第五章：操作系統(tǒng)與數(shù)據(jù)庫安全-文庫吧
2025-01-07 23:58 本頁面
【正文】 ? 基于許可的模式 ? 特權(quán)分離 ? 最少的通用機(jī)制 ? 便于使用 用 戶 軟 件 可 信 應(yīng) 用 軟 件安 全 內(nèi) 核硬 件可共享實(shí)體提供了信息流的潛在通道。系統(tǒng)為防止這種共享的威脅應(yīng)該采取物理或邏輯分離的方法 什么是安全操作系統(tǒng) ? 安全性更高的操作系統(tǒng)，它需要處理更多的任務(wù)，要控制和管理系統(tǒng)中數(shù)據(jù)的存取、程序的運(yùn)行和外部設(shè)備的工作，還要使負(fù)載最小以至于不減慢計(jì)算的速度 ? 設(shè)計(jì)安全操作系統(tǒng)應(yīng)該遵循的一些原則 ? 最小特權(quán) ? 操作系統(tǒng)中保護(hù)機(jī)制的經(jīng)濟(jì)性 ? 開放設(shè)計(jì) ? 嚴(yán)密完整的檢查 ? 基于許可的模式 ? 特權(quán)分離 ? 最少的通用機(jī)制 ? 便于使用 用 戶 軟 件 可 信 應(yīng) 用 軟 件安 全 內(nèi) 核硬 件設(shè)計(jì)的安全機(jī)制應(yīng)盡可能方便用戶使用 Windows系統(tǒng)安全 ? Windows 系統(tǒng)帳號管理 ? Window NT資源安全管理 ? Windows 網(wǎng)絡(luò)安全管理 Windows系統(tǒng)安全 ? Windows 系統(tǒng)帳號管理 ? Window NT資源安全管理 ? Windows 網(wǎng)絡(luò)安全管理 硬 件 抽 象 層硬 件微 內(nèi) 核I / O 子 系 統(tǒng)進(jìn) 程 管 理對 象 執(zhí) 行 服務(wù)對 象 管 理 配 置 管 理局 部 過 程調(diào) 用內(nèi) 存 管 理圖 形 設(shè) 備驅(qū) 動(dòng)核 心 模 式用 戶 模 式 Windows系統(tǒng)登錄流程 ? 注冊（ WinLogon）模塊產(chǎn)生 WinLogon進(jìn)程，顯示對話框，要求用戶輸入用戶名、密碼、服務(wù)器 /域名 ? 系統(tǒng)將用戶信息通過安全系統(tǒng)傳輸?shù)?SAM，并對用戶身份進(jìn)行確認(rèn) ? 安全帳號管理器把用戶的登錄信息與服務(wù)器里的安全帳號管理數(shù)據(jù)庫進(jìn)行比較，如果兩者匹配，服務(wù)器將通知工作站允許用戶進(jìn)行訪問 ? Winlogon進(jìn)程將調(diào)用 Win32子系統(tǒng)，子系統(tǒng)為用戶產(chǎn)生一個(gè)新的進(jìn)程 ? LSA開始構(gòu)建訪問令牌（ Access Token），與用戶進(jìn)行的所有操作相連，用戶進(jìn)行的操作與訪問令牌一起構(gòu)成一個(gè)主體 ? 當(dāng)用戶要求訪問一個(gè)對象時(shí)，主體的訪問令牌的內(nèi)容將與對象的存取控制列表通過一個(gè)有效性訪問程序進(jìn)行比較，這個(gè)程序?qū)Q定接受或拒絕用戶的訪問要求 登 錄本 地 安 全 權(quán) 威認(rèn) 證 包 運(yùn) 行驗(yàn) 證 安 全 帳 號管 理 數(shù) 據(jù) 庫 中的 認(rèn) 證安 全 帳 號 管 理器 返 回 S I D s本 地 安 全 權(quán) 威創(chuàng) 建 存 取 令 牌本 地 安 全 權(quán) 威 創(chuàng) 建主 體 Windows 系統(tǒng)帳號管理 ? Windows系統(tǒng)的用戶帳號（ User Accounts）安全是Windows系統(tǒng)安全的核心。 ? 每個(gè)要訪問 Windows系統(tǒng)控制的資源的用戶必須由系統(tǒng)管理員建立一個(gè)帳號。而一個(gè)用戶可以擁有一個(gè)或幾個(gè)帳號，以不同的訪問等級和訪問權(quán)限共享工作組或域中的資源。 ? Windows系統(tǒng)的用戶帳號有兩種基本類型： ? 全局帳號（ Global Accounts） ? 