访问控制与审计技术概述.pptx

《访问控制与审计技术概述.pptx》由会员分享，可在线阅读，更多相关《访问控制与审计技术概述.pptx（59页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全技术信息安全技术第第 6 6 讲讲 访问控制与审计技术访问控制与审计技术l l6.1 6.1 访问控制技术与访问控制技术与访问控制技术与访问控制技术与WindowsWindows访问控制访问控制访问控制访问控制l l访问控制的基本概念访问控制的基本概念访问控制的基本概念访问控制的基本概念l lWindows XPWindows XP的访问控制的访问控制的访问控制的访问控制l l6.2 6.2 审计追踪技术与审计追踪技术与审计追踪技术与审计追踪技术与WindowsWindows安全审计功能安全审计功能安全审计功能安全审计功能 第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问

2、控制技术与WindowsWindows访访问控制问控制l l1.1.访问控制的基本概念访问控制的基本概念访问控制的基本概念访问控制的基本概念l l访问控制是在保障授权用户能获取所需资源的同时拒访问控制是在保障授权用户能获取所需资源的同时拒访问控制是在保障授权用户能获取所需资源的同时拒访问控制是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制，也是信息安全理论基础的绝非授权用户的安全机制，也是信息安全理论基础的绝非授权用户的安全机制，也是信息安全理论基础的绝非授权用户的安全机制，也是信息安全理论基础的重要组成部分。重要组成部分。重要组成部分。重要组成部分。l l在用户身份认证和授权之后

3、，访问控制机制将根据预在用户身份认证和授权之后，访问控制机制将根据预在用户身份认证和授权之后，访问控制机制将根据预在用户身份认证和授权之后，访问控制机制将根据预先设定的规则对用户访问某项资源先设定的规则对用户访问某项资源先设定的规则对用户访问某项资源先设定的规则对用户访问某项资源 (目标目标目标目标)进行控制，进行控制，进行控制，进行控制，只有规则允许时才能访问，违反预定的安全规则的访只有规则允许时才能访问，违反预定的安全规则的访只有规则允许时才能访问，违反预定的安全规则的访只有规则允许时才能访问，违反预定的安全规则的访问行为将被拒绝。问行为将被拒绝。问行为将被拒绝。问行为将被拒绝。l l资源

4、可以是信息资源、处理资源、通信资源或者物理资源可以是信息资源、处理资源、通信资源或者物理资源可以是信息资源、处理资源、通信资源或者物理资源可以是信息资源、处理资源、通信资源或者物理资源，访问方式可以是获取信息、修改信息或者完成资源，访问方式可以是获取信息、修改信息或者完成资源，访问方式可以是获取信息、修改信息或者完成资源，访问方式可以是获取信息、修改信息或者完成某种功能某种功能某种功能某种功能 (例如可以是读、写或者执行等例如可以是读、写或者执行等例如可以是读、写或者执行等例如可以是读、写或者执行等)。l l访问控制的目的是为了限制访问主体对访问客体的访访问控制的目的是为了限制访问主体对访问客

5、体的访访问控制的目的是为了限制访问主体对访问客体的访访问控制的目的是为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用；它决问权限，从而使计算机系统在合法范围内使用；它决问权限，从而使计算机系统在合法范围内使用；它决问权限，从而使计算机系统在合法范围内使用；它决定用户能做什么，也决定代表一定用户身份的进程能定用户能做什么，也决定代表一定用户身份的进程能定用户能做什么，也决定代表一定用户身份的进程能定用户能做什么，也决定代表一定用户身份的进程能做什么。其中主体可以是某个用户，也可以是用户启做什么。其中主体可以是某个用户，也可以是用户启做什么。其中主体可以是某个用户，也可以是用

6、户启做什么。其中主体可以是某个用户，也可以是用户启动的进程和服务。动的进程和服务。动的进程和服务。动的进程和服务。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l为达到目的，访问控制需要完成以下两个任务：为达到目的，访问控制需要完成以下两个任务：为达到目的，访问控制需要完成以下两个任务：为达到目的，访问控制需要完成以下两个任务：l l识别和确认访问系统的用户。识别和确认访问系统的用户。识别和确认访问系统的用户。识别和确认访问系统的用户。l l决定该用户可以对某一系统资源进行何种类型访问。决定该用户可以对某一系统资源进行何

