《安全漏洞》PPT课件.ppt

《《安全漏洞》PPT课件.ppt》由会员分享，可在线阅读，更多相关《《安全漏洞》PPT课件.ppt（180页珍藏版）》请在三一办公上搜索。

1、1,计算机系统安全第10章攻击与应急响应,2,一、基本概念,3,1、攻击的位置,（1）远程攻击：从该子网以外的地方向该子网或者该子网内的系统发动攻击。（2）本地攻击：通过所在的局域网，向本单位的其他系统发动攻击，在本机上进行非法越权访问也是本地攻击。（3）伪远程攻击：指内部人员为了掩盖攻击者的身份，从本地获取目标的一些必要信息后，攻击过程从外部远程发起，造成外部入侵的现象。,4,2、攻击的层次,1）简单拒绝服务（如邮件炸弹攻击）2）本地用户获得非授权读或者写权限3）远程用户获得了非授权的帐号4）远程用户获得了特权文件的读写权限5）远程用户拥有了根（root）权限,5,3、攻击的目的,1）进程的

2、执行2）获取文件和传输中的数据3）获得超级用户权限4）对系统的非法访问5）进行不许可的操作6）拒绝服务,7）涂改信息8）暴露信息9）挑战10）政治意图11）经济利益12）破坏,6,4、攻击的人员,1）黑客：为了挑战和获取访问权限2）间谍：为了政治情报信息3）恐怖主义者：为了政治目的而制造恐怖4）公司雇佣者：为了竞争经济利益5）职业犯罪：为了个人的经济利益6）破坏者：为了实现破坏,7,5、攻击的工具,1）用户命令：攻击者在命令行状态下或者图形用户接口方式输入命令。2）脚本或程序：在用户接口处初始化脚本和程序。3）自治主体：攻击者初始化一个程序或者程序片断，独立地执行操作，挖掘弱点。4）工具箱：攻

3、击者使用软件包（包含开发弱点的脚本、程序、自治主体）。5）分布式工具：攻击者分发攻击工具到多台主机，通过协作方式执行攻击特定的目标。6）电磁泄漏,8,6、攻击的时间,大部分的攻击（或至少是商业攻击时间）一般是服务器所在地的深夜。客观原因。在白天，大多数入侵者要工作或学习，以至没空进行攻击。速度原因。网络正变得越来越拥挤，因此最佳的工作时间是在网络能提供高传输速度的时间速率的时间。保密原因。白天系统管理员一旦发现有异常行为。他们便会跟踪而来。,9,二、远程攻击的步骤,10,1、寻找目标主机并收集目标信息,1）锁定目标利用域名和IP地址都可以顺利找到主机。DNS协议不对转换或信息性的更新进行身份认

4、证，这使得该协议被人以一些不同的方式加以利用。黑客只需实施一次域转换操作就能得到所有主机的名称以及内部IP地址。,11,2）服务分析用提供不同服务的应用程序试一试就知道了，例如：使用Telnet、FTP等用户软件向目标主机申请服务，如果主机有应答就说明主机提供了这个服务，开放了这个端口的服务。黑客常用一些象PORTSCAN这样的工具软件，对目标主机一定范围的端口进行扫描。这样可全部掌握目标主机的端口情况。HAKTEK是一个非常实用的一个工具软件，它将许多应用集成在一起的工具，其中包括:Ping、IP地址范围扫描、目标主机端口扫描、邮件炸弹、过滤邮件、Finger主机等都是非常实用的工具。,12

5、,3）系统分析目标主机采用的是什么操作系统。黑客使用具有已知响应类型的数据库的自动工具，对来自目标主机的、对坏数据包传送所作出的响应进行检查。由于每种操作系统都有其独特的响应方法。通过将此独特的响应与数据库中的已知响应进行对比，黑客经常能够确定出目标主机所运行的操作系统。,13,4）获取帐号信息对于陌生的目标主机可能只知道它有一个ROOT用户，至于其他帐户一无所知，要想登录目标主机我们至少要知道一个普通用户a.利用目标主机的Finger功能对黑客软件HAKTEK，它的Finger功能可以完全胜任，记录帐号信息，经过一段时间的监测，就会积累一定的帐号信息。finger很可能暴露入侵者的行为，为了

6、避免finger查询产生标记，绝大多数入侵者使用finger gateways（finger网关）。,14,b.来源于电子邮件地址有些用户电子邮件地址（指符号前面的部分）与其取邮件的帐号是一致的c.非常全面的X.500功能有些主机提供了X.500的目录查询服务。如何知道是否提供X.500的功能，扫描目标主机的端口，如果端口105的状态已经被激活，在自己的机器上安装一个X.500的客户查询的工具，选择目标主机，可以获得意想不到的信息。,15,d.习惯性常用帐号根据平时的经验，一些系统总有一些习惯性的常用帐号，这些帐号都是系统中因为某种应用而设置的。例如：制作WWW网站的帐号可能是html、www

