操作系統(tǒng)的安全配置-預(yù)覽頁(yè)
【正文】 ndows NT系列操作支持幾乎所有常見(jiàn)的網(wǎng)絡(luò)協(xié)議。,安全操作系統(tǒng)的基本概念,安全操作系統(tǒng)涉及很多概念： 主體和客體 安全策略和安全模型 訪問(wèn)監(jiān)控器 安全內(nèi)核 可信計(jì)算基,A.主體和客體,操作系統(tǒng)中的每一個(gè)實(shí)體組件都必須是主體或者是客體，或者既是主體又是客體。 客體是一個(gè)被動(dòng)的實(shí)體。安全策略是指有關(guān)管理、保護(hù)和發(fā)布敏感信息的規(guī)定和實(shí)施細(xì)則。 訪問(wèn)監(jiān)控器是一個(gè)抽象概念， 其具體實(shí)現(xiàn)是引用驗(yàn)證思想，它是實(shí)現(xiàn)訪問(wèn)監(jiān)控器思想的硬件和軟件的組合。同時(shí)絕不能有任何繞過(guò)安全內(nèi)核存取控制檢查的存取行為存在。 具體來(lái)說(shuō)可信計(jì)算基由以下7個(gè)部分組成： 1. 操作系統(tǒng)的安全內(nèi)核。 5. 其它有關(guān)的固件、硬件和設(shè)備。 基本安全機(jī)制包括： 存儲(chǔ)保護(hù) 存儲(chǔ)保護(hù)是操作系統(tǒng)中最基本的安全要求，要求存儲(chǔ)器中的數(shù)據(jù)被合法地訪問(wèn)。,運(yùn)行保護(hù) 進(jìn)程運(yùn)行的區(qū)域稱為運(yùn)行域。 I/O保護(hù) 為保證安全， I/O應(yīng)是只有操作系統(tǒng)才能完成的特權(quán)操作。 標(biāo)識(shí)就是系統(tǒng)要標(biāo)識(shí)用戶的身份，每個(gè)用戶有一個(gè)系統(tǒng)可以識(shí)別的用戶標(biāo)識(shí)符。,C.訪問(wèn)控制,訪問(wèn)控制用來(lái)決定用戶是否有權(quán)訪問(wèn)一些特定客體的一種訪問(wèn)約束機(jī)制。另外自主也指對(duì)其他具有授予某種訪問(wèn)權(quán)力的用戶能夠自主地（可能是間接的）將訪問(wèn)權(quán)或訪問(wèn)權(quán)的某個(gè)子集授予另外的用戶。 如果系統(tǒng)判定擁有某一安全屬性的主體不能訪問(wèn)某個(gè)客體，那么任何人（包括客體的擁有者）也不能使它訪問(wèn)該客體。 強(qiáng)制訪問(wèn)控制用于將系統(tǒng)中的信息分密級(jí)和類進(jìn)行管理，適用于政府部門(mén)、軍事和金融等領(lǐng)域。 一旦超級(jí)用戶的口令丟失或被冒充或誤操作，將會(huì)對(duì)系統(tǒng)造成極大的損失。,把傳統(tǒng)的超級(jí)用戶劃分為安全管理員、系統(tǒng)管理員、系統(tǒng)操作員三種特權(quán)用戶。 只能由有關(guān)人員或可信計(jì)算基啟動(dòng)，且不能被不可信軟件模仿。 審計(jì)作為一種事后追查的手段來(lái)保證系統(tǒng)的安全，它對(duì)涉及系統(tǒng)安全的操作做一個(gè)完整的記錄。 機(jī)箱，鍵盤(pán)，電腦桌抽屜要上鎖，以確保旁人即使進(jìn)入房間也無(wú)法使用電腦，鑰匙要放在安全的地方。,3 限制用戶數(shù)量,去掉所有的測(cè)試帳戶、共享帳號(hào)和普通部門(mén)帳號(hào)等等。,4 多個(gè)管理員帳號(hào),這點(diǎn)事實(shí)上是服從上面規(guī)則的(最小特權(quán)管理的思想)。 盡量把它偽裝成普通用戶，比如改成：guestone。,7 更改默認(rèn)權(quán)限,任何時(shí)候不要把共享文件的用戶設(shè)置成“Everyone”組。,9屏幕保護(hù)密碼,設(shè)置屏幕保護(hù)密碼是防止內(nèi)部人員破壞服務(wù)器的一個(gè)屏障。,10 NTFS分區(qū),把服務(wù)器的所有分區(qū)都改成NTFS格式。