WindowsNT的安全模型-电子科技大学
Windows NT系统安全模型
在没有用户登录时，可以看到屏幕上显示一个对话框，提示用户登录在NT系统中。实际上，NT系统中有一个登录进程。当用户在开始登录时，按下Ctrl+Alt+Del键，NT系统启动登录进程，弹出登录对话框，让用户输入帐号名及口令。按下Ctrl+Alt+Del键时，NT系统保证弹出的登录对话框是系统本身的，而不是一个貌似登录对话框的应用程序，以防止被非法窃取用户名及口令。
所以，在登录时，无论屏幕上是否有登录对话框，一定要按下Ctrl+Alt+ Del，以确保弹出的对话框是NT系统的登录对话框，此过程就是强制性登录过程库中的信息。如果帐户及口令无效，则用户的登录企图被拒绝；如果帐户及口令有效，则把安全帐户数据库中有关该帐户的信息收集在一起，形成一个存取标识。
存取标识的作用相当于缓存，只不过存取标识缓存的是用户安全信息，使得系统不必再从硬盘上查找。安全帐户数据库是由域用户管理器来维护的，在某个用户登录后，有可能管理员会修改其帐户以及权力等，但这些修改只有在用户下次登录时才有效，因为NT安全系统在用户登录后只检查存取标识，而不是检查安全帐户数据库。比如User1已登录到了NT系统中，管理员发现其缺少了某种权力，就用域用户管理器做了相应的修改，那么，除非User1重新登录一次，否则User1仍无法享有该权力。
存取标识包含的内容并没有访问许可权限，而存取标识又是用户在系统中的通行证，那么NT如何根据存取标识控制用户对资源的访问呢？
原来，给资源分配的权限作为该资源的一个属性，与资源一起存放。比如有目录为D：\Files，对其指定User1只读，User2可完全控制，则这两个权限都作为D：\Files目录的属性与该目录连在一起。在NT内部以访问控制列表）的形式存放。ACL中包含了每个权限的分配，以访问控制项来表示。ACE中包含了用户名以及该用户的权限。比如上面提到的这个例子中，D：\Files的ACL中有两个ACE，分别是User1：只读，User2：完全控制。当User1访问该目录时，NT安全系统检查用户的存取标识，与目录的ACL对照，发现用户存取标识中的用户名与ACL中有对应关系且所要求的权限合法，则访问获得允许，否则，访问被拒绝。
windows系统安全(安全模型与体系结构)
包过滤 防火墙
如 VPN
网络接 口层
相邻节点 间的认证 （如MS-
CHAP）
子网划分、 VLAN、物理
隔绝
MDC MAC
点对点加密 （MS-MPPE）
IDS Keberos
第三方公证（如 安全服务 管理
入侵检测（
安全机制 响应 审、 计恢 、复 日志 管理
系
统
安
）数字签名 ）漏安 洞全 扫设 描备
7 安全审计系统
安全审计系统通过独立的、对网络行为和主机操作 提供全面与忠实的记录，方便用户分析与审查事故 原因，很像飞机上的黑匣子。由于数据量和分析量 比较大，目前市场上鲜见特别成熟的产品
8 入侵检测与防御系统（IDS）
IDS: intrusion Detection System IDS的主要功能包括检测并分析用户在网络中的活 动，识别已知的攻击行为，统计分析异常行为，核 查系统配置和漏洞，评估系统关键资源和数据文件 的完整性，管理操作系统日志，识别违反安全策略 的用户活动等。
关的信息
现有TCP/IP网络安全技术框架
应用层安全协议（如S/MIME、SHTTP、SNMPv3）
应用层
用户身份 认证
授权与代理服务 器防火墙如CA.
