本页目录 · 5 节
第 18 章 安全架构设计理论与实践
对应大纲：科目 1-17 安全架构设计理论与实践｜教材 P633–P675｜优先级 ★★★★｜综合知识估分 2～4 分
读法：两条主线——五大模型讲规则，WPDRRC 讲过程。模型题只考「谁能读谁、谁能写谁」，BLP 与 Biba 背反必丢分；案例题按「定级分区→建体系→选机制→补管理」四步套。
一、知识框架
安全架构
├─ 18.1 概述：威胁｜安全属性｜范围｜标准与组织
├─ 18.2 模型：状态机｜BLP｜Biba｜Clark-Wilson｜Chinese Wall
├─ 18.3 规划框架：技术体系四层｜三支柱｜规划五步
├─ 18.4 WPDRRC：预警｜保护｜检测｜响应｜恢复｜反击
├─ 18.5 OSI 安全体系：5 类服务｜8 类机制｜5 类框架
├─ 18.6 数据库安全：完整性｜授权视图｜加密｜审计
├─ 18.7 脆弱性：设计｜实现｜配置｜管理
└─ 18.8 案例：等保合规、分区隔离、纵深防御二、必背要点
18.1 安全架构概述
| 威胁 | 表现 | 防御重点 |
|---|---|---|
| 被动攻击 | 窃听、截获、流量分析 | 加密、专网 |
| 主动攻击 | 篡改、伪造、重放、拒绝服务 | 完整性校验、认证、限流 |
| 内部威胁 | 越权、外带、误操作 | 最小权限、审计、职责分离 |
安全属性：保密、完整、可用，外加可控性与不可否认性；范围覆盖物理、网络、主机、应用、数据、管理。
| 标准 | 分级 | 要点 |
|---|---|---|
| TCSEC（橙皮书） | D、C1～A1 七级 | 以 BLP 为核心，B1 起引入安全标记 |
| ITSEC | E0～E6 | 欧洲标准，功能与保证分离 |
| CC / ISO 15408 | EAL1～EAL7 | 国际通用准则，我国等同采用 |
| GB/T 17859 | 五级 | 自主→审计→标记→结构化→访问验证 |
| 等保 2.0 | 一至五级 | 定级、备案、整改、测评、检查 |
组织：国际为 ISO/IEC JTC1 SC27；国内为全国信息安全标准化技术委员会 TC260 与测评机构。
18.2 五大安全模型
（1）状态机模型：系统抽象为状态集合＋转换函数。初始状态安全，且每个转换都把安全状态映射为安全状态，则系统永远安全。它只提供可证明的框架，不规定具体策略。
（2）BLP（保密性）：主体有许可级、客体有密级，由强制访问控制约束。
| 规则 | 要求 |
|---|---|
| 简单安全特性 | 不下读：只读密级不高于自己的客体 |
| 星特性 | 不上写：只写密级不低于自己的客体 |
| 自主特性 | 强制约束之上允许自主授权 |
口诀：「下读上写」，信息只能由低向高流，防泄密。场景：军事、政务多级安全。
（3）Biba（完整性）：与 BLP 完全对偶，防低完整性数据污染高完整性数据。
| 规则 | 要求 |
|---|---|
| 简单完整性特性 | 不上读：不读完整性级别更低的客体 |
| 完整性星特性 | 不下写：不写完整性级别更高的客体 |
| 调用特性 | 低完整主体不能调用高完整主体 |
口诀：「上读下写」——只从高完整性处读，只往低完整性处写。
（4）Clark-Wilson（商业完整性）：不靠密级，靠制度化的受控操作。良构事务指用户不能直接改数据，必须经过程序（TP）执行，保证「有效状态→有效状态」；职责分离指发起、审批、执行由不同人承担；IVP 做完整性验证；数据分 CDI（受控）与 UDI（非受控）。适用财务、ERP。
（5）Chinese Wall（利益冲突类）：权限由访问历史动态决定。用户访问过某客户信息后即被「墙」隔离，不得再访问其竞争对手信息，防止利益冲突与商业间谍。用于咨询、投行、审计、律所。
| 模型 | 保护目标 | 核心机制 | 一句话 |
|---|---|---|---|
| 状态机 | 通用 | 状态＋转换 | 安全态不被转换破坏 |
| BLP | 机密性 | 强制访问控制 | 下读上写 |
| Biba | 完整性 | 强制访问控制 | 上读下写 |
| Clark-Wilson | 完整性 | 良构事务＋职责分离 | 只能经受控程序改数据 |
