安全协议与标准08-Windows安全.ppt

安全协议与标准 linfb 2011 10 Windows安全 Windows体系结构 用户与登录 文件与NTFS 系统文件保护 事件与审计 防火墙ICF IIS 漏洞与补丁 Vista安全 域安全 ISA Office安全 Apix DDK WDK Windows体系结构 Windows2000architecture Windows2008withHyper V Windows安全性 设计目标一致的 健壮的 基于对象的安全模型满足商业用户的安全需求一台机器上多个用户之间安全地共享资源进程 内存 设备 文件 网络安全模型服务器管理和保护各种对象客户通过服务器访问对象服务器扮演客户 访问对象访问的结果返回给服务器 用户与登录 商业系统的最高安全等级一般是C2兼顾易用性和安全性WindowsNT具有C2级安全等级认证C2权限控制保护 用户对自己的行为负责 系统可以跟踪所有过程和记录某个用户的行为 防止对象重引用 并保证系统安全性监视器的效力 用户可以设定别人对自己数据的权限 TrustedComputerSystemEvaluationCriteriaTheTCSEC frequentlyreferredtoastheOrangeBook isthecenterpieceoftheDoDRainbowSeriespublications TCSECwasreplacedwiththedevelopmentoftheCommonCriteriainternationalstandardoriginallypublishedin2005 帐户与组 帐户useraccounts定义一个用户所必要的信息 包括口令 组成员关系 登录限制 安全ID SID 组groupsAdministrators guests backupoperators remotedesktopusers users powerusers AccountIdentifier Securityidentifier SID 时间和空间唯一S 1 N Y1 Y2 Y3 Y4字符串形式和二进制形式的SID sysprep exe 用户组 用户密码 口令 通行字 password passwd 选择合适的口令要便于记忆 但是不能让别人猜到不要使用常用单词 短语 缩写 生日 证件号码 默认口令等等要足够长 否则容易被穷举攻击8位字符以上不要不同的帐号使用一个口令关于空白口令 以及自动登录智能卡USBtoken 一种口令攻击方法 利用Google MD5 CTL ALT DEL 为了安全为了方便 可以从策略中禁止其他安全策略in 本地安全设置 输入法漏洞 第一次Windows2000系列标准输入法远程桌面登录时亦存在第二次VistaGoogle输入法锁定状态时 远程桌面连接 RDP remotedesktopprotocol连接到XP只能单用户连接到WindowsServer用户权限 组RemoteDesktopUsers支持多用户速度和颜色可以调整到32位颜色 gpedit msc 可以从Linux中连接到Windows桌面 文件与NTFS FAT FAT16 FAT32 VFATNTFS长文件名 加密与压缩 安全性 能力与性能stream扩展名查看扩展名隐藏文件查看隐藏文件图标 文件安全属性 用户之间文件访问隔离实验验证管理员的全能权限日常使用不应该以管理员权限 系统文件保护 系统文件windows system32 sys dll ocx ttf fon exe等文件校验机制 签名 sigverif exe监控恢复D WINDOWS system32 dllcache光盘 使用SignTool对安装文件进行签名 为WindowsInstaller文件 msi 签名在开发计算机上 安装您希望用于对文件进行签名的证书 打开VisualStudio命令提示 转到包含 msi文件的目录 利用以下命令为 msi文件签名 signtoolsign sha1CertificateHashSetupFile msi FinalData 1 ImproveDataProtectionandIntegritybyPre InstallingFINALDATADeleteProtection ProtectsagainstthedeletionofimportantfilesanddirectoriesFileDeleteManager AutomaticBackupoffilesbeingdeleted2 EasyandUsefulRecoveryToolsFilePreview CheckthecontentsofImagesfiles MSOfficedocuments orHTMLfilesbeforerecoveringFileViewer Extractthetextcontainedinadamagedfile3 DamagedCD ROMRecoveryRecoverdatafromdamagedsectorsofCD RWandCD RmediaSupportCDFS UDF4 FullyCompatiblewithMicrosoftWindowsOSFullycompatiblewithWindows9x ME NT4 0 2000 XPSupportforFAT12 16 32andNTFS EFS EncryptingFileSystem EFS的机制在磁盘上密文存储 而不仅仅靠访问限制 EFS的证书和私钥管理创建 备份 恢复EFS文件加密的教训加密的文件和分区在系统重装后将不可用 除非恢复先前的证书和私钥EFS中的关系 用户 管理员 备份员 WindowsDefender WindowsDefender 曾用名MicrosoftAntiSpyware 是一个用来移除 隔离和预防间谍软件的程序 可以运行在Windows2000 WindowsXP和WindowsServer2003操作系统上 并已内置在WindowsVista 它的测试版于2005年1月6日发布 在2005年6月23日 2006年2月17日微软又发布了更新的测试版本 WindowsDefender的定义库更新很频繁 WindowsDefender不像其他同类免费产品一样只能扫描系统 它还可以对系统进行实时监控 移除已安装的ActiveX插件 清除大多数微软的程序和其他常用程序的历史纪录 Advancedfeatures Real timeprotectionInternetExplorerintegrationSoftwareExplorerWindowsVista specificfunctionalityblocksallstartupitemsthatrequireadministratorprivileges