所有文章均来自网络(除测试总结部分)，如果涉及到版权问题请与我联系，我会及时删除~~~~
系统安全保护等级划分准则（转）
上一篇 / 下一篇 2007-03-06 14:09:38 / 个人分类：安全测试
中华人民共和国国家标准51Testing软件测试网g \+? I#`c9Al)N|!C'h
计算机信息系统安全保护等级划分准则 GB 17859-1999
_7e1e hp8F rT0 Classified criteria for security51Testing软件测试网IZ m[7|
---------------------------------------------------------------------------
i&K N9VU |$Gh;u W3g0 1 范围
0^*^ W \c^0 本标准规定了计算机系统安全保护能力的五个等级，即：
r$v8M!wG,M0 第一级：用户自主保护级；
D @%u I.y(E-GDZ Q0 第二级：系统审计保护级；51Testing软件测试网 AlP:C2J)k-G X
第三级：安全标记保护级；
k7{AI F%^0 第四级：结构化保护级；
VV,e,RMz2S6S7|0 第五级：访问验证保护级。51Testing软件测试网 w5P8Ks4u9T4?x,y#_6s,h
本标准适用计算机信息系统安全保护技术能力等级的划分。计算机信息系统安全保护能51Testing软件测试网2}z ` `J0]#h p
力随着安全保护等级的增高，逐渐增强。51Testing软件测试网xK;?2K,w
2 引用标准
Il&M)N5|5KY ~ Q9v!{0 下列标准所包含的条文，通过在本标准中引用而构成本标准的条文。本标准出版时，所
(~5P;nJ Vg9W3n J0 示版本均为有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的
ar%Zy.oF1T0 可能性。
^LIZ(f I0 GB/T 5271 数据处理词汇
r-}/H)P ~e%B7` B0 3 定义51Testing软件测试网U~ gWc,n;l |$bD/a
除本章定义外，其他未列出的定义见GB/T 5271。51Testing软件测试网j@6Y!n M#H
3.1 计算机信息系统 computer information system51Testing软件测试网?!S7y`6o1K!F
计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一51Testing软件测试网o0H b"Y w9H
定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
asXX0J I.i{ H0 3.2 计算机信息系统可信计算基 trusted computing base of computer information
9_Tx?S(X0j+K Rhbt0 system
C E*Od9| R X k5s"\:i9L0 计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。51Testing软件测试网$lM+CQE d(q5p}7X
它建立了一个基本的保护环境并提供一个可信计算系统所要求的附加用户服务。51Testing软件测试网 p1iT @:n b a
3.3 客体 object51Testing软件测试网#p'Ew_ N G
信息的载体。
p)Y1b]x0 3.4 主体 subject
!w,DTBQ] r C.t0 引起信息在客体之间流动的人、进程或设备等。
V.A4oL;D8Y6w|0 3.5 敏感标记 sensitivity label
.H ^ ^:?(R0 表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访51Testing软件测试网j/k%b$m[(_ P
问控制决策的依据。51Testing软件测试网:CO[ Ta5I"C `,L A
3.6 安全策略 security policy51Testing软件测试网:@yJ yO)\
有关管理、保护和发布敏感信息的法律、规定和实施细则。 3.7 信道 channel51Testing软件测试网{Lm.R j&G2I!D0L Q
系统内的信息传输路径。
^8I+od I N%T8F0 3.8 隐蔽信道 covert channel51Testing软件测试网'}1~!MxS
允许进程以危害系统安全策略的方式传输信息的通信信道。51Testing软件测试网,Z4V1o B5t z/G
3.9 访问监控器 reference monitor51Testing软件测试网 Mi,^7BG2k m
监控主体和客体之间授权访问关系的部件。51Testing软件测试网m h+R2?O#w}2[
4 等级划分准则
5{l,YcN` Jdd0 4.1 第一级 用户自主保护级51Testing软件测试网;[ [bE O8ij
本级的计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护的能51Testing软件测试网&N K\M$TOi| M
力。它具有多种形式的控制能力，对用户实施访问控制，即为用户提供可行的手段，保护用
-f ?3c9t@cD^0 户和用户组信息，避免其他用户对数据的非法读写与破坏。
(ltpci$e,Y3[0 4.1.1 自主访问控制
V*a.`xY c6R0 计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制
T!h9g(x jI0 （例如：访问控制表）允许命名用户以用户和（或）用户组的身份规定并控制客体的共享；
|_k_a4w;_0 阻止非授权用户读取敏感信息。51Testing软件测试网.H*z$Oxf/oH
4.1.2 身份鉴别51Testing软件测试网g|&Z[ P/U9fe#q+Q#H7s
计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，并使用保护机
H+S V3h6Y]1_(e Y0 制（例如：口令）来鉴别用户的身份，阻止非授权用户访问用户身份鉴别数据。51Testing软件测试网^ b B aIj Q(t+f
4.1.3 数据完整性51Testing软件测试网V,P)b'b f
计算机信息系统可信计算基通过自主完整性策略，阻止非授权用户修改或破坏敏感信51Testing软件测试网9B_O D'_dm5LJ P
息。
G.Y2] N5Yc1Z%H#A0 4.2 第二级 系统审计保护级51Testing软件测试网 W-m NZTI6[^vf
与用户自主保护级相比，本级的计算机信息系统可信计算基实施了粒度更细的自主访问51Testing软件测试网$j&y e}%Fm R*e
控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。51Testing软件测试网 \c!_e @"Ag
4.2.1 自主访问控制51Testing软件测试网&r?TZ U9y]F
计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制51Testing软件测试网0I2Y;N6u[
（例如：访问控制表）允许命名用户以用户和（或）用户组的身份规定并控制客体的共享；
Q ] Ft {F0 阻止非授权用户读取敏感信息。并控制访问权限扩散。自主访问控制机制根据用户指定方式
_&CR1\ U q0 或默认方式，阻止非授权用户访问客体。访问控制的粒度是单个用户。没有存取权的用户只
0_ Q.^Dv|e"W0 允许由授权用户指定对客体的访问权。
4B,vgY E]0 4.2.2 身份鉴别
Lg(F w |+O!j1`0 计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，并使用保护机
T)x7h1\+l5U0 制（例如：口令）来鉴别用户的身份；阻止非授权用户访问用户身份鉴别数据。通过为用户51Testing软件测试网8s y Q,{SR f
提供唯一标识、计算机信息系统可信计算基能够使用户对自己的行为负责。计算机信息系统51Testing软件测试网5J Fe)K+P4oI
可信计算基还具备将身份标识与该用户所有可审计行为相关联的能力。
c`(\0A'f h@h.h0 4.2.3 客体重用
3Z?^6PY E/M I`1e4`X0 在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配51Testing软件测试网m*I q ];@G
一个主体之前，撤销该客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问
