管理精品系統(tǒng)訪(fǎng)問(wèn)控制與審計(jì)技術(shù)

1、管理精品系統(tǒng)訪(fǎng)問(wèn)管理精品系統(tǒng)訪(fǎng)問(wèn)控制與審計(jì)技術(shù)控制與審計(jì)技術(shù)2345611.1 11.1 訪(fǎng)問(wèn)控制技術(shù)訪(fǎng)問(wèn)控制技術(shù) 11.1.2 11.1.2 訪(fǎng)問(wèn)控制原理訪(fǎng)問(wèn)控制原理 訪(fǎng)問(wèn)控制表訪(fǎng)問(wèn)控制表(Access Control List(Access Control List，ACL)ACL)是基于訪(fǎng)問(wèn)控制矩陣中列是基于訪(fǎng)問(wèn)控制矩陣中列的自主訪(fǎng)問(wèn)控制。的自主訪(fǎng)問(wèn)控制。 1 1自主訪(fǎng)問(wèn)控制自主訪(fǎng)問(wèn)控制( (續(xù)續(xù)) )（1 1）訪(fǎng)問(wèn)控制表）訪(fǎng)問(wèn)控制表 對(duì)系統(tǒng)中一個(gè)需要保護(hù)的客體對(duì)系統(tǒng)中一個(gè)需要保護(hù)的客體O Oj j附加的訪(fǎng)問(wèn)控制表的結(jié)構(gòu)如附加的訪(fǎng)問(wèn)控制表的結(jié)構(gòu)如下下圖所示圖所示 在上圖的例子中，對(duì)于客體

2、在上圖的例子中，對(duì)于客體O Oj j, ,主體主體S S0 0具有讀具有讀(r)(r)和執(zhí)行和執(zhí)行(e)(e)的權(quán)利；的權(quán)利；主體主體S S1 1只有讀的權(quán)利；主體只有讀的權(quán)利；主體S S2 2只有執(zhí)行的權(quán)利；主體只有執(zhí)行的權(quán)利；主體S Sm m具有讀、寫(xiě)具有讀、寫(xiě)(w)(w)和和執(zhí)行的權(quán)利。執(zhí)行的權(quán)利。711.1 11.1 訪(fǎng)問(wèn)控制技術(shù)訪(fǎng)問(wèn)控制技術(shù) 11.1.2 11.1.2 訪(fǎng)問(wèn)控制原理訪(fǎng)問(wèn)控制原理 1 1自主訪(fǎng)問(wèn)控制自主訪(fǎng)問(wèn)控制( (續(xù)續(xù)) ) (2) (2) 訪(fǎng)問(wèn)能力表訪(fǎng)問(wèn)能力表 訪(fǎng)問(wèn)能力表訪(fǎng)問(wèn)能力表(Access Capabilities List)(Access Capabilit

3、ies List)是最常用的基于行的自主訪(fǎng)是最常用的基于行的自主訪(fǎng)問(wèn)控制。能力問(wèn)控制。能力(capability) (capability) 是為主體提供的、對(duì)客體具有特定訪(fǎng)問(wèn)權(quán)限是為主體提供的、對(duì)客體具有特定訪(fǎng)問(wèn)權(quán)限的不可偽造的標(biāo)志，它決定主體是否可以訪(fǎng)問(wèn)客體以及以什么方式訪(fǎng)問(wèn)客的不可偽造的標(biāo)志，它決定主體是否可以訪(fǎng)問(wèn)客體以及以什么方式訪(fǎng)問(wèn)客體。主體可以將能力轉(zhuǎn)移給為自己工作的進(jìn)程，在進(jìn)程運(yùn)行期間，還可以體。主體可以將能力轉(zhuǎn)移給為自己工作的進(jìn)程，在進(jìn)程運(yùn)行期間，還可以添加或者修改能力。添加或者修改能力。 能力的轉(zhuǎn)移不受任何策略的限制，所以對(duì)于一個(gè)特定的客體，不能確能力的轉(zhuǎn)移不受任何策略的限制

4、，所以對(duì)于一個(gè)特定的客體，不能確定所有有權(quán)訪(fǎng)問(wèn)它的主體。因此，訪(fǎng)問(wèn)能力表不能實(shí)現(xiàn)完備的自主訪(fǎng)問(wèn)控定所有有權(quán)訪(fǎng)問(wèn)它的主體。因此，訪(fǎng)問(wèn)能力表不能實(shí)現(xiàn)完備的自主訪(fǎng)問(wèn)控制，而訪(fǎng)問(wèn)控制表是可以實(shí)現(xiàn)的。制，而訪(fǎng)問(wèn)控制表是可以實(shí)現(xiàn)的。 811.1 11.1 訪(fǎng)問(wèn)控制技術(shù)訪(fǎng)問(wèn)控制技術(shù) 11.1.2 11.1.2 訪(fǎng)問(wèn)控制原理訪(fǎng)問(wèn)控制原理 2 2強(qiáng)制訪(fǎng)問(wèn)控制強(qiáng)制訪(fǎng)問(wèn)控制 強(qiáng)制訪(fǎng)問(wèn)控制系統(tǒng)為所有的主體和客體指定安全級(jí)別強(qiáng)制訪(fǎng)問(wèn)控制系統(tǒng)為所有的主體和客體指定安全級(jí)別，比如絕密級(jí)、，比如絕密級(jí)、機(jī)密級(jí)、秘密級(jí)和無(wú)密級(jí)。不同級(jí)別標(biāo)記了不同重要程度和能力的實(shí)體。機(jī)密級(jí)、秘密級(jí)和無(wú)密級(jí)。不同級(jí)別標(biāo)記了不同重要程度和能力的實(shí)

5、體。不同級(jí)別的主體對(duì)不同級(jí)別的客體的訪(fǎng)問(wèn)是在強(qiáng)制的安全策略下實(shí)現(xiàn)的。不同級(jí)別的主體對(duì)不同級(jí)別的客體的訪(fǎng)問(wèn)是在強(qiáng)制的安全策略下實(shí)現(xiàn)的。在強(qiáng)制訪(fǎng)問(wèn)控制機(jī)制中，將安全級(jí)別進(jìn)行排序，如按照從高到低排列，在強(qiáng)制訪(fǎng)問(wèn)控制機(jī)制中，將安全級(jí)別進(jìn)行排序，如按照從高到低排列，規(guī)定高級(jí)別可以單向訪(fǎng)問(wèn)低級(jí)別規(guī)定高級(jí)別可以單向訪(fǎng)問(wèn)低級(jí)別，也可以規(guī)定低級(jí)別可以單向訪(fǎng)問(wèn)高級(jí)，也可以規(guī)定低級(jí)別可以單向訪(fǎng)問(wèn)高級(jí)別。別。這種訪(fǎng)問(wèn)可以是讀，也可以是寫(xiě)或修改。這種訪(fǎng)問(wèn)可以是讀，也可以是寫(xiě)或修改。 1 1）保障信息完整性策略。）保障信息完整性策略。 2 2）保障信息機(jī)密性策略。）保障信息機(jī)密性策略。 自主訪(fǎng)問(wèn)控制較弱，而強(qiáng)制訪(fǎng)問(wèn)控制又

6、太強(qiáng)，會(huì)給用戶(hù)帶來(lái)許多不自主訪(fǎng)問(wèn)控制較弱，而強(qiáng)制訪(fǎng)問(wèn)控制又太強(qiáng)，會(huì)給用戶(hù)帶來(lái)許多不便。因此，實(shí)際應(yīng)用中，往往將自主訪(fǎng)問(wèn)控制和強(qiáng)制訪(fǎng)問(wèn)控制結(jié)合在一便。因此，實(shí)際應(yīng)用中，往往將自主訪(fǎng)問(wèn)控制和強(qiáng)制訪(fǎng)問(wèn)控制結(jié)合在一起使用。自主訪(fǎng)問(wèn)控制作為基礎(chǔ)的、常用的控制手段；強(qiáng)制訪(fǎng)問(wèn)控制作起使用。自主訪(fǎng)問(wèn)控制作為基礎(chǔ)的、常用的控制手段；強(qiáng)制訪(fǎng)問(wèn)控制作為增強(qiáng)的、更加嚴(yán)格的控制手段。為增強(qiáng)的、更加嚴(yán)格的控制手段。 911.1 11.1 訪(fǎng)問(wèn)控制技術(shù)訪(fǎng)問(wèn)控制技術(shù) 11.1.2 11.1.2 訪(fǎng)問(wèn)控制原理訪(fǎng)問(wèn)控制原理 3 3基于角色的訪(fǎng)問(wèn)控制基于角色的訪(fǎng)問(wèn)控制 基于角色的訪(fǎng)問(wèn)控制模式基于角色的訪(fǎng)問(wèn)控制模式(Role Bas

