1、第第2章章 网络操作系统安全网络操作系统安全 操作系统安全 访问控制的概念、类型及措施 Windows NT/2000/2003系统的完全性 UNIX和Linux系统的安全性本章要点本章要点21 网络网络操作系统简统简介 计算机网络是由多个相互独立的计算机系统通过通信媒体连接起来的。各计算机都具有一个完整独立的操作系统，网络操作系统(NOS)是建立在这些独立的操作系统基础上用以扩充网络功能的系统(系统平台)。网络操作系统是为使网络用户能方便而有效地共享网络资源而提供各种服务的软件及相关规程，它是整个网络的核心，通过对网络资源的管理，使网上用户能方便、快捷、有效地共享网络资源。操作系统的主要功能
2、包括：进程控制和调度、信息处理、存储器管理、文件管理、输入/输出管理、资源管理等。21 网络网络操作系统简统简介NOS是一种运行在硬件基础上的网络操作和管理软件，是网络软件系统的基础，它建立一种集成的网络系统环境，为用户方便而有效地使用和管理网络资源提供网络接口和网络服务。NOS除了具有一般操作系统所具有的处理机管理、存储器管理、设备管理和文件管理功能外，还提供高效而可靠的网络通信环境和多种网络服务功能。如文件服务、打印服务、记账服务、数据库服务以及支持Internet和Intranet服务。21 网络网络操作系统简统简介 目前，常用的网络操作系统有Windows 2000 Server、Wi
3、ndows NT Server、NetWare、UNIX和Linux。21 网络网络操作系统简统简介 Windows NT是Microsoft公司在LAN Manager网络操作系统基础上于1993年推出的具有更高性能的NOS(Windows NT 3.1)Windows NTS主要用于网络上的服务器，包括文件服务器、打印服务器和Windows NT网络的主域控制器等；Windows NTWS则主要服务于高档客户。从网络角度看，Windows NTS属于管理网络的主服务器软件，而Windows NTWS则用于管理特殊工作站或用户工作站。两者相比，服务器软件附带有较强的管理功能和较完善的Inte
4、rnet功能，如可以使用附带的IIS软件建立企业网的Internet信息服务器，而工作站软件只有较简单的单一Web服务功能。2.1.1 Windows NT系统统Windows NT是一种32位多用户、多任务的网络操作系统，也是一种面向分布式图形应用程序的完整的平台系统。Windows NT是功能强大的网络操作系统，既适合于大型业务机构的实时、分时数据处理，又能为工作组、商业和企业的不同机构提供一种优化的文件和打印服务，其Client/Server平台还可以集成各种新技术，通过该平台为信息存取提供优越的环境。Windows NT操作系统在其核心内置了容错技术，可以在应用软件和系统硬件故障时，保
5、证系统能正常可靠地工作；提供了相当多的易于实施的网络管理及网络安全功能，如创建用户组和用户，用户入网安全限制，进行各种CPU和内存的测试与分析等。2.1.1 Windows NT系统统 在Windows NT之后Microsoft 公司又推出的Windows 2000网络操作系统。它集Windows98和WindowsNT4.0的很多优良功能和性能于一身，超越了WindowsNT的原来含义。与Windows NT相比，Windows 2000在许多方面都做了较大的改动，在安全性、可操作性等方面都有了质的飞跃。Windows 2000系列操作平台，继承了Windows NT的高性能，融入了Win
6、dows 9x易操作的特点，又发展了一些新的特性。Windows 2000使用了活动目录、分布式文件系统、智能镜像、管理咨询等新技术，它具备了强大的网络功能，可作为各种网络的操作平台，尤其是Windows 2000强化的网络通信、提供了强大的Internet功能。2.1.2 Windows 20002.1.2 Windows 2000系统系统 Windows 2000系列操作系统有Windows 2000 Datacenter Server、Windows 2000 Advanced Server、Windows 2000 Server和Windows 2000 Professional四个产
