操作系統(tǒng)安全第十一章安全操作系統(tǒng)應(yīng)用(編輯修改稿)
2025-02-05 21:49 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 供加密機(jī)制 ,因此不信任的第三方可以在客戶和服務(wù)器之間竊聽(tīng)用戶之間的通信； ? （ 4）由于 HTTP是一個(gè)無(wú)狀態(tài)協(xié)議 ,不保存有關(guān)用戶的信息，因此不能證實(shí)用戶的身份 ,訪問(wèn)控制也就無(wú)法建立； ? （ 5）目前大多數(shù) Web服務(wù)器只提供公共服務(wù) ,不能夠針對(duì)企業(yè)內(nèi)部用戶進(jìn)行粒度更為精細(xì)的訪問(wèn)控制； ? （ 6）大多數(shù)的 Web服務(wù)器只提供非常弱的基于用戶 ID/口令字的認(rèn)證 ,并且一旦用戶通過(guò)認(rèn)證 ,則所有的用戶權(quán)限相等 ,均能夠擁有Web提供的所有服務(wù)。 ? 正是由于基于 Web的通信存在著以上弱點(diǎn) ,因此要建立一個(gè)安全的 Web站點(diǎn) ,必須要考慮到兩點(diǎn)因素： ? （ 1） Web服務(wù)器系統(tǒng)所處的操作系統(tǒng)平臺(tái)的安全性； ? （ 2） Web服務(wù)器系統(tǒng)本身和網(wǎng)路傳輸?shù)陌踩浴? ? 為此，我們提出一種我們所理解的安全 Web服務(wù)器概念： ? （ 1） Web服務(wù)器所基于的操作系統(tǒng)平臺(tái)的安全性良好； ? （ 2）網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)經(jīng)過(guò)加密； ? （ 3）對(duì)正在進(jìn)行的會(huì)話應(yīng)提供方法來(lái)進(jìn)行認(rèn)證； ? （ 4）主 /客體也應(yīng)按安全級(jí)進(jìn)行分類 ,即主體應(yīng)擁有與其身份相符的許可證 ,而客體亦應(yīng)賦以與其敏感性相稱的安全級(jí)標(biāo)簽； ? （ 5）不同的主體只能訪問(wèn)獲得相應(yīng)授權(quán)的客體； ? （ 6）攻擊者不能夠通過(guò) Web服務(wù)器的漏洞來(lái)攻擊操作系統(tǒng)本身。 ? 為達(dá)到以上幾點(diǎn) ,相應(yīng)的解決方案可以通過(guò)以下機(jī)制來(lái)實(shí)現(xiàn)： ? （ 1）選用最新的操作系統(tǒng)版本 ,并隨著最新公布的系統(tǒng) Patch隨時(shí)更新操作系統(tǒng)； ? （ 2）保證網(wǎng)路上傳輸?shù)臄?shù)據(jù)加密及對(duì)正在進(jìn)行的會(huì)話進(jìn)行認(rèn)證 ,例如將 SSL與 Web服務(wù)器源代碼無(wú)縫連接； ? （ 3）將多級(jí)安全機(jī)制 (即 BLP模型 )應(yīng)用于 Web服務(wù)器中 ,從而實(shí)現(xiàn)主 /客體間的訪問(wèn)控制機(jī)制 ,保證不同的主體只能訪問(wèn)獲得相應(yīng)授權(quán)的客體； ? （ 4）為保證攻擊者不能夠通過(guò) Web服務(wù)器的漏洞來(lái)攻擊操作系統(tǒng)平臺(tái) ,要保證 Web服務(wù)器源代碼中盡可能少地存在漏洞 ,特別應(yīng)該指出的是 ,針對(duì)目前對(duì) Web服務(wù)器和操作系統(tǒng)最典型的攻擊方法 ——堆棧溢出攻擊應(yīng)提供良好的解決方案。 基于 BLP模型的 SecWeb系統(tǒng)描述 ? 1． SecWeb系統(tǒng)的操作系統(tǒng)平臺(tái) ——SecLinux操作系統(tǒng) ,SecLinux 安全操作系統(tǒng)體系結(jié)構(gòu)如下圖所示 基于 BLP模型的 SecWeb系統(tǒng)描述 ? ? 在網(wǎng)絡(luò)服務(wù)自主訪問(wèn)控制 (NDAC)機(jī)制中 ,其控制結(jié)構(gòu)如下圖所示 . NACE NACE … User/Group Name NACE MAC Range Remote Host 3． SecWeb系統(tǒng)中的強(qiáng)制訪問(wèn)控制 獲取 URI的第一個(gè) 目錄分量 獲取當(dāng)前目錄分量的 RACL 基于此 RACL對(duì)資源實(shí)施自主訪問(wèn)控制 訪問(wèn)許可？ 下一個(gè)目錄分量存在？ 