网络操作系统安全

第12章网络操作系统平安12.1网络平安的含义平安威胁：某个实体(人、事件、程序等)对某一资源的机密性、完整性、可用性和可控性在合法使用时可能造成的危害。根本平安威胁：信息泄露

------------>机密性完整性破坏------------>完整性

拒绝效劳

------------>

可用性非法使用------------>可控性可实现威胁〔可以直接导致某一根本威胁的实现〕主要包括渗入威胁和植入威胁。主要的渗入威胁有：假冒；旁路；授权侵犯主要的植入威胁有：特洛伊木马；陷门2整理ppt12.1网络平安的含义网络平安是一门涉及计算机科学、网络技术、通信技术、密码技术、信息平安技术、应用数学、数论、信息论等多种学科的综合性学科。网络平安四个特征：

保密性：信息不泄露给非授权用户实体或过程的特性。完整性：数据未经授权不能进行改变的特性。可用性：可被授权实体访问并按需求使用的特性。可控性：对信息的传播及内容具有控制能力。3整理ppt12.2网络平安策略物理平安策略访问控制策略入网访问控制目录级平安控制属性平安控制网络效劳器平安控制网络监测和锁定控制网络端口和节点的平安控制防火墙控制信息加密策略

网络平安管理策略4整理ppt12.3Windows2000系统及效劳平安管理Windows2000的系统平安策略帐户平安管理端口限制设置访问控制权限关闭不必要的效劳或组件审核策略5整理ppt12.3Windows2000系统及效劳平安管理帐户平安管理将administrator用户改名，并设置较为复杂的密码禁用guest用户取消除管理员以外所有用户属性中的“远程控制启用远程控制〞以及“终端效劳配置文件允许登陆到终端效劳〞禁用除管理员、IUSER以及ASPNET用户外，其他的一切用户。包括SQLDEBUG及TERMINALUSER等6整理ppt12.3Windows2000系统及效劳平安管理Windows2000的系统平安策略帐户平安管理端口限制设置访问控制权限关闭不必要的效劳或组件审核策略7整理ppt12.3Windows2000系统及效劳平安管理端口限制入侵者要做的第一件事通常是扫描有漏洞的效劳。其防范的措施是，将所需效劳的端口翻开，其他端口一律屏蔽。以一台标准虚拟主机效劳器为例，需开通的端口包括：80——WEB效劳器20——FTP数据传输21——FTP命令通道25——SMTP简单邮件发送端口53——DNS域名解析效劳端口110——POP3邮件接收效劳端口143——IMAP邮件接收效劳端口8整理ppt12.3Windows2000系统及效劳平安管理需格外注意的端口：1433、3306——SQLSERVER和MYSQL数据库端口3389——Win2000远程登录端口139、445——文件共享端口9整理ppt12.3Windows2000系统及效劳平安管理常见的木马和病毒程序端口：2000、2001——黑洞〔木马〕默认端口7306——网络精灵〔木马〕7626——冰河〔木马〕8000——OICQServer、灰鸽子〔病毒〕12345、12346——netbus木马5022——华夏同盟远程控制〔黑客第一门户〕8181——上兴远控默认端口10整理ppt12.3Windows2000系统及效劳平安管理Windows2000的系统平安策略帐户平安管理端口限制设置访问控制权限关闭不必要的效劳或组件审核策略11整理ppt12.3Windows2000系统及效劳平安管理设置访问控制权限对所有的盘符设置administrator组和system用户拥有全部权限，其他用户只读。C:\ProgramFiles\CommonFiles及C:\WINNT目录对Everyone开放读取、运行、列出文件目录三个权限C:\WINNT\Temp目录对Everyone开放读取、运行、列出文件目录、写入权限修改CMD.EXE及NET.EXE权限〔仅管理员拥有所有权限，其他用户不具备对该文件的访问权〕12整理ppt12.3Windows2000系统及效劳平安管理设置访问控制权限WEB站点目录权限Administrator、system拥有全部权限IUSER〔Internet来宾用户〕拥有读取、写入、修改权限13整理ppt12.3Windows2000系统及效劳平安管理Windows2000的系统平安策略帐户平安管理端口限制设置访问控制权限关闭不必要的效劳或组件审核策略14整理ppt12.3Windows2000系统及效劳平安管理关闭不必要的效劳或组件ComputerBrowser：提供网络中的计算机列表Messenger：信使效劳PrintSpooler：将文件加载到内存中以便打印RemoteRegistry：远程管理本地系统Telnet：允许远程用户登录到系统并且使用命令行运行控制台程序TCP/IPNetBIOSHelper：NetBIOS名称解析15整理ppt12.3Windows2000系统及效劳平安管理Windows2000的系统平安策略帐户平安管理端口限制设置访问控制权限关闭不必要的效劳或组件审核策略16整理ppt12.3Windows2000系统及效劳平安管理审核策略Windows2000提供了一项平安审核功能，可以用日志的形式记录各种与平安相关的事件，可使用其中的信息来生成一个有规律活动的概要文件，发现和跟踪可疑事件，并留下关于某一侵入者活动的有效法律证据。本地平安策略本地策略审核策略17整理ppt12.3Windows2000系统及效劳平安管理策略更改：平安策略更改，包括特权指派、审核策略修改和信任关系修改。这一类必须同时审核它的成功或失败事件。登录事件：对本地计算机的交互式登录或网络连接。这一类必须同时审核它的成功和失败事件。对象访问：必须启用它以允许审核特定的对象，这一类需要审核它的失败事件。过程追踪：详细跟踪进程调用、重复进程句柄和进程终止，这一类可以根据需要选用。目录效劳访问：记录对ActiveDirectory的访问，这一类需要审核它的失败事件。18整理ppt12.3Windows2000系统及效劳平安管理特权使用：某一特权的使用；专用特权的指派，这一类需要审核它的失败事件。系统事件：与平安(如系统关闭和重新启动)有关的事件；影响平安日志的事件，这一类必须同时审核它的成功和失败事件。账户登录事件：验证(账户有效性)通过网络对本地计算机的访问，这一类必须同时审核它的成功和失败事件。账户管理：创立、修改或删除用户和组，进行密码更改，这一类必须同时审核它的成功和失败事件。19整理ppt12.4Linux系统平安数据包进入主机的流程dd.confTCP/IPpacketIPFilterTCPWrappersWWW设置本机的文件系统资源Client20整理ppt12.4Linux系统平安Linux主机能做的保护：文件系统权限设置防火墙设置监听网络效劳软件更新SELinux21整理ppt12.4Linux系统平安防火墙设置列出防火墙过滤表中的规那么去除本机防火墙过滤的所有规那么数据包的比对设置#iptable–L-n#iptable-F#iptable-X#iptable-Z#iptable-AINPUT–Ieth0-s0-jDROP#iptable-AINPUT–Ieth0-s/24-jACCEPT22整理ppt12.4Linux系统平安防火墙设置端口设置保存防火墙的设置#iptables–save>/etc/sysconfig/iptables

