【文章內(nèi)容簡介】 可以根據(jù)需要實時地將發(fā)生在系統(tǒng)中的事件記錄下來 。 同時還可以通過查看與安全相關(guān)的日志文件的內(nèi)容 ， 以發(fā)現(xiàn)黑客的入侵行為 。 當然 ， 若要達到這個目的 ， 就必須具備一些相關(guān)的知識 。 首先必須要學會如何配置系統(tǒng) ， 以啟用相應的審核機制 ， 同時記錄各種安全事件 。 對 Windows Server 2021的服務器和工作站來說 ， 為了不影響系統(tǒng)性能 ， 默認的安全策略并不對安全事件進行審核 。 從 “ 安全配置和分析 ” 工具用 SecEdit安全模板進行的分析結(jié)果可知 ， 有紅色標記的審核策略應該已經(jīng)啟用 ， 這可用來發(fā)現(xiàn)來自外部和內(nèi)部的黑客入侵行為 。 對于關(guān)鍵的應用服務器和文件服務器來說 ， 應同時啟用剩下的安全策略 。 如果已經(jīng)啟用了 “ 審核對象訪問 ” 策略 ， 那么就要求必須使用NTFS文件系統(tǒng) 。 NTFS文件系統(tǒng)不僅提供對用戶的訪問控制 ， 而且還可以對用戶的訪問操作進行審核 。 但這種審核功能 ， 需要針對具體的對象來進行相應的配置 。 首先在被審核對象 “ 安全 ” 屬性的 “ 高級 ” 屬性中添加要審核的用戶和組。在該對話框中選擇好要審核的用戶后，就可以設置對其進行審核的事件和結(jié)果。在所有的審核策略生效后，就可以通過檢查系統(tǒng)的日志來發(fā)現(xiàn)黑客的蛛絲馬跡。 (2)日志監(jiān)視 在系統(tǒng)中啟用安全審核策略后 ， 管理員應經(jīng)常查看安全日志的記錄 ，否則就失去了及時補救和防御的時機 。 除了安全日志外 ， 管理員還要注意檢查各種服務或應用的日志文件 。 在 Windows 2021 IIS ， 其日志功能默認已經(jīng)啟動 ， 并且日志文件存放的路徑默認在 System32/LogFiles目錄下 ， 打開 IIS日志文件 ， 可以看到對 Web服務器的 HTTP請求 ， 自帶的日志功能從某種程度上可以成為入侵檢測的得力助手 。 (3)監(jiān)視開放的端口和連接 對日志的監(jiān)視只能發(fā)現(xiàn)已經(jīng)發(fā)生的入侵事件 ， 但是它對正在進行的入侵和破壞行為是無能為力的 。 這時 ， 就需要管理員來掌握一些基本的實時監(jiān)視技術(shù) 。 通常在系統(tǒng)被黑客或病毒入侵后，就會在系統(tǒng)中留下木馬類后門。同時它和外界的通信會建立一個 Socket會話連接，可用 “ stat” 命令進行會話狀態(tài)的檢查，可以查看已經(jīng)打開的端口和已經(jīng)建立的連接。當然也可以采用一些專用的檢測程序?qū)Χ丝诤瓦B接進行檢測。 (4)監(jiān)視共享 通過共享來入侵一個系統(tǒng)不失為一種好的手段 ， 最簡單的方法就是利用系統(tǒng)隱含的管理共享 。 因此 ， 只要黑客能夠掃描到的 IP和用戶密碼 ， 就可以使用 use命令連接到的共享上 。 另外 ， 當瀏覽到含有惡意腳本的網(wǎng)頁時 ， 計算機的硬盤也可能被共享 ， 因此 ，監(jiān)測本機的共享連接是非常重要的 。 監(jiān)測本機的共享連接具體方法如下：在 Windows Server 2021的計算機中，打開 “ 計算機管理 ” 工具，并展開 “ 共享文件夾 ” 選項。