ch2网络操作系统安全

1第2章网络操作系统安全2本章主要内容•操作系统的安全;访问控制的概念、类型及措施;WindowsNT/2000/XP系统的完全性;NetWare、UNIX和Linux系统的安全性3本章要求•掌握什么是操作系统的安全•了解访问控制的概念、类型及措施•熟悉WindowsNT/2000/XP系统的完全性•认识NetWare、UNIX和Linux系统的安全性4本章分为五小节:2．1网络操作系统的概念2．2操作系统的安全与访问控制2．3WindowsNT系统安全2．4Windows2000系统安全2．5其他网络操作系统的安全52.1网络操作系统的概念•计算机网络是由多个相互独立的计算机系统通过通信媒体连接起来的。各计算机都具有一个完整独立的操作系统，网络操作系统(NOS)是建立在这些独立的操作系统基础上用以扩充网络功能的系统(系统平台)。6•网络操作系统是为使网络用户能方便而有效地共享网络资源而提供各种服务的软件及相关规程，它是整个网络的核心，通过对网络资源的管理，使网上用户能方便、快捷、有效地共享网络资源。操作系统的主要功能包括：进程控制和调度、信息处理、存储器管理、文件管理、输入/输出管理、资源管理等。7•NOS是一种运行在硬件基础上的网络操作和管理软件，是网络软件系统的基础，它建立一种集成的网络系统环境，为用户方便而有效地使用和管理网络资源提供网络接口和网络服务。NOS除了具有一般操作系统所具有的处理机管理、存储器管理、设备管理和文件管理功能外，还提供高效而可靠的网络通信环境和多种网络服务功能。如文件服务、打印服务、记账服务、数据库服务以及支持Internet和Intranet服务。8•目前，常用的网络操作系统有Windows2000Server、WindowsNTServer、NetWare、UNIX和Linux。9•Windows2000是在WindowsNT基础上发展起来的，在安全性、可操作性等方面都做了较大的改进，又增加了活动目录、分布式文件系统、智能镜像技术、管理咨询和强大的网络通信等新功能，为广大用户所接受。Windows2003操作系统也已逐渐进入应用，已有超过或取代Windows2000之势。WindowsXP作为一个崭新的操作系统，它继承了WindowsNT的稳定性和Windows2000的安全性，已经得到广泛的应用。•网络操作系统在网络应用中发挥着十分重要的作用。因此，网络操作系统本身的安全，就成为网络安全保护中的重要内容。102.2操作系统的安全与访问控制•操作系统主要的安全功能包括：存储器保护(限定存储区和地址重定位，保护存储信息)、文件保护(保护用户和系统文件，防止非授权用户访问)、访问控制、身份认证(识别请求访问的用户权限和身份)等。11网络操作系统主要有以下两大类安全漏洞：•输入/输出(I/O)非法访问。在一些操作系统中，一旦I/O操作被检查通过后，该操作系统就继续执行操作而不再进行检查，这样就可能造成后续操作的非法访问。•操作系统陷门。某些操作系统为了维护方便、使系统兼容性和开放性更好，在设计时预留了一些端口或保留了某些特殊的管理程序功能。122.2.1操作系统安全的概念第一，操作系统本身提供的安全功能和安全服务。第二，针对各种常用的操作系统，进行相关配置，使之能正确对付和防御各种入侵；第三，保证网络操作系统本身所提供的网络服务能得到安全配置。13访问控制系统一般包括：•主体(subject)。主体是指发出访问操作、存取请求的主动方，它包括用户、用户组、主机、终端或应用进程等。主体可以访问客体。•客体(object)。客体是指被调用的程序或要存取的数据访问，它包括文件、程序、内存、目录、队列、进程间报文、I/O设备和物理介质等。•安全访问政策。安全访问政策是一套规则，可用于确定一个主体是否对客体拥有访问能力。142.2.2访问控制的概念及含义•为了系统信息的保密性和完整性，系统需要实施访问控制。访问控制也叫授权，它是对用户访问网络系统资源进行的控制过程。只有被授予一定权限的用户，才有资格去访问有关的资源。