1、第第5 5章章 身份認證與訪問控制身份認證與訪問控制 5.2 數字簽名概述數字簽名概述 2 5.3 訪問控制技術概述訪問控制技術概述3 5.4 安全審計概述安全審計概述 4 5.1 身份認證技術概述身份認證技術概述 1 5.5 本章小結本章小結 5目目 錄錄 理解理解身份認證的概念及常用認證方式方法身份認證的概念及常用認證方式方法 了解數字簽名的概念、功能、原理和過程了解數字簽名的概念、功能、原理和過程 掌握掌握訪問控制的概念、原理、類型、機制和策略訪問控制的概念、原理、類型、機制和策略 理解理解安全審計的概念、類型、跟蹤與實施安全審計的概念、類型、跟蹤與實施 了解訪問列表與了解訪問列表與Te

2、lnet訪問控制實驗訪問控制實驗5.1 身份認證技術概述身份認證技術概述 身份認證基本方法身份認證基本方法有三種：用戶物件認證；有關信息確認或體有三種：用戶物件認證；有關信息確認或體貌特征識別。貌特征識別。 認證認證（Authentication）是指對主客體身份進行確認的過程。）是指對主客體身份進行確認的過程。 身份認證身份認證（Identity Authentication）是指網絡用戶在進入系統）是指網絡用戶在進入系統或訪問受限系統資源時，系統對用戶身份的鑒別過程。或訪問受限系統資源時，系統對用戶身份的鑒別過程。1. 身份認證的概念身份認證的概念 認證技術認證技術是用戶身份認證與鑒別的重

3、要手段是用戶身份認證與鑒別的重要手段，也是計算機系統，也是計算機系統安全中一項重要內容安全中一項重要內容.從鑒別對象上從鑒別對象上,分為分為消息認證消息認證和和用戶身份認證用戶身份認證: （1）消息認證：用于保證信息的完整性和不可否認性。）消息認證：用于保證信息的完整性和不可否認性。 （2）身份認證：鑒別用戶身份。包括識別和驗證兩部分。識別）身份認證：鑒別用戶身份。包括識別和驗證兩部分。識別是鑒別訪問者的身份，驗證是對訪問者身份的合法性進行確認。是鑒別訪問者的身份，驗證是對訪問者身份的合法性進行確認。從認證關系上，身份認證也可分為用戶與主機間的認證和主機之間從認證關系上，身份認證也可分為用戶與

4、主機間的認證和主機之間的認證，的認證， 5.1 身份認證技術概述身份認證技術概述 1. 靜態密碼方式靜態密碼方式 靜態密碼方式靜態密碼方式是指以用戶名及密碼認證的方式，是指以用戶名及密碼認證的方式，是最簡單最常用的身份認證方法。是最簡單最常用的身份認證方法。 2. 動態口令認證動態口令認證 動態口令動態口令是應用最廣的一種身份識別方式是應用最廣的一種身份識別方式，基于動態，基于動態口令認證的方式主要有動態安風險和隱患的環境口令認證的方式主要有動態安風險和隱患的環境. 短信密碼和動態口令牌（卡）兩種方式，口令一次一密。短信密碼和動態口令牌（卡）兩種方式，口令一次一密。 3. USB Key認證認

5、證 采用軟硬件相結合、一次一密的采用軟硬件相結合、一次一密的強雙因素（兩種認證方法）認強雙因素（兩種認證方法）認證模式證模式。其身份認證系統主要有。其身份認證系統主要有兩種認證模式兩種認證模式：基于沖擊：基于沖擊/響應模響應模式和基于式和基于PKI體系的認證模式體系的認證模式.常用的常用的網銀網銀USB Key如圖如圖5-2所示所示. 4. 生物識別技術生物識別技術 生物識別技術生物識別技術是指通過可測量的生物信息和行為等特征是指通過可測量的生物信息和行為等特征 進行進行身份認證的一種技術。認證系統測量的生物特征一般是用戶唯一生身份認證的一種技術。認證系統測量的生物特征一般是用戶唯一生理特征或

6、行為方式。生物特征理特征或行為方式。生物特征分為分為身體特征和行為特征身體特征和行為特征兩類兩類。 圖圖5-1動態口令牌動態口令牌 5.1 身份認證技術概述身份認證技術概述 4. 生物識別技術生物識別技術 生物識別技術生物識別技術是指通過可測量的生物信息和行為等是指通過可測量的生物信息和行為等特征進行身份認證的一種技術。認證系統測量的生物特特征進行身份認證的一種技術。認證系統測量的生物特征一般是用戶唯一生理特征或行為方式。征一般是用戶唯一生理特征或行為方式。生物特征生物特征分為分為身體特征和行為特征身體特征和行為特征兩類兩類。 5. CA認證認證 國際認證機構國際認證機構通稱為通稱為CA，是對

