【系统架构设计师】二十四、安全架构设计理论与实践③

五、网络安全体系架构设计

5.1 OSI安全架构

    OSI定义了7层协议，其中除第5层(会话层)外，每一层均能提供相应的安全服务。实际上，最适合配置安全服务的是在物理层、网络层、运输层及应用层上，其他层都不宜配置安全服务。

    OSI开放系统互联安全体系的5类安全服务包括鉴别、访问控制、数据机密性、数据完整性和抗抵赖性。

    OSI定义分层多点安全技术体系架构，也称为深度防御安全技术体系架构，它通过以下三种方式将防御能力分布至整个信息系统中。
     （1）多点技术防御。在对手可以从内部或外部多点攻击一个目标的前提下，多点技术防御通过对网络和基础设施、边界、计算环境多个防御核心区域的防御达到抵御所有方式的攻击目的。
     （2）分层技术防御。即使最好的可得到的信息保障产品也有弱点，其最终结果将使对手能找到一个可探查的脆弱性，一个有效的措施是在对手和目标间使用多个防御机制。
     （3）支撑性基础设施。为网络、边界和计算环境中信息保障机制运行基础的支撑性基础设施，包括公钥基础设施以及检测和响应基础设施。

5.2 认证框架

    鉴别 (Authentication)的基本目的是防止其他实体占用和独立操作被鉴别实体的身份。鉴别有两种重要的关系背景：一是实体由申请者来代表，申请者与验证者之间存在着特定的通信关系(如实体鉴别)；二是实体为验证者提供数据项来源。下图给出了申请者、验证者、可信第三方之间的关系及三种鉴别信息类型

    注：在某些特定的情况下，可以不涉及可信任的第三方。验证A I可以是主体的，也可以是可信任第三方的。

    鉴别服务分为以下阶段：安装阶段、修改鉴别信息阶段、分发阶段、获取阶段、传送阶段、

验证阶段、停活阶段、重新激活阶段、取消安装阶段。
安装阶段，定义申请鉴别信息和验证鉴别信息。
修改鉴别信息阶段，实体或管理者申请鉴别信息和验证鉴别信息变更(如修改口令)。
分发阶段，为了验证交换鉴别信息，把验证鉴别信息分发到各实体(如申请者或验证者)以供使用。
获取阶段，申请者或验证者可得到为鉴别实例生成特定交换鉴别信息所需的信息，通过与可信第三方进行交互或鉴别实体间的信息交换可得到交换鉴别信息。
传送阶段，在申请者与验证者之间传送交换鉴别信息。
验证阶段，用验证鉴别信息核对交换鉴别信息。
停活阶段，将建立一种状态，使得以前能被鉴别的实体暂时不能被鉴别。
重新激活阶段，使在停活阶段建立的状态将被终止。
取消安装阶段，实体从实体集合中被拆除。

5.3 访问控制框架

    访问控制 (Access Control)决定开放系统环境中允许使用哪些资源、在什么地方适合阻止未授权访问的过程。在访问控制实例中，访问可以是对一个系统(即对一个系统通信部分的一个实体)或对一个系统内部进行的。
     图18-19和图18-20说明了访问控制的基础性功能。  

    ACI (访问控制信息)是用于访问控制目的的任何信息，其中包括上下文信息。
     ADI (访问控制判决信息)是在做出一个特定的访问控制判决时可供ADF 使用的部分(或全部)ACI。
     ADF (访问控制判决功能)是一种特定功能，它通过对访问请求、ADI 以及该访问请求的上下文使用访问控制策略规则而做出访问控制判决。
     AEF (访问控制实施功能)确保只有对目标允许的访问才由发起者执行。
     涉及访问控制的有发起者、 AEF、ADF 和目标。

5.4 机密性框架

    数据的机密性可以依赖于所驻留和传输的媒体。因此，存储数据的机密性能通过使用隐藏数据语义如加密)或将数据分片的机制来保证。数据在传输中的机密性能通过禁止访问的机制、通过隐藏数据语义的机制或通过分散数据的机制得以保证(如跳频等)。

    具体机制包括：通过禁止访问提供机密性、通过加密提供机密性、通过数据填充、虚假事件等

5.5 完整性框架

    对于不同的媒体，数据完整性保护机制是有区别的，可概括为以下两种情况：
     （1）阻止对媒体访问的机制。包括物理隔离的不受干扰的信道、路由控制、访问控制。
     （2）用以探测对数据或数据项序列的非授权修改的机制。未授权修改包括未授权数据创建、数据删除以及数据重复。而相应的完整性机制包括密封、数字签名、数据重复(作为对抗其他类型违规的手段)、与密码变换相结合的数字指纹和消息序列号。

5.6 抗抵赖框架

    抗抵赖 (Non-repudiation)服务包括证据的生成、验证和记录，以及在解决纠纷时随即进行的证据恢复和再次验证。

    框架所描述的抗抵赖服务的目的是提供有关特定事件或行为的证据。

    抗抵赖由4个独立的阶段组成：证据生成；证据传输、存储及恢复；证据验证和解决纠纷。

往期推荐

【系统架构设计师】二十三、通信系统架构设计理论与实践①-CSDN博客文章浏览阅读1.1k次，点赞34次，收藏18次。通信网络主要形式：局域网、广域网、移动通信网。局域网网络架构有 4 种类型：单核心架构、双核心架构、环型架构、层次型架构。广域网属于多级网络，通常由骨干网、分布网、接入网组成。在网络规模较小时，可仅由骨干网和接入网组成。通常，在大型网络构建中，通过广域网将分布在各地域的局域网互连起来，形成一个大的网络。移动通信网为移动互联网提供了强有力的支持，尤其是5G 网络为个人用户、垂直行业等提供了多样化的服务。https://shuaici.blog.csdn.net/article/details/140826449【系统架构设计师】二十、云原生架构设计理论与实践①-CSDN博客文章浏览阅读1k次，点赞17次，收藏22次。云原生架构是基于云原生技术的一组架构原则和设计模式的集合，旨在将云应用中的非业务代码部分进行最大化的剥离，从而让云设施接管应用中原有的大量非功能特性(如弹性、韧性、安全、可观测性、灰度等)，使业务不再有非功能性业务中断困扰的同时，具备轻量、敏捷、高度自动化的特点。云原生的代码通常包括三部分：业务代码、三方软件、处理非功能特性的代码。https://shuaici.blog.csdn.net/article/details/140695519