第七章windows

《网络安全技术》教案（第7章）《网络安全技术》教案（第7章）教学内容第7章操作系统安全技术教材章节7.1～7.3教学周次第14、15周教学课时3授课对象计算机科学与技术教学环境多媒体教室教学目标了解操作系统安全防护的基本需求；了解操作系统安全防护的一般方法；掌握Linux系统安全措施；熟练掌握Windows系统安全措施。教学内容1.操作系统安全技术概念（包括：安全需求、防护方法等）。2.操作系统安全措施（包括：初、中、高）。3.其他操作系统安全措施。教学重点1.操作系统安全防护方法。2.Windows操作系统安全防护措施。教学难点其他操作系统安全措施。教学过程本章分2次讲述，共3学时，讲授思路和过程如下：第一次：1.分析目前由于操作系统问题而引发的安全事件，分析操作系统的安全性，指出操作系统安全防护的重要性。2.介绍操作系统安全技术的概念，重点强调安全需求和防护方法。3.提出操作系统使用中的具体安全问题，组织学生讨论解决方法。4.总结并介绍操作系统安全防护的初级措施、中级措施。（演示设置过程及方法）第二次：1.通过问题引出操作系统安全防护问题。2.介绍操作系统安全防护的高级措施。（演示设置过程及方法）3.简单介绍UNIX和Linux的防护措施。作业与要求作业内容：准备实验12、13、14。要求：1.记录实验过程和结果。2.撰写并提交实验报告。备注本提交文档内容与次序与实际讲课内容与次序有不一致的地方。8.1安全配置方案初级篇第7章操作系统安全配置目前服务器常用的操作系统有四类：Unix、Linux、Nnetware、WindowsNT/2000/2003Server/XP。其中，微软公司的产品Windows占据了软件市场的半壁江山。比如Windows2000以它强大的功能、人性化的界面、超强的兼容性受到了世界上大部分用户的表睐。但是就是这样一款优秀的操作系统，却成了网络中最容易被攻击、最脆弱的一个操作系统。原因有以下几点：1.用户数量庞大微软用户的身影几乎遍布了世界的各个角落，用的人多了，研究它的人自然也多了，再加上没有十全十美的软件，自然这个系统的漏洞就容易暴露。虽然微软公司往往是在第一时间发布了漏洞的补丁，但是由于更多微软用户并不是从事计算机行业的，自然也不会有计算机网络的安全意识。导致补丁发布以后，没有人安装的现象。这也是造成网络蠕虫泛滥的根本原因。还记得那个泛滥一时并造成几十亿美元损失的“冲击波网络蠕虫”吗？它是利用系统中“PRC接口远程任意代码可执行漏洞”进行攻击并传播的。这个漏洞出现的第一时间，微软就公布了漏洞的补丁程序。可是“冲击波蠕虫”是在几个月以后才在世界范围内泛滥的。如果在几个月的时间内有人留意过微软件的安全公告，有人装上了防火墙，这个蠕虫会让人们付出如此惨痛的代价吗？2.系统的普及性和易用性Windows操作系统之所以称霸世界的另一个原因是它的易用性。一个没有学过任何计算机专业知识的人，也会在几天甚至更短的时间内掌握操作系统的基本操作方法。现在很多所谓的黑客高手基本上是拿着别人写好的漏洞攻击程序，敲几下键盘，单击几下鼠标，就能侵入Windows系统。为什么呢？因为大家都会使用该系统。而其他的系统，如Unix/Linux/Netware等，即使被人找到了漏洞，拿到了针对漏洞的攻击程序，也无法入侵这些系统。为什么呢？因为大家都不会使用它们。网上很多人说Unix/Linux系统的安全性强于Windows，个人认为这种说法是不负责任的。之所以Unix/Linux系统不容易受到攻击，是由于它普及程度不高，而且操作相对于Windows过于复杂。不要说普通用户，就是大部分的计算机专业人员很多也不会使用Unix/Linux/Netware等。3.安全意识大部分的公司和用户对网络毫无安全意识。一位公司的负责人曾经告诉过我网络安全是一门毫无用处的技术，为什么？因为它不能为公司带来直接的经济效益，况且网上这么多计算机，别人怎么会找得到我公司的计算机。