《数据结构域算法设计-第七章-操作系统安全 课件》由会员分享，可在线阅读，更多相关《数据结构域算法设计-第七章-操作系统安全 课件（36页珍藏版）》请在金锄头文库上搜索。
1、Company LOGO第7章 操作系统安全第三部分 系统安全机制导读v目前服务器常用的操作系统有两类： Windows NT/2000/2003 Server、Unix/Linux。这些操作 系统都是符合C2级安全级别的操作 系统，但是都存在不少漏洞，如果对 这些漏洞不了解，不采取相应的措施 ，就会使操作系统完全暴露给入侵者 。本章将讨论这两类操作系统一些基 本的安全问题。2Company LogoContentsUnix/Linux系统的安全2Windows 2000系统的安全3Company LogoWindows 2000系统的安全vWindows NT系列操作系统具有的优点：（）支持
2、多种网络协议；（）内置Internet功能；（）支持NTFS文件系统4Company Logo7.1.1初级安全配置方案(1) 物理安全 (7) 更改默认权限 (2) 停止Guest帐号 (8) 设置安全密码 (3) 限制用户数量 (9) 屏幕保护密码 (4) 创建多个管理员帐号 (10) 使用NTFS分区 (5) 管理员帐号改名 (11) 运行防毒软件 (6) 陷阱帐号 (12) 备份盘的安全5Company Logo图-Guest帐号设置6Company Logo图-共享权限设置7Company Logo7.1.2中级安全配置方案(1)操作系统安全策略 (6)开启帐户策略 (2)关闭不必要
3、的服务 (7)备份敏感文件 (3)关闭不必要的端口 (8)不显示上次登录名 (4)开启审核策略 (9)禁止建立空连接 (5)开启密码策略 (10)下载最新的补丁8Company Logo控制面板管理工具本地安全策略图-本地安全设置9Company Logo图- 选择筛选10Company Logo图- 设置端口11Company Logo控制面板管理工具本地安全策略图- 选择审核策略12Company Logo图- 设置审核策略13Company Logo“开始运行”中输入“Eventvwr.msc”，定位到“事件查看器安全性”查看事件日志 14Company Logo实战任务:商业间谍做了些
4、什么？ v任务描述:阿桂是一家IT公司的网管，最近，老板发现一 些商业秘密不胫而走，他想在不让员工们知道 的前提下，监控手下人什么时候访问过或使用 了公司电脑中指定的磁盘或文件夹中的资料， 比如:服务器“D:data”文件夹。老板觉得小 何最可疑，于是决定从监视他入手。 15Company Logov分析:公司员工每人都分配有一个不同账户(记得不能 给他们修改策略设置的权限！)，只要监视选定 账户或组对目标访问时，需要监视目标的访问 权和执行权即可。开始前首先在“控制面板文 件夹选项查看”标签下取消“使用简单文件共 享”。 16Company Logov第一步:在“审核策略”中双击右侧的“审核
5、对象 访问”，勾选“成功”，确认操作并退出编辑器。 右击目标磁盘或文件夹选择“属性”，切换至“安 全”选项卡，单击“高级”，切换至“审核”标签 。 v第二步:单击“添加”，输入小何使用的用户名， 因为小何属于普通用户组(users)，所以输入“ 计算机名users”，单击“确定”。这时会弹出 审核项目选择窗口，因为要监视小何对目标的“ 访问权和执行权”，因此要勾选“遍历文件夹/运 行文件”，确定所有操作。 17Company Logo18Company Logo19Company Logov第三步:这时策略已经完成了。现在可以试试是 否有效。打开事件查看器，右击“安全性”选择“ 清空所有事件”
6、后注销系统。这时，小何登录此 系统，访问一下“D:data”并执行其中一个文 件(比如运行了存放在该目录底下的 “MSN6.2.exe”文件)。注销系统后，阿桂用 管理员身份登录，查看一下日志，是不是清楚 地记录了刚才小何的访问行为(见图)？ 20Company Logo21Company Logo7.1.3 高级安全配置方案(1) 关闭DirectDraw (7) 使用智能卡 (2) 关闭默认共享 (8) 使用IPSec (3) 禁用Dump文件 (9) 禁止判断主机类型 (4) 锁住注册表 (10) 禁止Guest访问日志 (5) 关机时清除页面文件(11) 数据恢复软件 (6) 禁止软盘
