《第9章操作系统安全》由会员分享，可在线阅读，更多相关《第9章操作系统安全（27页珍藏版）》请在金锄头文库上搜索。
1、第9章操作系统平安第9章 操作系统平安 目前效劳器常用的操作系统有两类：Windows NT/2000/2003 Server、Unix/Linux。这些操作系统都是符合C2级平安级别的操作系统，但是都存在不少破绽，假如对这些破绽不理解，不采取相应的措施，就会使操作系统完全暴露给入侵者。本章将讨论这两类操作系统一些根本的平安问题。9.1 Windows系统的平安9.1.1账户的平安设置1Windows账户简介在Windows操作系统中，用户被分成许多组，组和组之间有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。Windows中常见的用户组如下：1Administrators，管理
2、员组。2PowerUsers，高级用户组。3Users，普通用户组。4Guests，来宾组。5Everyone，顾名思义，计算机上的所有用户都属于这个组。Administrators组中有一个在系统安装时就创立的默认用户Administrator，Administrator账户具有对计算机的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。Guests组下也有一个默认用户Guest，但是在默认情况下，它是被禁用的。假如没有特别必要，无须启用此账户。2Windows账户管理Windows在控制面板中有【用户账号】图标，但功能太弱，建议不要使用，应该使用专门的用户管理程序。翻开【控制面
3、板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【计算机管理】图标，出现【计算机管理】窗口。在【计算机管理】窗口左侧依次选择【系统工具】|【本地用户和组】|【用户】，右侧会列出计算机中的所有用户。3Windows账户平安设置1停用不必要的账户：可用的账户越多，被黑客利用的可能性就越大，所以用不到的账户一律删除或停用。2管理员账户 改名：Administrator账户不能停用，黑客知道这个账户名，就可以一遍又一遍地尝试它的密码，把Administrator账户改名可以有效地防止这一点。不要使用Admin之类的名字，改了等于没改，尽量把它假装成普通账户，如改成user-one。3设置陷
4、阱账户：Administrator账户改名之后，可以再创立一个Administrator账户，让它隶属于【Guests】组，权限最小，并且加上一个超长的复杂密码，这就是陷阱账户。陷阱账户可以让那些黑客忙上很长一段时间，幸运成功后也做不了什么事情。4开启账户锁定策略：开启账户锁定策略后，黑客尝试密码错误到达一定次数后，该账户将被锁定而不能登录。翻开【控制面板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【本地平安策略】图标，出现【本地平安设置】窗口。在【本地平安设置】窗口左侧依次选择【账户策略】|【账户锁定策略】，右侧会列出3条策略。9.1.2网上邻居的平安设置1简单共享与高级共享在
5、Windows的网上邻居中，有两种文件共享方式，分别是简单共享与高级共享，默认使用简单共享。简单共享的设置很简单，但客户机只能以Guest用户身份访问效劳器；高级共享的设置较复杂，但客户机能以其他用户身份访问效劳器。假设没有特殊要求，使用简单共享就可以了。使用简单共享方式时，客户机只能以Guest用户身份访问效劳器，所以在效劳器上Guest用户必须启用，否那么效劳器无法共享文件夹。2网上邻居的平安设置Windows的网上邻居虽然有用，但却是一个平安隐患，设置不当会给用户带来危害。网上邻居的平安设置主要有以下内容：1停用Guest用户：不使用简单文件共享时，一定要停用Guest用户。2及时取消共