k"lt ~,nvn0 权时，当前主体不能获得原主体活动所产生的任何信息。51Testing软件测试网^&}[.UK [Y
4.2.4 审计51Testing软件测试网4K8T5q'UO.f
计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非
+_(i{4k o]yo'V0 授权的用户对它访问或破坏。51Testing软件测试网y.S i/i i"_y/e^
计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址51Testing软件测试网L x+T5en
空间（例如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安51Testing软件测试网t9t|R)S s'C r
全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：
_5A:F-u2s;Jz*y7Y0 事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含的
z\R(p(uZ~V w$nW0 来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计记录
nF ^/sR0 包含客体名。
TKhB M,e D0 对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接
,c R2x dc,b\-}0 口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记51Testing软件测试网;V1cbk3St*Cf
录。51Testing软件测试网X9OX)` Q#U,b1I+e
4.2.5 数据完整性51Testing软件测试网t:N-L i k q@
计算机信息系统可信计算基通过自主完整性策略，阻止非授权用户修改或破坏敏感信51Testing软件测试网 mJ R H {c7veZ'a
息。
UE2s v\8x0 4.3 第三级 安全标记保护级51Testing软件测试网+IHf v1y F ]:V8G
本级的计算机信息系统可信计算基具有系统审计保护级所有功能。此外，还提供有关安51Testing软件测试网!f-H {4uDL7} G
全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述；具有准确地标记输出51Testing软件测试网's w(] ^fd#X8L
信息的能力；消除通过测试发现的任何错误。
X h(}X'x3`Rj4v0 4.3.1 自主访问控制
*Nh9S z!u A pw-|0 计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制
z G^(`+Rk$c9V p f0 （例如：访问控制表）允许命名用户以用户和（或）用户组的身份规定并控制客体的共享；
g8p4s-x/}0 阻止非授权用户读取敏感信息。并控制访问权限扩散。自主访问控制机制根据用户指定方式51Testing软件测试网cWN#{ z4z
或默认方式，阻止非授权用户访问客体。访问控制的粒度是单个用户。没有存取权的用户只51Testing软件测试网!{+k8kW-~0_$h"|
允许由授权用户指定对客体的访问权。阻止非授权用户读取敏感信息。
to.\s/{6i'[0 4.3.2 强制访问控制51Testing软件测试网gD o)V;b.V Bm
计算机信息系统可信计算基对所有主体及其所控制的客体（例如：进程、文件、段、设51Testing软件测试网 W!Q.tt$s$i eTU]B
备）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记是等级分类和非等级类
:a$~F'h IWd0 别的组合，它们是实施强制访问控制的依据。计算机信息系统可信计算基支持两种或两种以51Testing软件测试网6m^ c]8xcb*t3OC
上成分组成的安全级。计算机信息系统可信计算基控制的所有主体对客体的访问应满足：仅51Testing软件测试网-co@1TQkT J
当主体安全级中的等级分类高于或等于客体安全级中的等级分类，且主体安全级中的非等级
[ dS*{2f,Y0 类别包含了客体安全级中的全部非等级类别，主体才能读客体；仅当主体安全级中的等级分51Testing软件测试网r L8S t!w@,l X
类低于或等于客体安全级中的等级分类，且主体安全级中的非等级类别包含了客体安全级中51Testing软件测试网 h)b,{ ZYsH
的非等级类别，主体才能写一个客体。计算机信息系统可信计算基使用身份和鉴别数据，鉴51Testing软件测试网bc+J"c ^(f_$q,`%M
别用户的身份，并保证用户创建的计算机信息系统可信计算基外部主体的安全级和授权受该
WJ ^ tF4\0 用户的安全级和授权的控制。
k Kz0D%rP)h0 4.3.3 标记51Testing软件测试网!n F2CM+D R
计算机信息系统可信计算基应维护与主体及其控制的存储客体（例如：进程、文件、51Testing软件测试网 C(GW1}J B@:xm$} a
段、设备）相关的敏感标记。这些标记是实施强制访问的基础。为了输入未加安全标记的数51Testing软件测试网 k NG5~)T0] p
据，计算机信息系统可信计算基向授权用户要求并接受这些数据的安全级别，且可由计算机51Testing软件测试网7? jV:~w z
信息系统可信计算基审计。 4.3.4 身份鉴别51Testing软件测试网5J] \#|E b$?O
计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，而且，计算机51Testing软件测试网,`|-_#k^h l6z
信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统
k5U n8oB%sf0 可信计算基使用这些数据鉴别用户身份，并使用保护机制（例如：口令）来鉴别用户的身51Testing软件测试网M g4V)k*N4qJ:~6X
份；阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可
nz/[K h3[z{l0 信计算基能够使用用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与
m.V/PW ]-j0 该用户所有可审计行为相关联的能力。51Testing软件测试网 V`5Q[P]R/W
4.3.5 客体重用
8|VM,Ly1N'Y4p1j0 在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配51Testing软件测试网7r'V"t+N7P$Ep}
一个主体之前，撤销客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问权51Testing软件测试网Y$B3\ zSCW O
时，当前主体不能获得原主体活动所产生的任何信息。
!zi {/w-B2iq0 4.3.6 审计
.o+oS?oP0 计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非
)H-Z"@+Zg,f K c]1j0 授权的用户对它访问或破坏。51Testing软件测试网 aH#GSC(t F9Y
计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址
s ~K o } E2{%V0 空间（例如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安
U ih EM0 全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：
e%t1Hai;N \0 事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请51Testing软件测试网oq/g k w:IIj
求的来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计51Testing软件测试网#[ Afp-Vl%K/R
记录包含客体名及客体的安全级别。此外，计算机信息系统可信计算基具有审计更改可读输
~,Q#u&G(y8Rl0 出记号的能力。51Testing软件测试网%Nd1?8xd#B/t
对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接51Testing软件测试网L6D3a8M e f(PU
