導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 交通安全論文>>正文

操作系統(tǒng)安全測評(píng)及安全測試自動(dòng)化的研究

文檔作者：陳晨		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年07月13日
下載地址：點(diǎn)擊這里	文件大?。?4.24 MB 共80頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

部分內(nèi)容預(yù)覽 [文件共80頁]

本文件共80頁，只能預(yù)覽部分內(nèi)容，查看全部內(nèi)容需要下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?.24 MB 共80頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：論管道企業(yè)的車輛安全管理

上一篇：車輛載荷碾壓作用下管道的安全性測試與分析

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

北京交通大學(xué)
碩士學(xué)位論文
操作系統(tǒng)安全測評(píng)及安全測試自動(dòng)化的研究
姓名：陳晨
申請學(xué)位級(jí)別：碩士
專業(yè)：計(jì)算機(jī)軟件與理論
指導(dǎo)教師：翟高壽
20080601
摘要
摘要
隨著計(jì)算機(jī)與網(wǎng)絡(luò)技術(shù)的普及應(yīng)用，信息安全已經(jīng)成為關(guān)系到國家安全的關(guān)
鍵因素。操作系統(tǒng)是整個(gè)信息系統(tǒng)安全的基礎(chǔ)，如果不經(jīng)過安全測評(píng)，操作系統(tǒng)
的安全性就得不到保障。而且隨著我國操作系統(tǒng)研發(fā)的不斷發(fā)展，設(shè)計(jì)出有效的
安全測評(píng)自動(dòng)化工具已成為迫切的需求。
為了實(shí)現(xiàn)操作系統(tǒng)安全測評(píng)自動(dòng)化，首先要對(duì)操作系統(tǒng)安全測評(píng)方法進(jìn)行研
究，而信息安全測評(píng)標(biāo)準(zhǔn)在一定程度上體現(xiàn)了安全操作系統(tǒng)測評(píng)方法的基本思想。
本文概述了現(xiàn)有的安全測評(píng)標(biāo)準(zhǔn)，并且對(duì)現(xiàn)階段最完善的CC安全測評(píng)體系做了詳
細(xì)分析，得出了CC安全體系測評(píng)方法實(shí)施的基本要領(lǐng)和測評(píng)流程。
本文在操作系統(tǒng)安全測評(píng)自動(dòng)化的研究中，分析了國內(nèi)現(xiàn)有的安全測評(píng)自動(dòng)
化系統(tǒng)的設(shè)計(jì)方案，并在吸取了其優(yōu)點(diǎn)和融合了軟件測試自動(dòng)化方法的基礎(chǔ)上，
給出了改進(jìn)后的操作系統(tǒng)安全測評(píng)自動(dòng)化框架以及其中的技術(shù)難點(diǎn)和可能的解決
方案。
操作系統(tǒng)的安全測試是其安全測評(píng)的基礎(chǔ)和關(guān)鍵環(huán)節(jié)，而操作系統(tǒng)安全測試
自動(dòng)化系統(tǒng)本身就是一個(gè)龐大的系統(tǒng)。鑒于訪問控制機(jī)制是操作系統(tǒng)最為關(guān)鍵的
安全支撐機(jī)制，同時(shí)國內(nèi)自主研發(fā)的操作系統(tǒng)多基于Linux內(nèi)核，所以本文以Linux
系統(tǒng)的訪問控制機(jī)制為切入點(diǎn)，對(duì)操作系統(tǒng)安全測試自動(dòng)化進(jìn)行了探索和討論，
并設(shè)計(jì)和實(shí)現(xiàn)了Linux訪問控制安全測試自動(dòng)化工具。該工具可基于手動(dòng)編制的用
例轉(zhuǎn)化規(guī)則，自動(dòng)執(zhí)行XML語言描述的特定格式的訪問控制測試用例，判斷測試
結(jié)果，并給出測試報(bào)告。論文還給出了對(duì)該測試自動(dòng)化工具的討論。
論文最后對(duì)課題研究工作進(jìn)行了總結(jié)，并指出了改進(jìn)的方向。
關(guān)鍵詞：操作系統(tǒng)；安全測評(píng)；安全測試自動(dòng)化；Linux
分類號(hào)：TP316；TP309
ABSTRACT
Along with the widespread application of computer and network technology,
information security has become a key factor of national security．And the security of
entire information system is based on that of operating system．The evaluation of the
operating system Can assure that the security function fulfill their security needs．And as
the domestic development of operating system，design and implementation of the
automated security evaluation tools has become an urgent request．
To achieve the security evaluation automation，first we should study on the
evaluation methods of it．To a certain extent，the security evaluation methods are
expressed by the security evaluation cirterias，SO most of the secudy evaluation cirterias
have been introduced．In addition，the architecture of CC and the three documents of it
have been analysed，which has been recognized as the most developed criteria for
security evaluation．The principle of the CC security evaluation method and process of
the evaluation has been summarized．
In the study of achieving the automated security evaluation，two domestic typical
models of automated security evaluation system have been analysed．The design of an
improved security evaluation framework is given by learning from their advantages and
integrating of automated software testing methods，while related technical problems and
possible solutions are discussed．
Undoubtedly security evaluation is a key step for security evaluation，and the
automated security test system for an operating system huge system itself．Meanwhile
access control is an important component of operating systems．Moreover，the Linux
kernel is widely used by most research institutes and development teams．Therefore，
security test for Linux access control is focused on in our reseach．An automated
security test tool for Linux access control is designed and implemented．It can execute
the test cases，judge the running results of the test cases and provide test reports
automatically．All test cases should be writtern in special XML and they can be
translated into test command flows with mannually written rules．Elementary tests are
performed for the toll and the results are satisfactory．Finally,research works in this
dissertation are summarized and the future WOrks are discussed．
KEYWORDS：Operating System；Security Evaluation；Automated Security Test；Linux
CLASSN0：TP316：TP309
學(xué)位論文版權(quán)使用授權(quán)書
本學(xué)位論文作者完全了解北京交通大學(xué)有關(guān)保留、使用學(xué)位論文的規(guī)定。特
授權(quán)北京交通大學(xué)可以將學(xué)位論文的全部或部分內(nèi)容編入有關(guān)數(shù)據(jù)庫進(jìn)行檢索，
并采用影印、縮印或掃描等復(fù)制手段保存、匯編以供查閱和借閱。同意學(xué)校向國
家有關(guān)部門或機(jī)構(gòu)送交論文的復(fù)印件和磁盤。
(保密的學(xué)位論文在解密后適用本授權(quán)說明)
學(xué)位論文作者簽名：爵缸導(dǎo)師簽名：翟南壽
簽字日期：硎男年占月‘日簽字日期： 湘8年多月莎Et
獨(dú)創(chuàng)性聲明
獨(dú)創(chuàng)性聲明
本人聲明所呈交的學(xué)位論文是本人在導(dǎo)師指導(dǎo)下進(jìn)行的研究工作和取得的研
究成果，除了文中特別加以標(biāo)注和致謝之處外，論文中不包含其他人已經(jīng)發(fā)表或
撰寫過的研究成果，也不包含為獲得北京交通大學(xué)或其他教育機(jī)構(gòu)的學(xué)位或證書
而使用過的材料。與我一同工作的同志對(duì)本研究所做的任何貢獻(xiàn)均已在論文中作
了明確的說明并表示了謝意。
學(xué)位論文作者簽名： 侍崧IIIii=IIII：娜8年石月多日
75
致謝
在論文完成之際，謹(jǐn)向我尊敬的導(dǎo)師翟高壽副教授表示由衷的感謝!翟老師以
其廣博的知識(shí)、縝密的思維和嚴(yán)謹(jǐn)?shù)墓ぷ餮芯孔黠L(fēng)，在論文選題和整個(gè)寫作過程
中都給了我精心的指導(dǎo)和幫助，我的論文中凝聚了他大量的心血和汗水。翟老師
從學(xué)習(xí)上、生活上都給予了我無私的關(guān)懷，使我不僅學(xué)到了專業(yè)知識(shí)，還為我今
后的工作乃至人生積累了一筆寶貴的精神財(cái)富，使我受益終生!
衷心感謝實(shí)驗(yàn)室的各位同學(xué)，在課題進(jìn)行期間，他們給予了我很多技術(shù)方面
的幫助，同時(shí)對(duì)我的論文也提出了很多中肯的意見。感謝計(jì)算機(jī)學(xué)院的全體老師，
通過他們辛勤的教誨，使我的學(xué)識(shí)和素質(zhì)都得到了很大的提高。
感謝所有關(guān)心和幫助我的朋友和同學(xué)，特別是李耀東、王瑞昌、牛晗暉、張
宇峰、馬文琳等同學(xué)在課題研究和論文校對(duì)等方面給了我很多幫助，也正是我們
大家的共同探討、相互啟發(fā)、協(xié)同工作，才使課題得以順利進(jìn)行，并取得今天的
成績。最后，向所有關(guān)心我和幫助我的人表示最誠摯的謝意。
緒論
1．1 論文研究背景與意義
1 緒論
1．1．1信息安全與操作系統(tǒng)安全
隨著計(jì)算機(jī)與網(wǎng)絡(luò)技術(shù)的迅速普及，它們在給人們的工作、生活帶來便捷的
同時(shí)，也帶來了信息安全方面的威脅。黑客應(yīng)運(yùn)而生，信息安全事件也逐漸增多。
隨著黑客團(tuán)體的不斷成立和黑客技術(shù)的不斷普及，不僅越來越多的人成為攻擊者，
而且出于各種目的的攻擊行為絡(luò)繹不絕，部分黑客的惡意破壞攻擊行為嚴(yán)重影響
了社會(huì)的穩(wěn)定和發(fā)展，并且呈現(xiàn)出發(fā)生頻率和造成的破環(huán)程度有逐年激增的現(xiàn)象。
20世紀(jì)60年代，MIT等人工智能實(shí)驗(yàn)室成為黑客初顯身手的舞臺(tái)。70年代，
一批當(dāng)年北美大學(xué)生運(yùn)動(dòng)的領(lǐng)袖，西海岸反越戰(zhàn)活動(dòng)的積極分子，爭民權(quán)的斗士
漸漸參加了黑客隊(duì)伍。黑客提倡了一場個(gè)人計(jì)算機(jī)革命，提出“計(jì)算機(jī)為人民所
用”的觀點(diǎn)。領(lǐng)頭人為蘋果公司創(chuàng)建人史蒂夫·喬布斯。黑客團(tuán)體的出現(xiàn)也使得安
全事件越來越多。由于入侵事件層出不窮，迫使美國1986年通過“計(jì)算機(jī)欺詐與
濫用法案"。一年后，17歲的高中生赫爾波特·齊恩被指控闖入美國電話電報(bào)公司
內(nèi)部網(wǎng)絡(luò)和中心交換系統(tǒng)，成為“計(jì)算機(jī)欺詐與濫用法案"生效后被判有罪的第
一人。
隨著黑客團(tuán)體的不斷成立和黑客技術(shù)的不斷普及，越來越多的人成為攻擊者，
包括大量中學(xué)生。如1979年，年僅15歲的凱文·米特尼克僅憑一臺(tái)電腦和一部調(diào)
制解調(diào)器闖入了北美空中防務(wù)指揮部的計(jì)算機(jī)主機(jī)。雖然部分黑客仍然帶有早期
黑客的騎士精神，但是更多的黑客可能會(huì)因?yàn)楦鞣N目的而發(fā)動(dòng)攻擊。
有因?yàn)檎文康亩l(fā)動(dòng)的攻擊，如1989年，5名西德電腦間諜入侵美國政府
和大學(xué)電腦網(wǎng)絡(luò)，并最終因間諜罪被逮捕起訴；1991年海灣戰(zhàn)爭期間的荷蘭黑客
入侵國防部；2006年7月美國國務(wù)院電腦遭到攻擊。
有為謀求個(gè)人非法經(jīng)濟(jì)利益的黑客攻擊，如：2003年2月Visa公司遭到入侵，
220個(gè)Visa卡和萬事達(dá)卡被竊；2006年5月，廣西柳州市黑客利用盜竊的個(gè)人隱
私敲詐；2006年8月，黑客攻入AT&amp;amp;T公司計(jì)算機(jī)系統(tǒng)并接入了數(shù)千用戶存儲(chǔ)于
在線商店的個(gè)人數(shù)據(jù)，這只是AT&amp;amp;T遭到眾多入侵中的一次，2005年至2006年，
AT&amp;amp;T約有9000萬人的個(gè)人數(shù)據(jù)被入侵。
有發(fā)泄個(gè)人不滿發(fā)動(dòng)的攻擊，如2006年6月對(duì)百度發(fā)動(dòng)的“分布式拒絕服務(wù)
北京交通人學(xué)碩士學(xué)位論文
攻擊”，甚至還有僅僅為炫耀技術(shù)而發(fā)動(dòng)的攻擊，如2005年4月黑客為招募仰慕
者對(duì)10個(gè)荊門市政府及1個(gè)醫(yī)院的網(wǎng)站發(fā)動(dòng)攻擊。
黑客入侵和攻擊會(huì)造成巨大的損失，如1988年，一名23歲的黑客編制的病
毒感染了美國6000多臺(tái)計(jì)算機(jī)，造成直接經(jīng)濟(jì)損失9600萬美元；而據(jù)估計(jì)，僅
在2005年，全球由于黑客入侵和攻擊造成的損失超過1000億美元。大量發(fā)生的
入侵和攻擊事件在造成了巨大損失的同時(shí)，也阻礙了信息技術(shù)的進(jìn)一步應(yīng)用，國
內(nèi)電子商務(wù)的發(fā)展和應(yīng)用進(jìn)展緩慢就是一個(gè)例證。
于是越來越多的人開始關(guān)注信息安全，關(guān)注怎樣保證信息安全。下面我們要
對(duì)上述信息安全的威脅進(jìn)行分析。
按照這些安全威脅的目的可以對(duì)它們?nèi)缦聞澐郑?
·竊取信息：數(shù)據(jù)被未經(jīng)授權(quán)的主體獲得；
·破壞完整性：數(shù)據(jù)被未經(jīng)授權(quán)主體創(chuàng)建、修改或刪除；
· 非法使用：數(shù)據(jù)被未經(jīng)授權(quán)主體使用；
·破壞可用性：提供給授權(quán)主體的數(shù)據(jù)或資源被蓄意阻止或延遲。
為了實(shí)現(xiàn)上述的攻擊目標(biāo)，攻擊者可能采取多種手段來實(shí)施。常見攻擊手段
主要可以分為以下幾種：
·假冒：偽裝成另外一個(gè)不同的主體；
·越權(quán)：利用系統(tǒng)安全漏洞，超越所授權(quán)限而進(jìn)行操作；
·木馬：在系統(tǒng)中植入能夠截獲數(shù)據(jù)或系統(tǒng)操作的代碼段；
· 后門：在系統(tǒng)中秘密開設(shè)能獲得較高權(quán)限的機(jī)關(guān)；
·拒絕服務(wù)攻擊：破壞系統(tǒng)的工作，阻礙其提供正常服務(wù)；
·破壞審計(jì)數(shù)據(jù)：破壞審計(jì)數(shù)據(jù)以逃避追蹤。
這里列出的信息安全威脅都是指應(yīng)計(jì)算機(jī)系統(tǒng)中的信息安全威脅。按威脅目
的劃分中的竊取信息威脅是對(duì)計(jì)算機(jī)系統(tǒng)中的操作系統(tǒng)層的威脅，對(duì)主體的授權(quán)
是操作系統(tǒng)訪問控制機(jī)制提供的服務(wù)，同樣破壞完整性、非法使用和破壞可用性
都是操系統(tǒng)層的威脅，所以從信息安全威脅的角度分析，我們必須先從保證操作
系統(tǒng)安全來保證信息的安全。從攻擊手段的角度分析，主體的標(biāo)識(shí)鑒別、審計(jì)是
操作系統(tǒng)提供的服務(wù)，系統(tǒng)安全漏洞是操作系統(tǒng)安全功能的不完善造成的，截獲
系統(tǒng)調(diào)用、在系統(tǒng)中設(shè)立后門也是操作系統(tǒng)層的威脅，所以保證操作的安全性同
樣是保證信息安全的首要任務(wù)。
從計(jì)算機(jī)系統(tǒng)結(jié)構(gòu)的角度分析，也必須先保證操作系統(tǒng)的安全。因?yàn)椴僮飨?
統(tǒng)是連接計(jì)算機(jī)硬件與上層軟件及用戶的橋梁，它的安全性是至關(guān)重要的。在信
息系統(tǒng)安全涉及的眾多內(nèi)容中，操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的安全問
題是核心所在。運(yùn)行狀態(tài)下的計(jì)算機(jī)系統(tǒng)層次結(jié)構(gòu)如圖1-1所示，從中不難看出，
2
緒論
操作系統(tǒng)承擔(dān)著整個(gè)軟件系統(tǒng)及用戶與硬件之間的橋梁紐帶作用。作為計(jì)算機(jī)軟
硬件資源的管理者，操作系統(tǒng)控制著整個(gè)計(jì)算機(jī)系統(tǒng)的運(yùn)行，它直接和硬件打交
道并為用戶提供接口，是計(jì)算機(jī)軟件的運(yùn)行基礎(chǔ)和核心。數(shù)據(jù)庫管理系統(tǒng)是建立
在操作系統(tǒng)之上的，如果沒有安全操作系統(tǒng)的支持，就不可能保障其訪問控制的
安全可信性。在網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)安全依賴于各主機(jī)系統(tǒng)的安全可信性，沒有操
作系統(tǒng)的安全，就談不上主機(jī)系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)的安全性。同樣，計(jì)算機(jī)應(yīng)用軟件
都建立在操作系統(tǒng)之上，唯有通過安全操作系統(tǒng)才能實(shí)現(xiàn)它們對(duì)系統(tǒng)中有關(guān)信息
的安全存取與處理。因此，操作系統(tǒng)的安全是整個(gè)計(jì)算機(jī)系統(tǒng)安全的基礎(chǔ)，沒有
操作系統(tǒng)的安全，就不可能真正解決數(shù)據(jù)庫安全、網(wǎng)絡(luò)安全和其他應(yīng)用軟件的安
全問題。
應(yīng)用程序用戶
運(yùn)行支持系統(tǒng)
操作系統(tǒng)
孝7 “一”i
i 計(jì)算機(jī)硬件即指令系統(tǒng)l
№；|_。一t 一，
。‘ @
圖1-1計(jì)算機(jī)系統(tǒng)運(yùn)行時(shí)的層次結(jié)構(gòu)
Figure 1-1 Structure of the Running Computer System
由此，安全操作系統(tǒng)的研究引起了研究機(jī)構(gòu)的重視。20世紀(jì)60年代中期，美
國貝爾實(shí)驗(yàn)室和麻省理工學(xué)院聯(lián)合開發(fā)了一個(gè)名為Multics的操作系統(tǒng)，這是被計(jì)
算機(jī)界認(rèn)同的首個(gè)安全操作系統(tǒng)。以此為始，全球計(jì)算機(jī)界對(duì)安全操作系統(tǒng)的研
究和開發(fā)工作迅速開展起來。
1．1．2安全操作系統(tǒng)的發(fā)展
安全操作系統(tǒng)與操作系統(tǒng)安全的含義不盡相同，操作系統(tǒng)安全表達(dá)的是對(duì)操
作系統(tǒng)的安全需求，而安全操作系統(tǒng)是指其安全性有所保障的操作系統(tǒng)。但二者
又是統(tǒng)一的和密不可分的，因?yàn)樗鼈兯P(guān)注的都是操作系統(tǒng)的安全性。安全操作
系統(tǒng)通常與一定的安全等級(jí)相對(duì)應(yīng)，例如，根據(jù)TCSEC標(biāo)準(zhǔn)，通常稱B1級(jí)以上的
操作系統(tǒng)為安全操作系統(tǒng)。
從20世紀(jì)60年代開始，安全操作系統(tǒng)引起了研究機(jī)構(gòu)的重視，至今，人們
己經(jīng)在這個(gè)領(lǐng)域付出了40余年的努力，開展了大量的工作，取得了豐富的成果，
安全操作系統(tǒng)理論和實(shí)現(xiàn)技術(shù)伴隨著操作系統(tǒng)和安全理論的發(fā)展而不斷完善。根
3
北京交通大學(xué)碩十學(xué)位論文
據(jù)研究與開發(fā)工作及其相應(yīng)的技術(shù)成果的特點(diǎn)大致可被分為四個(gè)發(fā)展階段【8】：奠基
時(shí)期、食譜時(shí)期、多策略時(shí)期和動(dòng)態(tài)策略時(shí)期，下面分別予以簡單介紹。
奠基時(shí)期：從1965年歷史上的第一個(gè)安全操作系統(tǒng)Multics誕生到20世紀(jì)
80年代術(shù)期，安全操作系統(tǒng)經(jīng)歷了從無到有的探索過程，安全操作系統(tǒng)的基本思
想和理論及研究方法逐步建立。其中由J．EAnderson提出的引用監(jiān)控機(jī)、引用驗(yàn)證
機(jī)制、安全核和安全建模等重要思想，為安全操作系統(tǒng)的開發(fā)奠定了重要的基礎(chǔ)。
食譜時(shí)期：食譜時(shí)期始于1983年美國的TCSEC(Trusted Computer System
Evaluation Criteria，可信計(jì)算機(jī)系統(tǒng)評(píng)測標(biāo)準(zhǔn))標(biāo)準(zhǔn)頒布之時(shí)。TCSEC，又稱橙皮
書，是歷史上第一個(gè)，也是著名的可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn)，它為安全系統(tǒng)指定
的是一個(gè)單一的系統(tǒng)安全策略，諸如自主訪問控制和強(qiáng)制訪問控制等。這個(gè)時(shí)期
的安全操作系統(tǒng)開發(fā)幾乎都以TCSEC為范型，主要研究成果有AXIOM技術(shù)公司
的LINUS IV系統(tǒng)、美國貝爾實(shí)驗(yàn)室的SystemV／MLS系統(tǒng)和加拿大多倫多大學(xué)的
安全TUNIS系統(tǒng)等。
多策略時(shí)期：隨著90年代初Internet的影響的迅速擴(kuò)大，分布式應(yīng)用的迅速
普及，單一安全策略的范型已不能滿足對(duì)安全策略需求多種多樣的現(xiàn)實(shí)應(yīng)用。1993
年，美國國防部在TAFIM(Technical Architecture for Information Management)計(jì)
劃中推出新的安全體系結(jié)構(gòu)DGSA(DoD Goal SecurityArchitecture)來對(duì)多種安全
政策提供支持，這促使安全操作系統(tǒng)研究進(jìn)入了一個(gè)新的時(shí)期——多策略時(shí)期。
動(dòng)態(tài)策略時(shí)期：策略靈活性是動(dòng)態(tài)策略時(shí)期的重要特征。這個(gè)時(shí)期安全操作
系統(tǒng)研發(fā)的特點(diǎn)是使安全操作系統(tǒng)支持多種安全策略的動(dòng)態(tài)變化，從而實(shí)現(xiàn)安全
政策的多樣性和靈活性。1999年Flask安全體系結(jié)構(gòu)的誕生是動(dòng)態(tài)策略時(shí)期的帷幕
徐徐打開的標(biāo)志。目前比較流行的Linux安全操作系統(tǒng)SE．Linux就是由NAS
(National Security Agency，美國國家安全安全局)和NAI(網(wǎng)絡(luò)伙伴公司)實(shí)驗(yàn)
室的基于Flask合作研制的。
相對(duì)來說，中國的安全操作系統(tǒng)研究起步比較晚。以Linux為代表的自由軟件
在中國的廣泛流行對(duì)中國安全操作系統(tǒng)的研究與開發(fā)具有積極的推動(dòng)作用。Linux
操作系統(tǒng)性能優(yōu)良且源代碼開放。鑒于此，國內(nèi)諸多有識(shí)之士、學(xué)者及研究機(jī)構(gòu)
就安全操作系統(tǒng)的相關(guān)理論及基于Linux的安全操作系統(tǒng)的開發(fā)進(jìn)行了深入的研
究，并在體系結(jié)構(gòu)、安全模型、系統(tǒng)構(gòu)建、安全測評(píng)等方面取得一定的成果。其
中比較突出的有中國科學(xué)院軟件所的9即斯?jié)h老師帶領(lǐng)的實(shí)驗(yàn)室開發(fā)出的安全操作
系統(tǒng)——安勝，中國紅旗Linux公司推出的其自主研發(fā)的紅旗安全操作系統(tǒng)2．0。此
外，還有南京大學(xué)、中國計(jì)算機(jī)軟件與技術(shù)服務(wù)總公司等其它單位也以Linux為基
礎(chǔ)開展了安全操作系統(tǒng)的研究與開發(fā)工作。
4
緒論
1．1．3操作系統(tǒng)安全測評(píng)及其自動(dòng)化
操作系統(tǒng)安全測評(píng)的意義：
操作系統(tǒng)安全性測評(píng)是實(shí)現(xiàn)安全操作系統(tǒng)的一個(gè)極為重要的環(huán)節(jié)，如果不測
