操作系统安全技术

网络安全技术第1页本章作业思索题试验要求操作系统安全办法

安全配置方案初级篇安全配置方案中、高级篇

数据备份方案磁盘备份双机、网络备份数据备份与恢复策略数据备份策略灾难恢复策略操作系统安全技术

操作系统安全技术概述各类操作系统安全技术数据备份概述

产生数据失效主要原因备份及其相关概念第7章操作系统安全与数据备份技术

网络安全技术第2页

操作系统安全技术概述操作系统安全需求操作系统安全防护普通方法操作系统资源防护技术

操作系统安全技术第3页

操作系统安全需求

操作系统安全技术概述安全策略标识判别责任确保连续保护第4页

操作系统安全需求

操作系统安全技术概述

安全策略标识判别责任确保连续保护对于认证主体和客体，系统必须有一个规则集用于决定一个特定主体是否能够访问一个详细客体第5页

操作系统安全需求

操作系统安全技术概述

安全策略

标识判别责任确保连续保护给客体一个能够有效反应它安全级别标识第6页

操作系统安全需求

操作系统安全技术概述

安全策略标识

判别责任确保连续保护存放信息每一次访问都应受到控制，即只有授权用户才能访问这些信息第7页

操作系统安全需求

操作系统安全技术概述

安全策略标识

判别

责任确保连续保护系统要保护审计数据不受破坏，以确保违反安全事件在发生后可被探测出来第8页

操作系统安全需求

操作系统安全技术概述

安全策略标识

判别责任

确保连续保护一个计算机系统应该能够含有能够被评定各种软硬件机制，应提供充分确保系统实现上述四种与安全相关需求第9页

操作系统安全需求

操作系统安全技术概述

安全策略标识

判别责任

确保

连续保护实现这些基本需求可信机制必须能不停地提供保护以预防入侵和未经授权篡改第10页

操作系统安全防护普通方法操作系统隔离控制安全办法：隔离、时间隔离、逻辑隔离和加密隔离操作系统访问控制安全办法：自主访问控制、强制访问控制、基于角色访问控制、域和类型执行访问控制

操作系统安全技术概述第11页

操作系统资源防护技术系统登录和用户管理安全：登录控制要严格、要加强系统口令管理和良好用户管理

操作系统安全技术概述第12页

操作系统资源防护技术内存管理安全：包括单用户内存保护问题、多道程序保护、标识保护法和分段与分页技术等文件系统安全：包括分组保护、许可权保护、指定保护等

操作系统安全技术概述第13页

各类操作系统安全技术UNIX/Linux系统安全技术Windows系统安全技术

操作系统安全技术概述第14页

UNIX/Linux系统安全技术UNIX/Linux安全基础UNIX/Linux安全机制UNIX/Linux安全办法各类操作系统安全技术第15页

Windows系统安全技术Windows/XP系统安全基础Windows/XP系统安全机制Windows/XP系统安全办法各类操作系统安全技术第16页

Windows系统安全技术Windows系统安全办法初级篇Windows系统安全办法中级篇Windows系统安全办法高级编

Windows操作系统安全办法第17页

禁用Guest账户在计算机管理用户中将Guest账户禁用,任何时候都不允许Guest账户登陆系统为保险起见，最好给Guest加一个复杂密码，作为Guest帐号密码。而且修改Guest帐号属性，设置拒绝远程访问

