CISP0205操作系统安全_v30

操作系统安全培训机构名称讲师名称版本：3.0发布日期：2014-12-1生效日期：2015-1-1课程内容2操作系统与数据库安全知识体知识域操作系统安全知识子域Windows系统安全机制操作系统安全概述Linux系统安全机制安全操作系统数据库安全知识域：操作系统安全知识子域：操作系统安全概念了解操作系统的作用与功能了解操作系统的主要安全设计机制理解操作系统的安全配置要点3操作系统的功能用户与计算机硬件之间的接口操作系统为用户提供了虚拟计算机，把硬件的复杂性与用户隔离计算机系统的资源管理者CPU管理存储管理设备管理文件管理网络与通信管理用户接口4硬件：CPU、内存、硬盘、网络硬件等内核系统调用接口用户进程操作系统安全目标操作系统安全目标标识系统中的用户和进行身份鉴别依据系统安全策略对用户的操作进行访问控制，防止用户和外来入侵者对计算机资源的非法访问监督系统运行的安全性保证系统自身的安全和完整性5操作系统安全机制（一）标识与鉴别用户身份合法性鉴别操作系统登录访问控制防止对资源的非法使用限制访问主体对访问客体的访问权限DAC、MAC、RBAC最小特权管理限制、分割用户、进程对系统资源的访问权限“必不可少的”权限6操作系统安全机制（二）信道保护正常信道的保护•可信通路（TrustedPath）•安全键（SAK）7操作系统安全机制（三）安全审计对系统中有关安全的活动进行记录、检查以及审核审计一般是一个独立的过程内存存取保护进程间/系统进程内存保护段式保护、页式保护和段页式保护文件系统保护分区文件共享文件备份8知识域：操作系统安全知识子域：Windows系统安全机制理解Windows系统标识与鉴别、访问控制、用户账户控制、安全审计、文件系统的安全机制和安全策略掌握Windows系统的安全配置方法9Windows系统标识与鉴别-安全主体安全主体类型用户帐户•本地用户•域用户组帐户•everyone组•network组计算机服务10Windows系统标识与鉴别-安全标识安全标识符（SecurityIdentifier，SID）安全主体的代表（标识用户、组和计算机账户的唯一编码）范例：S-1-5-21-1736401710-1141508419-1540318053-100011Windows系统标识与鉴别-用户鉴别12账户信息管理机制登录验证本地登录验证远程登录验证Windows用户身份鉴别帐号信息存储（SAM:安全账号管理）运行期锁定、存储格式加密仅对system帐号有权限，通过服务进行访问控制Windows用户身份鉴别：本地登录GINA（GraphicalIdentificationandAuthentication:图形化识别和验证)LSA（LocalSecurityAuthority：本地安全授权）13SAM账户信息库GINALSAWindows系统身份鉴别：远程登录远程登录鉴别协议SMB（ServerMessageBlock）:口令明文传输LM（LANManager）：口令哈希传输，强度低NTLM（NTLANManager）：提高口令散列加密强度、挑战/响应机制Kerberos：为分布网络提供单一身份验证14Windows系统访问控制-ACL访问控制列表（AccessControlList，ACL）NTFS文件系统支持权限存储流文件系统中自主访问控制灵活性高，安全性不高15Windows系统访问控制-用户账户控制用户帐户控制（UserAccountControl，UAC）完全访问令牌标准受限访问令牌16Windows文件系统安全NTFS文件系统权限控制（ACL）文件、文件夹、注册表键值、打印机等对象安全加密EFS(EFS(EncryptingFileSystem)•Windows内置，与文件系统高度集成•对windows用户透明•对称与非对称算法结合Bitlocker•对整个操作系统卷加密•解决设备物理丢失安全问题17Windows系统审计机制Windows日志系统应用程序安全设置应用程序和服务日志应用访问日志FTP访问日志IIS访问日志18Windows系统安全策略账户策略密码策略账户锁定策略本地策略审核策略用户权限分配安全选项……19Windows系统安全配置1、安全配置前置工作2、账号安全设置3、关闭自动播放4、远程访问控制5、本地安全策略6、服务运行安全设置7、使用第三方安全增强软件20Windows安全设置1-前置工作安全的安装分区设置：不要只使用一个分区系统补丁：SP+Hotfix补丁更新设置：检查更新自动下载安装或手动21Windows安全配置2-账号安全设置账号安全设置系统账号策略设置账号安全选项设置22账号安全设置-保护账号安全默认管理账户administrator更名设置“好”的口令自己容易记、别人不好猜不安全口令实例：ZAQ!@WSXzaq12wsx安全口令实例:WdSrS1Y28r!23一句话“我的生日是1月28日!”Wdsrs1y28rWdSrS1Y28r!