7、光盘启动22Company Logo图- 关闭默认共享23Company Logo图- 禁用Dump文件24Company Logo修改注册表25Company LogoContentsWindows 2000系统的安全Unix/Linux系统的安全26Company Logo7.2.1 超级用户安全管理超级用户在安全管理方面需要注意的地方包括：(1) 在一般情况下最好不使用root账号，应使用 su命令进入普通用户账号。 (2) 超级用户不要运行其它用户的程序。 (3) 经常改变root口令。 (4) 精心地设置口令时效。 (5) 不要把当前工作目录排在PATH路径表的前 面，以避免木马程序
8、的入侵。27Company Logo7.2.1 超级用户安全管理(6) 不要未退出系统就离开终端。 (7) 建议将登录名root改成其它名称。 (8) 注意检查不寻常的系统使用情况。 (9) 保持系统文件的完整性。 (10) 将磁盘的备份存放在安全的地方。 (11) 确保所有登录账号的口令都不为空。 (12) 启动记账系统。28Company Logo7.2.2 用户帐号安全管理保证系统有一个安全的/etc/passwd文件是十分必 要的，维护该文件时应注意以下问题：(1) 尽量避免直接修改/etc/passwd文件。 (2) 在用户可以容忍的情况下，尽量使用比较复杂的用户账号名。 (3) 保
9、证passwd文件中没有口令相同的用户账号。 (4) 保证passwd文件中每个用户的口令字段不为空 。29Company Logo7.2.2 用户帐号安全管理(5) 注意系统特殊用户使用的Shell字段，保证 他 们使用专用程序，而非一般用户的Shell。 (6) 除非在必要的情况下，最好不要使用组口令 。 (7) 对于新用户最好先为之提供 rsh(Restricted Shell)，让他们在受限的环境中使用系统。 (8) 当一个账号长时间不用时，可通过记账机制 发现该账号，并将该账号查封。30Company Logo7.2.3 用户口令的管理为保证用户口令安全必须注意以下几点：(1) 不要
10、将用户口令写下来； (2) 用户在输入口令时，应避免被别人看到； (3) 保证用户一人一个口令，避免多人使用同一 个账号； (4) 不要重复使用同一口令； (5) 不要在不同系统上使用同一口令； (6) 不要通过网络或Modem来传送口令。31Company Logo7.2.4 文件和目录的安全文件和目录权限的管理涉及重要目录的安全问题 ，包括以下目录：/bin、/boot、/dev、 /etc和$HOME。 /bin目录保存引导系统所需的全部可执行程序及 常用的命令。该目录只允许超级用户进行修改 。同时，应把该目录设置在PATH环境变量的 最前面。 /boot用来存放系统初启时所需的一些数据
11、和文 件。如该目录被破坏，系统就不能启动。32Company Logo7.2.4 文件和目录的安全/dev目录包含有链接硬件设备的文件，它的存取 权限应当是775，并且应属root所有。设备文 件使用权限设置不当，能给系统安全带来影响 。例如/dev/mem是系统内存，用cat命令就 可以在终端上显示系统内存中的内容。 /etc目录下的passwd、group、shadow 、 inittab、cshrc和xinitrc等文件是系统正常 工作时所用的。大多数情况下，/etc中的文件 是黑客首选的攻击目标。 $HOME目录是各个用户的主目录，一般位于 /home目录下。该目录的名称一般与用户的登
12、 录名相同。超级用户的主目录在/root下。 33Company Logo7.2.5 关于SUID程序当Unix/Linux中的一个进程执行时被分别赋予 4个ID号，分别为实际UID(real user ID) 和有效的UID (effective user ID)、实际 GID(real group ID)和有效的GID (effective group ID)。 实际ID是在登录过程中建立的用户ID,有效的ID用 于确定该进程对文件的存取许可。34Company Logo7.2.5 关于SUID程序$ls -l /etc/passwd -rw-r-r- 1 root root 1939 O
13、ct 8 06:00 /etc/passwd 我们看到/etc/passwd文件是不允许普通用户修改的, 但一般用户运行passwd命令却能修改自己的口令。再 看看/usr/bin/passwd命令文件： $ls -l /usr/bin/passwd -r-s-x-x 1 root root 1463 Mar 14 2002 /usr/bin/passwd 我们可以看到文件主权限部分的x位被一个s代替了。当一 个UID为101的用户执行passwd命令改变自己的口 令时，该进程的p_uid 赋值为101，而因为passwd 是SUID root程序，所以它的p_suid有效ID值则被 赋值为0(root的UID)。35Company LogoCompany LOGO
