網(wǎng)絡操作系統(tǒng)安全

第12章網(wǎng)絡操作系統(tǒng)平安12.1網(wǎng)絡平安的含義平安威脅：某個實體(人、事件、程序等)對某一資源的機密性、完整性、可用性和可控性在合法使用時可能造成的危害。根本平安威脅：信息泄露

------------>機密性完整性破壞------------>完整性

拒絕效勞

------------>

可用性非法使用------------>可控性可實現(xiàn)威脅〔可以直接導致某一根本威脅的實現(xiàn)〕主要包括滲入威脅和植入威脅。主要的滲入威脅有：假冒；旁路；授權侵犯主要的植入威脅有：特洛伊木馬；陷門2整理ppt12.1網(wǎng)絡平安的含義網(wǎng)絡平安是一門涉及計算機科學、網(wǎng)絡技術、通信技術、密碼技術、信息平安技術、應用數(shù)學、數(shù)論、信息論等多種學科的綜合性學科。網(wǎng)絡平安四個特征：

保密性：信息不泄露給非授權用戶實體或過程的特性。完整性：數(shù)據(jù)未經(jīng)授權不能進行改變的特性?？捎眯裕嚎杀皇跈鄬嶓w訪問并按需求使用的特性?？煽匦裕簩π畔⒌膫鞑ゼ皟?nèi)容具有控制能力。3整理ppt12.2網(wǎng)絡平安策略物理平安策略訪問控制策略入網(wǎng)訪問控制目錄級平安控制屬性平安控制網(wǎng)絡效勞器平安控制網(wǎng)絡監(jiān)測和鎖定控制網(wǎng)絡端口和節(jié)點的平安控制防火墻控制信息加密策略

網(wǎng)絡平安管理策略4整理ppt12.3Windows2000系統(tǒng)及效勞平安管理Windows2000的系統(tǒng)平安策略帳戶平安管理端口限制設置訪問控制權限關閉不必要的效勞或組件審核策略5整理ppt12.3Windows2000系統(tǒng)及效勞平安管理帳戶平安管理將administrator用戶改名，并設置較為復雜的密碼禁用guest用戶取消除管理員以外所有用戶屬性中的“遠程控制啟用遠程控制〞以及“終端效勞配置文件允許登陸到終端效勞〞禁用除管理員、IUSER以及ASPNET用戶外，其他的一切用戶。包括SQLDEBUG及TERMINALUSER等6整理ppt12.3Windows2000系統(tǒng)及效勞平安管理Windows2000的系統(tǒng)平安策略帳戶平安管理端口限制設置訪問控制權限關閉不必要的效勞或組件審核策略7整理ppt12.3Windows2000系統(tǒng)及效勞平安管理端口限制入侵者要做的第一件事通常是掃描有漏洞的效勞。其防范的措施是，將所需效勞的端口翻開，其他端口一律屏蔽。以一臺標準虛擬主機效勞器為例，需開通的端口包括：80——WEB效勞器20——FTP數(shù)據(jù)傳輸21——FTP命令通道25——SMTP簡單郵件發(fā)送端口53——DNS域名解析效勞端口110——POP3郵件接收效勞端口143——IMAP郵件接收效勞端口8整理ppt12.3Windows2000系統(tǒng)及效勞平安管理需格外注意的端口：1433、3306——SQLSERVER和MYSQL數(shù)據(jù)庫端口3389——Win2000遠程登錄端口139、445——文件共享端口9整理ppt12.3Windows2000系統(tǒng)及效勞平安管理常見的木馬和病毒程序端口：2000、2001——黑洞〔木馬〕默認端口7306——網(wǎng)絡精靈〔木馬〕7626——冰河〔木馬〕8000——OICQServer、灰鴿子〔病毒〕12345、12346——netbus木馬5022——華夏同盟遠程控制〔黑客第一門戶〕8181——上興遠控默認端口10整理ppt12.3Windows2000系統(tǒng)及效勞平安管理Windows2000的系統(tǒng)平安策略帳戶平安管理端口限制設置訪問控制權限關閉不必要的效勞或組件審核策略11整理ppt12.3Windows2000系統(tǒng)及效勞平安管理設置訪問控制權限對所有的盤符設置administrator組和system用戶擁有全部權限，其他用戶只讀。C:\ProgramFiles\CommonFiles及C:\WINNT目錄對Everyone開放讀取、運行、列出文件目錄三個權限C:\WINNT\Temp目錄對Everyone開放讀取、運行、列出文件目錄、寫入權限修改CMD.EXE及NET.EXE權限〔僅管理員擁有所有權限，其他用戶不具備對該文件的訪問權〕12整理ppt12.3Windows2000系統(tǒng)及效勞平安管理設置訪問控制權限WEB站點目錄權限Administrator、system擁有全部權限IUSER〔Internet來賓用戶〕擁有讀取、寫入、修改權限13整理ppt12.3Windows2000系統(tǒng)及效勞平安管理Windows2000的系統(tǒng)平安策略帳戶平安管理端口限制設置訪問控制權限關閉不必要的效勞或組件審核策略14整理ppt12.3Windows2000系統(tǒng)及效勞平安管理關閉不必要的效勞或組件ComputerBrowser：提供網(wǎng)絡中的計算機列表Messenger：信使效勞PrintSpooler：將文件加載到內(nèi)存中以便打印RemoteRegistry：遠程管理本地系統(tǒng)Telnet：允許遠程用戶登錄到系統(tǒng)并且使用命令行運行控制臺程序TCP/IPNetBIOSHelper：NetBIOS名稱解析15整理ppt12.3Windows2000系統(tǒng)及效勞平安管理Windows2000的系統(tǒng)平安策略帳戶平安管理端口限制設置訪問控制權限關閉不必要的效勞或組件審核策略16整理ppt12.3Windows2000系統(tǒng)及效勞平安管理審核策略Windows2000提供了一項平安審核功能，可以用日志的形式記錄各種與平安相關的事件，可使用其中的信息來生成一個有規(guī)律活動的概要文件，發(fā)現(xiàn)和跟蹤可疑事件，并留下關于某一侵入者活動的有效法律證據(jù)。本地平安策略本地策略審核策略17整理ppt12.3Windows2000系統(tǒng)及效勞平安管理策略更改：平安策略更改，包括特權指派、審核策略修改和信任關系修改。這一類必須同時審核它的成功或失敗事件。登錄事件：對本地計算機的交互式登錄或網(wǎng)絡連接。這一類必須同時審核它的成功和失敗事件。對象訪問：必須啟用它以允許審核特定的對象，這一類需要審核它的失敗事件。過程追蹤：詳細跟蹤進程調用、重復進程句柄和進程終止，這一類可以根據(jù)需要選用。目錄效勞訪問：記錄對ActiveDirectory的訪問，這一類需要審核它的失敗事件。18整理ppt12.3Windows2000系統(tǒng)及效勞平安管理特權使用：某一特權的使用；專用特權的指派，這一類需要審核它的失敗事件。系統(tǒng)事件：與平安(如系統(tǒng)關閉和重新啟動)有關的事件；影響平安日志的事件，這一類必須同時審核它的成功和失敗事件。賬戶登錄事件：驗證(賬戶有效性)通過網(wǎng)絡對本地計算機的訪問，這一類必須同時審核它的成功和失敗事件。賬戶管理：創(chuàng)立、修改或刪除用戶和組，進行密碼更改，這一類必須同時審核它的成功和失敗事件。19整理ppt12.4Linux系統(tǒng)平安數(shù)據(jù)包進入主機的流程dd.confTCP/IPpacketIPFilterTCPWrappersWWW設置本機的文件系統(tǒng)資源Client20整理ppt12.4Linux系統(tǒng)平安Linux主機能做的保護：文件系統(tǒng)權限設置防火墻設置監(jiān)聽網(wǎng)絡效勞軟件更新SELinux21整理ppt12.4Linux系統(tǒng)平安防火墻設置列出防火墻過濾表中的規(guī)那么去除本機防火墻過濾的所有規(guī)那么數(shù)據(jù)包的比對設置#iptable–L-n#iptable-F#iptable-X#iptable-Z#iptable-AINPUT–Ieth0-s0-jDROP#iptable-AINPUT–Ieth0-s/24-jACCEPT22整理ppt12.4Linux系統(tǒng)平安防火墻設置端口設置保存防火墻的設置#iptables–save>/etc/sysconfig/iptables

