linux访问控制安全测评new

《linux访问控制安全测评new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据测试分析·TestingandAnalysisLinux访问控制安全测评蒋发群李艳波(中国软件评测中心北京100048)【摘要】信息安全已经成为关系到国家安全的关键因素，操作系统的安全是整个计算机信息系统安全的基石．而访问控制安全是操作系统安全最基本的要求。本文介绍了Linux操作系统的安全测评标准．访问控制测评方法及测试案例的设计。【关键词l信息安全；访问控制；安全测试SecurityTestingforAccessControlofLinuxJiangFa—QunLiYan-80(ChinaSoftwareTestingCenterBeijing100048China)[Abst

2、ract]Informationsecuntyhasbeenkeysofnationalsecurity．SecurityofOperatingSystemisthebasisofcomputerinformationsystemsecurity．AndsecurityofaccesscontrolisthebasicrequirementofOSsecurity．ThepaperintroducessecuritytestingstandardofLinuxoperatingsystem，accesscontroltestinganddesignoftestingcases．[Keywor

3、ds]informationsecunty：accesscontrol；securitytesting1．Linux安全测评的背景与意义随着计算机与网络技术的普及应用，信息安全已经成为关系到国家安全的关键因素。在计算机系统安全中，操作系统安全是整个计算机信息系统安全的基石[1L如果不经过安全测评，操作系统的安全性就得不到保障。随着我国基于Linux的国产操作系统研发的不断发展，研究Lmu．x操作系统安全测评技术己成为迫切的需求，可以有效地保障国产操作系统应用地质量，从而更好地推动国产操作系统产业的发展。操作系统安全测评涉及到安全操作系统．安全等级评估．评估标准等多方面内容。目前国内在Linu

4、x操作系统安全测评领域的研究还处在逐步发展的阶段，在操作系统安全等级评估方面已经取得了一定的成果，制定出了一系列等级评估相关标准。随着操作系统在计算机系统安全中的重要作用越来越引起人们的重视，如何测评操作系统安全性成为一个重要的课题。信息安全国际通用标准CCCommonCriteriaforITSecurityEvaluation)提出了安全系统通常应该具备的安全功能，并进行了分类，其中，访问控制是系统安全的第一道防护手段【2】o因此，本文将从访问控制功能这个操作系统中最重要的安全机制出发，对Linux访问控制及其测试进行研究。2．Linux安全测评的基础和标准为了对Linux操作系统的安全

5、性进行统一的评价，为Linux操作系统产品厂商提供权威的系统安全性标准，需要有相应的安全测评标准来支持。目前，国际上信息安全评估标准的制定已经取得了长足的发展【3Ⅱ4Ⅱ5】。美国国防部于1983年推出了历史上第一个计算机系统安全评测准则TCSEC(TmstedComputerSystemEvaluationCriteria)，又称桔皮书，从而带动了国际上计算机系统安全评测的研究。为了方便安全信息系统的统一评价，德国、英国，加拿大、西欧等纷纷制定了各自的计算机系统安全评价标准，其中较为著名的有ITSEC(InformationTechnologySecurityEvaluationCfiter

6、ia)、CC(CommonCfiteriaforITSecurityEvaluation)。我国在借鉴、吸收TCSEC和CC等基础上制定了相应的国家标准GB／T18336—2001和GB／T20008-2005等标准。基于相关安全需求，TCSEC在用户登录，授权管理、访问信息安全与技术·2010．11’103。万方数据TestingandAnalysis·测试分析控制．审计跟踪、隐蔽通道分析、可信通路建立、安会检测，生命周期保障、文档撰写等方面均提出了规范性要求，并根据所采用的安全策略及系统所具备的安全功能设定四类(A～D)及七个安全级别，从低到高依次为D、Cl、C2、B1．B2，B3，Al

7、，各级别描述由满足安全策略、审计和保证的主要控制目标及文档要求共四部分组成。我国的GBl7859-1999Ⅸ计算机信息系统安全保护等级划分准则》把计算机信息系统的安全保护能力划分为五级，从低到高依次为用户自丰保护级、系统审计保护级，安全标记保护级、结构化保护级．访问验证保护级，相关要求分别对应TCSEC的Cl级、C2级，Bl级、B2级和B3级，并稍作调整。信息技术安全评价通用准则CC基于欧洲ITSEC、美国T