《計(jì)算機(jī)網(wǎng)絡(luò)安全(第2版)》2-3操作系統(tǒng)與實(shí)體安全ppt課件

1、第2章 網(wǎng)絡(luò)操作系統(tǒng)安全 操作系統(tǒng)安全 訪問控制的概念、類型及措施 Windows NT/2000/2003系統(tǒng)的完全性 UNIX和Linux系統(tǒng)的安全性本章要點(diǎn)21 網(wǎng)絡(luò)操作系統(tǒng)簡(jiǎn)介計(jì)算機(jī)網(wǎng)絡(luò)是由多個(gè)相互獨(dú)立的計(jì)算機(jī)系統(tǒng)通過通信媒體連接起來的。各計(jì)算機(jī)都具有一個(gè)完整獨(dú)立的操作系統(tǒng)，網(wǎng)絡(luò)操作系統(tǒng)(NOS)是建立在這些獨(dú)立的操作系統(tǒng)基礎(chǔ)上用以擴(kuò)充網(wǎng)絡(luò)功能的系統(tǒng)(系統(tǒng)平臺(tái))。網(wǎng)絡(luò)操作系統(tǒng)是為使網(wǎng)絡(luò)用戶能方便而有效地共享網(wǎng)絡(luò)資源而提供各種服務(wù)的軟件及相關(guān)規(guī)程，它是整個(gè)網(wǎng)絡(luò)的核心，通過對(duì)網(wǎng)絡(luò)資源的管理，使網(wǎng)上用戶能方便、快捷、有效地共享網(wǎng)絡(luò)資源。操作系統(tǒng)的主要功能包括：進(jìn)程控制和調(diào)度、信息處理、存儲(chǔ)器

2、管理、文件管理、輸入/輸出管理、資源管理等。21 網(wǎng)絡(luò)操作系統(tǒng)簡(jiǎn)介NOS是一種運(yùn)行在硬件基礎(chǔ)上的網(wǎng)絡(luò)操作和管理軟件，是網(wǎng)絡(luò)軟件系統(tǒng)的基礎(chǔ)，它建立一種集成的網(wǎng)絡(luò)系統(tǒng)環(huán)境，為用戶方便而有效地使用和管理網(wǎng)絡(luò)資源提供網(wǎng)絡(luò)接口和網(wǎng)絡(luò)服務(wù)。NOS除了具有一般操作系統(tǒng)所具有的處理機(jī)管理、存儲(chǔ)器管理、設(shè)備管理和文件管理功能外，還提供高效而可靠的網(wǎng)絡(luò)通信環(huán)境和多種網(wǎng)絡(luò)服務(wù)功能。如文件服務(wù)、打印服務(wù)、記賬服務(wù)、數(shù)據(jù)庫(kù)服務(wù)以及支持Internet和Intranet服務(wù)。21 網(wǎng)絡(luò)操作系統(tǒng)簡(jiǎn)介目前，常用的網(wǎng)絡(luò)操作系統(tǒng)有Windows 2000 Server、Windows NT Server、NetWare、UNIX

3、和Linux。21 網(wǎng)絡(luò)操作系統(tǒng)簡(jiǎn)介Windows NT是Microsoft公司在LAN Manager網(wǎng)絡(luò)操作系統(tǒng)基礎(chǔ)上于1993年推出的具有更高性能的NOS(Windows NT 3.1) Windows NTS主要用于網(wǎng)絡(luò)上的服務(wù)器，包括文件服務(wù)器、打印服務(wù)器和Windows NT網(wǎng)絡(luò)的主域控制器等；Windows NTWS則主要服務(wù)于高檔客戶。從網(wǎng)絡(luò)角度看，Windows NTS屬于管理網(wǎng)絡(luò)的主服務(wù)器軟件，而Windows NTWS則用于管理特殊工作站或用戶工作站。兩者相比，服務(wù)器軟件附帶有較強(qiáng)的管理功能和較完善的Internet功能，如可以使用附帶的IIS軟件建立企業(yè)網(wǎng)的Intern

4、et信息服務(wù)器，而工作站軟件只有較簡(jiǎn)單的單一Web服務(wù)功能。 2.1.1 Windows NT系統(tǒng)Windows NT是一種32位多用戶、多任務(wù)的網(wǎng)絡(luò)操作系統(tǒng)，也是一種面向分布式圖形應(yīng)用程序的完整的平臺(tái)系統(tǒng)。 Windows NT是功能強(qiáng)大的網(wǎng)絡(luò)操作系統(tǒng)，既適合于大型業(yè)務(wù)機(jī)構(gòu)的實(shí)時(shí)、分時(shí)數(shù)據(jù)處理，又能為工作組、商業(yè)和企業(yè)的不同機(jī)構(gòu)提供一種優(yōu)化的文件和打印服務(wù)，其Client/Server平臺(tái)還可以集成各種新技術(shù)，通過該平臺(tái)為信息存取提供優(yōu)越的環(huán)境。Windows NT操作系統(tǒng)在其核心內(nèi)置了容錯(cuò)技術(shù)，可以在應(yīng)用軟件和系統(tǒng)硬件故障時(shí)，保證系統(tǒng)能正常可靠地工作；提供了相當(dāng)多的易于實(shí)施的網(wǎng)絡(luò)管理及網(wǎng)絡(luò)

5、安全功能，如創(chuàng)建用戶組和用戶，用戶入網(wǎng)安全限制，進(jìn)行各種CPU和內(nèi)存的測(cè)試與分析等。2.1.1 Windows NT系統(tǒng)在Windows NT之后Microsoft 公司又推出的Windows 2000網(wǎng)絡(luò)操作系統(tǒng)。它集Windows98和WindowsNT4.0的很多優(yōu)良功能和性能于一身，超越了WindowsNT的原來含義。與Windows NT相比，Windows 2000在許多方面都做了較大的改動(dòng)，在安全性、可操作性等方面都有了質(zhì)的飛躍。Windows 2000系列操作平臺(tái)，繼承了Windows NT的高性能，融入了Windows 9x易操作的特點(diǎn)，又發(fā)展了一些新的特性。Windows

