第9章操作系统安全.ppt

第,9,章操作系统安全,*,第9章操作系统安全,第9章 操作系统安全,目前服务器常用的操作系统有两类：,Windows NT/2000/2003 Server、Unix/Linux。,这些操作系统都是符合,C2,级安全级别的操作系统，但是都存在不少漏洞，如果对这些漏洞不了解，不采取相应的措施，就会使操作系统完全暴露给入侵者。本章将讨论这两类操作系统一些基本的安全问题。,Network and Information Security,9.1,Windows,系统的安全,9.1.1 账户的安全设置,1,Windows,账户简介,在,Windows,操作系统中，用户被分成许多组，组和组之间有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。,Windows,中常见的用户组如下：,（1）,Administrators，,管理员组。,（2）,Power Users，,高级用户组。,（3）,Users，,普通用户组。,（4）,Guests，,来宾组。,（5）,Everyone，,顾名思义，计算机上的所有用户都属于这个组。,Administrators,组中有一个在系统安装时就创建的默认用户,Administrator，Administrator,账户具有对计算机的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。,Guests,组下也有一个默认用户,Guest，,但是在默认情况下，它是被禁用的。如果没有特别必要，无须启用此账户。,Network and Information Security,2,Windows,账户管理,Windows,在控制面板中有【用户账号】图标，但功能太弱，建议不要使用，应该使用专门的用户管理程序。打开【控制面板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【计算机管理】图标，出现【计算机管理】窗口。在【计算机管理】窗口左侧依次选择【系统工具】,|,【本地用户和组】,|,【用户】，右侧会列出计算机中的所有用户。,Network and Information Security,3,Windows,账户安全设置,（,1,）停用不必要的账户：可用的账户越多，被黑客利用的可能性就越大，所以用不到的账户一律删除或停用。,（,2,）管理员账户改名：,Administrator,账户不能停用，黑客知道这个账户名，就可以一遍又一遍地尝试它的密码，把,Administrator,账户改名可以有效地防止这一点。不要使用,Admin,之类的名字，改了等于没改，尽量把它伪装成普通账户，如改成,user-one,。,（,3,）,设置陷阱账户：,Administrator,账户改名之后，可以再创建一个,Administrator,账户，让它隶属于【,Guests,】,组，权限最小，并且加上一个超长的复杂密码，这就是陷阱账户。陷阱账户可以让那些黑客忙上很长一段时间，侥幸成功后也做不了什么事情。,Network and Information Security,（,4,）开启账户锁定策略：开启账户锁定策略后，黑客尝试密码错误达到一定次数后，该账户将被锁定而不能登录。打开【控制面板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【本地安全策略】图标，出现【本地安全设置】窗口。在【本地安全设置】窗口左侧依次选择【账户策略】,|,【账户锁定策略】，右侧会列出,3,条策略。,Network and Information Security,9.1.2,网上邻居的安全设置,1,简单共享与高级共享,在,Windows,的网上邻居中，有两种文件共享方式，分别是简单共享与高级共享，默认使用简单共享。简单共享的设置很简单，但客户机只能以,Guest,用户身份访问服务器；高级共享的设置较复杂，但客户机能以其他用户身份访问服务器。若没有特殊要求，使用简单共享就可以了。,使用简单共享方式时，客户机只能以,Guest,用户身份访问服务器，所以在服务器上,Guest,用户必须启用，否则服务器无法共享文件夹。,Network and Information Security,2,网上邻居的安全设置,Windows,的网上邻居虽然有用，但却是一个安全隐患，设置不当会给用户带来危害。网上邻居的安全设置主要有以下内容：,（,1,）停用,Guest,用户：不使用简单文件共享时，一定要停用,Guest,用户。,（,2,）及时取消共享：仅在必要的时候设置共享文件夹，一旦用完及时取消共享。,（,3,）建立专门共享用户：建议使用高级文件共享，要专门建立一个用户，在设置共享文件夹的权限时，仅允许该用户访问，不要使用【,Everyone,】,用户组。仅允许该用户从网络访问本计算机，其他用户都不允许。该用户要设置较为复杂的密码，不可设置为允许空密码用户登录。,Network and Information Security,（,4,）禁止建立空连接：默认情况下，任何用户都可以通过空连接连上计算机，进而可以枚举出账号，猜测密码。