操作系統(tǒng)的安全管理

1、四川交通職業(yè)技術(shù)學(xué)院第四章 操作系統(tǒng)安全四川交通職業(yè)技術(shù)學(xué)院4.1 Windows系統(tǒng)安全系統(tǒng)安全1 Windows 2003的安全環(huán)境的安全環(huán)境2 Windows 2003 的安全服務(wù)的安全服務(wù)3 Windows 2003的安全模式的安全模式4 Windows 2003 Server的安全管理的安全管理5 基于基于Windows 2003建立安全的建立安全的Web站點(diǎn)站點(diǎn)6 安全工具安全工具四川交通職業(yè)技術(shù)學(xué)院所有的安全服務(wù)并非均由操作系統(tǒng)完成，如：認(rèn)所有的安全服務(wù)并非均由操作系統(tǒng)完成，如：認(rèn)證或者數(shù)字簽名等均由網(wǎng)絡(luò)中的應(yīng)用層來(lái)完成。證或者數(shù)字簽名等均由網(wǎng)絡(luò)中的應(yīng)用層來(lái)完成。如何對(duì)如何對(duì)Wi

2、ndows 2003網(wǎng)絡(luò)操作系統(tǒng)進(jìn)行安全管理網(wǎng)絡(luò)操作系統(tǒng)進(jìn)行安全管理，一般是通過(guò)如下幾個(gè)方面來(lái)進(jìn)行的。，一般是通過(guò)如下幾個(gè)方面來(lái)進(jìn)行的。l 訪問(wèn)控制訪問(wèn)控制 通過(guò)對(duì)特定的網(wǎng)段以服務(wù)建立的訪通過(guò)對(duì)特定的網(wǎng)段以服務(wù)建立的訪問(wèn)控制體系，將絕大多數(shù)攻擊阻止在到達(dá)攻擊目問(wèn)控制體系，將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)以前。標(biāo)以前。l 檢查安全漏洞檢查安全漏洞 通過(guò)對(duì)安全漏洞的周期檢查，通過(guò)對(duì)安全漏洞的周期檢查，即使攻擊可到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊即使攻擊可到達(dá)攻擊目標(biāo)，也可使絕大多數(shù)攻擊無(wú)效。無(wú)效。l 監(jiān)控系統(tǒng)監(jiān)控系統(tǒng) 通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的攻擊通過(guò)對(duì)特定網(wǎng)段、服務(wù)建立的攻擊監(jiān)控體系，可實(shí)時(shí)檢測(cè)出

3、絕大多數(shù)攻擊，并采取監(jiān)控體系，可實(shí)時(shí)檢測(cè)出絕大多數(shù)攻擊，并采取相應(yīng)的行動(dòng)（如斷開(kāi)網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、相應(yīng)的行動(dòng)（如斷開(kāi)網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、跟蹤攻擊源等）。跟蹤攻擊源等）。四川交通職業(yè)技術(shù)學(xué)院l 加密通訊加密通訊 主動(dòng)的加密通訊，可使攻擊者不能了主動(dòng)的加密通訊，可使攻擊者不能了解、修改敏感信息。解、修改敏感信息。l 認(rèn)證認(rèn)證 良好的認(rèn)證體系可防止攻擊者假冒合法用良好的認(rèn)證體系可防止攻擊者假冒合法用戶。戶。l 備份和恢復(fù)備份和恢復(fù) 良好的備份和恢復(fù)機(jī)制，可在攻擊良好的備份和恢復(fù)機(jī)制，可在攻擊造成損失時(shí)，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。造成損失時(shí)，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。l 多層防御，攻擊者在突

4、破第一道防線后，延緩多層防御，攻擊者在突破第一道防線后，延緩或阻斷其到達(dá)攻擊目標(biāo)?；蜃钄嗥涞竭_(dá)攻擊目標(biāo)。l 隱藏內(nèi)部信息隱藏內(nèi)部信息 使攻擊者不能了解系統(tǒng)內(nèi)的基本使攻擊者不能了解系統(tǒng)內(nèi)的基本情況。情況。l 設(shè)立安全監(jiān)控中心設(shè)立安全監(jiān)控中心 為信息系統(tǒng)提供安全體系管為信息系統(tǒng)提供安全體系管理、監(jiān)控、保護(hù)及緊急情況服務(wù)。理、監(jiān)控、保護(hù)及緊急情況服務(wù)。四川交通職業(yè)技術(shù)學(xué)院4.1.1 Windows 2003的安全環(huán)境的安全環(huán)境一個(gè)安全的網(wǎng)絡(luò)操作系統(tǒng)的安全性特征是貫穿于整個(gè)系一個(gè)安全的網(wǎng)絡(luò)操作系統(tǒng)的安全性特征是貫穿于整個(gè)系統(tǒng)之中的，操作系統(tǒng)要安全就必須保證文件系統(tǒng)、用戶統(tǒng)之中的，操作系統(tǒng)要安全就必須保

5、證文件系統(tǒng)、用戶帳戶目錄、用戶確認(rèn)系統(tǒng)、內(nèi)存管理、環(huán)境子系統(tǒng)等的帳戶目錄、用戶確認(rèn)系統(tǒng)、內(nèi)存管理、環(huán)境子系統(tǒng)等的安全性。安全性。Windows 2003 的安全環(huán)境就是將保密性溶入的安全環(huán)境就是將保密性溶入每一個(gè)組件的創(chuàng)建過(guò)程中，并且它的設(shè)計(jì)達(dá)到了每一個(gè)組件的創(chuàng)建過(guò)程中，并且它的設(shè)計(jì)達(dá)到了C2級(jí)認(rèn)級(jí)認(rèn)可的安全性系統(tǒng)的要求。可的安全性系統(tǒng)的要求。Windows 2003 Server的設(shè)計(jì)的設(shè)計(jì)還能保護(hù)存儲(chǔ)在計(jì)算機(jī)內(nèi)存中的數(shù)據(jù)，使未授權(quán)的進(jìn)程還能保護(hù)存儲(chǔ)在計(jì)算機(jī)內(nèi)存中的數(shù)據(jù)，使未授權(quán)的進(jìn)程無(wú)法訪問(wèn)這些數(shù)據(jù)。如：用戶無(wú)法訪問(wèn)這些數(shù)據(jù)。如：用戶Tom必須登錄并由系統(tǒng)驗(yàn)必須登錄并由系統(tǒng)驗(yàn)證后才能進(jìn)行數(shù)

6、據(jù)訪問(wèn)，這時(shí)系統(tǒng)將驗(yàn)證它的身份和權(quán)證后才能進(jìn)行數(shù)據(jù)訪問(wèn)，這時(shí)系統(tǒng)將驗(yàn)證它的身份和權(quán)限進(jìn)行確認(rèn)，這就能保證信息被完全保護(hù)并且只有被授限進(jìn)行確認(rèn)，這就能保證信息被完全保護(hù)并且只有被授權(quán)用戶才能訪問(wèn)。權(quán)用戶才能訪問(wèn)。四川交通職業(yè)技術(shù)學(xué)院操作系統(tǒng)安全等級(jí)操作系統(tǒng)安全等級(jí)從從20世紀(jì)世紀(jì)80年代開(kāi)始，國(guó)際上很多組織開(kāi)始研年代開(kāi)始，國(guó)際上很多組織開(kāi)始研究并發(fā)布計(jì)算機(jī)系統(tǒng)的安全性評(píng)價(jià)等級(jí)，最具影響究并發(fā)布計(jì)算機(jī)系統(tǒng)的安全性評(píng)價(jià)等級(jí)，最具影響的是美國(guó)國(guó)防部制定的的是美國(guó)國(guó)防部制定的可信計(jì)算機(jī)系統(tǒng)安全評(píng)估可信計(jì)算機(jī)系統(tǒng)安全評(píng)估標(biāo)準(zhǔn)標(biāo)準(zhǔn)（Trusted Computer System Evaluation Cri

7、teria，簡(jiǎn)稱，簡(jiǎn)稱TCSEC），它將評(píng)價(jià)準(zhǔn)則劃分為四），它將評(píng)價(jià)準(zhǔn)則劃分為四類，每一類中又細(xì)分了不同的級(jí)別。類，每一類中又細(xì)分了不同的級(jí)別。D類：不細(xì)分級(jí)別；類：不細(xì)分級(jí)別；C類：類：C1級(jí)，級(jí)，C2級(jí)；級(jí)；B類：類：B1級(jí)，級(jí)，B2級(jí)，級(jí)，B3級(jí)；級(jí)；A類：類：A1級(jí)。其中，級(jí)。其中，D類的類的安全級(jí)別最低，安全級(jí)別最低，A類最高，高級(jí)別包括低級(jí)別的所類最高，高級(jí)別包括低級(jí)別的所有功能，同時(shí)又實(shí)現(xiàn)一些新的內(nèi)容，實(shí)際工作中主有功能，同時(shí)又實(shí)現(xiàn)一些新的內(nèi)容，實(shí)際工作中主要通過(guò)測(cè)試系統(tǒng)與安全的部分來(lái)確定這些系統(tǒng)的設(shè)要通過(guò)測(cè)試系統(tǒng)與安全的部分來(lái)確定這些系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn)是否正確與安全。計(jì)和實(shí)現(xiàn)是否