6、2000使用了活動(dòng)目錄、分布式文件系統(tǒng)、智能鏡像、管理咨詢等新技術(shù)，它具備了強(qiáng)大的網(wǎng)絡(luò)功能，可作為各種網(wǎng)絡(luò)的操作平臺(tái)，尤其是Windows 2000強(qiáng)化的網(wǎng)絡(luò)通信、提供了強(qiáng)大的Internet功能。2.1.2 Windows 2000系統(tǒng)Windows 2000系列操作系統(tǒng)有Windows 2000 Datacenter Server、Windows 2000 Advanced Server、Windows 2000 Server和Windows 2000 Professional四個(gè)產(chǎn)品。Windows 2000 Datacenter Server是一個(gè)新的品種，它支持32個(gè)以上的CPU和6

7、4GB的內(nèi)存，以及4個(gè)節(jié)點(diǎn)的集群服務(wù)Windows 2000 Server和Advanced Server分別是Windows NT Server 4.0及其企業(yè)版的升級(jí)產(chǎn)品。Windows2000 Professional是一個(gè)商業(yè)用戶的桌面操作系統(tǒng)，也適合移動(dòng)用戶，是Windows NT Workstation4.0的升級(jí)。2.1.2 Windows 2000系統(tǒng)Windows 2000平臺(tái)包括了Windows 2000 Professional和Windows 2000 Server前后臺(tái)的集成，它具有如下的新特性和新功能。1活動(dòng)目錄2分布式文件系統(tǒng)3管理咨詢4智能鏡像技術(shù)5強(qiáng)化的網(wǎng)絡(luò)通

8、信虛擬專用網(wǎng)（VPN）。 路由和遠(yuǎn)程訪問服務(wù)。 路由和網(wǎng)關(guān) 網(wǎng)絡(luò)地址轉(zhuǎn)換。 2.1.2 Windows 2000系統(tǒng)在微軟的企業(yè)級(jí)操作系統(tǒng)中，如果說Windows2000全面繼承了NT技術(shù)，那么Windows Server 2003則是依據(jù).Net架構(gòu)對(duì)NT技術(shù)進(jìn)行了重要發(fā)展和實(shí)質(zhì)性改進(jìn)，并部分實(shí)現(xiàn)了.Net戰(zhàn)略，構(gòu)筑了.Net戰(zhàn)略中最基礎(chǔ)的一環(huán)。Windows Server 2003作為.Net架構(gòu)提出以來最重要、最基礎(chǔ)性的產(chǎn)品，它的推出受到了業(yè)內(nèi)人士的關(guān)注。Windows Server 2003是一款微軟推出的全新操作系統(tǒng)。Windows Server 2003簡(jiǎn)體中文版分Web、Stan

9、dard、Enterprise和Datacenter四個(gè)版本。Enterprise版最大支持8個(gè)處理器和32GB內(nèi)存，最小配置為CPU速度不低133MHz，內(nèi)存不少于128MB。因此，Windows Server 2003具有硬件適應(yīng)性面廣和伸縮性強(qiáng)的特點(diǎn)。2.1 3 Windows 2003操作系統(tǒng)Windows Server 2003不僅改進(jìn)了Windows2000原有的服務(wù)，提高了這些服務(wù)的性能和擴(kuò)充了許多功能，而且還增加了新的服務(wù)。1安全性2可管理性3系統(tǒng)性能4安裝和界面 5功能2.1 3 Windows 2003操作系統(tǒng)1UNIX概述1970年，在美國(guó)電報(bào)電話公司（AT&T）的貝爾（

10、Bell）實(shí)驗(yàn)室研制出了一種新的計(jì)算機(jī)操作系統(tǒng)，這就是UNIX。UNIX是一種分時(shí)操作系統(tǒng)，主要用在大型機(jī)、超級(jí)小型機(jī)、RISC計(jì)算機(jī)和高檔微機(jī)上。 UNIX系統(tǒng)的成功取決于它將TCP/IP協(xié)議運(yùn)行于UNIX操作系統(tǒng)上，使之成為UNIX操作系統(tǒng)的核心，從而構(gòu)成了UNIX網(wǎng)絡(luò)操作系統(tǒng)。UNIX操作系統(tǒng)在各種機(jī)器上都得到了廣泛的應(yīng)用，它已成為最流行的網(wǎng)絡(luò)操作系統(tǒng)之一和事實(shí)上標(biāo)準(zhǔn)的網(wǎng)絡(luò)操作系統(tǒng)。UNIX系統(tǒng)服務(wù)器可以與Windows及DOS工作站通過TCP/IP協(xié)議連接成網(wǎng)絡(luò)。UNIX服務(wù)器具有支持網(wǎng)絡(luò)文件系統(tǒng)服務(wù)、提供數(shù)據(jù)庫(kù)應(yīng)用等優(yōu)點(diǎn)。 2.1.4 UNIX系統(tǒng)2UNIX操作系統(tǒng)的特點(diǎn)UNIX系統(tǒng)

11、是一個(gè)可供多用戶同時(shí)操作的會(huì)話式分時(shí)操作系統(tǒng)。UNIX系統(tǒng)繼承了以往操作系統(tǒng)的先進(jìn)技術(shù)，在操作系統(tǒng)功能設(shè)計(jì)上力求簡(jiǎn)捷、高效。UNIX系統(tǒng)在結(jié)構(gòu)上分為內(nèi)核和核外程序兩部分。UNIX系統(tǒng)向用戶提供了兩種界面：即用戶界面和系統(tǒng)調(diào)用。UNIX系統(tǒng)采用樹型結(jié)構(gòu)的文件系統(tǒng)。UNIX系統(tǒng)提供了豐富的核外系統(tǒng)程序，為用戶提供了相當(dāng)完備的程序設(shè)計(jì)環(huán)境。UNIX系統(tǒng)基本上是用C語言編寫的，這使系統(tǒng)易于理解、修改和擴(kuò)充，且使系統(tǒng)具有良好的可移植性。UNIX系統(tǒng)是能在筆記本計(jì)算機(jī)、PC機(jī)、工作站、中小型機(jī)乃至巨型機(jī)上運(yùn)行的操作系統(tǒng)。因此，UNIX系統(tǒng)具有極強(qiáng)的可伸縮性。2.1.4 UNIX系統(tǒng)2.1.5 Linux

