原子标签索引：[概念×12 | 机制×5 | 流程×4 | 决策×1 | 分类×8 | 判据×5 | 案例×2 | 数据×3] 上游：第4章（信息安全技术基础） 下游：第14章（云原生安全）、第20章（论文写作，WPDRRC/安全模型为高频素材）

标准表述

• 安全架构是架构面向安全性方向上的细分；产品安全架构、安全技术体系架构、审计架构组成三道安全防线。
• 产品安全架构目标：不依赖外部防御系统，从源头打造自身安全的产品。
• 安全技术体系架构任务：构建通用安全技术基础设施（安全基础设施、安全工具和技术、安全组件与支持系统）。
• 安全架构应具备可用性（防数据和资源丢失）、完整性（防未授权修改）、机密性（防未授权披露）三特性。
• 信息系统安全目标：控制和管理主体（用户和进程）对客体（数据和程序）的访问。
• 状态机模型：用状态变量描述系统状态、转换规则描述变化；系统从安全状态启动并在所有迁移中保持安全。
• BLP 模型（1973，Bell & LaPadula）：第一个正式安全模型，属强制访问控制，以敏感度划分安全级别的多级安全系统，专注机密性；核心口诀"下读上写"——No Read Up、No Write Down。
• Biba 模型：专注完整性，访问控制建立在完整性级别上；与 BLP 方向相反——No Write Up、No Read Down，另有调用属性规则。
• Clark-Wilson 模型（1987）：完整性模型，实现成型的事务处理机制，常用于银行系统；核心概念 CDI/UDI、TP（转换过程）、IVP（完整性验证过程）、职责隔离。
• Chinese Wall 模型（Brewer & Nash）：多边安全模型，最初为投资银行设计，防止利益冲突；同时含 DAC 和 MAC 属性——可选为谁工作（DAC），选定后只能为该客户工作（MAC）。
• WPDRRC 模型是我国"八六三"信息安全专家组提出，在 PDRR 基础上前后增加预警和反击；6 环节=预警/保护/检测/响应/恢复/反击，3 要素=人员（核心）、策略（桥梁）、技术（保证）。
• PDRR：保护、检测、反应、恢复的有机结合，强调自动故障恢复能力。
• OSI 安全体系（ISO 7498-2，对应 GB/T 9387.2—1995）定义 5 大类安全服务（鉴别、访问控制、数据机密性、数据完整性、抗抵赖）和 8 类安全机制。
• OSI 7 层中除会话层外均可提供安全服务，最适合配置安全服务的是物理层、网络层、运输层、应用层。
• 分层多点安全技术体系架构（深度防御）三种方式：多点技术防御、分层技术防御、支撑性基础设施（PKI + 检测响应基础设施）。
• 鉴别 5 种方式：已知的（口令）、拥有的（IC 卡、令牌）、不改变的特性（生物特征）、可信第三方建立的（递推）、环境（主机地址）。
• 鉴别服务 9 阶段：安装、修改鉴别信息、分发、获取、传送、验证、停活、重新激活、取消安装。
• 访问控制四要素：发起者、AEF（访问控制实施功能）、ADF（访问控制判决功能）、目标；关键概念 ACI（访问控制信息）、ADI（访问控制判决信息）。
• 机密性机制两类途径：禁止访问（访问控制、物理媒体保护、路由选择控制）和加密（对称/非对称）；辅助手段有数据填充、虚假事件、保护 PDU 头、时间可变域。
• 抗抵赖服务 4 阶段：证据生成；证据传输、存储及恢复；证据验证；解决纠纷。
• TCSEC（橘皮书，1985 美国国防部）将安全系统分为 4 大类 7 个等级；TDI 是 TCSEC 在数据库管理系统方面的扩充解释；B1 以上才是真正意义上的安全产品。
• 数据库完整性 = 数据的正确性和相容性；完整性约束可分 6 类（列级/元组级/关系级 × 静态/动态）。
• 软件脆弱性：软件缺陷客观存在形成的可被攻击者利用的实例；每个脆弱性至少由一个缺陷引起，但一个缺陷可能不产生任何脆弱性，不同缺陷可导致相同脆弱性。
• 信息系统安全"木桶理论"：安全性由系统自身最薄弱之处（漏洞）决定。
• 软件脆弱性生命周期 4 阶段：引入、产生破坏效果、被修补、消失。