7、种类型访问。决定该用户可以对某一系统资源进行何种类型访问。决定该用户可以对某一系统资源进行何种类型访问。l l访问控制一般包括访问控制一般包括访问控制一般包括访问控制一般包括3 3种类型：自主访问控制、强种类型：自主访问控制、强种类型：自主访问控制、强种类型：自主访问控制、强制访问控制和基于角色的访问控制等。制访问控制和基于角色的访问控制等。制访问控制和基于角色的访问控制等。制访问控制和基于角色的访问控制等。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l(1)(1)自主访问控制自主访问控制自主访问控制自主访问控制 (D

8、AC)(DAC)l l这是常用的访问控制方式，它基于对主体或主体所属这是常用的访问控制方式，它基于对主体或主体所属这是常用的访问控制方式，它基于对主体或主体所属这是常用的访问控制方式，它基于对主体或主体所属的主体组的识别来限制对客体的访问。的主体组的识别来限制对客体的访问。的主体组的识别来限制对客体的访问。的主体组的识别来限制对客体的访问。l l自主是指主体能够自主地自主是指主体能够自主地自主是指主体能够自主地自主是指主体能够自主地 (可能是间接的可能是间接的可能是间接的可能是间接的)将访问权或将访问权或将访问权或将访问权或访问权的某个子集授予其他主体。简单来说，就是由访问权的某个子集授予其他

9、主体。简单来说，就是由访问权的某个子集授予其他主体。简单来说，就是由访问权的某个子集授予其他主体。简单来说，就是由拥有资源的用户自己来决定其他一个或一些主体可以拥有资源的用户自己来决定其他一个或一些主体可以拥有资源的用户自己来决定其他一个或一些主体可以拥有资源的用户自己来决定其他一个或一些主体可以在什么程度上访问哪些资源。即资源的拥有者对资源在什么程度上访问哪些资源。即资源的拥有者对资源在什么程度上访问哪些资源。即资源的拥有者对资源在什么程度上访问哪些资源。即资源的拥有者对资源的访问策略具有决策权，这是一种限制比较弱的访问的访问策略具有决策权，这是一种限制比较弱的访问的访问策略具有决策权，这是

10、一种限制比较弱的访问的访问策略具有决策权，这是一种限制比较弱的访问控制策略。控制策略。控制策略。控制策略。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l自主访问控制是一种比较宽松的访问控制机制。一个自主访问控制是一种比较宽松的访问控制机制。一个自主访问控制是一种比较宽松的访问控制机制。一个自主访问控制是一种比较宽松的访问控制机制。一个主体的访问权限具有传递性，比如大多数交互系统的主体的访问权限具有传递性，比如大多数交互系统的主体的访问权限具有传递性，比如大多数交互系统的主体的访问权限具有传递性，比如大多数交互系统的工作

11、流程是这样的：用户首先登录，然后启动某个进工作流程是这样的：用户首先登录，然后启动某个进工作流程是这样的：用户首先登录，然后启动某个进工作流程是这样的：用户首先登录，然后启动某个进程为该用户做某项工作，这个进程就继承了该用户的程为该用户做某项工作，这个进程就继承了该用户的程为该用户做某项工作，这个进程就继承了该用户的程为该用户做某项工作，这个进程就继承了该用户的属性，包括访问权限。这种权限的传递可能会给系统属性，包括访问权限。这种权限的传递可能会给系统属性，包括访问权限。这种权限的传递可能会给系统属性，包括访问权限。这种权限的传递可能会给系统带来安全隐患，某个主体通过继承其他主体的权限而带来安

12、全隐患，某个主体通过继承其他主体的权限而带来安全隐患，某个主体通过继承其他主体的权限而带来安全隐患，某个主体通过继承其他主体的权限而得到了它本身不应具有的访问权限，就可能破坏系统得到了它本身不应具有的访问权限，就可能破坏系统得到了它本身不应具有的访问权限，就可能破坏系统得到了它本身不应具有的访问权限，就可能破坏系统的安全性。这是自主访问控制方式的缺点。的安全性。这是自主访问控制方式的缺点。的安全性。这是自主访问控制方式的缺点。的安全性。这是自主访问控制方式的缺点。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l(2)(2

