《网络信息安全第七章操作系统安全PPT课件》由会员分享，可在线阅读，更多相关《网络信息安全第七章操作系统安全PPT课件（37页珍藏版）》请在金锄头文库上搜索。
1、CompanyLOGO第第7 7章章 操作系统安全操作系统安全第三部分系统安全机制第三部分系统安全机制导读导读v目前服务器常用的操作系统有两类：目前服务器常用的操作系统有两类：WindowsNT/2000/2003Server、Unix/Linux。这些操作这些操作系统都是符合系统都是符合C2级安全级别的操作系级安全级别的操作系统，但是都存在不少漏洞，如果对这统，但是都存在不少漏洞，如果对这些漏洞不了解，不采取相应的措施，些漏洞不了解，不采取相应的措施，就会使操作系统完全暴露给入侵者。就会使操作系统完全暴露给入侵者。本章将讨论这两类操作系统一些基本本章将讨论这两类操作系统一些基本的安全问题。的
2、安全问题。2ContentsUnix/Linux系统的安全系统的安全2Windows 2000系统的安全系统的安全3Windows2000系统的安全系统的安全vWindowsNT系列操作系统具有的优点：系列操作系统具有的优点：（）支持多种网络协议；（）支持多种网络协议；（）内置（）内置Internet功能；功能；（）支持（）支持NTFS文件系统文件系统47.1.1初级安全配置方案初级安全配置方案(1) (1) 物理安全物理安全 (7) (7) 更改默认权限更改默认权限(2) (2) 停止停止GuestGuest帐号帐号 (8) (8) 设置安全密码设置安全密码(3) (3) 限制用户数量限制用
3、户数量 (9) (9) 屏幕保护密码屏幕保护密码(4) (4) 创建多个管理员帐号创建多个管理员帐号 (10) (10) 使用使用NTFSNTFS分区分区(5) (5) 管理员帐号改名管理员帐号改名 (11) (11) 运行防毒软件运行防毒软件(6) (6) 陷阱帐号陷阱帐号 (12) (12) 备份盘的安全备份盘的安全5图图-Guest帐号设置帐号设置6图图-共享权限设置共享权限设置77.1.2中级安全配置方案中级安全配置方案(1)操作系统安全策略操作系统安全策略(6)开启帐户策略开启帐户策略(2)关闭不必要的服务关闭不必要的服务(7)备份敏感文件备份敏感文件(3)关闭不必要的端口关闭不必要
4、的端口(8)不显示上次登录名不显示上次登录名(4)开启审核策略开启审核策略(9)禁止建立空连接禁止建立空连接(5)开启密码策略开启密码策略(10)下载最新的补丁下载最新的补丁8控制面板控制面板管理工具管理工具本地安全策略本地安全策略图图-本地安全设置本地安全设置9图图-选择筛选选择筛选10图图-设置端口设置端口11控制面板控制面板管理工具管理工具本地安全策略本地安全策略图图-选择审核策略选择审核策略12图图-设置审核策略设置审核策略13“开始开始运行运行”中输入中输入“Eventvwr.msc”Eventvwr.msc”，定位到，定位到“事件查看器事件查看器安全性安全性”查看事件日志查看事件日
5、志14实战任务实战任务:商业间谍做了些什么？商业间谍做了些什么？v任务描述任务描述:阿桂是一家阿桂是一家IT公司的网管，最近，老板发现一些公司的网管，最近，老板发现一些商业秘密不胫而走，他想在不让员工们知道的前商业秘密不胫而走，他想在不让员工们知道的前提下，监控手下人什么时候访问过或使用了公司提下，监控手下人什么时候访问过或使用了公司电脑中指定的磁盘或文件夹中的资料，比如电脑中指定的磁盘或文件夹中的资料，比如:服务服务器器“D:data”文件夹。老板觉得小何最可疑，文件夹。老板觉得小何最可疑，于是决定从监视他入手。于是决定从监视他入手。15v分析分析:公司员工每人都分配有一个不同账户公司员工每
6、人都分配有一个不同账户(记得不能记得不能给他们修改策略设置的权限！给他们修改策略设置的权限！)，只要监视选定，只要监视选定账户或组对目标访问时，需要监视目标的访问权账户或组对目标访问时，需要监视目标的访问权和执行权即可。开始前首先在和执行权即可。开始前首先在“控制面板控制面板文件文件夹选项夹选项查看查看”标签下取消标签下取消“使用简单文件共享使用简单文件共享”。16v第一步第一步:在在“审核策略审核策略”中双击右侧的中双击右侧的“审核对象审核对象访问访问”，勾选，勾选“成功成功”，确认操作并退出编辑器。，确认操作并退出编辑器。右击目标磁盘或文件夹选择右击目标磁盘或文件夹选择“属性属性”，切换至
