CISM0301操作系统与应用安全

操作系统与应用安全中国信息安全测评中心课程内容2操作系统与应用安全操作系统安全Web应用安全互联网使用安全知识体：系统及应用安全知识域：操作系统安全了解操作系统安全在网络信息系统中的重要性了解Windows系统安全使用和配置中常见策略和措施理解帐号策略、共享安全策略、Windows防火墙配置、关闭系统自动执行等策略的作用和功能3骨干网络保护网络边界保护网络和基础设施保护计算环境系统安全是信息系统纵深防御中的最后环节IATF“保护计算环境”的主要内容4系统安全重要性系统安全的核心要素硬件系统安全硬件：服务器、存储等硬件设施威胁源（故障、自然灾害等）……软件系统安全软件：操作系统、系统软件、应用软件等威胁源：兼容性、入侵、病毒等……5如何打造安全的Windows系统安全的安装安全的配置6打造安全的Windows系统-安全安装系统选择分区选择优化安装补丁及备份7系统选择正版合适的版本（以windows2003为例）WindowsServer2003标准版WindowsServer2003企业版WindowsServer数据中心版Windowsserver2003Web版单一操作系统8注意不同版本之间的差异分区选择分区设置操作系统与数据放在不同的分区建议三个分区•C盘（操作系统，适当的空间）•D盘（数据，足够大的空间）•E盘（日志及备份，尽量大的空间）文件系统使用NTFS文件系统安装前格式化为NTFS，不要安装后使用convert命令转换9Windows文件系统FAT/FAT32小磁盘和简单的目录结构设计，以簇（Clusters）为单位进行空间分配，容易导致空间浪费不具备安全特性NTFS访问控制权限管理容错性支持压缩及空间利用率高……10优化安装最小化组件安装，仅安装必要的组件IISFTPSMTPNNTP……修改默认配置Windows安装目录(例如：c:\winnt)11补丁及备份补丁ServicePackHotfix备份应急修复盘还原点12打造安全的Windows系统-安全配置账户安全配置共享安全配置系统服务配置日志安全配置本地安全策略组策略配置文件安全配置防火墙安全配置自动更新配置安全软件增强防病毒软件及更新关闭系统自动执行13账号安全配置账户策略密码策略•密码必须符合复杂性要求•密码长度最小值•密码最短使用期限•密码最长使用期限•强制密码历史•用可还原的加密来存储密码账户锁定策略•账户锁定时间•账户锁定阀值•重置账户锁定计数器14账号安全配置账户信息修改更名•管理员账户administrator改名•给管理员账户一个安全的口令•Guest账户改名，给一个安全的口令属性•关闭普通账号的终端登录权限创建审计账户创建一个新的administrator账户，属于guest组对此账户进行审计以发现口令攻击行为15共享安全配置共享安全风险IPC$的安全问题（空会话连接导致信息泄露）管理共享风险(远程文件操作)普通共享的风险（远程文件操作）16系统用户列表用户信息共享列表……空会话连接解决IPC$空会话连接系统策略本地安全策略-安全选项中的相关设置注册表[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]把RestrictAnonymous=DWORD的键值改为：1端口139445端口17通过控制面板里面的管理工具来取消共享为暂时，重启后恢复。HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters服务器：创建键值名AutoShareServer，类型DWORD（双字节）并且值为0客户端：创建键值名为AutoShareWks，类型DWORD（双字节）并且值为0关闭管理共享18系统服务安全配置关闭不必要的服务（手工、禁用）MessageTaskSchedulerRemoteRegistryWindowsTime……服务的权限控制默认服务权限-system降低部分服务的权限，特别是应用程序服务权限19关注互操作服务日志安全配置20默认提供日志系统日志应用程序日志安全日志安装相应服务后提供目录服务日志文件复制日志DNS服务器日志开启安全审核！日志安全配置日志属性日志大小上限100M日志覆盖时间30天日志保存路径修改HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog•Application应用程序日志•Security安全日志•System系统日志21本地安全策略设置用户权限分配创建文件和目录从网络访问此计算机……安全选项当登录时间完成自动注销关机清理虚拟内存页面不显示上次登陆用户名超过登录时间后强制注销用户登录时的消息标题用户登录时的消息文本使用空白密码的账号允许控制台登录……22其他本地安全策略高级安全Windows防火墙网络列表管理器策略公钥策略软件限制策略应用程序控制策略高级审核策略配置23组策略设置24软件设置Windows设置管理模板Windows组件打印机控制面板网络系统所有设置……文件安全配置设置系统文件权限（权限最小化原则）给予正常工作所需的最小权限参考相关文档或标准数据文件权限设置仅对需要访问的用户提供权限日志文件系统安全防护日志系统设置为仅对system有写权限Administrator为读权限25开启windows防火墙控制面板→安全中心→启用控制面板→windows防火墙→选择“启用”26配置Windows防火墙选择例外→根据需要配置“例外”选项只有经过允许的应用程序才能访问网络27防火墙安全配置出站规则入站规则连接安全规则监视防火墙连接安全规则安全关联28有必要考虑第三方防火墙系统补丁更新如何确保系统补丁的更新？