铭感标记

敏感标记

访问控制是信息安全防范和保护的主要策略，用于保证信息资源不被非法使用和访问。访问控制大致分为自主访问控制和强制访问控制两大类：在自主访问控制下，用户可以对其创建的文件、数据表等进行访问，并可自主地将访问权授予其他用户；在强制访问控制下，系统对需要保护的信息资源进行统一的强制性控制，按照预先设定的规则控制用户、进程等主体对信息资源的访问行为。通过自主访问控制与强制访问控制的协同运作，安全操作系统的访问控制机制可以同时保障系统及系统上应用的安全性与易用性。

在我国信息安全等级保护制度中，三级及三级以上系统为重要信息系统，对国民经济和社会发展具有深远的影响。这其中，操作系统作为承载核心业务应用与重要数据的平台，其安全性关系到信息系统本身的安全防护能力。因此，如何构建安全的三级操作系统，特别是完善操作系统本身的访问控制机制，已成为当前信息安全领域的一个重要命题。

现有C2级操作系统访问控制缺陷

目前，我国使用的操作系统大多数依赖于进口，由于发达*在核心产品及技术出口上的限制，B1级以上系统不对我国出口，所以国内普遍使用的商用服务器操作系统为C2级，低于我国等级保护国标规定的系统审计保护级（第二级）和安全标记保护级（第三级），主要表现在两方面：首先自主访问控制机制存在缺陷，其次没有强制访问控制机制，操作系统在访问控制方面是不完善的。

在自主访问控制方面，主流的商用服务器操作系统通常采用等级型自主访问控制机制，高等级主体如系统管理员等自动获得各类低等级客体的访问控制权，一旦位于*等级的超级管理员账号、密码等信息被攻击者盗取并成功利用，操作系统将无安全性可言。例如近年来曝光的一些“本地提权”漏洞，攻击者就可以利用漏洞修改自己拥有的文件访问控制信息，进而可对系统上的相关文件等资源进行查看、修改、删除等操作，而且，传统的自主访问控制也难以防止计算机病毒将信息通过共享客体从一个进程传送给另一个进程。
等级保护国标对三级操作系统的访问控制要求

根据*标准《信息安全技术-信息系统安全等级保护基本要求》（GB/T22239-2008）的规定，信息系统安全保护等级由低到高划分为五级，其中，在主机安全访问控制方面，三级信息系统比二级系统增加了新的内容：“应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；应对重要信息资源设置敏感标记；应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。”

具体到三级操作系统的访问控制方面，则根据*标准《信息安全技术-操作系统安全技术要求》（GB/T20272-2006）的规定来执行，主要包括自主访问控制和强制访问控制：

自主访问控制（DAC）

与传统操作系统的自主访问控制相比，三级系统自主访问控制机制更为严格，客体的拥有者是*有权修改客体访问权限的主体，拥有者对其拥有的客体应具有全部控制权，但是，不允许客体拥有者把该客体的控制权分配给其他主体。即使是高安全等级的主体，如果没有获得客体拥有者授予的访问权，也无法访问受保护的客体，更不能对客体进行修改、删除等操作，保障了受保护资源的安全性。同时，三级系统自主访问控制还与身份鉴别、安全审计等安全功能相结合，通过确认用户身份的真实性和记录用户的各种成功的或不成功的访问，提升操作系统的安全性与安全管理水平。
强制访问控制（MAC）

强制访问控制是三级操作系统与二级系统之间的一道“分水岭”，其主要特点是系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。

强制访问控制主要从如下几个方面来设计和实现：

1、管理员权限分离

在传统操作系统中，超级管理员一家独大，拥有无上的权限，因此，很多攻击者通常通过窃取管理员账号密码或利用漏洞将自身提升为管理员的方式，实现对目标操作系统的完全控制。三级操作系统将管理员权限进行分离，设立了系统安全员、系统管理员及系统审计员，其中，系统安全员统一管理操作系统中与强制访问控制等安全机制有关的事件和信息，系统管理员、系统审计员则分别进行系统常规管理及审计管理，各管理人员之间相互独立、相互制约。

2、多个安全功能联动防御

强制访问控制与用户身份鉴别、标记等安全功能密切配合，使系统对用户的安全控制包含从用户进入系统到退出系统的全过程，对客体的控制范围涉及操作系统内部的存储、处理和传输过程。

3、多个操作系统集中管理	

多个操作系统的强制访问控制包括如下两个方面：运行于网络环境的分布式操作系统，应统一实现强制访问控制功能；运行于网络环境的多台计算机系统上的网络操作系统，在需要进行统一管理时，应考虑各台计算机操作系统的主、客体安全属性设置的一致性，并实现跨网络的SSOOS间用户数据保密性和完整性保护。

随着等级保护*标准的出台与深入实施，目前国内已经涌现出一批*自主可控的操作系统层安全产品与技术，椒图科技推出的JHSE椒图主机安全环境系统，就能够同时支持符合三级操作系统标准的自主访问控制和强制访问控制，同时也完全满足等级保护国标对三级操作系统的安全要求。可以相信，随着我国等级保护工作的深入推进与相关安全产品的日益丰富，操作系统本身的访问控制状况将会得到改善，推动我国信息安全水平持续攀升。