計算機操作系統(tǒng)安全常識

第一章操作系統(tǒng)安全常識

本章主要內(nèi)容：第一節(jié)

安全等級標準

第二節(jié)漏洞

第三節(jié)WindowsNT系統(tǒng)安全

第四節(jié)

Unix系統(tǒng)的安全

第五節(jié)Linux系統(tǒng)安全第六節(jié)WindowsXP系統(tǒng)安全第七節(jié)Windows7系統(tǒng)安全

11/20/20241網(wǎng)絡安全概述知識點漏洞概念\類型WindowsNT、Unix安全性和漏洞

WindowsXP、windows7、Linux安全性11/20/20242網(wǎng)絡安全概述難點

WindowsNT、Unix、安全性11/20/20243網(wǎng)絡安全概述要求熟練掌握以下內(nèi)容：●漏洞的定義和分類●WindowsXP的安全策略●Windows7的安全策略了解以下內(nèi)容：●安全等級標準11/20/20244網(wǎng)絡安全概述網(wǎng)絡安全

網(wǎng)絡安全是一門涉及計算機科學、網(wǎng)絡技術、通信技術、密碼技術、信息安全技術、應用數(shù)學、數(shù)論、信息論等多種學科的綜合性科學。網(wǎng)絡安全是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，確保系統(tǒng)能連續(xù)可靠正常地運行，網(wǎng)絡服務不中斷。

11/20/20245網(wǎng)絡安全概述第一節(jié)安全等級標準美國的“可信計算機系統(tǒng)評估準則（TCSEC）”中國國家標準《計算機信息安全保護等級劃分準則》

11/20/20246網(wǎng)絡安全概述2.1.1美國的“可信計算機系統(tǒng)評估準則（TCSEC）”

可信計算機系統(tǒng)評估準則TCSEC(TrustedComputerSystemEvaluationCriteria)是將計算機硬件與支持不可信應用和不可信用戶的操作系統(tǒng)的組合通稱為可信計算基礎TCB(TrustedComputingBase)。TCSEC標準是計算機系統(tǒng)安全評估的第一個正式標準，得到廣泛的應用，并且已成為其他國家和國際組織制定計算機安全標準的基礎和參考，具有劃時代的意義。該準則于1970年由美國國防科學委員會提出，并于1985年12月由美國國防部公布。TCSEC最初只是軍用標準，后來延至民用領域。TCSEC將計算機系統(tǒng)的安全劃分為4個安全等級。分別為D、C、B、A級，由低到高。D級最小保護級，暫時不分子級。C級分為C1和C2兩個子級，C2比C1提供更多的保護。B級分為B1、B2和B3三個子級，級別由低到高，B3級比B2、B1級提供更多的保護。A級暫時不分子級。每級包括它下級的所有特性。各級的特性如表2-1所示。11/20/20247網(wǎng)絡安全概述1.D級---最低保護（MinimalProtection)任何人都可以自由地使用該計算機系統(tǒng)，不對用戶進行驗證。系統(tǒng)不要求用戶提供用戶名或密碼。任何人都可以坐在計算機的旁邊并使用它。屬于D級的計算機操作系統(tǒng)有DOS、Windows3.x及Windows95(不在工作組方式中)。11/20/20248網(wǎng)絡安全概述2.C級---自主訪問控制（DiscretionaryProtection）該類安全等級能夠提供存取控制，并為用戶的行動和責任提供審計能力，可劃分為C1和C2兩類。C1系統(tǒng)的可信任運算基礎體制（TrustedComputingBase，TCB）通過將用戶和數(shù)據(jù)分開來達到安全的目的。在C1系統(tǒng)中，用戶認為C1系統(tǒng)中的所有文檔都具有相同的機密性。該安全級別典型的操作系統(tǒng)有標準Unix。C2系統(tǒng)比C1系統(tǒng)加強了可調(diào)的審慎控制。在連接到網(wǎng)絡上時，C2系統(tǒng)的用戶分別對各自的行為負責。C2系統(tǒng)通過登陸過程、安全事件和資源隔離來增強這種控制。C2系統(tǒng)具有C1系統(tǒng)中所有的安全性特征。這個安全級別操作系統(tǒng)有C1SCOUnix、Linux和WindowsNT。

11/20/20249網(wǎng)絡安全概述

3.B級---強制訪問控制（MandatoryProtection)B類安全等級可分為B1、B2和B3三個子級，由低到高。B1級：系統(tǒng)對網(wǎng)絡控制下的每個對象都進行反映其安全級別的靈敏度標記；對敏感信息提供更高的保護；當系統(tǒng)管理員創(chuàng)建系統(tǒng)或增加新的通信通道或I/O設備時，管理員必須指定每個通信通道和I/O設備是單級還是多級；單級設備不保持傳輸信息的靈敏度級別；所有直接面向用戶位置的輸出（無論是虛擬的還是物理的）都必須用標記來指示輸出對象的靈敏度；系統(tǒng)使用用戶的口令來決定用戶的安全訪問級別；系統(tǒng)通過審計來記錄未授權訪問的企圖。政府機構或防御承包商是B1計算機的主要擁有者。B2級：要求計算機給所有對象加標簽，給設備（工作站、磁盤驅(qū)動器和終端）分配安全級別；如允許用戶訪問一臺工作站，但不允許訪問含有職工工資資料的磁盤子系統(tǒng)。只有用戶能夠在可信任通信路徑中進行初始化通信。B3級：除了控制對個別對象的訪問外，B3必須產(chǎn)生一個可讀的安全列表；每個被命名的對象提供對該對象沒有訪問權的用戶列表說明；B3系統(tǒng)在進行任何操作前，要求用戶進行身份驗證；B3系統(tǒng)驗證每個用戶，同時還會發(fā)送一個取消訪問的審計跟蹤消息；設計者必須正確區(qū)分可信任的通信路徑和其他路徑；可信任的通信基礎體制為每一個被命名的對象建立安全審計跟蹤。11/20/202410網(wǎng)絡安全概述4.A級---可驗證訪問控制（VerifiedProtection)A系統(tǒng)的安全級別最高。目前，A類只包含A1安全類別，它包括一個嚴格的設計、控制和驗證過程。A1級別中系統(tǒng)管理員必須從開發(fā)者那里接收到一個安全策略的正式模型；所有的安裝操作都必須由系統(tǒng)管理員進行；系統(tǒng)管理員進行的每一步安裝操作都必須有正式文檔。11/20/202411網(wǎng)絡安全概述為了提高我國計算機信息系統(tǒng)安全保護水平公安部提出并組織制定了強制性國家標準《計算機信息安全保護等級劃分準則》該準則于1999年9月13日經(jīng)國家質(zhì)量技術監(jiān)督局發(fā)布，并將于2001年1月1日起實施?！稖蕜t》將計算機信息安全包含能力劃分為5個等級，計算機信息安全能力隨著保護級別增高逐漸增強。