传输层
传输层安全协议（如SSL/TLS、PCT、SSH、SOCKS） 电路级防火
网络层 （IP）
网络层安全协议（如IPSec）
数据源认 证IPSec-
（3）建立基于Internet网关的反病毒系统
在代理服务器（Proxy）网关上安装基于网关的反病毒软 件，堵住来自Internet通过Http或Ftp等方式进入内部网络的 病毒，而且可过滤恶意ActiveX,Java和Java Applet程序。
电子科技大学计算机操作系统—第九章 系统安全
许家珆
9.2 安全保护组件 一、访问控制(access control) 访问控制 防止对资源的未授权使用。 防止对资源的未授权使用。包括用户身份认证和访问 权限控制。 权限控制。访问控制方式又分为自主访问控制和强制访问 控制。 控制。 1、访问域 、 2、访问矩阵（访问控制表、访问权限表） 、访问矩阵（访问控制表、访问权限表）
密钥
在公开密钥体系中，最著名的是RSA（根据它的发明者命 在公开密钥体系中 ，最著名的是 （ 名的， 名的， 即 Rivest，Shamir 和Adleman）是最流行的公开密钥算 ， ） 它能用作加密和数字签名。 法，它能用作加密和数字签名。
许家珆
RSA算法的数学基础： 算法的数学基础： 算法的数学基础 设：有三个数 n、d、e，对任意数 、 、 ，对任意数M （1< M < n -1） ） (M e) d mod n = M 有: 则： n、 e 形成公开密钥， n、 d 形成私有密钥。 、 形成公开密钥， 、 形成私有密钥。 进行加密的过程为： 对明文 M进行加密的过程为： M’ = Me mod n 进行加密的过程为 对密文M’ 进行解密的过程为： 对密文 进行解密的过程为： M = (M’ )d mod n 显然，只知道n、 是无法得出M 显然，只知道 、 e 和M’ 是无法得出 的。 另外，RSA算法中，若用私有密钥进行加密时，可以用 另外， 算法中，若用私有密钥进行加密时， 算法中 公开密钥进行解密。 算法具有鉴别能力。 公开密钥进行解密。即RSA算法具有鉴别能力。 算法具有鉴别能力
Please transfer one million dollars to my Swiss bank account six two two …
Windows安全模型Read
Windows安全模型ReadWindows 安全模型每个驱动程序作者都需要了解的内容Updated July 7 2004 On This Page 简介Windows 安全模型安全场景创建一个文件驱动程序安全责任行动指南和资源本文提供关于为Microsoft Windows 家族操作系统编写安全的内核模式驱动程序的信息其中描述了如何将Windows 安全模型应用于驱动程序并解释驱动程序作者必须采取哪些措施来确保其设备的安全性简介Windows 安全模型基于安全对象操作系统的每个组件都必须确保其负责的对象的安全性因此驱动程序必须保证其设备和设备对象的安全性本文总结了如何将Windows 安全模型应用于内核模式驱动程序以及驱动程序编写人员必须采取哪些措施来确保其设备的安全性一些类型的设备适用于附加的设备特定要求请参阅Microsoft Windows Driver Development Kit DDK 中的设备特定的文档以了解详细信息注意关于本文中讨论的例程和问题的当前文档请参见Windows DDK 最新版本关于如何获取当前的DDK 的信息请参见 Top of page Windows 安全模型Windows 安全模型主要基于每个对象的权限以及少量的系统级特权安全对象包括但不限于进程线程事件和其它同步对象以及文件目录和设备对于每种类型的对象一般的读写和执行权限都映射到详细的对象特定权限中例如对于文件和目录可能的权限包括读或写文件或目录的权限读或写扩展的文件属性的权限遍历目录的权限以及写对象的安全描述符的权限更多信息包括完整的权限列表请参见MSDN 库的安全性节中的安全性常规该库位于安全模型涉及以下概念安全标识符SID 存取令牌安全描述符访问控制列表ACL特权安全标识符SID 安全标识符SID也称为安全主体标识一个用户组或登录会话每个用户都有一个唯一的SID在登录时由操作系统检索SID 由一个权威机构如操作系统或域服务器分发一些SID 是众所周知的并且具有名称和标识符例如SID S-1-1-0 