8、正確與安全。四川交通職業(yè)技術(shù)學(xué)院1安全等級(jí)安全等級(jí)D1級(jí)級(jí)這是計(jì)算機(jī)安全的最低一級(jí)。整個(gè)計(jì)算機(jī)系統(tǒng)是不這是計(jì)算機(jī)安全的最低一級(jí)。整個(gè)計(jì)算機(jī)系統(tǒng)是不可信任的，硬可信任的，硬 件和操作系統(tǒng)很容易被侵襲。件和操作系統(tǒng)很容易被侵襲。D1級(jí)計(jì)算機(jī)級(jí)計(jì)算機(jī)系統(tǒng)標(biāo)準(zhǔn)規(guī)定對(duì)用戶沒(méi)有驗(yàn)系統(tǒng)標(biāo)準(zhǔn)規(guī)定對(duì)用戶沒(méi)有驗(yàn) 證，也就是任何人都可以使證，也就是任何人都可以使用該計(jì)算機(jī)系統(tǒng)而不會(huì)有任何障礙。系統(tǒng)用該計(jì)算機(jī)系統(tǒng)而不會(huì)有任何障礙。系統(tǒng) 不要求用戶進(jìn)不要求用戶進(jìn)行登記（要求用戶提供用戶名）或口令保護(hù)（要求用戶行登記（要求用戶提供用戶名）或口令保護(hù)（要求用戶 提供唯一字符串來(lái)進(jìn)行訪問(wèn)）。任何人都可以坐在計(jì)算提供唯一字符串

9、來(lái)進(jìn)行訪問(wèn)）。任何人都可以坐在計(jì)算機(jī)前并開(kāi)始使機(jī)前并開(kāi)始使 用它。用它。 D1級(jí)的計(jì)算機(jī)系統(tǒng)包括：級(jí)的計(jì)算機(jī)系統(tǒng)包括： MS-Dos MS-Windows3.xe及及Windows95(不在工作組方式中）不在工作組方式中） Apple的的System7.x 四川交通職業(yè)技術(shù)學(xué)院v2安全等級(jí)安全等級(jí)C1級(jí)（自主安全保護(hù)）級(jí)（自主安全保護(hù)）vC1級(jí)系統(tǒng)要求硬件有一定的安全機(jī)制（如硬件帶鎖裝置和需級(jí)系統(tǒng)要求硬件有一定的安全機(jī)制（如硬件帶鎖裝置和需要鑰要鑰 匙才能使用計(jì)算機(jī)等），用戶在使用前必須登錄到系統(tǒng)。匙才能使用計(jì)算機(jī)等），用戶在使用前必須登錄到系統(tǒng)。C1級(jí)系統(tǒng)還級(jí)系統(tǒng)還 要求具有完全訪問(wèn)控制的能

10、力，經(jīng)應(yīng)當(dāng)允許系統(tǒng)要求具有完全訪問(wèn)控制的能力，經(jīng)應(yīng)當(dāng)允許系統(tǒng)管理員為一些程序或管理員為一些程序或 數(shù)據(jù)設(shè)立訪問(wèn)許可權(quán)限。數(shù)據(jù)設(shè)立訪問(wèn)許可權(quán)限。C1級(jí)防護(hù)不足級(jí)防護(hù)不足之處在于用戶直接訪問(wèn)操作系之處在于用戶直接訪問(wèn)操作系 統(tǒng)的根。統(tǒng)的根。C1級(jí)不能控制進(jìn)入系級(jí)不能控制進(jìn)入系統(tǒng)的用戶的訪問(wèn)級(jí)別，所以用戶可以將統(tǒng)的用戶的訪問(wèn)級(jí)別，所以用戶可以將 系統(tǒng)的數(shù)據(jù)任意移走。系統(tǒng)的數(shù)據(jù)任意移走。v常見(jiàn)的常見(jiàn)的C1級(jí)兼容計(jì)算機(jī)系統(tǒng)如下所列：級(jí)兼容計(jì)算機(jī)系統(tǒng)如下所列： UNIX 系統(tǒng)系統(tǒng) XENIX Novell3.x或更高版本或更高版本 Windows NT 四川交通職業(yè)技術(shù)學(xué)院3安全等級(jí)安全等級(jí)C2級(jí)（可控訪

11、問(wèn)保護(hù)）級(jí)（可控訪問(wèn)保護(hù)）vC2級(jí)在級(jí)在C1級(jí)的某些不足之處加強(qiáng)了幾個(gè)特性，級(jí)的某些不足之處加強(qiáng)了幾個(gè)特性，C2級(jí)引進(jìn)了級(jí)引進(jìn)了受控訪受控訪 問(wèn)環(huán)境（用戶權(quán)限級(jí)別）的增強(qiáng)特性。這一特性不僅問(wèn)環(huán)境（用戶權(quán)限級(jí)別）的增強(qiáng)特性。這一特性不僅以用戶權(quán)限為基以用戶權(quán)限為基 礎(chǔ)，還進(jìn)一步限制了用戶執(zhí)行某些系統(tǒng)指令。礎(chǔ)，還進(jìn)一步限制了用戶執(zhí)行某些系統(tǒng)指令。授權(quán)分級(jí)使系統(tǒng)管理員授權(quán)分級(jí)使系統(tǒng)管理員 能夠分用戶分組，授予他們?cè)L問(wèn)某些能夠分用戶分組，授予他們?cè)L問(wèn)某些程序的權(quán)限或訪問(wèn)分級(jí)目錄。程序的權(quán)限或訪問(wèn)分級(jí)目錄。 另一方面，用戶權(quán)限以個(gè)人為另一方面，用戶權(quán)限以個(gè)人為單位授權(quán)用戶對(duì)某一程序所在目錄的訪單位授權(quán)用

12、戶對(duì)某一程序所在目錄的訪 問(wèn)。如果其他程序和問(wèn)。如果其他程序和數(shù)據(jù)也在同一目錄下，那么用戶也將自動(dòng)得到訪數(shù)據(jù)也在同一目錄下，那么用戶也將自動(dòng)得到訪 問(wèn)這些信息問(wèn)這些信息的權(quán)限。的權(quán)限。C2級(jí)系統(tǒng)還采用了系統(tǒng)審計(jì)。審計(jì)特性跟蹤所有級(jí)系統(tǒng)還采用了系統(tǒng)審計(jì)。審計(jì)特性跟蹤所有 的的“安全事件安全事件”，如登錄（成功和失敗的），以及系統(tǒng)管理員，如登錄（成功和失敗的），以及系統(tǒng)管理員的工作，的工作， 如改變用戶訪問(wèn)和口令。如改變用戶訪問(wèn)和口令。 v常見(jiàn)的常見(jiàn)的C2級(jí)操作系統(tǒng)有：級(jí)操作系統(tǒng)有： UNIX 系統(tǒng)系統(tǒng) XENIX Novell3.x或更或更高版本高版本 Windows NT 四川交通職業(yè)技術(shù)學(xué)院

13、4安全等級(jí)安全等級(jí)B1級(jí)（表示安全保護(hù)）級(jí)（表示安全保護(hù)）B1級(jí)系統(tǒng)支持多級(jí)安全，多級(jí)是指這一安全保護(hù)安級(jí)系統(tǒng)支持多級(jí)安全，多級(jí)是指這一安全保護(hù)安裝在不同級(jí)別裝在不同級(jí)別 的系統(tǒng)中（網(wǎng)絡(luò)、應(yīng)用程序、工作站等），的系統(tǒng)中（網(wǎng)絡(luò)、應(yīng)用程序、工作站等），它對(duì)敏感信息提供更高級(jí)它對(duì)敏感信息提供更高級(jí) 的保護(hù)。例如安全級(jí)別可以分的保護(hù)。例如安全級(jí)別可以分為解密、保密和絕密級(jí)別為解密、保密和絕密級(jí)別 5安全等級(jí)安全等級(jí)B2級(jí)（結(jié)構(gòu)安全保護(hù)）級(jí)（結(jié)構(gòu)安全保護(hù)）B2級(jí)標(biāo)準(zhǔn)要求計(jì)算機(jī)系統(tǒng)中所有對(duì)象加標(biāo)簽，而且級(jí)標(biāo)準(zhǔn)要求計(jì)算機(jī)系統(tǒng)中所有對(duì)象加標(biāo)簽，而且給設(shè)備（如工作站、終端給設(shè)備（如工作站、終端 和磁盤驅(qū)動(dòng)器）分

14、配安全級(jí)別。和磁盤驅(qū)動(dòng)器）分配安全級(jí)別。如用戶可以訪問(wèn)一臺(tái)工作站，但可能如用戶可以訪問(wèn)一臺(tái)工作站，但可能 不允許訪問(wèn)裝有人不允許訪問(wèn)裝有人員工資資料的磁盤子系統(tǒng)。員工資資料的磁盤子系統(tǒng)。 四川交通職業(yè)技術(shù)學(xué)院6安全等級(jí)安全等級(jí)B3級(jí)級(jí)B3級(jí)（安全域保護(hù)）標(biāo)準(zhǔn)：級(jí)（安全域保護(hù)）標(biāo)準(zhǔn)：B3級(jí)要求用戶工作站或終端通過(guò)可信任途徑連接網(wǎng)級(jí)要求用戶工作站或終端通過(guò)可信任途徑連接網(wǎng)絡(luò)系統(tǒng)，這一絡(luò)系統(tǒng)，這一 級(jí)必須采用硬件來(lái)保護(hù)安全系統(tǒng)的存儲(chǔ)區(qū)。級(jí)必須采用硬件來(lái)保護(hù)安全系統(tǒng)的存儲(chǔ)區(qū)。 四川交通職業(yè)技術(shù)學(xué)院7安全等級(jí)安全等級(jí)A1級(jí)級(jí)A1級(jí)（驗(yàn)證安全保護(hù)）標(biāo)準(zhǔn)：級(jí)（驗(yàn)證安全保護(hù)）標(biāo)準(zhǔn)：這是橙皮書中的最高安全級(jí)別，