正因为这种可以说是愚昧的想法，使得黑客、商业竞争对手、网络蠕虫、病毒有机可乘。等到“东窗事发”之时（企业网络瘫痪，机密文件被盗、重要数据被改）再后悔也不能挽回公司的巨大经济损失。通过上面分析，应该清楚任何操作系统都会存在漏洞，这一点必须要了解，只有了解这一点，才能有意识的采取相应的措施，使操作系统更加安全。操作系统的安全将决定网络的安全，从保护级别上分成安全初级篇、中级篇、高级篇，共66条基本配置原则。这一章我们将从这三个方面来介绍如何思考？如何配置？《网络安全技术》教案（第7章）8.1安全配置方案初级篇安全配置方案初级篇主要介绍常规的操作系统安全配置，包括十二条基本配置原则：•物理安全、停止Guest帐号、限制用户数量•创建多个管理员帐号、管理员帐号改名•陷阱帐号、更改默认权限、设置安全密码•屏幕保护密码、使用NTFS分区•运行防毒软件和确保备份盘安全。8.1.1物理安全服务器应该安放在安装了监视器的隔离房间内，并且监视器要保留15天以上的摄像记录。机箱，键盘，电脑桌抽屉要上锁，以确保旁人即使进入房间也无法使用电脑。钥匙要放在安全的地方。8.1.2停止guest帐户要进入计算机，首先要知道：第一，开机密码；第二用户登录密码，如Guest、adminstrator等都是系统内置的用户名，很容易了解到。系统级用户应该是具有最高权限的用户，一般adminstrator具有此权限。Guest供来宾访问计算机或访问域的内置帐户。是系统自动创建的。通常没有设置密码。这样任何一个来访者都可以以这个用户身份进入计算机系统。因此，应在计算机管理的用户里面把Guest帐号停用，任何时候都不允许Guest帐号登录系统。为保险起见，最好给Guest加一个复杂的密码，可以打开记事本，在里面输入一串包含特殊字符、数字、字母的长字符串，用它作为Guest帐号的密码。并且修改Guest帐号的属性，设置拒绝远程访问。（有录像）8.1.3限制用户数量帐户很多是黑客们入侵系统的突破口，系统的帐户越多，黑客们得到合法用户的权限可能性一般也就越大。对于WindowsNT/2000主机，如果系统帐户超过10个，一般能找出一两个弱口令帐户，所以帐户数量不要大于10个。去掉所有的测试帐户、共享帐号和普通部门帐号等等，用户组策略设置相应权限，并且经常检查系统的帐户，删除已经不使用的帐户。8.1.4多个管理帐号虽然这点看上去和上面有些矛盾，但事实上是服从上面规则的。创建一个一般用户权限帐号用来处理电子邮件以及处理一些日常事物，另一个拥有Administrator权限的帐户只在需要的时候使用。因为只要登录系统以后，密码就存储再WinLogon进程中，当有其他用户入侵计算机的时候就可以得到登录用户的密码，尽量减少Administrator登录的次数和时间也是保护系统的方法之一。8.1安全配置方案初级篇8.1.5管理员帐号改名Windows2000中的Administrator帐号是不能被停用的，这意味着别人可以一遍又一边的尝试这个帐户的密码。把Administrator帐户改名可以有效的防止这一点。不要使用Admin之类的名字，改了等于没改，尽量把它伪装成普通用户，比如改成：guestone。具体操作的时候只要选中帐户名改名就可以了。8.1.6陷阱帐号所谓的陷阱帐号是创建一个名为“Administrator”的本地帐户，把它的权限设置成最低，什么事也干不了的那种，并且加上一个超过10位的超级复杂密码。这样可以让那些企图入侵者忙上一段时间了，并且可以借此发现它们的入侵企图。可以将该用户隶属的组修改成Guests组。8.1.7安全密码好的密码对于一个网络是非常重要的，但是也是最容易被忽略的。一些网络管理员创建帐号的时候往往用公司名，计算机名，或者一些别的一猜就到的字符做用户名，然后又把这些帐户的密码设置得比较简单，比如：“welcome”、或者和用户名相同的密码等。这样的帐户应该要求用户首此登陆的时候更改成复杂的密码，还要注意经常更改密码。