【CISSP是小众,与MCSE,CCNA一类的不同,资料很少。本人在准备CISSP考试。总结一些考点,供大家参考(内容主要是《CISSP认证考试权威指南(第4版)》的读书笔记,感谢作者和译者,替他们宣传一下。)】
 
令牌,功能列表和安全标签
令牌(Token)与资源相关的独立个体,描述其安全属性。
功能列表(Capabilities List)为每个受控客体维护一行安全属性,不够灵活但可快速查找。
安全标签(Security Label)客体的永久部分,可以更好地防止篡改。
 
主要的计算机安全模型
1,状态机
2,信息流
3,非干扰
4,Take-Grant
5,访问控制表
6,Bell-LaPadula
7,Biba
8,Clark-Wilson
9,Brewer And Nash(也称为Chinese Wall)
 
可信计算基(TCB)
桔皮书(Orange Book)是国防部Standard 5200.28的俗称,这个标准将可信计算基(Trusted Computing Base-TCB)描述为硬件,软件和控制方法的组合。
1,安全边界(Security Perimeter)
是TCB与系统的其他部分的分界,TCB与其他部分进行通信的通道被称为可信路径(Trusted Path),根据TCSEC指导原则,B2和较高级别的系统要求使用可信路径。
2,引用监控器和内核
引用监控器(Reference Monitor)位于主体和客体之间,用于验证和访问控制。
安全内核(Security Kernel)是实现引用监控器的TCB组件集合。
 
状态机模型(State Machine Model)
描述了一个无论处于何种状态下总是安全的系统。
公式1:下一状态=G(输入,当前状态)
公式2:输出=F(输入,当前状态)
 
信息流模型(Information Flow Model)
以状态机为基础,后面的Bell-LaPadula和Biba都是信息流模型。
用于避免未授权的,不安全的信息流。
 
无干扰模型(Noninterference Model)
关注高安全级别的主体如何影响系统状态或低安全级别的主体。
 
组合论(Composition Theory)
三种信息流动模式:
1,级联(Cascading)A的输入来自B的输出。
2,反馈(Feedback)A为B提供输入,然后B再为A提供输入。
3,挂接(Hookup)A为B提供输入的同时,也向外部实体发送输入。
 
Take-Grant模型
权利可以在主体之间传递。
具有授权资格的主体可以向另一个主体或客体授予所拥有的权限。
具有获得权利的主体可以从另一个主体获取权利。
 
访问控制表(Access Control Matrix)
是一个由主体和客体组成的表,指示了每个主体可以对每个客体执行的动作和功能。
 
Bell-LaPadula模型
衍生自DoD的多级安全策略,通常分为四类:非秘密,秘密,机密和绝密。(Sensitive but Unclassified,Confidential,Secret,Top Secret)(个人觉得原书的翻译有误,在中国,机密的密级高于秘密,这里把原书的机密和秘密顺序调整了)
规定任何主体可以访问相同或更低许可级别的资源。
具体规定可以理解为:
1,不能向上读。
2,不能向下写。
3,可以通过访问控制来加强管理。
 
Biba模型
与Bell-LaPadula模型相反,它用于保证完整性而非机密性。
具体规定可以理解为:
1,不准向上写(以免破坏上层数据)
2,准入向上读(不保证机密性)
用于解决三个完整性问题:
1,防止未授权的主体对客体进行修改。
2,防止己授权的主体对客体进行未授权的修改。
3,保证内部和外部客体的一致性。
 
Clark-Wilson模型
使用安全标签来授予对客体的访问权限,但是只能通过特定的过程和接口来完成。
可确保任何用户都不能非授权地修改数据。
 
Brewer And Nash模型(也称为Chinese Wall)
将存在利益冲突的数据归属到不同的域。
 
主体与客体
主体(Subject)是请求访问资源的用户或进程。
客体(Object)是用户或进程想要访问的资源。
 
封闭式系统与开放式系统
封闭式系统(Closed System)小范围,同厂商,专有,不对外,安全性高。
开放式系统(Open System)行业标准,可能来自于不同厂商,易受攻击。
 
确保机密性,完整性和可用性的技术
1,限制(Confinement)允许进程只能在特定的内存地址和资源中读取和写入数据。
2,界限(Bound)操作系统内部有两个授权级别:用户和内核。进程只能访问限定区域内的资源,界限可能是逻辑的,也可能是物理的。
3,隔离(Isolation)确保任何行为只影响与隔离进程有关的内存和资源。
 
