第2章操作系统安全策略

第2章操作系统安全与策略•本章学习目标–了解操作系统的安全性。–掌握Windows2000中的用户安全和管理策略。–掌握Windows2000的文件访问权限及其策略。–掌握Windows2000中的资源审计。•本章要点内容–Windows2000中的用户安全和管理策略–Windows2000的文件访问权限及其策略–Windows2000中的资源审计•2.1操作系统安全概述•2.2Windows2000安全概述•2.3Windows2000的用户安全和管理策略•2.4NTFS文件和文件夹的存取控制•2.5使用审核资源•2.6Windows2000的安全应用2.1操作系统安全概述•2.1.1操作系统安全•2.1.2操作系统的安全机制•2.1.3操作系统的安全策略•2.1.4操作系统的漏洞和威胁1．系统安全•不允许未经核准的用户进入系统，从而可以防止他人非法使用系统的资源是系统安全管理的任务。主要采取的手段有注册和登录。–注册：指系统设置一张注册表，记录了注册用户名和口令等信息，使系统管理员能掌握进入系统的用户情况，并保证用户名在系统中的唯一性。–登录：指用户每次使用时，首先要核对用户和口令，核查用户的合法性。2．用户安全•操作系统中，用户安全管理,是为用户分配文件“访问权限”而设计。用户对文件访问权限的大小，是根据用户分类、需求和文件属性来分配的。可以对文件定义建立、删除、打开、读、写、查询和修改的访问权限。2.1.1操作系统安全3．资源安全•资源安全是通过系统管理员或授权的资源用户对资源属性的设置，来控制用户对文件、打印机等的访问。4．通信网络安全•网络中信息有存储、处理和传输三个主要操作，其中传输中受到的安全威胁最大。①用户身份验证和对等实体鉴别②访问控制③数据完整性④防抵赖⑤审计•操作系统的安全机制主要有身份鉴别机制、访问控制和授权机制和加密机制。•1．身份鉴别机制•身份鉴别机制是大多数保护机制的基础。分为内部和外部身份鉴别两种。•外部身份鉴别机制是为了验证用户登录系统的合法性，关键是口令的保密。•内部身份鉴别机制用于确保进程身份的合法性。2.1.2操作系统的安全机制•2．访问控制和授权机制•访问控制是确定谁能访问系统（鉴别用户和进程），能访问系统何种资源（访问控制）以及在何种程度上使用这些资源（授权）。–授权：即规定系统可以给哪些主体（一种能访问对象的活动实体，如人、进程或设备）访问何种客体的特权。–确定访问权限，并授权和实施：即规定以读或写，或执行，或增加，或删除的方式进行访问。•3．加密机制•加密是将信息编码成像密文一样难解形式的技术.•安全策略是安全策略是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。根据组织现实要求所制定的一组经授权使用计算机及信息资源的规则，它的目标是防止信息安全事故的影响降为最小，保证业务的持续性，保护组织的资源，防范所有的威胁。2.1.3操作系统的安全策略•制定安全策略是通常可从以下两个方面来考虑:1．物理安全策略–物理安全策略包括以下几个方面：•一是为了保护计算机系统、网络服务器、打印机等硬件实体和通信链路，以免受自然灾害、人为破坏和搭线攻击；•二是验证用户的身份和使用权限，防止用户越权操作；•三是确保计算机系统有一个良好的电磁兼容工作环境；•四是建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。2．访问控制策略–访问控制是对要访问系统的用户进行识别，并对访问权限进行必要的控制。–访问控制策略是维护计算机系统安全、保护其资源的重要手段。–访问控制的内容有入网访问控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制等。另外，还有加密策略、防火墙控制策略等。