操作系统安全分析实施报告.docx
- 文档编号:30614871
- 上传时间:2023-08-18
- 格式:DOCX
- 页数:19
- 大小:30.78KB
操作系统安全分析实施报告.docx
《操作系统安全分析实施报告.docx》由会员分享,可在线阅读,更多相关《操作系统安全分析实施报告.docx(19页珍藏版)》请在冰豆网上搜索。
操作系统安全分析实施报告
..
Windows系统安全机制
专业资料
..
Windows系统安全机制
众所周知,操作系统是计算机的系统软件,是计算机资源的直接管理者,它直接与硬件打交道,并为用户提供接口,是计算机软件的基础与核心。
操作系统经历了技术发展时期及标准化过程,这期间产生了种类繁多的各类操作系统操作系统。
目前使用范围最广的当属Windows操作系统。
我们来简单了解一下Windows的发展历程。
Microsoft公司从1983年开始研制Windows系统,最初的研制目标是在MS-DOS的基础上提供一个多任务的图形用户界面。
第一个版本的Windows1.0于1985年问世,它是一个具有图形用户界面的系统软件。
1987年推出了Windows2.0版,最明显的变化是采用了相互叠盖的多窗口界面形式。
1990年推出Windows3.0是一个重要的里程碑,它以压倒性的商业成功确定了Windows系统在PC领域的垄断地位。
现今流行的Windows窗口界面的基本形式也是从Windows3.0开始基本确定的。
接下来是Windows9X系列,包括WindowsMe。
Windows9X的系统是一种16位/32位混合源代码的准32位操作系统,故不稳定。
Windows2000是发行于1999年12月19日的32位图形商业性质的操作系统。
WindowsXP是微软公司发布的一款视窗操作系统。
它发行于2001年8月25日。
接着WindowsServer2003于2003年3月28日发布,WindowsVista在2006年11月30日发布。
Windows7是微软的下一代操作系统,正式版已于2009年10月23日发布。
最新一款Windows8由微软公司开发,并于2012年10月26日正式推出,是具有革命性变化的操作系统。
系统独特的metro开始界面和触控式交互系统,旨在让人们的日常电脑操作更加简单和快捷,为人们提供高效易行的工作环境。
Windows一步一步向前发展,对于其安全机制方面,也伴随着极大的进步。
下面从Windows98开始至Windows8,简要介绍一下其安全机制的发展过程。
1.Windows98
Windows95的最大缺点是系统经常莫名其妙的崩溃,在这点上Windows98大有改进,它提供了网络自动升级功能,用户可以通过因特网自动连接到微软的升级站点,自动升级系统的驱动程序、系统文件和修正Bug等。
增加了系统工具用于自动检测硬盘、系统文件和配置信息,自动修复一般性系统错误。
Windows98操作系统以其简单友好的界面、即插即用的特性、功能强大的32位保护模式体系结构、抢占式多任务多线程机制而倍受用户重视,但是其安全管理却十分薄弱。
Windows98是多用户操作系统,它允许多个用户访问计算机,并可以设置不同的用户名,
口令及定制桌面。
当系统启动显示登记对话框时,只要输入用户名及口令,即可进入。
但是,对于系统未注册的用户,Windows98并未限制其登录,即只要单击登录对话框的取消按钮即可进入Windows98的缺省桌面。
提到Windows98操作系统的安全性问题,就离不开Windows98的注册表(Registry)。
注册表是计算机中一个大的数据库,它记录计算机中所有软硬件的配置信息与状态信息以及与用户相关的多种设置信息,对系统的运行起着至关重要的作用,通过注册表可以统一管理系统中的各种信息资源。
2.WindowsMe
专业资料
..
