计算机网络安全技术操作系统安全配置的课件

1、02.09.2022精品课件1第二章操作系统安全配置操作系统的概念、安全评估操作系统的用户安全设置操作系统的密码安全设置操作系统的系统安全设置操作系统的服务安全设置操作系统的注册表安全设置本章要点： 02.09.2022精品课件22.1 操作系统的安全问题 操作系统的安全是整个计算机系统安全的基础。操作系统安全防护研究，通常包括：1）提供什么样的安全功能和安全服务2）采取什么样的配置措施 3）如何保证服务得到安全配置 02.09.2022精品课件32.1.1 操作系统安全概念 一般意义上，如果说一个计算机系统是安全的，那么是指该系统能够控制外部对系统信息的访问。也就是说，只有经过授权的用户或代

2、表该用户运行的进程才能读、写、创建或删除信息。 02.09.2022精品课件4操作系统的安全通常包含两层意思：1)操作系统在设计时通过权限访问控制、信息加密性保护、完整性鉴定等一些机制实现的安全；2)操作系统在使用中，通过一系列的配置，保证操作系统避免由于实现时的缺陷或是应用环境因素产生的不安全因素。 02.09.2022精品课件52.1.2 计算机操作系统安全评估 美国可信计算机安全评估标准（TCSEC），是计算机系统安全评估的第一个正式标准。TCSEC将计算机系统的安全划分为4个等级、8个级别。 02.09.2022精品课件62.1.3 国内的安全操作系统评估 计算机信息安全保护等级划分准

3、则将计算机信息系统安全保护等级划分为五个级别：1.用户自主保护级 本级的安全保护机制使用户具备自主安全保护能力，保护用户和用户组信息，避免其他用户对数据的非法读写和破坏。 02.09.2022精品课件72. 系统审计保护级 本级的安全保护机制具备第一级的所有安全保护功能，并创建、维护访问审计跟踪记录，以记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，使所有用户对自己行为的合法性负责。3. 安全标记保护级 本级的安全保护机制有系统审计保护级的所有功能，并为访问者和访问对象指定安全标记，以访问对象标记的安全级别限制访问者的访问权限，实现对访问对象的强制保护。02.09.2022精品课

4、件84. 结构化保护级 本级具备第3级的所有安全功能。并将安全保护机制划分成关键部分和非关键部分相结合的结构，其中关键部分直接控制访问者对访问对象的存取。本级具有相当强的抗渗透能力。5. 安全域级保护级 本级的安全保护机制具备第4级的所有功能，并特别增设访问验证功能，负责仲裁访问者对访问对象的所有访问活动。本级具有极强的抗渗透能力。 02.09.2022精品课件92.1.4 操作系统的安全配置 操作系统安全配置主要是指：1）操作系统访问控制权限的恰当设置2）系统的及时更新3）对于攻击的防范 02.09.2022精品课件102.1.5 操作系统的安全漏洞 几乎所有的操作系统都不是十全十美的，总存

5、在安全漏洞。Windows NT: SAM、ICMPWindows XP：UPnP 、GDI拒绝服务 、终端服务IP地址欺骗 要想绝对避免软件漏洞是不可能的 ！02.09.2022精品课件112.2 用户安全配置 主要有10类，分别描述如下：新建用户帐号便于记忆与使用，而密码则要求有一定的长度与复杂度。 02.09.2022精品课件122帐户授权对不同的帐户进行授权，使其拥有和身份相应的权限。 02.09.2022精品课件133停用Guest用户把Guest账号禁用，并且修改Guest帐号的属性,设置拒绝远程访问 。 02.09.2022精品课件144系统Administrator账号改名 防

6、止管理员账号密码被穷举，伪装成普通用户。 02.09.2022精品课件155创建一个陷阱用户将管理员账号权限设置最低，延缓攻击企图。 02.09.2022精品课件166更改默认权限将共享文件的权限从“Everyone”改成“授权用户 。 02.09.2022精品课件177不显示上次登录用户名防止密码猜测，打开注册表编辑器并找到注册表项“HKEY_CURRENTSoftwareMicrosoftWindows NTCurrentVersionWinlogonDont-DisplayLastUserName”，把REG_SZ的键值改成1。 02.09.2022精品课件188限制用户数量减少入侵突破

