网络操作系统安全

,单击此处编辑母版标题样式,*,NETWORK SECURITY,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,计算机网络管理与安全技术,主讲人 匡芳君,2024/10/7,1,NETWORK SECURITY,课题内容：操作系统安全（一）,教学目的：掌握,WIN2003,系统服务的配置方法,掌握,WIN2003,常用进程的作用,掌握,WIN2003,注册表的结构、值类型及应用,教学方法：讲授法、任务驱动法、演示法,重 点：,WIN2003,系统服务的配置方法,难 点：,WIN2003,常用进程的作用,课堂类型：讲授课,教 具：投影仪、多媒体设备,授课班级,计应,1001,班,第,18,次,课,授课时间,5,月,25,日星期五,授课地点,2024/10/7,2,NETWORK SECURITY,导入新课,1,、防火墙的体系结构,2,、操作系统常用进程与服务,2024/10/7,3,NETWORK SECURITY,Windows 2003,Windows 2003,原名是,Windows NT 5.0，,随着多种测试版本的发行，人们开始从各个侧面加深对它的认识。全新的界面、高度集成的功能、巩固的安全性、便捷的操作，都为计算机专业人员、普通用户带来莫大的惊喜,Windows 2003,在界面、风格与功能上都具有统一性，是一种真正面向对象的操作系统，用户在操作本机的资源和远程资源时不会感到有什么不同,2024/10/7,4,NETWORK SECURITY,主要内容,操作系统安全基础,Windows 2003,安全结构,Windows 2003,文件系统安全,Windows 2003,账号安全,GPO,的编辑,活动目录安全性考察,Windows 2003,缺省值的安全性评估,Windows 2003,主机安全,2024/10/7,5,NETWORK SECURITY,8.1,操作系统安全是系统安全的基础,各种应用软件均建立在操作系统提供的系统软件平台之上，上层的应用软件要想获得运行的高可靠性和信息的完整性、保密性，必须依赖于操作系统提供的系统软件基础,。,2024/10/7,6,NETWORK SECURITY,操作系统安全级别,级别,系统的安全可信性,D,最低安全性,C1,自主存取控制,C2,较完善的自主存取控制（,DAC）、,审计,B1,强制存取控制（,MAC）,B2,良好的结构化设计、形式化安全模型,B3,全面的访问控制、可信恢复,A1,形式化认证,2024/10/7,7,NETWORK SECURITY,常见操作系统安全级别,操作系统,安全级别,SCO OpenServer,C2,OSF/1,B1,Windows NT/2003,C2,Solaris,C2,DOS,D,UnixWare 2.1/ES,B2,2024/10/7,8,NETWORK SECURITY,常见威胁类型(一,),威胁类型,示 例,自然和物理的,水灾、火灾、风暴、地震、停电,无意的,不知情的员工、不知情的顾客,故意的,攻击者、恐怖分子、工业间谍、黑客、恶意代码,2024/10/7,9,NETWORK SECURITY,常见威胁类型（二）,安全漏洞类型,示 例,物理的,门窗未锁,自然的,灭火系统失灵,硬件和软件,防病毒软件过期,媒介,电干扰,通信,未加密协议,人为,不可靠的技术支持,2024/10/7,10,NETWORK SECURITY,8.2 Windows 2003,安全结构,安全六要素,2024/10/7,11,NETWORK SECURITY,8.2.2 Windows 2003,安全组件（一）,灵活的访问控制,Windows 2003,支持,C2,级标准要求的灵活访问控制,对象重用,Windows 2003,很明确地阻止所有的应用程序不可以访问被另应用程序使用所占用资源内的信息（比如内存或磁盘）,2024/10/7,12,NETWORK SECURITY,Windows 2003,安全组件（一）,强制登录,Windows 2003,用户在能访问任何资源前必须通过登录来验证他们的身份,数据,访问,浏览,打印,服务,2024/10/7,13,NETWORK SECURITY,Windows 2003,安全组件（二）,审计,因为,Windows 2003,采用单独地机制来控制对任何资源的访问，所以这种机制可以集中地记录下所有的访问活动,控制对象的访问,Windows 2003,不允许直接访问系统里的资源，这种不许直接访问是允许访问控制的关键,2024/10/7,14,NETWORK SECURITY,8.2.4,安全的组成部分（一）,安全标识符,安全标识符（,SID,）,是统计上地唯一的数组分配给所有的用户、组、和计算机。,每次当一个新用户或组被建立的时候，它们都会接收到一个唯一的,SID,。,每当,Windows 2003,安装完毕并启动的时候，也会有一个新的,SID,分配给这台计算机。,SID,标识了用户、组和计算机的唯一性，不仅仅是在某台特定的电脑上还包括和其它计算机交互的时候。,2024/10/7,15,NETWORK SECURITY,安全的组成部分（二）,访问令牌,访问令牌是由用户的,SID,、,用户所属于组的,SID、,用户名、用户所在组的组名构成的。,访问令牌就好比用户能够访问计算机资源的“入场券”。无论何时用户企图进行访问，都要向,Windows NT,出示访问令牌。,2024/10/7,16,NETWORK SECURITY,安全的组成部分（三）,安全描述符,Windows NT,内的每个对象都有一个安全描述符作为它们属性的一部分。,安全描述符持有对象的安全设置。,安全描述符是由对象属主的,SID、,组,SID，,灵活访问控制列表以及计算机访问控制列表。,2024/10/7,17,NETWORK SECURITY,安全的组成部分（四）,访问控制列表,灵活访问控制列表里记录用户和组以及它们的相关权限，要么允许要么拒绝。