1、簡單網(wǎng)絡(luò)管理協(xié)議, SNMP V3,作為網(wǎng)絡(luò)管理協(xié)議，SNMP在制定最初并沒有過多的考慮其安全性，而且V1和V2版本采用明文傳輸團體名，這使得早期版本存在著很大的安全隱患。 但是隨著網(wǎng)絡(luò)安全的日趨重要，在SNMP發(fā)展的過程中也出現(xiàn)了一些安全方面的增強方案，這些方案雖然沒有形成統(tǒng)一的標準，也沒有得到廣泛地應(yīng)用，但是，這些對后來的SNMP V3的形成具有很大的借鑒意義。,SNMP協(xié)議概述發(fā)展歷程,1、SNMPv1發(fā)展過程,SNMPv1是SNMP協(xié)議的最初版本，提供最小限度的網(wǎng)絡(luò)管理功能，并在90年代得到了迅猛的發(fā)展。同時也暴露出明顯的不足。例如：難以實現(xiàn)大量數(shù)據(jù)的傳輸、缺少身份驗證和加密機制，也不

2、支持除TCP/IP之外的協(xié)議平臺,過于集中式的管理、無法實現(xiàn)對網(wǎng)絡(luò)的監(jiān)控功能。 同時，在SNMP V1中只提出了基于Community的安全機制。一個SNMP團體就是一個SNMP代理和任意一組SNMP管理站之間的關(guān)系，它定義了認證和訪問機制的特性。,Community是定義在代理上的一個本地概念。代理為每個必要的認證和訪問特性的聯(lián)合定義一個團體，每個community擁有唯一的名字。community中的管理站必須使用該團體名進行g(shù)et和set操作。 Community的名字起到了一個密碼的作用，用來實現(xiàn)管理站對代理的訪問。如果SNMP報文攜帶的團體名沒有得到設(shè)備的認可，則丟棄該報文。同時可以

3、通過定義多個Community，代理就能夠為多個不同的管理站來提供不同的MIB訪問權(quán)限。,2、SNMPv2發(fā)展過程,基于以上SNMPv1的種種缺陷與不足，于是在1993年發(fā)布了SNMPv2，并進一定的完善工作， 具有以下特點： -支持分布式網(wǎng)絡(luò)管理（M2M-MIB提供了對分布式管理的支持） -擴展了數(shù)據(jù)類型（Usigned32、Counter64） -可以實現(xiàn)大量數(shù)據(jù)同時傳輸，提高了效率性能（GetBulkRequest） -豐富了故障處理功能（豐富的錯誤提示信息，更細致的區(qū)分錯誤） -增加了集合處理功能 -加強了數(shù)據(jù)定義的語言（擴充了對象類型的宏）,SNMPV2新增具體內(nèi)容,擴充了對象類型的

4、宏定義（UnitsPart、MAX-ACCESS、STATUS），引入新的數(shù)據(jù)類型（Unsigned32和Counter64）。 提供了更完善的表操作功能。 在協(xié)議方面引入兩種新的PDU（GetBulkRequest和InformRequest）。 定義了兩個新的MIB信息庫，SNMPv2 MIB和M2M MIB（Manager to Manager MIB），前者是對基本的MIB的支持，后者提供了對分布式管理結(jié)構(gòu)的支持。 SNMPv2也采用了Community來認證，它在兼容SNMPv1的同時，也擴充了其功能。,相對于SNMPv1而言，SNMPv2新增加了GetBulk操作報文，GetBul

5、k所對應(yīng)的基本操作類型就是GetNext操作，通過設(shè)置參數(shù)Non Repeaters(非重復數(shù))和Max Repetitions（最大后繼數(shù)），從而高效地從Agent處獲取大量管理數(shù)據(jù)。也增加了一個InformRequest報文，與其他報文格式相同。 同時，SNMPv2修改了Trap報文格式，SNMPv2的Trap PDU采用了SNMPv1的Get/GetNext/Set PDU的格式，并將sysUpTime（發(fā)出陷入時間）和snmpTrapOID（陷入對象標識符）作為Variable bindings中的變量來構(gòu)造報文。,SNMPv2 報文格式,SNMPv2 共有7種協(xié)議數(shù)據(jù)單元，分為3種P

