《操作系統(tǒng)安全性》

1、12/30/20211軟軟件件學(xué)學(xué)院院.第九章第九章 操作系統(tǒng)安全性操作系統(tǒng)安全性程維程維12/30/20212軟軟件件學(xué)學(xué)院院.操作系統(tǒng)安全性操作系統(tǒng)安全性Windows NT/2000UNIX其他操作系統(tǒng)其他操作系統(tǒng)操作系統(tǒng)漏洞操作系統(tǒng)漏洞操作系統(tǒng)入侵檢測操作系統(tǒng)入侵檢測系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件12/30/20213軟軟件件學(xué)學(xué)院院.Windows NT/2000四種安全協(xié)議四種安全協(xié)議 Windows NT LAN Manager(NTLM)驗證協(xié)議 KerberosV5驗證協(xié)議 DPA分布式密碼驗證協(xié)議 基于公共密鑰的協(xié)議12/30/20214軟軟件件學(xué)學(xué)院院.Windows

2、NT/2000 Win NT登錄登錄 NT文件系統(tǒng)（文件系統(tǒng)（NTFS） NT安全漏洞及其解決建議安全漏洞及其解決建議 Windows2000的分布式安全協(xié)議的分布式安全協(xié)議12/30/20215軟軟件件學(xué)學(xué)院院.Win NT登錄登錄 Ctrl，Alt，Del三個鍵不能被屏蔽的三個鍵不能被屏蔽的 安全帳號管理器安全帳號管理器(Security Account Manager)機(jī)制機(jī)制 針對域用戶賬號登陸的驗證分別是通過針對域用戶賬號登陸的驗證分別是通過NTLM和和Kerberos協(xié)議協(xié)議12/30/20216軟軟件件學(xué)學(xué)院院.NT文件系統(tǒng)（文件系統(tǒng)（NTFS） 最適合處理大磁盤的文件系統(tǒng)最適合

3、處理大磁盤的文件系統(tǒng) 支持保證文件和文件夾安全性的訪問控制列表支持保證文件和文件夾安全性的訪問控制列表(ACL)12/30/20217軟軟件件學(xué)學(xué)院院.NT安全漏洞及其解決建議安全漏洞及其解決建議Windows NT系統(tǒng)上的重大安全漏洞，主要包括兩大部分：系統(tǒng)上的重大安全漏洞，主要包括兩大部分： NT服務(wù)器和工作站的安全漏洞 關(guān)于瀏覽器和NT機(jī)器的兩個嚴(yán)重安全漏洞。更佳的解決方案是：更佳的解決方案是： 建設(shè)一個強(qiáng)壯的防火墻，精心地配置它，只授權(quán)給可信賴的主機(jī)能通過防火墻。正象以上針對大多數(shù)安全漏洞的解決建議一樣，在防火墻上，截止所有從端口137到139的TCP和UDP連接，這樣做有助于對遠(yuǎn)程連

4、接的控制。另外，在內(nèi)部路由器上，設(shè)置ACL，在各個獨立子網(wǎng)之間，截止從端口137到139的連接。這是一種輔助措施，以限制該安全漏洞。值得注意的是，有些黑客程序可以具有選擇端口號的能力，它可能成功地攻擊其它端口。12/30/20218軟軟件件學(xué)學(xué)院院.Windows2000的分布式安全協(xié)議的分布式安全協(xié)議 在在WindowsNT4.0中，主要的分布式安全協(xié)議是中，主要的分布式安全協(xié)議是NTLM（Windows NT LAN Manager）。）。 Windows2000里，微軟采用了一個新的安全系統(tǒng)。里，微軟采用了一個新的安全系統(tǒng)。在這個新的安全系統(tǒng)中，在這個新的安全系統(tǒng)中，Kerberos是缺

5、省的分布是缺省的分布式安全協(xié)議。當(dāng)然，式安全協(xié)議。當(dāng)然，Windows2000仍然支持仍然支持NTLM以及以及SSL協(xié)議。協(xié)議。12/30/20219軟軟件件學(xué)學(xué)院院.Kerberoskerberos是以是以SSP(Security Service Provider)的方式通過的方式通過SSPI(Security Service Provider Interface)來實現(xiàn)的。應(yīng)用程來實現(xiàn)的。應(yīng)用程序可以直接通過序可以直接通過SSPI來獲得來獲得Kerberos的服務(wù)的服務(wù)KerberosSSP能夠提供三種安全性服務(wù)能夠提供三種安全性服務(wù) 認(rèn)證：進(jìn)行身份驗證； 數(shù)據(jù)完整性：保證數(shù)據(jù)在傳送過程中

