深入解析：系统架构设计师备考第65天——安全架构和模型

一、安全架构概述

1. 信息安全面临的威胁

• 威胁分类（4大类）：

  1. 物理安全威胁：自然灾害、设备故障/被盗、信息丢失。
  2. 通信链路安全威胁：传输线窃听、通信干扰。
  3. 网络安全威胁：互联网开放性导致的窃取（如黑客攻击）。
  4. 系统安全威胁：
     • 操作系统：木马、陷阱门（如BIOS万能密码）。
     • 应用系统：业务逻辑漏洞。
     • 管理系统：人为疏忽（拷贝/拍照泄露数据）。

• 18种具体威胁（部分重点）：

  • 信息泄露：非授权获取敏感信息。
  • 拒绝服务（DoS）：阻断合法访问。
  • 假冒攻击：冒充合法用户（如钓鱼）。
  • 特洛伊木马：隐藏恶意功能的程序。
  • 计算机病毒：传染性破坏程序。
  • 业务流分析：长期监听统计通信规律。
  • 抵赖：否认已执行的操控（如伪造消息）。

2. 安全架构的定义和范围

• 安全架构目标：保障信息系统的可用性、完整性、机密性、可控性、不可抵赖性。
• 三道安全防线：
  1. 产品安全架构：从源头构建安全产品（如安全编码）。
  2. 安全技术体系架构：建立基础设施（如PKI、防火墙）。
  3. 审计架构：独立风险发现（覆盖所有风险类型）。
• 设计核心：结合身份鉴别、访问控制、加密技术等，形成系统性防御方案。

3. 18.1.3 国内外安全标准及组织

• 国外标准：
  • TCSEC（橘皮书）：美国国防部，可信系统评估。
  • ITSEC：欧洲四国联合制定。
  • ISO/IEC 15408（CC标准）：国际通用安全评估准则。
  • ISO/IEC 7498-2：OSI安全体系结构标准。
• 国内组织：
  • 国家标准化管理委员会（SAC）：统一管理国家标准。
  • 全国信息技术标准化科技委员会（信标委）：负责信息技术领域标准化。

---

二、安全模型

1. 状态机模型（State Machine Model）

• 核心思想：系统始终处于安全状态，状态迁移需满足安全策略。
• 关键机制：
  • 状态快照：记录体系瞬时状态（如权限调整）。
  • 安全状态验证否符合安全策略。就是：每次状态迁移后需验证
• 应用场景：实时监控系统（如工业控制系统）。

2. Bell-LaPadula模型（BLP模型）

• 目标：保护数据机密性（军事场景）。
• 核心规则：
  • 简单安全规则：低密级主体不可读高密级客体（不上读）。
  • 星号规则：高密级主体不可写低密级客体（不下写）。
• 特点：多级安全控制，防止信息泄露。

3. Biba模型

• 目标：保护数据完整性（商业场景）。
• 核心规则：
  • 简单完整性规则：低完整性主体不可写高完整性客体（不上写）。
  • 星号完整性规则：高完整性主体不可读低完整性客体（不下读）。
• 与BLP对比：规则相反，侧重防篡改而非防泄露。

4. Clark-Wilson模型

• 目标：保障商业环境数据完整性。
• 核心机制：
  • 约束数据项（CDI）：受保护资料（如账户余额）。
  • 转换过程（TP）：验证完整性后执行操作（如转账需双人审核）。
  • 职责分离：关键操控需多人协作达成。
• 应用场景：金融系统、审计流程。

5. Chinese Wall模型

• 目标：解决利益冲突（如咨询公司服务竞争客户）。
• 核心规则：
  • 信息隔离：同一竞争集团客户数据不可互访。
  • 动态访问控制：用户访问某客户后，自动禁止访问其竞争对手素材。
• 应用场景：法律、审计、咨询行业。

---

考点提炼与考题示例

1. 安全威胁分类

• 考题：以下哪项属于“管理系统安全威胁”？
  A. 木马程序
  B. 人为拍照泄露数据
  C. 网络拒绝服务攻击
  答案：B（人员管理疏忽）。

2. 安全模型对比

模型	目标	核心规则	场景
BLP模型	机密性保护	不上读、不下写	军事/政府系统
Biba模型	完整性保护	不上写、不下读	商业数据系统
Chinese Wall模型	利益冲突规避	竞争数据隔离	咨询/法律行业

• 考题什么？就是：Chinese Wall模型解决的核心困难
  答案：防止因访问竞争客户数据导致的利益冲突。

3. 安全架构三道防线

• 考题：安全技巧体系架构的主要任务是什么？
  答案：构建通用安全基础设施（如PKI、入侵检测环境）。