13、)强制访问控制强制访问控制强制访问控制强制访问控制 (MAC)(MAC)l l这是一种较强硬的控制机制，系统为所有的主体和客这是一种较强硬的控制机制，系统为所有的主体和客这是一种较强硬的控制机制，系统为所有的主体和客这是一种较强硬的控制机制，系统为所有的主体和客体指定安全级别，比如绝密级、机密级、秘密级和无体指定安全级别，比如绝密级、机密级、秘密级和无体指定安全级别，比如绝密级、机密级、秘密级和无体指定安全级别，比如绝密级、机密级、秘密级和无密级等。不同级别标记了不同重要程度和能力的实体，密级等。不同级别标记了不同重要程度和能力的实体，密级等。不同级别标记了不同重要程度和能力的实体，密级等。不

14、同级别标记了不同重要程度和能力的实体，不同级别的主体对不同级别的客体的访问是在强制的不同级别的主体对不同级别的客体的访问是在强制的不同级别的主体对不同级别的客体的访问是在强制的不同级别的主体对不同级别的客体的访问是在强制的安全策略下实现的。安全策略下实现的。安全策略下实现的。安全策略下实现的。l l在强制访问控制机制中，将安全级别进行排序，如按在强制访问控制机制中，将安全级别进行排序，如按在强制访问控制机制中，将安全级别进行排序，如按在强制访问控制机制中，将安全级别进行排序，如按照从高到低排列，规定高级别可以单向访问低级别，照从高到低排列，规定高级别可以单向访问低级别，照从高到低排列，规定高级

15、别可以单向访问低级别，照从高到低排列，规定高级别可以单向访问低级别，也可以规定低级别可以单向访问高级别。也可以规定低级别可以单向访问高级别。也可以规定低级别可以单向访问高级别。也可以规定低级别可以单向访问高级别。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l(3)(3)基于角色的访问控制基于角色的访问控制基于角色的访问控制基于角色的访问控制 (RBAC)(RBAC)l l传统的访问控制传统的访问控制传统的访问控制传统的访问控制l l基于角色的访问控制基于角色的访问控制基于角色的访问控制基于角色的访问控制第第第第 6-1

16、6-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l在传统的访问控制中，主体始终和特定的实体相在传统的访问控制中，主体始终和特定的实体相在传统的访问控制中，主体始终和特定的实体相在传统的访问控制中，主体始终和特定的实体相对应。例如，用户以固定的用户名注册，系统分对应。例如，用户以固定的用户名注册，系统分对应。例如，用户以固定的用户名注册，系统分对应。例如，用户以固定的用户名注册，系统分配一定的权限，该用户将始终以其用户名访问系配一定的权限，该用户将始终以其用户名访问系配一定的权限，该用户将始终以其用户名访问系配一定的权限，该用户将始终以其用

17、户名访问系统，直至销户。其间，用户的权限可以变更，但统，直至销户。其间，用户的权限可以变更，但统，直至销户。其间，用户的权限可以变更，但统，直至销户。其间，用户的权限可以变更，但必须在系统管理员的授权下才能进行。必须在系统管理员的授权下才能进行。必须在系统管理员的授权下才能进行。必须在系统管理员的授权下才能进行。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l然而，在现实社会中，传统访问控制方式表现出然而，在现实社会中，传统访问控制方式表现出然而，在现实社会中，传统访问控制方式表现出然而，在现实社会中，传统访问控制方式表

18、现出很多弱点，不能满足实际需求。主要问题在于：很多弱点，不能满足实际需求。主要问题在于：很多弱点，不能满足实际需求。主要问题在于：很多弱点，不能满足实际需求。主要问题在于：l l同一用户在不同场合应该以不同的权限访问系统。而同一用户在不同场合应该以不同的权限访问系统。而同一用户在不同场合应该以不同的权限访问系统。而同一用户在不同场合应该以不同的权限访问系统。而按传统的做法，变更权限必须经系统管理员授权修改，按传统的做法，变更权限必须经系统管理员授权修改，按传统的做法，变更权限必须经系统管理员授权修改，按传统的做法，变更权限必须经系统管理员授权修改，因此很不方便。因此很不方便。因此很不方便。因此

