《NISE安全技术工程师培训 w2k》由会员分享，可在线阅读，更多相关《NISE安全技术工程师培训 w2k（86页珍藏版）》请在金锄头文库上搜索。
1、NISE安全技术工程师培训Win2K安全配置与管理课程目的 了解win2K系统的设计原理 了解Win2K的安全特性 能够对win2K系统进行安全配置授课方式：讲解、演示、学员实际操作Windows系统安全配置为什么要介绍windows NT安全 Windows NT体系构架 Windows NT安全模型 Windows NT安全配置 Windows NT的审计分析为什么要介绍windows 安全系统安全评测标准 系统面临很多威胁 系统漏洞导致的损失TCSEC 安全等级 安全级别描述D最低的级别。如MS-DOS计算机，没有安全性可言 C1灵活的安全保护。系统不需要区分用户。可提供根本的访 问控制
2、。C2灵活的访问安全性。系统不仅要识别用户还要考虑唯一性 。系统级的保护主要存在于资源、数据、文件和操作 上。NT属于C2级的系统B1标记安全保护。系统提供更多的保护措施包括各式的安全 级别。如ATT的SYSTEM V和UNIX with MLS 以及 IBM MVS/ESAB2结构化保护。支持硬件保护。内容区被虚拟分割并严格保 护。如Trusted XENIX and Honeywell MULTICS B3安全域。提出数据隐藏和分层，阻止层之间的交互。如 Honeywell XTS-200A校验级设计。需要严格的准确的证明系统不会被危害，而 且提供所有低级别的因素。如Honeywell S
3、COMP基于C2级标准的安全组件灵活的访问控制-Windows NT 支持C2级标准要求的灵活访问控制 。要求包括允许对象的属主能够完全控制谁可以访问这个对象及什么 样的访问权限。 对象再利用-Windows NT很明确地阻止所有的应用程序不可访问 被另一应用程序使用所占用资源内的信息（比如内存或磁盘）。 强制登陆-与Windows for Workgroups、Windows 95和98不同 ，Windows NT用户在能访问任何资源前必须通过登陆来验证他们的 身份。这也是另一个原因缺乏这种强制登陆的NT要想达到以前的C2 级的标准就必须禁止网络功能。 审计-因为Windows NT采用单独
4、地机制来控制对任何资源的访问， 所以这种机制可以集中地记录下所有的访问活动。 控制对象的访问-Windows NT不允许直接访问系统里的资源。被攻击的前几种操作系统 Microsoft Windows 31663000 UNIX 22544605 CISCO IOS 7821832被攻击最多的通用WEB服务器被攻击的产品 占有用户的百分比 被攻击的次数Microsoft IIS 41.06 17797201 Apache Group Apache 10.62 12602 Netscape Enterprise Server 9.07 4892 Iplanet E-commerce Soluti
5、on 0.13 124系统漏洞导致的损失系统漏洞导致的损失 2003-8-15全球受冲击波里蠕虫感染的机器 超过34万台。 8月1日下午微软公司网站被黑，一个多小 时无法访问。为什么要介绍windows NT安全 Windows NT体系统构架 Windows NT安全模型 Windows NT安全配置 Windows NT的审计分析Windows系统安全配置Windows NT体系统构架服务管理器服务进程系统支持进程本地安全验证服务Windows登录会话管理器应用程序环境子系统Svchost.exeWinmgmt.exeSpoolerServices.exe任务管理器Windows浏览器用户
6、级应用程序子系统动态链接库OS/2POSIXWin32系统服务调度进程 核心可调用接口I/O设备 管理器 设备、文件 驱动程序文件系统 缓存 管理器即插即用 设备 管理器虚拟内存 管理器进程和 线程注册表配置 管理器NTdll,dllWin32 User GDI 图形驱动HALMicro kernel进程地址空间进程地址空间系统地址空间系统地址空间线程线程线程线程线程线程进程和线程 什么是进程？ 代表了运行程序的一个实 例 每一个进程有一个私有的 内存地址空间 什么是线程？ 进程内的一个执行上下文 进程内的所有线程共享相 同的进程地址空间 每一个进程启动时带有一个线程 运行程序的“主”函数 可
7、以在同一个进程中创建 其他的线程 可以创建额外的进程系统进程 基本的系统进程 System Idle Process 这个进程是作为单线程运行在每个处理器上，并在 系统不处理其他线程的时候分派处理器的时间 smss.exe 会话管理子系统，负责启动用户会话 csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 本地安全身份验证服务器 svchost.exe 包含很多系统服务 SPOOLSV.EXE 将文件加载到内存中以便迟后打印 。(系统服务) explorer.exe 资源管理器 internat.exe
8、 托盘区的拼音图标系统进程树smss.exe 对话管理器第一个创建的进程 引入参数 HKLMSystemCurrentControlSetControlSession Manager 装入所需的子系统(csrss) ，然后winlogon csrss.exe Win32 子系统 winlogon.exe登录进程：装入services.exe 和 lsass.exe 显示登录对话框（“键入CTRL+ALT+DEL ，登录） 当有人登入，运行在 HKLMSoftwareMicrosoftWindows NTWinLogonUserinit中的进程（通常只是userinit.exe) service