7、數字證書的申請者，是對數字證書的申請者發放、管理、取消的機構。發放、管理、取消的機構。用于用于檢查證書持有者身份的檢查證書持有者身份的合法性，并簽發證書，以防證書被偽造或篡改。發放、合法性，并簽發證書，以防證書被偽造或篡改。發放、管理和認證是一個復雜的過程，管理和認證是一個復雜的過程，即即CA認證過程，如表認證過程，如表5-1所示。所示。 5.1 身份認證技術概述身份認證技術概述表表5-1 5-1 證書的類型與作用證書的類型與作用 證書名稱證書名稱證書類型證書類型主要功能描述主要功能描述個人證書個人證書個人證書個人證書個人網上交易、網上支付、電子郵件等相關網個人網上交易、網上支付、電子郵件等相

8、關網絡作業絡作業單位證書單位證書單位身份證書單位身份證書用于企事業單位網上交易、網上支付等用于企事業單位網上交易、網上支付等EmailEmail證書證書用于企事業單位內安全電子郵件通信用于企事業單位內安全電子郵件通信部門證書部門證書用于企事業單位內某個部門的身份認證用于企事業單位內某個部門的身份認證服務器證書服務器證書企業證書企業證書用于服務器、安全站點認證等用于服務器、安全站點認證等代碼簽名證代碼簽名證書書個人證書個人證書用于個人軟件開發者對其軟件的簽名用于個人軟件開發者對其軟件的簽名企業證書企業證書用于軟件開發企業對其軟件的簽名用于軟件開發企業對其軟件的簽名注：數字證書標準有注：數字證書標

9、準有：X.509證書、簡單證書、簡單PKI證書、證書、PGP證書和屬性證書證書和屬性證書 5.1 身份認證技術概述身份認證技術概述 CA主要職能主要職能是管理和維護所簽發的證書，并提是管理和維護所簽發的證書，并提供各種證書服務，供各種證書服務，包括包括書的簽發、更新、回收、歸檔書的簽發、更新、回收、歸檔等等.CA系統的系統的主要功能主要功能是管理其轄域內的用戶證書是管理其轄域內的用戶證書. CA的的主要職能主要職能體現在體現在3個方面個方面： （1）管理和維護客戶的證書和證）管理和維護客戶的證書和證 書作廢表（書作廢表（CRL）。）。 （2）維護整個認證過程的安全。）維護整個認證過程的安全。

10、（3）提供安全審計的依據。）提供安全審計的依據。 5.1 身份認證技術概述身份認證技術概述5.1.3 5.1.3 身份認證系統概述身份認證系統概述1. 1. 身份認證系統的構成身份認證系統的構成 身份認證系統的身份認證系統的組成組成包括：包括：認證服務器、認證系統客戶端認證服務器、認證系統客戶端和認證設備。系統主要通過身和認證設備。系統主要通過身份認證協議和認證系統軟硬件份認證協議和認證系統軟硬件進行實現。進行實現。 其中，其中，身份認證協議身份認證協議又分又分為為：單向認證協議和雙向認證：單向認證協議和雙向認證協議。若通信雙方只需一方鑒協議。若通信雙方只需一方鑒別另一方的身份，則稱別另一方的

11、身份，則稱單項認單項認證協議證協議；如果雙方都需要驗證；如果雙方都需要驗證身份，則稱身份，則稱雙向認證協議雙向認證協議。如。如圖圖5-3所示。所示。 圖圖5-3 認證系統網絡結構圖認證系統網絡結構圖 5.1 身份認證技術概述身份認證技術概述 【案例案例5-1】AAA認證系統現階段應用最廣認證系統現階段應用最廣。認證認證（Authentication）是驗證用戶身份與可使用網絡是驗證用戶身份與可使用網絡服務的過程；服務的過程；授權授權（Authorization）是依據認證結是依據認證結果開放網絡服務給用戶的過程果開放網絡服務給用戶的過程;審計審計（Accounting）是記錄用戶對各種網絡服務

12、的用量，并計費的過程。是記錄用戶對各種網絡服務的用量，并計費的過程。 案例案例5-15-15.1 身份認證技術概述身份認證技術概述 1）固定口令認證）固定口令認證 固定口令認證方式簡單，易受攻擊固定口令認證方式簡單，易受攻擊： （1）網絡數據流竊聽（）網絡數據流竊聽（Sniffer）。）。 （2）認證信息截取）認證信息截取/重放。重放。 （3）字典攻擊。）字典攻擊。 （4）窮舉嘗試（）窮舉嘗試（Brute Force）。）。 （5）窺探密碼。）窺探密碼。 （6）社會工程攻擊。）社會工程攻擊。 （7）垃圾搜索。）垃圾搜索。 2）一次性口令密碼體制）一次性口令密碼體制 一次性口令認證系統組成：一次

13、性口令認證系統組成： （1）生成不確定因子。）生成不確定因子。 （2）生成一次性口令。）生成一次性口令。 2.2.常用認證系統及認證方法常用認證系統及認證方法 5.1 身份認證技術概述身份認證技術概述 圖圖5-4 E-Securer安全認證系統安全認證系統 3）雙因素安全令牌及認證系統）雙因素安全令牌及認證系統 （1）E-Securer的組成的組成 （2）E-Securer的安全性。的安全性。5.1 身份認證技術概述身份認證技術概述 4) 單點登入系統單點登入系統 單點登入單點登入（Single Sign On，SSO）也稱）也稱單次登入單次登入，是在，是在多個應用系統中，用戶只需要登入一次就