| Chinese Wall | 利益冲突 | 访问历史＋COI 类 | 看过一家不看对手 |
18.3 系统安全体系架构规划框架
| 层次 | 主要措施 |
|---|---|
| 物理安全 | 门禁、视频、机房环境、防灾、介质管理 |
| 网络安全 | 分区隔离、防火墙、IPS、VPN、流量清洗 |
| 系统安全 | 主机加固、补丁、基线、恶意代码防护、日志 |
| 应用安全 | 身份认证、权限控制、输入校验、接口防护 |
| 数据安全（贯穿） | 分类分级、加密、脱敏、备份、审计、销毁 |
三支柱：技术体系＋管理体系（制度、组织、人员）＋运维体系（监控、应急、演练），缺一不可。
规划五步：现状与风险评估 → 安全需求（业务＋合规＋等保定级）→ 总体架构（安全域、边界、选型）→ 详细设计与实施 → 运行测评与持续改进（PDCA）。
18.4 WPDRRC 模型
| 环节 | 动作 | 手段 |
|---|---|---|
| 预警 W | 提前发现风险动向 | 风险评估、威胁情报、漏洞预警 |
| 保护 P | 阻止威胁发生 | 加密、认证、访问控制、分区 |
| 检测 D | 发现正在发生的入侵 | IDS/IPS、审计、完整性检查 |
| 响应 R | 快速处置、控制损失 | 应急预案、隔离、阻断、取证 |
| 恢复 R | 回到可用状态 | 备份恢复、容灾切换、业务连续性 |
| 反击 C | 溯源与反制 | 取证分析、追踪、法律手段 |
三要素：人员、策略、技术；强调动态循环（事前、事中、事后），比 PDRR 多「预警」与「反击」。
18.5 网络安全体系架构设计
| 安全服务 | 作用 |
|---|---|
| 认证 | 验证对等实体身份或数据来源 |
| 访问控制 | 决定谁能对什么资源做什么 |
| 数据机密性 | 防止未授权泄露 |
| 数据完整性 | 防止未授权篡改 |
| 抗抵赖 | 提供不可否认的证据 |
八类机制：加密、数字签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制、公证。一种服务可组合多种机制。
五类框架（ISO 10181）：认证框架、访问控制框架、机密性框架、完整性框架、抗抵赖框架；它们规定该类服务在分布式系统中的组件、阶段与交互，而非具体算法。
分层落点：链路层加密；网络层 IPSec（AH 保完整、ESP 保机密）；传输层 TLS；应用层 HTTPS 与数字签名。
18.6 数据库系统的安全设计
完整性三约束：实体完整性（主键）、参照完整性（外键）、用户定义完整性（CHECK/触发器）。完整性防「数据错」，安全性防「人越权」。
| 手段 | 做法 | 防什么 |
|---|---|---|
| 身份鉴别 | 强口令、统一认证集成 | 冒名登录 |
| 访问控制 | GRANT/REVOKE、RBAC、DAC/MAC | 越权读写 |
| 视图 | 只暴露必要行列 | 列级/行级泄露 |
| 加密 | 存储加密、列加密、传输 SSL | 介质失窃、窃听 |
| 审计 | 记录登录、DDL/DML、权限变更 | 内部违规 |
| 备份恢复 | 全量＋增量＋日志、异地保存 | 数据损毁 |
高安全场景用多级安全数据库（行列带标记，按 BLP 控制）；密钥须独立管理，不与密文同库。
18.7 系统架构的脆弱性分析
| 来源 | 表现 |
|---|---|
| 设计缺陷 | 信任边界模糊、扁平网络无分区、单点集中、默认开服务 |
| 实现缺陷 | 缓冲区溢出、注入、竞态、整数溢出 |
| 配置错误 | 默认口令、过度授权、多余端口、弱加密套件 |
| 管理缺失 | 补丁滞后、日志缺失、权限不清、组件未管控 |
分析四步：资产识别 → 攻击面识别（接口、端口、账号、运维通道）→ 信任边界与数据流（跨边界是否认证、加密、审计）→ 威胁建模（STRIDE）与控制。
典型架构级问题：单点故障、内网默认信任、核心网关全通无微隔离、服务间无双向认证、接口无限流、硬编码密钥、供应链不透明。
18.8 案例分析
答题固定结构：定级分区（等保→互联网区、DMZ、应用区、数据区、运维区）→边界防护（防火墙、IPS、WAF、抗 DDoS）→身份权限（统一认证、双因子、最小权限）→数据保护（分级、加密、脱敏、备份）→审计运营（日志留存、态势感知、演练）。
