安全機制 (2)資料_第1頁
安全機制 (2)資料_第2頁
安全機制 (2)資料_第3頁
安全機制 (2)資料_第4頁
安全機制 (2)資料_第5頁
已閱讀5頁,還剩25頁未讀, 繼續(xù)免費閱讀

下載本文檔

版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請進(jìn)行舉報或認(rèn)領(lǐng)

文檔簡介

1、2022-5-232第三章 安全機制一個操作系統(tǒng)的安全性從以下幾個方面考一個操作系統(tǒng)的安全性從以下幾個方面考慮:慮:物理上分離物理上分離時間上分離時間上分離邏輯上分離邏輯上分離密碼上分離密碼上分離2022-5-233操作系統(tǒng)安全的主要目標(biāo):操作系統(tǒng)安全的主要目標(biāo):依據(jù)系統(tǒng)安全策略對用戶的操作進(jìn)行存取控依據(jù)系統(tǒng)安全策略對用戶的操作進(jìn)行存取控制,防止用戶對計算機資源的非法存取;制,防止用戶對計算機資源的非法存?。粯?biāo)識系統(tǒng)中的用戶并進(jìn)行身份鑒別;標(biāo)識系統(tǒng)中的用戶并進(jìn)行身份鑒別;監(jiān)督系統(tǒng)運行的安全性;監(jiān)督系統(tǒng)運行的安全性;保證系統(tǒng)自身的安全性和完整性;保證系統(tǒng)自身的安全性和完整性;2022-5-234

2、操作系統(tǒng)安全的相應(yīng)機制:操作系統(tǒng)安全的相應(yīng)機制:硬件安全機制硬件安全機制標(biāo)識與鑒別標(biāo)識與鑒別存取控制存取控制最小特權(quán)管理最小特權(quán)管理可信通路可信通路安全審計安全審計2022-5-235理想的安全操作系統(tǒng)基礎(chǔ)安全操作系統(tǒng)定義安全操作系統(tǒng)定義是一個其訪問執(zhí)行滿足引用監(jiān)視器概念的操作系統(tǒng)是一個其訪問執(zhí)行滿足引用監(jiān)視器概念的操作系統(tǒng)引用監(jiān)視器概念定義了任何系統(tǒng)能安全地執(zhí)行一個引用監(jiān)視器概念定義了任何系統(tǒng)能安全地執(zhí)行一個強制保護(hù)系統(tǒng)的充要屬性,包括:強制保護(hù)系統(tǒng)的充要屬性,包括:Complete MediationTamperproofVerifiable2022-5-2362.1 標(biāo)識與鑒別機制標(biāo)識標(biāo)

3、識系統(tǒng)可以識別的用戶的內(nèi)部名稱系統(tǒng)可以識別的用戶的內(nèi)部名稱用戶名、登陸ID、身份證號或智能卡具有唯一性不能被偽造鑒別:對用戶宣稱的身份標(biāo)識的有效性進(jìn)鑒別:對用戶宣稱的身份標(biāo)識的有效性進(jìn)行校驗和測試的過程。行校驗和測試的過程。方法方法密碼驗證密碼驗證生物鑒別方法生物鑒別方法可信計算基可信計算基與鑒別相關(guān)的認(rèn)證機制與鑒別相關(guān)的認(rèn)證機制2.1 標(biāo)識與鑒別機制用戶申明自己身份的四種方法證實自己所知道的密碼、身份證號碼、最喜歡的歌手、最愛的人的名字等出示自己所擁有的智能卡證明自己是誰指紋、語音波紋、視網(wǎng)膜樣本、照片、面部特征掃描等表現(xiàn)自己的動作簽名、鍵入密碼的速度與力量、語速等等2022-5-2382.