7、品。Windows 2000 Datacenter Server是一个新的品种，它支持32个以上的CPU和64GB的内存，以及4个节点的集群服务Windows 2000 Server和Advanced Server分别是Windows NT Server 4.0及其企业版的升级产品。Windows2000 Professional是一个商业用户的桌面操作系统，也适合移动用户，是Windows NT Workstation4.0的升级。2.1.2 Windows 20002.1.2 Windows 2000系统系统 Windows 2000平台包括了Windows 2000 Profession
8、al和Windows 2000 Server前后台的集成，它具有如下的新特性和新功能。1活动动目录录 2分布式文件系统统 3管理咨询询 4智能镜镜像技术术 5强化的网络网络通信 虚拟专用网（虚拟专用网（VPN）。）。路由和远程访问服务。路由和远程访问服务。路由和网关路由和网关 网络地址转换。网络地址转换。2.1.2 Windows 20002.1.2 Windows 2000系统系统 在微软的企业级操作系统中，如果说Windows2000全面继承了NT技术，那么Windows Server 2003则是依据.Net架构对NT技术进行了重要发展和实质性改进，并部分实现了.Net战略，构筑了.Ne
9、t战略中最基础的一环。Windows Server 2003作为.Net架构提出以来最重要、最基础性的产品，它的推出受到了业内人士的关注。Windows Server 2003是一款微软推出的全新操作系统。Windows Server 2003简体中文版分Web、Standard、Enterprise和Datacenter四个版本。Enterprise版最大支持8个处理器和32GB内存，最小配置为CPU速度不低133MHz，内存不少于128MB。因此，Windows Server 2003具有硬件适应性面广和伸缩性强的特点。2.1 3 Windows 20032.1 3 Windows 200
10、3操作系统操作系统 Windows Server 2003不仅改进了Windows2000原有的服务，提高了这些服务的性能和扩充了许多功能，而且还增加了新的服务。1 1安全性安全性 2 2可管理性可管理性 3 3系统性能系统性能 4 4安装和界面安装和界面 5 5功能功能2.1 3 Windows 20032.1 3 Windows 2003操作系统操作系统 1UNIX概述概述 1970年，在美国电报电话公司（AT&T）的贝尔（Bell）实验室研制出了一种新的计算机操作系统，这就是UNIX。UNIX是一种分时操作系统，主要用在大型机、超级小型机、RISC计算机和高档微机上。UNIX系统的成功取
11、决于它将TCP/IP协议运行于UNIX操作系统上，使之成为UNIX操作系统的核心，从而构成了UNIX网络操作系统。UNIX操作系统在各种机器上都得到了广泛的应用，它已成为最流行的网络操作系统之一和事实上标准的网络操作系统。UNIX系统服务器可以与Windows及DOS工作站通过TCP/IP协议连接成网络。UNIX服务器具有支持网络文件系统服务、提供数据库应用等优点。2.1.4 UNIX2.1.4 UNIX系统系统 2 2UNIXUNIX操作系统的特点操作系统的特点 UNIXUNIX系统是一个可供多用户同时操作的会话式分时系统是一个可供多用户同时操作的会话式分时操作系统。操作系统。UNIXUNI
12、X系统继承了以往操作系统的先进技术，在操作系系统继承了以往操作系统的先进技术，在操作系统功能设计上力求简捷、高效。统功能设计上力求简捷、高效。UNIXUNIX系统在结构上分为内核和核外程序两部分。系统在结构上分为内核和核外程序两部分。UNIXUNIX系统向用户提供了两种界面：即用户界面和系统系统向用户提供了两种界面：即用户界面和系统调用。调用。UNIXUNIX系统采用树型结构的文件系统。系统采用树型结构的文件系统。UNIXUNIX系统提供了丰富的核外系统程序，为用户提供了系统提供了丰富的核外系统程序，为用户提供了相当完备的程序设计环境。相当完备的程序设计环境。UNIXUNIX系统基本上是用系统
13、基本上是用C C语言编写的，这使系统易于理语言编写的，这使系统易于理解、修改和扩充，且使系统具有良好的可移植性。解、修改和扩充，且使系统具有良好的可移植性。UNIXUNIX系统是能在笔记本计算机、系统是能在笔记本计算机、PCPC机、工作站、中小机、工作站、中小型机乃至巨型机上运行的操作系统。因此，型机乃至巨型机上运行的操作系统。因此，UNIXUNIX系统系统具有极强的可伸缩性。具有极强的可伸缩性。2.1.4 UNIX2.1.4 UNIX系统系统2.1.5 Linux 系统统 1Linux 概概述 Linux 是一种类种类似UNIX操作系统统的自由软软件，它它是由一位芬兰兰赫尔辛基大学学的一位叫