評(píng)、驗(yàn)證所開發(fā)操作系統(tǒng)的安全性和該安全性的可信度，那么開發(fā)出的該操作系
統(tǒng)的安全性就沒有保證，從而增加了它的應(yīng)用風(fēng)險(xiǎn)。所以操作系統(tǒng)安全測評(píng)和操
作系統(tǒng)的設(shè)計(jì)開發(fā)一樣重要。操作系統(tǒng)安全測試是安全測評(píng)的基礎(chǔ)，操作系統(tǒng)安
全測評(píng)是建立在安全功能測試上對(duì)操作系統(tǒng)的安全性給出的評(píng)價(jià)。
美國國防部于1979年6月25日發(fā)布了世界上第一個(gè)計(jì)算機(jī)安全標(biāo)準(zhǔn)——軍
標(biāo)DoD5200．28．M，標(biāo)志著操作系統(tǒng)安全測評(píng)領(lǐng)域的開端。從這以后操作系統(tǒng)安全
的研究人員不僅致力于安全操作系統(tǒng)的開發(fā)，而且致力于操作系統(tǒng)安全的測評(píng)。
安全測評(píng)與安全測試的關(guān)系：
操作系統(tǒng)的安全測評(píng)是指對(duì)操作系統(tǒng)的安全性給出評(píng)估結(jié)果，測評(píng)是針對(duì)操
作系統(tǒng)這個(gè)整體來說的。安全測評(píng)應(yīng)該由有測評(píng)資質(zhì)的第三方完成實(shí)施。安全測
試是針對(duì)操作系統(tǒng)的具體安全功能來說的，它一方面是安全操作系統(tǒng)測評(píng)的一個(gè)
極為重要的環(huán)節(jié)，即由開發(fā)方進(jìn)行的安全功能測試，另一方面它是操作系統(tǒng)測評(píng)
的基礎(chǔ)，即由第三方測評(píng)人員進(jìn)行的操作系統(tǒng)安全功能測試。
操作系統(tǒng)安全測評(píng)和安全測試的研究現(xiàn)狀：
操作系統(tǒng)安全測評(píng)方法的研究成果主要是由個(gè)別權(quán)威機(jī)構(gòu)提出的安全測評(píng)標(biāo)
準(zhǔn)中體現(xiàn)出的測評(píng)方法，對(duì)安全測評(píng)的研究體現(xiàn)在測評(píng)標(biāo)準(zhǔn)的制定、更新和完善
上。
國外對(duì)操作系統(tǒng)的安全測試的研究主要集中在對(duì)安全策略的分析、驗(yàn)證、測
試【14】，安全策略的實(shí)施仍然依賴于操作系統(tǒng)基本的安全功能的基礎(chǔ)上，而國外對(duì)
操作系統(tǒng)安全功能測試的研究很少。
由于開源的Linux系統(tǒng)的推動(dòng)，從上個(gè)世紀(jì)末開始國內(nèi)操作系統(tǒng)自主研發(fā)工作
蓬勃的展開。開發(fā)方為了使這些操作系統(tǒng)被采購和真正投入使用，就必須進(jìn)行測
評(píng)，于是國內(nèi)也逐漸開始了對(duì)操作系統(tǒng)測評(píng)的研究，并且制定了安全測評(píng)的國家
標(biāo)準(zhǔn)。由于國內(nèi)和國外在安全測評(píng)領(lǐng)域還有一定的差距，國內(nèi)的安全標(biāo)準(zhǔn)都是參
照國際標(biāo)準(zhǔn)建立的。
國內(nèi)對(duì)操作系統(tǒng)安全測試的研究還處于起步階段，沒有理論化的測試方法，
大多是嘗試性的實(shí)踐。
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究現(xiàn)狀：
安全測評(píng)本身就是一個(gè)是一個(gè)非常大的課題，安全測評(píng)自動(dòng)化系統(tǒng)則更加龐
大。國外對(duì)安全測評(píng)自動(dòng)化的研究極少，有關(guān)測試自動(dòng)化的研究大都是針對(duì)軟件
5
北京交通大學(xué)碩十學(xué)位論文
測試的。而且計(jì)算機(jī)安全是較為敏感的領(lǐng)域，公開的操作系統(tǒng)安全測試方法的資
料也較少。
操作系統(tǒng)安全測試多由生產(chǎn)商完成，整個(gè)測試過程是很昂貴的，而且基本均
依靠手工來完成，往往需幾年的時(shí)間。軟件測試中的自動(dòng)化測試已經(jīng)有較長時(shí)間
的應(yīng)用歷史，而在安全操作系統(tǒng)測評(píng)領(lǐng)域，手工測評(píng)仍然是最主要的測評(píng)方式。
所以對(duì)操作系統(tǒng)測試自動(dòng)化是一項(xiàng)重要而且有意義的工作。
國內(nèi)一些學(xué)者對(duì)操作系統(tǒng)測評(píng)自動(dòng)化給出一些設(shè)計(jì)方案，但離最終的實(shí)現(xiàn)還
有一定的距離。
1．2論文研究內(nèi)容
本文的研究內(nèi)容主要包括以下三個(gè)方面：
(1)概述了現(xiàn)有的安全測評(píng)標(biāo)準(zhǔn)，并對(duì)整個(gè)CC安全測評(píng)體系做了詳細(xì)的分
析，總結(jié)了CC安全體系測評(píng)方法的基本要領(lǐng)。
(2)分析了國內(nèi)兩種典型的安全測評(píng)自動(dòng)化系統(tǒng)的設(shè)計(jì)方法，對(duì)其優(yōu)缺點(diǎn)做
了總結(jié)，通過吸取這些系統(tǒng)的優(yōu)點(diǎn)和融合了軟件測試自動(dòng)化方法本文給出了改進(jìn)
后的安全測評(píng)自動(dòng)化框架設(shè)計(jì)，以及技術(shù)難點(diǎn)和解決方案。
(3)以Linux系統(tǒng)訪問控制安全為切入點(diǎn)，對(duì)操作系統(tǒng)安全測評(píng)自動(dòng)化進(jìn)行
了探索，并設(shè)計(jì)和實(shí)現(xiàn)了Linux訪問控制安全測試自動(dòng)化工具。在人工編制用例轉(zhuǎn)
化規(guī)則的基礎(chǔ)上，該工具可以實(shí)現(xiàn)自動(dòng)執(zhí)行XML語言描述的特定格式的訪問控制
安全測試用例，測試結(jié)果判斷和給出測試報(bào)告。
本論文工作及課題得到國家973項(xiàng)目“信息與網(wǎng)絡(luò)安全體系結(jié)構(gòu)研究”(項(xiàng)目
編號(hào)G1999035801)之子課題“操作系統(tǒng)安全評(píng)測平臺(tái)的研究’’及北京交通大學(xué)
?？萍蓟稹鞍踩僮飨到y(tǒng)測評(píng)自動(dòng)化研究"(項(xiàng)目編號(hào)K06J0070)的支持。
1．3論文組織結(jié)構(gòu)
本論文分為五章，其結(jié)構(gòu)為：
第一章，緒論，介紹本課題的研究背景意義和研究現(xiàn)狀，本論文的研究內(nèi)容，
以及論文各部分的組織結(jié)構(gòu)。
第二章，操作系統(tǒng)安全測評(píng)的研究，本章概述了現(xiàn)有的安全測評(píng)標(biāo)準(zhǔn)，并著
重分析了CC安全測評(píng)體系，總結(jié)了CC安全體系測評(píng)方法的基本要領(lǐng)和測評(píng)流程。
第三章，操作系統(tǒng)安全測評(píng)自動(dòng)化的研究，本章在總結(jié)已有的安全測評(píng)自動(dòng)
化系統(tǒng)設(shè)計(jì)方法，對(duì)其優(yōu)缺點(diǎn)做了總結(jié)，在吸取其優(yōu)點(diǎn)和融合了軟件測試自動(dòng)化
6
緒論
方法的基礎(chǔ)上，給出了改進(jìn)的安全測評(píng)自動(dòng)化框架設(shè)計(jì)，以及技術(shù)難點(diǎn)和解決方
案。
第四章，Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)，本章以Linux系
統(tǒng)訪問控制安全為切入點(diǎn)，對(duì)操作系統(tǒng)安全測評(píng)自動(dòng)化進(jìn)行了實(shí)踐，設(shè)計(jì)和實(shí)現(xiàn)
了Linux訪問控制安全測試自動(dòng)化工具，并對(duì)其進(jìn)行了討論。
第五章，結(jié)束語，包含了對(duì)論文的工作和研究成果進(jìn)行總結(jié)和歸納，對(duì)Linux
安全測試自動(dòng)化的下一步工作進(jìn)行了展望。
7
操作系統(tǒng)安全測評(píng)的研究
2操作系統(tǒng)安全測評(píng)的研究
操作系統(tǒng)安全測評(píng)是較為前沿的研究領(lǐng)域，還沒有形成完整的理論體系，而
且只有了解了安全測評(píng)的方法和過程才有可能實(shí)現(xiàn)安全測評(píng)的自動(dòng)化，因此應(yīng)該
先對(duì)操作系統(tǒng)安全測評(píng)進(jìn)行分析研究。
2．1 安全測評(píng)標(biāo)準(zhǔn)
安全測評(píng)標(biāo)準(zhǔn)是安全操作系統(tǒng)測評(píng)方法的體現(xiàn)，安全測評(píng)標(biāo)準(zhǔn)的發(fā)展歷程也
就是安全測評(píng)方法發(fā)展的過程。為了更好的探討和理解安全操作系統(tǒng)的測評(píng)方法，
我們有必要對(duì)安全測評(píng)標(biāo)準(zhǔn)發(fā)展過程中重要的測評(píng)標(biāo)準(zhǔn)做簡要的說明。
2．1．1 DoD5200．28．M
美國國防部1979年6月25日發(fā)布的軍標(biāo)DoD5200．28．M為計(jì)算機(jī)安全系統(tǒng)
定義了四種不同的運(yùn)行安全模式：受控的安全模式、自主安全模式、多級(jí)安全模
式、強(qiáng)制安全模式。DoD5200．28．M是世界上第一個(gè)計(jì)算機(jī)安全標(biāo)準(zhǔn)，對(duì)計(jì)算機(jī)系
統(tǒng)提出了一系列安全要求，旨在防止對(duì)系統(tǒng)意外或惡意侵害，并提供侵害日志記
錄。
2．1．2 TCSEC
1983年，美國國防部頒布了歷史上第一個(gè)計(jì)算機(jī)安全評(píng)價(jià)標(biāo)準(zhǔn)，這就是著名
的可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn)，簡稱TCSECI剮，又稱橙皮書。1985年，美國國防部
對(duì)TCSEC進(jìn)行了修訂。
如圖2．1所示，TCSEC定義了7個(gè)等級(jí)(D，C1，C2，B1，B2，B3，A1)
組成的4個(gè)類別，類A中的級(jí)別A1是最高安全級(jí)別，類D中的級(jí)別D1是最低安
全級(jí)別。類別用來度量提供安全保護(hù)的程度，每一個(gè)級(jí)別和類別都是在前一個(gè)基
礎(chǔ)上增加條款形成的。TCSEC還給出了與安全政策、責(zé)任、保障和文檔相關(guān)的27
條明確可操作的評(píng)估準(zhǔn)則，并給出了TCSEC的測試需求。TCSEC準(zhǔn)則的原理是：
在Cl級(jí)別設(shè)立基本安全要求，然后在高安全級(jí)別的每一層都加入新的需求。TCSEC
引入了“可信計(jì)算機(jī)基(TCB)"和“安全內(nèi)核(或引用監(jiān)視器)"兩個(gè)重要概念，
TCB是硬件、固件和實(shí)施某項(xiàng)安全政策的軟件的組合表示，是安全機(jī)制的抽象；
9
北京交通大學(xué)碩士學(xué)位論文
“安全內(nèi)核(或引用監(jiān)視器)”是硬件、固件和軟件的組合，該軟件不僅實(shí)現(xiàn)訪問
控制功能而且保護(hù)自己免受篡改，“安全內(nèi)核”實(shí)現(xiàn)了系統(tǒng)安全政策的強(qiáng)制訪問控
制功能，是安全機(jī)制的具體實(shí)現(xiàn)。TCSEC要求安全模型A1級(jí)別的設(shè)計(jì)必須通過
形式化的數(shù)學(xué)證明，形式化的安全模型在今天仍然具有其重要性，形式化可用于
安全系統(tǒng)的需求說明和設(shè)計(jì)驗(yàn)證。
支全牛
D：最小保護(hù)
cl：白主安令保護(hù)
C2：受控訪問保護(hù)
Bl：標(biāo)記安傘保護(hù)
B2：結(jié)構(gòu)化保護(hù)
B3：安傘域
Al：驗(yàn)汗的沒汁
圖2-1 TCSEC的構(gòu)成與等級(jí)結(jié)構(gòu)
Figure 2-1 Structure of security levels for TCSEC
TCSEC的初衷主要針對(duì)集中式計(jì)算的分時(shí)多用戶操作系統(tǒng)，這套計(jì)算機(jī)安全
的規(guī)范與測試評(píng)估標(biāo)準(zhǔn)發(fā)布之后不久，人們就發(fā)現(xiàn)很難將橙皮書應(yīng)用于網(wǎng)絡(luò)(分
布式)或數(shù)據(jù)庫管理系統(tǒng)(客戶服務(wù)器結(jié)構(gòu))。當(dāng)分布式處理形成規(guī)范時(shí)，美國國
防部又頒布了對(duì)橙皮書的附加說明和解釋，提高了TCSEC標(biāo)準(zhǔn)的實(shí)用范圍。
2．1．3 GBl7859。1999
我國強(qiáng)制性國家標(biāo)準(zhǔn)——《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》(GB
17859．1999)120】是在參考美國的TCSEC、可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則
(DoD5200．28．STD)和I n-J"信計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)。既N(NCSC．TG．005)的基礎(chǔ)上，從自主訪
問控制、強(qiáng)制訪問控制、標(biāo)記、身份鑒別、客體重用、審計(jì)、數(shù)據(jù)完整性、隱蔽
信道分析、可信路徑和可信恢復(fù)等10個(gè)方面來將計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃
分為五個(gè)安全等級(jí)。第一級(jí)：用戶自主保護(hù)級(jí)；第二級(jí)：系統(tǒng)審計(jì)保護(hù)級(jí)；第三
級(jí)：安全標(biāo)記保護(hù)級(jí)；第四級(jí)：結(jié)構(gòu)化保護(hù)級(jí)；第五級(jí)：訪問驗(yàn)證保護(hù)級(jí)。以下
簡要介紹五個(gè)安全級(jí)的基本特點(diǎn)。
用戶自主保護(hù)級(jí)的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基通過隔離用戶與數(shù)據(jù)，使用戶
具備自主安全保護(hù)的能力。安全機(jī)制包括自主訪問控制、身份鑒別、數(shù)據(jù)完整性。
與用戶自主保護(hù)級(jí)相比，系統(tǒng)審計(jì)保護(hù)級(jí)的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基實(shí)施
10
操作系統(tǒng)安全測評(píng)的研究
了粒度更細(xì)的自主訪問控制，它通過登錄規(guī)程、審計(jì)安全性相關(guān)事件和隔離資源，
使用戶對(duì)自己的行為負(fù)責(zé)。安全機(jī)制包括自主訪問控制、身份鑒別、客體重用、
審計(jì)、自主數(shù)據(jù)完整性策略。
安全標(biāo)記保護(hù)級(jí)的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基具有系統(tǒng)審計(jì)保護(hù)級(jí)的所有功
能。此外，還需提供有關(guān)安全策略模型、數(shù)據(jù)標(biāo)記以及主體對(duì)客體強(qiáng)制訪問控制
的非形式化描述，具有準(zhǔn)確地標(biāo)記輸出信息的能力，消除通過測試發(fā)現(xiàn)的任何錯(cuò)
誤。安全機(jī)制包括自主訪問控制、強(qiáng)制訪問控制、標(biāo)記、身份鑒別、客體重用、
審計(jì)、自主和強(qiáng)制數(shù)據(jù)完整性策略。
結(jié)構(gòu)化保護(hù)級(jí)的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基建立于一個(gè)明確定義的形式化安
全策略模型之上，它要求將第三級(jí)系統(tǒng)中的自主和強(qiáng)制訪問控制擴(kuò)展到所有主體
與客體。此外，還要考慮隱蔽通道。本級(jí)的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基必須結(jié)構(gòu)
化為關(guān)鍵保護(hù)元素和非關(guān)鍵保護(hù)元素；計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基的接口也必須
明確定義，使其設(shè)計(jì)與實(shí)現(xiàn)能經(jīng)受更充分的測試和更完整的復(fù)審；加強(qiáng)了鑒別機(jī)
制，支持系統(tǒng)管理員和操作員的職能，提供可信設(shè)施管理，增強(qiáng)了配置管理控制。
系統(tǒng)具有相當(dāng)?shù)目節(jié)B透能力。安全機(jī)制包括自主訪問控制、強(qiáng)制訪問控制、標(biāo)記、
身份鑒別、客體重用、審計(jì)、自主和強(qiáng)制數(shù)據(jù)完整性策略、隱蔽通道分析、可信
路徑。
訪問驗(yàn)證保護(hù)級(jí)的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基滿足訪問監(jiān)控器需求。訪問監(jiān)
控器仲裁主體對(duì)客體的全部訪問。訪問監(jiān)控器本身是抗篡改的，必須足夠小，能
夠分析和測試。為了滿足訪問監(jiān)控器需求，計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基在其構(gòu)造
時(shí)，排除那些對(duì)實(shí)施安全策略來說并非必要的代碼，在設(shè)計(jì)和現(xiàn)實(shí)時(shí)，從系統(tǒng)工
程角度將其復(fù)雜性降低到最小程度；支持安全管理員職能，擴(kuò)充審計(jì)機(jī)制，當(dāng)發(fā)
生與安全相關(guān)的事件時(shí)發(fā)出信號(hào)；提供系統(tǒng)恢復(fù)機(jī)制；系統(tǒng)具有很高的抗?jié)B透能
力。安全機(jī)制包括自主訪問控制、強(qiáng)制訪問控制、標(biāo)記、身份鑒別、客體重用、
審計(jì)、自主和強(qiáng)制數(shù)據(jù)完整性策略、隱蔽通道分析、可信路徑、可信恢復(fù)。
2．1．4 ITSEC、CTCPEC及FC
TCSEC測評(píng)標(biāo)準(zhǔn)應(yīng)用于非操作系統(tǒng)類以及測評(píng)標(biāo)準(zhǔn)的分級(jí)比較困難。因?yàn)樗?
要求安全產(chǎn)品為了達(dá)到某個(gè)評(píng)估級(jí)別，底層操作系統(tǒng)必須完全滿足相應(yīng)的功能要
求。新范式的思想就是將通信保密和計(jì)算機(jī)安全合為一體，通稱為信息安全，用
于保護(hù)信息免受偶然或惡意的非法泄密、轉(zhuǎn)移或破壞，這就是80年代末出現(xiàn)的
ITSEC。ITSEC將安全性要求分為“功能’’和“保證’’兩部分。其中，“功能”指
為滿足安全需求而采取的一系列技術(shù)安全措施，如訪問控制、審計(jì)、鑒別、數(shù)字
北京交通人學(xué)碩士學(xué)位論文
簽名等；“保證"指確?！肮δ堋闭_實(shí)現(xiàn)及其有效性的安全措施。
ITSEC根據(jù)保證要求定義了七個(gè)評(píng)估級(jí)別：E0到E6。其中E1到E5為：
●E1：測試：
·E2：配置控制和可控交付；
·E3-能訪問詳細(xì)設(shè)計(jì)和源碼；
◆E4：詳細(xì)的脆弱性分析；
●E4：設(shè)計(jì)與源碼明顯對(duì)應(yīng)；
●E5：設(shè)計(jì)與源碼在形式上一致；
功能要求在測定上分F1到F10共10級(jí)。1至5級(jí)對(duì)應(yīng)于TCSEC的D到A，
6．10級(jí)加上了以下概念：
·F6：數(shù)據(jù)和程序的完整性；
·F7：系統(tǒng)可用性；
●F8：數(shù)據(jù)通信完整性；
●F9：數(shù)據(jù)通信保密性；
·F10；包括機(jī)密性和完整性的網(wǎng)絡(luò)安全。
加拿大可信計(jì)算機(jī)產(chǎn)品評(píng)估準(zhǔn)則CTCPEC verl．0于1989年公布，專為政府需
求而設(shè)計(jì)。CTCPEC將安全分為功能性要求和保證性要求兩部分。功能性要求分
為機(jī)密性、完整性、可用性、可控性等四個(gè)大類。在每種安全要求下又分成多級(jí)，
用于表示安全性上的差別，并按程度不同分為0．5級(jí)。
FC基于MSFR和加拿大的CTCPEC，其中MSFR是FC針對(duì)TCSEC的C2
級(jí)要求提出了適用于商業(yè)組織和政府部門的最小安全功能要求。在此標(biāo)準(zhǔn)中首先
引入了“保護(hù)輪廓(PP)”這一重要概念，每個(gè)保護(hù)輪廓都包括功能部分、開發(fā)保
證部分和評(píng)測部分，規(guī)定了信息產(chǎn)品或系統(tǒng)的技術(shù)要求。主要供美國政府使用、
民用和商用。
2．1．5 CC(GB／T18336—2001)
進(jìn)入90年代中期，信息技術(shù)安全評(píng)估通用標(biāo)準(zhǔn)CCtll產(chǎn)生，CC是加拿大、法
國、德國、荷蘭、英國和美國六個(gè)國家共同努力的成果。CC標(biāo)準(zhǔn)是現(xiàn)階段最完善
的信息技術(shù)安全性評(píng)估準(zhǔn)則。
CC標(biāo)準(zhǔn)將信息技術(shù)安全要求分為“功能”和“保證"兩大部分。“功能要求"
是希望對(duì)產(chǎn)品提供的安全功能或特征的描述，“保證要求”能夠讓用戶相信功能要
求能夠得到滿足，這與許多國際標(biāo)準(zhǔn)中的區(qū)分相類似。CC定義了安全功能要求的
類、族和組件結(jié)構(gòu)劃分，提出了常見的安全功能要求的11個(gè)功能類的135個(gè)功能
12
操作系統(tǒng)安全測評(píng)的研究
組件，給CC標(biāo)準(zhǔn)的使用者提供直接的參考。用戶可以從該結(jié)構(gòu)中選擇合適的組件
來定義他們對(duì)產(chǎn)品的安全功能要求，編制PP；開發(fā)人員可以選擇適當(dāng)組件定義產(chǎn)
品的安全功能，編制ST；測評(píng)人員同樣可以選擇適當(dāng)?shù)慕M件定義測評(píng)內(nèi)容，編制
包。CC的這種結(jié)構(gòu)形式使得制定標(biāo)準(zhǔn)是具有很好的結(jié)構(gòu)性和可操作性。標(biāo)準(zhǔn)起草
人僅對(duì)部分組件提出了詳細(xì)的具體的規(guī)范，對(duì)不能詳盡規(guī)范的組件只提出了初步
的規(guī)定，將組件的具體規(guī)范留給了標(biāo)準(zhǔn)使用者。CC也定義了安全保證要求的類、
族和部件的結(jié)構(gòu)劃分，用于保障rr產(chǎn)品或系統(tǒng)滿足它的安全目標(biāo)，安全保證需求
使用評(píng)估保證級(jí)別(EAL)進(jìn)行區(qū)別。
與早期的評(píng)估準(zhǔn)則相比，CC的特點(diǎn)體現(xiàn)在其結(jié)構(gòu)的開放性、表達(dá)方式的通用
性以及結(jié)構(gòu)和表達(dá)方式的內(nèi)在完備性和實(shí)用性四個(gè)方面。
CC的最基本思想是：基于可信的rr產(chǎn)品或系統(tǒng)評(píng)估，為用戶使用產(chǎn)品或系
統(tǒng)提供信心保證。下一節(jié)我們將對(duì)CC安全測評(píng)體系進(jìn)行詳細(xì)分析。
國標(biāo)GB／"r18336．2001是在翻譯了CC標(biāo)準(zhǔn)的基礎(chǔ)上建立的，這個(gè)就不再分析。
2．2 CC安全測評(píng)體系分析
在IT安全產(chǎn)品測評(píng)方面，包括操作系統(tǒng)測評(píng)，我們國家和發(fā)達(dá)國家還有一定
的差距，為了縮小這種差距，同時(shí)總結(jié)安全測評(píng)的方法和流程，我們對(duì)整個(gè)CC體
系結(jié)構(gòu)做了分析。CC是一個(gè)龐大的安全測評(píng)體系，僅文檔就有1111頁。在本文
完成之時(shí)，國內(nèi)有很多操作系統(tǒng)測評(píng)的實(shí)施是依據(jù)在CC標(biāo)準(zhǔn)的，但部分文獻(xiàn)對(duì)
CC的理解是不全面、不完整的，因此非常有必要對(duì)CC標(biāo)準(zhǔn)的使用方法以及用CC
標(biāo)準(zhǔn)進(jìn)行操作系統(tǒng)安全測評(píng)的方法、流程和步驟進(jìn)行分析和總結(jié)。
CC標(biāo)準(zhǔn)的全稱是Common Criteria for Information Technology Security
Evaluation，即信息技術(shù)安全性評(píng)價(jià)通用準(zhǔn)則。對(duì)CC傳統(tǒng)的理解是指這篇信息技
術(shù)安全性通用準(zhǔn)則本身。實(shí)際上完整的Common Criteria體系一共包括三大部分，
第一部分是Common Criteria for Information Technology Security Evaluation(CC)
信息技術(shù)安全性評(píng)價(jià)通用準(zhǔn)則，第二部分是Common Methodology for Information
Technology Security Evaluation(CEM)信息技術(shù)安全評(píng)價(jià)通用方法，第三部分是
Common Criteria Recognition Agreement(CCRA)通用準(zhǔn)則識(shí)別協(xié)議。整個(gè)CC體系
可以通過其官方網(wǎng)站http：／／www．commoncriteriaportal．org獲取。CC還在不斷完善
的過程中，不同版本之問有差異，下面我們分析所用的CC版本是2006年9月的
Version 3．1，CEM的版本是2007年9月的Version 3．1 Revision 2，CCRA的版本是
2000年5月版。
北京交通大學(xué)碩士學(xué)位論文
2．2．1信息技術(shù)安全評(píng)估通用標(biāo)準(zhǔn)(CC)
2．2．1．1 CC概要
CC[1J為IT產(chǎn)品提供了的一系列通用的安全功能需求和安全保證需求，它可以
用作安全功能的IT產(chǎn)品作為開發(fā)、評(píng)價(jià)和采購的指導(dǎo)。
CC分為三個(gè)部分，每個(gè)部分的內(nèi)容如下：
·第1部分：簡介和一般模型。該部分是CC的總體結(jié)構(gòu)簡介，定義了信息
技術(shù)安全性評(píng)估的一般概念和原理，并提出了評(píng)估的一般模型，整個(gè)評(píng)估
的過程都要遵循這個(gè)一般模型。
·第2部分：安全功能組件。該部分建立了一系列功能組件作為TOE基本
功能需求的標(biāo)準(zhǔn)模板。
·第3部分：安全保證組件。該部分建立了一系列保證組件作為TOE的基
本保證需求的標(biāo)準(zhǔn)模板。該部分包括了PP和ST的評(píng)價(jià)準(zhǔn)則等安全保證
