網(wǎng)絡(luò)安全技術(shù)5課件

第5章操作系統(tǒng)安全主要內(nèi)容5.1操作系統(tǒng)安全機(jī)制5.2Windows操作系統(tǒng)安全5.3Linux操作系統(tǒng)安全5.1操作系統(tǒng)安全機(jī)制身份認(rèn)證機(jī)制訪問控制機(jī)制⑴自主訪問控制(discretionaryaccesscontrol，DAC)，根據(jù)用戶的身份及允許訪問權(quán)限決定其訪問操作。⑵強(qiáng)制訪問控制(mandatoryaccesscontrol，MAC)，指用戶與文件都有一個(gè)固定的安全屬性，系統(tǒng)用該安全屬性來決定一個(gè)用戶是否可以訪問某個(gè)文件。⑶基于角色的訪問控制(role-basedaccesscontrol，RBAC)。RBAC解決了具有大量用戶、數(shù)據(jù)客體和訪問權(quán)限的系統(tǒng)中授權(quán)管理問題。5.1操作系統(tǒng)安全機(jī)制最小特權(quán)管理機(jī)制最小特權(quán)(1eastprivilege)是指在完成某種操作時(shí)賦予每個(gè)主體(用戶或進(jìn)程)必不可少的特權(quán)。最小特權(quán)原則一方面給予主體“必不可少”的特權(quán)，保證了所有的主體能在所賦予的特權(quán)之下完成所需要完成的任務(wù)或操作；另一方面，它只給予主體“必不可少”的特權(quán)，從而限制了每個(gè)主體所能進(jìn)行的操作，確保由于可能的事故、錯(cuò)誤、網(wǎng)絡(luò)部件的篡改等原因造成的損失最小?？尚磐窓C(jī)制可信通路(trustpath)是終端人員能借以直接同可信計(jì)算基(trustedcomputingbase，TCB)通信的一種機(jī)制。隱蔽通道的分析與處理隱蔽通道是指系統(tǒng)中利用那些本來不是用于通信的系統(tǒng)資源繞過強(qiáng)制訪問控制進(jìn)行非法通信的一種機(jī)制。安全審計(jì)機(jī)制審計(jì)為系統(tǒng)進(jìn)行事故原因的查詢、定位、事故發(fā)生前的預(yù)測(cè)、報(bào)警以及事故發(fā)生之后的實(shí)時(shí)處理提供詳細(xì)、可靠的依據(jù)和支持，以便有違反系統(tǒng)安全規(guī)則的事件發(fā)生后能夠有效地追查事件發(fā)生的地點(diǎn)和過程。5.2.1

WindowsServer2003賬號(hào)安全賬號(hào)種類1.域用戶賬號(hào)域用戶賬號(hào)是用戶訪問域的惟一憑證，因此在域中必須是惟一的。域用戶賬號(hào)是在域控制器上建立，作為活動(dòng)目錄的一個(gè)對(duì)象保存在域的數(shù)據(jù)庫中。用戶在從域中的任何一臺(tái)計(jì)算機(jī)登錄到域中的時(shí)候必須提供一個(gè)合法的域用戶賬號(hào)，該賬號(hào)將被域控制器所驗(yàn)證。2.本地用戶賬號(hào)本地用戶賬號(hào)只能建立在Windows2003獨(dú)立服務(wù)器上，以控制用戶對(duì)該計(jì)算機(jī)資源的訪問。3.內(nèi)置的用戶賬號(hào)(1)Administrator賬號(hào)Administrator(管理員)賬號(hào)被賦予在域中和在計(jì)算機(jī)中具有不受限制的權(quán)利，該賬號(hào)被設(shè)計(jì)用于對(duì)本地計(jì)算機(jī)或域進(jìn)行管理，可以從事創(chuàng)建其他用戶賬號(hào)、創(chuàng)建組、實(shí)施安全策略、管理打印機(jī)以及分配用戶對(duì)資源的訪問權(quán)限等工作。