14、可以訪問所有相互多個應用系統中，用戶只需要登入一次就可以訪問所有相互信任的應用系統。信任的應用系統。 單點登入優勢單點登入優勢體現在體現在5個方面：個方面： （1 1）管理簡單。）管理簡單。 （2 2）管理控制便捷。）管理控制便捷。 （3 3）用戶使用簡捷。）用戶使用簡捷。 （4 4）網絡更安全。）網絡更安全。 （5 5）合并異構網絡。）合并異構網絡。 5）Infogo身份認證身份認證 盈高科技盈高科技INFOGO推出的推出的安全身份認證準入控制系統安全身份認證準入控制系統。其。其終端安全管理平臺由終端安全管理平臺由MSAC安全準入套件、安全準入套件、ITAM資產管理套資產管理套件、件、MSE

15、P桌面套件（包括應用管理、補丁管理、終端運維管桌面套件（包括應用管理、補丁管理、終端運維管理、安全評估及加固、違規外聯、網絡流量安全管理、行為理、安全評估及加固、違規外聯、網絡流量安全管理、行為管理）和管理）和MSM移動存儲介質管理套件組成。移動存儲介質管理套件組成。 1.什么是身份認證？身份認證技術有哪幾什么是身份認證？身份認證技術有哪幾種類型？種類型？ 2.常用的身份認證方式有哪些？并舉例。常用的身份認證方式有哪些？并舉例。 3.常用認證系統和認證方法有哪些？常用認證系統和認證方法有哪些？ 5.2數字簽名概述數字簽名概述 數字簽名數字簽名（Digital Signature）又稱）又稱公鑰

16、數字簽名公鑰數字簽名或或電子電子簽章簽章，是以電子形式存儲于信息中或以附件或邏輯上與之有聯系的，是以電子形式存儲于信息中或以附件或邏輯上與之有聯系的數據，用于辨識數據簽署人的身份，并表明簽署人對數據中所包信數據，用于辨識數據簽署人的身份，并表明簽署人對數據中所包信息的認可。息的認可。 基于公鑰密碼體制和私鑰密碼體制都可獲得數字簽名，目前主基于公鑰密碼體制和私鑰密碼體制都可獲得數字簽名，目前主要是基于公鑰密碼體制的數字簽名。包括普通數字簽名和特殊數字要是基于公鑰密碼體制的數字簽名。包括普通數字簽名和特殊數字簽名兩種。簽名兩種。 2. 數字簽名的功能數字簽名的功能 保證信息傳輸的完整性、發送者的身

17、份認證、防止交易中的抵保證信息傳輸的完整性、發送者的身份認證、防止交易中的抵賴行為發生。數字簽名技術是將摘要信息用發送者的私鑰加密，與賴行為發生。數字簽名技術是將摘要信息用發送者的私鑰加密，與原文一起傳送給接收者。原文一起傳送給接收者。最終目的是實現最終目的是實現6種種安全保障功能：安全保障功能：（）必須可信。（）無法抵賴。（）不可偽造。（）必須可信。（）無法抵賴。（）不可偽造。（）不能重用。（）不許變更。（）處理快、應用廣。（）不能重用。（）不許變更。（）處理快、應用廣。 1. 數字簽名的概念及種類數字簽名的概念及種類5.2數字簽名概述數字簽名概述 5.2.2 5.2.2 數字簽名的原理及過

18、程數字簽名的原理及過程 1數字簽名算法的組成數字簽名算法的組成 數字簽名算法主要有兩部分組成：數字簽名算法主要有兩部分組成：簽名算法和驗證算簽名算法和驗證算法。簽名者可使用一個秘密的簽名算法簽署一個數據文法。簽名者可使用一個秘密的簽名算法簽署一個數據文件，所得的簽名可通過一個公開的驗證算法進行驗證。件，所得的簽名可通過一個公開的驗證算法進行驗證。常用數字簽名主要是公鑰加密（非對稱加密）算法的典常用數字簽名主要是公鑰加密（非對稱加密）算法的典型應用。型應用。 2數字簽名基本原理及過程數字簽名基本原理及過程 在網絡環境中，在網絡環境中，數字簽名數字簽名可以代替可以代替現實中的現實中的“親筆親筆簽字

19、簽字”。整個數字簽名的。整個數字簽名的基本原理基本原理采用的是雙加密方式，采用的是雙加密方式，先將原文件用對稱密鑰加密后傳輸，并將其密鑰用接收先將原文件用對稱密鑰加密后傳輸，并將其密鑰用接收方公鑰加密發給對方。一套完整的數字簽名通常定義簽方公鑰加密發給對方。一套完整的數字簽名通常定義簽名和驗證兩種互補的運算。單獨的數字簽名只是一加密名和驗證兩種互補的運算。單獨的數字簽名只是一加密過程，簽名驗證則是一個解密的過程。過程，簽名驗證則是一個解密的過程。基本原理及過程，基本原理及過程，如圖如圖5-5所示。所示。 5.2數字簽名概述數字簽名概述 圖圖5-5 數字簽名原理及過程數字簽名原理及過程 1數字簽