訪問(wèn)許可 取下一個(gè)目錄分量 否 否 是 是 ? 4． SecWeb系統(tǒng)中對(duì)緩沖區(qū)溢出的處理 ? 為解決緩沖區(qū)溢出的問(wèn)題 ,SecWeb系統(tǒng)對(duì)Web服務(wù)器源代碼中可能造成緩沖區(qū)溢出的庫(kù)函數(shù)進(jìn)行了替換，首先截獲這些庫(kù)函數(shù)調(diào)用，對(duì)之進(jìn)行緩沖區(qū)邊界檢查 ,對(duì)可能造成緩沖區(qū)溢出的調(diào)用進(jìn)行強(qiáng)制退出，防止不適當(dāng)?shù)幕驉阂獾膽?yīng)用程序編程所造成的緩沖區(qū)溢出漏洞被惡意地加以利用。 操作系統(tǒng)安全與防火墻安全 ? 防火墻介紹 ? 1. 防火墻技術(shù) ? 防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測(cè)）出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。盡管防火墻有許許多多種形式，有以軟件形式運(yùn)行在普通計(jì)算機(jī)之上的，也有以固件形式設(shè)計(jì)在路由器之中的 ,但總的來(lái)說(shuō)業(yè)界的分類有三種：包過(guò)濾防火墻，應(yīng)用級(jí)網(wǎng)關(guān)和狀態(tài)監(jiān)視器。 ? （ 1）包過(guò)濾防火墻 ? 在互聯(lián)網(wǎng)絡(luò)這樣的 TCP/IP網(wǎng)絡(luò)上，所有往來(lái)的信息都被分割成許許多多一定長(zhǎng)度的信息包，包中包含發(fā)送者的 IP地址和接收者的IP地址信息。當(dāng)這些信息包被送上互聯(lián)網(wǎng)絡(luò)時(shí)，路由器會(huì)讀取接收者的 IP并選擇一條合適的物理線路發(fā)送出去，信息包可能經(jīng)由不同的路線抵達(dá)目的地，當(dāng)所有的包抵達(dá)目的地后會(huì)重新組裝還原。包過(guò)濾式的防火墻會(huì)檢查所有通過(guò)的信息包中的 IP地址，并按照系統(tǒng)管理員所給定的過(guò)濾規(guī)則進(jìn)行過(guò)濾。如果對(duì)防火墻設(shè)定某一 IP地址的站點(diǎn)為不適宜訪問(wèn)的話，從這個(gè)地址來(lái)的所有信息都會(huì)被防火墻屏蔽掉。 ? （ 2）應(yīng)用級(jí)網(wǎng)關(guān) ? 應(yīng)用級(jí)網(wǎng)關(guān)也就是通常我們提到的代理服務(wù)器。它適用于特定的互聯(lián)網(wǎng)服務(wù)，如超文本傳輸 (HTTP)，遠(yuǎn)程文件傳輸 (FTP)等等。代理服務(wù)器通常運(yùn)行在兩個(gè)網(wǎng)絡(luò)之間，它對(duì)于客戶來(lái)說(shuō)象是一臺(tái)真的服務(wù)器，而對(duì)于外界的服務(wù)器來(lái)說(shuō)，它又是一臺(tái)客戶機(jī)。當(dāng)代理服務(wù)器接收到用戶對(duì)某站點(diǎn)的訪問(wèn)請(qǐng)求后會(huì)檢查該請(qǐng)求是否符合規(guī)定，如果規(guī)則允許用戶訪問(wèn)該站點(diǎn)的話，代理服務(wù)器會(huì)象一個(gè)客戶一樣去那個(gè)站點(diǎn)取回所需信息再轉(zhuǎn)發(fā)給客戶。 ? 代理服務(wù)器通常都擁有一個(gè)高速緩存，這個(gè)緩存存儲(chǔ)有用戶經(jīng)常訪問(wèn)的站點(diǎn)內(nèi)容，在下一個(gè)用戶要訪問(wèn)同一站點(diǎn)時(shí)，服務(wù)器就不用重復(fù)地獲取相同的內(nèi)容，直接將緩存內(nèi)容發(fā)出即可，既節(jié)約了時(shí)間也節(jié)約了網(wǎng)絡(luò)資源。 ? 代理服務(wù)器會(huì)象一堵墻一樣擋在內(nèi)部用戶和外界之間，從外部只能看到該代理服務(wù)器而無(wú)法獲知任何的內(nèi)部資源，諸如用戶的 IP地址等。 ? 應(yīng)用級(jí)網(wǎng)關(guān)比單一的包過(guò)濾更為可靠，而且會(huì)詳細(xì)地記錄所有的訪問(wèn)狀態(tài)信息。但是應(yīng)用級(jí)網(wǎng)關(guān)也存在一些不足之處，首先它會(huì)使訪問(wèn)速度變慢，因?yàn)樗辉试S用戶
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1