7、口，账户数不大于10 。 9多个管理员帐号 减少管理员账号使用时间，避免被破解 。创建一个一般用户权限帐号用来处理电子邮件及处理一些日常事务，创建另一个有Administrator权限的帐户在需要的时候使用。02.09.2022精品课件1910开启用户策略 可以有效的防止字典式攻击 。 当某一用户连续5次录都失败后将自动锁定该帐户，30分钟后自动复位被锁定的帐户。 02.09.2022精品课件202.3 密码安全配置 主要有4类，分别描述如下：安全密码 创建帐号时不用公司名、计算机名、或者一些别的容易猜到的字符做用户名，密码设置要复杂。安全期内无法破解出来的密码就是安全密码（密码策略是42天必

8、须改密码） 。02.09.2022精品课件212开启密码策略 对不同的帐户进行授权，使其拥有和身份相应的权限。 策略设置要求密码复杂性要求启用数字和字母组合密码最小值6位长度至少为6密码最长存留期15天超期要求改密码强制密码历史5次不能设置相同密码02.09.2022精品课件223设置屏幕保护密码 防止内部人员破坏服务器的一个屏障。注意不要使用OpenGL和一些复杂的屏幕保护程序浪费系统资源，黑屏就可以了 。 02.09.2022精品课件234加密文件或文件夹 用加密工具来保护文件和文件夹，以防别人偷看 。 02.09.2022精品课件242.4 系统安全配置 主要有11类，分别描述如下：使用

9、NTFS格式分区 所有分区都改成NTFS格式，NTFS文件系统要比FAT、FAT32的文件系统安全得多。02.09.2022精品课件252运行防毒软件 不仅可杀掉一些著名的病毒，还能查杀大量木马和后门程序。要注意经常运行程序并升级病毒库。 02.09.2022精品课件263下载最新的补丁经常访问微软和一些安全站点，下载最新的Service Pack和漏洞补丁。 02.09.2022精品课件274关闭默认共享 防止利用默认共享入侵。 默认共享目录路 径说 明C$ D$ E$分区的根目录Win2003 Advanced Server版中，只有Administrator 和Backup Operat

10、ors级成员才可连接，Win2000 Server版本Server Operators组也可以连接到这些共享目录ADMIN$%SYSTEMTOOT%远程管理用的共享目录。它的路径永远都指向WIN2003的安装路径，比如C：winntIPC$IPC$共享提供了登的能力PRIN$SYSTEM32SPOOLDRIVERS用户远程管理打印机02.09.2022精品课件285锁定注册表 防止黑客从远程访问注册表。修改Hkey_current_user下的子键：SoftwareMicrosoftwindowscurrentversionpoliciessystem，把DisableRegistryTool

11、s值改为0，类型为DWORD。02.09.2022精品课件296禁止从软盘和光驱启动系统 一些第三方的工具能通过引导系统来绕过原有的安全机制 。 利用安全配置工具来配置安全策略 利用基于MMC（管理控制台）安全配置和分析工具配置服务器。/windows2000/techinfo/howitworks/security/sctoolset.asp 02.09.2022精品课件308开启审核策略 用安全审核来记录入侵日志。 策略设置审核系统登录事件成功、失败审核帐户管理成功、失败审核登录事件成功、失败审核对象访问成功审核策略更改成功、失败审核特权使用成功、失败审核系统事件成功、失败02.09.20