2.1.2中國國家標準《計算機信息安全保護等級劃分準則》

11/20/202412網(wǎng)絡安全概述

1.用戶自主保護級本級的安全保護機制是通過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護的能力。它具有多種形式的控制能力，對用戶實施訪問控制，即為用戶提供可行的手段，保護用戶和用戶組信息，避免其他用戶對數(shù)據(jù)的非法讀寫與破壞。11/20/202413網(wǎng)絡安全概述

2.系統(tǒng)審計保護級與用戶自主保護級相比，本級的安全保護機制實施了粒度更細的自主訪問控制，它通過登錄規(guī)程、審計安全性相關事件和隔離資源，使用戶對自己的行為負責。11/20/202414網(wǎng)絡安全概述3.安全標記保護級本級安全機制具有系統(tǒng)審計保護級的所有功能。此外，還需提供有關安全策略模型、數(shù)據(jù)標記以及主體對客體強制訪問控制的非形式化描述，具有準確地標記輸出信息的能力。

11/20/202415網(wǎng)絡安全概述4.結構化保護級本級安全機制是建立于一個明確定義的形式化安全策略模型之上，它要求將第三級系統(tǒng)中的自主和強制訪問控制擴展到所有主體與客體。將結構化分為關鍵保護元素和非關鍵保護元素相結合的結構。其中關鍵部分直接控制訪問者對訪問對象的存取。本級具有相當強的抗?jié)B透能力。

11/20/202416網(wǎng)絡安全概述5.訪問驗證保護級本級的安全保護機制具有第四級的所有功能。增設訪問訪問監(jiān)控器需求。訪問監(jiān)控器仲裁主體對客體的全部訪問。訪問監(jiān)控器本身是抗篡改的、足夠小，能夠分析和測試。該級支持安全管理員職能；擴充審計機制，當發(fā)生與安全相關的事件時發(fā)出信號；提供系統(tǒng)恢復機制。系統(tǒng)具有很高的抗?jié)B透能力。11/20/202417網(wǎng)絡安全概述2.2漏洞

2.2.1漏洞的概念2.2.2漏洞的類型2.2.3漏洞對網(wǎng)絡安全的影響2.2.4漏洞與后門的區(qū)別11/20/202418網(wǎng)絡安全概述2.2.1漏洞的概念1．漏洞從專業(yè)上講，漏洞是在硬件、軟件、協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上（主要是人為）存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統(tǒng)。如果有權限，訪問合法，如果沒有權限，則訪問不合法。11/20/202419網(wǎng)絡安全概述2.2.2漏洞的類型1.網(wǎng)絡傳輸和協(xié)議的漏洞攻擊者利用網(wǎng)絡傳輸時對協(xié)議的信任以及網(wǎng)絡傳輸?shù)穆┒催M入系統(tǒng)，例如IP欺騙就是利用網(wǎng)絡傳輸對IP的信任；DNS欺騙就是冒充域名服務器，把IP地址設為攻擊者的IP地址，用戶上網(wǎng)時就只能看到攻擊者的主頁；而網(wǎng)絡嗅探器則利用網(wǎng)絡信息明文傳輸?shù)娜觞c來進行探測。11/20/202420網(wǎng)絡安全概述2.系統(tǒng)的漏洞操作系統(tǒng)程序存在許多BUG，攻擊者可以利用服務進程的BUG和配置錯誤進行攻擊，任何提供服務的主機都有可能存在這樣的漏洞，他們常被攻擊者用來獲取對系統(tǒng)的訪問權限。由于軟件的BUG不可避免，對于目前存在使用的操作系統(tǒng)如Windows、Unix都存在著BUG，入侵者利用這些程序中存在的BUG來獲取特權。這就為攻擊者提供了各種機會。竊取系統(tǒng)中的口令是最簡單的攻擊方法，因此對系統(tǒng)口令的保護方式也在不斷改進?？诹钗募拿魑母倪M成密文，又改進成使用影子文件（shadow）的方式。攻擊者獲取口令的方法很多，有的竊取口令文件做字典攻擊；有的從信道獲?。挥械睦锰芈逡聊抉R竊取等等。11/20/202421網(wǎng)絡安全概述3.管理的漏洞攻擊者可以利用各種方式從系統(tǒng)管理員和用戶那里獲取可用于非法進入系統(tǒng)的信息，包括口令、用戶名等。常見方式包括：（1）通過電話假冒合法用戶要求對方提供口令、建立帳號或按要求修改口令；（2）假冒系統(tǒng)管理員要求用戶運行某個測試程序，而它實際上是特洛伊木馬，要求用戶輸入口令；（3）假冒某個合法用戶的名義向系統(tǒng)管理員發(fā)送電子郵件，要求修改自己的口令；（4）假冒某些合法網(wǎng)站，實際上是假網(wǎng)站，要求用戶輸入用戶名和口令。11/20/202422網(wǎng)絡安全概述隨著網(wǎng)絡技術的發(fā)展，網(wǎng)絡成為一個無處不在、無所不用的工具。Internet的無主管性、跨國界性、不設防性、缺少法律約束性的特點，在為各國帶來發(fā)展機遇的同時，也帶來了巨大的風險。