6、DU結(jié)構(gòu)：,3、SNMPv3發(fā)展過程,但是，SNMPv2并沒有實現(xiàn)預(yù)期的目標，尤其是在安全性方面并沒有得到提高，例如身份驗證、加密、授權(quán)和訪問控制、適當?shù)倪h程安全配置和管理能力都沒有實現(xiàn)。之后經(jīng)過進一步的修改和完善，在1998年1月，正式形成了SNMPv3。這一系列文件定義了包括SNMPv1、SNMPv2所有功能在內(nèi)的體系框架和包含驗證服務(wù)、加密服務(wù)在內(nèi)的全新的安全機制，同時還規(guī)定了一套專門的網(wǎng)絡(luò)安全和訪問控制規(guī)則，可以這樣說，SNMPv3是在SNMPv2基礎(chǔ)上增加了安全和管理機制。,SNMP V3 介紹,一、 SNMP V3 協(xié)議框架 1、SNMP v3 體系結(jié)構(gòu) 2、SNMP v3 協(xié)議操

7、作 3、SNMP v3 安全機制分析,一 SNMP V3 協(xié)議框架,SNMP v3相對于SNMP v2最大的改進就是主要是在安全性和管理方面的改進。SNMP v3采用基于User-Based安全模型（USM）和View-Based訪問控制模型（VACM）為其提供網(wǎng)絡(luò)管理的安全性，并采用加密的機制來避免信息的泄漏，保證信息的安全。 USM：引入了用戶名和組的概念，可以設(shè)置認證和加密功能。認證是用于驗證報文的發(fā)送方的合法性，避免非法用戶的訪問；加密則對NSM和Agent之間傳送的報文進行加密，避免被竊聽。通過認證和加密的組合，可以為NSM和Agent之間的通信提供更高的安全性。,VACM：基于視圖

8、的訪問控制模型在技術(shù)上定義了組、安全等級、上下文、MIB視圖和訪問策略等五個元素，這些元素同時決定用戶是否具有訪問權(quán)限。在同一個SNMP實體里可以定義不同的組，組與MIB綁定，組內(nèi)又可以定義多個用戶。當使用某一個用戶名進行訪問的時候，只能訪問對應(yīng)的MIB視圖定義的對象，這相對于通過團體名來進行安全控制來說，在安全性上有了很大的提高。,1、SNMP v3 體系結(jié)構(gòu),SNMP v3定義了新的體系結(jié)構(gòu)，并在其中包含了v1和v2的兼容，也就是說這個新的體系結(jié)構(gòu)也適用于以前版本網(wǎng)絡(luò)管理協(xié)議。 在SNMP v3中，管理進程和代理進程統(tǒng)稱為實體Entity，SNMP實體由SNMP協(xié)議引擎Engine和應(yīng)用程

9、序Application組成。實體包含一系列模塊，通過模塊之間相互作用來提供服務(wù)。,SNMP v3實體組成結(jié)構(gòu)圖,1.1 SNMP協(xié)議引擎,SNMP協(xié)議引擎負責執(zhí)行協(xié)議操作，為各類SNMP應(yīng)用程序提供服務(wù)。每個協(xié)議引擎由一個SNMP協(xié)議引擎ID來標識。由于引擎和實體之間是一一對應(yīng)的，引擎ID也能在管理域中唯一地標識實體。但在不同的管理域中，SNMP的實體可能會有相同的snmpEngineID。在整體上執(zhí)行兩種功能： 1）從SNMP應(yīng)用中接收流出的PDU執(zhí)行必要的處理，包含插入鑒別代碼和加密，然后把PDU封裝到用于傳輸?shù)南⒅腥ァ?2）從傳輸層接收流進的PDU，執(zhí)行必要的處理，包括鑒別和解密，然

10、后從消息中取出PDU，并把PDU傳送到適當?shù)腟NMP應(yīng)用中去。,1.1.1 調(diào)度器（Dispatcher）,調(diào)度器是同應(yīng)用程序及消息處理模型進行交互，負責SNMP消息的分發(fā)、傳輸和接收，它是SNMPV3引擎的關(guān)鍵部件，一個引擎只有一個調(diào)度器，它可以并發(fā)的處理多個版本的SNMP報文。 主要功能有： 1）接收和分發(fā)SNMP報文 2）根據(jù)消息的版本號將其轉(zhuǎn)交給相應(yīng)的消息處理模塊處理。 3）從消息中獲取PDU，傳給應(yīng)用程序。 4）從應(yīng)用程序中接收需要發(fā)送的PDU。,1.1.2 消息處理子系統(tǒng) Message Processing Subsystem,消息處理子系統(tǒng)由一個或多個消息處理模塊組成，每個處理

