《数据安全整理》由会员分享，可在线阅读，更多相关《数据安全整理（35页珍藏版）》请在金锄头文库上搜索。
1、编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第1页 共1页声明：本文件由杨晓龙和刘泽霖两人根据老师最后一节课所提的复习题为来源，摘抄的书上与问题相关部分的内容，并非答案，非官方，旨在于方便大家考试时查阅，禁止用作他处。我二人对由此产生的任何不良影响不负任何责任。使用此文档即表示你已经同意这则声明。从操作系统本身而言，Windows NT系统主要具有哪些特点？ 32 位操作系统，多重引导功能，可与其他操作系统共存。 实现了“抢先式”多任务和多线程操作。 采用 SMP（对称多处理）技术，支持多CPU 系统。h
2、8698; 支持 CISC（如Intel 系统）和RISC（如Power PC、R4400 等）多种硬件平台。 可与各种网络操作系统实现互操作，如：UNIX、Novel Netware、Macintosh 等系统；对客户操作系统提供广泛支持，如MS-DOS、Windows、Windows NT Workstation、UINX、OS2、Macintosh 等；支持多种协议：TCPIP、NetBEUI、DLC、AppleTalk、NWLINK 等。 安全性达到美国国防部的 C2 标准。1. Windows NT系统在系统和网络安全性上引入了哪些新的概念？&
3、#1048698; NTFS（Windows NT File System）：Windows NT 采用的新型文件系统，可提供安全存取控制及容错能力，在大容量磁盘上，它的效率比FAT 高。 共享权限：支持对网络资源设置一定的权限许可，没有得到权限许可，就无法访问网络资源。 用户账户（User Account）：要想使用网络资源，就必须有用户账户。Windows NT对用户和服务程序，都要求提供合法账户。专为应用程序或服务进程创建的账户即服务账户，在系统启动时，服务进程使用服务账户登录以获得在系统中使用资源的权利和权限。普通用户账户由用户登录时提供，用于W
4、indows NT 控制该用户在系统中的权利和权限，与服务账户本质上没有区别。 域（Domain）：域是Windows NT 中数据安全和集中管理的基本单位。网络由域组成，域具有惟一的名称。域可以看作由运行NT 的服务器组成的系统，一组电脑共用相同的账户及安全数据库。 工作组（Workgroup）：工作组是一种资源与系统管理都分散的网络结构。在工作组的范围里，每台电脑既可以充当服务器的角色，也可以充当工作站的角色，彼此之间是平等关系。 权限（Right）：权限是授权某用户可以在系统上执行某些操作。权限用来保护系统整体。
5、8; 许可（Permission）：许可用来保护特定对象。许可规定可以使用某一对象的用户以及用什么方法使用。 安全审核：Windows NT 将记录发生在电脑上各项与安全系统相关的过程。2. 活动目录的概念和作用分别是什么，包括哪些组成部分？活动目录（Active Directory, AD）服务是Windows 2000 安全模型灵活性与可扩展性的核心，它提供了完全集成于Windows 2000 的一个安全、分布式、可扩展以及重复的分层目录服务。活动目录替代了 Windows NT 早期版本中域控制器的注册表数据库内的安全账户管理器（Security Accounts M
6、anager, SAM），从而成为用户账户、工作组和口令等安全信息的主要存储区域。同样地，活动目录形成了本地安全授权（Local Security Authorization, LSA）的一个可信任组件。换句话说，活动目录既为支持验证而存储了用户证书，也为支持授权访问系统资源而存储了访问控制信息。活动目录主要包括两方面：目录和目录相关的服务。目录是存储各种对象的一个物理容器，目录管理的基本对象是用户、计算机、文件以及打印机等资源。而目录服务是使目录中所有信息和资源发挥作用的服务，如用户和资源管理、基于目录的网络服务、基于网络的应用管理。3. 请简述Kerberos协议的思想，并描述一次典型的操
7、作过程。Windows 2000 使用Internet 标准Kerberos V5 协议（RFC 1510）作为验证用户身份的主要方法。Kerberos 协议提供在客户机和服务器之间的网络连接打开前交互身份验证的机制。此方法对包含开放通信（如那些已经在Internet 上实现的）的网络来说是非常理想的。Kerberos 验证协议定义了客户、资源和网络验证服务（密钥分配中心、KDC）之间的安全交互。在Windows 2000 中，KDC 是作为每个域控制器上的验证服务来实现的。通过把活动目录当作用户（主体）和工作组的账户数据库，Windows 2000 域变成了Kerberos 域的一个等价物。
8、Windows 2000 将Kerberos 协议完全集成到了Winlogon 单一登录体系结构之中，提供了身份验证和访问控制功能。Kerberos 协议是基于“票据”的思想。票据是由密钥分发中心（KDC）的可信颁发机构颁发的加密数据包。票据可以证明用户的身份，同时还携带了其他信息。KDC 为其颁发机构范围或“领域”内的所有用户提供票据，它提供身份验证服务和票据授予服务这两项服务。在 Windows 2000 中，每个域控制器就是一个 KDC，而域控制器的领域与其所在的域对应。Kerberos 协议的操作过程其实比较简单，如图1-3 所示。登录时，用户向KDC 验证自己的身份，KDC 为用户提