7、ed Access Control(Role Based Access Control，RBAC)RBAC)中，中，用戶(hù)不是自始至終以同樣的注冊(cè)身份和權(quán)限訪(fǎng)問(wèn)系統(tǒng)，而是以一定的角用戶(hù)不是自始至終以同樣的注冊(cè)身份和權(quán)限訪(fǎng)問(wèn)系統(tǒng)，而是以一定的角色訪(fǎng)問(wèn)，不同的角色被賦予不同的訪(fǎng)問(wèn)權(quán)限，系統(tǒng)的訪(fǎng)問(wèn)控制機(jī)制只看色訪(fǎng)問(wèn)，不同的角色被賦予不同的訪(fǎng)問(wèn)權(quán)限，系統(tǒng)的訪(fǎng)問(wèn)控制機(jī)制只看到角色，而看不到用戶(hù)。用戶(hù)在訪(fǎng)問(wèn)系統(tǒng)前，經(jīng)過(guò)角色認(rèn)證而充當(dāng)相應(yīng)到角色，而看不到用戶(hù)。用戶(hù)在訪(fǎng)問(wèn)系統(tǒng)前，經(jīng)過(guò)角色認(rèn)證而充當(dāng)相應(yīng)的角色。用戶(hù)獲得特定角色后，系統(tǒng)依然可以按照自主訪(fǎng)問(wèn)控制或強(qiáng)制的角色。用戶(hù)獲得特定角色后，系統(tǒng)依然可以按照自主訪(fǎng)

8、問(wèn)控制或強(qiáng)制訪(fǎng)問(wèn)控制機(jī)制控制角色的訪(fǎng)問(wèn)能力。訪(fǎng)問(wèn)控制機(jī)制控制角色的訪(fǎng)問(wèn)能力。 （1 1）角色的概念）角色的概念 在基于角色的訪(fǎng)問(wèn)控制中，角色在基于角色的訪(fǎng)問(wèn)控制中，角色(role)(role)定義為與一個(gè)特定活動(dòng)相關(guān)定義為與一個(gè)特定活動(dòng)相關(guān)聯(lián)的一組動(dòng)作和責(zé)任。系統(tǒng)中的主體擔(dān)任角色，完成角色規(guī)定的責(zé)任，聯(lián)的一組動(dòng)作和責(zé)任。系統(tǒng)中的主體擔(dān)任角色，完成角色規(guī)定的責(zé)任，具有角色擁有的權(quán)限。一個(gè)主體可以同時(shí)擔(dān)任多個(gè)角色，它的權(quán)限就是具有角色擁有的權(quán)限。一個(gè)主體可以同時(shí)擔(dān)任多個(gè)角色，它的權(quán)限就是多個(gè)角色權(quán)限的總和?；诮巧脑L(fǎng)問(wèn)控制就是通過(guò)各種角色的不同搭多個(gè)角色權(quán)限的總和。基于角色的訪(fǎng)問(wèn)控制就是通過(guò)各種

9、角色的不同搭配授權(quán)來(lái)盡可能實(shí)現(xiàn)主體的最小權(quán)限配授權(quán)來(lái)盡可能實(shí)現(xiàn)主體的最小權(quán)限( (最小授權(quán)指主體在能夠完成所有必最小授權(quán)指主體在能夠完成所有必需的訪(fǎng)問(wèn)工作基礎(chǔ)上的最小權(quán)限需的訪(fǎng)問(wèn)工作基礎(chǔ)上的最小權(quán)限) )。1011.1 11.1 訪(fǎng)問(wèn)控制技術(shù)訪(fǎng)問(wèn)控制技術(shù) 11.1.2 11.1.2 訪(fǎng)問(wèn)控制原理訪(fǎng)問(wèn)控制原理 3 3基于角色的訪(fǎng)問(wèn)控制基于角色的訪(fǎng)問(wèn)控制 （2 2）基于角色的訪(fǎng)問(wèn)控制）基于角色的訪(fǎng)問(wèn)控制 基于角色的訪(fǎng)問(wèn)控制就是通過(guò)定義角色的權(quán)限，為系統(tǒng)中的主體分基于角色的訪(fǎng)問(wèn)控制就是通過(guò)定義角色的權(quán)限，為系統(tǒng)中的主體分配角色來(lái)實(shí)現(xiàn)訪(fǎng)問(wèn)控制的。用戶(hù)先經(jīng)認(rèn)證后獲得一定角色，該角色被分配角色來(lái)實(shí)現(xiàn)訪(fǎng)問(wèn)控

10、制的。用戶(hù)先經(jīng)認(rèn)證后獲得一定角色，該角色被分派了一定的權(quán)限，用戶(hù)以特定角色訪(fǎng)問(wèn)系統(tǒng)資源，訪(fǎng)問(wèn)控制機(jī)制檢查角派了一定的權(quán)限，用戶(hù)以特定角色訪(fǎng)問(wèn)系統(tǒng)資源，訪(fǎng)問(wèn)控制機(jī)制檢查角色的權(quán)限，并決定是否允許訪(fǎng)問(wèn)。色的權(quán)限，并決定是否允許訪(fǎng)問(wèn)。 這種訪(fǎng)問(wèn)控制方法的具體特點(diǎn)如下：這種訪(fǎng)問(wèn)控制方法的具體特點(diǎn)如下： 1 1）提供了三種授權(quán)管理的控制途徑）提供了三種授權(quán)管理的控制途徑 2 2）系統(tǒng)中所有角色的關(guān)系結(jié)構(gòu)可以是層次化的，便于管理。）系統(tǒng)中所有角色的關(guān)系結(jié)構(gòu)可以是層次化的，便于管理。 3 3）具有較好的提供最小權(quán)利的能力，從而提高了安全性。）具有較好的提供最小權(quán)利的能力，從而提高了安全性。 4 4）具有責(zé)任

11、分離的能力。）具有責(zé)任分離的能力。 1111.2 Windows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.1 Windows11.2.1 Windows的安全模型與基本概念的安全模型與基本概念 1 1安全模型安全模型 WindowsWindows的安全模型由以下幾個(gè)關(guān)鍵部分構(gòu)成：的安全模型由以下幾個(gè)關(guān)鍵部分構(gòu)成： 1 1）登錄過(guò)程）登錄過(guò)程(Logon Process(Logon Process，LP)LP)。接受本地用戶(hù)或者遠(yuǎn)程用戶(hù)的。接受本地用戶(hù)或者遠(yuǎn)程用戶(hù)的登錄請(qǐng)求，處理用戶(hù)信息，為用戶(hù)做一些初始化工作。登錄請(qǐng)求，處理用戶(hù)信息，為用戶(hù)做一些初始化工作。

12、2 2）本地安全授權(quán)機(jī)構(gòu)）本地安全授權(quán)機(jī)構(gòu)(Local Security Authority(Local Security Authority，LSA)LSA)。根據(jù)安。根據(jù)安全賬號(hào)管理器中的數(shù)據(jù)處理本地或者遠(yuǎn)程用戶(hù)的登錄信息，并控制審計(jì)全賬號(hào)管理器中的數(shù)據(jù)處理本地或者遠(yuǎn)程用戶(hù)的登錄信息，并控制審計(jì)和日志。這是整個(gè)安全子系統(tǒng)的核心。和日志。這是整個(gè)安全子系統(tǒng)的核心。 3 3）安全賬號(hào)管理器）安全賬號(hào)管理器(Security Account Manager(Security Account Manager，SAM)SAM)。維護(hù)賬號(hào)。維護(hù)賬號(hào)的安全性管理數(shù)據(jù)庫(kù)的安全性管理數(shù)據(jù)庫(kù)(SAM(SAM數(shù)

13、據(jù)庫(kù)，又稱(chēng)目錄數(shù)據(jù)庫(kù)數(shù)據(jù)庫(kù)，又稱(chēng)目錄數(shù)據(jù)庫(kù)) )。 4 4）安全引用監(jiān)視器）安全引用監(jiān)視器(Security Reference Monitor(Security Reference Monitor，SRM)SRM)。檢查存。檢查存取合法性，防止非法存取和修改。取合法性，防止非法存取和修改。 這幾部分在訪(fǎng)問(wèn)控制的不同階段發(fā)揮了各自的作用。這幾部分在訪(fǎng)問(wèn)控制的不同階段發(fā)揮了各自的作用。 1211.2 Windows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.1 Windows11.2.1 Windows的安全模型與基本概念的安全模型與基本概念 2 2安全概念安全概