11、模塊將按照相應(yīng)的格式主要完成以下功能： 1）準備要發(fā)送的消息 2）從接收到的消息中提取數(shù)據(jù) 消息處理子系統(tǒng)包括 v1、v2c和v3等版本的消息處理模型，分別處理不同版本的消息。消息處理模型定義了特定版本的SNMP消息的格式，以及如何對該版本的SNMP消息進行解析，并從中提取數(shù)據(jù)和如何構(gòu)造該版本的SNMP消息。,1.1.3 安全子系統(tǒng) Security Subsystem,安全子系統(tǒng)提供SNMP消息的認證和加密服務(wù)。它可以包含多個安全模型，標準協(xié)議中使用的安全模型為RFC3414中定義的基于用戶的安全模型（USM），當然，用戶也可以定義其他類型的安全模型。 安全模型要指出它所防范的安全威脅、服務(wù)

12、的目標和為提供安全服務(wù)所采取的安全協(xié)議。安全協(xié)議內(nèi)容包括一系列的安全機制和為實現(xiàn)安全服務(wù)所定義的MIB對象等。,1.1.4 訪問控制子系統(tǒng) Access Control Subsystem,訪問控制子系統(tǒng)通過一個或多個訪問控制模塊提供確認對被管理對象的訪問是否是合法的服務(wù)。SNMP v3所提供的訪問控制模型為RFC3415所描述的基于視圖的訪問控制模型（VACM）。 訪問控制模型還可以定義訪問控制處理過程使用的MIB模塊，以實現(xiàn)對訪問控制策略的遠程配置。,1.2 SNMP應(yīng)用程序,SNMP應(yīng)用程序利用SNMP協(xié)議引擎提供的服務(wù)完成特定的網(wǎng)絡(luò)管理任務(wù)。不同SNMP實體的應(yīng)用程序相互間通過SNMP

13、消息進行通信。 應(yīng)用程序主要包括以下幾類： 1）命令產(chǎn)生器（Command Generator） 2）命令響應(yīng)器（Command Responder） 3）通知產(chǎn)生器（Notification Originatior） 4）通知接收器（Notification Receiver ） 5）代理轉(zhuǎn)發(fā)器（Proxy Forwarder） 應(yīng)用模塊部分由上述的一到多個應(yīng)用構(gòu)成，選擇不同的應(yīng)用構(gòu)成不同功能的實體。,命令產(chǎn)生器：產(chǎn)生SNMP請求消息，并處理對這些請求的響應(yīng)，例如getRequest。 命令響應(yīng)器：提供對SNMP請求消息的應(yīng)答，例如getResponse。 通知產(chǎn)生器：產(chǎn)生和發(fā)送異步的通知消

14、息，例如trap generation。 通知接收器：接收并處理異步的通知消息。當通知消息需要確認時，通知接收器應(yīng)用程序還需生成相應(yīng)的應(yīng)答消息，例如trap processing。 代理轉(zhuǎn)發(fā)器：用于在網(wǎng)管實體之間轉(zhuǎn)發(fā)網(wǎng)管消息，例如get-bulk to get-next 其他：例如Special application。,2、SNMP v3 協(xié)議操作,SNMPv3協(xié)議,SNMP目前有v1、v2、v3三個版本,SNMP 報文格式,msgVersion：表示版本號，這里值為3。 msgId:消息標識，取值范圍為0231-1。 msgMaxSize：表示消息發(fā)送器支持的最大消息長度，這里取值為484

15、231-1。 msgFlags由reportableFlag/privFlag/authFlag3個標志位組成，其中reportableFlag表示消息接收方是否需向發(fā)送方發(fā)送ReportPDU（只有在消息的PDU部分不能被解碼時-例如由于密鑰錯誤而解密失敗，才會用到）；privFlag表示是否加密；authFlag表示是否鑒別；除了privFlag=1, authFlag=0的情況外，其它任意組合都是可以接受的，也就是說沒有鑒別的加密是無意義的。 msgSecurityModel:消息安全模型，用于標識發(fā)送方用于生成該消息的安全模型，發(fā)送和接收方必須采用相同的安全模型。,在SNMPv3消息的

16、安全參數(shù)域(msgSecurityParameters)中，USM處理安全字段有: .msgAuthoritativeEngineID:消息相關(guān)的權(quán)威引擎標識符; .msgAuthoritativeEngineBoots:權(quán)威引擎啟動/重啟次數(shù); .msgAuthoritativeEngineTime:權(quán)威引擎時間; .msgUserName:消息所代表的用戶; .msgAuthenticationParameters:鑒別碼(MAC) ; .msgPrivacyParameters:加/解密參數(shù)，用于生成初始向量IV;,contextEngineID：唯一識別SNMP實體的標識符。對于流入消

