第4章 利用NTFS实现文件系统的安全

利用NTFS实现文件系统的安全第四章本章提要•文件系统的概述•各种NTFS权限及其所有权•NTFS权限的设置方法•NTFS压缩的方法•加密文件系统的实现任何操作系统最显而易见的部分就是文件系统，大多数操作系统把可由用户命名的对象称做文件。通常操作系统都有自己独特的文件类型。WindowsServer2003使用独有的NTFS文件类型在文件系统的安全方面提供了强大的功能。本章将介绍WindowsServer2003中有关文件系统方面的内容，主要介绍文件系统的基本概念，NTFS文件系统与FAT文件系统的区别，NTFS文件系统在安全方面的特性，以及如何在WindowsServer2003中配置NTFS的权限，最后将介绍实现加密文件系统的方法。4.1文件系统的概述•所谓文件系统，是操作系统在存储设备上保存封包的数据所用的结构和机制。磁盘或分区和它所包括的文件系统是不同的，在所有的计算机系统中，都存在一个相应的文件系统，它规定了计算机对文件和文件夹进行操作处理的各种标准和机制，用户对于所有的文件和文件夹的操作都是通过文件系统来完成的。表4.1操作系统与文件系统的兼容性操作系统文件系统格式WindowsServer2003NTFS、FAT16、FAT32WindowsXPNTFS、FAT16、FAT32Windows2000NTFS、FAT16、FAT32WindowsNTNTFS、FAT16Windows98/MeFAT16、FAT32Windows95OS/2FAT16、FAT32Windows95第一版FAT16Windows3.xFAT16MS-DOSFAT164.1.1FAT文件系统•FAT（FileAllocationTable）是“文件分配表”的意思，其意义在于对硬盘分区的管理。FAT文件系统最初用于小型磁盘和简单文件结构的简单文件系统。FAT文件系统得名于它的组织方法：放置在卷起始位置的文件分配表。为了保护卷，使用了两份复制，即使损坏了一份也能确保正常工作。另外，为确保正确装卸启动系统所必须的文件，文件分配表和根文件夹必须存放在固定的位置。•如果用户的计算机上运行的是Windows95、WindowsforWorkgroups、MS-DOS、OS/2或Windows95以前的版本，那么FAT文件系统格式是最佳的选择。不过，需要注意的是，FAT文件系统最好用在较小的卷上。因为，在不考虑簇大小的情况下，使用FAT文件系统卷不能大于4GB。4.1.2FAT32文件系统•FAT32文件系统提供了比FAT文件系统更为先进的文件管理特性，例如，支持超过32GB的卷以及通过使用更小的簇来更有效率地使用磁盘空间。作为FAT文件系统的增强版本，它可以在容量从512MB到2TB的驱动器上使用。•目前，支持这种格式的操作系统有Windows95、Windows98、OS/2、Windows98SE、WindowsMe、Windows2000、WindowsXP和WindowsServer2003，RedhatLinux部分版本也对FAT32提供有限支持，然而，如果Linux安装在FAT32分区下，必须使用软盘进行引导。FAT32主要特点•（1）与FAT16相比FAT32最大的优点是可以支持的磁盘容量达到2TB（2048GB），但是不能支持小于512MB的分区。基于FAT32的WindowsServer2003可以支持分区最大为32GB；而基于FAT16的WindowsServer2003支持的分区最大为4GB。•（2）由于采用了更小的簇，FAT32文件系统可以更有效地保存信息。例如，两个分区容量都为2GB，一个分区采用了FAT16文件系统，另一个分区采用了FAT32文件系统。采用FAT16分区的簇大小为32KB，而FAT32分区的簇只有4KB，如表4.3所示。这样FAT32就比FAT16的存储效率要高很多，通常情况下可以提高15%。