4、2 訪問控制訪問控制的基本任務(wù):防止用戶對系統(tǒng)資源的訪問控制的基本任務(wù):防止用戶對系統(tǒng)資源的非法使用,保證對課題的所有直接訪問都是被非法使用,保證對課題的所有直接訪問都是被認(rèn)可的。認(rèn)可的。措施措施確定要保護(hù)的資源確定要保護(hù)的資源授權(quán)授權(quán)確定訪問權(quán)限確定訪問權(quán)限實施訪問權(quán)限實施訪問權(quán)限三種訪問控制技術(shù):自主訪問控制三種訪問控制技術(shù):自主訪問控制DAC、強制、強制訪問控制訪問控制MAC、基于角色的訪問控制、基于角色的訪問控制RBAC2022-5-2392.2 訪問控制自主訪問控制自主訪問控制DAC基于行的自主訪問控制機制基于行的自主訪問控制機制能力表:權(quán)限字能力表:權(quán)限字前綴表:包括受保護(hù)的客體名

5、和主體對它的訪問前綴表:包括受保護(hù)的客體名和主體對它的訪問權(quán)限權(quán)限口令:每個客體有一個口令:每個客體有一個基于列的自主訪問控制機制基于列的自主訪問控制機制保護(hù)位:對客體的擁有者基其他主體、主體組,保護(hù)位:對客體的擁有者基其他主體、主體組,規(guī)定的對該客體訪問模式的集合規(guī)定的對該客體訪問模式的集合訪問控制表:對某個特定資源制定任意用戶的訪訪問控制表:對某個特定資源制定任意用戶的訪問權(quán)限。問權(quán)限。2022-5-23102.2 訪問控制強制訪問控制強制訪問控制MAC限制訪問控制限制訪問控制過程控制過程控制系統(tǒng)限制系統(tǒng)限制基于角色的訪問控制基于角色的訪問控制RBACNIST提出的訪問控制機制,實際是強制

6、訪問控制機提出的訪問控制機制,實際是強制訪問控制機制的一種制的一種基本思想:授權(quán)給用戶的訪問權(quán)限,通常由用戶擔(dān)基本思想:授權(quán)給用戶的訪問權(quán)限,通常由用戶擔(dān)當(dāng)?shù)慕巧珌泶_定。當(dāng)?shù)慕巧珌泶_定。特征特征訪問權(quán)限與角色相關(guān)聯(lián)訪問權(quán)限與角色相關(guān)聯(lián)角色繼承角色繼承最小權(quán)限原則最小權(quán)限原則指責(zé)分離指責(zé)分離角色容量角色容量2022-5-23112.3 最小特權(quán)管理是系統(tǒng)安全中最基本的原則之一是系統(tǒng)安全中最基本的原則之一要求賦予系統(tǒng)中每個使用者執(zhí)行授權(quán)任務(wù)所需要求賦予系統(tǒng)中每個使用者執(zhí)行授權(quán)任務(wù)所需的限制性最強的一組特權(quán),即最低許可。的限制性最強的一組特權(quán),即最低許可。26個個特權(quán)特權(quán)常見的形式常見的形式基于文件

7、的特權(quán)機制基于文件的特權(quán)機制基于進(jìn)程的特權(quán)機制基于進(jìn)程的特權(quán)機制實例實例惠普的惠普的Presidium/Virtual Vault紅旗安全操作系統(tǒng)紅旗安全操作系統(tǒng)RFSOSSELinux安全操作系統(tǒng)安全操作系統(tǒng)2022-5-23122.4 可信通路是用戶能借以直接同可信計算基(是用戶能借以直接同可信計算基(TCB)通信的一種機制通信的一種機制建立可信通路的方法:安全注意鍵建立可信通路的方法:安全注意鍵P352022-5-23132.5 安全審計機制日志:記錄的事件或統(tǒng)計數(shù)據(jù)日志:記錄的事件或統(tǒng)計數(shù)據(jù)安全審計:對日志記錄的分析并以清晰的、能安全審計:對日志記錄的分析并以清晰的、能理解的方式表述系