所谓空连接，是指在不使用用户名与密码的情况下，通过网络与计算机建立的连接。可以通过修改注册表来禁止建立空连接。在,HKEY_LOCAL_MACHINE,主键下修改子键：,SystemCurrentControlSetControlLSARestrictAnonymous,，,将键值改成“,1,”即可。,（,5,）禁用网上邻居：若平时不使用网上邻居，可以卸载某些组件或停止某些服务，使网上邻居无法使用。,Network and Information Security,（,6,）关闭默认共享：在,Windows,中，所有的逻辑盘与,Windows,的安装目录默认是共享的。要永久性地停用这些默认共享，必须修改注册表。修改主键,HKEY_LOCAL_MACHINE,下的子键：,SYSTEMCurrentControlSetServicesLanmanServerParameters,，,在该子键下新建,DWORD,类型的子键，键名设为,AutoShareWks,，,键值设为,0,。重新启动计算机后，所有的逻辑盘与,Windows,的安装目录就不再共享了。,Network and Information Security,9.1.3,防病毒安全设置,（,1,）关闭自动播放功能：当计算机中插入,U,盘或光盘时，,Windows,可以自动运行其上的可执行文件，这就是自动播放功能。自动播放功能默认是打开的，目前很多,U,盘病毒就利用了这一功能，所以应该关闭自动播放功能。单击任务栏左侧的【开始】按钮，选择【运行】菜单项，出现【运行】对话框后，在【打开】下拉列表框中键入,gpedit.msc,，,单击【确定】按钮，出现如图,9-22,所示的【组策略】窗口。,Network and Information Security,Network and Information Security,（2,）显示隐藏文件与文件扩展名：很多病毒文件把自己设置为隐藏文件或系统文件，用户就看不到它，或是隐藏自己的扩展名，伪装成正常文件。在,Windows XP,的【资源管理器】中，打开【工具】菜单，选择【文件夹选项】菜单项，出现如图,9-24,所示的【文件夹选项】对话框。选择【查看】选项卡，在【高级设置】列表框中，不要选中【隐藏受保护的操作系统文件（推荐）】复选框，选中【显示所有文件和文件夹】单选按钮，不要选中【隐藏已知文件类型的扩展名】复选框。单击【确定】按钮，即可显示所有隐藏文件与系统文件，以及所有文件的扩展名。,Network and Information Security,9.1.4,口令安全设置,（,1,）使用安全的口令：口令必须足够随机，难以被猜到。如果使用,123456,、,abc,、,888888,，,或是自己的生日、学号、电话等作为口令，那么极易被猜到，没有任何安全性可言。如果使用,awC#5$9,、,8*3Ac/=e,等作为口令，几乎不可能猜中，使用口令时还应注意以下事项：,l,不要将口令写下来，要使用难以猜测却又易记的口令。,l,在输入口令时，应避免被别人看到。,l,尽量在不同系统上使用不同的口令。,l,口令尽量定期更换。,Network and Information Security,（,2,）开启密码策略：开启密码策略后，可以对用户设置的口令加以限制，以提高安全性。打开【控制面板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【本地安全策略】图标，出现【本地安全设置】窗口。在【本地安全设置】窗口左侧依次选择【账户策略】,|,【密码策略】，右侧会列出几条策略。,Network and Information Security,9.1.5,其他安全设置,（,1,）物理安全。,（,2,）要有安全意识。,（,3,）屏幕保护密码。,（,4,）禁止,U,盘光盘启动。,（,5,）使用,USB Key,。,（,6,）关闭不必要的端口与服务。,（,7,）使用,NTFS,分区。,（8）下载安装最新的补丁。,Network and Information Security,（,9,）开启审核策略：审核策略在默认的情况下都是没有开启的。打开【控制面板】窗口，双击【管理工具】图标，出现【管理工具】窗口后，双击【本地安全策略】图标，出现【本地安全设置】窗口。在【本地安全设置】窗口左侧依次选择【本地策略】,|,【审核策略】，右侧会列出几条策略。,Network and Information Security,（,10,）不显示上次登录名。,（11）禁用,Dump,文件。,（,12,）关机时清除页面文件。,（13）禁止判断主机类型。,（14）禁止,Guest,用户访问日志。,（,15,）做好备份。,（16）数据恢复软件。,Network and Information Security,9.2,Unix/Linux,系统的安全,9.2.1 超级用户安全管理,超级用户可以对系统中任何文件和目录进行读写，超级用户口令一旦丢失，系统维护工作就很难进行，系统也就无安全性可言。超级用户在安全管理方面需要注意的地方包括：,(1)在一般情况下最好不使用,root,账号，应使用,su,命令进入普通用户账号。