【等级保护】安全评价标准.ppt

文档介绍：第14章安全评价标准
主要内容
可信计算机系统评价标准
我国信息系统安全评价标准
计算机系统的提供者需要对他们的产品的安全特性进行说明,而用户则需要验证这些安全特性的可靠性。
国际上有多种为计算机安全系统构筑独立审查措施的安全评价体系,其内容和发展深刻地反映了对信息安全问题的认识程度。
可信计算机系统评价标准
1985年12月美国国防部公布了评价安全计算机系统的六项标准。这套标准的文献名称即为“可信计算机系统评价标准”(puter System Evaluation Criteria,简记为TCSEC),又称为橘皮书。
TCSEC的主要概念

(1)安全策略(Security Policy)
(2)标识(Identification)
(3)标记(Marking)
(4)可记账性(Accountability)
(5)保障机制(Assurance)
(6)连续性保护(Continuous Protection)

安全性
可信计算基(TCB)
自主访问控制(Discretionary Access Control,DAC)
强制访问控制(Mandatory Access Control,MAC)
隐蔽信道

主体
审计信息
访问监控器
监控器数据基:
(用户权限表、
访问控制表)
客体
计算机系统的安全等级
TCSEC将可信计算机系统的评价规则划分为四类,即安全策略、可记账性、安全保证措施和文档
根据计算机系统对上述各项指标的支持情况及安全性相近的特点,TCSEC将系统划分为四类(Division)七个等级

最低级别,一切不符合更高标准的系统,统统归于D级。

只提供了非常初级的自主安全保护,称为自主安全保护系统,现有的商业系统往往稍作改进即可满足要求。