•（3）FAT32文件系统可以重新定位根目录和使用FAT的备份副本。另外FAT32分区的启动记录包含在一个含有关键数据的结构中，减少了计算机系统崩溃的可能性。4.1.3NTFS文件系统•WindowsServer2003推荐使用NTFS文件系统，它提供了FAT和FAT32文件系统所没有的、全面的性能，可靠性和兼容性。它支持文件系统故障恢复，尤其是大存储媒体、长文件名。NTFS文件系统的设计目标就是用来在很大的硬盘上能够很快地执行，如读/写和搜索标准文件的操作，甚至包括像文件系统恢复这样的高级操作。•NTFS是WindowsServer2003中唯一允许为单个文件指定权限的文件系统。然而，当用户从NTFS卷移动或复制文件到FAT卷时，NTFS文件系统权限和其他特有属性将会丢失。NTFS5.0的特点•（1）NTFS可以支持的分区容量可以达到2TB。如果是FAT32文件系统，支持分区的容量最大为32GB。•（2）NTFS是一个可恢复的文件系统。在NTFS分区上用户很少需要运行磁盘修复程序，NTFS通过使用标准的事物处理日志和恢复技术来保证分区的一致性。发生系统失败事件时，NTFS使用日志文件和检查点信息自动恢复文件系统的一致性。•（3）NTFS支持对分区、文件夹和文件的压缩。任何基于Windows的应用程序对NTFS分区上的压缩文件进行读/写时不需要事先由其他程序进行解压缩，当对文件进行读取时，文件将自动进行解压缩，文件关闭或保存时会自动对文件进行压缩。NTFS5.0的特点•（4）NTFS采用了更小的簇，可以更有效率地管理磁盘空间。在WindowsServer2003的FAT32文件系统的情况下，分区大小在2GB～8GB时簇的大小为4KB；分区大小在8GB～16GB时簇的大小为8KB；分区大小在16GB～32GB时，簇的大小则达到了16KB。但是，对于WindowsServer2003的NTFS文件系统，当分区的大小在2GB以下时，簇的大小都比相应的FAT32簇小；当分区的大小在2GB以上时（2GB～2TB），簇的大小都为4KB。相比之下，NTFS可以比FAT32更有效地管理磁盘空间，最大限度地避免了磁盘空间的浪费。NTFS5.0的特点•（5）在NTFS分区上，可以为共享资源、文件夹以及文件设置访问许可权限。许可的设置包括两方面的内容：一是允许哪些组或用户对文件夹、文件和共享资源进行访问；二是获得访问许可的组或用户可以进行什么级别的访问。访问许可权限的设置不但适用于本地计算机的用户，同样也应用于通过网络的共享文件夹对文件进行访问的网络用户。与FAT32文件系统下对文件夹或文件进行的访问相比，安全性要高得多。另外，在采用NTFS格式的WindowsServer2003中，用审核策略可以对文件夹、文件以及活动目录对象进行审核，审核结果记录在安全日志中，通过安全日志就可以查看组或用户对文件夹、文件或活动目录对象进行了什么级别的操作，从而发现系统可能面临的非法访问，通过采取相应的措施，将这种安全隐患降到最低。这些在FAT32文件系统下，是不能实现的。NTFS5.0的特点•（6）在WindowsServer2003的NTFS文件系统下可以进行磁盘配额管理。磁盘配额就是管理员可以为用户所能使用的磁盘空间进行配额限制，每一用户只能使用最大配额范围内的磁盘空间。设置磁盘配额后，可以对每一用户的磁盘使用情况进行跟踪和控制，通过监测可以标识出超过配额报警阈值和配额限制的用户，从而采取相应的措施。磁盘配额管理功能的提供，使得管理员可以方便合理地为用户分配存储资源，避免由于磁盘空间使用的失控造成的系统崩溃，提高了系统的安全性。•（7）NTFS使用一个“变更”日志来跟踪记录文件所发生的变更。•需要注意的是，只有在NTFS文件系统中用户才可以使用诸如“活动目录”和基于域的安全策略等重要特性。4.1.4NTFS与FAT文件系统的区别•NTFS文件系统是使用WindowsServer2003所推荐的文件系统。