网络操作系统安全与访问控制：计算机网络安全防御策略

（一）网络操作系统安全

网络操作系统安全保护的研究，通常包括如下内容：第一，操作系统本身提供的安全功能和安全服务。现代操作系统本身往往要提供一定的访问控制、认证和授权等方面的安全服务。如何对操作系统本身的安全性能进行研究和开发，使之符合特定的环境和需求，是操作系统安全保护的一个方面；第二，针对各种常用的操作系统，进行相关配置，使之能正确应对和防御各种入侵；第三，保证网络操作系统本身所提供的网络服务能得到安全配置。

网络操作系统安全是整个网络系统安全的基础。操作系统安全机制主要包括访问控制和隔离控制。隔离控制主要有物理（设备或部件）隔离、时间隔离、逻辑隔离和加密隔离等实现方法；而访问控制是安全机制的关键，也是操作系统安全中最有效、最直接的安全措施。

访问控制系统一般包括主体、客体和安全访问政策。

主体（Subject）是指发出访问操作、存取请求的主动方，它包括用户、用户组、主机、终端或应用进程等。

客体（Object）是指被调用的程序或要存取的数据访问，它包括文件、程序、内存、目录、队列、进程间报文、I/O设备和物理介质等。主体可以访问客体。

安全访问政策是一套规则，可用于确定一个主体是否对客体拥有访问能力。

操作系统内的活动都可以看作是主体对计算机系统内部所有客体的一系列操作。操作系统中任何含有数据的东西都是客体，可能是一个字节、字段或记录程序等。能访问或使用客体活动的实体是主体，主体一般是用户或者代表用户进行操作的进程。

在计算机系统中，对于给定的主体和客体，必须有一套严格的规则来确定一个主体是否被授权获得对客体的访问。

一般来说，如果一个计算机系统是安全的，即指该系统能通过特定的安全功能控制主体对客体信息的访问，也就是说只有经过授权的主体才能读、写、创建或删除客体信息。

（二）网络访问控制

1.访问控制的类型

为了系统信息的保密性和完整性，对网络系统需要实施访问控制。访问控制是对用户访问网络系统资源进行的控制过程。只有被授予一定权限的用户，才有资格去访问有关的资源。访问控制具体包括两方面含义，一是指对用户进入系统的控制，最简单最常用的方法是用户账户和口令限制，其次还有一些身份验证措施；二是用户进入系统后对其所能访问的资源进行的限制，最常用的方法是访问权限和资源属性限制。

访问控制所考虑的是对主体访问客体的控制。主体一般是以用户为单位实施访问控制（划分用户组只是对具有相同访问权限的用户的一种管理方法），此外，网络用户也有以IP地址为单位实施访问控制的。客体的访问控制范围可以是整个应用系统，包括网络系统、服务器系统、操作系统、数据库管理系统以及文件、数据库、数据库中的某个表甚至是某个记录或字段等。一般来说，对整个应用系统的访问，宏观上通常是采用身份鉴别的方法进行控制，而微观控制通常是指在操作系统、数据库管理系统中所提供的用户对文件或数据库表、记录/字段的访问所进行的控制。

访问控制可分为自主访问控制和强制访问控制两大类。

（1）自主访问控制。所谓自主访问控制，是指由系统提供用户有权对自身所创建的访问对象（文件、数据表等）进行访问，并可将这些对象的访问权授予其他用户或从被授予权限的用户处收回其访问权限。访问对象的创建者还有权进行“权限转让”，即将“授予其他用户访问权限”的权限转让给别的用户。需要指出的是，在一些系统中，往往是由系统管理员充当访问对象的创建者，并进行访问授权，而在其后通过“授权转让”将权限转让给指定用户。自主访问控制允许用户自行定义其所创建的数据，它以一个访问矩阵来表示包括读、写、执行、附加以及控制等访问模式。

（2）强制访问控制。所谓强制访问控制，是指由系统（通过专门设置的系统安全员）对用户所创建的对象进行统一的强制性控制，按照规则决定哪些用户可以对哪些对象进行何种操作系统类型的访问，即使是创建者用户，在创建一个对象后，也可能无权访问该对象。

强制访问控制策略以等级和范畴作为其主、客体的敏感标记。这样的等级和范畴，必须由专门设置的系统安全员，通过由系统提供的专门界面来进行设置和维护，敏感标记的改变意味着访问权限的改变。因此可以说，所有用户的访问权限完全是由安全员根据需要确定的。

2.访问控制措施(www.xing528.com)

访问控制是保证网络系统安全的主要措施，也是维护网络系统安全、保护网络资源的重要手段。通常具体的访问控制措施有以下几种。

（1）入网访问控制。入网访问控制是为用户安全访问网络设置的第一道关口。它是通过对某些条件的设置来控制用户是否能进入网络的一种安全控制方法。它能控制哪些用户可以登录网络，在什么时间、什么地点（站点）登录网络等。