口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记51Testing软件测试网(x jK$K7b6g
录。
p*m I(m"BG C0 4.3.7 数据完整性51Testing软件测试网1r x,m'W6Q
计算机信息系统可信计算基通过自主和强制完整性策略，阻止非授权用户修改或破坏敏
1R*| g&E0kp pPh0 感信息。在网络环境中，使用完整性敏感标记来确信信息在传送中未受损。
D4Nj*R Z.Y's0 4.4 第四级 结构化保护级51Testing软件测试网5W#x*v8T&L
本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，它
U Z6?z+G%M0 要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。此外，还要考虑隐蔽通
RP_s U J h0 道。本级的计算机信息系统可信计算基必须结构化为关键保护元素和非关键保护元素。计算
ooB3zP~;Y1T6O0 机信息系统可信计算基的接口也必须明确定义，使其设计与实现能经受更充分的测试和更完
%F$w R aK,B@'QjkG0 整的复审。加强了鉴别机制；支持系统管理员和操作员的职能；提供可信设施管理；增强了
R)Dl+PO7J0E `:GM0 配置管理控制。系统具有相当的抗渗透能力。
I_yT!b d,k2g0 4.4.1 自主访问控制
e*R J3p.t'f(ox }0 计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制51Testing软件测试网 D%s*^ D:['\
（例如：访问控制表）允许命名用户和（或）以用户组的身份规定并控制客体的共享；阻止
(@RDM"~9[ ]{3c0 非授用户读取敏感信息。并控制访问权限扩散。
%I r,c T2e s K0 自主访问控制机制根据用户指定方式或默认方式，阻止非授权用户访问客体。访问控制的粒51Testing软件测试网e)X|'L.j B(p4E
度是单个用户。没有存取权的用户只允许由授权用户指定对客体的访问权。51Testing软件测试网c AyL r9_$t a
4.4.2 强制访问控制51Testing软件测试网'HL _S iVK8d
计算机信息系统可信计算基对外部主体能够直接或间接访问的所有资源（例如：主体、
6^SD.~-xC&S%u0 存储客体和输入输出资源）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记51Testing软件测试网4Eqs8S6v8z7p x.TY
是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。计算机信息系统可信计
!A"JC K ]t0|9\~0 算基支持两种或两种以上成分组成的安全级。计算机信息系统可信计算基外部的所有主体对51Testing软件测试网#v)GI0qTj
客体的直接或间接的访问应满足：仅当主体安全级中的等级分类高于或等于客体安全级中的51Testing软件测试网[(@ C0z!S}Xt
等级分类，且主体安全级中的非等级类别包含了客体安全级中的全部非等级类别，主体才能51Testing软件测试网iJV o x
读客体；仅当主体安全级中的等级分类低于或等于客体安全级中的等级分类，且主体安全级
'J] v&x$vY/AW"W0 中的非等级类别包含于客体安全级中的非等级类别，主体才能写一个客体。计算机信息系统51Testing软件测试网i%} PJ0|'eQ&cs z
可信计算基使用身份和鉴别数据，鉴别用户的身份，保护用户创建的计算机信息系统可信计51Testing软件测试网3ay t6t]+]e
算基外部主体的安全级和授权受该用户的安全级和授权的控制。
+Dyi:F O4K0 4.4.3 标记
FW%_/Ku*O7vCd0 计算机信息系统可信计算基维护与可被外部主体直接或间接访问到的计算机信息系统资51Testing软件测试网+lmj(LgVl
源（例如：主体、存储客体、只读存储器）相关的敏感标记。这些标记是实施强制访问的基51Testing软件测试网 h+{ };@S Ri"\&u$u
础。为了输入未加安全标记的数据，计算机信息系统可信计算基向授权用户要求并接受这些
|[(f)gd*Z2R0 数据的安全级别，且可由计算机信息系统可信计算基审计。51Testing软件测试网ckCV cw'h
4.4.4 身份鉴别
V ~j%cj8L8J/d0 计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，而且，计算机51Testing软件测试网5Q)] I,cQ F5Ws
信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统
T3r eTJ+ZG n0 可信计算基使用这些数据，鉴别用户身份，并使用保护机制（例如：口令）来鉴别用户的身51Testing软件测试网.P H$| u G
份；阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可51Testing软件测试网 e'C/b t avF$S } hrV
信计算基能够使用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与该51Testing软件测试网.V6yRM9s/Lx PA^
用户所有可审计行为相关联的能力。51Testing软件测试网 nKW i M v
4.4.5 客体重用51Testing软件测试网 p z%e%Y w`
在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配51Testing软件测试网4q0[MT| c |
一个主体之前，撤销客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问权
Ehl`0as;yW2?0 时，当前主体不能获得原主体活动所产生的任何信息。51Testing软件测试网)[{.W x9X&?a!v"s Jl
4.4.6 审计51Testing软件测试网%z(G?4W.E&p"d.jr
计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非51Testing软件测试网 z7iO5XHo5Z/@] ?
授权的用户对它访问或破坏。
e0fe O)qd?0 计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址51Testing软件测试网R c,R.q+Aq*]
空间（例如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安51Testing软件测试网+` S4^5}Q$~1L i
全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：51Testing软件测试网$z u2RAu T ]2G
事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请
vE5b$Dor0 求的来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计51Testing软件测试网 hv;h3aa,]
记录包含客体及客体的安全级别。此外，计算机信息系统可信计算基具有审计更改可读输出51Testing软件测试网 C nhk7p-V [
记号的能力。
X%q7E~(r#G9a0 对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接
#Q \ bY2Nh2l0 口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记51Testing软件测试网-HIR,ql'J
录。
:h GFM|x2g0 计算机信息系统可信计算基能够审计利用隐蔽存储信道时可能被使用的事件。
$r.J4T h EI0 4.4.7 数据完整性51Testing软件测试网Ld2z#d^`9{N}F
计算机信息系统可信计算基通过自主和强制完整性策略。阻止非授权用户修改或破坏敏
x*`cf&t^ G;H0 感信息。在网络环境中，使用完整性敏感标记来确信信息在传送中未受损。
AFz i4[0 4.4.8 隐蔽信道分析
oZ pg4`fz%fc0 系统开发者应彻底搜索隐蔽存储信道，并根据实际测量或工程估算确定每一个被标识信51Testing软件测试网4\ C(],\!ki
道的最大带宽。51Testing软件测试网[8[ p\m\$Rp j6kS
4.4.9 可信路径
QmXr6g)Vv^ s i0 对用户的初始登录和鉴别，计算机信息系统可信计算基在它与用户之间提供可信通信路51Testing软件测试网-VFz9s\5?;`
