总第２ｌｌ期 ２０１２年第１期 舰船电子工程 Ｓｈｉｐ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｉｎｇ Ｖｏｌ＿３２ Ｎｏ．１ ６９ ＯＡ应用安全增强系统设计与实现 蔡谊刘东生 北京１００８４１） （西三环中路ｌ９号摘要随着办公信息化建设的不断推进，ＯＡ系统已广泛应用于机关及各下属单位，在提高人员工作效率的同时，其自身的安全 性也日益引起高度关注。文章针对现有ＯＡ系统的典型Ｔ作流程，分析其中存在的脆弱点，在此基础上，设计并实现了一个ＯＡ应用安全增 强系统。该系统对上层应用透明，能在不影响应用系统运行效率的前提下，在操作系统内核层，实现用户身份认证及强制访问控制，极大地 提高了应用系统的安全性。 关键词办公自动化；公文流转；身份认证；强制访问控制 ＴＰ３１１ 中图分类号Ｄｅｓｉｇｎ ａｎｄ Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｓｅｃｕｒｉｔｙ－Ｅｎｈａｎｃｅｄ Ｓｙｓｔｅｍ ｆｏｒ ＯＡ ＣＡＩ Ｙｉ ＬＩ Ｕ Ｄｏｎｇｓｈｃｎｇ （Ｎｏ．１ ９ Ｘｉ ｝ｌｎ Ｈｕａｎ Ｍｉｄｄｌｅ Ｒｏａｄ．Ｂｅｉｊｉｎｇ １００８４１） Ａｂｓｔｒａｃｔ Ｗｉｔｈ ｔｈｅ ｆａｓｔ ｄｅｖｅｌｏｐｍｅｎｔ ｏｆ ｉｎｆｏｒｍａｔｉｏｎ ＣＯＯＳＩ ｒｕｃｔｉｏｎ ｉｎ ｔｈｅ ａｒｍｙ，ｍｏｒｅ ａｎｄ ｍｏｒｅ ｕｎｉｔｓ ｈａｖｅ ｂｅｅｎ ｕｓｉｎｇ ＯＡ ｓｙｓｔｅｍ．ＯＡ ｃａｎ ｉｍｐｒｏｖｅ ｔｈｅ ｗｏｒｋ ｅｆｆｉｃｉｅｎｃｙ ｗｈｉｌｅ ｉｔ ａｌｓｏ ｈａｓ ｓｏｍｅ ｓｅｃｕｒｉｔｙ ｐｒｏｈｌｅｍ． Ｉ＇ｈｉｓ Ｉ）ａｐｅｒ ｄｅｓｃｒｉｂｅｓ ａ ｔｙｐｉｃａｌ ｗｏｒｋｆｌｏｗ ｏｆ（）Ａ ａｎｄ ａｎａｌｙｚｅｓ ｔｈｅ ｖｕｌｎｅｒａ— ｂｉｌｉｔｉｅｓ ｉｎ ｉｔ，ａｎｄ ｔｈｅｎ ｉｍｐｌｅｍｅｎｔｓ ａ ｓｅｃｕｒｉｔｙ－ｅｎｈａｎｃｅｄ ｓｙｓｔｅｍ ｏｎ（）人ａｐｐｌｉｃａｔｉｏｎ．Ｔｈｅ ｓｅｃｕｒｉｌｙ－ｅｎｈａｎｃｅｄ ｓｙｓｔｅｍ ｉｓ ｔｒａｎｓｐａｒｅｎｔ ｔｏ ｔｈｅ ａｐｐｌｉｃａ— ｔｉｏｎ ａｎｄ ｄｏｅｓ ｎｏｔ ａｆｆｅｃｔ ｔｈｅ ｅｆｆｉｃｉｅｎｃｙ ｏｆ ｉｔ．Ｕｔｉｌｉｚｉｎｇ ｉｄｅｎｔｉｔｙ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ ＭＡＣ ｉｎ ｔｈｅ（）Ｓ ｋｅｒｎｅｌ，ｔｈｅ ｓｅｃｕｒｉｔｙ－ｅｎｈａｎｃｅｄ ｓｙｓｔｅｍ ｃａｎ ｇｕａｒａｎｔｅｅ ｔｈｅ ｓｅｃｕｒｉｔｙ ｏｆ ａｐｐｌｉｃａｔｉｏｎ ｆｕｎｄａｍｅｎｔａｌｌｙ． Ｋｅｙ Ｗｏｒｄｓ ０Ａ，ｗｏｒｋｆｌｏｗ，ｉｄｅｎｔｉｔｙ ａｕｔｈｅｎｔｉｃａｔｉｏｎ，ＭＡ【： Ｃｌａｓｓ Ｎｕｍｂｅｒ ＴＰ３１］ １ 引言 随着信息技术的不断发展，信息化建设也在稳步 向前推进。当前，已有越来越多的机关及下属各单位，部署 了ＯＡ（办公自动化）系统。