工學]操作系統安全講-資料下載頁

　　

【正文】 系統提供方針； 2022/2/15 80 安全模型（續） 安全模型的特點 精確、無歧義 易理解 一般性 是安全策略的顯示表示 安全模型分為形式化的安全模型和非形式化的安全模型； 2022/2/15 81 安全模型（續） 主要安全模型介紹 BellLaPadula模型 Biba模型 ClarkWilson模型 信息流模型 基于角色的存取控制（ RBAC）模型 DTE模型 無干擾模型 2022/2/15 82 BellLaPadula模型 是 1973年 D. Elliott Bell和 Leonard J. LaPadula提出的一個計算機多級安全模型之一； 是第一個可證明的安全系統的數學模 型，實際上是一個形式化的狀態機模型； 包括有兩部分安全策略：自主安全策略和強制安全策略； 2022/2/15 83 BellLaPadula模型（續） ? 幾個重要公理： ? 簡單安全性（ simplesecure property） ? *特性 ? 自主安全性（ discretionarysecurity） ? 兼容性公理（ patibility） ? 定義了一系列的狀態轉換規則和 10條重要定理； ? 特點： ? 支持的是信息的保密性； ? 是通過防止非授權信息的擴散來保證系統的安全； ? 不能防止非授權修改系統信息。 2022/2/15 84 Biba模型 1977年提出的第一個完整性安全模型； 對系統每個主體和每個客體分配一個完整級別（包含兩部分 ——密級和范疇）；安全策略分為非自主策略與自主策略； 優點：簡單、可能可以和 BLP模型相結合。 不足之處： 完整標簽確定的困難性； 在有效保護數據一致性方面是不充分的； 不能抵御病毒攻擊，難以適應復雜應用； 2022/2/15 85 Clark－ Wilson完整性模型 1987年 David Clark和 David Wilson提出的具有里程碑意義的完整性模型； 核心：良構事務（ wellformal transaction） 優點：能有效表達完整性的 3個目標；久經考驗的商業方法； 局限性：性能問題；不利于把對數據的控制策略從數據項中分離；沒有形式化； 2022/2/15 86 其他模型 信息流模型 是存取控制模型的變形，與存取控制模型的差異很小，但是能識別隱蔽通道； 基于角色的存取控制（ RBAC）模型提供一種強制存取控制機制；經過發展，已經形成了 RBAC0RBAC3的家族系列； DTE（ Domain and type enforcement）模型由域定義表和域交互表組成，依據主體域和客體類型來決定訪問權限； 2022/2/15 87 其他模型（續） 無干擾模型是 1982年 J. Goguen和 J. Meseguer提出的基于自動機理論和域隔離的安全系統事項方法； 總結： 安全模型是建立安全操作系統的一個基本要求； 多級安全系統中最廣泛的模型是 BLP機密性安全模型等，這些模型都各具特點； 2022/2/15 88 安全體系結構 安全體系結構的含義： 詳細描述系統中安全相關的所有方面； 在一定的抽象層次上描述各個安全相關模塊之間的關系； 提出指導設計的基本原理； 提出開發過程的基本框架及對應于該框架體系的層次結構； 兩個參考標準： TCSEC和 CC 兩個安全體系： Flask體系和權能體系 2022/2/15 89 安全體系結構類型 美國國防部的目標安全體系（ DoD Goal Security Architecture）中把安全體系分為： 抽象體系（ Abstract Architecture） 通用體系（ Generic Architecture） 邏輯體系（ Logical Architecture） 特殊體系（ Specific Architecture） 2022/2/15 90 安全體系結構設計的基本原則 從系統設計之初就考慮安全性； 應盡量考慮未來可能面臨的安全需求； 隔離安全控制，并使其最小化； 實施特權極小化； 結構化安全相關功能； 使安全相關的界面友好； 不要讓安全依賴于一些隱藏的東西； 2022/2/15 91 安全操作系統設計 設計原則 開發方法 一般開發過程 2022/2/15 92 安全操作系統設計原則 設計原則 最小特權原則 機制的經濟性 開放系統設計 完整的存取控制機制 基于“允許”的設計原則 權限分離 避免信息流的潛在通道 方便使用 2022/2/15 93 開發方法 虛擬機法 改進 /增強法 仿真法 2022/2/15 94 一般開發過程 ? 階段一 ? 系統需求分析：描述各種不同需求 ? 抽象、歸納出安全策略 ? 建立安全模型及安全模型與系統的對應性說明； 階段二 ? 安全機制設計與實現 ? 安全功能測試；重復該兩部分工作； 階段三：安全操作系統可信度認證 2022/2/15 95 安全內核結構（ 1） Secuve Kernel (安全內核 ) subject Object X O 訪問 訪問 Web Griffin 認證 基于數字簽名認證的用戶身份驗證 程序文件設備等 安全操作系統 （ Secure OS） Secuve Kernel 數據庫 2022/2/15 96 安全內核結構（ 2） ? Current Kernel Process 數字簽名 及證書 安全模塊 Security Lib. 訪問控制 列表 安全內核 數字簽名 認證 訪問控制 用戶級 ? Security Kernel Process ? 黑客可以通過獲得系統管理員權限進入文件系統 ? 如果應用了基于數字簽名的安全內核黑客即使獲得了系統管理員權限，他也不能夠訪問文件系統 操作或命令 系統訪問界面 內核 文件系統 過程控制 內存控制 硬件界面 操作或命令 訪問系統界面 內核 文件系統 過程控制 內存控制 硬件界面 內核級 內核級 用戶級 2022/2/15 97 安全內核結構（ 3） Hardware Kernel System Call Interface ls rm vi vi cc df lp A B C D E 用戶 (應用程序 ) Kernel Module 1 vi Kernel Module 2 Kernel Module N Kernel Module N Kernel Module Kernel Module Load/Unload 不可以 (Kernel Sealing) 2022/2/15 98 ?程序自身保護功能 (SelfSecurity) ?被黑客入侵時刪除安全功能。 ?內核密封功能 (Kernel Sealing) ?防止內核模塊的 Loading/ Uploading阻斷惡意的對內核的攻擊。 ?內核隱藏功能 (Kernel Stealth) ?隱藏安全內核降低安全風險 ?不顯示安全內核程序，降低風險。 ?自動保護安全內核 程序目錄 ?防止刪除安全程序保持持續的安全功能 . 國內唯一 安全內核結構（ 4） 2022/2/15 99 基于安全內核的應用 ?Web Griffin 主要對文件的寫權限進行訪問控制 ?File Griffin 對文件的讀，寫，執行進行訪問控制 ?共性 保護主要 daemon 防止 init 2022/2/15 100 謝謝！再見！