大連理工大學(xué)(城市學(xué)院)網(wǎng)絡(luò)安全技術(shù)期末知識(shí)點(diǎn)第三章.doc

1、網(wǎng)絡(luò)安全第三章：操作系統(tǒng)的安全安全操作系統(tǒng)操作系統(tǒng)安全等級(jí)安全操作系統(tǒng)的基本特征訪問控制模型安全操作系統(tǒng)的設(shè)計(jì)國際安全評(píng)價(jià)標(biāo)準(zhǔn)的發(fā)展及其聯(lián)系1993加拿大可信計(jì)算機(jī)產(chǎn)品評(píng)價(jià)準(zhǔn)則1985美國可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則1991歐共體信息技術(shù)安全評(píng)價(jià)準(zhǔn)則1993美國信息技術(shù)安全評(píng)價(jià)聯(lián)邦準(zhǔn)則1996國際通用準(zhǔn)則1998國際通用準(zhǔn)則第二版圖3.1 安全評(píng)價(jià)標(biāo)準(zhǔn)的發(fā)展計(jì)算機(jī)安全評(píng)價(jià)標(biāo)準(zhǔn)（TCSEC）TCSEC標(biāo)準(zhǔn)是計(jì)算機(jī)系統(tǒng)安全評(píng)估的第一個(gè)正式標(biāo)準(zhǔn)，具有劃時(shí)代的意義。該準(zhǔn)則于1970年由美國國防科學(xué)委員會(huì)提出，并于1985年12月由美國國防部公布。TCSEC最初只是軍用標(biāo)準(zhǔn)，后來延至民用領(lǐng)域。TCSEC將計(jì)算

2、機(jī)系統(tǒng)的安全劃分為4個(gè)等級(jí)、7個(gè)級(jí)別。 D類C類（C1, C2）B類（B1, B2, B3）A類（A1）D類D類安全等級(jí)只包括D1一個(gè)級(jí)別。D1的安全等級(jí)最低，D1系統(tǒng)只為文件和用戶提供安全保護(hù)。D1系統(tǒng)最普通的形式是本地操作系統(tǒng)，或者是一個(gè)完全沒有保護(hù)的網(wǎng)絡(luò)。例如早期的DOSC類該類安全等級(jí)能夠提供審慎的保護(hù)，并為用戶的行動(dòng)和責(zé)任提供審計(jì)能力。 C1可信任運(yùn)算基礎(chǔ)體制，通過將用戶和數(shù)據(jù)分開來達(dá)到安全的目的。例如早期的UnixC2比C1系統(tǒng)加強(qiáng)了可調(diào)的審慎控制，在連接到網(wǎng)絡(luò)上時(shí)，C2系統(tǒng)的用戶分別對(duì)各自的行為負(fù)責(zé)。C2系統(tǒng)通過登錄過程、安全事件和資源隔離來增強(qiáng)這種控制。例如Windows NT

3、和UnixB類B類系統(tǒng)具有強(qiáng)制性保護(hù)功能。強(qiáng)制性保護(hù)意味著如果用戶沒有與安全等級(jí)相連，系統(tǒng)就不會(huì)讓用戶存取對(duì)象。 B1u 系統(tǒng)使用靈敏度標(biāo)記作為所有強(qiáng)迫訪問控制的基礎(chǔ)B2u 管理員必須使用一個(gè)明確的、文檔化的安全策略模式作為系統(tǒng)的可信任運(yùn)算基礎(chǔ)體制B3u 具有很強(qiáng)的監(jiān)視委托管理訪問能力和抗干擾能力A類A系統(tǒng)的安全級(jí)別最高。目前，A類安全等級(jí)只包含A1一個(gè)安全類別。 A1系統(tǒng)的設(shè)計(jì)者必須按照一個(gè)正式的設(shè)計(jì)規(guī)范來分析系統(tǒng)。對(duì)系統(tǒng)分析后，設(shè)計(jì)者必須運(yùn)用核對(duì)技術(shù)來確保系統(tǒng)符合設(shè)計(jì)規(guī)范。A1系統(tǒng)必須滿足下列要求：系統(tǒng)管理員必須從開發(fā)者那里接收到一個(gè)安全策略的正式模型，所有的安裝操作都必須由系統(tǒng)管理員進(jìn)行

