计算机网络安全管理基本知识.doc

第1章 网络安全管理基础.网络协议定义：网络有许多互相连接的接点,在这些接点之间要不断的进行数据交换,要做到有序的交换数据,每个接点就必须遵守一些事先约定好的规则,这些规则明确规定了所交换的数据的格式以及相关的同步问题。三要素：语法；语义；同步。.网络的体系结构定义：计算机网络的各层及协议的集合。参考模型：OSI模型和TCP/IP模型。zOSI模型(国际标准化组织ISO的开放系统互联OSI参考模型)七层分层原则：根据功能的需要分层；每一层应当实现一个定义明确的功能；每一层功能的选择应当有利于制定国际标准化协议；各层界面的选择应当尽量减少通过接口的信息量；层数应足够多，以避免不同的功能混杂在同一层中；但也不能过多，否则体系结构会过于庞大。 OSI参考模型低到高依次是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。TCP/IP协议四层结构，低到高依次为网络接口层、网络层、传输层和应用层。.系统安全结构物理层信息安全.防止物理通路的损坏,物理通路的窃听,对物理通路的攻击。 数据链路层的网络安全需保证通过网络链路传送的数据不被窃听。主要采用划分VLAN、加密通讯等手段。网络层的安全需要保证网络只给授权的客户使用授权的服务，保证网络路由正确，避免被拦截或监听。 操作系统安全要求保证客户资料、操作系统访问控制的安全，同时能够对该操作系统上的应用进行审计。 应用平台指建立在网络系统之上的应用软件服务,常采用多种技术来增强应用平台的安全性。 应用系统完成网络系统的最终目的-为用户服务。 4.TCP/IP层次安全Internet层的安全性：优点是透明性,缺点是对不同进程与相应条例不加以区别.非常适合提供基于主机对主机的安全服务的；传输层的安全性：强化它的IPC界面. SSL协议包括SSL记录协议;握手协议。应用层的安全性：网络层(传输层)的安全协议允许为主机(进程)之间的数据通道增加安全属性。 .TCP/IP的服务安全WWW服务：基于超文本传输协议HTTP； 电子邮件服务； FTP服务和TFTP服务：都是用于传输文件的，但用的场合不同，安全程度也不同. TFTP服务用于局域网,无盘工作站启动时用于传输系统文件.全性极差。FTP服务对于局域网和广域网都可以,以用来下载任何类型的文件；Finger服务：用于查询用户的信息；也可以用来显示当前登录在机器上的所有用户名。 其它的服务：基于X-Window服务, 基于RPC的NFS服务，BSD Unix的以r开头的服务。 .个人网络安全注意问题：1.邮箱中标题不明邮件不能随便打开；2.在聊天室或BBS上不公开自己的IP、邮件地址等各人隐私；3.要经常更换自己计算机的密码。另外,不要当外人的面输入密码,密码够长；4.一般不要让计算机记住密码； 5.不要在自己的计算机上运行不明的程序。.局域网安全方法 网络分段：将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。1.物理分段：将网络从物理层和数据链路层上分为若干网段，各网段相互之间无法进行直接通讯。2.逻辑分段：将整个系统在网络层上进行分段。 以交换式集线器代替共享式集线器：以交换式集线器代替共享式集线器，使单播包仅在两个节点之间传送，从而防止非法侦听。 虚拟专用网VPN。.广域网的安全加密技术：基本思想是不依赖于网络中数据通道的安全性来实现网络系统的安全，而是通过对网络数据的加密来保障网络的安全可靠性。数据加密技术可分为：对称型加密、不对称型加密和不可逆加密。 VPN虚拟专网技术：核心是采用隧道技术，将企业专网的数据加密封装后，透过虚拟的公网隧道进行传输，从而防止敏感数据的被窃。享有较高的安全性、优先性、可靠性和可管理性，同时还为移动计算提供了可能。 身份认证技术：对拨号用户的身份进行验证并记录完备的登录日志。 .网络安全威胁安全漏洞：资源容易遭受攻击的位置。乘虚攻击：一个威胁通过利用您环境中的安全漏洞就可以访问到您的资源。攻击方法：1.利用技术漏洞型攻击(强力攻击;缓冲区溢出;错误配置;重放攻击;会话挟持)；2.信息收集(地址识别;操作系统识别;端口扫描;服务和应用程序探测;漏洞扫描;响应分析;用户枚举;文档研磨;无线泄露;社会工程)；3.物理损坏(物理破坏;资源删除;资源修改;资源饱和)。还有：操作系统/防火墙/内部网用的安全性；缺乏有效的手段监视、评估网络系统的安全性；采用的TCP/IP协议族软件本身缺乏安全性；未能对电子邮件挟带的病毒进行有效控制；应用服务的安全。.网络系统安全体系具备功能：1.访问控制；2.检查安全漏洞；3.攻击监控；4.加密通讯；5.认证；6.备份和恢复；7.多层防御；8.隐藏内部信息；9.设立安全监控中心。 .网络安全的攻击形式1.信息收集。 2.利用技术漏洞型攻击。 .网络安全的关键技术A.防电磁辐射；B.访问控制技术； C.安全鉴别技术：1.网络设备的鉴别；2.应用程序中的个人身份鉴别；3.远程拨号访问中心加密设备与远程加密设备的鉴别； 4.