强制访问控制<\/strong><\/p>

第一步：核心概念与基本定义<\/strong>
强制访问控制是一种由系统强制实施的安全策略模型，完全基于中心化的安全策略进行决策，用户和文件等主体、客体无权改变其安全属性或访问权限。核心特征是“强制”，即访问控制决策不由资源所有者自行决定，而是由系统管理员设定的全局安全策略（如安全标签）强制执行。<\/p>

第二步：核心组件详解<\/strong>
MAC系统的运行依赖三个关键组件：<\/p>

安全标签<\/strong>：系统中所有主体（用户、进程）和客体（文件、设备）都必须被分配一个固定的安全标签。标签通常包含两部分：密级<\/strong>（如公开、秘密、机密、绝密）和范畴<\/strong>（如部门A、项目X），用于进行多维度的访问控制。<\/li>
全局安全策略<\/strong>：系统预定义的、不可绕过的访问规则。最经典的策略是多级安全<\/strong>策略，其包含两条基本规则：

简单安全规则（不上读）<\/strong>：一个主体只能读取安全标签低于或等于<\/strong>自身安全标签的客体。例如，“机密”级别的用户不能读取“绝密”文件。<\/li>
-属性规则（不下写）<\/strong>：一个主体只能写入安全标签<\/em>高于或等于<\/em>*自身安全标签的客体。例如，“机密”级别的用户不能向“秘密”级别的文件写入数据，这是为了防止高密级信息泄露到低密级。<\/li> <\/ul> <\/li>
参考监视器<\/strong>：系统中一个可信的、不可绕过的安全内核模块，负责对所有访问请求进行仲裁。它会比较主体和客体的安全标签，并依据全局安全策略（如上述两条规则）做出“允许”或“拒绝”的强制决策。<\/li> <\/ol>
第三步：工作流程与示例<\/strong>
以一个简化的政府文档系统为例：<\/p>

标签分配<\/strong>：用户Alice被授予“机密：项目A”标签。文件X被标记为“秘密：项目A”，文件Y被标记为“绝密：项目A, 项目B”。<\/li>
访问请求仲裁<\/strong>：

Alice（机密:项目A）请求读<\/strong>文件X（秘密:项目A）。参考监视器检查：主体的密级（机密）高于<\/strong>客体的密级（秘密），且主体范畴（项目A）包含<\/strong>客体范畴（项目A）。根据“不上读”规则，允许读取<\/strong>。<\/li>
Alice（机密:项目A）请求写<\/strong>文件X（秘密:项目A）。检查：主体密级（机密）高于客体密级（秘密）。根据“不下写”规则，拒绝写入<\/strong>（防止机密信息流入秘密文件）。<\/li>
Alice（机密:项目A）请求读<\/strong>文件Y（绝密:项目A,B）。检查：主体密级（机密）低于<\/strong>客体密级（绝密）。根据“不上读”规则，拒绝读取<\/strong>。<\/li> <\/ol> <\/li> <\/ul>
第四步：典型实现与特性分析<\/strong>
常见实现包括SELinux、AppArmor、TrustedBSD等。其主要特性是：<\/p>

优点<\/strong>：提供极高强度的、全局一致的安全隔离，能有效防止特洛伊木马和信息泄露，尤其适用于多级安全环境（如军事、政府）。<\/li>
缺点<\/strong>：配置和管理极其复杂，策略制定需要深厚的专业知识；灵活性差，普通用户无法根据需要自由共享文件；可能对系统可用性和易用性造成影响。<\/li> <\/ul>
第五步：与已学模型的对比与定位<\/strong>
强制访问控制通常与自主访问控制协同工作，构成操作系统完整的安全体系：<\/p>

与自主访问控制的区别<\/strong>：自主访问控制中，客体的所有者可以自主决定谁有权访问（如设置文件读写权限）。而强制访问控制中，访问权由系统策略强制决定，所有者无权更改。<\/li>
应用层级<\/strong>：在实际系统中（如Linux with SELinux），当一个访问请求发生时，通常会先经过DAC<\/strong>检查（如检查文件传统的rwx权限），如果DAC拒绝，则访问立即被拒绝；只有DAC允许，请求才会继续提交给MAC<\/strong>（如SELinux策略）进行更严格、更细粒度的强制检查。MAC是DAC之上的第二道、更强大的安全闸门。<\/li> <\/ul>