4、，系統(tǒng)管理員進(jìn)行的每一步安裝操作都必須有正式文檔。 歐洲的安全評(píng)價(jià)標(biāo)準(zhǔn)（ITSEC）ITSEC是歐洲多國安全評(píng)價(jià)方法的綜合產(chǎn)物，應(yīng)用領(lǐng)域?yàn)檐婈?duì)、政府和商業(yè)。該標(biāo)準(zhǔn)將安全概念分為功能與評(píng)估兩部分。功能準(zhǔn)則從F1F10共分10級(jí)。15級(jí)對(duì)應(yīng)于TCSEC的D到A。F6至F10級(jí)分別對(duì)應(yīng)數(shù)據(jù)和程序的完整性、系統(tǒng)的可用性、數(shù)據(jù)通信的完整性、數(shù)據(jù)通信的保密性以及機(jī)密性和完整性的網(wǎng)絡(luò)安全。評(píng)估準(zhǔn)則分為6級(jí)，分別是測試、配置控制和可控的分配、能訪問詳細(xì)設(shè)計(jì)和源碼、詳細(xì)的脆弱性分析、設(shè)計(jì)與源碼明顯對(duì)應(yīng)以及設(shè)計(jì)與源碼在形式上一致。 加拿大的評(píng)價(jià)標(biāo)準(zhǔn)（CTCPEC）CTCPEC專門針對(duì)政府需求而設(shè)計(jì)。與ITSEC類

5、似，該標(biāo)準(zhǔn)將安全分為功能性需求和保證性需要兩部分。功能性需求共劃分為四大類：機(jī)密性、完整性、可用性和可控性。每種安全需求又可以分成很多小類，來表示安全性上的差別，分級(jí)條數(shù)為05級(jí)。 美國聯(lián)邦準(zhǔn)則（FC）FC是對(duì)TCSEC的升級(jí)，并引入了“保護(hù)輪廓”（PP）的概念。每個(gè)輪廓都包括功能、開發(fā)保證和評(píng)價(jià)三部分。FC充分吸取了ITSEC和CTCPEC的優(yōu)點(diǎn)，在美國的政府、民間和商業(yè)領(lǐng)域得到廣泛應(yīng)用。但FC有很多缺陷，是一個(gè)過渡標(biāo)準(zhǔn)，后來結(jié)合ITSEC發(fā)展為國際通用準(zhǔn)則。國際通用準(zhǔn)則（CC）CC是國際標(biāo)準(zhǔn)化組織統(tǒng)一現(xiàn)有多種準(zhǔn)則的結(jié)果，是目前最全面的評(píng)價(jià)準(zhǔn)則。1996年6月，CC第一版發(fā)布；1998年5月

6、，CC第二版發(fā)布；1999年10月CC v2.1版發(fā)布，并且成為ISO標(biāo)準(zhǔn)。CC的主要思想和框架都取自ITSEC和FC，并充分突出了“保護(hù)輪廓”概念。CC將評(píng)估過程劃分為功能和保證兩部分，評(píng)估等級(jí)分為eal1、eal2、eal3、eal4、eal5、eal6和eal7共七個(gè)等級(jí)。每一級(jí)均需評(píng)估7個(gè)功能類，分別是配置管理、分發(fā)和操作、開發(fā)過程、指導(dǎo)文獻(xiàn)、生命期的技術(shù)支持、測試和脆弱性評(píng)估。我國安全標(biāo)準(zhǔn)簡介公安部主持制定、國家技術(shù)標(biāo)準(zhǔn)局發(fā)布的中華人民共和國國家標(biāo)準(zhǔn)GB17895-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則已經(jīng)正式頒布并使用了。該準(zhǔn)則將信息系統(tǒng)安全分為5個(gè)等級(jí)，分別是：自主保護(hù)級(jí)、系