径。该路径上的通信只能由该用户初始化。51Testing软件测试网V \ W h6t
4.5 第五级 访问验证保护级51Testing软件测试网6u p_:yuK @i!k }!P
本级的计算机信息系统可信计算基满足访问监控器需求。访问监控器仲裁主体对客体的51Testing软件测试网`}r'qDW._9i`
全部访问。访问监控器本身是抗篡改的；必须足够小，能够分析和测试。为了满足访问监控
:eu#qV9mge R0 器需求，计算机信息系统可信计算基在其构造时，排除那些对实施安全策略来说并非必要的51Testing软件测试网H/K \x"SG
代码；在设计和实现时，从系统工程角度将其复杂性降低到最小程度。支持安全管理员职51Testing软件测试网 Xh/ChPq0a ap
能；扩充审计机制，当发生与安全相关的事件时发出信号；提供系统恢复机制。系统具有很51Testing软件测试网4mx:x#t [ _t
高的抗渗透能力。51Testing软件测试网W+v b(L `)X6D \"jz
4.5.1 自主访问控制51Testing软件测试网.X p"[RE:o"O+NDJ,qM
计算机信息系统可信计算基定义并控制系统中命名用户对命名客体的访问。实施机制
SpI6{4JJ0 （例如：访问控制表）允许命名用户和（或）以用户组的身份规定并控制客体的共享；阻止
+q FD8d"@p|L0 非授权用户读取敏感信息。并控制访问权限扩散。
3c!dYj h\`0 自主访问控制机制根据用户指定方式或默认方式，阻止非授权用户访问客体。访问控制51Testing软件测试网+V5S0a8aQ.x3D#F$j
的粒度是单个用户。访问控制能够为每个命名客体指定命名用户和用户组，并规定他们对客51Testing软件测试网(r U rE]
体的访问模式。没有存取权的用户只允许由授权用户指定对客体的访问权。
.Q x0N(ou0 4.5.2 强制访问控制51Testing软件测试网 G)R ?Pq/[.j
计算机信息系统可信计算基对外部主体能够直接或间接访问的所有资源（例如：主体、51Testing软件测试网 bM|y+mdB
存储客体和输入输出资源）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记
:?.P Up8P a Q6s G0 是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。计算机信息系统可信计
3lKS-P)o xr+y0 算基支持两种或两种以上成分组成的安全级。计算机信息系统可信计算基外部的所有主体对
J4D g9m8x0 客体的直接或间接的访问应满足：仅当主体安全级中的等级分类高于或等于客体安全级中的51Testing软件测试网8y/@,Gi.eY#h[
等级分类，且主体安全级中的非等级类别包含了客体安全级中的全部非等级类别，主体才能51Testing软件测试网.x _E$T0t aR
读客体；仅当主体安全级中的等级分类低于或等于客体安全级中的等级分类，且主体安全级
r+idE7MJ0 中的非等级类别包含了客体安全级中的非等级类别，主体才能写一个客体。计算机信息系统51Testing软件测试网*o1jzH y&w;W
可信计算基使用身份和鉴别数据，鉴别用户的身份，保证用户创建的计算机信息系统可信计51Testing软件测试网P |io"x"kuT
算基外部主体的安全级和授权受该用户的安全级和授权的控制。51Testing软件测试网%U!Kz1Z^ y \/SH9G
4.5.3 标记
/rwBC m tW0 计算机信息系统可信计算基维护与可被外部主体直接或间接访问到计算机信息系统资源51Testing软件测试网iW*_zz5p
（例如：主体、存储客体、只读存储器）相关的敏感标记。这些标记是实施强制访问的基
q$FK/z r"r"f0 础。为了输入未加安全标记的数据，计算机信息系统可信计算基向授权用户要求并接受这些51Testing软件测试网8@O h,\3R BU&j"{
数据的安全级别，且可由计算机信息系统可信计算基审计。51Testing软件测试网;b"O"e/Y O8Q(fz
4.5.4 身份鉴别 计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，而且，计算机51Testing软件测试网] UV{?h9DR
信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统51Testing软件测试网b8P.^ _ Xd!\
可信计算基使用这些数据，鉴别用户身份，并使用保护机制（例如：口令）来鉴别用户的身
u K dk` _u@({0B0 份；阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可51Testing软件测试网*V I0j#U{
信计算基能够使用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与该
-CVE?&vX0 用户所有可审计行为相关联的能力。
ZC F'Ke;P~T0 4.5.5 客体重用
Ew#[ qy(r0 在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配
Sq&zpyQGo6[0 一个主体之前，撤销客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问权
cx`t5P | x4GN0 时，当前主体不能获得原主体活动所产生的任何信息。51Testing软件测试网7Vo%A(~)mB+SF"p
4.5.6 审计51Testing软件测试网K KO)P v I s_
计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非
I eCQ ZR-fMI0 授权的用户对它访问或破坏。51Testing软件测试网"_6E8h+V;~Y ]Oc-uP
计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址空间
{0lFFj4E2C%v0 （例如：打开文件、程序出始化）；删除客体；由操作员、系统管理员或（和）系统安全管
7v9{IFQE]"z&C u(w0 理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：事件
u&}&u5z \X0 的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请求的
Pj&D Yq)n%q0 来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计记录
%\C2x!i'pV0 包含客体名及客体的安全级别。此外，计算机信息系统可信计算基具有审计更改可读输出记51Testing软件测试网 o P@q"L*^ @
号的能力。51Testing软件测试网x7k @#O7M6x N
对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接
ZD[-} ?[0 口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记
tU]6{ L0 录。计算机信息系统可信计算基能够审计利用隐蔽存储信道时可能被使用的事件。51Testing软件测试网|/V$w5c M u5M
计算机信息系统可信计算基包含能够监控可审计安全事件发生与积累的机制，当超过阈
[G-L9Q-h0 值时，能够立即向安全管理员发出报警。并且，如果这些与安全相关的事件继续发生或积
8p"G\2OID7H0 累，系统应以最小的代价中止它们。
%`!t Yq-AVW0~ { H-_0 4.5.7 数据完整性
F1Sjs!akI0 计算机信息系统可信计算基通过自主和强制完整性策略，阻止非授权用户修改或破坏敏感信51Testing软件测试网,V;h*MX!r"bJ7V)lB
息。在网络环境中，使用完整性敏感标记来确信信息在传送中未受损。51Testing软件测试网 KJ{!U3C^ Y1j8NG
4.5.8 隐蔽信道分析
c-Z.W?0MxbY0 系统开发者应彻底搜索隐蔽信道，并根据实际测量或工程估算确定每一个被标识信道的
&D@K!][0 最大带宽。51Testing软件测试网-rV `q T.Nu \8`w
4.5.9 可信路径
h`[fI.w0 当连接用户时（如注册、更改主体安全级），计算机信息系统可信计算基提供它与用户51Testing软件测试网#ZMc:x)RJ u.bXU$} f*|
之间的可信通信路径。可信路径上的通信只能由该用户或计算机信息系统可信计算基激活，