ＯＡ系统有力地矫正了行政管 ２ ＯＡ典型应用及其脆弱性分析 ２．１ ＯＡ系统典型应用流程 公文流转是ＯＡ系统最为主要和典型的应用，公文流 转的整体过程由（）Ａ系统的管理员，根据相应的规章制度 进行配置。公文流转过程配置完成后，一般不会再轻易做 出改动，相关人员会遵循固定流程，完成公文的逐级上报与 审批。 理中，可能会出现的随意和混乱现象，实现了办公的流程化 与标准化，有效提高了相关人员的办事效率。 ＯＡ系统的主要功能包括：通知通告的公示、电子邮件 的收发、公文的流转以及其它一些在线服务等。现有ＯＡ 现有的（）Ａ系统大多是基于Ｂ／Ｓ构架，用户在客户端 系统过多地强调了功能的多样性与复杂性，对自身的安全 性有所忽视，主要表现在：ＯＡ系统一般基于Ｗｅｂ服务，对 通过浏览器登录ＯＡ服务器，然后根据（）Ａ系统管理员所 制定的公文流转过程，进行公文的接收与发送，实现办公应 用的规范化操作。下面，以某单位的公文接收过程为例，分 析公文的流转过程，其流程如图１所示。 用户身份认证的安全强度不高；对合法用户没有进行严格 的访问控制，可以进行越权访问＿１ ；安全机制集中于系统的 应用层，与底层操作系统结合不紧，存在被旁路的危险，因 此不能从根本上保证应用系统的安全［２￣４３。 （１）收文Ｌ＿一（录Ｉ ２）日办领导Ｌ ｌ＿Ｊ（３）专呈收文Ｌ一（ｌ ４）拟办 收文 针对上述问题，本文以ＯＡ系统的典型应用～公文流 转为例，对其中存在的脆弱性问题进行了分析和研究。在 此基础上，给出了ＯＡ应用安全增强系统的设计方案，并通 过实际的安全应用部署，证明了方案的可行性以及系统实 （７）收文Ｌ＿＿ｊ（６）收文Ｌ—１（５）收文 工作人员Ｂ 工作人员Ａ 现的可靠性。 图１典型公文流转过程 ＊收稿日期：２０１１年７月１３日，修回日期：２０１１年８月２６日 作者简介：蔡谊，女，高级工程师，研究方向：信息安全。刘东生，男，高级工程师，研究方向：密码工程。 ７０ ２．２ ０Ａ系统典型应用脆弱性分析 蔡谊等：ＯＡ应用安全增强系统设计与实现 总第２１１期 综上所述，现有ＯＡ系统的脆弱性主要表现在两个方 面：首先，ＯＡ管理员和一般用户的身份认证强度不够，使 得用户身份存在被冒充的可能性：其次，现有的安全机制位 于应用层，存在被旁路的危险。这些因素都会直接或间接 导致公文流转的应用流程被恶意篡改。 上述公文流转的过程，由各单位根据公文的知悉范围 和相关的保密规定所制定，是一个相对固定的流程。如果 违反相应的规章制度，对流转过程进行篡改，就会导致公文 的安全性面临威胁。对公文流转过程进行篡改，可以利用 ＯＡ系统管理员的权限来达到目的，也可以通过对相关数 据包的修改来实现。下面，分别对这两种方式的具体实现 加以说明。 ３ ＯＡ应用安全增强系统设计 ３．１总体拓扑结构 在（）Ａ系统中，ＯＡ管理员的身份认证大多是基于用户 名和口令式的，安全强度不高。一旦攻击者窃取或破译了 ＯＡ管理员的密码，就可以修改公文流转的过程，使得公文 针对现有ＯＡ系统在典型应用中存在的脆弱性，本文 设计了ＯＡ应用安全增强系统。该系统是在０Ａ服务器的 前端，以桥接模式透明接入前置机，实现对ＯＡ服务器请求 流向发生变化，破坏ＯＡ系统的安全性。