需求，而且介紹了7個(gè)被稱為評(píng)價(jià)保證級(jí)別的保證包。
CC中的重要概念：
CC標(biāo)準(zhǔn)涉及以下幾個(gè)關(guān)鍵概念，這幾個(gè)概念一致貫穿整個(gè)CC標(biāo)準(zhǔn)。其中的
保護(hù)輪廓、安全目標(biāo)、組件和包都是CC結(jié)構(gòu)的重要組成部分。
評(píng)估對(duì)象(TOE)：作為安全性評(píng)估對(duì)象的一系列軟件、固件或硬件以及它們
的文檔，如操作系統(tǒng)、防火墻產(chǎn)品、計(jì)算機(jī)網(wǎng)絡(luò)、密碼模塊等，以及相關(guān)的管理
員指南、用戶指南、設(shè)計(jì)方案等文檔。
保護(hù)輪廓(PP)：PP是一種TOE類型的安全需求的獨(dú)立的強(qiáng)制性描述。PP是
用戶對(duì)安全需求的明確表述。一個(gè)PP為一類TOE基于其應(yīng)用環(huán)境定義了一組安
全要求，而不管這些要求具體如何實(shí)現(xiàn)，實(shí)現(xiàn)問題由“安全目標(biāo)”來解決。換句
話說，PP與某一個(gè)具體的TOE無關(guān)，它定義的是用戶對(duì)這類TOE的安全需求，
規(guī)定了一類TOE的安全性技術(shù)要求以及確保正確有效地實(shí)現(xiàn)這些要求的安全保證
措施。主要內(nèi)容包括：
·需要保護(hù)的對(duì)象，對(duì)該類產(chǎn)品或系統(tǒng)的界定性描述；
·確定安全環(huán)境，指名安全問題，如需要保護(hù)的資產(chǎn)、己知的威脅、用戶的
組織、安全策略等；
·TOE的安全目的，對(duì)安全問題的相應(yīng)對(duì)策，包括技術(shù)性和非技術(shù)性措旄；
· 信息技術(shù)安全需求，包括功能需求、保證需求和環(huán)境安全需求，這些需求
通過滿足安全目的，進(jìn)一步提出具體在技術(shù)上如何解決安全問題；
◆基本原理，指明安全需求對(duì)安全目的、安全目的對(duì)安全環(huán)境是充分且必要
14
操作系統(tǒng)安全測評(píng)的研究
的；
· 附加的補(bǔ)充說明信息。在標(biāo)準(zhǔn)體系中PP相當(dāng)于產(chǎn)品標(biāo)準(zhǔn)，它有助于過程
規(guī)范性標(biāo)準(zhǔn)的開發(fā)。國內(nèi)外現(xiàn)已對(duì)應(yīng)用級(jí)防火墻、包過濾防火墻、智能卡、
數(shù)據(jù)庫、訪問控制、入侵檢測、PKI、VPN、網(wǎng)上證券委托等產(chǎn)品或系統(tǒng)
開發(fā)了相應(yīng)的PP。
TOE安全目標(biāo)(ST)：ST的開發(fā)是針對(duì)具體的TOE而言的，它包括該TOE的
安全目的和能滿足安全目的安全需求，以及為滿足安全要求而提供的特定安全性
技術(shù)要求和保證措施。其中的技術(shù)要求和保證措施可以直接引用該TOE所屬產(chǎn)品
或系統(tǒng)類的PP，可以直接引用CC中的安全功能或保證組件，也可以針對(duì)具體實(shí)
際而明確陳述。由于ST是對(duì)特定TOE而開發(fā)的，通過安全性評(píng)估可以證明該TOE
所要實(shí)現(xiàn)的技術(shù)和保證措施，對(duì)滿足指定安全需求和目的而言是有用和有效的。
因此ST是開發(fā)者、評(píng)估者、用戶在TOE安全性和評(píng)估范圍之間達(dá)成一致的基礎(chǔ)。
ST相當(dāng)于產(chǎn)品或系統(tǒng)的實(shí)現(xiàn)方案。由于ST與具體的TOE實(shí)現(xiàn)有關(guān)，因此可以滿
足一個(gè)或多個(gè)PP提出的要求，如某一防火墻的ST可能同時(shí)滿足包過濾防火墻PP
和應(yīng)用級(jí)防火墻PP的要求。
組件(Component)：組件是CC的一個(gè)關(guān)鍵概念，描述一組特定的安全需求，
是可供PP、ST或包選取的最小安全需求集合，即將傳統(tǒng)的安全需求分成不能再分
的塊。
包(Package)：組件依據(jù)某一特定關(guān)系的組合在一起就構(gòu)成包。構(gòu)建包的目的
是定義那些公認(rèn)有用的、對(duì)滿足某一特定安全目的有效的安全要求。包可用于構(gòu)
造更大的包、PP和ST或測評(píng)使用。例如測評(píng)人員可以根據(jù)將CC中某個(gè)安全等級(jí)
指定的組件放在一起組成一個(gè)典型的包——評(píng)估保證包。
CC各部分的作用：
通常CC只被認(rèn)為是一個(gè)IT安全產(chǎn)品的評(píng)價(jià)準(zhǔn)則，但是CC的作用不僅在于
對(duì)測評(píng)對(duì)象的評(píng)價(jià)，對(duì)于rr產(chǎn)品的消費(fèi)者和開發(fā)者都有非常重要的作用。從另一
個(gè)角度來說，CC關(guān)注的不僅是測評(píng)，而是整個(gè)IT安全產(chǎn)品的生命周期。CC的三
個(gè)部分對(duì)其三組主要目標(biāo)讀者而言，作用如表2-1所示。用戶在IT安全產(chǎn)品開發(fā)
之前應(yīng)該在專業(yè)人事的幫助下按照CC安全功能組件提出對(duì)產(chǎn)品的安全需求，即保
護(hù)輪廓(PP)；在產(chǎn)品設(shè)計(jì)階段開發(fā)人員應(yīng)該按照CC安全功能組件形成對(duì)IT安全
安全功能的設(shè)計(jì)的描述(ST)；在產(chǎn)品完成之后，認(rèn)證機(jī)構(gòu)應(yīng)該根據(jù)CC安全保證
組件對(duì)PP、ST等進(jìn)行安全保證的測評(píng)和對(duì)TOE進(jìn)行安全功能的測評(píng)。
北京交通大學(xué)碩十學(xué)位論文
表2-1 CC各部分的作用
Table 2-1 Road Map to the Common Criteria
用戶開發(fā)者評(píng)估者
第1 用于了解背景信息和參用于了解背景信息，開用于了解背景信息和參考，即安
部分考，即安全功能需求發(fā)安全要求和形成TOE 全功能需求(PP)和TOE安全
(PP)的指導(dǎo)性結(jié)構(gòu)安全規(guī)范(ST)的參考規(guī)范(ST)的指導(dǎo)性結(jié)構(gòu)
第2 在闡明安全功能需求用于解釋功能要求和生當(dāng)確定TOE是否有效地符合已
部分(PP)的描述時(shí)用作指成TOE功能規(guī)范(ST) 聲明的安全功能時(shí)，用作評(píng)估準(zhǔn)
導(dǎo)和參考的參考則的強(qiáng)制性描述
第3 用于指導(dǎo)保證要求級(jí)別當(dāng)解釋保證要求描述和當(dāng)確定TOE的保證和評(píng)估安全
部分的確定確定TOE的保證措施功能需求(PP)和安全規(guī)范(ST)
時(shí)，用作參考時(shí)，用作評(píng)估準(zhǔn)則的強(qiáng)制描述
2．2．1．2安全功能組件
CC通過“類(Class)一族(Family)一組件(Component)”結(jié)構(gòu)組織安全功
能需求。每一個(gè)類代表一類安全功能，其中包括類名，類介紹和一個(gè)或多個(gè)功能
族。如圖2．2所示。每一個(gè)功能類有一個(gè)唯一的類名；類介紹表達(dá)了為了滿足安全
目的族的共同意圖和方法。
圖2—2 CC安全功能類的組織結(jié)構(gòu)
Figure 2-2 Orgnization of security functional classes for CC
每個(gè)族是更加具體的安全功能分支，內(nèi)容包括族名、族行為、組件級(jí)別、管
理、審計(jì)和組件，如圖2．3所示。族名也是唯一的標(biāo)識(shí)，是用來提供分類信息的，
形式為“XXX—YYY"；族行為是關(guān)于功能族的安全目的和功能需求一般性說明
的敘述性描述，其中族的安全目的描述了在TOE的幫助下可能被解決的安全問題，
16
操作系統(tǒng)安全測評(píng)的研究
族的功能需求總結(jié)了所有組件的需求，目的是為了讓PP、ST和包的作者用例判定
這個(gè)族和他們的特定需求是否相關(guān)；功能族包括一個(gè)或多個(gè)組件，每一個(gè)都有可
能被包含在PP、ST或包中，組件級(jí)別通過描述組件的基本原理為用戶提供了選擇
一個(gè)合理的功能組件時(shí)所需的信息，一個(gè)族中的組件之間有可能有或沒有等級(jí)關(guān)
系，如果一個(gè)組件提供更多的安全那么該組件的等級(jí)比其他組件高；管理中包含
PP／ST作者用作管理行為的信息，涉及到了FMT類中的組件，提供了關(guān)于潛在管
理行為的指南，這些管理行為通過操作應(yīng)用于組件，PP／ST作者可以選擇需要的管
理組件或可以包含其他沒有列出的管理需求來詳述管理行為；如果安全審計(jì)類被
包含在PP／ST中，審計(jì)才起作用，審計(jì)分為最小、一般、詳細(xì)三個(gè)級(jí)別描述了每
個(gè)族中需要審計(jì)的內(nèi)容。
圖2-3 CC安全功能族的組織結(jié)構(gòu)
Figure 2-3 Orgnization of security functional families for CC
組件的結(jié)構(gòu)如圖2．4所示。組件標(biāo)識(shí)描述了鑒別、分類、注冊和參照組件時(shí)所
需的信息，每一個(gè)組件都有一個(gè)唯一的標(biāo)識(shí)，標(biāo)識(shí)包含一個(gè)唯一的標(biāo)識(shí)名、一個(gè)
標(biāo)識(shí)名縮寫和等級(jí)列表；功能組件之間可能存在依賴性，組件可能依賴于其他組
件的功能性或和其他組件的功能性有交互作用，依賴性提供了組件之間的依賴關(guān)
系信息，編制PP、ST或包時(shí)必須遵守這些依賴關(guān)系；組件中包含一個(gè)或功能元素，
每一個(gè)元素被獨(dú)立定義，功能元素是安全功能需求的最小單元，在編制PP、ST或
包時(shí)，不能從組件只選擇中一個(gè)或多個(gè)元素，應(yīng)該將一個(gè)組件中的所有元素包含
在PP、ST或包時(shí)中。
17
北京交通大學(xué)碩士學(xué)位論文
圖2-4 CC安全功能類的組織結(jié)構(gòu)
Figure 2-4 Orgnization of security functional components for CC
安全功能需求一共包括11個(gè)類、66個(gè)族和135個(gè)組件。這11個(gè)類分別是：
FAU，安全審計(jì)類；FCO，通信類；FCS，密碼支持類；FDP，用戶數(shù)據(jù)保護(hù)類；
FIA，標(biāo)識(shí)與鑒別類；FMT，安全管理類；FPR，用戶身份私有類；FPT，TSF保
護(hù)類；FRU，資源利用類；FFA，TOE訪問類；FTP，可信路徑／通道類。
2．2．1．3安全保證組件
安全保證類的組織結(jié)構(gòu)和安全功能需求的組織結(jié)構(gòu)類似，如圖2．5所示。保證
類的類名、類介紹、族名、組件標(biāo)識(shí)、組件依賴關(guān)系和組件中的元素和功能類的
類似，族目的和組件目的分別介紹了保證族、組件的意圖；應(yīng)用提示是包含描述
引起使用者注意的應(yīng)用信息。
安全保證需求一共包括8個(gè)類，38個(gè)族。這8個(gè)類分別是：APE，保護(hù)輪廓
(PP)評(píng)估類；ASE，安全目標(biāo)(ST)評(píng)估類；ADV，開發(fā)類；AGD，指導(dǎo)文檔
類；ALC，生命周期類；ATE，測試類；AVA，脆弱性評(píng)估類；ACO，組合類。
安全保證中還包含對(duì)7個(gè)劇兒(Evaluation Assurance Levels)級(jí)別的定義：
·EALl：功能型測試級(jí)，證明TOE與功能規(guī)格的一致
·EAL2：結(jié)構(gòu)性測試級(jí)，證明TOE與系統(tǒng)層次設(shè)計(jì)概念一致
·EAL3：工程方法上的測試及驗(yàn)證級(jí)，證明TOE在設(shè)計(jì)上采用了積極安全
的工程方法。
●EAL4：工程方法上的方法設(shè)計(jì)、測試和評(píng)審級(jí)，證明TOE采用了基于良
好開發(fā)過程的安全工程方法。
●EAL5：半形式化設(shè)計(jì)和測試級(jí)，證明TOE采用了基于嚴(yán)格的過程的安全
工程方法并適度應(yīng)用了專家安全工程技術(shù)。
·EAL6：半形式化地驗(yàn)證設(shè)計(jì)和測試級(jí)，證明TOE將安全工程技術(shù)應(yīng)用到
嚴(yán)格地開發(fā)環(huán)境中來達(dá)到消除大風(fēng)險(xiǎn)保護(hù)高價(jià)值資產(chǎn)。
18
操作系統(tǒng)安全測評(píng)的研究
·EAL7：形式化地驗(yàn)證設(shè)計(jì)和測試級(jí)，證明TOE所有安全功能經(jīng)得起全面
的形式化分析。
圖2．5 CC中安全保證的組織結(jié)構(gòu)
Figure 2-5 Orgnization of security assurance of CC
安全級(jí)別和組件之間的關(guān)系可以用一張表概括，如表2．2所示。每一個(gè)安全級(jí)
別和每個(gè)族中的一個(gè)或零個(gè)組件對(duì)應(yīng)，測評(píng)時(shí)可以根據(jù)需要達(dá)到的安全級(jí)別選擇
相應(yīng)的安全保證組件。表格中的數(shù)字為組件的編號(hào)。
表2．2安全級(jí)別與組件之間的關(guān)系
Table 2-2 Relation between evaluation assurance level and components
保證組件
保證類保證族
EALl EAL2 EAI 3 EAI 4 EAL5 EAI．6 EAl7
爹甓÷霧嘲
ADV ARC 鏊女娩毖l渤1 1 1 1 1 1
ADV——FSP 1 2 3 4 5 5 6
ADV IMP ∥滯獬緩彩彬燃鋤舅
開發(fā)
夠一1 1 2 2
ADV——INT 爹∥節(jié)掰笏泐餮
2 3 3
免即。2。搿纓
ADV SPM 罄。．螽荔荔窿。霪黲． 《§藏磊魏赫，磊荔i 瓣勃荔騶磊瓏凝溉施彩貔彩黝1 1
笏． 自
ADV——TDS 貔滋滋㈧1 2 3 4 5 6
19
北京交通入學(xué)碩士學(xué)位論文
2．2．1．4 CC測評(píng)流程
圖2．6CC測評(píng)流程
Figure 2-6 Proess of the CC elvaluation
對(duì)CC測評(píng)流程的總結(jié)如圖2-6所示，由上圖可以看出CC測評(píng)標(biāo)準(zhǔn)不僅關(guān)注
與信息安全產(chǎn)品的安全功能，而且關(guān)注產(chǎn)品的整個(gè)生命周期，即從用戶安全需求
PP的評(píng)估，到開發(fā)發(fā)對(duì)安全目標(biāo)的設(shè)計(jì)ST的評(píng)估，再到產(chǎn)品手冊的評(píng)估、產(chǎn)品
開發(fā)過程的評(píng)估、產(chǎn)品脆弱性和組合安全評(píng)估，最后還有對(duì)安全功能測試的評(píng)估
等。由此可見，CC對(duì)安全產(chǎn)品的評(píng)估是非常全面的。
2．2．2信息技術(shù)安全評(píng)估通用方法(CEM)
CEM[21是為了進(jìn)行CC評(píng)估而開發(fā)的一種國際公認(rèn)方法。CEM支撐信息安全
評(píng)估的國際互認(rèn)。CEM主要是針對(duì)評(píng)估者而開發(fā)的。其他團(tuán)體如開發(fā)者、發(fā)起者、
監(jiān)督者和其他與發(fā)布、使用評(píng)估結(jié)果有關(guān)的團(tuán)體也都可以從CEM中得到一些有用
的信息。
操作系統(tǒng)安全測評(píng)的研究
評(píng)估過程由對(duì)開發(fā)過程和測試過程所執(zhí)行的評(píng)估行為組成，其中開發(fā)過程和
檢測過程必須遵循評(píng)估方法。也有部分行為，雖然在開發(fā)過程和檢測過程中，但
不在評(píng)估過程和CEM之中。
CEM的組織結(jié)構(gòu)和CC類似，先介紹了CEM的結(jié)構(gòu)和評(píng)估模型，之后對(duì)CC
安全保證的每個(gè)組件都給出了評(píng)估模型中的四個(gè)任務(wù)，即對(duì)開發(fā)過程和測試過程
評(píng)估方法的解釋，最后介紹了作為證明評(píng)估結(jié)果依據(jù)的基本評(píng)估技術(shù)，和對(duì)脆弱
性分析標(biāo)準(zhǔn)的解釋和應(yīng)用實(shí)例。
2．2．2．1評(píng)估方法的組織結(jié)構(gòu)
如同CC用類、組件來對(duì)安全功能或安全保證進(jìn)行組織，CEM以活動(dòng)、子活
動(dòng)和行為來組織對(duì)評(píng)估方法的說明。CC中的類、組件、評(píng)估人員行為元素分別和
CEM中的活動(dòng)、子活動(dòng)和行為對(duì)應(yīng)，CC中的每個(gè)保證類在CEM中都有一個(gè)活動(dòng)
與之對(duì)應(yīng)，每個(gè)組件都有子活動(dòng)相對(duì)應(yīng)，子活動(dòng)由多個(gè)行為，行為詳細(xì)說明的相
關(guān)保證組件的評(píng)估方法?；顒?dòng)、子活動(dòng)的分類標(biāo)識(shí)符和CC中的保證類的類、組件
標(biāo)識(shí)符一致。
2．2．2．2一般模型
為了消除不正當(dāng)?shù)膲毫?duì)評(píng)估的影響，CEM定義了四個(gè)角色：發(fā)起者，開發(fā)
者，評(píng)估者和評(píng)估權(quán)威機(jī)構(gòu)。發(fā)起者負(fù)責(zé)請求和支持評(píng)估，負(fù)責(zé)建立評(píng)估協(xié)議(即
委任評(píng)估)，并且保證評(píng)估著提供評(píng)估證據(jù)。開發(fā)者開發(fā)TOE并且對(duì)于提供的評(píng)估
所需的證據(jù)負(fù)責(zé)(即培訓(xùn)，設(shè)計(jì)信息)。評(píng)估者執(zhí)行評(píng)估任務(wù)，評(píng)估者代表發(fā)起者
從開發(fā)者處或直接從發(fā)起者處接收評(píng)估證據(jù)，執(zhí)行評(píng)估子活動(dòng)并且提供評(píng)估結(jié)果
給評(píng)估權(quán)威。評(píng)估權(quán)威機(jī)構(gòu)建立并且維護(hù)計(jì)劃，評(píng)估者的評(píng)估進(jìn)行監(jiān)督，并且根
據(jù)評(píng)估結(jié)果發(fā)布檢驗(yàn)報(bào)告證明給評(píng)估者。
CEM定義了評(píng)估模型，用這個(gè)評(píng)估模型來介紹每個(gè)族的評(píng)估方法。評(píng)估模型
通常有四個(gè)任務(wù)：輸入任務(wù)，輸出任務(wù)，評(píng)估子活動(dòng)，及評(píng)估人員的評(píng)估技術(shù)能
力范例。輸入列出了評(píng)估人員評(píng)估時(shí)需要使用的材料；輸出包括觀察報(bào)告(0R)
和評(píng)估技術(shù)報(bào)告(ETR)；評(píng)估子活動(dòng)包含多個(gè)行為，即對(duì)評(píng)估方法的說明。
2．2．2．3觀察報(bào)告和評(píng)估報(bào)告
輸出分為觀察報(bào)告(0R)和評(píng)估技術(shù)報(bào)告(ETR)。其中OR為評(píng)估人員提供
21
北京交通大學(xué)碩士學(xué)位論文
了一種機(jī)制從評(píng)估的角度來澄清和確定問題。如果判定失敗，評(píng)估人員可以利用
OR來說明評(píng)估結(jié)果。
OR的內(nèi)容包括一下方面：PP或TOE標(biāo)識(shí)符、得出觀察結(jié)果的評(píng)估任務(wù)／子活
動(dòng)、觀察結(jié)果、對(duì)嚴(yán)重性的評(píng)估(例如，指出一個(gè)失敗的判定、阻止了評(píng)估的繼
續(xù)進(jìn)行、需要在評(píng)估完成之前做裁決)、鑒定負(fù)責(zé)解決這個(gè)問題的組織、推薦的解
決時(shí)間表、沒有解決對(duì)評(píng)估影響的估價(jià)。
CEM給出的評(píng)估技術(shù)報(bào)告(ETR)的結(jié)構(gòu)分為8個(gè)部分，分別是介紹、TOE
結(jié)構(gòu)描述、評(píng)估方法技術(shù)和工具、評(píng)估結(jié)果、結(jié)論和建議、評(píng)估證據(jù)列表、術(shù)語
表和觀察報(bào)告。PP的ETR中沒有TOE結(jié)構(gòu)描述這一項(xiàng)。
2．2．2．4評(píng)估結(jié)果判定定義
CEM還給出了評(píng)估判定的定義。判定分為四個(gè)層次，評(píng)估行為單元判定，安
全保證組件判定，安全保證類判定，評(píng)估結(jié)果判定。每個(gè)層次的判定都是在其上
一個(gè)層次基礎(chǔ)上做出的，如果上一層有一個(gè)以上的失敗判定，那這一次的判定也
為失敗。CEM認(rèn)可三種互斥的判定類型是通過、失敗和未決定，CEM對(duì)這三中判
定給出的明確的定義。
2．2．3通用準(zhǔn)則識(shí)別協(xié)議(CCRA)
CCRA[3l中列出了有CC認(rèn)證授權(quán)的參與者(Participants)，例如美國國家安全
局、加拿大國家通信安全機(jī)構(gòu)、芬蘭國家財(cái)政部、希臘內(nèi)政部等，之后詳細(xì)敘述
了這些機(jī)構(gòu)的權(quán)利、職能、管理等方面的要求和規(guī)定。
參與者可以授權(quán)有資質(zhì)的認(rèn)證機(jī)構(gòu)(CBs)進(jìn)行CC認(rèn)證的權(quán)利，并列出了對(duì)這
些機(jī)構(gòu)的要求。例如，美國國家信息保證伙伴一通用準(zhǔn)則評(píng)價(jià)和確認(rèn)計(jì)劃、加拿
大通用準(zhǔn)則評(píng)價(jià)和認(rèn)證計(jì)劃等都是CBs。
經(jīng)過認(rèn)證授權(quán)的IT產(chǎn)品有權(quán)利在產(chǎn)品上使用如圖2．7所示的標(biāo)志。這個(gè)標(biāo)志表
明參與者已經(jīng)授權(quán)CC認(rèn)證。
圖2．7CC認(rèn)證標(biāo)志
Figure 2-7 Mark of the Product which has been authorised
操作系統(tǒng)安全測評(píng)的研究
圖2．8CC授權(quán)機(jī)構(gòu)標(biāo)志
Figure 2-8 Mark of the Participant Or CBs
致力于支持該體系的原則，服從和同意現(xiàn)有的參與者的國家代表都可以被吸
納為新的CC參與者。遺憾的是中國還沒有成為CC的參與者。
2．3 操作系統(tǒng)安全測評(píng)方法
通常操作系統(tǒng)安全測評(píng)方法有形式化驗(yàn)證、非形式化確認(rèn)、入侵檢測和隱蔽
通道分析幾種。這些方法是獨(dú)立的，可以根據(jù)不同的開發(fā)階段及相應(yīng)測評(píng)對(duì)象形
式的不同，采用不同的方法，對(duì)操作系統(tǒng)的測評(píng)需要把它們綜合起來。
形式化驗(yàn)證：
形式化驗(yàn)證是分析操作系統(tǒng)最精確的方法。在形式化驗(yàn)證中，安全操作系統(tǒng)
被簡化為一個(gè)要證明的“定理"。定理斷言該安全操作系統(tǒng)是正確的，即它提供了
所有所應(yīng)提供的安全特性，而不提供任何其它功能。但是，證明整個(gè)操作系統(tǒng)的
正確性的工作量是巨大的，形式化驗(yàn)證也是一個(gè)復(fù)雜的過程。特別是對(duì)于大型的
系統(tǒng)，形勢化驗(yàn)證是非常復(fù)雜的。
形式化驗(yàn)證方法主要應(yīng)用于對(duì)安全機(jī)制或安全策略模型的分析驗(yàn)證中。通過
形式化的驗(yàn)證，測評(píng)人員可以判斷安全機(jī)制或安全策略模型是否完好的定義了操
作系統(tǒng)的安全目標(biāo)。
非形式化確認(rèn)：
“確認(rèn)”的概念更為廣泛、普遍，它包括驗(yàn)證，同時(shí)也包括其他一些不太嚴(yán)
格的讓人們相信程序正確性的方法。要完成一個(gè)安全操作系統(tǒng)確認(rèn)，可以結(jié)合安
全需求檢查、設(shè)計(jì)及代碼檢查、功能規(guī)范檢查和模塊及系統(tǒng)測試等方法。
關(guān)于安全需求檢查，應(yīng)根據(jù)TCSEC、CC等測評(píng)標(biāo)準(zhǔn)并綜合考慮相關(guān)因素，
就Linux操作系統(tǒng)的安全需求展開廣泛深入的討論，逐條分析是否在需求說明書中
準(zhǔn)確完整地體現(xiàn)；關(guān)于功能規(guī)范確認(rèn)，應(yīng)在Linux安全操作系統(tǒng)的需求說明書的基
礎(chǔ)上，檢查有關(guān)需求是否準(zhǔn)確和充分體現(xiàn)到特定的功能或功能組合上；以此類推，
后一階段的安全評(píng)審與確認(rèn)應(yīng)在前一階段的評(píng)審成果的基礎(chǔ)上展開，確保彼此問
的一致性。至于代碼設(shè)計(jì)與系統(tǒng)實(shí)現(xiàn)階段的評(píng)審，還應(yīng)檢查代碼自身的安全性。
在完成和實(shí)現(xiàn)系統(tǒng)代碼之后，通?？刹捎孟到y(tǒng)測試的方法進(jìn)行安全測評(píng)。對(duì)于每
北京交通大學(xué)碩十學(xué)位論文
一個(gè)相對(duì)獨(dú)立的模塊而言，可以使用白盒測試的方法設(shè)計(jì)測試用例和展開對(duì)應(yīng)模
塊的運(yùn)行和測試；對(duì)于若干相關(guān)模塊而言，可基于白盒測試與黑盒測試相結(jié)合的
方法設(shè)計(jì)測試用例和展開集成測試；對(duì)于確認(rèn)測試階段功能規(guī)范與安全需求的驗(yàn)
證，則主要基于黑盒測試及功能需求表設(shè)計(jì)測試用例，并通過源代碼或系統(tǒng)運(yùn)行
時(shí)所表現(xiàn)的安全功能交叉檢查操作系統(tǒng)的每個(gè)安全需求。
入侵檢測：
模擬入侵檢測可作為安全操作系統(tǒng)安全測評(píng)的輔助手段。其基本出發(fā)點(diǎn)是設(shè)
立由熟悉操作系統(tǒng)典型安全漏洞的成員所構(gòu)成的所謂“老虎小組”，讓他們利用安
全漏洞掃描軟件等嘗試發(fā)現(xiàn)可能存在的系統(tǒng)配置等安全漏洞，并進(jìn)一步通過植入
黑客窺視文件或特洛伊木馬竊取口令帳號(hào)、完成關(guān)鍵系統(tǒng)文件非授權(quán)修改甚至摧
毀正在測試中的安全操作系統(tǒng)。這種方法就是試圖摧毀正在測試中的安全操作系
統(tǒng)。如果操作系統(tǒng)在某一次入侵測試中失效，則說明它內(nèi)部有錯(cuò)誤。
隱蔽通道分析：
研究高安全性的可信計(jì)算機(jī)系統(tǒng)必須進(jìn)行隱蔽通道分析，盡可能地搜索出所
有的隱蔽通道，測量或估計(jì)它們的帶寬并給予適當(dāng)?shù)奶幚?，以控制隱蔽通道對(duì)系
統(tǒng)的破壞。因此，隱蔽通道的分析一般包含3個(gè)方面的內(nèi)容：(1)隱蔽通道標(biāo)識(shí)；
(2)隱蔽通道帶寬的計(jì)算與工程測量；(3)對(duì)被標(biāo)識(shí)的隱蔽通道進(jìn)行適當(dāng)?shù)奶?