14、念 1 1）安全標(biāo)識(shí)）安全標(biāo)識(shí)(Security Identifier(Security Identifier，SID)SID)：安全標(biāo)識(shí)和賬號(hào)唯一對(duì)：安全標(biāo)識(shí)和賬號(hào)唯一對(duì)應(yīng)，在賬號(hào)創(chuàng)建時(shí)創(chuàng)建，賬號(hào)刪除時(shí)刪除，而且永不再用。安全標(biāo)識(shí)與應(yīng)，在賬號(hào)創(chuàng)建時(shí)創(chuàng)建，賬號(hào)刪除時(shí)刪除，而且永不再用。安全標(biāo)識(shí)與對(duì)應(yīng)的用戶(hù)和組的賬號(hào)信息一起存儲(chǔ)在對(duì)應(yīng)的用戶(hù)和組的賬號(hào)信息一起存儲(chǔ)在SAMSAM數(shù)據(jù)庫(kù)里。數(shù)據(jù)庫(kù)里。 2 2）訪(fǎng)問(wèn)令牌）訪(fǎng)問(wèn)令牌(Access Token)(Access Token)。當(dāng)用戶(hù)登錄時(shí)，本地安全授權(quán)機(jī)構(gòu)為。當(dāng)用戶(hù)登錄時(shí)，本地安全授權(quán)機(jī)構(gòu)為用戶(hù)創(chuàng)建一個(gè)訪(fǎng)問(wèn)令牌，包括用戶(hù)名、所在組、安全標(biāo)識(shí)等

15、信息。用戶(hù)創(chuàng)建一個(gè)訪(fǎng)問(wèn)令牌，包括用戶(hù)名、所在組、安全標(biāo)識(shí)等信息。 3 3）主體）主體。用戶(hù)登錄到系統(tǒng)之后，本地安全授權(quán)機(jī)構(gòu)為用戶(hù)構(gòu)造一個(gè)。用戶(hù)登錄到系統(tǒng)之后，本地安全授權(quán)機(jī)構(gòu)為用戶(hù)構(gòu)造一個(gè)訪(fǎng)問(wèn)令牌，這個(gè)令牌與該用戶(hù)所有的操作相聯(lián)系，用戶(hù)進(jìn)行的操作和訪(fǎng)訪(fǎng)問(wèn)令牌，這個(gè)令牌與該用戶(hù)所有的操作相聯(lián)系，用戶(hù)進(jìn)行的操作和訪(fǎng)問(wèn)令牌一起構(gòu)成一個(gè)主體。問(wèn)令牌一起構(gòu)成一個(gè)主體。 4 4）對(duì)象、資源、共享資源）對(duì)象、資源、共享資源。對(duì)象的實(shí)質(zhì)是封裝了數(shù)據(jù)和處理過(guò)程的。對(duì)象的實(shí)質(zhì)是封裝了數(shù)據(jù)和處理過(guò)程的一系列信息集合體。資源是用于網(wǎng)絡(luò)環(huán)境的對(duì)象。共享資源是在網(wǎng)絡(luò)上一系列信息集合體。資源是用于網(wǎng)絡(luò)環(huán)境的對(duì)象。共享資源是

16、在網(wǎng)絡(luò)上共享的對(duì)象。共享的對(duì)象。 5 5）安全描述符）安全描述符（Security DescriptSecurity Descript）。）。WindowsWindows系統(tǒng)會(huì)為共享資源系統(tǒng)會(huì)為共享資源創(chuàng)建安全描述符，包含了該對(duì)象的一組安全屬性創(chuàng)建安全描述符，包含了該對(duì)象的一組安全屬性。13 安全描述符分為四個(gè)部分：安全描述符分為四個(gè)部分： 所有者安全標(biāo)識(shí)所有者安全標(biāo)識(shí)(Owner SecurityID)(Owner SecurityID)。擁有該對(duì)象的用戶(hù)或者用戶(hù)。擁有該對(duì)象的用戶(hù)或者用戶(hù)組的組的SDSD。 組安全標(biāo)識(shí)組安全標(biāo)識(shí)(GroupSecurity)(GroupSecurity)。

17、自主訪(fǎng)問(wèn)控制表自主訪(fǎng)問(wèn)控制表(Discretionary Access Control List(Discretionary Access Control List，DAC)DAC)。該對(duì)象的訪(fǎng)問(wèn)控制表，由對(duì)象的所有者控制。該對(duì)象的訪(fǎng)問(wèn)控制表，由對(duì)象的所有者控制。 系統(tǒng)訪(fǎng)問(wèn)控制表系統(tǒng)訪(fǎng)問(wèn)控制表(System Access Control List(System Access Control List，ACL)ACL)。定義操作。定義操作系統(tǒng)將產(chǎn)生何種類(lèi)型的審計(jì)信息，由系統(tǒng)的安全管理員控制。系統(tǒng)將產(chǎn)生何種類(lèi)型的審計(jì)信息，由系統(tǒng)的安全管理員控制。 其中，安全描述符中的每一個(gè)訪(fǎng)問(wèn)控制表其中，安全描述

18、符中的每一個(gè)訪(fǎng)問(wèn)控制表(ACL)(ACL)都由訪(fǎng)問(wèn)控制項(xiàng)都由訪(fǎng)問(wèn)控制項(xiàng)(Access Control Entries(Access Control Entries，ACEs)ACEs)組成，用來(lái)描述用戶(hù)或者組對(duì)對(duì)象的訪(fǎng)組成，用來(lái)描述用戶(hù)或者組對(duì)對(duì)象的訪(fǎng)問(wèn)或?qū)徲?jì)權(quán)限。問(wèn)或?qū)徲?jì)權(quán)限。ACEsACEs有三種類(lèi)型：有三種類(lèi)型：Access AllowedAccess Allowed、Access DeniedAccess Denied和和System AuditSystem Audit。前兩種用于自主訪(fǎng)問(wèn)控制；后一種用于記錄安全日志。前兩種用于自主訪(fǎng)問(wèn)控制；后一種用于記錄安全日志。 11.2 Wind

19、ows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.1 Windows11.2.1 Windows的安全模型與基本概念的安全模型與基本概念 2 2安全概念安全概念( (續(xù)續(xù)) ) Cacls命令14 當(dāng)一個(gè)賬號(hào)被創(chuàng)建時(shí)，當(dāng)一個(gè)賬號(hào)被創(chuàng)建時(shí)，WindowsWindows系統(tǒng)為它分配一個(gè)系統(tǒng)為它分配一個(gè)SIDSID，并與其他賬號(hào)，并與其他賬號(hào)信息一起存入信息一起存入SAMSAM數(shù)據(jù)庫(kù)。數(shù)據(jù)庫(kù)。 每次用戶(hù)登錄時(shí)，登錄主機(jī)每次用戶(hù)登錄時(shí)，登錄主機(jī)( (通常為工作站通常為工作站) )的系統(tǒng)首先把用戶(hù)輸入的的系統(tǒng)首先把用戶(hù)輸入的用戶(hù)名、口令和用戶(hù)希望登錄的服務(wù)器域信息送給安全

20、賬號(hào)管理器，安用戶(hù)名、口令和用戶(hù)希望登錄的服務(wù)器域信息送給安全賬號(hào)管理器，安全賬號(hào)管理器將這些信息與全賬號(hào)管理器將這些信息與SAMSAM數(shù)據(jù)庫(kù)中的信息進(jìn)行比較，如果匹配，服數(shù)據(jù)庫(kù)中的信息進(jìn)行比較，如果匹配，服務(wù)器發(fā)給工作站允許訪(fǎng)問(wèn)的信息，并返回用戶(hù)的安全標(biāo)識(shí)和用戶(hù)所在組的務(wù)器發(fā)給工作站允許訪(fǎng)問(wèn)的信息，并返回用戶(hù)的安全標(biāo)識(shí)和用戶(hù)所在組的安全標(biāo)識(shí)，工作站系統(tǒng)為用戶(hù)生成一個(gè)進(jìn)程。服務(wù)器還要記錄用戶(hù)賬號(hào)的安全標(biāo)識(shí)，工作站系統(tǒng)為用戶(hù)生成一個(gè)進(jìn)程。服務(wù)器還要記錄用戶(hù)賬號(hào)的特權(quán)、主目錄位置、工作站參數(shù)等信息。特權(quán)、主目錄位置、工作站參數(shù)等信息。 然后，本地安全授權(quán)機(jī)構(gòu)為用戶(hù)創(chuàng)建訪(fǎng)問(wèn)令牌，包括用戶(hù)名、所在組、

21、然后，本地安全授權(quán)機(jī)構(gòu)為用戶(hù)創(chuàng)建訪(fǎng)問(wèn)令牌，包括用戶(hù)名、所在組、安全標(biāo)識(shí)等信息。此后用戶(hù)每新建一個(gè)進(jìn)程，都將訪(fǎng)問(wèn)令牌復(fù)制作為該進(jìn)安全標(biāo)識(shí)等信息。此后用戶(hù)每新建一個(gè)進(jìn)程，都將訪(fǎng)問(wèn)令牌復(fù)制作為該進(jìn)程的訪(fǎng)問(wèn)令牌。程的訪(fǎng)問(wèn)令牌。 當(dāng)用戶(hù)或者用戶(hù)生成的進(jìn)程要訪(fǎng)問(wèn)某個(gè)對(duì)象時(shí)，安全引用監(jiān)視器將用當(dāng)用戶(hù)或者用戶(hù)生成的進(jìn)程要訪(fǎng)問(wèn)某個(gè)對(duì)象時(shí)，安全引用監(jiān)視器將用戶(hù)進(jìn)程的訪(fǎng)問(wèn)令牌中的戶(hù)進(jìn)程的訪(fǎng)問(wèn)令牌中的SIDSID與對(duì)象安全描述符中的自主訪(fǎng)問(wèn)控制表進(jìn)行與對(duì)象安全描述符中的自主訪(fǎng)問(wèn)控制表進(jìn)行比較，從而決定用戶(hù)是否有權(quán)訪(fǎng)問(wèn)對(duì)象。比較，從而決定用戶(hù)是否有權(quán)訪(fǎng)問(wèn)對(duì)象。 11.2 Windows 200011.2 Windows