另外，ＯＡ管理员 自身也可能会存在违规操作，未经批准，擅自修改固定流 程。利用０Ａ管理员身份，针对上述公文流转过程进行篡 改后的流程如图２所示。 （１）收文Ｌ＿一（录Ｉ ・ 绷办２）领导Ｌ－ｌ Ｉ一（褂々呈３）收文Ｌ Ｉ—一（４）收文 ｌ办 睡 锤 （５办１收理文 工作人员Ｂ 工作人员Ｃ 工作人员Ａ 图２基于系统管理员身份的流程篡改 从图２中可见，以ＯＡ管理员身份登录ＯＡ系统后，在 流程的第五步和第六步之间添加了一个新的“收文办理”环 节。按照新的工作流程，工作人员Ａ能够直接将收文发送 给工作人员ｃ办理。但在实际工作中，这一违规流程将扩 大公文的知悉范围，造成对公文的越权访问，应当是被禁止 的。 对公文流转过程进行篡改，另外一种间接的方法，是对 相关数据包进行截获分析，并对数据包进行修改，以达到攻 击目的。为达到相同的攻击效果，攻击者会拦截第五步提 交的数据包，并对其中的内容进行修改，修改后流程如图３ 所示。 ｌ（１）收文Ｌ—一（录ｌ ｌ 目办Ｉ２）领导Ｌ Ｉ＿Ｊ（ 呈 ｌ３）收文Ｌ ＿一（４）收文Ｉｌ办 Ｉ （７）收文１．＿＿Ｊ（６）收文１． Ｉ（５）收文 稍退ｆ ｊ尸Ｆ 转ｆ ｉ 办理 酢 ＢＬ一瓣 一 工作人员ｃ 图３基于数据包分析的流程篡改 在实际攻击中，假设攻击者已经获知工作人员Ｃ的用 户名和密码，并在网络上截获了工作人员Ａ提交公文所对 应的数据包，对其中的路径内容做如下修改： Ｊａｖａｓｃｒｉｐｔ：ｅＷｏｒｋｓＤｏｃ．ＦｏｒｒｃＬ ｓｅｌｅｃｔｅｄＵｓｅｒｌＤｓ．ｖａｌｕｅ一 工作人员Ｃ账号； ｅＷｏｒｋｓＤｏｃ．Ｆｏｒｍ．ｓｅｌｅｃｔｅｄＦｌｏｗｌＤ．ｖａｌｕｅ＝目标流向ＩＤ； ｅＷｏｒｋｓＤｏｃ．Ｆｏｒｍ．ｓｅｎｄＭｏｄｅ．ｖａｌｕｅ＝１； ｅＷｏｒｋｓＤｏＡｃｔｉｏｎ（‘ｃｏｍｐｌｅｔｅ’）。 修改完成后，公文流转的过程也会发生相应的变化，使得 本应该只流向工作人员Ｂ的公文，同时流向了工作人员Ｃ。 数据包的分析与过滤，防止非法访问，确保相关信息流的安 全。前置机所使用的强制访问控制策略由安全管理员在安 全管理中心上进行配置，并以在线的方式下发到前置机上。 ＯＡ应用安全增强系统总体拓扑结构如图４所示。 ＯＡ应用安全增强系统 在运行中，首先需要由安全 管理中心给合法用户配发相 应的身份钥匙，即ＵＳ— ＢＫＥＹ：接着在安全管理中 图４ ＯＡ应用安全 心，由安全管理员对ＯＡ服 增强系统拓扑结构 务器中的资源进行归类，并 对其中的主客体信息进行标记，设定相应的范畴、敏感度及 可信度 ］，然后将这些信息作为安全策略，下发到前置 机：前置机上的安全内核模块，会对办公终端访问（）Ａ服务 器的请求数据包进行截获与分析，提取相关的主客体信息， 同时根据安全管理中心下发的安全策略，实现操作系统内 核级的强制访问控制。 ＯＡ应用安全增强系统利用硬件ＵＳＢ ＫＥＹ，通过专用 的身份认证协议和鉴别机制，实现对登录到０Ａ系统的用 户身份双因子认证，提高了认证的安全强度；利用前置机的 操作系统内核增强模块，对终端请求的数据包进行截获、分 析和判断，能保证安全机制不会被旁路。 ３．２系统主要模块划分 （）Ａ应用安全增强系统 由两大功能组件构成：安全 一一一一一：：： 一一． ． 管理中心和前置机安全内核 增强模块。安全管理中心由 Ｉ…Ｐ敬； 增强模块［耍霍条ｊ弓 广Ｉ．］１ ；ｉ 动态网页、后台数据库与安 墨 ：匿……雠… ……… 全代理构成；前置机的安全 内核增强模块可以分为数据 ‘。 包分析模块、安全代理模块、 访问控制模块以及审计模 图５ ＯＡ应用安全增强 块。上述模块的作用及其相 系统模块组成 互之间的关系，如图５所示。 安全管理中心用于对合法用户进行身份注册，配发相 应的ＵＳＢＫＥＹ；根据主客体信息的范畴、敏感度与可信度， 下发相应的安全策略给前置机安全内核增强模块；同时，安 全管理中心还会根据制定好的审计规则，接收由前置机安 全内核上传的相关审计信息，以便于安全管理员进行查看 和分析。 前置机安全内核增强模块用于透明接管终端用户的访 ２０１２年第１期 舰船电子工程 ７１ 问请求，对ＯＡ系统的网络数据流进行分析和控制，过滤掉 非法请求，确保０Ａ系统的安全性。安全内核增强模块的 构成及其相互间关系是： １）安全代理模块：接收由安全管理中心下发的安全策 略，将安全策略传递给访问控制模块；接收由审计模块产生 的审计信息，将审计信息上报给安全管理中心。 ２）数据包分析模块：根据ＯＡ系统的应用协议对终端 发出的请求数据包进行分析，从用户登录数据包中提取主 体信息，从ＵＲＬ串中提取客体资源信息，并将这些主客体 信息传递给访问控制模块。 ３）访问控制模块：接收由数据包分析模块传递的主客 体信息，根据安全管理中心下发的安全策略，对主体的访问 权限进行控制，防止非法用户的非授权访问以及合法用户 的越权访问。 ４）审计模块：用于记录所有用户对ＯＡ服务器的操作 信息，以及错误信息，便于安全管理员进行统计和分析，利 于事后审查与追踪。 ３．３安全内核增强模块功能实现 ＯＡ应用安全增强系统核心模块的功能主要包括：安 全策略的下载以及操作系统内核级的强制访问控制＿８ ］。 １）安全策略下载 前置机的安全代理模块读取本地网络配置文件，获取 安全管理中心的ＩＰ地址和端口，向安全管理中心进行注 册。在注册成功后，请求并接收安全管理中心下发的安全 策略。策略下载流程如图６所示。 前置机安全代理将接 收到的安全策略存入缓冲 区，在接收完成后，安全代 理会在本地计算安全策略 的ｈａｓｈ值，并将其与安全 管理中心下发的ｈａｓｈ值相 比较，验证安全策略的完整 性。如果策略下载完整，则 安全策略保存到本地磁盘， 否则给出相应的提示并退 出。 ２）强制访问控制 前置机的安全内核在 实现强制访问控制时，首先 图６策略下载流程 需要在操作系统内核中加 载钩子函数ｌ１ ，对数据包进行分析和过滤，提取所需的主 客体相关信息。然后根据下载的安全策略，决定是否转发 数据包。强制访问控制的具体流程如图７所示。 安全内核中的钩子函数对截获的数据包进行分析，判 断当前用户的操作行为是否与公文流转相关，如果不相关 则让数据通过。如果相关，则记录下当前登录用户的 ＳＳＩＤ，并将ＳＳＩＤ写入对应主体链表节点内。 