WindowsMe是WindowsMillenniumEdition的缩写,它是微软公司为家庭用户设计的Windows9x系列中的最后一个操作系统。
它完全面向家庭设计,给家庭计算机的使用带来了一场变革;它增强了底层功能,修改了用户界面,并增加了许多新的内置的应用程序。
与Windows98相比,WindowsMe突出了四个方面的特性,即系统还原工具、家庭联网、数字媒体和娱乐及在线游戏。
在此主要介绍一下系统还原工具。
WindowsMe提供了新的名为系统还原的工具和系统文件保护功能。
系统还原工具可以将计算机恢复到正常运行时的状态,它将对计算机的配置、文件、设置和数据进行快照,然后压缩这一快照并将其存放在硬盘上,从而创建了可在计算机故障时使用的还原点。
系统还原在后台运行,它能够持续不断地监视整个系统。
如果发现某个重要的系统文件被意外删除,它能够自动恢复这些文件;如果系统严重瘫痪以至无法正常启动,那么用户可在安全模式下运行系统还原工具,将系统恢复到原先状态。
3.Windows2000
Windows2000代表着Microsoft公司在其WindowsNT产品系列的发展中,又向前迈出了重要的一步。
Windows2000在保留了WindowsNT部分内核的同时,为了提供业界所需的额外功能又增加了大量的内容,其中大部分新增内容都集中在安全方面。
这其中以活动目录为核心,丰富了安全功能的众多方面。
Windows2000操作系统包含四个版本。
(1)Windows2000Professional:
作为WindowsNT4.0Workstation的替代产品,其设计目标是成为桌面用户和移动用户共同的标准操作系统,提供更高层次的安全性、稳定性和系统性能。
(2)Windows2000server:
作为WindowsNT4.0server的替代产品,Windows2000server的设计目标为通过支持基础设施服务、文件打印与包括web在内的应用服务以及通信服务来成为主流的工作组和部门商务服务器。
他引入了活动目录,通过MMC统一管理任务并引入了组策略,从而使管理(尤其是安全管理)得到简化。
(3)Windows2000Advancedserver:
作为WindowsNT4.0serverEnterprise
Edition的替代产品,Windows2000Advancedserver除了具有Windows2000server的所有功能和特性之外,还有一些转为中大型应用范围的服务器所设计的特性。
(4)Windows2000DatacenterServer:
这是Windows2000新增的数据中心服务器,它提供了做高等级的性能,在Windows2000server标准版的基础上针对企业部署与解决方案进行了必要的优化。
Windows2000的安全性在很大程度上依赖于它的前身WindowsNT,因为WindowsNT所有重要的安全特性都被转移到了Windows2000中,而且Windows2000结构的大部分核心功能和面向对象的设计也都来自于WindowsNT。
总的来说,Windows
2000的某些具体目标是改进WindowsNT的可扩展性、可靠性和安全性,并将许多附加功能集成到操作系统中。
安全性包括活动目录(AD)、公钥基础结构(PKI)、组策略对象(GPO)、Kerberos协议、智能卡支持、IP安全协议(IPSec)、加密文件系统(EFS)和安全配置工具集等。
3.1活动目录
活动目录服务是Windows2000安全模型灵活性与可扩展性的核心,它提供了完全集成于Windows2000的一个安全、分布式、可扩展以及重复的分层目录服务。
活动目录代替了WindowsNT早期版本中域控制器的注册表数据库内的安全账户管理器(SAM),从而成为用户账户、工作组和口令等安全信息的主要存储区域。
同样地,活动目录形成了本地安全授权(LSA)的一个可信任组件。
即活动目录既为支持验证而存储了用专业资料
..
户证书,也为支持授权访问系统资源而存储了访问控制信息。
3.2公钥基础结构
PKI是由数字证书、证书颁发机构(CA)和其他检查并验证参与电子交易各方合法身份的注册机构所组成的一个系统,它提供使用、管理及查找公钥证书的能力。
Windows2000扩展了以前Windows系统中基于公共密钥(PK)的加密服务,引进了全面建立标准的PKI所必需的工具。
此外,Windows2000PKI与ActiveDirectory和操作系统的分布式安全服务完全集成在一起。
3.3组策略对象
Windows2000中的组策略对象代替了WindowsNT4.0中的系统策略编辑器。
“组策略”是ActiveDirectory一项显著的功能,它允许以相同的方式将所有类型的策略应用到众多计算机上。
