操作系统安全操作系统安全培训机构名称讲师名称版本：3.0发布日期：2014-12-1生效日期：2015-1-1课程内容课程内容操作系统与操作系统与数据库安全数据库安全知识体知识体知识域知识域操作系统安全操作系统安全知识子域知识子域Windows系统安全机制系统安全机制操作系统安全概述操作系统安全概述Linux系统安全机制系统安全机制安全操作系统安全操作系统数据库安全2知识域：操作系统安全知识域：操作系统安全v知识子域：操作系统安全概念了解操作系统的作用与功能了解操作系统的主要安全设计机制理解操作系统的安全配置要点3操作系统的功能操作系统的功能v用户与计算机硬件之间的接口v操作系统为用户提供了虚拟计算机,把硬件的复杂性与用户隔离v计算机系统的资源管理者vCPU管理v存储管理v设备管理v文件管理v网络与通信管理v用户接口4操作系统安全目标操作系统安全目标v操作系统安全目标v标识系统中的用户和进行身份鉴别v依据系统安全策略对用户的操作进行访问控制,防止用户和外来入侵者对计算机资源的非法访问v监督系统运行的安全性v保证系统自身的安全和完整性5操作系统安全机制一操作系统安全机制一v标识与鉴别v用户身份合法性鉴别v操作系统登录v访问控制v防止对资源的非法使用v限制访问主体对访问客体的访问权限vDAC、MAC、RBACv最小特权管理v限制、分割用户、进程对系统资源的访问权限v必不可少的权限6操作系统安全机制二操作系统安全机制二v信道保护v正常信道的保护v可信通路Trusted Pathv安全键SAK7操作系统安全机制三操作系统安全机制三v安全审计对系统中有关安全的活动进行记录、检查以及审核审计一般是一个独立的过程v内存存取保护进程间/系统进程内存保护段式保护、页式保护和段页式保护v文件系统保护分区文件共享文件备份8知识域：操作系统安全知识域：操作系统安全v知识子域：Windows系统安全机制理解Windows系统标识与鉴别、访问控制、用户账户控制、安全审计、文件系统的安全机制和安全策略掌握Windows系统的安全配置方法9WindowsWindows系统标识与鉴别系统标识与鉴别- -安全主体安全主体v安全主体类型v用户#v本地用户v域用户v组#veveryone组vnetwork组v计算机v服务10WindowsWindows系统标识与鉴别系统标识与鉴别- -安全标识安全标识v安全标识符Security Identifier,SIDv安全主体的代表标识用户、组和计算机账户的唯一编码v范例：S-1-5-21-1736401710-1141508419-1540318053-100011WindowsWindows系统标识与鉴别系统标识与鉴别- -用户鉴别用户鉴别v账户信息管理机制v登录验证本地登录验证远程登录验证12WindowsWindows用户身份鉴别用户身份鉴别v#信息存储SAM:安全账号管理v运行期锁定、存储格式加密v仅对system#有权限,通过服务进行访问控制vWindows用户身份鉴别：本地登录vGINAGraphical Identification and Authentication:图形化识别和验证vLSALocal Security Authority：本地安全授权SAM账户信息库GINALSA13WindowsWindows系统身份鉴别：远程登录系统身份鉴别：远程登录v远程登录鉴别协议vSMBServer Message Block:口令明文传输vLMLAN Manager：口令哈希传输,强度低vNTLMNT LAN Manager：提高口令散列加密强度、挑战/响应机制vKerberos：为分布网络提供单一身份验证14WindowsWindows系统访问控制系统访问控制-ACL-ACLv访问控制列表Access Control List,ACLvNTFS文件系统支持v权限存储流文件系统中v自主访问控制v灵活性高,安全性不高15WindowsWindows系统访问控制系统访问控制- -用户账户控制用户账户控制v用户#控制User Account Control,UACv完全访问令牌v标准受限访问令牌16WindowsWindows文件系统安全文件系统安全vNTFS文件系统权限控制ACLv文件、文件夹、注册表键值、打印机等对象v安全加密vEFSEFSvWindows内置,与文件系统高度集成v对windows用户透明v对称与非对称算法结合vBitlockerv对整个操作系统卷加密v解决设备物理丢失安全问题17WindowsWindows系统审计机制系统审计机制vWindows日志系统应用程序安全设置v应用程序和服务日志v应用访问日志FTP访问日志IIS访问日志18WindowsWindows系统安全策略系统安全策略v账户策略密码策略账户锁定策略v本地策略审核策略用户权限分配安全选项v19WindowsWindows系统安全配置系统安全配置v1、安全配置前置工作v2、账号安全设置v3、关闭自动播放v4、远程访问控制v5、本地安全策略v6、服务运行安全设置v7、使用第三方安全增强软件20WindowsWindows安全设置安全设置1-1-前置工作前置工作v安全的安装分区设置：不要只使用一个分区系统补丁：SP+Hotfixv补丁更新设置：检查更新自动下载安装或手动21WindowsWindows安全配置安全配置2-2-账号安全设置账号安全设置v账号安全设置v系统账号策略设置v账号安全选项设置22账号安全设置账号安全设置- -保护账号安全保护账号安全v默认管理账户administrator更名v设置好的口令v自己容易记、别人不好猜v不安全口令实例：ZAQ!WSXzaq12wsxv安全口令实例: WdSrS1Y28r!