2.2.3漏洞對網(wǎng)絡安全的影響11/20/202423網(wǎng)絡安全概述2.2.3漏洞對網(wǎng)絡安全的影響1.漏洞影響Internet的可靠性和可用性Internet網(wǎng)絡的脆弱性也是一種漏洞。Internet是逐步發(fā)展和演變而來的，其本身的可靠性和可用性存在很多弱點，特別是在網(wǎng)絡規(guī)模迅速擴大，用戶數(shù)目猛增，業(yè)務類型多樣化的情況下，系統(tǒng)和應用工具可靠性的弱點也逐漸暴露出來，系統(tǒng)資源的不足、網(wǎng)絡的故障和癱瘓將會給國家、組織和企業(yè)造成巨大的損失。11/20/202424網(wǎng)絡安全概述2．漏洞導致Internet上黑客入侵和計算機犯罪黑客攻擊早已在主機終端時代就已經(jīng)出現(xiàn)，隨著Internet的發(fā)展，現(xiàn)代黑客則從以系統(tǒng)為主的攻擊轉(zhuǎn)變到以網(wǎng)絡為主的攻擊。形形色色的黑客和攻擊者利用網(wǎng)絡上的任何漏洞和缺陷進行攻擊，例如：通過網(wǎng)絡監(jiān)聽獲取網(wǎng)上用戶的賬號和密碼；監(jiān)聽密鑰分配過程，攻擊密鑰管理服務器，得到密鑰或認證碼，從而取得合法資格；利用UNIX操作系統(tǒng)提供的守護進程的缺省賬戶進行攻擊（如TelnetDaemon、FTPDaemon和RPCDaemon等）；利用SendMail，采用debug、wizard和pipe等進行攻擊；利用FTP，采用匿名用戶訪問進行攻擊；利用NFS進行攻擊；通過隱蔽通道進行非法活動；突破防火墻等等。顯然黑客入侵和計算機犯罪給Internet的安全造成了嚴重的威脅。11/20/202425網(wǎng)絡安全概述3．漏洞致使Internet遭受網(wǎng)絡病毒和其它軟件的攻擊計算機病毒被發(fā)現(xiàn)十多年來，其種類正在以幾何級數(shù)增長，而且病毒的機理和變種不斷演變，為檢測和消除帶來了更大的難度，成為計算機和網(wǎng)絡發(fā)展的一大公害。它破壞計算機的正常工作以及信息的正常存儲。嚴重時，可以使計算機系統(tǒng)陷于癱瘓。特洛伊木馬也是一種極常用的攻擊方法，這種攻擊常常在程序中聲稱做某件事，而實際上做另一種用戶不想做的事情。簡單的特洛伊木馬只是竊取口令，獲得非法的訪問，嚴重的甚至會完全刪除磁盤上的文件。11/20/202426網(wǎng)絡安全概述2.2.4漏洞與后門的區(qū)別漏洞是一種無意的行為，是難以預知的；后門是一種有意的行為，是人為故意設置的。后門是軟硬件制造者為了進行非授權訪問而在程序中故意設置的萬能訪問口令，這些口令無論是被攻破，還是只掌握在制造者手中，都對使用者的系統(tǒng)安全構成嚴重的威脅。有意的后門可能造成對大眾的威脅，無意的漏洞則是廠商改進的方向和目標。11/20/202427網(wǎng)絡安全概述2.3.1WindowsNT的安全等級作為一個標準的系統(tǒng)，WindowsNTServer自3.5版就達到了國家計算機安全中心的C2級安全級別的要求?？梢宰杂蓻Q定訪問控制：對象復用

身份的確認和驗證：審計

2.3WindowsNT系統(tǒng)安全11/20/202428網(wǎng)絡安全概述1.身份驗證

用戶登錄時,通過組合鍵Ctrl+Alt+Del鍵，NT系統(tǒng)啟動登錄進程，彈出登錄對話框，讓用戶輸入用戶名和密碼。登錄進程接收用戶的用戶名和密碼后，查找安全賬戶中的信息。若用戶名和密碼失效，則拒絕用戶登錄。若用戶名和密碼有效，則把安全賬戶管理SAM（SecurityAccountManager）數(shù)據(jù)庫中有關該賬號的信息收集在一起形成一個存取標識。其中存取標識包括用戶名及SID、用戶所屬的組及組SID、用戶對系統(tǒng)所具有的權力。然后NT系統(tǒng)啟動一個用戶進程，將該存取標識與之相連，存取標識就成了用戶進程在NT系統(tǒng)中的通行證。無論用戶做什么事情，NT系統(tǒng)都會檢查器存取標識，以確定其操作是否合法。

2.3WindowsNT系統(tǒng)安全11/20/202429網(wǎng)絡安全概述2.權力權力是用戶對整個系統(tǒng)內(nèi)的對象和任務完成特定動作的授權，如關閉系統(tǒng)、向系統(tǒng)中添加設備、更改系統(tǒng)時間等，一般由系統(tǒng)指定給內(nèi)置組，也可由管理員將其擴大到組和用戶上。當用戶登錄到一個具有某種權力的賬號時，該用戶就可以執(zhí)行與該權力相關的任務。用戶的權力如表2-3所示。2.3WindowsNT系統(tǒng)安全11/20/202430網(wǎng)絡安全概述3.權限

權限指用戶對系統(tǒng)資源的訪問權力，是可以授予用戶或組的文件系統(tǒng)能力，如對某文件的讀、寫控制，對打印機隊列的管理等。權限適用于對特定對象的操作，指定允許哪些用戶可以使用這些對象以及如何使用這些對象。每一權限級別都確定了一個執(zhí)行特定的任務組合的能力（如Read（R）、Execute(X)、Write(W)、Delete(D)、SetPermission(P)、TakeOwnership(O)）。用戶對系統(tǒng)資源所具有的權限與特定的資源一起存放，用戶的目錄權限和文件權限表2-4，2-5所示。2.3WindowsNT系統(tǒng)安全11/20/202431網(wǎng)絡安全概述1.有關SAM的安全漏洞數(shù)據(jù)庫進行復制。安全帳戶管理(SAM)數(shù)據(jù)庫存放有用戶賬戶的口令信息，利用如PWDump和NTCrack等工具軟件可以破解其中的口令信息。因此SAM能被具有備份特權的人員進行復制備份對系統(tǒng)安全存在很大的隱患。2.3.3WindowsNT的安全漏洞及其防范措施

