windows2000系統(tǒng)安全體系-展示頁
2025-01-27 07:55本頁面
【正文】 17799標(biāo)準(zhǔn) TCSEC定義的內(nèi)容 沒有安全性可言，例如 MS DOS 不區(qū)分用戶，基本的訪問控制 D 級 C1 級 C2 級 B1 級 B2 級 B3 級 A 級 有自主的訪問安全性，區(qū)分用戶 標(biāo)記安全保護(hù)，如 System V等 結(jié)構(gòu)化內(nèi)容保護(hù)，支持硬件保護(hù) 安全域，數(shù)據(jù)隱藏與分層、屏蔽 校驗級保護(hù)，提供低級別手段 C2級安全標(biāo)準(zhǔn)的要求 ?自主的訪問控制 ?對象再利用必須由系統(tǒng)控制 ?用戶標(biāo)識和認(rèn)證 ?審計活動 ? 能夠?qū)徲嬎邪踩嚓P(guān)事件和個人活動 ? 只有管理員才有權(quán)限訪問 CC(Common Critical)標(biāo)準(zhǔn) ?CC的基本功能 ? 標(biāo)準(zhǔn)化敘述 ? 技術(shù)實現(xiàn)基礎(chǔ)敘述 ?CC的概念 ? 維護(hù)文件 ? 安全目標(biāo) ? 評估目標(biāo) Windows系統(tǒng)的安全架構(gòu) Windows NT系統(tǒng)內(nèi)置支持用戶認(rèn)證、訪問 控制、管理、審核。 Windows系統(tǒng)的安全組件 ? 訪問控制的判斷 （ Discretion access control） 允許對象所有者可以控制誰被允許訪問該對象以及訪問的方式。 ? 強(qiáng)制登陸（ Mandatory log on） 要求所有的用戶必須登陸，通過認(rèn)證后才可以訪問資源 ? 審核（ Auditing） 在控制用戶訪問資源的同時，也可以對這些訪問作了相應(yīng)的記錄。必須是該資源允許被訪問，然后是用戶或應(yīng)用通過第一次認(rèn)證后再訪問 。 SID永遠(yuǎn)都是唯一的，由計算機(jī)名、當(dāng)前時間、當(dāng)前用戶態(tài)線程的 CPU耗費時間的總和三個參數(shù)決定以保證它的唯一性。如果用戶被允許訪問該對象，系統(tǒng)將會分配給用戶適當(dāng)?shù)脑L問權(quán)限。 Windows安全子系統(tǒng)的組件 ? 安全描述符（ Security descriptors）： Windows 系統(tǒng)中的任何對象的屬性都有安全描述符這部分。 ? 訪問控制列表（ Access control lists）： 訪問控制列表有兩種：任意訪問控制列表（ Discretionary ACL）、系統(tǒng)訪問控制列表（ System ACL）。每一個用戶或組在任意訪問控制列表中都有特殊的權(quán)限。 ? 訪問控制項（ Access control entries） : 訪問控制項（ ACE）包含了用戶或組的 SID以及對象的權(quán)限。拒絕訪問的級別高于允許訪問。而 GINA DLL提供一個交互式的界面為用戶登陸提供認(rèn)證請求。 Winlogon在注冊表中查找 \HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon ，如果存在 GinaDLL鍵， Winlogon將使用這個 DLL，如果不存在該鍵， Winlogon將使用默認(rèn)值 Windows安全子系統(tǒng) ? 本地安全認(rèn)證（ Local Security Authority） ： 本地安全認(rèn)證（ LSA）是一個被保護(hù)的子系統(tǒng)，它負(fù)責(zé)以下任務(wù)： ? 調(diào)用所有的認(rèn)證包，檢查在注冊表\HKLM\SYSTEM\CurrentControlSet\Control\LSA下AuthenticationPAckages下的值，并調(diào)用該 DLL進(jìn)行認(rèn)證（ ）。 ? 重新找回本地組的 SIDs和用戶的權(quán)限。 ? 管理本地安裝的服務(wù)所使用的服務(wù)賬號。 ? 管理審核的策略和設(shè)置。 Windows安全子系統(tǒng) ? 安全支持提供者的接口（ Security Support Provide Interface）： 微軟的 Security Support Provide Interface很簡單地遵循 RFC 2743和 RFC 2744的定義，提供一些安全服務(wù)的 API，為應(yīng)用程序和服務(wù)提供請求安全的認(rèn)證連接的方法。通過 GINA DLL的可信認(rèn)證后，認(rèn)證包返回用戶的 SIDs給 LSA，然后將其放在用戶的訪問令牌中。這種認(rèn)證方式經(jīng)常在使用 SSL（ Secure Sockets Layer）和 PCT（ Private Communication Technology）協(xié)議通信的時候用到。要實現(xiàn)這個目標(biāo)，必須通過安全通道與域中的域控制器建立連接，然后，再通過安全的通道傳遞用戶的口令，在域的域控制器上響應(yīng)請求后，重新取回用戶的 SIDs和用戶權(quán)限。保存了注冊表中\(zhòng)HKLM\Security\Sam中的一部分內(nèi)容。 Windows的密碼系統(tǒng) ? Windows NT及 Win2022中對用戶帳戶的安全管理使用了安全帳號管理器 (security account manager)的機(jī)制 ,安全帳號管理器對帳號的管理是通過安全標(biāo)識進(jìn)行的，安全標(biāo)識在帳號創(chuàng)建時就同時創(chuàng)建，一旦帳號被刪除，安全標(biāo)識也同時被刪除。因此，一旦某個帳號被刪除，它的安全標(biāo)識就不再存在了，即使用相同的用戶名重建帳號，也會被賦予不同的安全標(biāo)識，不會保留原來的權(quán)限。請注意一些示例安裝，它們只可從 或
試題試卷相關(guān)推薦
鄂ICP備17016276號-1