6、不被篡改； 數(shù)據(jù)保密性：保證數(shù)據(jù)在傳送過程中不被獲取12/30/202110軟軟件件學(xué)學(xué)院院.操作系統(tǒng)安全性操作系統(tǒng)安全性 Windows NT/2000 UNIX 其他操作系統(tǒng)其他操作系統(tǒng) 操作系統(tǒng)漏洞操作系統(tǒng)漏洞 操作系統(tǒng)入侵檢測操作系統(tǒng)入侵檢測 系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件12/30/202111軟軟件件學(xué)學(xué)院院.UNIX UNIX系統(tǒng)安全基礎(chǔ)系統(tǒng)安全基礎(chǔ) Unix系統(tǒng)登錄過程系統(tǒng)登錄過程12/30/202112軟軟件件學(xué)學(xué)院院.UNIX系統(tǒng)安全基礎(chǔ)系統(tǒng)安全基礎(chǔ)口令安全口令安全 UNIX系統(tǒng)中的/etc/passwd文件含有全部系統(tǒng)需要知道的關(guān)于每個用戶的信息(加密后的口令也可能存于

7、/etc/shadow文件中)。文件許可權(quán)文件許可權(quán) 第一個rwx：表示文件屬主的訪問權(quán)限。 第二個rwx：表示文件同組用戶的訪問權(quán)限。 第三個rwx：表示其他用戶的訪問權(quán)限。目錄許可目錄許可 在UNIX系統(tǒng)中，目錄也是一個文件12/30/202113軟軟件件學(xué)學(xué)院院.UNIX系統(tǒng)安全基礎(chǔ)系統(tǒng)安全基礎(chǔ)umask命令命令 umask設(shè)置用戶文件和目錄的文件創(chuàng)建缺省屏蔽值設(shè)置用戶設(shè)置用戶ID和同組用戶和同組用戶ID許可許可 用戶ID許可(SUID)設(shè)置和同組用戶ID許可(SGID)可給予可執(zhí)行的目標(biāo)文件cp mv ln和和cpio命令命令 cp拷貝文件時，若目的文件不存在則將同時拷貝源文件的存取許

8、可 mv移文件時，新移的文件存取許可與原文件相同 ln為現(xiàn)有文件建立一個鏈，即建立一個引用同一文件的新名字 cpio命令用于將目錄結(jié)構(gòu)拷貝到一個普通文件中，而后可再用cpio命令將該普通文件轉(zhuǎn)成目錄結(jié)構(gòu)12/30/202114軟軟件件學(xué)學(xué)院院.UNIX系統(tǒng)安全基礎(chǔ)系統(tǒng)安全基礎(chǔ)su和和newgrp命令命令 su命令：可不必注銷戶頭而將另一用戶又登錄進(jìn)入系統(tǒng)，作為另一用戶工作 newgrp命令：與su相似，用于修改當(dāng)前所處的組名文件加密文件加密 crypt命令可提供給用戶以加密文件，使用一個關(guān)鍵詞將標(biāo)準(zhǔn)輸入的信息編碼為不可讀的雜亂字符串，送到輸出設(shè)備其他安全問題其他安全問題12/30/202115

9、軟軟件件學(xué)學(xué)院院.UNIXUNIX系統(tǒng)安全基礎(chǔ)系統(tǒng)安全基礎(chǔ)Unix系統(tǒng)登錄過程系統(tǒng)登錄過程12/30/202116軟軟件件學(xué)學(xué)院院.Unix系統(tǒng)登錄過程系統(tǒng)登錄過程UNIX內(nèi)核將被調(diào)入計算機(jī)內(nèi)存內(nèi)核將被調(diào)入計算機(jī)內(nèi)存init程序調(diào)用程序調(diào)用getty程序在終端上顯示程序在終端上顯示login等登錄信息等登錄信息若用戶通過身份驗證，若用戶通過身份驗證，login進(jìn)程把用戶的進(jìn)程把用戶的home目錄目錄設(shè)置成當(dāng)前目錄并把控制交給一系列設(shè)置成當(dāng)前目錄并把控制交給一系列setup程序程序12/30/202117軟軟件件學(xué)學(xué)院院.操作系統(tǒng)安全性操作系統(tǒng)安全性Windows NT/2000UNIX其他操作

10、系統(tǒng)其他操作系統(tǒng)操作系統(tǒng)漏洞操作系統(tǒng)漏洞操作系統(tǒng)入侵檢測操作系統(tǒng)入侵檢測系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件12/30/202118軟軟件件學(xué)學(xué)院院.其他操作系統(tǒng)其他操作系統(tǒng)NetWare系統(tǒng)系統(tǒng) NetWare操作系統(tǒng)經(jīng)過NCSC測試，具有C2級安全標(biāo)準(zhǔn)VAX/VMS VMS系統(tǒng)具有C2級安全標(biāo)準(zhǔn)，一般都使用在一些重要的研究和軍事機(jī)構(gòu)里的12/30/202119軟軟件件學(xué)學(xué)院院.操作系統(tǒng)安全性操作系統(tǒng)安全性Windows NT/2000UNIX其他操作系統(tǒng)其他操作系統(tǒng)操作系統(tǒng)漏洞操作系統(tǒng)漏洞操作系統(tǒng)入侵檢測操作系統(tǒng)入侵檢測系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件12/30/202120軟軟件件學(xué)學(xué)院院.

