CISP信息安全模型

模型的缺点
• 需要制定输入输出的安全性规范 • 信息流模型对具体的实现只能提供较少的帮助和指导
多级安全模型
多级安全模型最初使用在 军用系统和数据库系统中。 它通常把密级由低到高分 为开放级、秘密级、机密 级和绝密级。 它使不同的密级包含不同 的信息。 它确保每一密级的信息仅 能让那些具有高于或等于 该级权限的人使用。
多边安全模型
• Chinese wall模型 • BMA模型（1995）
信息流模型
模型简介
• 主要着眼于对客体之间的信息传输过程的控制。 • 信息流模型需要遵守的安全规则是：在系统状态转换时，信 息流只能从访问级别低的状态流向访问级别高的状态。 • 信息流模型实现的关键在于对系统的描述，即对模型进行彻 底的信息流分析，找出所有的信息流，并根据信息流安全规 则判断其是否为异常流，若是就反复修改系统的描述或模型， 直到所有的信息流都不是异常流为止。
应用中的问题
模型简介
多级安全模型 Clark-Wilson模型
• 它偏重于满足商业应用的安全需求。 • 它着重研究信息和系统的完整性保护。 • 信息的完整性保护
信息的完整性：是指系统中信息的质量、正确性、真实性和精确性。 系统的完整性：是指对信息资源成功且正确的操作。
• 系统的完整性保护
模型概念
安全模型用于精确和形式地描述信息系统的安全特征 ，以及用于解释系统安全相关行为的理由。 按机制分类：访问控制模型、信息流模型等。 按服务分类：机密性、完整性、可用性模型等 但“安全模型”的表达能力有其局限性，通常的模型 是形式语法多于形式语义，甚至只是自然语言的描述 。
信息安全模型
BLP模型的缺点
• 只定义了主体对客体的访问，未说明主体对主体的访问，因此该模型无 法应用于网络。 • 该模型不能很好应对隐蔽通道问题。 • 内存管理能够在所有级别进行读和写，在实际应用中有悖于模型本身。 除了对它进行“可信假设”外别无他法。 • 当低级别数据写入高级别程序时（即上写），由于模型的限制，低级别 主体无法得到任何反馈，仿佛碰到了“黑洞”一般。 • 文件管理中，重名导致的信息泄露问题。而分立的系统使得BLP显得多 余。 • 同样数据库系统中，如果高级别用户发送了一批机密货物到轮船上，而 系统不会把这个信息传递给低级别用户（否则就是泄密），那么低级别 用户将会认为船是空的，并分配其他货物或改变航行的目的地。
信息安全模型基础
访问控制模型
其他安全模型
知识类 （PT）
知识体 （BD）
知识域 （KA）
百度文库
安全目的
信息安全终极目的
• 在系统实现过程中，对组织、合作伙伴、及其客户 的IT相关风险给出应有的关心考虑，从而促使组织 实现其使命/业务（Mission/Business）的全部目的。
安全目标
• 可用性（Availability） • 完整性（Integrity） • 保密性（Confidentiality）
安全模型的发展
1965，失败的Multics操作系统 1973， Bell和LaPadula 的BLP模型 1977，K.J.Biba提出了与BLP异曲同工的Biba 模型，Biba模型支持的是信息的完整性 第一个可以实际投入使用安全操作系统是 Adept-50；随后有很多安全操作系统被开发出 来。典型的有Multics、Mitre安全内核、UCLA Secure UNIX、KSOS和PSOS。
组织完善的事务（Well-formed transaction）：用户不能随意处理信 息，只能在限定的权限和范围内进行。 清晰的责任划分（Separation of duty）：一项任务需要两个以上的 人完成，需要进行任务划分，避免个人欺骗行为。
自主访问控制模型 （DAC）
访问矩阵 模型
实现
访问控制列表 （ACL） 权能列表 （Capacity List）
访问控制 模型 强制访问控制模型 （MAC） 模型
静态
多级 环境
Bell-Lapudula 模型 Biba 模型 Clark-Wilson 模型
保密性
完整性
动态
多边 环境
Chinese Wall 模型 BMA 模型
强制访问控制模型
特点：
1） 将主体和客体分级，根据主体和客体的级别标记来 定访问模式。如，绝密级，机密级，秘密级，无密级。 2） 其访问控制关系分为：下写/上读， 下读/上写 （完整性） （保密性） 3）通过梯度安全标签实现单向信息流通模式。 决
4）强耦合，集中式授权。
模型简介
多级安全模型 BLP模型
• 该模型是可信系统的状态-转换模型。 • 定义所有可以使系统获得“安全”的状态集合，检 查所有状态的变化均开始于一个“安全状态”并终止 于另一个“安全状态”，并检查系统的初始状态是否 为“安全状态”。 • 该模型是一种机密性访问控制的状态机模型。
模型定义的主客体访问规则
• 模型使用状态来表示系统中主体对客体的访问方式。 • 高级别的“可下读，不可下写”； • 低级别的“可上写，不可上读”。
安全模型的作用 • 能准确地描述安全的重要方面与系统行为的关系。 • 能提高对成功实现关键安全需求的理解层次。 • 从中开发出一套安全性评估准则，和关键的描述变量。
建立安全模型的方法（从模型所控制的对象）
• 信息流模型：主要着眼于对客体之间的信息传输过程的控制。 （处于理论阶段） • 访问控制模型：从访问控制的角度描述安全系统，主要针对 系统中主体对客体的访问及其安全控制。
基于角色访问控制模型 （RBAC） 信息流模型
二、信息安全模型简介
目录
一．概述 二．信息安全模型简介 三．多维模型与安全技术框架
信息安全模型分类
信息流模型和访问控制模型 多级安全模型
• Bell-Lapadula模型（1973） • Clark-Wilson模型（1987） • Biba模型（1977）
目录
一．概述 二．信息安全模型简介 三．多维模型与安全技术框架
一、概述
目录
一．概述 二．信息安全模型简介 三．多维模型与安全技术框架
知识类：信息安全体系和模型 知识体系概述
信息安全保障框架
OSI开放系统互联安全体系架构
安全 体系
信息技术安全性评估 信息安全保障评估
信息安全体系 和模型
安全 模型