12、系統(tǒng)1Linux 概述Linux 是一種類似UNIX操作系統(tǒng)的自由軟件，它是由一位芬蘭赫爾辛基大學(xué)的一位叫Linus的大學(xué)生發(fā)明的。 隨著Internet的普及應(yīng)用，免費(fèi)而性能優(yōu)異的Linux操作系統(tǒng)將發(fā)揮越來越大的作用。Linux和Internet的發(fā)展相輔相成， Linux 是一個(gè)完全公開的操作系統(tǒng)，每個(gè)人都可以得到它的源代碼，這使得許多人的才能有了用武之地。 2.1.5 Linux 系統(tǒng)2Linux的特點(diǎn)Linux繼承了UNIX的很多優(yōu)點(diǎn)(如多任務(wù)、多用戶)，但也具有如下自身獨(dú)特的優(yōu)點(diǎn)：共享內(nèi)存頁面。使用分頁技術(shù)的虛擬內(nèi)存。 動(dòng)態(tài)鏈接共享庫(kù) 。支持多個(gè)虛擬控制臺(tái) 調(diào)度磁盤緩沖功能 支持多

13、平臺(tái) 與其他UNIX系統(tǒng)兼容 提供全部源代碼 此外，Linux還具有支持多種CPU、多種硬件、軟件移植性好等特點(diǎn)。22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理操作系統(tǒng)主要的安全功能包括：存儲(chǔ)器保護(hù)(限定存儲(chǔ)區(qū)和地址重定位，保護(hù)存儲(chǔ)信息)、文件保護(hù)(保護(hù)用戶和系統(tǒng)文件，防止非授權(quán)用戶訪問)、訪問控制、身份認(rèn)證(識(shí)別請(qǐng)求訪問的用戶權(quán)限和身份)等。網(wǎng)絡(luò)操作系統(tǒng)主要有以下兩大類安全漏洞： 輸入/輸出(I/O)非法訪問。在一些操作系統(tǒng)中，一旦I/O操作被檢查通過后，該操作系統(tǒng)就繼續(xù)執(zhí)行操作而不再進(jìn)行檢查，這樣就可能造成后續(xù)操作的非法訪問。 操作系統(tǒng)陷門。某些操作系統(tǒng)為了維護(hù)方便、使系統(tǒng)兼容性和開放性更好，在設(shè)計(jì)時(shí)預(yù)留

14、了一些端口或保留了某些特殊的管理程序功能。 22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理2.2.1 操作系統(tǒng)安全的概念 第一，操作系統(tǒng)本身提供的安全功能和安全服務(wù)。 第二，針對(duì)各種常用的操作系統(tǒng)，進(jìn)行相關(guān)配置，使之能正確對(duì)付和防御各種入侵； 第三，保證網(wǎng)絡(luò)操作系統(tǒng)本身所提供的網(wǎng)絡(luò)服務(wù)能得到安全配置。 22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理訪問控制系統(tǒng)一般包括：主體(subject)。主體是指發(fā)出訪問操作、存取請(qǐng)求的主動(dòng)方，它包括用戶、用戶組、主機(jī)、終端或應(yīng)用進(jìn)程等。主體可以訪問客體。客體(object)。客體是指被調(diào)用的程序或要存取的數(shù)據(jù)訪問，它包括文件、程序、內(nèi)存、目錄、隊(duì)列、進(jìn)程間報(bào)文、I/O設(shè)備和物理介質(zhì)等。

15、 安全訪問政策。安全訪問政策是一套規(guī)則，可用于確定一個(gè)主體是否對(duì)客體擁有訪問能力。22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理2.2.2 網(wǎng)絡(luò)的訪問控制1訪問控制的概念為了系統(tǒng)信息的保密性和完整性，系統(tǒng)需要實(shí)施訪問控制。訪問控制也叫授權(quán)，它是對(duì)用戶訪問網(wǎng)絡(luò)系統(tǒng)資源進(jìn)行的控制過程。只有被授予一定權(quán)限的用戶，才有資格去訪問有關(guān)的資源。訪問控制具體包括兩方面涵義，一是指對(duì)用戶進(jìn)入系統(tǒng)的控制，最簡(jiǎn)單最常用的方法是用戶賬戶和口令限制，其次還有一些身份驗(yàn)證措施；二是用戶進(jìn)入系統(tǒng)后對(duì)其所能訪問的資源進(jìn)行的限制，最常用的方法是訪問權(quán)限和資源屬性限制。22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理2.2.2 網(wǎng)絡(luò)的訪問控制1訪問控制的概念訪

16、問控制所考慮的是對(duì)主體訪問客體的控制。主體一般是以用戶為單位實(shí)施訪問控制，此外，網(wǎng)絡(luò)用戶也有以IP地址為單位實(shí)施訪問控制的?？腕w的訪問控制范圍可以是整個(gè)應(yīng)用系統(tǒng)，包括網(wǎng)絡(luò)系統(tǒng)、服務(wù)器系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)；文件、數(shù)據(jù)庫(kù)、數(shù)據(jù)庫(kù)中的某個(gè)表甚至是某個(gè)記錄或字段等。一般來說，對(duì)整個(gè)應(yīng)用系統(tǒng)的訪問，宏觀上通常是采用身份鑒別的方法進(jìn)行控制，而微觀控制通常是指在操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)中所提供的用戶對(duì)文件或數(shù)據(jù)庫(kù)表、記錄/字段的訪問所進(jìn)行的控制。22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理2.2.2 網(wǎng)絡(luò)的訪問控制2訪問控制的類型訪問控制可分為自主訪問控制和強(qiáng)制訪問控制兩大類。所謂自主訪問控制，是指由用戶有權(quán)對(duì)