理。
2．4 小結(jié)
本章分析了現(xiàn)有的安全測評(píng)標(biāo)準(zhǔn)內(nèi)容特點(diǎn)和應(yīng)用范圍。由于CC標(biāo)準(zhǔn)是現(xiàn)階段
最為完善的測評(píng)標(biāo)準(zhǔn)，所以我們整個(gè)CC安全測評(píng)體體系進(jìn)行了詳細(xì)的分析，并給
出了操作系統(tǒng)安全測評(píng)方法的總結(jié)。
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
3操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
本章的主要任務(wù)是對(duì)操作系統(tǒng)測評(píng)自動(dòng)化方法的研究。現(xiàn)有的自動(dòng)化方法和
技術(shù)基本是針對(duì)軟件測試的，本章在總結(jié)了軟件測試自動(dòng)化的方法和技術(shù)并分析
了國內(nèi)現(xiàn)有的兩種操作系統(tǒng)測評(píng)自動(dòng)化系統(tǒng)的基礎(chǔ)上，將軟件測試自動(dòng)化方法融
入到操作系統(tǒng)安全測評(píng)中，給出了改進(jìn)后的操作系統(tǒng)安全測評(píng)自動(dòng)化框架。
3．1 軟件測試自動(dòng)化
操作系統(tǒng)的測試和軟件測試的過程類似。也需要經(jīng)歷如圖3-1所示的測試過
程。圖3-1是軟件測試V模型圖，V模型中的過程從左到右，描述了基本的開發(fā)
過程和測試行為。
圖3—1軟件測試V模型
Figure 3-1 V model of sof細(xì)are development and testing
操作系統(tǒng)的安全測試相當(dāng)于軟件測試中的系統(tǒng)測試。通過安全測試，可以驗(yàn)
證和確保安全操作系統(tǒng)的安全功能實(shí)現(xiàn)。所以軟件測試自動(dòng)化的方法和技術(shù)可以
應(yīng)用于安全測評(píng)自動(dòng)化領(lǐng)域。
軟件測試自動(dòng)化是指使用軟件來控制測試的執(zhí)行、實(shí)際輸出和預(yù)期輸出的對(duì)
比、測試前提條件的構(gòu)建、測試過程的執(zhí)行以及其他測試控制條件和測試報(bào)告的
輸出。實(shí)際上自動(dòng)化測試和手工測試之間往往并沒有明確的界限。很多測試往往
并不能完全通過自動(dòng)化測試完成，自動(dòng)化到不需要人工參與的程度是不現(xiàn)實(shí)的。
軟件測試自動(dòng)化，是一項(xiàng)讓計(jì)算機(jī)代替測試人員進(jìn)行軟件測試的技術(shù)。它可
以讓測試人員從繁瑣和重復(fù)的測試活動(dòng)中解脫出來，專心從事有意義的測試設(shè)計(jì)
北京交通大學(xué)碩士學(xué)位論文
等活動(dòng)。如果采用自動(dòng)比較技術(shù)，還可以自動(dòng)完成測試用例執(zhí)行結(jié)果的判斷，從
而避免人工比對(duì)存在的疏漏問題。
軟件測試自動(dòng)化通常借助測試工具進(jìn)行。測試工具可以進(jìn)行部分的測試設(shè)計(jì)、
實(shí)現(xiàn)、執(zhí)行和比較的工作。通過運(yùn)用測試工具，可以達(dá)到提高測試效率的目的。
部分的測試工具可以實(shí)現(xiàn)測試用例的自動(dòng)生成，但通常的工作方式為人工設(shè)計(jì)測
試用例，再通過工具進(jìn)行測試用例的執(zhí)行和比較。因此，軟件測試自動(dòng)化的設(shè)計(jì)
必須考慮實(shí)現(xiàn)利用工具進(jìn)行用例的自動(dòng)執(zhí)行等的特殊要求。
通過自動(dòng)化測試，可以使某些任務(wù)提高執(zhí)行效率。除此之外，還有其它優(yōu)點(diǎn)：
·對(duì)程序的回歸測試更方便。這可能是自動(dòng)化測試最主要的任務(wù)，特別是在
程序修改比較頻繁時(shí)，效果是非常明顯的。由于回歸測試的動(dòng)作和用例是
完全設(shè)計(jì)好的，測試期望的結(jié)果也是完全可以預(yù)料的，將回歸測試自動(dòng)運(yùn)
行，可以極大提高測試效率，縮短回歸測試時(shí)間。
· 可以運(yùn)行更多更繁瑣的測試。自動(dòng)化的一個(gè)明顯的好處是可以在較少的時(shí)
間內(nèi)運(yùn)行更多的測試。
·可以執(zhí)行一些手工測試?yán)щy或者手工不可能進(jìn)行的測試。比如，對(duì)于大量
用戶的測試，不可能同時(shí)讓足夠多的測試人員同時(shí)進(jìn)行測試，但是卻可以
通過自動(dòng)化測試模擬同時(shí)有許多用戶，從而達(dá)到測試的目的。
·更好地利用資源。將繁瑣的任務(wù)自動(dòng)化，可以提高準(zhǔn)確性和測試人員的積
極性，將測試技術(shù)人員解脫出來投入更多精力設(shè)計(jì)更好的測試用例。有些
測試不適合于自動(dòng)測試，僅適合于手工測試，將可自動(dòng)測試的測試自動(dòng)化
后，可以讓測試人員專注于手工測試部分，提高手工測試的效率。
·測試具有一致性和可重復(fù)性。由于測試是自動(dòng)執(zhí)行的，每次測試的結(jié)果和
執(zhí)行的內(nèi)容的一致性是可以得到保障的，從而達(dá)到測試的可重復(fù)的效果。
·測試的復(fù)用性。由于自動(dòng)測試通常采用腳本技術(shù)，這樣就有可能只需要做
少量的甚至不做修改，實(shí)現(xiàn)在不同的測試過程中使用相同的用例。
◆可以讓產(chǎn)品更快面向市場。自動(dòng)化測試可以縮短測試時(shí)間，加快產(chǎn)品丌發(fā)
周期。
·增加軟件信任度。由于測試是自動(dòng)執(zhí)行的，所以不存在執(zhí)行過程中的疏忽
和錯(cuò)誤，完全取決于測試的設(shè)計(jì)質(zhì)量。一旦軟件通過了強(qiáng)有力的自動(dòng)測試
后，軟件的信任度自然會(huì)增加。
總之，通過較少的開銷獲得更徹底的測試，提高軟件質(zhì)量，這是測試自動(dòng)化
的最終目的。
軟件測試自動(dòng)化要求一整套的測試工具組成一個(gè)完整的測試系統(tǒng)。一個(gè)自動(dòng)
測試系統(tǒng)包含：
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
·軟件測試管理的核心平臺(tái)。核心評(píng)估需要整合測試需求、測試計(jì)劃、測試
設(shè)計(jì)、測試實(shí)施、測試執(zhí)行到測試結(jié)果分析、測試報(bào)告的自動(dòng)生成等整個(gè)
測試生命周期的管理活動(dòng)。同時(shí)，統(tǒng)一組織各種Test Suite，Test Case，Test
Script，方便進(jìn)行回歸測試?；貧w測試是在軟件維護(hù)階段，對(duì)修改之后的
軟件進(jìn)行的測試。其目的是檢驗(yàn)對(duì)軟件進(jìn)行的修改是否正確。這里，修改
的正確性有兩重含義：一是所作的修改達(dá)到了預(yù)定目的，如錯(cuò)誤得到改正，
能夠適應(yīng)新的運(yùn)行環(huán)境等等；二是不影響軟件的其他功能的正確性。
· 自動(dòng)化功能測試。功能測試主要圍繞人機(jī)圖形窗口界面、字符終端和瀏覽
器界面進(jìn)行測試。提供腳本方式自動(dòng)測試目標(biāo)的各個(gè)功能并生成測試報(bào)
告，甚至通過自動(dòng)錄制形成測試腳本實(shí)現(xiàn)自動(dòng)化的功能／回歸測試。
· 自動(dòng)化壓力測試。自動(dòng)化壓力測試工具主要目標(biāo)是快速提升軟件測試團(tuán)隊(duì)
的性能測試能力， 包括負(fù)載測試、壓力測試等等。應(yīng)能方便靈活地模擬
各種負(fù)載模型，完成以查找響應(yīng)時(shí)間瓶頸、系統(tǒng)吞吐量、最大并發(fā)虛擬用
戶等為目地的各種要求的性能測試；并且實(shí)現(xiàn)對(duì)壓力測試的測試需求、測
試計(jì)劃、測試設(shè)計(jì)、測試實(shí)施、測試執(zhí)行和測試結(jié)果分析等整個(gè)測試生命
周期的管理。
· 自動(dòng)化的單元測試。自動(dòng)化的單元測試要求模擬對(duì)象所需的運(yùn)行環(huán)境，查
找代碼中的內(nèi)存滲漏及邏輯錯(cuò)誤等等。
為了實(shí)現(xiàn)自動(dòng)測試，人們提出了一些自動(dòng)測試的方法，比較常見的有：
·模塊化測試腳本方法(Test Modularity Framework)。通過創(chuàng)建小而獨(dú)立的可
以描述的模塊、片斷以及待測應(yīng)用程序的腳本，充分利用這些小模塊的重
用性，組合出所需的復(fù)雜測試。
·測試庫方法(Test Library Architecture)。測試庫方法與模塊化測試腳本方法
很類似，并且具有同樣的優(yōu)點(diǎn)。不同的是測試庫方法把待測應(yīng)用程序分解
為過程和函數(shù)而不是腳本。這個(gè)方法需要?jiǎng)?chuàng)建描述模塊、片斷以及待測應(yīng)
用程序的功能庫文件。
· 關(guān)鍵字驅(qū)動(dòng)(Keyword—driven)或者表驅(qū)動(dòng)(Table---driven)方法。這個(gè)方法
需要開發(fā)數(shù)據(jù)表和關(guān)鍵字，這些數(shù)據(jù)表和關(guān)鍵字獨(dú)立于執(zhí)行它們的測試自
動(dòng)化工具并可以用來“驅(qū)動(dòng)"待測應(yīng)用程序和數(shù)據(jù)的測試腳本。在一個(gè)關(guān)
鍵字驅(qū)動(dòng)測試中，把待測應(yīng)用程序的功能和每個(gè)測試的執(zhí)行步驟一起寫到
一個(gè)表中。這個(gè)測試方法可以通過很少的代碼來產(chǎn)生大量的測試用例。同
樣的代碼在用數(shù)據(jù)表來產(chǎn)生各個(gè)測試用例的同時(shí)被復(fù)用。
·數(shù)據(jù)驅(qū)動(dòng)測試方法(Data--driven)。數(shù)據(jù)驅(qū)動(dòng)測試方法中，測試的輸入和輸
出數(shù)據(jù)是從數(shù)據(jù)文件中讀取(數(shù)據(jù)池?cái)?shù)據(jù)庫CVS，excel文件等1，載入到通
27
北京交通大學(xué)碩士學(xué)位論文
過捕獲工具生成或者手工生成的代碼腳本中。在這個(gè)方法中，變量不僅被
用來存放輸入值還被用來存放輸出的驗(yàn)證值。整個(gè)程序中，測試腳本來讀
取數(shù)值文件，記載測試狀態(tài)和信息。這類似于表驅(qū)動(dòng)測試，但在表驅(qū)動(dòng)測
試中，它的測試用例是包含在數(shù)據(jù)文件而不是在腳本中，對(duì)于數(shù)據(jù)而言，
腳本僅僅是一個(gè)“驅(qū)動(dòng)器”，或者是一個(gè)傳送機(jī)構(gòu)。在數(shù)據(jù)驅(qū)動(dòng)測試中，
數(shù)據(jù)文件中只包含測試數(shù)據(jù)，而不包含測試步驟。這個(gè)方法意圖是減少執(zhí)
行所有測試用例所需要的總的測試腳本數(shù)。
· 混合測試自動(dòng)化(Hybrid Test Automation)方法。最普遍的執(zhí)行方法是上面
介紹的所有技術(shù)的一個(gè)結(jié)合，取其長處，彌補(bǔ)其不足。
3．2 操作系統(tǒng)安全測評(píng)自動(dòng)化方法
鑒于安全操作系統(tǒng)的規(guī)模復(fù)雜性特征，其安全測評(píng)的工作量非常龐大。為此，
安全操作系統(tǒng)安全測評(píng)過程的自動(dòng)化已成為當(dāng)前安全操作系統(tǒng)研究領(lǐng)域的熱點(diǎn)方
向之一。毫無疑問，如果能夠?qū)崿F(xiàn)或部分實(shí)現(xiàn)安全測評(píng)過程的自動(dòng)化，則對(duì)于改
善和提高安全操作系統(tǒng)的安全測評(píng)速度及質(zhì)量具有重要的現(xiàn)實(shí)意義和實(shí)用價(jià)值。
操作系統(tǒng)的測評(píng)自動(dòng)化和軟件的測試自動(dòng)化類似，是將測試設(shè)計(jì)、測試執(zhí)行
和結(jié)果判定所以步驟或其中的部分步驟的自動(dòng)化。所以在以建立好的操作系統(tǒng)安
全測評(píng)方法的基礎(chǔ)上，操作系統(tǒng)安全測評(píng)自動(dòng)化的主要工作就是測評(píng)自動(dòng)化平臺(tái)
的構(gòu)建。
在本文完成時(shí)，對(duì)安全操作系統(tǒng)的測評(píng)及其自動(dòng)化方法大多是探索性的，沒
有完整的理論體系。我們將在對(duì)以下兩種有代表性的安全操作系統(tǒng)安全測評(píng)實(shí)踐
進(jìn)行分析。
3．2．1安全操作系統(tǒng)等級(jí)評(píng)測系統(tǒng)分析
2002年，魏丕會(huì)，卿斯?jié)h，黃建在國內(nèi)率先給出了安全操作系統(tǒng)等級(jí)評(píng)測系
統(tǒng)的設(shè)計(jì)——SLES【15】。該系統(tǒng)的目標(biāo)是對(duì)不同的操作系統(tǒng)進(jìn)行不同安全等級(jí)的自
動(dòng)測評(píng)。
SLES系統(tǒng)的體系結(jié)構(gòu)如圖3．2所示，采用客戶端／測試服務(wù)器(數(shù)據(jù)庫服務(wù)器)
／待測系統(tǒng)3層結(jié)構(gòu)，在這3者之間采用兩個(gè)客戶機(jī)／服務(wù)器結(jié)構(gòu)，一個(gè)在客戶
端(引導(dǎo)評(píng)測員進(jìn)行評(píng)測的終端，本系統(tǒng)利用瀏覽器束實(shí)現(xiàn))與測試服務(wù)器之間；一
個(gè)在測試服務(wù)器與待測系統(tǒng)之間。對(duì)于后者，該測試服務(wù)器相對(duì)于待測系統(tǒng)來說，
是待測系統(tǒng)的客戶端。
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
圖3-2 SLES系統(tǒng)體系結(jié)構(gòu)
Figure 3-2 System structure ofSLES
由于在這3層結(jié)構(gòu)中，處于中間的測試服務(wù)器充當(dāng)著兩個(gè)角色：服務(wù)器角色
與客戶機(jī)角色，因此它相應(yīng)地完成3個(gè)功能：為瀏覽器端服務(wù)，對(duì)待測系統(tǒng)的安
全保護(hù)等級(jí)進(jìn)行評(píng)測，以及對(duì)相應(yīng)的數(shù)據(jù)進(jìn)行處理。其中評(píng)測部分的功能負(fù)責(zé)完
成對(duì)待測系統(tǒng)的安全等級(jí)的評(píng)測，它接收來自瀏覽器端的信息，啟動(dòng)相應(yīng)的評(píng)測
程序和待測系統(tǒng)進(jìn)行通信，對(duì)評(píng)測對(duì)象進(jìn)行逐項(xiàng)評(píng)測，評(píng)測結(jié)束后把待測系統(tǒng)傳
回的評(píng)測結(jié)果寫入后臺(tái)數(shù)據(jù)庫；而數(shù)據(jù)處理功能負(fù)責(zé)處理相應(yīng)的數(shù)據(jù)處理請求，
如接收客戶端應(yīng)用程序的處理數(shù)據(jù)的請求，對(duì)相關(guān)數(shù)據(jù)進(jìn)行查詢、修改等操作，
以及最后把由評(píng)測程序處理完的結(jié)果返回給瀏覽器端。而客戶端利用瀏覽器方式
引導(dǎo)評(píng)測員完成評(píng)測，包括人機(jī)交互的所有信息和評(píng)測的整個(gè)流程控制?？蛻舳?
應(yīng)用程序還要與服務(wù)器端應(yīng)用程序進(jìn)行通信，生成報(bào)表。設(shè)計(jì)安全操作系統(tǒng)評(píng)測
系統(tǒng)必需要解決的一個(gè)問題就是對(duì)不同操作系統(tǒng)的評(píng)測，因?yàn)椴僮飨到y(tǒng)的實(shí)現(xiàn)各
不相同。為此SELS評(píng)測系統(tǒng)規(guī)則分為兩層：一是用戶層，這是固定的一層，是對(duì)
用戶評(píng)測請求的抽象表示，提供進(jìn)行評(píng)測所需要的用戶層評(píng)測命令，一般這一層
不會(huì)改變；另一層是操作系統(tǒng)相關(guān)層，這一層和操作系統(tǒng)相關(guān)，是用戶層規(guī)則的
基于操作系統(tǒng)的表示，這一層的內(nèi)容會(huì)隨著操作系統(tǒng)的不同而動(dòng)態(tài)調(diào)整。對(duì)安全
操作系統(tǒng)的任何一步評(píng)測最后都要?dú)w結(jié)為相應(yīng)的操作系統(tǒng)相關(guān)層指令的運(yùn)行。
SLES系統(tǒng)對(duì)操作系統(tǒng)安全保護(hù)等級(jí)的評(píng)測經(jīng)由客戶端發(fā)起，首先由評(píng)測人員
根據(jù)操作系統(tǒng)開發(fā)商的申請選擇相應(yīng)的安全等級(jí)，系統(tǒng)會(huì)給出該等級(jí)所對(duì)應(yīng)的安
全功能和安全保證，接著SLES系統(tǒng)針對(duì)每個(gè)安全功能產(chǎn)生對(duì)應(yīng)的評(píng)測矢量，安全
評(píng)測工具通過評(píng)測矢量，生成特定評(píng)測對(duì)象使用的評(píng)測驅(qū)動(dòng)，由評(píng)測驅(qū)動(dòng)在評(píng)測
環(huán)境中運(yùn)行，給出安全功能評(píng)測結(jié)果；而對(duì)安全保證的評(píng)測則主要通過評(píng)測人員
根據(jù)相應(yīng)的保證條款作出相應(yīng)的選擇，系統(tǒng)會(huì)提示給出相應(yīng)的安全保證條款，由
北京交通大學(xué)碩士學(xué)位論文
評(píng)測人員選擇，向評(píng)測程序傳送相應(yīng)的結(jié)果，然后，安全評(píng)測工具通過分析評(píng)測
驅(qū)動(dòng)給出的評(píng)測結(jié)果(包括安全功能評(píng)測結(jié)果和安全保證評(píng)測結(jié)果)確定評(píng)測對(duì)象
的安全特性，同時(shí)確定該評(píng)測對(duì)象，即操作系統(tǒng)的安全等級(jí)。
為了解決對(duì)不同操作系統(tǒng)評(píng)測的問題，SLES引入了規(guī)則的概念。SLES系統(tǒng)
中任何一步評(píng)測都是由規(guī)則來指導(dǎo)進(jìn)行的，在這里，規(guī)則是指導(dǎo)評(píng)測系統(tǒng)進(jìn)行評(píng)
測的指令集合。因?yàn)榘踩僮飨到y(tǒng)之間的千差萬別，對(duì)規(guī)則的設(shè)計(jì)采取了分層的
概念。評(píng)測系統(tǒng)規(guī)則分為兩層：一是用戶層，這是固定的一層，是對(duì)用戶評(píng)測請
求的抽象表示，提供進(jìn)行評(píng)測所需要的用戶層評(píng)測命令，一般這一層不會(huì)改變；
另一層是操作系統(tǒng)相關(guān)層，這一層和操作系統(tǒng)相關(guān)，是用戶層規(guī)則的基于操作系
統(tǒng)的表示，這一層的內(nèi)容會(huì)隨著操作系統(tǒng)的不同而動(dòng)態(tài)調(diào)整。對(duì)安全操作系統(tǒng)的
任何一步評(píng)測最后都要?dú)w結(jié)為相應(yīng)的操作系統(tǒng)相關(guān)層指令的運(yùn)行。
SLES評(píng)測系統(tǒng)的核心是測評(píng)服務(wù)器，它是根據(jù)規(guī)則具體執(zhí)行評(píng)測的模塊。評(píng)
測員向系統(tǒng)提出了測評(píng)請求，這些請求被轉(zhuǎn)化成相應(yīng)的用戶層規(guī)則，送到測評(píng)服
務(wù)器，測評(píng)程序服務(wù)器會(huì)根據(jù)這些用戶層規(guī)則去查詢一個(gè)數(shù)據(jù)庫(命令映射庫)，這
個(gè)數(shù)據(jù)庫保存了用戶層命令和操作系統(tǒng)命令的對(duì)應(yīng)關(guān)系，測評(píng)程序服務(wù)器將這些
用戶層規(guī)則轉(zhuǎn)化成操作系統(tǒng)相關(guān)層規(guī)則，這些操作系統(tǒng)相關(guān)層規(guī)則就是指導(dǎo)評(píng)測
服務(wù)器進(jìn)行評(píng)測的動(dòng)作代碼，評(píng)測服務(wù)器根據(jù)動(dòng)作代碼完成評(píng)測動(dòng)作，得到評(píng)測
結(jié)果并且返回。
因?yàn)閷?duì)規(guī)則進(jìn)行分層，操作系統(tǒng)相關(guān)層規(guī)則是和被評(píng)測的操作系統(tǒng)相關(guān)的，
所以才能夠?qū)Ω鞣N不同的安全操作系統(tǒng)進(jìn)行評(píng)測。每次對(duì)一個(gè)新的操作系統(tǒng)進(jìn)行
測試，都要由測試員進(jìn)行規(guī)則數(shù)據(jù)庫的更新。
評(píng)測程序服務(wù)器的體系結(jié)構(gòu)如圖3．3所示，包括一個(gè)控制中心、一個(gè)評(píng)測規(guī)則
轉(zhuǎn)化模塊和一個(gè)評(píng)測執(zhí)行模塊。
規(guī)則轉(zhuǎn)化模塊
用
戶 相操
層 關(guān)作
規(guī)系
規(guī)
則 則統(tǒng) 1
日戶層規(guī)財(cái)
榨匍中。心
測評(píng)結(jié)果
圖3-3 SLES測評(píng)程序服務(wù)器模塊
Figure 3-3 Evaluation process server model of SLES
規(guī)制轉(zhuǎn)化模塊是整個(gè)系統(tǒng)的動(dòng)態(tài)部分，保存用戶層規(guī)則和操作系統(tǒng)相關(guān)規(guī)則
的對(duì)應(yīng)，需要根據(jù)不同的操作系統(tǒng)進(jìn)行動(dòng)態(tài)配置，SLES根據(jù)這個(gè)數(shù)據(jù)庫才能知道
對(duì)于這個(gè)特定的操作系統(tǒng)進(jìn)行評(píng)測所需要的具體指令集合。這個(gè)規(guī)制轉(zhuǎn)化模塊實(shí)
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
現(xiàn)了用戶層規(guī)則到操作系統(tǒng)相關(guān)層規(guī)則的轉(zhuǎn)化。
優(yōu)點(diǎn)：
● 在分級(jí)測試中，通過國標(biāo)中的安全功能組件和測評(píng)等級(jí)的對(duì)應(yīng)來決定不同
級(jí)別測試的測試內(nèi)容。
· 通過引入規(guī)則的概念，解決了對(duì)不同操作系統(tǒng)的測評(píng)的跨平臺(tái)的問題。
缺點(diǎn)：
·沒有解決測評(píng)中的關(guān)鍵問題——安全測評(píng)標(biāo)準(zhǔn)中的安全功能組件怎樣對(duì)
應(yīng)為具體的測試用例、測試命令的問題。文章中提到SLES系統(tǒng)針對(duì)每個(gè)
安全功能產(chǎn)生對(duì)應(yīng)的評(píng)測矢量，生成特定評(píng)測對(duì)象使用的評(píng)測驅(qū)動(dòng)，由評(píng)
測驅(qū)動(dòng)在評(píng)測環(huán)境中運(yùn)行，給出安全功能評(píng)測結(jié)果。作者沒有說明評(píng)測矢
量、評(píng)測驅(qū)動(dòng)的定義，而且安全測評(píng)標(biāo)準(zhǔn)中的安全功能組件非常抽象，和
測評(píng)用例、測試命令之間還有很大差距。
· 由于系統(tǒng)自動(dòng)化程度目標(biāo)較高，實(shí)現(xiàn)起來較為困難。
3．2．2數(shù)據(jù)驅(qū)動(dòng)的自動(dòng)化測評(píng)系統(tǒng)分析
2005年陸幼驪，張紅旗提出了基于數(shù)據(jù)驅(qū)動(dòng)的操作系統(tǒng)安全測評(píng)系統(tǒng)【71。介
紹了一個(gè)UNIX／Linux安全測評(píng)系統(tǒng)的設(shè)計(jì)，該系統(tǒng)基于數(shù)據(jù)驅(qū)動(dòng)方法實(shí)現(xiàn)來測評(píng)
過程的自動(dòng)化。
文章指出，標(biāo)準(zhǔn)是測評(píng)的靈魂，安全標(biāo)準(zhǔn)提供了每一個(gè)安全等級(jí)所對(duì)應(yīng)的安
全功能的技術(shù)要求，但是由于各個(gè)操作系統(tǒng)具有不同的實(shí)現(xiàn)，安全標(biāo)準(zhǔn)不可能制
訂出明確、詳細(xì)的工程技術(shù)指標(biāo)，而只能是一個(gè)綜述性的說明。同時(shí)，由于操作
系統(tǒng)結(jié)構(gòu)復(fù)雜，那種根據(jù)安全標(biāo)準(zhǔn)進(jìn)行對(duì)照檢查式的測評(píng)方法不可行，安全測評(píng)
的技術(shù)難度在于如何設(shè)計(jì)從標(biāo)準(zhǔn)到測試用例的映射關(guān)系。對(duì)操作系統(tǒng)的安全測評(píng)
就是檢查安全機(jī)制是否完整地實(shí)現(xiàn)了安全策略。
圖
圖3．4數(shù)據(jù)驅(qū)動(dòng)的自動(dòng)化測評(píng)系統(tǒng)結(jié)構(gòu)
Figure 3—4 Structure of data-driven automated evaluation system
自動(dòng)化測評(píng)系統(tǒng)由以下幾個(gè)功能模塊所組成，如圖3．4所示。知識(shí)庫：用于
31
北京交通大學(xué)碩士學(xué)位論文
存放測試數(shù)據(jù)、控制數(shù)據(jù)、測試預(yù)期結(jié)果和測試結(jié)果。組件庫：用于存放測試腳
本。支持庫：用于存放通用例程。驅(qū)動(dòng)引擎：是整個(gè)測評(píng)框架的核心部分，驅(qū)動(dòng)
測試的發(fā)生。驅(qū)動(dòng)表集：用于存放驅(qū)動(dòng)表格。評(píng)估器：根據(jù)測試結(jié)果生成評(píng)估報(bào)
告?？刂贫耍河糜谌藛T與測評(píng)系統(tǒng)的交互。測試端：測試套件與被測操作系統(tǒng)進(jìn)
行數(shù)據(jù)傳遞的端口。測試的發(fā)起源于用戶的申請，控制端用該請求激發(fā)核心數(shù)據(jù)
驅(qū)動(dòng)引擎，使引擎根據(jù)驅(qū)動(dòng)表集中的測試驅(qū)動(dòng)表格依次從知識(shí)庫中取出測試數(shù)據(jù)、
從組件庫和支持庫中取出測試腳本和通用例程，從而形成符合用戶需求的一個(gè)自
動(dòng)化測試套件，該套件通過測試端對(duì)操作系統(tǒng)的測試后將測試結(jié)果放回知識(shí)庫，
由評(píng)估器根據(jù)知識(shí)庫中的預(yù)期結(jié)果，與測試結(jié)果進(jìn)行比較，并依據(jù)測評(píng)標(biāo)準(zhǔn)生成
測評(píng)報(bào)告以提交給用戶。
該系統(tǒng)以自動(dòng)化測評(píng)框架為基礎(chǔ)，該框架基于數(shù)據(jù)驅(qū)動(dòng)測試的思想而建立。
通過數(shù)據(jù)抽象將測試數(shù)據(jù)與測試腳本本身分離開，并將其包含在測試數(shù)據(jù)文件中，
測試腳本的功能及執(zhí)行由外部測試數(shù)據(jù)所引導(dǎo)。測試數(shù)據(jù)包括控制數(shù)據(jù)和測試輸
入數(shù)據(jù)，其中控制數(shù)據(jù)用于設(shè)置測試環(huán)境和導(dǎo)航被測操作系統(tǒng)，而測試輸入數(shù)據(jù)
用于提交給測試腳本來測試操作系統(tǒng)的安全性。結(jié)構(gòu)化的測試腳本被設(shè)計(jì)成從數(shù)
據(jù)文件讀取測試數(shù)據(jù)記錄，然后執(zhí)行以數(shù)據(jù)記錄內(nèi)容為基礎(chǔ)的動(dòng)作，每個(gè)數(shù)據(jù)記
錄處理完后， 控制返回到測試循環(huán)的起點(diǎn)以讀取下一個(gè)記錄，測試將繼續(xù)進(jìn)行直
到?jīng)]有數(shù)據(jù)記錄要處理。
驅(qū)動(dòng)機(jī)制采用的是多級(jí)表格驅(qū)動(dòng)的數(shù)據(jù)驅(qū)動(dòng)實(shí)現(xiàn)機(jī)制，系統(tǒng)的體系結(jié)構(gòu)中包
括驅(qū)動(dòng)測試的表格集合的層次構(gòu)建。這些表包括三種類型的驅(qū)動(dòng)表格：套件驅(qū)動(dòng)
表格、循環(huán)驅(qū)動(dòng)表格和步進(jìn)驅(qū)動(dòng)表格。循環(huán)、套件和步進(jìn)三種驅(qū)動(dòng)表分別對(duì)應(yīng)了
測試的三個(gè)層次，也代表了測試數(shù)據(jù)的抽象程度，其中套件驅(qū)動(dòng)的抽象程度最高，
它表示了一個(gè)測試需求(用戶的一次測試申請)。循環(huán)驅(qū)動(dòng)表是中級(jí)驅(qū)動(dòng)，每一張循
環(huán)驅(qū)動(dòng)表應(yīng)用于一項(xiàng)安全功能(機(jī)制)的測試需求。步進(jìn)驅(qū)動(dòng)的抽象程度最小，它描
述了一個(gè)具體的測試動(dòng)作(一個(gè)測試用例的運(yùn)行)。
優(yōu)點(diǎn)：
·利用了軟件測試自動(dòng)化中的模塊化測試腳本方法，將編寫好的測試腳本和
測試?yán)檀鎯?chǔ)在組件庫和支持庫中，充分利用里這些腳本的重用性。