密码设备对用户的鉴别；D.权限控制； E.通信保密；F.数据完整性；G.实现身份鉴别可利用：1.数字签名机制；2.消息鉴别码；3.校验等；4.口令字；5.智能卡; 6.身份验证服务； H.安全审计：1.数据库/操作系统的审计；2.防火墙的进出数据审计；3.应用业务软件/平台的审计安全备份；I.病毒防范及系统安全备份；J.加密方法：公共密钥加密和专用密钥加密，后又出现了椭圆曲线密码学； K.网络的入侵检测(基于应用/主机技术/目的/网络/综合前4种的监控技术)和漏洞扫描(基于应用/主机技术/目的/网络/综合前4种的检测技术)；L.应用系统安全：总体思想是利用安全PC卡、PC安全插卡来实现所有应用的安全保密。 M.文件传送安全； N.邮件安全。.保证网络安全的措施防火墙：把内部网和外部网分隔，转发可信的分组的数据包，丢弃不可疑的数据包。 身份认证：是一致性验证的一种,包括验证依据、验证系统和安全要求 加密：通过对信息的重新组合，使得只有收发双方才能解码还原信息。用户使用同一个密钥加密和解码。数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术。 数字签名：密文和用来解码的密钥一起发送，而该密钥本身又被加密，还需要另一个密钥来解码的组合加密。内容检查。 存取控制：规定何种主体对何种客体具有何种操作权力。包括人员限制、数据标识、权限控制、控制类型和风险分析。 安全协议：安全协议的建立和完善是安全保密系统走上规范化、标准化道路的基本因素。一个较为完善的内部网和安全保密系统, 至少要实现加密机制、验证机制和保护机制。智能卡技术。 网络的安全策略纵深防御策略是可以保护资源免受外部和内部的威胁。纵深防御是以网络周边为起点，从外部路由器一直到资源子网中所在位置所有相关层面的保护。数据防御：使用加密文件服务EFS或第三方加密工具对数据进行加密及修改文件中的自由访问控制技术；应用程序防御：应用程序增强；主机防御：根据每台服务器所包含的上数据的分类和类型制订各自的策略；网络防御；周边防御；物理安全：1.采取物理措施保护办公楼的所有程序；2.要求客户到达时等级所有计算机设备；3.要求所有员工等级他们所拥有的任何便携式设备；4.数据存储设备搬走前对其登记；5.将服务器放在仅有管理员才允许进入的单独房间。网络攻击常用工具嗅探工具如Ethereal,它是开放源代码的软件。端口扫描常用工具是nmap。第二章加密技术. 信息安全特性：保密性；完整性；可用性；可控性。.密码算法定义：是一个函数变换，要加密的信息称为明文，经过以密钥为参数的函数加以转换。加密过程的输出，即密文。C = EK(P)，C代表密文，即加密后得到的字符序列，P代表明文,即需要加密的字符序列，Key表示密钥，是秘密选定的一个字符序列分类：对称加密算法；公钥加密算法；单项函数算法特点：传统密码算法的特点是加密和解密必须是同一密钥；现代密码算法将加密密钥与解密密钥区分开来，且由加密密钥事实上求不出解密密钥常用的：DES，RSA，IDEA，DSA。.密码学：加密和解码的技术。加密和解码的技术统称为密码学。原则是“一切秘密寓于密钥之中”，算法可以公开。.对称加密算法基本原理：加密和解密共用一把钥匙。最常用的方式是资料加密标准DES。DES算法：DES使用56位密钥对64位的数据块进行加密，并对64位的数据块进行16轮编码。与每轮编码时，一个48位的“每轮”密钥值由56位的完整密钥得出来。三重DES算法：用两个密钥对明文进行三次加密：用密钥1进行DES加密；用密钥2对步骤1的结果进行DES解密；对步骤2的结果使用密钥1进行DES加密。.不对称加密算法 定义：即公钥加密算法.用两对密钥:一个公共密钥和一个专用密钥。两者结合实现最佳性能,即用公共密钥技术在通信双方之间传送专用密钥,而用专用密钥对实际传输的数据加密解密。用途：数据加密；身份认证。常用：RSA、DSA。.RSA算法安全性：依赖于大数分解，但是否等同于大数分解一直未能得到理论上的证明，因为没有证明破解RSA就一定需要作大数分解。速度：使得RSA最快的情况也比DES慢上100倍，一般来说只用于少量数据加密。 选择密文攻击:公共模数攻击；小指数攻击。缺点：1.产生密钥很麻烦，受到素数产生技术的限制，因而难以做到一次一密。2.分组长度太大，运算代价很高，速度较慢，且长度增加，不利于数据格式的标准化。 实用性：基于RSA算法的公钥加密系统具有数据加密、数字签名、信息源识别及密钥交换等功能。RSA加密系统主要应用于智能IC卡和网络安全产品。.RSA算法和DES算法的比较DES算法加密,解密速度快,对数据量大,需要在网上传播的信息,用DES算法来加密和解密。对于数量小但非常重要的数据,数字签名和DES算法的密钥就要使用RSA算法进行加密和解密。.量子加密技术量子加密法是两个使用此加密算法的用户各自产生一个私有的随机数字符串。第一个用户向第二个用户的接受装置发送代表数字字符串的单个量子序列，接受装置从两个字符串中取出相匹配的比特值。这些匹特值就组成了密钥的基础。 .PKI公共密钥体系公钥的管理机制都采用PKI机制,它是由公开密钥技术,数字证书,证书发行机构CA和相关的公钥安全策略等组成。 A.认证机构CACA是证书的签发机构。构建密码服务系统的核心内容是如何实现密钥管理。公钥体制涉及到一对密钥，即私钥和公钥。B.加密标准： 对称加密算法：DES，TriplDES，RC2，RC4，CAST等。 非对称加密算法：RSA，DSA，DiffieHellman等。 散列算法：SHA1，MD5等。C.证书标准 通用的证书标准是X.509。 目录服务标准 是X.500及LDAP。D.数字证书证书的格式与证书发放：应具备的信息有：版本号、序列号、签名算法、发出该证书的认证机构、有效期限、主题信息、公钥信息以及认证机构的数字签名证书的管理：功能包括： 1.用户能方便地查找各种证书及已经撤销的证书。 2.能根据用户请求或其它相关信息撤销用户的证书。 3.能根据证书的有效期限自动地撤销证书。4.能完成证书数据库的备份工作。证书库是证书的集中存放地，是网上的一种公共信息库，用户可从此处获得其他用户的证书和公钥密钥备份及恢复系统：只能针对解密密钥，签名私钥不能够做备份。证书作废处理系统 证书的发放政策：是由发证机构根据自己的服务方式和管理方式来确定的。证书的发放方式：使用 Net-Pass智能卡时，在网上在线签发，卡的预制签发。证书的应用：1.使用S/MIME协议实现安全的电子邮件系统；2.使用SSL协议实现浏览器与Web服务器之间的安全通信；3.使用SET协议实现信用卡网上安全支付。 .智能卡概念：外形与普通的信用卡相同,内部有微处理器 CPU和可重写存储单元,并且有文件管理系统和保护算法。优点：1.把用户的重要信息，存放于智能卡中安全保管；2.加密处理可以在卡内完成，用于加密的个人密钥等信息是不允许从卡中读出的，从而最大限度地保障通讯的安全使用；3.每张智能卡存放的内容都是独特的，是不可替代的，具有代表使用者身份的意义，提供对操作安全的可管理性；4.方便携带,安全又方便。 第三章 Windows 2000网络 操作系统安全管理.Windows 2000安全特性体现方面：1.对Internet上的新型服务的支持,2.使用安全性框架,3.实现对Windows NT4.0的网络的支持安全特性：A.数据安全性:用户登录时的安全性；网络数据的保护；存储数据的保护。B.企业间通信的安全性。C.企业和因特网的单点安全登录。D.易用和良好扩展性的安全管理。Kerberos的验证机制：基于公钥技术。协议规定了客户机/密钥发布中心KDC/服务器三者之间获得和使用Kerberos票证进行通信规则和过程。加强了Windows 2000的安全性，使验证速度更快捷，可以建域信任以及在建立域信任的域中传递信任关系，有互操作性的优势。.Windows2000组策略种类：1.帐户密码策略；2.帐户帐户锁定策略；3.帐户Kerberos策略；4.本地审计策略；5.本地策略用户权限；6.本地策略安全选项；7.事件日志；8.受限制的组；9.系统服务；10.注册表；11.文件系统。配置设置存储位置：存储位置是GPO位于 Active Directory 中；安全模板文件位于本地文件系统中。安全模板：1.Basicwk.inf适用于Windows 2000 Professional。2.Basicsv.inf适用于Windows2000 Server。 3.Basicdc.inf适用于基于 Windows 2000 的域控制器。 4.Securedc.inf 和Hisecdc.inf适用于域控制器 。5.Securews.inf和 Hisecws.inf 适用于成员服务器和工作站组策略的实现：A.创建OU结构：步骤1.单击开始程序管理工具Active Directory 用户和计算机,打开活动目录.2.右键单击域名,选择新建,然后选择组织单位.3.键入成员服务器,然后单击确定.4.右键单击成员服务器,选择新建,然后选择组织单位.5，键入应用程序服务器,然后单击确定. 对文件和打印服务器、IIS 服务器和基础结构服务器重复第5步和第6步。 B.域级策略：创建另一个策略并将其链接到高于默认策略级别的位置；修改现有的默认策略。C.事件日志中的事件：类型(信息)；来源ID(SceCli)；时间ID(1704)；消息字符串。D.策略的验证：使用本地策略MMC验证策略；使用命令行工具验证策略。导入域控制器基准策略：1.在Active Directory用户和计算机中,右击域控制器,然后选择 属性 按钮；2.在组策略选项卡上，单击新建按钮以添加新的组策略对象；3.输入BaselineDC Policy,然后按Enter键;4.右击BaselineDC Policy,然后选择禁止替代选项；5.单击编辑按钮,展开Windows设置,右击安全设置,然后选择导入策略选项；6.在策略导入来源对话框中,浏览C:SecurityOpsTemplates,然后双击Baseline-DC.inf；7.关闭组策略选项卡,然后单击关闭按钮。8.