感谢您阅读《信息安全技术之：网络基础安全技术要求》，您可前往信创致远http://www.dengbao110.com/看完整版内容。

5.2.1 访问控制策略

SSF 应按确定的自主访问控制安全策略进行设计，实现对策略控制下的主体与客体间操作的控制。

可以有多个自主访问控制安全策略，但它们必须独立命名，且不能相互冲突。常用的自主访问控制策略包括：访问控制表访问控制、目录表访问控制、权能表访问控制等,这些都是等保信息安全和网络基础安全技术的要求。

5.2.2 访问控制功能

SSF 应明确指出采用一条命名的访问控制策略所实现的特定功能，说明策略的使用和特征，以及该策略的控制范围。

无论采用何种自主访问控制策略，SSF 应有能力提供：在安全属性或命名的安全属性组的客体上，执行访问控制 SFP；

在基于安全属性的允许主体对客体访问的规则的基础上，允许主体对客体的访问；在基于安全属性的拒绝主体对客体访问的规则的基础上，拒绝主体对客体的访问。

5.2.3 访问控制范围

网络系统中自主访问控制的覆盖范围分为：

a）子集访问控制：要求每个确定的自主访问控制，SSF 应覆盖网络系统中所定义的主体、客体及其之间的操作；

b）完全访问控制：要求每个确定的自主访问控制，SSF 应覆盖网络系统中所有的主体、客体及其之间的操作，即要求 SSF 应确保 SSC 内的任意一个主体和任意一个客体之间的所有操作将至少被一个确定的访问控制 SFP 覆盖。

5.2.4 访问控制粒度

网络系统中自主访问控制的粒度分为：

a）粗粒度：主体为用户组/用户级，客体为文件、数据库表级；

b）中粒度：主体为用户级，客体为文件、数据库表级和/或记录、字段级；

c）细粒度：主体为用户级，客体为文件、数据库表级和/或记录、字段级或元素级。

5.3 标记

5.3.1 主体标记

应为实施强制访问控制的主体指定敏感标记，这些敏感标记是实施强制访问控制的依据。网络基础安全技术的要求中标记也分多种如：等级分类和非等级类别组合的敏感标记是实施多级安全模型的基础。

5.3.2 客体标记

应为实施强制访问控制的客体指定敏感标记，这些敏感标记是实施强制访问控制的依据。如：等级分类和非等级类别组合的敏感标记是实施多级安全模型的基础。

5.3.3 标记完整性

敏感标记应能准确地表示特定主体或客体的访问控制属性，主体和客体应以此发生关联。当数据从 SSON 输出时，根据需要，敏感标记应能准确地和明确地表示输出数据的内部标记，并与输出的数据相关联。