微软企业集中管理和控制应用程序的安全访问

SEC314

课程内容概要和安排自我介绍

企业应用程序安全访问的复杂性及其演变

微软企业内部环境概况和程序安全管理的挑战

微软统一平台的战略和安全访问的集中控制

了解和剖析统一平台的体系架构及其使用的技术

总结

自我介绍毕业于四川大学机算机系 (1986), 中国人民大学财政信

息系 (1989) 和美国南卡罗来纳医科大学信息系统系，博士 (1994)

先后在贝尔南方电讯公司 (BellSouth), 美国电话电报公司（ AT ＆ T ）和 AT&T 移动电话等公司任职高级软件工程师 , 设计师 , 软件开发部主管 , 和企业构架师

2006 年加入微软任企业构架师。研究 , 设计和制定企业内部的整体体系架构 , 系统间集成和企业数据安全性管理的规范和战略

企 业 应 用 程 序 安 全 访 问 的复 杂 性 及 其 演 变

什么是应用程序安全性 ?对于企业来说 , 程序安全性是为了保护程序所管理的信息 ,

数据和资源 , 以避免受到各种威胁和攻击信息泄漏和曝光未经认证和授权的数据更改窃取用户名和密码等等

应用程序安全性主要包括 :用户身份的管理和认证 (Authentication)用户授权的管理与决策 (Authorization)安全访问的审计 , 监督管理和报告 (Audit and Regulatory Compliance)

应用程序资源保护的例子企业合同管理应用程序

功能保护 : 创建 , 修改 , 批准 , 签名等数据保护 : 与政府的合同 , 与大中小型企业的合同 ,

与大专院校的合同等等其他保护 : 金额百万以上的合同 , 各地区的合同职责分离的要求 (Separation of Duty)

企业财政和财务数据管理应用程序数据存取的安全按照地区结构来管理按照机构内部层次来管理业务分类的财务数据安全管理

应用程序安全性演变 (1)从单用户独立程序的安全保护…

应用程序安全性演变 (2)到多用户多身份访问的大规模集成应用程序

安全访问的复杂性增长

程序访问起点的角度从公司内网客户端到无线设备上的访问从供应商和合作伙伴的网络 到互联网

用户身份的角度从单个身份 ( 公司活动目录帐户 )到多种身份的认证 ( 自己公司 , 合作公司和个人的帐

户 )保护的资源角度

程序本身程序的功能 ( 例如 : 合同的建立 , 批准和签名 )程序所管理的数据 ( 例如 : 定单 , 合同 , 财政和人事数

据 )

企业资源安全性管理持续演变资

源 的

安 全

性 管

理

主机和网络

程序和数据的安 全管理

规定和手工程序

时 间

随作业务发展 , 安全性控制持续演变

服务器和文件

视 频应用程序的安全管理 (Application Security)

Neil MacDonald and John WeinshenkResearch VP of Gartner and CEO of Cenzic

http://www.accelacast.com/programs/gartner_583_cenzic/

微 软 企 业 环 境 概 况 及 程 序安 全 管 理 的 挑 战

微软企业内部环境概况

≈600K+ PCs and devices

≈2300 Line of Business Applications

Largest Private Wireless Network Largest Private Cable & Satellite Network

140K+ end users98 countries550 buildings1/3 Internet only Connections

3M+ internal e-mail messages per day20M+ e-mails from the Internet per day97% rejected as spam

9.5M+ VPN connections/month85K Outlook / IM over the Internet users

Dublin

Singapore

Redmond

要点2300 个应用程序 。用户来自各国 , 包括雇员 , 临时

员工 , 合作伙伴和客户。使用者达百万以上。

应用程序安全性开发的挑战应用程序各自独立设计和开发自己的安全保护方案

开发成本高大约 10%-15% 的项目成本开发的总成本估计每年高达 $50 Millions 左右

缺乏统一标准和技术

管理操作难度性大

视 频MSIT Security Model & Customer Data Protection

Tony Scott, CIOMicrosoft Corporation

Create New Security Model Protect Microsoft Customer Data

实施统一安全平台的战略设立专门小组来研究和开发应用程序安全访问的解决方案

和平台

其他程序与统一平台集成以实现程序数据和资源的集中管理和保护

统一平台给微软带来的效益降低程序开发和管理的成本加快项目设计和开发的速度有效监督数据保护法案的执行情况

例如 SOX 法案和隐私法

了 解 和 剖 析 统 一 安 全 平 台的 体 系 架 构

统一平台逻辑体系架构

统一平台系统构件平台管理工具 (Administration Tool)

