CISSP的成长之路（十三）：安全架构和设计之安全模型

　　在51CTO安全频道特别策划的CISSP的成长之路系列的上一篇文章《安全架构和设计（1）》里，J0ker给大家介绍了系统架构和设计的第一部分，因为这个部分里的安全模型概念是CISSP考试考察的一个重点，同时目前所有的系统和软件都是基于这些安全模型来设计安全原则的，所以J0ker打算在本文中详细介绍这些安全模型：

　　我们都知道，信息安全的目的就是要保证信息资产的三个元素：保密性，完整性和可用性（CIA），CIA这个也就是这三个元素开始为人们所关注的时间的先后。现在系统设计中所使用的安全模型的出现的顺序也大概如此，先出现专门针对保密性的BLP模型，然后出现针对完整性的Biba模型、Clark-Wilson模型等，在访问控制中所使用的访问控制列表/矩阵（Access Control List(ACL)/Access Control Matrix(ACM)），在CISSP的CBK内容中也把它划分到安全模型的范围内。顺便说明一下，因为可用性本身涉及到的因素很多，并没有一个被广泛接受的通用安全模型，所以CISSP的CBK里只要求掌握针对保密性和完整性的安全模型。

　　安全模型所依赖的理论基础——状态机模型和信息流模型

　　状态机（State Machine）模型是信息安全里用来描述无论何时状态都是安全的系统模型，而处于特定时刻系统的快照便是一种状态(State)，如果这种状态满足安全策略的要求，我们就可以认为它是安全的。许多活动会导致系统状态的改变，称之为状态转换（States transaction），如果这些活动都是系统所允许而且不会威胁到系统安全的，则系统执行的便是安全的状态机模型（Secure State Machine）。一个安全状态机模型总是从安全的状态启动，并且在所有状态的转换中保证安全，并只允许行为的实施者以符合安全策略要求的形式去访问资源。