單擊其中的 “ 共享 ” 選項，就可以查看其右面窗口，以檢查是否有新的可疑共享，如果有可疑共享，就應該立即刪除。另外還可以通過選擇 “ 會話 ” 選項，來查看連接到機器所有共享的會話。Windows NT/2021的 IPC$共享漏洞是目前危害最大的漏洞之一。黑客即使沒有馬上破解其密碼，也仍然可以通過 “ 空連接 ” 來連接到系統(tǒng)上，再進行其他的嘗試。 (5)監(jiān)視進程和系統(tǒng)信息 對于木馬和遠程監(jiān)控程序，除了監(jiān)視開放的端口外，還應通過任務管理器的進程查看功能進行進程的查找。在安裝Windows Server 2021的支持工具（從產(chǎn)品光盤安裝）后，就可以獲得一個進程查看工具 Process Viewer；通常，隱藏的進程寄宿在其他進程下，因此查看進程的內(nèi)存映象也許能發(fā)現(xiàn)異?！，F(xiàn)在的木馬越來越難發(fā)現(xiàn)，常常它會把自己注冊成一個服務，從而避免了在進程列表中現(xiàn)形。因此，還應結(jié)合對系統(tǒng)中的其他信息的監(jiān)視，這樣就可對系統(tǒng)信息中的軟件環(huán)境下的各項進行相應的檢查。 Windows Server 2021 防火墻 “ 沖擊波 ” 等蠕蟲病毒特征之一就是利用有漏洞的操作系統(tǒng)進行端口攻擊 ，因此防范此類病毒的簡單方法就是屏蔽不必要的端口 ， 防火墻軟件都具有這種功能 ， 其實對于采用 Windows 2021或者Windows XP的用戶來說 ， 不需要安裝任何其他軟件 ， 因為可以利用系統(tǒng)自帶的“ Inter連接防火墻 ” 來防范黑客的攻擊 。 l鼠標右鍵單擊 “ 網(wǎng)上鄰居 ” ， 選擇 “ 屬性 ” 。 l然后鼠標右鍵單擊 “ 本地連接 ” ，選擇 “ 屬性 ” ，出現(xiàn)如圖 71所示的界面。如圖選擇 “ 高級 ” 選項，選中“ Inter連接防火墻 ” ，確定后防火墻即起作用。 l 在另外一臺機器上ping本機 ， 出現(xiàn) Request timed out表示 ping不通本機 。 l 在另外一臺機器上用漏洞掃描工具掃描本機發(fā)現(xiàn)沒有打開的端口 。 這兩種測試通過后也說明防火墻已經(jīng)起作用 。 單擊圖 71中 “ 設置 ...”按鈕，出現(xiàn)圖 72界面后，則可進行高級設置。 ① 選擇要開通的服務 如圖 73所示，如果本機要開通相應的服務可選中該服務，本例選中了 FTP服務，這樣從其它機器就可 FTP到本機，掃描本機可以發(fā)現(xiàn) 21端口是開放的?？梢园?“ 添加 ” 按鈕增加相應的服務端口。 ② 設置日志 如圖 74所示，選擇要記錄的項目，防火墻將記錄相應的數(shù)據(jù)，日志默認在 c：\windows\，其內(nèi)容用 “ 記事本 ” 就可以打開查看。 ③ 設置 ICMP協(xié)議 如圖 75所示，最常用的 ping就是用的 ICMP協(xié)議，默認設置完后 ping不通本機就是因為屏蔽了 ICMP協(xié)議，如果想 ping通本機只需選中 “ 允許傳入響應請求 ” 項即可（即在該選項前打一個 “ √ ” ）。 Unix安全 本節(jié)內(nèi)容 Unix概述 Unix安全性分析 Unix安全體系結(jié)構(gòu) 保障 Unix安全的具體措施 Unix/Linux是一種適用于多種硬件平臺的多用戶 、 多任務操作系統(tǒng) ， 其安全性是很高的 。系統(tǒng)提供了三層的防御體系：賬號安全 、 權(quán)限設置和文件系統(tǒng)安全 。 