《操作系统安全基础》PPT课件.ppt

操作系统安全基础,主要内容,保护注册表,监视安全事件,端口和协议安全,用户帐户和密码管理,微软防漏洞攻击策略,1.用户帐户和密码管理设定安全的密码至少包含8个字符（获得最高的安全性，至少15个字符，使强硬破解方式成指数倍增长）大小写、数字和符号的组合不包含姓名、用户名或者常用单词不与其他人共享定期更换密码（1、2、3个月）,用户帐户和密码管理,SAM(SecurityAccountsManager),在独立的Windows计算机上，安全账户管理器负责保存用户账户名和口令的信息口令通过散列并被加密，现有的技术不能将打乱的口令恢复(尽管如此，散列的口令是可以被猜出的)SAM组成了注册表的5个配置单元之一，它在文件%systemroot%system32configsam中实现,Windows安全登录过程,Winlogon,加载GINA，监视认证顺序,加载认证包,支持额外的验证机制,为认证建立安全通道,提供登陆接口,提供真正的用户校验,管理用户和用户证书的数据库,WinlogonGINA图形身份认证和验证动态链接库LSA本地安全管理授权AuthenticationPackages验证软件包Netlogon服务SAM安全帐户管理器,Windows安全登录过程,Windows的身份验证机制,不同身份验证机制：LanManager-LM口令散列算法win9XNTLM-更加强大的加密NT版winNTSP3NTLMv2第二版winNTSP4KerberosV5用于windows的域环境,LM口令加密方案,LM对口令的处理方法如果口令不足14位，就用0把口令补足14位把所有的字母转成大写字母将处理后的口令分成两组数字，每组是7位由这两个7位的数字分别生成8位的DESKEY每一个8位的DESKEY都使用一个魔法数字再进行散列加密形成64位的值将两组64位的值串连在一起，这就是最终的128位口令散列,LanMan的缺陷与建议,缺陷如果口令长度在8-13位之间，则后面的7字符先破解，对前7个字符的破解可以提供某些信息建议：使用较长的口令,NTLM-加密NT版,NTLM(加密NT版)是将用户的口令转换成unicode编码，然后使用MD4算法将口令加密。LANmanager口令使用了较弱的密钥和算法，比较容易破解。相比较之下，使用较强加密算法的NTLM要安全，而NTLMv2更加安全。,1.用户帐户和密码管理设定安全的密码至少包含8个字符（获得最高的安全性，至少15个字符，使强硬破解方式成指数倍增长）大小写、数字和符号的组合不包含姓名、用户名或者常用单词不与其他人共享定期更换密码（1、2、3个月）,用户帐户和密码管理,1.用户帐户和密码管理保护administrator帐户修改名，不要使用它作为日常帐户使用后不要保持登录状态关闭此管理员帐户,用户帐户和密码管理,1.用户帐户和密码管理密码破解工具WinternalslocksmithElcomsoftadancedntsecurityexplorerL0phtcrack5OffineNTpassword®istryeditorWindowsXP/2000/NTkeyJohntherippercains,用户帐户和密码管理,主要内容,保护注册表,监视安全事件,端口和协议安全,用户帐户和密码管理,微软防漏洞攻击策略,2.保护注册表键子键键值键值项格式键值名：数据类型：键值键值类型字符串二进制值双字节值（DWORD）,保护注册表,2.保护注册表HKEY_CLASSES_ROOTHKEY_CURRENT_USERHKEY_LOCAL_MACHINEHKEY_USERSHKEY_CURRENT_CONFIG,保护注册表,2.保护注册表限制注册表的访问权限监控注册表的变化RegMon实时监视注册表的改变Regsnap获得注册表的快照,保护注册表,主要内容,保护注册表,监视安全事件,端口和协议安全,用户帐户和密码管理,微软防漏洞攻击策略,3.监视安全事件启用安全审核本地安全策略,监视安全事件,3.监视安全事件查看安全日志事件查看器,监视安全事件,动作对登录/注销的失败审核对登录/注销的成功审核对用户权限、用户和组管理、安全更改策略、重新启动、关机和系统事件的成功审核对敏感文件访问和对象访问事件的成功和失败审核对R/W访问权限的成功和失败进行审核,攻击随机口令攻击被盗窃的口令侵入滥用特权不适当的文件访问,监视安全事件,主要内容,保护注册表,监视安全事件,端口和协议安全,用户帐户和密码管理,微软防漏洞攻击策略,4.端口和协议的安全性常用端口和协议确定活动的端口及其应用程序限制对端口的访问关闭不需要的服务,端口和协议安全,4.端口和协议的安全性常用端口和协议IANA(internetassignednumbersauthority)11023已知分配102449151需注册端口4915265535自主使用FTP21文件传输协议telnet23使用字符的终端连接Smtp25简单邮件传输协议http80超文本传输协议Pop3110邮局协议版本3NNTP119网络新闻传输协议SNMP161简单网络管理协议HTTPS443安全HTTPRDP3389远端桌面协议（终端服务）Pcanywhere5631/5632PCanywhere7.52,端口和协议安全,4.端口和协议的安全性确定活动的端口及其应用程序任务管理器的进程菜单tasklisttasklist/svctasklist/vtasklist/mdll名称TlistTlistsTlisttTlistpidTlistmdll名称netstataon,端口和协议安全,4.端口和协议的安全性限制对端口的访问TCP/IP筛选器根据源或目标地址/端口/协议来拒绝或允许流量WindowsFirewall阻止除了由自己计算机发起的通信的响应外所有进入的流量防止黑客试图访问可能有监听程序运行的端口IPSecurity提供了通过加密和身份验证保护流量的能力,端口和协议安全,4.端口和协议的安全性关闭不需要的服务服务控制台禁止的服务telnet允许远程用户登录到此计算机并运行程序。TCP/IPNetBIOSHelper允许对“TCP/IP上NetBIOS(NetBT)”服务以及NetBIOS名称解析的支持。TaskScheduler使用户能在此计算机上配置和制定自动任务的日程。RemoteRegistry使远程用户能修改此计算机上的注册表设置。PrintSpooler将文件加载到内存中以便迟后打印。Messenger传输客户端和服务器之间的NETSEND和Alerter服务消息。,端口和协议安全,主要内容,保护注册表,监视安全事件,端口和协议安全,用户帐户和密码管理,微软防漏洞攻击策略,GSGuardStackDEPDataExecutiveProtectionASLRAddressSpaceLayoutRandomizationSEHOPSEHOverwriteProtection,微软防漏洞攻击策略,防止溢出后跳转到攻击代码GS，SEHOP防止攻击代码轻易