8、統(tǒng)信息,即對系統(tǒng)中有關(guān)安理解的方式表述系統(tǒng)信息,即對系統(tǒng)中有關(guān)安全的活動進(jìn)行記錄、檢查及審核全的活動進(jìn)行記錄、檢查及審核作用作用審計事件:主體、客體審計事件:主體、客體組成:組成:日志記錄器:收集數(shù)據(jù)日志記錄器:收集數(shù)據(jù)系統(tǒng)日志、應(yīng)用程序日志、系統(tǒng)日志、應(yīng)用程序日志、安全日志安全日志分析器:分析數(shù)據(jù)分析器:分析數(shù)據(jù)通告器:通報結(jié)果通告器:通報結(jié)果2022-5-23142.6 存儲保護(hù)、運行保護(hù)和I/O保護(hù)存儲保護(hù)存儲保護(hù)虛地址空間虛地址空間分段分段物理頁號上的秘密信息物理頁號上的秘密信息基于描述符的地址解釋機制基于描述符的地址解釋機制運行保護(hù)運行保護(hù)保護(hù)環(huán)保護(hù)環(huán)運行域運行域等級域機制等級域機制

9、進(jìn)程隔離機制進(jìn)程隔離機制I/O保護(hù)保護(hù)I/O操作是操作系統(tǒng)完成的特權(quán)操作操作是操作系統(tǒng)完成的特權(quán)操作2022-5-2315UNIX/Linux安全機制一、一、UNIX安全機制安全機制標(biāo)識標(biāo)識/etc/passwd和和/etc/shadow中保存了用戶中保存了用戶標(biāo)識和口令;標(biāo)識和口令;root用戶用戶鑒別鑒別存取控制存取控制存取權(quán)限:可讀、可寫、可執(zhí)行;存取權(quán)限:可讀、可寫、可執(zhí)行;改變權(quán)限:改變權(quán)限:特殊權(quán)限位:特殊權(quán)限位:SUID和和SGID;2022-5-2316UNIX/Linux安全機制(續(xù))審計審計日志文件:日志文件:acct或或pacct、aculog、lastlog、login

10、log、messages、sulog、utmp、utmpx、wtmp、wtmpx、vold.log、xferlog等等審計服務(wù)程序:審計服務(wù)程序:syslogd;網(wǎng)絡(luò)安全性:有選擇地允許用戶和主機與其他網(wǎng)絡(luò)安全性:有選擇地允許用戶和主機與其他主機的連接;主機的連接;網(wǎng)絡(luò)監(jiān)控和入侵檢測:網(wǎng)絡(luò)監(jiān)控和入侵檢測:LIDS等;等;備份備份/恢復(fù):實時備份、整體備份、增量備份;恢復(fù):實時備份、整體備份、增量備份;2022-5-2317UNIX/Linux安全機制(續(xù))二、二、Linux安全機制安全機制PAM機制機制入侵檢測系統(tǒng)入侵檢測系統(tǒng) 加密文件系統(tǒng) 安全審計 強制訪問控制 防火墻2022-5-2318

11、Windows安全機制W inlo go nGIN AD L LN etw orkP roviderL assN etlogon活 動 目 錄L SA服 務(wù) 器SAM服 務(wù) 器L SA策 略M sv1.0.dllK erberos.dll用 戶 模 式內(nèi) 核 模 式活 動目 錄事 件 記 錄 器SAM系 統(tǒng) 線 程 系 統(tǒng) 服 務(wù) 調(diào) 度 器 內(nèi) 核 模 式 可 調(diào) 用 接 口I/O 管 理 器文 件 系 統(tǒng) 緩 存對 象 管 理 器PnP管 理電 源 管 理安 全 參 考 監(jiān) 視 器虛 擬 內(nèi) 存進(jìn) 程 和 線 程配 置 管 理 器本 地 過 程 調(diào) 用系 統(tǒng) 線 程設(shè) 備 和文 件 系統(tǒng)