20、名和現實中的簽名有哪些區別和聯系？數字簽名和現實中的簽名有哪些區別和聯系？ 2數字簽名的基本原理及過程怎樣？數字簽名的基本原理及過程怎樣？ 5.3 訪問控制技術概述 1.訪問控制的概念及要素訪問控制的概念及要素 訪問控制訪問控制（Access Control）指系統對用戶身份及指系統對用戶身份及其所屬的預先定義的策略組限制其使用數據資源能力的其所屬的預先定義的策略組限制其使用數據資源能力的手段。通常用于系統管理員控制用戶對服務器、目錄、手段。通常用于系統管理員控制用戶對服務器、目錄、文件等網絡資源的訪問。文件等網絡資源的訪問。 訪問控制的訪問控制的主要目的主要目的是限制訪問主體對客體的訪問，是

21、限制訪問主體對客體的訪問，從而保障數據資源在合法范圍內得以有效使用和管理。從而保障數據資源在合法范圍內得以有效使用和管理。訪問控制包括訪問控制包括三個要素三個要素：（1）主體）主體S（Subject）.是指提出訪問資源具體請求是指提出訪問資源具體請求.（2）客體）客體O（Object）. 是指被訪問資源的實體。是指被訪問資源的實體。（3）控制策略）控制策略A（Attribution）。）。 5.3.1 訪問控制的概念及原理訪問控制的概念及原理5.3 訪問控制技術概述 圖圖5-6 5-6 訪問控制功能及原理訪問控制功能及原理2.2.訪問控制的功能及原理訪問控制的功能及原理 訪問控制的訪問控制的主

22、要功能主要功能包括：保證合法用戶訪問受權保護的包括：保證合法用戶訪問受權保護的網絡資源，防止非法的主體進入受保護的網絡資源，或防止合網絡資源，防止非法的主體進入受保護的網絡資源，或防止合法用戶對受保護的網絡資源進行非授權的訪問。訪問控制的內法用戶對受保護的網絡資源進行非授權的訪問。訪問控制的內容包括認證、控制策略實現和安全審計，如圖容包括認證、控制策略實現和安全審計，如圖5-65-6所示。所示。5.3 訪問控制技術概述5.3.2 5.3.2 訪問控制的類型及機制訪問控制的類型及機制 訪問控制訪問控制可以可以分為分為兩個兩個層次層次：物理訪問控制和邏：物理訪問控制和邏輯訪問控制。輯訪問控制。 1

23、. 訪問控制的類型訪問控制的類型訪問控制類型有訪問控制類型有3種模式：種模式： 1）自主訪問控制）自主訪問控制 自主訪問控制（自主訪問控制（Discretionary Access Control，DAC）是一種接入控制服務，通過執行基）是一種接入控制服務，通過執行基于系統實體身份及其到系統資源的接入授權。包括于系統實體身份及其到系統資源的接入授權。包括在文件，文件夾和共享資源中設置許可在文件，文件夾和共享資源中設置許可。 【案例案例5-3】在在Linux系統中，訪問控制采用了系統中，訪問控制采用了DAC模模式，如圖式，如圖5-7中所示。高優先級主體可將客體的訪問中所示。高優先級主體可將客體的

24、訪問權限授予其他主體。權限授予其他主體。案例案例5-25-25.3 訪問控制技術概述 圖圖5-7 Linux系統中的自主訪問控制系統中的自主訪問控制 5.3 訪問控制技術概述 2）強制訪問控制）強制訪問控制 強制訪問控制強制訪問控制（MAC）是系統強制主體服從訪問控制）是系統強制主體服從訪問控制策略策略.是由系統對用戶所創建的對象，按照規則控制用戶是由系統對用戶所創建的對象，按照規則控制用戶權限及操作對象的訪問權限及操作對象的訪問.主要特征主要特征是對所有主體及其所控是對所有主體及其所控制的進程、文件、段、設備等客體實施強制訪問控制制的進程、文件、段、設備等客體實施強制訪問控制. MAC安全級

25、別安全級別常用常用4級：絕密級、秘密級、機密級和無級級：絕密級、秘密級、機密級和無級別級別級,其中其中TSCU.系統中的主體（用戶系統中的主體（用戶,進程）和客體進程）和客體（文件（文件,數據）都分配安全標簽數據）都分配安全標簽,以標識安全等級。以標識安全等級。 3）基于角色的訪問控制）基于角色的訪問控制 角色角色（Role）是一定數量的權限的集合。指完成一是一定數量的權限的集合。指完成一項任務必須訪問的資源及相應操作權限的集合。角色作項任務必須訪問的資源及相應操作權限的集合。角色作為一個用戶與權限的代理層為一個用戶與權限的代理層,表示為權限和用戶的關系表示為權限和用戶的關系,所有的授權應該給