_9s-[ oYS5D x5l0 且在逻辑上与其他路径上的通信相隔离，且能正确地加以区分。51Testing软件测试网 L)|({1K#K8J1h m
4.5.10 可信恢复
#Z3Gn;CLB3C ]0 计算机信息系统可信计算基提供过程和机制，保证计算机信息系统失效或中断后，可以
%K*r+?^xN"c0 进行不损害任何安全保护性能的恢复。
计算机信息系统安全保护等级划分准则 GB 17859-1999
_7e1e hp8F rT0 Classified criteria for security51Testing软件测试网IZ m[7|
---------------------------------------------------------------------------
i&K N9VU |$Gh;u W3g0 1 范围
0^*^ W \c^0 本标准规定了计算机系统安全保护能力的五个等级，即：
r$v8M!wG,M0 第一级：用户自主保护级；
D @%u I.y(E-GDZ Q0 第二级：系统审计保护级；51Testing软件测试网 AlP:C2J)k-G X
第三级：安全标记保护级；
k7{AI F%^0 第四级：结构化保护级；
VV,e,RMz2S6S7|0 第五级：访问验证保护级。51Testing软件测试网 w5P8Ks4u9T4?x,y#_6s,h
本标准适用计算机信息系统安全保护技术能力等级的划分。计算机信息系统安全保护能51Testing软件测试网2}z ` `J0]#h p
力随着安全保护等级的增高，逐渐增强。51Testing软件测试网xK;?2K,w
2 引用标准
Il&M)N5|5KY ~ Q9v!{0 下列标准所包含的条文，通过在本标准中引用而构成本标准的条文。本标准出版时，所
(~5P;nJ Vg9W3n J0 示版本均为有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的
ar%Zy.oF1T0 可能性。
^LIZ(f I0 GB/T 5271 数据处理词汇
r-}/H)P ~e%B7` B0 3 定义51Testing软件测试网U~ gWc,n;l |$bD/a
除本章定义外，其他未列出的定义见GB/T 5271。51Testing软件测试网j@6Y!n M#H
3.1 计算机信息系统 computer information system51Testing软件测试网?!S7y`6o1K!F
计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一51Testing软件测试网o0H b"Y w9H
定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
asXX0J I.i{ H0 3.2 计算机信息系统可信计算基 trusted computing base of computer information
9_Tx?S(X0j+K Rhbt0 system
C E*Od9| R X k5s"\:i9L0 计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。51Testing软件测试网$lM+CQE d(q5p}7X
它建立了一个基本的保护环境并提供一个可信计算系统所要求的附加用户服务。51Testing软件测试网 p1iT @:n b a
3.3 客体 object51Testing软件测试网#p'Ew_ N G
信息的载体。
p)Y1b]x0 3.4 主体 subject
!w,DTBQ] r C.t0 引起信息在客体之间流动的人、进程或设备等。
V.A4oL;D8Y6w|0 3.5 敏感标记 sensitivity label
.H ^ ^:?(R0 表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访51Testing软件测试网j/k%b$m[(_ P
问控制决策的依据。51Testing软件测试网:CO[ Ta5I"C `,L A
3.6 安全策略 security policy51Testing软件测试网:@yJ yO)\
有关管理、保护和发布敏感信息的法律、规定和实施细则。 3.7 信道 channel51Testing软件测试网{Lm.R j&G2I!D0L Q
系统内的信息传输路径。
^8I+od I N%T8F0 3.8 隐蔽信道 covert channel51Testing软件测试网'}1~!MxS
允许进程以危害系统安全策略的方式传输信息的通信信道。51Testing软件测试网,Z4V1o B5t z/G
3.9 访问监控器 reference monitor51Testing软件测试网 Mi,^7BG2k m
监控主体和客体之间授权访问关系的部件。51Testing软件测试网m h+R2?O#w}2[
4 等级划分准则
5{l,YcN` Jdd0 4.1 第一级 用户自主保护级51Testing软件测试网;[ [bE O8ij
本级的计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护的能51Testing软件测试网&N K\M$TOi| M
力。它具有多种形式的控制能力，对用户实施访问控制，即为用户提供可行的手段，保护用
-f ?3c9t@cD^0 户和用户组信息，避免其他用户对数据的非法读写与破坏。
(ltpci$e,Y3[0 4.1.1 自主访问控制
V*a.`xY c6R0 计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制
T!h9g(x jI0 （例如：访问控制表）允许命名用户以用户和（或）用户组的身份规定并控制客体的共享；
|_k_a4w;_0 阻止非授权用户读取敏感信息。51Testing软件测试网.H*z$Oxf/oH
4.1.2 身份鉴别51Testing软件测试网g|&Z[ P/U9fe#q+Q#H7s
计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，并使用保护机
H+S V3h6Y]1_(e Y0 制（例如：口令）来鉴别用户的身份，阻止非授权用户访问用户身份鉴别数据。51Testing软件测试网^ b B aIj Q(t+f
4.1.3 数据完整性51Testing软件测试网V,P)b'b f
计算机信息系统可信计算基通过自主完整性策略，阻止非授权用户修改或破坏敏感信51Testing软件测试网9B_O D'_dm5LJ P
息。
G.Y2] N5Yc1Z%H#A0 4.2 第二级 系统审计保护级51Testing软件测试网 W-m NZTI6[^vf
与用户自主保护级相比，本级的计算机信息系统可信计算基实施了粒度更细的自主访问51Testing软件测试网$j&y e}%Fm R*e
控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。51Testing软件测试网 \c!_e @"Ag
4.2.1 自主访问控制51Testing软件测试网&r?TZ U9y]F
计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制51Testing软件测试网0I2Y;N6u[
（例如：访问控制表）允许命名用户以用户和（或）用户组的身份规定并控制客体的共享；
Q ] Ft {F0 阻止非授权用户读取敏感信息。并控制访问权限扩散。自主访问控制机制根据用户指定方式
_&CR1\ U q0 或默认方式，阻止非授权用户访问客体。访问控制的粒度是单个用户。没有存取权的用户只
0_ Q.^Dv|e"W0 允许由授权用户指定对客体的访问权。
4B,vgY E]0 4.2.2 身份鉴别
Lg(F w |+O!j1`0 计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，并使用保护机
T)x7h1\+l5U0 制（例如：口令）来鉴别用户的身份；阻止非授权用户访问用户身份鉴别数据。通过为用户51Testing软件测试网8s y Q,{SR f
提供唯一标识、计算机信息系统可信计算基能够使用户对自己的行为负责。计算机信息系统51Testing软件测试网5J Fe)K+P4oI
可信计算基还具备将身份标识与该用户所有可审计行为相关联的能力。
c`(\0A'f h@h.h0 4.2.3 客体重用
3Z?^6PY E/M I`1e4`X0 在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配51Testing软件测试网m*I q ];@G
一个主体之前，撤销该客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问