7、統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)和訪問驗(yàn)證保護(hù)級(jí)。主要的安全考核指標(biāo)有身份認(rèn)證、自主訪問控制、數(shù)據(jù)完整性、審計(jì)、隱蔽信道分析、客體重用、強(qiáng)制訪問控制、安全標(biāo)記、可信路徑和可信恢復(fù)等，這些指標(biāo)涵蓋了不同級(jí)別的安全要求。 安全操作系統(tǒng)的基本特征最小特權(quán)原則自主訪問控制和強(qiáng)制訪問控制安全審計(jì)功能安全域隔離功能最小特權(quán)原則最小特權(quán)原則是系統(tǒng)安全中最基本的原則之一。所謂最小特權(quán)指的是“在完成某種操作時(shí)所賦予網(wǎng)絡(luò)中每個(gè)主體（用戶或進(jìn)程）必不可少的特權(quán)”。最小特權(quán)原則，則是指“應(yīng)限定網(wǎng)絡(luò)中每個(gè)主體所必須的最小特權(quán)，確?？赡艿氖鹿?、錯(cuò)誤、網(wǎng)絡(luò)部件的篡改等原因造成的損失最小”。最小特權(quán)原則一方面給予主

8、體“必不可少”的特權(quán)，這就保證了所有的主體都能在所賦予的特權(quán)之下完成所需要完成的任務(wù)或操作；另一方面，它只給予主體“必不可少”的特權(quán)，這就限制了每個(gè)主體所能進(jìn)行的操作。自主訪問控制和強(qiáng)制訪問控制自主訪問控制（DAC）是一個(gè)接入控制服務(wù)，它執(zhí)行基于系統(tǒng)實(shí)體身份和它們的到系統(tǒng)資源的接入授權(quán)。這包括在文件，文件夾和共享資源中設(shè)置許可。 強(qiáng)制訪問控制（MAC）是“強(qiáng)加”給訪問主體的，即系統(tǒng)強(qiáng)制主體服從訪問控制政策。強(qiáng)制訪問控制的主要特征是對(duì)所有主體及其所控制的客體（例如：進(jìn)程、文件、段、設(shè)備）實(shí)施強(qiáng)制訪問控制。為這些主體及客體指定敏感標(biāo)記，這些標(biāo)記是等級(jí)分類和非等級(jí)類別的組合，它們是實(shí)施強(qiáng)制訪問控制的

9、依據(jù)。系統(tǒng)通過比較主體和客體的敏感標(biāo)記來決定一個(gè)主體是否能夠訪問某個(gè)客體。用戶的程序不能改變他自己及任何其它客體的敏感標(biāo)記，從而系統(tǒng)可以防止特洛伊木馬的攻擊。 安全審計(jì)功能安全審計(jì)是識(shí)別與防止網(wǎng)絡(luò)攻擊行為、追查網(wǎng)絡(luò)泄密行為的重要措施之一。具體包括兩方面的內(nèi)容，一是采用網(wǎng)絡(luò)監(jiān)控與入侵防范系統(tǒng)，識(shí)別網(wǎng)絡(luò)各種違規(guī)操作與攻擊行為，即時(shí)響應(yīng)（如報(bào)警）并進(jìn)行阻斷；二是對(duì)信息內(nèi)容的審計(jì)，可以防止內(nèi)部機(jī)密或敏感信息的非法泄漏。 在 TCSEC 中規(guī)定了對(duì)于安全審計(jì)系統(tǒng)的一般要求，主要包括如下的五個(gè)方面： （1）記錄與再現(xiàn) （2）入侵檢測 （3）記錄入侵行為 （4）威懾作用 （5）系統(tǒng)本身的安全性 安全域隔離功