·利用軟件測試自動(dòng)化中的數(shù)據(jù)驅(qū)動(dòng)的方法，實(shí)現(xiàn)測試需求到測試數(shù)據(jù)再到
測試動(dòng)作的轉(zhuǎn)化。該測試數(shù)據(jù)就相當(dāng)于測試用例，是手動(dòng)編寫的。彌補(bǔ)了
SLES系統(tǒng)不能將安全功能需求和測試用例對(duì)應(yīng)的問題。
缺點(diǎn)：
·給出系統(tǒng)設(shè)計(jì)過于概括，對(duì)怎樣利用數(shù)據(jù)驅(qū)動(dòng)方法實(shí)現(xiàn)從用戶的測試申請
到測試動(dòng)作的轉(zhuǎn)化沒有介紹，實(shí)現(xiàn)起來較為困難。
32
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
◆只適用于一種操作系統(tǒng)，測試不同的操作系統(tǒng)時(shí)測試腳本、測試?yán)獭Ⅱ?qū)
動(dòng)表需要重新建立。
3．2．3操作系統(tǒng)安全測評(píng)自動(dòng)化方法總結(jié)
因?yàn)楦鱾€(gè)標(biāo)準(zhǔn)對(duì)操作系統(tǒng)安全等級(jí)的劃分只是給出了一個(gè)最終的實(shí)現(xiàn)目標(biāo)，
并沒有從實(shí)現(xiàn)方法上給予規(guī)定，這就導(dǎo)致了安全操作系統(tǒng)的具體實(shí)現(xiàn)千差萬別，
制定一個(gè)完全自動(dòng)的評(píng)測系統(tǒng)在現(xiàn)階段是不夠現(xiàn)實(shí)的也是不可能的。
操作系統(tǒng)測評(píng)自動(dòng)化方法大都利用了軟件測試自動(dòng)化的方法。
操作系統(tǒng)測評(píng)自動(dòng)化過程中需要解決的幾大重要問題：
·怎樣將安全標(biāo)準(zhǔn)中的安全功能需求映射成為測試用例；
·怎樣自動(dòng)的執(zhí)行測試用例；
· 怎樣實(shí)現(xiàn)測評(píng)自動(dòng)化工具的跨平臺(tái)性。
每一個(gè)問題都是非常復(fù)雜和探索性的，所以操作系統(tǒng)安全測評(píng)自動(dòng)化是個(gè)復(fù)
雜而又艱難的過程。
在總結(jié)了以上兩個(gè)典型的操作系統(tǒng)測評(píng)自動(dòng)化系統(tǒng)和融合了之前總結(jié)的軟件
測試自動(dòng)化理論和技術(shù)的基礎(chǔ)上，我們提出了一種改進(jìn)的操作系統(tǒng)自動(dòng)化測評(píng)框
架———OSSEF。
3．3 操作系統(tǒng)安全測評(píng)自動(dòng)化框架——OSSEF
OSSEF(Operating System Security Evaluation Framework)是一個(gè)改進(jìn)后的
操作系統(tǒng)安全測評(píng)自動(dòng)化框架，它吸收了上述操作系統(tǒng)測評(píng)自動(dòng)化系統(tǒng)的優(yōu)點(diǎn)和
利用了一些軟件測試自動(dòng)化方法：一、將測評(píng)請求先映射為相應(yīng)的安全測評(píng)準(zhǔn)則
中的安全功能組件，再將這些組件映射為測試用例；二、借鑒了上面介紹的第一
種安全測評(píng)自動(dòng)化系統(tǒng)中的“規(guī)則"的概念，通過轉(zhuǎn)化規(guī)則自動(dòng)將測試用例轉(zhuǎn)化
成測試腳本，這種方法較之上面介紹的第二種安全測評(píng)自動(dòng)化系統(tǒng)的三級(jí)驅(qū)動(dòng)在
實(shí)現(xiàn)方法上簡單，而且代替了其直接編寫測試腳本的方式，減小了工作量；三、
利用了數(shù)據(jù)驅(qū)動(dòng)方法，將測試用例中重復(fù)部分的數(shù)據(jù)和測試用例分離。OSSEF的總
體思想是根據(jù)不同等級(jí)的安全功能需求手動(dòng)進(jìn)行測試用例設(shè)計(jì)并用特定語言和格
式描述，測試用例的編寫可以借助用例管理工具進(jìn)行，編寫好的測試用例將存儲(chǔ)
在數(shù)據(jù)庫中，測評(píng)等級(jí)與安全功能組件的對(duì)應(yīng)關(guān)系及安全功能組件與測試用例的
對(duì)應(yīng)關(guān)系也存儲(chǔ)在數(shù)據(jù)庫中，用戶提出測評(píng)請求后測評(píng)框架通過這些映射關(guān)系從
數(shù)據(jù)庫中讀取測試用例，在用例解釋器的幫助下將測試用例和測試數(shù)據(jù)轉(zhuǎn)化成測
33
北京交通大學(xué)碩士學(xué)位論文
試腳本，執(zhí)行測試腳本并收集測試結(jié)果，待所有的測試用例測試完成后，進(jìn)行測
評(píng)結(jié)果的判定。
3．3．1總體設(shè)計(jì)
OSSEF的體系結(jié)構(gòu)如圖3—5所示。OSSEF分為測評(píng)客戶端、測評(píng)引擎和數(shù)據(jù)庫
三大部分。測評(píng)客戶端是測評(píng)人員進(jìn)行測評(píng)的入口，在測評(píng)客戶端中，測評(píng)人員
可以選擇測評(píng)等級(jí)，或者選擇Iii貝I評(píng)等級(jí)更細(xì)一層的測評(píng)組件，之后發(fā)起測評(píng)。
測評(píng)引擎接受到測評(píng)請求后，通過測評(píng)執(zhí)行器訪問數(shù)據(jù)庫，取得測評(píng)組件對(duì)應(yīng)的
測試用例和測試用例所需要的測試數(shù)據(jù)，并在用例解釋器的幫助下生成測試腳本，
測評(píng)執(zhí)行器執(zhí)行測試腳本并收集測試結(jié)果，執(zhí)行完所有的測試用例后對(duì)結(jié)果進(jìn)行
判定并將測評(píng)結(jié)果返回給測評(píng)客戶端，這樣測評(píng)人員就得到了測評(píng)結(jié)果。
圖3．5 OSSEF框架的結(jié)構(gòu)
Figure 3-5 Structure of OSSEF
在國標(biāo)GB／T18336—200l和TCSEC中對(duì)安全功能進(jìn)行了等級(jí)劃分，但是沒有具
體規(guī)定具體安全功能需求組件，而CC標(biāo)準(zhǔn)提供了安全功能需求組件，于是我們通
過分析國標(biāo)中安全等級(jí)的安全要求和CC標(biāo)準(zhǔn)中安全功能組件的目的實(shí)現(xiàn)兩者的映
射，即如圖3-6所示的映射關(guān)系。
么第一級(jí)≥≤第二芳級(jí) ≥第≮二級(jí) 7＼◇ FAI UAU．1 FAI—UAU．2 FAI UAU．3 FAI UAU．4 FAI UAU．5 ／＼
FAI UAU．4．1 FAI—UAU．4．2
圖3-6測評(píng)等級(jí)和安全功能組件的映射關(guān)系
Figure 3-6 Relation between evaluation level and security functional components
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
圖中的安全功能需求組件的內(nèi)容是：
FIA-UAU．1：計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基初始執(zhí)行時(shí)，首先要求用戶標(biāo)識(shí)自己
的身份，并使用保護(hù)機(jī)制(例如：口令)來鑒別用戶的身份；
FI圳AU．2：阻止非授權(quán)用戶訪問用戶身份鑒別數(shù)據(jù)；
FIA_UAU．4：計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基還具備將身份標(biāo)識(shí)與該用戶所有可審
計(jì)行為相關(guān)聯(lián)的能力。
以功能元素FIA_UAU．4組件為例，又可分為功能子項(xiàng)(僅舉兩個(gè)為例)：
FIA-UAU．4．1：審計(jì)以非法密碼登錄的錯(cuò)誤；
FIA-UAU．4．2：申請以非法安全級(jí)登錄的錯(cuò)誤；
國標(biāo)中安全等級(jí)的第一級(jí)是用戶自主保護(hù)級(jí)，這一級(jí)的安全功能需求是：計(jì)
算機(jī)信息系統(tǒng)可信計(jì)算基定義和控制系統(tǒng)中命名用戶對(duì)命名客體的訪問。實(shí)施機(jī)
制(例如：訪問控制表)允許命名用戶以用戶和(或)用戶組的身份規(guī)定并控制
客體的共享；阻止非授權(quán)用戶讀取敏感信息。計(jì)算機(jī)信息系統(tǒng)可信計(jì)算荃初始執(zhí)
行時(shí)，首先要求用戶標(biāo)識(shí)自己的身份，并使用保護(hù)機(jī)制(例如：口令)來鑒別用
戶的身份，阻止非授權(quán)用戶訪問用戶身份鑒別數(shù)據(jù)。計(jì)算機(jī)信息系統(tǒng)可信計(jì)算墓
通過自主完整性策略，阻止非授權(quán)用戶修改或破壞敏感信息。所以安全等級(jí)的第
一級(jí)應(yīng)該和圖中FIA UAU．1和FIA UAU．2對(duì)應(yīng)。同理每一個(gè)安全等級(jí)都可以和具
體的安全需求組件對(duì)應(yīng)。
在進(jìn)行了框架的總體設(shè)計(jì)后，我們進(jìn)行框架的詳細(xì)設(shè)計(jì)，包擴(kuò)數(shù)據(jù)庫內(nèi)容設(shè)
計(jì)、用例管理工具設(shè)計(jì)、測評(píng)引擎設(shè)計(jì)、測試用例解釋器設(shè)計(jì)以及OSSEF的測評(píng)
流程。
3．3．2數(shù)據(jù)庫內(nèi)容設(shè)計(jì)
數(shù)據(jù)庫內(nèi)容的設(shè)計(jì)如圖3—7所示。數(shù)據(jù)庫中存放的內(nèi)容包括測評(píng)等級(jí)與安全
功能組件的對(duì)應(yīng)關(guān)系、安全功能組件測試用例的對(duì)應(yīng)關(guān)系以及測試用例和測試用
例需要的測試數(shù)據(jù)。測試用例以文件形式存儲(chǔ)，對(duì)應(yīng)關(guān)系以二維表的形式存儲(chǔ)。
測評(píng)引擎接收到測評(píng)的指令后通過測評(píng)等級(jí)和組件對(duì)應(yīng)關(guān)系表找到需要需要測評(píng)
的安全組件，再通過安全組件與測試用例的對(duì)應(yīng)關(guān)系將測試用例按順序取出進(jìn)行
測試。由于測試用例中重復(fù)部分的測試數(shù)據(jù)被提取出來放，所以要將這些測試數(shù)
據(jù)和測試數(shù)據(jù)與測試用例的對(duì)應(yīng)關(guān)系也存儲(chǔ)在數(shù)據(jù)庫中。
35
北京交通大學(xué)碩士學(xué)位論文
測評(píng)等級(jí)安全功能需求組件測試用例
3．3．3用例管理器設(shè)計(jì)
圖3．7數(shù)據(jù)庫內(nèi)容
Figure 3-7 Content of the Data Base
經(jīng)過可行性分析我們認(rèn)為測試用例的自動(dòng)化生成是不具可行性的，所以在
0SSEF中，我們對(duì)測試用例的生成采用測評(píng)人員手動(dòng)編寫測試用例的方式。為了減
輕測評(píng)人員的負(fù)擔(dān)和提高工作效率我們設(shè)計(jì)了用例管理器對(duì)測試用例進(jìn)行管理。
為了能讓測試引擎理解并執(zhí)行測試用例，測試用例必須用一種容易理解同時(shí)
又標(biāo)準(zhǔn)化、結(jié)構(gòu)化的形式來表述。XML語言就是這樣一種語言，而且各種平臺(tái)和語
言對(duì)對(duì)XML語言有很好的支持，便于框架的實(shí)現(xiàn)。所以0SSEF的測試用例用XML
語言描述。
用例管理器以圖形界面的形式幫助測評(píng)人員對(duì)測試用例進(jìn)行添加、刪除、編
輯、查找以及添加、刪除、修改測試用例及安全功能組件與測試用例的對(duì)應(yīng)關(guān)系。
3．3．4測評(píng)引擎設(shè)計(jì)
測試引擎設(shè)計(jì)如圖3—8所示。測評(píng)引擎包括測評(píng)執(zhí)行器、用例解釋器。測評(píng)
執(zhí)行器又分為三部分，分別是測試數(shù)據(jù)提取模塊、測試執(zhí)行模塊和測試用例到測
試測試腳本轉(zhuǎn)化模塊。
由于測評(píng)執(zhí)行器會(huì)從數(shù)據(jù)庫中反復(fù)查找測試用例和測試數(shù)據(jù)，查找過程是重
復(fù)的，所以我們將測試數(shù)據(jù)提取作為一個(gè)測評(píng)執(zhí)行器和數(shù)據(jù)庫的接口模塊，它可
以根據(jù)測評(píng)執(zhí)行器的請求從數(shù)據(jù)庫中提取所需的測試用例和測試數(shù)據(jù)。
操作系統(tǒng)安全測評(píng)自動(dòng)化的研究
圖3-8測試引擎結(jié)構(gòu)
Figure 3-8 Structure of testing engine
測試用例和最終的測試命令還有很大差距，還不能直接作用于待測系統(tǒng)，用
例解釋器就是用例告訴測試用例到測試腳本轉(zhuǎn)化模塊怎樣將測試用例轉(zhuǎn)化為測試
腳本(測試命令序列)。實(shí)際上測試用例解釋器是一組轉(zhuǎn)化規(guī)則的集合，這組規(guī)則
的作用類似于解釋器。這些規(guī)則需要專業(yè)人員手動(dòng)編制，對(duì)一種操作系統(tǒng)來說這
些規(guī)則一旦編制完成一般不需要改動(dòng)。這樣設(shè)計(jì)好處是，一、測試用例編寫人員
只需要考慮操作系統(tǒng)的安全功能來設(shè)計(jì)用例，不用考慮底層的測試命令；二、如
果待測系統(tǒng)有所變動(dòng)只需要改變規(guī)則，保證了測試用例的通用性；三、測試用例
的修改可以通過用例管理器進(jìn)行，比修改測試腳本更方便。
測試執(zhí)行器將轉(zhuǎn)化好的測試腳本中的測試命令傳給測試執(zhí)行模塊進(jìn)行具體的
測試執(zhí)行，測試執(zhí)行模塊會(huì)將捕捉待測系統(tǒng)的測試結(jié)果，告知測評(píng)執(zhí)行器。測評(píng)
執(zhí)行器還將進(jìn)行測試結(jié)果和預(yù)期結(jié)果比對(duì)發(fā)送給測評(píng)客戶端，測評(píng)客戶端會(huì)將最
終的測評(píng)結(jié)果反饋給測評(píng)人員。
3．3．5 OSSEF測評(píng)步驟
0SSEF的具體測評(píng)步驟如下：
(1)測評(píng)人員將OSSEF安裝在待測系統(tǒng)中，專業(yè)人員根據(jù)待測系統(tǒng)編制用
例解釋器中的轉(zhuǎn)化規(guī)則。
(2)測評(píng)人員通過測評(píng)客戶端提出測評(píng)請求，輸入測評(píng)等級(jí)。測評(píng)客戶端
將測評(píng)請求發(fā)送給測評(píng)引擎中的測評(píng)執(zhí)行器。
(3)測評(píng)執(zhí)行器通過測評(píng)數(shù)據(jù)提取模塊從數(shù)據(jù)庫中取出該測評(píng)等級(jí)相關(guān)的
測試用例和測試數(shù)據(jù)。
北京交通大學(xué)碩十學(xué)位論文
(4)測試用例到測試流轉(zhuǎn)化模塊模塊通過用例解釋器中的規(guī)則將測試用例
轉(zhuǎn)化為測試流。
(5)測試流執(zhí)行模塊執(zhí)行測試腳本中的測試命令并將測試結(jié)果返回給測評(píng)
執(zhí)行器，測評(píng)執(zhí)行器進(jìn)行測試結(jié)果和預(yù)期結(jié)果的比對(duì)。
(6)重復(fù)執(zhí)行第3步到第5步，直到執(zhí)行完該測評(píng)等級(jí)的所有測試用例。
測評(píng)執(zhí)行器將所有用例的測試結(jié)果對(duì)比發(fā)送給測評(píng)客戶端，測評(píng)人員
根據(jù)此結(jié)果給出對(duì)待測系統(tǒng)的等級(jí)評(píng)定。
3．3．6技術(shù)難點(diǎn)及解決方案討論
前面我們只是給出了0SSEF的設(shè)計(jì)，在具體的實(shí)現(xiàn)過程中還存在很多技術(shù)難
點(diǎn)，下面我們對(duì)這些技術(shù)難點(diǎn)進(jìn)行討論。
●測試用例在數(shù)據(jù)庫中的存放。為了便于讀取整個(gè)測試用例文件，應(yīng)該將每
個(gè)測試用例以文件的形式存儲(chǔ)在數(shù)據(jù)庫中，并為所有的測試用例在數(shù)據(jù)庫
中建立相應(yīng)的信息數(shù)據(jù)。
●測試引擎的跨平臺(tái)性。在測評(píng)前需要先將0SSEF安裝在待測系統(tǒng)中，這就
要求0SSEF有很好的跨平臺(tái)性，由于Java有良好的跨平臺(tái)性，可以用Java
來實(shí)現(xiàn)0SSEF的測評(píng)客戶端和測評(píng)引擎的。
·底層測試。操作系統(tǒng)提供給用戶的接口不僅是用戶命令，還可能有系統(tǒng)調(diào)
用等，系統(tǒng)調(diào)用的測試不能用測試命令實(shí)現(xiàn)，可以用C語言編寫并編譯為
二進(jìn)制程序用來測試。
· 測試用例和測試命令的對(duì)應(yīng)關(guān)系。測試用例和測試流的對(duì)應(yīng)關(guān)系是應(yīng)該通
過分析待測系統(tǒng)的功能和用戶接口來得出。由于不同操作系統(tǒng)之間可能有
很大差異，所以測試用例和測試命令的對(duì)應(yīng)關(guān)系也就是轉(zhuǎn)化規(guī)則隨著系統(tǒng)
的不同而不同，所以在對(duì)不同操作系統(tǒng)進(jìn)行測評(píng)前，需要建立新的修改轉(zhuǎn)
化規(guī)則關(guān)系。
3．4 小結(jié)
本章分析了軟件測試自動(dòng)化的理論和國內(nèi)現(xiàn)有的兩種的操作系統(tǒng)安全測評(píng)自
動(dòng)化系統(tǒng)結(jié)構(gòu)并對(duì)這些系統(tǒng)的優(yōu)缺點(diǎn)進(jìn)行了評(píng)價(jià)，在吸取了這些系統(tǒng)的優(yōu)點(diǎn)和融
合了軟件測試自動(dòng)化方法的基礎(chǔ)上，給出了改進(jìn)后的操作系統(tǒng)安全測評(píng)自動(dòng)化框
架的設(shè)計(jì)方案和技術(shù)難點(diǎn)的解決方案的討論。
38
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
4 Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
操作系統(tǒng)安全測試自動(dòng)化的是安全測評(píng)自動(dòng)化的基礎(chǔ)。操作系統(tǒng)安全測試自
動(dòng)化是個(gè)復(fù)雜而又艱難的過程，需要大量的人力物力來完成，因此我們不可能對(duì)
整個(gè)操作系統(tǒng)進(jìn)行自動(dòng)化測試。于是我們將從訪問控制功能這個(gè)操作系統(tǒng)中最重
要的安全機(jī)制出發(fā)，對(duì)操作系統(tǒng)安全測試自動(dòng)化進(jìn)行實(shí)踐。又因?yàn)閲鴥?nèi)自主研發(fā)
的操作系統(tǒng)大多基于開源的Linux系統(tǒng)內(nèi)核，所以對(duì)Linux系統(tǒng)測試自動(dòng)化方法的
研究和工具的實(shí)現(xiàn)有很強(qiáng)通用性和實(shí)用價(jià)值。由于上述原因，我們設(shè)計(jì)和實(shí)現(xiàn)了
Linux訪問控制安全測試自動(dòng)化工具。這一章將對(duì)工具的設(shè)計(jì)思路和實(shí)現(xiàn)方法予以
詳細(xì)的介紹。
4．1 Linux系統(tǒng)的自主訪問控制機(jī)制分析
對(duì)操作系統(tǒng)的一項(xiàng)安全機(jī)制實(shí)現(xiàn)測試自動(dòng)化，第一步先要分析該機(jī)制提供的
安全功能；第二步應(yīng)該分析從那些方面測試這些安全功能，這一步可參考測評(píng)標(biāo)
準(zhǔn)中的相關(guān)安全功能組件中的具體描述來確定；第三步是測試用例設(shè)計(jì)；第四步
是自動(dòng)化測試工具的設(shè)計(jì)與實(shí)現(xiàn)；第五步是測試自動(dòng)化工具的運(yùn)行，即測試執(zhí)行
和結(jié)果輸出的過程。下面我們來分析Linux系統(tǒng)自主訪問控制機(jī)制。
4．1．1 UG0訪問控制管理機(jī)制
UGO(User、Group、Other)訪問控制機(jī)制是UNIX文件系統(tǒng)傳統(tǒng)的訪問控制
方式，它通過在文件和目錄上都設(shè)置權(quán)限位，用來控制用戶對(duì)文件或目錄的訪問。
UGO訪問控制方式也是Linux系統(tǒng)最基本的訪問控制安全機(jī)制【211。
在UGO訪問控制方式中，一個(gè)文件創(chuàng)建后，它具有讀、寫和執(zhí)行三種操作方
式，文件的操作者分為文件所有者、同組用戶和其他用戶三類。文件所有者是指
創(chuàng)建文件的用戶，他是文件的擁有者，他可以設(shè)置用戶的讀、寫和執(zhí)行權(quán)限，也
就是說他是訪問控制權(quán)限的決定者。文件建立時(shí)默認(rèn)的用戶組是文件所有者所在
的用戶組，但文件所有者可以對(duì)該用戶組進(jìn)行修改，該組中的所有用戶都是文件
的同組用戶。
UGO訪問控制方式將文件的權(quán)限用三組3位的二進(jìn)制位描述，即9位二進(jìn)制數(shù)，
并且在最前面加上一位作為文件的類型標(biāo)志。每類用戶占3位，讀、寫、執(zhí)行權(quán)限
各用1位描述，具有權(quán)限時(shí)，該位就設(shè)置為1。讀、寫、執(zhí)行權(quán)限分別用r、w、x三
39
北京交通大學(xué)碩+學(xué)位論文
個(gè)字符表示。
除了這9位權(quán)限位UGO訪問控制方式還有SUID、SGID和sticky---個(gè)特殊權(quán)限
位。它們位于9位權(quán)限位之前。如果一個(gè)文件被設(shè)置了SUID或SGID位，會(huì)分別表
現(xiàn)在所有者或同組用戶的權(quán)限的可執(zhí)行位上。例如：．rwsr．xr-x表示SUID和所有
者權(quán)限中可執(zhí)行位被設(shè)置；．rwSr-．r一表示SUID被設(shè)置，但所有者權(quán)限中可執(zhí)行位
沒有被設(shè)置；．rwxr．sr．x表示SGID矛11同組用戶權(quán)限中可執(zhí)行位被設(shè)置；．rw-r-Sr--表
示SGID被設(shè)置，但同組用戶權(quán)限中可執(zhí)行位沒有被設(shè)置。SUID年BSGID僅可用在
二進(jìn)制文件上，不能用在批處理文件(shell腳本)上，設(shè)置其他種類文件的SUID
和SGID位是沒有意義的。如果一個(gè)程序設(shè)置了SUID，執(zhí)行程序的用戶的euid和
egid變成被運(yùn)行的程序的所有者I拘uid和百d，這個(gè)進(jìn)程將擁有該程序的所有者對(duì)資
源的訪問權(quán)限。同理，設(shè)置了SGID后，進(jìn)程將擁有該程序所屬組對(duì)資源的訪問權(quán)
限。如果SUID和SGID同時(shí)開啟，貝IJSUID的優(yōu)先權(quán)高于SGID。但SGID對(duì)文件的所
有者不起作用。Sticky只對(duì)文件夾有作用，其作用是如果文件夾設(shè)置TSticky，即
使對(duì)文件夾有寫權(quán)限也不能刪除該文件夾中所有者不是自己的文件或文件夾。
4．1．2 ACL訪問控制管理機(jī)制
由于UGO訪問控制方式只能對(duì)文件所有者、同組用戶和其它用戶進(jìn)行進(jìn)行訪
問控制，很難對(duì)每個(gè)用戶或用戶組進(jìn)行訪問控制，即訪問控制粒度過粗，導(dǎo)致了
ACL的產(chǎn)生。ACL的作用是控制單個(gè)用戶和用戶組指定文件訪問權(quán)限【211。
ACL(Access Control List，訪問控制列表)基于IEEE POSIX 1003．1e標(biāo)準(zhǔn)，
EXT2、EXT3、EXT4、JFS、XFS和ReiserFS等文件系統(tǒng)都支持ACL。
ACL的優(yōu)先級(jí)高于UGO的優(yōu)先級(jí)，當(dāng)ACL的權(quán)限設(shè)置大于UGO時(shí)，mask就是
UGO權(quán)限中的同組用戶的最高權(quán)限，而ACL的有效權(quán)限則是和mask取權(quán)限的交集，
從而限制了ACLXiJUGO權(quán)限的超越。但文件的所有者可以通過修改mask值來消除
這種限制。在測試時(shí)，為了保證ACL訪問控制不受限于UGO訪問控制，應(yīng)得將mask
值設(shè)為IWX。ACL中單個(gè)用戶權(quán)限的優(yōu)先權(quán)高于同組用戶權(quán)限，也就是說如果在
ACL中設(shè)置了某個(gè)用戶的權(quán)限，又設(shè)置了這個(gè)用戶所在組的用戶權(quán)限，則這個(gè)用
戶的權(quán)限與他所在組的用戶權(quán)限無關(guān)。例如，文件file的所有者為Userl，User2所
在的用戶組為Group2，我們設(shè)置User2對(duì)file文件的AC呶限為rw．，又設(shè)置用戶組
Group2對(duì)的文件file的ACL權(quán)限為卜，那么User2對(duì)文件file的權(quán)限為I'W．，不受
Group2用戶組權(quán)限的影響。ACL對(duì)文件所有者的權(quán)限不起作用，只對(duì)所有者外的
用戶權(quán)限和組權(quán)限起作用，當(dāng)設(shè)置了文件所有者的AC呶限后，文件所有者對(duì)文
件的訪問控制4仍然按照UGO權(quán)限實(shí)施。
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
4．2 Linux訪問控制安全功能要求及測試方法設(shè)計(jì)
4．2．1安全功能要求
CC標(biāo)準(zhǔn)中與訪問控制中有關(guān)自主訪問控制的安全功能組件的內(nèi)容如下：
FDP ACC．2．1測評(píng)對(duì)象的安全功能應(yīng)對(duì)的任意的主體和客體以及它們之間的
操作執(zhí)行自主訪問控制策略。該安全組件要求測評(píng)對(duì)象的安全功能能夠保證客體
的所有者可以按照自己的意愿精確地指定系統(tǒng)中的主體對(duì)此客體的訪問權(quán)，強(qiáng)調(diào)
的是自主訪問控制策略的功能性。
FDP ACC．2．2測評(píng)對(duì)象的安全功能應(yīng)確保所有主體和客體之間的所有操作將
被自主訪問控制策略所覆蓋。該安全組件要求測評(píng)對(duì)象的安全功能能夠保證自主
訪問控制能夠?qū)嵤┯谒械闹黧w和客體以及它們之間所有操作，強(qiáng)調(diào)自主訪問控
制策略的覆蓋性。
4．2．2測試方法設(shè)計(jì)
測試方法是安全測試的重要內(nèi)容。操作系統(tǒng)安全測試和軟件功能的測試方法
不盡相同。在分析了Linux系統(tǒng)的系統(tǒng)結(jié)構(gòu)的基礎(chǔ)上，我們得出對(duì)安全功能的測試
應(yīng)該從兩方面進(jìn)行，一是系統(tǒng)底層Linux系統(tǒng)調(diào)用的安全功能測試，二是Shell安
全功能測試。
用戶空間
系統(tǒng)空間
圖4-1 Linux系統(tǒng)空間與用戶空間
Figure 4-1 System space and user space of Linux
系統(tǒng)調(diào)用測試：
Linux安全機(jī)制的實(shí)施機(jī)構(gòu)是系統(tǒng)內(nèi)核，如圖4-1所示，Shell和用戶程序都建
立在內(nèi)核之上的，都工作在用戶態(tài)。進(jìn)入內(nèi)核的唯一方法是通過系統(tǒng)調(diào)用。系統(tǒng)
調(diào)是操作系統(tǒng)提供給用戶程序調(diào)用的一組“特殊"接口，用戶程序可以通過這組
“特殊”接口來獲得操作系統(tǒng)內(nèi)核提供的服務(wù)，比如用戶可以通過文件系統(tǒng)相關(guān)
的調(diào)用請求系統(tǒng)打開文件、關(guān)閉文件或讀寫文件，可以通過時(shí)鐘相關(guān)的系統(tǒng)調(diào)用
41
北京交通大學(xué)碩士學(xué)位論文
獲得系統(tǒng)時(shí)間或設(shè)置系統(tǒng)時(shí)間等【221。
系統(tǒng)服務(wù)之所以需要通過系統(tǒng)調(diào)用提供給用戶空間的根本原因是為了對(duì)系統(tǒng)
“保護(hù)”，因?yàn)長inux的運(yùn)行空間分為內(nèi)核空間與用戶空間，它們各自運(yùn)行在不同
的級(jí)別中，邏輯上相互隔離。所以用戶進(jìn)程在通常情況下不允許訪問內(nèi)核數(shù)據(jù)，
也無法使用內(nèi)核函數(shù)，它們只能在用戶空間操作用戶數(shù)據(jù)，調(diào)用戶用空間函數(shù)。
很多情況下，用戶進(jìn)程需要獲得系統(tǒng)服務(wù)就必須利用系統(tǒng)提供給用戶的“特殊”
接口——系統(tǒng)調(diào)用了，它的特殊性主要在于規(guī)定了用戶進(jìn)程進(jìn)入內(nèi)核的具體位置，
換句話說用戶訪問內(nèi)核的路徑是事先規(guī)定好的，只能從規(guī)定位置進(jìn)入內(nèi)核，而不
準(zhǔn)許肆意跳入內(nèi)核。有了這樣的陷入內(nèi)核的統(tǒng)一訪問路徑限制才能保證內(nèi)核安全。
并不是所有的功能都是在內(nèi)核實(shí)現(xiàn)的，也就是不是所有的服務(wù)都存在于內(nèi)核。
什么樣的服務(wù)應(yīng)該由內(nèi)核完成并沒有明確的答案。選擇在內(nèi)核完成通?；谝幌?