15、與前面提到各級(jí)級(jí)這是橙皮書中的最高安全級(jí)別，與前面提到各級(jí)級(jí)別一樣，這一級(jí)包括了它下面各別一樣，這一級(jí)包括了它下面各 級(jí)的所有特性。級(jí)的所有特性。A級(jí)還級(jí)還附加一個(gè)安全系統(tǒng)受監(jiān)視的設(shè)計(jì)要求，合格的附加一個(gè)安全系統(tǒng)受監(jiān)視的設(shè)計(jì)要求，合格的 安全個(gè)體安全個(gè)體必須分析并通過(guò)這一設(shè)計(jì)。另外，必須采用嚴(yán)格的形式必須分析并通過(guò)這一設(shè)計(jì)。另外，必須采用嚴(yán)格的形式化方化方 法來(lái)證明該系統(tǒng)的安全性。而且在法來(lái)證明該系統(tǒng)的安全性。而且在A級(jí)，所有構(gòu)成級(jí)，所有構(gòu)成系統(tǒng)的部件的來(lái)源系統(tǒng)的部件的來(lái)源 必須安全保證，這些安全措施還必須必須安全保證，這些安全措施還必須擔(dān)保在銷售過(guò)程中這些部件不受擔(dān)保在銷售過(guò)程中這些部件不受

16、 損害。例如，在損害。例如，在A級(jí)設(shè)級(jí)設(shè)置中，一個(gè)磁帶驅(qū)動(dòng)器從生產(chǎn)廠房直至計(jì)算機(jī)置中，一個(gè)磁帶驅(qū)動(dòng)器從生產(chǎn)廠房直至計(jì)算機(jī) 房都被嚴(yán)房都被嚴(yán)密跟蹤。密跟蹤。 一般認(rèn)為一般認(rèn)為A1級(jí)已經(jīng)基本實(shí)現(xiàn)各種安全需求，更級(jí)已經(jīng)基本實(shí)現(xiàn)各種安全需求，更完美的系統(tǒng)就認(rèn)為是超出完美的系統(tǒng)就認(rèn)為是超出A1級(jí)的系統(tǒng)。級(jí)的系統(tǒng)。四川交通職業(yè)技術(shù)學(xué)院國(guó)內(nèi)操作系統(tǒng)安全等級(jí)國(guó)內(nèi)操作系統(tǒng)安全等級(jí)中國(guó)國(guó)家標(biāo)準(zhǔn)中國(guó)國(guó)家標(biāo)準(zhǔn)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則劃分準(zhǔn)則（GB 17859-1999）規(guī)定了計(jì)算機(jī)系統(tǒng)）規(guī)定了計(jì)算機(jī)系統(tǒng)安全保護(hù)能力的五個(gè)等級(jí)，即：安全保護(hù)能力的五個(gè)等級(jí)，即：第一級(jí)：用戶自主保護(hù)級(jí)；

17、第一級(jí)：用戶自主保護(hù)級(jí)；第二級(jí)：系統(tǒng)審計(jì)保護(hù)級(jí)；第二級(jí)：系統(tǒng)審計(jì)保護(hù)級(jí)；第三級(jí)：安全標(biāo)記保護(hù)級(jí)；第三級(jí)：安全標(biāo)記保護(hù)級(jí)；第四級(jí)：結(jié)構(gòu)化保護(hù)級(jí)；第四級(jí)：結(jié)構(gòu)化保護(hù)級(jí)；第五級(jí)：訪問(wèn)驗(yàn)證保護(hù)級(jí)。第五級(jí)：訪問(wèn)驗(yàn)證保護(hù)級(jí)。本標(biāo)準(zhǔn)中計(jì)算機(jī)信息系統(tǒng)安全保護(hù)能力隨著安本標(biāo)準(zhǔn)中計(jì)算機(jī)信息系統(tǒng)安全保護(hù)能力隨著安全保護(hù)等級(jí)的增高，逐漸增強(qiáng)。全保護(hù)等級(jí)的增高，逐漸增強(qiáng)。四川交通職業(yè)技術(shù)學(xué)院4.2.2 Windows 2003的安全服務(wù)的安全服務(wù)所有的網(wǎng)絡(luò)操作系統(tǒng)中的應(yīng)用程序?qū)⒈徊煌挠脩暨M(jìn)行訪問(wèn)（遠(yuǎn)程所有的網(wǎng)絡(luò)操作系統(tǒng)中的應(yīng)用程序?qū)⒈徊煌挠脩暨M(jìn)行訪問(wèn)（遠(yuǎn)程訪問(wèn)或本地訪問(wèn)），操作系統(tǒng)首先必須具有驗(yàn)證能力，才能知道這訪

18、問(wèn)或本地訪問(wèn)），操作系統(tǒng)首先必須具有驗(yàn)證能力，才能知道這個(gè)用戶是不是合法的用戶。個(gè)用戶是不是合法的用戶。驗(yàn)證一般有以下四種：驗(yàn)證一般有以下四種：l 某個(gè)具體內(nèi)容某個(gè)具體內(nèi)容 如：用戶名、如：用戶名、/密碼等。密碼等。l 某個(gè)具體的設(shè)備某個(gè)具體的設(shè)備 如：如：ATM卡、密鑰等，這是一種需要對(duì)某個(gè)卡、密鑰等，這是一種需要對(duì)某個(gè)唯一設(shè)備進(jìn)行物理處理以確認(rèn)用戶的驗(yàn)證機(jī)制。唯一設(shè)備進(jìn)行物理處理以確認(rèn)用戶的驗(yàn)證機(jī)制。l 某種特征某種特征 如：指紋、視網(wǎng)膜掃描、聲音檢測(cè)等等。這是一種可如：指紋、視網(wǎng)膜掃描、聲音檢測(cè)等等。這是一種可以提供很高安全性的生物驗(yàn)證機(jī)制。以提供很高安全性的生物驗(yàn)證機(jī)制。l 某個(gè)位置某

19、個(gè)位置 如：網(wǎng)絡(luò)適配卡地址等。如：基于全球衛(wèi)星定位的系如：網(wǎng)絡(luò)適配卡地址等。如：基于全球衛(wèi)星定位的系統(tǒng)等?？梢蕴峁┗谟脩粑恢玫牡尿?yàn)證信息。統(tǒng)等。可以提供基于用戶位置的的驗(yàn)證信息。操作系統(tǒng)的驗(yàn)證機(jī)制一般體現(xiàn)在如下幾個(gè)方面：操作系統(tǒng)的驗(yàn)證機(jī)制一般體現(xiàn)在如下幾個(gè)方面：l 支持的驗(yàn)證方法的數(shù)量。支持的驗(yàn)證方法的數(shù)量。l 方法的強(qiáng)度。方法的強(qiáng)度。l 驗(yàn)證信息是否集成到所有安全操作中。驗(yàn)證信息是否集成到所有安全操作中。1 驗(yàn)證驗(yàn)證四川交通職業(yè)技術(shù)學(xué)院2 訪問(wèn)控制訪問(wèn)控制當(dāng)操作系統(tǒng)確認(rèn)連接的用戶是合法的用戶，接下來(lái)就必須知道該用戶的權(quán)當(dāng)操作系統(tǒng)確認(rèn)連接的用戶是合法的用戶，接下來(lái)就必須知道該用戶的權(quán)限，也就

20、是訪問(wèn)控制，即可以指定讀，寫，修改，或者復(fù)制特定的系統(tǒng)對(duì)限，也就是訪問(wèn)控制，即可以指定讀，寫，修改，或者復(fù)制特定的系統(tǒng)對(duì)象的權(quán)限。象的權(quán)限。訪問(wèn)控制有不同的級(jí)別，從字節(jié)級(jí)別到系統(tǒng)級(jí)別，并且可以基于一組系統(tǒng)訪問(wèn)控制有不同的級(jí)別，從字節(jié)級(jí)別到系統(tǒng)級(jí)別，并且可以基于一組系統(tǒng)級(jí)別模型：級(jí)別模型：l 托管訪問(wèn)控制要求進(jìn)行集中的授權(quán)以決定對(duì)某人什么是可以訪問(wèn)的托管訪問(wèn)控制要求進(jìn)行集中的授權(quán)以決定對(duì)某人什么是可以訪問(wèn)的-數(shù)數(shù)據(jù)所有者和創(chuàng)建者不可以修改訪問(wèn)控制。據(jù)所有者和創(chuàng)建者不可以修改訪問(wèn)控制。l 自由選擇訪問(wèn)控制允許對(duì)象的所有者定義和修改分配給對(duì)象的訪問(wèn)控自由選擇訪問(wèn)控制允許對(duì)象的所有者定義和修改分配給對(duì)

21、象的訪問(wèn)控制。制。l 基于角色的訪問(wèn)控制，允許給用戶分配角色，然后對(duì)角色應(yīng)用訪問(wèn)規(guī)基于角色的訪問(wèn)控制，允許給用戶分配角色，然后對(duì)角色應(yīng)用訪問(wèn)規(guī)則。這樣可簡(jiǎn)化訪問(wèn)規(guī)則的管理并且可以提供更高的一致性。則。這樣可簡(jiǎn)化訪問(wèn)規(guī)則的管理并且可以提供更高的一致性。 操作系統(tǒng)支持的訪問(wèn)控制可以根據(jù)可使用的粒度，用來(lái)強(qiáng)化控制的機(jī)操作系統(tǒng)支持的訪問(wèn)控制可以根據(jù)可使用的粒度，用來(lái)強(qiáng)化控制的機(jī)制強(qiáng)度，以及集成到系統(tǒng)管理機(jī)制的程度。制強(qiáng)度，以及集成到系統(tǒng)管理機(jī)制的程度。四川交通職業(yè)技術(shù)學(xué)院3 責(zé)任責(zé)任最嚴(yán)格的安全防護(hù)也不能防止所有的安全事故。操作系統(tǒng)提供的安全功能最嚴(yán)格的安全防護(hù)也不能防止所有的安全事故。操作系統(tǒng)提供的