WindowsLiveOneCare WindowsLiveOneCare 或onecare LIVEONECARE 中文名称未定 Onecare意一份关心 是微软WindowsLive旗下的杀毒软件 也是微软进入安全防护领域的第一个杀毒软件 其功能包括ProtectionPlus 杀毒 防间谍 防火墙 自动更新 PerformancePlus 硬盘整理 垃圾清理 自动备份 BackupandRestore 备份 回复 同时OneCare也与WindowsUpdate合作 以提供自动视窗系统更新 OneCare也备有即时帮助 24小时 7天 discontinued MicrosoftSecurityEssentials MicrosoftSecurityEssentials MSE isafreeantivirussoftwareproductforMicrosoftWindowsoperatingsystemsthatprovidesprotectionagainstdifferenttypesofmalwaresuchascomputervirus spyware rootkitsandtrojanhorses UnliketheMicrosoftForefrontfamilyofenterprise orientedsecurityproducts MicrosoftSecurityEssentialsisgearedforconsumeruse MicrosoftSecurityEssentialsreceivedpositivereviewsuponitsrelease InSeptember2011 itwasthemostpopularantivirussoftwareproductinNorthAmericaandthesecondmostpopularintheworld Autorun 自动播放机制autorun inf自动播放的安全问题关闭自动播放 事件与审计 日志服务启动Windows时 EventLog服务会自动启动 所有用户都可以查看应用程序和系统日志 只有管理员才能访问安全日志 在默认情况下 安全日志是关闭的 可以使用组策略来启用安全日志 管理员也可在注册表中设置审核策略 以便当安全日志满出时使系统停止响应 事件查看器留意特殊的事件 如登录 登录失败 定制要记录的安全事件 本地安全设置 三类事件 日志 应用程序日志由应用程序或系统程序记录的事件 例如 数据库程序可在应用日志中记录文件错误 程序开发员决定记录哪一个事件 系统日志包含Windows的系统组件记录的事件 例如 在启动过程将加载的驱动程序或其他系统组件的失败记录在系统日志中 Windows预先确定由系统组件记录的事件类型 安全日志记录安全事件 如有效的和无效的登录尝试 以及与创建 打开或删除文件等资源使用相关联的事件 管理器可以指定在安全日志中记录什么事件 例如 如果您已启用登录审核 登录系统的尝试将记录在安全日志里 四种类型 错误重要的问题 如数据丢失或功能丧失 例如 如果在启动过程中某个服务加载失败 这个错误将会被记录下来 警告并不是非常重要 但有可能说明将来的潜在问题的事件 例如 当磁盘空间不足时 将会记录警告 信息描述了应用程序 驱动程序或服务的成功操作的事件 例如 当网络驱动程序加载成功时 将会记录一个信息事件 成功审核成功的审核安全访问尝试 例如 用户试图登录系统成功会被作为成功审核事件记录下来 失败审核失败的审核安全登录尝试 例如 如果用户试图访问网络驱动器并失败了 则该尝试将会作为失败审核事件记录下来 任务管理器 留意异常进程svch0st exewsript exetaskmgr tasklist taskkilltasklist m 注册表 RegisterC Windows System32 Config User shomedirRegedit exe对注册表的修改手工修改hack crack方式优化调整 自动运行的程序启动点 DocumentsandSettings 开始 菜单 程序 启动 DocumentsandSettings AllUsers 开始 菜单 程序 启动HKEY CURRENT USER Software Microsoft WindowsNT CurrentVersion Windows loadHKEY CURRENT USER Software Microsoft Windows CurrentVersion Policies Explorer RunHKEY CURRENT USER Software Microsoft Windows CurrentVersion Run HKEY LOCAL MACHINE SOFTWARE Microsoft WindowsNT CurrentVersion Winlogon UserinitHKEY LOCAL MACHINE SOFTWARE Microsoft Windows CurrentVersion Policies Explorer RunHKEY LOCAL MACHINE SOFTWARE Microsoft Windows CurrentVersion Run HKEY LOCAL MACHINE SOFTWARE Microsoft WindowsNT CurrentVersion Windows HKEY LOCAL MACHINE SOFTWARE Microsoft Windows CurrentVersion Explorer ShellExecuteHooks 其他工具 Winternals severalfreewaretoolstoadministerandmonitorcomputersrunningMicrosoftWindows Sysinternal MicrosoftacquiredSysinternalsinJuly 2006 procexpregmonfilemondiskmomtcpviewportmonRootkitRevealer Sysinternals TheSysinternalswebsitewascreatedin1996byMarkRussinovichandBryceCogswelltohosttheiradvancedsystemutilitiesandtechnicalinformation MicrosoftacquiredSysinternalsinJuly 2006 Whetheryou reanITProoradeveloper you llfindSysinternalsutilitiestohelpyoumanage