26、予角色而不是直接給用戶或用戶組所有的授權應該給予角色而不是直接給用戶或用戶組. 5.3 訪問控制技術概述 基于角色的訪問控制基于角色的訪問控制（RBAC）是是通過通過對角色的訪問對角色的訪問所進行的控制所進行的控制。使權限與角色。使權限與角色相關聯相關聯，用戶通過成為適，用戶通過成為適當角色的成員而得到其角色的權限。可極大地簡化權限當角色的成員而得到其角色的權限。可極大地簡化權限管理。管理。RBAC模型模型的的授權管理方法授權管理方法，主要有，主要有3種：種： 根據任務需要定義具體不同的角色。根據任務需要定義具體不同的角色。 為不同角色分配資源和操作權限。為不同角色分配資源和操作權限。 給一個

27、用戶組（給一個用戶組（Group權限分配的單位與載體）權限分配的單位與載體）指定一個角色。指定一個角色。 RBAC支持支持三個著名的三個著名的安全原則安全原則：最小權限原則、：最小權限原則、責任分離原則和數據抽象原則。責任分離原則和數據抽象原則。 5.3 訪問控制技術概述 2.訪問控制機制訪問控制機制 訪問控制機制訪問控制機制是是檢測和防止檢測和防止系統未授權訪問，并對保護系統未授權訪問，并對保護資源所采取的各種措施。是在文件系統中廣泛應用的安全防護資源所采取的各種措施。是在文件系統中廣泛應用的安全防護方法方法,一般是在操作系統的控制下，按照事先確定的規則決定一般是在操作系統的控制下，按照事先

28、確定的規則決定是否允許主體訪問客體是否允許主體訪問客體,貫穿于系統全過程貫穿于系統全過程.訪問控制矩陣訪問控制矩陣(Access Contro1 Matrix)是最初實現訪問控制機制的概念模是最初實現訪問控制機制的概念模型型,以二維矩陣規定主體和客體間訪問權限以二維矩陣規定主體和客體間訪問權限. 2種種方法方法: 1）訪問控制列表）訪問控制列表 訪問控制列表訪問控制列表（Access Control List，ACL）是應用在路由器是應用在路由器接口的指令列表，用于路由器利用源地址、目的地址、端口號等的特接口的指令列表，用于路由器利用源地址、目的地址、端口號等的特定指示條件對數據包的抉擇。定指

29、示條件對數據包的抉擇。 2）能力關系表）能力關系表 能力關系表能力關系表（Capabilities List）是以用戶為中心建立訪問權限是以用戶為中心建立訪問權限表。與表。與ACL相反，表中規定了該用戶可訪問的文件名及權限，利用此相反，表中規定了該用戶可訪問的文件名及權限，利用此表可方便地查詢一個主體的所有授權。相反，檢索具有授權訪問特定表可方便地查詢一個主體的所有授權。相反，檢索具有授權訪問特定客體的所有主體，則需查遍所有主體的能力關系表。客體的所有主體，則需查遍所有主體的能力關系表。5.3 訪問控制技術概述 3. 單點登入的訪問管理單點登入的訪問管理 根據登入的應用類型不同根據登入的應用類

30、型不同,可將可將SSO分為分為3種類型種類型. 1）對桌面資源的統一訪問管理）對桌面資源的統一訪問管理 對桌面資源的訪問管理，包括兩個方面：對桌面資源的訪問管理，包括兩個方面： 登入登入Windows后統一訪問后統一訪問Microsoft應用資源。應用資源。 登入登入Windows后訪問其他應用資源。后訪問其他應用資源。 2）Web單點登入單點登入 由于由于Web技術體系架構便捷，對技術體系架構便捷，對Web資源的統一訪問管資源的統一訪問管理易于實現，如圖理易于實現，如圖5-8所示。所示。 瀏覽器瀏覽器瀏覽器瀏覽器Web訪問管理企業信息門戶Web應用Web應用后臺應用后臺應用后臺應用客戶端客戶

31、端-Web應用應用SSO門戶門戶-后臺后臺SSO圖5-8 Web單點登入訪問管理系統 3）傳統）傳統C/S 結構應用結構應用的統一訪問管理的統一訪問管理 在傳統在傳統C/S 結構應用上結構應用上,實現管理前臺的統一或統實現管理前臺的統一或統一入口是一入口是關鍵關鍵.采用采用Web客客戶端作為前臺是企業最為戶端作為前臺是企業最為常見的一種解決方案常見的一種解決方案.5.3 訪問控制技術概述 訪問控制的安全策略訪問控制的安全策略是指在某個自治區域內（屬于某是指在某個自治區域內（屬于某個組織的一系列處理和通信資源范疇），用于所有與安全個組織的一系列處理和通信資源范疇），用于所有與安全相關活動的一套訪

