7.11.2用户级安全管理 ◆用户级安全管理,是为了给用户文件分配文件 “访问权限”而设计的。用户对文件访问权限 的大小,是根据用户分类、需求和文件属性来 分配的。例如,Unⅸ中,将用户分成三类:文 件主、授权用户和一般用户。 ◆已经在系统中登录过的用户都具有指定的文件 访问权限,访问权限决定了用户对哪些文件能 执行哪些操作。当对某用户赋予其访问指定目 录的权限时,他便具有了对该目录下的所有子 目录和文件的访问权。通常,对文件可以定义 的访问权限有:建立、删除、打开、读、写 查询和修改
7.1.1.2 用户级安全管理 用户级安全管理，是为了给用户文件分配文件 “访问权限”而设计的。用户对文件访问权限 的大小，是根据用户分类、需求和文件属性来 分配的。例如，Unix中，将用户分成三类：文 件主、授权用户和一般用户。 已经在系统中登录过的用户都具有指定的文件 访问权限，访问权限决定了用户对哪些文件能 执行哪些操作。当对某用户赋予其访问指定目 录的权限时，他便具有了对该目录下的所有子 目录和文件的访问权。通常，对文件可以定义 的访问权限有：建立、删除、打开、读、写、 查询和修改
7.1.1.3文件级安全管理 ◆文件级安全性是通过系统管理员或文件 主对文件属性的设置,来控制用户对文 件的访问。通常可对文件置以下属性: 执行、隐含、修改、索引、只读、写 共享等
7.1.1.3 文件级安全管理 文件级安全性是通过系统管理员或文件 主对文件属性的设置，来控制用户对文 件的访问。通常可对文件置以下属性： 执行、隐含、修改、索引、只读、写 、 共享等
7.1.2通信网络安全管理 ◆网络操作系统必须采用多种安全措施和手段,其主要有 ◆●用户身份验证和对等实体鉴别:远程录入用户的口令应当加密, 密钥必须每次变更以防被人截获后冒名顶替。网络环境下,一个用 户向另一个用户发送数据,发主必须鉴别收方是否确定是他要发给 信息的人,收方也必须判别所发来的信息是否确定是由发送者个人 发来,这就是对等体鉴别。 ◆●访问控制:除了网络中主机上要有存取访问控制外,应当将访问 控制扩展到通信子网,应对哪些网络用户可访问哪些本地资源,以 及哪些本地用户可访问哪些网络资源进行控制 ◆●数据完整性:防止信息的非法重发,以及传送过程中的篡改、替 换、删除等,要保证数据由一台主机送出,经网络链络到达另一台 主机时完全相同。 ◆●加密:加密后的信息即使被人截取,也不易被人读懂和了解,这 是存取访问控制的补充手段。 ◆●防抵赖:防止收发信息双方抵赖纠纷。收方收到信息,他要确保 发方不能否认曾向他发过信息,并要确保发方不否认收方收到的信 息是未被篡改过的原样信息。发方也会要求收方不能在收到信息后 抵赖或否认 ◆●审计:审计用户对本地主机的使用,还应审计网络运行情况
7.1.2 通信网络安全管理 网络操作系统必须采用多种安全措施和手段，其主要有： l用户身份验证和对等实体鉴别：远程录入用户的口令应当加密， 密钥必须每次变更以防被人截获后冒名顶替。网络环境下，一个用 户向另一个用户发送数据，发主必须鉴别收方是否确定是他要发给 信息的人，收方也必须判别所发来的信息是否确定是由发送者个人 发来，这就是对等体鉴别。 l访问控制：除了网络中主机上要有存取访问控制外，应当将访问 控制扩展到通信子网，应对哪些网络用户可访问哪些本地资源，以 及哪些本地用户可访问哪些网络资源进行控制。 l数据完整性：防止信息的非法重发，以及传送过程中的篡改、替 换、删除等，要保证数据由一台主机送出，经网络链络到达另一台 主机时完全相同。 l加密：加密后的信息即使被人截取，也不易被人读懂和了解，这 是存取访问控制的补充手段。 l防抵赖：防止收发信息双方抵赖纠纷。收方收到信息，他要确保 发方不能否认曾向他发过信息，并要确保发方不否认收方收到的信 息是未被篡改过的原样信息。发方也会要求收方不能在收到信息后 抵赖或否认。 l 审计：审计用户对本地主机的使用，还应审计网络运行情况
◆网络系统安全保障的实现方法分两大类: 一类是以防火墙技术为代表的防卫型网 络安全保障系统。它是通过对网络作拓 扑结果和服务类型上进行隔离,在网络 边界上建立相应的网络通信监控系统, 来达到保障网络安全的目的。实现防火 墙所用的主要技术有:数据包过滤、应 用网关和代理服务器( Proxy Server)等
网络系统安全保障的实现方法分两大类： 一类是以防火墙技术为代表的防卫型网 络安全保障系统。它是通过对网络作拓 扑结果和服务类型上进行隔离，在网络 边界上建立相应的网络通信监控系统， 来达到保障网络安全的目的。实现防火 墙所用的主要技术有：数据包过滤、应 用网关和代理服务器(Proxy Server)等
◆另一类是建立在数据加密和用户授权确认机制上 的开放型网络安全保障系统。这类技术的特征是 利用数据加密技术来保护网络系统中包括用户数 据在内的所有数据流,只有指定用户或网络设备 才能解译加密数据,从而在不对网络环境作特殊 要求的前提下从根本上解决网络安全性问题。数 据加密技术可分为三类:对称型加密、不对称型 加密和不可逆加密。对称型加密使用单个密钥对 数据进行加密或解密,计算量小、加密效率高, 但密钥管理困难,使用成本高,保安性能差。不 对称加密也称公用密钥算法,它采用公用和私有 个密钥,只有二者搭配使用才能完成加解密过 程。不可逆加密算法的特征是加密过程不需要密 钥,经过加密的数据无法被解密,只有同样的输 入数据,经过同样的不可逆加密算法才能得到相 同的加密数据。但其加密计算工作量大,仅适用 于数据量有限的场合
另一类是建立在数据加密和用户授权确认机制上 的开放型网络安全保障系统。这类技术的特征是 利用数据加密技术来保护网络系统中包括用户数 据在内的所有数据流，只有指定用户或网络设备 才能解译加密数据，从而在不对网络环境作特殊 要求的前提下从根本上解决网络安全性问题。数 据加密技术可分为三类：对称型加密、不对称型 加密和不可逆加密。对称型加密使用单个密钥对 数据进行加密或解密，计算量小、加密效率高， 但密钥管理困难，使用成本高，保安性能差。不 对称加密也称公用密钥算法，它采用公用和私有 二个密钥，只有二者搭配使用才能完成加解密过 程。不可逆加密算法的特征是加密过程不需要密 钥，经过加密的数据无法被解密，只有同样的输 入数据，经过同样的不可逆加密算法才能得到相 同的加密数据。但其加密计算工作量大，仅适用 于数据量有限的场合