《[IT认证]CISP-04-信息安全模型及安全架构设计》由会员分享,可在线阅读,更多相关《[IT认证]CISP-04-信息安全模型及安全架构设计(62页珍藏版)》请在金锄头文库上搜索。
1、GooAnn CISSP TrainingGooAnn CISSP TrainingSecurity Architecture and Security Architecture and DesignDesign 安全架构与设计安全架构与设计2内容目录保护机制保护机制安全模型安全模型系统测评系统测评3保护机制保护机制安全模型安全模型系统测评系统测评4保护机制的基本概念保护机制的基本概念 主体和客体 主体,即主动实体,导致信息在系统中流动及改变系统状 态的用户或进程等 客体,包含或接受信息的被动实体,如文件、内存块等 安全策略 一系列的规则、实践和过程的组合,指示敏感信息如何管 理、保护和发布。
2、 多层次安全策略: Multilevel security policy,防止信息从高 级别安全流向低安全级别的安全策略。这种类型策略只允 许一个主体在其安全级别高于或等于对象安全分类时才能 访问该对象。 安全机制 实现安全策略的一整套软件、硬件的实体,它的作用就是 保证安全策略的实现。5保护机制:保护机制:TCBTCB TCB是计算机系统内保护机制的总体, 包括硬件、固体、软 件和负责执行安全策略的组合体。 TCB由一系列的部件构成,在产品或系统中执行统一的安 全策略。 TCB的三个要求 TCB必须保证其自身在一个域中的执行,防止被外界干扰或破坏 TCB所控制的资源必须是已经定义的主体或客体
3、的子集 TCB必须隔离被保护的资源,以便进行访问控制和审计 TCB维护每个域的保密性和完整性,监视4个基本功能 进程激活:Process activation 执行域的切换:Execution domain switching 内存保护:Memory protection I/O操作:I/O operation6保护机制:保护机制:Reference MonitorReference Monitor RM是一个抽象机的访问控制概念,基于访问控制 数据库协调所有主体对客体的访问 RM的任务 根据访问控制数据库,对主体对客体的访问请求做出 是否允许的裁决,并将该请求记录到审计数据库中。 注意:基准
4、监视器有动态维护访问控制数据库的能力。 RM的特性: 执行主体到对象所有访问的抽象机 必须执行所有访问,能够在修改中 被保护,能够恢复正常,并且总是 被调用。 处理所有主体到客体访问的抽象机7保护机制:保护机制:Security KernelSecurity Kernel 安全内核是TCB中执行引用监视器概念的硬件、固件和软 件元素 理论基础:在一个大的操作系统中,只将相对比较小的一 部分软件负责实施系统安全,并将实施安全的这部分软件 隔离在一个可信的安全核,这个核就称为安全核。 需要满足三个原则 完备性:协调所有的访问控制 隔离性:受保护,不允许被修改 可验证性:被验证是正确的 安全核技术是
5、早期构建安全操作系统最为常用的技术,几 乎可以说是唯一能够实用的技术。 引用监视器RM是概念,抽象的机器,协调所有主体对对 象间的访问;安全内核是硬件,是TCB中执行RM的部分, TCB中除安全内核外还有其它安全机制8保护机制:保护机制:Protection RingProtection Ring 一组同心的编号环 环数决定可以访问的层次,越低的环数表示越高的特 权 程序假定执行环数的位臵 程序不可以直接访问比自身高的层次,如需访问,系 统调用(system call) 一般使用4个保护环: Ring 1 操作系统安全核心 Ring 2 其他操作系统功能 设图示控制器 Ring 3 系统应用程
6、序,数据库功能等 Ring 4 应用程序空间1 2 349保护机制:保护机制:Security LabelsSecurity Labels 分配给一个资源以说明分类级别 根据标签以及主体的级别确定主体是否可以访问 客体资源 不常改变 是一种有效的访问控制机制 需要额外的验证开销10保护机制:保护机制:Security DomainSecurity Domain 安全内核和其它联系安全的系统功能都限制在一 个TCB边界内,即安全区域 安全区域以外的系统元件不需要是可靠的。例如, 一个完全的计算机系统或者一个局域网应该属于 安全区域内部,通过网关同外部的系统和网络相 连接 安全边界,Securit
7、y perimeter 将TCB与系统的其它部分隔离的边界11保护机制:分层保护机制:分层 不同的领域有不同的安全要求,在不同的层次执行,用户端, 数据端或操作端,因而安全机制可应用于硬件、内核、OS、 业务和程序等各个层次。 操作系统设计的一个重要概念是将安全机制放臵在系统的低 层。应用,用户进程编译器,数据库管理应用功能,系统,设备分 配,调度,内存管理同步,资源分配安全功能硬件操作系 统 操作系 统内核安全内 核12保护机制:进程隔离,硬件分离,最小特权保护机制:进程隔离,硬件分离,最小特权 进程隔离,Process Isolation 进程可以互不干扰地运行。 每个进程都被分配了各自的
8、内存空间,多个进程并发 运行时不会相互影响 在进程切换时系统跟踪进程的所有状态,如寄存器等 硬件分离,Hardware Isolation 将TCB与系统中其它不可信的部分隔离 最小特权,Least Privilege 一个进程只拥有它运行所需的权限和访问,只有需要 完全特权的进程才可以运行在内核,其他进程只当需 要时才调用这些特权进程。13保护机制:保护机制:HardeningHardening 传统的Hardening针对操作系统,指保护内核、内存不受其 它在主机上已运行程序的影响 目前这个概念已经扩展到网络 接口上,用于限制可运行的 服务和行为 涉及系统的各个方面: 物理和逻辑访问 操作
