2019上半年信息安全工程师案例分析真题与答案

"2019年上半年信息安全工程师真题（下午案例分析试题与答案）.pdf，包含了五道必答的案例分析题目，每题25分，总分75分，由信管网提供，该网站提供考试资讯、报名、成绩查询、资料下载等服务，特别强调了信管网资料库提供免费的学习资源，包括历年真题和大量在线测试题。试题涉及到访问控制的基本要素和BLP模型等信息安全相关知识点。" 本文主要讨论的是信息安全工程师考试中的一个重要主题——访问控制，以及相关的BLP模型。访问控制是确保信息系统安全的关键策略，其目标是防止非法使用和非正常访问系统资源。它基于身份验证，对用户的资源访问请求实施控制。 【问题1】 访问控制的三个基本要素主要包括： 1. 主体（Subject）：在系统中执行操作的实体，如用户、进程或系统服务。 2. 客体（Object）：被主体访问的资源，可以是文件、数据库、网络设备等。 3. 访问权限（Access Right）：主体对客体可以进行的操作类型，如读取、写入、执行等。不同的主体可能有不同的访问权限，这取决于系统的访问控制策略。 【问题2】 BLP模型（Biba lattice model）是一种强制访问控制模型，主要用于保护信息的机密性。该模型的基本原则是“向上读，向下写”（Read Up, Write Down），即： （1）信息的机密性规则（Confidentiality Rule）：主体只能读取等于或低于其安全级别的客体，防止敏感信息泄露给未经授权的主体。这被称为“向上读”（Read Up）原则，意味着主体的安全级别必须低于或等于客体的安全级别才能读取客体。 （2）信息的完整性规则（Integrity Rule）：主体只能写入等于或高于其安全级别的客体，以防止低等级的信息污染高等级的数据。这被称为“向下写”（Write Down）原则，意味着主体的安全级别必须高于或等于客体的安全级别才能修改客体。 BLP模型广泛应用于军事和政府机构，以确保敏感信息的正确分类和控制。在实际应用中，这一模型通常与多级安全策略结合，以实现更精细的访问控制。