22、安全功能中很重要的一點(diǎn)就是責(zé)任，它確保任何實(shí)體的動(dòng)作將唯一用該實(shí)體標(biāo)識(shí)。中很重要的一點(diǎn)就是責(zé)任，它確保任何實(shí)體的動(dòng)作將唯一用該實(shí)體標(biāo)識(shí)。一個(gè)實(shí)體可以是一個(gè)人，一個(gè)操作系統(tǒng)資源，或者一個(gè)外部系統(tǒng)，例如計(jì)一個(gè)實(shí)體可以是一個(gè)人，一個(gè)操作系統(tǒng)資源，或者一個(gè)外部系統(tǒng)，例如計(jì)算機(jī)或者網(wǎng)絡(luò)。算機(jī)或者網(wǎng)絡(luò)。操作系統(tǒng)的責(zé)任服務(wù)把所有的安全相關(guān)事件同一個(gè)標(biāo)識(shí)聯(lián)系起來(lái)。根據(jù)以操作系統(tǒng)的責(zé)任服務(wù)把所有的安全相關(guān)事件同一個(gè)標(biāo)識(shí)聯(lián)系起來(lái)。根據(jù)以下兩個(gè)指標(biāo)評(píng)估責(zé)任：下兩個(gè)指標(biāo)評(píng)估責(zé)任：l 機(jī)制用來(lái)分配責(zé)任的強(qiáng)度。機(jī)制用來(lái)分配責(zé)任的強(qiáng)度。l 操作系統(tǒng)基于這個(gè)信息進(jìn)行決策的能力。操作系統(tǒng)基于這個(gè)信息進(jìn)行決策的能力。Window

23、s2003責(zé)任服務(wù)責(zé)任服務(wù)Windows 2003緊密綁定一個(gè)安全緊密綁定一個(gè)安全I(xiàn)D（SID，SecurityID），），SID唯一標(biāo)識(shí)一唯一標(biāo)識(shí)一個(gè)主機(jī)或者域上的用戶。個(gè)主機(jī)或者域上的用戶。SID是同一次用戶登錄連接的進(jìn)程相聯(lián)系的訪問(wèn)是同一次用戶登錄連接的進(jìn)程相聯(lián)系的訪問(wèn)記號(hào)的一部分。它自動(dòng)成為系統(tǒng)產(chǎn)生的任何審核紀(jì)錄的一部分。該服務(wù)提記號(hào)的一部分。它自動(dòng)成為系統(tǒng)產(chǎn)生的任何審核紀(jì)錄的一部分。該服務(wù)提供了所有的用戶可以進(jìn)行的動(dòng)作的完整的責(zé)任供了所有的用戶可以進(jìn)行的動(dòng)作的完整的責(zé)任-從文件訪問(wèn)到應(yīng)用程序使用從文件訪問(wèn)到應(yīng)用程序使用。四川交通職業(yè)技術(shù)學(xué)院4 審核審核 從安全的觀點(diǎn)看，審核是重現(xiàn)安全

24、相關(guān)事件以支持對(duì)事件的原因和影響從安全的觀點(diǎn)看，審核是重現(xiàn)安全相關(guān)事件以支持對(duì)事件的原因和影響的檢查。審核跟蹤或者系統(tǒng)日志信息可以被用來(lái)判斷是否有違反政策的的檢查。審核跟蹤或者系統(tǒng)日志信息可以被用來(lái)判斷是否有違反政策的事情發(fā)生或者是否有值得懷疑的事情。老練的侵入探測(cè)產(chǎn)品使用操作系事情發(fā)生或者是否有值得懷疑的事情。老練的侵入探測(cè)產(chǎn)品使用操作系統(tǒng)的審核蹤跡作為分析的基礎(chǔ)。審核蹤跡還提供了跟蹤復(fù)雜的安全性事統(tǒng)的審核蹤跡作為分析的基礎(chǔ)。審核蹤跡還提供了跟蹤復(fù)雜的安全性事故的來(lái)源和提供任何補(bǔ)救行動(dòng)可能需要的證據(jù)的能力。故的來(lái)源和提供任何補(bǔ)救行動(dòng)可能需要的證據(jù)的能力?？梢愿鶕?jù)下面的原則評(píng)估操作系統(tǒng)的安全審

25、核能力：可以根據(jù)下面的原則評(píng)估操作系統(tǒng)的安全審核能力：l 支持的安全相關(guān)事件的寬度和深度。支持的安全相關(guān)事件的寬度和深度。l 可以用來(lái)保護(hù)審核蹤跡的機(jī)制強(qiáng)度（黑客在闖入系統(tǒng)以后的第一步可以用來(lái)保護(hù)審核蹤跡的機(jī)制強(qiáng)度（黑客在闖入系統(tǒng)以后的第一步往往是關(guān)閉審核功能或者刪除審核日志。）往往是關(guān)閉審核功能或者刪除審核日志。）l 對(duì)處理大量由操作系統(tǒng)產(chǎn)生的審核數(shù)據(jù)的支持。對(duì)處理大量由操作系統(tǒng)產(chǎn)生的審核數(shù)據(jù)的支持。Windows 2003審核服務(wù)審核服務(wù)Windows 2003提供了事件日志（提供了事件日志（Eve2003Logging）。事件日志可以被配）。事件日志可以被配置在系統(tǒng)級(jí)別和對(duì)象級(jí)別紀(jì)錄安全

26、相關(guān)事件。系統(tǒng)事件包括登錄和退出置在系統(tǒng)級(jí)別和對(duì)象級(jí)別紀(jì)錄安全相關(guān)事件。系統(tǒng)事件包括登錄和退出登錄，文件和對(duì)象訪問(wèn)，用戶權(quán)利的使用，用戶和組管理，安全政策改登錄，文件和對(duì)象訪問(wèn)，用戶權(quán)利的使用，用戶和組管理，安全政策改變，重新啟動(dòng)和關(guān)機(jī)，系統(tǒng)錯(cuò)誤，以及進(jìn)程跟蹤。文件和對(duì)象審核可以變，重新啟動(dòng)和關(guān)機(jī)，系統(tǒng)錯(cuò)誤，以及進(jìn)程跟蹤。文件和對(duì)象審核可以被控制在單個(gè)文件，目錄，或者如果需要的話，也可以是驅(qū)動(dòng)器。被控制在單個(gè)文件，目錄，或者如果需要的話，也可以是驅(qū)動(dòng)器。四川交通職業(yè)技術(shù)學(xué)院5 安全分區(qū)安全分區(qū) 從安全性的角度看，每一個(gè)系統(tǒng)實(shí)體（用戶或者計(jì)算機(jī)資源從安全性的角度看，每一個(gè)系統(tǒng)實(shí)體（用戶或者計(jì)算機(jī)

27、資源）被分配一個(gè)安全分區(qū)，或者叫做域。一個(gè)安全域是一個(gè)邏）被分配一個(gè)安全分區(qū)，或者叫做域。一個(gè)安全域是一個(gè)邏輯結(jié)構(gòu)，由實(shí)體被授權(quán)訪問(wèn)的所有對(duì)象組成。一個(gè)用戶域也輯結(jié)構(gòu)，由實(shí)體被授權(quán)訪問(wèn)的所有對(duì)象組成。一個(gè)用戶域也許包括存儲(chǔ)空間，許包括存儲(chǔ)空間，I/O設(shè)備，應(yīng)用程序，以及其他元素。一個(gè)設(shè)備，應(yīng)用程序，以及其他元素。一個(gè)進(jìn)程域只包含那些被授權(quán)使用的系統(tǒng)資源（數(shù)據(jù)，存儲(chǔ)空間進(jìn)程域只包含那些被授權(quán)使用的系統(tǒng)資源（數(shù)據(jù)，存儲(chǔ)空間，I/O等等）。等等）。四川交通職業(yè)技術(shù)學(xué)院6 完整性完整性 完整性是確保對(duì)象內(nèi)容不會(huì)被未經(jīng)授權(quán)的實(shí)體修改的能力。訪問(wèn)控制可完整性是確保對(duì)象內(nèi)容不會(huì)被未經(jīng)授權(quán)的實(shí)體修改的能力。訪

28、問(wèn)控制可以防止未授權(quán)修改，所有是一種完整性保護(hù)措施。其他的機(jī)制可以探測(cè)以防止未授權(quán)修改，所有是一種完整性保護(hù)措施。其他的機(jī)制可以探測(cè)未授權(quán)修改而不是阻止它們這樣做。檢查和（未授權(quán)修改而不是阻止它們這樣做。檢查和（Checksum）和輪詢?nèi)哂啵┖洼喸內(nèi)哂鄼z查是早期完整性探測(cè)機(jī)制的例子。完整性在電子消息和商務(wù)系統(tǒng)中起檢查是早期完整性探測(cè)機(jī)制的例子。完整性在電子消息和商務(wù)系統(tǒng)中起著至關(guān)重要的作用，在這種情況下，確保內(nèi)容正確比保證消息的機(jī)密性著至關(guān)重要的作用，在這種情況下，確保內(nèi)容正確比保證消息的機(jī)密性更重要。更重要。在一個(gè)計(jì)算機(jī)系統(tǒng)中，完整性同時(shí)用于存儲(chǔ)中的數(shù)據(jù)（系統(tǒng)文件，可執(zhí)在一個(gè)計(jì)算機(jī)系統(tǒng)中，完