17、自身所創(chuàng)建的訪問對(duì)象(文件、數(shù)據(jù)表等)進(jìn)行訪問，并可將對(duì)這些對(duì)象的訪問權(quán)授予其他用戶和從授予權(quán)限的用戶收回其訪問權(quán)限。自主訪問控制允許用戶自行定義其所創(chuàng)建的數(shù)據(jù)。需要指出的是，在一些系統(tǒng)中，往往是由系統(tǒng)管理員充當(dāng)訪問對(duì)象的創(chuàng)建者，并進(jìn)行訪問授權(quán)，而在其后通過“授權(quán)轉(zhuǎn)讓”將權(quán)限轉(zhuǎn)讓給指定用戶。 22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理2.2.2 網(wǎng)絡(luò)的訪問控制2訪問控制的類型所謂強(qiáng)制訪問控制，是指由系統(tǒng)(通過專門設(shè)置的系統(tǒng)安全員)對(duì)用戶所創(chuàng)建的對(duì)象進(jìn)行統(tǒng)一的強(qiáng)制性控制，按照規(guī)定的規(guī)則決定哪些用戶可以對(duì)哪些對(duì)象進(jìn)行什么樣操作系統(tǒng)類型的訪問，即使是創(chuàng)建者用戶，在創(chuàng)建一個(gè)對(duì)象后，也可能無權(quán)訪問該對(duì)象。 所有用戶

18、的訪問權(quán)限完全是由安全員根據(jù)需要確定的。強(qiáng)制訪問控制還有其他安全策略，如“角色授權(quán)管理”。該策略將系統(tǒng)中的訪問操作按角色進(jìn)行分組管理。一種角色執(zhí)行一種操作，由系統(tǒng)安全員進(jìn)行統(tǒng)一授權(quán)。當(dāng)授予某一用戶某個(gè)角色時(shí)，該用戶就有執(zhí)行該角色所對(duì)應(yīng)的一組操作的權(quán)限。22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理2.2.2 網(wǎng)絡(luò)的訪問控制3訪問控制措施 訪問控制是保證網(wǎng)絡(luò)系統(tǒng)安全的主要措施，也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。通常具體的訪問控制措施有以下幾種。(1) 入網(wǎng)訪問控制(2) 權(quán)限訪問控制(3) 屬性訪問控制(4) 身份驗(yàn)證(5) 網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理22 網(wǎng)絡(luò)操作系統(tǒng)的

19、安全與管理(1) 入網(wǎng)訪問控制入網(wǎng)訪問控制是為用戶安全訪問網(wǎng)絡(luò)設(shè)置的第一道關(guān)口。入網(wǎng)訪問控制主要就是對(duì)要進(jìn)入系統(tǒng)的用戶進(jìn)行識(shí)別，并驗(yàn)證其合法身份。系統(tǒng)可以采用用戶賬戶和口令、賬戶鎖定、安全標(biāo)識(shí)符及其他一些身份驗(yàn)證等方法實(shí)現(xiàn)。1) 用戶名和口令驗(yàn)證2) 賬戶鎖定3) 用戶賬戶的默認(rèn)限制入網(wǎng)時(shí)間限制 入網(wǎng)站點(diǎn)限制 入網(wǎng)次數(shù)限制 資源容量限制 22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理(2) 權(quán)限訪問控制一個(gè)用戶登錄入網(wǎng)后，并不意味著他能夠訪問網(wǎng)絡(luò)中的所有資源。用戶訪問網(wǎng)絡(luò)資源的能力將受到訪問權(quán)限的限制。訪問權(quán)限控制一個(gè)用戶能訪問哪些資源（目錄和文件），以及對(duì)這些資源能進(jìn)行哪些操作。在系統(tǒng)為用戶指定用戶賬戶后，

20、系統(tǒng)根據(jù)該用戶在網(wǎng)絡(luò)系統(tǒng)中要做的工作及相關(guān)要求，可為用戶訪問系統(tǒng)資源設(shè)定訪問權(quán)限。用戶要訪問的系統(tǒng)資源包括目錄、子目錄、文件和設(shè)備；用戶要對(duì)這些資源的訪問操作可有讀、寫、建立、刪除、更改等。22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理(3) 屬性訪問控制屬性是文件、目錄等資源的訪問特性。系統(tǒng)可直接對(duì)目錄、文件等資源規(guī)定其訪問屬性。通過設(shè)置資源屬性可以控制用戶對(duì)資源的訪問。屬性是在權(quán)限安全性的基礎(chǔ)上提供的進(jìn)一步的安全性。屬性是系統(tǒng)直接設(shè)置給資源的，它對(duì)所有用戶都具有約束權(quán)，一旦目錄、文件等資源具有了某些屬性，用戶(包括超級(jí)用戶)都不能進(jìn)行超出這些屬性規(guī)定的訪問，即不論用戶的訪問權(quán)限如何，只按照資源自身的屬性實(shí)

21、施訪問控制。如某文件具有只讀屬性，對(duì)其有讀寫權(quán)限的用戶也不能對(duì)該文件進(jìn)行寫操作。要修改目錄或文件的屬性，必須有對(duì)該目錄或文件的修改權(quán)；要改變用戶對(duì)目錄或文件的權(quán)限，用戶必須具有對(duì)該目錄或文件的訪問控制權(quán)。屬性可以控制訪問權(quán)限不能控制的權(quán)限，如可以控制一個(gè)文件是否可以同時(shí)被多個(gè)用戶使用等。22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理(4) 身份驗(yàn)證身份驗(yàn)證是證明某人是否為合法用戶的過程，它是信息安全體系中的重要組成部分。身份驗(yàn)證的方法有很多種，不同方法適合于不同的環(huán)境，網(wǎng)絡(luò)組織可以根據(jù)自己的情況加以選擇。以下是幾種常用的身份驗(yàn)證方法。用戶名和口令驗(yàn)證 數(shù)字證書驗(yàn)證 Security ID驗(yàn)證 用戶的生理特征驗(yàn)