蒸馏笔记

概念

• 安全架构：架构在安全性方向上的细分领域。
• 信息泄露：信息被泄露给非授权实体；假冒：非法用户冒充合法用户（黑客多用此法）；旁路控制：利用系统缺陷绕过防线获得非授权特权。
• 授权侵犯（内部攻击）：被授权者将权限用于非授权目的；抵赖：否认发布过消息或伪造对方来信；重放：截获的合法通信数据被再次发送。
• 特洛伊木马：程序中藏有察觉不出的破坏性程序段；陷阱门：特定输入数据时允许违反安全策略的"机关"。
• 安全策略 vs 安全模型：策略是宽泛、模糊、抽象的目标；模型给出实现目标该做什么/不该什么，具有实践指导意义。
• CDI/UDI：需要/不需要完整性保护的客体；TP：把数据从一种有效状态变到另一种有效状态；IVP：验证 CDI 处于有效状态。
• AAA：认证（能否获得访问权）、授权（可用哪些服务）、审计（记录使用网络资源情况）。
• RADIUS：宽带运营支撑的认证计费协议，BAS 与 RADIUS 服务器间验证信息传递由密钥参与完成。
• 软件脆弱性：软件缺陷形成的可被利用实例；Krsul 定义基于访问控制，Bishop 定义基于状态（授权迁移可达非授权状态→脆弱状态）。
• AEF/ADF：实施功能确保只有允许的访问被执行；判决功能依访问请求+ADI+策略规则作判决。
• ACI/ADI：访问控制信息/判决时可用的部分或全部 ACI。
• 深度防御：分层多点安全技术体系架构，将防御能力分布至整个信息系统。

机制

• CWM 职责隔离链：TP 分为多个子过程 → 授权给不同 User → 防止合法用户非法操作 → 但子过程授权者间存在利益同盟时仍可能欺骗。
• Chinese Wall 判定：与主体曾访问信息同属一个公司数据集（墙内）可访问 → 属完全不同利益冲突组可访问 → 写的前提是未访问过其他公司数据集。
• 层间防御实例：外部和内部边界同时使用嵌套防火墙并配合入侵检测。
• 木桶机制：任一漏洞被发现 → 系统即可能成为攻击牺牲品 → 安全取决于最薄弱处。
• 扫描器机制：基于特征（知识/违规）扫描 → 依据特征库判断 → 关键在特征库规模与完善程度。

流程

1. 状态机模型工作 6 步：变量默认值安全 → 用户使用默认值 → 系统验证主体身份 → 确保变更不破坏安全 → 允许变更（STATE CHANGE）→ 循环重复。
2. 抗抵赖 4 阶段：证据生成（证据实体/可信第三方）→ 证据传输、存储及恢复 → 证据验证（证据使用者请求验证者验证）→ 解决纠纷（仲裁者裁定）。
3. 访问控制判决流：发起者发访问请求 → AEF 通知 ADF 需判决 → ADF 依据发起者/目标/访问请求三类 ADI + 策略规则 + 上下文 → 判决交 AEF 执行。
4. 软件脆弱性生命周期：引入（输入验证错误、权限检查错误、操作序列化错误、边界检出错误、设计缺陷等）→ 产生破坏效果（非法执行代码、非法修改目标、访问数据对象、拒绝服务）→ 修补 → 消失。

决策

选项	适用条件	代价
BLP 模型	需要机密性分级保护（军事/多级安全）	不保障完整性
Biba 模型	应用程序数据完整性保护	不管机密性
CWM	银行等事务处理系统	需审计能力支撑
Chinese Wall	存在利益冲突的多客户服务（投资银行等）	需行政规定+监控配套

分类体系

• 安全威胁针对对象 6 方面：物理环境、通信链路、网络系统、操作系统、应用系统、管理系统。
• 常见安全威胁 19 种：信息泄露、破坏信息完整性、拒绝服务、非法使用（非授权访问）、窃听、业务流分析、假冒、旁路控制、授权侵犯、特洛伊木马、陷阱门、抵赖、重放、计算机病毒、人员渎职、媒体废弃、物理侵入、窃取、业务欺骗。
• 安全模型分类：访问控制类（HRU 基本模型、MAC 强制、Chinese Wall、RBAC 角色）、机密性类（BLP）、完整性类（Biba、Clark-Wilson）、信息流类（非干扰性、非观察性）。
• 公认安全模型：状态机、BLP、Biba、Clark-Wilson、Chinese Wall、信息流、非干涉、格子、Brewer and Nash、Graham-Denning。
• OSI 五大类安全服务：鉴别、访问控制、数据机密性、数据完整性、抗抵赖。
• 信息系统安全体系三部分：技术体系（物理安全技术+系统安全技术）、组织机构体系（机构/岗位/人事）、管理体系（法律管理/制度管理/培训管理）。
• 信息系统安全体系分析模型 5 层实体：应用、存储、主机、网络、物理。
• 软件脆弱性 6 种分类法：ISOS（面向安全隐私）、PA（操作系统安全缺陷）、Landwehr（起因/时间/位置三维度）、Aslam（Unix 编码故障/突发故障+决策树）、Bishop（6 轴线：性质、引入时间、利用率、影响域、最小数量、来源）、IBM（Landwehr 框架扩充、面向检测工具开发者）。