10、能安全域是指在其中實(shí)施認(rèn)證、授權(quán)和訪問控制的安全策略的計(jì)算環(huán)境。當(dāng)您安裝和配置操作系統(tǒng)時(shí)，將創(chuàng)建稱為管理域的初始安全域。安全域理論不僅為建設(shè)信息安全保障體系提供基礎(chǔ)，而且在風(fēng)險(xiǎn)評(píng)估當(dāng)中如果能較好的應(yīng)用安全域，還會(huì)起到事半功倍的作用。安全域可以將一個(gè)單獨(dú)資產(chǎn)聯(lián)系起來，在等級(jí)保護(hù)當(dāng)中也有比較好的應(yīng)用。總之，安全域理論是安全方面的最佳實(shí)踐，對(duì)于信息安全建設(shè)具有非常重要的指導(dǎo)意義。 Windows Server 2003安全特性Internet連接防火墻（ICF）軟件限制策略網(wǎng)頁服務(wù)器的安全性新的摘要安全包 改善了以太局域網(wǎng)和無線局域網(wǎng)的安全性憑證管理器FIPS-廣為認(rèn)可的內(nèi)核模式加密算法改進(jìn)的SSL

11、客戶端認(rèn)證增強(qiáng)的加密文件系統(tǒng)（EFS）Windows安全漏洞對(duì)于這些安全漏洞更佳的解決方案是建設(shè)一個(gè)強(qiáng)壯的防火墻，精心地配置它，只授權(quán)給可信賴的主機(jī)能通過防火墻。在防火墻上，截止所有從端口137到139的TCP和UDP連接，這樣做有助于對(duì)遠(yuǎn)程連接的控制。另外，在內(nèi)部路由器上，設(shè)置ACL，在各個(gè)獨(dú)立子網(wǎng)之間，截止從端口137到139的連接。這是一種輔助措施，以限制該安全漏洞。值得注意的是，有些黑客程序可以具有選擇端口號(hào)的能力，它可能成功地攻擊其它端口。 windows2003的認(rèn)證機(jī)制 Windows 2003 身份認(rèn)證的重要功能就是它對(duì)單一注冊(cè)的支持。單一注冊(cè)允許用戶使用一個(gè)密碼一次登錄到域，

12、然后向域中的任何計(jì)算機(jī)認(rèn)證身份。 單一注冊(cè)在安全性方面提供了兩個(gè)主要優(yōu)點(diǎn)：對(duì)用戶而言，單個(gè)密碼或智能卡的使用減少了混亂，提高了工作效率；對(duì)管理員而言，由于管理員只需要為每個(gè)用戶管理一個(gè)帳戶，域用戶所要求的管理支持減少了。身份認(rèn)證分以下兩種方式執(zhí)行：（1）交互式登錄 （2）網(wǎng)絡(luò)身份認(rèn)證 Windows 2003賬號(hào)安全1域用戶賬號(hào) 域用戶賬號(hào)是用戶訪問域的惟一憑證，因此在域中必須是惟一的。域用戶賬號(hào)是在域控制器上建立，作為活動(dòng)目錄的一個(gè)對(duì)象保存在域的數(shù)據(jù)庫中。用戶在從域中的任何一臺(tái)計(jì)算機(jī)登錄到域中的時(shí)候必須提供一個(gè)合法的域用戶賬號(hào)，該賬號(hào)將被域控制器所驗(yàn)證。 2本地用戶賬號(hào)本地用戶賬號(hào)只能建立在

13、Windows2003獨(dú)立服務(wù)器上，以控制用戶對(duì)該計(jì)算機(jī)資源的訪問 3內(nèi)置的用戶賬號(hào) Administrator(管理員)賬號(hào)被賦予在域中和在計(jì)算機(jī)中具有不受限制的權(quán)利，該賬號(hào)被設(shè)計(jì)用于對(duì)本地計(jì)算機(jī)或域進(jìn)行管理，可以從事創(chuàng)建其他用戶賬號(hào)、創(chuàng)建組、實(shí)施安全策略、管理打印機(jī)以及分配用戶對(duì)資源的訪問權(quán)限等工作。Guest(來賓)賬號(hào)一般被用于在域中或計(jì)算機(jī)中沒有固定賬號(hào)的用戶臨時(shí)訪問域或計(jì)算機(jī)時(shí)使用的。該賬號(hào)默認(rèn)情況下不允許對(duì)域或計(jì)算機(jī)中的設(shè)置和資源做永久性的更改。出于安全考慮，Guest帳號(hào)在Windows2003安裝好之后是被屏蔽的。如果需要，可以手動(dòng)啟動(dòng)，應(yīng)該注意分配給該帳號(hào)的權(quán)限，該帳號(hào)也是

