操作系统安全

操作系统安全第一章安全法则概述：基本概念NT的安全性UNIX的安全性一、基本概念：1、安全级别：低安全性：在一个安全的位置，没有保存扫描病毒敏感信息中等安全性：保存公众数据，需要被多人使设置权限，激活审核，实现账号策略用高安全性：位于高风险的位置，保存有敏感最小化操作系统的功能，最大化安全机制信息2、安全机制：具体的安全机制：环绕机制：在进程或系统之间加密数据签名机制：抗抵赖性和抗修改性填充机制：增加数据捕获的难度访问控制机制：确保授权的合法性数据统一性机制：确保数据的顺序发送广泛的安全性机制：安全标记：通过指出数据的安全性级别来限制对数据的访问信任机制：提供了敏感信息的传输途径审核：提供了监控措施安全恢复：当出现安全性事件的时候采取的一组规则3、安全管理：系统安全管理：管理计算机环境的安全性，包括定义策略，选择安全性机制，负责审核和恢复进程安全服务管理：安全机制管理：实现具体的安全技术二、NT的安全性：当一个系统刚安装好的时候，处于一个最不安全的环境1、NT的安全性组件：随机访问控制：允许对象的所有人制定别人的访问权限对象的重复使用：强制登陆：审核：通过对象来控制对资源的访问对象：将资源和相应的访问控制机制封装在一起，称之为对象，系统通过调用对象来提供应用对资源的访问，禁止对资源进行直接读取包括：文件（夹），打印机，I/O设备，视窗，线程，进程，内存安全组件：安全标识符：SID，可变长度的号码，用于在系统中唯一标示对象，在对象创建时由系统分配，包括域的SID和RID。创建时根据计算机明、系统时间、进程所消耗CPU的时间进行创建。S-1-5-domain-500AdministratorAuseraccountforthesystemadministrator.Thisaccountisthefirstaccountcreatedduringoperatingsysteminstallation.Theaccountcannotbedeletedorlockedout.ItisamemberoftheAdministratorsgroupandcannotberemovedfromthatgroup.S-1-5-domain-501GuestAuseraccountforpeoplewhodonothaveindividualaccounts.Thisuseraccountdoesnotrequireapassword.Bydefault,theGuestaccountisdisabled.S-1-5-32-544AdministratorsAbuilt-ingroup.Aftertheinitialinstallationoftheoperatingsystem,theonlymemberofthegroupistheAdministratoraccount.Whenacomputerjoinsadomain,theDomainAdminsgroupisaddedtotheAdministratorsgroup.Whenaserverbecomesadomaincontroller,theEnterpriseAdminsgroupalsoisaddedtotheAdministratorsgroup.TheAdministratorsgrouphasbuilt-incapabiltiesthatgiveitsmembersfullcontroloverthesystem.Thegroupisthedefaultownerofanyobjectthatiscreatedbyamemberofthegroup.S-1-5-32-545UsersAbuilt-ingroup.Aftertheinitialinstallationoftheoperatingsystem,theonlymemberistheAuthenticatedUsersgroup.Whenacomputerjoinsadomain,theDomainUsersgroupisaddedtotheUsersgrouponthecomputer.Userscanperformtaskssuchasrunningapplications,usinglocalandnetworkprinters,shuttingdownthecomputer,andlockingthecomputer.Userscaninstallapplicationsthatonlytheyareallowedtouseiftheinstallationprogramoftheapplicationsupportsper-userinstallation.实验：察看用户的SID访问控制令牌：包含创建：仅在用户登录的时候，刷新作用：访问资源的凭证安全描述符：每一个对象都具有，包括对象的SID，组的SID，随机访问控制列表和系统访问控制列表访问控制列表：进行访问控制和审核的方式，由一系列ACE构成DACL：控制资源的访问类型和深度SACL：控制对资源的审核ACLACE：表示一个用户对此资源的访问权限，拒绝优先于允许访问过程：安全子系统：Figure6.1WindowsNTSecurityComponents重要组件：LSASAM：存储用户密码Netlogon：在验证的双方之间建立安全通道三、UNIX安全性：1、病毒攻击：2、缓存区溢出：crond,wu-ftp,sendmail3、/etc/passwd和/etc/shadow文件的安全4、non-rootuseraccesstosensitivecommands:poweroff,reboot,haltPluggableauthenticationmodules:PAMs,createadditionalauthenticationparameterswithoutaffectingexistingauthenticationsystemsPAMdirectory:/etc/pam.d/determinewhatmustoccurbeforeausercanloggedin/etc/security/setlimitsconcerningusersanddaemonsoncetheyhaveloggedontothesystem/lib/security/theactuallocationofthePAMmodulesPAMentryformat:ModuletypeflagspathargsModuletype:determineauthenticationtypeFlags:determinemoduletypepriorityPath:determinemodulelocationinthesystemArgs:optional,customizePAMbehavior/etc/securitydirectory:access.conf:determineswhocanaccessthemachineandfromwheregroup.conf:determineswhichgroupcanlogintime.conf:setlogontimelimitslimits.conf:setlimitsbaseduponpercentageofprocessorusageornumberofprocessesausercanrunsimultaneously第二章账号安全性概述：账号安全性概述NT账号的安全性UNIX账号的安全性一、账号安全性：归根结底是保护密码的安全性1、强力密码：包含大小写，数字和特殊字符，不包含用户名和个人信息2、赋予最低的权限和及时清理无用的账号二、NT账号的安全性1、定期检查账号数据库，掌握账号的变化；同时定期察看系统的的调度任务2、使用账号策略来强化密码的安全性：在2000中账号策略必须在域的级别来进行设置密码策略账号锁定策略Kerberos策略区别：2000最多支持127位密码，NT最多14位，在存储密码时以7位为单位，所以选择密码时应为7的整数倍NT缺省不禁用管理员账户，2000可以远程禁用在设置账号锁定时，要考虑会产生拒绝服务的攻击3、激活密码复杂性需要4、重命名管理员账户5、限制管理员登录的工作站6、限制账户的登录时间7、使用SYSKEY加强对SAM的安全防护三、UNIX账号的安全性1、密码文件：/etc/passwd：everyonecanread,butonlyrootcanownitandchangeit/etc/shadow：onlyrootcanreadandwriteit2、账号策略：3、限制登录：Solaris:/etc/default/loginconsole=/dev/consoleLinux:/etc/securitylistthedevicenamewhererootcanloginLog:/etc/default/sucanincludesulog=/var/adm/sulog4、限制shell:使用rksh来限制用户所能够完成的工作限制输入输出的重定向检查路径限制更改路径限制更改环境变量5、监视账户：wtmp6、检查路径参数：Windows2000:looksincurrentdirectoryforapplicationlooksatpathstatementUnix:onlylooksatpathstatementDonotsetthecurrentdirectoryinthefirstplaceofthePATHDonotallowwritepermissionfornormalusersaboutdirectoryinPATHofroot7、使用系统级别的日志syslogd:使用/etc/syslog.conf进行配置inetd:使用-t选项激活日志功能，可以记录相应服务的运行情况第三章文件系统安全性概述：windows文件安全性Linux文件安全性一、windows文件系统安全：1、所支持的文件系统：FAT16,FAT32,NTFS4.0,NTFS5.0,CDFS2、NTFS权限：标准的权限权限单元权限的继承：ACL列表的拷贝权限的迁移：移动和拷贝磁盘的分区：系统，程序和数据注意：erveryone和authenticatedusers的区别缺省，新建的文件权限为everyonefullcontrol新添加用户的权限位readonly3、EFS:作用：利用公钥技术，对磁盘上存储的静态数据进行加密保护的措施。原理：根据用户的身份为每个用户构建一对密钥实现：恢复代理：为了防止出现由于密钥损坏造成数据不能正常解密而构建的一种补救措施。如何恢复：如何添加恢复代理：注意事项：只有被授权的用户或恢复代理才能访问加密的文件加密和压缩是相斥的对文件的重命名，移动不会影响加密属性至少需要一个恢复代理仅能对静态存储的数据进行加密，若需要网络中传输的数据提供安全性，可使用IPSec和PPTP对一个文件夹加密，则此文件夹内所有新创建的文件均会被加密若将一个加密后的文件移动一个非NTFS文件系统上，则加密属性丢失，除Backup外,所以应该分别分配备份和恢复的权利并谨慎分配恢复的权利4、磁盘限额：基于文件和文件夹的所有权来统计用户所使用的磁盘空间对于压缩状态的文件按非压缩状态统计磁盘空间的使用量基于分区水平上的剩余空间是指可供用户使用的磁盘限额内剩余空间的大小可以设置当用户超出限额时是仅仅提出警告还是拒绝提供空间可以针对所有用户也可针对个别用户设置设置限额后，对已有的用户存储不进行限额，但可对老用户添加限额管理员组的成员不受限额的影响仅管理员组的成员有权利设置限额5、共享安全性：谨对网络访问生效仅能对文件夹设置共享，不能针对文件设置缺省Administrators、ServerOperators、PowerUsersgroup有权利设置共享新建共享后，Everyonegroup是