troubleshootanddiagnoseyourWindowssystemsandapplications Sony GoneTooFar Sony RootkitsandDigitalRightsManagementGoneTooFar MarkRussinovichLastweekwhenIwastestingthelatestversionofRootkitRevealer RKR Iranascanononeofmysystemsandwasshockedtoseeevidenceofarootkit Rootkitsarecloakingtechnologiesthathidefiles Registrykeys andothersystemobjectsfromdiagnosticandsecuritysoftware andtheyareusuallyemployedbymalwareattemptingtokeeptheirimplementationhidden seemy UnearthingRootkits articlefromthreJuneissueofWindowsITProMagazineformoreinformationonrootkits TheRKRresultswindowreportedahiddendirectory severalhiddendevicedrivers andahiddenapplication FileMon Thismonitoringtoolletsyouseeallfilesystemactivityinreal time RegMon ThismonitoringtoolletsyouseeallRegistryactivityinreal time TCPView Activesocketcommand stat exe DiskMon Thisutilitycapturesallharddiskactivityoractslikeasoftwarediskactivitylightinyoursystemtray PsFile Seewhatfilesareopenedremotely ProcessMonitor Monitorfilesystem Registry process threadandDLLactivityinreal time ProcessExplorer Findoutwhatfiles registrykeysandotherobjectsprocesseshaveopen whichDLLstheyhaveloaded andmore Thisuniquelypowerfulutilitywillevenshowyouwhoownseachprocess ListDLLs ListalltheDLLsthatarecurrentlyloaded includingwheretheyareloadedandtheirversionnumbers Version2 0printsthefullpathnamesofloadedmodules PsListShowinformationaboutprocessesandthreads tasklist taskkill Autoruns Seewhatprogramsareconfiguredtostartupautomaticallywhenyoursystembootsandyoulogin AutorunsalsoshowsyouthefulllistofRegistryandfilelocationswhereapplicationscanconfigureauto startsettings Handle Thishandycommand lineutilitywillshowyouwhatfilesareopenbywhichprocesses andmuchmore RootkitRevealer Scanyoursystemforrootkit basedmalware EFSDumpViewinformationforencryptedfiles SDeleteSecurelyoverwriteyoursensitivefilesandcleanseyourfreespaceofpreviouslydeletedfilesusingthisDoD compliantsecuredeleteprogram StreamsRevealNTFSalternatestreams SigcheckDumpfileversioninformationandverifythatimagesonyoursystemaredigitallysigned sigverif exe FileandDiskUtilities JunctionCreateWin2KNTFSsymboliclinks linkd exeMoveFileSchedulefilerenameanddeletecommandsforthenextreboot Thiscanbeusefulforcleaningstubbornorin usemalwarefiles PendMovesSeewhatfilesarescheduledfordeleteorrenamethenexttimethesystemboots StreamsRevealNTFSalternatestreams ThePsToolssuite PsExec executeprocessesremotelyPsFile showsfilesopenedremotelyPsGetSid displaytheSIDofacomputerorauserPsInfo listinformationaboutasystemPsKill killprocessesbynameorprocessIDPsList listdetailedinformationaboutprocessesPsLoggedOn seewho sloggedonlocallyandviaresourcesharing fullsourceisincluded PsLogList dumpeventlogrecordsPsPasswd changesaccountpasswordsPsService viewandcontrolservicesPsShutdown shutsdownandoptionallyrebootsacomputerPsSuspend suspendsprocesses Desktops