19、很不方便。l l当用户大量增加时，按每用户一个注册账号的方式将当用户大量增加时，按每用户一个注册账号的方式将当用户大量增加时，按每用户一个注册账号的方式将当用户大量增加时，按每用户一个注册账号的方式将使得系统管理变得复杂、工作量急剧增加，也容易出使得系统管理变得复杂、工作量急剧增加，也容易出使得系统管理变得复杂、工作量急剧增加，也容易出使得系统管理变得复杂、工作量急剧增加，也容易出错。错。错。错。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l传统访问控制模式不容易实现层次化管理。即按每用传统访问控制模式不容易实现层次化

20、管理。即按每用传统访问控制模式不容易实现层次化管理。即按每用传统访问控制模式不容易实现层次化管理。即按每用户一个注册账号的方式很难实现系统的层次化分权管户一个注册账号的方式很难实现系统的层次化分权管户一个注册账号的方式很难实现系统的层次化分权管户一个注册账号的方式很难实现系统的层次化分权管理，尤其是当同一用户在不同场合处在不同的权限层理，尤其是当同一用户在不同场合处在不同的权限层理，尤其是当同一用户在不同场合处在不同的权限层理，尤其是当同一用户在不同场合处在不同的权限层次时，系统管理很难实现。除非同一用户以多个用户次时，系统管理很难实现。除非同一用户以多个用户次时，系统管理很难实现。除非同一用

21、户以多个用户次时，系统管理很难实现。除非同一用户以多个用户名注册。名注册。名注册。名注册。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l基于角色的访问控制模式就是为了克服以上问题基于角色的访问控制模式就是为了克服以上问题基于角色的访问控制模式就是为了克服以上问题基于角色的访问控制模式就是为了克服以上问题而提出来的。而提出来的。而提出来的。而提出来的。l l在基于角色的访问控制模式中，用户不是自始至在基于角色的访问控制模式中，用户不是自始至在基于角色的访问控制模式中，用户不是自始至在基于角色的访问控制模式中，用户不是自始

22、至终以同样的注册身份和权限访问系统，而是以一终以同样的注册身份和权限访问系统，而是以一终以同样的注册身份和权限访问系统，而是以一终以同样的注册身份和权限访问系统，而是以一定的角色访问，不同的角色被赋予不同的访问权定的角色访问，不同的角色被赋予不同的访问权定的角色访问，不同的角色被赋予不同的访问权定的角色访问，不同的角色被赋予不同的访问权限，系统的访问控制机制只看到角色，而看不到限，系统的访问控制机制只看到角色，而看不到限，系统的访问控制机制只看到角色，而看不到限，系统的访问控制机制只看到角色，而看不到用户。用户。用户。用户。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术

23、与WindowsWindows访访问控制问控制l l用户在访问系统前，经过角色认证而充当相应的用户在访问系统前，经过角色认证而充当相应的用户在访问系统前，经过角色认证而充当相应的用户在访问系统前，经过角色认证而充当相应的角色。用户获得特定角色后，系统依然可以按照角色。用户获得特定角色后，系统依然可以按照角色。用户获得特定角色后，系统依然可以按照角色。用户获得特定角色后，系统依然可以按照自主访问控制或强制访问控制机制控制角色的访自主访问控制或强制访问控制机制控制角色的访自主访问控制或强制访问控制机制控制角色的访自主访问控制或强制访问控制机制控制角色的访问能力。问能力。问能力。问能力。第第第第 6

24、-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l1)1)角色角色角色角色 (role)(role)的概念。的概念。的概念。的概念。l l角色定义为与一个特定活动相关联的一组动作和责任。角色定义为与一个特定活动相关联的一组动作和责任。角色定义为与一个特定活动相关联的一组动作和责任。角色定义为与一个特定活动相关联的一组动作和责任。系统中的主体担任角色，完成角色规定的责任，具有系统中的主体担任角色，完成角色规定的责任，具有系统中的主体担任角色，完成角色规定的责任，具有系统中的主体担任角色，完成角色规定的责任，具有角色拥有的权限。一个主体可