判据

• BLP 四条规则：简单安全规则（低主体不可读高客体，No Read Up）；星属性（高主体不可写低客体，No Write Down）；强星属性（不允许对另一级别读写）；自主安全规则（访问控制矩阵定义自由存取）。
• Biba 三条规则：星完整性（低完整性主体不能写高完整性客体）；简单完整性（高完整性主体不能读低完整性客体）；调用属性（低完整性主体不能调用高级别客体的程序或服务）。
• Chinese Wall 两定理：定理 1——主体一旦访问过某客体，则只能访问同一公司数据集或不同利益组的客体；定理 2——一个利益冲突组中主体最多访问一个公司数据集。C/CD/COI 关系：每个 C 唯一对应一个 CD，每个 CD 唯一对应一个 COI，一个 COI 可含多个 CD。
• 数据库完整性设计 7 原则要点：静态约束入数据库模式、动态约束由应用实现；实体/引用完整性尽量应用；慎用触发器（非用不可用 Before 型语句级）；需求分析阶段定命名规范；细致测试防冲突；专职设计小组全程负责；用 CASE 工具。
• 安全管理三原则（人员制度）：多人负责、任期有限、职责分离。

案例

• 电子商务 RADIUS 系统安全设计：AAA 框架 + 三层架构（协议逻辑层/业务逻辑层/数据逻辑层），负载均衡解决大量并发丢包，代理转发实现 RADIUS 服务器间负载均衡。（18.8.1）
• 基于混合云的工业安全架构：智能工厂私有云+总部公有云；四层（设备/控制/设计管理/应用）；重点考虑设备、网络、控制、应用、数据 5 方面安全。（18.8.2）

数据

• 年份：TCSEC 橘皮书 1985（美国国防部）；BLP 1973；CWM 1987；Chinese Wall 由 Brewer 和 Nash 提出；CC 1993 编制，ISO/IEC 15408-1999 替代；IATF 1999（NSA）；IEC 61508-2010；WPDRRC 由"八六三"专家组提出。
• TCSEC 4 大类 7 等级；D 类基本无安全保护，C 类仅有安全保护措施，B 类以上实行强制存取控制，B1 以上才算安全产品。
• Landwehr 分类基于 50 余个软件安全缺陷样本。

易错点 / 边界情况

• BLP 与 Biba 口诀方向极易混：BLP 保机密性"下读上写"（No Read Up + No Write Down）；Biba 保完整性"上写下读禁止"（No Write Up + No Read Down）——恰好相反。
• Biba 主体访问低完整性客体是"可写不可读"，不是"既不可读也不可写"。
• Chinese Wall 是 MAC 的一种混合策略模型，但同时具有 DAC 属性（可选为谁工作），不要答成纯 MAC。
• WPDRRC 是中国提出的模型；PDRR/P2DR 是美国提出的经典模型——案例题常考"哪个是我国提出"。
• WPDRRC 三大要素中"人员是核心、策略是桥梁、技术是保证"，三者的角色定位不能互换。
• 安全模型对比表：PDR 与 PPDR 无恢复能力；PDRR 有恢复但无管理；MPDRR 加管理但无预警/反击；只有 WPDRRC 六项能力+管理全有。
• OSI 7 层中"除会话层外均可提供安全服务"，但最适合的是物理层、网络层、运输层、应用层——两个说法不矛盾，注意题目问法。
• 数据库完整性约束 6 类中，动态约束通常由应用软件实现，不靠 DBMS 模式。
• 触发器能实现全部 6 类完整性约束，但因性能开销大、多级触发难控制而要慎用。
• 脆弱性≠缺陷：每个脆弱性至少由一个缺陷引起，但一个缺陷可能不产生脆弱性；不同缺陷可导致相同脆弱性。
• 修补脆弱性的同时可能引入新的脆弱性，所以脆弱性问题长期存在。
• 软件脆弱性根本来源：开发中自觉或不自觉引入的逻辑错误。