组策略设置是配置设置,管理者可用此设置来控制ActiveDirectory中对象的各种行为。
例如,可以使用组策略来配置安全行选项,管理应用程序和桌面外观,指派脚本以及将文件夹从本地计算机重新定位到网络位置。
3.4Kerberos协议
Windows2000使用Internet标准Kerberosv5协议(RFC1510)作为验证用户身份的主要方法。
Kerberos协议提供在客户机和服务器之间的网络连接打开前交互身份验证的机制。
此方法对包含开放通信的网络来说是非常理想的。
3.5智能卡
若要使XX的人更难取得访问网络的权限,智能卡是相对简单的一种方法。
因此,windows2000中包含对智能卡安全性的内置支持。
智能卡通常和信用卡大小一样,它所提供的抗篡改存储能够保护用户的证书和私钥。
因此智能卡提供了一种十分安全的用于用户身份验证、交互式登录、代码签名以及安全电子邮件的方法。
3.6IP安全协议(IPSec)
对于基于Internet协议(IP)网络安全的需求已经非常巨大,并且日益增长,敏感信息经常通过网络传输。
由于Internet协议本身的问题,这些敏感信息容易遭受到篡改、监听、未授权访问等威胁。
为解决此问题,Windows2000增加了Internet协议安全措施(IPSec)。
IPSec是一套Internet标准协议,允许两台计算机在不安全的网络上进行安全的、加密的通信。
加密应用于IP网络层,亦即它对大部分使用特定网络协议的应用程序都是透明的。
此外,IPSec提供端对端的安全性,意味着IP包邮发送计算机加密,在途中不可读取,只能有收件计算机解密。
为了更加安全,此过程使用加密算法来产生用于连接两端的单一加密密钥,因此密钥无需通过网络发送。
3.7加密文件系统(EFS)
Windows2000中的加密文件系统通过采用公开密钥加密技术来对磁盘上保存的数据进行加密,就可以保护用户系统中的文件和文件夹免遭非授权的访问。
3.8安全配置工具集
安全配置工具集(SCTS)允许对Windows2000操作系统安全属性进行配置,然后进行周期性的系统分析以保证配置的完整性,或者过后进行必要的更改。
4.WindowsXP
4.1完善的用户管理功能
WindowsXP采用Windows2000/NT的内核,在用户管理上非常安全。
凡是增加的用户都可以在登录的时候看到,不像Windows2000那样,被黑客增加了一个管理员组的用户都发现不了。
使用NTFS文件系统可以通过设置文件夹的安全选项来限制用户对文件夹的访问,如某普通用户访问另一个用户的文档时会提出警告。
你还可以对某个文件(或专业资料
..
者文件夹)启用审核功能,将用户对该文件(或者文件夹)的访问情况记录到安全日志文件里去,进一步加强对文件操作的监督。
4.2透明的软件限制策略
在WindowsXP中,软件限制策略以“透明”的方式来隔离和使用不可靠的、潜在的对用户数据有危害的代码,这可以保护你的计算机免受各种通过电子邮件或网页传播的病虫等,保证了数据的安全。
毒、木马程序和蠕4.3支持NTFS文件系统以及加密文件系统EFS
WindowsXP里的加密文件系统(EFs)基于公众密钥,并利用CryptoAPI结构默认的
EFS设置,EFS还可以使用扩展的DataEncryptionStandard(DESX)和T却le—DESODES)作为加密算法。
用户可以轻松地加密文件。
加密时,EFS自动生成一个加密密钥。
当你加密一个文件夹时,文件夹内的所有文件和子文件夹都被自动加密了,你的数据就会更加安全。
EFS还允许在Web服务器上存储加密文件。
这些文件通过Internet进行传输并且以加密的形式存储在服务器上。
当用户需要使用自己的文件时,它们将以透明方式在用户的计算机上进行解密。
这种特性允许以安全方式在Web服务器存储相对敏感的数据,而不必担心数据被窃取,或在传输过程中被他人读取。
4.4安全的网络访问特性
新的特性主要表现在以下几个方面:
1)补丁自动更新,为用户“减负”
2)系统自带Internet连接防火墙
自带了Internet防火墙,支持LAN、VPN、拨号连接等。
支持“自定义设置”以及“日志察看”,为系统的安全筑起了一道“黑客防线”。
实际上,Internet连接防火墙属于个人防火墙,它的功能比常见的主机防火墙BlackICE和ZoneAlarm以及网络防火墙PIX和Netscreen等都相差甚大。
它最适合保护本机的Internet连接。
事实上,一旦启用了internet连接防火墙,只有经过域认证的用户才可以正常访问主机,而所有其他来自Internet的TCP/ICMP连接包都将被丢弃,这可以较好地防止端口扫描和拒绝服务攻击。
3)关闭“后门”