完成后在域控制器之间强制进行复制,一边所有的域控制器都具有该策略。并在事件日志中验证策略是否已成功下载,并验证服务器能否与域中的其他域控制进行通信。再一次启动一个域控制器以确保它能成功重新启动。.成员服务器的基准组策略：1.审计策略2.安全选项3.注册表访问控制列表4.文件访问控制列表5.服务配置.加强内置账户的安全 两个内置帐户是 Guest来宾和 Administrator管理员。1.加强本地管理员帐户安全；2.加强服务帐户安全。.审计目标：是识别攻击者对你的网络所采取的操作。事件分类：成功事件和失败事件安全事件审计类别：A登录事件：登陆事件ID；利用附录时间中的日志进行安全检测。B帐户登录事件：账号登陆事件ID；使用账号登陆事件ID诊断安全事件。C对象访问：对象访问控制项ACE(ACE包含信息：要对其进行审计的安全主体;要审计的特定访问类型，称为“访问掩码”;一个指示要审计失败访问、成功访问还是两种访问都审计的标志)；审计对象访问事件ID。D目录服务访问 E特权使用：特权使用事件ID；通过特权使用事件ID诊断安全事 (不在审计内：绕过遍历检查;调试程序;创建令牌对象;替换进程级别的令牌;生成安全审计;备份文件和目录;还原文件和目录)F进程跟踪 G系统事件(系统事件ID；通过系统事件ID捕获安全方面的信息) H策略更改(策略更改事件ID；使用策略更改事件ID检测事件) I账号管理：账号管理时间ID；使用账号管理事件ID诊断安全事件。J第三方面应用程序：服务控制；Netsvc.exe；SvcMon.exe；Drivers.exe.入侵检测扫描端口：Netstat.exe 是一种命令行实用工具，可以显示 TCP 和 UDP 的所有打开的端口。Netstat 命令的语法格式 ： NETSTAT -a -e -n -s -p协议 -r 间隔 。通过事件查看器中的筛选器：被动式检测方法；事件查看器；在时间查看其中定义筛选器Dump Event Log Tool（转储事件日志工具：dumpel.exe 工具使用下面的语法 ： Dumpel f文件名 -s 服务器 -l日志 -m源 -e n1 n2 n3.-r -t -d x。 ISA Server 的侵入检测功能：所有端口扫描；IP 半扫描；陆地攻击；死亡之 Ping；UDP 炸弹；Windows 带外。.修补程序Hfnetchk修复程序检查器，是一个命令行实用工具,检查服务器上是否具有所有的安全修补程序,并可以在微软站点上下载最新的即时修复程序列表。该命令格式 ： Hfnetchk 开关。第四章Windows Server 2003的安全管理.TIS：信任安全架构。包括：身份验证；授权与访问控制；审核与记账；密码管理；安全管理,包括鉴别与安全策略。(识别验证授权审核).Windows Server 2003新安全机制/功能：除了2000的安全机制外,内置了TSI架构,还增加了：1.授权管理器；2.存储用户名和密码;3.软件限制策略;4.证书颁发机构;5.受限委派;6.有效权限工具;7.Everyone成员身份;8.基于操作的审核;9.重新应用安全默认值;10.加密文件系统EFS。身份验证：A重要功能是它启用对所有网络资源的单一登录。B四种验证：某个具体内容,某个具体的设备;某种特征;某个位置。C操作系统的验证机制体现：支持的验证方法的数量；方法的强度；验证信息是否集成到所有安全操作中。.交互验证与网络验证。.Kerberos V5：重要服务：密钥发行中心KDC，KDC存储了所有客户端密码和其他账户信息。Kerberos验证：基于对称密钥加密,其中Kerberos KDC提供了票证的认证, Kerberos票证提供了回话密钥的安全传输, Kerberos KDB分部会话密钥给需要的客户端。身份验证优点：使用独特的票证系统并提供更快的身份验证；是交互式验证；是开放的标准；支持委托验证；支持智能卡网络登了的验证；身份验证工作过程：客户端系统上的用户使用密码或智能卡向KDC进行身份验证；KDC为此客户颁发一个特别的票证授予式票证；TGS接着向客户本法服务票证；客户向请求的网络服务出示服务票证。5项Kerberos策略：服务票证最长寿命；计算机时钟同步的最大容差；强制用户登录限制；用户票证续订最长寿命；用户票证最长寿命。6.存储用户名和密码强密码：在Windows Server 2003中使用。强密码规则：长度至少有七个字符；不包含用户名,真实姓名或公司名称；不包含完整的字典词汇；与先前的密码大不相同,递增密码不能算作强密码；包括全部下列字符类型:组,大写字母,小写字母,数字,键盘上的符号。.Windows Server 2003的授权SRM安全参考监视器：是运行于Windows操作系统内核模式中的具有特权的安全组件,它检验所有来自用户端访问资源的请求。授权基础：访问控制的双方的关系为一方要访问资源,灵一方要控制用户的访问,则需要SRM。授权不仅处理平常所理解的访问控制,还能空值对操作系统的进程和线程的访问。授权还可以执行一些相关任务。