《客戶端安全技術(shù)》PPT課件.ppt

第三章 客戶端安全技術(shù),3.1 客戶端安全技術(shù)概述,在網(wǎng)絡(luò)飛速發(fā)展的今天，客戶端的安全問題已經(jīng)引起用戶越來越多的關(guān)注，要想讓計(jì)算機(jī)系統(tǒng)有足夠的安全性，就必須了解客戶端可能存在的安全隱患和可能受到的安全威脅，從而能從根本上解決計(jì)算機(jī)的安全問題。 任何計(jì)算機(jī)系統(tǒng)都不是絕對(duì)安全的，無論是硬件還是軟件都有可能存在漏洞。這些漏洞可能表現(xiàn)為物理的設(shè)置漏洞，軟件開發(fā)存在的代碼漏洞，安全策略的不正當(dāng)配置漏洞等等。,3.2 操作系統(tǒng)安全技術(shù),在安全的層次模型中，操作系統(tǒng)的安全屬于系統(tǒng)級(jí)的安全范疇,它為上層提供底層的安全保障平臺(tái)。它的安全缺陷和安全漏洞，往往會(huì)造成嚴(yán)重的后果。,3.2.1 操作系統(tǒng)安全概述,操作系統(tǒng)安全是指操作系統(tǒng)對(duì)計(jì)算機(jī)信息系統(tǒng)的硬件和軟件資源進(jìn)行有效控制，能夠?yàn)樗芾淼馁Y源提供相應(yīng)的安全系統(tǒng)。,3.2.1 操作系統(tǒng)安全概述,1. 操作系統(tǒng)的安全控制 隔離控制的方法 訪問控制,3.2.1 操作系統(tǒng)安全概述,2. 操作系統(tǒng)的安全威脅 惡意程序的威脅 不合法使用。 惡意入侵者 應(yīng)用程序的安全性 數(shù)據(jù)的安全性,3.2.2 Windows系統(tǒng)安全,1.Windows 2000操作系統(tǒng)的安全特性 加密文件系統(tǒng)EFS（Encrypting File System） 安全事件日志 多安全協(xié)議 2. Windows 2000安全漏洞和防范 Windows 2000安全漏洞 Windows 2000安全防范,3.2.3 Linux系統(tǒng)安全,Linux 是以 Unix 操作系統(tǒng)為原型創(chuàng)造的。它就被設(shè)計(jì)成一種多任務(wù)、多用戶的系統(tǒng)。Linux操作系統(tǒng)以它的高效性和靈活性著稱。它能夠在PC計(jì)算機(jī)上實(shí)現(xiàn)全部的Unix特性，具有多任務(wù)、多用戶的能力。,3.2.3 Linux系統(tǒng)安全,(1) Linux內(nèi)建的安全機(jī)制 1 用戶和組的管理 Linux系統(tǒng)支持以命令行或窗口方式管理用戶和用戶組。它提供了安全的用戶名和口令文件保護(hù)以及強(qiáng)大的口令設(shè)置規(guī)則，并對(duì)用戶和用戶組的權(quán)限進(jìn)行細(xì)粒度的劃分。Linux系統(tǒng)的用戶和用戶組的信息分別保存在/etc/shadow、/etc/passwd、/etc/group、/etc/gshadow文件中，為這些文件設(shè)置較高的安全權(quán)限是完全必要的。在較高安全要求的系統(tǒng)中，可以將這些文件設(shè)置為不可更改屬性。Linux系統(tǒng)中也帶有一些常用的口令字典，以便在用戶設(shè)置的口令不太安全時(shí)及時(shí)提醒用戶。,3.2.3 Linux系統(tǒng)安全,2. 目錄和文件的權(quán)限 新建文件夾和文件 設(shè)置文件的所屬用戶、用戶組和權(quán)限 3. 日志系統(tǒng)的管理 日志對(duì)操作系統(tǒng)來說是非常重要的，因?yàn)樗涗浟讼到y(tǒng)每天發(fā)生的各種事情，可以通過日志程序來檢查和分析錯(cuò)誤文件發(fā)生的原因，或者受到攻擊時(shí)攻擊者留下的痕跡。大部分日志文件都保存在/var/log目錄下，也有一些日志文件存在其它目錄下?？梢酝ㄟ^編輯/etc/syslog.conf 和/etc / sysconfig/syslog 文件，定制系統(tǒng)日志的存放路徑和日志產(chǎn)生級(jí)別。,3.2.3 Linux系統(tǒng)安全,(2) Linux常見漏洞和基本的防范措施 1. Linux常見漏洞 用戶口令尤其是超級(jí)用戶口令設(shè)置不符合要求，導(dǎo)致暴力破解密碼成功； 默認(rèn)的情況下，有許多服務(wù)是處于開啟狀態(tài)，給別有用心的人留下可乘之機(jī)； 目錄和文件的權(quán)限設(shè)置不當(dāng)，導(dǎo)致其他用戶能夠訪問一些重要的文件和目錄。 普通用戶利用系統(tǒng)漏洞提升自己的系統(tǒng)權(quán)限，或者使已經(jīng)獲得一些權(quán)限的遠(yuǎn)程攻擊者，進(jìn)一步的提升權(quán)限。 遠(yuǎn)程攻擊者利用Linux系統(tǒng)上默認(rèn)的一些安裝服務(wù)，這些服務(wù)本身存在漏洞，致使在對(duì)外提供服務(wù)的時(shí)候，可能遭到遠(yuǎn)程攻擊。