下面分別對這三個方面進行闡述 。 由于 Linux是一種與 Unix安全兼容的操作系統(tǒng)，所以下面所討論的 Unix系統(tǒng)的安全性問題，基本上也適用于 Linux系統(tǒng)。 Unix安全概述 默認賬號：所有的 Unix系統(tǒng)安裝完畢后都有默認賬號 ， 有時這些賬號有默認的口令或者根本沒有口令 ， 這樣 ， 它們就成為攻擊者最好的突破口 。 所以 ， 安裝完后 ， 系統(tǒng)管理員一定要及時修改系統(tǒng)賬號及其登錄口令 。 共享賬號： Unix系統(tǒng)的每個用戶都應該有自己的專用賬號 。 如果允許用戶使用共享 ， 即多個用戶使用相同的賬號 ， 該賬號的安全就被破壞了 。 口令安全：用戶的口令是對系統(tǒng)安全的最大安全威脅 。 如果入侵者獲得一個用戶的口令 ， 那他就可以輕易地登錄到系統(tǒng)上 ， 并且擁有這個用戶的所有權(quán)限 。 任何登錄 Unix系統(tǒng)的人 ， 都必須輸入口令 ， 而口令文件只有超級用戶可以讀寫 。 攻擊者的目的主要是通過破解口令文件 ， 尋找出口令 ， 從而可以冒充合法用戶訪問主機 ， 因此一旦用戶發(fā)現(xiàn)系統(tǒng)的口令文件被非法訪問過 ， 一定要及時更換所有的用戶口令 。 安全口令有以下幾個特點： l 位數(shù)大于 6位 ， 最好是 8位以上； l 大小寫字母混合 。 如果有一個大寫字母 ， 不要放在開頭； l 如果記憶較好 ， 可以把數(shù)字無序地加在字母中； l 當口令中有 “ 一 !@$％ ＆ *” 等特殊符號時 ， 不要放在結(jié)尾 。 不安全的口令則有以下幾種情況： l 使用用戶名 (賬號 )作為口令或使用用戶名 (賬號 )為變換形式作為口令； l 使用自己或者親友的生日作為口令； l 使用常用的英文單詞作為口令； l 使用 5位或 5位以下的字符作為口令 。 實際上 Unix的口令設計是十分完善的 ， 一般用戶不可能把自己的密碼改成用戶名 、 小于 4位或簡單的英文單詞 。 這是 Unix系統(tǒng)默認的安全模式 ， 是除了系統(tǒng)管理員 (超級用戶 )以外不可改變的 。 因此 ， 安裝 Unix后只要更改初始的 root口令 。 盡管如此 ， 黑客還是能通過其他途徑獲得口令 ， 主要有兩種途徑： l 利用技術(shù)漏洞 。 如緩沖區(qū)溢出 ， send mail漏洞 、 finger、AIX的 rlogin等 。 l利用管理漏洞。如 root身份運行 、建立 shadow的備份但是忘記更改其屬性、用電子郵件寄送密碼等。 雖然每個 Unix用戶都有一個長達 8個字符以上的用戶名 ， 但在Unix／ Linux內(nèi)部只用一個數(shù)字來標識每個用戶：用戶的標識符(UID)。 通常 ， 系統(tǒng)為每一個用戶分配一個不同的 UID。 UID被規(guī)定為一個無符號的 16位整數(shù) ， 這意味著其取值范圍是065535。 UID是操作系統(tǒng)用于識別用戶的實際信息 ， 系統(tǒng)提供用戶名僅僅是出于方便用戶的考慮 。 如果兩個用戶被分配給相同的 UID， 系統(tǒng)將他們視為同一個用戶 ， 即使他們有不同的用戶名和口令也是如此 。 特別要注意的是 ， 兩個具有相同 UID的用戶可以自由地讀取和刪除對方的文件 。 出于管理的方便， Unix／ Linux系統(tǒng)還劃分了用戶組，每個用戶都位于一個或者多個用戶組中。