浅析GB17859标准第四级主要安全功能及含义.docVIP

浅析GB17859标准第四级主要安全功能及含义 　　摘 要 GB17859-1999《计算机信息系统安全保护等级划分准则》于2009年7月23日，由国家质量监督局发布。是计算机信息系统安全等级保护技术要求系列标准的基础性标准，用以指导设计者如何设计和实现具有所需要的安全等级的计算机信息系统。实现GB17859-1999中每一个保护等级的安全要求应采取的通用的安全技术，为确保这些安全技术所实现的安全功能达到其应具有的安全性而采取的通用保证措施。明确提出了管理层、物理层、网络层、系统层、应用层和运行层的安全管理要求，并将管理要求落实到GB17859-1999的五个等级上。更加有利于对安全管理的继承、理解、分工实施，有利于增加对安全管理的评估和检查。指导设计者如何设计和实现具有所需要的安全等级的网络系统，以及如何设计和实现所需要的安全等级的操作系统及数据库管理系统。本文将着重讨论GB17859-1999中第四层等级的安全功能及其含义。 　　关键词 GB17859-1999 安全功能 可信计算基 　　中图分类号：TN915 文献标识码：A 　　GB17859是我国计算机信息系统安全保护等级划分准则强制性标准，本标准规定了计算机系统安全保护能力的五个等级，即第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。 　　在GB17859标准中第四级为结构化保护级。本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，它要求将系统中的自主和强制访问控制扩展到所有主体与客体。本级的计算机信息系统可信计算基必须结构化为关键保护元素和非关键保护元素。计算机信息系统可信计算基的接口也必须明确定义，使其设计与实现能经受更充分的测试和更完整的复审。加强了鉴别机制；支持系统管理员和操作员的职能；提供可信设施管理；增强了配置管理控制。系统具有相当的抗渗透能力。 　　计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制（例如：访问控制表）允许命名用户和（或）以用户组的身份规定并控制客体的共享；阻止非授权用户读取敏感信息。并控制访问权限扩散。自主访问控制机制根据用户指定方式或默认方式，阻止非授权用户访问客体。访问控制的粒度是单个用户。没有存取权的用户只允许由授权用户指定对客体的访问权。 　　GB17859标准第四级中，计算机信息系统可信计算基对外部主体能够或直接访问的所有资源（例如：主体、存储客体和输入输出资源）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。计算机信息系统可信计算基支持两种或两种以上成分组成的安全级。计算机信息系统可信计算基外部的所有主体对客体的直接或间接的访问应满足：仅当主体安全级中的等级分类高于或等于客体安全级中的等级分类，且主体安全级中的非等级类别包含了客体安全级中的全部非等级类别，主体才能读客体；仅当主体安全级中的等级分类低于或等于客体安全级中的等级分类，且主体安全级中的非等级类别包含与客体安全级中的非等级类别，主体才能写一个客体。计算机信息系统可信计算基使用身份和鉴别数据，鉴别用户的身份，保证用户创建的计算机信息系统可信计算基外部主体的安全级和授权受该用户的安全级和授权的控制。 　　计算机信息系统可信计算基维护与可被外部主体直接或间接访问到的计算机信息系统资源（例如：主体、存储客体、只读存储器）相关的敏感标记，这些标记是实施强制访问的基础。为了输入未加安全标记的数据，计算机信息系统可信计算基向授权用户要求并接受这些数据的安全级别，且可由计算机信息系统可信计算基审计。计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，而且，计算机信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统可信计算基使用这些数据，鉴别用户身份，并使用保护机制（例如：口令）来鉴别用户的身份：阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可信计算基能够使用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与该用户所有可审计行为相关联的能力。 　　计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非授权的用户对它访问或破坏。计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址空间（例如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