文件系统简介.ppt

1、操作系统-文件系统安全,顾益军/信息安全工程系/2010-5-11,专业基础课,基本概念,一、什么是权限？ 权限是指用户对于对象的访问限制。如能够新建或删除文件、文件夹、打印机等对象。 二、文件和文件夹的权限分几种？ 1、NTFS权限：仅在NTFS磁盘上的文件或文件夹具有此权限。NTFS权限称为文件与文件夹的访问权限。 2、共享权限：只要是共享出来的文件夹(称为共享文件夹)就具有此权限。若该文件夹也存在NTFS磁盘上，便同时具有NTFS权限和共享权限。,基本概念,三、什么是文件系统？ 文件命名、存储和组织的总体结构。,FAT NTFS EXTX EXT2、EXT2是许多LINUX操作系统版本的

2、默认系统，一般情况下将其称为EXTX。 UFS(UNIX FILE SYSTEM) 应用于HP-UX、FREEBSD、NETBSD、OPNEBSD、SUN SOLARIS等，主要变种有UFS1、UFS2. HFS+ 是苹果机MAC操作系统所使用的一种文件系统。,常见的文件系统,FAT,FAT（DOS、WIN9X、WIN ME下的文件格式） FAT 12 在DOS3.0以前使用。但是在现在，我们都还能找得到这个文件系统：用于软盘驱动器。 磁盘容量：最多8M。（4096clusters4sectors/clusters512bytes、sectors） 文件碎片严重。（只在磁盘上不存储在不连续的簇

3、内。） FAT 16 可以使用的簇的总数增加到了65546. Volume size Cluster size 0 to 32 MB 512 bytes 33 to 64 MB 1 KB 65 to128 MB 2 KB 129 to 256 MB 4 KB 257 to 511 MB 8 KB 512 to 1023 MB 16 KB 1024 to 2047 MB 32 KB 2048 to 4095 MB 64 KB,FAT,Fat32 Volume size Cluster size l ess than 8GB 4 KB less than 16GB 8 KB less than 3

4、2GB 16 KB more than 32gB 32 KB,NTFS概述,权限 磁盘限额 NTFS压缩 加密文件系统,一、访问控制列表 两种： DACL随机访问控制列表 SACL系统访问控制列表 DACL:存储用户或组对NTFS文件或文件夹拥有的相应的NTFS权限，用来控制用户对NTFS文件和文件夹的访问。 SACL:存储NTFS文件或文件夹的审计设置，用来跟踪和记录用户或组对NTFS文件所执行操作或访问试图。,权限,NTFS权限控制用户对文件和文件夹的访问，从而确保文件和文件夹的安全。通过NTFS权限可控制用户对某个NTFS文件或文件夹所有执行的操作，并且可以跟踪用户对文件所执行的所有操作

5、,权限-概述,二、访问控制元素ACE 每个ACE存储了一个对象（用户、组、或计算机帐号）对文件所对应的权限和审计策略。 三、NTFS文件和文件夹权限 NTFS文件权限: 读取（Read） 写入（Write） 读取与执行（Read & Execute） 修改（Modify） 完全控制（Full Control）,权限-概述,NTFS文件夹权限类型 读取（Read） 写入（Write） 列出文件夹内容（List Folder Contents） 读取与执行（Read & Execute） 修改（Modify） 完全控制（Full Control,权限-应用原则,一、三个原则 NTFS权限是累积的

6、文件权限超越文件夹权限 拒绝权限超越其他权限 二、NTFS权限是累积的 用户对文件或文件夹的有效权限，是用户对该文件或文件夹的NTFS权限和用户所属组对该用户和文件夹的NTFS权限的组合。,三、文件权限超越文件夹权限 当一个用户对某个文件及其父文件夹都拥有NTFS权限时，如果用户对其父文件夹的权限小于文件的权限，那么用户对该文件的有效权限是以文件权限为准,Onebit用户,写,浏览,写,Folder,FILE1,拒绝权优先于其他权限 管理员可以根据需要拒绝指定用户访问指定文件或文件夹，当系统拒绝了用户访问某文件或文件夹时，不管用户所属组对该文件或文件夹拥有什么权限，用户都无权访问文件。,Tea

7、cher组,Onebit用户,FILE1,拒绝写,拒绝写,权限-权限继承,一、继承可以实现以下功能： 创建子文件或文件夹后，管理员不须为子文件或文件夹授权。 确保应用与父文件夹的权限应用到所有子文件和文件夹上 确保需要修改所有子文件和文件夹的权限时，只需要修改父文件夹的权限而不用再为子文件和文件夹单独授权。,权限-权限继承,二、发生下列事件时，继承自动发生： 创建子文件或文件夹时，子文件和文件夹自动继承父文件夹的权限 修改父文件夹的权限时，子文件和文件夹自动继承父文件夹权限的修改。,系统自动赋给EVERYONE组分区根目录完全控制的NTFS权限。管理员可以根据需要修改文件和文件夹的NTFS权限