14、Linus的大学学生发发明的。随着Internet的普及应用，免费而性能优异的Linux操作系统将发挥越来越大的作用。Linux和Internet的发展相辅相成，Linux 是一个完全公开的操作系统，每个人都可以得到它的源代码，这使得许多人的才能有了用武之地。2.1.5 Linux 系统统2Linux的特点Linux继继承了UNIX的很多优优点(如多任务务、多用户户)，但也具有如下自身独独特的优优点：共享内存页面。共享内存页面。使用分页技术的虚拟内存。使用分页技术的虚拟内存。动态链接共享库动态链接共享库。支持多个虚拟控制台支持多个虚拟控制台 调度磁盘缓冲功能调度磁盘缓冲功能 支持多平台支持多平
15、台 与其他与其他UNIX系统兼容系统兼容 提供全部源代码提供全部源代码 此外，此外，Linux还具有支持多种还具有支持多种CPU、多种硬件、软件移植性好等特、多种硬件、软件移植性好等特点。点。2 22 2 网络操作系统的安全与管理网络操作系统的安全与管理 操作系统主要的安全功能包括：存储器保护(限定存储区和地址重定位，保护存储信息)、文件保护(保护用户和系统文件，防止非授权用户访问)、访问控制、身份认证(识别请求访问的用户权限和身份)等。网络操作系统主要有以下两大类安全漏洞：输输入/输输出(I/O)非法访问访问。在一些操作系统中，一旦I/O操作被检查通过后，该操作系统就继续执行操作而不再进行检
16、查，这样就可能造成后续操作的非法访问。操作系统统陷门门。某些操作系统为了维护方便、使系统兼容性和开放性更好，在设计时预留了一些端口或保留了某些特殊的管理程序功能。22 网络网络操作系统统的安全与与管理2.2.1 操作系统统安全的概概念 第一，操作系统本身提供的安全功能和安全服务。第二，针对各种常用的操作系统，进行相关配置，使之能正确对付和防御各种入侵；第三，保证网络操作系统本身所提供的网络服务能得到安全配置。22 网络网络操作系统统的安全与与管理访问控制系统一般包括：访问控制系统一般包括：主体主体(subject)(subject)。主体是指发出访问操作、存取请求的主动方，它包括用户、用户组、
17、主机、终端或应用进程等。主体可以访问客体。客体客体(object)(object)。客体是指被调用的程序或要存取的数据访问，它包括文件、程序、内存、目录、队列、进程间报文、I/O设备和物理介质等。安全访问政策。安全访问政策。安全访问政策是一套规则，可用于确定一个主体是否对客体拥有访问能力。22 网络网络操作系统统的安全与与管理2.2.2 网络网络的访问访问控制1访问访问控制的概概念为了系统信息的保密性和完整性，系统需要实施访问控制。访问控制也叫授权，它是对用户访问网络系统资源进行的控制过程。只有被授予一定权限的用户，才有资格去访问有关的资源。访问控制具体包括两方面涵义，一是指对用户进入系统的控
18、制，最简单最常用的方法是用户账户和口令限制，其次还有一些身份验证措施；二是用户进入系统后对其所能访问的资源进行的限制，最常用的方法是访问权限和资源属性限制。2 22 2 网络操作系统的安全与管理网络操作系统的安全与管理2.2.2 网络网络的访问访问控制1访问访问控制的概概念访问控制所考虑的是对主体访问客体的控制。主体一般是以用户为单位实施访问控制，此外，网络用户也有以IP地址为单位实施访问控制的。客体的访问控制范围可以是整个应用系统，包括网络系统、服务器系统、操作系统、数据库管理系统；文件、数据库、数据库中的某个表甚至是某个记录或字段等。一般来说，对整个应用系统的访问，宏观上通常是采用身份鉴别
19、的方法进行控制，而微观控制通常是指在操作系统、数据库管理系统中所提供的用户对文件或数据库表、记录/字段的访问所进行的控制。22 网络网络操作系统统的安全与与管理2.2.2 网络网络的访问访问控制2访问访问控制的类类型访问控制可分为自主访问控制和强制访问控制两大类。所谓自主访问访问控制，是指由用户有权对自身所创建的访问对象(文件、数据表等)进行访问，并可将对这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限。自主访问控制允许用户自行定义其所创建的数据。需要指出的是，在一些系统中，往往是由系统管理员充当访问对象的创建者，并进行访问授权，而在其后通过“授权转让”将权限转让给指定用户。22