k"lt ~,nvn0 权时，当前主体不能获得原主体活动所产生的任何信息。51Testing软件测试网^&}[.UK [Y
4.2.4 审计51Testing软件测试网4K8T5q'UO.f
计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非
+_(i{4k o]yo'V0 授权的用户对它访问或破坏。51Testing软件测试网y.S i/i i"_y/e^
计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址51Testing软件测试网L x+T5en
空间（例如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安51Testing软件测试网t9t|R)S s'C r
全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：
_5A:F-u2s;Jz*y7Y0 事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含的
z\R(p(uZ~V w$nW0 来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计记录
nF ^/sR0 包含客体名。
TKhB M,e D0 对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接
,c R2x dc,b\-}0 口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记51Testing软件测试网;V1cbk3St*Cf
录。51Testing软件测试网X9OX)` Q#U,b1I+e
4.2.5 数据完整性51Testing软件测试网t:N-L i k q@
计算机信息系统可信计算基通过自主完整性策略，阻止非授权用户修改或破坏敏感信51Testing软件测试网 mJ R H {c7veZ'a
息。
UE2s v\8x0 4.3 第三级 安全标记保护级51Testing软件测试网+IHf v1y F ]:V8G
本级的计算机信息系统可信计算基具有系统审计保护级所有功能。此外，还提供有关安51Testing软件测试网!f-H {4uDL7} G
全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述；具有准确地标记输出51Testing软件测试网's w(] ^fd#X8L
信息的能力；消除通过测试发现的任何错误。
X h(}X'x3`Rj4v0 4.3.1 自主访问控制
*Nh9S z!u A pw-|0 计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制
z G^(`+Rk$c9V p f0 （例如：访问控制表）允许命名用户以用户和（或）用户组的身份规定并控制客体的共享；
g8p4s-x/}0 阻止非授权用户读取敏感信息。并控制访问权限扩散。自主访问控制机制根据用户指定方式51Testing软件测试网cWN#{ z4z
或默认方式，阻止非授权用户访问客体。访问控制的粒度是单个用户。没有存取权的用户只51Testing软件测试网!{+k8kW-~0_$h"|
允许由授权用户指定对客体的访问权。阻止非授权用户读取敏感信息。
to.\s/{6i'[0 4.3.2 强制访问控制51Testing软件测试网gD o)V;b.V Bm
计算机信息系统可信计算基对所有主体及其所控制的客体（例如：进程、文件、段、设51Testing软件测试网 W!Q.tt$s$i eTU]B
备）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记是等级分类和非等级类
:a$~F'h IWd0 别的组合，它们是实施强制访问控制的依据。计算机信息系统可信计算基支持两种或两种以51Testing软件测试网6m^ c]8xcb*t3OC
上成分组成的安全级。计算机信息系统可信计算基控制的所有主体对客体的访问应满足：仅51Testing软件测试网-co@1TQkT J
当主体安全级中的等级分类高于或等于客体安全级中的等级分类，且主体安全级中的非等级
[ dS*{2f,Y0 类别包含了客体安全级中的全部非等级类别，主体才能读客体；仅当主体安全级中的等级分51Testing软件测试网r L8S t!w@,l X
类低于或等于客体安全级中的等级分类，且主体安全级中的非等级类别包含了客体安全级中51Testing软件测试网 h)b,{ ZYsH
的非等级类别，主体才能写一个客体。计算机信息系统可信计算基使用身份和鉴别数据，鉴51Testing软件测试网bc+J"c ^(f_$q,`%M
别用户的身份，并保证用户创建的计算机信息系统可信计算基外部主体的安全级和授权受该
WJ ^ tF4\0 用户的安全级和授权的控制。
k Kz0D%rP)h0 4.3.3 标记51Testing软件测试网!n F2CM+D R
计算机信息系统可信计算基应维护与主体及其控制的存储客体（例如：进程、文件、51Testing软件测试网 C(GW1}J B@:xm$} a
段、设备）相关的敏感标记。这些标记是实施强制访问的基础。为了输入未加安全标记的数51Testing软件测试网 k NG5~)T0] p
据，计算机信息系统可信计算基向授权用户要求并接受这些数据的安全级别，且可由计算机51Testing软件测试网7? jV:~w z
信息系统可信计算基审计。 4.3.4 身份鉴别51Testing软件测试网5J] \#|E b$?O
计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，而且，计算机51Testing软件测试网,`|-_#k^h l6z
信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统
k5U n8oB%sf0 可信计算基使用这些数据鉴别用户身份，并使用保护机制（例如：口令）来鉴别用户的身51Testing软件测试网M g4V)k*N4qJ:~6X
份；阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可
nz/[K h3[z{l0 信计算基能够使用用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与
m.V/PW ]-j0 该用户所有可审计行为相关联的能力。51Testing软件测试网 V`5Q[P]R/W
4.3.5 客体重用
8|VM,Ly1N'Y4p1j0 在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配51Testing软件测试网7r'V"t+N7P$Ep}
一个主体之前，撤销客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问权51Testing软件测试网Y$B3\ zSCW O
时，当前主体不能获得原主体活动所产生的任何信息。
!zi {/w-B2iq0 4.3.6 审计
.o+oS?oP0 计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非
)H-Z"@+Zg,f K c]1j0 授权的用户对它访问或破坏。51Testing软件测试网 aH#GSC(t F9Y
计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址
s ~K o } E2{%V0 空间（例如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安
U ih EM0 全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：
e%t1Hai;N \0 事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请51Testing软件测试网oq/g k w:IIj
求的来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计51Testing软件测试网#[ Afp-Vl%K/R
记录包含客体名及客体的安全级别。此外，计算机信息系统可信计算基具有审计更改可读输
~,Q#u&G(y8Rl0 出记号的能力。51Testing软件测试网%Nd1?8xd#B/t
对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接51Testing软件测试网L6D3a8M e f(PU
口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记51Testing软件测试网(x jK$K7b6g