Thisnewutilityenablesyoutocreateuptofourvirtualdesktopsandtouseatrayinterfaceorhotkeystopreviewwhat soneachdesktopandeasilyswitchbetweenthem 防火墙ICF ICF InternetConnectionFirewallICS InternetConnectionSharing 其他防火墙 个人防火墙金山网镖天网个人防火墙商业产品硬件vs 软件Netfliter IptableinLinux N Byte Google N Byte 网络守望者 NDIS NetworkDriverInterfaceSpecificationbyMSand3Com inWindowsandalsoinLinuxandFreeBSD NdisWrapper wrapper 功能 即隐藏了2层LLC的差异 服务于3层网络层 另一个抽象LLC是ODI OpenData LinkInterface hook IIS IIS7 0 inVistaandWindowsServer2008TheserverscurrentlyincludeFTP SMTP NNTP andHTTP HTTPS behindApacheHTTPServertheinfamousCodeRedworm IIS日志 LogsinC WINDOWS system32 Logfiles IIS支持的认证机制 IIS5 0andhighersupportthefollowingauthenticationmechanisms Basicaccessauthentication 明文口令Digestaccessauthentication 使用HASHIntegratedWindowsAuthenticationreferstotheSPNEGO Kerberos andNTLMSSPauthenticationprotocolswithrespecttoSSPIfunctionalityintroducedwiththeMicrosoftWindows2000operatingsystem NETPassportAuthenticationWindowsLiveID IIS认证配置界面 HTTPS实验演示 HTTPSCA Certificate IE SSL HTTP配置CA个人证书给IE服务器证书给IIS证书的其他应用 漏洞与补丁 update功能性更新vs 安全性更新IE7 WMPlayer11patcheshotfixservicepacksincomingxpsp3 vistasp1patchesforLinux Unix 这就是不装补丁的后果 发信人 at2011518 win7坏了 用回xp 顿觉天地间豁然开朗 信区 ITExpress标题 靠 昨晚4点多有人黑了我的电脑发信站 水木社区 FriMay411 02 512012 站内这就是不装补丁的后果啊 昨晚在下载东西 把我电脑的ip映射到了公网 结果就中招了 黑客在我电脑搞了个s扫描器的东西 但好像老是被我的诺顿杀毒软件删掉 于是它竟然把我的诺顿给卸载了 早上我想给刚下载的东西扫描一下病毒 才发现诺顿没了 于是看事件记录 才发现这些事 WUS Win9x共享漏洞分析 Vredir vxd doc Vista安全 UAC UserAccountControlItaimstoimprovethesecurityoftheoperatingsystembylimitingapplicationstostandarduserprivilegesuntilanadministratorauthorizesanincreaseinprivilegelevel Inthisway onlyapplicationsthattheusertrustsreceivehigherprivileges andmalwareiskeptfromreceivingtheprivilegesnecessarytocompromisetheoperatingsystem UAC TasksthatwilltriggeraUACprompt Right clickingandclicking Runasadministrator Changestofilesin SystemRoot or ProgramFiles Installinganduninstallingapplications Installingdevicedrivers InstallingActiveXcontrols ChangingsettingsforWindowsFirewall ChangingUACsettings ConfiguringWindowsUpdate Addingorremovinguseraccounts Changingauser saccounttype ConfiguringParentalControls RunningTaskScheduler Restoringbacked upsystemfiles Viewingorchanginganotheruser sfoldersandfiles BitLocker AnothersignificantnewfeatureisBitLockerDriveEncryption adataprotectiontechnologyincludedintheEnterpriseandUltimateeditionsofVistathatprovidesencryptionfortheentireoperatingsystemvolume BitlockercanworkinconjunctionwithaTrustedPlatformModulechip version1 2 thatisonacomputer smotherboard orwithaUSBkey BitLockerprovidesthreemodesofoperation ThefirsttwomodesrequireacryptographichardwarechipcalledaTrustedPlatformModule version1 2orlater andacompatibleBIOS Transparentoperationmode ThismodeexploitsthecapabilitiesoftheTPM1 2hardwaretoprovideforatransparentuserexperience theuserlogsontoWindowsVistaasnormal Userauthenticationmode