6、享：仅在必要的时候设置共享文件夹，一旦用完及时取消共享。3建立专门共享用户：建议使用高级文件共享，要专门建立一个用户，在设置共享文件夹的权限时，仅允许该用户访问 ，不要使用【Everyone】用户组。仅允许该用户从网络访问 本计算机，其他用户都不允许。该用户要设置较为复杂的密码，不可设置为允许空密码用户登录。4制止建立空连接：默认情况下，任何用户都可以通过空连接连上计算机，进而可以枚举出账号，猜测密码。所谓空连接，是指在不使用用户名与密码的情况下，通过网络与计算机建立的连接。可以通过修改注册表来制止建立空连接。在HKEY_LOCAL_MACHINE主键下修改子键：SystemCurrentCo
7、ntrolSetControlLSARestrictAnonymous，将键值改成“1即可。5禁用网上邻居：假设平时不使用网上邻居，可以卸载某些组件或停顿某些效劳，使网上邻居无法使用。6关闭默认共享：在Windows中，所有的逻辑盘与Windows的安装目录默认是共享的。要永久性地停用这些默认共享，必须修改注册表。修改主键HKEY_LOCAL_MACHINE下的子键：SYSTEMCurrentControlSetServicesLanmanServerParameters，在该子键下新建DWORD类型的子键，键名设为AutoShareWks，键值设为0。重新启动计算机后，所有的逻辑盘与Wind
8、ows的安装目录就不再共享了。9.1.3防病毒平安设置1关闭自动播放功能：当计算机中插入U盘或光盘时，Windows 可以自动运行其上的可执行文件，这就是自动播放功能。自动播放功能默认是翻开的，目前很多U盘病毒就利用了这一功能，所以应该关闭自动播放功能。单击任务栏左侧的【开始】按钮，选择【运行】菜单项，出现【运行】对话框后，在【翻开】下拉列表框中键入gpedit.msc，单击【确定】按钮，出现如图9-22所示的【组策略】窗口。2显示隐藏文件与文件扩展名：很多病毒文件把自己设置为隐藏文件或系统文件，用户就看不到它，或是隐藏自己的扩展名，假装成正常文件。在Windows XP的【资源管理器】中，翻
9、开【工具】菜单，选择【文件夹选项】菜单项，出现如图9-24所示的【文件夹选项】对话框。选择【查看】选项卡，在【高级设置】列表框中，不要选中【隐藏受保护的操作系统文件推荐】复选框，选中【显示所有文件和文件夹】单项选择按钮，不要选中【隐藏文件类型的扩展名】复选框。单击【确定】按钮，即可显示所有隐藏文件与系统文件，以及所有文件的扩展名。 9.1.4口令平安设置 1使用平安的口令：口令必须足够随机，难以被猜到。假如使用123456、abc、888888，或是自己的生日、学号、 等作为口令，那么极易被猜到，没有任何平安性可言。假如使用awC#5$9、8*3Ac/=e等作为口令，几乎不可能猜中，使用口令时
10、还应 注意以下事项： l不要将口令写下来，要使用难以猜测却又易记的口令。 l在输入口令时，应防止被别人看到。 l尽量在不同系统上使用不同的口令。 l口令尽量定期更换。 2开启密码策略：开启密码策略后，可以对用户设置的口令加以限制，以进步平安性。翻开【控制面板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【本地平安策略】图标，出现【本地平安设置】窗口。在【本地平安设置】窗口左侧依次选择【账户策略】|【密码策略】，右侧会列出几条策略。 9.1.5其他平安设置 1物理平安。 2要有平安意识。 3屏幕保护密码。 4制止U盘光盘启动。 5使用USBKey。 6关闭不必要的端口与效劳。 7使用
11、NTFS分区。 8下载安装最新的补丁。 9开启审核策略：审核策略在默认的情况下都是没有开启的。翻开【控制面板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【本地平安策略】图标，出现【本地平安设置】窗口。在【本地平安设置】窗口左侧依次选择【本地策略】|【审核策略】，右侧会列出几条策略。 10不显示上次登录名。 11禁用Dump文件。 12关机时去除页面文件。 13制止判断主机类型。 14制止Guest用户访问日志。 15做好备份。 16数据恢复软件。9.2 Unix/Linux系统的平安9.2.1 超级用户平安管理超级用户可以对系统中任何文件和目录进展读写，超级用户口令一旦丧失，系统