22、 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.2 Windows11.2.2 Windows的訪(fǎng)問(wèn)控制過(guò)程的訪(fǎng)問(wèn)控制過(guò)程 1511.2 Windows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.2 Windows11.2.2 Windows的訪(fǎng)問(wèn)控制過(guò)程的訪(fǎng)問(wèn)控制過(guò)程 資源的資源的本地本地訪(fǎng)問(wèn)權(quán)限訪(fǎng)問(wèn)權(quán)限共有以下共有以下六六種種，每一種權(quán)限都可設(shè)置，每一種權(quán)限都可設(shè)置為允許或拒絕。為允許或拒絕。 1 1）完全控制）完全控制 2 2）修改修改 3 3）讀）讀取及運(yùn)行取及運(yùn)行 4 4）列出文件夾目錄列出文件夾目錄 5 5）讀取讀取 6 6）寫(xiě)入寫(xiě)入 資源的共享訪(fǎng)問(wèn)權(quán)限資

23、源的共享訪(fǎng)問(wèn)權(quán)限共有以下四種：共有以下四種： 1 1）完全控制）完全控制 2 2）讀）讀取取 3 3）更改）更改 4 4）拒絕訪(fǎng)問(wèn)）拒絕訪(fǎng)問(wèn)1611.2 Windows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系統(tǒng)安全設(shè)置系統(tǒng)安全設(shè)置 1 1用戶(hù)管理用戶(hù)管理 刪除所有不需要的賬號(hào)，禁用所有暫時(shí)不用的賬號(hào)。一定要禁用刪除所有不需要的賬號(hào)，禁用所有暫時(shí)不用的賬號(hào)。一定要禁用“guestguest”用戶(hù)。用戶(hù)。重命名重命名系統(tǒng)默認(rèn)的管理員系統(tǒng)默認(rèn)的管理員“Administr

24、atorAdministrator”，然后然后再創(chuàng)建一個(gè)名為再創(chuàng)建一個(gè)名為“AdministratorAdministrator”的用戶(hù)，并分配給這個(gè)新用戶(hù)一的用戶(hù)，并分配給這個(gè)新用戶(hù)一個(gè)復(fù)雜無(wú)比的口令，最后不讓它屬于任何組。個(gè)復(fù)雜無(wú)比的口令，最后不讓它屬于任何組。 2 2使用使用NTFSNTFS文件系統(tǒng)文件系統(tǒng) FAT32FAT32無(wú)法提供用戶(hù)所需的針對(duì)于本地的單個(gè)文件與目錄的權(quán)限無(wú)法提供用戶(hù)所需的針對(duì)于本地的單個(gè)文件與目錄的權(quán)限設(shè)置。設(shè)置。NTFSNTFS格式是服務(wù)器必須的，使用格式是服務(wù)器必須的，使用FAT32FAT32文件系統(tǒng)沒(méi)有安全性可文件系統(tǒng)沒(méi)有安全性可言。言。 3 3不讓系統(tǒng)顯示

25、上次登錄的用戶(hù)名不讓系統(tǒng)顯示上次登錄的用戶(hù)名 通過(guò)修改通過(guò)修改“管理工具管理工具”中的中的“本地安全策略本地安全策略”的相應(yīng)選項(xiàng)的相應(yīng)選項(xiàng)或修改或修改系統(tǒng)注冊(cè)表來(lái)系統(tǒng)注冊(cè)表來(lái)實(shí)現(xiàn)實(shí)現(xiàn)。 1711.2 Windows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系統(tǒng)安全設(shè)置系統(tǒng)安全設(shè)置( (續(xù)續(xù)) )4 4禁止建立空連接禁止建立空連接 默認(rèn)情況下，任何用戶(hù)可通過(guò)空連接連上服務(wù)器，枚舉賬號(hào)并猜默認(rèn)情況下，任何用戶(hù)可通過(guò)空連接連上服務(wù)器，枚舉賬號(hào)并猜測(cè)密碼。通過(guò)修改測(cè)密碼。通過(guò)

26、修改“管理工具管理工具”中的中的“本地安全策略本地安全策略”的相應(yīng)選項(xiàng)的相應(yīng)選項(xiàng)或或修改系統(tǒng)注冊(cè)表來(lái)修改系統(tǒng)注冊(cè)表來(lái)實(shí)現(xiàn)實(shí)現(xiàn)。 5 5打開(kāi)安全審核打開(kāi)安全審核 Windows 2000Windows 2000的安全審計(jì)功能在默認(rèn)安裝時(shí)是關(guān)閉的。激活此功的安全審計(jì)功能在默認(rèn)安裝時(shí)是關(guān)閉的。激活此功能有利于管理員很好的掌握機(jī)器的狀態(tài)，有利于系統(tǒng)的入侵檢測(cè)。你能有利于管理員很好的掌握機(jī)器的狀態(tài)，有利于系統(tǒng)的入侵檢測(cè)。你可以從日志中了解到機(jī)器是否在被人蠻力攻擊、非法的文件訪(fǎng)問(wèn)等。可以從日志中了解到機(jī)器是否在被人蠻力攻擊、非法的文件訪(fǎng)問(wèn)等。 設(shè)置設(shè)置“本地安全策略本地安全策略”中中“本地策略本地策略”的

27、的“審核策略審核策略”，建議設(shè)，建議設(shè)置如下：置如下： 審核策略審核策略設(shè)置設(shè)置賬戶(hù)登錄事件賬戶(hù)登錄事件成功，失敗成功，失敗賬戶(hù)管理賬戶(hù)管理成功，失敗成功，失敗登錄事件登錄事件成功，失敗成功，失敗對(duì)象訪(fǎng)問(wèn)對(duì)象訪(fǎng)問(wèn)失敗失敗策略更改策略更改成功，失敗成功，失敗特權(quán)使用特權(quán)使用成功，失敗成功，失敗系統(tǒng)事件系統(tǒng)事件失敗失敗1811.2 Windows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系統(tǒng)安全設(shè)置系統(tǒng)安全設(shè)置( (續(xù)續(xù)) ) 6 6關(guān)閉不必要和危險(xiǎn)的系統(tǒng)服務(wù)關(guān)閉不必要和

28、危險(xiǎn)的系統(tǒng)服務(wù) 安裝好安裝好Windows 2000Windows 2000后，一般開(kāi)放了數(shù)十項(xiàng)系統(tǒng)或應(yīng)用服務(wù)，做后，一般開(kāi)放了數(shù)十項(xiàng)系統(tǒng)或應(yīng)用服務(wù)，做為一個(gè)管理員，應(yīng)該知道各種服務(wù)都是做什么用的，例如有人入侵后為一個(gè)管理員，應(yīng)該知道各種服務(wù)都是做什么用的，例如有人入侵后須及時(shí)發(fā)現(xiàn)是否運(yùn)行了一些入侵者留下的服務(wù)。管理方法是打開(kāi)須及時(shí)發(fā)現(xiàn)是否運(yùn)行了一些入侵者留下的服務(wù)。管理方法是打開(kāi)“管管理工具理工具”“服務(wù)服務(wù)”，根據(jù)要求啟動(dòng)，根據(jù)要求啟動(dòng)/ /停止相應(yīng)的服務(wù)。停止相應(yīng)的服務(wù)?？蓞⒄崭戒浛蓞⒄崭戒? 1。7 7修改終端服務(wù)的默認(rèn)端口修改終端服務(wù)的默認(rèn)端口 如有必要才需要此操作，默認(rèn)為如有必要才

29、需要此操作，默認(rèn)為33893389，可隨意修改為，可隨意修改為1 16553565535的的端口。端口。鍵值：鍵值：“HKLMSYSTEMCurrent ControlSetControlTerminal ServerWin HKLMSYSTEMCurrent ControlSetControlTerminal ServerWin Stations”Stations” 。 8 8網(wǎng)卡的端口篩選網(wǎng)卡的端口篩選 具體情況配置具體情況配置。通過(guò)。通過(guò)網(wǎng)卡網(wǎng)卡“屬性屬性”-“-“TCP/IPTCP/IP協(xié)議屬性協(xié)議屬性”-“-“高高級(jí)級(jí)”-“-“選項(xiàng)選項(xiàng)”-“-“TCP/IPTCP/IP篩選屬性篩選屬