22、證 智能卡驗(yàn)證 22 網(wǎng)絡(luò)操作系統(tǒng)的安全與管理(5) 網(wǎng)絡(luò)端口和節(jié)點(diǎn)的安全控制網(wǎng)絡(luò)中服務(wù)器的端口往往使用自動(dòng)回呼設(shè)備、靜默調(diào)制解調(diào)器加以保護(hù)，并以加密的形式來識(shí)別節(jié)點(diǎn)的身份。自動(dòng)回呼設(shè)備用于防止假冒合法用戶，靜默調(diào)制解調(diào)器用以防范黑客的自動(dòng)撥號(hào)程序?qū)τ?jì)算機(jī)進(jìn)行的攻擊。網(wǎng)絡(luò)還常對(duì)服務(wù)器端和用戶端采取控制，用戶必須攜帶證實(shí)身份的驗(yàn)證器（如智能卡、磁卡、安全密碼發(fā)生器等），在對(duì)用戶的身份進(jìn)行驗(yàn)證合法之后，才允許用戶進(jìn)入用戶端。然后，用戶端和服務(wù)器端再進(jìn)行相互驗(yàn)證。23 Windows NT系統(tǒng)安全2.3.1 Windows NT的安全基礎(chǔ)1Windows NT中的對(duì)象Windows NT的安全機(jī)制是

23、建立在對(duì)象的基礎(chǔ)上的，因此，對(duì)象的概念與安全問題密切相關(guān)。對(duì)象是構(gòu)成Windows NT操作系統(tǒng)的基本元素，它可以是文件、目錄、存儲(chǔ)器、驅(qū)動(dòng)器或系統(tǒng)程序等。2Windows NT中的網(wǎng)絡(luò)模型Windows NT系統(tǒng)中有兩種基本的網(wǎng)絡(luò)模型：工作組模型和域模型。(1) 工作組模型工作組模型：是一個(gè)“對(duì)等”網(wǎng)結(jié)構(gòu)。(2) 域模型 域是一個(gè)共享公共目錄數(shù)據(jù)庫(kù)和安全策略的計(jì)算機(jī)及用戶的集合，它提供登錄認(rèn)證，并具有唯一的域名。23 Windows NT系統(tǒng)安全3. 用戶帳戶、權(quán)力和權(quán)限 每個(gè)要登錄Win NT的用戶，都要有一個(gè)用戶帳戶，該帳戶是由系統(tǒng)管理員創(chuàng)建的，用戶帳戶中包括用戶的名稱、密碼、用戶權(quán)力、

24、訪問權(quán)限等信息。創(chuàng)建帳戶后，Win NT再為帳戶指定一個(gè)唯一的安全標(biāo)識(shí)符SID。23 Windows NT系統(tǒng)安全用戶和組都有一定的權(quán)力，權(quán)力定義了用戶在系統(tǒng)中能做什么。如：從網(wǎng)絡(luò)中訪問計(jì)算機(jī)、向域中添加工作站和成員服務(wù)器、備份文件和目錄、改變系統(tǒng)時(shí)間、強(qiáng)制從遠(yuǎn)程系統(tǒng)退出、裝/卸設(shè)備驅(qū)動(dòng)器、本地登錄、恢復(fù)文件和目錄等。這些權(quán)力大多數(shù)只指定給管理用戶。 23 Windows NT系統(tǒng)安全用戶和組要有權(quán)限才能使用對(duì)象。權(quán)限可由系統(tǒng)管理員賦予用戶，也可由文件、目錄等對(duì)象的所有者賦予用戶。Win NT的權(quán)限有：列表、讀取、添加、修改、添加并讀取、完全控制等。 23 Windows NT系統(tǒng)安全4. 目

25、錄數(shù)據(jù)庫(kù)目錄數(shù)據(jù)庫(kù)是整個(gè)網(wǎng)絡(luò)系統(tǒng)中不可缺少的重要組成部分。目錄數(shù)據(jù)庫(kù)用來存放域中所有的安全數(shù)據(jù)和用戶帳戶信息。用戶登錄時(shí)，用它來核對(duì)、檢驗(yàn)用戶輸入的數(shù)據(jù)是否符合其相應(yīng)的身份和使用權(quán)限。該數(shù)據(jù)庫(kù)被存放在主域控制器，在備份域控制器中也有它的備份。 23 Windows NT系統(tǒng)安全5. 注冊(cè)表注冊(cè)表是包括應(yīng)用程序、硬件設(shè)備、設(shè)備驅(qū)動(dòng)程序配置、網(wǎng)絡(luò)協(xié)議和網(wǎng)卡設(shè)置等信息的數(shù)據(jù)庫(kù)。它是一個(gè)具有容錯(cuò)功能的數(shù)據(jù)庫(kù)，如果系統(tǒng)出現(xiàn)錯(cuò)誤，日志文件使用Win NT能夠恢復(fù)和修改數(shù)據(jù)庫(kù)，以保證系統(tǒng)正常運(yùn)行。 23 Windows NT系統(tǒng)安全2.3.2 Windows NT的安全性機(jī)制和技術(shù)1安全性機(jī)制(1) 賬號(hào)規(guī)