9、供一个初始票据，称为TGT（Ticket Granting Ticket, 票据授予票据）。此后，当用户需要使用网络资源时，其用户会话将TGT 提交给域控制器，并请求特定的资源票据，即ST（Service Ticket, 服务票据）。然后，用户将ST 提交给资源，由资源授权访问。4. 配置IPSec协议可以完成哪些安全功能？ 根据 Kerberos 身份验证、数字证书或共享机密密钥（密码）来验证IP 数据包发送者身份。 确保在网络上传送的 IP 数据包的完整性。 按照绝密等级对所有在网络上传送的数据进行加密。 在数
10、据传输过程中，隐藏 IP 源地址。第二章：1. 请解释Windows NT系统安全体系结构中内核模式和用户模式之间的区别。应用程序及其子系统运行在用户模式下。该模式拥有较低特权，不能对硬件直接进行访问。用户模式的应用程序被限定在由操作系统所分配的内存空间内，不能对其他内存地址空间直接进行访问。用户模式只能使用特殊的应用程序编程接口（API）来从内核模式组件中申请系统服务。用户模式中包含有以下一些主要的子系统。 Win32 子系统：这是主要的应用程序子系统，所有的32 位Windows 应用程序都运行在这个子系统之下。 本地安全子系统：用来支持 Windo
11、ws 的登录过程，包括对登录的身份验证和审核工作。安全子系统需要和Win32 子系统进行通信。 OS/2 子系统：被设计用来运行和OS/2 1.x 相兼容的应用程序。 POSIX 子系统：被设计用来运行和POSIX 1.x 相兼容的应用程序。而内核模式中的代码则具有极高的特权，可以直接对硬件进行操作以及直接访问所有的内存空间，并不像运行在用户模式下的程序那样被限定在自身特定的地址空间内。组成内核模式的整套服务被称为“执行服务”（有时也被称为Windows NT Executive）。执行服务通过响应用户模式下应用程序发出的请求来提供内核模式服务。Wind
12、ows NT系统的用户模式中包含哪些安全子系统？ 见上 请说明FAT文件系统和NTFS文件系统的不同点。，Windows NT 4.0 的安全性能在很大程度上依赖于NTFS 文件系统。所谓NTFS，即NT File System（NT 文件系统），它是从Windows NT 所开始采用的独特文件系统结构。NTFS 建立在保护文件和目录数据基础上，同时以节省存储资源、减少磁盘占用率为设计目的。NTFS 较FAT 文件系统而言，功能更强大，适合更大的磁盘和分区，支持安全性，是更为完善和灵活的文件系统。NTFS 文件系统为Windows NT 服务器或工作站提供了必需的安全保障，它的安全特性主要体现
13、在以下几个方面。 在 NTFS 分区上支持随机访问控制和拥有权，对共享文件夹可以指定权限，以免受到本地访问或远程访问的影响。 对于在计算机上存储文件夹或单个文件，或者是通过连接到共享文件夹访问的用户，都可以指定权限，以使每个用户只能按照系统赋予的权限进行操作，充分保护了系统和数据的安全。 NTFS 使用事务日志自动记录所有文件夹和文件更新，当出现系统损坏和电源故障等问题而引起操作失败后，系统能利用日志文件重做或恢复未成功的操作。正是由于具备了这些安全特性，Windows NT 下网络资源的本地安全性是通过NTFS 权限许可来实现的。在
14、一个格式化为NTFS 的分区上，每个文件或者文件夹都可以被单独地分配一个许可，这个许可使得这些资源具备更高级别的安全性。用户无论是在本机还是通过远程网络访问这些设置有NTFS 许可的资源，都必须具备访问这些资源的权限。此外，NTFS 支持对单个文件或者整个文件夹进行压缩。这种压缩不同于FAT 文件系统中对驱动器卷的压缩，其可控性和速度均要好得多。NTFS 文件系统还具备其他一些优点，例如：对于超过4GB 以上的磁盘，使用NTFS 分区可以减少磁盘碎片的数量，大幅度提升磁盘的利用率；NTFS 可支持的磁盘分区大小可达64GB，远大于FAT32 可支持的4GB；支持长文件名等。请说明工作组和域之间
15、的不同之处。工作组（Workgroup）是一个不共享任何用户账户信息和组账户信息的小型Windows NT系统集合。工作组中每个系统之间是彼此独立的，在进行验证时都使用系统自身的SAM 数据库。所以，这种配置仅适用于最小型的环境，否则将是难以管理的，并且根本无法集中进行控制。不同于工作组的独立和松散，Windows NT 4.0 域是具有集中安全授权机构（如主域控制器，PDC）的一批计算机。它至少应该由一台PDC 和若干台工作站和成员服务器所组成。在实际情况中，域中一般还存在备份域控制器（BDC），它用来提供整个域SAM 数据库的多份完全复本，以提高有效性，并可以用来向多台服务器提供分布式的验
16、证服务。Windows NT 域为用户、组和计算机账户定义了安全边界的管理范围。由于集中安全授权机构的存在，一个域就允许在这个域中的所有用户共享普通的用户账户数据库和普通的安全策略，并不再需要每台计算机都各自提供自己的验证服务。一旦某用户通过了PDC 或者BDC 的域验证，那么该用户就可以在具有必要权限的域和主体内的任何地方访问资源了。两个域之间的信任关系有哪两种？Window NT系统的工作组和域之间能否建立起信任关系？两个域之间的信任关系有如下两种。 单向信任关系：信任只存在于一个方向上，即只是一个域信任另外一个域，反之则不然。信任域信任被信任域中的用户，允许被信任域中的用户访问信任域中的资源。 双向信任关系：信任建立在两个方向上，两个域之间彼此信任对方，每个域中的用户账户都可以授权访问另一个域中的资源。信任关系只限于域和域之间，Windows NT 域与工作组之间不能建立信任关系。当域之间