这里给好密码下了个定义：安全期内无法破解出来的密码就是好密码，也就是说，如果得到了密码文档，必须花43天或者更长的时间才能破解出来，密码策略是42天必须改密码。8.1.8更改默认权限共享文件的权限从“Everyone”组改成“授权用户”。“Everyone”在Windows2000中意味着任何有权进入你的网络的用户都能够获得这些共享资料。任何时候不要把共享文件的用户设置成“Everyone”组。包括打印共享，默认的属性就是“Everyone”组的，一定不要忘了改。8.1.9屏幕保护密码设置屏幕保护密码是防止内部人员破坏服务器的一个屏障。注意不要使用太复杂的屏幕保护程序，浪费系统资源，黑屏就可以了。还有一点，所有系统用户所使用的机器也最好加上屏幕保护密码。将屏幕保护的选项“密码保护”选中就可以了，并将等待时间设置为最短时间“1分钟”。还有一个办法就是锁定桌面。只能输入进入系统的密码才能进入。方法：（1）Ctrl+Alt+Delete有点麻烦（2）用鼠标•新建一个快捷方式•输入下面的内容：%windir%\system32\rundll32.exeuser32.dll,LockWorkStation•在名称里键入“锁定桌面”只要双击“锁定桌面”快捷方式就行了。《网络安全技术》教案（第7章）8.1.10NTFS分区Windows9X使用FAT分区，它没有提供对本地文件的安全保护。WindowsNT/2000的文件系统在设计时提供了对本地文件的安全保护（文件属性中增加了安全选项设置，可设置其访问控制属性）。但要使用这一功能，需要将FAT分区转换为NTFS分区。NTFS文件系统要比FAT、FAT32的文件系统安全得多。•确认分区–进入DOS–输入命令:chkntfs盘符•转换分区(将FNT分区转换为NTFS分区)–进入DOS–输入命令:convert盘符/fs:ntfs数据保密性是指确保只有那些特定的人员才能实际访问他们有权访问的数据。比如：建立文件夹，只有成功登录的用户才能打开和使用文件夹中的文件。8.1.11备份盘的安全一旦系统资料被黑客破坏，备份盘将是恢复资料的唯一途径。备份完资料后，把备份盘放在安全的地方。不能把资料备份在同一台服务器上，这样的话还不如不要备份。8.2安全配置方案中级篇安全配置方案中级篇主要介绍操作系统的安全策略配置，包括十条基本配置原则：–操作系统安全策略、关闭不必要的服务–关闭不必要的端口、开启审核策略–开启密码策略、开启帐户策略、备份敏感文件–不显示上次登陆名、禁止建立空连接和下载最新的补丁8.2.1操作系统安全策略利用Windows2000的安全配置工具来配置安全策略，微软提供了一套的基于管理控制台的安全配置和分析工具，可以配置服务器的安全策略。在管理工具中可以找到“本地安全策略”。可以配置四类安全策略：帐户策略、本地策略、公钥策略和IP安全策略。在默认的情况下，这些策略都是没有开启的。8.2.2关闭不必要的服务终端服务是在Windows2000Server产品系列中提供的一种技术，用于实现多个用户在本地计算机上管理远程服务器的工作。因为该服务使用的是338989端口，所以也被称为3389服务。Windows2000的TerminalServices（终端服务）和IIS（Internet信息服务）等都可能给系统带来安全漏洞。为了能够在远程方便的管理服务器，很多机器的终端服务都是开着的，如果开了，要确认已经正确的配置了终端服务。8.2安全配置方案中级篇有些恶意的程序也能以服务方式悄悄的运行服务器上的终端服务。要留意服务器上开启的所有服务并每天检查。Windows2000作为服务器可禁用的服务及其相关说明如课件中的表所示。8.2.3关闭不必要的端口关闭端口意味着减少功能，如果服务器安装在防火墙的后面，被入侵的机会就会少一些，但是不可以认为高枕无忧了。用端口扫描器扫描系统所开放的端口，在Winnt\system32\drivers\etc\services文件中有知名端