第七章-操作系统安全

1、第7章，操作系统安全，第3部分，系统安全机制，公司徽标，2，简介。目前，服务器中常用的操作系统有两种：WindowsNT/2000/2003服务器和Unix/Linux。这些操作系统都是C2级别的操作系统，但它们都有许多漏洞。如果我们不了解这些漏洞并采取相应的措施，操作系统将完全暴露给入侵者。本章将讨论这两种操作系统的一些基本安全问题。公司徽标，3，内容，公司徽标，4，windows 2000系统的安全性，WindowsNT系列操作系统的优势： ()支持多种网络协议；()具有内置互联网功能；()支持NTFS文件系统，CompanyLogo，5，7.1.1主要安全配置方案。(1)物理安全(7)更

2、改默认权限(2)停止来宾帐户(8)设置安全密码(3)限制用户数量(9)屏幕保护程序密码(4)创建多个管理员帐户(10)使用NTFS分区(5)重命名管理员帐户(11)运行防病毒软件(6)陷阱帐户(12)备份磁盘安全，图8.7.1.2中级安全配置方案，(1)操作系统安全策略，(6)打开帐户策略，(2)关闭不必要的服务，(7)备份敏感文件，(3)关闭不必要的端口， (8)不显示最后一个登录名，(4)打开审核策略，(9)禁止建立空连接，(5)打开密码策略，(10)下载最新的图形设置端口，控制面板管理工具的本地安全策略图形选择审核策略，图形设置审核策略，在“开始运行”中输入“Eventvwr.msc”，

3、导航到“事件查看器安全”以查看事件日志，CompanyLogo，15，商业间谍做了什么？ 任务描述：图形用户界面是一家信息技术公司的网络管理员。最近，老板发现一些商业秘密不胫而走。他想监视他的下属何时访问或使用公司计算机中指定磁盘或文件夹中的数据，例如：服务器的“:数据”文件夹。老板认为小何最可疑，所以他决定从观察他开始。CompanyLogo，16，analysis :公司的每个员工都被分配了一个不同的帐户(记住不要给他们修改策略设置的权限！)，只要在监视所选帐户或组对目标的访问时需要监视目标的访问权限和执行权限。开始之前，请取消“控制面板文件夹选项视图”选项卡下的“使用简单文件共享”。Co

4、mpanyLogo，17，步骤1:双击“审核策略”中右侧的“审核对象访问”，选中“成功”，确认操作并退出编辑器。右键单击目标磁盘或文件夹，选择属性切换到安全选项卡，然后单击高级切换到审核选项卡。在第二步：中，点击【增加】，输入小荷使用的用户名。因为小荷属于普通用户组，所以请输入计算机名用户，然后单击确定。此时，将弹出审计项目选择窗口，因为需要监控小荷对目标的“访问权限和执行权限”，所以检查“遍历文件夹/运行文件”并确认所有操作。CompanyLogo，20，第三步：当策略已经完成时。现在你可以试着看看它是否有效。打开事件查看器，右键单击“安全”，选择“清除所有事件”，然后退出系统。此时，小荷登

5、录到该系统，访问“D:data”并执行其中一个文件(如运行存储在该目录下的“MSN6.2.exe”文件)。退出系统后，图形用户界面以管理员身份登录并检查日志。他刚才是否清楚地记录了他的访问行为(见图)？CompanyLogo，22，7.1.3高级安全配置方案，(1)关闭DirectDraw，(7)使用智能卡，(2)关闭默认共享，(8)使用IPSec，(3)禁用转储文件，(9)禁止判断主机类型，(4)锁定注册表，(10)禁止来宾访问日志，(5)关闭时清除页面文件，(11)数据恢复软件，(6)禁止软盘启动，图-关闭默认共享Company logo，26，内容，(27)，company logo，7

6、.2.1超级用户安全管理。超级用户在安全管理中应该注意的几点包括：(1)在正常情况下，最好不要使用root帐号，而是使用su命令进入普通用户帐号。(2)超级用户不应运行其他用户的程序。(3)频繁更改根密码。(4)仔细设置密码限制。(5)不要把当前的工作目录放在路径表的前面，以避免木马程序的入侵。CompanyLogo，28，7.2.1超级用户安全管理，(6)不退出系统，请勿离开终端。(7)建议将登录名根更改为另一个名称。(8)注意检查异常的系统使用情况。(9)维护系统文件的完整性。(10)将磁盘备份存储在安全的地方。(11)确保所有登录帐户的密码不为空。(12)启动簿记系统。公司徽标，29，7

7、.2.2。有必要确保系统有一个安全的/etc/passwd文件。维护此文件时应注意以下问题：(1)避免直接修改/etc/passwd文件。(2)如果用户可以忍受，尝试使用更复杂的用户帐户名称。(3)确保密码文件中没有相同密码的用户帐户。(4)确保密码文件中每个用户的密码字段不为空。CompanyLogo，30，7.2.2用户帐户安全管理，(5)注意系统中特殊用户使用的外壳字段，并确保他们使用特殊程序而不是普通用户的外壳。(6)除非必要，否则最好不要使用组密码。(7)对于新用户，最好提供rsh(RestrictedShell)，让他们在有限的环境中使用系统。(8)账户长期不用时，可以通过记账机制

8、找到并封存。公司Logo，31，7.2.3用户密码管理，为了保证用户密码的安全性，必须注意以下几点：(1)不要写下用户密码；(2)用户输入密码时应避免被他人看到；(3)确保用户每人有一个密码，避免多人使用同一帐户；(4)不要重复使用相同的密码；(5)不要在不同的系统上使用相同的密码；(6)不要通过网络或调制解调器传输密码。CompanyLogo，32，7.2.4文件和目录安全性，文件和目录权限管理涉及重要目录的安全性，包括以下目录：/bin，/boot，/dev，/等和$HOME。/bin目录存储启动系统所需的所有可执行程序和通用命令。该目录只能由超级用户修改。同时，目录应该设置在PATH环境

9、变量的前面。/boot用于存储系统初始启动时所需的一些数据和文件。如果目录损坏，系统将无法启动。CompanyLogo，33，7.2.4文件和目录安全，/dev目录包含链接到硬件设备的文件，其访问权限应为775，应由root用户拥有。设备文件使用权设置不当会影响系统安全。例如，/dev/mem是系统内存，系统内存的内容可以通过使用cat命令显示在终端上。当系统正常工作时，使用/etc目录中的Passwd、group、shadow、inittab、cshrc和xinitrc文件。在大多数情况下，/etc中的文件是黑客的首选攻击目标。$HOME目录是每个用户的主目录，通常位于/home目录中。该目

10、录的名称通常与用户的登录名相同。超级用户的根目录在/root之下。CompanyLogo，34，7.2.5关于SUID程序，当一个进程在Unix/Linux中执行时，它被分别分配有四个标识号，即真实的用户标识号(realuserID)、有效的用户标识号(effective UID)、真实的用户标识号(realgroupID)和有效的用户标识号(effectivegroupID)。实际标识是在登录过程中建立的用户标识，有效标识用于确定进程对文件的访问权限。，CompanyLogo，35，7.2.5关于SUID计划，$ ls-l/etc/passwd-rw-r-r-1 rootrot 1939 oct 806336000/etc/passwd我们可以看到/etc/passwd文件不允许普通用户修改，但是普通用户可以通过运行passwd命令来修改他们的密码。查看/usr/bin/passwd命令文件：$ ls-l/usr/bin/passwd-r-s-x-x1 r