第八章 信息安全

37
安 全 概 念 和 关 系
所有者 利用
价值 希望最小化 减少 对策 可能拥有
可能被减少 可能意识到 威胁者 利用
弱点 导致 风险 到 到 资产
引起 增加 图 4.1 安全概念和关系 威胁 希望滥用包括以下几项 资产破坏性地暴露于未授权的接收者（失去保密性） 资产由于未授权的更改而损坏（失去完整性） 授权用户无法访问资产（失去可用性）
4
• 加拿大1988年开始制订《加拿大可信计算机产品评估标 准 》（CTCPEC）。 • 1993年，美国对TCSEC作了补充和修改，制定了“联邦标 准草案”（简称FC）。 • 国际标准化组织（ISO）从1990年开始开发通用的国际标 准评估准则。 • 在1993年6月，CTCPEC、FC、TCSEC和ITSEC的发起组织开 始联合起来，将各自独立的准则组合成一个单一的、能被 广泛使用的IT安全准则。发起组织包括六国：加拿大、法 国、德国、荷兰、英国、美国，他们的代表建立了CC编辑 委员会（CCEB）来开发通用准则CC。
1、目的
为制造商提供一个安全标准，使它们在开发新的商 业产品时加入相应的安全因素，为用户提供广泛可 信的应用系统； 为美国国防部各部门提供一个度量标准，以评估计 算机系统或其他敏感信息的可信程度； 在分析、研究规范时，为制定安全需求提供基础。
12
2、TCSEC概述
• 在TCSEC中，美国国防部按处理信息的安全等级和应采用 的响应措施，将计算机安全从高到低分为：A、B、C、D四 类八个级别，共27条评估准则。 • 随着安全等级的提高，系统的可信度随之增加，风险逐渐 减少。
23
• • • • •
在B3级系统中，TCB必须满足访问监控器需求。 访问监控器对所有主体对客体的访问进行仲裁。 访问监控器本身是抗篡改的。 访问监控器足够小。 访问监控器能够分析和测试。
24
为了满足访问控制器需求: 计算机信息系统可信计算基在构造时，排除那些对实 施安全策略来说并非必要的代码。 计算机信息系统可信计算基在设计和实现时，从系统 工程角度将其复杂性降低到最小程度。
47
3.2 CC的安全目的
• 安全环境的分析结果被用来阐明对抗已标识的威胁、说明 组织性安全策略和假设的安全目的。 • 安全目的应和已说明的TOE运行目标或产品目标以及有关 的物理环境知识一致。 • 确定安全目的的意图是为了阐明所有的安全考虑并指出哪 些安全方面的问题是直接由TOE还是由它的环境来处理。 • 环境安全目的将在IT领域内用非技术上的或程序化的手段 来实现。
8
4、可信计算基TCB
计算机系统负责执行安全策略的由硬件、软件、固件 组合的保护机制的全体。一个TCB由一个或多个在产 品或系统上一同执行统一的安全策略的组件构成。
9
第2部分 国际信息安全标准
1、可信计算机系统评估准则TCSEC 2、通用准则CC
10
一、 TCSEC《可信计算机系统评估准则》
11
15
4、C类：自主保护级
• C类为自主保护级。 • 具有一定的保护能力，采用的措施是自主访问控制和审计 跟踪。 • 一般只适用于具有一定等级的多用户环境。 • 具有对主体责任及其动作审计的能力。
16
C类分为C1和C2两个级别:

自主安全保护级（C1级) 控制访问保护级（C2级）
17
• C1级TCB通过隔离用户与数据，使用户具备自主安全保护 的能力。 • 它具有多种形式的控制能力，对用户实施访问控制。为用 户提供可行的手段，保护用户和用户组信息，避免其他用 户对数据的非法读写与破坏。 • C1级的系统适用于处理同一敏感级别数据的多用户环境。
25
B3级系统支持: 安全管理员职能 扩充审计机制 当发生与安全相关的事件时，发出信号 提供系统恢复机制 系统具有很高的抗渗透能力
26
6、A类：验证保护级
• A类为验证保护级。 • A类的特点是使用形式化的安全验证方法，保证系统的自 主和强制安全控制措施能够有效地保护系统中存储和处理 的秘密信息或其他敏感信息。 • 为证明TCB满足设计、开发及实现等各个方面的安全要求， 系统应提供丰富的文档信息。
20
B类分为三个类别： 标记安全保护级（B1级） 结构化保护级（B2级） 安全区域保护级（B3级）
21
• B1级系统要求具有C2级系统的所有特性。 • 在此基础上，还应提供安全策略模型的非形式化描述、数 据标记以及命名主体和客体的强制访问控制，并消除测试 中发现的所有缺陷。
22
• 在B2级系统中，TCB建立于一个明确定义并文档化、形式 化的安全策略模型之上。 • 要求将B1级系统中建立的自主和强制访问控制扩展到所有 的主体与客体。 • 在此基础上，应对隐蔽信道进行分析。 • TCB应结构化为关键保护元素和非关键保护元素。TCB接口 必须明确定义。其设计与实现应能够经受更充分的测试和 更完善的审查。 • 鉴别机制应得到加强，提供可信设施管理以支持系统管理 员和操作员的职能。 • 提供严格的配置管理控制。 • B2级系统应具备相当的抗渗透能力。