录。
p*m I(m"BG C0 4.3.7 数据完整性51Testing软件测试网1r x,m'W6Q
计算机信息系统可信计算基通过自主和强制完整性策略，阻止非授权用户修改或破坏敏
1R*| g&E0kp pPh0 感信息。在网络环境中，使用完整性敏感标记来确信信息在传送中未受损。
D4Nj*R Z.Y's0 4.4 第四级 结构化保护级51Testing软件测试网5W#x*v8T&L
本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，它
U Z6?z+G%M0 要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。此外，还要考虑隐蔽通
RP_s U J h0 道。本级的计算机信息系统可信计算基必须结构化为关键保护元素和非关键保护元素。计算
ooB3zP~;Y1T6O0 机信息系统可信计算基的接口也必须明确定义，使其设计与实现能经受更充分的测试和更完
%F$w R aK,B@'QjkG0 整的复审。加强了鉴别机制；支持系统管理员和操作员的职能；提供可信设施管理；增强了
R)Dl+PO7J0E `:GM0 配置管理控制。系统具有相当的抗渗透能力。
I_yT!b d,k2g0 4.4.1 自主访问控制
e*R J3p.t'f(ox }0 计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制51Testing软件测试网 D%s*^ D:['\
（例如：访问控制表）允许命名用户和（或）以用户组的身份规定并控制客体的共享；阻止
(@RDM"~9[ ]{3c0 非授用户读取敏感信息。并控制访问权限扩散。
%I r,c T2e s K0 自主访问控制机制根据用户指定方式或默认方式，阻止非授权用户访问客体。访问控制的粒51Testing软件测试网e)X|'L.j B(p4E
度是单个用户。没有存取权的用户只允许由授权用户指定对客体的访问权。51Testing软件测试网c AyL r9_$t a
4.4.2 强制访问控制51Testing软件测试网'HL _S iVK8d
计算机信息系统可信计算基对外部主体能够直接或间接访问的所有资源（例如：主体、
6^SD.~-xC&S%u0 存储客体和输入输出资源）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记51Testing软件测试网4Eqs8S6v8z7p x.TY
是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。计算机信息系统可信计
!A"JC K ]t0|9\~0 算基支持两种或两种以上成分组成的安全级。计算机信息系统可信计算基外部的所有主体对51Testing软件测试网#v)GI0qTj
客体的直接或间接的访问应满足：仅当主体安全级中的等级分类高于或等于客体安全级中的51Testing软件测试网[(@ C0z!S}Xt
等级分类，且主体安全级中的非等级类别包含了客体安全级中的全部非等级类别，主体才能51Testing软件测试网iJV o x
读客体；仅当主体安全级中的等级分类低于或等于客体安全级中的等级分类，且主体安全级
'J] v&x$vY/AW"W0 中的非等级类别包含于客体安全级中的非等级类别，主体才能写一个客体。计算机信息系统51Testing软件测试网i%} PJ0|'eQ&cs z
可信计算基使用身份和鉴别数据，鉴别用户的身份，保护用户创建的计算机信息系统可信计51Testing软件测试网3ay t6t]+]e
算基外部主体的安全级和授权受该用户的安全级和授权的控制。
+Dyi:F O4K0 4.4.3 标记
FW%_/Ku*O7vCd0 计算机信息系统可信计算基维护与可被外部主体直接或间接访问到的计算机信息系统资51Testing软件测试网+lmj(LgVl
源（例如：主体、存储客体、只读存储器）相关的敏感标记。这些标记是实施强制访问的基51Testing软件测试网 h+{ };@S Ri"\&u$u
础。为了输入未加安全标记的数据，计算机信息系统可信计算基向授权用户要求并接受这些
|[(f)gd*Z2R0 数据的安全级别，且可由计算机信息系统可信计算基审计。51Testing软件测试网ckCV cw'h
4.4.4 身份鉴别
V ~j%cj8L8J/d0 计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，而且，计算机51Testing软件测试网5Q)] I,cQ F5Ws
信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统
T3r eTJ+ZG n0 可信计算基使用这些数据，鉴别用户身份，并使用保护机制（例如：口令）来鉴别用户的身51Testing软件测试网.P H$| u G
份；阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可51Testing软件测试网 e'C/b t avF$S } hrV
信计算基能够使用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与该51Testing软件测试网.V6yRM9s/Lx PA^
用户所有可审计行为相关联的能力。51Testing软件测试网 nKW i M v
4.4.5 客体重用51Testing软件测试网 p z%e%Y w`
在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配51Testing软件测试网4q0[MT| c |
一个主体之前，撤销客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问权
Ehl`0as;yW2?0 时，当前主体不能获得原主体活动所产生的任何信息。51Testing软件测试网)[{.W x9X&?a!v"s Jl
4.4.6 审计51Testing软件测试网%z(G?4W.E&p"d.jr
计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非51Testing软件测试网 z7iO5XHo5Z/@] ?
授权的用户对它访问或破坏。
e0fe O)qd?0 计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址51Testing软件测试网R c,R.q+Aq*]
空间（例如：打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安51Testing软件测试网+` S4^5}Q$~1L i
全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：51Testing软件测试网$z u2RAu T ]2G
事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请
vE5b$Dor0 求的来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计51Testing软件测试网 hv;h3aa,]
记录包含客体及客体的安全级别。此外，计算机信息系统可信计算基具有审计更改可读输出51Testing软件测试网 C nhk7p-V [
记号的能力。
X%q7E~(r#G9a0 对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接
#Q \ bY2Nh2l0 口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记51Testing软件测试网-HIR,ql'J
录。
:h GFM|x2g0 计算机信息系统可信计算基能够审计利用隐蔽存储信道时可能被使用的事件。
$r.J4T h EI0 4.4.7 数据完整性51Testing软件测试网Ld2z#d^`9{N}F
计算机信息系统可信计算基通过自主和强制完整性策略。阻止非授权用户修改或破坏敏
x*`cf&t^ G;H0 感信息。在网络环境中，使用完整性敏感标记来确信信息在传送中未受损。
AFz i4[0 4.4.8 隐蔽信道分析
oZ pg4`fz%fc0 系统开发者应彻底搜索隐蔽存储信道，并根据实际测量或工程估算确定每一个被标识信51Testing软件测试网4\ C(],\!ki
道的最大带宽。51Testing软件测试网[8[ p\m\$Rp j6kS
4.4.9 可信路径
QmXr6g)Vv^ s i0 对用户的初始登录和鉴别，计算机信息系统可信计算基在它与用户之间提供可信通信路51Testing软件测试网-VFz9s\5?;`