11/20/202432網(wǎng)絡安全概述防范措施：1)嚴格限制Administrator組和備份組帳戶的成員資格。加強對這些帳戶的跟蹤，尤其是Administrator帳戶的登錄(Logon)失敗和注銷(Logoff)失敗。2)為系統(tǒng)管理員和備份操作員創(chuàng)建特殊帳戶。系統(tǒng)管理員在進行特殊任務時使用這個特殊帳戶注冊，然后注銷，并限制所有具有Administrator和備份特權的帳戶只能具有User或者PowerUser組的權限，絕對不能瀏覽WEB。3)采用口令過濾器來檢測易猜測的口令，例如有PASSPROP(WindowsNTResourceKit提供)、ScanNT(一個商業(yè)口令檢測工具軟件包)。同時還要對口令進行加強，比如使用ServicePack3就可以加強WindowsNT的口令，一個加強的口令必須包含大小寫字母、數(shù)字以及特殊字符。2.3.3WindowsNT的安全漏洞及其防范措施

11/20/202433網(wǎng)絡安全概述2.緊急修復盤產(chǎn)生的安全漏洞每次緊急修復盤(EmergencyRepairDisk-ERD)在更新時，整個SAM數(shù)據(jù)庫被復制到%system%\repair\sam._分支中，在默認的權限設置下，每個人對該文件都具有讀權限。這時黑客可以利用SAM數(shù)據(jù)庫的這個拷貝，通過某些工具（如PWDump和WindowsNTcrack）來破解口令。除非在每次緊急修復盤后，確保該文件對所有人不可讀。防范措施：確保%system%\repair\sam._在每次ERD更新后，嚴格控制對該文件的讀權利，使任何用戶或者組都沒有該權利，如果需要更新該文件，可暫時改nistrator的權利，當更新完成后立即把權限設置成不可訪問。11/20/202434網(wǎng)絡安全概述3.SAM數(shù)據(jù)庫和其他WindowsNT服務器文件可能被WindowsNT的SMB所讀取。SMB是指服務器消息塊(ServerMessageBlock)，是Microsoft早期LAN產(chǎn)品的一種繼承協(xié)議，SMB有很多尚未公開的“后門”，可以不用授權就能存取SAM和WindowsNT服務器上的其他文件。SMB協(xié)議允許遠程訪問共享目錄、Registry數(shù)據(jù)庫以及其他一些系統(tǒng)服務。而且進行這些訪問時不需要Administrator訪問權或者交互式訪問權。另外，SMB在驗證用戶身份時，使用的是一種簡易的加密方法來發(fā)送申請包，因此它的文件傳輸授權機制很容易被擊潰。防范措施：在防火墻上，截止從端口135到142的所有TCP和UDP連接，這樣有利于進行對安全漏洞的控制，其中包括對基于RPC工作端口135的安全漏洞的控制。最安全的方法是利用代理(Proxy)來限制或者完全拒絕網(wǎng)絡上基于SMB的連接，但是，限制SMB連接就可能造成對系統(tǒng)功能的限制。11/20/202435網(wǎng)絡安全概述3.SAM數(shù)據(jù)庫和其他WindowsNT服務器文件可能被WindowsNT的SMB所讀取。SMB是指服務器消息塊(ServerMessageBlock)，是Microsoft早期LAN產(chǎn)品的一種繼承協(xié)議，SMB有很多尚未公開的“后門”，可以不用授權就能存取SAM和WindowsNT服務器上的其他文件。SMB協(xié)議允許遠程訪問共享目錄、Registry數(shù)據(jù)庫以及其他一些系統(tǒng)服務。而且進行這些訪問時不需要Administrator訪問權或者交互式訪問權。另外，SMB在驗證用戶身份時，使用的是一種簡易的加密方法來發(fā)送申請包，因此它的文件傳輸授權機制很容易被擊潰。防范措施：在防火墻上，截止從端口135到142的所有TCP和UDP連接，這樣有利于進行對安全漏洞的控制，其中包括對基于RPC工作端口135的安全漏洞的控制。最安全的方法是利用代理(Proxy)來限制或者完全拒絕網(wǎng)絡上基于SMB的連接，但是，限制SMB連接就可能造成對系統(tǒng)功能的限制。11/20/202436網(wǎng)絡安全概述4.被無限制的嘗試連接由于沒有定義嘗試注冊的失敗次數(shù)，導致可以無限制地嘗試連接系統(tǒng)管理的共享資源。這樣的系統(tǒng)設置相當危險，它無異于授權給黑客們進行連接不斷的連接嘗試。防范措施：限制遠程管理員訪問WindowsNT平臺。5.最近登陸的用戶名顯示問題WindowsNT在注冊對話框中顯示最近一次注冊的用戶名是默認設置。這個特征無疑給黑客提供了信息，是潛在的風險。防范措施：在域控制器上修改，修改注冊表中Winlogon的設置，關閉該功能。11/20/202437網(wǎng)絡安全概述UNIX的安全等級UNIX的安全性UNIX系統(tǒng)的安全漏洞2.4Unix系統(tǒng)的安全11/20/202438網(wǎng)絡安全概述UNIX系統(tǒng)是一個非常流行的多任務、多用戶操作系統(tǒng)，其結構簡單、功能強大、可移植性好、兼容性強和豐富的用戶界面等的特點，所以應用非常廣泛。尤其是其突出的網(wǎng)絡通信能力和開放性，使其在網(wǎng)絡上應用非常廣泛。雖然UNIX系統(tǒng)的安全性得到用戶公認，但UNIX系統(tǒng)也存在一些安全漏洞。2.4Unix系統(tǒng)的安全11/20/202439網(wǎng)絡安全概述1．用戶帳號安全用戶號和用戶組號是Unix系統(tǒng)唯一地標識用戶和同組用戶及用戶的訪問權限。當用戶從控制臺登錄到系統(tǒng)上時，系統(tǒng)會提示用戶輸入使用帳號和密碼。為了安全起見，用戶輸入的密碼不提示在屏幕上。用戶輸入密碼后，系統(tǒng)根據(jù)用戶提供的信息核實是否為非法用戶，如是合法用戶，則系統(tǒng)允許用戶登錄，否則顯示登錄失敗。2.4Unix系統(tǒng)的安全11/20/202440網(wǎng)絡安全概述2．口令安全