17、息，該字段用于確定將PDU遞交給哪個應(yīng)用進行處理;對于流出消息，該值由上層應(yīng)用提供，并代表那個應(yīng)用程序; contextName：攜帶的管理對象所在的上下文的名稱; scopedPDU:需SNMP應(yīng)用程序處理的有效載荷。,SNMP v3 實現(xiàn)原理,SNMPv3各操作的實現(xiàn)機制同SNMPv1和SNMPv2c基本一樣，其主要區(qū)別在于SNMPv3新增加了認證和加密、解密的處理。下面以SNMPv3使用認證和加密方式執(zhí)行g(shù)et操作為例來描述其實現(xiàn)機制，過程如下：,當發(fā)送消息時，引擎檢索用戶屬性信息;如果需要加密，使用用戶的加密協(xié)議和密鑰對消息的scopedPDU域進行加密，設(shè)置msgPrivacyPar

18、ameters參數(shù);如果需要鑒別，將用戶名(userName)、權(quán)威引擎ID和當前時間插入消息的相應(yīng)安全參數(shù)字段(msgUserName, msgAuthoritativeEngineID, msgAuthoritativeEngienBoots, msgAuthoritativeEngineTime)，然后根據(jù)用戶的鑒別協(xié)議和鑒別密鑰對整個消息生成鑒別碼(MAC)，插入msgAuthenticationParameters字段。,當接收方收到消息時，引擎首先從消息的msgUserName字段取出用戶名(userName ) , 檢索用戶信息;如果消息需要鑒別，則根據(jù)用戶的鑒別協(xié)議和鑒別密鑰對

19、整個消息重新生成MAC碼，并與消息攜帶的MAC比較，若相同，認為消息完整、來源可靠，反之，認為不可靠，丟棄;然后，如果消息經(jīng)鑒別是可靠的，還要進行及時性檢查，即比較消息攜帶的時間與本地時間，若在時間窗口內(nèi)，則認為消息未被延遲、重放，是可信的，若在時間窗口外，則丟棄;最后，如果消息是加密的，對消息進行解密。,3、SNMP v3 安全機制分析,SNMPv3的安全機制包括認證、加密和訪問控制。 1）SNMP報文采用DES加密； 2）SNMP管理站和SNMP Agent通信時必須通過驗證來保證身份的正確性、信息的完整性。 3）SUMP Agent實現(xiàn)了User-Based和View-Based訪問控制

20、模型。,3.1 基于用戶的安全模型USM,SNMP v3提出了四個安全目標： 1）對每一個接收到的SNMP消息進行認證檢查，確認其在傳輸過程中沒有被修改(包括非故意修改)，即數(shù)據(jù)完整性認證； 2）提供對發(fā)送消息的用戶的身份認證，防止偽裝用戶； 3）提供對過時消息的檢測，防止消息的重定向、延遲或重發(fā)； 4） 必要時提供對消息的加密保護，避免管理信息的暴露,為實現(xiàn)上述目標，SNMPv3采用了基于用戶的安全模型（USM）。定義了USM的規(guī)范，包括： 鑒別:提供數(shù)據(jù)整體性和數(shù)據(jù)發(fā)送源鑒別。消息鑒別代碼和散列函數(shù)MD5或SHA-1一起來提供鑒別。 及時性:保護消息在傳輸過程中不被延時或重播。 保密:保護

21、消息有效內(nèi)容不被泄密。 發(fā)現(xiàn):定義一個SNMP引擎獲得關(guān)于另一個SNMP引擎的信息的過程。 密鑰管理:定義了密鑰產(chǎn)生、更新和使用的過程。,使用USM時的SNMPv3消息格式；陰影部分的取值是經(jīng)過USM創(chuàng)建/處理的。,3.1.1 涉及概念,1、用戶：SNMPv3用戶是一個發(fā)出SNMP操作的實體，可以是一個或一些管理員，或是執(zhí)行網(wǎng)管操作的應(yīng)用程序等。用戶的身份和目標代理的相關(guān)配置一起決定了將要調(diào)用的安全機制認證、加密和訪問控制等。 2、權(quán)威的(authoritative)SNMP協(xié)議引擎：為了防御重放、延遲等攻擊，在參與通信的SNMP協(xié)議引擎中應(yīng)有一方被指定為權(quán)威的SNMP協(xié)議引擎。當一個SNMP