标识所有人或全世界存取令牌每个进程都有一个存取令牌存取令牌描述进程的完整的安全上下文它包含用户的SID用户所属组的SID登录会话的SID以及授予用户的系统级特权列表默认情况下当进程的线程与安全对象交互时系统使用进程的主存取令牌但是一个线程可以模拟一个客户端帐户当一个线程模拟客户端帐户时它除了拥有自己的主令牌之外还有一个模拟令牌模拟令牌描述线程正在模拟的用户帐户的安全上下文模拟在远程过程调用Remote Procedure Call RPC 处理中尤其常见描述线程或进程的受限制的安全上下文的存取令牌被称为受限令牌受限令牌中的SID 只能设置为拒绝访问安全对象而不能设置为允许访问安全对象此外令牌可以描述一组有限的系统级特权用户的SID 和标识保持不变但是在进程使用受限令牌时用户的访问权限是有限的CreateRestrictedToken 函数创建一个受限令牌受限令牌对于运行不可信代码例如电子邮件附件很有用当您右键单击可执行文件选择运行方式并选择保护我的计算机和数据不受未授权程序的活动影响时Microsoft Windows XP 就会使用受限令牌安全描述符每个命名的Windows 对象都有一个安全描述符一些未命名的对象也有安全描述符描述对象的所有者和组SID以及对象的ACL对象的安全描述符通常由创建该对象的函数创建当驱动程序调用IoCreateDevice 或IoCreateDeviceSecure 例程来创建设备对象时系统将一个安全描述符应用于创建的设备对象并为对象设置ACL对于大多数设备ACL 是在设备信息INF 文件中指定的访问控制列表访问控制列表ACL 允许细粒度地控制对对象的访问ACL 是每个对象的安全描述符的一部分每个ACL 包含零个或多个访问控制条目ACE而每个ACE 仅包含一个SID用来标识用户组或计算机以及该SID 拒绝或允许的权限列表设备对象的ACL 可以使用三种方式设置设备对象的ACL在其设备类型的默认安全描述符中设置由RtlCreateSecurityDescriptor 函数通过编程方式创建并由RtlSetDaclSecurityDescriptor 函数进行设置在设备INF 文件中使用安全描述符定义语言Security Descriptor Definition Language SDDL 指定或者在对IoCreateDeviceSecure 例程的调用中指定所有新的驱动程序都应该在INF 文件中使用SDDL 为其设备对象指定ACLSDDL 是一种可扩展的描述语言允许组件以字符串格式创建ACL用户模式和内核模式代码都使用SDDL图1 显示了设备对象的SDDL 字符串的格式图1 设备对象的SDDL 字符串Access 值指定允许的访问类型SID 值指定一个安全标识符确定将Access 值应用于谁例如一个用户或组例如下面的SDDL 字符串允许系统SY 获得任何访问权限而仅允许其他所有人WD 获得读访问权DPAGASYAGRWD头文件wdmsech 还包括一组适用于设备对象的预定义SDDL 字符串例如头文件按如下方式定义SDDL_DEVOBJ_SYS_ALL_ADM_RWX_WORLD_RWX_RES_RWX"DPAGASYAGRGWGXBAAGRGWGX WDAGRGWGXRC" 这个字符串的第一节允许内核和操作系统SY 完全控制设备第二节允许内置管理员组BA 中的任何人访问整个设备但是不能更改ACL第三节允许所有人WD 读或写设备第四节将相同的权限授予不可信代码RC驱动程序可以按原样使用预定义字符串或者将其用作设备对象特定的字符串模型堆栈中的所有设备对象都应该具有相同的ACL更改堆栈中一个设备对象的ACL 会更改整个设备堆栈的ACL然而将新设备对象添加到堆栈中不会更改任何ACL无论是新设备对象的ACL如果它有ACL还是堆栈中任何现有设备对象的ACL当驱动程序创建一个新的设备对象并将其附加到堆栈顶部时驱动程序应该将堆栈的ACL 复制到新设备对象方法是从该设备对象的下一层驱动程序中复制DeviceObjectCharacteristics 字段IoCreateDeviceSecure 例程支持SDDL 字符串的一个子集它使用预定义的SID例如WD 和SY用户模式API 和INF 文件支持所有SDDL 语法使用ACL 进行安全检查当进程请求访问一个对象时安全检查将对象的ACL 与调用方存取令牌中的SID 进行比较系统按照严格的从上往下的顺序比较ACE并在第一个相关的匹配处停止因此在创建ACL 时应该始终将拒绝ACE 放在相应且允许的ACE 上方下面的例子展示了比较的方法例子1将ACL 与存取令牌比较例子1 显示系统如何将ACL 与调用方进程的存取令牌进行比较假设调用方想要打开具有表1 