安全等級與標準課件

1、安全等級與標準1 安全等級與標準 Email: 安全等級與標準2 國際安全標準 n美國美國TCSEC（橙皮書，重點介紹）（橙皮書，重點介紹） n歐洲ITSEC n加拿大CTCPEC n美國聯(lián)邦準則FC n聯(lián)合公共準則CC n英國標準7799（BS7799） nISO7799 安全等級與標準3 國際安全標準的衍生關系 1985年 美國可 信計算 機系統(tǒng) 評價標 準 TCSEC 1990年歐洲信 息技術評估準則 ITSEC 1990年加拿大 可信計算機產(chǎn)品 評估標準 CTCPEC 1991年美國聯(lián) 邦準則FC 1995年英國 BS7799 2000年 ISO7799 1995年聯(lián)合 公共準則CC

2、1999年CC成 為國際標準 安全等級與標準4 4.1 國際安全評價標準 安全等級與標準5 4.1.1 TCSEC標準 nTrusted Computer System Evaluation Criteria n1985年美國國防部制定的安全標準 n俗稱橙皮書 n可信計算機基礎TCB（Trusted Computer Base） n為計算機安全產(chǎn)品的評測提供了測試和 方法，指導信息安全產(chǎn)品的制造和應用 安全等級與標準6 TCSEC五要素 n安全策略 n可審計機制 n可操作性 n生命期保證 n建立并維護系統(tǒng)安全的相關文件 安全等級與標準7 TCSEC的四個安全等級 nD：最低保護 nC：被動的自

3、主訪問策略 nB：被動的強制訪問策略 nA：形式化證明的安全 安全等級與標準8 D級安全級別 n最低保護（Minimal Protection），指未 加任何實際的安全措施，D1級最低。D1 系統(tǒng)只為文件和用戶提供安全保護。D1 系統(tǒng)最普遍的形式是本地操作系統(tǒng)，或 一個完全沒有保護的網(wǎng)絡，如DOS被定 義為D1級 安全等級與標準9 C級安全級別 n被動的自主訪問策略（Discretionary Access Policy Enforced），提供審慎的保護，并為用 戶的行動和責任提供審計能力，由二個級別組 成 nC1：具有一定的自主型存取控制（DAC）機制， 通過將用戶和數(shù)據(jù)分開達到安全的目的

4、 nC2：具有更細分的自主型存取控制（DAC）機 制，且引入了審計機制。在連接到網(wǎng)絡時，C2 系統(tǒng)的用戶分別對各自的行為負責。C2系統(tǒng)具 有C1系統(tǒng)中所有的安全特征 安全等級與標準10 B級安全級別 n被動的強制訪問策略（Mandatory Access Policy Enforced）。由三個級別 組成:B1、B2和B3級 n級系統(tǒng)具有強制性保護功能，目前較 少操作系統(tǒng)能夠符合級標準 安全等級與標準11 B1B3級 nB1：滿足C2級所有的安全要求，且需具有所有 安全策略模型的非形式化描述，實施了強制存 取控制（MAC） nB2：系統(tǒng)的TCB是基于明確定義的形式化模型， 并對系統(tǒng)中所有的主體

5、和客體實施了自主型存 取控制（DAC）和強制型存取控制（MAC） nB3：系統(tǒng)的TCP設計要滿足能對系統(tǒng)中所有的 主體對客體的訪問進行控制，TCB不會被非法 篡改 安全等級與標準12 A級安全級別 n形式化證明的安全（Formally Proven Security） n最高安全級別，只包含一個安全級別A1 nA1：類同與B3級，它的特色在于形式化 的頂層設計規(guī)格FTDS（Formal Top Level Design Specification）、形式化驗證 FTDS與形式化的一致性和由此帶來的更 高的可信度 安全等級與標準13 4.1.2 歐洲ITSEC n歐洲白皮書 n1990年，由英、

6、法、荷、德四國共同提 出 n兩種等級 nF：Functionality nE：European Assurance n整體評估 安全等級與標準14 Functionality - ITSEC nF1F10共分10級 nF1F5相當于TCSEC的C1B3 nF6-F10 n數(shù)據(jù)和程序的完整性 n系統(tǒng)的可用性 n數(shù)據(jù)通信的完整性 n數(shù)據(jù)通信的保密性 n機密性和完整性 安全等級與標準15 European Assurance - ITSEC nE0E6 nE0：不滿足品質(zhì) nE1：測試 nE2：配置控制和可控的分配 nE3：訪問詳細設計和源碼 nE4：詳細的脆弱性分析 nE5：設計與源碼對應 nE6

7、：形式化驗證 安全等級與標準16 加拿大CTCPEC nCanada Trusted Computer Product Evaluation Criteria n1993年，專為政府設計 n分為功能性需求和保證性需求 n功能性需求4個層次：機密性、完整性、 可靠性和可說明性 安全等級與標準17 美國聯(lián)邦準則FC n信息技術安全性評估聯(lián)邦準則（Federal Criteria） n1993年對TCSEC的補充和修改 n借鑒了ITSEC的優(yōu)點 n安全需求的4個層次：機密性、完整性、 可靠性和可說明性 安全等級與標準18 CC標準 n1993年，美、加、英、法、德、荷等六 國共同制定 n信息技術安全評估通用準則（CC For IT SEC） n1996年第一版，1998年第二版 n強調(diào)安全功能和保障分開 安全等級與標準19 BS7799標準 n英國 nISO17799標準 n其它不由求 安全等級與標準2