,访问控制条目,每个访问控制条目（,ACE）,包含用户或组的,SID,及对对象所持有的权限。对象分配的每个权限都有一个,ACE,。,访问控制条目有二种类型：允许访问或拒绝访问。在访问控制列表里拒绝访问,ACE,优先于允许访问。,2024/10/7,18,NETWORK SECURITY,8.2.5Windows 2003,安全机制（一）,帐号安全,计算机帐户,活动目录用户帐户,2024/10/7,19,NETWORK SECURITY,Windows 2003,安全机制（二）,文件系统安全,NTFS,文件系统使用关系型数据库、事务处理以及对象技术，以提供数据安全以及文件可靠性的特性。,2024/10/7,20,NETWORK SECURITY,Windows 2003,安全机制（三）,认证,Kerberos 5,Kerberos,是一种被证明为非常安全的双向身份认证技术。,其身份认证强调了客户机对服务器的认证，而别的身份认证技术往往只解决了服务器对客户机的认证。,Kerberos,有效地防止了来自服务器端身份冒领的欺骗。,2024/10/7,21,NETWORK SECURITY,Windows 2003,安全机制（四）,NTLM,认证,Windows 2003,中仍然保留,NTLM（NT-,LanMan,）,认证，以便向后兼容。,运行,DOS、Windows 3.x、Windows 95、Windows 98、Windows NT 3.5,和,Windows NT 4.0,的客户仍然需要,LM,和,NTLM,支持。,但,LanManager,中的哈希算法有漏洞。,l0pht,已经发布用于破解,NT,系统中,SAM,文件的工具,l0phtcrack,。,Windows 2003,已支持新的更安全的认证协议,NTLM 2,。,2024/10/7,22,NETWORK SECURITY,Windows 2003,安全机制（五）,Active Directory,管理员可以浏览活动目录，对域用户、用户组和网络资源进行管理,可以通过活动目录指定局部管理员，每人以自己的安全性及许可权限进行管理分类,管理员,域用户,用户组,网络资源,2024/10/7,23,NETWORK SECURITY,8.3 Windows 2003,文件系统,安全,NTFS,权限,基于目录,基于文件,读取（,R）,显示目录名，属性，所有者及权限,显示文件数据，属性，所有者及权限,写入（,W）,添加文件和目录，改变一个属性以及显示所有者和权限,显示所有者和权限、改变文件的属性、在文件内加入数据,执行（,X）,显示属性，可进入目录中的目录，显示所有者利权限,显示文件属性、所有者和权限、如果是可执行文件可运行,删除（,D）,可删除目录,可删除文件,改变权限（,P）,改变目录的权限,改变文件的权限,取得所有权（,O）,取得目录的所有权,取得文件的所有权,2024/10/7,24,NETWORK SECURITY,NT,有关权限的标准,标准权限,基于目录,基于文件,不可访问,无,无,列出,RX,不适用,读取,RX,RX,添加,WX,不适用,添加和读取,RWS-X?,RX,更改,RWXD,RWXD,完全控制,ALL,ALL,2024/10/7,25,NETWORK SECURITY,NT,共享权限列表,权限,允许,完全控制,改变文件的权限；在,NTFS,卷上取得文件的所有权；能够完成所有有更改权限所执行的任务,更改,创建目录和添加文件；更改文件内的数据；更改文件的属性能够完成所有有更改权限所执行的任务,读取,显示目录和文件名：文件数据和属性；运行应用程序文件,不可访问,只能建立连接，不能访问目录中的内容,2024/10/7,26,NETWORK SECURITY,8.3.2,文件系统类型,Fat16,文件系统,FAT,文件系统最初用于小型磁盘和简单文件结构的简单文件系统。,标准文件分配表（,FAT），,在,计算机管理,共享文件夹,共享，在相应的共享文件夹上按右键，点停止共享即可，如图,7-19,所示。,2024/10/7,78,NETWORK SECURITY,3 禁用Dump文件,在系统崩溃和蓝屏的时候，,Dump,文件是一份很有用资料，可以帮助查找问题。然而，也能够给黑客提供一些敏感信息，比如一些应用程序的密码等,需要禁止它，打开控制面板,系统属性,高级,启动和故障恢复，把写入调试信息改成无，如图,7-20,所示。,2024/10/7,79,NETWORK SECURITY,4 文件加密系统,Windows2003,强大的加密系统能够给磁盘，文件夹，文件加上一层安全保护。这样可以防止别人把你的硬盘挂到别的机器上以读出里面的数据。,微软公司为了弥补,Windows NT 4.0,的不足，在,Windows 2003,中，提供了一种基于新一代,NTFS,：,NTFS V5,（第,5,版本）的加密文件系统（,Encrypted File System,，简称,EFS,）。,EFS,实现的是一种基于公共密钥的数据加密方式，利用了,Windows 2003,中的,CryptoAPI,结构。,2024/10/7,80,NETWORK SECURITY,5 加密Temp文件夹,一些应用程序在安装和升级的时候，会把一些东西拷贝到,Temp,文件夹，但是当程序升级完毕或关闭的时候，并不会自己清除,Temp,文件夹的内容。,所以，给,Temp,文件夹加密可以给你的文件多一层保护。,2024/10/7,81,NETWORK SECURITY,6 锁住注册表,在,Windows2003,中，只有,Administrators,和,Backup Operators,才有从网络上访问注册表的权限。当帐号的密码泄漏以后，黑客也可以在远程访问注册表，当服务器放到网络上的时候，一般需要锁定注册表。修改,Hkey_current_user,下的子键,Softw