26、則(2) 用戶權(quán)限規(guī)則(3) 審核規(guī)則(4) 域管理機(jī)制23 Windows NT系統(tǒng)安全23 Windows NT系統(tǒng)安全2安全性技術(shù)(1) Kerberos(2) EFS(3) IP Security 1賬號(hào)和密碼策略Windows NT域用戶管理器通過為用戶分配的賬號(hào)和密碼來驗(yàn)證用戶身份，保證系統(tǒng)資源的安全。用戶賬號(hào)是系統(tǒng)根據(jù)用戶的使用要求和網(wǎng)絡(luò)所能給予的服務(wù)為用戶分配的，賬號(hào)名稱通常是公開的。用戶賬號(hào)密碼在密碼的選取、密碼的維護(hù)等方面都要符合安全性要求和使用方便的原則，用戶賬號(hào)密碼是保密的。2.3.3 Windows NT的安全管理措施2控制授權(quán)用戶的訪問在Windows NT域中配置

27、適當(dāng)?shù)腘TFS訪問控制可增強(qiáng)網(wǎng)絡(luò)安全。在系統(tǒng)默認(rèn)情況下，每建立一個(gè)新的共享，Everyone用戶就享有“完全控制”的共享權(quán)限，因此在使用時(shí)要取消或更改默認(rèn)情況下Everyone組的“完全控制”權(quán)限，要始終設(shè)置用戶所能允許的最小目錄和文件的訪問權(quán)限。為安裝后默認(rèn)的Guest用戶設(shè)置密碼，以防被黑客利用。為每個(gè)用戶指定一個(gè)工作組，為工作組指定文件和目錄訪問權(quán)限，這樣，當(dāng)某個(gè)用戶角色變更時(shí)，只要把該用戶從工作組中刪除或指定他屬于另一組，即可收回或更改該用戶的訪問權(quán)限。所以說，將用戶以“組”的方式進(jìn)行管理，是用戶管理的一個(gè)有效方法。2.3.3 Windows NT的安全管理措施3及時(shí)下載和更新補(bǔ)丁程序

28、經(jīng)常光顧安全網(wǎng)站，下載最新補(bǔ)丁程序，或用最新的Service Pack升級(jí)Windows NT Server，因?yàn)镾ervice Pack中有所有補(bǔ)丁程序和新發(fā)表的諸多安全補(bǔ)丁程序。4控制遠(yuǎn)程訪問服務(wù)遠(yuǎn)程訪問是入侵者攻擊Windows NT系統(tǒng)的常用手段，因此可以采取控制遠(yuǎn)程服務(wù)的方法減少對(duì)系統(tǒng)的攻擊。Windows NT防止外來入侵最好的功能是認(rèn)證系統(tǒng)。Windows 95/98和Windows NT Workstation客戶機(jī)不僅可以交換用戶ID和口令數(shù)據(jù)，而且還使用Windows專用的響應(yīng)協(xié)議，這可確保不會(huì)出現(xiàn)相同的認(rèn)證數(shù)據(jù)，并可以有效地阻止內(nèi)部黑客捕捉網(wǎng)絡(luò)信息包。如條件允許，可使用回

29、叫安全機(jī)制，并盡量采用數(shù)據(jù)加密技術(shù)，以保證數(shù)據(jù)安全。2.3.3 Windows NT的安全管理措施5啟動(dòng)審查功能為防止未經(jīng)授權(quán)的訪問，可以利用域用戶管理器啟用安全審查功能，以便在安全日志中記錄未經(jīng)授權(quán)的訪問企圖，以便盡早發(fā)現(xiàn)安全漏洞并及時(shí)補(bǔ)救。但要結(jié)合工作實(shí)際，設(shè)置合理的審計(jì)規(guī)則。6應(yīng)用系統(tǒng)的安全在Windows NT上運(yùn)行的應(yīng)用系統(tǒng)，應(yīng)及時(shí)通過各種途徑獲得補(bǔ)丁程序，以解決其安全問題。把IIS中的sample、scripts、iisadmin和msadc等Web目錄設(shè)置為禁止匿名訪問并限制IP地址。把FTP、Telnet的TCP端口改為非標(biāo)準(zhǔn)端口。Web目錄、CGI目錄、scripts目錄和W

30、inNT目錄只允許管理員完全控制。凡是涉及到訪問與系統(tǒng)有關(guān)的重要文件，除系統(tǒng)管理員賬號(hào)Administrator外，其他賬號(hào)均應(yīng)設(shè)置為只讀權(quán)限。2.3.3 Windows NT的安全管理措施7取消TCP/IP上的NetBIOS綁定Windows NT系統(tǒng)管理員可以通過構(gòu)造目標(biāo)站NetBIOS名與其IP地址之間的影像，對(duì)Internet或Intranet上的其他服務(wù)器進(jìn)行管理，但非法用戶也可從中找到可乘之機(jī)。如果這種遠(yuǎn)程管理不是必需的，可立即取消（通過網(wǎng)絡(luò)屬性的綁定選項(xiàng)，取消NetBIOS與TCP/IP之間的綁定），如禁用NetBIOS端口。2.3.3 Windows NT的安全管理措施8數(shù)據(jù)保

31、護(hù)由于網(wǎng)絡(luò)系統(tǒng)出現(xiàn)故障、數(shù)據(jù)丟失等原因致使系統(tǒng)不能可靠運(yùn)行或系統(tǒng)不能正常啟動(dòng)時(shí)，Windows NT系統(tǒng)可為網(wǎng)絡(luò)用戶提供快速、準(zhǔn)確的服務(wù)，如系統(tǒng)修復(fù)或數(shù)據(jù)恢復(fù)，使系統(tǒng)能正常工作。Windows NT系統(tǒng)可提供以下的數(shù)據(jù)保護(hù)方法：(1) 磁帶備份(2) UPS(3) 系統(tǒng)容錯(cuò)2.3.3 Windows NT的安全管理措施9系統(tǒng)的恢復(fù)和修復(fù)采用了容錯(cuò)技術(shù)的系統(tǒng)恢復(fù)的效果較好。但如果沒有采用容錯(cuò)技術(shù)，由于各種原因使得Windows NT系統(tǒng)無法正常啟動(dòng)時(shí)，無論采取什么方法修復(fù)系統(tǒng)，效果都是有限的。以下是常用的Windows NT系統(tǒng)修復(fù)或恢復(fù)方法。(1) 利用“系統(tǒng)配置”環(huán)境恢復(fù)Windows NT