20、网络网络操作系统统的安全与与管理2.2.2 网络网络的访问访问控制2访问访问控制的类类型所谓强制访问访问控制，是指由系统(通过专门设置的系统安全员)对用户所创建的对象进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么样操作系统类型的访问，即使是创建者用户，在创建一个对象后，也可能无权访问该对象。所有用户的访问权限完全是由安全员根据需要确定的。强制访问控制还有其他安全策略，如“角色授权管理”。该策略将系统中的访问操作按角色进行分组管理。一种角色执行一种操作，由系统安全员进行统一授权。当授予某一用户某个角色时，该用户就有执行该角色所对应的一组操作的权限。22 网络网络操作系统统
21、的安全与与管理2.2.2 网络网络的访问访问控制3访问访问控制措施 访问控制是保证网络系统安全的主要措施，也是维护网络系统安全、保护网络资源的重要手段。通常具体的访问控制措施有以下几种。l(1)入网访问网访问控制l(2)权权限访问访问控制l(3)属属性访问访问控制l(4)身份验证份验证l(5)网络网络端口和节节点的安全控制22 网络网络操作系统统的安全与与管理22 网络网络操作系统统的安全与与管理(1)入网访问网访问控制 入网访问控制是为用户安全访问网络设置的第一道关入网访问控制是为用户安全访问网络设置的第一道关口。口。入网访问控制主要就是对要进入系统的用户进行识别，并验证其合法身份。系统可以
22、采用用户账户和口令、账户锁定、安全标识符及其他一些身份验证等方法实现。1)用户户名和口令验证验证 2)账户锁账户锁定 3)用户账户户账户的默认认限制 入网时间限制 入网站点限制 入网次数限制 资源容量限制 22 网络网络操作系统统的安全与与管理(2)权权限访问访问控制 一个用户登录入网后，并不意味着他能够访问网络中一个用户登录入网后，并不意味着他能够访问网络中的所有资源。用户访问网络资源的能力将受到访问权的所有资源。用户访问网络资源的能力将受到访问权限的限制。访问权限控制一个用户能访问哪些资源限的限制。访问权限控制一个用户能访问哪些资源（目录和文件），以及对这些资源能进行哪些操作。（目录和文件
23、），以及对这些资源能进行哪些操作。在系统为用户指定用户账户后，系统根据该用户在网在系统为用户指定用户账户后，系统根据该用户在网络系统中要做的工作及相关要求，可为用户访问系统络系统中要做的工作及相关要求，可为用户访问系统资源设定访问权限。用户要访问的系统资源包括目录、资源设定访问权限。用户要访问的系统资源包括目录、子目录、文件和设备；用户要对这些资源的访问操作子目录、文件和设备；用户要对这些资源的访问操作可有读、写、建立、删除、更改等。可有读、写、建立、删除、更改等。22 网络网络操作系统统的安全与与管理(3)(3)属性访问控制属性访问控制 属性是文件、目录等资源的访问特性。系统可直接对目录、文
24、件等资源规定其访问属性。通过设置资源属性可以控制用户对资源的访问。属性是在权限安全性的基础上提供的进一步的安全性。属性是系统直接设置给资源的，它对所有用户都具有约束权，一旦目录、文件等资源具有了某些属性，用户(包括超级用户)都不能进行超出这些属性规定的访问，即不论用户的访问权限如何，只按照资源自身的属性实施访问控制。如某文件具有只读属性，对其有读写权限的用户也不能对该文件进行写操作。要修改目录或文件的属性，必须有对该目录或文件的修改权；要改变用户对目录或文件的权限，用户必须具有对该目录或文件的访问控制权。属性可以控制访问权限不能控制的权限，如可以控制一个文件是否可以同时被多个用户使用等。22
25、网络网络操作系统统的安全与与管理(4)身份验证份验证 身份验证是证明某人是否为合法用户的过程，它是信息安全体系中的重要组成部分。身份验证的方法有很多种，不同方法适合于不同的环境，网络组织可以根据自己的情况加以选择。以下是几种常用的身份验证方法。用户名和口令验证用户名和口令验证 数字证书验证 Security ID验证 用户的生理特征验证 智能卡验证 22 网络网络操作系统统的安全与与管理(5)网络网络端口和节节点的安全控制 网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户，静默调制解调器用以防范黑客的自动拨号程序对