(2)Guest賬號(hào)Guest(來賓)賬號(hào)一般被用于在域中或計(jì)算機(jī)中沒有固定賬號(hào)的用戶臨時(shí)訪問域或計(jì)算機(jī)時(shí)使用的。該賬號(hào)默認(rèn)情況下不允許對(duì)域或計(jì)算機(jī)中的設(shè)置和資源做永久性的更改。出于安全考慮，Guest帳號(hào)在Windows2003安裝好之后是被屏蔽的。賬號(hào)命名約定由于賬號(hào)的在域中的重要性和惟一性，因此賬號(hào)的命名約定十分重要。一個(gè)好的帳號(hào)命名約定將有助于規(guī)劃一個(gè)高效的活動(dòng)目錄。Windows2003的賬號(hào)命名約定包括如下內(nèi)容：域用戶賬號(hào)的用戶登錄名在AD中必須惟一。域用戶賬號(hào)完全名稱在創(chuàng)建該用戶賬號(hào)的域中必須惟一。本地用戶賬號(hào)在創(chuàng)建該賬號(hào)的計(jì)算機(jī)上必須惟一。如果用戶名稱有重復(fù)，則應(yīng)該在賬號(hào)上區(qū)別出來。帳號(hào)和密碼安全設(shè)置為了控制用戶對(duì)域的訪問，加強(qiáng)域的安全性，可以設(shè)置用戶登錄域的時(shí)間以及從哪臺(tái)工作站登錄到域中等，這些選項(xiàng)都可以在用戶的屬性中加以確定。另外對(duì)于已經(jīng)不再在企業(yè)中工作的員工來說，及時(shí)刪除或屏蔽該員工的用戶帳號(hào)是很重要的，否則將是一個(gè)安全隱患。利用帳戶選項(xiàng)卡中的帳戶過期可以幫助管理員維護(hù)帳號(hào)的使用期限。5.2.2WindowsServer2003文件系統(tǒng)安全NTFS權(quán)限的使用原則（1）權(quán)限最大原則當(dāng)一個(gè)用戶同時(shí)屬于多個(gè)組，而這些組又有可能被對(duì)某種資源賦予了不同的訪問權(quán)限，則用戶對(duì)該資源最終有效權(quán)限是在這些組中最寬松的權(quán)限，即加權(quán)限，將所有的權(quán)限加在一起即為該用戶的權(quán)限(“完全控制”權(quán)限為所有權(quán)限的總和)。（2）文件權(quán)限超越文件夾權(quán)限原則當(dāng)用戶或組對(duì)某個(gè)文件夾以及該文件夾下的文件有不同的訪問權(quán)限時(shí)，用戶對(duì)文件的最終權(quán)限是用戶被賦予訪問該文件的權(quán)限，即文件權(quán)限超越文件的上級(jí)文件夾的權(quán)限，用戶訪問該文件夾下的文件不受文件夾權(quán)限的限制，而只受被賦予的文件權(quán)限的限制。（3）拒絕權(quán)限超越其他權(quán)限原則當(dāng)用戶對(duì)某個(gè)資源有拒絕權(quán)限時(shí)，該權(quán)限覆蓋其他任何權(quán)限，即在訪問該資源的時(shí)候只有拒絕權(quán)限是有效的。當(dāng)有拒絕權(quán)限時(shí)權(quán)限最大法則無效。因此對(duì)于拒絕權(quán)限的授予應(yīng)該慎重考慮。NTFS權(quán)限的繼承在同一個(gè)NTFS分區(qū)內(nèi)或不同的NTFS分區(qū)之間移動(dòng)或拷貝一個(gè)文件或文件夾時(shí)，該文件或文件夾的NTFS權(quán)限會(huì)發(fā)生不同的變化。1．