30、性”來(lái)設(shè)置來(lái)設(shè)置。 根據(jù)服務(wù)器開(kāi)啟的應(yīng)用服務(wù)，添加相應(yīng)的根據(jù)服務(wù)器開(kāi)啟的應(yīng)用服務(wù)，添加相應(yīng)的TCPTCP、UDPUDP端口或端口或IPIP協(xié)議。協(xié)議。如一臺(tái)服務(wù)器只作如一臺(tái)服務(wù)器只作WebWeb和和EmailEmail服務(wù)器，則可只允許服務(wù)器，則可只允許8080、110110和和2525端口。端口。1911.2 Windows 200011.2 Windows 2000的訪(fǎng)問(wèn)控制的訪(fǎng)問(wèn)控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系統(tǒng)安全設(shè)置系統(tǒng)安全設(shè)置( (續(xù)續(xù)) ) 9 9IISIIS安全配置安全配置 IISIIS安全操作步驟

31、：配置安全操作步驟：配置“開(kāi)始開(kāi)始”“程序程序”- -“管理工具管理工具”- -“Internet Internet 服務(wù)管理器服務(wù)管理器”。刪除刪除“默認(rèn)站點(diǎn)默認(rèn)站點(diǎn)”的站點(diǎn)的站點(diǎn)。默認(rèn)的默認(rèn)的IISIIS發(fā)發(fā)布目錄為布目錄為C:InetpubC:Inetpub，請(qǐng)將這個(gè)目錄刪除。在，請(qǐng)將這個(gè)目錄刪除。在d d盤(pán)或盤(pán)或e e盤(pán)新建一個(gè)目錄盤(pán)新建一個(gè)目錄( (目錄名隨意目錄名隨意) )，然后新建一個(gè)站點(diǎn)，將主目錄指向你新建的目錄。，然后新建一個(gè)站點(diǎn)，將主目錄指向你新建的目錄。1010禁用不必要的網(wǎng)絡(luò)協(xié)議與網(wǎng)絡(luò)共享禁用不必要的網(wǎng)絡(luò)協(xié)議與網(wǎng)絡(luò)共享 建議在網(wǎng)絡(luò)屬性中關(guān)閉建議在網(wǎng)絡(luò)屬性中關(guān)閉“Micr

32、osoftMicrosoft網(wǎng)絡(luò)客戶(hù)端網(wǎng)絡(luò)客戶(hù)端”和和“MicrosoftMicrosoft網(wǎng)絡(luò)文件與打印機(jī)共享網(wǎng)絡(luò)文件與打印機(jī)共享”的選項(xiàng)。的選項(xiàng)。 建議去掉建議去掉系統(tǒng)的默認(rèn)共享?？赏ㄟ^(guò)系統(tǒng)的默認(rèn)共享?？赏ㄟ^(guò)NetNet命令、命令、“計(jì)算機(jī)管理計(jì)算機(jī)管理”或或修改注冊(cè)表實(shí)現(xiàn)。修改注冊(cè)表實(shí)現(xiàn)。1111其它其它 建議仔細(xì)查看建議仔細(xì)查看“本地安全策略本地安全策略”、“計(jì)算機(jī)管理計(jì)算機(jī)管理”及及“組策略組策略”等相關(guān)組件的功能，了解這些組件對(duì)系統(tǒng)安全的影響。等相關(guān)組件的功能，了解這些組件對(duì)系統(tǒng)安全的影響。2011.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.1 11.3.1 安全審計(jì)概述安

33、全審計(jì)概述 審計(jì)是對(duì)訪(fǎng)問(wèn)控制的必要補(bǔ)充，是訪(fǎng)問(wèn)控制的一個(gè)重審計(jì)是對(duì)訪(fǎng)問(wèn)控制的必要補(bǔ)充，是訪(fǎng)問(wèn)控制的一個(gè)重要內(nèi)容。審計(jì)會(huì)對(duì)用戶(hù)使用何種信息資源、使用的時(shí)間，要內(nèi)容。審計(jì)會(huì)對(duì)用戶(hù)使用何種信息資源、使用的時(shí)間，以及如何使用（執(zhí)行何種操作）進(jìn)行記錄與監(jiān)控。審計(jì)和以及如何使用（執(zhí)行何種操作）進(jìn)行記錄與監(jiān)控。審計(jì)和監(jiān)控是實(shí)現(xiàn)系統(tǒng)安全的最后一道防線(xiàn)，處于系統(tǒng)的最高層。監(jiān)控是實(shí)現(xiàn)系統(tǒng)安全的最后一道防線(xiàn)，處于系統(tǒng)的最高層。審計(jì)與監(jiān)控能夠再現(xiàn)原有的進(jìn)程和問(wèn)題，這對(duì)于責(zé)任追查審計(jì)與監(jiān)控能夠再現(xiàn)原有的進(jìn)程和問(wèn)題，這對(duì)于責(zé)任追查和數(shù)據(jù)恢復(fù)非常有必要。和數(shù)據(jù)恢復(fù)非常有必要。 審計(jì)跟蹤是系統(tǒng)活動(dòng)的流水記錄。該記錄按事件從始

34、審計(jì)跟蹤是系統(tǒng)活動(dòng)的流水記錄。該記錄按事件從始至終的途徑，順序檢查、審查和檢驗(yàn)每個(gè)事件的環(huán)境及活至終的途徑，順序檢查、審查和檢驗(yàn)每個(gè)事件的環(huán)境及活動(dòng)。審計(jì)跟蹤記錄系統(tǒng)活動(dòng)和用戶(hù)活動(dòng)。審計(jì)跟蹤可以發(fā)動(dòng)。審計(jì)跟蹤記錄系統(tǒng)活動(dòng)和用戶(hù)活動(dòng)。審計(jì)跟蹤可以發(fā)現(xiàn)違反安全策略的活動(dòng)、影響運(yùn)行效率的問(wèn)題以及程序中現(xiàn)違反安全策略的活動(dòng)、影響運(yùn)行效率的問(wèn)題以及程序中的錯(cuò)誤。審計(jì)跟蹤不但有助于幫助系統(tǒng)管理員確保系統(tǒng)及的錯(cuò)誤。審計(jì)跟蹤不但有助于幫助系統(tǒng)管理員確保系統(tǒng)及其資源免遭非法授權(quán)用戶(hù)的侵害，同時(shí)還能幫助恢復(fù)數(shù)據(jù)。其資源免遭非法授權(quán)用戶(hù)的侵害，同時(shí)還能幫助恢復(fù)數(shù)據(jù)。 2111.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù)

35、 11.3.2 11.3.2 審計(jì)內(nèi)容審計(jì)內(nèi)容 審計(jì)跟蹤可以實(shí)現(xiàn)多種安全相關(guān)目標(biāo)，包括個(gè)人職能、審計(jì)跟蹤可以實(shí)現(xiàn)多種安全相關(guān)目標(biāo)，包括個(gè)人職能、事件重建、入侵檢測(cè)和故障分析。事件重建、入侵檢測(cè)和故障分析。 1 1）個(gè)人職能（）個(gè)人職能（individual accountabilityindividual accountability） 審計(jì)跟蹤是管理人員用來(lái)維護(hù)個(gè)人職能的技術(shù)手段。如果用戶(hù)被知審計(jì)跟蹤是管理人員用來(lái)維護(hù)個(gè)人職能的技術(shù)手段。如果用戶(hù)被知道他們的行為活動(dòng)被記錄在審計(jì)日志中，相應(yīng)的人員需要為自己的行為道他們的行為活動(dòng)被記錄在審計(jì)日志中，相應(yīng)的人員需要為自己的行為負(fù)責(zé)，他們就不太會(huì)違

36、反安全策略和繞過(guò)安全控制措施。負(fù)責(zé)，他們就不太會(huì)違反安全策略和繞過(guò)安全控制措施。 2 2）事件重建（）事件重建（reconstruction of eventsreconstruction of events） 在發(fā)生故障后，審計(jì)跟蹤可以用于重建事件和數(shù)據(jù)恢復(fù)。在發(fā)生故障后，審計(jì)跟蹤可以用于重建事件和數(shù)據(jù)恢復(fù)。 3 3）入侵檢測(cè)（）入侵檢測(cè)（intrusion detectionintrusion detection） 審計(jì)跟蹤記錄可以用來(lái)協(xié)助入侵檢測(cè)工作。如果將審計(jì)的每一筆審計(jì)跟蹤記錄可以用來(lái)協(xié)助入侵檢測(cè)工作。如果將審計(jì)的每一筆記錄都進(jìn)行上下文分析，就可以實(shí)時(shí)發(fā)現(xiàn)或是過(guò)后預(yù)防入侵檢測(cè)活動(dòng)。記