入网访问控制主要是对要进入系统的用户进行识别，并验证其合法身份。系统可以采用用户账户和口令、账户锁定、安全标识符及其他一些身份验证等方法实现。

每个用户在进行网络注册时，都要由系统指定或由用户自己选择一个用户账户（用户名）和用户口令。这些用户账户及口令信息都被存储于系统的用户信息数据库中。也就是说，每个要入网的合法用户都有一个系统认可的用户名和用户口令。当用户要登录网络时，首先要输入自己的用户名和用户口令，然后服务器将验证用户输入的用户名和用户口令信息是否合法有效。如果验证通过，用户即可进入网络，去访问其所需要且有权访问的资源，否则用户将被拒于网络之外。

为了防止非法用户冒充合法用户尝试用穷举法猜测口令而登录系统，系统应为用户设定尝试登录的最大次数。在达到该次数数值后，系统将自动锁定该用户，不允许其再尝试登录。

必要时，系统为用户建立的账户中还可包含对用户的入网时间、入网站点、入网次数和用户访问的资源容量等限制。

（2）权限访问控制。一个用户入网登录成功后，并不意味着他能够访问网络中的所有资源。用户访问网络资源的能力将受到访问权限的限制。访问权限控制一个用户能访问哪些资源（目录和文件），以及对这些资源能进行哪些操作。

在系统为用户指定用户账户后，系统根据该用户在网络系统中要做的工作及相关要求，可为用户访问系统资源设定访问权限。用户要访问的系统资源包括目录、子目录、文件和设备等。用户对这些资源的访问操作有读、写、建立、删除、更改等。

（3）属性访问控制。属性是文件、目录等资源的访问特性。系统可直接对目录、文件等资源设定其访问属性。通过设置资源属性可以控制用户对资源的访问。属性是在权限安全性的基础上提供的进一步的安全性。

属性是系统直接设置给资源的，它对所有用户都具有约束性，一旦目录、文件等资源具有了某些属性，用户（包括超级用户）都不能进行超出这些属性规定的访问，即不论用户的访问权限如何，只能按照资源自身的属性实施访问控制。例如某文件具有只读属性，对其有读写权限的用户也不能对该文件进行写操作。要修改目录或文件的属性，必须有对该目录或文件的修改权；要改变用户对目录或文件的权限，用户必须具有对该目录或文件的访问控制权。属性可以控制访问权限不能控制的权限，如可以控制一个文件是否可以同时被多个用户使用等。

（4）身份验证。身份验证是证明某人是否为合法用户的过程，它是信息安全体系中的重要组成部分。

身份验证的方法有很多种，不同方法适合于不同的环境，网络组织可以根据自己的情况加以选择。以下是几种常用的身份验证方法。

1）用户名和口令验证。这是一种最简单的身份验证方法，也是大家用得最多最熟悉的方法，前面已经有所介绍。

2）数字证书验证。数字证书是CA认证中心签发的用于对用户进行身份验证的一种“执照”。

3）Security ID验证。Security ID已成为令牌身份验证事实上的标准，许多应用软件都能配置成支持Security ID作为身份验证手段的模式。Security ID需要有一个能够验证用户身份的硬件装置（安全卡），该卡上有一个显示一串数字的液晶屏幕，其数字每分钟变化一次。用户在登录时先输入自己的用户名，然后输入卡上显示的数字。系统通过对用户输入的数字进行验证，如果数字正确，用户则通过了身份验证，即可进入系统了。

4）用户的生理特征验证。该验证是通过对用户人体的一处或多处生理特征检测而进行的验证。众所周知，每个人的指纹是不一样的，因此指纹是最常见的人体特征，可用来进行身份验证。此外，人们的视网膜、面部轮廓、笔迹、声音等都可作为人体特征用来进行身份验证。

5）智能卡验证。智能卡的外观和手感就像一张信用卡，但其原理就像一台小型计算机。智能卡是可编程的，卡里有一个处理器，具有存储和处理能力，可用来对数值进行运算，可无数次地接收写入信息，可下载应用软件和数据，然后可多次反复地被使用。用户在登录计算机网络时，可用它来证明自己的身份。不仅如此，它还可以代替身份证、旅行证件、信用卡、出入证等多种现代生活中离不开的证件。

（5）网络端口和结点的安全控制。网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别结点的身份。自动回呼设备用于防止假冒合法用户，静默调制解调器用以防范黑客的自动拨号程序对计算机进行的攻击。网络还常对服务器端和用户端采取控制，用户必须携带用以证实身份的验证器（如智能卡、磁卡、安全密码发生器等），在用户的身份验证合法之后，才允许用户进入用户端。然后，用户端和服务器端再进行相互验证。