29、整性同時(shí)用于存儲(chǔ)中的數(shù)據(jù)（系統(tǒng)文件，可執(zhí)行文件，等等）和運(yùn)動(dòng)中的文件（消息，事務(wù)，等等）。保護(hù)操作系統(tǒng)行文件，等等）和運(yùn)動(dòng)中的文件（消息，事務(wù)，等等）。保護(hù)操作系統(tǒng)的完整性是操作系統(tǒng)提供的一項(xiàng)基本服務(wù)。操作系統(tǒng)支持的完整性控制的完整性是操作系統(tǒng)提供的一項(xiàng)基本服務(wù)。操作系統(tǒng)支持的完整性控制可以根據(jù)使用的機(jī)制強(qiáng)度，應(yīng)用的粒度以及提供的報(bào)告能力的級(jí)別來(lái)評(píng)可以根據(jù)使用的機(jī)制強(qiáng)度，應(yīng)用的粒度以及提供的報(bào)告能力的級(jí)別來(lái)評(píng)估。估。四川交通職業(yè)技術(shù)學(xué)院7 機(jī)密性機(jī)密性 敏感信息在計(jì)算機(jī)中可能以幾種形式存在：敏感信息在計(jì)算機(jī)中可能以幾種形式存在：l 存儲(chǔ)在硬盤上或者其他永久存儲(chǔ)介質(zhì)上；存儲(chǔ)在硬盤上或者其他永久存

30、儲(chǔ)介質(zhì)上；l 存儲(chǔ)在移動(dòng)式存儲(chǔ)器或者別的臨時(shí)存儲(chǔ)裝置上；存儲(chǔ)在移動(dòng)式存儲(chǔ)器或者別的臨時(shí)存儲(chǔ)裝置上；l 在網(wǎng)絡(luò)上傳輸；在網(wǎng)絡(luò)上傳輸；l 在系統(tǒng)總線上傳輸。在系統(tǒng)總線上傳輸。機(jī)密性確保信息只透露給授權(quán)的用戶，而不管裝載信息的容器的所有者機(jī)密性確保信息只透露給授權(quán)的用戶，而不管裝載信息的容器的所有者是誰(shuí)。在計(jì)算機(jī)系統(tǒng)中最常用的機(jī)密性實(shí)現(xiàn)是利用加密來(lái)編碼或者搞亂是誰(shuí)。在計(jì)算機(jī)系統(tǒng)中最常用的機(jī)密性實(shí)現(xiàn)是利用加密來(lái)編碼或者搞亂數(shù)據(jù)以確保只有知道解密鑰匙的人才能讀取這些數(shù)據(jù)。還有其他一些方數(shù)據(jù)以確保只有知道解密鑰匙的人才能讀取這些數(shù)據(jù)。還有其他一些方法可以實(shí)現(xiàn)機(jī)密性：物理安全，不透露協(xié)定，貿(mào)易伙伴協(xié)定，等等

31、。法可以實(shí)現(xiàn)機(jī)密性：物理安全，不透露協(xié)定，貿(mào)易伙伴協(xié)定，等等。操作系統(tǒng)提供的加密機(jī)制可以根據(jù)下面指標(biāo)進(jìn)行評(píng)估：操作系統(tǒng)提供的加密機(jī)制可以根據(jù)下面指標(biāo)進(jìn)行評(píng)估：l 保護(hù)機(jī)制的強(qiáng)度（通常是加密算法）；保護(hù)機(jī)制的強(qiáng)度（通常是加密算法）；l 保護(hù)機(jī)制的透明度；保護(hù)機(jī)制的透明度；l 該機(jī)制和其他系統(tǒng)安全控制的集成；該機(jī)制和其他系統(tǒng)安全控制的集成；l 機(jī)制對(duì)系統(tǒng)操作的影響。機(jī)制對(duì)系統(tǒng)操作的影響。四川交通職業(yè)技術(shù)學(xué)院8 可管理性可管理性 很難管理的安全機(jī)制通常會(huì)降低系統(tǒng)安全性，不管底層機(jī)制實(shí)際上是多很難管理的安全機(jī)制通常會(huì)降低系統(tǒng)安全性，不管底層機(jī)制實(shí)際上是多么安全。安全性事故通常不是由于缺少安全性控制而是

32、由于安全性控制么安全。安全性事故通常不是由于缺少安全性控制而是由于安全性控制沒(méi)有被正確配置沒(méi)有被正確配置-導(dǎo)致把機(jī)密信息放在不安全的系統(tǒng)上。導(dǎo)致把機(jī)密信息放在不安全的系統(tǒng)上。有許多因素決定了操作系統(tǒng)的可管理性。最重要的一個(gè)因素當(dāng)然是系統(tǒng)有許多因素決定了操作系統(tǒng)的可管理性。最重要的一個(gè)因素當(dāng)然是系統(tǒng)管理員能力和操作系統(tǒng)之間的匹配。經(jīng)驗(yàn)豐富，有才能的管理員能力和操作系統(tǒng)之間的匹配。經(jīng)驗(yàn)豐富，有才能的IT管理職員能管理職員能夠增強(qiáng)系統(tǒng)安全。夠增強(qiáng)系統(tǒng)安全。在所管理的特定系統(tǒng)上積累經(jīng)驗(yàn)同樣也很重要。但是，特定系統(tǒng)會(huì)在短在所管理的特定系統(tǒng)上積累經(jīng)驗(yàn)同樣也很重要。但是，特定系統(tǒng)會(huì)在短時(shí)間內(nèi)升級(jí)或換代，所以

33、不斷的學(xué)習(xí)和認(rèn)識(shí)也很重要。時(shí)間內(nèi)升級(jí)或換代，所以不斷的學(xué)習(xí)和認(rèn)識(shí)也很重要。在本節(jié)的下面部分描述了操作系統(tǒng)安全方面的可管理性的非常關(guān)鍵的幾在本節(jié)的下面部分描述了操作系統(tǒng)安全方面的可管理性的非常關(guān)鍵的幾個(gè)因素。個(gè)因素。1. 缺省配置缺省配置操作系統(tǒng)的缺省配置通常用作部署的基線。除非應(yīng)用程序開(kāi)發(fā)人員或者操作系統(tǒng)的缺省配置通常用作部署的基線。除非應(yīng)用程序開(kāi)發(fā)人員或者IT組織進(jìn)行專門的安全性推薦，否則在操作系統(tǒng)上運(yùn)行的易感服務(wù)都不組織進(jìn)行專門的安全性推薦，否則在操作系統(tǒng)上運(yùn)行的易感服務(wù)都不能完全阻止惡意攻擊?？紤]到應(yīng)用程序開(kāi)發(fā)和升級(jí)的周期縮短，操作系能完全阻止惡意攻擊。考慮到應(yīng)用程序開(kāi)發(fā)和升級(jí)的周期縮短

34、，操作系統(tǒng)的缺省安全配置就成為一個(gè)非常重要的考慮。統(tǒng)的缺省安全配置就成為一個(gè)非常重要的考慮。四川交通職業(yè)技術(shù)學(xué)院2. 工具和接口工具和接口操作系統(tǒng)的復(fù)雜性給用戶界面和其他相關(guān)的軟件程序和工具帶來(lái)了很大操作系統(tǒng)的復(fù)雜性給用戶界面和其他相關(guān)的軟件程序和工具帶來(lái)了很大的負(fù)擔(dān)。在操作系統(tǒng)的安全管理方面，一致性和可審核性是基本的問(wèn)題的負(fù)擔(dān)。在操作系統(tǒng)的安全管理方面，一致性和可審核性是基本的問(wèn)題，而管理安全控制的用戶界面也起著一個(gè)關(guān)鍵的作用。安全政策需要在，而管理安全控制的用戶界面也起著一個(gè)關(guān)鍵的作用。安全政策需要在所有部署的服務(wù)器上一致應(yīng)用。另外，還必須有配置和審核系統(tǒng)的工具所有部署的服務(wù)器上一致應(yīng)用。

35、另外，還必須有配置和審核系統(tǒng)的工具和界面。和界面。軟件工具支持定義全公司范圍的操作系統(tǒng)缺省安全配置的能力，同時(shí)能軟件工具支持定義全公司范圍的操作系統(tǒng)缺省安全配置的能力，同時(shí)能快速檢查操作系統(tǒng)是否符合公司標(biāo)準(zhǔn)，這些因素是評(píng)估候選操作系統(tǒng)的快速檢查操作系統(tǒng)是否符合公司標(biāo)準(zhǔn)，這些因素是評(píng)估候選操作系統(tǒng)的最重要的因素。界面的選擇在某種程度上帶有很大的主觀性，但是最起最重要的因素。界面的選擇在某種程度上帶有很大的主觀性，但是最起碼應(yīng)該同碼應(yīng)該同IT人員需要管理的其他應(yīng)用程序或者系統(tǒng)保持界面的一致性。人員需要管理的其他應(yīng)用程序或者系統(tǒng)保持界面的一致性。Windows 2003（SP3或者更高）包括一系列的

36、安全管理工具或者更高）包括一系列的安全管理工具-系統(tǒng)政策編系統(tǒng)政策編輯器（輯器（SystemPolicyEditor），安全配置編輯器（），安全配置編輯器（SecurityConfigurationEditor）（）（SP4），以及微軟管理控制臺(tái)（），以及微軟管理控制臺(tái)（MicrosoftManageme2003Console）。這些工具提供了一個(gè)一致，簡(jiǎn)單界）。這些工具提供了一個(gè)一致，簡(jiǎn)單界面管理操作系統(tǒng)提供的安全服務(wù)。用戶界面是標(biāo)準(zhǔn)的面管理操作系統(tǒng)提供的安全服務(wù)。用戶界面是標(biāo)準(zhǔn)的Windows GUI，對(duì)，對(duì)大多數(shù)大多數(shù)IT人員來(lái)說(shuō)都非常熟悉。人員來(lái)說(shuō)都非常熟悉。 四川交通職業(yè)技術(shù)學(xué)院4.