與用戶標識一樣，每一個用戶組在系統(tǒng)內(nèi)部也用了一個整數(shù)標識，稱為用戶組標識 (GID)。 每一個 Unix／ Linux系統(tǒng)都有一個 UID為 0的特殊用戶 ， 它被稱作超級用戶并且被賦予用戶名 “ root”， 其口令通常稱為 “ root口令 ” 。 Unix系統(tǒng)管理員經(jīng)常需要用超級用戶去執(zhí)行各種系統(tǒng)管理任務 。這可以通過 Su命令建立一個特權(quán) Shell來實現(xiàn) 。 執(zhí)行超級用戶的操作必須格外小心 。 當超級用戶的操作執(zhí)行完畢 ， 系統(tǒng)管理員應該從這個特權(quán) shell中退出 。 我們在前面提到 ， 用戶名在系統(tǒng)內(nèi)部是以用戶標識來表示的 。兩個 UID相同的用戶名在系統(tǒng)看來是同一個用戶 ， 因此 ， 任何 UID為0的用戶都是超級用戶 。 用戶名 “ Root”僅僅是一個通常的約定 。 很多 Unix／ Linux系統(tǒng)可以配置為禁止遠程終端登錄。任何想具有超級用戶權(quán)限的用戶，必須首先登錄到自己的賬戶，然后，再通過 su命令進入 root賬號。這個特點使得對那些使用 root賬戶的用戶跟蹤變得容易，因為 su命令記錄了調(diào)用它的用戶名以及調(diào)用時間。這個特點也增加了系統(tǒng)的安全度，因為登錄者必須知道兩個口令才能得到超級用戶的特權(quán)。 Unix安全性分析 Unix系統(tǒng)中的 /etc/passwd文件含有每個用戶的所有信息 (加密后的口令可存于/etc/shadow文件中 )。 /etc/passwd中包含有用戶的登錄名 、 經(jīng)過加密的口令 、 用戶號 、 用戶組號 、 用戶注釋 、 用戶主目錄和用戶所用的 shell程序 。 其中用戶號 (UID)和用戶組號 (GID)用于 Unix系統(tǒng)唯一地標識用戶和同組用戶及用戶的訪問權(quán)限 。 /etc/passwd中存放的加密口令用于用戶登錄時輸入的口令經(jīng)計算后相比較 ， 符合則允許登錄 ， 否則拒絕用戶登錄 。 用戶可用 passwd命令修改自己的口令 ， 但不能直接修改/etc/passwd中的口令 。 一個優(yōu)秀的口令至少應有 8個字符長 ， 不要用個人信息 (如生日 、 姓名 、 反向拼寫的登錄名 、 機房中可見的物品 )、 普通的英語單詞作為口令 ， 口令中最好有一些非字母 (如數(shù)字 、標點符號 、 控制字符等 )， 還要便于記憶 ， 不能寫在紙上或計算機中的文件中 ， 選擇口令的一個好方法是將兩個不相關(guān)的詞用一個數(shù)字或控制字符相連 ， 并截斷為 8個字符 。 當然 ，如果你能記住 8位亂碼更好 。 不應將同一個口令在不同機器中使用，特別是在不同級別的用戶上使用同一口令，否則會引起全盤崩潰。用戶應定期改變口令，至少 3個月要改變一次，系統(tǒng)管理員可以強制用戶定期做口令修改。 文件屬性決定了文件的被訪問權(quán)限 ， 即誰能存取或執(zhí)行該文件 。 用 ls l可以列出詳細的文件信息 ， 如： rwxrwxrwx 1 pat cs440 70 Jul 28 21： 12 zombin 包括了文件許可 、 文件聯(lián)結(jié)數(shù) 、 文件所有者名 、 文件相關(guān)組名 、 文件長度 、 上次存取日期和文件名 。 其中文件許可分為四部分： 符號 “ ”：表示文件類型