在同一個(gè)NTFS分區(qū)內(nèi)移動(dòng)文件或文件夾在同一分區(qū)內(nèi)移動(dòng)的實(shí)質(zhì)就是在目的位置將原位置上的文件或文件夾“搬”過來，因此文件和文件夾仍然保留有在原位置的一切NTFS權(quán)限。2．在不同NTFS分區(qū)之間移動(dòng)文件或文件夾在這種情況下文件和文件夾會(huì)繼承目的分區(qū)中文件夾的權(quán)限(ACL)，實(shí)質(zhì)就是在原位置刪除該文件或文件夾，并且在目的位置新建該文件或文件夾。3．在同一個(gè)NTFS分區(qū)內(nèi)拷貝文件或文件夾在這種情況下拷貝文件和文件夾將繼承目的位置中的文件夾的權(quán)限。4．在不同NTFS分區(qū)之間拷貝文件或文件夾在這種情況下拷貝文件和文件夾將繼承目的位置中文件夾的權(quán)限。共享文件夾權(quán)限管理1.共享文件夾共享文件夾(ShareFolder)是被用來向網(wǎng)絡(luò)用戶提供對(duì)文件資源的訪問，可以包括應(yīng)用程序、公用數(shù)據(jù)或用戶個(gè)人數(shù)據(jù)。當(dāng)一個(gè)文件夾被共享的時(shí)候,用戶可通過網(wǎng)絡(luò)連接到該文件夾并訪問其中包含的文件.但用戶需要擁有訪問共享文件夾的權(quán)限。2.共享文件夾權(quán)限讀權(quán)限：用戶可以顯示文件夾名稱、文件名、文件屬性；可以運(yùn)行程序文件；可以對(duì)共享文件夾內(nèi)的文件夾作出改動(dòng)。修改權(quán)限：用戶可以創(chuàng)建文件夾、向文件夾中添加文件、改變文件中的數(shù)據(jù)、向文件中添加數(shù)據(jù)、改變文件屬性、刪除文件夾和文件、并能執(zhí)行讀權(quán)限允許的操作。完全控制權(quán)限：用戶可以改變文件權(quán)限、獲取文件的所有權(quán)、并執(zhí)行修改權(quán)限允許的所有任務(wù)。3.共享文件夾權(quán)限特點(diǎn)共享文件夾權(quán)限用于文件夾而不是單獨(dú)的文件。共享文件夾權(quán)限只能用于整個(gè)共享文件夾，不能用于共享文件夾中的單個(gè)文件或子文件夾。共享文件夾權(quán)限只適用于通過網(wǎng)絡(luò)連接文件夾的用戶，對(duì)存儲(chǔ)共享文件夾的計(jì)算機(jī)上的用戶訪問則不受限制。5.2.3WindowsServer2003主機(jī)安全實(shí)施本地安全設(shè)置①賬戶策略包含密碼策略和帳戶策略。密碼策略用來規(guī)范使用這臺(tái)計(jì)算機(jī)的用戶的密碼設(shè)置，如密碼最小長(zhǎng)度、密碼復(fù)雜性要求、強(qiáng)制密碼歷史等，通過這些設(shè)置可以強(qiáng)制用戶的密碼使用習(xí)慣；賬戶策略來防止惡意攻擊，當(dāng)多次輸入不正確的密碼時(shí)系統(tǒng)會(huì)自動(dòng)鎖定該賬戶。②本地策略本地策略包含【審核策略】、【用戶權(quán)力指派】和【安全選項(xiàng)】?！緦徍瞬呗浴恐邪藢?duì)系統(tǒng)行為的審核設(shè)置，確定哪些系統(tǒng)事件要求審核而哪些不用,審核發(fā)生的事件按照預(yù)先設(shè)定的方式記錄下來以供檢查和分析，至于審核的事件是哪些，由審核策略來確定。