分析用户发起的是公文流转，还是公文浏览。如果是 公文的流转，则查找目的用户，比较源用户和目的用户是否 在同一范畴内，如果在同一范畴，则允许数据包通过，如果 出现越级现象，则进行审计并丢弃数据包。 如果用户进行的是公文浏览操作，则记录当前公文的 图７强制访问控制流程 标识。接着，以安全管理中心下发的安全策略为依据，比较 用户及公文的可信度、敏感度与范畴，如果满足安全策略， 则允许数据包通过，否则进行审计并丢弃数据包。 ４ 结语 本文通过对现有ＯＡ系统的脆弱性进行分析，有针对 性的增强了用户身份认证机制，使得用户的身份不易被窃 取和冒充。同时，在前置机的操作系统内核层实现强制访 问控制，确保用户无法进行违规操作。 在实际应用部署中，ＯＡ应用安全增强系统无需对应 用服务器进行修改，由安全管理中心进行安全策略配置，所 有访问服务器的数据都要经过前置机，实施内核级的强制 访问控制。测试表明，该系统在不影响ＯＡ服务器正常工 作的前提下，能够较好实现对上层应用的安全透明支撑与 保障。 参考文献 ［１］沈昌祥．基于积极防御的安全保障框架［Ｊ］．中国信息导报， ２００３（１０）：５０－５１． ［２］ｎ Ｂａｋｅｒ．Ｂｕｉｌｄｉｎｇ Ｕｐｏｎ Ｓａｎｄ［Ｊ］．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｎｅｗ Ｓｅ— ｃｕｒｉｔｙ Ｐａｒａｄｉｇｍｓ Ｗｏｒｋｓｈｏｐ，１９９６：２５—２７． ［３］Ｐｅｔｅｒ Ａ．Ｌｏｓｃｏｃｃｏ，Ｓｔｅｐｈｅｎ ｎ Ｓｍａｌｌｅｙ，Ｐａｔｒｉｃｋ Ａ．Ｍｕｃｋｅｌ ｂａｕｅｒ，ｅｔ ａ１．Ｔｈｅ Ｉｎｅｖｉｔａｂｉｌｉｔｙ Ｏｆ Ｆａｉｌｕｒｅ：Ｔｈｅ Ｆｌａｗｅｄ Ａｓ— ｓｕｍｐｔｉｏｎ ｏｆ Ｓｅｃｕｒｉｔｙ ｉｎ Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｉｎｇ Ｅｎｖｉｒｏｎｍｅｎｔ［Ｃ］／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２１ｓｔ Ｎａｔｉｏｎａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｙｓｔｅｍｓ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ，１９９８：３０３—３１４． ［４］沈昌祥．关于加强信息安全保障体系的思考口］．信息安全与通 信保密，２００２（２４）：１１—１４． ［５］ｎ Ｅ．Ｂｅｌｌ，Ｌ．Ｊ．ＬａＰａｄｕｌａ．Ｓｅｃｕｒｅ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ：Ｍａｔｈｅ— ｍａｔｉｃａｌ Ｆｏｕｎｄａｔｉｏｎ［ＥＢ／ＯＩ ］．ｈｔｔｐ：／／ｃｉｔｅｓｅｅｒ．ｉｓｔ．ｐｓｕ．ｅｄｕ／ ５４８０６３．ｈｔｍｌ，２００２，６． ［６］Ｍ．Ａｂｒａｍｓ，Ｉ ．Ｌａｐａｄｕｌａ，Ｋ．Ｅｇｇｅｒｓ，ｅｔ ａ１．