所示ACL 的文件表1 示例文件ACL 权限SID 访问权允许Accounting 写删除允许Sales 追加拒绝Legal 追加写删除允许Everyone 读此ACL 有4 个ACE分别应用于AccountingSalesLegal 和Everyone 组下一步假设请求进程的存取令牌包含一个用户和三个组的SID顺序如下用户Jim S-1-5-21 组Accounting S-1-5-22 组Legal S-1-5-23 组Everyone S-1-1-0 在比较文件ACL 与存取令牌时系统首先在文件的ACL 中查找用户Jim 的ACE没有找到所以接下去它查找Accounting 组的ACE如表1 所示Accounting 组的ACE 就是文件的ACL 中的第一个条目因此Jim 的进程被授予写或删除文件的权限然后比较过程停止相反如果ACL 中Legal 组的ACE 在Accounting 组的ACE 前面那么进程将无法获得对文件的写追加和删除权限例子2将ACL 与受限令牌比较系统将ACL 与受限令牌比较的方式与将其与不受限令牌比较的方式相同但是受限令牌中的拒绝SID 只能匹配ACL 中的拒绝ACE例子2 显示系统如何将文件的ACL 与受限令牌进行比较假设文件具有与表1 中所示的相同的ACL但是在这个例子中进程具有包含下列SID 的受限令牌用户Jim S-1-5-21 拒绝组Accounting S-1-5-22 拒绝组Legal S-1-5-23 拒绝组Everyone S-1-1-0 文件的ACL 没有列出Jim 的SID所以系统继续比较Accounting 组SID尽管文件的ACL 中存在Accounting 组的ACE并且这条ACE 允许访问但是它与进程的受限令牌中的SID它拒绝访问不匹配因此系统继续比较Legal 组SID文件的ACL 包含Legal 组的一条ACE拒绝访问因此进程不能写追加或删除文件特权特权是用户在本地计算机上执行与系统相关的操作例如加载驱动程序更改时间或关闭系统的权限特权与访问权不同因为特权应用于与系统而不是对象相关的任务和资源并且特权由系统管理员而不是操作系统授予用户或组每个进程的存取令牌都包含一个授予该进程的特权列表特权必须在使用之前专门启用管理员使用Windows 控制面板中的管理工具来启用和审核特权的使用也可以通过编程方式启用特权Top of page 安全场景创建一个文件当进程创建文件或对象的句柄时系统使用Windows 安全模型中阐述的安全构造图2 显示当用户模式进程试图创建一个文件时触发的与安全相关的操作Click to view full-size image 图2 处理CreateFile 请求图2 显示当用户模式应用程序调用CreateFile 函数时系统如何响应下面对圆圈中的数字进行说明1 用户模式应用程序调用CreateFile 函数传递一个有效的Microsoft Win32 文件名2 用户模式Kernel32dll 将请求传递给Ntdlldll该DLL 将Win32 名称转换为Microsoft Windows NT 文件名3 Ntdlldll 使用Windows NT 文件名调用NtCreateFile 函数在Ntoskrnlexe 内部IO 管理器处理NtCreateFile 4 IO 管理器将请求重新打包成一个对象管理器调用5 对象管理器解析符号链接并确保用户对将在其中创建文件的路径具有遍历权限详细信息请参见本文稍后的对象管理器中的安全检查6 对象管理器调用拥有与请求关联的底层对象类型的系统组件对于一个文件创建请求该组件就是IO 管理器它拥有设备对象7 IO 管理器检查设备对象的安全描述符与用户进程的存取令牌以确保用户具有所需的设备访问权详细信息请参见本文稍后的IO 管理器中的安全检查8 如果用户进程具有所需的访问权那么IO 管理器创建一个句柄并将一个IRP_MJ_CREATE 请求发送到设备或文件系统。
2022年杭州电子科技大学信息管理与信息系统专业《数据库概论》科目期末试卷B(有答案)
2022年杭州电子科技大学信息管理与信息系统专业《数据库概论》科目期末试卷B（有答案）一、填空题1、数据模型是由______________、______________和______________三部分组成。
2、数据仓库是______、______、______、______的数据集合，支持管理的决策过程。
3、SQL语言的数据定义功能包括______、______、______和______。