14、黑客攻擊的主要對(duì)像。 賬號(hào)與密碼約定1賬號(hào)命名約定 由于賬號(hào)的在域中的重要性和惟一性，因此賬號(hào)的命名約定十分重要。一個(gè)好的帳號(hào)命名約定將有助于規(guī)劃一個(gè)高效的活動(dòng)目錄。Windows2003的賬號(hào)命名約定包括如下內(nèi)容：域用戶賬號(hào)的用戶登錄名在AD中必須惟一。域用戶賬號(hào)的完全名稱在創(chuàng)建該用戶賬號(hào)的域中必須惟一。本地用戶賬號(hào)在創(chuàng)建該賬號(hào)的計(jì)算機(jī)上必須惟一。2密碼約定 通常使用密碼有如下原則：盡量避免帶有明顯意義的字符或數(shù)字的組合，最好采用大小寫和數(shù)字的無意義混合。在不同安全要求下，規(guī)定最小的密碼長度。通常密碼越長越不易被猜到(最長可以達(dá)到128位)。對(duì)于不同級(jí)別的安全要求，確定用戶的賬號(hào)密碼是由管理

15、員控制還是由賬號(hào)的擁有者控制。定期更改密碼，盡量使用不同的密碼.有關(guān)密碼的策略可以由系統(tǒng)管理員在密碼策略管理工具中加以規(guī)定，以保護(hù)系統(tǒng)的安全性。windows 2003文件系統(tǒng)安全NTFS權(quán)限及使用原則 NTFS權(quán)限的繼承性 共享文件夾權(quán)限管理 NTFS權(quán)限及使用原則（1）權(quán)限最大原則 當(dāng)一個(gè)用戶同時(shí)屬于多個(gè)組，而這些組又有可能被對(duì)某種資源賦予了不同的訪問權(quán)限，則用戶對(duì)該資源最終有效權(quán)限是在這些組中最寬松的權(quán)限，即加權(quán)限，將所有的權(quán)限加在一起即為該用戶的權(quán)限(“完全控制”權(quán)限為所有權(quán)限的總和)。（2）文件權(quán)限超越文件夾權(quán)限原則 當(dāng)用戶或組對(duì)某個(gè)文件夾以及該文件夾下的文件有不同的訪問權(quán)限時(shí)，用戶

16、對(duì)文件的最終權(quán)限是用戶被賦予訪問該文件的權(quán)限，即文件權(quán)限超越文件的上級(jí)文件夾的權(quán)限，用戶訪問該文件夾下的文件不受文件夾權(quán)限的限制，而只受被賦予的文件權(quán)限的限制。（3）拒絕權(quán)限超越其他權(quán)限原則 當(dāng)用戶對(duì)某個(gè)資源有拒絕權(quán)限時(shí)，該權(quán)限覆蓋其他任何權(quán)限，即在訪問該資源的時(shí)候只有拒絕權(quán)限是有效的。當(dāng)有拒絕權(quán)限時(shí)權(quán)限最大法則無效。因此對(duì)于拒絕權(quán)限的授予應(yīng)該慎重考慮。 NTFS權(quán)限的繼承性在同一個(gè)NTFS分區(qū)內(nèi)或不同的NTFS分區(qū)之間移動(dòng)或拷貝一個(gè)文件或文件夾時(shí)，該文件或文件夾的NTFS權(quán)限會(huì)發(fā)生不同的變化。1在同一個(gè)NTFS分區(qū)內(nèi)移動(dòng)文件或文件夾在同一分區(qū)內(nèi)移動(dòng)的實(shí)質(zhì)就是在目的位置將原位置上的文件或文件夾