,12備份盤(pán)的安全,一旦系統(tǒng)資料被黑客破壞，備份盤(pán)將是恢復(fù)資料的唯一途徑。 在管理工具中可以找到“本地安全策略” ，可以配置四類安全策略：帳戶策略、本地策略、公鑰策略和IP安全策略。 要留意服務(wù)器上開(kāi)啟的所有服務(wù)并每天檢查。,在出現(xiàn)的對(duì)話框中選擇選項(xiàng)卡“選項(xiàng)”，選中“TCP/IP篩選”，點(diǎn)擊按鈕“屬性”。當(dāng)有人嘗試對(duì)系統(tǒng)進(jìn)行某種方式入侵的時(shí)候，都會(huì)被安全審核記錄下來(lái)。,雙擊審核列表的某一項(xiàng)，出現(xiàn)設(shè)置對(duì)話框，將復(fù)選框“成功”和“失敗”都選中。,6 開(kāi)啟帳戶策略,開(kāi)啟帳戶策略可以有效的防止字典式攻擊，設(shè)置如表所示。 設(shè)置范圍：0~99999，0表示必須由管理員手動(dòng)解鎖。 默認(rèn)值：無(wú)，因?yàn)橹挥挟?dāng)指定了“帳戶鎖定閾值”時(shí)，該策略設(shè)置才有意義。黑客們可以得到系統(tǒng)的一些用戶名，進(jìn)而做密碼猜測(cè)。在HKEY_LOCAL_MACHINE主鍵下修改子鍵： System\CurrentControlSet\Control\LSA\RestrictAnonymous，將鍵值改成“1”即可。,安全配置方案高級(jí)篇,高級(jí)篇介紹操作系統(tǒng)安全信息通信配置，包括十四條配置原則： 關(guān)閉DirectDraw、關(guān)閉默認(rèn)共享 禁用Dump File、文件加密系統(tǒng) 加密Temp文件夾、鎖住注冊(cè)表、關(guān)機(jī)時(shí)清除文件 禁止軟盤(pán)光盤(pán)啟動(dòng)、使用智能卡、使用IPSec 禁止判斷主機(jī)類型、抵抗DDOS 禁止Guest訪問(wèn)日志和數(shù)據(jù)恢復(fù)軟件,1 關(guān)閉DirectDraw,C2級(jí)安全標(biāo)準(zhǔn)對(duì)視頻卡和內(nèi)存有要求。,禁止這些共享，打開(kāi)管理工具計(jì)算機(jī)管理共享文件夾共享，在相應(yīng)的共享文件夾上按右鍵，點(diǎn)停止共享即可，如圖所示。,4 文件加密系統(tǒng),Windows2000強(qiáng)大的加密系統(tǒng)能夠給磁盤(pán)，文件夾，文件加上一層安全保護(hù)。 給Temp（c:\windows）文件夾加密可以給你的文件多一層保護(hù)。 頁(yè)面文件中可能含有另外一些敏感的資料。 如果服務(wù)器對(duì)安全要求非常高，可以考慮使用可移動(dòng)軟盤(pán)和光驅(qū)，把機(jī)箱鎖起來(lái)仍然不失為一個(gè)好方法。 IPSec提供身份驗(yàn)證、完整性和可選擇的機(jī)密性。Ping的用處是檢測(cè)目標(biāo)主機(jī)是否連通。下表給出了一些常見(jiàn)操作系統(tǒng)的對(duì)照值。,設(shè)置完畢重新啟動(dòng)計(jì)算機(jī)，再用Ping指令，發(fā)現(xiàn)TTL的值已經(jīng)被改了。 禁止Guest訪問(wèn)應(yīng)用日志 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Application 下添加鍵值名稱為：RestrictGuestAccess ，類型為：DWORD，將值設(shè)置為1。軟件功能強(qiáng)大，可以恢復(fù)被誤刪除的文件、丟失的硬盤(pán)分區(qū)等等。,軟件開(kāi)始自動(dòng)掃描該盤(pán)上曾經(jīng)有哪些被刪除了文件，根據(jù)硬盤(pán)的大小，需要一段比較長(zhǎng)的時(shí)間。,選擇一個(gè)文件夾后，電擊按鈕“Next”，就出現(xiàn)了恢復(fù)的進(jìn)度對(duì)話
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1