4、在SQL语言中，为了数据库的安全性，设置了对数据的存取进行控制的语句，对用户授权使用____________语句，收回所授的权限使用____________语句。
5、设有关系模式R（A，B，C）和S（E，A，F），若R.A是R的主码，S.A是S的外码，则S.A的值或者等于R中某个元组的主码值，或者______取空值，这是规则，它是通过______和______约束来实现的。
6、____________和____________一起组成了安全性子系统。
7、数据管理技术经历了______________、______________和______________3个阶段。
8、关系数据库中基于数学的两类运算是______________和______________。
9、采用关系模型的逻辑结构设计的任务是将E-R图转换成一组______，并进行______处理。
10、设某数据库中有作者表（作者号，城市）和出版商表（出版商号，城市），请补全如下查询语句，使该查询语句能查询作者和出版商所在的全部不重复的城市。
SELECT城市FROM作者表_____SELECT城市FROM出版商表；二、判断题11、视图是可以更新的。
（）12、数据库模式和实例是一回事。
（）13、在综合分E-R图时，会出现属性冲突，结构冲突，命名冲突。
（）14、在数据库表中，空值表示数值0。
（）15、全码的关系模式一定属于BC范式。
（）16、在第一个事务以S锁方式读数据R时，第二个事务可以进行对数据R加S锁并写数据的操作。
winnt&2k安全配置
附加的系统进程
• mstask.exe 允许程序在指定时间运行。(系统服 务) • regsvc.exe regsvc.exe 允许远程注册表操作。 (系统服务) • winmgmt.exe 提供系统管理信息(系统服务)。 • inetinfo.exe 通过Internet 信息服务的管理单 元提供信息服务连接和管理。(系统服务) • tlntsvr.exe 允许远程用户登录到系统并且使用 命令行运行控制台。(系统服务) • termsrv.exe 提供多会话环境允许客户端设备访 问虚拟的Windows 2000 Professional 桌面会话 以及运行在服务器上的桌面会话基于Windows 的 程序。(系统服务) • dns.exe 应答对域名系统 (DNS)名称的查询和 更新请求。(系统服务)
进程地址空间
线程 线程
线程
系统地址空间
系统进程
• 基本的系统进程 System Idle Process 这个进程是作为单线程运行在每个处理器上，并在 系统不处理其他线程的时候分派处理器的时间 smss.exe 会话管理子系统，负责启动用户会话 csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 本地安全身份验证服务器 svchost.exe 包含很多系统服务 SPOOLSV.EXE 将文件加载到内存中以便迟后打 印。(系统服务) explorer.exe 资源管理器 internat.exe 托盘区的拼音图标
Win32 User GDI 图形驱动
进程和线程
• 什么是进程？ – 代表了运行程序的一个实例 – 每一个进程有一个私有的内存地址 空间 • 什么是线程？ – 进程内的一个执行上下文 – 进程内的所有线程共享相同的进程 地址空间 • 每一个进程启动时带有一个线程 – 运行程序的“主”函数 – 可以在同一个进程中创建其他的线 程 – 可以创建额外的进程
第02章 - Windows NT安全
第2章 Windows NT安全原理虽然本书以Windows 2000作为阐述Windows系统安全原理与技术的重点，但由于Windows 2000的大部分核心功能和面向对象的设计都来源于Windows NT 4.0，大部分原有的基础安全结构仍然保持不变，因此本章将首先说明Windows NT 4.0系统安全的基本原理与技术。
2.1 Windows NT系统安全体系图2-1显示了Windows NT 4.0系统体系结构中的多个组成部分以及彼此之间的相关性。
与其他大多数模型类似，这也是一种分层结构：计算机硬件位于底端，而高层的应用程序位于顶端。
用户与最高层的部分进行交互，中间的所有层次都为上一层提供服务并与下一层进行交互。
图2-1 Windows NT4.0安全体系结构该体系结构分为两种模式：内核模式（Kernel Mode）和用户模式（User Mode）。