26、计算机进行的攻击。网络还常对服务器端和用户端采取控制，用户必须携带证实身份的验证器（如智能卡、磁卡、安全密码发生器等），在对用户的身份进行验证合法之后，才允许用户进入用户端。然后，用户端和服务器端再进行相互验证。23 Windows NT系统统安全2.3.1 Windows NT的安全基础础1Windows NT中的对对象Windows NT的安全机制是建立在对象的基础上的，因此，对象的概念与安全问题密切相关。对象是构成Windows NT操作系统的基本元素，它可以是文件、目录、存储器、驱动器或系统程序等。2Windows NT中的网络网络模型Windows NT系统统中有两种两种基本的网络网
27、络模型：工作组组模型和域模型。(1)工作组组模型工作组模型：是一个“对等”网结构。(2)域模型 域是一个共享公共目录数据库和安全策略的计算机及用户的集合，它提供登录认证，并具有唯一的域名。23 Windows NT系统统安全3.用户帐户户帐户、权权力和权权限 每个要登录Win NT的用户，都要有一个用户帐户户帐户，该帐户是由系统管理员创建的，用户帐户中包括用户的名称、密码、用户权力、访问权限等信息。创建帐户后，Win NT再为帐户指定一个唯一的安全标识符SID。23 Windows NT系统统安全 用户和组都有一定的权权力，权力定义了用户在系统中能做什么。如：从网络中访问计算机、向域中添加工作
28、站和成员服务器、备份文件和目录、改变系统时间、强制从远程系统退出、装/卸设备驱动器、本地登录、恢复文件和目录等。这些权力大多数只指定给管理用户。23 Windows NT系统统安全 用户和组要有权权限才能使用对象。权限可由系统管理员赋予用户，也可由文件、目录等对象的所有者赋予用户。Win NT的权限有：列表、读取、添加、修改、添加并读取、完全控制等。23 Windows NT系统统安全4.目录数录数据库库 目录数据库是整个网络系统中不可缺少的重要组成部分。目录数据库用来存放域中所有的安全数据和用户帐户信息。用户登录时，用它来核对、检验用户输入的数据是否符合其相应的身份和使用权限。该数据库被存放
29、在主域控制器，在备份域控制器中也有它的备份。23 Windows NT系统统安全5.注册册表 注册表是包括应用程序、硬件设备、设备驱动程序配置、网络协议和网卡设置等信息的数据库。它是一个具有容错功能的数据库，如果系统出现错误，日志文件使用Win NT能够恢复和修改数据库，以保证系统正常运行。23 Windows NT系统统安全2.3.2 Windows NT的安全性机制和技术术 1安全性机制(1)账号规则账号规则(2)用户权户权限规则规则(3)审审核规则规则(4)域管理机制23 Windows NT系统统安全23 Windows NT系统统安全 2安全性技术术(1)Kerberos(2)EFS
30、(3)IP Security 1账号账号和密码码策略 Windows NT域用户户管理器通过为过为用户户分配的账号账号和密码来验证码来验证用户户身份份，保证证系统资统资源的安全。用户账号户账号是系统统根据用户户的使用要求和网络网络所能给给予的服务为务为用户户分配的，账号账号名称称通常是公开开的。用户账号户账号密码码在密码码的选选取、密码码的维护维护等方面都要符合安全性要求和使用方便的原则则，用户账号户账号密码码是保密的。2.3.3 Windows NT2.3.3 Windows NT的安全管理措施的安全管理措施2控制授权权用户户的访问访问在Windows NT域中配置适当的NTFS访问控制可增
31、强网络安全。在系统默认情况下，每建立一个新的共享，Everyone用户就享有“完全控制”的共享权限，因此在使用时要取消或更改默认情况下Everyone组的“完全控制”权限，要始终设置用户所能允许的最小目录和文件的访问权限。为安装后默认的Guest用户设置密码，以防被黑客利用。为每个用户指定一个工作组，为工作组指定文件和目录访问权限，这样，当某个用户角色变更时，只要把该用户从工作组中删除或指定他属于另一组，即可收回或更改该用户的访问权限。所以说，将用户以“组”的方式进行管理，是用户管理的一个有效方法。2.3.3 Windows NT2.3.3 Windows NT的安全管理措施的安全管理措施3及