2.2Windows2000安全概述•2.2.1安全登录•2.2.2访问控制•2.2.3安全审计•2.2.4WINDOWS2000的安全策略2.2.1安全登陆1.Windows系统登录Windows要求每一个用户提供唯一的用户名和口令来登录到计算机上，这种强制性登录过程不能关闭。强制性登录和使用CTRL+ALT+DEL组合键启动登录,优势:用以确定用户身份的合法性,确定用户的身份从而确定用户对系统资源的访问权限。在强制登录期间，挂起对用户模式程序的访问，防止创建或偷窃用户帐户和口令的应用程序。入侵者可能模仿一个Windows的登录界面，然后让用户进行登录从而获得用户登录名和相应的密码，使用CTRL+ALT+DEL会造成用户程序被终止，而真正的登录程序可由CTRL+ALT+DEL启动，来阻止这种欺骗行为。允许用户具有单独的配置，包括桌面和网络连接，这些配置在用户退出时自动保存，在用户登录后自动调出。多个用户可以使用同一台机器，并且仍然具有他们自己的专用设置。成功的登录过程有4个步骤：（1）Win32的WinLogon过程给出一个对话框，要求要有一个用户名和口令，这个信息被传递给安全性账户管理程序。（2）安全性账户管理程序查询安全性账户数据库，以确定指定的用户名和口令是否属于授权的系统用户。（3）如果访问是授权的，安全性系统构造一个存取令牌，并将它传回到Win32的WinLogin过程。（4）WinLogin调用Win32子系统，为用户创建一个新的进程，传递存取令牌给子系统，Win32对新创建的过程连接此令牌。2.账户锁定为了防止有人企图强行闯入系统中，用户可以设定最大登录次数，如果用户在规定次数内未成功登录，则系统会自动被锁定，不可能再用于登录。3.Windows全性标识符（SID）在安全系统上标识一个注册用户的唯一名字，它可以用来标识一个用户或一组用户。例如：s-1-5-21-76965814-1898335404-322544488-1001SID是唯一的数值，即用于代表一个用户的SID在以后应该永远不会被另一个用户，用户用一个用户信息、时间、日期和域信息的结合体来创建。在同一台计算机上，可以创建相同的用户帐户名，而每个对应的SID是唯一。•要求在允许用户访问系统之前，输入惟一的登录标识符和密码来标识自己。安全特性有：•（1）用户帐号•（2）组•（3）Kerberos身份验证协议2.2.2访问控制•允许资源的所有者决定哪些用户可以访问资源和他们可以如何处理这些资源。所有者可以授权给某个用户或一组用户，允许他们进行各种访问。安全特性有：•1）活动目录：•2）NTFS的权限。•3）共享文件访问许可。•4）分布式文件系统。2.2.3安全审计•提供检测和记录与安全性有关的任何创建、访问或删除系统资源的事件或尝试的能力。登录标识符记录所有用户的身份，这样便于跟踪任何执行非法操作的用户。•1）审计资源的使用。•2）监控网络资源的访问行为。2.2.4WINDOWS2000的安全策略•1．Windows2000安全策略的内容•安全策略主要包括如下3个方面：本地安全策略，域安全策略，域控制器安全策略。•（1）本地组策略•使用这些对象，组策略设置可以存储在个人计算机上，无论这些计算机是否为ActiveDirectory环境或网络环境的一部分。•（2）域安全策略和域控制器安全策略•域安全策略和域控制器安全策略应用于域内，针对站点、域或组织单位设置组策略.•域安全策略与域控制器安全策略的配置内容相似。2.3WINDOWS2000的用户安全和管理策略•2.3.1用户账户和组•2.3.2WINDOWS2000系统的用户账户的管理•2.3.3Windows2000组管理与策略2.3.1用户账户和组•在网络环境中，用户帐户能用来保证系统安全，防止用户非法使用计算机资源。•用户帐号最重要的组成部分是用户名和密码。•1．用户帐户•（1）用户帐号的类型•在Windows2000中有两种用户帐户：本地用户帐户和域用户帐户。•（2）内置用户帐户•1）Administrator帐户•2）Guest帐户•2．组•组是用户帐户的集合。通过组能够极大地简化用户帐户的管理任务。