应用程序及其子系统运行在用户模式下。
该模式拥有较低特权，不能对硬件直接进行访问。
用户模式的应用程序被限定在由操作系统所分配的内存空间内，不能对其他内存地址空间直接进行访问。
用户模式只能使用特殊的应用程序编程接口（API）来从内核模式组件中申请系统服务。
用户模式中包含有以下一些主要的子系统。
z Win32子系统：这是主要的应用程序子系统，所有的32位Windows应用程序都运行在这个子系统之下。
z本地安全子系统：用来支持Windows的登录过程，包括对登录的身份验证和审核工作。
安全子系统需要和Win32子系统进行通信。
z OS/2子系统：被设计用来运行和OS/2 1.x相兼容的应用程序。
z POSIX子系统：被设计用来运行和POSIX 1.x相兼容的应用程序。
而内核模式中的代码则具有极高的特权，可以直接对硬件进行操作以及直接访问所有的内存空间，并不像运行在用户模式下的程序那样被限定在自身特定的地址空间内。
组成内核模式的整套服务被称为“执行服务”（有时也被称为Windows NT Executive）。
第三章 操作系统安全模型
严格完整性策略
是BLP模型的对偶 规则:
1. 完整性*-属性: 主体S可以对客体O进行写操作,当 且仅当S的完整性等级支配客体O的完整性等级 2. 援引规则: 主体S1可以执行另一个主体S2(与S2通 信),当且仅当S1的完整性等级支配S2的完整性等 级 3. 简单完整性条件: 主体S可以对客体O进行读取操 作,当且仅当O的完整性等级支配S的完整性等级
第三章 操作系统安全模型
3.1 安全模型的概念及特点
安全策略:有关管理,保护和发布敏感信息的 法律,规定和实施细则 已授权的,安全的状态集合 未授权的,不安全的状态集合 如图,安全状态集合S={s1,s2,s3},不安全状态集 合US={s4}
S1 S2 S3 S4
3.1 安全模型的概念及特点
安全模型：是对安全策略所表达的安全需 求的简单、抽象和无歧义的描述。 安全模型的特点： 1、简单的、清晰的，只描述安全策略，对具 体实现的细节不作要求 2、抽象的、本质的 3、精确的、没有歧义的 现有的安全模型大多采用状态机模拟系统
BLP模型分析
BLP模型的安全策略包括MAC和DAC。 MAC由简单安全特性和*特性组成，DAC由存 取控制矩阵组成。 BLP中使用了可信主体，表示实际系统中不 受*特性约束的主体 BLP模型存在的问题
1、可信主体不受*特性约束，权限太大，不符合最 小特权原则 2、 BLP模型主要注重保密控制，不能控制向上写， 而向上写不能限制隐蔽通道
中国墙模型的*-属性
*-属性 主体S可以对客体O进行写操作,当 且仅当以下两个条件同时满足 1. 中国墙简单安全条件允许S读取O 2. S不能读取属于不同数据集的需要保护的 客体
简单安全条件
S可以读O,当且仅当S支配O且S对O具有自主型读 访问权限 *-属性: S可以写O,当且仅当O支配S且S对O具有自 主写权限 基本安全定理:设系统的初始安全状态为σ 0，T是状 态转换的集合。如果T中的每个元素都遵守简单安 全条件和*-属性，那么对于每个i≧0,状态σ i都是 安全的 只要该模型的初始状态是安全的,并且所有的转移函 数也是安全的,系统只要从某个安全状态启动,无论 按何种顺序调用系统功能,系统将总保持在安全状态.
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2020/3/1
可信计算基（续）
引用监视器是一个抽象的概念 安全内核（包括引用验证机制）是引用监视器的
实现 TCB包含了安全内核以及其他保护机制。
2020/3/1
可信计算基（续）
2020/3/1
2020/3/1
操作系统安全的特点（续）
多道程序与资源共享 并行执行与相互制约 资源分配与资源调度 开放性与规范性 系统调用与核心编程 系统漏洞与缺陷 外部攻击（恶意程序、远程调用）
2020/3/1
2. 操作系统的安全漏洞
系统设计缺陷（并发程序缺陷、隐蔽通道、死区代 码、调试程序块…）
硬件
安全内核 操作系统 用户任务
硬件（Hardware）： － CPU、内存等
安全内核（Secure Kerkel）： － 访问控制 － 认证
操作系统（OS）： － 资源分配 － 共享 － 硬件管理
用户任务（User Task）： － 任务创建、删除等
安全内核与操作系统
操作系统安全性的评估方法
（1）测试 （2）形式化验证 （3）非形式化验证
计算系统与网络安全