在以前的版本中,Windows系统留着几个“后门”,如137、138、139等端口都是“敞开大门”的,现在,在WindowsXP中这些端口是关闭的。
4.5以太网的安全性改进
SecureWireless/EthernetLAN(安全无线/以太局域网)增加了开发安全有线与无线局域网(LAN)的能力。
这种特性是通过允许在以太网或无线局域网上部署服务器实现的。
借助SecureWireless/EthernetLAN在用户进行登录前,计算机将无法访问网络。
然而,如果一台设备具备“机器身份验证”功能,那么它将能够在通过验证并接受IAS/RADIUS服务器授权后获得局域网的访问权限。
WindowsXP中的SecureWireless/EthernetLAN在基于IEEE802.11规范的有线与无线局域网上实现了安全性。
这一过程是通过对由自动注册或智能卡所部署的公共证书的使用加以支持的。
它允许在公共场所(如购物中心或机场)对有线以太网和无线IEEE802.11网络实施访问控制。
这种IEEE802.1XNetworkAccessControl(IEEE网络访问控制)安全特性还支持ExtensibleAuthenticationProtocol(扩展身份验证协议,EAP)运行环境中的计算机身份验证功能。
IEEE802.1X允许管理员为获得有线局域网和无线IEEE802.11局域网访问许可的服务器分配权限。
因此,如果一台服务器被放置在网络中,那么,管理员肯定希望确保其只能访问那些已在其中通过身份验证的网络。
例如,对会议室的访问权限将只提供给特定服务器,并拒绝来自其它服务器的访问请求。
5.Windowsserver2003
专业资料
..
Windowsserver2003包含四个版本:
(1)Windowsserver2003标准版
(2)Windowsserver2003企业版
(3)Windowsserver2003Datacenter版
(4)Windowsserver2003Web版
Windowsserver2003提供了一些新的安全特性和功能,来为企业组织在保护它们的信息资产时,能够满足其需求。
5.1身份验证
在一个大型网络环境中要安全地与各种关系的用户进行合作,就需要对用户的身份进行验证来避免未授权的公共信息资产访问。
Windowsserver2003通过Kerberos协议延续了Microsoft许诺的基于标准的安全。
此外,Windowsserver2003还为身份验证引入了新的特性。
1)森林信任
WindowsServer2003支持跨森林的信任,这将允许明确地信任某个或全部域,或者是另一个森林的用户或者组。
还为其他森林的用户或用户组设置权限。
跨森林信任关系将使得企业能够很方便地与其他使用ActiveDirectory服务的单位进行业务交流。
2)信任关系管理
该安全特性提供了用户名和密码的一个安全存储,并且也存储了证书和密钥的链接。
这使得能够为用户提供一致的单一登录。
单一登录特性使得用户无需重复提供它们的凭证,就能够通过网络访问资源。
3)改进的委派模式
委派是一种允许服务模拟用户或计算机的账户来通过网络访问资源的行为。
委派模式的改进包括允许任意客户端和Web服务器之间使用Internet协议进行连接并允许Kerberos用于Web服务器和后台数据服务器之间的验证。
该特性还包括一个基于Kerberos的委派新模式,这一新模式不需要可传递的TGT(ticketgrantingticket)以及设置强制约束委派,允许某个账号委派控制域级策略中的某一个服务。
4)协议转换
在WindowsServer2003中,新的Kerberos协议转换机制允许一个服务转换为以后的一个基于Kerberos的标识,而无需知道用户的密码,也无需用户使用Kerberos进行验证。
5.2访问控制
健壮的权限授予能够帮助企业更有效地控制用户、计算机和服务对公共信息资产的访问。
WindowsServer2003提供了新的特性,使得能够以更细的粒度,通过使用基于角色的授权、基于URL的授权以及软件限制策略来管理和控制访问。
5.3审计
在WindowsServer2003系统中使用了增强的审计特性来提供更高效、实时的入侵检测系统来监控和帮助识别可疑行为。
1)基于操作的审计:
新的审计特性不但能够跟踪到用户访问了一个文件,而且能够跟踪到用户对文件的具体操作。
2)每位用户可单独选择的审计:
除了系统级别的审计策略之外,还能够为单独的一个用户设置审计策略。
3)增强的登陆和注销账户管理的审计:
WindowsServer2003增强了登陆和注销账户管理的审计。
举例来说,登陆和注销事件中还包括了IP地址和登录/注销请求者的信息。
4)Microsoft审计采集系统:
Microsoft审计采集系统是一个基于客户端/服务器的应用专业资料
..