稍作变形：单数字母大写，最后加个感叹号账号安全设置-系统账号策略密码策略：避免系统出现弱口令密码必须符合复杂性要求密码长度最小值密码最短使用期限密码最长使用期限强制密码历史用可还原的加密来存储密码24账号安全设置-账号锁定策略账号锁定策略：应对口令暴力破解账号锁定时间账号锁定阀值重置账号锁定计数器25账号权限控制-用户权限分配用户权限分配从网络访问这台计算机拒绝从网络访问这台计算机管理审核和安全日志从远程系统强制关机26账户权限控制-设置唤醒密码设置唤醒计算机时的登录密码设置屏幕保护恢复时的登录密码27Windows安全配置3-自动播放功能的威胁为方便用户而设计恶意代码借助移动存储介质传播的方式28Windows安全配置-关闭自动播放关闭自动播放功能可以有效阻断U盘病毒的传播路径29Windows全配置4-远程访问控制网络访问控制共享安全防护30网络访问控制-防火墙设置确保启用Windows自带防火墙31网络访问控制-防火墙高级配置出站规则入站规则连接安全规则监视防火墙连接安全规则安全关联32共享安全防护-共享安全风险IPC$的安全问题（空会话连接导致信息泄露）管理共享风险(远程文件操作)普通共享的风险（远程文件操作）33系统用户列表用户信息共享列表……空会话连接共享安全防护-关闭管理共享空会话连接控制本地安全策略设置中对匿名访问的限制关闭管理共享：修改注册表HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters34Windows安全设置5-本地安全策略审核策略用户权限分配安全选项……35本地安全策略-安全选项管理工具→本地安全策略→安全设置→本地策略→安全选项交互式登录：无须按Ctrl+Alt+Del，设置为已禁用交互式登录：不显示最后的用户名，设置为已启用设备：将CD-ROM的访问权限仅限于本地登录的用户，设置为已启用36本地安全策略-安全选项管理工具→本地安全策略→安全设置→本地策略→安全选项网络访问：不允许SAM账号的匿名枚举，设置为已启用网络访问：可匿名访问的共享，删除策略设置里的值网络访问：可匿名访问的命名管道，删除策略设置里的值网络访问：可远程访问的注册表路径，删除策略设置里的值37Windows安全配置6-服务运行安全Windows服务（windowsservice)Windows服务程序是一个长时间运行的可执行程序，不需要用户的交互，也不需要用户登录38服务运行安全设置-关闭不必要的服务关闭不需要的服务计划任务远程操作注册表……控制服务权限System(本地系统)LocalServiceNetworkService39Windows安全配置7-第三方安全软件防病毒软件安全防护软件40安装防病毒软件安装病毒防护软件恶意代码是终端安全的最大威胁确保病毒防护软件病毒库更新病毒防护软件主要工作机制：特征码扫描开启云查杀41系统安全防护软件系统安全保护软件影子系统主机入侵检测42知识域：操作系统安全43知识子域：Linux系统安全机制理解Linux系统标识与鉴别、访问控制、安全审计、文件系统、特权管理的安全机制掌握Linux系统的安全配置方法Linux系统标识与鉴别-安全主体安全主体用户：身份标识（UserID）组：身份标识（GroupID）用户与组基本概念文件必须有所有者用户必须属于某个或多个组用户与组的关系灵活（一对多、多对多等都可以）根用户拥有所有权限44Linux系统标识与鉴别-帐号信息存储信息存储用户信息：•/etc/passwd•/etc/shadow组信息•/etc/group•/etc/gshadow45用户信息文件-passwd用于存放用户信息（早期包括使用不可逆DES算法加密形成用户密码散列）特点文本格式全局可读存储条目格式name:coded-passwd:UID:GID:userinfo:homedirectory:shell条目例子demo:x:523:100:J.demo:/home/demo:/bin/sh46用户名早期：密码散列X:代替密码散列*:账号不可交互登录用户ID用户所属组ID用户信息用户目录用户登录后使用的shell用户帐号影子文件-shadow用于存放用户密码散列、密码管理信息等特点文本格式仅对root可读可写存储条目格式name:passwd:lastchg:min:max:warn:inactive:expire:flag条目例子#root:$1$acQMceF9:13402:0:99999:7:::47用户登录名及加密的用户口令上次修改口令日期口令两次修改最小天数及最大天数口令失效前多少天向用户警告被禁止登录前还有效天数帐号被禁止登录时间保留域Linux系统身份鉴别口令鉴别本地登录远程登录（telnet、FTP等）主机信任（基于证书）PAM（PluggableAuthenticationModules,可插拔验证模块）48……PAMAPI……logintelnetSSHLinuxKerberosS/keyPAMSPILinux系统访问控制-权限模式文件/目录权限基本概念权限类型：读、写、执行权限表示方式：模式位drwxr-xr-x3rootroot1024Sep1311:58test49文件类型：d为文件夹-是文件文件拥有者的权限（U）文件拥有者所在组其他用户的权限（G）系统中其他用户权限（O）链接数文件拥有者UID文件拥有者GID文件大小最后修改时间文件名Linux系统访问控制-权限模式权限的数字表示法权限的特殊属性SUID、SGID、Sticky（防删除）50-r-s--x--x1rootroot10704Apr152002/usr/bin/passwd^SUID程序Linux系统安全审计-日志系统系统日志类型连接时间日志•/var/log/wtmp和/var/run/utmp•由多个程序执行，记录用户登录时间进程统计•由系统内核执行，为系统基本服务提供命令使用统计错误日志•/var/og/messages•由syslogd守护记录，制定注意的事项应用程序日志应用程序如（HTTP、FTP）等创建的日志51Linux文件系统文件系统类型日志文件系统：Ext4、Ext3、Ext2、ReiserFS、XFS、JFS等文件系统安全访问权限文件系统加密•eCryptfs（EnterpriseCryptographicFi