25、以同时担任多个角色，角色拥有的权限。一个主体可以同时担任多个角色，角色拥有的权限。一个主体可以同时担任多个角色，角色拥有的权限。一个主体可以同时担任多个角色，它的权限就是多个角色权限的总和。基于角色的访问它的权限就是多个角色权限的总和。基于角色的访问它的权限就是多个角色权限的总和。基于角色的访问它的权限就是多个角色权限的总和。基于角色的访问控制就是通过各种角色的不同搭配授权来尽可能实现控制就是通过各种角色的不同搭配授权来尽可能实现控制就是通过各种角色的不同搭配授权来尽可能实现控制就是通过各种角色的不同搭配授权来尽可能实现主体的最小权限主体的最小权限主体的最小权限主体的最小权限 (最小授权指主体

26、在能够完成所有必需最小授权指主体在能够完成所有必需最小授权指主体在能够完成所有必需最小授权指主体在能够完成所有必需的访问工作基础上的最小权限的访问工作基础上的最小权限的访问工作基础上的最小权限的访问工作基础上的最小权限)。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l例如，在一个银行系统中，可以定义出纳员、分例如，在一个银行系统中，可以定义出纳员、分例如，在一个银行系统中，可以定义出纳员、分例如，在一个银行系统中，可以定义出纳员、分行管理者、系统管理员、顾客、审计员等角色。行管理者、系统管理员、顾客、审计员等角色。行管

27、理者、系统管理员、顾客、审计员等角色。行管理者、系统管理员、顾客、审计员等角色。其中，担任系统管理员的用户具有维护系统文件其中，担任系统管理员的用户具有维护系统文件其中，担任系统管理员的用户具有维护系统文件其中，担任系统管理员的用户具有维护系统文件的责任和权限，无论这个用户具体是谁。系统管的责任和权限，无论这个用户具体是谁。系统管的责任和权限，无论这个用户具体是谁。系统管的责任和权限，无论这个用户具体是谁。系统管理员可能是由某个出纳员兼任，他就具有两种角理员可能是由某个出纳员兼任，他就具有两种角理员可能是由某个出纳员兼任，他就具有两种角理员可能是由某个出纳员兼任，他就具有两种角色。但是出于责任

28、分离的考虑，需要对一些权利色。但是出于责任分离的考虑，需要对一些权利色。但是出于责任分离的考虑，需要对一些权利色。但是出于责任分离的考虑，需要对一些权利集中的角色组合进行限制，比如规定分行管理者集中的角色组合进行限制，比如规定分行管理者集中的角色组合进行限制，比如规定分行管理者集中的角色组合进行限制，比如规定分行管理者和审计员不能由同一个用户担任等。和审计员不能由同一个用户担任等。和审计员不能由同一个用户担任等。和审计员不能由同一个用户担任等。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l基于角色的访问控制可以看作是基

29、于组的自主访基于角色的访问控制可以看作是基于组的自主访基于角色的访问控制可以看作是基于组的自主访基于角色的访问控制可以看作是基于组的自主访问控制的一种变体，一个角色对应一个组。问控制的一种变体，一个角色对应一个组。问控制的一种变体，一个角色对应一个组。问控制的一种变体，一个角色对应一个组。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l2)2)基于角色的访问控制。就是通过定义角色的权基于角色的访问控制。就是通过定义角色的权基于角色的访问控制。就是通过定义角色的权基于角色的访问控制。就是通过定义角色的权限，为系统中的主体分

30、配角色来实现访问控制的。限，为系统中的主体分配角色来实现访问控制的。限，为系统中的主体分配角色来实现访问控制的。限，为系统中的主体分配角色来实现访问控制的。用户先经认证后获得一定角色，该角色被分派了用户先经认证后获得一定角色，该角色被分派了用户先经认证后获得一定角色，该角色被分派了用户先经认证后获得一定角色，该角色被分派了一定的权限，用户以特定角色访问系统资源，访一定的权限，用户以特定角色访问系统资源，访一定的权限，用户以特定角色访问系统资源，访一定的权限，用户以特定角色访问系统资源，访问控制机制检查角色的权限，并决定是否允许访问控制机制检查角色的权限，并决定是否允许访问控制机制检查角色的权限