受限的默认授权集：1.NTFS根目录的权限受限更严,非管理员在此目录中既不能写也不能修改任何由其他用户创建的文件；2.默认共享权限限制更严；控制台应用限制更严；4.匿名账户不再属于Everyone组；5.事件日志的安全增强。增加的有限权限表：操作过程：打开资源管理器,选择相应的文件或文件夹,然后右击,在弹出的快捷菜单中选择”共享与安全”命令,然后单击”安全”按钮,出现相关用户的权限,然后单击高级按钮,就会看到有效权限表。重要概念：A访问令牌：与用户登录会话链接,当每个用户登录系统时,产生。产生令牌的组件是本地安全认证机构LSA。令牌包含用户的授权信息和用户本地授权信息。B访问掩码。；D用户账户模拟。C安全描述符：对象方的授权属性,给授权系统提供授权的信息。包含访问控制列表集ACL。ACL由多个访问控制实体ACE组成。.访问控制定义：是ACE与安全标识符SID链接来确定用户的访问权限,即可以指定读取,修改或者复制特定的系统对象的权限。Windows提供的两种形式：对象许可和系统范围用户权利。级别,级别模型：1.托管访问控制要求进行集中的授权以决定对某人什么是可以访问的,数据所有者和创建者不可以修改访问控制；2.自由选择访问控制允许对象的所有者定义和修改分配给对象的访问控制；3.基于角色的访问控制,允许给用户分配角色,然后对角色应用访问规则。这样可简化访问规则的管理并且可以提供更高的一致性；4.操作系统支持的访问控制可以根据可使用的粒度,用来强化控制的机制强度,以及集成到系统管理机制的程度。.系统ACL：包括对象审核集,由管理员设定的,是非自主的。与对象的所有者没有任何关系。系统访问控制列表是对对象级上的审核。. WindowsServer2003的模拟级：匿名、识别、模拟、委托。 . 默认活动目录AD安全描述符的改变：操作过程：1.选择”开始运行”命令,在”运行”对话框的打开下拉列表框中输入regsvr32 schmmgmt.dll,然后单击”确定”按钮,将会弹出注册成功的对话框,单击确定按钮；2.建立活动目录架构NMC管理单元,选择”开始运行”命令,在”运行”对话框中的”打开”下拉列表框中输入mmc,启动控制台；3.单击控制台中的”文件”菜单,选择”添加/删除管理单元”命令,在打开的对话框中单击”添加”按钮,在列表框中选择Active Directory架构选项,然后单击确定按钮；4.展开类别,为相应的类更改默认的安全性。对象的配额：有助于域控制器抵御拒绝服务攻击。.授权管理器资源管理器RM：管理自身的对象集,并使用安全描述符来保护这些对象。RBAC：角色的访问机制。定义：授权管理器AzMan：处于核心位置,基于角色的访问控制是由授权管理器完成的。组成：运行库和管理UI。模式：开发人员模式;管理员模式.WindowsServer2003安全策略：1.用户帐号和用户密码2.域名管理3.用户组权限4.共享资源的权限；安全性：A通过用户帐号、密码、用户组方式登录到服务器：在服务器允许的权限内对资源进行访问、操作。这种方式的可控制性较强，可以针对不同的用户；B在局部范围内通过资源共享的形式登录网络：这种方式建立在NETBIOS的基础之上对共享的访问不能经过路由器,范围被限制在一个子网范围内，在使用的灵活性上受到限制，通过对共享资源的共享权限的控制达到安全保护；C在网络中通过TCP/IP协议对服务器进行访问：安全隐患：1. Windows Server 2003本身有可能存在Bug,一旦被发现,可能造成损失;2.犹豫网络庞大,使通过因特网访问某个国家的加密成为可能, 假如在编写网络操作系统的同时,为以后通过TCP/IP入侵留下隐藏的人为的漏洞。安全措施：1.设置用户账号；2.设置必要的WWW目录访问权限；3.通过IP抵制控制访问权限；4.使用SSL保护数据在网络中的传输。评估责任的两个指标：2.机制用来分配责任的强度。2.操作系统基于这个信息进行决策的能力。.域定义：指网络服务器和其他计算机的逻辑分组，凡是在共享域范围内的用户都使用公共的安全机制和永和账号信息.每个用户有一个账号,每次登陆的是整个域,而不是服务器。最大优点：域中的控制器服务器形成了共享的安全机制和用户账号信息的单个管理单元,大大节省了管理员及用户的精力和时间,在管理上较方便,也显得集中。.存取标识的主要内容：用户名及SID；用户所属的组及组SID；用户对系统所具有的权利.NTFS文件系统的安全性：很强。体现在：除非用户拥有必要的权限,否则不能访问NTFS的文件；NTFS将所有的文件和目录都看成是对象,并为它们设置权限,还具有审计能力；为NTFS设置安全性包括为NTFS上的文件或目录设置权限。 .2003组策略用户账户策略A密码策略的功能：强制密码历史；密码最长使用期限；密码最短使用期限；密码长度最小值；密码必须符合复杂性要求；用可还原的加密来存储密码。B账户锁定策略：指在某些情况下为保护该账户的安全而将此账户进行锁定,使其在一定的时间内不能再次使用.审核策略：评估审核能力的原则：支持的安全相关事件的宽度和深度；可以用来保护和审核总计的机制强度；对处理大量由操作系统产生的审核数据的支持。