考慮：
·服務(wù)必須獲得內(nèi)核數(shù)據(jù)，比如一些服務(wù)必須獲得中斷或系統(tǒng)時(shí)間等內(nèi)核數(shù)
據(jù)。
·從安全角度考慮，在內(nèi)核中提供的服務(wù)相比用戶空間提供的毫無疑問更安
全，很難被非法訪問到。
·從效率考慮，在內(nèi)核實(shí)現(xiàn)服務(wù)避免了和用戶空間來回傳遞數(shù)據(jù)以及保護(hù)現(xiàn)
場等步驟，因此效率往往要比實(shí)現(xiàn)在用戶空間高許多。比如，httpd等服務(wù)。
·如果內(nèi)核和用戶空間都需要使用該服務(wù)，那么最好實(shí)現(xiàn)在內(nèi)核空間，比如
隨機(jī)數(shù)產(chǎn)生。
Linux安全相關(guān)的功能毫無疑問是在內(nèi)核中實(shí)現(xiàn)的，所以只有系統(tǒng)調(diào)用是安全
的，整個(gè)Linux系統(tǒng)的安全才有保障。
系統(tǒng)調(diào)用和普通的C函數(shù)調(diào)用不同，Linux中實(shí)現(xiàn)系統(tǒng)調(diào)用利用了0x86體系
結(jié)構(gòu)中的軟件中斷，軟件中斷和我們常說的中斷(硬件中斷)不同之處在于——它是
通過軟件指令觸發(fā)而并非外設(shè)，也就是說又編程人員出發(fā)的一種異常，具體的講
就是調(diào)用int Ox80匯編指令，這條匯編指令將產(chǎn)生向量為128的編程異常，即中斷
描述符表中的第128項(xiàng)，這一項(xiàng)中含有一個(gè)預(yù)設(shè)的內(nèi)核空間地址，它指向了系統(tǒng)
調(diào)用處理程序。之所以系統(tǒng)調(diào)用需要借助異常實(shí)現(xiàn)，是因?yàn)楫?dāng)用戶態(tài)的進(jìn)程調(diào)用
一個(gè)系統(tǒng)調(diào)用時(shí)，CPU需要被切換到內(nèi)核態(tài)執(zhí)行內(nèi)核函數(shù)。所有的系統(tǒng)調(diào)用都會(huì)
統(tǒng)一的轉(zhuǎn)到這個(gè)地址，Linux一共有上百個(gè)系統(tǒng)調(diào)用都從這里進(jìn)入內(nèi)核，Linux為
每個(gè)系統(tǒng)調(diào)用都進(jìn)行了編號(hào)，同時(shí)在內(nèi)核中保存了一張系統(tǒng)調(diào)用表，該表中保存
了系統(tǒng)調(diào)用編號(hào)和其對(duì)應(yīng)的服務(wù)例程，因此在系統(tǒng)調(diào)入陷入內(nèi)核前，需要把系統(tǒng)
調(diào)用號(hào)一并傳入內(nèi)核。在x86上，這個(gè)傳遞動(dòng)作是通過在執(zhí)行intOx80前把調(diào)用號(hào)
裝入eax寄存器實(shí)現(xiàn)的。系統(tǒng)調(diào)用完成后，控制權(quán)被交回到發(fā)起調(diào)用的用戶進(jìn)程。
42
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
系統(tǒng)調(diào)用必須用C語言實(shí)現(xiàn)。
Shell命令測試：
如圖4．1所示，系統(tǒng)調(diào)用是用戶使用的內(nèi)核提供的服務(wù)的一種接口，提供了用
戶與內(nèi)核進(jìn)行交互操作的一種接口，Shell是系統(tǒng)的用戶界面，提供了用戶與內(nèi)核
進(jìn)行交互操作的另一種接口。Shell是系統(tǒng)的命令解釋器，它解釋由用戶輸入的命
令并且把它們送到內(nèi)核。Shell有自己的編程語言用于對(duì)命令的編輯，它允許用戶
編寫由shell命令組成的程序。
所以在對(duì)系統(tǒng)調(diào)用進(jìn)行測試的同時(shí)，還應(yīng)該對(duì)Shell命令是否能保證系統(tǒng)的安
全功能進(jìn)行測試。
4．3測試用例設(shè)計(jì)
在4．1節(jié)中我們已經(jīng)分析了UGO權(quán)限管理方式和ACL機(jī)制。UGO是最基本
的訪問控制管理方式，ACL是建立在UGO權(quán)限管理方式基礎(chǔ)上的可選的機(jī)制。我
們應(yīng)該先對(duì)不開啟ACL機(jī)制時(shí)的UGO權(quán)限管理方式進(jìn)行測試，然后在對(duì)ACL機(jī)
制進(jìn)行測試，后者也就是測試這兩種安全機(jī)制都工作時(shí)是否滿足安全功能需求。
圖4-2 Linux訪問控制機(jī)制測試分類
Figure 4-2 Test classification for Linux Access Control
根據(jù)CC中安全功能組件FDU～CC．2．1和FDP—ACC．2．2，訪問控制安全測試
應(yīng)該分為訪問控制權(quán)授予測試和訪問控制實(shí)施測試兩類。又因?yàn)閁GO權(quán)限管理方
43
北京交通大學(xué)碩十學(xué)位論文
式在特殊權(quán)限位開啟和關(guān)閉時(shí)安全功能不同，所以將對(duì)UGO的測試分為開啟特殊
權(quán)限位測試和不開啟特殊權(quán)限位的測試。測試的劃分如圖4．2所示。
訪問控制操作的客體，即文件包括一般文件和目錄文件，如果沒有特別說明
之后提到文件都包括一般文件和目錄文件兩類。測試時(shí)也應(yīng)該對(duì)這兩種文件分別
測試。因?yàn)槟夸浀淖x操作和寫操作都需要執(zhí)行權(quán)限，所以在測試用戶對(duì)目錄的讀、
寫時(shí)，需要在測試用例中文件權(quán)限的基礎(chǔ)上對(duì)目錄文件的該類用戶額外授予執(zhí)行
權(quán)限。
4．3．1 UGO訪問控制機(jī)制的測試設(shè)計(jì)
為了保證將所有的安全功能都覆蓋到，應(yīng)該先對(duì)該訪問方式的類型進(jìn)行分類。
UGO將權(quán)限按用戶分類，用戶分為文件所有者、同組用戶、其他用戶三類，所以
必須保證每一類中至少有一個(gè)用戶，才能通過這類用戶的行為判定安全功能是否
實(shí)現(xiàn)。
對(duì)UGO訪問控制測機(jī)制試所需用戶的設(shè)計(jì)如表4．1所示。當(dāng)一個(gè)文件的所有
者為Userl，所在的組為Groupl時(shí)，User2是這個(gè)文件的同組用戶，User3是這個(gè)
文件的其他用戶。這就保證了文件所有者、同組用戶、其他用戶三類非別有不同
的用戶，可以覆蓋所有的訪問控制情況。
表4-1 UGO測試用戶列表
Table 4．1 User list for UG0 test
編號(hào)用戶該用戶所在的組
1 Userl Groupl
2 User2 Groupl
3 User3 Group3
UGO權(quán)限中的特殊權(quán)限位SUID、SGID和Sticky開啟和關(guān)閉時(shí)，訪問控制功
能是不同的。接下來我們分別在在特殊權(quán)限位關(guān)閉和開啟情況下，對(duì)這兩種測試
進(jìn)行測試數(shù)據(jù)準(zhǔn)備和測試用例的描述。
4．3．1．1沒有開啟特殊權(quán)限位時(shí)的測試設(shè)計(jì)
訪問控制授予測試的文件準(zhǔn)備比較簡單，只需要一個(gè)所以者為Userl，用戶組
為Groupl，權(quán)限為rwxrwxrwx的文件“Test_ugo_change”。訪問控制授予測試的
測試用例如表4．2所示。
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
表4．2 UGO訪問控制權(quán)授予測試用例
Table 4-2 Test cases of UG0 authorization
編號(hào)用戶文件操作預(yù)期結(jié)果
4 Usetl Test_ugo_change 修改文件權(quán)限、所有者、用戶組允許
5 User2 Test ugo_change 修改文件權(quán)限、所有者、用戶組拒絕
6 User3 Test_ugo_change 修改文件權(quán)限、所有者、用戶組拒絕
而訪問控制實(shí)施的用例設(shè)計(jì)較為復(fù)雜。如果將rwxiwxrwx的每一種組合窮舉
就將有2的9次方，即512種組合，一類用戶對(duì)每一種組合都進(jìn)行讀、寫和執(zhí)行
測試的測試用例數(shù)就是512乘3，即1536個(gè)，三類用戶對(duì)這些文件的測試用例數(shù)
是4608個(gè)。這其中必然存在著冗余。因?yàn)楸仨殞?duì)三類用戶的每種操作都進(jìn)行測試，
所有只能從測試條件中文件的準(zhǔn)備上來消除這些冗余。下面我們來分析怎樣組合
文件權(quán)限的。
UGO對(duì)每一類用戶提供了讀、寫和執(zhí)行這三種權(quán)限。因?yàn)槲覀儫o法假設(shè)一類
用戶的權(quán)限不會(huì)影響另一類用戶的訪問控制，所以在測試一類用戶的讀、寫或執(zhí)
行權(quán)限時(shí)，應(yīng)該將其他類用戶的該項(xiàng)權(quán)限設(shè)為和此類用戶權(quán)限相反的權(quán)限，而其
他用戶的其他權(quán)限都關(guān)閉。就就保證了UGO對(duì)每一類的訪問控制的實(shí)施是獨(dú)立的，
是UGO訪問控制實(shí)施安全測試的一個(gè)方面。
同樣，我們不能假設(shè)每一類用戶的讀、寫和執(zhí)行權(quán)限是沒有影響的，所以在
測試某種權(quán)限時(shí)，應(yīng)該將該類用戶的其他權(quán)限開啟或關(guān)閉，這是UGO訪問控制實(shí)
施安全測試的另一個(gè)方面。但這樣會(huì)照成部分文件權(quán)限的重復(fù)。例如要測試Userl
的讀權(quán)限是，文件對(duì)Userl權(quán)限的組合是IWX和1"-．；測試Userl的寫權(quán)限時(shí)，文
件對(duì)Userl的組合是rwx和．w．；測試用戶Userl的執(zhí)行權(quán)限時(shí)，文件對(duì)Userl的
組合是rwx和．w．，對(duì)每一類用戶的用例就有3個(gè)是重復(fù)的。于是我們可以將這些
重復(fù)用例中的rwx分為變?yōu)閞w．，．wx和l'-X三種組合。如果這三種組合可以保證
讀、寫和執(zhí)行權(quán)限之間不會(huì)想和影響。
這樣對(duì)每類用戶某種權(quán)限獨(dú)立的測試將分為兩種情況，分別是權(quán)限位為1即
允許訪問和為0即不允許訪問。
于是總的測試用例個(gè)數(shù)是2乘2乘3乘3，等于36種，比所有權(quán)限組合的測
試工作量大大降低。訪問控制執(zhí)行測試用例如表4．3所示，其中所有文件的所有
者都是Userl，用戶組都是Groupl。
45
北京交通大學(xué)碩士學(xué)位論文
表4-3 UGO訪問控制實(shí)施測試用例
Table 4．3 Test cases of UGO access control
編號(hào)用戶文件UGO權(quán)限操作預(yù)期結(jié)果
1 Userl Test__ugo_acccessl rw-?? 讀允許
2 Userl Test_ugo_access2 r-??- 讀允許
3 Userl Test_ugo——access3 -WX r--r-一讀拒絕
4 Userl Test_ugo_access4 ?r．-r-- 讀拒絕
5 Userl Test_ugo_access5 -wx?? 寫允許
6 Userl Test_ugo—．a(chǎn)ccess6 -W??· 寫允許
7 Userl Test_ugo_access7 r-x娟，--w- 寫拒絕
8 Userl Test_ugo_access8 ?-W-·-W一寫拒絕
9 Userl Test_ugo_access9 r-x?? 執(zhí)行允許
10 Userl Test_ugo_accessl0 ?X?-- 執(zhí)行允許
11 Userl Test ugo_accessll r、)lr?X—·X 執(zhí)行拒絕
12 Userl Test_ugo_accessl2 ?一X--X 執(zhí)行拒絕
13 User2 Test_ugo_accessl3 ?IW一? 讀允許
14 User2 Test_ugo_accessl4 ?r--? 讀允許
15 User2 Test_ugo_accessl5 r--一WX r·· 讀拒絕
16 User2 Test_ugo——accessl6 r．?-r-一讀拒絕
17 User2 Test_ugo_accessl7 ?-WX--一· 寫允許
18 User2 Test_ugo_accessl8 ?·W-? 寫允許
19 User2 Test_ugo_accessl9 -、Ⅳ一r-X娟r- 寫拒絕
20 USer2 Test_ugo_access20 -W-?一W一寫拒絕
21 User2 Test_．ugo——acccess21 ?卜X一執(zhí)行允許
22 User2 Test ugo_acccess22 ?一X? 執(zhí)行允許
23 User2 Test_ugo_acccess23 --X IW一一一X 執(zhí)行拒絕
24 User2 Test_ugo_acccess24 一-X?-·X 執(zhí)行拒絕
25 User3 Test ugo——acccess25 ??rW- 讀允許
26 User3 Test_ugo_acccess26 ??r-- 讀允許
27 User3 Test_ugo_acccess27 r--r---wx 讀拒絕
28 User3 Test ugo_acccess28 ro-r--? 讀拒絕
29 User3 Test_ugo—．a(chǎn)cccess29 ??-WX 寫允許
30 Uset3 Test_ugo_acccess30 ??一W- 寫允許
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
編號(hào)用戶文件UGO權(quán)限操作預(yù)期結(jié)果
31 User3 Test_ugo_acccess3 1 -Wo-W-1"-X 寫拒絕
32 User3 Test_ugo_acccess32 -：鼬一·：’瀚一? 寫拒絕
33 User3 Test_ugo_acccess33 ?--r-X 執(zhí)行允許
34 User3 Test_ugo_acccess34 ??一X 執(zhí)行允許
35 User3 Test ugo_acccess35 --X·-X r、^，· 執(zhí)行拒絕
36 User3 Test_ugo_acccess36 --X--X一執(zhí)行拒絕
4．3．1．2開啟特殊權(quán)限位
UGO中的SUID和SGID只對(duì)可執(zhí)行程序起作用，SUID的作用是二進(jìn)制可執(zhí)
行程序?qū)Y源的訪問擁有該程序文件所有者的權(quán)限，SGID的作用是二進(jìn)制可執(zhí)行
程序?qū)Y源的訪問擁有文件用戶組的權(quán)限。但SGID對(duì)程序文件的所有者不起作
用。Sticky只對(duì)文件夾作用，如果文件夾設(shè)置了Sticky，即使對(duì)文件夾有寫權(quán)限也
不能刪除該文件夾中所有者不是自己的文件或文件夾。
開啟權(quán)限位后對(duì)UGO訪問控制授予測試，要驗(yàn)證這三個(gè)位對(duì)文件權(quán)限的授予
沒有影響。需要準(zhǔn)備的文件如表4．4所示，其中所有文件的所有者是Userl，用戶
組為Groupl，權(quán)限為rwxrwxrwx。
表4_4開啟特殊權(quán)限位后UGO訪問控制權(quán)授予文件列表
Table 4-4 File list of UGO authorization test when SUID，SGID，Sticky Bit are turned On
編號(hào)文件特殊權(quán)限
37 Test sugid_st__changel SUlD
38 Test_sugid_stchange2 SGID
39 Test sugid_stchange3 Sticky
40 Test_sugid_st change4 SUID+SUID+sticky
測試用例如表4．5所示：
表4-5開啟特殊權(quán)限位后UGO訪問控制權(quán)授予測試用例
Table 4-5 Test eases of UGO authorization when SUID，SGID，Sticky Bit are turned on
編號(hào)用戶文件操作預(yù)期結(jié)果
Usetl 修改文件權(quán)限、所有者、用戶組允許
41
Test_sugid_st changel
User2
Test_sugid_st_change2 修改文件權(quán)限、所有者、用戶組拒絕42
Test_sugid_st_change3
User3 Test sugid——st__change4
修改文件權(quán)限、所有者、用戶組拒絕43
47
北京交通大學(xué)碩士學(xué)位論文
開啟SUID、SGID和Sticky位后的UGO訪問控制實(shí)施測試可以分為開啟SUID
或SGID后起作用和不起作用的兩類和開啟Sticky后起作用和不起作用的兩類，如
表4-6所示。對(duì)于那些特殊權(quán)限位不起作用的測試，可以復(fù)用表4．3中的用例，只
需要把表4—3中的文件的SUID、SGID和Sticky位開啟即可，測試預(yù)期結(jié)果不變。
對(duì)于起作用類的測試需要重新設(shè)計(jì)測試用例。
表4-6開啟特殊權(quán)限位后UGO訪問控制權(quán)實(shí)施測試分類
作用SUID或SGlD開啟Sticky開啟
讀讀
文件寫
寫文件
不起作用
執(zhí)行
讀
讀
目錄
寫目錄寫(除了刪除該目錄下的文件或目錄)
執(zhí)行執(zhí)行
起作用文件執(zhí)行目錄刪除該目錄下的文件或目錄
SUID開啟后，任何用戶執(zhí)行程序文件，該文件對(duì)資源的訪問權(quán)限都等于文件
所有者對(duì)資源的訪問權(quán)限。首先應(yīng)該測試可執(zhí)行程序SUID沒有開啟時(shí)用戶通過執(zhí)