7、，切换至“安全安全”选项卡，单击选项卡，单击“高级高级”，切换至，切换至“审核审核”标签。标签。v第二步第二步:单击单击“添加添加”，输入小何使用的用户名，输入小何使用的用户名，因为小何属于普通用户组因为小何属于普通用户组(users)，所以输入，所以输入“计算机名计算机名users”，单击，单击“确定确定”。这时会弹出。这时会弹出审核项目选择窗口，因为要监视小何对目标的审核项目选择窗口，因为要监视小何对目标的“访问权和执行权访问权和执行权”，因此要勾选，因此要勾选“遍历文件夹遍历文件夹/运行文件运行文件”，确定所有操作。，确定所有操作。171819v第三步第三步:这时策略已经完成了。现在可以
8、试试是否这时策略已经完成了。现在可以试试是否有效。打开事件查看器，右击有效。打开事件查看器，右击“安全性安全性”选择选择“清空所有事件清空所有事件”后注销系统。这时，小何登录此后注销系统。这时，小何登录此系统，访问一下系统，访问一下“D:data”并执行其中一个文并执行其中一个文件件(比如运行了存放在该目录底下的比如运行了存放在该目录底下的“MSN6.2.exe”文件文件)。注销系统后，阿桂用管。注销系统后，阿桂用管理员身份登录，查看一下日志，是不是清楚地记理员身份登录，查看一下日志，是不是清楚地记录了刚才小何的访问行为录了刚才小何的访问行为(见图见图)？20217.1.3高级安全配置方案高级
9、安全配置方案(1)关闭关闭DirectDraw(7)使用智能卡使用智能卡(2)关闭默认共享关闭默认共享(8)使用使用IPSec(3)禁用禁用Dump文件文件(9)禁止判断主机类型禁止判断主机类型(4)锁住注册表锁住注册表(10)禁止禁止Guest访问日志访问日志(5)关机时清除页面文件关机时清除页面文件(11)数据恢复软件数据恢复软件(6)禁止软盘光盘启动禁止软盘光盘启动22图图-关闭默认共享关闭默认共享23图图-禁用禁用Dump文件文件24修改注册表修改注册表25ContentsWindows 2000系统的安全系统的安全Unix/Linux系统的安全系统的安全267.2.1超级用户安全管理
10、超级用户安全管理超级用户在安全管理方面需要注意的地方包括：超级用户在安全管理方面需要注意的地方包括：(1)在一般情况下最好不使用在一般情况下最好不使用root账号，应使用账号，应使用su命令进入普通用户账号。命令进入普通用户账号。(2)超级用户不要运行其它用户的程序。超级用户不要运行其它用户的程序。(3)经常改变经常改变root口令。口令。(4)精心地设置口令时效。精心地设置口令时效。(5)不要把当前工作目录排在不要把当前工作目录排在PATH路径表的前面，路径表的前面，以避免木马程序的入侵。以避免木马程序的入侵。277.2.1超级用户安全管理超级用户安全管理(6)不要未退出系统就离开终端。不要
11、未退出系统就离开终端。(7)建议将登录名建议将登录名root改成其它名称。改成其它名称。(8)注意检查不寻常的系统使用情况。注意检查不寻常的系统使用情况。(9)保持系统文件的完整性。保持系统文件的完整性。(10)将磁盘的备份存放在安全的地方。将磁盘的备份存放在安全的地方。(11)确保所有登录账号的口令都不为空。确保所有登录账号的口令都不为空。(12)启动记账系统。启动记账系统。287.2.2用户帐号安全管理用户帐号安全管理保证系统有一个安全的保证系统有一个安全的/etc/passwd文件是十分必文件是十分必要的，维护该文件时应注意以下问题：要的，维护该文件时应注意以下问题：(1)尽量避免直接修
12、改尽量避免直接修改/etc/passwd文件。文件。(2)在用户可以容忍的情况下，尽量使用比较复杂在用户可以容忍的情况下，尽量使用比较复杂的用户账号名。的用户账号名。(3)保证保证passwd文件中没有口令相同的用户账号。文件中没有口令相同的用户账号。(4)保证保证passwd文件中每个用户的口令字段不为空。文件中每个用户的口令字段不为空。297.2.2用户帐号安全管理用户帐号安全管理(5)注意系统特殊用户使用的注意系统特殊用户使用的Shell字段，保证他字段，保证他们使用专用程序，而非一般用户的们使用专用程序，而非一般用户的Shell。(6)除非在必要的情况下，最好不要使用组口令。除非在必要