用户权利；事件日志。.安全分区：每一个系统实体被分配成一个安全分区,或者叫做域。一个安全域是一个了逻辑结构,由实体被授权访问的所有对象组成。一个用户域也许包括存储空间、I/O设备、应用程序,以及其他元素。强制域分离的操作系统机制的效力基于限制对授权域外访问的机制的强度。Server2003通过维护进程间的地址分离提供了进程孤立。实体间的所有访问和通信都通过仲裁接口。该仲裁是内核提供的,在一个用户编程不能使用的保护地址空间中操作。安全参考模块：所有的内核功能包含在一个单一的模块中。Server2003在分配系统缓冲给一个用户之前会清除该缓冲,并且维护一个文件使用指针以防止文件块的重用。可以防止用户之间的不可预测的信息流。也可以防止攻击者读取其他用户的应用程序留下的信息。2003安全管理采用的对策：物理安全管理：1.去掉或 锁死软盘驱动器；2.在服务器上设置系统启动口令；3.不创建任何DOS分区；4.保证机房的物理安全；5.磁盘权限设置。及时更新补丁避免给用户定义特定的访问控制实施账号及口令策略：1.选择口令要注意：登录名称中间符不要次重复；2.至少包含两个字母字符和一个非字母字符；3.至少有6个字符长度；4.不要用用户的姓名等易猜的字符组合；5.要求用户定期更改口令；6.给系统的默认用户改名并设置复杂密码；7.不要使用无口令的账号；8.禁用Guest账号；9.设置账号锁定。控制远程访问服务启动审核功能：要审核的项目：1.登录事件；2.账户登录事件；3.系统事件；4.策略更改；5.对象访问；6.目录服务访问；7.特权使用。确保注册表安全：1.取消或限制对regedit.exe、regedit32.exe的访问；2.利用regedit.ex或文件管理器设置只允许管理员访问注册表,其他任何用户不得访问注册表。应用系统的安全取消TCP/IP上的NetBIOS绑定： 1.单击开始，选择连接到，然后打开所有连接，在本地连接处右击，在弹出的快捷键菜单中选择属性命令，进入属性对话框，然后去掉Microsoft网络的文件和打印机共享前面的选中标记；2.双击Internet协议，单击高级按钮，然后选择WINS选项卡，选中禁用TCP/IP上的NetBIOS单选按钮，这样就禁足了TCP/IP上的NetBIOS绑定。Internet Explorer增强的安全配置11.清楚默认共享隐患12.禁用IPC连接：IPC$是共享命名管道的资源，是为了让及城建通信而开放的命名管道。特点是在同一时间内，两个IP之间只允许建立一个连接。13.清空远程可访问的注册表路径：操作：打开组策略编辑器，展开计算机配置Windows设置安全设置本地策略安全选项，在右侧窗口中找到网络访问：可远程访问的注册表路径，然后在打开的窗口中，将可远程访问的注册表路径和子路径内容全部设置为空即可。14.禁止不必要的服务,杜绝隐患安全工具：Nbtstat实用命令：格式：Nbtstat-aRemoteName-AIP_address-c-n-R-r-S-siNTerval。Netview：命令：c:netview远程主机的IP地址UsersatGlobal：与Lmhosts/IPC映射一起使用的。local工具：向机器查询本地群组的成员，而不是全局群组的成员。NetDom工具：是一个向服务器查询它在域中的角色以及向机器查询其PDC的工具。与Lmhosts/IPC映射协同工作。NetWatch工具：是一个向调用该工具的用户提供远程机上的共享列表的工具。同样这个工具也能与Lmhosts/IPC映射一起使用。这个工具的缺点是，人们能够利用该工具来索远程机上的隐藏共享列表.Netusex：是一个能映射到远程共享的一个攻击性命令,格式:：c:netusex:inetpub第5章 Linux网络操作系统的安全管理TCSEC定义：DoD可信计算机系统评估标准。TCSEC(TDI)将系统划分为四组七个等级,依次是D；C(C1，C2)；B(B1，B2，B3)；A(A1),安全级别从左至右逐步提高,各级之间向下兼容,也就是说高级别必须拥有低级别的一切特性.D级的定义最低,没有任何安全性,可以随便破坏系统,不会限制.C2类是安全性系统的基本要求,也是绝大部分系统的标准要求。C1/C2的要求1.身份认证；2.系统的资源被归于便不同的所有者,对这些资源的访问必须验证用户权限；3.系统要对用户的行动进行记录。身份认证: 身份认证是用户进入系统的第一步.身份认证系统最基本的实现是Linux login程序,不过其他各种应用程序也一样要通过身份认证来确定用户身份。Shadow身份认证体系：最基本的由口令验证构成.简单却带来麻烦。口令的验证：1.系统记录用户的原始口令,并将其加密保存在系统中,口令原文则被丢弃2.当用户登录系统的时候,输入口令,系统用同样的加密算法将用户输入的口令转换成密文3.比较保存的密文和现在得到的密文,如果相同,允许用户登录系统。PAM身份认证体系：Linux系统从Sun引入了可插拔认证模块PAM系统。只有在程序编写时选择了PAM库支持的时候,才能使用PAM认证。