本地帳號（ Local Accounts） 全局帳號有時(shí)又稱為域帳號（ Domain Accounts） 全局帳號主要是用于網(wǎng)絡(luò)環(huán)境中的操作系統(tǒng)用戶認(rèn)證 如果有多個(gè)域可用，網(wǎng)絡(luò)中的每個(gè)用戶在一個(gè)域中最好只有一個(gè)全局帳號，這樣用戶只需要一個(gè)密碼 Windows 系統(tǒng)帳號管理 ? Windows系統(tǒng)的用戶帳號（ User Accounts）安全是Windows系統(tǒng)安全的核心。 ? 每個(gè)要訪問 Windows系統(tǒng)控制的資源的用戶必須由系統(tǒng)管理員建立一個(gè)帳號。而一個(gè)用戶可以擁有一個(gè)或幾個(gè)帳號，以不同的訪問等級和訪問權(quán)限共享工作組或域中的資源。 ? Windows系統(tǒng)的用戶帳號有兩種基本類型： ? 全局帳號（ Global Accounts） ? 本地帳號（ Local Accounts） 本地帳號是在用戶本地域使用的帳號，也是用戶日常使用最頻繁的系統(tǒng)本機(jī)帳號。 本地用戶組 /域用戶組 ? 用戶組： Windows系統(tǒng)中將相同性質(zhì)的帳號歸類成一個(gè)組，即用戶組 ? 本地用戶組 ? 本地組的一部分，也可以叫標(biāo)準(zhǔn)本地組 ? 具有相同權(quán)限的本地用戶帳號的集合 ? 域用戶組 ? 具有相同權(quán)限的域用戶帳號的集合 ? 關(guān)系 ? 都是 Windows系統(tǒng)中用戶組概念的具體延伸，沒有交叉關(guān)系 ? Windows的用戶組組可以分為全局組、本地組和特殊組。除去本地組中的一部分認(rèn)為是本地用戶組外，其他主要是在域環(huán)境下使用的，都是域用戶組 Window NT資源安全管理 ? 文件系統(tǒng)和共享資源的安全設(shè)置 ? 應(yīng)用程序和用戶主目錄安全 ? 打印機(jī)安全 ? 注冊表安全 ? 審核策略及日志 ? 硬盤空間管理和數(shù)據(jù)備份 ? 文件系統(tǒng)的安全分為四個(gè)基本部分： ? 共享權(quán)限（ Share Permisson） ? 目錄權(quán)限（ Directory Permission） ? 審計(jì)（ Auditing） ? 所有者（ Ownership） ? 其中安全性要求最高的是共享權(quán)限的設(shè)置 ? 遠(yuǎn)程訪問共享目錄中的目錄和文件，必須能夠同時(shí)滿足共享的權(quán)限設(shè)置和文件目錄自身的權(quán)限設(shè)置。用戶對共享所獲得的最終訪問權(quán)限將取決于共享的權(quán)限設(shè)置和目錄的本地權(quán)限設(shè)置中最嚴(yán)格的條件 ? 應(yīng)用程序安全 ? 建立一個(gè)或少許幾個(gè)應(yīng)用程序的安裝和工作目錄，然后賦予這些目錄以較為嚴(yán)格的權(quán)限管理。 ? 建議賦予這些目錄以下的權(quán)限： ? 用戶組 App Users以 Read的權(quán)限 ? 用戶組 App Installers以 Change的權(quán)限 ? 用戶組 Administrator以 Full Control的權(quán)限 ? 用戶主目錄安全 ? 建立一個(gè)公共的目錄作為用戶主目錄的根目錄，分別建立用戶的子目錄，采用用戶的簡稱等易于識別的名字作為用戶子目錄名。 ? 再賦予以下權(quán)限： ? 用戶（組） User Name以 Full Control的權(quán)限 ? 用戶（組） Administrator以 Full Control的權(quán)限 Window NT資源安全管理 ? 文件系統(tǒng)和共享資源的安全設(shè)置 ? 應(yīng)用程序和用戶主目錄安全 ? 打印機(jī)安全 ? 注冊表安全 ? 審核策略及日志 ? 硬盤空間管理和數(shù)據(jù)備份 Window NT資源安全管理 ? 文件系統(tǒng)和共享資源的安全設(shè)置 ? 應(yīng)用程序和用戶主目錄安全 ? 打印機(jī)安全 ? 注冊表安全 ? 審核策略及日志 ? 硬盤空間管理和數(shù)據(jù)備份 ? 保障注冊表安全可以歸結(jié)為三條 ? 刪除注冊表編輯器 ? 設(shè)置注冊表本地訪
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1