7、、web等，安装ORACLE数据库的可能有oracle的帐号，用户培训或教学而设置的user1、user2、student1、student2、client1、client2等帐户，一些常用的英文名字也经常会使用，例如：tom、john等，因此可以根据系统所提供的服务和在其主页得到的工作人员的名字信息进行猜测。,16,5）获得管理员信息运行一个查询命令host，可获得保存在目标域服务器中的所有信息。WHOIS查询，可识别出技术管理人员。运行一些Usenet和WEB查询。系统管理员的职责是维护站点的安全，当他们遇到各种问题时，许多管理员会迫不及待地将这些问题发到Usenet或邮件列表上以寻求答案

8、。只要肯花一些时间来寻找此系统管理员的地址（和其他的一些信息）便能彻底地了解他的网络、他的安全概念以及他的个性。因为发出这种邮件的系统管理员总会指明他们的组织结构、网络的拓扑结构和他们面临的问题。,17,2、攻击测试,大部分的入侵者并不想尝试这种行为，因为这需要一定的费用。在此步骤中，首先要建立一个和目标一样的环境。一旦将此环境建立起来后，就可对它进行一系列的攻击。在此过程中，有两件事需要注意：（l）从攻击方来看这些攻击行为着上去像什么，（2）从被攻击方来看这些攻击行为看上去像什么。通过检查攻击方的日志文件入侵者能大致了解对一个几乎没有保护措施的目标进行攻击时攻击行为着上去像什么,18,3、各

9、种相关工具的准备,基于对操作系统的分析需要对工具进行评估以判断有哪些漏洞和区域它们没有覆盖到。这些工具的联合使用是否方便主要依赖于这些工具是否能简易地作为外部模块附加到一个扫描工具上如 SATAN或 SAFESuite。在此进行测试变得极为有价值，因为在多数情况下附加一个外部模块，让它正常地工作并不那么简单。为了得到这些工具工作的确切结果，最好先在某台机器上进行实验。,19,4、攻击策略的制定,没有任何理由就实施入侵是很不明智的。攻击策略主要依赖于入侵者所想要达到的目的。需要说明的是扫描时间花得越长，也就是说越多的机器被涉及在内，那么扫描的动作就越有可能被发现；同时有越多的扫描数据需要筛选，因

10、此，扫描的攻击的时间越短越好。因为你所想要的是一个主系统上或者是一个可用的最大网段的根权限，所以对一个更小、更安全的网络进行扫描不可能获得很大的好处。无论如何，一旦你确定了扫描的参数，就可以开始行动了。,20,5、数据分析,完成扫描后，开始分析数据。首先应考虑通过此方法得到的信息是否可靠（可靠度在某种程度上可通过在类似的环境中进行的扫描实验得到。）然后再进行分析，扫描获得的数据不同则分析过程也不同。在SATAN中的文档中有一些关于漏洞的简短说明，并且直接而富有指导性。如果找到了某个漏洞，就应该重新参考那些通过搜索漏洞和其他可用资源而建立起来的数据库信息。在真正理解了攻击的本质和什么应从攻击中剔

11、除之前，可能要花上数个星期来研究源码、漏洞、某特定操作系统和其他信息，这些是不可逾越的。在攻击中经验和耐心是无法替代的。一个经过很好计划和可怕的远程攻击，需要实施者对TCPIP以及系统等方面的知识有着极深刻的了解。,21,6、实施攻击,获得了对攻击的目标系统的访问权后，可能有下述多种选择：毁掉攻击入侵的痕迹，并在受到损害的系统上建立另外的新的安全漏洞或后门，以便今后继续访问这个系统。在目标系统中安装探测器软件，包括特洛伊木马程序，用来窥探所在系统的活动，收集黑客感兴趣的一切信息，如Telnet和FTP的帐号名和口令等等。发现受损系统在网络中的信任等级，这样黑客就可以通过该系统信任级展开对整个系