9、系统 应用 数据接口 一些硬件厂商目前提供相应系统的hardening版本,如用于 访问控制的sandbox层次,用于分离资源和访问请求14保护机制保护机制安全模型安全模型系统测评系统测评15安全模型的基本概念安全模型的基本概念 “模型”是一个综合的概念,是具体事物的高度 抽象。信息安全的模型是用来描述基本的安全目 标、安全特征或技术的基本组成的一种工具,其 目的是以简洁明了形式说明安全功能的设计和开 发中应该考虑的事项,信息安全模型中往往也包 括了工程实践中的经验和某些具体的考虑。 安全策略提供了实现安全的抽象目标,安全模型 将抽象的安全策略目标映射为信息系统的表达, 通过确定的数据结构和必
10、要的技术执行行安全策 略。16信息安全模型分类信息安全模型分类 访问控制模型,Access control models, 也称为保密性模型(Confidentiality Model) 状态机 Bell-LaPadula 访问矩阵模型 Take-Grant模型 完整性模型,Integrity Models Biba模型 Clark 信息 流模型防止所有未授权的信息流,无论是否在同一级别 信息被限制在策略允许的方向流动19BellBell- -LaPadulaLaPadula 模型模型 1973年,David Bell和Len LaPadula提出了第一个正式的安 全模型,该模型基于强制访问控
11、制系统,以敏感度来划分 资源的安全级别。将数据划分为多安全级别与敏感度的系 统称之为多级安全系统 为美国国防部多级安全策略形式化而开发 Bell-LaPadula保密性模型是第一个能够提供分级别数据机 密性保障的安全策略模型(多级安全)。 特点: 信息流安全模型 只对机密性进行处理 运用状态机模型和状态转换的概念 基于政府信息分级无密级、敏感但无密级、机密、秘密、绝密 “Need to know”谁需要知道? 开始于安全状态,在多个安全状态中转换(初始状态必须安全,转变结果 才在安全状态)20BellBell- -LaPadulaLaPadula 模型安全规则模型安全规则 简单安全规则ss (
12、Simple Security Property ) 安全级别低的主体不能读安全级别高的客体信息(No Read Up) 星规则* The * (star) security Property 安全级别高的主体不能往低级别的客体写(No write Down) 强星规则 Strong * property 不允许对另一级别进行读取 自主安全规则ds (Discretionary security Property ) 使用访问控制矩阵来定义说明自由存取控制 内容相关 Content Dependent 上下文相关Context Dependent21BLPBLP模型的缺陷模型的缺陷 不能防止隐
13、蔽通道(covert channels) 不针对使用文件共享和服务器的现代信息系统 没有明确定义何谓安全状态转移(secure state transition) 基于多级安全保护(multilevel security)而未针对其他 策略类型 不涉及访问控制管理 不保护完整性和可用性22BibaBiba模型模型 完整性的三个目标:保护数据不被未授权用户更改;保护 数据不被授权用户越权修改(未授权更改);维持数据内部 和外部的一致性 1977作为Bell-Lapadula的完整性补充而提出, 用于非军事行 业 Biba基于一种层次化的完整性级别格子(hierarchical lattice o
14、f integrity levels),是一种信息流安全模型。 特点: 基于小于或等于关系的偏序的格 最小上限(上确界), least upper bound (LUB) 最大下限(下确界),greatest lower bound (GLB) Lattice = (IC,= , LUB, GUB) 数据和用户分级 强制访问控制23完整性公理完整性公理 Integrity AxiomsIntegrity Axioms 简单完整条件:一个主体能够对一个客体持有read 访问方式,仅当客体的完整性级别支配主体的完 整性级别。 No read down 完整性星规则:一个主体能够对一个客体持有 wr
15、ite访问方式,仅当主体的完整性级别支配客体 的完整性级别。 No write up 援引规则:一个主体能够对另一个主体持有调用 (invoke)访问方式,仅当第一个主体的完整性级别 支配第二个主体的完整性级别。24LatticeLattice模型模型Lattice 模型通过划分安全边界对BLP模型进行了扩充,它将用 户和资源进行分类,并允许它们之间交换信息,这是多边安全 体系的基础。 多边安全的焦点是在不同的安全集束(部门,组织等)间控制 信息的流动,而不仅是垂直检验其敏感级别。 建立多边安全的基础是为分属不同安全集束的主体划分安全等 级,同样在不同安全集束中的客体也必须进行安全等级划分, 一个主体可同时从属于多个安全集束,而一个客体仅能位于一 个安全集束。 在执行访问控制功能时,lattice模型本质上同BLP模型是相同的, 而lattice模型更注重形成“安全集束“。BLP模型中的“上读下写“ 原则在此仍然适用,但前提条件必须是各对象位于相同的安全 集束中。主体和客体位于不同的安全集束时不具有可比性,因 此在它们中没有信息可以流通。25ClarkClark- -WilsonWilson模型模型 在1987年被提出的 经常应用在银行应用中以保证数据完整性 实现基于成形