11、操作系統(tǒng)漏洞操作系統(tǒng)漏洞黑客攻擊或者入侵行為分為兩種：主動方式和被動方式黑客攻擊或者入侵行為分為兩種：主動方式和被動方式 主動方式即通過網(wǎng)絡(luò)主動發(fā)送惡意請求，達(dá)到令目標(biāo)系統(tǒng)失去響應(yīng)或者獲得目標(biāo)系統(tǒng)的控制權(quán)，從而達(dá)到進(jìn)一步破壞的目的 被動方式即利用互聯(lián)網(wǎng)可交互的特點，在網(wǎng)上發(fā)布一些含有惡意代碼的網(wǎng)頁、軟件、電子郵件，當(dāng)其他用戶瀏覽網(wǎng)頁、運(yùn)行軟件、打開電子郵件時，惡意代碼在用戶計算機(jī)中發(fā)揮作用，破壞系統(tǒng)或者安裝后門，使用戶對計算機(jī)失去控制12/30/202121軟軟件件學(xué)學(xué)院院.操作系統(tǒng)漏洞操作系統(tǒng)漏洞操作系統(tǒng)的缺陷主要來源于以下操作系統(tǒng)的缺陷主要來源于以下4個方面?zhèn)€方面 I/O 訪問策略的混亂

12、不完全的介入 通用性12/30/202122軟軟件件學(xué)學(xué)院院.操作系統(tǒng)漏洞操作系統(tǒng)漏洞操作系統(tǒng)脆弱性等級操作系統(tǒng)脆弱性等級 A級是指允許過程用戶未經(jīng)授權(quán)訪問的漏洞 B級是指允許本地用戶非法訪問的漏洞，允許本地用戶獲得或增加未經(jīng)授權(quán)的訪問 C級是指允許拒絕服務(wù)的漏洞口令攻擊術(shù)口令攻擊術(shù)IIS Unicode漏洞攻擊程序說明漏洞攻擊程序說明 微軟IIS 4.0和IIS 5.0在Unicode字符解碼的實現(xiàn)中存在一個安全漏洞，導(dǎo)致用戶可以遠(yuǎn)程通過IIS執(zhí)行任意命令12/30/202123軟軟件件學(xué)學(xué)院院.操作系統(tǒng)安全性操作系統(tǒng)安全性Windows NT/2000UNIX其他操作系統(tǒng)其他操作系統(tǒng)操作系

13、統(tǒng)漏洞操作系統(tǒng)漏洞操作系統(tǒng)入侵檢測操作系統(tǒng)入侵檢測系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件12/30/202124軟軟件件學(xué)學(xué)院院.操作系統(tǒng)入侵檢測操作系統(tǒng)入侵檢測檢測方法檢測方法確保確保Linux安全的措施安全的措施12/30/202125軟軟件件學(xué)學(xué)院院.檢測方法檢測方法檢查系統(tǒng)密碼文件檢查系統(tǒng)密碼文件檢查系統(tǒng)運(yùn)行進(jìn)程檢查系統(tǒng)運(yùn)行進(jìn)程檢查系統(tǒng)守護(hù)進(jìn)程檢查系統(tǒng)守護(hù)進(jìn)程檢查網(wǎng)絡(luò)連接和監(jiān)聽端口檢查網(wǎng)絡(luò)連接和監(jiān)聽端口檢查系統(tǒng)日志檢查系統(tǒng)日志檢查系統(tǒng)中的檢查系統(tǒng)中的core文件文件兩種著名的后門文件兩種著名的后門文件.rhosts和和.forward檢查內(nèi)核級后門檢查內(nèi)核級后門手工入侵檢測的缺陷手工入侵檢測

14、的缺陷12/30/202126軟軟件件學(xué)學(xué)院院.確保確保Linux安全的措施安全的措施取消不必要的服務(wù)限制系統(tǒng)的出入保持最新的系統(tǒng)核心 檢查登錄密碼設(shè)定用戶帳號的安全等級增強(qiáng)安全防護(hù)工具限制超級用戶的權(quán)力追蹤黑客的蹤跡12/30/202127軟軟件件學(xué)學(xué)院院.操作系統(tǒng)安全性操作系統(tǒng)安全性Windows NT/2000UNIX其他操作系統(tǒng)其他操作系統(tǒng)操作系統(tǒng)漏洞操作系統(tǒng)漏洞操作系統(tǒng)入侵檢測操作系統(tǒng)入侵檢測系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件12/30/202128軟軟件件學(xué)學(xué)院院.系統(tǒng)安全掃描軟件系統(tǒng)安全掃描軟件系統(tǒng)安全漏洞檢測軟件是由本地主機(jī)上的具有系統(tǒng)管理員權(quán)系統(tǒng)安全漏洞檢測軟件是由本地主機(jī)上的具有系統(tǒng)管理員權(quán)限的用戶所運(yùn)行的，對本主機(jī)中的各項信息都具有讀寫的權(quán)限的用戶所運(yùn)行的，對本主機(jī)中的各項信息都具有讀寫的權(quán)限，因此只要研究出相關(guān)的安全漏洞的檢測方法，都可以查限，因此只要研究出相關(guān)的安全漏洞的檢測方法，