32、时时下载载和更新补补丁程序经常光顾安全网站，下载最新补丁程序，或用最新的Service Pack升级Windows NT Server，因为Service Pack中有所有补丁程序和新发表的诸多安全补丁程序。4控制远远程访问访问服务务远程访问是入侵者攻击Windows NT系统的常用手段，因此可以采取控制远程服务的方法减少对系统的攻击。Windows NT防止外来入侵最好的功能是认证系统。Windows 95/98和Windows NT Workstation客户机不仅可以交换用户ID和口令数据，而且还使用Windows专用的响应协议，这可确保不会出现相同的认证数据，并可以有效地阻止内部黑客捕
33、捉网络信息包。如条件允许，可使用回叫安全机制，并尽量采用数据加密技术，以保证数据安全。2.3.3 Windows NT2.3.3 Windows NT的安全管理措施的安全管理措施5启动审查功能启动审查功能为防止未经授权的访问，可以利用域用户管理器启用安全审查功能，以便在安全日志中记录未经授权的访问企图，以便尽早发现安全漏洞并及时补救。但要结合工作实际，设置合理的审计规则。6应用系统的安全应用系统的安全在Windows NT上运行的应用系统，应及时通过各种途径获得补丁程序，以解决其安全问题。把IIS中的sample、scripts、iisadmin和msadc等Web目录设置为禁止匿名访问并限制
34、IP地址。把FTP、Telnet的TCP端口改为非标准端口。Web目录、CGI目录、scripts目录和WinNT目录只允许管理员完全控制。凡是涉及到访问与系统有关的重要文件，除系统管理员账号Administrator外，其他账号均应设置为只读权限。2.3.3 Windows NT2.3.3 Windows NT的安全管理措施的安全管理措施 7取消TCP/IP上的NetBIOS绑绑定 Windows NT系统管理员可以通过构造目标站NetBIOS名与其IP地址之间的影像，对Internet或Intranet上的其他服务器进行管理，但非法用户也可从中找到可乘之机。如果这种远程管理不是必需的，可立
35、即取消（通过网络属性的绑定选项，取消NetBIOS与TCP/IP之间的绑定），如禁用NetBIOS端口。2.3.3 Windows NT2.3.3 Windows NT的安全管理措施的安全管理措施8数数据保护护由于网络网络系统统出现现故障、数数据丢丢失等原因致使系统统不能可靠运运行或系统统不能正常启动时启动时，Windows NT系统统可为网络为网络用户户提供快速、准确的服务务，如系统统修复复或数数据恢复复，使系统统能正常工作。Windows NT系统统可提供以下的数数据保护护方法：(1)磁带备份带备份(2)UPS(3)系统统容错错2.3.3 Windows NT2.3.3 Windows N
36、T的安全管理措施的安全管理措施 9系统统的恢复复和修复复 采用了容错错技术术的系统统恢复复的效果较较好。但如果没没有采用容错错技术术，由于各种种原因使得Windows NT系统统无法正常启动时启动时，无论论采取什么么方法修复复系统统，效果都是有限的。以下是常用的Windows NT系统统修复复或恢复复方法。(1)利用“系统统配置”环环境恢复复Windows NT系统统(2)利用“紧紧急修复复磁盘盘”修复复被损损坏的Windows NT系统统(3)利用“Windows NT启动盘启动盘”修复复被损损坏的系统统2.3.3 Windows NT2.3.3 Windows NT的安全管理措施的安全管理
37、措施2.4.1 Windows 2000的安全性措施1及时备份时备份系统统2设设置系统统格式为为NTFS3加密文件或文件夹夹4取消共享目录录的EveryOne组组5创创建紧紧急修复复磁盘盘6使用好安全规则规则7对对系统进统进行跟踪记录记录2 24 Windows 20004 Windows 2000系统安全系统安全2 24 Windows 20004 Windows 2000系统安全系统安全 2.4.2 Windows 2000的安全性技术术 1活动动目录录 2身份验证份验证 3基于对对象的访问访问控制 4数数据安全性技术术(1)认证认证服务务(2)证书证书服务务(3)加密功能 IP Secu
