是计算机网络系统安全防范和保护的

重要手段,是保证网络安全最重要的核心策略

之一,也是计算机网络安全理论基础重要组成

部分

5.1.1访问控制的定义

计算机网络安全技术

访问控制是指主体依据某些控制策略或权限对客体本身

或是其资源进行的不同授权访问。访问控制包括三个要

素,即主体、客体和控制策略

主体S( Subject)是指一个提出请求或要求的实体,是

动作的发起者,但不一定是动作的执行者。主体可以是

某个用户,也可以是用户启动的进程、服务和设备。

客体O( Object)是接受其他实体访问的被动实体。客

体的概念也很广泛,凡是可以被操作的信息、资源、对

象都可以认为是客体。在信息社会中,客体可以是信息

文件、记录等的集合体,也可以是网路上的硬件设施

无线通信中的终端,甚至一个客体可以包含另外一个

客体。

控制策略

计算机网

控制策略A( Attribution)是主体对客体的访问规

则集,即属性集合。访问策略实际上体现了一种

络∥按权行为,也就是客体对主体的权限允许

访问控制的目的是为了限制访问主体对访问客体

安的访问权限,从而使计算机网络系统在合法范围

全

内使用;它决定用户能做什么,也决定代表一定

技

术/用身份的进程能做什么。为达到上述目的,访

问控制需要完成以下两个任务

识别和确认访问系统的用户。

决定该用户可以对某一系统资源进行何种类型的访问

7种访问控制策略

计算机网络安全技术

●入网访问控制。

●网络的权限控制。

目录级安全控制。

●属性安全控制。

●网络服务器安全控制。

●网络监测和锁定控制。

●网络端口和节点的安全控制。

5.1.2访问控制矩阵

计算机网络安全技术

访问控制系统三个要素之间的行为关系可以用一个访问

对于任意

aij=P

是访问权

的函数。代表s可以对o执行什么样的操作。访问

制矩阵如下

A

410a

其中,Si(i=0,1,…,m)是主体对所有客体的权限集合

Oj (

n)是客体对所有主体的访问权限集合

5.13访问控制的内容

计

算

访问控制的实现首先要考虑对合法用户进行验证,然后

机

略的选用与管理,最后要对

网

访问控制包括认证、控制策略

实现和审计三个方面的内容。

络●认证:包括主体对客体的识别认证和客体对主体检验

安

全‖·控制策略的具体实现:如何设定规则集合从而确保

合法使

技

而言,更不能

术

越校行使控制策略所赋予其权利以外的功能。

●安全审计:使系统自动记录网络中的“正常”操作

操作以及使用时间、敏

理哥竊饗

据或雯县及为事故发生后的实

5.2访问控制模型

计算机网络安全技术

自主访问控制模型

●强制访问控制模型

●基于角色的访问控制模型

其他访问控制模型

基于任务的访问控制模型

基于对象的访问控制模型

52.1自主访问控制模型

计

算

自主访问控制模型( Discretionary Access Control Model

机

DAC Model)是根据

问控制策略建立的一种

网N,体可设在什么程度上访问画要他

基于对主体或主体所属的主体组的识别来限

络

安

问控制又称为任意访问控制,一个主体的访问权

全

为了实现完整的自主访问系统,DAC模型一般采用访

技

问控制表来表达访问控制信息

术

表( Access Control List,ACL)是基于访问控

列的自主访问控

问控制表的结构如图所示。