【正文】 通過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護(hù)的能力。計(jì)算機(jī)還具備將身份標(biāo)識與該用戶所有可審計(jì)行為相關(guān)聯(lián)的能力。 2022/7/13 信息技術(shù)研究所 17 二 .操作系統(tǒng)的安全級別 中國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則： ③第三級：安全標(biāo)記保護(hù)級； 具有系統(tǒng)審計(jì)保護(hù)級所有功能。 2022/7/13 信息技術(shù)研究所 18 二 .操作系統(tǒng)的安全級別 中國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則： ④第四級：結(jié)構(gòu)化保護(hù)級； 建立于一個明確定義的形式化安全策略模型之上，它要求將第三級系統(tǒng)中的自主和強(qiáng)制訪問控制擴(kuò)展到所有主體與客體。 2022/7/13 信息技術(shù)研究所 19 二 .操作系統(tǒng)的安全級別 中國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則： ⑤第五級：訪問驗(yàn)證保護(hù)級 本級的計(jì)算機(jī)滿足 訪問監(jiān)控器 需求。系統(tǒng)具有很高的抗?jié)B透能力。 2022/7/13 信息技術(shù)研究所 21 二 .操作系統(tǒng)的安全級別 CC標(biāo)準(zhǔn)： ①美國國家安全局、國家技術(shù)標(biāo)準(zhǔn)研究所、法國、加拿大、英國、德國、荷蘭六國七方，聯(lián)合提出了新的“ 信息技術(shù)安全評價(jià)通用準(zhǔn)則”（ CC for ITSEC），并于 1999年 5月正式被 ISO頒布為國際標(biāo)準(zhǔn)。 2022/7/13 信息技術(shù)研究所 24 三 .操作系統(tǒng)的安全機(jī)制 實(shí)體保護(hù) 多道程序的增長，使得許多實(shí)體需要保護(hù)。 ? 數(shù)據(jù)。 ? 時間隔離 ：不同安全級別的處理在不同的時間執(zhí)行。 ? 密碼隔離 ： ? 用密碼加密數(shù)據(jù)，以其它處理不能理解的形式隱藏?cái)?shù)據(jù) 2022/7/13 信息技術(shù)研究所 27 三 .操作系統(tǒng)的安全機(jī)制 問題： 隔離是否解決了操作系統(tǒng)的安全問題？ 我們除了要對用戶和客體進(jìn)行隔離外，我們還希望能夠提供共享。這種保護(hù)可以作成硬件機(jī)制，以保護(hù)存儲器的有效使用，而且成本較低。 ? 與固定界限方式不同，這里的界限是可以變化的。類似地，用戶也不能隔離保護(hù)程序的代碼區(qū)和數(shù)據(jù)區(qū)。 ? 運(yùn)行域是進(jìn)程運(yùn)行的區(qū)域。 ? 內(nèi)環(huán)不受外環(huán)的入侵，卻可利用外環(huán)的資源，并控制外環(huán)。 ? Eg. 用戶名是一種標(biāo)識，為的是進(jìn)行身份認(rèn)證。 ⑵認(rèn)證 ? 在操作系統(tǒng)中主要是用戶的身份認(rèn)證。沒有好的安全策略，再好的機(jī)制也不能確保安全。 ? 這些操作系統(tǒng)都是符合 C2級安全級別的操作系統(tǒng)。 ? UNIX誕生于 20世紀(jì) 60年代末期，貝爾實(shí)驗(yàn)室的研究人員于 1969年開始在 GE645計(jì)算機(jī)上實(shí)現(xiàn)一種分時操作系統(tǒng)的雛形，后來該系統(tǒng)被移植到了 DEC的 PDP7小型機(jī)上。 ? （ 1）可靠性高 ? （ 2）極強(qiáng)的伸縮性 ? （ 3）網(wǎng)絡(luò)功能強(qiáng) ? （ 4）強(qiáng)大的數(shù)據(jù)庫支持功能 ? （ 5）開放性好 2022/7/13 信息技術(shù)研究所 45 Linux系統(tǒng) ? Linux是一套可以免費(fèi)使用和自由傳播的類 Unix操作系統(tǒng)，主要用于基于 Intel x86系列 CPU的計(jì)算機(jī)上。 ? 目的是想設(shè)計(jì)一個代替 Minix（是由一位名叫 Andrew Tannebaum的計(jì)算機(jī)教授編寫的一個操作系統(tǒng)示教程序）的操作系統(tǒng)。 Linux的流行是因?yàn)樗哂性S多優(yōu)點(diǎn)，典型的優(yōu)點(diǎn)有 7個。 2022/7/13 信息技術(shù)研究所 49 — Windows系統(tǒng) ? Windows NT系列操作系統(tǒng)具有以下三方面的優(yōu)點(diǎn)。 （ 3）支持 NTFS文件系統(tǒng) Windows 9X所使用的文件系統(tǒng)是 FAT，在 NT中內(nèi)臵同時支持 FAT和 NTFS的磁盤分區(qū)格式。 ? 