【文章內(nèi)容簡介】 密碼之間的關(guān)系 ? Windows NT和 Windows 2022下實現(xiàn)賬號安全的方法 ? 拒絕賬號訪問和賬號監(jiān)視 重點內(nèi)容： 65 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 65 賬號的意義 ? 典型的直接身份驗證方式 ? 采用的是 “ 你知道什么 ” 的驗證方法 ? 在現(xiàn)有的操作系統(tǒng)中，賬號與密碼的匹配是唯一的驗證手段 66 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 66 密碼 安全核心 賬號 /密碼的基礎(chǔ)性地位 決定賬號 /密碼安全性的幾個因素 – 賬號的復(fù)雜性 – 賬號的時效 – 加密密碼的算法強度 – 密碼的復(fù)雜性 – 密碼使用的時效 67 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 67 密碼復(fù)雜性要求 強壯密碼的組成 – 大寫字母 – 小寫字母 – 數(shù)字 – 非字母、數(shù)字的字符 密碼長度：不小于 8字節(jié)長 68 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 68 強壯密碼應(yīng)符合的規(guī)則 個人名字或呢稱 電話號碼、生日等敏感信息 輸入 8字符以上密碼 記錄于紙上或放置于辦公處 使用重復(fù)的字符 ? X X X X + + + + =強壯的密碼 69 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 69 NT口令破解的一個測試結(jié)果 在一臺高端 PC機 (4個 CPU)上強行破解 – 數(shù)字口令 – 45小時破解字母 數(shù)字 部分符號口令 – 480小時破解字母 數(shù)字 全部符號口令 70 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 70 帳戶 (accounts)和組 (groups) ? 帳戶 (user accounts) – 定義了 Windows中一個用戶所必要的信息，包括口令、安全 ID(SID)、組成員關(guān)系、登錄限制， ? – 組： universal groups、 global groups、 local groups ? Account Identifier: Security identifier(SID) – 時間和空間唯一 – S1NY1Y2Y3Y4 – Some wellknown SIDs – 字符串形式和二進制形式的 SID 71 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 71 Windows采用的賬號認證方案 ? LanManager認證 (稱為 LM協(xié)議 ) – 早期版本 ? NTLM v1 認證協(xié)議 – NT SP3之前的版本 ? NTLM v2 認證協(xié)議 – NT SP4開始支持 ? Kerberos v5認證協(xié)議 – Windows 2022引進 72 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 72 Windows 2022密碼安全 賬號與密碼策略 賬號重命名策略 賬號復(fù)雜性要求策略 賬號鎖定策略 73 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 73 Windows NT/2022的賬號重命名 ? Administrator、 guest等賬號的重命名 ? IIS等建立的默認賬號 ? 域環(huán)境下的默認賬號數(shù)量更多，但也更加嚴格 ? 管理員帳號當前的名字保存在注冊表中 74 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 74 賬號策略 賬號鎖定策略 密碼策略 75 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 75 密碼策略的推薦設(shè)置 強制執(zhí)行密碼歷史記錄 密碼最長期限 密碼最短期限 密碼必須符合復(fù)雜性要求 為域中所有用戶使用可還原的加密來儲存密碼 24個密碼 42天 2天 啟 用 禁 用 76 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 76 針對遠程破解的策略定制 密碼復(fù)雜性要求 賬戶鎖定策略的推薦設(shè)置 策 略 默認設(shè)置 推薦最低設(shè)置 帳戶鎖定時間 未定義 30 分鐘 帳戶鎖定閾值 0 5 次無效登錄 復(fù)位帳戶鎖定計數(shù)器 未定義 30 分鐘 77 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 77 Windows 2022上的 RUNAS Windows NT Resource Kit中曾提供 su工具 在最低權(quán)限用戶帳戶的上下文中執(zhí)行任務(wù) — 公認的信條 指令格式舉例： runas /user:mydomain\adiministrator ? ? “mmc %windir%\system32\” 78 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 78 Windows 2022密碼操作要點 ? 為“管理員”帳號指定密碼 ? 用戶帳號密碼控制 用戶自己（大多數(shù)情況下） /管理員 ? 避免明顯聯(lián)想密碼，如生日 ? 采用長密碼 最長可達 128，推薦最小 8個 ? 大小寫、數(shù)字、其它字符混合 79 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 79 SAM數(shù)據(jù)庫與 AD SAM中口令的保存采用單向函數(shù) (OWF)或散列算法實現(xiàn) 在 %systemroot%\system32\config\sam中實現(xiàn) DC上，賬號與密碼散列保存在%systemroot%\ntds\ 80 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 80 SYSKEY功能 從 NT4 sp3開始提供 散 列 128位隨機密鑰 保存到 SAM文件中 保存隨機密鑰 注冊表中 注冊表中，同時使用額外的口令加密 軟磁盤 81 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 81 SID與令牌 SID唯一標示一個對象 – 使用 User2sid和 sid2user工具進行雙向查詢 令牌：通過 SID標示賬號對象以及所屬的組 SID S1521150700133312045507641011284298500 令牌 User=S121 S1521150700133312045507641011284298500 Group1=EveryOne S110 Group2=Administrators S1532544 82 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 