Thismoderequiresthattheuserprovidesomeauthenticationtothepre bootenvironmentinordertobeabletoboottheOS ThefinalmodedoesnotrequireaTPMchip USBKey TheusermustinsertaUSBdevicethatcontainsastartupkeyintothecomputertobeabletoboottheprotectedOS NotethatthismoderequiresthattheBIOSontheprotectedmachinesupportsthereadingofUSBdevicesinthepre OSenvironment TrustedPlatformModule TheTPMspecificationistheworkoftheTrustedComputingGroup ThecurrentversionoftheTPMspecificationis1 2Revision103 publishedonJuly9 2007TCG TrustedComputingGroupsuccessortotheTrustedComputingPlatformAlliance TCPA isaninitiativestartedbyAMD Hewlett Packard IBM Infineon Intel Microsoft andSunMicrosystemstoimplementTrustedComputing TC TrustedComputingDigitalrightsmanagementProtectionfromvirusesandspywareIdentitytheftprotection IE7 IE7 snewsecurityandsafetyfeaturesincludeaphishingfilter IDNwithanti spoofingcapabilities andintegrationwithsystem wideparentalcontrols cipherstrength 256 bit OnlyforVista forXPonlysupports128 bit supportforExtendedValidationCertificates EV ProtectedMode availableinVistaonly wherebythebrowserrunsinasandboxwithevenlowerrightsthanalimiteduseraccount IE8 IE9 InternetExplorer9SecurityPart1 EnhancedMemoryProtectionsSecurityPart2 ProtectionfromSociallyEngineeredAttacksSecurityPart3 BrowseMoreSecurelywithPinnedSitesSecurityPart4 ProtectingConsumersfromMaliciousMixedContent IE10的安全特性 DEP NX IE8 GS编译选项 在运行时向应用程序的堆栈边界添加安全标记ASLR地址空间布局随机化技术在Vista中初次引入 并在Windows8中得到增强 ASLR在应用程序载入内存时为其分配随机的内存基地址 进程环境块 PEB 线程环境块 TEB 堆栈和堆等其他内存结构也将分配到内存中的随机位置 ForceASLR IE11 IE11ReducesUseofVulnerableRC4CipherSuiteTurningonTLS1 2byDefaultinterestingnewsecurityfeature supportfortheWebCryptoAPI aJavaScriptAPIforperformingbasiccryptographicfunctions FWinVista Aspartoftheredesignofthenetworkstack WindowsFirewallhasbeenupgradedwithnewsupportforfilteringbothincomingandoutgoingtraffic Advancedpacketfilterrulescanbecreatedwhichcangrantordenycommunicationstospecificservices Before域安全 Domain的元素 资源组织方式对象 主题subject对象 客体object对象间的逻辑关系访问access 读 写 执行 管理员和用户记录和日志 登录和凭证 对象标识安全token口令 口令衍生密钥 指纹 智能卡 usbkey 公钥 证书 私钥 资源和认证服务分开跨域认证和资源访问 Domainalike 文件共享smb文件共享samba文件共享NFS本机OS Windows 注册表 sam kerberos本机OS linux etc passwd网络域 AD kerberos ldap dns网络域 Linux kerberos 集群和云平台 Linux集群Windows集群云计算GAE AWS AzureSAEBAE WebService中的域机制 WSDLUDDISAMLXMLSig Sec 群件Groupware Collaborativesoftware OfficeOneNote SharePoint GrooveLotusDomino NotesExchangeserver outlookOA Windows 域安全 域控制器 activedirectory域成员 计算机 用户 域用户域用户 配置漫游 网络 主目录进阶 集群 做好网管 从使用Windows域开始 某电力公司的信息主管打电话过来问 有没有好一点的网管软件 现在机子多了 人手一机 问题越来越多了 相互猜密码的 丢资料的 丢账号的 系统整天崩溃的 在工位上玩游戏的 乱用打印机的 总之很乱 也不好管理 就算自己看见了 因为平时关系不错 也不好意思说 就是说了也起不到多大作用 我这个信息主管实在是有名无实啊 我听完以后十分感慨 微软的桌面系统进入中国市场这么久 竟然还有这么多人不知道Windows域服务才是管理桌面的利器 域控制器ActiveDirectory 建议使用 配置您的服务器向导 自动使用 local域名后缀或者使用 管理您的服务器 自己定义域名 DNS IP 假设本机的名字叫ad 域是 则这个地方貌似应该输入 该图中有误导 另外 建议在本机上安装dns服务 工作站 xp或win7 加入域 把xp的dnsip修改成域服务器的ip需要域管理员