12、驅(qū) 動W in3 2 U SE R ,G D I圖 形 驅(qū) 動程 序內(nèi) 核硬 件 抽 象 層2022-5-2319Windows安全機制身份認(rèn)證身份認(rèn)證交互式登錄交互式登錄(根據(jù)用戶的本地計算機根據(jù)用戶的本地計算機或或ActiveDirectory帳戶確認(rèn)用戶的身份帳戶確認(rèn)用戶的身份)網(wǎng)絡(luò)身份驗證(根據(jù)此用戶試圖訪問的任何網(wǎng)絡(luò)身份驗證(根據(jù)此用戶試圖訪問的任何網(wǎng)絡(luò)服務(wù)確認(rèn)用戶的身份)網(wǎng)絡(luò)服務(wù)確認(rèn)用戶的身份)Windows2000支持的身份驗證類型有:支持的身份驗證類型有:KerberosV5身份驗證身份驗證安全套接字層安全套接字層(SSL)和傳輸層安全性和傳輸層安全性(TLS)的的身份驗證身份

13、驗證NTLM身份驗證身份驗證2022-5-2320Windows安全機制基于對象的訪問控制基于對象的訪問控制Windows2000通過允許管理員為存儲通過允許管理員為存儲在在ActiveDirectory中的對象分配安全描中的對象分配安全描述符實現(xiàn)訪問控制。述符實現(xiàn)訪問控制。ActiveDirectory授權(quán)和審核授權(quán)和審核2022-5-2321Windows安全設(shè)置硬盤的分區(qū)硬盤的分區(qū)至少建立兩個邏輯分區(qū):一個用作系統(tǒng)分區(qū),至少建立兩個邏輯分區(qū):一個用作系統(tǒng)分區(qū),另一個用作應(yīng)用程序分區(qū)?,F(xiàn)在的硬盤是越另一個用作應(yīng)用程序分區(qū)?,F(xiàn)在的硬盤是越來越大,一般最好分三個至四個分區(qū),這樣來越大,一般最好

14、分三個至四個分區(qū),這樣就可以把自己的文件單獨放在一個分區(qū)中。就可以把自己的文件單獨放在一個分區(qū)中。所有的分區(qū)最好都是所有的分區(qū)最好都是NTFSNTFS格式。格式。用戶賬號的安全設(shè)置用戶賬號的安全設(shè)置默認(rèn)安裝允許所有用戶通過空用戶名和空密默認(rèn)安裝允許所有用戶通過空用戶名和空密碼得到系統(tǒng)所有賬號和共享列表碼得到系統(tǒng)所有賬號和共享列表2022-5-2322Windows安全設(shè)置文件和文件夾權(quán)限的設(shè)置文件和文件夾權(quán)限的設(shè)置訪問權(quán)限分為讀取、寫入、讀取及執(zhí)行、修訪問權(quán)限分為讀取、寫入、讀取及執(zhí)行、修改、列目錄、完全控制改、列目錄、完全控制在默認(rèn)的情況下,大多數(shù)的文件夾和文件對在默認(rèn)的情況下,大多數(shù)的文件

15、夾和文件對所有用戶所有用戶(Everyone(Everyone這個組這個組) )是完全控制的是完全控制的(Full Control)(Full Control),這根本不能滿足不同網(wǎng)絡(luò),這根本不能滿足不同網(wǎng)絡(luò)的權(quán)限設(shè)置需求,還需要根據(jù)應(yīng)用的需要進(jìn)的權(quán)限設(shè)置需求,還需要根據(jù)應(yīng)用的需要進(jìn)行重新設(shè)置。行重新設(shè)置。配置配置IISIIS原則原則“最小的權(quán)限最小的權(quán)限+ +最少的服務(wù)最少的服務(wù)= =最大的安全最大的安全”2022-5-2323Windows 安全設(shè)置檢查清單檢查清單物理安全物理安全服務(wù)器應(yīng)該安放在安裝了監(jiān)視器的隔離房間內(nèi)服務(wù)器應(yīng)該安放在安裝了監(jiān)視器的隔離房間內(nèi)監(jiān)視器要保留監(jiān)視器要保留15天