登錄UNIX系統(tǒng)的用戶，需要輸入口令。口令是以加密形式存放在/etc/passwd文件中。為了防止普通用戶訪問passwd文件，減少攻擊者竊取加密口令信息的機會，超級用戶可以創(chuàng)建映像口令文件/etc/shadow。它使得用戶可以把口令放在一個只有超級用戶才能訪問到的地方，從而避免系統(tǒng)中的所有用戶都可以訪問到這些信息。

2.4Unix系統(tǒng)的安全11/20/202441網(wǎng)絡安全概述3．文件系統(tǒng)安全在Unix系統(tǒng)中，Unix系統(tǒng)管理員可用chmod命令修改自己擁有的文件和目錄的訪問權限，用chown命令改變文件屬主，用chgrp命令改變文件所屬小組。還可以通過umask命令建立文件創(chuàng)建時自動設置默認權限。

2.4Unix系統(tǒng)的安全11/20/202442網(wǎng)絡安全概述4．文件加密Unix用戶可以使用crypt命令加密文件，用戶選擇一個密鑰加密文件，再次使用此命令，用同一密鑰作用于加密后的文件，就可恢復文件內(nèi)容。一般來說，在加密文件前先用pack或compress命令對文件進行壓縮后再加密。常用的加密命令有：gzip，zip，bzip2和compress。2.4Unix系統(tǒng)的安全11/20/202443網(wǎng)絡安全概述5．Unix日志文件在Unix系統(tǒng)中，比較重要的日志文件有記錄每個用戶最后登錄的時間（包括成功的和未成功的）的/user/adm/lastlog文件，記錄當前登錄到系統(tǒng)的用戶的/etc/utmp文件，記錄用戶的登錄和注銷的/usr/adm/wtmp文件，記錄每個用戶運行的每個命令的/usr/adm/acct文件。

2.4Unix系統(tǒng)的安全11/20/202444網(wǎng)絡安全概述1.口令由于UNIX允許用戶不設置口令，因而非法用戶可通過/etc/passwd文件查出未使用口令的用戶或者即使設置了口令，用戶口令卻泄露出去了，而后盜用其名進入系統(tǒng)，讀取或破壞該用戶的文件。另外就是口令猜測程序了，入侵者不斷地輸入可能的口令嘗試，進行加密并和/etc/passwd文件中的口令密文比較，直到成功地獲得某一用戶的口令為止。2.4.3UNIX系統(tǒng)的安全漏洞11/20/202445網(wǎng)絡安全概述1.口令由于UNIX允許用戶不設置口令，因而非法用戶可通過/etc/passwd文件查出未使用口令的用戶或者即使設置了口令，用戶口令卻泄露出去了，而后盜用其名進入系統(tǒng)，讀取或破壞該用戶的文件。另外就是口令猜測程序了，入侵者不斷地輸入可能的口令嘗試，進行加密并和/etc/passwd文件中的口令密文比較，直到成功地獲得某一用戶的口令為止。2.4.3UNIX系統(tǒng)的安全漏洞11/20/202446網(wǎng)絡安全概述2．文件我們正確設置文件權限,某些設置可以增加文件的不安全因素,讓我們看幾個設置了不正確權限的文件的例子：-rwxrwxrwx1root1496Oct141990/bin/ttydrwxrwxrwx7bin2048Aug707:57etc對目錄/bin/tty任何用戶都有寫許可,這意味著誰都可以直接修改此命令或用另一文件替換此命令,這往往會造成嚴重的后果。目錄/etc對所有用戶有寫許可，則任意用戶可修改或替換該目錄下的passwd文件,如果使取消超級用戶口令，從而以特權身份侵入系統(tǒng)。從以上例子可看出,文件的寫權限往往是不安全的因素。2.4.3UNIX系統(tǒng)的安全漏洞11/20/202447網(wǎng)絡安全概述3．特洛伊木馬隱蔽的特洛伊木馬是獲得系統(tǒng)特權和用戶口令的一種有效方法。一些木馬程序偽裝成錄入程序，就可輕易竊走該用戶的口令。另外一些常見的情形是侵入者在某用戶的一個目錄下植入木馬程序,一旦該用戶在此目錄下執(zhí)行此程序,侵入者便可以獲取該用戶權限,進而破壞用戶文件,如偽裝的pwd命令,ls命令和su命令等。2.4.3UNIX系統(tǒng)的安全漏洞11/20/202448網(wǎng)絡安全概述1．PAM機制

PAM是一套共享庫，其目的是提供一個框架和一套編程接口，將認證工作由程序員交給管理員處理，PAM允許管理員在多種認證方法之間作出選擇，它能夠改變本地認證方法而不需要重新編譯與認證相關的應用程序。PAM的功能包括：加密口令；對用戶進行資源限制，防止DOS攻擊；允許任意Shadow口令；限制特定用戶在指定時間從指定地點登錄；2.5.1Linux安全機制11/20/202449網(wǎng)絡安全概述2．安全審計

Linux提供網(wǎng)絡、主機和用戶級的日志信息,它可以提供攻擊發(fā)生的真實證據(jù)。

2.5.1Linux安全機制11/20/202450網(wǎng)絡安全概述3．強制訪問控制強制訪問控制是一種由系統(tǒng)管理員從全系統(tǒng)的角度定義和實施的訪問控制，它通過標記系統(tǒng)中的主客體，強制性地限制信息的共享，使不同的用戶只能訪問到與其有關的、指定范圍的信息，從根本上防止信息的失泄密和訪問混亂的現(xiàn)象。