Ａ Ｇｅｎｅｒａｌｉｚｅｄ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ：ａｎ Ｉｎｆｏｒｍａｌ Ｄｅｓｃｒｉｐｔｉｏｎ［ｃ］／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １３ｈ Ｎａｔｉｏｎａｌ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ｃｏｎｆｅｒ— ｅｎｃｅ，１９９０：１３４—１４３． （下转第９４页） ９４ ３．３确定要评价的因素集 刘海军等：基于模糊评价的补给策略优选研究 表３补给方案性能指标 总第２１１期 根据图１，确定本评价体系的因素集如表１所示。 表１因素集 安全“ 自然环境、危险物“ 敌方攻击力量Ｕ１２ 满足度“２快速性“２１ 及时性Ｕ２２ 经济Ｕ３ 固定成本Ｕ３１ 运输成本Ｕ３２ 如果编队导弹消耗达到３Ｏ％而不能进行补给时取补 给及时性为较好，当导弹全部消耗完时才能进行补给时取 及时性为较差，其余对照处理。 以０￣８０００海里作为目标区域，得到计算结果为： ０ ４ ０ ３ Ｏ ２ ｏ】 Ｏ ３．４指标权重的计算 指标权重的确定直接直接影响评价结果的准确度，因 此权重的取值必须具有可靠性和权威性。鉴于此，本文运 用文献Ｅｒ］确定各因素的权重值如表２所示。 表２各评估指标权重表 二级指标 指标代码权重 ０．３２ 经济因素 三级指标 指标代码权重 ０．４ ０．６ 图２ ０￣８０００海里补给策略选择模型计算结果 临界点分别为１８００海里、３６００海里。当里程Ｌ＜１８００ ０．４８ ０．４ ０．６ 海里时，选择方案１作为补给策略，当１８００海里＜Ｌ＜３６００ 海里时，选择方案３作为补给策略，当Ｌ＞３６００海里时，选 择方案２作为补给策略。 ０．２ ０．３５ ０．６５ ３．： 下语集的确定 ５ 结语 通过验证，本模型可以方便、有效地解决随着航行距离 增加补给策略选择问题。但是随着任务环境的改变，影响 理论上评语的等级分得越细，评价结果越准确，但实际 过程会过于繁琐，有时等级划分太多反而使评价对象无法 人手，结果不一定理想，所以评语等级要选择适当。根据评 因素会发生很大变化，影响因素权重也会相应改变，对模型 计算复杂度有着重要的影响。如何完善模型在计算复杂任 务环境下的补给策略选择问题，将成为下一阶段目标。 参考文献 价目标和参考国内外专家常用的评价等级划分方法，将评 语集 定义为五个等级，用Ｖ一｛７２ ， ｚ，ｖａ，Ｖ４，ｖ５｝一｛好，较 好，中等，较差，差｝来表示在不同因素的影响下航线的优劣 程度。 ［１］刘元丰，唐兴莉．基于模糊综合评判方法的船舶航行安全评价 ＿Ｊ］．重庆交通学院学报，２００４，２３（３）：１２３—１２６． ４ 修ｑ 以一舰艇编队为例，舰艇额定装载导弹２００枚，日消耗 Ｅ２］杨纶标，高英仪．模糊数学原理及应用ＥＭ］．广州：华南理工大 学出版社，２００５． ２０枚（主要是用于训练、执勤），为保证编队安全，导弹数量 不得低于装载量的３Ｏ 。一艘综合补给舰可携带导弹６００ 枚，当编队舰艇导弹消耗达到一定程度时向编队补充导弹 至满载。