22、消息需要應(yīng)答時，消息接收方的SNMP協(xié)議引擎就是權(quán)威的SNMP協(xié)議引擎；當SNMP消息不需要應(yīng)答時，則消息發(fā)送方的SNMP協(xié)議引擎是權(quán)威的SNMP協(xié)議引擎。,3、本地化密鑰：USM的認證和加密機制需要在通信的兩個協(xié)議引擎之間共享認證密鑰和加密密鑰。為了簡化密鑰的管理，SNMPv3允許管理員不直接指定每個用戶的實際密鑰，而是為用戶配置口令（password）?？诹罱?jīng)過處理生成中間密鑰，然后再由中間密鑰和權(quán)威引擎ID一起進行密鑰的本地化，將中間密鑰轉(zhuǎn)換成用戶相對于某個權(quán)威引擎的本地化密鑰，以區(qū)別于用戶在其它SNMP協(xié)議引擎上的密鑰。這樣，即使已知某個用戶對應(yīng)某個SNMP協(xié)議引擎的密鑰，也不能猜測出

23、該用戶對應(yīng)其它SNMP協(xié)議引擎的密鑰。,3.1.2 認證,USM采用HMAC（Keyed-Hashing for Message Authentication）來實現(xiàn)消息的數(shù)據(jù)完整性和數(shù)據(jù)源身份認證。它使用一個安全的HASH函數(shù)和一個認證密鑰來生成消息的身份鑒別碼。標準協(xié)議使用MD5和SHA1作為HASH函數(shù)，并截取HASH值的前96比特作為有效認證碼，因此被相應(yīng)地稱為HMAC-MD5-96認證協(xié)議和HMAC-SHA-96認證協(xié)議。,1）數(shù)據(jù)完整性認證： 通信的兩個SNMP實體共享一個認證密鑰。發(fā)送方在發(fā)送SNMP消息之前，利用認證密鑰和HASH函數(shù)為SNMP消息計算認證碼，并將認證碼插入到消

24、息中一起傳輸。接收方收到該消息后，使用同樣的方法計算該消息的認證碼。得到的認證碼如果與消息附帶的認證碼相同，即說明該消息在傳輸過程中未被修改。 對SNMP消息的認證確保了消息數(shù)據(jù)的完整性，從而防止對網(wǎng)管信息的更改攻擊。,2）數(shù)據(jù)源認證 由于認證碼的產(chǎn)生與使用的密鑰相關(guān)，而認證密鑰與用戶有著一一對應(yīng)的關(guān)系。如果不知道用戶的認證密鑰，就無法以該用戶的身份生成正確的認證碼。所以通過比較認證碼就能夠確認數(shù)據(jù)源身份的真實性。數(shù)據(jù)源認證能防止偽裝攻擊。 3）及時性認證 提供對報文延遲和重發(fā)的保護。在SNMP報文中設(shè)置一個時間戳記來進行時間檢查。該時間戳記值預(yù)先測定，若信息在以該時間戳記為中心的某一個窗口到

25、達，則認為未被延時。窗口一般默認為150秒。及時檢查只有在對報文進行認證時才執(zhí)行。它可以防止消息流更改攻擊。,3.1.3 加密,為了防止信息泄露，USM對SNMPv3報文負載進行加密保護。報文負載是指由上下文引擎ID、上下文名和SNMP協(xié)議數(shù)據(jù)單元（PDU）組成的范圍協(xié)議數(shù)據(jù)單元（scopedPDU）。標準協(xié)議通過密碼塊鏈接模式的數(shù)據(jù)加密標準（CBC-DES）為報文負載提供保護。使用加密功能的通信雙方共享一個私有秘密值。該秘密值包含加密密鑰和其它信息。并可采用一個“salt”值，用于每次加密時改變初始化向量。報文的接收方使用這個共享私有秘密值得出加密密鑰，并利用pre-IV和報文中攜帶的“sa

26、lt”值計算得出初始化向量，以解密數(shù)據(jù)。,加密功能可以有效地防止信息泄露。經(jīng)過加密處理的SNMPv3消息即使被非法獲取，攻擊方因為不知道密鑰也不能提取其中的網(wǎng)管信息。SNMPv3規(guī)定，如果使用加密功能，則必須同時使用認證功能。,3.1.4 USM局限,安全威脅與USM安全機制的對應(yīng)關(guān)系如下表：但是，USM目前并沒有包含應(yīng)對拒絕服務(wù)和流量分析這兩種威脅的措施。原因是： 1） 拒絕服務(wù)在許多情況下與網(wǎng)絡(luò)失效無法區(qū)別，而網(wǎng)絡(luò)失效是任何網(wǎng)絡(luò)管理系統(tǒng)理所當然應(yīng)該處理的問題，安全機制不宜自行處理； 2）拒絕服務(wù)攻擊可能破壞所有類型的信息交換，它是整個安全工具的問題，而不是僅僅局限于網(wǎng)絡(luò)管理協(xié)議這一部分。