2.5.1Linux安全機制11/20/202451網(wǎng)絡安全概述4．用戶和文件配置Linux下普通文件和目錄的概念和windows是類似的，普通文件就是一些數(shù)據(jù)的集合。目錄可看成包含文件的容器。Linux下還有設備文件和鏈接文件。Linux下的用戶和組管理員可以任意創(chuàng)建?？梢孕薷挠脩艉徒M的權限。比如修改權限的命令chmod和chown只有管理員或?qū)僦鞑拍軌蚴褂谩榱吮ＷC用戶的信息不被泄露，采取shadow機制，而shadow文件只有管理員才能夠查看。2.5.1Linux安全機制11/20/202452網(wǎng)絡安全概述5．網(wǎng)絡配置網(wǎng)絡應用也是Linux提供的很重要的功能之一，對于網(wǎng)絡配置的安全應該注意以下幾點：刪除不用的服務:對于Linux系統(tǒng)，則在配置xinetd.conf以及/etc/xinetd.d時，先備份原有配置，然后去掉所有的服務，然后再根據(jù)需要添加。防止系統(tǒng)信息暴露:通過編輯修改/etc/rc.d/rc.local配置文件，避免顯示過多信息。通過編輯/etc/host.conf文件可以避免域名欺騙。TCP/IP屬性的配置:可以通過編輯/etc/rc.d/rc.local以使本地系統(tǒng)不響應遠程系統(tǒng)的ping數(shù)據(jù)包，防止類似SYNFlood拒絕服務的攻擊。2.5.1Linux安全機制11/20/202453網(wǎng)絡安全概述5．網(wǎng)絡配置網(wǎng)絡應用也是Linux提供的很重要的功能之一，對于網(wǎng)絡配置的安全應該注意以下幾點：刪除不用的服務:對于Linux系統(tǒng)，則在配置xinetd.conf以及/etc/xinetd.d時，先備份原有配置，然后去掉所有的服務，然后再根據(jù)需要添加。防止系統(tǒng)信息暴露:通過編輯修改/etc/rc.d/rc.local配置文件，避免顯示過多信息。通過編輯/etc/host.conf文件可以避免域名欺騙。TCP/IP屬性的配置:可以通過編輯/etc/rc.d/rc.local以使本地系統(tǒng)不響應遠程系統(tǒng)的ping數(shù)據(jù)包，防止類似SYNFlood拒絕服務的攻擊。2.5.1Linux安全機制11/20/202454網(wǎng)絡安全概述6．Linux安全模塊LSMLinux安全模塊（LSM）目前作為一個Linux內(nèi)核補丁的形式實現(xiàn)。其本身不提供任何具體的安全策略，而是提供了一個通用的基礎體系給安全模塊，由安全模塊來實現(xiàn)具體的安全策略。對Linux內(nèi)核進行了修改主要體現(xiàn)著以下5個方面：在特定的內(nèi)核數(shù)據(jù)結構中加入了安全域；在內(nèi)核源代碼中不同的關鍵點插入了對安全鉤子函數(shù)的調(diào)用；提供了函數(shù)允許內(nèi)核模塊注冊為安全模塊或者注銷；將capabilities邏輯的大部分移植為一個可選的安全模塊。Linux安全模塊對于普通用戶的價值在于可以提供各種安全模塊，由用戶選擇適合的模塊。2.5.1Linux安全機制11/20/202455網(wǎng)絡安全概述7．加密文件系統(tǒng)目前Linux已有多種加密文件系統(tǒng)，如CFS、TCFS、CRYPTFS等，較有代表性的是TCFS，TCFS能夠做到讓保密文件對以下用戶不可讀：合法擁有者以外的用戶。用戶和遠程文件系統(tǒng)通信線路上的偷聽者。文件系統(tǒng)服務器的超級用戶。2.5.1Linux安全機制11/20/202456網(wǎng)絡安全概述

下面將以RedHatLinux操作系統(tǒng)為環(huán)境，介紹Linux安全的基本設置。1．特別的帳號在安裝了Linux系統(tǒng)之后，一定要檢查系統(tǒng)自動生成了幾個用戶，禁止所有默認的被操作系統(tǒng)本身啟動的且不需要的帳號。為了防止Linux超級用戶口令被破解，網(wǎng)管人員可以不定期的更換root用戶的登錄口令2.5.2Linux安全設置11/20/202457網(wǎng)絡安全概述

下面將以RedHatLinux操作系統(tǒng)為環(huán)境，介紹Linux安全的基本設置。1．特別的帳號在安裝了Linux系統(tǒng)之后，一定要檢查系統(tǒng)自動生成了幾個用戶，禁止所有默認的被操作系統(tǒng)本身啟動的且不需要的帳號。為了防止Linux超級用戶口令被破解，網(wǎng)管人員可以不定期的更換root用戶的登錄口令2.5.2Linux安全設置11/20/202458網(wǎng)絡安全概述

3．使用sudo

sudo是一種以限制在配置文件中的命令為基礎，在有限時間內(nèi)給用戶使用并且記錄到日志中的工具。4．關閉一些服務關閉不必要使用的服務進程以減少漏洞。如同Windows

XP和Windows

2003操作系統(tǒng)一樣，Linux系統(tǒng)同樣存在一些有安全隱患的服務。這些有安全隱患的服務，有可能會成為黑客攻擊的對象，或者是病毒入侵的通道，為此，要想保障系統(tǒng)的安全，一定要關閉一些無用的服務。2.5.2Linux安全設置11/20/202459網(wǎng)絡安全概述