行該程序?qū)Y源的訪問依賴于該用戶對(duì)資源的訪問權(quán)限，開啟SUID后的測試應(yīng)該
分為兩類：一類是其他用戶對(duì)資源有訪問權(quán)限，但資源所有者沒有訪問權(quán)限；一
類是其他用戶對(duì)資源沒有訪問權(quán)限，但資源所有者對(duì)資源有訪問權(quán)限。每一類又
要分別對(duì)讀、寫和執(zhí)行權(quán)限進(jìn)行分別測試。SUID開啟后對(duì)文件執(zhí)行權(quán)限的測試的
文件準(zhǔn)備如表4-7所示。其中所有文件的所有者是Userl，用戶組是Groupl。
表4．7開啟SUID后UGO訪問控制權(quán)實(shí)施測試文件列表
Table 4-7 File list for UGO access control test when SUlD is turned on
編號(hào)文件權(quán)限文件內(nèi)容
1 Test_suid_accessl r、vX?X —X Tsul(1'WX一一-)
2 Test_suid_access2 rwx?x-x 讀、寫、執(zhí)行Tsu2(?rwx·．)
3 Test——suid_access3 I'WX?X·X 讀、寫、執(zhí)行Tsu3(??l'WX)
4 Test——suid—．a(chǎn)ccess4 rws?x—x 讀Tsu4(r-?----)
5 Test_suid_access5 rws?x·X 讀Tsu5(?卜卜)
6 Test suid——access6 nVS?X ·X 寫Tsu6(-w一??)
7 Test_suid_access7 IWS?X·X 寫Tsu7(?-w一-w-)
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
編號(hào)文件權(quán)限文件內(nèi)容
8 Test——suid—．a(chǎn)ccess8 rws-—X一—X 執(zhí)行Tsu8(?X?一．)
9 Test——suid——access9 r、ⅣS--X一一X 執(zhí)行Tsu9(??X-x)
SUID權(quán)限位測試用例如表4．8所示：
表4．8開啟SUID后UGO訪問控制權(quán)實(shí)施測試用例
Table 4-8 Test cases of UGO access control when SUID is turned on
編號(hào)用戶文件操作預(yù)期結(jié)果
1 Userl Test suid——accessl 執(zhí)行允許
Test_suid_access2
2 Userl 執(zhí)行拒絕
Test_suid_access3
3 User2 Test_suid__access2 執(zhí)行允許
Test_suid_accessl
4 User2 執(zhí)行拒絕
Test——suid——access3
5 User3 Test——suid——access3 執(zhí)行允許
Test—．suid——accessl
6 User3 執(zhí)行拒絕
Test_suid——access2
7 Userl Test__suid_access4 執(zhí)行允許
8 Userl Test——suid——access5 執(zhí)行拒絕
9 User2 Test—．suid—．a(chǎn)ccess4 執(zhí)行允許
10 User2 Test suid——access5 執(zhí)行拒絕
11 User3 Test—．suid—．a(chǎn)ccess4 執(zhí)行允許
12 User3 Test_suid_access5 執(zhí)行拒絕
13 Userl Test_suid_access6 執(zhí)行允許
14 Userl Test．—．suid—，access7 執(zhí)行拒絕
15 User2 Test_suid_access6 執(zhí)行允許
16 User2 Test_suid_access7 執(zhí)行拒絕
17 User3 Test_suid_access6 執(zhí)行允許
18 User3 Test_suid——access7 執(zhí)行拒絕
19 Userl Test_suid_access8 執(zhí)行允許
20 Userl Test——suid——access9 執(zhí)行拒絕
21 User2 Test——suid——access8 執(zhí)行允許
49
北京交通大學(xué)碩十學(xué)位論文
編號(hào)用戶文件操作預(yù)期結(jié)果
22 User2 Test_suid——access9 執(zhí)行拒絕
24 User3 Test_suid_access8 執(zhí)行允許
25 User3 Test_suid——access9 執(zhí)行拒絕
對(duì)SGID的測試和SUID的測試類似。文件準(zhǔn)備如表4-9所示。其中所以文件
的所有者為Userl，用戶組為Groupl。
表4-9開啟SGID后UGO訪問控制權(quán)實(shí)施測試文件準(zhǔn)備
Table 4—9 File list for UGO access control test when SGlD is turned on
編號(hào)文件權(quán)限文件內(nèi)容
1 Test_sgid——accessl r、)lrX一-X-一X 讀、寫、執(zhí)行Tsgl(rwx?---)
2 Test_sgid_access2 r、vX—X一一X 讀、寫、執(zhí)行Ts92(-一rwx--)
3 Test_sgid_access3 r、ⅣX一-X--X 讀、寫、執(zhí)行Ts93(??l'WX)
4 Test_sgid_access4 r、ⅣX--S一-x 讀Ts94(．．·r．----)
5 Test_sgid——access5 r、VX--S—X 讀Ts95(f-?-r．．)
6 Test_sgid_access6 r、VX··S--X 寫Ts96(-一-w?-)
7 Test_sgid——access7 r、VX--S—·X 寫Ts驢(-w?--w一)
8 Test_sgid—．a(chǎn)ccess8 九ⅣX--$一-x 執(zhí)行Ts98(?一-x---)
9 Test_sgid_access9 r、ⅣX一-S—X 執(zhí)行Ts99(一x一一-X)
SGID權(quán)限位測試用例如表4．10所示。和SUID測試用例不同的是，文件所有
者執(zhí)行程序時(shí)程序?qū)Y源的權(quán)限仍然是程序文件所有者對(duì)資源的訪問權(quán)限，不是
程序文件的用戶組對(duì)資源的訪問權(quán)限。
表4．10開啟SGID后UGO訪問控制權(quán)實(shí)施測試川例
T抽le 4．10 Tbst cases of UGO access control when SGID is turned on
編號(hào)用戶文件操作預(yù)期結(jié)果
1 Userl Test_sgid_accessl 執(zhí)行允許
Test_sgid——access2
2 Userl 執(zhí)行拒絕
Test sgid_access3
3 User2 Test_sgid——access2 執(zhí)行允許
Test_sgid_accessl
4 Uset2 執(zhí)行拒絕
Test_sgid——access3
5 User3 Test_sgid——access3 執(zhí)行允許
50
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
Test_sgid——accessl
6 User3 執(zhí)行拒絕
Test_sgid_access2
7 Userl Test_sgid_access4 執(zhí)行拒絕
8 Userl Test_sgid_access5 執(zhí)行允許
9 User2 Test_sgid_access4 執(zhí)行允許
10 User2 Test_sgid_access5 執(zhí)行拒絕
11 User3 Test_sgid_access4 執(zhí)行允許
12 User3 Test_sgid_．a(chǎn)ccess5 執(zhí)行拒絕
13 Usetl Test_sgid_access6 執(zhí)行拒絕
14 Userl Test_s酉d_access7 執(zhí)行允許
15 Use比Test_sgid_access6 執(zhí)行允許
16 User2 Test_sgid——access7 執(zhí)行拒絕
17 User3 Test_sgid_access6 執(zhí)行允許
18 User3 Test_sgid_access7 執(zhí)行拒絕
19 Userl Test sgid_access8 執(zhí)行拒絕
20 Userl Test_sgid_access9 執(zhí)行允許
21 User2 Test_sgid_access8 執(zhí)行允許
22 User2 Test_sgid_access9 執(zhí)行拒絕
23 USer3 Test_sgid—．a(chǎn)ccess8 執(zhí)行允許?
24 User3 Test_sgid_access9 執(zhí)行拒絕
因?yàn)镾UID的優(yōu)先權(quán)高于SGID，所以當(dāng)SUID和SGID同時(shí)開啟時(shí)的測試文
件只需在SUID文件準(zhǔn)備的基礎(chǔ)上開啟SGID，測試用例和SUID的測試用例相同。
Sticky位的作用是防止非文件所有者刪除文件。我們將在一個(gè)所有用戶都有
讀、寫、執(zhí)行權(quán)限和Sticky位開啟的文件夾下，測試三類用戶對(duì)其他用戶的文件
的刪除、重命名和移動(dòng)操作。在測試之前我們先要建立一個(gè)目錄TestDir，所有者
為Userl，用戶組位Groupl，權(quán)限為rwxrwxrwt。測試用例如表4。11所示，表中的
文件都需要在TestDir目錄下的創(chuàng)建。
表4-11開啟sticky后UGO訪問控制權(quán)實(shí)施測試用例
Table 4-11 Test cases of UGO access control when Sticky is turned on
編號(hào)用戶文件所有者用戶組操作預(yù)期結(jié)果
1 Userl 1'est st del Userl Groupl 刪除、重命名或移動(dòng)允許
2 User2 Test st del Userl Groupl 刪除、重命名或移動(dòng)拒絕
51
北京交通大學(xué)碩十學(xué)位論文
3 User3 Test——st——del User 1 Groupl 刪除、重命名或移動(dòng)拒絕
4 Userl Tbst st del User2 Group2 刪除、重命名或移動(dòng)拒絕
5 User2 Tbst st del User2 Group2 刪除、重命名或移動(dòng)允許
6 User3 Test——st——del User2 Group2 刪除、重命名或移動(dòng)拒絕
7 Userl Test——st——del User3 Group3 刪除、重命名或移動(dòng)拒絕
8 User2 Test——st——del User3 Group3 刪除、重命名或移動(dòng)拒絕
9 User3 Test——st——del Usel 3 Group3 刪除、重命名或移動(dòng)允許
4．3．2 ACL訪問控制機(jī)制的測試設(shè)計(jì)
在ACL機(jī)制中權(quán)限的分配是以單個(gè)用戶和單個(gè)用戶組為單位的。我們的測試
用例要檢查ACL機(jī)制對(duì)文件所有者、組用戶和其他用戶和用戶組能否指定的訪問
權(quán)限是否正確實(shí)施。為了不受ACL的影響我們將mask都設(shè)為rwx權(quán)限。ACL訪
問控制測試所需用戶的設(shè)計(jì)和UGO訪問控制機(jī)制的用戶設(shè)計(jì)相同。ACL訪問控制
權(quán)授予測試用例如表4．12所示。其中Test acl changel文件的所有者為Userl，用
戶組為Groupl，權(quán)限是rwxrwxrwx，ACL權(quán)限為用戶Userl、User2、User3用戶
有rwx權(quán)限，組Userl有rwx權(quán)限。
表4．12ACL訪問控制權(quán)授予測試用例
Table 4．12 Test cases ofACL authorization
編號(hào)片j戶文件操作預(yù)期結(jié)果
1 Userl Test——acl—．changel 修改權(quán)限、所有者、屬組允許
2 User2 Test——acl changel 修改權(quán)限、所有者、屬組拒絕
3 User3 Test——acl changel 修改權(quán)限、所有者、屬組拒絕
4 Userl Test—．a(chǎn)cl changel 修改權(quán)限、所有者、屬組允許
5 USer2 Test——acl——change l 修改權(quán)限、所有者、屬組拒絕
6 User3 Test——acl——changel 修改權(quán)限、所有者、屬組拒絕
ACL的訪問控制實(shí)施測試的測試內(nèi)容為當(dāng)用戶權(quán)限、組權(quán)限和UGO權(quán)限不一
致時(shí)是否實(shí)施了ACL中的用戶權(quán)限，ACL中用戶的權(quán)限和用戶所在的用戶組權(quán)限
不一致時(shí)是否用戶權(quán)限優(yōu)先，以及用戶組權(quán)限對(duì)用戶權(quán)限的影響。ACL只對(duì)文件
所有者之外的用戶起作用。ACL訪問控制權(quán)實(shí)施測試用例如表4．13所示。其中所
有文件的所有者都為Userl，用戶組為Groupl。
52
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
表4．13ACL訪問控制權(quán)實(shí)施測試用例
Table 4-13 Test cases of ACL access control
編號(hào)用戶文件權(quán)限ACL 操作預(yù)期結(jié)果
1 Userl Test——acl——accessl rwx?? u：Userl：x 讀寫執(zhí)行允許
2 Userl Test——acl——access2 u：Userl：rwx 讀寫執(zhí)行拒絕
3 Use以Test——acl——access3 ?rwx? u：U∞眨：x 讀寫執(zhí)行拒絕
4 User2 Test——acl——access4 u：User2：rwx 讀寫執(zhí)行允許
5 User3 Test——acl——access5 ??I'VCX u：User3：x 讀寫執(zhí)行拒絕
6 User3 Test——acl—．a(chǎn)ccess6 u：User3：rwx 讀寫執(zhí)行允許
7 Userl Test——acl——access7 g：Groupl：rwx 讀寫執(zhí)行拒絕
8 Userl Test——acl——access8 撇? g：Groupl：x 讀寫執(zhí)行允許
9 User2 Test—．a(chǎn)cl——access9 g：Groupl：rwx 讀寫執(zhí)行允許
10 User2 Test—．a(chǎn)cl——accesslO N-r、ⅣX— g：Groupl：rwx 讀寫執(zhí)行允許
11 User3 Test—。acl——accessll g：Groupl：rwx 讀寫執(zhí)行拒絕
12 USer3 Test—。acl——accessl2 ??rVlⅨ g：Groupl：rwx 讀寫執(zhí)行允許
13 Userl Test——acl——accessl3 l"WX?? g：Group3：rwx 讀寫執(zhí)行允許
14 Userl Test—．a(chǎn)cl——accessl4 g：Group3：rwx 讀寫執(zhí)行拒絕
15 User2 Test——acl——accessl5 g：Group3：rwx 讀寫執(zhí)行拒絕
16 User2 Test——acl——accessl6 ?r、)l，X? g：Group3：rwx 讀寫執(zhí)行允許
17 User3 Test—．a(chǎn)cl—．a(chǎn)ccessl7 ?一r、ⅣX g：Group3：rwx 讀寫執(zhí)行允許
18 User3 Test——acl——accessl8 g：Group3：rwx 讀寫執(zhí)行允許
u：User2：rwx
19 User2 Test——acl——accessl9 讀寫執(zhí)行允許
g：Groupl：x
u：Uset2：x
20 User2 Test——acl——access20 讀寫執(zhí)行拒絕
g：Groupl：rwx
4．4 安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
4．4．1總體設(shè)計(jì)
安全測試自動(dòng)化工具是的設(shè)計(jì)思路和第三章的OSSEF測評(píng)框架的設(shè)計(jì)思路類
似。將測試用例用易理解、標(biāo)準(zhǔn)、通用的語言精確的描述，測試引擎通過測試數(shù)
據(jù)提取模塊讀取測試用例，測試用例到測試流轉(zhuǎn)化模塊和用例轉(zhuǎn)化規(guī)則將測試用
53
北京交通大學(xué)碩士學(xué)位論文
例變?yōu)榭梢詼y試流文件，再由測試執(zhí)行模塊執(zhí)行測試流并獲取測試結(jié)果。系統(tǒng)總
體設(shè)計(jì)如圖4．2所示。
我們將python語言作為自動(dòng)化測評(píng)工具的實(shí)現(xiàn)語言。Python是一種簡單易學(xué)，
功能強(qiáng)大的編程語言，它注重的是如何解決問題而不是編程語言的語法和結(jié)構(gòu)。
Python簡潔的語法和對(duì)動(dòng)態(tài)輸入的支持，再加上解釋性語言的本質(zhì)，使得它在大
多數(shù)平臺(tái)上的許多領(lǐng)域都是一個(gè)理想的語言。Python是使用XML文檔的理想語
．j一
亡】o
圖4．2 Linux訪問控制安全測試自動(dòng)化工具總體設(shè)計(jì)
Figure 4-2 Design of the automated security test tool for Linux access control
下面我們將對(duì)測試用例的描述方式、測試數(shù)據(jù)提取模塊、測試用例到測試流
轉(zhuǎn)化模塊、測試流執(zhí)行模塊給出詳細(xì)設(shè)計(jì)方案。
4．4．2測試用例描述方式的設(shè)計(jì)
首先，測試用例主要包括三個(gè)方面的內(nèi)容，一是測試條件的生成，也就是測
試數(shù)據(jù)準(zhǔn)備，二是測試步驟，三是測試的預(yù)期結(jié)果。其次，測試用例轉(zhuǎn)化成的測
試流應(yīng)該是有序的，所以為了便于轉(zhuǎn)化，我們的測試用例也應(yīng)該是有序的，即描
述順序應(yīng)該和測試順序一致。下面我們以對(duì)UGO訪問控制方式的sticky位的部分
測試用例為例給出測試用例的描述方式設(shè)計(jì)：
　
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
Userl
<／Name>
<／Subject>
User2
<／Name>
User3
<／Name>
<／Subject>
TestDir
<／Name>
<／Object>
<／Condition>
Testl
<／Name>
<／Object>
<／Condition>
delete<／Operation>
move<／Operation>
<／Process>
<／Case>
<／Test>
<／XML>
測試用例可以寫在一個(gè)或多個(gè)文件中，　元素是測試用例文件的根目錄，
每個(gè)測試用例文件都只能有一個(gè)根目錄，即　。我們用元素代表一個(gè)
測試項(xiàng)，例如對(duì)sticky位的測試用例。no屬性表示測試項(xiàng)編號(hào)，編號(hào)不能重復(fù)，
以便Case有唯一的ID。元素必須嵌套在　中。一個(gè)測試用例文件可以
55
北京交通大學(xué)碩十學(xué)位論文
有多個(gè)。代表一個(gè)測試用例，no表示測試用例編號(hào)，元素必
須嵌套在元素中。表示測試條件，包括主客體的建立。
元素可以位于中之|j{『，表示在很多測試用例中都需要的
測試條件，也可以位于中之前，表示某個(gè)測試用例需要的測試
條件。和分別表示測試條件主體和客體，所以這些元素必須嵌套
在元素中。元素表示需要建立的主體或客體名稱，它必須嵌套
在或qb。中含有許多屬性信息，它表示主體時(shí)包含主體
類型、主體所屬的用戶組等信息，它表示客體時(shí)包含客體類型、所有者、屬組、
UGO權(quán)限、路徑等信息。元素表示測試過程，表示測試步驟。
需要嵌,A,元素中。dfl包含主體、主體類型、客體、
客體類型、預(yù)期結(jié)果等屬性，其內(nèi)容是主體對(duì)客體的操作類型。
我們的測試用例結(jié)構(gòu)非常靈活，可以根據(jù)需要進(jìn)行擴(kuò)充。擴(kuò)充后只要修改相
應(yīng)的用例轉(zhuǎn)化規(guī)則即可。例如，上面的用例中沒有涉及到設(shè)置文件或目錄的ACL
屬性，需要設(shè)置時(shí)我們可以在元素中添加acl屬性，如下所示。處理這個(gè)
屬性，我們只要在規(guī)則中加入相應(yīng)的設(shè)置ACL屬性的規(guī)則語句和系統(tǒng)調(diào)用程序即
可。需要注意的是，對(duì)測試用例現(xiàn)有設(shè)計(jì)的擴(kuò)充必測試用例的有序性。
Test2<／Name>
另一點(diǎn)需要注意的是，需要盡可能的將信息集中在中間的元素中，例如將主
客體的所有屬性都集中寫在元素中，原因我們將在下一節(jié)中解釋。
4．4．3測試數(shù)據(jù)提取模塊的設(shè)計(jì)與實(shí)現(xiàn)
測試數(shù)據(jù)提取模塊的作用是從XML語言描述的測試用例中逐條的提取信息，
目的是為了最終轉(zhuǎn)化為測試流。
為了方便把測試用例分類，其存儲(chǔ)目錄可能包含很多目錄，不同測試項(xiàng)的測
試用例放在不同的目錄中，所以測試數(shù)據(jù)提取模塊需要遞歸的訪問測試用例文件
存儲(chǔ)目錄，對(duì)每個(gè)XML文件進(jìn)行處理，將生成的測試數(shù)據(jù)寫入測試數(shù)據(jù)文件中。
但是如果對(duì)執(zhí)行順序有要求測試用例需要寫在一個(gè)文件中。
在設(shè)計(jì)測試數(shù)據(jù)提取提取模塊之前我們要設(shè)計(jì)提取后的數(shù)據(jù)形式。首先，提
取出的信息必須要便于用用例轉(zhuǎn)化規(guī)則解釋為測試流，其次，必須保證和測試用
例的描述順序一致。下面是我們根據(jù)上一小節(jié)中的測試用例設(shè)計(jì)出的提取后的信
息。測試數(shù)據(jù)必須要包含的三方面信息是：一、何時(shí)進(jìn)行規(guī)則轉(zhuǎn)化，二、轉(zhuǎn)化需
要的所有數(shù)據(jù)，三、轉(zhuǎn)化的類型。所以我們用“靜”開頭表示注釋，“％．"表示轉(zhuǎn)
56
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
化的類型標(biāo)識(shí)，“&amp;amp;"表示開始進(jìn)行轉(zhuǎn)化，測試信息的名稱和具體測試內(nèi)容之前沒
有標(biāo)識(shí)符號(hào)。下面是以4．4．2節(jié)中的測試用例為例，給出了提取后的測試數(shù)據(jù)格式
設(shè)計(jì)：
％XML
撐stan
％XMLrest．
no Sticky_Bit_test
％XMLrestCondition．
％XMLTestConditionSubject-
％XMLTestConditionSubjectNametype
user
grp Userl
value Userl
&amp;amp;
％XMLTestConditionSubject·
％XMLTestConditionSubjectName·
type user
grp User2
value User2
&amp;amp;
％XMLTestConditionSubjectNametype
user
grp Userl
value User3
&amp;amp;
％XMLTestConditionObject·
％XMLTestConditionObjectName—
usrUserl
ugo 1777
type dir
grp Userl
value TestDir
&amp;amp;
％XMI,TestCase．
57
北京交通人學(xué)碩士學(xué)位論文
no 001
％XMLTestCaseCondition．
％XMLTestCaseConditionObject-
％XMLTestCaseConditionObjectName·
usr Userl
type file
grp Userl
path T色stDi“
value Testl
&amp;amp;
％XMLTestCaseProcess．
％XMLTestCaseProcessOperationobj
TestDir廠restl
objty file
sub Userl
subty usr
result allow
value delete
&amp;amp;
％XMLTestCaseProcessOperation—
obj TestDir廠restl
objty file
sub Userl
subty usr
result allow
value move
＆
fiend
可以看到有的轉(zhuǎn)化類型標(biāo)識(shí)下面是沒有信息的，這些標(biāo)識(shí)我們就不需要為其
編寫轉(zhuǎn)化規(guī)則。所以上一節(jié)中提到的將信息集中的原因?yàn)榱朔奖憔帉戅D(zhuǎn)化規(guī)則。
對(duì)一個(gè)測試用例文件的數(shù)據(jù)提取流程如圖4．3所示。數(shù)據(jù)提取模塊一次讀入一
個(gè)元素的標(biāo)簽(標(biāo)簽頭或標(biāo)簽尾)或元素內(nèi)容，以之前我們規(guī)定的格式向測試數(shù)
據(jù)文件寫入轉(zhuǎn)化類型標(biāo)識(shí)、屬性和內(nèi)容。
58
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)④
-● ??? ? ???” ?～ ??．
廠～一?讀入元素頭———==?．·??二?一讀入元素尾?一一
讀入元素內(nèi)容
將元素名稱加在在字符串變量
strtag,尾，將”％strtag·“格式的轉(zhuǎn)
化類型標(biāo)識(shí)寫入測試數(shù)據(jù)文件，
如果元素有屬性則將屬性名稱和
內(nèi)容也寫入測試數(shù)據(jù)文件
是
否
圖4-3測試用例文件的數(shù)據(jù)流提取流程
Figure 4-3 Process of the information draw-out from the file of test cases
python的XML支持XML-SIG、xmllib、xmlproc、SAX。xmllib等是將XML
解析為樹形結(jié)構(gòu)。我們選擇了SAX庫的原因是，SAX(SimpleAPI ofXML)是一
種面向流的技術(shù)，是一個(gè)XML文檔的順序處理器，正好符合我們測試信息和測試
用例的描述順序一致的要求。下面是用python語言編寫的測試數(shù)據(jù)提取模塊中處
理元素及其屬性主要的類和函數(shù)：
def FindTestFile(path)：
”’查找沒有處理的測試用例文件”’
class MakeTestInfo(handler．ContentHandler)
”’提取測試數(shù)據(jù)類"’
strtag=“％”
def startDocument(sel0：
”’文件處理之前進(jìn)行的操作"’
def endDocument(self)：
”’文件處理之后進(jìn)行的操作”’
def startElement(self,name，attrs)：
”’讀入元素頭后對(duì)元素的名稱、屬性的操作?
def endElement(self,name)：
59
北京交通大學(xué)碩士學(xué)位論文
?讀入元素尾后的操作”’
def characters(selCchrs)：
?讀入元素內(nèi)容后對(duì)內(nèi)容的操作?
4．4．4用例轉(zhuǎn)化規(guī)則的設(shè)計(jì)
用例轉(zhuǎn)化規(guī)則是提取出的測試信息和測試流的對(duì)應(yīng)關(guān)系。我們?nèi)匀挥谩埃ィ?quot;
表示轉(zhuǎn)化類型標(biāo)識(shí)，用“@”標(biāo)識(shí)轉(zhuǎn)化過程中需要替換的變量，變量名稱應(yīng)該和測
試用例中的屬性名稱一致?！埃骸睒?biāo)識(shí)同一轉(zhuǎn)化類型的不同轉(zhuǎn)化規(guī)則，即根據(jù)不同的
屬性對(duì)轉(zhuǎn)化規(guī)則分類。例如，“：@type file"表示如果屬性type的值是file就使用
其下的規(guī)則直到遇到下一個(gè)不滿足的條件判斷或“％．"?！办o!"標(biāo)識(shí)需要捕獲測試
結(jié)果和進(jìn)行測試結(jié)果分析，此標(biāo)識(shí)我們將在4．4．6中講述。下面是4．5．3節(jié)中測試
數(shù)據(jù)到測試流的轉(zhuǎn)化規(guī)則：
％XMU陀st．
#Test@no
％XMLTestCase．
#Case@no
％XMLTestConditionSubjectName-
：@type user
groupadd@grp
useradd@grp-g@value
％XMLTestCaseConditionObjectName-
：@type file
path=”TestDir”
path=path”@value”
SU@usr-c”>”$path
chgrp@grp
chmod@ugo$path
setfacl—m@u：Userl：rwx$path
：@type dir
pa=”@path@value”
su@usr—C”mkdir”$pass
chgrp@grp
chmod@ugo Spa
60
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
setfacl—m@acl Spa
％XMLTestCaseProcessOperation-
：@value delete
：@subty usr
靜!
SU@usr—c”rm-rf@obj”
@syscalltest／delete@obj
襻!@result
：@value move
：@subty usr
舞!
SU@usr-c”mv@obj@obi_mv”
@syscalltest／move@obi@obj mv
靜!@result
@syscalltest是系統(tǒng)調(diào)用系統(tǒng)調(diào)用測試程序的存儲(chǔ)路徑。由于對(duì)Linux系統(tǒng)調(diào)
用的測試python無法完成，所以需要在編寫規(guī)則的同時(shí)用C語言編寫完成并編譯
成可執(zhí)行程序，放在系統(tǒng)調(diào)用測試程序的的存儲(chǔ)路徑中。下面列出了chmod系統(tǒng)
調(diào)用測試程序。
銜nclude
#include ．
#include
_syscall2(int，chmod，const char*,path，mode_t，mode)
int main(int argc，char術(shù)argv[])
{
retum chmod(argv[1]，0777)；
}
雖然系統(tǒng)調(diào)用的過程比較復(fù)雜，但Linux系統(tǒng)的庫函數(shù)中提供幫助我們實(shí)現(xiàn)系
統(tǒng)調(diào)用的宏。_syscall2(int，chmod，const char*,path，mode_t，mode)是一個(gè)系統(tǒng)調(diào)用宏，
它展開以后是一段匯編代碼，通過其中的int Ox80中斷使程序從用戶態(tài)切換到系統(tǒng)
態(tài)，測試Linux底層的安全功能。C語言編寫的系統(tǒng)調(diào)用測試程序中我們通過return
將系統(tǒng)調(diào)用的返回值給main函數(shù)，這樣就可以在執(zhí)行這個(gè)二進(jìn)制程序時(shí)捕獲到系
統(tǒng)調(diào)用的測試結(jié)果。
測試用例中的一個(gè)測試步驟并不只對(duì)應(yīng)一條測試命令，例如對(duì)文件或目錄讀操
作進(jìn)行測試時(shí)我們需要將對(duì)Shell中說有的可以對(duì)文件或目錄進(jìn)行讀操作相關(guān)的命
61
北京交通大學(xué)碩+學(xué)位論文
令和系統(tǒng)調(diào)用中對(duì)文件進(jìn)行讀操作的系統(tǒng)調(diào)用進(jìn)行測試，只有當(dāng)這次測試都通過
才表明這個(gè)測試用例通過測試。
4．4．5測試數(shù)據(jù)到測試流轉(zhuǎn)化模塊的設(shè)計(jì)與實(shí)現(xiàn)
測試數(shù)據(jù)到測試流轉(zhuǎn)化模塊的功能是根據(jù)讀取的測試數(shù)據(jù)去查找對(duì)應(yīng)的轉(zhuǎn)化
規(guī)則，通過一系列的判斷、替換最后生成一個(gè)測試流文件。其工作過程如圖4．4
所示。
此模塊按順序每次讀入一個(gè)轉(zhuǎn)化類型標(biāo)識(shí)，到轉(zhuǎn)化規(guī)則中查找是否有和此類
轉(zhuǎn)化類型標(biāo)識(shí)名稱相同的規(guī)則，如果沒有就跳過測試數(shù)據(jù)中此轉(zhuǎn)化類型標(biāo)識(shí)下面
的屬性或內(nèi)容，繼續(xù)讀下一個(gè)轉(zhuǎn)化類型標(biāo)識(shí)。如果有相應(yīng)的規(guī)則就讀入屬性和內(nèi)
容，并用這些屬性和內(nèi)容來判斷應(yīng)該使用哪些規(guī)則，判斷的規(guī)則在上一節(jié)有所講
述。替換規(guī)則中的變量時(shí)，如果規(guī)則中的變量屬性和內(nèi)容中沒有就將其替換為空
或不使用這條規(guī)則。例如，如果客體的屬性中沒有ACL屬性，則不使用規(guī)則“setfacl
—m@u：Userl：rwx$path”。其工作過程如圖4．4所示。
下面是測試用例到測試流轉(zhuǎn)化模塊的主要變量和函數(shù)：
Testlnfo—Dic={ ’type’ ：’usr’，
’usr’ ：’Userl’，
’grp’ ：’Userl’，
’ugo’ ：’1777’
'value’ ：’Testl’
}
靜Testlnfo—Dic是從測試數(shù)據(jù)文件中讀出的屬性值和內(nèi)容值的字典
def Transform(testinfofile)：
”’測試數(shù)據(jù)到測試流轉(zhuǎn)化函數(shù)?
62
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
否
￡???????～I(xiàn)毫否一
否
是
圖“測試數(shù)據(jù)到測試流轉(zhuǎn)化流程
Figure 4-4 Process of transformation from test information to test flow
下面所列的是4．4．3節(jié)中的測試數(shù)據(jù)根據(jù)4．4．4中的用例轉(zhuǎn)化規(guī)則通過測試用
例到測試流轉(zhuǎn)化模塊轉(zhuǎn)化后的結(jié)果：
#start
#Test Sticky_Bit_test
groupadd Userl
useradd Userl—g Userl
groupadd User2
useradd User2-g User2
groupadd Userl
useradd User3一g Userl
pa=”TestDir”
SU Userl—c”mkdir”Spa
chgrp Userl
chmod 1777 Spa
北京交通大學(xué)碩士學(xué)位論文
撐Case 001
path=”TcstDir”
path=path”Testl”
SU Userl·C’’>”$path
chgrp Userl
舞!
su Userl—c”1T11一rf 1陀stDir廠I’estl”
／syscalltest／delete TestDir／Testl
#!allow
撐!
su Userl—c”mv TestDir廠restl TestDir爪stl mv”
／syscalltest／move TestDir／Testl TestDir／Testl_mv
舞!allow
#end
4．4．6測試流執(zhí)行模塊的設(shè)計(jì)與實(shí)現(xiàn)
轉(zhuǎn)化后的測試流可以說是一個(gè)Linux命令的集合，類似一個(gè)Shell腳本，之所
以稱之為測試流而不是測試腳本是因?yàn)槲覀儾荒苤苯佑闷溥M(jìn)行測試，因?yàn)橹苯訄?zhí)
行不能夠捕獲測試結(jié)果，從而不能進(jìn)行測試結(jié)果的分析。我們設(shè)計(jì)了一個(gè)測試流
執(zhí)行模塊來負(fù)責(zé)執(zhí)行這些命令。
我們將測試命令分為兩類：測試步驟和非測試步驟。以上一節(jié)中的測試流為
例，只有“撐!”標(biāo)識(shí)之間的部分是測試步驟，其他的否是非測試步驟，測試條件的
建立都是非測試步驟。只有在執(zhí)行測試步驟時(shí)需要捕獲測試結(jié)果，執(zhí)行非測試步
驟則不需要，所以在測試步驟前標(biāo)識(shí)“撐!”是為了執(zhí)行時(shí)區(qū)分這兩種測試步驟。測
試步驟的結(jié)束標(biāo)識(shí)中還包含了測試的預(yù)期結(jié)果，例如“#!allow"標(biāo)識(shí)預(yù)期測試結(jié)
果為“允許”，這樣設(shè)計(jì)方便于進(jìn)行測試結(jié)果的比對(duì)。測試流執(zhí)行模塊將逐行執(zhí)行
測試命令，當(dāng)讀到“#!allow"時(shí)進(jìn)行測試結(jié)果判斷。測試流執(zhí)行模塊將測試項(xiàng)編
號(hào)、測試用例編號(hào)、預(yù)期結(jié)果、測試結(jié)果和測試是否通過的結(jié)論都將寫入測試報(bào)
告中。測試用例執(zhí)行模塊的工作過程如圖4．5所示。
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
??? ??◆●
?讀入注釋撐??一讀入測試步驟標(biāo)識(shí)撐!
其他
◆
是否d≥?一由
圖4-5測試流執(zhí)行過程
Figure 4-5 Execution process of the test flows
下面是測試執(zhí)行模塊的主要函數(shù)：
def not_operation_commond(cmd)：
”’讀取注釋或非測試步驟命令并執(zhí)行將測試項(xiàng)和用例編號(hào)寫入測試報(bào)告，，，
def operation_commond(cmd)：
”’執(zhí)行測試步驟，并將測試結(jié)果寫入測試報(bào)告，，，
defjudge O：
”’判斷測試結(jié)果是否正確?
4．5 安全測試自動(dòng)化工具的運(yùn)行
在安全測試自動(dòng)化工具開發(fā)完成之后，我們要對(duì)Linux系統(tǒng)進(jìn)行測試。我們選
擇的測試對(duì)象是fedora 8 Linux系統(tǒng)。測試之前我們將手動(dòng)編寫好所有的測試用例
和用例轉(zhuǎn)化，圖4-6是Linux訪問控制安全測試用例的目錄結(jié)構(gòu)。
北京交通大學(xué)碩十學(xué)位論文
審囪testdir
審囪ACL
o access．xml
!?j Change．xm 一
審囪UGO
審囪without—sugid_sticky
l!access．xml
j change．xml
審囪with sugid_sticlcy
7 access_with_sgid．xml
j access_with_sticky．xml
j access_with_suid．xml
；1 change．xml
2項(xiàng)文件夾
2項(xiàng)文件夾
。字節(jié)xML document
0字節(jié)xML document
2項(xiàng)文件夾
2項(xiàng)文件夾
0字節(jié)XML document
0字節(jié)XML document
4項(xiàng)文件夾
0字節(jié)XML document
0字節(jié)XML document
0字節(jié)XML document
o亭昂XML document
圖4-6 Linux訪問控制測試用例目錄結(jié)構(gòu)
Figure 4-6 Directory structure for test cases of Linux access control
Linux訪問控制安全測試自動(dòng)化工具運(yùn)行過程的界面如圖4．7所示： 緩茲渤滋緩隔綴綴綴緩編綴黝薹程狻綴筏纜緩緩綴黼溺戮滋緩綴緩貔瀧=澎。乏弱
文件(￡) 編輯(丘) 查看(芏)終湍(工) 標(biāo)簽(旦) 幫助(旦)
[rootOIocaIhost st】#python AJtoTestingT001．PY／tnp／testdl r／trrd／tr艄f—ruI∞
№ke test info?
Transform．．．
Testing?PIease帕i t
Co叩leteII
See TestReport．txt
[rootOIocaIhost st】#python AJtoTestIngT001．PY／tnp／testdi r／tnd／transf—ruI鷗
陀ke tost info?
Transform．．．
Testing?Please怕i t
CorrpleteII!