82 解讀 SID SID S1521150700133312045507641011284298500 修訂版本編號 頒發(fā)機構(gòu)代碼，Windows 2022總為 5 子頒發(fā)機構(gòu)代碼，共有 4個；具有唯一性 相對標示符RID，一般為常數(shù) 著名的SID ?S110 Everyone ?S120 Interactive用戶 ?S130 Creator Owner ?S131 Creator Group 83 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 83 Windows 2022認證與授權(quán)訪問 用戶 A Winlogon 使用賬戶名稱 /口令進行認證 成功 令牌 User=S121 S1521150700133312045507641011284298500 Group1=EveryOne S110 Group2=Administrators S1532544 允許 Read=A S1521… … Write=administrators S1532544… SRM,安全參考監(jiān)視器 訪問 84 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 84 第四節(jié)： Windows文件系統(tǒng)安全性 85 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 85 文件系統(tǒng)安全 Windows NT/2022的本地權(quán)限和共享權(quán)限 合理的磁盤分區(qū)域文件系統(tǒng) 86 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 86 Windows 2022文件系統(tǒng) ? NTFS VS FAT32 – NTFS提供文件級權(quán)限 – FAT32沒有提供文件級權(quán)限 ? NTFS權(quán)限 – NTFS文件夾權(quán)限 – NTFS文件權(quán)限 87 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 87 NTFS文件權(quán)限 6種標準（組合）權(quán)限 – 讀 Read – 寫 Write – 列文件夾內(nèi)容 List Folder Contents – 讀和執(zhí)行 Readamp。Excecute – 修改 Modify – 完全控制 Full Control 默認 Everyone對根及其下 Full Control 一般應(yīng)刪除 Everyone組，必要設(shè)為 Domain Users 88 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 88 Windows 2022怎樣應(yīng)用 NTFS權(quán)限 默認：子文件夾及文件繼承權(quán)限 復(fù)制、移動文件（夾）會對權(quán)限有影響 多個 NTFS權(quán)限 – 權(quán)限是累積的（取大） :用戶本身權(quán)限，用戶所屬多個組 – 文件權(quán)限優(yōu)于文件夾權(quán)限 – 拒絕（ deny)權(quán)限超越其他權(quán)限（一票否決） ?注意：明確拒絕（ ACL中的拒絕元素）和沒設(shè)權(quán)限的區(qū)別 89 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 89 復(fù)制和移動文件夾 ? 從一個 NTFS分區(qū)到另一個 NTFS分區(qū) – 無論復(fù)制 /移動，都是繼承：不同分區(qū)，移動 =復(fù)制+刪除 ? 同一個 NTFS分區(qū) – 復(fù)制：繼承 – 移動：保留 ? 復(fù)制 /移動到 FAT(32)分區(qū) – NTFS權(quán)限丟失 90 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 90 特殊 NTFS權(quán)限 更改權(quán)限和獲得所有權(quán) 以上兩種特殊權(quán)限應(yīng)該嚴格授予 一般情況下，將更改權(quán)限和獲得所有權(quán)只賦予Administrators組成員 91 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 91 第五節(jié)： Windows注冊表安全性 92 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 92 Windows 2022注冊表 所有的配置和控制選項都存儲在注冊表中 分為五個子樹，分別是 Hkey_local_machine Hkey_users Hkey_current_user Hkey_classes_root Hkey_current_config Hkey_local_machine 包含所有本機相關(guān)的配置信息 93 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 93 注冊表安全 查詢數(shù)值 允許用戶和組從注冊表中讀取數(shù)值 設(shè)置數(shù)值 允許用戶和組從注冊表中設(shè)置數(shù)值 創(chuàng)建子項 允許用戶和組在給定的注冊項中創(chuàng)建子項 計數(shù)子項 允許用戶和組識別某注冊項的子項 通 知 允許用戶和組從注冊表中審計通知事件 創(chuàng)建鏈接 允許用戶和組在特定項中建立符號鏈接 刪 除 允許用戶和組在刪除選定的注冊項 寫入 DAC 允許用戶和組將 DAC寫入注冊表項 寫入所有者 允許用戶和組獲得注冊表項的所有權(quán) 讀取控制 允許用戶和組具有訪問選定注冊表項的安全信息 權(quán) 限 解 釋 94 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 94 注冊表的默認權(quán)限 95 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 95 注冊表的審計 ? 對注冊表的審計是必需的 ? 審計內(nèi)容的選擇 – 注冊表每秒被訪問 5001500次 – 任何對象都有可能訪問注冊表 ? 默認的注冊表審計策略為空 96 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 96 禁止對注冊表的遠程訪問 97 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 97 第六節(jié)： Windows文件共享安全性 98 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 98 Windows NT的 “ Outofbox”屬性 ? 默認的安裝目錄 ? 用戶權(quán)限的默認值， everyone的 Full Control權(quán)限 ? 默認的隱含共享和 IPC$ ? 用戶賬號和密碼不加限制 ? 對系統(tǒng)安全不進行審計跟蹤 99 Windows操作系統(tǒng)與網(wǎng)絡(luò)服務(wù)的安全性 99 SMB連