5．使用SSH

為了防止被嗅探器捕捉敏感信息，使用SSH是最好的選擇。6.加強系統(tǒng)日志管理

Linux的一個出色功能就是可以定制日志生成。默認情況下，Linux系統(tǒng)提供了完善的日志管理。通過系統(tǒng)日志，網(wǎng)管可以查看到登錄到系統(tǒng)的所有情況。通過對系統(tǒng)日志的管理，網(wǎng)管可以詳細掌握系統(tǒng)的每一個行為，有助于檢查系統(tǒng)的安全情況。2.5.2Linux安全設置11/20/202460網(wǎng)絡安全概述

1．完善的用戶管理功能

WindowsXP采用Windows2000/NT的內(nèi)核，在用戶管理上非常安全。增加的用戶都可以在登錄的時候看到，使用NTFS文件系統(tǒng)可以通過設置文件夾的安全選項來限制用戶對文件夾的訪問，如某普通用戶訪問另一個用戶的文檔時會提出警告。你還可以對某個文件(或者文件夾)啟用審核功能，將用戶對該文件(或者文件夾)的訪問情況記錄到安全日志文件里去，進一步加強對文件操作的監(jiān)督。2.6WindowsXP系統(tǒng)安全2.6.1WindowsXP安全性11/20/202461網(wǎng)絡安全概述

2．透明的軟件限制策略WindowsXP中，使用軟件限制策略隔離不可靠的、潛在的對用戶數(shù)據(jù)有危害的代碼，保護你的計算機免受各種通過網(wǎng)頁傳播的病毒、木馬程序和蠕蟲等的危害，保證了數(shù)據(jù)的安全。2.6WindowsXP系統(tǒng)安全2.6.1WindowsXP安全性11/20/202462網(wǎng)絡安全概述

3．支持NTFS文件系統(tǒng)以及加密文件系統(tǒng)WindowsXP里的加密文件系統(tǒng)(EFS)基于公眾密鑰，并利用CryptoAPI

結構默認的EFS設置，EFS還可以使用擴展的DataEncryptionStandard(DESX)和Triple-DES(3DES)作為加密算法。用戶可以輕松地加密文件。加密時，EFS自動生成一個加密密鑰。當你加密一個文件夾時，文件夾內(nèi)的所有文件和子文件夾都被自動加密了，你的數(shù)據(jù)就會更加安全。2.6WindowsXP系統(tǒng)安全2.6.1WindowsXP安全性11/20/202463網(wǎng)絡安全概述

4．安全的網(wǎng)絡訪問特性新的特性主要表現(xiàn)在以下幾個方面：①補丁自動更新，為用戶減負,②系統(tǒng)自帶Internet防火墻，支持LAN、VPN、撥號連接等。支持“自定義設置”以及“日志察看”，為系統(tǒng)的安全筑起了一道“黑客防線”。③關閉“后門”，在WindowsXP中這些端口如137、138、139等端口是關閉的。除了WindowsXP安全的優(yōu)越性之外，隨著使用時間的增加，逐漸暴露了一些漏洞。1）UPnP（UniversalPlugandPlay）服務導致的幾個漏洞：①NOTIFY緩沖區(qū)溢出：②產(chǎn)生DoS、DDoS

攻擊

2）遠程桌面明文賬戶名傳送漏洞

3）快速賬號切換功能造成賬號鎖定漏洞2.6WindowsXP系統(tǒng)安全2.6.1WindowsXP安全性11/20/202464網(wǎng)絡安全概述

4．安全的網(wǎng)絡訪問特性新的特性主要表現(xiàn)在以下幾個方面：①補丁自動更新，為用戶減負,②系統(tǒng)自帶Internet防火墻，支持LAN、VPN、撥號連接等。支持“自定義設置”以及“日志察看”，為系統(tǒng)的安全筑起了一道“黑客防線”。③關閉“后門”，在WindowsXP中這些端口如137、138、139等端口是關閉的。除了WindowsXP安全的優(yōu)越性之外，隨著使用時間的增加，逐漸暴露了一些漏洞。1）UPnP（UniversalPlugandPlay）服務導致的幾個漏洞：①NOTIFY緩沖區(qū)溢出：②產(chǎn)生DoS、DDoS

攻擊

2）遠程桌面明文賬戶名傳送漏洞

3）快速賬號切換功能造成賬號鎖定漏洞2.6WindowsXP系統(tǒng)安全2.6.1WindowsXP安全性11/20/202465網(wǎng)絡安全概述

1.及時更新系統(tǒng)WindowsUpdate作為微軟公司保護系統(tǒng)安全、提高Windows性能的重要組件，通過系統(tǒng)更新，我們不但可以獲得提升系統(tǒng)功能和性能的組件ServicePack（如目前流行的WindowsXPServicePack2），同時也可以獲得最新安全漏洞的補丁，也可以獲得最新的硬件驅(qū)動。2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202466網(wǎng)絡安全概述

2.屏蔽不需要的服務組件盡管服務組件安裝得越多，用戶可以享受的服務功能也就越多。但是用戶平時使用到的服務組件畢竟還是有限，為此我們應該盡量把那些暫不需要的服務組件屏蔽掉，減少黑客的攻擊。具體的操作步驟為：首先在控制面板中找到“服務和應用程序”圖標，然后再打開“服務”對話框，在該對話框中選中需要屏蔽的程序，并單擊鼠標右鍵，從彈出的快捷菜單中依次選擇“屬性”/“停止”命令，同時將“啟動類型”設置為“手動”或“已禁用”，這樣就可以對指定的服務組件進行屏蔽了。如圖2-1所示。

2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202467網(wǎng)絡安全概述

3.加密文件和文件夾為保護存儲在電腦中的文件信息，WindowsXP為我們普通用戶提供了“文件和文件夾加密”功能，利用該功能我們可以對存儲在電腦中的重要信息進行加密，這樣其他用戶就無法偷看文件或者文件夾中的內(nèi)容。具體操作步驟為：我們首先打開WindowsXP的資源管理器，然后在資源管理器操作窗口中找到需要進行加密的文件或者文件夾，然后用鼠標右鍵單擊選中的文件或文件夾，從彈出的快捷菜單中選擇“屬性”命令，隨后WindowsXP會彈出文件加密對話框，單擊對話框中的“常規(guī)”標簽，然后再依次選擇“高級/加密內(nèi)容”以便保護數(shù)據(jù)就可以了。2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202468網(wǎng)絡安全概述