2.3.2WINDOWS2000系统的用户账户的管理1．管理的基本内容•为使管理过程合理化和实现适当的安全措施，在管理用户账户时应考虑如下5个问题：•1）命名约定：确立了在网络上如何识别用户。用户帐户名称既是用户在网络上的唯一身份，又是用户登录网络或计算机系统的标识。•2）密码要求：为了保护对域或计算机资源的访问。•3）登录时间与站点限制；•4）主文件夹的位置：存储用户的文件和程序的文件夹。•5）配置文件的设置：包含用户自行设置的工作环境。•2．设置账户策略•为了增强用户账户密码的安全性和有效性，Windows2000将账户密码的设置作为安全策略之一提供给管理员。•帐户策略设置的对象是系统上的所有帐户。•设置的方法是使用组策略编辑器中的账户策略设置功能，账户策略包括–账户的密码策略：密码最长存留期（密码的有效期限）、密码最短存留期（不允许用户频繁更换密码）、最小密码长度、强制密码历史（避免用户在短时间内重复使用相同的密码）、复杂性要求、用户必须登录以更改密码。–账户的锁定策略：用来设置用户注册失败时的处理动作。–Kerberos策略：服务器与客户及服务器到服务器的相互身份验证方法。•（1）密码策略•密码策略中的设置是有关密码的设置，如图所示，密码策略包括下列6项限制。•1）密码最长存留期:设置用户密码的有效期限•2）密码最短存留期：密码最短存留期限制不允许用户频繁更换密码，默认设置0表示用户可以任何时候更换密码。•3）最小密码长度：这是设置用户所使用的密码的最小长度。4）强制密码历史：该项设置的目的是为了避免用户在短时间内重复使用相同的密码，默认情况下系统不会记录密码历史，允许用户不断使用相同的密码。•5）密码必须符合安装的密码筛选器的复杂性要求。•6）用户必须登录以更改密码。•（2）账户锁定策略•账户锁定是用来设置用户注册失败时的处理动作。在下图中的账户锁定区中，如果选择了账户不锁定策略的话，系统将对用户的失败注册不做任何处理。为了防止他人猜中用户的密码，建议使用账户锁定功能。2.3.3Windows2000组管理与策略•1．Windows2000组的形式•从组的使用领域分为本地组、全局组和通用组三种形式。•（1）本地组：在Professional和成员服务器中使用本地组，本地组给用户访问本地计算机上的资源提供权限。•（2）全局组：全局组主要是用来组织用户，也就是将多个网络访问权类似的用户账户加人到同一个全局组内。•（3）通用组：主要用于指定对多个域中相关资源的访问权限。•2．Windows2000组的规划•建立组应按照下面准则进行：•1）根据用户的公共需求，逻辑上将用户组织起来；•2）在用户账户驻留的每个域中，为每个用户的逻辑组建立一个全局组，然后将适当的用户账户添加到适当的全局组中；•3）资源访问需求为依据建立本地组；•4）为本地组分配适当的权限；•5）将全局组添加到本地组中。•6）作出组账户的规划表。将组的信息列表，建立组账户规划表，既便于清楚组及其关系，又有利于检查和审计组账户的内容。2.4NTFS文件和文件夹的存取控制•2.4.1Windows2000中的NTFS权限•4.4.2在NTFS下用户的有效权限•4.4.3NTFS权限的规划•2.4.4共享文件和文件夹的存取控制2.4.1Windows2000中的NTFS权限•NTFS（NewTechnologyFileSystetm新技术文件系统）是微软专为WindowsNT操作环境所设计的文件系统，并且广泛应用在WindowsNT操作环境环境所设计的文件系统，并且广泛应用在WindowsNT的后续版本Windows2000与WindowsXP中。与Windows系统过去使用的FAT/FAT32格式的文件系统相比，NTFS具有如下优势。•1）长文件名支持•2）对文件目录的安全控制。•3）先进的容错能力。•4）不易受到病毒和系统崩溃的侵袭。.•（1）NTFS文件权限的类型•NTFS文件权限共有5种类型:–读取–写入–读取及运行–修改–完全控制•