访问控制具体包括两方面涵义，一是指对用户进入系统的控制，最简单最常用的方法是用户账户和口令限制，其次还有一些身份验证措施；二是用户进入系统后对其所能访问的资源进行的限制，最常用的方法是访问权限和资源属性限制。15•访问控制所考虑的是对主体访问客体的控制。主体一般是以用户为单位实施访问控制，此外，网络用户也有以IP地址为单位实施访问控制的。客体的访问控制范围可以是整个应用系统，包括网络系统、服务器系统、操作系统、数据库管理系统；文件、数据库、数据库中的某个表甚至是某个记录或字段等。一般来说，对整个应用系统的访问，宏观上通常是采用身份鉴别的方法进行控制，而微观控制通常是指在操作系统、数据库管理系统中所提供的用户对文件或数据库表、记录/字段的访问所进行的控制。162.2.3访问控制的类型•访问控制可分为自主访问控制和强制访问控制两大类。•所谓自主访问控制，是指由用户有权对自身所创建的访问对象(文件、数据表等)进行访问，并可将对这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限。17•自主访问控制允许用户自行定义其所创建的数据。•需要指出的是，在一些系统中，往往是由系统管理员充当访问对象的创建者，并进行访问授权，而在其后通过“授权转让”将权限转让给指定用户。18•所谓强制访问控制，是指由系统(通过专门设置的系统安全员)对用户所创建的对象进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么样操作系统类型的访问，即使是创建者用户，在创建一个对象后，也可能无权访问该对象。19•所有用户的访问权限完全是由安全员根据需要确定的。•强制访问控制还有其他安全策略，如“角色授权管理”。该策略将系统中的访问操作按角色进行分组管理。一种角色执行一种操作，由系统安全员进行统一授权。当授予某一用户某个角色时，该用户就有执行该角色所对应的一组操作的权限。202.2.4访问控制措施系统访问控制是指用户进入系统的控制和用户进入系统后如何访问资源的限制1.访问控制类型2.入网安全控制(系统登录)3.访问权限限制214.文件和目录属性限制5.网络服务器安全控制6.网络监测和锁定控制7.网络端口和节点的安全控制8.防火墙控制221.入网安全控制(系统登录)•用户名、口令：每个合法用户都有一个用户名和一个口令。这是在系统建立用户时将其存入系统的相应数据库中的。•帐户锁定：系统设定用户尝试登录的最大次数。在到达该数值后，系统将自动锁定，不允许用户再登录。23•安全标识符：系统可为用户设定一个安全标识符SID，该SID代表一个用户，是唯一的一个数值，不会被其它用户使用。该SID用于系统内部，在访问标记和访问控制表中使用。24•身份认证：是指利用有关技术和信息，对用户的身份进行真伪验证的过程。身份认证方法：利用生物识别技术对用户进行唯一特征(如指纹、声音、视网膜图象等)的验证利用人们所已知的事进行验证利用用户拥有的物品进行验证25•时间、地址限制：系统可设定用户登录的时间范围，指定用户在那些地址的计算机上登录。26**口令的选择与保护口令的选择：选择字母和数字组合的、容易记忆的、位数多的、不易被猜出的信息作口令。尽量不使用单个词汇、人名、与用户相关联的数字或号码。口令的保护：口令加密，定期或不定期地更换口令。272.访问权限限制•网络系统使用用户访问权限可控制一个用户能访问系统的哪些资源(目录和文件)以及对这些资源能做哪些操作，如：读、写、建立、修改、删除、文件浏览、访问控制、管理等。访问权限是系统赋予用户的。283.文件和目录属性限制•属性规定文件和目录被访问的特性。网络系统可通过设置文件和目录属性控制用户对资源的访问。29•属性是系统直接赋予文件和目录等资源的，它对所有用户都具有约束权。一旦目录、文件具有了某些属性，用户(包括系统管理员)都不能超越这些属性规定的访问权，即不论用户的访问权限如何，只按照资源的属性实施访问控制。304.