32、問控制規則。其安全策略有三種類型：相關活動的一套訪問控制規則。其安全策略有三種類型：基于身份的安全策略、基于規則的安全策略和綜合訪問控基于身份的安全策略、基于規則的安全策略和綜合訪問控制方式。制方式。1. 安全策略實施原則安全策略實施原則 訪問控制安全策略原則訪問控制安全策略原則集中在主體、客體和安全控制集中在主體、客體和安全控制規則集三者之間的關系。規則集三者之間的關系。 （1 1）最小特權原則。）最小特權原則。 （2 2）最小泄露原則。）最小泄露原則。 （3 3）多級安全策略。）多級安全策略。 5.3 訪問控制技術概述訪問控制技術概述2. 2. 基于身份和規則的安全策略基于身份和規則的安全

33、策略 授權行為授權行為是建立身份安全策略和規則安全策略的基礎，是建立身份安全策略和規則安全策略的基礎，兩種安全策略兩種安全策略為：為： 1 1）基于身份的安全策略）基于身份的安全策略 （1 1）基于個人的安全策略。）基于個人的安全策略。 （2 2）基于組的安全策略。）基于組的安全策略。 2 2）基于規則的安全策略）基于規則的安全策略 在基于規則的安全策略系統中在基于規則的安全策略系統中, ,所有數據和資源都標注了所有數據和資源都標注了安全標記安全標記, ,用戶的活動進程與其原發者具有相同的安全標記用戶的活動進程與其原發者具有相同的安全標記. .5.3 訪問控制技術概述訪問控制技術概述2. 2.

34、 基于身份和規則的安全策略基于身份和規則的安全策略 綜合訪問控制策略綜合訪問控制策略（HACHAC）繼承并吸取多種主流訪問控制技術優點繼承并吸取多種主流訪問控制技術優點, ,有效地解決了訪問控制問題有效地解決了訪問控制問題, ,保護數據的保密性和完整性，保證授權主保護數據的保密性和完整性，保證授權主體能訪問客體和拒絕非授權訪問體能訪問客體和拒絕非授權訪問. .具有良好靈活性、可維護性具有良好靈活性、可維護性, ,可管理可管理性、更細粒度的訪問控制性和更高安全性。性、更細粒度的訪問控制性和更高安全性。HACHAC主要主要包括：包括：（1 1）入網訪問控制。）入網訪問控制。（2 2）網絡的權限控制

35、。）網絡的權限控制。（3 3）目錄級安全控制。）目錄級安全控制。（4 4）屬性安全控制。）屬性安全控制。（5 5）網絡服務器安全控制。）網絡服務器安全控制。（6 6）網絡監控和鎖定控制。）網絡監控和鎖定控制。（7 7）網絡端口和結點的安全控制。）網絡端口和結點的安全控制。 5.3 訪問控制技術概述5.3.4 5.3.4 認證服務與訪問控制系統認證服務與訪問控制系統1.AAA技術概述技術概述 5.1.3中中 AAA認證系統認證系統的的功能功能包括包括3個部分：認證、鑒權個部分：認證、鑒權和審計。和審計。AAA一般運行于網絡接入服務器，提供一個有力的一般運行于網絡接入服務器，提供一個有力的認證、鑒

36、權、審計信息采集和配置系統。網絡管理者可根據認證、鑒權、審計信息采集和配置系統。網絡管理者可根據需要選用適合需要的具體網絡協議及認證系統。需要選用適合需要的具體網絡協議及認證系統。 2.遠程鑒權撥入用戶服務遠程鑒權撥入用戶服務 遠程鑒權撥入用戶服務遠程鑒權撥入用戶服務（RADIUS）主要用于主要用于管理遠管理遠程用戶的網絡登入程用戶的網絡登入.主要基主要基于于C/S架構架構,客戶端客戶端最初是最初是NAS服服務器，現在任何運行務器，現在任何運行RADIUS客戶端軟件的計算機都可成為客戶端軟件的計算機都可成為其客戶端。其客戶端。RADIUS協議認證機制靈活協議認證機制靈活, 可可采用采用PAP、

37、CHAP或或Unix登入認證登入認證等多種方式等多種方式.其其模型模型如圖如圖5-9所示。所示。5.3 訪問控制技術概述。 1 1）RADIUSRADIUS協議主要工作過程協議主要工作過程 2 2）RADIUSRADIUS的加密方法的加密方法 3 3）RADIUSRADIUS的重傳機制的重傳機制3.3.終端訪問控制系統終端訪問控制系統 終端訪問控制終端訪問控制（TACACSTACACS）功能功能: :通過一個或幾個中心服通過一個或幾個中心服務器為網絡設備提供訪問控制服務務器為網絡設備提供訪問控制服務. .與上述區別與上述區別, ,它是它是CiscoCisco專用協議專用協議, ,具有獨立身份認