17、“搬”過來，因此文件和文件夾仍然保留有在原位置的一切NTFS權(quán)限(準(zhǔn)確地講就是該文件或文件夾的權(quán)限不變)。2在不同NTFS分區(qū)之間移動(dòng)文件或文件夾在這種情況下文件和文件夾會(huì)繼承目的分區(qū)中文件夾的權(quán)限(ACL)，實(shí)質(zhì)就是在原位置刪除該文件或文件夾，并且在目的位置新建該文件或文件夾。（要從NTFS分區(qū)中移動(dòng)文件或文件夾，操作者必須具有相應(yīng)的權(quán)限。在原位置上必須有“修改”的權(quán)限，在目的位置上必須有“寫”權(quán)限）3在同一個(gè)NTFS分區(qū)內(nèi)拷貝文件或文件夾 在這種情況下拷貝文件和文件夾將繼承目的位置中的文件夾的權(quán)限。4在不同NTFS分區(qū)之間拷貝文件或文件夾 在這種情況下拷貝文件和文件夾將繼承目的位置中文件夾

18、的權(quán)限。（當(dāng)從NTFS分區(qū)向FAT分區(qū)中拷貝或移動(dòng)文件和文件夾都將導(dǎo)致文件和文件夾的權(quán)限丟失，因?yàn)镕AT分區(qū)不支持NTFS權(quán)限。）共享權(quán)限和NTFS權(quán)限共享權(quán)限有三種：完全控制、更改、讀取 共享權(quán)限和NTFS權(quán)限的聯(lián)系和區(qū)別 (1)共享權(quán)限是基于文件夾的,也就是說你只能夠在文件夾上設(shè)置共享權(quán)限,不可能在文件上設(shè)置共享權(quán)限;NTFS權(quán)限是基于文件的,你既可以在文件夾上設(shè)置也可以在文件上設(shè)置. (2)共享權(quán)限只有當(dāng)用戶通過網(wǎng)絡(luò)訪問共享文件夾時(shí)才起作用,如果用戶是本地登錄計(jì)算機(jī)則共享權(quán)限不起作用;NTFS權(quán)限無論用戶是通過網(wǎng)絡(luò)還是本地登錄使用文件都會(huì)起作用,只不過當(dāng)用戶通過網(wǎng)絡(luò)訪問文件時(shí)它會(huì)與共享權(quán)

19、限聯(lián)合起作用,規(guī)則是取最嚴(yán)格的權(quán)限設(shè)置. (3)共享權(quán)限與文件操作系統(tǒng)無關(guān),只要設(shè)置共享就能夠應(yīng)用共享權(quán)限;NTFS權(quán)限必須是NTFS文件系統(tǒng),否則不起作用. 共享權(quán)限只有幾種:讀取,更改和完全控制;NTFS權(quán)限有許多種,如讀,寫,執(zhí)行,改變,完全控制等.我們可以進(jìn)行非常細(xì)致的設(shè)置.共享權(quán)限和NTFS權(quán)限的組合權(quán)限 共享權(quán)限只對(duì)通過網(wǎng)絡(luò)訪問的用戶有效，所以有時(shí)需要和NTFS權(quán)限配合，才能嚴(yán)格的控制用戶的訪問。當(dāng)一個(gè)共享文件夾設(shè)置了共享權(quán)限和NTFS權(quán)限后，就要受到兩種權(quán)限的控制。 如果希望用戶能夠完全控制共享文件夾，首先要在共享權(quán)限中添加此用戶（組），并設(shè)置完全控制的權(quán)限。然后在NTFS權(quán)限設(shè)