Windows系统安全办法初级篇第18页

禁用Guest账户

Windows系统安全办法初级篇停顿使用第19页

禁用Guest账户

Windows系统安全办法初级篇第20页

限制用户数量帐户数量不要大于10个去掉全部测试帐户、共享帐号用户组策略设置对应权限，且经常检验系统帐户删除已经不使用帐户

Windows系统安全办法初级篇第21页

管理员帐号更名将Administrator帐号更名能够有效预防密码被盗用不要使用Admin之类名字，这等于没有改。应尽可能把它伪装成普通用户

Windows系统安全办法初级篇第22页

陷阱帐号创建一个名为“Administrator”帐户将它权限设置成最低再加上一个超出10位超级复杂密码

Windows系统安全办法初级篇第23页

陷阱帐号创建一个名为“Administrator”帐户将它权限设置成最低再加上一个超出10位超级复杂密码

Windows系统安全办法初级篇陷阱帐号第24页

安全密码好密码：安全期内无法破解出来密码安全密码：42天内无法破解出来密码密码策略：设置为42天必须改密码

Windows系统安全办法初级篇第25页

安全密码

Windows系统安全办法初级篇第26页

更改默认权限共享文件权限从“Everyone”组改成“授权用户”。“Everyone”在Windows中意味着任何有权进入你网络用户都能够取得这些共享资料任何时候不要把共享文件用户设置成“Everyone”组。包含打印共享，默认属性就是“Everyone”组，一定不要忘了改

Windows系统安全办法初级篇第27页

屏幕保护密码屏幕保护密码是预防内部人员破坏服务器一个屏障用户所使用计算机最好加上屏幕保护密码

Windows系统安全办法初级篇第28页

NTFS分区把服务器全部分区都改成NTFS格式。NTFS文件系统要比FAT、FAT32文件系统安全得多确认分区

进入DOS输入命令:chkntfs盘符

Windows系统安全办法初级篇第29页

NTFS分区转换分区(将FNT分区转换为NTFS分区)

进入DOS输入命令:convert盘符/fs:ntfs

Windows系统安全办法初级篇第30页

操作系统安全策略利用Windows安全配置工具配置安全策略管理工具→当地安全策略

Windows系统安全办法中级篇第31页

关闭无须要端口Winnt\system32\drivers\etc\services

Windows系统安全办法中级篇第32页

开启审核策略安全审核是Windows最基本入侵检测方法。当有些人尝试对系统进行某种方式入侵时，都会被安全审核统计下来表中所列审核是必须开启，其它能够依据需要增加

Windows系统安全办法中级篇第33页

开启审核策略

Windows系统安全办法中级篇第34页

开启审核策略

Windows系统安全办法中级篇默认下未开启第35页

开启密码策略密码对系统安全非常主要。当地安全设置中密码策略在默认情况下均未开启

Windows系统安全办法中级篇第36页

开启密码策略密码对系统安全非常主要。当地安全设置中密码策略在默认情况下均未开启

Windows系统安全办法中级篇第37页

开启帐户密码开启帐户策略可有效预防字典式攻击

Windows系统安全办法中级篇第38页

开启帐户密码开启帐户策略可有效预防字典式攻击

Windows系统安全办法中级篇第39页

备份敏感文件将敏感文件存放在另一文件服务器中即使服务器硬盘容量都很大，但还是应考虑将一些主要数据存放在另外一个安全服务器中，而且经常备份它们

Windows系统安全办法中级篇第40页

不显示上次登录默认情况下，终端服务接入服务器时，登陆对话框中会显示上次登陆帐户名。当地登陆对话框也是一样设置方法：管理工具→当地安全策略→当地策略→安全选项→登录屏幕上不显示上次登录用户名→已启用→确定

Windows系统安全办法中级篇第41页

不显示上次登录默认情况下，终端服务接入服务器时，登陆对话框中会显示上次登陆帐户名。当地登陆对话框也是一样设置方法：管理工具→当地安全策略→当地策略→安全选项→登录屏幕上不显示上次登录用户名→已启用→确定

Windows系统安全办法中级篇第42页

不显示上次登录修改注册表禁止显示上次登录名

在HKEY_LOCAL_MACHINE主键下修改子键：Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName，将数值数据改成1

