《安全等级与标准.ppt》由会员分享，可在线阅读，更多相关《安全等级与标准.ppt（20页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、安全等级与标准张伟南京邮电大学计算机学院信息安全教研室国际安全标准n美国美国TCSEC（橙皮书，重点介绍）（橙皮书，重点介绍）n欧洲ITSECn加拿大CTCPECn美国联邦准则FCn联合公共准则CCn英国标准7799（BS7799）nISO7799国际安全标准的衍生关系1985年美国可信计算机系统评价标准TCSEC1990年欧洲信息技术评估准则ITSEC1990年加拿大可信计算机产品评估标准CTCPEC1991年美国联邦准则FC1995年英国BS77992000年ISO77991995年联合公共准则CC1999年CC成为国际标准 4.1 国际安全评价标准4.1.1 TCSEC标准nTruste
2、d Computer System Evaluation Criterian1985年美国国防部制定的安全标准n俗称橙皮书n可信计算机基础TCB（Trusted Computer Base）n为计算机安全产品的评测提供了测试和方法，指导信息安全产品的制造和应用TCSEC五要素n安全策略n可审计机制n可操作性n生命期保证n建立并维护系统安全的相关文件TCSEC的四个安全等级nD：最低保护nC：被动的自主访问策略nB：被动的强制访问策略nA：形式化证明的安全D级安全级别n最低保护（Minimal Protection），指未加任何实际的安全措施，D1级最低。D1系统只为文件和用户提供安全保护。D1
3、系统最普遍的形式是本地操作系统，或一个完全没有保护的网络，如DOS被定义为D1级C级安全级别n被动的自主访问策略（Discretionary Access Policy Enforced），提供审慎的保护，并为用户的行动和责任提供审计能力，由二个级别组成nC1：具有一定的自主型存取控制（DAC）机制，通过将用户和数据分开达到安全的目的nC2：具有更细分的自主型存取控制（DAC）机制，且引入了审计机制。在连接到网络时，C2系统的用户分别对各自的行为负责。C2系统具有C1系统中所有的安全特征B级安全级别n被动的强制访问策略（Mandatory Access Policy Enforced）。由三个
4、级别组成:B1、B2和B3级n级系统具有强制性保护功能，目前较少操作系统能够符合级标准B1B3级nB1：满足C2级所有的安全要求，且需具有所有安全策略模型的非形式化描述，实施了强制存取控制（MAC）nB2：系统的TCB是基于明确定义的形式化模型，并对系统中所有的主体和客体实施了自主型存取控制（DAC）和强制型存取控制（MAC）nB3：系统的TCP设计要满足能对系统中所有的主体对客体的访问进行控制，TCB不会被非法篡改A级安全级别n形式化证明的安全（Formally Proven Security）n最高安全级别，只包含一个安全级别A1nA1：类同与B3级，它的特色在于形式化的顶层设计规格FTD
5、S（Formal Top Level Design Specification）、形式化验证FTDS与形式化的一致性和由此带来的更高的可信度4.1.2 欧洲ITSECn欧洲白皮书n1990年，由英、法、荷、德四国共同提出n两种等级nF：FunctionalitynE：European Assurancen整体评估Functionality-ITSECnF1F10共分10级nF1F5相当于TCSEC的C1B3nF6-F10n数据和程序的完整性n系统的可用性n数据通信的完整性n数据通信的保密性n机密性和完整性European Assurance-ITSECnE0E6nE0：不满足品质nE1：测试n
6、E2：配置控制和可控的分配nE3：访问详细设计和源码nE4：详细的脆弱性分析nE5：设计与源码对应nE6：形式化验证加拿大CTCPECnCanada Trusted Computer Product Evaluation Criterian1993年，专为政府设计n分为功能性需求和保证性需求n功能性需求4个层次：机密性、完整性、可靠性和可说明性美国联邦准则FCn信息技术安全性评估联邦准则（Federal Criteria）n1993年对TCSEC的补充和修改n借鉴了ITSEC的优点n安全需求的4个层次：机密性、完整性、可靠性和可说明性CC标准n1993年，美、加、英、法、德、荷等六国共同制定n信息技术安全评估通用准则（CC For IT SEC）n1996年第一版，1998年第二版n强调安全功能和保障分开BS7799标准n英国nISO17799标准n其它不由求4.2 我国计算机安全等级划分和相关标准n1994年，国务院发布了中华人民共和国计算机信息安全保护条例n1999年，公安部组织制定了计算机信息系统安全保护等级划分准则n法律、管理、技术三方面保证计算机、网络、信息安全