38、rity EFS 2 25 Windows 20035 Windows 2003系统安全系统安全 1提高密码码的破解难难度 2启启用账户锁账户锁定策略 3限制用户户登录录 4限制外部连连接 5限制特权组权组成员员 6启启用系统审统审核机制 7监视开监视开放的端口和连连接 8监视监视共享 9监视进监视进程和系统统信息2 26 Unix6 Unix和和LinuxLinux系统安全系统安全 2.6.1 UNIX系统统安全 1UNIX系统统的安全基础础 2UNIX系统统漏洞与与防范(1)RPC服务缓务缓冲区区溢出(2)Sendmail漏洞(3)BIND的脆弱性(4)“R”命令缺陷 3UNIX的主机安全
39、性(1)用户与户与口令安全性(2)文件系统统安全性(3)系统统配置安全性2 26 Unix6 Unix和和LinuxLinux系统安全系统安全 2.6.2 Linux系统统安全 1身份验证份验证机制 2用户权户权限体系 3文件加密机制 4安全系统统日志和审计审计机制 5强制访问访问控制 6Linux安全工具(1)tcpserver(2)xinetd(3)sudo(4)安全检查检查工具nessus(5)监监听工具sniffit(6)扫扫描工具nmap2 27 7 网络操作系统安全实例网络操作系统安全实例 2.7.1 网络网络操作系统统漏洞与补与补丁程序安装 1Windows 系统统的安全漏洞(1
40、)SAM数数据库库漏洞(2)SMB协议协议漏洞(3)Registry数数据库权库权限漏洞(4)权权限设设置漏洞(5)建立域别别名漏洞(6)登录验证录验证机制漏洞(7)NetBIOS漏洞(8)Telnet漏洞(9)奇怪的系统统崩溃溃漏洞(10)IIS服务务泄漏文件内内容(11)ICMP漏洞2 27 7 网络操作系统安全实例网络操作系统安全实例 2.7.1 网络网络操作系统统漏洞与补与补丁程序安装 2补补丁程序 补丁程序是指对于大型软件系统补丁程序是指对于大型软件系统(如微软操作系统如微软操作系统)在使用过程在使用过程中暴露的问题中暴露的问题(一般由黑客或病毒设计者发现一般由黑客或病毒设计者发现)
41、而发布的解决问而发布的解决问题的小程序。就像发现衣服有破洞了就要打补丁一样，软件的题的小程序。就像发现衣服有破洞了就要打补丁一样，软件的补丁用来修补软件程序的补丁用来修补软件程序的“漏洞漏洞”。因为软件是人写的，编程。因为软件是人写的，编程人员在编程时也有考虑不周、不完善的地方，软件会出现人员在编程时也有考虑不周、不完善的地方，软件会出现BUG，而补丁是专门修复这些，而补丁是专门修复这些BUG的。原来发布的软件存在缺陷，的。原来发布的软件存在缺陷，发现之后另外编制一个小程序对其缺陷进行弥补，使其完善，发现之后另外编制一个小程序对其缺陷进行弥补，使其完善，这种小程序就称为这种小程序就称为“补丁补
42、丁”。补丁是由软件的原作者制作的。补丁是由软件的原作者制作的。补丁程序主要有系统补丁和软件补丁。系统补丁顾名思义就是补丁程序主要有系统补丁和软件补丁。系统补丁顾名思义就是操作系统的不定期错误漏洞修复程序，如微软的、操作系统的不定期错误漏洞修复程序，如微软的、Unix的、的、Linux的等操作系统补丁。软件补丁通常是因为发现了软件的小的等操作系统补丁。软件补丁通常是因为发现了软件的小错误，为了修复个别小错误而推出的，或者为了增强某些小功错误，为了修复个别小错误而推出的，或者为了增强某些小功能而发布的，或者是为了增强文件抵抗电脑病毒感染而发布的能而发布的，或者是为了增强文件抵抗电脑病毒感染而发布的
43、补丁，如微软的补丁，如微软的Office为了抵抗宏病毒而打补丁。为了抵抗宏病毒而打补丁。2 27 7 网络操作系统安全实例网络操作系统安全实例 2.7.1 网络网络操作系统统漏洞与补与补丁程序安装 3补补丁程序的安装 利用系统的利用系统的Update功能打补丁功能打补丁 如果软件提供了如果软件提供了Update(自动更新自动更新)功能，打补丁就是一件非常简单的事情，功能，打补丁就是一件非常简单的事情，只需要在只需要在“开始开始”菜单中找到菜单中找到Update命令，单击后即命令，单击后即可自动上网搜索官方网站，检查有无最新版本或者补可自动上网搜索官方网站，检查有无最新版本或者补丁程序。丁程序。
44、手工打补丁手工打补丁 多数补丁需要先在开发商网站或软件下载多数补丁需要先在开发商网站或软件下载网站下载，然后再在本机上运行相应命令来完成。有网站下载，然后再在本机上运行相应命令来完成。有些补丁需要按照一定操作步骤来完成，因此在打补丁些补丁需要按照一定操作步骤来完成，因此在打补丁之前要先仔细阅读其说明文档，以免产生错误，造成之前要先仔细阅读其说明文档，以免产生错误，造成不可挽回的损失。不可挽回的损失。2 27 7 网络操作系统安全实例网络操作系统安全实例 2.7.2 Windows 2003系统统的安全操作与设与设置 1清清除默认认共享隐隐患 2杜绝绝非法访问应访问应用程序 3禁用IPC连连接