网络服务器安全控制•网络服务器上的软件只能从系统目录上装载，而只有网络管理员才具有访问系统目录的权限；•系统可授权控制台操作员具有操作服务器的权利，控制台操作员可通过控制台装载和卸载功能模块、安装和删除软件；•锁定服务器控制台键盘，禁止非控制台操作员操作服务器。315.网络监测和锁定控制•网络管理员对网络实施监控；服务器应记录用户对网络资源的访问；服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。如果非法用户试图进入网络，网络服务器应能自动记录其企图尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该账户将被自动锁定。326.网络端口和节点的安全控制•网络服务器的端口常使用自动回呼设备加以保护，并以加密的形式来识别节点的身份。自动回呼设备可防止假冒合法用户。•网络还常对服务器端和用户端采取控制，在对用户的身份进行验证后，才允许用户进入用户端。然后，用户端和服务器端再进行相互验证。337.防火墙控制•防火墙是一种保护计算机网络安全的技术性措施，是一个用以阻止网络中的黑客访问某个企业网络的屏障。•在网络边界上通过建立起来的具有防火墙功能的网络通信监控系统来隔离内部和外部网络，以阻档外部网络的侵入。342.3WindowsNT系统安全2.3.1WindowsNT的安全基础1．WindowsNT中的对象•WindowsNT的安全机制是建立在对象的基础上的，因此，对象的概念与安全问题密切相关。•对象是构成WindowsNT操作系统的基本元素，它可以是文件、目录、存储器、驱动器或系统程序等。352.WinNT的安全基础(1)两种模型•WinNT系统中有两种基本模型：工作组模型和域模型。•工作组模型：是一个“对等”网结构。•域模型：域是一个共享公共目录数据库和安全策略的计算机及用户的集合，它提供登录认证，并具有唯一的域名。36•WinNT系统提供四种基本的域模型：单域模型、主域模型、多主域模型和完全信任域模型。•每个域中有主域控制器、备份域控制器和服务器、工作站。每个域都有自己的安全策略以及与其他域相关的安全关系。37•信任关系是域与域之间建立的连接关系。它可以执行对经过委托的域内用户的登录审核工作。域之间经过委托后，用户只要在某一个域内有一个用户帐号，就可以使用其他域内的网络资源了。38•若A域信任委托B域，则B域的用户可以访问A域的资源，而A域的用户则不能访问B域的资源，这就是单向委托；•若A域的用户也想访问B域的资源，那么必须再建立B域信任A域的委托关系，这就是双向委托。39(2)四种基本的域模型•单域模型：网络中只有一个域，就是主域，域中有一个主域控制器和一个或多个备份域控制器。该模型适合于用户较少的网络中。40•主域模型：网络中至少有两个域，但只在其中一个域(主域)中创建所有用户并存储这些用户信息。其他域则称为资源域，负责维护文件目录和打印机资源，但不需要维护用户账户。资源域都信任主域，使用主域中定义的用户和全局组。该模型适合于用户不太多，但又必须将资源分组的情况。41•多主域模型：网络中有多个主域和多个资源域，其中主域作为账户域，所有的用户账户和组都在主域之上创建。各主域都相互信任，其他的资源域都信任主域，但各资源域之间不相互信任。该模型便于大网络的统一管理，具有较好的伸缩性。因此，该模型适合于用户数很多且有一个专门管理机构的网络中。42•完全信任域模型：网络中有多个主域，且这些域都相互信任。所有域在控制上都是平等的，每个域都执行自己的管理。该模型适合于各部门管理自己的网络情况。433.用户帐户、权力和权限•每个要登录WinNT的用户，都要有一个用户帐户，该帐户是由系统管理员创建的，用户帐户中包括用户的名称、密码、用户权力、访问权限等信息。创建帐户后，WinNT再为帐户指定一个唯一的安全标识符SID。44•用户和组都有一定的权力，权力定义了用户在系统中能做什么。如：从网络中访问计算机、向域中添加工作站和成员服务器、备份文件和目录、改变系统时间、强