资料课件讲义67256

1、操作系统安全北京神州祥升软件课程内容操作系统安全概述Windows系统安全机制操作系统操作系统安全Linux系统安全机制安全操作系统知识体知识域知识子域知识域：操作系统安全 知识子域：操作系统安全概念 了解操作系统的作用与功能 了解操作系统的主要安全设计机制 理解操作系统的安全配置要点操作系统的功能 用户与计算机硬件之间的接口 操作系统为用户提供了虚拟计算机，把硬件的复杂性与用户隔离 计算机系统的资源管理者CPU管理 存储管理 设备管理 文件管理 网络与通信管理 用户接口用户进程系统调用接口内核硬件：CPU、内存、硬盘、网络硬件等操作系统安全目标 操作系统安全目标 标识系统中的用户和进行身份鉴

2、别 依据系统安全策略对用户的操作进行访问控制，防止用户和外来入侵者对计算机资源的非法访问 监督系统运行的安全性 保证系统自身的安全和完整性操作系统安全机制（一） 标识与鉴别 用户身份 操作系统登录 访问控制鉴别 防止对资源的非法使用 限制访问主体对访问客体的访问权限 DAC、MAC、RBAC 最小管理 限制、分割用户、进程对系统资源的访问权限 “必不可少的”权限操作系统安全机制（二） 信道保护 正常信道的保护 可信通路（Trusted Path） 安全键（SAK）操作系统安全机制（三） 安全审计 对系统中有关安全的活动进行记录、检查以及审核 审计一般是一个独立的过程 内存存取保护 进程间/系统

3、进程内存保护 段式保护、页式保护和段页式保护 文件系统保护 分区 文件共享 文件备份知识域：操作系统安全 知识子域：Windows系统安全机制 理解Windows系统标识与鉴别、访问控制、用户账户控制、安全审计、文件系统的安全机制和安全策略 掌握Windows系统的安全配置方法Windows系统标识与鉴别-安全主体 安全主体类型 用户帐户 本地用户 域用户 组帐户 everyone组 network组 计算机 服务Windows系统标识与鉴别-安全标识 安全标识符（Security Identifier，SID）安全主体的代表（标识用户、组和计算机账户的唯一编码）范 例 ：S-1-5-21-1

4、736401710-1141508419-1540318053- 1000Windows系统标识与鉴别-用户鉴别v 账户信息管理机制v 登录验证 本地登录验证 远程登录验证Windows用户身份鉴别 帐号信息存储（SAM:安全账号管理） 运行期锁定、存储格式加密 仅对system帐号有权限，通过服务进行访问控制 Windows用户身份鉴别：本地登录 GINA（Graphical Identification and Authentication:图形化识别和验证) LSA（Local Security Authority：本地安全授权）SAM账户信息库LSAGINAWindows系统身份鉴别：

5、远程登录 远程登录鉴别协议 SMB（Server Message Block）:口令明文传输 LM（LAN Manager）：口令哈希传输，强度低 NTLM（NT LAN Manager）：提高口令散列加密强度、挑战/响应机制 Kerberos：为分布网络提供单一身份验证Windows系统访问控制-ACL 访问控制列表（Access Control List，ACL） NTFS文件系统支持 权限存储流文件系统中 自主访问控制 灵活性高，安全性不高Windows系统访问控制-用户账户控制 用户帐户控制（User Account Control，UAC） 完全访问令牌 标准受限访问令牌Window

6、s文件系统安全 NTFS文件系统权限控制（ACL） 文件、文件夹、注册表键值、打印机等对象 安全加密 EFS(EFS(Encrypting File System )Windows内置，与文件系统高度集成对windows用户透明对称与非对称算法结合 Bitlocker 对整个操作系统卷加密 解决设备物理丢失安全问题Windows系统审计机制 Windows日志 系统 应用程序 安全 设置 应用程序和服务日志 应用访问日志 FTP访问日志 IIS访问日志Windows系统安全策略 账户策略策略账户锁定策略 本地策略 审核策略 用户权限分配 安全选项 Windows系统安全配置 1安全配置前置工作