45、4清清空远远程可访问访问的注册册表路径径 5关闭关闭不必要的端口和服务务(1)关闭关闭139端口(2)关闭关闭445端口(3)关闭关闭135端口(4)关闭关闭自动动播放服务务 6删删除不安全的组组件 7账户锁账户锁定设设置2 27 7 网络操作系统安全实例网络操作系统安全实例2.7.3 Linux操作系统统安全及服务务器配置 1BIOS的安全设设置 2GRUB安全设设置(1)设设置全局口令锁锁定启动启动菜单单(2)使用全局口令锁锁定启动启动菜单单(3)使用MD5加密口令(4)口令安全(5)自动动注销账号销账号(6)取消普通用户户的控制台访问权访问权限(7)取消并并反安装所有不用的服务务 (8)
46、TCP_WRAPPERS (9)修改“/etc/host.conf”文件 (10)禁止从从不同的设备进设备进行root登录录 (11)Shell logging Bash (12)给给“/etc/rc.d/init.d”下的script文件设设置权权限 (13)隐隐藏系统统信息 习题和思考题习题和思考题思考与答疑思考与答疑第3章 计计算机网络实网络实体安全本章要点 网络机房及环境安全 网络实体的自然与人为灾害的防护 系统存储介质的保护 路由器的安全与配置 交换机的安全与配置31 计计算机网络网络机房设设施及环环境安全3.1.1 机房的安全保护护 按计算机系统的安全要求，计算机机房的安全可分为A
47、级、B级和C级三个基本级别。对A级机房的安全有严格的要求，有完善的机房安全措施，有最高的安全性和可靠性等。A级机房对场地选择、防火、防电磁泄漏、内部装修、供配电系统、空调系统、火灾报警和消防设施、防水、防静电、防雷击、防鼠害等均有要求。对B级机房的安全有较严格的要求，有较完善的机房安全措施。对C级机房的安全有基本的要求，有基本的机房安全措施。C级要求机房确保系统一般运行时的最低安全性和可靠性。C级机房仅对防火、供配电系统、空调系统、火灾报警和消防设施有基本的要求。31 计计算机网络网络机房设设施及环环境安全 3.1.1 机房的安全保护护 1机房场场地的安全 2机房装饰饰装修 3机房的出入管理
48、4机房的内内部管理与维护与维护 5机房的环环境设备监设备监控31 计计算机网络网络机房设设施及环环境安全 3.1.2 机房的温温度、湿湿度和洁净洁净度 1温温度 2湿湿度 3洁净洁净度31 计计算机网络网络机房设设施及环环境安全 3.1.3 机房的空调调系统与电统与电源保护护 1隔离和自动稳压动稳压 2稳压稳频稳压稳频器 3不间断电间断电源（UPS）31 计计算机网络网络机房设设施及环环境安全 3.1.4 机房的防火与与防水 1机房的防火(1)建筑物防火(2)设设置火灾报报警系统统及灭灭火装置(3)加强防火安全管理 2机房的防水31 计计算机网络网络机房设设施及环环境安全 3.1.5 机房的电
49、电磁干扰扰防护护 电电磁干扰扰主要来来自计计算机系统统外部和自身。通常可采取以下措施来防止和减少电磁干扰的影响：机房选择在远离电磁干扰源的地方，如离无线电广播发射塔、雷达站、工业电气设备、高压电力线和变电站等设施较远的地方。建造机房时采用接地和屏蔽措施。良好的接地可防止外界电磁场干扰和设备间寄生电容的耦合干扰；良好的屏蔽（电屏蔽、磁屏蔽和电磁屏蔽）可减少外界的电磁干扰。31 计计算机网络网络机房设设施及环环境安全 3.1.6 机房的雷电电保护与护与接地系统统 1机房的接地系统统(1)交流工作地(2)直流工作地(3)安全保护护地(4)防雷保护护地31 计计算机网络网络机房设设施及环环境安全 3.
50、1.6 机房的雷电电保护与护与接地系统统 2机房的雷电电保护护(1)外部无源保护护(2)内内部保护护 电电源部分保护护 信号部分保护 内部接地处理 31 计计算机网络网络机房设设施及环环境安全 3.1.7 机房的静电静电防护护 1静电产静电产生的特点及危害(1)静电静电的故障特点(2)静电静电的危害 2静电静电的防护护 机房建设时，在机房地面铺设防静电地板。工作人员在工作时穿戴防静电衣服和鞋帽。工作人员在拆装和检修机器时应在手腕上戴防静电手环（该手环可通过柔软的接地导线放电）。保持机房内相应的温度和湿度等。31 计计算机网络网络机房设设施及环环境安全 3.1.8 机房的电电磁辐辐射保护护 1电