平台数据库 (Platform Databases)

身份认证服务层 (Authentication Services)

访问授权服务层 (Authorization Services)

程序编程接口 (APIs)

平台构件 : 管理工具功能

定义被保护程序的功能，数据 和资源定义程序访问的角色和角色权限分配用户的角色和用户角色的限制制定数据的安全访问政策

物理实现ASP.net 网页应用程序使用微软 WF 工作流程技术WF=Windows Workflow Foundation

平台构件 : 数据库功能 : 存储以下数据

用户及身份程序的资源 , 资源属性及安全政策程序的角色 , 角色权限和用户角色的分配

物理实现微软 SQL Server 数据库服务器

数据库模型实现和扩充基于角色的访问控制 (RBAC) 安全模型

RBAC 安全模型

用户(User)

角色(Role) 资源的操作资源的操作资源的操作

角色(Role)

用户角色的分配

角色权限的分配

基于角色的访问控制 (RBAC) 是一种跨企业的标准模型简单而有效 , 但功能有限 , 不能满足业务的需求例如 , 王小明 ( 用户 ) 作为地区销售经理 ( 角色 ) 可以

批准与加拿大政府客户有关的合同 ( 资源的操作 ), 但所批准的合同金额必需小于一百万

标准 RBAC 模型不能很好地支持以上的要求

扩充 RBAC 安全模型

用户(User)

角色(Role) 资源的操作资源的操作资源的操作

角色(Role)用户角色的

分配和限制

角色权限的分配和限制

用户角色的范围限制(User Role Scope Constraints)

角色本身的范围限制(Role Constraints)

使用扩充安全模型的例子

合同管理应用程序的安全访问设计

用户角色的范围限制 (Scope Constraints)

用户 角色 地理限制 合同金额限制 客户分类限制

小张 销售经理 中国签订百万元以下合同

政府和教育部门

小王 销售经理 中国签订十万元以下合同

中小型企业

小刘 销售经理 中国签订五十万元

以下合同大型企业

小刘 销售经理 加拿大签订百万元以下合同

政府和教育部门

平台构件 : 身份认证服务层功能

身份验证和身份联盟 (Identity Federation)收集和整合用户的详细资料和当时的环境属性 ( 时间，

IP 地址等 )

物理实现使用微软的活动目录联合服务器产品

ADFS v2, code named Geneva Server(Geneva 服务器 )连接和验证公司的活动目录身份 , 个人的 Windows Live ID 身

份和合作公司的用户身份

是一种安全令牌服务 (Security Token Services)验证完后 , 发行 SAML 安全令牌 SAML 是一种跨企业的安全声明标准语言

Geneva 服务器身份认证流程 (1)企业内部活动目录联合服务器 (Geneva) 的工作流程

1

2

3

4

5 6

Geneva 服务器身份认证流程 (2)企业之间活动目录联合服务器 (Geneva) 的工作流程

企业 Y 信赖 企业 X 发

行的安全令牌

平台构件 : 访问授权服务层功能

检索和执行制定好的安全政策作出最终授权决定

物理实现授权服务引擎 (Authorization Services Engine)

基于微软 WCF 技术来创建和运行的 Web Service使用 XACML语言和结构来描述安全政策和执行XACML 是一个跨企业的安全访问控制的开发标准

授权程序编程接口 (Platform API)