38、證、鑒權和審計等功能具有獨立身份認證、鑒權和審計等功能. . 5.3 訪問控制技術概述 2. 準入控制技術方案比較準入控制技術方案比較不同廠商準入控制方案在原理上類似，但實不同廠商準入控制方案在原理上類似，但實現方式各不相同。主要區別現方式各不相同。主要區別4個方面。個方面。1）選取協議）選取協議2）身份認證管理方式）身份認證管理方式3）策略管理）策略管理4）準入控制）準入控制 5.3.5 5.3.5 準入控制與身份認證管理準入控制與身份認證管理1. 準入控制技術準入控制技術 思科公司和微軟的網絡準入控制思科公司和微軟的網絡準入控制NAP其原理和本質一其原理和本質一致，不僅對用戶身份進行認證，

39、還對用戶的接入設備進行致，不僅對用戶身份進行認證，還對用戶的接入設備進行安全狀態評估（包括防病毒軟件、系統補丁等），使每個安全狀態評估（包括防病毒軟件、系統補丁等），使每個接入點都具有較高的可信度和健壯性，從而保護網絡基礎接入點都具有較高的可信度和健壯性，從而保護網絡基礎設施。華為設施。華為2005年推出端點準入防御產品。年推出端點準入防御產品。5.3 訪問控制技術概述 3準入控制技術中的身份認證準入控制技術中的身份認證 身份認證技術的發展過程，從軟件到軟硬件結合，身份認證技術的發展過程，從軟件到軟硬件結合，從單一因子認證到雙因素認證，從靜態認證到動態從單一因子認證到雙因素認證，從靜態認證到動

40、態認證。目前常用的身份認證方式包括：用戶名認證。目前常用的身份認證方式包括：用戶名/密碼密碼方式、公鑰證書方式、動態口令方式等。采用單獨方式、公鑰證書方式、動態口令方式等。采用單獨方式都有優劣。方式都有優劣。 身份認證技術的安全性，關鍵在于組織采取的安身份認證技術的安全性，關鍵在于組織采取的安全策略。身份認證是網絡準入控制的基礎。全策略。身份認證是網絡準入控制的基礎。 4. 準入控制技術的現狀與發展準入控制技術的現狀與發展準入控制技術出現方案整合的趨勢。準入控制技術出現方案整合的趨勢。TNC組織組織促進標準化的快速發展，希望通過構建框架和規范保促進標準化的快速發展，希望通過構建框架和規范保證互

41、操作性，準入控制正在向標準化、軟硬件相結合證互操作性，準入控制正在向標準化、軟硬件相結合的方向發展。的方向發展。5.3 訪問控制技術概述 1訪問控制的模式有哪些種？其中的區別和聯訪問控制的模式有哪些種？其中的區別和聯系如何？系如何？ 2準入技術的幾種技術方案有何區別和聯系？準入技術的幾種技術方案有何區別和聯系？ 5.4 安全審計概述安全審計概述5.4.1 5.4.1 安全審計概述安全審計概述 1. 安全審計的概念及目的安全審計的概念及目的 計算機安全審計（計算機安全審計（Audit）是指按照一定的安全策略，利是指按照一定的安全策略，利用記錄、系統活動和用戶活動等信息，檢查、審查和檢驗操作用記錄

42、、系統活動和用戶活動等信息，檢查、審查和檢驗操作事件的環境及活動，發現系統漏洞、入侵行為或改善系統性能事件的環境及活動，發現系統漏洞、入侵行為或改善系統性能的過程。也是審查評估系統安全風險并采取相應措施的一個過的過程。也是審查評估系統安全風險并采取相應措施的一個過程。主要作用和目的包括程。主要作用和目的包括5個方面：個方面：（1）對潛在攻擊者起到威懾和警示作用。）對潛在攻擊者起到威懾和警示作用。（2）測試測試系統的控制情況，及時調整。系統的控制情況，及時調整。（3）對已出現的破壞事件，做出評估并提供依據。）對已出現的破壞事件，做出評估并提供依據。（4）對系統控制、安全）對系統控制、安全策略策略

43、與規程中的變更進行評價和反饋，與規程中的變更進行評價和反饋，以便修訂決策和部署。以便修訂決策和部署。（5）協助發現入侵或潛在的系統漏洞及隱患。）協助發現入侵或潛在的系統漏洞及隱患。 5.4 安全審計概述安全審計概述 2. 安全審計的類型安全審計的類型 從審計級別上可分為從審計級別上可分為3種類型：種類型： （1）系統級審計系統級審計。主要針對系統的登入情況、。主要針對系統的登入情況、用戶識別號、登入嘗試的日期和具體時間、退出的用戶識別號、登入嘗試的日期和具體時間、退出的日期和時間、所使用的設備、登入后運行程序等事日期和時間、所使用的設備、登入后運行程序等事件信息進行審查。件信息進行審查。 （2

