网络信息安全操作系统安全

第7章 操作系统安全,第三部分系统安全机制,网络,信息,安全第七章-操作系统安全,2,导读,目前服务器常用的操作系统有两类：Windows NT/2000/2003 Server、Unix/Linux。这些操作系统都是符合C2级安全级别的操作系统，但是都存在不少漏洞，如果对这些漏洞不了解，不采取相应的措施，就会使操作系统完全暴露给入侵者。本章将讨论这两类操作系统一些基本的安全问题。,网络,信息,安全第七章-操作系统安全,3,Contents,网络,信息,安全第七章-操作系统安全,4,Windows 2000系统的安全,Windows NT系列操作系统具有的优点： （）支持多种网络协议； （）内置Internet功能； （）支持NTFS文件系统,网络,信息,安全第七章-操作系统安全,5,7.1.1初级安全配置方案,(1) 物理安全 (7) 更改默认权限 (2) 停止Guest帐号 (8) 设置安全密码 (3) 限制用户数量 (9) 屏幕保护密码 (4) 创建多个管理员帐号 (10) 使用NTFS分区 (5) 管理员帐号改名 (11) 运行防毒软件 (6) 陷阱帐号 (12) 备份盘的安全,图-Guest帐号设置,图-共享权限设置,网络,信息,安全第七章-操作系统安全,8,7.1.2中级安全配置方案,(1)操作系统安全策略(6)开启帐户策略 (2)关闭不必要的服务(7)备份敏感文件 (3)关闭不必要的端口(8)不显示上次登录名 (4)开启审核策略(9)禁止建立空连接 (5)开启密码策略(10)下载最新的补丁,控制面板管理工具本地安全策略 图-本地安全设置,图-选择筛选,图-设置端口,控制面板管理工具本地安全策略图-选择审核策略,图-设置审核策略,“开始运行”中输入“Eventvwr.msc”，定位到“事件查看器安全性”查看事件日志,网络,信息,安全第七章-操作系统安全,15,实战任务:商业间谍做了些什么？,任务描述: 阿桂是一家IT公司的网管，最近，老板发现一些商业秘密不胫而走，他想在不让员工们知道的前提下，监控手下人什么时候访问过或使用了公司电脑中指定的磁盘或文件夹中的资料，比如:服务器“D:data”文件夹。老板觉得小何最可疑，于是决定从监视他入手。,网络,信息,安全第七章-操作系统安全,16,分析: 公司员工每人都分配有一个不同账户(记得不能给他们修改策略设置的权限！)，只要监视选定账户或组对目标访问时，需要监视目标的访问权和执行权即可。开始前首先在“控制面板文件夹选项查看”标签下取消“使用简单文件共享”。,网络,信息,安全第七章-操作系统安全,17,第一步:在“审核策略”中双击右侧的“审核对象访问”，勾选“成功”，确认操作并退出编辑器。右击目标磁盘或文件夹选择“属性”，切换至“安全”选项卡，单击“高级”，切换至“审核”标签。 第二步:单击“添加”，输入小何使用的用户名，因为小何属于普通用户组(users)，所以输入“计算机名users”，单击“确定”。这时会弹出审核项目选择窗口，因为要监视小何对目标的“访问权和执行权”，因此要勾选“遍历文件夹/运行文件”，确定所有操作。,网络,信息,安全第七章-操作系统安全,20,第三步:这时策略已经完成了。现在可以试试是否有效。打开事件查看器，右击“安全性”选择“清空所有事件”后注销系统。这时，小何登录此系统，访问一下“D:data”并执行其中一个文件(比如运行了存放在该目录底下的“MSN6.2.exe”文件)。注销系统后，阿桂用管理员身份登录，查看一下日志，是不是清楚地记录了刚才小何的访问行为(见图)？,网络,信息,安全第七章-操作系统安全,22,7.1.3高级安全配置方案,(1) 关闭DirectDraw(7) 使用智能卡 (2) 关闭默认共享(8) 使用IPSec (3) 禁用Dump文件(9) 禁止判断主机类型 (4) 锁住注册表(10) 禁止Guest访问日志 (5) 关机时清除页面文件(11) 数据恢复软件 (6) 禁止软盘光盘启动,图-关闭默认共享,图-禁用Dump文件,修改注册表,网络,信息,安全第七章-操作系统安全,26,Contents,网络,信息,安全第七章-操作系统安全,27,7.2.1 超级用户安全管理,超级用户在安全管理方面需要注意的地方包括： (1) 在一般情况下最好不使用root账号，应使用su命令进入普通用户账号。 (2) 超级用户不要运行其它用户的程序。 (3) 经常改变root口令。 (4) 精心地设置口令时效。 (5) 不要把当前工作目录排在PATH路径表的前面，以避免木马程序的入侵。,网络,信息,安全第七章-操作系统安全,28,7.2.1 超级用户安全管理,(6) 不要未退出系统就离开终端。 (7) 建议将登录名root改成其它名称。 (8) 注意检查不寻常的系统使用情况。 (9) 保持系统文件的完整性。 (10) 将磁盘的备份存放在安全的地方。 (11) 确保所有登录账号的口令都不为空。 (12) 启动记账系统。,网络,信息,安全第七章-操作系统安全,29,7.2.2 用户帐号安全管理,保证系统有一个安全的/etc/passwd文件是十分必 要的，维护该文件时应注意以下问题： (1) 尽量避免直接修改/etc/passwd文件。 (2) 在用户可以容忍的情况下，尽量使用比较复杂 的用户账号名。 (3) 保证passwd文件中没有口令相同的用户账号。 (4) 保证passwd文件中每个用户的口令字段不为空。,网络,信息,安全第七章-操作系统安全,30,7.2.2 用户帐号安全管理,(5) 注意系统特殊用户使用的Shell字段，保证他 们使用专用程序，而非一般用户的Shell。 (6) 除非在必要的情况下，最好不要使用组口令。 (7) 对于新用户最好先为之提供rsh(Restricted Shell)，让他们在受限的环境中使用系统。 (8) 当一个账号长时间不用时，可通过记账机制发 现该账号，并将该账号查封。,网络,信息,安全第七章-操作系统安全,31,7.2.3 用户口令的管理,为保证用户口令安全必须注意以下几点： (1) 不要将用户口令写下来； (2) 用户在输入口令时，应避免被别人看到； (3) 保证用户一人一个口令，避免多人使用同一个 账号； (4) 不要重复使用同一口令； (5) 不要在不同系统上使用同一口令； (6) 不要通过网络或Modem来传送口令。,网络,信息,安全第七章-操作系统安全,32,7.2.4 文件和目录的安全,文件和目录权限的管理涉及重要目录的安全问题，包括以下目录：/bin、/boot、/dev、/etc和$HOME。 /bin目录保存引导系统所需的全部可执行程序及常用的命令。该目录只允许超级用户进行修改。同时，应把该目录设置在PATH环境变量的最前面。 /boot用来存放系统初启时所需的一些数据和文件。如该目录被破坏，系统就不能启动。,网络,信息,安全第七章-操作系统安全,33,7.2.4 文件和目录的安全,/dev目录包含有链接硬件设备的文件，它的存取权限应当是775，并且应属root所有。设备文件使用权限设置不当，能给系统安全带来影响。例如/dev/mem是系统内存，用cat命令就可以在终端上显示系统内存中的内容。 /etc目录下的passwd、group、shadow 、inittab、cshrc和xinitrc等文件是系统正常工作时所用的。大多数情况下，/etc中的文件是黑客首选的攻击目标。 $HOME目录是各个用户的主目录，一般位于/home目录下。该目录的名称一般与用户的登录名相同。超级用户的主目录在/root下。,网络,信息,安全第七章-操作系统安全,34,7.2.5 关于SUID程序,当Unix/Linux中的一个进程执行时被分别赋予4个ID号，分别为实际UID(real user ID)和有效的UID (effective user ID)、实际GID(real group ID)和有效的GID (effective group ID)。 实际ID是在登录过程中建立的用户ID,有效的ID用于确定该进程对文件的存取许可。,网络,信息,安全第七章-操作系统安全,35,7.2.5 关于SUID程序,$ls -l /etc/passwd -rw-r-r- 1 root root 1939 Oct 8 06:00 /etc/passwd 我们看到/etc/passwd文件是不允许普通用户修改的,但一般用户运行passwd命令却能修改自己的口令。再看看/usr/bin/passwd命令文件： $ls -l /usr/bin/passwd -r-s-x-x 1 root root 1463 Mar 14 2002 /usr/bin/passwd 我们可以看到文件主权限部分的x位被一个s代替了。当一个UID为101的用户执行passwd命令改变自己的口令时，该进程的p_uid 赋值为101，而因为passwd是SUID root程序，所以它的p_suid有效ID值则被赋值为0(root的UID)。,网络,信息,安全第七章-操作系统安全,36,第三部分系统安全机制作业,第二次作业，以下任选一题： （交作业日期：-，-） 查找资料，研究IPv6的结构和特点，写出报告，比较IPv6与IPv4，并说明目前在中国IPv6发展的情况 查找资料，找出一个黑客攻击的具体例子，进行分析，说明其使用的技术及相应的防范方法,Thank You !,