31、，并决定是否允许访问控制机制检查角色的权限，并决定是否允许访问。问。问。问。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l3)3)基于角色访问控制方法的特点基于角色访问控制方法的特点基于角色访问控制方法的特点基于角色访问控制方法的特点l l 提供了提供了提供了提供了3 3种授权管理的控制途径种授权管理的控制途径种授权管理的控制途径种授权管理的控制途径l l改变客体的访问权限，即修改客体可以由哪些角色访问以及改变客体的访问权限，即修改客体可以由哪些角色访问以及改变客体的访问权限，即修改客体可以由哪些角色访问以及改变客体的

32、访问权限，即修改客体可以由哪些角色访问以及具体的访问方式具体的访问方式具体的访问方式具体的访问方式l l改变角色的访问权限改变角色的访问权限改变角色的访问权限改变角色的访问权限l l改变主体所担任的角色。改变主体所担任的角色。改变主体所担任的角色。改变主体所担任的角色。l l 系统中所有角色的关系结构可以是层次化的，便于系统中所有角色的关系结构可以是层次化的，便于系统中所有角色的关系结构可以是层次化的，便于系统中所有角色的关系结构可以是层次化的，便于管理。角色的定义是从现实出发，所以可以用面向对管理。角色的定义是从现实出发，所以可以用面向对管理。角色的定义是从现实出发，所以可以用面向对管理。角

33、色的定义是从现实出发，所以可以用面向对象的方法来实现，运用类和继承等概念表示角色之间象的方法来实现，运用类和继承等概念表示角色之间象的方法来实现，运用类和继承等概念表示角色之间象的方法来实现，运用类和继承等概念表示角色之间的层次关系非常自然而且实用。的层次关系非常自然而且实用。的层次关系非常自然而且实用。的层次关系非常自然而且实用。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l 具有较好的提供最小权利的能力，从而提高了安全具有较好的提供最小权利的能力，从而提高了安全具有较好的提供最小权利的能力，从而提高了安全具有较好的

34、提供最小权利的能力，从而提高了安全性。由于对主体的授权是通过角色定义，因此，调整性。由于对主体的授权是通过角色定义，因此，调整性。由于对主体的授权是通过角色定义，因此，调整性。由于对主体的授权是通过角色定义，因此，调整角色的权限粒度可以做到更有针对性，不容易出现多角色的权限粒度可以做到更有针对性，不容易出现多角色的权限粒度可以做到更有针对性，不容易出现多角色的权限粒度可以做到更有针对性，不容易出现多余权限。余权限。余权限。余权限。l l 具有责任分离的能力。定义角色的人不一定是担任具有责任分离的能力。定义角色的人不一定是担任具有责任分离的能力。定义角色的人不一定是担任具有责任分离的能力。定义角

35、色的人不一定是担任角色的人，这样，不同角色的访问权限可以相互制约，角色的人，这样，不同角色的访问权限可以相互制约，角色的人，这样，不同角色的访问权限可以相互制约，角色的人，这样，不同角色的访问权限可以相互制约，因而具有更高的安全性。因而具有更高的安全性。因而具有更高的安全性。因而具有更高的安全性。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l2.Windows XP2.Windows XP的访问控制的访问控制的访问控制的访问控制l l这里，我们来了解这里，我们来了解这里，我们来了解这里，我们来了解Windows XPW

36、indows XP操作系统的访问控制操作系统的访问控制操作系统的访问控制操作系统的访问控制实现机制。实现机制。实现机制。实现机制。l lWindowsWindows的安全模型的安全模型的安全模型的安全模型l lWindowsWindows的安全概念的安全概念的安全概念的安全概念l lWindowsWindows的访问控制过程的访问控制过程的访问控制过程的访问控制过程第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l(1)Windows(1)Windows的安全模型的安全模型的安全模型的安全模型l lWindowsWindo

37、ws采用的是微内核采用的是微内核采用的是微内核采用的是微内核 (microkernel)(microkernel)结构和模块化结构和模块化结构和模块化结构和模块化的系统设计。有的模块运行在底层的内核模式上，有的系统设计。有的模块运行在底层的内核模式上，有的系统设计。有的模块运行在底层的内核模式上，有的系统设计。有的模块运行在底层的内核模式上，有的模块则运行在受内核保护的用户模式上。的模块则运行在受内核保护的用户模式上。的模块则运行在受内核保护的用户模式上。的模块则运行在受内核保护的用户模式上。WindowsWindows的安全子系统置于核心的安全子系统置于核心的安全子系统置于核心的安全子系统置