12、统的攻击。如果获得了特许访问权，那么它就可以读取邮件，搜索和盗窃私人文件，毁坏重要数据，破坏整个系统的信息。,22,三、系统漏洞,23,1、漏洞的概念,漏洞的概念漏洞是指硬件、软件或策略上的缺陷，从而可使攻击者能够在未经授权的情况下访问系统。所有软件都是有错的通常情况下99.99%无错的程序很少会出问题，利用那0.01%的错误导致100%的失败,24,1、漏洞的概念,出现漏洞的原因当今的系统功能越来越强，体积也越做越大。庞大的系统是由小组完成的，不能指望每个人都不犯错，也不能指望无纰漏的合作。加上人的惰性，不愿意仔细地进行系统的安全配置。这样一来，本来比较安全的系统也变的不安全了。一个简单的例

13、子就是缺省口令。,25,漏洞的范围 漏洞涉及的范围很广，涉及到网络的各个环节、各个方面，包括：路由器、防火墙、操作系统、客户和服务器软件。比如一台提供网上产品搜索的Web服务器，就需要注意操作系统、数据库系统、Web服务软件及防火墙。,26,漏洞的时间性系统发布漏洞暴露发布补丁新漏洞出现 一个系统从发布的那一天起，随着用户的深入使用，系统中存在的漏洞会被不断暴露出来，这些早先被发现的漏洞也会不断被系统供应商发布的补丁软件修补，或在以后发布的新版系统中得以纠正。而在新版系统纠正了旧版本中具有漏洞的同时，也会引入一些新的漏洞和错误。因而随着时间的推移，旧的漏洞会不断消失，新的漏洞会不断出现。漏洞问

14、题也会长期存在。,27,安全漏洞与系统攻击之间的关系 漏洞暴露（可能的攻击）发布补丁系统攻击者往往是安全漏洞的发现者和使用者，要对于一个系统进行攻击，如果不能发现和使用系统中存在的安全漏洞是不可能成功的。,28,漏洞的类型（1）管理漏洞-如两台服务器用同一个用户/密码，则入侵了A服务器后，B服务器也不能幸免。（2）软件漏洞-很多程序只要接收到一些异常或者超长的数据和参数，就会导致缓冲区溢出。（3）结构漏洞-比如在某个重要网段由于交换机、集线器设置不合理，造成黑客可以监听网络通信流的数据；又如防火墙等安全产品部署不合理，有关安全机制不能发挥作用，麻痹技术管理人员而酿成黑客入侵事故。（4）信任漏洞

15、-比如本系统过分信任某个外来合作伙伴的机器，一旦这台合作伙伴的机器被黑客入侵，则本系统的安全受严重威胁。,29,网络操作系统的概念,计算机网络是由多个相互独立的计算机系统通过通信媒体连接起来的。各计算机都具有一个完整独立的操作系统，网络操作系统(NOS)是建立在这些独立的操作系统基础上用以扩充网络功能的系统(系统平台)。,30,网络操作系统是为使网络用户能方便而有效地共享网络资源而提供各种服务的软件及相关规程，它是整个网络的核心，通过对网络资源的管理，使网上用户能方便、快捷、有效地共享网络资源。操作系统的主要功能包括：进程控制和调度、信息处理、存储器管理、文件管理、输入/输出管理、资源管理等。

16、,31,NOS是一种运行在硬件基础上的网络操作和管理软件，是网络软件系统的基础，它建立一种集成的网络系统环境，为用户方便而有效地使用和管理网络资源提供网络接口和网络服务。NOS除了具有一般操作系统所具有的处理机管理、存储器管理、设备管理和文件管理功能外，还提供高效而可靠的网络通信环境和多种网络服务功能。如文件服务、打印服务、记账服务、数据库服务以及支持Internet和Intranet服务。,32,目前，常用的网络操作系统有Windows 2000 Server、Windows NT Server、NetWare、UNIX和Linux。,33,操作系统的安全与访问控制,操作系统主要的安全功能包

17、括：存储器保护(限定存储区和地址重定位，保护存储信息)、文件保护(保护用户和系统文件，防止非授权用户访问)、访问控制、身份认证(识别请求访问的用户权限和身份)等。,34,网络操作系统主要有以下两大类安全漏洞：输入/输出(I/O)非法访问。在一些操作系统中，一旦I/O操作被检查通过后，该操作系统就继续执行操作而不再进行检查，这样就可能造成后续操作的非法访问。操作系统陷门。某些操作系统为了维护方便、使系统兼容性和开放性更好，在设计时预留了一些端口或保留了某些特殊的管理程序功能。,35,操作系统安全的概念 第一，操作系统本身提供的安全功能和安全服务。第二，针对各种常用的操作系统，进行相关配置，使之能