稍作变形：单数字母大写,最后加个感叹号23账号安全设置账号安全设置- -系统账号策略系统账号策略v密码策略：避免系统出现弱口令密码必须符合复杂性要求密码长度最小值密码最短使用期限密码最长使用期限强制密码历史用可还原的加密来存储密码24账号安全设置账号安全设置- -账号锁定策略账号锁定策略v账号锁定策略：应对口令暴力破解账号锁定时间账号锁定阀值重置账号锁定计数器25账号权限控制账号权限控制- -用户权限分配用户权限分配v用户权限分配从网络访问这台计算机拒绝从网络访问这台计算机管理审核和安全日志从远程系统强制关机26账户权限控制账户权限控制- -设置唤醒密码设置唤醒密码v设置唤醒计算机时的登录密码v设置屏幕保护恢复时的登录密码27WindowsWindows安全配置安全配置3-3-自动播放功能的威胁自动播放功能的威胁v为方便用户而设计v恶意代码借助移动存储介质传播的方式28WindowsWindows安全配置安全配置- -关闭自动播放关闭自动播放v关闭自动播放功能可以有效阻断U盘病毒的传播路径29WindowsWindows全配置全配置4-4-远程访问控制远程访问控制v网络访问控制v共享安全防护30网络访问控制网络访问控制- -防火墙设置防火墙设置v确保启用Windows自带防火墙31网络访问控制网络访问控制- -防火墙高级配置防火墙高级配置v出站规则v入站规则v连接安全规则v监视防火墙连接安全规则安全关联32共享安全防护共享安全防护- -共享安全风险共享安全风险vIPC$的安全问题空会话连接导致信息泄露v管理共享风险v普通共享的风险远程文件操作33系统用户列表用户信息共享列表空会话连接共享安全防护共享安全防护- -关闭管理共享关闭管理共享v空会话连接控制本地安全策略设置中对匿名访问的限制v关闭管理共享：修改注册表HKEY_LOCAL_MACHINESystemCurrentControlSetServicesLanmanServerParameters34WindowsWindows安全设置安全设置5-5-本地安全策略本地安全策略v审核策略v用户权限分配v安全选项v35本地安全策略本地安全策略- -安全选项安全选项v管理工具本地安全策略安全设置本地策略安全选项v交互式登录：无须按Ctrl+Alt+Del,设置为已禁用v交互式登录：不显示最后的用户名,设置为已启用v设备：将CD-ROM 的访问权限仅限于本地登录的用户,设置为已启用36本地安全策略本地安全策略- -安全选项安全选项v管理工具本地安全策略安全设置本地策略安全选项v网络访问：不允许SAM账号的匿名枚举,设置为已启用v网络访问：可匿名访问的共享,删除策略设置里的值v网络访问：可匿名访问的命名管道,删除策略设置里的值v网络访问：可远程访问的注册表路径,删除策略设置里的值37WindowsWindows安全配置安全配置6-6-服务运行安全服务运行安全vWindows服务windows servicevWindows服务程序是一个长时间运行的可执行程序,不需要用户的交互,也不需要用户登录38服务运行安全设置服务运行安全设置- -关闭不必要的服务关闭不必要的服务v关闭不需要的服务v计划任务v远程操作注册表vv控制服务权限vSystemvLocal ServicevNetwork Service39WindowsWindows安全配置安全配置7-7-第三方安全软件第三方安全软件v防病毒软件v安全防护软件40安装防病毒软件安装防病毒软件v安装病毒防护软件恶意代码是终端安全的最大威胁v确保病毒防护软件病毒库更新病毒防护软件主要工作机制：特征码扫描v开启云查杀41系统安全防护软件系统安全防护软件v系统安全保护软件v影子系统v主机入侵检测42知识域：操作系统安全知识域：操作系统安全v知识子域：Linux系统安全机制理解Linux系统标识与鉴别、访问控制、安全审计、文件系统、特权管理的安全机制掌握Linux系统的安全配置方法43LinuxLinux系统标识与鉴别系统标识与鉴别- -安全主体安全主体v安全主体v用户：身份标识User IDv组：身份标识Group IDv用户与组基本概念v文件必须有所有者v用户必须属于某个或多个组v用户与组的关系灵活一对多、多对多等都可以v根用户拥有所有权限44LinuxLinux系统标识与鉴别系统标识与鉴别-#-#信息存储信息存储v信息存储用户信息：/etc/passwd/etc/shadow组信息/etc/group/etc/gshadow45用户信息文件用户信息文件-passwd-passwdv用于存放用户信息早期包括使用不可逆DES算法加密形成用户密码散列v特点v文本格式v全局可读v存储条目格式vname:coded-passwd:UID:GID:userinfo:homedirectory:shellv条目例子vdemo:x:523:100:J.demo:/home/demo:/bin/sh用户名早期：密码散列X:代替密码散列*:账号不可交互登录用户ID用户所属组ID用户信息用户目录用户登录后使用的shell46用户用户#影子文件影子文件-shadow-shadowv用于存放用户密码散列、密码管理信息等v特点文本格式仅对root可读可写v存储条目格式name:passwd:lastchg:min:max:warn:inactive:expire:flagv条目例子#root:$1$acQMceF9$1$acQMceF9:13402:0:99999:7:用户登录名及加密的用户口令上次修改口令日期口令两次修改最小天数及最大天数口令失效前多少天向用户警告被禁止登录前还有效天数#被禁止登录时间保留域47LinuxLinux系统身份鉴别系统身份鉴别v口令鉴别v本地登录v远程登录telnet、FTP等v主机信任基于证书vPAMPluggableAuthenticationModules,可插拔验证模块PAMAPIlogintelnetSSHLinuxKerberosS/keyPAMSPI48LinuxLinux系统访问控制系统访问控制- -权限模式权限模式v文件/目录权限基本概念权限类型：读、写、执行权限表示方式：模式位drwxr-xr-