38、于核心 (kernel)(kernel)层。层。层。层。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l lWindowsWindows安全模型由以下几个关键部分构成，各安全模型由以下几个关键部分构成，各安全模型由以下几个关键部分构成，各安全模型由以下几个关键部分构成，各部分在访问控制的不同阶段发挥了各自的作用。部分在访问控制的不同阶段发挥了各自的作用。部分在访问控制的不同阶段发挥了各自的作用。部分在访问控制的不同阶段发挥了各自的作用。l l1)1)登录过程登录过程登录过程登录过程 (logon process(logon

39、process，LP)LP)。接受本地用户或者。接受本地用户或者。接受本地用户或者。接受本地用户或者远程用户的登录请求，处理用户信息，为用户做一些远程用户的登录请求，处理用户信息，为用户做一些远程用户的登录请求，处理用户信息，为用户做一些远程用户的登录请求，处理用户信息，为用户做一些初始化工作。初始化工作。初始化工作。初始化工作。l l2)2)本地安全授权机构本地安全授权机构本地安全授权机构本地安全授权机构 (local security authority(local security authority，LSA)LSA)。根据安全账号管理器中的数据处理本地或者远程用。根据安全账号管理器中的

40、数据处理本地或者远程用。根据安全账号管理器中的数据处理本地或者远程用。根据安全账号管理器中的数据处理本地或者远程用户的登录信息，并控制审计和日志。这是整个安全子户的登录信息，并控制审计和日志。这是整个安全子户的登录信息，并控制审计和日志。这是整个安全子户的登录信息，并控制审计和日志。这是整个安全子系统的核心。系统的核心。系统的核心。系统的核心。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l3)3)安全账号管理器安全账号管理器安全账号管理器安全账号管理器 (security account manager(securit

41、y account manager，SAM)SAM)。维护账号的安全性管理数据库。维护账号的安全性管理数据库。维护账号的安全性管理数据库。维护账号的安全性管理数据库 (SAM(SAM数据库，又称数据库，又称数据库，又称数据库，又称目录数据库目录数据库目录数据库目录数据库)。l l4)4)安全引用监视器安全引用监视器安全引用监视器安全引用监视器 (security reference monitor(security reference monitor，SRM)SRM)。检查存取合法性，防止非法存取和修改。检查存取合法性，防止非法存取和修改。检查存取合法性，防止非法存取和修改。检查存取合法性，防

42、止非法存取和修改。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l(2)Windows(2)Windows的安全概念的安全概念的安全概念的安全概念l l1)1)安全标识安全标识安全标识安全标识 (security identifier(security identifier，SID)SID)。安全标识和。安全标识和。安全标识和。安全标识和账号唯一对应，在账号创建时创建，账号删除时删除，账号唯一对应，在账号创建时创建，账号删除时删除，账号唯一对应，在账号创建时创建，账号删除时删除，账号唯一对应，在账号创建时创建，账号删除时

43、删除，而且永不再用。安全标识与对应的用户和组的账号信而且永不再用。安全标识与对应的用户和组的账号信而且永不再用。安全标识与对应的用户和组的账号信而且永不再用。安全标识与对应的用户和组的账号信息一起存储在息一起存储在息一起存储在息一起存储在SAMSAM数据库里。数据库里。数据库里。数据库里。l l2)2)访问令牌访问令牌访问令牌访问令牌 (access token)(access token)。当用户登录时，本地安。当用户登录时，本地安。当用户登录时，本地安。当用户登录时，本地安全授权机构为用户创建一个访问令牌，包括用户名、全授权机构为用户创建一个访问令牌，包括用户名、全授权机构为用户创建一个访

44、问令牌，包括用户名、全授权机构为用户创建一个访问令牌，包括用户名、所在组、安全标识等信息。以后，用户的所有程序都所在组、安全标识等信息。以后，用户的所有程序都所在组、安全标识等信息。以后，用户的所有程序都所在组、安全标识等信息。以后，用户的所有程序都将拥有访问令牌的拷贝。将拥有访问令牌的拷贝。将拥有访问令牌的拷贝。将拥有访问令牌的拷贝。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l3)3)主体。用户登录到系统之后，本地安全授权机构为主体。用户登录到系统之后，本地安全授权机构为主体。用户登录到系统之后，本地安全授权机构为