XACML简介XACML= eXtensible Access Control Markup Language

是由 OASIS 组织制定的安全访问控制的标准OASIS = Organization for the Advancement of Structured

Information Standards

标准语言来描述和表达资源安全访问的政策例如 , 王小明只能批准与加拿大政府客户有关的金额小于一百

万的合同

标准体系架构和流程来执行授权过程

XACML 安全政策例子 (1)<Policy PolicyId="policy:1" RuleCombiningAlgorithm="deny-overrides”>

<Target><Subjects> <AnySubject /> </Subjects><Resources><Resource> <ResourceMatch MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">

<AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">*</AttributeValue>

<ResourceAttributeDesignator AttributeId="urn:msit:names:contract:resource:ContractID" DataType="http://www.w3.org/2001/XMLSchema#string" /> </ResourceMatch></Resource></Resources><Actions><Action> <ActionMatch MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal"> <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">

urn:msit:namescontract:action:Approve </AttributeValue> </ActionMatch></Action></Actions>

</Target>…

安全政策

用户

资源

动作

XACML 安全政策例子 (2)…

<Rule RuleId="rule:1" Effect=“Grant"><Condition>

<Apply FunctionId=“equal-to"><SubjectAttributeDesignator AttributeId=“Role" DataType="integer"/> <AttributeValue DataType=“string">SalesManager</AttributeValue> <AttributeValue DataType=“string">RegionalSalesManager</AttributeValue></Apply>

</Condition><Condition>

<Apply FunctionId=“integer-less-than"><ResourceAttributeDesignator AttributeId=“Amount" DataType="integer"/><AttributeValue DataType=“integer">1000000</AttributeValue></Apply>

</Condition></Rule>

</Policy>

政策规定

规定条件

规定条件

外部数据源

平台数据库

XACML 授权流程

应用程序

用户

(1) 访问程序资源 平台安全政策执行点

(Policy Enforcement Point)

(2) 访问请求

平台中心处理器(Context Handler)

平台安全政策决策点(Policy

Decision Point)

平台安全政策信息点(Policy Information Point)

缓存 (Cache)

缓存(Cache)

RBAC Policy Store

Resource Store

Identity Store

XACML Policy Store

Role Attributes

Resource Attributes

Identity Attributes

XCAML Secure Policy

(3) XACML 请求(4) 查询有关政

策(5) 需要政策参数

(6) 检索有

关参数(7) 检索外部

有关参数

(8) 返回有关参数值

(9) 返回参数值

(10) 返回安全决策

(11) 返回XACML

安全决策

(12) 访问答复1

2

3

4

5

6

7

8

9

10

1112

总结微软企业统一集中管理和控制应用程序的安全访问

降低应用程序开发成本加快项目设计和开发的速度有效监督各种数据保护法案的执行情况

统一安全平台是一个多层整合的体系架构使用多种微软技术和产品 (WCF, WF and ADFSv2)采用多种工业标准和规范 (RBAC,SAML and XACML)

疑 问 和 解 答

参考资源Microsoft Security Portalhttp://www.microsoft.com/security/Microsoft Geneva Serverhttp://msdn.microsoft.com/en-us/security/aa570351.aspxMicrosoft Identity Lifecycle Managementhttp://www.microsoft.com/windowsserver/ilm2007/default.mspxMicrosoft IT Showcasehttp://technet.microsoft.com/en-us/library/bb687780.aspxMicrosoft IT Case Studyhttp://www.microsoft.com/casestudies/Case_Study_Detail.aspx?casestudyid=4000003876http://www.microsoft.com/casestudies/Case_Study_Detail.aspx?casestudyid=4000004389Non-Microsoft Linkshttp://csrc.nist.gov/groups/SNS/rbac/http://saml.xml.org/http://www.oasis-open.org/specs/#xacmlv2.0http://www.accelacast.com/programs/gartner_583_cenzic/http://whatis.bitpipe.com/detail/RES/1253214558_775.html

专家问答区 (F4)本课程结束后，我将在接下来的 70 分钟内于 4 层专家问答区与您交流答疑

感谢您参与此会场！您的意见与建议对我们非常重要。

请您填写反馈表。

© 2008 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries.The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED

OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.