可以在一个PAM认证过程中使用多种认证模块，后面的认证过程的执行依赖于前面的认证模块结果,还可以随时加入新的模块。 PAM系统的配置文件,可分为/etc/pam.conf文件和/etc/pam.d/目录两种方式。Linux的基本用户隔离和存取授权功能是用文件权限实现的,使用标准的UNIX文件权限体系：每个文件有一个属主用户和一个属主程序组,除此之外的用户都作为其它用户。每个文件存在三种存取权限：用户存取权限,组存取权限和其他用户的存取权限。超级用户权限：权限体系有一个基本的例外,即超级用户root。超级用户就是uid=0的用户。只要设置其uid为0。 suid机制：是在权限组中增加suid/sgid位,凡是suid位被置位的文件,当它被执行的时候,自动获得文件属主的uid,sgid被置位的话,自动获得文件属组的gid.不过实际上用sgid的很少,主要还是用suid,为了安全,尽量少用suid功能,并且定期检查系统上有没有来源不明的suid程序,特别是绝对不要写一个suid的shell脚本。超级用户和suid/sgid机制的存在,是UNIX/Linux体系设计上的一个弱点。 存储空间安全：定义：指的是内存以及外存储设备的安全,包括越过文件系统直接访问裸设备的保护。内存安全性分两部分：一个是禁止内存中的重要数据被窥探到,另一个是保证进程不去执行非法指令,后者是很大一类攻击与保护技术的核心内容。基本的溢出攻击方式：A堆栈溢出：最重要的缓冲区溢出攻击手段,它的思路是利用堆栈返回地址。堆栈是一段内存空间,一个程序执行的时候,内存可分成代码、数据段和堆栈段：代码段（内存低端）数据段堆栈段（内存高端）数据段存放着程序的静态数据,而动态数据则从堆栈中分配,分配过程是从低端到高端。函数使用的参数和返回地址则用堆栈高端存放。缓冲区是在堆栈底部,溢出程序只要溢出足够多的数据,就可以修改位于内存高端的堆栈返回地址,当函数返回的时候,就会跑到溢出者设定的返回点。假如那里放着执行shell命令的代码,攻击者就拿到了一个shell。如果这个进程是个root进程,攻击就成功了。 B函数指针：C语言可以定义函数指针,执行某个地址上的任何函数。这个指针可以指向任何地址空间,攻击者可以用缓冲区溢出的办法改写指针内容,指向自己准备的shell代码,当程序执行到调用函数指针的部分的时候,攻击者就取得了控制权。 C长跳转点：是一个C语言的非结构化跳转系统,它允许程序员设定一个跳转点,然后可以从任何函数内部直接跳入这个跳转点。这个功能的存在主要是为了处理程序事故,跳转点可以指向任何地址,从而如果setjmp设定的跳转点被攻击者修改,当激活longjmp函数的时候,就会跳向攻击者设定的地址。 溢出攻击解决方案：1.补丁；2.编写程序；3.提升安全级4.利用文件系统和硬盘分区；5.chroot。数据的加密对数据进行加密：部分原因是交换数据的需要。MD5：最常用的单向算法是MD5，相应的程序实现在Linux中就是md5sum校验程序，它可以为一个文件生成md5校验和。非单项的加密算法可以分成：.对称算法；非对称算法。PGP：基本思路：1.B和A各生成一对密匙.2.通过一个可信的机构,交换自己的公用密匙.3.如果B想要向A发送自己的信息先要用md5算法计算出整个信息的校验和.4.然后用自己的私用密匙加密这个校验和并且附加在整个信息后面5.用A的公开密匙加密得到的全部数据,发送给A.6.而当A接收到这个数据的时候,先用自己的私用密匙解开密文,得到原文和加密后的校验和7.再用B的公匙解密校验和8最后重新计算校验和，判断信息是否被修改过。这个算法加密解密速度一般是很慢的 PGP采用一个折衷的办法：对信息加密采用的是一个名叫IDEAL的算法。IDEAL：是一个传统的单密匙对称算法,其计算速度很快。PGP首先产生一个随机密码；然后用这个密码作为密匙对信息进行IDEAL加密；接下来,用RSA算法对密码进行加密。解密的时候,接收方是先用RSA算法得出随机密码,然后用IDEAL算法对信息进行解密得出源信息。 B1安全级强化：将系统的敏感任务分别划给不同的用户，取消全能的root账户的存在，避免不同的安全问题纠缠在一起。这样即使攻击者进入系统，也无法危害系统的安全性。实现这种功能的最简单方法是将系统安全性提升到B级，这样，可以在很大程度上减少系统中的安全隐患。实现这种功能,需要修改Linux的系统内核,目前,这种修改都是以补丁的方式发行的。LIDS：Linux入侵检测系统,并不是一个“入侵监测系统”,而是一个安全性补丁,它可以实现下列的功能：1.入侵防护(它可以对系统中重要的文件、进程和设备进行保护，保证这些对象不会被入侵者操纵)；2.入侵检测(LIDS可以提供对于端口扫描的检测)；3.入侵响应(当发现系统受到攻击之后，它可以将必要的信息记录到日志文件中).入侵防护是最重要的功能。这是通过修改系统核心调用open()，mknod()和unlink()等的代码来实现的。