4.鎖定您的計算機我們經(jīng)常有使用電腦的過程中因有急事需要短暫離開的時候，可以通過雙擊桌面快捷方式來迅速鎖定鍵盤和顯示器，具體步驟如下：用鼠標右鍵單擊WindowsXP的桌面，然后在右鍵菜單中依次選擇"新建"/"快捷方式"，隨后按照屏幕提示，在命令行的文本框中輸入"rundll32.exeuser32.dll,LockWorkStation"命令字符，再在隨后的向?qū)Т翱谥休斎雽摽旖莘绞降木唧w名稱，如“鎖定計算機”單擊“完成”就可以了。以后您只要雙擊桌面上的“鎖定計算機”，就可以達到鎖定的目的了。2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202469網(wǎng)絡安全概述

5.設置windows防火墻功能WindowsXP就加入了“Internet連接防火墻”功能，利用該功能，WindowsXP能對出入系統(tǒng)的所有信息進行動態(tài)數(shù)據(jù)包篩選，最大限度地阻止網(wǎng)絡中的黑客來訪問自己的網(wǎng)絡，防止他們隨意更改、移動甚至刪除網(wǎng)絡上的重要信息。具體操作步驟如下：依次單擊開始菜單中的“設置”/“網(wǎng)絡連接”菜單項，然后從彈出的窗口中選擇需要上網(wǎng)的連接，然后用鼠標右鍵單擊該連接圖標，并選擇“屬性”命令，在隨后彈出的屬性窗口中再單擊“高級”標簽，在對應標簽的頁面中選中“Windows連接防火墻”選項，然后再單擊對應防火墻的“設置”按鈕就可以了。如圖2-3所示。

2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202470網(wǎng)絡安全概述

6.設置應用程序使用權限安裝在WindowsXP操作系統(tǒng)中的許多程序，都要求用戶具有一定的管理權限才能讓用戶使用程序，因此為了能夠使用好程序，我們有時需要為自己臨時分配一個訪問程序的管理權限。操作步驟如下：我們以普通用戶身份登錄到WindowsXP的系統(tǒng)中，選中要設置使用權限的應用程序安裝文件，然后用鼠標右鍵單擊程序安裝文件，同時按住鍵盤上的Shift鍵，從隨后出現(xiàn)的快捷菜單中點擊“運行方式”，最后在彈出的窗口中輸入具有相應管理權限的用戶名和密碼即可。設置應用程序使用權限，可以防止他人使用特定的應用程序。

2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202471網(wǎng)絡安全概述

7.關閉簡單文件共享功能系統(tǒng)中默認設置網(wǎng)絡上的用戶實現(xiàn)共享，共享文件可以隨意訪問，這也對系統(tǒng)安全造成隱患，設置步驟如下：打開“我的電腦”，在“工具”菜單中選擇“文件夾選項”，再在查看高級設置窗口中取消“使用簡單文件共享（推薦）”即可。這樣可以禁止網(wǎng)絡上的用戶實現(xiàn)文件共享。操作界面如圖2-4所示。2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202472網(wǎng)絡安全概述

8.禁用guest賬戶打開“控制面板”中的“用戶賬戶”，并且雙擊“Guest賬戶”，選中“禁用來賓帳戶”。2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202473網(wǎng)絡安全概述

9.備份和恢復數(shù)字證書1）備份數(shù)字證書單擊“開始”、“運行”執(zhí)行mmc.exe程序，顯示“控制臺1”，在“文件”菜單中選擇“添加刪除管理單元”，選則“添加”，在彈出的“添加獨立管理單元”窗口中，雙擊“證書”，在彈出的“證書管理單元”窗口中選擇“我的用戶帳戶”，單擊“完成”，關閉“添加獨立管理單元”窗口。在“添加/刪除管理單元”窗口中，單擊“確定”，按鈕，返回到“控制臺根節(jié)點”對話框，選擇“受信任的根證書頒發(fā)機構”下的“證書”，在右側(cè)窗口選擇證書，單擊右鍵，選擇“打開”，選擇“詳細信息”下的“復制到文件”，單擊“下一步”,輸入文件名(如mycer.cer)，單擊“確定”。在“控制臺”窗口中選擇“文件”菜單下的“保存”，輸入保存文件名（如mycer.msc）單擊“保存”，證書備份過程完成。相關操作界面如圖2-5，2-6所示。2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202474網(wǎng)絡安全概述

2）恢復數(shù)字證書單擊“開始”、“運行”執(zhí)行mmc.exe程序，顯示“控制臺運行程序界面”，在“文件”菜單中選擇“打開”，輸入文件名（如mycer.msc），單擊“打開”，“控制臺”根節(jié)點，選擇打開證書，選擇當前用戶，在邏輯存儲名窗口中選擇“受信任的根證書頒發(fā)機構”，單擊右鍵，選擇“所有任務”，選擇“導入”，單擊“下一步”，輸入“導入文件名（如mycer.cer），單擊“下一步”，到完成，單擊“確定”。證書恢復過程完畢。2.6WindowsXP系統(tǒng)安全2.6.2WindowsXP安全策略11/20/202475網(wǎng)絡安全概述

1.保護內(nèi)核內(nèi)核是操作系統(tǒng)的核心，也是惡意軟件和其他攻擊的主要目標。微軟開發(fā)了“內(nèi)核模式保護”來保護核心，并確保不會出現(xiàn)未獲授權的訪問。除了保護內(nèi)核，微軟在WindowsXP推出之后還做了其他一些基礎性的改善用以保護操作系統(tǒng)。地址空間層隨機化（ASLR）通過將關鍵的操作系統(tǒng)功能在內(nèi)存中進行隨機分布，可以阻止攻擊者。微軟還開發(fā)了數(shù)據(jù)執(zhí)行保護（DEP），以防止那些可能包含數(shù)據(jù)的文件或