44、）應用級審計應用級審計。主要針對的是應用程序的活。主要針對的是應用程序的活動信息。動信息。 （3）用戶級審計用戶級審計。主要是審計用戶的操作活動。主要是審計用戶的操作活動信息。信息。 5.4 安全審計概述安全審計概述5.4.2 5.4.2 系統日記審計系統日記審計 1. 系統日志的內容系統日志的內容 系統日志系統日志主要根據網絡安全級別及強度要求，選主要根據網絡安全級別及強度要求，選擇記錄部分或全部的系統操作。擇記錄部分或全部的系統操作。 對于單個事件行為，通常系統日志主要包括：事對于單個事件行為，通常系統日志主要包括：事件發生的日期及時間、引發事件的用戶件發生的日期及時間、引發事件的用戶IP

45、地址、事件地址、事件源及目的地位置、事件類型等。源及目的地位置、事件類型等。 2. 安全審計的記錄機制安全審計的記錄機制 對各種網絡系統應采用不同記錄日志機制。記錄對各種網絡系統應采用不同記錄日志機制。記錄方式有方式有3種：由操作系統完成，也可以由應用系統或種：由操作系統完成，也可以由應用系統或其他專用記錄系統完成。其他專用記錄系統完成。 對各種網絡系統應采用不同記錄日志機制。對各種網絡系統應采用不同記錄日志機制。記錄記錄方式方式有有3種：由操作系統完成，也可以由應用系統或種：由操作系統完成，也可以由應用系統或其他專用記錄系統完成。其他專用記錄系統完成。 5.4 安全審計概述安全審計概述 審計

46、系統審計系統可成為可成為追蹤入侵、恢復系統的追蹤入侵、恢復系統的直接證據直接證據，其自，其自身的安全性更為重要。審計系統的安全主要包括審計事件查身的安全性更為重要。審計系統的安全主要包括審計事件查閱安全和存儲安全。閱安全和存儲安全。保護查閱安全措施保護查閱安全措施： （1 1）審計查閱。）審計查閱。 （2 2）有限審計查閱。）有限審計查閱。 （3 3）可選審計查閱。）可選審計查閱。 審計事件的存儲安全要求審計事件的存儲安全要求： （1 1）保護審計記錄的存儲。）保護審計記錄的存儲。 （2 2）保證審計數據的可用性。）保證審計數據的可用性。 （3 3）防止審計數據丟失。）防止審計數據丟失。4.

47、4. 審計事件查閱與存儲審計事件查閱與存儲 日志分析日志分析的的主要目的主要目的是在大量的記錄日志信息中找到與是在大量的記錄日志信息中找到與系統安全相關的數據系統安全相關的數據,并分析系統運行情況并分析系統運行情況.要要任務任務包括包括:（1）潛在威脅分析。）潛在威脅分析。 （2）異常行為檢測。）異常行為檢測。（3）簡單攻擊探測。）簡單攻擊探測。 （4）復雜攻擊探測。）復雜攻擊探測。3. 日志分析日志分析5.4 安全審計概述安全審計概述5.4.3 5.4.3 審計跟蹤審計跟蹤 1. 審計跟蹤的概念及意義審計跟蹤的概念及意義 審計跟蹤審計跟蹤（Audit Trail）指按事件順序檢查、審查、檢）

48、指按事件順序檢查、審查、檢驗其運行環境及相關事件活動的過程。審計跟蹤主要用于實驗其運行環境及相關事件活動的過程。審計跟蹤主要用于實現重現事件、評估損失、檢測系統產生的問題區域、提供有現重現事件、評估損失、檢測系統產生的問題區域、提供有效的應急災難恢復、防止系統故障或使用不當等方面。效的應急災難恢復、防止系統故障或使用不當等方面。 審計跟蹤作為一種安全機制，主要審計目標審計跟蹤作為一種安全機制，主要審計目標： （1）審計系統記錄有利于迅速發現系統問題，及時處理）審計系統記錄有利于迅速發現系統問題，及時處理事故，保障系統運行。事故，保障系統運行。 （2）可發現試圖繞過保護機制的入侵行為或其他操作。

49、）可發現試圖繞過保護機制的入侵行為或其他操作。 （3）能夠發現用戶的訪問權限轉移行為。）能夠發現用戶的訪問權限轉移行為。 （4）制止用戶企圖繞過系統保護機制的操作事件。）制止用戶企圖繞過系統保護機制的操作事件。5.4 安全審計概述安全審計概述 審計跟蹤審計跟蹤是提高系統安全性的重要工具是提高系統安全性的重要工具.安全審計跟蹤的意義安全審計跟蹤的意義: （1）利用系統的保護機制和策略，及）利用系統的保護機制和策略，及時發現并解決系統問題，時發現并解決系統問題，審計客戶行為。審計客戶行為。 （2）審計信息可以確定事件和攻擊源，）審計信息可以確定事件和攻擊源，用于檢查計算機犯罪。用于檢查計算機犯罪。 （3）通過對安全事件的收集）通過對安全事件的收集、積累和分析，可對其中的某些站、積累和分析，可對其中的某些站點或用戶進行審計跟蹤，以提供發現可能產生破壞性行為的證據。點或用戶進行審計跟蹤，以提供發現可能產生破壞性行為的證據。 （4）既能識別訪問系統的來源，又