控制(Control)是使用访问规则来限制主体对客体的访问。
强制访问控制(MAC)也可以称为规则型访问控制(Rule-Based Access Control)
自主访问控制(DAC)与强制访问控制的区别在于,主体具有一些定义访问客体的能力。根据主体的身份,我们可以准许主体增加或修改访问客体的规则。
 
信任与保证
可信系统(Trusted System)是所有保护机制协力工作的系统,能够在维护稳定和安全的计算环境的情况下为用户处理敏感数据。
保证(Assurance)为满足安全需求的置信度。保证必须被持续地维持,更新和重验证。
 
 
1,彩虹系列系统安全评估标准
著名的可信计算机系统评估标准(Trusted Computer System Evaluation Criteria,TCSEC),即桔皮书。
类别A 己验证保护
A1在开发阶段引入了更严格的管理,可提供比B3更为安全的环境,代表的是安全等级的最高级,被设计用于处理绝密数据。目前没有商业化操作系统达到这一级别。
类别B 强制性保护
分为标签式安全(B1),结构化保护(B2)和安全域(B3)
B1主体与客体都有安全标签,通过权限兼容性检查来授权访问。B1对已分类数据提供了足够的安全保护。
B2基于B1,还要求系统不能有隐蔽通道。操作者和管理员分离,进程也被隔离。
B3则采用安全域实现更好的分离,关注点转移到简易性,从而减少系统的脆弱性,B3系统难以攻破,为非常敏感或秘密的数据提供了安全保护。经过强化的UNIX或WindowsNT可以达到B级安全,金融行业的计算机系统通常要求达到B2级安全。
类别C 自主性保护
分为自主安全保护C1和受控访问保护C2,C1基于用户和组来实现访问控制,保护功能较弱。C2的安全性强于C1,用户必须被单独标识后才能获得访问客体的权限,C2系统还必须实施介质清除措施。普通的UNIX和WindowsNT系统属于C级。
类别D 最小化保护
此外:红皮书TNI=可信网络解释和绿皮书DoDPMG=国防部密码管理指导原则也是彩虹系列中比较重要的。像DOS和Windows95,98一类的系统属于D级。
 
ITSEC(通用准则=Common Criteria)
是欧洲创建的安全评估标准,不只关注私密性,同时也关注完整性和可用性。ITSEC也不依赖TCB的概念,在系统变化后不要求重新评估,只需做维护性的工作。
ITSEC的级别从E0到E6,与TCSEC的七个级别对应。
CC的评估级别从EAL1到EAL7共7级,与TCSEC的级别相对应。
 
认证和鉴定
1,认证(Certification)对IT系统的技术和非技术安全特性以及其他防护措施的综合评估。
2,鉴定(Accreditation)将系统的安全能力与组织机构的需求进行比较,如果达到要求,系统就通过了鉴定。
3,鉴定分为系统及,场所级和类型级。
 
常见的缺陷与安全问题
1,隐蔽通道(Convert Channel)违反,绕过或回避安全策略而不被发现的方法。包括时间隐蔽通道和存储隐蔽通道两种。
2,基于设计或编码缺陷的攻击和安全问题
分为无意的和有意的两种,有意的就是后门(Back Door)。
需要注意以下几种情况下的安全问题:
* 初始化和失败状态 通过可信恢复(Trusted Recovery)解决。
* 输入和参数检查 可应对缓冲区溢出(Buffer Overflow)一类的问题。
* 维护挂接和特权程序 Maintenance Hook和Back Door不应该存在于正式发布的产品之中。
* 增量攻击 缓慢的,渐近的攻击,不易发现,包括数据欺骗(Data Diddling)(一次只篡改一小部分数据)和salami攻击(一次只窃取一小部分资产)。
3,编程 程序设计人员和分析测试人员要有足够的安全知识。
4,计时,状态改变和通信中断 Time of Check是主体检查客体状态的时间,Time of Use是主体访问客体的时间,两者之间的时间差可能被利用。例如:数据在身份被验证后和被读取之前被替换。
5,电磁辐射(Electromagnetic,EM)可采用TEMPEST技术来防范(法拉弟笼,白噪声等)。
 
【本单元结束】