8、，控制用户对NTFS文件和文件夹的访问。 一、修改文件或文件夹的NTFS权限 文件夹或文件-右键-添加,二、阻止或允许权限继承 文件夹或文件-属性-安全-高级-选择“允许父项继承权限传播到该对象和所有子对象”。 当阻止权限继承时，有两种方式： 复制-系统将把以前从父文件夹继承来的所有权限保留下来，不再继承以后为父文件夹赋予的任何NTFS权限。 删除-把以前继承的所有权限删除。并不再继承。,三、复制和移动文件或文件夹时NTFS权限的变化。 不管是在分区内或分区间复制文件或文件夹，系统都将目标文件作为新文件对待，文件将继承目的地文件夹的权限。,更改权限 在标准NTFS权限中，只有“完全控制”权限才

9、可以赋予用户更改文件或文件夹NTFS，但“完全控制”权限同时有删除文件夹或文件的权限。 如果要赋予其他用户更改文件或文件夹权限的权限，而不能删除或写文件以及文件夹，就要用到更改权限功能。,二获取所有权 对象的所有者拥有一项特殊的权限能够指派权限。 系统默认情况下，创建文件和文件夹的用户是该文件或文件夹的“所有者”，拥有“所有权”。 所有权可以用以下方式转换： 当前所有者可以将“取得所有权”权限授予另一用户，这将允许该用户在任何时候取得所有权。该用户必须实际取得所有权才能完成所有权的转移。 管理员可以取得所有权。,NTFS磁盘限额,此功能可以控制用户对磁盘驱动空间的使用，在实际应用中可能需要开放

10、磁盘的写权限给用户。 管理员通过磁盘空间限额功能可有效为各用户分配磁盘空间。,NTFS磁盘限额,功能特点 磁盘限额基于NTFS分区实现 （限制到某个驱动器） 磁盘空间使用是基于限额限制的（跟实际分区大小无关） 磁盘空间限额空间使用根据文件所有权计量（用户） 磁盘限额空间的计算忽略NTFS文件压缩 ADMINISTRATOR不受磁盘限额限制,设置磁盘限额,管理员可以根据NTFS文件系统提供的磁盘限额功能限制用户在磁盘驱动器上使用的最大磁盘空间。 一、启用配置限额功能 我的电脑-资源管理器-右击磁盘属性-配额标签-启用配额管理。 二、利用磁盘配额项 限制大小、警告事件,压缩-NTFS压缩,NTFS

11、文件系统支持文件压缩功能以节省磁盘空间的使用。NTFS文件系统的文件压缩作为文件的一种属性，工作在系统后台，对用户完全透明。 当用户打开文件时，系统自动解压文件；当用户保存文件时，系统自动压缩文件，不需要用户额外操作。 为便于压缩文件的管理，2003支持用不同的颜色显示压缩文件的功能。,压缩-NTFS压缩,特点： 后台工作对用户完全透明 磁盘空间分配按照未压缩格式空间分配 利用不用颜色显示压缩文件,压缩-文件压缩,后台工作对用户完全透明 - 用户通过应用程序访问2003中的NTFS压缩文件时，系统会自动压缩文件，其访问方式跟访问其他未压缩的文件完全相同；当用户保存某个压缩文件时，系统会自动压缩

12、该文件，而不需要用户做任何手工交互操作。,压缩NTFS文件,复制和移动NTFS文件时其压缩属性的变化： -作为新文件对待，继承目的地文件夹的压缩属性。,加密文件系统,EFS-加密文件系统，提供一种核心文件加密技术，EFS仅能用户NTFS分区上的文件和文件夹加密。 ETS加密类似于NTFS权限可以控制用户对文件数据的访问，但ETS只允许授权用户读取文件内容，未经授权的用户无法访问文件，即使用户有完全控制的NTFS权限也不能打开文件，读取文件内容。,操作系统的加密文件系统提供了一种针对NTFS文件和文件夹的核心加密技术，用以保护文件内容的安全。加密文件系统在系统后台工作对用户完全透明，用户通过应用程序访问文件时，系统自动解密文件；用户保存文件时，系统自动加密文件，不需用户手工交互操作。 加密文件系统将文件加密作为文件属性保存，通过修改文件属性对文件和文件夹进行加密和解密。加密一个文件夹时，文件夹内所有子文件和子文件夹都自动加密。 管理员也可采用Cipher命令加密和解密文件,只能加密NTFS分区上的文件和文件夹。 -不能加密FAT、FAT32分区上的文件。 加密和压缩互斥不能加密压缩文件 加密和压缩互斥，不能加密压缩文件 仅授权