三、易混淆概念对比
| A | B | 关键区别 |
|---|---|---|
| BLP | Biba | BLP 保机密性、下读上写；Biba 保完整性、上读下写，规则完全对偶 |
| 状态机 | BLP | 状态机是通用形式框架，只证明转换不破坏安全；BLP 在其上定具体强制规则 |
| Biba | Clark-Wilson | Biba 靠多级完整性标记；Clark-Wilson 靠良构事务与职责分离 |
| Chinese Wall | BLP | 前者按访问历史动态隔离利益冲突；后者按固定密级静态控制 |
| 认证 | 授权 | 认证解决「你是谁」；授权解决「你能做什么」 |
| 机密性 | 完整性 | 机密性防泄露（加密）；完整性防篡改（摘要、签名、MAC） |
| 数字签名 | 加密 | 签名私钥签、公钥验，提供认证与抗抵赖；加密公钥加、私钥解，提供机密性 |
| DAC | MAC | DAC 由属主自主授权；MAC 由系统按安全标记强制控制 |
| RBAC | DAC | RBAC 以角色为中介，便于职责分离；DAC 按用户/组直接授权 |
| TCSEC | CC | TCSEC 七级、以 BLP 为核心；CC 分 EAL1～7，功能与保证分离 |
| WPDRRC | PDRR | 前者多预警与反击，强调主动防御与动态闭环 |
四、常见考法与出题角度
| 题型 | 出题角度 | 典型问法 | 答题要点 |
|---|---|---|---|
| 单选 | 模型规则 | 「BLP 星特性要求」 | 不上写，只能写不低于自身密级 |
| 单选 | 模型归属 | 「哪个模型保完整性」 | Biba、Clark-Wilson |
| 单选 | 模型场景 | 「咨询公司防利益冲突用」 | Chinese Wall |
| 单选 | WPDRRC | 「保护之前是哪个环节」 | 预警，顺序不能乱 |
| 单选 | 标准分级 | 「我国等保共几级」 | 五级；TCSEC 七级 |
| 简答 | 模型对比 | 「BLP 与 Biba 的区别」 | 目标、读规则、写规则三点 |
| 简答 | 数据库安全 | 「数据库安全设计手段」 | 认证、授权、视图、加密、审计 |
案例题角度（四步骨架）
- 定级与分区：先写「依据等保 2.0 定为第 N 级」，再划安全域（互联网接入、DMZ、应用、数据、运维），说明域间只开必要端口、由防火墙隔离。
- 建技术体系：按物理—网络—系统—应用四层各写 1～2 条，再说数据安全贯穿（分级、加密、脱敏、备份），不堆设备名。
- 选机制对属性：机密性用加密与访问控制；完整性用摘要/签名/事务校验；可用性用冗余、限流、容灾；抗抵赖用签名＋时间戳。
- 补管理运营：制度组织、人员安全、权限复核、补丁与漏洞管理、应急预案与演练、日志留存，形成 PDCA 闭环。
论文可用角度：写「某政务云安全架构」可写：「按等保三级划分五个安全域，域间最小化放通；统一认证加双因子，权限按角色最小化并以职责分离约束；敏感字段列级加密、密钥独立托管；日志留存 180 天，按 WPDRRC 建预警与响应流程，高危漏洞修复由 15 天降到 3 天。」
五、速记与自测
速记
- 三属性：保密、完整、可用
- 五模型：状态机、BLP、Biba、Clark-Wilson、Chinese Wall
- 两口诀：BLP 下读上写（保密）；Biba 上读下写（完整）
- Clark-Wilson：良构事务、职责分离
- 五服务：认证、控权、机密、完整、抗抵赖
- WPDRRC：警、保、检、响、恢、反
- 技术四层：物、网、系、应；数据库五手：权、视、密、审、备
自测
- BLP 的「下读上写」分别对应哪条特性？保护什么属性？
- Biba 与 Clark-Wilson 都保完整性，适用场景有何不同？
- WPDRRC 比 PDRR 多了哪两个环节？
答案：1. 「下读」对应简单安全特性（不下读），「上写」对应星特性（不上写），保护机密性。2. Biba 基于多级完整性标记，防低完整数据污染高完整数据；Clark-Wilson 基于良构事务与职责分离，适合财务、ERP 等流程与审计合规场景。3. 多「预警」与「反击」，防御前移到事前预警、后延到溯源反制，形成主动闭环。