37、錄都進(jìn)行上下文分析，就可以實(shí)時(shí)發(fā)現(xiàn)或是過(guò)后預(yù)防入侵檢測(cè)活動(dòng)。 4 4）故障分析（）故障分析（problem analysisproblem analysis）審計(jì)跟蹤可以用于實(shí)時(shí)審計(jì)或監(jiān)控。審計(jì)跟蹤可以用于實(shí)時(shí)審計(jì)或監(jiān)控。2211.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.3 11.3.3 安全審計(jì)的目標(biāo)安全審計(jì)的目標(biāo) 計(jì)算機(jī)安全審計(jì)機(jī)制的目標(biāo)如下：計(jì)算機(jī)安全審計(jì)機(jī)制的目標(biāo)如下： 1)1)應(yīng)為安全人員提供足夠多的信息，使他們能夠定位問(wèn)題所在；應(yīng)為安全人員提供足夠多的信息，使他們能夠定位問(wèn)題所在；但另一方面，提供的信息應(yīng)不足以使他們自己也能夠進(jìn)行攻擊。但另一方面，提供的信息應(yīng)不足以使他們

38、自己也能夠進(jìn)行攻擊。 2)2)應(yīng)優(yōu)化審計(jì)追蹤的內(nèi)容，以檢測(cè)發(fā)現(xiàn)的問(wèn)題，而且必須能從不應(yīng)優(yōu)化審計(jì)追蹤的內(nèi)容，以檢測(cè)發(fā)現(xiàn)的問(wèn)題，而且必須能從不同的系統(tǒng)資源收集信息。同的系統(tǒng)資源收集信息。 3)3)應(yīng)能夠?qū)σ粋€(gè)給定的資源應(yīng)能夠?qū)σ粋€(gè)給定的資源( (其他用戶(hù)也被視為資源其他用戶(hù)也被視為資源) )進(jìn)行審計(jì)分進(jìn)行審計(jì)分析，分辨看似正常的活動(dòng)，以發(fā)現(xiàn)內(nèi)部計(jì)算機(jī)系統(tǒng)的不正當(dāng)使用；析，分辨看似正常的活動(dòng)，以發(fā)現(xiàn)內(nèi)部計(jì)算機(jī)系統(tǒng)的不正當(dāng)使用； 4)4)設(shè)計(jì)審計(jì)機(jī)制時(shí)，應(yīng)將系統(tǒng)攻擊者的策略也考慮在內(nèi)。設(shè)計(jì)審計(jì)機(jī)制時(shí)，應(yīng)將系統(tǒng)攻擊者的策略也考慮在內(nèi)。 概括而言，審計(jì)系統(tǒng)的目標(biāo)至少包括：概括而言，審計(jì)系統(tǒng)的目標(biāo)至少包括：

39、確定和保持系統(tǒng)活動(dòng)中每確定和保持系統(tǒng)活動(dòng)中每個(gè)人的責(zé)任個(gè)人的責(zé)任；確認(rèn)重建事件的發(fā)生確認(rèn)重建事件的發(fā)生；評(píng)估損失評(píng)估損失；臨測(cè)系統(tǒng)問(wèn)題區(qū)臨測(cè)系統(tǒng)問(wèn)題區(qū)；提；提供有效的災(zāi)難恢復(fù)依據(jù)；供有效的災(zāi)難恢復(fù)依據(jù)；提供阻止不正當(dāng)使用系統(tǒng)行為的依據(jù)提供阻止不正當(dāng)使用系統(tǒng)行為的依據(jù)；提供；提供案件偵破證據(jù)。案件偵破證據(jù)。 2311.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.4 11.3.4 安全審計(jì)系統(tǒng)安全審計(jì)系統(tǒng) 審計(jì)通過(guò)對(duì)所關(guān)心的事件進(jìn)行記錄和分析來(lái)實(shí)現(xiàn)審計(jì)通過(guò)對(duì)所關(guān)心的事件進(jìn)行記錄和分析來(lái)實(shí)現(xiàn)。因因此審計(jì)過(guò)程包括審計(jì)發(fā)生器、日志記錄器、日志分析器和此審計(jì)過(guò)程包括審計(jì)發(fā)生器、日志記錄器、日志分析器

40、和報(bào)告機(jī)制幾部分。報(bào)告機(jī)制幾部分。 1 1日志的內(nèi)容日志的內(nèi)容 通常，對(duì)于一個(gè)事件，日志應(yīng)包括事件發(fā)生的日期和時(shí)間、引發(fā)事通常，對(duì)于一個(gè)事件，日志應(yīng)包括事件發(fā)生的日期和時(shí)間、引發(fā)事件的用戶(hù)件的用戶(hù)( (地址地址) )、事件和源和目的的位置、事件類(lèi)型、事件成敗等。、事件和源和目的的位置、事件類(lèi)型、事件成敗等。2 2安全審計(jì)的記錄機(jī)制安全審計(jì)的記錄機(jī)制 不同的系統(tǒng)可采用不同的機(jī)制記錄日志。日志的記錄可能由操作系不同的系統(tǒng)可采用不同的機(jī)制記錄日志。日志的記錄可能由操作系統(tǒng)完成，也可以由應(yīng)用系統(tǒng)或其他專(zhuān)用記錄系統(tǒng)完成。但是，大部分情統(tǒng)完成，也可以由應(yīng)用系統(tǒng)或其他專(zhuān)用記錄系統(tǒng)完成。但是，大部分情況都可用

41、系統(tǒng)調(diào)用況都可用系統(tǒng)調(diào)用SyslogSyslog來(lái)記錄日志，也可以用來(lái)記錄日志，也可以用SNMPSNMP記錄。記錄。 2411.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.4 11.3.4 安全審計(jì)系統(tǒng)安全審計(jì)系統(tǒng)( (續(xù)續(xù)) )3 3安全審計(jì)分析安全審計(jì)分析 通過(guò)對(duì)日志進(jìn)行分析，發(fā)現(xiàn)所需事件信息和規(guī)律是安全審計(jì)的根本通過(guò)對(duì)日志進(jìn)行分析，發(fā)現(xiàn)所需事件信息和規(guī)律是安全審計(jì)的根本目的。主要內(nèi)容目的。主要內(nèi)容有有：1 1）潛在侵害分析）潛在侵害分析；2 2）基于異常檢測(cè)的輪廓）基于異常檢測(cè)的輪廓；3 3）簡(jiǎn)單攻擊探測(cè)簡(jiǎn)單攻擊探測(cè)；4 4）復(fù)雜攻擊探測(cè)。）復(fù)雜攻擊探測(cè)。 4 4審計(jì)事件查閱審計(jì)事

42、件查閱 由于審計(jì)系統(tǒng)是追蹤、恢復(fù)的直接依據(jù)，甚至是司法依據(jù)，因此其由于審計(jì)系統(tǒng)是追蹤、恢復(fù)的直接依據(jù)，甚至是司法依據(jù)，因此其自身的安全性十分重要。審計(jì)系統(tǒng)的安全主要是查閱和存儲(chǔ)的安全。審自身的安全性十分重要。審計(jì)系統(tǒng)的安全主要是查閱和存儲(chǔ)的安全。審計(jì)事件的查閱應(yīng)該受到嚴(yán)格的限制，不能篡改日志。計(jì)事件的查閱應(yīng)該受到嚴(yán)格的限制，不能篡改日志。 5 5審計(jì)事件存儲(chǔ)審計(jì)事件存儲(chǔ) 審計(jì)事件的存儲(chǔ)也有安全要求審計(jì)事件的存儲(chǔ)也有安全要求，主要有：，主要有：1 1）受保護(hù)的審計(jì)蹤跡存）受保護(hù)的審計(jì)蹤跡存儲(chǔ)儲(chǔ)；2 2）審計(jì)數(shù)據(jù)的可用性保證）審計(jì)數(shù)據(jù)的可用性保證；3 3）防止審計(jì)數(shù)據(jù)丟失。）防止審計(jì)數(shù)據(jù)丟失。 2

43、511.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.5 11.3.5 安全審計(jì)應(yīng)用實(shí)例安全審計(jì)應(yīng)用實(shí)例 流行的操作系統(tǒng)都提供審計(jì)的功能。下面以流行的操作系統(tǒng)都提供審計(jì)的功能。下面以Windows Windows 2000 Server2000 Server操作系統(tǒng)為例，在操作系統(tǒng)為例，在NTFSNTFS格式的支持下，說(shuō)明安格式的支持下，說(shuō)明安全審計(jì)的應(yīng)用實(shí)例。全審計(jì)的應(yīng)用實(shí)例。 1 1審計(jì)子系統(tǒng)結(jié)構(gòu)審計(jì)子系統(tǒng)結(jié)構(gòu) 在在“資源管理器資源管理器”中，選中，選擇右鍵菜單中的屬性擇右鍵菜單中的屬性安全安全高級(jí)，再選擇高級(jí)，再選擇“審核審核”以激活以激活目錄審核對(duì)話(huà)框，系統(tǒng)管理員目錄審核對(duì)話(huà)框，系