#iptables–AINPUT–Ieth0–pudp--sport67:68--dport67:68–jACCEPT

23整理ppt12.4Linux系统平安监听网络效劳——Netstat命令列出在监听的网络效劳列出已连接的网络联机状态删除已建立或在监听中的连接先找出该联机的PID，然后将它删除#netstat-tun#netstat-tunl

#netstat–tunp#kill-9PID24整理ppt12.4Linux系统平安RedHatSELinuxRedHatEnterpriseLinuxAS3.0/4.0中平安方面的最大变化就在于集成了SELinux的支持。SELinux的全称是Security-EnhancedLinux，是由美国国家平安局NSA开发的访问控制体制。SELinux可以最大限度地保证Linux系统的平安，它将Linux系统的平安从C2级提升到B1级SELinux的策略分为两种，一个是目标(targeted)策略，另一个是严格(strict)策略。目标策略仅针对局部系统网络效劳和进程执行SELinux策略，而严厉策略是执行全局的NSA默认策略。25整理ppt12.4Linux系统平安SELinux的配置文件是/etc/selinux/config可用getenforce和setenforce命令查看和设置SELinux的当前工作模式其两种模式为：Enforcing|Permissive(1|0)一般测试过程中使用“permissive〞模式，这样仅会在违反SELinux规那么时发出警告，然后修改规那么，最后由用户决定是否执行严格“enforcing〞的策略，禁止违反规那么策略的行为。修改配置文件/etc/selinux/config后，需要重启系统来启动SELinux新的工作模式。26整理ppt12.4Linux系统平安命令sestatus可查询SELinux的状态，如：是否激活、selinuxfs的挂接状态、当前的策略模式和版本等。命令sestatus执行结果列出如下27整理ppt12.4Linux系统平安案例在Apache效劳器中配置站点，不使用系统默认的/var/www/html作为站点的DocumentRoot，自己新建一个目录〔/myweb/zjz〕后修改/etc/d/conf/d.conf中的配置，重启Apache，出现报错：Documentrootmustbeadirectory或站点无法访问。2