See TestReport2．txt ．
[root010ca lhc騭t st】#
圖4-7工具的運(yùn)行界面
Figure 4—7 Running interface of the tool
python是編譯python程序的編譯器，AutoTestingT001．PY是安全測試自動(dòng)化工
具程序，它的第一個(gè)參數(shù)是測試用例的存儲(chǔ)目錄，第二個(gè)參數(shù)是測試用例轉(zhuǎn)化規(guī)
則文件的位置。運(yùn)行安全測試自動(dòng)化工具后在當(dāng)前目錄生成了測試報(bào)告
TestReport．txt，當(dāng)我們再次運(yùn)行工具后，上一次生成的測試報(bào)告文件沒有被覆蓋，
而是生成了測試報(bào)告TestReport2．txt。下面是測試報(bào)告部分的內(nèi)容：
Linux訪問控制安全測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)
#Test Report 2008—·4—-18 21：59：23
#start
#Test Stick)邙iLtest
#Case 001
expect：allow result：allow pass
#Case 002
expect：deny result：deny pass
#Case 003
expect：deny result：deny pass
#Case 004
expect：deny result：deny pass
#Case 005
expect：allow result：allow pass
#end
#All of the cases pass
測試報(bào)告對(duì)每一個(gè)測試用例是否測試通過給出了判斷，最后給出了所以測試
用例是否通過的判斷。在測試用例眾多和在多次反復(fù)的測試中，測試自動(dòng)化工具
的優(yōu)勢就能明顯體現(xiàn)出來。手動(dòng)測試這些用例大約需要近半天的時(shí)間，如果要多
次執(zhí)行測試需要的時(shí)間就更多，是十分枯燥的工作。用我們的測試自動(dòng)化工具完
成這樣的測試一次只需要不到一分鐘的時(shí)間。
由上述測試報(bào)告可知，fedora8通過了所有訪問控制安全功能測試用例，所以
fedora8的訪問控制安全功能達(dá)到了安全要求。
4．6 安全測試工具的討論
工具的優(yōu)點(diǎn)：
·此工具具有很好的擴(kuò)展性，只需要進(jìn)行安全功能分析，安全需求分析，測
試用例設(shè)計(jì)，用例轉(zhuǎn)變規(guī)則編制，就可以標(biāo)識(shí)與鑒別、安全審計(jì)等安全功
能實(shí)現(xiàn)自動(dòng)化測試。當(dāng)操作系統(tǒng)發(fā)生改變后，只需要修改用例轉(zhuǎn)換規(guī)則，
而測試用例是可以復(fù)用的；
·測試用例設(shè)計(jì)也是測試的一個(gè)重點(diǎn)，我們給出了Linux訪問控制安全測試
的完整測試用例設(shè)計(jì)，并對(duì)測試思路進(jìn)行了闡述。
67
北京交通人學(xué)碩士學(xué)位論文
工具的缺點(diǎn)：
· 測試規(guī)則中有重復(fù)的部分，應(yīng)該對(duì)測試規(guī)則的設(shè)計(jì)進(jìn)行優(yōu)化；
· 測試用例的測試條件建立中部分測試數(shù)據(jù)可以提取出來，放在數(shù)據(jù)文件
中，這樣就減輕了為相同類型測試條件的建立而帶來的測試用例丌銷；
· 測試用例的編寫、管理不方便。應(yīng)該設(shè)計(jì)一個(gè)圖形界面的測試用例管理工
具。
4．7 小結(jié)
本章就描述了Linux訪問控制安全測試設(shè)計(jì)和一個(gè)Linux系統(tǒng)的訪問控制安全
測試自動(dòng)化工具的設(shè)計(jì)與實(shí)現(xiàn)，并對(duì)該工具進(jìn)行了討論。雖然這只是操作系統(tǒng)安
全測評(píng)自動(dòng)化之路中的-d,步，但也將是非常有意義的嘗試。
結(jié)束語
5 結(jié)束語
本章首先對(duì)本論文所做的主要工作做了總結(jié)和回顧，之后對(duì)未來進(jìn)一步的研
究工作做了展望。
5．1 工作總結(jié)
操作系統(tǒng)是整個(gè)信息系統(tǒng)安全的基礎(chǔ)，如果不經(jīng)過安全測評(píng)操作系統(tǒng)其安全
性就得不到保障。而且隨著我國操作系統(tǒng)研究的不斷發(fā)展，設(shè)計(jì)有效的測評(píng)自動(dòng)
化工具已成為迫切的要求。
對(duì)安全測評(píng)方法的分析是安全測評(píng)自動(dòng)化的基礎(chǔ)。而安全測評(píng)標(biāo)準(zhǔn)是安全操
作系統(tǒng)測評(píng)方法的體現(xiàn)，安全測評(píng)標(biāo)準(zhǔn)的發(fā)展歷程也就是安全測評(píng)方法發(fā)展的過
程。于是本文概述了現(xiàn)有的安全測評(píng)標(biāo)準(zhǔn)。由于我們在安全測評(píng)領(lǐng)域和發(fā)達(dá)國家
還有一定差距，所以國內(nèi)很多操作系統(tǒng)測評(píng)工作都是以國外的測評(píng)標(biāo)準(zhǔn)為依據(jù)的，
例如現(xiàn)階段最為完善的CC標(biāo)準(zhǔn)。遺憾的是很多對(duì)CC標(biāo)準(zhǔn)的使用和理解都是不全
面、不完善的。于是本文對(duì)整個(gè)CC安全測評(píng)體系做了詳細(xì)的分析，總結(jié)了CC安
全體系測評(píng)方法的基本要領(lǐng)和測評(píng)流程。
接下來我們文分析了國內(nèi)現(xiàn)有的兩種典型的安全測評(píng)自動(dòng)化系統(tǒng)的設(shè)計(jì)方
法，對(duì)其優(yōu)缺點(diǎn)做了總結(jié)，在吸取這些系統(tǒng)的優(yōu)點(diǎn)和融合了軟件測試自動(dòng)化方法
的基礎(chǔ)上給出了改進(jìn)后的安全測評(píng)自動(dòng)化框架設(shè)計(jì)，并分析了技術(shù)難點(diǎn)和給出了
解決方案。
由于操作系統(tǒng)測評(píng)自動(dòng)化系統(tǒng)是一個(gè)龐大的系統(tǒng)，其工作量不亞于操作系統(tǒng)
開發(fā)的工作量，實(shí)現(xiàn)起來需要相當(dāng)大的人力物力和時(shí)間。所以本文只能在操作系
統(tǒng)安全測評(píng)的眾多工作中找一個(gè)切入點(diǎn)來對(duì)整個(gè)操作系統(tǒng)的安全測評(píng)自動(dòng)化的實(shí)
現(xiàn)進(jìn)行探索和討論。訪問控制安全是操作系統(tǒng)安全的一個(gè)非常重要組成部分，同
時(shí)國內(nèi)自主研發(fā)的操作系統(tǒng)大多使用的開源的Linux系統(tǒng)內(nèi)核，開發(fā)出系統(tǒng)的體系
結(jié)構(gòu)相同，對(duì)Linux系統(tǒng)測試自動(dòng)化方法的研究和工具的實(shí)現(xiàn)有很強(qiáng)通用性和實(shí)用
價(jià)值。所以本文以Linux系統(tǒng)訪問控制安全為切入點(diǎn)，對(duì)操作系統(tǒng)安全測評(píng)自動(dòng)化
進(jìn)行了探索，并設(shè)計(jì)和實(shí)現(xiàn)了Linux訪問控制安全測試自動(dòng)化工具。在人工編制用
例轉(zhuǎn)化規(guī)則的基礎(chǔ)上，該工具可以實(shí)現(xiàn)自動(dòng)執(zhí)行XML語言描述的特定格式的訪問
控制安全測試用例，測試結(jié)果判斷和給出測試報(bào)告。并給出了對(duì)工具優(yōu)缺點(diǎn)的討
論。
北京交通大學(xué)碩士學(xué)位論文
5．2研究展望
本文對(duì)操作系統(tǒng)安全測評(píng)方法和流程作了較為深入的研究，對(duì)操作系統(tǒng)安全
測試自動(dòng)化進(jìn)行的研究也取得了一定的實(shí)踐成果，但將來還有很多工作需要進(jìn)一
步的深入和完善。
在操作系統(tǒng)安全測評(píng)方法方面，應(yīng)該對(duì)CC安全測評(píng)體系進(jìn)行更深入的分析，
尤其是對(duì)安全保證的評(píng)估做進(jìn)一步的研究。
在操作系統(tǒng)安全測試研究方面，未來的工作可以在以下方面展開：
(1)分析操作系統(tǒng)各個(gè)安全機(jī)制的安全功能；
(2)對(duì)每種安全機(jī)制進(jìn)行測試用例設(shè)計(jì)；
(3)分析測試用例設(shè)計(jì)的合理性、覆蓋率。
在安全測試自動(dòng)化的研究方面，本文工作的基礎(chǔ)上，還應(yīng)該對(duì)Linux安全測試
自動(dòng)化工具的以下方面進(jìn)行改進(jìn)：
(1)測試數(shù)據(jù)從測試用例文件中分離：當(dāng)測試用例的測試條件建立中存在
大量相同類型的測試條件時(shí)，部分測試數(shù)據(jù)可以提取出來，放在數(shù)據(jù)
文件中，以較小測試用例的長度；
(2)為工具添加測試用例管理器：即實(shí)現(xiàn)一個(gè)測試用例的圖形化管理工具，
功能包括用例的添加、刪除、修改和查詢；
(3)工具中重復(fù)性規(guī)則的消除：工具中現(xiàn)有的用例轉(zhuǎn)化規(guī)則存在冗余，應(yīng)
該對(duì)冗余進(jìn)行分析和消除；
(4)測試自動(dòng)化程度的提高：通過更加抽象的測試用例描述方法，自動(dòng)生
成XML測試用例文件。
參考文獻(xiàn)
參考文獻(xiàn)
【1】CC，“Common Criteria for Information Technology Security Evaluation”，September 2007．
【2】2 CEM，“Common Methodology for Information Technology Security Evaluation”，September
2007．
【3]CCRA，‘'Arrangement on the Recognition of Common Criteda Certificates In the field of
Information Technology Security'’，May 2000．
【4】崔永禎，“安全操作系統(tǒng)測評(píng)方法研究”，中國科學(xué)院軟件研究所碩士學(xué)位論文，2004年。
【5】陳軼佳，周安民，方勇，王煒，曹軍，“信息安全產(chǎn)品測評(píng)系統(tǒng)研究與實(shí)現(xiàn)”，《計(jì)算機(jī)應(yīng)
用研究》，2005年。
【6】牛妍萍，呂述望，“Linux文件訪問控制及其自動(dòng)化測試”， 《信息安全與通信保密》，
2006年9月。
【7】陸幼驪，張紅旗，“操作系統(tǒng)安全測評(píng)系統(tǒng)設(shè)計(jì)”， 《信息安全與通信保密》，2005年8
月。
【8】石文昌， “安全操作系統(tǒng)研究的發(fā)展”， ‘計(jì)算機(jī)科學(xué)》，2002年。
【9】Evan Martin，"Testing and Analysis of Access Control Policies”，29th International ConVince
on Software Engineering，2007．
【10】Evan Martin，"Automated Test Generation for Access Control Policies”，Proceedings of the
29th International Conference on Software Engineering Workshops，2006．
【11】金怡，蔡勉，“基于CC標(biāo)準(zhǔn)的安全操作系統(tǒng)測評(píng)系統(tǒng)研究”，《信息安全與通信保密》，
2007年5月。
【12】常偉華，蔡勉，王亞軍，“基于驅(qū)動(dòng)表機(jī)制的操作系統(tǒng)等級(jí)測評(píng)系統(tǒng)”， 《信息安全與
通信保密》，2007年6月。
【13】Songtao Zhang，Thomas Dean，Scott Knight，“A Lightweight Approach to State Based Security
Testing”，IBM Centre for Advanced Studies Conference，Article No．28，2006．
【14】Wissam Mallouli，Jean-Marie Orset，Ana CavaUi，“A Formal Approach for Testing Security
Rules”，SACMAT’07，June 20·22，2007．
【15】魏丕會(huì)，卿斯?jié)h，黃建，“安全操作系統(tǒng)等級(jí)評(píng)測系統(tǒng)”，《計(jì)算機(jī)工程》第22期，2003
年12月。
【16】Gary McGraw，Bruce Potter，“Software Security Testing'’，IEEE Security and Privacy，v01．2，
No．5，PP．81·85，September-October 2004．
【17】Martin R．Stytz，James A．Whittaker，“Software Protection：Security's Last Stand?”，IEEE
Security and Privacy,v01．01，No．1，PP．95．98，January—February 2003．
【18】Clifton L Smith，“The Security Systems Research and Testing Laboratory at Edith Cowan
University'’，Security Technology，2005．CCST’05．39th Annual 2005 International Carnahan
Conference．2005．
【19】VlRGlL D．GLIGOR，C．S．CHANDERSEKAR AN，WEN—DER JIANG，ABHAI JOHRI，
GARY L LUCKENBAUGH，L．EDWARD REICH，‘‘A New Securty Testing Method and Its
Application to the Secure Xenix Kemel”，1EEE TRANSACTIONS ON SOFIWARE
ENGINEERING，V01．SE．13，No．2，F(xiàn)ebruary 1987．
71
北京交通大學(xué)碩士學(xué)位論文
【20】GB 17859．1999，“中華人民共和國國家標(biāo)準(zhǔn)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則”，
國家質(zhì)量技術(shù)監(jiān)督局，1999年9月。
【211倪繼利， “Linux安全體系分析與編程”，2007年11月，電子J：業(yè)出版社。
【22】Claudia Salzberg Rodriguez，Gordon Fischer，Steven Smolski，陳莉君，賀炎，劉霞林，“Linux
內(nèi)核編程”，2006年7月，機(jī)械T業(yè)出版社。
【23】“Linux的安全操作系統(tǒng)測試方法研究”， 《鐵路計(jì)算機(jī)應(yīng)用》，V01．15 No．4，2006。
【24】王兆俊， “Linux桌面操作系統(tǒng)安全性測試研究”，北京科技大學(xué)碩士學(xué)位論文，2006。
【25】高常波，“CC工具箱系統(tǒng)開發(fā)”，四川大學(xué)碩士學(xué)位論文，2004。
【26】左曉棟， “信息安全產(chǎn)品與系統(tǒng)的測評(píng)與標(biāo)準(zhǔn)研究”，中國科學(xué)院研究生院碩士學(xué)位論
文，2002。
【27]陳馳，馮登國，張敏，徐震，“信息安全產(chǎn)品測評(píng)平臺(tái)的設(shè)計(jì)與實(shí)現(xiàn)”，計(jì)算機(jī)：．I：程，
V01．33 No．8，2007年4月。
【28】陳軼佳，周安民，方勇，王煒，曹軍，“信息安全產(chǎn)品測評(píng)系統(tǒng)研究與實(shí)現(xiàn)”，計(jì)算機(jī)應(yīng)
用研究，2005年。
【29】王春元，楊善林，周永務(wù)，“信息安全等級(jí)測評(píng)系統(tǒng)設(shè)計(jì)”，計(jì)算機(jī)工程與設(shè)計(jì)，V01．27
No．23，2006年12月。
[30】郝曉玲，胡克瑾，董歡歡，連曉海，邢蕙，“信息產(chǎn)品安全測評(píng)工具箱的研究與開發(fā)”，
計(jì)算機(jī)工程與應(yīng)用，2004年6月。
【31】簡DJjPython教程，http：／／www．woodpecker．org．cn：9081／doc／abyteofpython cn／chinese／
【32】Documents about processing XMLwith Python，http：／／pyxml．sourceforge．net／topics／docs．html
作者簡歷
作者簡歷
陳晨，女，1983年6月28日出生，籍貫云南，碩士研究生?，F(xiàn)就讀于北京交通大學(xué)計(jì)算
機(jī)與信息技術(shù)學(xué)院計(jì)算機(jī)軟件與理論專業(yè)，主要從事操作系統(tǒng)安全測評(píng)和測試方面的研究。
位
教育經(jīng)歷：
2006年9月一至今：北京交通大學(xué)攻讀工學(xué)碩士學(xué)位
2001年9月一2005年7月：畢業(yè)于北京林業(yè)大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)專業(yè)獲工學(xué)學(xué)士學(xué)
研究工作：
2007年7月—2008年5月，參與國家973項(xiàng)目“信息與網(wǎng)絡(luò)安全體系結(jié)構(gòu)研究”(項(xiàng)目
編號(hào)G1999035801)之子課題“操作系統(tǒng)安全評(píng)測平臺(tái)的研究”及北京交通大學(xué)校科技基金“安
全操作系統(tǒng)測評(píng)自動(dòng)化研究”課題的研究。
73
操作系統(tǒng)安全測評(píng)及安全測試自動(dòng)化的研究
作者： 陳晨
學(xué)位授予單位： 北京交通大學(xué)
相似文獻(xiàn)(10條)
1.會(huì)議論文常偉華.蔡勉.賈佳安全操作系統(tǒng)測評(píng)系統(tǒng)的研究與實(shí)現(xiàn) 2007
本文結(jié)合了GB/T18336-2001標(biāo)準(zhǔn),設(shè)計(jì)了一個(gè)基于Linunx的安全操作系統(tǒng)的自動(dòng)測評(píng)系統(tǒng)。該系統(tǒng)基于數(shù)據(jù)驅(qū)動(dòng)的自動(dòng)化測評(píng)框架而構(gòu)建,核心引擎
通過驅(qū)動(dòng)表機(jī)制生成測試套件,套件集成了所需的測試組件,在操作系統(tǒng)環(huán)境中自動(dòng)完成安全測試,并按照評(píng)估流程生成評(píng)估報(bào)告。
2.會(huì)議論文李梅娟.蔡勉.常偉華.賈佳操作系統(tǒng)安全等級(jí)測評(píng)技術(shù)研究 2006
息產(chǎn)品安全測評(píng)是信息安全保障體系建設(shè)的重要部分.在闡述信息安全測評(píng)依據(jù)的基礎(chǔ)上,給出一個(gè)操作系統(tǒng)安全保護(hù)等級(jí)測評(píng)系統(tǒng)的設(shè)計(jì)方案,該系
統(tǒng)能夠半自動(dòng)地完成操作系統(tǒng)安全保護(hù)等級(jí)測評(píng).最后給出系統(tǒng)的測評(píng)流程.
3.學(xué)位論文常偉華 安全操作系統(tǒng)數(shù)據(jù)完整性與標(biāo)記功能測評(píng)研究與實(shí)現(xiàn) 2008
本文闡述了安全操作系統(tǒng)測評(píng)的研究背景、意義和發(fā)展現(xiàn)狀,介紹了計(jì)算機(jī)操作系統(tǒng)安全標(biāo)準(zhǔn)、安全操作系統(tǒng)的基本概念、安全測評(píng)方法,并描述了
測評(píng)系統(tǒng)的整體架構(gòu)、模塊的設(shè)計(jì)思路和安全測評(píng)模型的建立流程；提出了安全操作系統(tǒng)中的數(shù)據(jù)完整性和標(biāo)記強(qiáng)制訪問控制安全功能測試方法,設(shè)計(jì)實(shí)
現(xiàn)了測試工具,并對(duì)上述兩項(xiàng)安全功能進(jìn)行了測試和分析。
本文所作的主要工作如下：
1.對(duì)測評(píng)系統(tǒng)進(jìn)行了架構(gòu)設(shè)計(jì)和模塊設(shè)計(jì),在安全操作系統(tǒng)開發(fā)模型的基礎(chǔ)上建立了安全測評(píng)模型,系統(tǒng)測評(píng)按功能分為：單元測試、集成測試和系
統(tǒng)測試；設(shè)計(jì)了驅(qū)動(dòng)系統(tǒng)運(yùn)行的數(shù)據(jù)處理模塊運(yùn)行機(jī)制和驅(qū)動(dòng)表機(jī)制。
2.分析了操作系統(tǒng)數(shù)據(jù)完整性安全功能要求,抽象出了需要測評(píng)的安全指標(biāo),給出了它們的測試方法,主要利用Shell編程對(duì)系統(tǒng)數(shù)據(jù)完整性安全功能
所涉及的安全要素進(jìn)行測試,設(shè)計(jì)并實(shí)現(xiàn)了測試工具,在Fedora Core 5操作系統(tǒng)上對(duì)數(shù)據(jù)完整性安全功能進(jìn)行了測試和分析,并給出相應(yīng)的測試結(jié)果和報(bào)
告。
3.詳細(xì)分析了操作系統(tǒng)標(biāo)記強(qiáng)制訪問控制安全功能要求,抽象出了需要測評(píng)的安全指標(biāo),并給出了它們的測試方法,利用Shell編程對(duì)系統(tǒng)的標(biāo)記強(qiáng)制
訪問控制安全功能所涉及的安全要素進(jìn)行測評(píng),設(shè)計(jì)并實(shí)現(xiàn)了測試工具,在FedoraCore 5操作系統(tǒng)上對(duì)標(biāo)記強(qiáng)制訪問控制安全功能進(jìn)行了測試和分析,并給
出了相應(yīng)的測試結(jié)果和報(bào)告。
4.期刊論文常偉華.蔡勉.王亞軍.CHANG Weihua.CAI Mian.WANG Yajun 基于驅(qū)動(dòng)表機(jī)制的操作系統(tǒng)等級(jí)測評(píng)系統(tǒng)
-信息安全與通信保密2007,""(6)
操作系統(tǒng)安全是計(jì)算機(jī)信息安全的基礎(chǔ),如何對(duì)操作系統(tǒng)的安全等級(jí)進(jìn)行測評(píng)已成為一個(gè)重要的課題.論文依據(jù)GB/T18336-2001標(biāo)準(zhǔn),設(shè)計(jì)了一個(gè)基于
Linux的操作系統(tǒng)的等級(jí)測評(píng)系統(tǒng).該系統(tǒng)通過驅(qū)動(dòng)表機(jī)制驅(qū)動(dòng)測評(píng)系統(tǒng)各組件運(yùn)行,生成測試套件.測試套件集成了測試所需的測試組件,并可在操作系統(tǒng)
環(huán)境中自動(dòng)完成安全測評(píng),按照評(píng)估流程生成評(píng)估報(bào)告.
5.學(xué)位論文陸幼驪 安全操作系統(tǒng)測評(píng)工具箱的設(shè)計(jì)與實(shí)現(xiàn) 2005
安全操作系統(tǒng)測評(píng)技術(shù)研究是目前國內(nèi)較新的課題，尚沒有系統(tǒng)而完整的研究文獻(xiàn)。手工測評(píng)仍然是當(dāng)前主要的測評(píng)手段，國內(nèi)缺乏自主研發(fā)的自
動(dòng)化測評(píng)工具，隨著我國安全操作系統(tǒng)研究的不斷發(fā)展，設(shè)計(jì)有效的自動(dòng)化測評(píng)工具己成為迫切的要求。
本文在安全操作系統(tǒng)、安全測評(píng)理論的基礎(chǔ)上，總結(jié)了主流測評(píng)技術(shù)，設(shè)計(jì)了一個(gè)基于Unix/linux的安全操作系統(tǒng)測評(píng)工具箱，該工具箱基于數(shù)據(jù)
驅(qū)動(dòng)的自動(dòng)化測評(píng)框架而構(gòu)建，核心引擎通過驅(qū)動(dòng)表機(jī)制生成測試套件，套件集成了所需的測試組件，在操作系統(tǒng)環(huán)境中自動(dòng)完成安全測試，并按照評(píng)
估流程生成評(píng)估結(jié)果。
測評(píng)的執(zhí)行過程分為單元級(jí)測試、集成級(jí)測試和系統(tǒng)級(jí)測試三個(gè)部分。單元級(jí)測試針對(duì)操作系統(tǒng)的各個(gè)功能單元(用戶命令、系統(tǒng)調(diào)用)進(jìn)行安全機(jī)
制的檢查。集成級(jí)測試的對(duì)象是文件、進(jìn)程、網(wǎng)絡(luò)、IPC等子系統(tǒng)，并且各子系統(tǒng)的測試組件在運(yùn)行過程中提供驗(yàn)證記錄，以完成對(duì)安全審計(jì)機(jī)制的測試
。系統(tǒng)級(jí)測試?yán)贸墒斓臏y試工具對(duì)系統(tǒng)性能進(jìn)行驗(yàn)證。此外，在安全測評(píng)之前先要進(jìn)行預(yù)測試，預(yù)測試完成測試環(huán)境的驗(yàn)證，以確保測試的順利進(jìn)行
，測試對(duì)象是各個(gè)系統(tǒng)管理命令。
本文主要作出兩個(gè)貢獻(xiàn)：一是自動(dòng)化測評(píng)驅(qū)動(dòng)框架的設(shè)計(jì)，二是多級(jí)安全測試模型的設(shè)計(jì)。
6.期刊論文中嘉華誠公司 如何提高WinNT/2000的安全性--內(nèi)核加固實(shí)現(xiàn)一個(gè)真正強(qiáng)壯的操作系統(tǒng) -信息安全與通
信保密2005,""(3)
Windows 2000支持多處理器系統(tǒng)、安全性文件系統(tǒng)(例如目錄的讀寫限制),從Windows NT 3.51開始就已經(jīng)支持C2級(jí)的安全測評(píng),是一個(gè)真正的32位操
作系統(tǒng),其核心不包含16位代碼(16位代碼僅存在于支持16位應(yīng)用程序的代碼中)、規(guī)定16位代碼運(yùn)行在其獨(dú)立的地址空間內(nèi)、系統(tǒng)是完全可重入的、規(guī)定
共享的內(nèi)存,只對(duì)于有相同共享內(nèi)存區(qū)域的進(jìn)程是可見的(在Win 32 API中稱為"文件映射對(duì)象").以上這些特點(diǎn)構(gòu)成了一個(gè)強(qiáng)大的Windows 2000系統(tǒng).
7.學(xué)位論文金怡 安全操作系統(tǒng)自主訪問控制與滲透測試 2007
本文主要研究了安全操作系統(tǒng)的自主訪問控制和滲透測試的測評(píng)方法及其實(shí)現(xiàn)。首先介紹了操作系統(tǒng)測評(píng)的研究背景、國內(nèi)外發(fā)展現(xiàn)狀，闡述了國
內(nèi)外安全操作系統(tǒng)評(píng)測準(zhǔn)則、安全操作系統(tǒng)的原理及安全功能和安全保證的測評(píng)方法。根據(jù)《計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)操作系統(tǒng)技術(shù)要求》(以下簡
稱《技術(shù)要求》)，給出了自主訪問控制功能和滲透測試的測評(píng)。
本文所做的工作主要如下：
1．分析和研究了《技術(shù)要求》，討論了自主訪問控制和滲透測試的基本原理，分析了滲透測試與系統(tǒng)抗攻擊能力的關(guān)系、滲透測試的五個(gè)階段以及
滲透測試的局限性等。
2．根據(jù)《技術(shù)要求》，給出了自主訪問控制測試準(zhǔn)則、測試方法和測試工具，并在Fedora core 5系統(tǒng)上對(duì)自主訪問控制進(jìn)行了測試和分析。
3．根據(jù)《技術(shù)要求》，給出滲透測試的總體方案和基本測試模型。提出了針對(duì)四種系統(tǒng)漏洞檢測模型的測試子方案。
8.期刊論文鄭森泉 供電企業(yè)信息網(wǎng)絡(luò)安全策略 -電力信息化2006,4(9)
0 引言
調(diào)查顯示,在Internet時(shí)代和廣域網(wǎng)條件下,信息網(wǎng)絡(luò)安全事件的發(fā)生也呈現(xiàn)飛速增長的趨勢.近幾年來,數(shù)據(jù)信息的安全、信息網(wǎng)絡(luò)的安全已經(jīng)成為
CIO(企業(yè)信息主管)最為關(guān)注的問題之一,同時(shí)CSO(首席安全主管)在企業(yè)中的地位愈加重要.遺憾的是,隨著IT技術(shù)發(fā)展的日新月異,大部分供電企業(yè)由于
在信息方面技術(shù)的儲(chǔ)備不夠,使企業(yè)信息化架構(gòu)策略模式陳舊,信息網(wǎng)絡(luò)規(guī)劃和設(shè)計(jì)也不全面,更談不上對(duì)系統(tǒng)安全的全面考慮.有的企業(yè)僅僅把目光投向
操作系統(tǒng)或者局域網(wǎng)絡(luò)的安全,認(rèn)為只要預(yù)防病毒和黑客等外部侵襲就可以高枕無憂了,實(shí)際上,真正的數(shù)據(jù)安全威脅有時(shí)也來自企業(yè)局域網(wǎng)內(nèi)部.中國國
家信息安全測評(píng)認(rèn)證中心的調(diào)查結(jié)果顯示,信息安全問題大部分情況下都是由內(nèi)部人員所為,存有大量敏感機(jī)密的數(shù)據(jù),對(duì)內(nèi)部毫不設(shè)防的計(jì)算機(jī)用戶才是
數(shù)據(jù)泄露的根源.
9.期刊論文許友.陳性元.唐慧林.高沛霖.XU YOU.CHEN XINGYUAN.TANG HUILIN.GAO PEILIN 基于標(biāo)準(zhǔn)的系統(tǒng)安全
測試指標(biāo)體系的研究-微計(jì)算機(jī)信息2007,23(3)
本文從操作系統(tǒng)的安全功能出發(fā),結(jié)合CC標(biāo)準(zhǔn)的測評(píng)原理,按照威脅、安全目的、系統(tǒng)安全功能組件和具體指標(biāo)的順序,提出一套系統(tǒng)安全測試的全面
的指標(biāo)體系,該指標(biāo)可根據(jù)需要運(yùn)用層次分析法進(jìn)行定性或定量的風(fēng)險(xiǎn)評(píng)估.
10.學(xué)位論文崔永禎 安全操作系統(tǒng)測評(píng)方法研究 2004
高等級(jí)安全操作系統(tǒng)測評(píng)方法研究是較新的研究課題,尚沒有系統(tǒng)而完整的研究文獻(xiàn).隨著中國高等級(jí)安全操作系統(tǒng)研究與實(shí)踐的不斷發(fā)展,制定全面
有效的測評(píng)框架,對(duì)操作系統(tǒng)設(shè)計(jì)和實(shí)現(xiàn)等進(jìn)行測評(píng)成為推動(dòng)安全操作系統(tǒng)研究發(fā)展的迫切要求."安全操作系統(tǒng)測評(píng)研究"課題是"B2級(jí)安全操作系統(tǒng)研發(fā)
"課題的后續(xù)課題,其目標(biāo)是建立一套適用于高安全等級(jí)操作系統(tǒng)的測評(píng)框架和方法,重點(diǎn)是測試范圍分析、基本功能測試、抗?jié)B透測試以及隱通道分析的
測試研究,并在此理論基礎(chǔ)上逐步實(shí)現(xiàn)完整有效的導(dǎo)航測評(píng)工具和自動(dòng)化測評(píng)工具.該文在研讀大量國內(nèi)外文獻(xiàn),對(duì)現(xiàn)有測評(píng)工具研究基礎(chǔ)上,初步提出了
一個(gè)基于TCSEC(GB17859)標(biāo)準(zhǔn)的、可以具體實(shí)施的安全操作系統(tǒng)測評(píng)框架;并將安全操作系統(tǒng)劃分為系統(tǒng)設(shè)計(jì)(安全策略模型、基本安全功能、保證映射
、滲透測試、隱通道分析)和實(shí)現(xiàn)(系統(tǒng)代碼實(shí)現(xiàn)和實(shí)現(xiàn)流程)兩方面進(jìn)行測評(píng),詳細(xì)論述了測評(píng)依據(jù)、測評(píng)原則和測評(píng)實(shí)施方法,提出了一些行之有效的測
評(píng)思路和方法.目前,測評(píng)工具分為導(dǎo)航測評(píng)工具和自動(dòng)化測評(píng)工具.而在安全操作系統(tǒng)測評(píng)領(lǐng)域,手工測評(píng)仍然是最主要的測評(píng)方式.在測評(píng)方法理論指導(dǎo)
下系統(tǒng)地開發(fā)各類測評(píng)工具,豐富測評(píng)手段.在該課題的研究中,我們開發(fā)了眾多研究工具.在基本功能測試中引入導(dǎo)航測評(píng)方法,該工具基于客戶/服務(wù)器
模式和數(shù)據(jù)庫來實(shí)現(xiàn),可以有效地加快信息收集、整理以及文檔化.研發(fā)自動(dòng)化測評(píng)工具是測評(píng)工具設(shè)計(jì)和實(shí)現(xiàn)的主要方向,文章以口令強(qiáng)度自動(dòng)化測評(píng)工
具為例做了說明,該工具依據(jù)字典攻擊原理來實(shí)現(xiàn).該文在安全操作系統(tǒng)開發(fā)實(shí)踐基礎(chǔ)上,根據(jù)中國該領(lǐng)域發(fā)展現(xiàn)狀,提出的安全操作系統(tǒng)測評(píng)框架、測評(píng)
思路和測評(píng)方法豐富了安全操作系統(tǒng)測評(píng)領(lǐng)域的研究,但仍有艱巨的研究工作要做.
本文鏈接：http://d.g.wanfangdata.com.cn/Thesis_Y1339437.aspx
授權(quán)使用：華中科技大學(xué)(wfhzkjd)，授權(quán)號(hào)：1739c141-6b8f-4d61-ba7e-9ddc0095035e
下載時(shí)間：2010年8月24日

網(wǎng)友評(píng)論 more

交通安全論文最新內(nèi)容

02-21