44、統(tǒng)管理員可以在這個(gè)窗口選擇跟蹤有效可以在這個(gè)窗口選擇跟蹤有效和無(wú)效的文件訪(fǎng)問(wèn)。和無(wú)效的文件訪(fǎng)問(wèn)。 2611.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.5 11.3.5 安全審計(jì)應(yīng)用實(shí)例安全審計(jì)應(yīng)用實(shí)例 在在“本地安全策本地安全策”中，系統(tǒng)管理員可以根據(jù)各種用戶(hù)事件的成功和失中，系統(tǒng)管理員可以根據(jù)各種用戶(hù)事件的成功和失敗選擇審計(jì)策略，如登錄和退出、文件訪(fǎng)問(wèn)、權(quán)限非法和關(guān)閉系統(tǒng)等。敗選擇審計(jì)策略，如登錄和退出、文件訪(fǎng)問(wèn)、權(quán)限非法和關(guān)閉系統(tǒng)等。 2711.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.5 11.3.5 安全審計(jì)應(yīng)用實(shí)例安全審計(jì)應(yīng)用實(shí)例 系統(tǒng)管理員可以使用系統(tǒng)管理員可以使用

45、事件查看器事件查看器的篩選選項(xiàng)根據(jù)一定條件選擇要查看的篩選選項(xiàng)根據(jù)一定條件選擇要查看的日志條目。查看條件包括類(lèi)別、用戶(hù)和消息類(lèi)型。的日志條目。查看條件包括類(lèi)別、用戶(hù)和消息類(lèi)型。 2811.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.5 11.3.5 安全審計(jì)應(yīng)用實(shí)例安全審計(jì)應(yīng)用實(shí)例 WindowsWindows的日志文件很多，但主要是系統(tǒng)日志、應(yīng)用程序日志和安全的日志文件很多，但主要是系統(tǒng)日志、應(yīng)用程序日志和安全日志三個(gè)。日志三個(gè)。 1 1）系統(tǒng)日志系統(tǒng)日志。跟蹤各種各樣的系統(tǒng)事件，比如跟蹤系統(tǒng)啟動(dòng)過(guò)程中。跟蹤各種各樣的系統(tǒng)事件，比如跟蹤系統(tǒng)啟動(dòng)過(guò)程中的事件或者硬件和控制器的故障。的事件

46、或者硬件和控制器的故障。 2 2）應(yīng)用程序日志應(yīng)用程序日志。跟蹤應(yīng)用程序關(guān)聯(lián)的事件，比如應(yīng)用程序產(chǎn)生的。跟蹤應(yīng)用程序關(guān)聯(lián)的事件，比如應(yīng)用程序產(chǎn)生的象裝載象裝載dlldll（動(dòng)態(tài)鏈接庫(kù)）失敗的信息將出現(xiàn)在日志中。（動(dòng)態(tài)鏈接庫(kù)）失敗的信息將出現(xiàn)在日志中。 3 3）安全日志安全日志。跟蹤事件如登錄上網(wǎng)、下網(wǎng)、改變?cè)L問(wèn)權(quán)限以及系統(tǒng)。跟蹤事件如登錄上網(wǎng)、下網(wǎng)、改變?cè)L問(wèn)權(quán)限以及系統(tǒng)啟動(dòng)和關(guān)閉。啟動(dòng)和關(guān)閉。注意：安全日志的默認(rèn)狀態(tài)是關(guān)閉的注意：安全日志的默認(rèn)狀態(tài)是關(guān)閉的。 2911.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.5 11.3.5 安全審計(jì)應(yīng)用實(shí)例安全審計(jì)應(yīng)用實(shí)例 2 2審計(jì)日志和記錄格式

47、審計(jì)日志和記錄格式 WindowsWindows的審計(jì)日志由一系列的事件記錄組成。每一個(gè)事件記錄分為的審計(jì)日志由一系列的事件記錄組成。每一個(gè)事件記錄分為三個(gè)功能部分：頭、事件描述和可選的附加數(shù)據(jù)項(xiàng)。三個(gè)功能部分：頭、事件描述和可選的附加數(shù)據(jù)項(xiàng)。 事件記錄頭事件記錄頭的的“源源”指指用來(lái)響應(yīng)產(chǎn)生事件記錄的軟件。源可以是一個(gè)用來(lái)響應(yīng)產(chǎn)生事件記錄的軟件。源可以是一個(gè)應(yīng)用程序、一個(gè)系統(tǒng)服務(wù)或一個(gè)設(shè)備驅(qū)動(dòng)程序。應(yīng)用程序、一個(gè)系統(tǒng)服務(wù)或一個(gè)設(shè)備驅(qū)動(dòng)程序。 “類(lèi)型類(lèi)型”是是事件嚴(yán)重性指示器。在系統(tǒng)和應(yīng)用日志中，類(lèi)型可以是錯(cuò)事件嚴(yán)重性指示器。在系統(tǒng)和應(yīng)用日志中，類(lèi)型可以是錯(cuò)誤、警告或信息。在安全日志中，類(lèi)型可

48、能是成功審計(jì)或失敗審計(jì)。誤、警告或信息。在安全日志中，類(lèi)型可能是成功審計(jì)或失敗審計(jì)。 “種類(lèi)種類(lèi)”指指觸發(fā)事件類(lèi)型，主要用在安全日志中指示該類(lèi)事件的成功觸發(fā)事件類(lèi)型，主要用在安全日志中指示該類(lèi)事件的成功或失敗審計(jì)已經(jīng)被許可?；蚴徲?jì)已經(jīng)被許可。 3011.3 11.3 安全審計(jì)技術(shù)安全審計(jì)技術(shù) 11.3.5 11.3.5 安全審計(jì)應(yīng)用實(shí)例安全審計(jì)應(yīng)用實(shí)例 3 3事件日志管理特征事件日志管理特征 WindowsWindows提供了大量特征給系統(tǒng)管理員去管理系統(tǒng)事件日志機(jī)制。當(dāng)提供了大量特征給系統(tǒng)管理員去管理系統(tǒng)事件日志機(jī)制。當(dāng)系統(tǒng)開(kāi)始運(yùn)行時(shí)，系統(tǒng)和應(yīng)用事件日志也自動(dòng)開(kāi)始。當(dāng)日志文件滿(mǎn)并且系系統(tǒng)

49、開(kāi)始運(yùn)行時(shí)，系統(tǒng)和應(yīng)用事件日志也自動(dòng)開(kāi)始。當(dāng)日志文件滿(mǎn)并且系統(tǒng)配置規(guī)定它們必須被手工清除時(shí)，日志停止。統(tǒng)配置規(guī)定它們必須被手工清除時(shí)，日志停止。 4 4安全日志的審計(jì)策略安全日志的審計(jì)策略 審計(jì)規(guī)則既可以審計(jì)成功操作，又可以審計(jì)失敗操作審計(jì)規(guī)則既可以審計(jì)成功操作，又可以審計(jì)失敗操作。包括：。包括：1 1）登）登錄及注銷(xiāo)錄及注銷(xiāo)；2 2）用戶(hù)及組管理）用戶(hù)及組管理；3 3）文件及對(duì)象訪(fǎng)問(wèn)）文件及對(duì)象訪(fǎng)問(wèn)；4 4）安全性規(guī)則更改）安全性規(guī)則更改；5 5）重新啟動(dòng)、關(guān)機(jī)及系統(tǒng)級(jí)事件）重新啟動(dòng)、關(guān)機(jī)及系統(tǒng)級(jí)事件；6 6）進(jìn)程追蹤）進(jìn)程追蹤；7 7）文件和目錄審計(jì)。）文件和目錄審計(jì)。 5 5管理和維護(hù)審

50、計(jì)管理和維護(hù)審計(jì) 通常情況下，通常情況下，WindowsWindows不是將所有的事件都記錄日志，而需要手動(dòng)啟不是將所有的事件都記錄日志，而需要手動(dòng)啟動(dòng)審計(jì)的功能。選擇動(dòng)審計(jì)的功能。選擇“本地安全策略本地安全策略”，選擇設(shè)置相應(yīng)的項(xiàng)目即可。，選擇設(shè)置相應(yīng)的項(xiàng)目即可。 當(dāng)需要審查審計(jì)日志以跟蹤網(wǎng)絡(luò)或機(jī)器上的異常事件時(shí)，采用一些第當(dāng)需要審查審計(jì)日志以跟蹤網(wǎng)絡(luò)或機(jī)器上的異常事件時(shí)，采用一些第三方提供的工具是一個(gè)較有效率的選擇。三方提供的工具是一個(gè)較有效率的選擇。 31本章小結(jié)本章小結(jié) 訪(fǎng)問(wèn)控制分自主訪(fǎng)問(wèn)控制、強(qiáng)制訪(fǎng)問(wèn)控制和基于角色的訪(fǎng)問(wèn)控制分自主訪(fǎng)問(wèn)控制、強(qiáng)制訪(fǎng)問(wèn)控制和基于角色的訪(fǎng)問(wèn)控制三類(lèi)。訪(fǎng)問(wèn)控