13
TCSEC的四个安全等级： D：无保护级 C：自主保护级 B：强制保护级 A：验证保护级
14
3、D类：无保护级
• D类是最低保护等级，即无保护级。 • 是为那些经过评估，但不满足较高评估等级要求的系统设 计的，只具有一个级别。 • 该类是指不符合要求的那些系统，因此，这种系统不能在 多用户环境下处理敏感信息。
18
• C2级计算机系统比C1级具有更细粒度的自主访问控制。 • C2级通过注册过程控制、审计安全相关事件以及资源隔离， 使单个用户为其行为负责。
19
5、B类：强制保护级
• B类为强制保护级。 • 主要要求是TCB应维护完整的安全标记，并在此基础上执 行一系列强制访问控制规则。 • B类系统中的主要数据结构必须携带敏感标记。 • 系统的开发者还应为TCB提供安全策略模型以及TCB规约。 • 应提供证据证明访问监控器得到了正确的实施。
43
• 评估过程通过两种途径产生更好的安全产品 评估过程能发现开发者可以纠正的TOE错误或弱点，从 而在减少将来操作中安全失效的可能性 另一方面，为了通过严格的评估，开发者在TOE设计和 开发时也将更加细心 • 因此，评估过程对最初需求、开发过程、最终产品以及操 作环境将产生强烈的积极影响。
44
3、CC安全概念
• CC安全概念包括： 安全环境 安全目的 IT安全要求 TOE概要规范
45
3.1 CC的安全环境
• 安全环境包括所有相关的法规、组织性安全策略、习惯、 专门技术和知识。 • 它定义了TOE使用的上下文，安全环境也包括环境里出现 的安全威胁。
46
为建立安全环境，必须考虑以下几点： TOE物理环境，指所有的与TOE安全相关的TOE运行环境， 包括已知的物理和人事的安全安排。 需要根据安全策略由TOE的元素实施保护的资产。包括 可直接相关的资产（如文件和数据库）和间接受安全 要求支配的资产（如授权凭证和IT实现本身）。 TOE目的，说明产品类型和可能的TOE用途。
30
• 超A1级在A1级基础上增加的许多安全措施超 出了目前的技术发展。 • 随着更多、更好的分析技术的出现，本级系 统的要求才会变的更加明确。 • 今后，形式化的验证方法将应用到源码一级， 并且时间隐蔽信道将得到全面的分析。 • 在这一级，设计环境将变的更重要。 • 形式化高层规约的分析将对测试提供帮助。 • TCB开发中使用的工具的正确性及TCB运行的 软硬件功能的正确性将得到更多的关注。
保证技术 产生 保证 所有者 需要 提供 信心 源于
评估 给出证据
对策 最小化 风险 针对 资产
41
2、评估对象(TOE)评估
评估准则
TOE 评 估 过 程
安全需求 （PP与ST）
开发TOE 评估方法
TOE和评 估
评估TOE
评估方案
评估结果 反馈
操作TOE
42
TOE评估过程的主要输入有： 一系列TOE证据，包括评估过的安全目标ST作为TOE评 估的基础 需要评估的TOE 评估准则、方法和方案 另外，说明性材料（例如CC的使用说明书）和评估者 及评估组织的IT安全专业知识也常用来作为评估过程 的输入。
35
CC的结构
CC包括三个部分: 第一部分：简介和一般模型 第二部分：安全功能要求 第三部分：安全保证要求
36
第一部分：简介和一般模型
1、CC关于安全的基本观点
• 安全就是保护资产不受威胁。 • 威胁可依据滥用被保护资产的可能性进行分类。 • 所有的威胁类型都应该被考虑到，但是在安全领域内，被 高度重视的威胁应该是和人们的恶意攻击及其它人类活动 相联系的。
英国安全 标准1989
德国标准 法国标准
7
3、信息安全标准的分类
1）互操作标准： DES、IDES、IDEA、AES、RSA、IPSec、 SSL、SET。 2）技术与工程标准： ISO-15408、SSE-CMM、ISO/IEC15504、 COBIT、ISO15026 、TCSEC、ITSEC、CTCS、 GB17895-1999 3）信息安全管理标准： BS7799、ISO13335
39
• 资产所有者必须分析可能的威胁并确定哪些存在于他们的 环境，其后果就是风险。 • 对策用以（直接或间接地）减少脆弱性并满足资产所有者 的安全策略。 • 在将资产暴露于特定威胁之前，所有者需要确信其对策足 以应付面临的威胁。
---这就需要对资产的安全性进行评估。
40
评 估 概 念 和 关 系
27
A类分为两个类别： 验证设计级（A1级） 超A1级
28
• A1级系统在功能上和B3级系统是相同的，没有增加 体系结构特性和策略要求。 • 最显著的特点是，要求用形式化设计规范和验证方 法来对系统进行分析，确保TCB按设计要求实现。