可用补给方案有：１）当综合补给舰导弹消耗完后 返回港口补充，然后再返回编队；２）接力补给舰从港口驶 出，向已经空载的综合补给舰补充导弹６００枚；３）满载 ６００枚导弹的综合补给舰驶向编队，编队内空载综合补给 舰返回港口。和平时期海上安全程度较高，补给编队有护 航舰艇，故各补给方案性能指标如表３所示。 ｛！： ；．．带！； 乖 矫 乔 ！ 不 不 不 乔 乖 乖 乖 尔 ［３］沈继红，付肖燕，赵玉新．模糊综合评估模型的改进ＥＪ］．模糊系 统与数学，２０１１，２５（３）：１２７—１３３． ［４３林瑞群．船舶海上安全因素分析及评价［Ｊ］．中国水运，２０１１ （５）：２８—３２． ［５］张欣欣，席永涛，黄常海，等．基于证据推理的沿海水域交通安 全评估ＬＪ］．上海海事大学学报，２０１１，３２（２）：３７—４２． Ｅ６］徐岩山，杨军，邹晓建．ＡＮＰ在评估编队海上运输补给能力中 的应用ＥＪＪ．军事交通学院学报，２００７，９（１）：３２—３５． ［７］曹阳，金凯，单鑫，等．基于模糊理论的导弹系统性能群评价模 型ＥＪ］．战术导弹技术，２０１１，２３（１）：１２—１６． 环 尔 尔 绵 尔 看 舔 舔 尔 （上接第７１页） ［７］蔡谊，沈昌祥，郑志蓉．多级安全策略的二维标识模型＿Ｊ］．计算 机学报，２００４（５）：６１９—６２４． Ｆｌａｓｋ Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ：Ｓｙｓｔｅｍ Ｓｕｐｐｏｒｔ ｆｏｒ Ｄｉｖｅｒｓｅ Ｓｅｃｕ— ｒｉｔｙ Ｐｏｌｉｃｉｅｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ８ｔｈ ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ，１９９９：２４２—２４７． Ｅ８］Ｓ．Ｊａｊｏｄｉａ，Ｐ．Ｓａｍａｒａｔｉ，Ｖ．Ｓｕｂｒａｈｍａｎｉａｎ，ｅｔ ａ１．Ａ Ｕｎｉｆｉｅｄ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ｅｎｆｏｒｃｉｎｇ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｐｏｌｉｃｉｅｓ ＥｌＯ］Ｃｈｉｒｓ Ｗｒｉｇｈｔ，Ｃｒｉｓｐｉｎ Ｃｏｗａｎ，ｅｔ ａ１．Ｌｉｎｕｘ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ Ｆｒａｍｅｗｏｒｋ［Ｊ］．Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２００２ Ｏｔｔａｗａ Ｌｉｎｕｘ Ｓｙｍ— ｐｏｓｉｕｍ，２００２：３０３—３１４． ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＳＩＧＭＯＤ，１９９７：４７４—４８５． Ｅ９］Ｒａｙ Ｓｐｅｎｃｅｒ，Ｓｔｅｐｈｅｎ Ｓｍａｌｌｅｙ，Ｐｅｔｅｒ Ｌｏｓｃａｃｃｏ，ｅｔ ａ１．Ｔｈｅ