37、3.1 Windows 2003的用戶安全策略的用戶安全策略 對(duì)終端用戶來(lái)說(shuō)，對(duì)終端用戶來(lái)說(shuō)，Windows2003有以下一些管理手段，這些有以下一些管理手段，這些對(duì)安全性有著極大的影響：對(duì)安全性有著極大的影響：l 用戶帳號(hào)和用戶密碼用戶帳號(hào)和用戶密碼l 域名管理域名管理l 用戶組權(quán)限用戶組權(quán)限l 共享資源的權(quán)限共享資源的權(quán)限四川交通職業(yè)技術(shù)學(xué)院v1. 用戶帳號(hào)和用戶密碼用戶帳號(hào)和用戶密碼vWindows 2003的安全機(jī)制通過(guò)請(qǐng)求分配用戶帳號(hào)和用的安全機(jī)制通過(guò)請(qǐng)求分配用戶帳號(hào)和用戶密碼來(lái)幫助保護(hù)計(jì)算機(jī)及其資源。給值得信任的使用戶密碼來(lái)幫助保護(hù)計(jì)算機(jī)及其資源。給值得信任的使用者，按其使用的要求

38、和網(wǎng)絡(luò)所能給與的服務(wù)分配合適的者，按其使用的要求和網(wǎng)絡(luò)所能給與的服務(wù)分配合適的用戶帳號(hào)，并且給其容易記住的帳號(hào)密碼。使用對(duì)帳號(hào)用戶帳號(hào)，并且給其容易記住的帳號(hào)密碼。使用對(duì)帳號(hào)的用戶權(quán)力的限制以及對(duì)文件的訪問(wèn)管理權(quán)限的策略，的用戶權(quán)力的限制以及對(duì)文件的訪問(wèn)管理權(quán)限的策略，可以達(dá)到對(duì)服務(wù)器的數(shù)據(jù)的保護(hù)?？梢赃_(dá)到對(duì)服務(wù)器的數(shù)據(jù)的保護(hù)。v用戶帳號(hào)有用戶名、全名、描述三個(gè)部分。用戶名是用用戶帳號(hào)有用戶名、全名、描述三個(gè)部分。用戶名是用戶帳號(hào)的標(biāo)識(shí)，全名是對(duì)應(yīng)用戶名的全稱，描述是對(duì)用戶帳號(hào)的標(biāo)識(shí)，全名是對(duì)應(yīng)用戶名的全稱，描述是對(duì)用戶所擁有的權(quán)限的較具體的說(shuō)明。組有組名和描述兩個(gè)戶所擁有的權(quán)限的較具體的說(shuō)明

39、。組有組名和描述兩個(gè)部份，組名是標(biāo)識(shí)，描述是說(shuō)明。一定的用戶帳號(hào)對(duì)應(yīng)部份，組名是標(biāo)識(shí)，描述是說(shuō)明。一定的用戶帳號(hào)對(duì)應(yīng)一定的權(quán)限，一定的權(quán)限，2003對(duì)權(quán)限的劃分比較細(xì)，例如：備份、對(duì)權(quán)限的劃分比較細(xì)，例如：備份、遠(yuǎn)程管理、更改系統(tǒng)時(shí)間等等，通過(guò)對(duì)用戶的授權(quán)（在遠(yuǎn)程管理、更改系統(tǒng)時(shí)間等等，通過(guò)對(duì)用戶的授權(quán)（在規(guī)則菜單中）可以細(xì)化一個(gè)用戶或組的權(quán)限。用戶的帳規(guī)則菜單中）可以細(xì)化一個(gè)用戶或組的權(quán)限。用戶的帳號(hào)和密碼有一定的規(guī)則，包括帳號(hào)長(zhǎng)度，密碼的有效期，號(hào)和密碼有一定的規(guī)則，包括帳號(hào)長(zhǎng)度，密碼的有效期，登錄失敗的鎖定，登錄的歷史記錄等等，通過(guò)對(duì)這些的登錄失敗的鎖定，登錄的歷史記錄等等，通過(guò)對(duì)這些的

40、綜合修改可以保證用戶帳號(hào)的安全使用。綜合修改可以保證用戶帳號(hào)的安全使用。四川交通職業(yè)技術(shù)學(xué)院2. 域名管理域名管理以以Windows 2003組建的網(wǎng)絡(luò)是一個(gè)局域網(wǎng)范圍的網(wǎng)。所謂組建的網(wǎng)絡(luò)是一個(gè)局域網(wǎng)范圍的網(wǎng)。所謂“域域”是指網(wǎng)是指網(wǎng)絡(luò)服務(wù)器和其他計(jì)算機(jī)的邏輯分組，凡是在共享域范圍內(nèi)的用戶都使用絡(luò)服務(wù)器和其他計(jì)算機(jī)的邏輯分組，凡是在共享域范圍內(nèi)的用戶都使用公共的安全機(jī)制和用戶帳號(hào)信息。每個(gè)用戶有一個(gè)帳號(hào)，每次登錄的是公共的安全機(jī)制和用戶帳號(hào)信息。每個(gè)用戶有一個(gè)帳號(hào)，每次登錄的是整個(gè)域，而不是某一個(gè)服務(wù)器。即使在物理上相隔較遠(yuǎn)，但在邏輯上可整個(gè)域，而不是某一個(gè)服務(wù)器。即使在物理上相隔較遠(yuǎn)，但在邏

41、輯上可以在一個(gè)域上，這樣便于管理。在網(wǎng)絡(luò)環(huán)境下，使用域的管理就顯得更以在一個(gè)域上，這樣便于管理。在網(wǎng)絡(luò)環(huán)境下，使用域的管理就顯得更為有效。這里我們應(yīng)該注意到在為有效。這里我們應(yīng)該注意到在Windows 2003中，關(guān)于域的所用的安全中，關(guān)于域的所用的安全機(jī)制信息或用戶帳號(hào)信息都存放在目錄數(shù)據(jù)庫(kù)中（稱為安全帳號(hào)管理器機(jī)制信息或用戶帳號(hào)信息都存放在目錄數(shù)據(jù)庫(kù)中（稱為安全帳號(hào)管理器（SAM）數(shù)據(jù)庫(kù)）。目錄數(shù)據(jù)庫(kù)存放在服務(wù)器中，并且復(fù)制到備份服務(wù)）數(shù)據(jù)庫(kù)）。目錄數(shù)據(jù)庫(kù)存放在服務(wù)器中，并且復(fù)制到備份服務(wù)器中。通過(guò)有規(guī)律的同步處理，可以保證數(shù)據(jù)庫(kù)的安全性、有效性。在器中。通過(guò)有規(guī)律的同步處理，可以保證數(shù)據(jù)

42、庫(kù)的安全性、有效性。在用戶每次登錄時(shí)，通過(guò)目錄數(shù)據(jù)庫(kù)檢查用戶的帳號(hào)和密碼。所以在對(duì)用戶每次登錄時(shí)，通過(guò)目錄數(shù)據(jù)庫(kù)檢查用戶的帳號(hào)和密碼。所以在對(duì)Windows 2003進(jìn)行維護(hù)時(shí)應(yīng)該特別小心目錄數(shù)據(jù)庫(kù)的完整性，一般來(lái)講進(jìn)行維護(hù)時(shí)應(yīng)該特別小心目錄數(shù)據(jù)庫(kù)的完整性，一般來(lái)講只有管理員才具有對(duì)此的編輯權(quán)限。只有管理員才具有對(duì)此的編輯權(quán)限。四川交通職業(yè)技術(shù)學(xué)院3. 用戶組權(quán)限用戶組權(quán)限管理員一般根據(jù)用戶訪問(wèn)網(wǎng)絡(luò)的類型和等級(jí)給用戶分組。組有管理員一般根據(jù)用戶訪問(wèn)網(wǎng)絡(luò)的類型和等級(jí)給用戶分組。組有“全局組全局組”和和“本地組本地組”和和“通用組通用組”。l全局組由一個(gè)域的幾個(gè)用戶帳號(hào)組成，所謂全局是指可以授與該

43、組使全局組由一個(gè)域的幾個(gè)用戶帳號(hào)組成，所謂全局是指可以授與該組使用多個(gè)（全局）域資源的權(quán)力和權(quán)限。全局組只能在域中創(chuàng)建。用多個(gè)（全局）域資源的權(quán)力和權(quán)限。全局組只能在域中創(chuàng)建。內(nèi)置的全局組：內(nèi)置的全局組： domain admins、domain guests、 guests等等 l本地組包含任何一個(gè)域內(nèi)用戶帳戶、通用組、全局組，可以包含同一本地組包含任何一個(gè)域內(nèi)用戶帳戶、通用組、全局組，可以包含同一個(gè)域內(nèi)的本地組，但不包含其他域內(nèi)的本地組。本地組只能訪問(wèn)同一個(gè)個(gè)域內(nèi)的本地組，但不包含其他域內(nèi)的本地組。本地組只能訪問(wèn)同一個(gè)域內(nèi)的資源域內(nèi)的資源。內(nèi)置的本地組：內(nèi)置的本地組： administra

44、tors、backup operators、users、power users everyone、authenticated users、creater owner、anonymouns logonl每一個(gè)內(nèi)置本地組都有一套預(yù)先確定的權(quán)力，這些權(quán)力自動(dòng)地應(yīng)用于每一個(gè)內(nèi)置本地組都有一套預(yù)先確定的權(quán)力，這些權(quán)力自動(dòng)地應(yīng)用于添加到該組中的每一個(gè)用戶帳號(hào)，假若需要對(duì)組中的某些用戶的權(quán)限做添加到該組中的每一個(gè)用戶帳號(hào)，假若需要對(duì)組中的某些用戶的權(quán)限做一些修改，可以在用戶管理器中進(jìn)行。建議在使用其默認(rèn)權(quán)力時(shí)，對(duì)用一些修改，可以在用戶管理器中進(jìn)行。建議在使用其默認(rèn)權(quán)力時(shí)，對(duì)用戶進(jìn)行仔細(xì)的篩選，防止在組員中有