13、的情况下，最好不要使用组口令。(7)对于新用户最好先为之提供对于新用户最好先为之提供rsh(RestrictedShell)，让他们在受限的环境中使用系统。让他们在受限的环境中使用系统。(8)当一个账号长时间不用时，可通过记账机制发当一个账号长时间不用时，可通过记账机制发现该账号，并将该账号查封。现该账号，并将该账号查封。307.2.3用户口令的管理用户口令的管理为保证用户口令安全必须注意以下几点：为保证用户口令安全必须注意以下几点：(1)不要将用户口令写下来；不要将用户口令写下来；(2)用户在输入口令时，应避免被别人看到；用户在输入口令时，应避免被别人看到；(3)保证用户一人一个口令，避免多
14、人使用同一个保证用户一人一个口令，避免多人使用同一个账号；账号；(4)不要重复使用同一口令；不要重复使用同一口令；(5)不要在不同系统上使用同一口令；不要在不同系统上使用同一口令；(6)不要通过网络或不要通过网络或Modem来传送口令。来传送口令。317.2.4文件和目录的安全文件和目录的安全文件和目录权限的管理涉及重要目录的安全问题，文件和目录权限的管理涉及重要目录的安全问题，包括以下目录：包括以下目录：/bin、/boot、/dev、/etc和和$HOME。/bin目录保存引导系统所需的全部可执行程序及目录保存引导系统所需的全部可执行程序及常用的命令。该目录只允许超级用户进行修改。常用的命
15、令。该目录只允许超级用户进行修改。同时，应把该目录设置在同时，应把该目录设置在PATH环境变量的最前环境变量的最前面。面。/boot用来存放系统初启时所需的一些数据和文件。用来存放系统初启时所需的一些数据和文件。如该目录被破坏，系统就不能启动。如该目录被破坏，系统就不能启动。327.2.4文件和目录的安全文件和目录的安全/dev目录包含有链接硬件设备的文件，它的存取权目录包含有链接硬件设备的文件，它的存取权限应当是限应当是775，并且应属，并且应属root所有。设备文件使所有。设备文件使用权限设置不当，能给系统安全带来影响。例如用权限设置不当，能给系统安全带来影响。例如/dev/mem是系统内
16、存，用是系统内存，用cat命令就可以在终端命令就可以在终端上显示系统内存中的内容。上显示系统内存中的内容。/etc目录下的目录下的passwd、group、shadow、inittab、cshrc和和xinitrc等文件是系统正常工等文件是系统正常工作时所用的。大多数情况下，作时所用的。大多数情况下，/etc中的文件是黑中的文件是黑客首选的攻击目标。客首选的攻击目标。$HOME目录是各个用户的主目录，一般位于目录是各个用户的主目录，一般位于/home目录下。该目录的名称一般与用户的登录目录下。该目录的名称一般与用户的登录名相同。超级用户的主目录在名相同。超级用户的主目录在/root下。下。33
17、7.2.5关于关于SUID程序程序当当Unix/Linux中的一个进程执行时被分别赋予中的一个进程执行时被分别赋予4个个ID号，分别为实际号，分别为实际UID(realuserID)和有和有效的效的UID(effectiveuserID)、实际实际GID(realgroupID)和有效的和有效的GID(effectivegroupID)。实际实际IDID是在登录过程中建立的用户是在登录过程中建立的用户ID,ID,有效的有效的IDID用用于确定该进程对文件的存取许可。于确定该进程对文件的存取许可。347.2.5关于关于SUID程序程序$ls-l/etc/passwd-rw-r-r-1rootro
18、ot1939Oct806:00/etc/passwd我们看到我们看到/etc/passwd文件是不允许普通用户修改的文件是不允许普通用户修改的,但一般但一般用户运行用户运行passwd命令却能修改自己的口令。再看看命令却能修改自己的口令。再看看/usr/bin/passwd命令文件：命令文件：$ls-l/usr/bin/passwd-r-s-x-x1rootroot1463Mar142002/usr/bin/passwd我们可以看到文件主权限部分的我们可以看到文件主权限部分的x位被一个位被一个s代替了。当一代替了。当一个个UID为为101的用户执行的用户执行passwd命令改变自己的口令命令改变自己的口令时，该进程的时，该进程的p_uid赋值为赋值为101，而因为，而因为passwd是是SUIDroot程序，所以它的程序，所以它的p_suid有效有效ID值则被赋值值则被赋值为为0(root的的UID)。35CompanyLOGO