20、置中添加此用戶（組），也設(shè)置完全控制權(quán)限。只有兩個(gè)地方都設(shè)置了完全控制權(quán)限，才最終有完全控制權(quán)限。 當(dāng)用戶從網(wǎng)絡(luò)訪問一個(gè)存儲(chǔ)在NTFS文件系統(tǒng)上的共享文件夾的時(shí)候會(huì)受到兩種權(quán)限的約束，而有效權(quán)限是最嚴(yán)格的權(quán)限（也就是兩種權(quán)限的交集）。而當(dāng)用戶從本地計(jì)算機(jī)直接訪問文件夾的時(shí)候，不受共享權(quán)限的約束，只受NTFS權(quán)限的約束。 同樣的，這里也要考慮到兩個(gè)權(quán)限的沖突問題，比如，共享權(quán)限為只讀，NTFS權(quán)限是寫入，那么最終權(quán)限是完全拒絕。這是因?yàn)檫@兩個(gè)權(quán)限的組合權(quán)限是兩個(gè)權(quán)限的交集。 Windows 文件保護(hù)微軟公司為Windows 2000/XP系統(tǒng)增添了一項(xiàng)新功能WFP（Windows File Pr

21、otection）。這個(gè)組件的主要功能是，在系統(tǒng)文件遭到意外刪除、或在安裝/卸載應(yīng)用程序時(shí)被無意識(shí)破壞后，利用備份文件恢復(fù)Windows系統(tǒng)。1Windows文件保護(hù)打開“組策略”窗口，在左側(cè)列表里展開“計(jì)算機(jī)設(shè)置”|“管理模板”|“系統(tǒng)”|“Windows文件”，在右側(cè)列表中顯示已有的文件保護(hù)策略，如圖所示，雙擊列表中的某項(xiàng)，打開設(shè)置窗口，如圖所示，在該窗口中可設(shè)置是否啟用這一項(xiàng)開全策略。Windows2003的加密機(jī)制文件加密系統(tǒng)文件加密系統(tǒng) (EFS) 提供一種核心文件加密技術(shù)，該技術(shù)用于在 NTFS 文件系統(tǒng)卷上存儲(chǔ)已加密的文件。使用文件加密系統(tǒng) (EFS)，用戶可以對(duì)文件進(jìn)行加密和解

22、密。以保證文件的安全，防止那些未經(jīng)許可的入侵者訪問存儲(chǔ)的敏感資料（例如，通過盜竊筆記本計(jì)算機(jī)或外掛式硬盤驅(qū)動(dòng)器來偷取資料）。用戶可以象使用普通文件和文件夾那樣使用已加密的文件和文件夾。EFS 用戶如果是加密者本人，系統(tǒng)會(huì)在用戶訪問這些文件和文件夾時(shí)將其自動(dòng)解密。但是，不允許入侵者訪問任何已加密的文件或文件夾。Windows2003的安全配置安全策略配置 利用windows2003的管理工具“本地安全策略”，可以配置服務(wù)器的安全策略。依次選擇“開始”“程序” “管理工具” “本地安全策略”，打開“本地安全配置”窗口，如圖所示。1帳戶策略2本地策略 3IP安全策略配置 Windows2003文件和

23、數(shù)據(jù)的備份據(jù)備份的類型大致分為以下幾種： （1）副本備份，可以復(fù)制所有選定的文件，但不將這些文件標(biāo)記為已經(jīng)備份（換言之，不清除存檔屬性）。（2）每日備份，用于復(fù)制執(zhí)行每日備份的當(dāng)天修改過的所有選定文件。備份的文件將不會(huì)標(biāo)記為已經(jīng)備份（。 （3）差異備份，用于復(fù)制自上次正?；蛟隽總浞菀詠硭鶆?chuàng)建或更改的文件。它不將文件標(biāo)記為已經(jīng)備份。 （4）增量備份，僅備份自上次正?；蛟隽總浞菀詠韯?chuàng)建或更改的文件。它將文件標(biāo)記為已經(jīng)備份。（5）正常備份，用于復(fù)制所有選定的文件，并且在備份后標(biāo)記每個(gè)文件。 啟動(dòng)備份工具兩種啟動(dòng)方式u 【開始】|【所有程序】|【附件】|【系統(tǒng)工具】|【備份】 u 【開始】菜單中的【運(yùn)

