windows2000系統(tǒng)安全體系(已修改)
2025-01-30 07:55 本頁面
【正文】 Windows系統(tǒng)安全技術(shù) 祝曉光 提綱 ?系統(tǒng)安全模型 ?服務(wù)安全性 ?降低風(fēng)險 Windows系統(tǒng)安全模型 操作系統(tǒng)安全定義 ? 信息安全的五類服務(wù)，作為安全的操作系統(tǒng)時必須提供的 ? 有些操作系統(tǒng)所提供的服務(wù)是不健全的、默認(rèn)關(guān)閉的 信息安全評估標(biāo)準(zhǔn) ?ITSEC和 TCSEC ?TCSEC描述的系統(tǒng)安全級別 ? D?A ?CC(Common Critical)標(biāo)準(zhǔn) ?BS 7799:2022標(biāo)準(zhǔn)體系 ?ISO 17799標(biāo)準(zhǔn) TCSEC定義的內(nèi)容 沒有安全性可言，例如 MS DOS 不區(qū)分用戶，基本的訪問控制 D 級 C1 級 C2 級 B1 級 B2 級 B3 級 A 級 有自主的訪問安全性，區(qū)分用戶 標(biāo)記安全保護(hù)，如 System V等 結(jié)構(gòu)化內(nèi)容保護(hù)，支持硬件保護(hù) 安全域，數(shù)據(jù)隱藏與分層、屏蔽 校驗(yàn)級保護(hù)，提供低級別手段 C2級安全標(biāo)準(zhǔn)的要求 ?自主的訪問控制 ?對象再利用必須由系統(tǒng)控制 ?用戶標(biāo)識和認(rèn)證 ?審計(jì)活動 ? 能夠?qū)徲?jì)所有安全相關(guān)事件和個人活動 ? 只有管理員才有權(quán)限訪問 CC(Common Critical)標(biāo)準(zhǔn) ?CC的基本功能 ? 標(biāo)準(zhǔn)化敘述 ? 技術(shù)實(shí)現(xiàn)基礎(chǔ)敘述 ?CC的概念 ? 維護(hù)文件 ? 安全目標(biāo) ? 評估目標(biāo) Windows系統(tǒng)的安全架構(gòu) Windows NT系統(tǒng)內(nèi)置支持用戶認(rèn)證、訪問 控制、管理、審核。 Windows系統(tǒng)的安全組件 ? 訪問控制的判斷 （ Discretion access control） 允許對象所有者可以控制誰被允許訪問該對象以及訪問的方式。 ? 對象重用（ Object reuse） 當(dāng)資源（內(nèi)存、磁盤等）被某應(yīng)用訪問時， Windows 禁止所有的系統(tǒng)應(yīng)用訪問該資源，這也就是為什么無法恢復(fù)已經(jīng)被刪除的文件的原因。 ? 強(qiáng)制登陸（ Mandatory log on） 要求所有的用戶必須登陸，通過認(rèn)證后才可以訪問資源 ? 審核（ Auditing） 在控制用戶訪問資源的同時，也可以對這些訪問作了相應(yīng)的記錄。 ? 對象的訪問控制（ Control of access to object） 不允許直接訪問系統(tǒng)的某些資源。必須是該資源允許被訪問，然后是用戶或應(yīng)用通過第一次認(rèn)證后再訪問 。 Windows安全子系統(tǒng)的組件 ? 安全標(biāo)識符（ Security Identifiers） : 就是我們經(jīng)常說的 SID，每次當(dāng)我們創(chuàng)建一個用戶或一個組的時候，系統(tǒng)會分配給改用戶或組一個唯一 SID，當(dāng)你重新安裝系統(tǒng)后，也會得到一個唯一的 SID。 SID永遠(yuǎn)都是唯一的，由計(jì)算機(jī)名、當(dāng)前時間、當(dāng)前用戶態(tài)線程的 CPU耗費(fèi)時間的總和三個參數(shù)決定以保證它的唯一性。 例： S1521176323432332126575211234321321500 ? 訪問令牌（ Access tokens） : 用戶通過驗(yàn)證后，登陸進(jìn)程會給用戶一個訪問令牌，該令牌相當(dāng)于用戶訪問系統(tǒng)資源的票證，當(dāng)用戶試圖訪問系統(tǒng)資源時，將訪問令牌提供給 Windows 系統(tǒng)，然后 Windows NT檢查用戶試圖訪問對象上的訪問控制列表。如果用戶被允許訪問該對象，系統(tǒng)將會分配給用戶適當(dāng)?shù)脑L問權(quán)限。 訪問令牌是用戶在通過驗(yàn)證的時候有登陸進(jìn)程所提供的，所以改變用戶的權(quán)限需要注銷后重新登陸，重新獲取訪問令牌。 Windows安全子系統(tǒng)的組件 ? 安全描述符（ Security descriptors）： Windows 系統(tǒng)中的任何對象的屬性都有安全描述符這部分。它保存對象的安全配置。 ? 訪問控制列表（ Access control lists）： 訪問控制列表有兩種：任意訪問控制列表（ Discretionary ACL）、系統(tǒng)訪問控制列表（ System ACL）。任意訪問控制列表包含了用戶和組的列表，以及相應(yīng)的權(quán)限，允許或拒絕。每一個用戶或組在任意訪問控制列表中都有特殊的權(quán)限。而系統(tǒng)訪問控制列表是為審核服務(wù)的，包含了對象被訪問的時間。 ? 訪問控制項(xiàng)（ Access control entries） : 訪問控制項(xiàng)（ ACE）包含了用戶或組的 SID以及對象的權(quán)限。訪問控制項(xiàng)有兩種：允許訪問和拒絕訪問。拒絕訪問的級別高于允許訪問。 Windows安全子系統(tǒng) ?安全子系統(tǒng)包括以下部分： ? Winlogon ? Graphical Identification and Authentication DLL (GINA) ? Local Security Authority(LSA) ? Security Support Provider Interface(
試題試卷相關(guān)推薦
鄂ICP備17016276號-1