NTFS具有FAT文件系统的所有基本功能，并且以下将介绍FAT或FAT32文件系统所没有的优点：•（1）更为安全的文件。•（2）更好的磁盘压缩性能。•（3）支持最大达2TB的硬盘（NTFS可支持的最大磁盘容量比FAT的大得多，而且随着磁盘容量的增大，NTFS的性能不像FAT那样随之降低）。•（4）双重启动配置（在同一台计算机上可以同时安装有WindowsServer2003和其他操作系统）。4.2NTFS文件系统•4.2.1NTFS磁盘结构•1．卷•2．簇•3．主控文件表（MFT）•4．文件引用号•5．文件记录•6．文件名•7．常驻属性和非常驻属性•8．文件名索引4.2.2NTFS权限的设置•NTFS权限可以针对所有的文件、文件夹、注册表键值、打印机和动态目录对象进行权限的设置。NTFS首先出现在WindowsNT中，它代替了FAT文件系统，NTFS在这些年里出现了很多变化。Windows2000、WindowsXP和WindowsServer2003都使用的是目前的NTFS5.0。NTFS的权限•NTFS4.0和NTFS5.0之间有很多相似之处，也有很多不同。NTFS4.0许可中包括的内容有完全控制、修改、读并且执行、读和写，称之为普通权限，以下将对它们分别进行说明。•（1）完全控制：用户可以修改、增加、移动或删除文件、及其属性和目录。用户能够修改所有文件和子目录的权限设置。•（2）修改：用户可以查看并修改文件或者文件属性，包括在目录下增加或删除文件，以及修改文件属性。•（3）读并且执行：用户可以运行可执行文件，包括脚本。•（4）读：用户可以查看文件和文件属性。•（5）写：用户可以对一个文件进行写操作。NTFS的权限•在新的NTFS5.0中，微软将这些权限进行了升级，在普通权限的基础上进行了加强，称之为特殊权限，如图4.2所示，以下进行详细说明。NTFS的权限•（1）遍历文件夹/运行文件：即使没有遍历文件夹/文件权限，用户仍然可以遍历文件夹，到达其他的文件或文件夹。穿过文件夹权限仅仅针对那些没有BypassTraverseChecking用户权限的组或用户（在默认情况下，每一个组都有BypassTraverseChecking用户权限）。•（2）列出文件夹/读取数据：用户可以查看文件夹内容列表或数据文件。•（3）读取属性：用户可以查看文件或文件夹的属性，比如只读或者隐藏（NTFS定义了该属性）。•（4）读取扩展属性：用户可以查看文件或文件夹的扩展属性（由程序定义，扩展属性可能会有所不同）。•（5）创建文件/写入数据：创建文件权限允许用户在文件夹内创建文件（该权限只针对文件夹）。写数据权限允许用户修改文件，并改写现有的内容。•（6）创建文件夹/附加数据：附加数据权限允许用户在文件最后进行修改，但是不允许用户修改、删除或者改写现有的内容。NTFS的权限•（7）写入属性：用户可以修改文件或者文件夹的属性，比如只读或者是隐藏（NTFS定义该属性）。•（8）写入扩展属性：用户可以修改文件或文件夹的扩展属性。•（9）删除：用户可以删除文件或文件夹（如果用户对于某个文件或文件夹没有删除权限，但是拥有删除子文件夹和文件权限，仍然可以删除文件或文件夹）。•（10）读取权限：用户拥有该文件或文件夹的读权限，如完全控制、读或写权限。•（11）修改权限：用户可以修改该文件或文件夹的权限分配，如完全控制、读或写权限。•（12）获得所有权：用户获得对该文件或文件夹的所有权。无论当前文件或文件夹的权限分配状况如何，文件或文件夹的拥有者总是改变他的权限。•新、旧NTFS之间最大的差别是继承的许可权限和直接设置的权限之间的关系。以禁止为例，并不是禁止比其他许可权限都要优先。下面是许可权限的层级：•直接设置的禁止→直接设置的允许→继承的禁止→继承的允许NTFS权限的设置方法4.2.3NTFS权限的应用规则•1．权限的组合•如果一个用户同时在两个组或者多个组内，而各个组对同一个文件有不同的权限，那么用户对该文件有什么权限呢？简单地说，当一个用户属于多个组时，这个用户会