12、22精品课件319加密Temp 文件夹 给Temp文件夹加密可以给文件多一层保护。10使用智能卡用智能卡来代替复杂的密码。11使用IPSec提供IP数据包的安全性。它提供身份验证、完整性和可选择的机密性。 利用IPSec可以使得系统的安全性能大大增强。 02.09.2022精品课件322.5 服务安全配置 主要有5类，分别描述如下：关闭不必要的端口 减少被入侵的算途径，系统目录中的system32driversetcservices文件中有知名端口和服务的对照表可供参考。如何设置本机开放的端口和服务？02.09.2022精品课件3302.09.2022精品课件342设置好安全记录的访问权限 安

13、全记录在默认情况下是没有保护的，把它设置成只有Administrators和系统账户才有权访问。 02.09.2022精品课件353备份敏感文件有必要把一些重要的用户数据（存放在另外一个安全的服务器中，并且经常备份它们。 4禁止建立空连接默认情况下，任何用户都可通过空连接连上服务器，进而枚举出账号，猜测密码。我们可以通过修改注册表来禁止建立空连接：即把Local_MachineSystemCurrentControlSetControlLSA-RestrictAnonymous的值改成“1”即可。 02.09.2022精品课件365关闭不必要的服务 防止恶意程序以服务方式悄悄地运行服务器上的终

14、端服务，要确认已经正确配置了终端服务。Windows 2000作为服务器可禁用的服务及其相关说明如表所示。02.09.2022精品课件372.6 注册表配置 涉及到5类注册表配置，如下：1关机时清除文件页面文件中可能含有另外一些敏感产资料，因此要在关机的时候清除页面文件。 编辑注册表修改主键HKEY_LOCAL_MACHINE下的子键 SystemCurrentControlSetControlControlSessionManage/Memory Management 把ClearPageFileAtShutdown的值设置成1。02.09.2022精品课件382关闭DirectDraw C

15、2级安全标准对视频和内存有一定要求。关闭DirectDraw可能对一些需要用到Directx程序有影响(比如游戏)，但是对于绝大多数的商业站点是没有影响的。修改主键HKEY_LOCAL_MACHINE下的子键 SystemCurrentControlSetControlGraphicsDriversDCITimeout 将键值设置成0。 02.09.2022精品课件393禁止判断主机类型 黑客可利用TTL（Time To Live，生存时间）值可以鉴别操作系统的类型，通过Ping指令能判断目标主机类型。02.09.2022精品课件40修改主键HKEY_LOCAL_MACHINE下的子键 Sys

16、temCurrentControlSetServicesTcpipParameters，新建一个双字节项，在键的名称中输入“defaultTTL”，然后双击该键名，选择“十进制”，在“数位数据”文本框中输入100。设置完毕后需要重新启动计算机。02.09.2022精品课件414抵抗DDOS添加注册表的一些键值，可以有效的抵抗DDOS（分布式拒绝服务）的攻击。在键值HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters下增加响应的键及其说明。 02.09.2022精品课件425禁止Guest访问日志 Guest和匿名用户可

17、以查看系统的事件日志，这可能导致许多重要的信息的泄漏。1）禁止Guest访问应用日志在HKEY_LOCAL_MACHINESystemCurrentControlSetServicesEventlogApplication下添加键值名称为“RestrictGuestAccess”，类型为“DWORD”，将值设置为1。 02.09.2022精品课件432）禁止Guest访问系统日志在HKEY_LOCAL_MACHINESystemCurrentControlSetServicesEventlogSystem下添加键值名称为“RestrictGuestAccess”，类型为“DWORD”，将值设置

18、为1。 3）禁止Guest访问安全日志在HKEY_LOCAL_MACHINESystemCurrentControlSetServicesEventlogSecurity下添加键值名称为“RestrictGuestAccess”，类型为“DWORD”，将值设置为1。 02.09.2022精品课件442.7 数据恢复软件 当数据被病毒或者入侵者破坏后，可以利用数据恢复软件找回部分被删除的数据 。比较著名的有FinalData，EasyRecovery等。我们介绍一下FinalData。注意：原来的磁盘扇区被写上了新的文件，这些数据就不能完全恢复！02.09.2022精品课件45原来D盘上有一些文件数据文件，现在被黑客删除了，如何恢复？选择“文件”菜单，