7、 2账号安全设置 3关闭自动播放 4远程访问控制 5本地安全策略 6服务运行安全设置 7使用第三方安全增强软件Windows安全设置1-前置工作 安全的安装 分区设置：不要只使用一个分区 系统补丁：SP+Hotfix 补丁更新设置： 检查更新 自动下载安装或手动Windows安全配置2-账号安全设置 账号安全设置 系统账号策略设置 账号安全选项设置账号安全设置-保护账号安全 默认管理账户administrator更名 设置“好”的口令 自己容易记、别人不好猜 不安全口令实例：ZAQ!WSXzaq12wsx 安全口令实例: WdSrS1Y28r!WdSrS1Y28r!一句话“我的生日是1月28日

8、!”Wdsrs1y28r稍作变形：单数字母大写，最后加个感叹号账号安全设置-系统账号策略策略：避免系统出现弱口令必须符合复杂性要求长度最小值 最短使用期限最长使用期限强制历史用可还原的加密来存储账号安全设置-账号锁定策略 账号锁定策略：应对口令暴力破解 账号锁定时间 账号锁定阀值 重置账号锁定计数器账号权限控制-用户权限分配 用户权限分配 从网络访问这台计算机 拒绝从网络访问这台计算机 管理审核和安全日志 从远程系统强制关机账户权限控制-设置唤醒 设置唤醒计算机时的登录 设置屏幕保护恢复时的登录Windows安全配置3-自动播放功能的威胁 为方便用户而设计 恶意代码借助移动存储介质传播的方式W

9、indows安全配置-关闭自动播放 关闭自动播放功能可以有效阻断U盘病毒的传播路径Windows全配置4-远程访问控制 网络访问控制 共享安全防护网络访问控制-设置 确保启用Windows自带网络访问控制-高级配置 出站规则 入站规则 连接安全规则 监视 连接安全规则 安全关联共享安全防护-共享安全风险 IPC$的安全问题（空会话连接导致信息泄露） 管理共享风险(远程文件操作) 普通共享的风险（远程文件操作）系统用户列表用户信息 共享列表空会话连接共享安全防护-关闭管理共享 空会话连接控制本地安全策略设置中对访问的限制 关闭管理共享：修改注册表HKEY_LOCAL_MACHINESystemC

10、urrentControlSetServicesLanmanServerParametersWindows安全设置5-本地安全策略 审核策略 用户权限分配 安全选项 本地安全策略-安全选项 管理工具本地安全策略安全设置本地策略安全选项 交互式登录：无须按Ctrl+Alt+Del，设置为已禁用 交互式登录：不显示最后的用户名，设置为已启用 设备：将CD-ROM 的访问权限仅限于本地登录的用户，设置为已启用本地安全策略-安全选项 管理工具本地安全策略安全设置本地策略安全选项网络访问：不允许SAM账号的枚举，设置为已启用 网络访问：可 网络访问：可访问的共享，删除策略设置里的值访问的命名管道，删除策

11、略设置里的值网络访问：可远程访问的注册表路径，删除策略设置里的值Windows安全配置6-服务运行安全 Windows服务（windows service)Windows服务程序是一个长时间运行的可执行程序，不需要用户的交互，也不需要用户登录服务运行安全设置-关闭不必要的服务 关闭不需要的服务计划任务远程操作注册表务权限System(本地系统) Local ServiceNetwork Service 控Windows安全配置7-第三方安全软件 防病毒软件 安全防护软件安装防病毒软件 安装病毒防护软件 恶意代码是终端安全的最大威胁 确保病毒防护软件病毒库更新 病毒防护软件主要工作机制：特征码扫

12、描 开启云查杀系统安全防护软件 系统安全保护软件系统 主机入侵检测知识域：操作系统安全v 知识子域：Linux系统安全机制 掌握Linux系统的安全配置方法Linux系统标识与鉴别-安全主体 安全主体 用户：身份标识（User ID） 组：身份标识（Group ID） 用户与组基本概念 文件必须有所有者 用户必须属于某个或多个组 用户与组的关系灵活（一对多、多对多等都可以） 根用户拥有所有权限Linux系统标识与鉴别-帐号信息存储 信息存储 用户信息： /etc/passwd /etc/shadow 组信息 /etc/group /etc/gshadow用户信息文件-passwd 用于存放用户