Windows系统安全办法中级篇第43页

不显示上次登录修改注册表禁止显示上次登录名

Windows系统安全办法中级篇第44页

不显示上次登录修改注册表禁止显示上次登录名

Windows系统安全办法中级篇第45页

不显示上次登录修改注册表禁止显示上次登录名

Windows系统安全办法中级篇输入1第46页

不显示上次登录假如在HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\中无DontDisplayLastUserName，则创建一个,并将数值数据置为1方法

Windows系统安全办法中级篇右击鼠标→新建→字符串在项中输入对应名用前面方法修改数值数据为1第47页

不显示上次登录方法右击鼠标→新建→字符串在项中输入对应名用前面方法修改数值数据为1

Windows系统安全办法中级篇第48页

禁止建立空连接默认情况下，任何用户经过空连接连上服务器，能够枚举出帐号，猜测密码可经过修改注册表来禁止建立空连接在HKEY_LOCAL_MACHINE主键下修改子键：System\CurrentControlSet\Control\LSA\RestrictAnonymous，将键值改成“1”

Windows系统安全办法中级篇第49页

禁止建立空连接

Windows系统安全办法中级篇第50页

下载最新补丁很多网络管理员没有访问安全站点习惯，不及时修被漏洞不能确保数百万行以上代码Windows不出一点安全漏洞经常访问微软和一些安全站点，下载最新ServicePack和漏洞补丁，是保障服务器长久安全唯一方法可用一些惯用漏洞扫描软件！先扫描出漏洞

Windows系统安全办法中级篇第51页

关闭默认共享Windows安装后，系统会创建一些隐藏共享，能够在DOS提醒符下输入命令NetShare查看

Windows系统安全办法高级篇第52页

知道某主机用户名和密码

使用IPC$例：已知IP为202.204.146.45计算机管理员密码为zxl，利用命令

IPC$应用C:\>netuse\\202.204.146.45\ipc$zxl/user:zxl密码用户名第53页

知道某主机用户名和密码

使用IPC$

IPC$应用第54页

建立IPC$连接D:\>netuse\\11.14.7.50/useradministratorliting

使用COPY命令复制一个木马程序D:\>copyd:\opentelnet.bat\\11.14.7.50\e$\winnt\system32

查看远程时间D:\>attime\\11.14.7.50\e$\winnt\system32怎样利用IPC$入侵第55页

添加计划任务D:\>at\\11.14.7.5020:05opentelnet.bat

等候时间到后门程序自动开启

进入对方主机怎样利用IPC$入侵第56页

关闭共享

关闭139、445端口

安装防火墙，设置端口过滤

给计算机主要帐户设置复杂密码（>15，大小写字母符号）怎样防范IPC$入侵第57页

关闭默认共享停顿默认共享方法：管理工具→计算机管理→共享文件夹→共享，在对应共享文件夹上按右键，点停顿共享

Windows系统安全办法高级篇第58页关闭默认共享第59页关闭默认共享第60页

方法二：批处理自开启法打开记事本，输入以下内容

netshareipc$/delete

netshareadmin$/delete

netsharec$/delete

netshared$/delete

netsharee$/delete关闭默认共享注意：有几个硬盘分区就写几行这么命令第61页

方法二：批处理自开启法保留为NotShare.bat（注意后缀！）把批处理文件拖到“程序”→“开启”项中假如需要开启某个或一些共享，只要将该批处理文件中对应那行命令行删掉即可关闭默认共享第62页

方法三：注册表改键值法保留为NotShare.bat（注意后缀！）把批处理文件拖到“程序”→“开启”项中假如需要开启某个或一些共享，将该批处理文件中对应那行命令行删掉关闭默认共享注意：有几个硬盘分区就写几行这么命令第63页

方法四：停顿服务法(最简单方式)找到“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters”项，双击右侧窗口中“AutoShareServer”项将键值由1改为0，关闭硬盘各分区共享。假如没有AutoShareServer项，可自己新建一个再改键值。然后还是在这一窗口下再找到“AutoShareWks”项，也把键值由1改为0，关闭admin$共享关闭默认共享第64页