③公鑰策略公鑰策略用來設(shè)置【加密恢復(fù)代理人】。NTFS5.0具有EFS加密功能，EFS加密是利用非對(duì)稱加密體系(即公鑰私鑰對(duì))對(duì)文件加密，而私鑰的持有人為使用EFS加密文件的用戶，NTFS依靠該用戶的SID來判斷其私鑰。如果用戶賬戶被刪除，則即使是新建—個(gè)—模一樣的用戶賬戶，由于其SID不向因此也無法恢復(fù)經(jīng)過加密的數(shù)據(jù)。利用公鑰策略可以設(shè)置經(jīng)過加密的數(shù)據(jù)恢復(fù)代理，通過該代理恢復(fù)數(shù)據(jù)。④IP安全策略(IPSec)【IP安全策略】設(shè)置IPSec，可以為兩臺(tái)使用IP協(xié)議傳輸數(shù)據(jù)的計(jì)算機(jī)建立一個(gè)加密的安全通信通道，從而保證了數(shù)據(jù)在網(wǎng)絡(luò)上傳輸?shù)陌踩?。IPSec加密傳輸?shù)臄?shù)據(jù)，其配置和管理可以在IP安全策略中進(jìn)行。配置并實(shí)施組策略(1)什么是組策略windowsserver2003活動(dòng)目錄，沒有“系統(tǒng)策略編輯器”，而是使用“組策略”。該工具的主要作用是規(guī)定用戶和計(jì)算機(jī)的使用環(huán)境。組策略不僅應(yīng)用于用戶和客戶端計(jì)算機(jī)，還應(yīng)用于成員服務(wù)器、域控制器以及管理范圍內(nèi)的其他計(jì)算機(jī)。組策略設(shè)置定義了系統(tǒng)管理員需要管理的用戶桌面環(huán)境的各種組件。要為特定用戶組創(chuàng)建特殊的桌面配置，可使用組策略對(duì)象編輯器創(chuàng)建組策略對(duì)象，組策略對(duì)象又與選定的活動(dòng)目錄對(duì)象相關(guān)聯(lián)。（2）組策略的使用條件通過一次設(shè)定可以在多臺(tái)計(jì)算機(jī)上應(yīng)用，需要實(shí)施組策略。組策略的各種設(shè)定都保存在一個(gè)被稱為組策略對(duì)象中(GPO，GroupPolicyObject).在實(shí)施組策略前應(yīng)該滿足以下的條件：組策略只能應(yīng)用在基于Windows2000的域控制器的網(wǎng)絡(luò)中的計(jì)算機(jī)和用戶；組策略中的各種設(shè)定值均保存在活動(dòng)目錄數(shù)據(jù)庫中，因此在域控制器上可以保存設(shè)置值。（3）組策略的使用規(guī)則多個(gè)策略同時(shí)存在，按如下策略應(yīng)用：首先是本地策略；其次是站點(diǎn)和域級(jí)的策略；最后是應(yīng)用組織單元的設(shè)定值。策略的有效值是多個(gè)策略的并集，但當(dāng)對(duì)于一個(gè)項(xiàng)目有不同的設(shè)置值時(shí)，后面的將代替前面的設(shè)置值。在默認(rèn)情況下活動(dòng)目錄結(jié)構(gòu)中的下層容器會(huì)繼承上層容器的策略。最上層容器為站點(diǎn)，其下為域和組織單位。5.3Linux操作系統(tǒng)安全5.3.1Linux自身的安全機(jī)制身份驗(yàn)證機(jī)制用戶的身份驗(yàn)證和權(quán)限是分開的，采用PAM(pluggableauthenticationmodules)身份驗(yàn)證體系安全審計(jì)強(qiáng)制訪問控制安全增強(qiáng)Linux(securityenhancedLinux，SELinux)和基于規(guī)則集的訪問控制(rulesetbasedaccesscontrol，RSBAC)Linux安全模塊加密文件系統(tǒng)密碼文件系統(tǒng)(cryptographic，CFS)、透明密碼文件系統(tǒng)(tran