程序,该应用程序利用了审计特性上的改进,实时地收集安全事件并且存储在SQL数据库中以备分析。
5.4公钥基础结构
WindowsServer2003在PKI上的改进使得PKI及与其相关的技术能够更易管理,更方便进行开发与操作。
1)交叉认证:
允许在分隔的层次结构之间建立信任,增强管理PKI的效率。
2)Delta证书吊销列表:
WindowsServer2003支持Delta证书吊销列表(CRL),这使得发布吊销x.509证书更加有效。
在Windows2000中,证书发行机构将通过发布完整的CRL而负责提供证书状态信息。
而DeltaCRL列表中仅包含自上一个完整的CRL以来状态已发生变化的证书。
3)密钥归档:
在对数据进行恢复之前,常常必须进行密钥恢复。
在WindowsServer
2003中,认证授权机构习惯于归档和恢复与单独的一个证书请求关联的私钥。
4)自动注册和更新:
在WindowsServer2003中,证书的自动注册和自动更新显著降低了管理x.509加密证书所需的资源数量。
5.5网络安全
WindowsServer2003既提供有线通信的安全,也提供无线通信的安全。
为了增强无线通信的安全,WindowsServer2003支持802.1x协议,提供对PEAP(保护扩展认证)的支持。
为了改进有线通信,WindowsServer2003增强了IPSec协议。
1)Internet连接防火墙
在WindowsXP和WindowsServer2003中使用基于软件的防火墙以提供Internet安全,即Internet连接防火墙(ICF)。
ICF可为直接连到Internet上的计算机和位于Internet连接共享主机(ICS)后面的计算机提供保护。
2)隔离
网络访问隔离控制是WindowsServer2003的一个新特性。
这一特性延迟了正常的对虚拟网络的远程访问,直到远程访问计算机的配置被管理员所提供的的脚本检查并验证过。
3)无线和以太局域网安全
4)增强的IP安全(IPSec)
WindowsServer2003的IPSec支持使用2048位的Diffie-Hellman密钥交换,使得密钥变得更健壮。
5.6数据加密
1)多用户支持
WindowsServer2003支持一个单独的加密数据文件在多用户之间共享。
加密文件的共享为在用户之间不共享私钥的前提下进行协作提供了有用和方便的途径。
2)WebDAV支持
加密文件系统(EFS)与WebDAV目录组合在一起,能够跨网络提供简单和安全共享敏感数据的途径,而无需配置复杂的架构或者应用高深的技术。
3)增强的加密
WindowsServer2003对于EFS支持比默认数据加密标准算法(DESX)更健壮的算法,这是可选的。
6.WindowsVista
6.1用户账户控制(UAC)
和老版本的Windows有很大不同,在WindowsVista中,当用户使用管理员账户登录时,Windows会为该账户创建两个访问令牌,一个标准令牌,一个管理员令牌。
大部分专业资料
..
时候,当用户试图访问文件或运行程序的时候,系统都会自动使用标准令牌进行,只有在权限不足,也就是说,如果程序宣称需要管理员权限的时候,系统才会使用管理员令牌。
这种将管理员权限区分对待的机制就叫做UAC(用户账户控制)。
6.2WindowsVista在无线安全性上进行了巨大的改进。
1)被动和主动的反策略
2)与无保护的网络连接
当出现不安全的网络时,WindowsVista不会自动连接它们,也不会自动连接到对等网络。
如果存在危险,用户会被通知当连接到这些无线网络时存在何种危险。
用户可以通过这些信息作出决定。
3)改进的对等网络安全
对等无线网络在没有无线访问端或任何网络基础结构的帮助下,包含了两个或多个无线客户端相互间的通信。
用户设置adhoc网络需要关注伴随着这些网络的潜在安全风险。
默认情况下,WindowsVista将试图使网络尽可能的安全。
如果没有安全措施,将使用WPA2-Personal更好的保护用户不受到一般的攻击或减少缺陷。
在adhoc网络创建后,WindowsVista将在所有用户都没有连接或不再处于每个用户的范围内之后删除该网络。
4)单点登录
5)安全协议
6)EAPHost的可扩展性
WindowsVista支
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 操作 系统安全 分析 实施 报告