方法四：停顿服务法(最简单方式)“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa”项处找到“restrictanonymous”，将键值设为1，关闭IPC$共享关闭默认共享注意：此方法必须重启机器，一经改动永远停顿共享第65页

方法四：停顿服务法(最简单方式)在弹出“常规”标签中把“开启类型”由原来“自动”更改为“已禁用”。然后单击下面“服务状态”“停顿”按钮确认关闭默认共享第66页关闭默认共享第67页关闭默认共享第68页关闭默认共享第69页关闭默认共享第70页关闭默认共享第71页关闭默认共享第72页

139端口能够经过NBT来屏蔽屏蔽139端口第73页第74页第75页第76页第77页第78页能够经过修改注册表来屏蔽找到HKEY_LOCAL_MACHINE添加一个新键值System\Controlset\Services\NetBT\Parameters屏蔽445端口第79页添加信息

Key:System\Controlset\Services\NetBT\ParametersName:SMBDeviceEnabledType:REG_DWORDValue:0修改完后关闭注册表,重新开启屏蔽445端口第80页禁用Dump文件在系统瓦解和蓝屏时候，Dump文件是一份很有用资料，能够帮助查找问题。然而，也能够给黑客提供一些敏感信息，比如一些应用程序密码等禁止方法：控制面板→系统→高级→开启和故障恢复，把写入调试信息改成无

Windows系统安全办法高级篇第81页加密Temp文件夹一些应用程序在安装和升级时候，会把一些东西拷贝到Temp文件夹，不过当程序升级完成或关闭时候，并不会自己去除Temp文件夹内容给Temp文件夹加密能够给你文件多一层保护

Windows系统安全办法高级篇第82页锁住注册表在Windows中，只有Administrators和BackupOperators才有从网络上访问注册表权限。当帐号密码泄漏以后，黑客也能够在远程访问注册表，当服务器放到网络上时候，普通需要锁定注册表

Windows系统安全办法高级篇第83页锁住注册表方法：修改Hkey_current_user下子键：Software\microsoft\windows\currentversion\Policies\system。把DisableRegistryTools值改为0，类型为DWORD

Windows系统安全办法高级篇第84页锁住注册表

Windows系统安全办法高级篇第85页禁止判断主机类型黑客利用TTL（Time-To-Live，活动时间）值能够判别操作系统类型，经过Ping指令能判断目标主机类型Ping用处是检测目标主机是否连通

Windows系统安全办法高级篇第86页禁止判断主机类型许多入侵者首先会Ping一下主机，因为攻击某一台计算机需要依据对方操作系统，是Windows还是Unix。如过TTL值为128就能够认为你系统为Windows

Windows系统安全办法高级篇第87页禁止判断主机类型

Windows系统安全办法高级篇第88页禁止判断主机类型

Windows系统安全办法高级篇第89页禁止判断主机类型修改TTL值，入侵者就无法入侵了比如将操作系统TTL值改为111，改主键HKEY_LOCAL_MACHINE子键：SYSTEM\CURRENT_CONTROLSET\SERVICES\TCPIP\PARAMETERS

Windows系统安全办法高级篇第90页regedit.exe第91页第92页第93页第94页第95页第96页禁止判断主机类型设置完成重新开启计算机用Ping指令，发觉TTL值已被改成111

Windows系统安全办法高级篇第97页抵抗DDos添加注册表一些键值，能够有效抵抗DDos攻击在键值[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters]下增加对应键及其说明

Windows系统安全办法高级篇第98页抵抗DDos

Windows系统安全办法高级篇第99页禁止Guest访问日志在默认安装WindowsNT和Windows中，Guest帐号和匿名用户能够查看系统事件日志，可能造成许多主要信息泄漏，修改注册表来禁止Guest访问事件日志禁止Guest访问应用日志

Windows系统安全办法高级篇第100页禁止Guest访问日志禁止Guest访问应用日志

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Application下添加键值名称为：RestrictGuestA