,3.2.3 Linux系統(tǒng)安全,2. Linux的基本防范措施 保護(hù)口令文件 刪除系統(tǒng)特殊的用戶帳號(hào)和組帳號(hào) 帳戶的密碼設(shè)置 自動(dòng)注銷root帳號(hào) 設(shè)置系統(tǒng)文件和普通文件權(quán)限 關(guān)閉系統(tǒng)不使用的服務(wù) 充分利用系統(tǒng)的審計(jì)功能 及時(shí)下載安裝補(bǔ)丁 利用系統(tǒng)安全工具來實(shí)施對(duì)系統(tǒng)的保護(hù),3.3 應(yīng)用系統(tǒng)安全技術(shù),3.3.1 Web應(yīng)用系統(tǒng)安全 Web應(yīng)用系統(tǒng)安全問題包括以下三個(gè)方面： 確保Web服務(wù)器及其存儲(chǔ)的數(shù)據(jù)的安全。 確保Web服務(wù)器和Web瀏覽器之間信息傳輸?shù)陌踩?確保用戶Web瀏覽器的安全。,3.3 應(yīng)用系統(tǒng)安全技術(shù),(1) Web瀏覽器的安全問題 客戶瀏覽器的安全問題 輔助程序 Java 、JavaScript和ActiveX 圖形文件、插件和電子函件的附件 日志文件和Cookie技術(shù),3.3 應(yīng)用系統(tǒng)安全技術(shù),2. Cookie和會(huì)話管理 Cookie簡(jiǎn)介 會(huì)話管理 服務(wù)器面臨的會(huì)話管理問題 保障會(huì)話安全,3.3 應(yīng)用系統(tǒng)安全技術(shù),(2) 常見攻擊 脆弱腳本攻擊 強(qiáng)行登錄攻擊 緩沖區(qū)溢出攻擊,3.3.2 常規(guī)應(yīng)用系統(tǒng)安全,應(yīng)用系統(tǒng)軟件一經(jīng)問世，用戶在使用時(shí)就不得不考慮由它帶來的安全問題。從管理員的角度來看，主要應(yīng)該從這幾個(gè)方面來考慮其安全問題：應(yīng)用系統(tǒng)的安全級(jí)別、集成操作系統(tǒng)安全、應(yīng)用系統(tǒng)升級(jí)和網(wǎng)絡(luò)訪問。,3.3.2 常規(guī)應(yīng)用系統(tǒng)安全,(1) 安全級(jí)別 應(yīng)用系統(tǒng)在執(zhí)行任務(wù)時(shí)，其運(yùn)行的安全級(jí)別對(duì)系統(tǒng)的安全有著重要的影響。在安全領(lǐng)域存在這么一個(gè)觀點(diǎn)，就是總是使用完成任務(wù)所需的最小特權(quán)集來執(zhí)行任務(wù)。應(yīng)用系統(tǒng)在執(zhí)行任務(wù)時(shí)，也同樣應(yīng)該僅僅使用任務(wù)所需的最低特權(quán)來運(yùn)行它。如果在很低的特權(quán)下運(yùn)行那些會(huì)危及安全的軟件，就可以減少那些會(huì)導(dǎo)致安全問題產(chǎn)生所帶來的危害。,3.3.2 常規(guī)應(yīng)用系統(tǒng)安全,(1) 安全級(jí)別 與運(yùn)行特權(quán)有關(guān)的安全威脅 解決運(yùn)行特權(quán)的提升問題 在測(cè)試機(jī)上安裝應(yīng)用系統(tǒng) 利用虛擬機(jī)解決管理特權(quán)的需求,3.3.2 常規(guī)應(yīng)用系統(tǒng)安全,(1) 集成操作系統(tǒng)安全 1. 集成操作系統(tǒng)安全方式 手動(dòng)導(dǎo)入安全信息 自動(dòng)集成安全信息 2. 集成操作系統(tǒng)安全注意的問題,3.3.2 常規(guī)應(yīng)用系統(tǒng)安全,(3) 系統(tǒng)升級(jí)和網(wǎng)絡(luò)訪問安全 1. 升級(jí)應(yīng)用系統(tǒng)方式 手動(dòng)更新 智能更新 2. 網(wǎng)絡(luò)訪問,3.3.3 遠(yuǎn)程管理安全,(1) 使用Web接口實(shí)現(xiàn)遠(yuǎn)程管理 1. Web接口遠(yuǎn)程管理操作系統(tǒng) 安裝Web UI遠(yuǎn)程管理 登錄Web UI遠(yuǎn)程管理 Web UI遠(yuǎn)程管理 2. Web接口遠(yuǎn)程管理應(yīng)用系統(tǒng),3.3.3 遠(yuǎn)程管理安全,(2) 基于Web遠(yuǎn)程管理的認(rèn)證 1. 認(rèn)證方法 基本密碼認(rèn)證 NTLM認(rèn)證 SSL（Secure Socket Layer）加密認(rèn)證 SSH（Secure Shell）安全驗(yàn)證 2. 各種認(rèn)證方法的比較,3.3.3 遠(yuǎn)程管理安全,(3) 客戶端遠(yuǎn)程管理 1. 客戶遠(yuǎn)程管理優(yōu)點(diǎn)和缺點(diǎn) 復(fù)雜圖形 認(rèn)證和加密 有效性 2. 客戶遠(yuǎn)程管理的安全問題,3.4 實(shí)訓(xùn)指導(dǎo),實(shí)訓(xùn)一：Windows安全配置 一. 實(shí)驗(yàn)條件 二. 實(shí)驗(yàn)內(nèi)容 1. Windows 2000下的賬戶與