32、系統(tǒng)(2) 利用“緊急修復(fù)磁盤”修復(fù)被損壞的Windows NT系統(tǒng)(3) 利用“Windows NT啟動(dòng)盤”修復(fù)被損壞的系統(tǒng)2.3.3 Windows NT的安全管理措施2.4.1 Windows 2000的安全性措施1及時(shí)備份系統(tǒng)2設(shè)置系統(tǒng)格式為NTFS3加密文件或文件夾4取消共享目錄的EveryOne組5創(chuàng)建緊急修復(fù)磁盤6使用好安全規(guī)則7對(duì)系統(tǒng)進(jìn)行跟蹤記錄24 Windows 2000系統(tǒng)安全24 Windows 2000系統(tǒng)安全2.4.2 Windows 2000的安全性技術(shù)1活動(dòng)目錄2身份驗(yàn)證3基于對(duì)象的訪問控制4數(shù)據(jù)安全性技術(shù)(1) 認(rèn)證服務(wù)(2) 證書服務(wù)(3) 加密功能IP S

33、ecurity EFS 25 Windows 2003系統(tǒng)安全1提高密碼的破解難度2啟用賬戶鎖定策略3限制用戶登錄4限制外部連接5限制特權(quán)組成員6啟用系統(tǒng)審核機(jī)制7監(jiān)視開放的端口和連接8監(jiān)視共享9監(jiān)視進(jìn)程和系統(tǒng)信息26 Unix和Linux系統(tǒng)安全2.6.1 UNIX系統(tǒng)安全1UNIX系統(tǒng)的安全基礎(chǔ)2UNIX系統(tǒng)漏洞與防范(1) RPC服務(wù)緩沖區(qū)溢出(2) Sendmail漏洞(3) BIND的脆弱性(4) “R”命令缺陷3UNIX的主機(jī)安全性(1) 用戶與口令安全性(2) 文件系統(tǒng)安全性(3) 系統(tǒng)配置安全性26 Unix和Linux系統(tǒng)安全2.6.2 Linux系統(tǒng)安全1身份驗(yàn)證機(jī)制2用戶

34、權(quán)限體系3文件加密機(jī)制4安全系統(tǒng)日志和審計(jì)機(jī)制5強(qiáng)制訪問控制6Linux安全工具(1) tcpserver(2) xinetd(3) sudo(4) 安全檢查工具nessus(5) 監(jiān)聽工具sniffit(6) 掃描工具nmap27 網(wǎng)絡(luò)操作系統(tǒng)安全實(shí)例2.7.1 網(wǎng)絡(luò)操作系統(tǒng)漏洞與補(bǔ)丁程序安裝1Windows 系統(tǒng)的安全漏洞(1) SAM數(shù)據(jù)庫(kù)漏洞(2) SMB協(xié)議漏洞(3) Registry數(shù)據(jù)庫(kù)權(quán)限漏洞(4) 權(quán)限設(shè)置漏洞(5) 建立域別名漏洞(6) 登錄驗(yàn)證機(jī)制漏洞(7) NetBIOS漏洞(8) Telnet漏洞(9) 奇怪的系統(tǒng)崩潰漏洞(10) IIS服務(wù)泄漏文件內(nèi)容(11) IC

35、MP漏洞27 網(wǎng)絡(luò)操作系統(tǒng)安全實(shí)例2.7.1 網(wǎng)絡(luò)操作系統(tǒng)漏洞與補(bǔ)丁程序安裝2補(bǔ)丁程序補(bǔ)丁程序是指對(duì)于大型軟件系統(tǒng)(如微軟操作系統(tǒng))在使用過程中暴露的問題(一般由黑客或病毒設(shè)計(jì)者發(fā)現(xiàn))而發(fā)布的解決問題的小程序。就像發(fā)現(xiàn)衣服有破洞了就要打補(bǔ)丁一樣，軟件的補(bǔ)丁用來修補(bǔ)軟件程序的“漏洞”。因?yàn)檐浖侨藢懙模幊倘藛T在編程時(shí)也有考慮不周、不完善的地方，軟件會(huì)出現(xiàn)BUG，而補(bǔ)丁是專門修復(fù)這些BUG的。原來發(fā)布的軟件存在缺陷，發(fā)現(xiàn)之后另外編制一個(gè)小程序?qū)ζ淙毕葸M(jìn)行彌補(bǔ)，使其完善，這種小程序就稱為“補(bǔ)丁”。補(bǔ)丁是由軟件的原作者制作的。補(bǔ)丁程序主要有系統(tǒng)補(bǔ)丁和軟件補(bǔ)丁。系統(tǒng)補(bǔ)丁顧名思義就是操作系統(tǒng)的不定期錯(cuò)誤

36、漏洞修復(fù)程序，如微軟的、Unix的、Linux的等操作系統(tǒng)補(bǔ)丁。軟件補(bǔ)丁通常是因?yàn)榘l(fā)現(xiàn)了軟件的小錯(cuò)誤，為了修復(fù)個(gè)別小錯(cuò)誤而推出的，或者為了增強(qiáng)某些小功能而發(fā)布的，或者是為了增強(qiáng)文件抵抗電腦病毒感染而發(fā)布的補(bǔ)丁，如微軟的Office為了抵抗宏病毒而打補(bǔ)丁。 27 網(wǎng)絡(luò)操作系統(tǒng)安全實(shí)例2.7.1 網(wǎng)絡(luò)操作系統(tǒng)漏洞與補(bǔ)丁程序安裝3補(bǔ)丁程序的安裝利用系統(tǒng)的Update功能打補(bǔ)丁 如果軟件提供了Update(自動(dòng)更新)功能，打補(bǔ)丁就是一件非常簡(jiǎn)單的事情，只需要在“開始”菜單中找到Update命令，單擊后即可自動(dòng)上網(wǎng)搜索官方網(wǎng)站，檢查有無最新版本或者補(bǔ)丁程序。手工打補(bǔ)丁 多數(shù)補(bǔ)丁需要先在開發(fā)商網(wǎng)站或軟件下