Computer System and Network Security
2020/3/1
电子科技大学 计算机科学与工程学院
第8章 计算机系统安全(操作系统安全)
操作系统安全 UNIX操作系统安全技术实例分析 Windows操作系统安全技术实例分析 操作系统加固
2020/3/1
计算机系统的层次结构
引用监视器的特点包括：
是控制对设备、文件、内存、进程等对象进行访问的一 组访问控制策略；
是所有访问请求的唯一入口； 自身必须是正确和安全的； 应该足够小，使得对引用监视器的验证容易进行。
2020/3/1
引用监视器（续）
日志与审计 （Log& Audit）
策略 （Policy）
主体 （Subject）
引用验证机制需同时满足以下3 个原则：
（1）必须具有自我保护能力； （2）必须总是处于活跃状态； （3）必须设计得足够小，以利于分析和测试，从而能
够证明它的实现是正确的。
2020/3/1
可信计算基
可信计算基（TCB：Trusted Computing Base）：
是一个计算机系统中的全部保护机制（包括硬件、固件 和软件），他们结合起来为系统提供全局统一的访问控 制策略。
内存 中断句柄
2020/3/1
中断处理过程
硬件安全保护技术
大多数CPU的中断有优先权之分，使得更高优先 权的中断可以抢占正在执行的中断，从而中止当 前的中断句柄。
在第一级的中断处理程序必须拥有自己的堆栈，以便在 处理更高级别的中断前保存CPU的执行状态。
当中断处理完毕以后，CPU将恢复到以前的状态，继 续执行中断处理前正在执行的指令。
安全机制如何从一开始就加入操作系统？ 操作系统中哪些资源需要保护？ 如何建立最可靠的安全机制？ 如何分层次、分步骤地实现安全机制？ 如何对安全操作系统进行评价？ 需要提供多种安全级别以供选择
2020/3/1
操作系统的安全观点（续）
这种情况如果处理不正确，就会带来安全威胁。
2020/3/1
硬件安全保护技术（续）
除了中断处理机制意外，许多处理器也提供了特 权级保护。例如，Intel 80386/80486上的保护模式 就提供了四种特权级：
0 操作系统核心 1 操作系统其余部分 2 I/O驱动程序部分 3 应用软件
2020/3/1
一、操作系统安全概念
安全的门户和攻击的对象 安全的突破点 系统安全的基础 运行安全的平台 用户安全的界面 系统恢复的基础
2020/3/1
1. 操作系统安全的特点
程序：一组面向机器和用户的程序 表格：若干支持运行的表格 接口：用户程序和计算机硬件之间的接口 资源：软、硬件、用户、接口、数据、网络 管理：管理所有系统资源，包括用户 保护和控制：对资源进行保护和控制
从计算机系统的组成来看，包括硬件、操作系统 内核、操作系统、服务和应用程序五个部分
2020/3/1
应用程序 服务
操作系统 操作系统内核
硬件
计算机系统的层次结构
硬件安全保护技术
如果攻击者可以控制中断矢量表，就可以控制程 序的执行，从而破坏计算机系统的正常处理过程。
中断 TRAP #n
中断矢量表 中断矢量
2020/3/1
OS Securit OS安全访问 OS安全机制
2020/3/1
引用监视器
引用监控器（Reference Monitor）：
是一种访问控制，用于协调主体对客体的访问。 因此，引用监视器能够识别系统中的程序，控制其它程
序的运行，负责控制对系统资源的访问。
操作 （Action）
引用监控器 （Reference Monitor）
授权 （Authorization） 客体
（Object）
引用监视器
2020/3/1
安全内核
安全内核（Secure Kernel）：
安全内核是实现引用监视器概念的可信计算基的硬件、 固件和软件的集合体，是系统中与安全性的实现有关的 部分，包括引用验证机制、授权（authorization）机制 和授权的管理机制等成分。
隐蔽调用（BIOS替换、矢量、预留接口…） 调用陷阱（各类调用形成的隐患） I/O缺陷（I/O通道在OS的安全限制外） 访问策略（保护与共享、隔离与连通矛盾） 安全机制限制（决策、时间、次数、开销） 通用性陷阱（通用性的特权）
2020/3/1
3. 操作系统的安全观点
设计者观点：
安全内核的特点包括：
必须对所有访问进行验证和授权； 自身必须被保护不被修改； 自身的安全性应该是可证且安全的。
2020/3/1
安全内核（续）
引用验证机制：
J.P. Anderson 把引用监控器的具体实现称为引用验证 机制
引用验证机制是实现引用监控器思想的硬件和软件的组 合。