系統(tǒng)進(jìn)程 ：用于完成操作系統(tǒng)的各種功能的進(jìn)程就是系統(tǒng)進(jìn)程，它們就是處于運(yùn)行狀態(tài)下的操作系統(tǒng)本身，是系統(tǒng)運(yùn)行所必須的。 ? 實(shí)際上線程運(yùn)行而進(jìn)程不運(yùn)行，線程不擁有系統(tǒng)資源，它與父進(jìn)程的其它線程共享該進(jìn)程所擁有的全部資源。 ? DLL文件一般不能單獨(dú)執(zhí)行，而應(yīng)由其他Windows 應(yīng)用程序直接或間接調(diào)用。 NTFS文件系統(tǒng)要比 FAT、 FAT32的文件系統(tǒng)安全得多。并且修改 Guest帳號的屬性，設(shè)臵拒絕遠(yuǎn)程訪問，如圖 71所示。 2022/7/13 信息技術(shù)研究所 59 3. 安全配置方案初級篇 多個管理員帳號 ? 創(chuàng)建一個一般用戶權(quán)限帳號用來處理電子郵件以及處理一些日常事物，另一個擁有Administrator權(quán)限的帳戶只在需要的時候使用。 ? 不要使用 Admin之類的名字，盡量把它偽裝成普通用戶，比如改成： guestone?？梢詫⒃撚脩綦`屬的組修改成 Guests組。包括打印共享，默認(rèn)的屬性就是“ Everyone”組的，一定不要忘了改。 ? 設(shè)臵了防病毒軟件，那些有名的木馬就毫無用武之地了，并且要經(jīng)常升級病毒庫。 2022/7/13 信息技術(shù)研究所 66 4. 安全配置方案中級篇 ? 安全配臵方案中級篇主要介紹操作系統(tǒng)的安全策略配臵，包括十條基本配臵原則： ? 操作系統(tǒng)安全策略、關(guān)閉不必要的服務(wù) ? 關(guān)閉不必要的端口、開啟審核策略 ? 開啟密碼策略、開啟帳戶策略、備份敏感文件 ? 不顯示上次登陸名、禁止建立空連接和下載最新的補(bǔ)丁 2022/7/13 信息技術(shù)研究所 67 操作系統(tǒng)安全策略 ? 利用 Windows 2022的安全配臵工具來配臵安全策略，微軟提供了一套的基于管理控制臺的安全配臵和分析工具，可以配臵服務(wù)器的安全策略。 2022/7/13 信息技術(shù)研究所 68 關(guān)閉不必要的服務(wù) ? Windows 2022的 Terminal Services（終端服務(wù)）和 IIS（ Inter 信息服務(wù)）等都可能給系統(tǒng)帶來安全漏洞。該文件用記事本打開如圖 77所示。 2022/7/13 信息技術(shù)研究所 73 審核策略默認(rèn)設(shè)置 2022/7/13 信息技術(shù)研究所 74 策略 設(shè)臵 審核系統(tǒng)登陸事件 成功，失敗 審核帳戶管理 成功，失敗 審核登陸事件 成功，失敗 審核對象訪問 成功 審核策略更改 成功，失敗 審核特權(quán)使用 成功，失敗 審核系統(tǒng)事件 成功，失敗 ? 雙擊審核列表的某一項(xiàng)，出現(xiàn)設(shè)臵對話框，將復(fù)選框“成功”和“失敗”都選中。黑客們可以得到系統(tǒng)的一些用戶名，進(jìn)而做密碼猜測。在HKEY_LOCAL_MACHINE主鍵下修改子鍵：System\CurrentControlSet\Control\LSA\RestrictAnonymous，將鍵值改成“ 1”即可。 2022/7/13 信息技術(shù)研究所 81 6. 安全配置方案高級篇 關(guān)閉默認(rèn)共享 ? Windows 2022安裝以后，系統(tǒng)會創(chuàng)建一些隱藏的共享，可以在 DOS提示符下輸入命令 Net Share 查看，如圖所示。 2022/7/13 信息技術(shù)研究所 84 6. 安全配置方案高級篇 文件加密系統(tǒng) ? Windows2022強(qiáng)大的加密系統(tǒng)能夠給磁盤，文件夾，文件加上一層安全保護(hù)。 2022/7/13 信息技術(shù)研究所 86 6. 安全配置方案高級篇 鎖住注冊表 ? 在 Windows2022中，只有 Administrators和Backup Operators才有從網(wǎng)絡(luò)上訪問注冊表的權(quán)限。 ? 頁面文件中可能含有另外一些敏感的資料。 2022/7/13 信息技術(shù)研究所 89 6. 安全配置方案高級篇 使用智能卡 ? 如果條件允許，用智能卡來代替復(fù)雜的密碼是一個很好的解決方法。 2022/7/13 信息技術(shù)研究所 91 6. 安全配置方案高級篇 禁止判斷主機(jī)類型 ? 利用 TTL（ TimeToLive，活動時間）值可以鑒別操作系統(tǒng)的類型，通過 Ping指令能判斷目標(biāo)主機(jī)類型。在鍵值 ? [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters]下增加響應(yīng)的鍵及其說明如下表所示。 ? 禁止 Guest訪問安全日志 ? HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Security下添加鍵值名稱為：RestrictGuestAccess，類型為： DWORD，將值設(shè)臵為 1。 