45、信用度不高的用戶，而對(duì)網(wǎng)絡(luò)資源戶進(jìn)行仔細(xì)的篩選，防止在組員中有信用度不高的用戶，而對(duì)網(wǎng)絡(luò)資源造成損壞。造成損壞。四川交通職業(yè)技術(shù)學(xué)院vAGDLP規(guī)則 A，用戶 G，全局組 DL，本地域組 P，權(quán)限 把A加入到G，把G加入到DL，為DL賦予權(quán)限v實(shí)例：v本地組、全局組、域本地組和通用組概念的區(qū)別以及應(yīng)用四川交通職業(yè)技術(shù)學(xué)院4. 共享資源權(quán)限共享資源權(quán)限lWindows 2003允許指定他人共享的資源。資源共享后，可以通過(guò)網(wǎng)絡(luò)允許指定他人共享的資源。資源共享后，可以通過(guò)網(wǎng)絡(luò)限制某些用戶對(duì)他的訪問(wèn)權(quán)限，這稱為共享權(quán)限的限制。針對(duì)不同的用限制某些用戶對(duì)他的訪問(wèn)權(quán)限，這稱為共享權(quán)限的限制。針對(duì)不同的用戶

46、，可以利用資源共享及資源權(quán)限來(lái)創(chuàng)建不同的資源安全級(jí)別。戶，可以利用資源共享及資源權(quán)限來(lái)創(chuàng)建不同的資源安全級(jí)別。Windows 2003的較大特點(diǎn)在其文件系統(tǒng)（的較大特點(diǎn)在其文件系統(tǒng)（NTFS）。在）。在NTFS文件系統(tǒng)中文件系統(tǒng)中，可以使用權(quán)限對(duì)單個(gè)文件進(jìn)行保護(hù)，并且可以把該權(quán)限應(yīng)用到本地訪，可以使用權(quán)限對(duì)單個(gè)文件進(jìn)行保護(hù)，并且可以把該權(quán)限應(yīng)用到本地訪問(wèn)和網(wǎng)絡(luò)訪問(wèn)中。問(wèn)和網(wǎng)絡(luò)訪問(wèn)中。l用于指定可以訪問(wèn)的組和用戶以及允許的訪問(wèn)等級(jí)時(shí)，用于指定可以訪問(wèn)的組和用戶以及允許的訪問(wèn)等級(jí)時(shí)，NTFS卷的共享卷的共享權(quán)限與文件及目錄的權(quán)限共同起作用。權(quán)限與文件及目錄的權(quán)限共同起作用。l文件屬性有四種：只讀、

47、隱藏、存檔、系統(tǒng)。這決定了文件的基本操文件屬性有四種：只讀、隱藏、存檔、系統(tǒng)。這決定了文件的基本操作屬性。資源的共享權(quán)限有五種：不共享、只讀、安全、根據(jù)口令訪問(wèn)作屬性。資源的共享權(quán)限有五種：不共享、只讀、安全、根據(jù)口令訪問(wèn)、WEB共享。文件的共享。文件的NTFS權(quán)限有很多。權(quán)限有很多。四川交通職業(yè)技術(shù)學(xué)院NTFS概述一、一、1.NTFS (New Technology File System)是是 Windows NT 操作環(huán)境和操作環(huán)境和 Windows NT 高級(jí)服務(wù)器網(wǎng)絡(luò)操作系統(tǒng)環(huán)境的文件系統(tǒng)。高級(jí)服務(wù)器網(wǎng)絡(luò)操作系統(tǒng)環(huán)境的文件系統(tǒng)。2. NTFS 的目標(biāo)是提供：可靠性，通過(guò)可恢復(fù)能力的目

48、標(biāo)是提供：可靠性，通過(guò)可恢復(fù)能力(事件跟蹤事件跟蹤)和熱定位的容和熱定位的容錯(cuò)特征實(shí)現(xiàn)；增加功能性的一個(gè)平臺(tái)；錯(cuò)特征實(shí)現(xiàn)；增加功能性的一個(gè)平臺(tái)；3.windows中常用的系統(tǒng)文件有：中常用的系統(tǒng)文件有：FAT、FAT32、NTFS4.支持支持NTFS的系統(tǒng)：的系統(tǒng)：NT、windows200 2003 XP 及其以后的版本及其以后的版本5.NTFS的優(yōu)點(diǎn)的優(yōu)點(diǎn): 1）可以對(duì)單個(gè)文件或者文件夾設(shè)置權(quán)限）可以對(duì)單個(gè)文件或者文件夾設(shè)置權(quán)限 2）支持跟大的磁盤容量）支持跟大的磁盤容量 （FAT最多只能支持最多只能支持32G） 3)有壓縮功能，包括壓縮或解壓驅(qū)動(dòng)器，文件夾或指定文件的功能有壓縮功能，包括

49、壓縮或解壓驅(qū)動(dòng)器，文件夾或指定文件的功能 4）文件加密（壓縮和文件加密不能同時(shí)用）文件加密（壓縮和文件加密不能同時(shí)用） 5）支持活動(dòng)目錄）支持活動(dòng)目錄 6）磁盤配額）磁盤配額6.獲得獲得NTFS文件系統(tǒng)的方法文件系統(tǒng)的方法: 1）格式化磁盤時(shí)，選擇）格式化磁盤時(shí)，選擇NTFS 2）cmd中中 convert 盤符盤符 /fs:ntfs 四川交通職業(yè)技術(shù)學(xué)院二、設(shè)置二、設(shè)置NTFS權(quán)限權(quán)限1.設(shè)置方法：右擊文件（夾）設(shè)置方法：右擊文件（夾）屬性屬性安全安全2.設(shè)置的內(nèi)容設(shè)置的內(nèi)容: （1）訪問(wèn)控制列表（）訪問(wèn)控制列表（ACL）列出的是和當(dāng)前文件權(quán)限有關(guān)的用戶與組）列出的是和當(dāng)前文件權(quán)限有關(guān)的用戶

50、與組 （2）范圍控制項(xiàng)）范圍控制項(xiàng)(ACE)選中組或用戶后，列出的是相關(guān)的權(quán)限選中組或用戶后，列出的是相關(guān)的權(quán)限3.常用的權(quán)限常用的權(quán)限: 1）完全控制：對(duì)文件可執(zhí)行所以的操作）完全控制：對(duì)文件可執(zhí)行所以的操作 2）修改：修改權(quán)）修改：修改權(quán) 3）讀取和運(yùn)行：讀取內(nèi)容，運(yùn)行程序）讀取和運(yùn)行：讀取內(nèi)容，運(yùn)行程序 4）列出文件夾目錄：列出文件夾的內(nèi)容，只對(duì)文件夾）列出文件夾目錄：列出文件夾的內(nèi)容，只對(duì)文件夾 5）讀取：讀取文件或文件夾的內(nèi)容）讀?。鹤x取文件或文件夾的內(nèi)容 6）寫入：創(chuàng)建和修改文件）寫入：創(chuàng)建和修改文件 7）特別的權(quán)限：與文件和文件夾無(wú)關(guān)，與）特別的權(quán)限：與文件和文件夾無(wú)關(guān)，與“安全

51、安全”選項(xiàng)卡的讀取、選項(xiàng)卡的讀取、更改有關(guān)。更改有關(guān)。 在在“安全安全”“高級(jí)高級(jí)”有效權(quán)限：讀取權(quán)限、更改權(quán)限、取得有效權(quán)限：讀取權(quán)限、更改權(quán)限、取得所有權(quán)所有權(quán)四川交通職業(yè)技術(shù)學(xué)院三、權(quán)限的一些規(guī)則三、權(quán)限的一些規(guī)則1.權(quán)限的組合，當(dāng)一個(gè)用戶屬于多個(gè)組，為不同的組設(shè)置不同權(quán)限。權(quán)限的組合，當(dāng)一個(gè)用戶屬于多個(gè)組，為不同的組設(shè)置不同權(quán)限。 規(guī)則：拒絕優(yōu)先規(guī)則：拒絕優(yōu)先2.權(quán)限的繼承：即新建的子文件夾或文件會(huì)繼承父一級(jí)的權(quán)限文件或文件夾權(quán)限的繼承：即新建的子文件夾或文件會(huì)繼承父一級(jí)的權(quán)限文件或文件夾的默認(rèn)權(quán)限是繼承上一級(jí)文件夾的權(quán)限，如果是根目錄下的文件夾灰色）的默認(rèn)權(quán)限是繼承上一級(jí)文件夾的權(quán)限

52、，如果是根目錄下的文件夾灰色） 規(guī)則：可以拒絕繼承父一級(jí)的權(quán)限規(guī)則：可以拒絕繼承父一級(jí)的權(quán)限 可以強(qiáng)制下級(jí)繼承可以強(qiáng)制下級(jí)繼承 顯示權(quán)限（黑色）優(yōu)先于繼承權(quán)限（灰色）顯示權(quán)限（黑色）優(yōu)先于繼承權(quán)限（灰色）3. 文件或文件夾的文件或文件夾的“所有權(quán)所有權(quán)” 誰(shuí)創(chuàng)建的誰(shuí)具有誰(shuí)創(chuàng)建的誰(shuí)具有“所有權(quán)所有權(quán)”，可以更改權(quán)限，可以更改權(quán)限 管理員可以取得所有文件或文件夾的所有權(quán)管理員可以取得所有文件或文件夾的所有權(quán)4.復(fù)制和移動(dòng)對(duì)權(quán)限的影響復(fù)制和移動(dòng)對(duì)權(quán)限的影響 只有在相同分區(qū)移動(dòng)時(shí)權(quán)限不變，其他情況都繼承目的文件夾的權(quán)限只有在相同分區(qū)移動(dòng)時(shí)權(quán)限不變，其他情況都繼承目的文件夾的權(quán)限四川交通職業(yè)技術(shù)學(xué)院四、