12、维护工作就很难进展，系统也就无平安性可言。超级用户在平安管理方面需要注意的地方包括：(1) 在一般情况下最好不使用root账号，应使用su命令进入普通用户账号。(2) 超级用户不要运行其它用户的程序。(3) 经常改变root口令。(4) 精心地设置口令时效。(5) 不要把当前工作目录排在PATH途径表的前面，以防止木马程序的入侵。(6) 不要未退出系统就分开终端。(7) 建议将登录名root改成其它名称。(8) 注意检查不寻常的系统使用情况。(9) 保持系统文件的完好性。(10) 将磁盘的备份存放在平安的地方。(11) 确保所有登录账号的口令都不为空。(12) 启动记账系统。9.2.2 用户帐
13、号平安管理用户账号的管理包括如何保证系统中每个用户账号的平安、如何管理这些账号，以及如何处理对系统平安有威胁的账号。保证系统有一个平安的/etc/passwd文件是非常必要的，维护该文件时应注意以下问题：(1) 尽量防止直接修改/etc/passwd文件。(2) 在用户可以容忍的情况下，尽量使用比较复杂的用户账号名。(3) 保证passwd文件中没有口令一样的用户账号。(4) 保证passwd文件中每个用户的口令字段不为空。(5) 注意系统特殊用户使用的Shell字段，保证他们使用专用程序，而非一般用户的Shell。(6) 除非在必要的情况下，最好不要使用组口令。(7) 对于新用户最好先为之提
14、供rsh(Restricted Shell)，让他们在受限的环境中使用系统。(8) 当一个账号长时间不用时，可通过记账机制发现该账号，并将该账号查封。9.2.3 文件和目录的平安文件和目录权限的管理涉及重要目录的平安问题，包括以下目录：/bin、/boot、/dev、/etc和$HOME。/bin目录保存引导系统所需的全部可执行程序及常用的命令。该目录只允许超级用户进展修改。同时，应把该目录设置在PATH环境变量的最前面。/boot用来存放系统初启时所需的一些数据和文件。如该目录被破坏，系统就不能启动。/dev目录包含有链接硬件设备的文件，它的存取权限应当是775，并且应属root所有。设备文
15、件使用权限设置不当，能给系统平安带来影响。例如/dev/mem是系统内存，用cat命令就可以在终端上显示系统内存中的内容。/etc目录下的passwd、group、shadow 、inittab、cshrc和xinitrc等文件是系统正常工作时所用的。大多数情况下，/etc中的文件是黑客首选的攻击目的。$HOME目录是各个用户的主目录，一般位于/home目录下。该目录的名称一般与用户的登录名一样。超级用户的主目录在/root下。 9.2.4 关于SUID程序当Unix/Linux中的一个进程执行时被分别赋予4个ID号，分别为实际UID(real user ID)和有效的UID (effecti
16、ve user ID)、实际GID(real group ID)和有效的GID (effective group ID)。实际ID是在登录过程中建立的用户ID,有效的ID用于确定该进程对文件的存取答应。 $ls -l /etc/passwd-rw-r-r- 1 root root 1939 Oct 8 06:00 /etc/passwd我们看到/etc/passwd文件是不允许普通用户修改的,但一般用户运行passwd命令却能修改自己的口令。再看看/usr/bin/passwd命令文件：$ls -l /usr/bin/passwd-r-s-x-x 1 root root 1463 Mar 14 2002 /usr/bin/passwd我们可以看到文件主权限部分的x位被一个s代替了。当一个UID为101的用户执行passwd命令改变自己的口令时，该进程的p_uid 赋值为101，而因为passwd是SUID root程序，所以它的p_suid有效ID值那么被赋值为0(root的UID)。小结 在网络环境中，网络系统的平安性依赖于网络中各计算机系统的平安性，而计算机系统的平安性又首先依赖于