,(2)超级用户不要运行其它用户的程序。,(3)经常改变,root,口令。,Network and Information Security,(4)精心地设置口令时效。,(5)不要把当前工作目录排在,PATH,路径表的前面，以避免木马程序的入侵。,(6)不要未退出系统就离开终端。,(7)建议将登录名,root,改成其它名称。,(8)注意检查不寻常的系统使用情况。,(9)保持系统文件的完整性。,(10)将磁盘的备份存放在安全的地方。,(11)确保所有登录账号的口令都不为空。,(12)启动记账系统。,Network and Information Security,9.2.2 用户帐号安全管理,用户账号的管理包括如何保证系统中每个用户账号的安全、如何管理这些账号，以及如何处理对系统安全有威胁的账号。,保证系统有一个安全的/,etc/passwd,文件是十分必要的，维护该文件时应注意以下问题：,(1)尽量避免直接修改/,etc/passwd,文件。,(2)在用户可以容忍的情况下，尽量使用比较复杂的用户账号名。,(3)保证,passwd,文件中没有口令相同的用户账号。,Network and Information Security,(4)保证,passwd,文件中每个用户的口令字段不为空。,(5)注意系统特殊用户使用的,Shell,字段，保证他们使用专用程序，而非一般用户的,Shell。,(6),除非在必要的情况下，最好不要使用组口令。,(7)对于新用户最好先为之提供,rsh(Restricted Shell)，,让他们在受限的环境中使用系统。,(8)当一个账号长时间不用时，可通过记账机制发现该账号，并将该账号查封。,Network and Information Security,9.2.3 文件和目录的安全,文件和目录权限的管理涉及重要目录的安全问题，包括以下目录：/,bin、/boot、/dev、/etc,和$,HOME。,/bin,目录保存引导系统所需的全部可执行程序及常用的命令。该目录只允许超级用户进行修改。同时，应把该目录设置在,PATH,环境变量的最前面。,/,boot,用来存放系统初启时所需的一些数据和文件。如该目录被破坏，系统就不能启动。,Network and Information Security,/,dev,目录包含有链接硬件设备的文件，它的存取权限应当是775，并且应属,root,所有。设备文件使用权限设置不当，能给系统安全带来影响。例如/,dev/mem,是系统内存，用,cat,命令就可以在终端上显示系统内存中的内容。,/,etc,目录下的,passwd、group、shadow、inittab、cshrc,和,xinitrc,等文件是系统正常工作时所用的。大多数情况下，/,etc,中的文件是黑客首选的攻击目标。,$,HOME,目录是各个用户的主目录，一般位于/,home,目录下。该目录的名称一般与用户的登录名相同。超级用户的主目录在/,root,下。,Network and Information Security,9.2.4 关于,SUID,程序,当,Unix/Linux,中的一个进程执行时被分别赋予4个,ID,号，分别为实际,UID(real user ID),和有效的,UID(effective user ID)、,实际,GID(real group ID),和有效的,GID(effective group ID)。,实际,ID,是在登录过程中建立的用户,ID,有效的,ID,用于确定该进程对文件的存取许可。,Network and Information Security,$,ls-l/etc/passwd,-rw-r-r-1 root root 1939 Oct 8 06:00/etc/passwd,我们看到/,etc/passwd,文件是不允许普通用户修改的,但一般用户运行,passwd,命令却能修改自己的口令。再看看/,usr/bin/passwd,命令文件：,$,ls-l/usr/bin/passwd,-r-s-x-x 1 root root 1463 Mar 14 2002/usr/bin/passwd,我们可以看到文件主权限部分的,x,位被一个,s,代替了。当一个,UID,为101的用户执行,passwd,命令改变自己的口令时，该进程的,p_uid,赋值为101，而因为,passwd,是,SUID root,程序，所以它的,p_suid,有效,ID,值则被赋值为0(,root,的,UID)。,Network and Information Security,小结,在网络环境中，网络系统的安全性依赖于网络中各计算机系统的安全性，而计算机系统的安全性又首先依赖于其操作系统的安全性。没有安全的操作系统的支持，网络安全也毫无根基可言。本章介绍了,Windows,操作系统的安全配置，包括账户的安全设置、网上邻居的安全设置、防病毒安全设置、口令安全设置与其他安全设置。对于,UNIX/Linux,操作系统，做了一般的概要说明，包括用户安全管理、文件与目录的安全管理，详细说明了,SUID,程序。,Network and Information Security,