授权规则由主体subject,客体object和授权构成,主体是发起操作的程序,客体是它准备操作的目标,而授权则是由DENY/READ/APPEND/WRITE/IGNORE几个级别构成的。日志：定义：是对系统行为的记录。操作系统维护三个基本的日志： A连接时间日志:(用来记录用户的登录信息，这是最基本的日志系统，管理员可以利用它来跟踪谁在什么时候进入了系统)。 B进程记账日志:(用来记录系统中执行的进程信息)。 C syslog日志:(并不由系统内核维护,而是由syslogd或者其它一些相关程序完成,它是各种程序对运行中发生的事件的描述)。 网络接口层网络接口/物理层的主要问题：这两层完成的任务是将数据转化成物理的网络帧并且在电气连接上传递。这两层的主要问题，在于具体的硬件特性。最主要的连接产品是以太网。以太网的结构非常简单：许多网络接口卡NIC被电缆和集线器连接在一起。当某一台机器准备发送数据的时候，它首先根据电缆电平判断一下当前是否有其它网卡在工作，如果没有，就开始发送一段数据，然后暂停一下，再重复上述操作。嗅探器：用一个正确设计的程序就可以监听别人发送的信息。典型的有tcpdump和sniffit。SSL：监听的主要目的是了解对方传输的信息内容，特别是对于www/mail/ftp/telnet等协议，其中很多东西是简单文本传输。解决问题最基本的思路是将要传输的数据加密，然后再送入TCP/IP，这样即使窃听者听到了所有的信息，它仍然无法解读这些信息到底是什么。这种思路的基本框架和前面讨论的PGP系统很类似，首先要实现一个交换证书的体系，用来证明你访问的目标和你自身的身份是可靠的。目前这方面已经有了一个标准框架，称为PKI。然后，传输的数据使用数据加密和数字签名，保证传输信息的可靠性和可信性。由于大部分网络上数据的传输是通过http协议完成的，而这个协议也最容易受到监听，所以netscape发明了一个称为SSL安全套接层协议的协议来强化http的安全性，它实际是基于socket的，安装在传输层和应用层之间，可以提供数据的加密传输。不过，它并不包含数据签名功能，后者需要浏览器另外实现。利用SSL进行www传输的协议有个专门的名字，叫做https。SSL一共有三个版本。 SSH：是用来解决TELNET/FTP协议安全性的工具,支持两种协议：ssh和sftpSSH协议两个版本： ssh1和ssh2,两者的功能基本是一样的,不过算法不兼容。都提供两种级别的安全验证：第一种是基于口令的安全验证，也就是一个加密传输的telnet。所有传输的数据都会被加密，只要你给出用户名和口令，就可以连接到系统，其它方面也和telnet完全一样。第二种是基于密匙的安全验证。你需要准备一对密匙，如果你要连接到ssh服务器上，客户端软件就会向服务器发出请求，请求用你的密匙进行安全验证。服务器收到请求之后，先在你在该服务器的主目录下寻找你的公用密匙，然后把它和你发送过来的公用密匙进行比较。如果两个密匙一致，服务器就用公用密匙加密“质询”并把它发送给客户端软件。客户端软件收到“质询”之后就可以用你的私人密匙解密再把它发送给服务器。用这种方式不需要在网络上传送口令。无论如何，ssh保证了telnet命令的加密传输，除此之外，ssh还支持scp命令： scp 本地文件 远程账号远程主机名。VPN：虚拟专用网,定义为通过一个公用网络建立一个临时的、安全的连接。它在Internet的一些机器之间建立一个虚拟连接,从而这些机器看上去就像是处在一个独立的网络中,其他系统无法加入。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接,并保证数据的安全传输。功能：加密数据；信息认证和身份认证；提供访问控制。实现VON技术的标准协议：Microsoft的点对点隧道协议PPTP和IETF的因特网安全协议IPsec和NEC的socks5.。网络层ARP：即地址解析协议,用来在一个局部网内找到和某个IP地址对应的机器,以太网的ARP问题,即由IP地址找到对应的MAC地址,这是通过广播-应答技术实现的。ICMP重定向：TCP/IP协议系统中,为了能够判断远程主机的可达性和活动状态,定义了一个名叫ICMP的协议的协议,即网间报文控制协议,它是IP协议的附属协议,IP层用它来与其他主机或路由器交换错误报文和其他重要控制信息。ICMP报文是在IP数据报内部被传输的,主要用来对系统中的错误进行分析和控制。ICMP协议本身并不复杂,常用的ping命令就是使用发送一个ICMP echo报文检查回应的方式来工作的。大部分机器都会回应ICMP报文,从而可以用ping命令检查它的活动状态。许多系统对ICMP包规定了一个尺寸上限,一般是在64KB左右。当操作系统接收到ICMP报文的时候,需要按照报文标题中的尺寸信息来分配TCP/IP缓冲区,如果接收到一个错误或者畸形的ICMP报文,其中的尺寸信息是错误的,即Ping of Death攻击。IGMP组播：处于实验阶段的协议,提供Internet网际多点传送的功能,即将一个IP包的拷贝传给多个目标主机。客户机器接收到IGMP消息的话,标准