#iptables–AINPUT–Ieth0–pudp--sport67:68--dport67:68–jACCEPT

23整理ppt12.4Linux系統(tǒng)平安監(jiān)聽網(wǎng)絡效勞——Netstat命令列出在監(jiān)聽的網(wǎng)絡效勞列出已連接的網(wǎng)絡聯(lián)機狀態(tài)刪除已建立或在監(jiān)聽中的連接先找出該聯(lián)機的PID，然后將它刪除#netstat-tun#netstat-tunl

#netstat–tunp#kill-9PID24整理ppt12.4Linux系統(tǒng)平安RedHatSELinuxRedHatEnterpriseLinuxAS3.0/4.0中平安方面的最大變化就在于集成了SELinux的支持。SELinux的全稱是Security-EnhancedLinux，是由美國國家平安局NSA開發(fā)的訪問控制體制。SELinux可以最大限度地保證Linux系統(tǒng)的平安，它將Linux系統(tǒng)的平安從C2級提升到B1級SELinux的策略分為兩種，一個是目標(targeted)策略，另一個是嚴格(strict)策略。目標策略僅針對局部系統(tǒng)網(wǎng)絡效勞和進程執(zhí)行SELinux策略，而嚴厲策略是執(zhí)行全局的NSA默認策略。25整理ppt12.4Linux系統(tǒng)平安SELinux的配置文件是/etc/selinux/config可用getenforce和setenforce命令查看和設置SELinux的當前工作模式其兩種模式為：Enforcing|Permissive(1|0)一般測試過程中使用“permissive〞模式，這樣僅會在違反SELinux規(guī)那么時發(fā)出警告，然后修改規(guī)那么，最后由用戶決定是否執(zhí)行嚴格“enforcing〞的策略，禁止違反規(guī)那么策略的行為。修改配置文件/etc/selinux/config后，需要重啟系統(tǒng)來啟動SELinux新的工作模式。26整理ppt12.4Linux系統(tǒng)平安命令sestatus可查詢SELinux的狀態(tài)，如：是否激活、selinuxfs的掛接狀態(tài)、當前的策略模式和版本等。命令sestatus執(zhí)行結果列出如下27整理ppt12.4Linux系統(tǒng)平安案例在Apache效勞器中配置站點，不使用系統(tǒng)默認的/var/www/html作為站點的DocumentRoot，自己新建一個目錄〔/myweb/zjz〕后修改/etc/d/conf/d.conf中的配置，重啟Apache，出現(xiàn)報錯：Documentrootmustbeadirectory或站點無法訪問。2