13、信息（早期包括使用不可逆DES算法加密形成用户 特点 文本格式 全局可读散列）早期：X用:代用户用替户散列登信录息ID后使用户散组目列录的shell*:账号不可交互登录 存储条目格式name:coded-passwd:UID:GID:userinfo:homedirectory:shell 条目例子demo:x:523:100:J.demo:/home/demo:/bh用户帐号文件-shadow 用于存放用户 特点 文本格式 仅对root可读可写 存储条目格式散列、管理信息等口令两次修改最用户上登次录修口名改令被及口失禁帐加令效止号日前登被多录保禁少前留止还域登录小天天数向及用最户大警时天告间

14、密的用户期口令有效天数数name:passwd:lastchg:min:max:warn:inactive:expire:flag 条目例子#root:$1$acQMceF9:13402:0:99999:7:Linux系统身份鉴别 口令鉴别 本地登录 远程登录（telnet、FTP等） 主机信任（基于证书） PAM（Pluggable Authentication Modules,可插拔验证模块）S/keyKerberosLinuxPAMAPIPAMSPISSHtelnetloginLinux系统访问控制-权限模式 文件/目录权限基本概念 权限类型：读、写、执行 权限表示方式：模式位drwxr

15、-xr-x3 root root 1024 Sep 13 11:58test文件名最后修改时间文件大小文件拥有者GID文件拥有者UID链接数系统中其他用户权限（O）文件拥有者所在组其他用户的权限（G）文件拥有者的权限（U）文件类型：d为文件夹 -是文件Linux系统访问控制-权限模式 权限的数字表示法 权限的特殊属性SUID、SGID、Sticky（防删除）-r-s-x-xSUID程序1 rootroot10704 Apr152002 /usr/bin/passwdLinux系统安全审计-日志系统 系统日志类型 连接时间日志 /var/log/wtmp和/var/run/utmp 由多个程序执

16、行，记录用户登录时间 进程统计 由系统内核执行，为系统基本服务提供命令使用统计 错误日志 /var/og/messages 由syslogd守护记录，制定注意的事项 应用程序日志 应用程序如（HTTP、FTP）等创建的日志Linux文件系统 文件系统类型 日志文件系统：Ext4、Ext3、Ext2、ReiserFS、XFS、JFS等 文件系统安全 访问权限 文件系统加密eCryptfs（Enterprise Cryptographic Filesystem）基于内核，安全性高，用户操作便利加密元数据写在每个加密文件的头部，方便迁移，备份文件系统目录结构/homebinprocusrbootli

17、bdevetcvarftpljwlinuxbinlibmantmpliblogrunspooltmpLinux系统的管理划分 分割管理权限，30多种管理 根用户（root）拥有所有 普通用户 setuid操作实现setgid保护：保护root账号 不直接使用root登录，普通用户su成为root 控制root权限使用Linux系统安全设置 安全配置前置工作 账号和口令安全 系统服务配置 远程登录安全 文件和目录安全 系统日志配置 使用安全软件Linux设置安全配置前置工作 系统安装 使用官方/正版软件 分区挂载重要目录 根目录（/）、用户目录（/home）、临时目录（/tmp）等应分开到不同的

18、磁盘分区 自定义安装，选择需要的软件包 不安装全部软件包，尤其是那些不需要的网络服务包 系统补丁 及时安装系统补丁 更新补丁前，要求先在测试系统上对补丁进行可用性和兼容性验证Linux设置账号和口令安全 账号通用配置 保护root账号 口令安全策略账号和口令安全账号通用配置（1） 检查、清除系统中多余账号 检查 #cat /etc/passwd #cat /etc/shadow 清除多余账号 锁定账号特殊保留的系统伪账户，可以设置锁定登录锁定命令：#passwd -l 解锁命令：#passwd -u 账号和口令安全账号通用配置（2） 禁用root之外的超级用户打开系统账/etc/passwd