24、行】里輸入ntbackup 備份工具的向?qū)Ｊ絺浞莨ぞ叩母呒?jí)模式文件屬性中的備份標(biāo)記用來標(biāo)識(shí)文件的備份狀態(tài)u FAT32文件系統(tǒng)中備份標(biāo)記的位置u NTFS文件系統(tǒng)中備份標(biāo)記的位置備份類型3-1類型執(zhí)行操作備份前是否檢查標(biāo)記備份后是否清除標(biāo)記常規(guī)備份備份所有選定的文件否是增量備份只備份自上次正?；蛟隽總浞菀詠韯?chuàng)建或更改的文件（只備份有存檔標(biāo)記的文件）是是差異備份只備份自上次正?；蛟隽總浞菀詠韯?chuàng)建或更改的文件（只備份有存檔標(biāo)記的文件）是否副本備份備份所有選定的文件否否每日備份當(dāng)天創(chuàng)建或更改過的所有選定文件否否備份類型3-2備份方案u 常規(guī)備份+增量備份其它有利于提高系統(tǒng)安全性的設(shè)置.關(guān)閉不必要的

25、端口和服務(wù)2. 安全的帳號(hào)設(shè)置（）停止Guest帳號(hào) （）限制賬戶數(shù)據(jù) （3）盡量少用管理員權(quán)限登錄 （4）管理員賬號(hào)更名和設(shè)置陷阱賬號(hào) （5）修改默認(rèn)權(quán)限 （6）不顯示上次登錄名 （7）禁止Guest訪問日志 3. 其他的一些有利于安全的設(shè)置（1）注冊(cè)表鎖定（2）禁止判斷主機(jī)類型（3）禁止默認(rèn)共享 系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件系統(tǒng)安全漏洞檢測軟件是由本地主機(jī)上的具有系統(tǒng)管理員權(quán)限的用戶所運(yùn)行的，對(duì)本主機(jī)中的各項(xiàng)信息都具有讀寫的權(quán)限，因此只要研究出相關(guān)的安全漏洞的檢測方法，都可以查獲該主機(jī)上是否存在著相應(yīng)的安全漏洞遠(yuǎn)程檢測軟件一般情況下只具備遠(yuǎn)程匿名用戶的權(quán)限，如果對(duì)應(yīng)的主機(jī)不開啟遠(yuǎn)程訪問

26、服務(wù)，那么就只能通過各種試探的方法，甚至直接進(jìn)行攻擊的方法才能對(duì)該漏洞進(jìn)行檢測。即使這樣，也只能檢測一部分的漏洞1.為所管理的數(shù)據(jù)和資源提供相應(yīng)的安全保護(hù)，而有效控制硬件和軟件功能的操作系統(tǒng)是（ ）。A計(jì)算機(jī)安全B安全操作系統(tǒng)C實(shí)體安全D信息安全2.操作系統(tǒng)是企業(yè)網(wǎng)絡(luò)管理平臺(tái)的基礎(chǔ)，其安全性是第一位的，所以作為一名合格的企 業(yè)安全管理員，應(yīng)該了解操作系統(tǒng)所面臨（ ）的安全威脅。（選擇1 項(xiàng)） A 操作系統(tǒng)軟件自身的漏洞 B 開放了所有的端口 C 開放了全部的服務(wù) D 病毒 3.保證操作系統(tǒng)的安全是網(wǎng)管的第一要?jiǎng)?wù)，通過（ ）可以針對(duì)Windows 操作系統(tǒng)進(jìn)行有效的安全加固，從而為其他應(yīng)用構(gòu)筑最基礎(chǔ)的安全平臺(tái)。（選擇3 項(xiàng)） A 使用強(qiáng)壯的密碼，不使