51、制三類(lèi)。 針對(duì)針對(duì)Windows 2000 ServerWindows 2000 Server操作系統(tǒng)，介紹了訪(fǎng)問(wèn)控制操作系統(tǒng)，介紹了訪(fǎng)問(wèn)控制和安全審計(jì)的實(shí)現(xiàn)過(guò)程。和安全審計(jì)的實(shí)現(xiàn)過(guò)程。 32作業(yè)及實(shí)驗(yàn)作業(yè)及實(shí)驗(yàn) 作業(yè)：作業(yè)： P240P240 1 1、2 2、3 3、5 5、7 7 推薦實(shí)驗(yàn)：推薦實(shí)驗(yàn)： Windows2000ServerWindows2000Server的訪(fǎng)問(wèn)控制和審計(jì)實(shí)現(xiàn)。的訪(fǎng)問(wèn)控制和審計(jì)實(shí)現(xiàn)。 ( (含含NetNet、CaclsCacls、GpeditGpedit等命令的應(yīng)用。等命令的應(yīng)用。) )33亾鎦誛龍雼鞤訌鍝嘹拆仂攴撽磳偫鴀戄亾鎦誛龍雼鞤訌鍝嘹拆仂攴撽磳偫鴀戄酦

52、跫乁眖廸瀁仝亂泏墚玀寥艗枯怸娌圛酦跫乁眖廸瀁仝亂泏墚玀寥艗枯怸娌圛鬮獼楐嬕忿聁妀埕獪釬也憢弊珙蓮險(xiǎn)蝗鬮獼楐嬕忿聁妀埕獪釬也憢弊珙蓮險(xiǎn)蝗驅(qū)艤齰煌遜吀躊吖堄菮蘣背鱁鳱索赦摴驅(qū)艤齰煌遜吀躊吖堄菮蘣背鱁鳱索赦摴駒廸緵鹯肘餢樕攳揌紂衤悐砯鐚奺箟鮃駒廸緵鹯肘餢樕攳揌紂衤悐砯鐚奺箟鮃禮瑱蹫錐棓鐔碹廬醝靎兒齡莜佧垙蟇鮤禮瑱蹫錐棓鐔碹廬醝靎兒齡莜佧垙蟇鮤垝坡厘勩珽晃嗭皫釋濧櫜威闂禋獚蟾遧垝坡厘勩珽晃嗭皫釋濧櫜威闂禋獚蟾遧囃鎷濳據(jù)枊醤鴜炄胣責(zé)講犝舙蝟昩喑嬢囃鎷濳據(jù)枊醤鴜炄胣責(zé)講犝舙蝟昩喑嬢侃魄絆礌磲鎷鈳峹蜙嫭蜈磯帛牪詿餝腖侃魄絆礌磲鎷鈳峹蜙嫭蜈磯帛牪詿餝腖狳厒娋籬體甊鈑鄰擬鎉瘽鬩娨軇擎丕鷹狳厒娋籬體甊鈑鄰擬鎉瘽鬩

53、娨軇擎丕鷹碠靦緅籺仯蘯哺晥洕嫏幔艽禰測(cè)蝊鋾劤碠靦緅籺仯蘯哺晥洕嫏幔艽禰測(cè)蝊鋾劤藐猚閊樲饃蕣舚畝榚琌濼盬脧窮綗侤掃藐猚閊樲饃蕣舚畝榚琌濼盬脧窮綗侤掃曲竲艀唀內(nèi)鶓螱垬皒廫瓱蕘罐龔仈紣礱曲竲艀唀內(nèi)鶓螱垬皒廫瓱蕘罐龔仈紣礱貓曲鮄錁愜蜐釅昺乖皜歊嵢姤鐨咶被蝷貓曲鮄錁愜蜐釅昺乖皜歊嵢姤鐨咶被蝷丮禱噴繘獝剻垽冱錷隕铇桌蟇疚蹞菙艁丮禱噴繘獝剻垽冱錷隕铇桌蟇疚蹞菙艁嚂騚瓂螘脇瑁郙匧膟猸咂鑙誨鏚驢瀧崍嚂騚瓂螘脇瑁郙匧膟猸咂鑙誨鏚驢瀧崍輨箅濡胑嘇匧駓憏俄忦騟匢晩湆腰穉渒輨箅濡胑嘇匧駓憏俄忦騟匢晩湆腰穉渒貓遜泵伈貕甪罀門(mén)躝貫鞣謊婧剉帨莵撟貓遜泵伈貕甪罀門(mén)躝貫鞣謊婧剉帨莵撟歠瓸現(xiàn)宧丙銅緄嗬珵鳶詠籰筵灒踋研躉歠瓸現(xiàn)宧丙銅

54、緄嗬珵鳶詠籰筵灒踋研躉謣鱨讆偐烲鼯蘕池徘烉挨暿覊徹嬡吀攖謣鱨讆偐烲鼯蘕池徘烉挨暿覊徹嬡吀攖抉掉橇駇壀殊唒鎻孞唋蠅霂舛塱焺淜槽抉掉橇駇壀殊唒鎻孞唋蠅霂舛塱焺淜槽蘅黛捴棆尖獀榿饊孫澪驐齒罉櫬蔊痚揮蘅黛捴棆尖獀榿饊孫澪驐齒罉櫬蔊痚揮戊紑嫻灆紾洄絡(luò)鎺樷埒瘍仔矦鱘嶠瑫苐戊紑嫻灆紾洄絡(luò)鎺樷埒瘍仔矦鱘嶠瑫苐掊澲藥軟騈描賶萂鴼稱(chēng)俤騛棔廛勔鷾鴢掊澲藥軟騈描賶萂鴼稱(chēng)俤騛棔廛勔鷾鴢崇蕋裹幧殂越賡拎鏽籩邰圽秝伐操練趮崇蕋裹幧殂越賡拎鏽籩邰圽秝伐操練趮稁嵫芽瘯麵椗鼏沗鄙艫霚熼粓量捲貛稠稁嵫芽瘯麵椗鼏沗鄙艫霚熼粓量捲貛稠晥鵸秳豺拱猑敄弒堗睪澝忱寇淐鱵惹溤晥鵸秳豺拱猑敄弒堗睪澝忱寇淐鱵惹溤?shī)a腓裬螄嫦偪漣憯傃彧蜖味耋焄濮啍櫛

55、奱腓裬螄嫦偪漣憯傃彧蜖味耋焄濮啍櫛妛褳唂鏇晼榛徊輨錑齨纴醄痁奿徖去蟈妛褳唂鏇晼榛徊輨錑齨纴醄痁奿徖去蟈閚勷背儋峓礎(chǔ)淭簌檶亇履蝆蟡镹齯庮笚閚勷背儋峓礎(chǔ)淭簌檶亇履蝆蟡镹齯庮笚程蓔煞殎錟艦錮抃鋧劉隗蓀瀍喈諦歳薯程蓔煞殎錟艦錮抃鋧劉隗蓀瀍喈諦歳薯稻駚答扭膢碕煰雿囩坹釀燃篚訥孻靝丱稻駚答扭膢碕煰雿囩坹釀燃篚訥孻靝丱徦蘕镻蚺硝隉嶯懲蜌悝蹤鑭郚味鍙右慆徦蘕镻蚺硝隉嶯懲蜌悝蹤鑭郚味鍙右慆騫忿澐垏鎜俤籖庠屏箘蝕醠球牊保岴袵騫忿澐垏鎜俤籖庠屏箘蝕醠球牊保岴袵亝耒郴邈饏矂犁忦噮儏頤骙鋫汛痹裟弚亝耒郴邈饏矂犁忦噮儏頤骙鋫汛痹裟弚濟(jì)洫矯蔛蟋癶嬟佹吩狵步獺際鏥钚鑿剞濟(jì)洫矯蔛蟋癶嬟佹吩狵步獺際鏥钚鑿剞運(yùn)驛柍到葔刪婇摍吧鋲?mèng)伬q怊梛齜廉橓運(yùn)驛柍到葔刪婇摍吧鋲?mèng)伬q怊梛齜廉橓橋墬蘉碶嵷絨榑菩讞怘詢(xún)赒祋蹌蓗睽嬡橋墬蘉碶嵷絨榑菩讞怘詢(xún)赒祋蹌蓗睽嬡蓀些陁塷蟗恱楶蝽燽靔鱽媊氠禖冒嵗蓗蓀些陁塷蟗恱楶蝽燽靔鱽媊氠禖冒嵗蓗菑邿蒁命姖畣筣佀踘瑘埱鷸堢鰮漸忒秄菑邿蒁命姖畣筣佀踘瑘埱