9、s.exe 服务控制器：也是几项服务的出发点服务的开始进程不是services.exe的一部分(由 HKLMSystemCurrentControlSetServices驱 动) lsass.exe 本地安全验证服务器（打开SAM） userinit.exe登陆之后启动。启动外壳（通常是 Explorer.exe 见 HKLMSoftwareMicrosoft Windows NTCurrentVersionWinLogonShell)装入配置 文件，恢复驱动器标识符映象，然后退出explorer.exe和它的孩子是所有交互式应用的创建者 附加的系统进程 mstask.exe 允许程序在指定时
10、间运行。(系统服 务) regsvc.exe regsvc.exe 允许远程注册表操作。 ( 系统服务) winmgmt.exe 提供系统管理信息(系统服务)。 inetinfo.exe 通过Internet 信息服务的管理单元 提供信息服务连接和管理。(系统服务) tlntsvr.exe 允许远程用户登录到系统并且使用命 令行运行控制台。(系统服务) dns.exe 应答对域名系统 (DNS)名称的查询和更 新请求。(系统服务) 。为什么要介绍windows NT安全 Windows NT体系统构架 Windows NT安全模型 Windows NT安全配置 Windows NT的审计分析W
11、indows系统安全配置安全的组件 安全标识符 SID：综合计算机名字、当前时间、以及处理当前用户 模式线程所花费CPU的时间所建立起来的。一个SID ： S-1-5-163499331-18283675290-12989372637-500 访问令牌 访问令牌是由用户的SID安全描述符、用户所属于组的 SID、用户名、用户所在组的组名构成的安全描述符是由对象属主的SID、组SID，灵活访问控 制列表以及计算机访问控制列表 访问控制列表 包括DACL和SACL，灵活访问控制列表里记录用户和 组以及它们的相关权限。系统访问控制列表包含为 对象审计的事件。 windowsNT安全模型Log pro
12、cessLog processSAMSAMUser Account User Account DatabaseDatabaseSecurity PolicySecurity PolicyDatabase DatabaseLSALSA Audit logAudit logWin32 applicationWin32 applicationWin32 subsystemWin32 subsystemSecurity Reference MonitorSecurity Reference MonitorUser modeUser modeKernel modeKernel modeSecurity
13、policySecurity policyAudit messageAudit messageWindowsNT安全子系统WinlogonGINALocal Security Authority (LSA)Authentication PackagesSecuritySupport ProvidersSecurity Account ManagerNetlogonSSPISSPI为什么要介绍windows NT安全 Windows NT体系统构架 Windows NT安全模型 Windows NT安全配置 Windows NT的审计分析Windows系统安全配置身 份 认证访问控制安全配置程序
14、数据的安全EFSIPSecSSL/TLSTCP/IPKerberos证书服务智能卡安全模板组策略权限控制安全分析安全策略组权限NTLM安全管理与维护保护注册表用户管理漏洞与补丁数据备份Win2000基本安全注意事项Win2000安装配置建立和选择分区 选择安装目录 不安装多余的组件 停止多余的服务 安装系统补丁多余的组件 Internt信息服务（IIS）（如不需要） 索引服务 Indexing Service 消息队列服务（MSMQ） 远程安装服务 远程存储服务 终端服务 终端服务授权Win2K服务身 份 认 证访问控制安全配置程序数据的安全EFSIPSecSSL/TLSTCP/IPKerbe
15、ros证书服务智能卡安全模板组策略权限控制安全分析安全策略组权限NTLM安全管理与维护保护注册表用户管理漏洞与补丁数据备份Win2000基本安全注意事项用户身份验证 交互式登录 使用域帐号 使用本地计算机帐户 网络身份验证 Kerberos V5 NTLM验证 安全套接字层/传输层安全（SSL/TLS）NTLM验证实例(1) A向B发起连接请求(2) B向A发送挑战(一组随机数据)(3) A用源自明文口令的DESKEY对挑战进行标准DES加密得 到响应，并发往B(4) B从SAM中获取A的LM Hash、NTLM Hash，计算出 DESKEY，并对前面发往A的挑战进 行标准DES加密(5) 如果(4)中计算结果与A送过来的响应匹配，A被允许访问 B使用 NTLM 的配置 Windows 2000 Professional 客户端向 Windows NT 4.0 的域控制器验证身份 Windows NT 4.0 Workstation 客户端向 Windows 2000 域控制器验证身份 Windows NT 4.0 Workstation 客户端向 Windows NT 4.0 域控制器验证身份 Windows NT 4.0 域中的用户向