16、以上的攝像記錄天以上的攝像記錄另外機箱另外機箱,鍵盤電腦桌抽屜要上鎖以確保旁人即使鍵盤電腦桌抽屜要上鎖以確保旁人即使進(jìn)入房間也無法使用電腦進(jìn)入房間也無法使用電腦鑰匙要放在另外的安全的地方鑰匙要放在另外的安全的地方停掉停掉Guest 帳號帳號限制不必要的用戶數(shù)量限制不必要的用戶數(shù)量創(chuàng)建創(chuàng)建2個管理員用帳號個管理員用帳號把系統(tǒng)把系統(tǒng)administrator帳號改名帳號改名創(chuàng)建一個陷阱帳號創(chuàng)建一個陷阱帳號2022-5-2324Windows安全設(shè)置檢查清單檢查清單把共享文件的權(quán)限從把共享文件的權(quán)限從”everyone”組改成組改成“授授權(quán)用戶權(quán)用戶”使用安全密碼使用安全密碼設(shè)置屏幕保護(hù)密碼設(shè)置屏幕

17、保護(hù)密碼使用使用NTFS格式分區(qū)格式分區(qū)運行防毒軟件運行防毒軟件保障備份盤的安全保障備份盤的安全2022-5-2325Windows 安全設(shè)置利用利用win2000的安全配置工具來配置策略的安全配置工具來配置策略關(guān)閉不必要的服務(wù)關(guān)閉不必要的服務(wù)關(guān)閉不必要的端口關(guān)閉不必要的端口打開審核策略打開審核策略 策略策略 設(shè)置設(shè)置審核系統(tǒng)登陸事件審核系統(tǒng)登陸事件 成功,失敗成功,失敗審核帳戶管理審核帳戶管理 成功,失敗成功,失敗審核登陸事件審核登陸事件 成功,失敗成功,失敗審核對象訪問審核對象訪問 成功成功審核策略更改審核策略更改 成功,失敗成功,失敗審核特權(quán)使用審核特權(quán)使用 成功,失敗成功,失敗審核系統(tǒng)

18、事件審核系統(tǒng)事件 成功,失敗成功,失敗2022-5-2326Windows 安全設(shè)置開啟密碼密碼策略開啟密碼密碼策略 策略策略 設(shè)置設(shè)置密碼復(fù)雜性要求密碼復(fù)雜性要求 啟用啟用密碼長度最小值密碼長度最小值 6 6位位強制密碼歷史強制密碼歷史 5 5 次次強制密碼歷史強制密碼歷史 42 42 天天開啟帳戶策略開啟帳戶策略 策略策略 設(shè)置設(shè)置復(fù)位帳戶鎖定計數(shù)器復(fù)位帳戶鎖定計數(shù)器 2020分鐘分鐘帳戶鎖定時間帳戶鎖定時間 2020分鐘分鐘帳戶鎖定閾值帳戶鎖定閾值 3 3次次設(shè)定安全記錄的訪問權(quán)限設(shè)定安全記錄的訪問權(quán)限安全記錄在默認(rèn)情況下是沒有保護(hù)的,把他設(shè)置成安全記錄在默認(rèn)情況下是沒有保護(hù)的,把他設(shè)置成只有只有AdministratorAdministrator和系統(tǒng)帳戶才有權(quán)訪問和系統(tǒng)帳戶才有權(quán)訪問2022-5-2327Windows 安全設(shè)置把敏感文件存放在另外的文件服務(wù)器中把敏感文件存放在另外的文件服務(wù)器中不讓系統(tǒng)顯示上次登陸的用戶名不讓系統(tǒng)顯示上次登陸的用戶名禁止建立空連接禁止建立空連接到微軟網(wǎng)站下載最新的補丁程序到微軟網(wǎng)站下載最新的補丁程序關(guān)閉關(guān)閉DirectDrawDirectDraw關(guān)閉默認(rèn)共享關(guān)閉默認(rèn)共享禁止禁止dump filedump file的產(chǎn)生的產(chǎn)生202

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時也不承擔(dān)用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論