操作系統(tǒng)的安全配置-文庫吧在線文庫
【正文】 系統(tǒng)中的所有事件要求，幾乎全是由用戶激發(fā)的。 安全模型描述了對某個安全策略需要用哪種機(jī)制來滿足；而模型的實現(xiàn)則描述了如何把特定的機(jī)制應(yīng)用于系統(tǒng)中，從而實現(xiàn)某一特定安全策略所需的安全保護(hù)。,E.可信計算基,操作系統(tǒng)的安全依賴于一些具體實施安全策略的可信的軟件和硬件。 7. 保障固件和硬件正確的程序和診斷軟件。 運(yùn)行域可以看成一系列同心圓，內(nèi)層權(quán)限最高外層權(quán)限最低，形成等級域。 將用戶標(biāo)識符與用戶聯(lián)系的過程稱為鑒別，鑒別過程主要用以識別用戶的真實身份。 在強(qiáng)制訪問控制機(jī)制下，當(dāng)一主體訪問一個客體時，需要比較主體的安全屬性和客體的安全屬性，從而確定是否允許進(jìn)程對客體的訪問。一個進(jìn)程要么具有所有特權(quán)，要么不具有任何特權(quán)。 系統(tǒng)操作員行使諸如磁盤數(shù)據(jù)備份、啟動和關(guān)閉系統(tǒng)等系統(tǒng)日常維護(hù)職能； 傳統(tǒng)的超級用戶不復(fù)存在，任何一個用戶都不能獲取足夠的權(quán)力破壞系統(tǒng)的安全策略。,安全配置方案初級篇,安全配置方案初級篇主要介紹常規(guī)的操作系統(tǒng)安全配置，包括十二條基本配置原則： 物理安全、停止Guest帳號、限制用戶數(shù)量 創(chuàng)建多個管理員帳號、管理員帳號改名 陷阱帳號、更改默認(rèn)權(quán)限、設(shè)置安全密碼 屏幕保護(hù)密碼、使用NTFS分區(qū) 運(yùn)行防毒軟件和確保備份盤安全。 帳戶很多是黑客們?nèi)肭窒到y(tǒng)的突破口，系統(tǒng)的帳戶越多，黑客們得到合法用戶的權(quán)限可能性一般也就越大。,6 陷阱帳號,所謂的陷阱帳號是創(chuàng)建一個名為“Administrator”的本地帳戶，把它的權(quán)限設(shè)置成最低，并且加上一個超過10位的超級復(fù)雜密碼。 所有系統(tǒng)用戶所使用的機(jī)器也最好加上屏幕保護(hù)密碼。 不能把資料備份在同一臺服務(wù)器上，這樣的話還不如不要備份。,Windows2000可禁用的服務(wù),3 關(guān)閉不必要的端口,關(guān)閉端口意味著減少功能，用端口掃描器掃描系統(tǒng)所開放的端口，在Winnt\system32\drivers\etc\services文件中有知名端口和服務(wù)的對照表可供參考。 下表的這些審核是必須開啟的，其他的可以根據(jù)需要增加。 設(shè)置范圍0~999之間，默認(rèn)值為0，表示不鎖定賬戶。,7 備份敏感文件,把敏感文件存放在另外的文件服務(wù)器中，雖然服務(wù)器的硬盤容量都很大，但是還是應(yīng)該考慮把一些重要的用戶數(shù)據(jù)（文件，數(shù)據(jù)表和項目文件等）存放在另外一個安全的服務(wù)器中，并且經(jīng)常備份。 誰也不敢保證數(shù)百萬行以上代碼的Windows 2000不出一點安全漏洞。然而，也能夠給黑客提供一些敏感信息，比如一些應(yīng)用程序的密碼等。修改Hkey_current_user下的子鍵 Software\microsoft\windows\currentversion\Policies\system 把DisableRegistryTools的值改為0，類型為DWORD。 如果條件允許，用智能卡來代替復(fù)雜的密碼是一個很好的解決方法。如過TTL值為128就可以認(rèn)為你的系統(tǒng)為Windows 2000，如圖所示。在鍵值 [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters]下增加響應(yīng)的鍵及其說明如表所示。,進(jìn)入Advanced Recovery對話框后，軟件自動掃描出目前硬盤分區(qū)的情況，分區(qū)信息是直接從分區(qū)表中讀取出來的。 三部分共介紹安全配置三十六項，如果每一條都能得到很好的實施，服務(wù)器無論是在局域網(wǎng)還是廣域網(wǎng)，即使沒有網(wǎng)絡(luò)防火墻，已經(jīng)比較安全了。,選中某個文件夾或者文件前面的復(fù)選框，然后點擊按鈕“Next”，就可以恢復(fù)了。 禁止Guest訪問安全日志 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Security下添加鍵值名稱為：RestrictGuestAccess，類型為：DWORD，將值設(shè)置為1。修改主鍵HKEY_LOCAL_MACHINE的子鍵： SYSTEM\CURRENT_CONTROLSET\SERVICES\TCPIP\PARAMETERS 新建一個雙字節(jié)項，如圖所示。 利用IPSec可以使得系統(tǒng)的安全性能大大增強(qiáng)。,8 禁止軟盤光盤啟動,一些第三方的工具能通過引導(dǎo)系統(tǒng)來繞過原有的安全機(jī)制。 微軟公司為了彌補(bǔ)Windows NT 4.0的不足，在Windows 2000中，提供了一種基于新一代NTFS：NTFS V5（第5版本）的加密文件系統(tǒng)（Encrypted File System，簡稱EFS）。 在HKEY_LOCAL_MACHINE主鍵下修改子鍵： SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeout，將鍵值改為“0”即可。,9 禁止建立空連接,默認(rèn)情況下，任何用戶通過空連接連上服務(wù)器，進(jìn)而可以枚舉出管理員帳號，猜測密碼。 有效范圍為1到99,999分鐘之間。本地安全設(shè)置中的密碼策略在默認(rèn)的情況下都沒有開啟。如：一臺Web服務(wù)器只允許TCP的80端口通過就可以了。,2 關(guān)閉不必要的服務(wù),Windows 2000的Terminal Services（終端服務(wù)）和IIS（Internet 信息服務(wù)）等都可能給系統(tǒng)帶來安全漏洞。,11防毒軟件,Windows 2000/NT服務(wù)器一般都
研究報告相關(guān)推薦
鄂ICP備17016276號-1