53、權(quán)限的簡(jiǎn)單應(yīng)用四、權(quán)限的簡(jiǎn)單應(yīng)用1.管理員取得文件和文件夾的所有權(quán)管理員取得文件和文件夾的所有權(quán) 1）以管理員身份登錄，找到要更改文件夾）以管理員身份登錄，找到要更改文件夾 2）右擊文件）右擊文件屬性屬性安全安全高級(jí)高級(jí)所有者所有者選擇選擇Administrator勾選勾選“替換子容器及對(duì)象的所有者替換子容器及對(duì)象的所有者” 3）關(guān)閉后再次打開(kāi)就可以設(shè)置權(quán)限了）關(guān)閉后再次打開(kāi)就可以設(shè)置權(quán)限了2.取消取消NTFS權(quán)限的繼承權(quán)限的繼承 1）安全）安全高級(jí)高級(jí)權(quán)限權(quán)限 2)在權(quán)限選項(xiàng)項(xiàng)卡中在權(quán)限選項(xiàng)項(xiàng)卡中 去掉去掉“允許父項(xiàng)的繼承權(quán)限傳播到給對(duì)象和所有子允許父項(xiàng)的繼承權(quán)限傳播到給對(duì)象和所有子對(duì)象對(duì)象

54、” 3)出現(xiàn)選項(xiàng)復(fù)制：以前的權(quán)限保留下來(lái)并可以修改出現(xiàn)選項(xiàng)復(fù)制：以前的權(quán)限保留下來(lái)并可以修改 刪除：所有權(quán)限都刪除，可以自行添加刪除：所有權(quán)限都刪除，可以自行添加3.強(qiáng)制子文件夾繼承強(qiáng)制子文件夾繼承NTFS權(quán)限權(quán)限 1）安全）安全高級(jí)高級(jí)權(quán)限權(quán)限 2）在權(quán)限選項(xiàng)卡中）在權(quán)限選項(xiàng)卡中 勾選勾選“用在此顯示的可以應(yīng)用到子對(duì)象的項(xiàng)目替代用在此顯示的可以應(yīng)用到子對(duì)象的項(xiàng)目替代所有子對(duì)象的權(quán)限項(xiàng)目所有子對(duì)象的權(quán)限項(xiàng)目”四川交通職業(yè)技術(shù)學(xué)院l權(quán)限權(quán)限設(shè)置的四個(gè)原則：拒絕優(yōu)于允許；權(quán)限最小化、累加原則和權(quán)限繼承原則。v實(shí)例：v深入理解NTFS磁盤中共享資源權(quán)限設(shè)置 四川交通職業(yè)技術(shù)學(xué)院4.4 Windows

55、 2003 Server的安全管理的安全管理管理員在管理管理員在管理Windows 2003 Server時(shí)，一定要從從物理安全、登錄安全時(shí)，一定要從從物理安全、登錄安全、用戶安全、文件系統(tǒng)和打印機(jī)安全、注冊(cè)表安全、用戶安全、文件系統(tǒng)和打印機(jī)安全、注冊(cè)表安全、RAS安全、數(shù)據(jù)安安全、數(shù)據(jù)安全、各應(yīng)用系統(tǒng)安全等方面制定強(qiáng)化安全的措施。全、各應(yīng)用系統(tǒng)安全等方面制定強(qiáng)化安全的措施。3.4.1 Windows 2003 Server安全管理采用的對(duì)策安全管理采用的對(duì)策Windows 2003 Server的安全管理的對(duì)策如下：的安全管理的對(duì)策如下：1. 物理安全管理物理安全管理 去掉或鎖死軟盤驅(qū)動(dòng)器，

56、禁止去掉或鎖死軟盤驅(qū)動(dòng)器，禁止DOS或其他操作系統(tǒng)訪問(wèn)或其他操作系統(tǒng)訪問(wèn)2003FS分區(qū)；分區(qū)； 在服務(wù)器上設(shè)置系統(tǒng)啟動(dòng)口令，設(shè)置在服務(wù)器上設(shè)置系統(tǒng)啟動(dòng)口令，設(shè)置BIOS禁用軟盤引導(dǎo)系統(tǒng)；禁用軟盤引導(dǎo)系統(tǒng)； 不創(chuàng)建任何不創(chuàng)建任何DOS分區(qū)；分區(qū)； 保證機(jī)房的物理安全。保證機(jī)房的物理安全。2. 及時(shí)更新補(bǔ)丁及時(shí)更新補(bǔ)丁用最新的用最新的ServicePack升級(jí)升級(jí)Windows 2003 Server，因?yàn)榉?wù)包包括所有，因?yàn)榉?wù)包包括所有補(bǔ)丁程序和后來(lái)發(fā)表的很多安全補(bǔ)丁程序。補(bǔ)丁程序和后來(lái)發(fā)表的很多安全補(bǔ)丁程序。四川交通職業(yè)技術(shù)學(xué)院3. 掌握所有未設(shè)置的安全功能掌握所有未設(shè)置的安全功能 在缺省

57、安裝時(shí)未禁用在缺省安裝時(shí)未禁用Guest賬號(hào)；賬號(hào)； 給給Everyone（每個(gè)人）工作組授予（每個(gè)人）工作組授予“完全控制完全控制”權(quán)限；權(quán)限； 沒(méi)有實(shí)施口令策略。沒(méi)有實(shí)施口令策略。4. 控制授權(quán)用戶的訪問(wèn)控制授權(quán)用戶的訪問(wèn)在域里配置適當(dāng)?shù)脑谟蚶锱渲眠m當(dāng)?shù)?003FS訪問(wèn)控制可以增強(qiáng)網(wǎng)絡(luò)的安全。取消或更改缺訪問(wèn)控制可以增強(qiáng)網(wǎng)絡(luò)的安全。取消或更改缺省情況下的省情況下的Everyone組的組的“完全控制完全控制”權(quán)限，要始終設(shè)置用戶所能允許權(quán)限，要始終設(shè)置用戶所能允許的最小的文件夾和文件的訪問(wèn)權(quán)限。另外，不要共享任何一個(gè)的最小的文件夾和文件的訪問(wèn)權(quán)限。另外，不要共享任何一個(gè)FAT卷。卷。5. 避

58、免給用戶定義特定的訪問(wèn)控制避免給用戶定義特定的訪問(wèn)控制將用戶以將用戶以“組組”的方式進(jìn)行管理是一個(gè)用戶管理的有效方法。如果一個(gè)的方式進(jìn)行管理是一個(gè)用戶管理的有效方法。如果一個(gè)用戶在公司里的角色變了，很難跟蹤并更改他的訪問(wèn)權(quán)。為每個(gè)用戶指用戶在公司里的角色變了，很難跟蹤并更改他的訪問(wèn)權(quán)。為每個(gè)用戶指定一個(gè)工作組，為工作組指定文件、文件夾訪問(wèn)權(quán)。如果要收回或更改定一個(gè)工作組，為工作組指定文件、文件夾訪問(wèn)權(quán)。如果要收回或更改某個(gè)用戶的訪問(wèn)權(quán)，只要把該用戶從工作組中刪除或指定另一個(gè)工作組某個(gè)用戶的訪問(wèn)權(quán)，只要把該用戶從工作組中刪除或指定另一個(gè)工作組。6. 實(shí)施賬號(hào)及口令策略實(shí)施賬號(hào)及口令策略四川交通職

59、業(yè)技術(shù)學(xué)院7. 控制遠(yuǎn)程訪問(wèn)服務(wù)控制遠(yuǎn)程訪問(wèn)服務(wù)遠(yuǎn)程訪問(wèn)是入侵者攻擊遠(yuǎn)程訪問(wèn)是入侵者攻擊Windows 2003系統(tǒng)的常用手段，系統(tǒng)的常用手段，Windows 2003集成的防止外來(lái)入侵最好的功能是認(rèn)證系統(tǒng)。集成的防止外來(lái)入侵最好的功能是認(rèn)證系統(tǒng)。Windows95、Windows98和和Windows 2003 Workstation客戶機(jī)不僅可以交換加密用戶客戶機(jī)不僅可以交換加密用戶ID和口令數(shù)和口令數(shù)據(jù)，而且還使用據(jù)，而且還使用Windows專用的挑戰(zhàn)響應(yīng)協(xié)議專用的挑戰(zhàn)響應(yīng)協(xié)議(challenge/responseprotocol)，這可以確保決不會(huì)多次出現(xiàn)相同的認(rèn)證數(shù)，這可以確保決不會(huì)

60、多次出現(xiàn)相同的認(rèn)證數(shù)據(jù)，它還可以有效阻止內(nèi)部黑客捕捉網(wǎng)絡(luò)信息包。同時(shí)，如條件允許，據(jù)，它還可以有效阻止內(nèi)部黑客捕捉網(wǎng)絡(luò)信息包。同時(shí)，如條件允許，應(yīng)該使用回叫安全機(jī)制，并盡量采用數(shù)據(jù)加密技術(shù)，保證數(shù)據(jù)安全。應(yīng)該使用回叫安全機(jī)制，并盡量采用數(shù)據(jù)加密技術(shù)，保證數(shù)據(jù)安全。8. 啟動(dòng)審查功能啟動(dòng)審查功能為防止未經(jīng)授權(quán)的訪問(wèn)，可以利用域用戶管理器啟用安全審查功能，以為防止未經(jīng)授權(quán)的訪問(wèn)，可以利用域用戶管理器啟用安全審查功能，以便在事件查看器安全日志中記錄未經(jīng)授權(quán)的訪問(wèn)企圖，以便盡早發(fā)現(xiàn)安便在事件查看器安全日志中記錄未經(jīng)授權(quán)的訪問(wèn)企圖，以便盡早發(fā)現(xiàn)安全漏洞，但要結(jié)合工作實(shí)際，設(shè)置合理的審計(jì)規(guī)則，切忌審查事件