45、主体。用户登录到系统之后，本地安全授权机构为用户构造一个访问令牌，这个令牌与该用户所有的操用户构造一个访问令牌，这个令牌与该用户所有的操用户构造一个访问令牌，这个令牌与该用户所有的操用户构造一个访问令牌，这个令牌与该用户所有的操作相联系，用户进行的操作和访问令牌一起构成一个作相联系，用户进行的操作和访问令牌一起构成一个作相联系，用户进行的操作和访问令牌一起构成一个作相联系，用户进行的操作和访问令牌一起构成一个主体。主体。主体。主体。l l4)4)对象、资源、共享资源。对象的实质是封装了数据对象、资源、共享资源。对象的实质是封装了数据对象、资源、共享资源。对象的实质是封装了数据对象、资源、共享资

46、源。对象的实质是封装了数据和处理过程的一系列信息集合体；资源是用于网络环和处理过程的一系列信息集合体；资源是用于网络环和处理过程的一系列信息集合体；资源是用于网络环和处理过程的一系列信息集合体；资源是用于网络环境的对象；共享资源是在网络上共享的对象。境的对象；共享资源是在网络上共享的对象。境的对象；共享资源是在网络上共享的对象。境的对象；共享资源是在网络上共享的对象。l l5)5)安全描述符安全描述符安全描述符安全描述符 (security descript)(security descript)。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindo

47、ws访访问控制问控制l lWindowsWindows系统为共享资源创建的安全描述符包含系统为共享资源创建的安全描述符包含系统为共享资源创建的安全描述符包含系统为共享资源创建的安全描述符包含了该对象的一组安全属性，分为了该对象的一组安全属性，分为了该对象的一组安全属性，分为了该对象的一组安全属性，分为4 4个部分：个部分：个部分：个部分：l l 所有者安全标识所有者安全标识所有者安全标识所有者安全标识 (owner security ID)(owner security ID)，拥有该对象，拥有该对象，拥有该对象，拥有该对象的用户或者用户组的的用户或者用户组的的用户或者用户组的的用户或者用户组

48、的SDSD；l l 组安全标识组安全标识组安全标识组安全标识 (group security)(group security)；l l 自主访问控制表自主访问控制表自主访问控制表自主访问控制表 (DAC)(DAC)，该对象的访问控制表，由，该对象的访问控制表，由，该对象的访问控制表，由，该对象的访问控制表，由对象的所有者控制；对象的所有者控制；对象的所有者控制；对象的所有者控制；第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与WindowsWindows访访问控制问控制l l 系统访问控制表系统访问控制表系统访问控制表系统访问控制表 (ACL)(ACL)，定义操作系统将

49、产生何种，定义操作系统将产生何种，定义操作系统将产生何种，定义操作系统将产生何种类型的审计信息，由系统的安全管理员控制。类型的审计信息，由系统的安全管理员控制。类型的审计信息，由系统的安全管理员控制。类型的审计信息，由系统的安全管理员控制。l l其中，安全描述符中的每一个访问控制表其中，安全描述符中的每一个访问控制表其中，安全描述符中的每一个访问控制表其中，安全描述符中的每一个访问控制表 (ACL)(ACL)都由都由都由都由访问控制项访问控制项访问控制项访问控制项 (ACEs)(ACEs)组成，用来描述用户或者组对对象组成，用来描述用户或者组对对象组成，用来描述用户或者组对对象组成，用来描述用

50、户或者组对对象的访问或审计权限。的访问或审计权限。的访问或审计权限。的访问或审计权限。l lACEsACEs有有有有3 3种类型：种类型：种类型：种类型：Access AllowedAccess Allowed、Access DeniedAccess Denied和和和和System AuditSystem Audit。前两种用于自主访问控制；后一种用。前两种用于自主访问控制；后一种用。前两种用于自主访问控制；后一种用。前两种用于自主访问控制；后一种用于记录安全日志。于记录安全日志。于记录安全日志。于记录安全日志。第第第第 6-16-16-16-1讲讲讲讲 访问控制技术与访问控制技术与Wind