37、載網(wǎng)站下載，然后再在本機(jī)上運(yùn)行相應(yīng)命令來完成。有些補(bǔ)丁需要按照一定操作步驟來完成，因此在打補(bǔ)丁之前要先仔細(xì)閱讀其說明文檔，以免產(chǎn)生錯(cuò)誤，造成不可挽回的損失。27 網(wǎng)絡(luò)操作系統(tǒng)安全實(shí)例2.7.2 Windows 2003系統(tǒng)的安全操作與設(shè)置1清除默認(rèn)共享隱患2杜絕非法訪問應(yīng)用程序3禁用IPC連接4清空遠(yuǎn)程可訪問的注冊(cè)表路徑5關(guān)閉不必要的端口和服務(wù)(1) 關(guān)閉139端口(2) 關(guān)閉445端口(3) 關(guān)閉135端口(4) 關(guān)閉自動(dòng)播放服務(wù)6刪除不安全的組件7賬戶鎖定設(shè)置27 網(wǎng)絡(luò)操作系統(tǒng)安全實(shí)例2.7.3 Linux操作系統(tǒng)安全及服務(wù)器配置1BIOS的安全設(shè)置 2GRUB安全設(shè)置(1) 設(shè)置全局口令

38、鎖定啟動(dòng)菜單(2) 使用全局口令鎖定啟動(dòng)菜單(3) 使用MD5加密口令(4) 口令安全(5) 自動(dòng)注銷賬號(hào)(6) 取消普通用戶的控制臺(tái)訪問權(quán)限(7) 取消并反安裝所有不用的服務(wù) (8) TCP_WRAPPERS (9) 修改“/etc/host.conf”文件 (10) 禁止從不同的設(shè)備進(jìn)行root登錄 (11) Shell logging Bash (12) 給“/etc/rc.d/init.d” 下的script文件設(shè)置權(quán)限 (13) 隱藏系統(tǒng)信息 習(xí)題和思考題思考與答疑第3章 計(jì)算機(jī)網(wǎng)絡(luò)實(shí)體安全本章要點(diǎn) 網(wǎng)絡(luò)機(jī)房及環(huán)境安全 網(wǎng)絡(luò)實(shí)體的自然與人為災(zāi)害的防護(hù) 系統(tǒng)存儲(chǔ)介質(zhì)的保護(hù) 路由器的安全

39、與配置 交換機(jī)的安全與配置31 計(jì)算機(jī)網(wǎng)絡(luò)機(jī)房設(shè)施及環(huán)境安全3.1.1 機(jī)房的安全保護(hù)按計(jì)算機(jī)系統(tǒng)的安全要求，計(jì)算機(jī)機(jī)房的安全可分為A級(jí)、B級(jí)和C級(jí)三個(gè)基本級(jí)別。對(duì)A級(jí)機(jī)房的安全有嚴(yán)格的要求，有完善的機(jī)房安全措施，有最高的安全性和可靠性等。A級(jí)機(jī)房對(duì)場(chǎng)地選擇、防火、防電磁泄漏、內(nèi)部裝修、供配電系統(tǒng)、空調(diào)系統(tǒng)、火災(zāi)報(bào)警和消防設(shè)施、防水、防靜電、防雷擊、防鼠害等均有要求。對(duì)B級(jí)機(jī)房的安全有較嚴(yán)格的要求，有較完善的機(jī)房安全措施。對(duì)C級(jí)機(jī)房的安全有基本的要求，有基本的機(jī)房安全措施。C級(jí)要求機(jī)房確保系統(tǒng)一般運(yùn)行時(shí)的最低安全性和可靠性。C級(jí)機(jī)房?jī)H對(duì)防火、供配電系統(tǒng)、空調(diào)系統(tǒng)、火災(zāi)報(bào)警和消防設(shè)施有基本的要求

40、。31 計(jì)算機(jī)網(wǎng)絡(luò)機(jī)房設(shè)施及環(huán)境安全3.1.1 機(jī)房的安全保護(hù)1機(jī)房場(chǎng)地的安全 2機(jī)房裝飾裝修3機(jī)房的出入管理4機(jī)房的內(nèi)部管理與維護(hù)5機(jī)房的環(huán)境設(shè)備監(jiān)控31 計(jì)算機(jī)網(wǎng)絡(luò)機(jī)房設(shè)施及環(huán)境安全3.1.2 機(jī)房的溫度、濕度和潔凈度1溫度2濕度3潔凈度31 計(jì)算機(jī)網(wǎng)絡(luò)機(jī)房設(shè)施及環(huán)境安全3.1.3 機(jī)房的空調(diào)系統(tǒng)與電源保護(hù)1隔離和自動(dòng)穩(wěn)壓2穩(wěn)壓穩(wěn)頻器3不間斷電源（UPS）31 計(jì)算機(jī)網(wǎng)絡(luò)機(jī)房設(shè)施及環(huán)境安全3.1.4 機(jī)房的防火與防水1機(jī)房的防火(1) 建筑物防火(2) 設(shè)置火災(zāi)報(bào)警系統(tǒng)及滅火裝置(3) 加強(qiáng)防火安全管理2機(jī)房的防水31 計(jì)算機(jī)網(wǎng)絡(luò)機(jī)房設(shè)施及環(huán)境安全3.1.5 機(jī)房的電磁干擾防護(hù)電磁干擾主要來自計(jì)算機(jī)系統(tǒng)外部和自身。 通常可采取以下措施來防止和減少電磁干擾