第三次作业
一．描述OSI安全体系结构中OSI7中各层对应的安全机制和安全服务，说明安全机制和安全服务的关系
首先对于题目先做一下基本的概括，我们知道一下几点知识：
1.OSI安全体系结构标准定义了5大类安全服务，提供这些服务的8类安全机制以及相应的开放系统互连的安全管理，并可根据具体系统适当地配置于OSI 模型的七层协议中。
2.OSI参考模型共有7层：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
3.OSI网络安全体系结构共有五类安全服务和八类安全机制：
八大类特定安全机制包括加密机制、数据签名机制、访问控制机制、数据完整性机制、认证机制、业务流填充机制、路由控制机制、公正机制。
五类安全服务包括认证（鉴别）服务、访问控制服务、数据保密性服务、数据完整性服务和抗否认性服务。
OSI安全体系结构标准定义了5大类安全服务，提供这些服务的8类安全机制以及相应的开放系统互连的安全管理，并可根据具体系统适当地配置于OSI 模型的七层协议中。
我们得到下图：
而五类安全服务也被称作安全防护措施：
认证服务。
提供对通信中对等实体和数据来源的认证。
访问控制服务。
对资源提供保护，以对抗其非授权使用和操纵。
数据保密性服务。
保护信息不被泄露或暴露给未授权的实体。
数据完整性服务。
对数据提供保护，以对抗未授权的改变、删除或替代。
抗否认性服务。
防止参与某次通信交换的任何一方事后否认本次通信或通信的内容。
下面用几张图片回答上述问题：
OSI安全体系结构中osi7中各层对应的安全服务和安全机制：
图一：
表2-2 OSI 安全体系结构中安全服务 安 全
服 务
服 务 形 式 认证
对等实体认证 数据源认证 访问控制
数据保密性 连接保密性
无连接保密性
选择字段保密性
通信业务流保密性
数据完整性 带恢复的连接完整性
不带恢复的连接完整性
选择字段的连接完整性
无连接完整性
选择字段无连接完整性
抗否认性 有数据原发证明的抗否认
有交付证明的抗否认
图二：
安全机制和安全服务的关系如下图所示：
二．比较自主访问控制，强制访问控制和角色访问控制，阐述等级保护第3级要求的访问控制
1. 自主访问控制是一种最为普遍的访问控制手段，其依据是用户的身份和授权，并为系统中的每个用户（或用户组）和客体规定了用户允许对客体进行访问的方式。
每个用户对客体进行访问的要求都要经过规定授权的检验，如果授权中允许用户以这种方式访问客体，则访问就可以得到允许，否则就不予许可。
特点是根据主体的身份和授权来决定访问模式。
缺点是信息在移动过程中其访问权限关系会被改变。
如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O，问权限的B可访问O。
2. 强制访问控制的实质是对系统当中所有的客体和所有的主体分配敏感标签。
用户的敏感标签指定了该用户的敏感等级或者信任等级，也被称为安全许可；而文件的敏感标签则说明了要访问该文件的用户所必须具备的信任等级。
强制访问控制就是利用敏感标签来确定谁可以访问系统中的特定信息的。
特点是：
a) 将主题和客体分级，根据主体和客体的级别标记来决定访问模式。
b) 其访问控制关系分为：上读/下写（完整性），下读/上写（机密性）
c) 通过梯度安全标签实现单向信息流通模式。
但是自主式太弱，强制式太强，二者工作量都很大，不便于管理。
3. 基于角色的访问控制是实施面向企业安全策略的一种有效的访问控制方式。
其基本思想是，对系统操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合。
每一种角色对应一组相应的权限。
一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。
这样做的好处是，不必在每次创建用户时都进行分配权限的操作，只要分配用户相应的角色即可，而且角色的权限变更比用户的权限变更要少得多，这样将简化用户的权限管理，减少系统的开销。
角色控制与自主式/强制式控制的区别：
角色控制相对独立，根据配置可使某些角色为接近DAC，某些角色接近MAC。
角色控制优势有：便于授权管理，便于角色划分，便于赋予最小特权，便于职责分担，便于目标分级。
三种访问方式的总结：
自主访问控制机制虽然有着很大的灵活性，但同时也存在着安全隐患；
强制访问控制机制虽然大大提高了安全性，但是在灵活性上就会大打折扣。
基于角色的访问控制机制就是在这种形势下的产物，它克服了传统的访问控制机制的不足，是一种有效而灵活的安全策略，它是未来访问控制的发展趋势。
等级保护第3级要求的访问控制：
a) 应在网络边界部署访问控制设备,启用访问控制功能;
b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级;
c) 应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3
等协议命令级的控制;
d) 应在会话处于非活跃一定时间或会话结束后终止网络连接;
e) 应限制网络最大流量数及网络连接数;
f) 重要网段应采取技术手段防止地址欺骗;
g) 应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户;
h) 应限制具有拨号访问权限的用户数量。
参考文件：
《操作系统的安全》PPT
《信息技术安全》PPT_____贾如春
《国家信息安全等级保护制度第三级要求》。