27、3） 沒有針對流量分析的措施則是因為這種威脅難以發(fā)現(xiàn)和控制，并且其危害性相對較小,3.2 基于視圖的訪問控制模型VACM,安全性的另一個主要內(nèi)容是訪問控制。在SNMPv1和SNMPv2c中主要采取了基于團體的訪問控制機制。SNMPv3引入了更加安全靈活的訪問控制方式基于視圖的訪問控制模型（VACM）。 它使得管理員可以對SNMP協(xié)議引擎進行配置，控制管理站對管理信息的訪問。對MIB中管理對象的訪問控制主要有兩部分內(nèi)容： 1）限制用戶只能訪問全部管理對象的一部分； 2）是限制用戶對該部份管理對象只能進行限定的操作。,3.2.1 基本概念,1） SNMP上下文（SNMP context）：SNMP

28、上下文，簡稱上下文（context），是SNMP實體可訪問的管理信息(對象實例)的集合。一條管理信息可以存在于多個上下文中。一個SNMP實體可訪問多個上下文。由于一種管理對象類型在一個管理域中可能存在多個對象實例，因此可能出現(xiàn)在一個管理域中不能唯一的標識出一個對象實例的情況。針對這種情況可將一個管理域劃分為多個范圍，即“上下文”。在上下文中可以單獨標識出一個實例。通常，一個上下文可以是一個物理設(shè)備，或是一個邏輯設(shè)備，或是一個物理設(shè)備的一部分，也可以是多個設(shè)備的組合。,2）視圖子樹（view subtree）：代表一個管理對象實例的集合，這些管理對象實例的對象標識符有相同的前綴。一個視圖子樹由該

29、子樹中所有對象實例都具有的最長對象標識符前綴來標記。例如：1.2.3.4.1、1.2.3.4.2、1.2.3.4.3同屬于一個視圖子樹1.2.3.4 3）視圖樹家族（ViewTreeFamily）：可以看作一系列結(jié)構(gòu)相似的視圖子樹的集合，包含一個對象標識符（家族名）和一個位串（家族掩碼）。家族掩碼是一個二進制串，指示家族名中某一個子標識對家族的定義是否有意義。掩碼的每一位對應(yīng)于一個子標識位置，最高位對應(yīng)第一個子標識、次高位對應(yīng)第二個子標識，以此類推,4）MIB視圖（MIB View） MIB視圖是全部MIB管理對象的一個子集。由于MIB是以樹狀結(jié)構(gòu)定義的，因此MIB視圖可以方便地用一系列視圖子

30、樹來定義。VACM用視圖樹家族來代表一系列視圖子樹，再基于視圖樹家族來定義MIB視圖。一個簡單的MIB視圖可以被定義成一個視圖樹家族，而復雜的MIB視圖可以由許多視圖樹家族組成。這些視圖樹家族可以包含（included）于MIB視圖之內(nèi)，或是排除（excluded）在該MIB視圖之外。包含于某個視圖之內(nèi)的視圖樹家族所代表的視圖子樹的全部葉結(jié)點就是該視圖所包含的管理對象集合。,此外，SNMPv3定義了不同的安全級別，包括無認證無加密、認證但無加密、認證并加密，當然無認證但加密沒有實際意義。執(zhí)行訪問控制檢查時，用戶的安全級別也作為輸入?yún)?shù)。同一個組名在不同的安全級別下可以分配不同的訪問權(quán)限。由上可知，使某個視圖對某個組的用戶在某種操作下可見的過程就是為組授權(quán)的過程，可以描述為以下幾步：,1）將具有相同權(quán)限的用戶劃分到同一個組當中； 2）明確該組的每種操作有權(quán)訪問的對象，即每種操作可以訪問的視圖； 3）確保相關(guān)視圖已經(jīng)存在。在這個步驟中可能需要創(chuàng)建或修改視圖； 4）建立視圖與組的關(guān)聯(lián)。,3.2.2 工作原理,VACM定義了一組根據(jù)用戶身份來