OSI安全体系结构、模型和标准《网络信息安全基础》课件

《OSI安全体系结构、模型和标准《网络信息安全基础》课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络信息安全基础授课教师：张全海qhzhang@sjtu.edu.cn安全等级与标准3.3OSI安全体系结构、模型与标准(二)标准介绍信息技术安全评估准则发展过程可信计算机系统评估准则（TCSEC）(美国国防部评估标准---美国桔皮书)可信网络解释（TNI）(红皮书)通用准则CC信息技术安全测评标准(ITSEC)(欧洲评估标准—欧洲白皮书)信息安全管理标准BS7799《计算机信息系统安全保护等级划分准则》信息系统安全评估方法探讨信息技术安全评估准则发展过程信息技术安全评估是对一个构件、产品、子系统或

2、系统的安全属性进行的技术评价，通过评估判断该构件、产品、子系统或系统是否满足一组特定的要求。信息技术安全评估的另一层含义是在一定的安全策略、安全功能需求及目标保证级别下获得相应保证的过程。产品安全评估信息系统安全评估信息系统安全评估，或简称为系统评估，是在具体的操作环境与任务下对一个系统的安全保护能力进行的评估。信息技术安全评估准则发展过程80年代后，美国国防部(DOD）发布的“可信计算机系统评估准则（TCSEC）”（即美国桔皮书）,第一个有关信息技术安全评价的标准后来DOD又发布了可信数据库解释（

3、TDI）、可信网络解释（TNI）(红皮书)等一系列相关的说明和指南90年代初，欧共体中英、法、德、荷等四国针对TCSEC准则的局限性，提出了包含保密性、完整性、可用性和可控性等概念的“信息技术安全评估准则”（ITSEC），定义了从E0级到E6级的七个安全评估等级和F-C1,F-C2,F-B1,F-B2和F-B3等5个功能安全等级信息技术安全评估准则发展过程加拿大1988年开始制订并与1993年发布了《TheCanadianTrustedComputerProductEvaluationCriteri

4、a》（CTCPEC加拿大可信计算机产品评估准则）,综合了TCSEC和ITSEC的优点;将安全分为功能性需求和保证性需求两部分;CTCPEC专门针对政府需求而设计，功能性需求共划分为四大类：机密性、完整性、可用性和可控性。每种安全需求又可以分成很多小类，来表示安全性上的差别，分级条数为0～5级1993年，美国对TCSEC作了补充和修改，制定了“信息技术安全评价联邦标准”（简称FC）,是一个过度性标准,具有很多缺陷;FC引入了“保护轮廓”（pp）的概念。每个轮廓都包括功能、开发保证和评价三部分。FC充分

5、吸取了ITSEC和CTCPEC的优点，在美国的政府、民间和商业领域得到广泛应用。后来发展为CC;信息技术安全评估准则发展过程在1993年6月，CTCPEC、FC、TCSEC和ITSEC的发起组织开始联合起来，将各自独立的准则组合成一个单一的、能被广泛使用的IT安全准则CC发起组织包括六国七方：加拿大、法国、德国、荷兰、英国、美国国家标准局NIST及美国NSA，他们的代表建立了CC编辑委员会（CCEB）来开发CCCC发布的目的是建立一个各国都能接受的通用的安全评价准则，国家与国家之间可以通过签订互认协

6、议来决定相互接受的认可级别，这样能使基础性安全产品在通过CC准则评价并得到许可进入国际市场时，不需要再作评价。1996年1月完成CC1.0版,在1996年4月被ISO采纳；1998年5月发布CC2.0版；1999年12月ISO采纳CC，并作为国际标准ISO15408发布安全评估标准的发展历程桔皮书（TCSEC）1985英国安全标准1989德国标准法国标准加拿大标准1993联邦标准草案1993ITSEC1991通用标准V1.01996V2.01998V2.11999标准介绍信息技术安全评估准则发展过程

7、可信计算机系统评估准则（TCSEC）(美国国防部评估标准---美国桔皮书)可信网络解释（TNI）(红皮书)通用准则CC信息技术安全测评标准(ITSEC)(欧洲评估标准--欧洲白皮书)信息安全管理标准BS7799《计算机信息系统安全保护等级划分准则》信息系统安全评估方法探讨TCSECTCSEC标准是计算机系统安全评估的第一个正式标准，具有划时代的意义。该准则于1970年由美国国防科学委员会提出，并于1985年12月由美国国防部公布。TCSEC最初只是军用标准，后来延至民用领域。在TCSEC中，美国国防

8、部按处理信息的等级和应采用的响应措施，将计算机安全从高到低分为：A、B、C、D四类八个级别，共27条评估准则随着安全等级的提高，系统的可信度随之增加，风险逐渐减少。TCSEC四个安全等级：无保护级自主保护级强制保护级验证保护级可信计算基(TCB):是一个实现安全策略的机制,包括硬件、固件和软件，它们根据安全策略来处理主体（如系统管理员、安全管理员、用户）对客体（如进程、文件、记录、设备）的访问。没有安全性可言，例如MSDOS不区分用户，基本的访问控制D级C1级C2级B