径。该路径上的通信只能由该用户初始化。51Testing软件测试网V \ W h6t
4.5 第五级 访问验证保护级51Testing软件测试网6u p_:yuK @i!k }!P
本级的计算机信息系统可信计算基满足访问监控器需求。访问监控器仲裁主体对客体的51Testing软件测试网`}r'qDW._9i`
全部访问。访问监控器本身是抗篡改的；必须足够小，能够分析和测试。为了满足访问监控
:eu#qV9mge R0 器需求，计算机信息系统可信计算基在其构造时，排除那些对实施安全策略来说并非必要的51Testing软件测试网H/K \x"SG
代码；在设计和实现时，从系统工程角度将其复杂性降低到最小程度。支持安全管理员职51Testing软件测试网 Xh/ChPq0a ap
能；扩充审计机制，当发生与安全相关的事件时发出信号；提供系统恢复机制。系统具有很51Testing软件测试网4mx:x#t [ _t
高的抗渗透能力。51Testing软件测试网W+v b(L `)X6D \"jz
4.5.1 自主访问控制51Testing软件测试网.X p"[RE:o"O+NDJ,qM
计算机信息系统可信计算基定义并控制系统中命名用户对命名客体的访问。实施机制
SpI6{4JJ0 （例如：访问控制表）允许命名用户和（或）以用户组的身份规定并控制客体的共享；阻止
+q FD8d"@p|L0 非授权用户读取敏感信息。并控制访问权限扩散。
3c!dYj h\`0 自主访问控制机制根据用户指定方式或默认方式，阻止非授权用户访问客体。访问控制51Testing软件测试网+V5S0a8aQ.x3D#F$j
的粒度是单个用户。访问控制能够为每个命名客体指定命名用户和用户组，并规定他们对客51Testing软件测试网(r U rE]
体的访问模式。没有存取权的用户只允许由授权用户指定对客体的访问权。
.Q x0N(ou0 4.5.2 强制访问控制51Testing软件测试网 G)R ?Pq/[.j
计算机信息系统可信计算基对外部主体能够直接或间接访问的所有资源（例如：主体、51Testing软件测试网 bM|y+mdB
存储客体和输入输出资源）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记
:?.P Up8P a Q6s G0 是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。计算机信息系统可信计
3lKS-P)o xr+y0 算基支持两种或两种以上成分组成的安全级。计算机信息系统可信计算基外部的所有主体对
J4D g9m8x0 客体的直接或间接的访问应满足：仅当主体安全级中的等级分类高于或等于客体安全级中的51Testing软件测试网8y/@,Gi.eY#h[
等级分类，且主体安全级中的非等级类别包含了客体安全级中的全部非等级类别，主体才能51Testing软件测试网.x _E$T0t aR
读客体；仅当主体安全级中的等级分类低于或等于客体安全级中的等级分类，且主体安全级
r+idE7MJ0 中的非等级类别包含了客体安全级中的非等级类别，主体才能写一个客体。计算机信息系统51Testing软件测试网*o1jzH y&w;W
可信计算基使用身份和鉴别数据，鉴别用户的身份，保证用户创建的计算机信息系统可信计51Testing软件测试网P |io"x"kuT
算基外部主体的安全级和授权受该用户的安全级和授权的控制。51Testing软件测试网%U!Kz1Z^ y \/SH9G
4.5.3 标记
/rwBC m tW0 计算机信息系统可信计算基维护与可被外部主体直接或间接访问到计算机信息系统资源51Testing软件测试网iW*_zz5p
（例如：主体、存储客体、只读存储器）相关的敏感标记。这些标记是实施强制访问的基
q$FK/z r"r"f0 础。为了输入未加安全标记的数据，计算机信息系统可信计算基向授权用户要求并接受这些51Testing软件测试网8@O h,\3R BU&j"{
数据的安全级别，且可由计算机信息系统可信计算基审计。51Testing软件测试网;b"O"e/Y O8Q(fz
4.5.4 身份鉴别 计算机信息系统可信计算基初始执行时，首先要求用户标识自己的身份，而且，计算机51Testing软件测试网] UV{?h9DR
信息系统可信计算基维护用户身份识别数据并确定用户访问权及授权数据。计算机信息系统51Testing软件测试网b8P.^ _ Xd!\
可信计算基使用这些数据，鉴别用户身份，并使用保护机制（例如：口令）来鉴别用户的身
u K dk` _u@({0B0 份；阻止非授权用户访问用户身份鉴别数据。通过为用户提供唯一标识，计算机信息系统可51Testing软件测试网*V I0j#U{
信计算基能够使用户对自己的行为负责。计算机信息系统可信计算基还具备将身份标识与该
-CVE?&vX0 用户所有可审计行为相关联的能力。
ZC F'Ke;P~T0 4.5.5 客体重用
Ew#[ qy(r0 在计算机信息系统可信计算基的空闲存储客体空间中，对客体初始指定、分配或再分配
Sq&zpyQGo6[0 一个主体之前，撤销客体所含信息的所有授权。当主体获得对一个已被释放的客体的访问权
cx`t5P | x4GN0 时，当前主体不能获得原主体活动所产生的任何信息。51Testing软件测试网7Vo%A(~)mB+SF"p
4.5.6 审计51Testing软件测试网K KO)P v I s_
计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非
I eCQ ZR-fMI0 授权的用户对它访问或破坏。51Testing软件测试网"_6E8h+V;~Y ]Oc-uP
计算机信息系统可信计算基能记录下述事件：使用身份鉴别机制；将客体引入用户地址空间
{0lFFj4E2C%v0 （例如：打开文件、程序出始化）；删除客体；由操作员、系统管理员或（和）系统安全管
7v9{IFQE]"z&C u(w0 理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括：事件
u&}&u5z \X0 的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请求的
Pj&D Yq)n%q0 来源（例如：终端标识符）；对于客体引入用户地址空间的事件及客体删除事件，审计记录
%\C2x!i'pV0 包含客体名及客体的安全级别。此外，计算机信息系统可信计算基具有审计更改可读输出记51Testing软件测试网 o P@q"L*^ @
号的能力。51Testing软件测试网x7k @#O7M6x N
对不能由计算机信息系统可信计算基独立分辨的审计事件，审计机制提供审计记录接
ZD[-} ?[0 口，可由授权主体调用。这些审计记录区别于计算机信息系统可信计算基独立分辨的审计记
tU]6{ L0 录。计算机信息系统可信计算基能够审计利用隐蔽存储信道时可能被使用的事件。51Testing软件测试网|/V$w5c M u5M
计算机信息系统可信计算基包含能够监控可审计安全事件发生与积累的机制，当超过阈
[G-L9Q-h0 值时，能够立即向安全管理员发出报警。并且，如果这些与安全相关的事件继续发生或积
8p"G\2OID7H0 累，系统应以最小的代价中止它们。
%`!t Yq-AVW0~ { H-_0 4.5.7 数据完整性
F1Sjs!akI0 计算机信息系统可信计算基通过自主和强制完整性策略，阻止非授权用户修改或破坏敏感信51Testing软件测试网,V;h*MX!r"bJ7V)lB
息。在网络环境中，使用完整性敏感标记来确信信息在传送中未受损。51Testing软件测试网 KJ{!U3C^ Y1j8NG
4.5.8 隐蔽信道分析
c-Z.W?0MxbY0 系统开发者应彻底搜索隐蔽信道，并根据实际测量或工程估算确定每一个被标识信道的
&D@K!][0 最大带宽。51Testing软件测试网-rV `q T.Nu \8`w
4.5.9 可信路径
h`[fI.w0 当连接用户时（如注册、更改主体安全级），计算机信息系统可信计算基提供它与用户51Testing软件测试网#ZMc:x)RJ u.bXU$} f*|
之间的可信通信路径。可信路径上的通信只能由该用户或计算机信息系统可信计算基激活，
_9s-[ oYS5D x5l0 且在逻辑上与其他路径上的通信相隔离，且能正确地加以区分。51Testing软件测试网 L)|({1K#K8J1h m
4.5.10 可信恢复
#Z3Gn;CLB3C ]0 计算机信息系统可信计算基提供过程和机制，保证计算机信息系统失效或中断后，可以
%K*r+?^xN"c0 进行不损害任何安全保护性能的恢复。
相关阅读:
- ASP.NET中如何防范SQL注入式攻击(转贴) (yexu, 2007-1-17)
TAG: 安全测试