19、若用户ID=0，则表示该用户拥有超级用户的权限 检查是否有多个ID=0 禁用或删除多余的账号账号和口令安全账号通用配置（3） 检查是否存在空口令账号 执行命令 #awk -F: ( = ) print $1 /etc/shadow 如果存在空口令账号，则对其进行锁定，或要求增加要确认空口令账户是否和已有应用关联，增加用无法连接的问题是否会引起应账号和口令安全账号通用配置（3） 设置账户锁定登录失败锁定次数、锁定时间 修改账户超时值，设置自动注销时间账号和口令安全保护root账号 root账号权限很高 保护措施 禁止使用root登录系统 只允许普通用户登陆，然后通过su命令切换到root 不要随

20、意把root shell留在终端上； 不要把当前目录(“ . /”)和普通用户的bin目录放在root账号的环境变量PATH中 永远不以root运行其他用户的或不熟悉的程序账号和口令安全口令安全策略 口令安全策略 要求使用安全口令 口令长度、字符要求 口令修改策略强制口令使用有效期设置口令修改提醒设置账户锁定登录失败锁定次数、锁定时间vi /etc/login.def PASS_MAX_DAYS PASS_MIN_DAYS PASS_MIN_LEN PASS_WARN_AGE907628Linux设置系统服务配置 禁止危险的网络服务 telnet、FTP echo、chargen、shell、

21、finger、NFS、RPC等 关闭非必需的网络服务 talk、ntalk等 确保最新版本 使用当前最新和最安全的版本的服务软件关闭邮件服务：chkconfig -level 12345 sendmail off关闭图形登录服务：编辑/etc/inittab文件，修改为id:3:initdefault: 关闭X font服务：chkconfig xfs offLinux设置远程登录安全 禁用telnet,使用SSH进行管理 限制能够登录本机的IP地址 禁止root用户远程登陆 限定信任主机 修改banner信息远程登录安全使用SSH/限制登录IP 禁用telnet,使用SSH进行管理 开启ss

22、h服务：#service sshd start 限制能够登录本机的IP地址 #vi /etc/ssh/sshd_config 添加（或修改）： AllowUsers xyz3 允许用户xyz通过地址3来登录本机AllowUsers *192.168.*.* 仅允许/16网段所有用户通过ssh访问。远程登录安全禁止root/限定信任主机 禁止root用户远程登陆 #cat /etc/ssh/sshd_config 确保PermitRootLogin为no 限定信任主机 #cat /etc/hosts.equiv #cat /$HO

23、ME/.rhosts 查看上述两个文件中的主机，删除其中不必要的主机，防止存在多余的信任主机 或直接关闭所有R系列远程服务rloginrsh rexec远程登录安全修改banner信息 系统banner信息 一般会给出操作系统名称、版本号、主机名称等 修改banner信息 查看修改sshd_config #vi /etc/ssh/sshd_config 如存在，则将banner字段设置为NONE 查看修改motd： #vi /etc/motd 该处内容将作为banner信息显示给登录用户。查看该文件内容， 删除其中的内容，或更新成自己想要添加的内容Linux设置文件和目录安全 设置文件目录权限

24、 设置默认umask值 检查SUID/SGID文件文件和目录安全设置文件目录权限 保护重要的文件目录，限制用户访问 设置文件的属主和属性以进行保护 极其重要的文件或目录可以设置为不可改变属性 chattr +i /etc/passwd 临时文件不应该有执行权限常见文件权限及属性的操作命令：chmod、chown、chattr文件和目录安全设置默认umask值 设置新创建文件的默认权限掩码 可以根据要求设置新文件的默认访问权限，如仅允许文件属主访问，不允许其他人访问 umask设置的是权限“补码” 设置方法 使用umask命令 如 #umask 066 编辑/etc/profile文件，设置um

25、ask值文件和目录安全检查SUID/SGID文件 SUID/SGID的程序在运行时，将有效用户ID改变为该程序的所有者(组)ID。因而可能存在一定的安全隐患 找出系统中所有含s“位的程序,把不必要的”s“位去掉,或者把根本不用的直接删除,这样可以防止用户权限的可能性,其命令如下：查找SUID可执行程序及提升 # find / -perm -4000 -user 查找SGID程序 # find / -perm -2000 -user0 ls0 lsLinux设置系统日志配置（1）v 保护日志文件 审查日志中不正常情况 非常规时间登录 日志残缺 Su的使用 服务的启动情况 Linux设置系统日志配