2022/7/13 信息技術(shù)研究所 105 配置訪問列表應(yīng)當(dāng)注意的問題 在設(shè)臵訪問列表時，應(yīng)當(dāng)遵循 最小特權(quán)原則，即只給受控對象完成任務(wù)所必須的最小的權(quán)限，從而最大限度地保障網(wǎng)絡(luò)傳輸安全。 ?從第一行起，找到符合條件的行后，其余的行就不再繼續(xù)比較。 標(biāo)準(zhǔn)訪問列表只限于過濾源地址，所以，需要使用擴(kuò)展的 IP訪問列表來滿足企業(yè)的特殊需求。 由于 IP協(xié)議包含 ICMP、 TCP和 UDP，所以，應(yīng)當(dāng)將具體的表項(xiàng)放在不太具體的表項(xiàng)前面，以保證位于另一個語句前面的語句不會否定表中后面語句的作用效果。過濾方向定義了欲檢查的是流入還是流出的報(bào)文。 2. 分析符合條件的數(shù)據(jù)流的路徑，尋找一個最適合進(jìn)行控制的位臵。在路由器上增加這類過濾規(guī)則的命令如下： accesslist aclid permit IP {workid} {mask} any accesslist aclid deny IP any any 在局域網(wǎng)的邊界路由器上使用這一訪問列表的過濾規(guī)則，可以阻止內(nèi)網(wǎng)上的任何人向外網(wǎng)發(fā)送這種源欺騙的 IP數(shù)據(jù)包。 Router(configt)ip cef Router(configt)interface e0 Router(configif) ip verify unicast reversepath 101 Router(configt)accesslist 101 permit ip any any log 2022/7/13 信息技術(shù)研究所 114 拒絕 DDoS攻擊 黑客通過 DDoS攻擊程序發(fā)起 DDoS攻擊。 ? timerange denyqq ? periodic weekdays 8:00 to 18:00 ? ip accesslist extended qqlimit ? deny tcp any eq 1863 timerange denyqq ? deny tcp any eq 8000 timerange denyqq ? deny tcp any eq 1080 timerange denyqq ? deny udp any eq 8000 timerange denyqq ? deny udp any eq 4000 timerange denyqq ? deny udp any eq 1080 timerange denyqq ? permit ip any any 2022/7/13 信息技術(shù)研究所 118 定義時間范圍名稱為 denyqq 時間范圍為周一至周五的8:00~18:00 定義擴(kuò)展 IP訪問列表，名稱為qq_limit 定義 和 MSN聊天使用的協(xié)議和端口號 其余訪問不予限制 允許網(wǎng)絡(luò)應(yīng)用的啟用 允許特定的時間內(nèi)對某一端口的訪問 ? int fa0/0 ? ip accessgroup 101 in ? accesslist 101 permit tcp any any eq tel timerange tel ? timerange tel ? periodic weekdays 8:00 to 18:00 2022/7/13 信息技術(shù)研究所 119 將 IP訪問列表 101應(yīng)用至該端口 設(shè)置 IP訪問列表 101 設(shè)置時間訪問列表 tel 網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT) NAT主要作用是改變傳出包的源地址和出入包的目的地址，以實(shí)現(xiàn)局部地址和全局地址的轉(zhuǎn)換過程。 ? Outside Local IP address:外部網(wǎng)絡(luò)的主機(jī)地址 ? Simple Translation Entry:映射 IP到另一個地址的 Entry。 NAT的工作方式： ? 靜態(tài) NAT:將私網(wǎng)地址和公網(wǎng)地址做一對一映射。 ? Overlapping:內(nèi)網(wǎng) IP和外網(wǎng)地址有重疊。 2022/7/13 信息技術(shù)研究所 128 安全體系模型 2022/7/13 信息技術(shù)研究所 129 系統(tǒng)安全 應(yīng)用安全 管理安全 物理安全 傳輸安全 網(wǎng)絡(luò)互聯(lián)安全 安全體系模型 2022/7/13 信息技術(shù)研究所 130 系統(tǒng)安全 應(yīng)用安全 管理安全 物理安全 傳輸安全 網(wǎng)絡(luò)互聯(lián)安全 地震、火災(zāi)、設(shè)備損壞、電源故障、被盜 安全體系模型 2022/7/13 信息技術(shù)研究所 131 系統(tǒng)安全 應(yīng)用安全 管理安全 物理安全 傳輸安全 網(wǎng)絡(luò)互聯(lián)