开启系统的自动更新并安装手动设置检测系统补丁更新第三方软件更新系统补丁29开启自动更新、安装更新控制面板→安全中心→启用控制面板→自动更新→选择相应选项30安装更新从弹出的对话框选择→快速安装或自定义安装安装完成后及时重启计算机31手工查询更新开始菜单→所有程序→windowsUpdate→进入微软更新网站，手工更新32使用第三方工具修复系统漏洞33安全增强软件软件防火墙防病毒软件安全检测软件安全还原软件……外部网络34防病毒软件及更新35移动存储设备自动播放的威胁U盘插入，病毒则立刻运行36关闭系统自动执行功能37知识体：系统及应用安全知识域：Web应用安全了解常见Web应用架构及面临的安全风险了解IIS的安全配置手段和措施了解SQLServer数据库常见的安全漏洞和安全配置方法38Web应用面临的安全风险篡改挂马数据丢失拒绝服务钓鱼攻击SQL注入……39Web应用架构40Web服务器数据库数据库Web应用Web浏览器Web应用Web应用Web应用URL请求请求响应IISApache……AspPhpJspPerl……SqlserverOracleDB2mysql……如何构建安全应用环境运行环境的安全Web服务软件安全配置数据库安全管理安全脚本开发41构建安全应用环境-IIS安全设置主目录及目录安全性（目录权限）性能设置（端口、连接数等）日志安全文档和错误消息42虚拟目录默认虚拟目录带来的安全风险默认文件带来的安全风险43不需要请删除主目录及目录安全性44Web文件存放位置（不宜使用默认目录）严格控制权限1、严禁写入！2、慎用目录浏览主目录建议设置脚本源访问不允许读取允许写入不允许目录浏览建议关闭记录访问建议关闭索引资源建议关闭执行权限纯脚本性能设置45并发连接数设置带宽限制Cpu限制Web站点设置IP地址端口主机头名称连接控制日志46日志安全性日志记录内容日志的路径非系统盘足够大的空间单独的日志分区日志的访问权限System可以写入，不可读Administrator可读不可修改其他用户无权限47文档及错误消息48启用父级路径和启用默认文档；HTTP404NotFound等错误返回页面定制；构建安全应用环境-SQLServer安全管理账户安全问题扩展存储过程默认端口、通讯加密日志监控、审计备份、恢复49账户安全问题默认的SA用户为空口令50扩展存储过程SqlServer存在扩展存储过程能够对系统进行调用。xp_cmdshell(实现cmd的调用)xp_regwrite(实现注册表的调用)其他与系统交互的存储过程51默认端口SqlServer默认采用的通讯端口为1433，可以将该端口进行修改提高安全性。52通讯加密可以选择强制协议加密来保证通讯安全。53日志监控、审计经常需要查看SqlServer的运行日志打开SqlServer的审计功能54备份、恢复添加备份任务增量备份全备份做系统崩溃恢复测试（测试数据库）55知识体：系统及应用安全知识域：互联网使用安全了解互联网使用时，客户端常见的安全问题和风险，包括钓鱼、挂马、隐私泄露等了解IE浏览器的安全配置和安全使用技巧了解邮件客户端、即时通讯软件的常见安全问题和安全保护手段理解文件加密、文件彻底粉碎、PGP等软件的功能和使用技巧56互联网使用安全即时聊天网页浏览文件下载邮件、办公网络游戏网上购物57网页浏览安全问题58网页挂马恶意脚本隐私泄露网络钓鱼网页欺诈……网页挂马的技术实现59利用浏览器及系统漏洞实现利用脚本实现利用activeX控件实现网页挂马技术实现将木马伪装为页面元素利用脚本运行的漏洞伪装为缺失的组件通过脚本运行调用某些com组件在渲染页面内容的过程中利用格式溢出释放或下载木马（例如：ani格式溢出漏洞及flash9.0.115的播放漏洞）60恶意脚本61恶意脚本的实现脚本强大的交互功能可以被攻击者利用，编写具备破坏性的脚本恶意脚本类型广告（修改首页、弹出广告等）破坏（破坏系统、浏览器设置）窃取（窃取信息、放置木马）隐私泄露62随意注册大量网站要求注册访问，用户注册导致信息泄露密码找回密码找回方式（邮件、手机短信）导致用户信息泄露未来实名制导致的信息泄露风险增大网络钓鱼与网页欺诈网络钓鱼事件的发生情况2009年网络钓鱼网站举报情况63钓鱼邮件64钓鱼网站65Web浏览安全使用安全的浏览器IE安全配置良好的安全意识……66浏览器安全使用非IE浏览器FirefoxOperaChrome搜狗浏览器360浏览器……67IE安全配置——浏览级别68设置适当的浏览器安全级别以IE8为例，在安全选项中，建议勾选“该区域的安全等级”下的“该区域的允许级别”为高IE安全配置——历史记录69退出时删除历史记录以IE8为例，在常规选项中，建议勾选“退出时删除浏览历史记录”，防止信息泄漏→单击“删除”，配置删除内容，建议全选。IE安全配置——弹出窗口70避免广告和木马弹出窗口在隐私选项中，建议勾选“阻止显示大多数弹出窗口”，避免广告窗口打扰以及被感染病毒、木马的弹出窗口运行病毒程序对于经常访问的网站，可以单击“设置”，添加该网站即可不阻止该网站的弹出窗口IE安全配置——控件安全71ActiveX控制安全设置可以针对ActiveX控件的下载、使用进行控制，包括设置只能使用经过签名的、安全的ActiveX控件等功能IE安全配置——自动完成72禁用自动完成和密码记忆功能IE能自动记忆用户输入过的Web地址和表单包括表单中的用户名和口令信息，该自动完成功能存在泄密的危险。需要谨慎设置，可通过“Internet选项”