18、正确对付和防御各种入侵；第三，保证网络操作系统本身所提供的网络服务能得到安全配置。,36,访问控制措施,系统访问控制是指用户进入系统的控制和用户进入系统后如何访问资源的限制1.访问控制类型 2.入网安全控制(系统登录)3.访问权限限制,37,4.文件和目录属性限制5.网络服务器安全控制6.网络监测和锁定控制7.网络端口和节点的安全控制8.防火墙控制,38,1.入网安全控制(系统登录)用户名、口令：每个合法用户都有一个用户名和一个口令。这是在系统建立用户时将其存入系统的相应数据库中的。帐户锁定：系统设定用户尝试登录的最大次数。在到达该数值后，系统将自动锁定，不允许用户再登录。,39,安全标识符：

19、系统可为用户设定一个安全标识符SID，该SID代表一个用户，是唯一的一个数值，不会被其它用户使用。该SID用于系统内部，在访问标记和访问控制表中使用。,40,身份认证：是指利用有关技术和信息，对用户的身份进行真伪验证的过程。身份认证方法：利用生物识别技术对用户进行唯一特征(如指纹、声音、视网膜图象等)的验证利用人们所已知的事进行验证利用用户拥有的物品进行验证,41,时间、地址限制：系统可设定用户登录的时间范围，指定用户在那些地址的计算机上登录。,42,*口令的选择与保护口令的选择：选择字母和数字组合的、容易记忆的、位数多的、不易被猜出的信息作口令。尽量不使用单个词汇、人名、与用户相关联的数字或

20、号码。口令的保护：口令加密，定期或不定期地更换口令。,43,2.访问权限限制网络系统使用用户访问权限可控制一个用户能访问系统的哪些资源(目录和文件)以及对这些资源能做哪些操作，如：读、写、建立、修改、删除、文件浏览、访问控制、管理等。访问权限是系统赋予用户的。,44,3.文件和目录属性限制属性规定文件和目录被访问的特性。网络系统可通过设置文件和目录属性控制用户对资源的访问。,45,4.网络服务器安全控制 网络服务器上的软件只能从系统目录上装载，而只有网络管理员才具有访问系统目录的权限；系统可授权控制台操作员具有操作服务器的权利，控制台操作员可通过控制台装载和卸载功能模块、安装和删除软件；锁定服

21、务器控制台键盘，禁止非控制台操作员操作服务器。,46,5.网络监测和锁定控制网络管理员对网络实施监控；服务器应记录用户对网络资源的访问；服务器应以图形或文字或声音等形式报警，以引起网络管理员的注意。如果非法用户试图进入网络，网络服务器应能自动记录其企图尝试进入网络的次数，如果非法访问的次数达到设定数值，那么该账户将被自动锁定。,47,6.网络端口和节点的安全控制网络服务器的端口常使用自动回呼设备加以保护，并以加密的形式来识别节点的身份。自动回呼设备可防止假冒合法用户。网络还常对服务器端和用户端采取控制，在对用户的身份进行验证后，才允许用户进入用户端。然后，用户端和服务器端再进行相互验证。,48

22、,7.防火墙控制防火墙是一种保护计算机网络安全的技术性措施，是一个用以阻止网络中的黑客访问某个企业网络的屏障。在网络边界上通过建立起来的具有防火墙功能的网络通信监控系统来隔离内部和外部网络，以阻档外部网络的侵入。,49,Windows NT系统安全,Windows NT的安全基础1Windows NT中的对象Windows NT的安全机制是建立在对象的基础上的，因此，对象的概念与安全问题密切相关。对象是构成Windows NT操作系统的基本元素，它可以是文件、目录、存储器、驱动器或系统程序等。,50,2.Win NT的安全基础(1)两种模型Win NT系统中有两种基本模型：工作组模型和域模型。

23、工作组模型：是一个“对等”网结构。域模型：域是一个共享公共目录数据库和安全策略的计算机及用户的集合，它提供登录认证，并具有唯一的域名。,51,Win NT系统提供四种基本的域模型：单域模型、主域模型、多主域模型和完全信任域模型。每个域中有主域控制器、备份域控制器和服务器、工作站。每个域都有自己的安全策略以及与其他域相关的安全关系。,52,信任关系是域与域之间建立的连接关系。它可以执行对经过委托的域内用户的登录审核工作。域之间经过委托后，用户只要在某一个域内有一个用户帐号，就可以使用其他域内的网络资源了。,53,若A域信任委托B域，则B域的用户可以访问A域的资源，而A域的用户则不能访问B域的资源

24、，这就是单向委托；若A域的用户也想访问B域的资源，那么必须再建立B域信任A域的委托关系，这就是双向委托。,54,(2)四种基本的域模型 单域模型：网络中只有一个域，就是主域，域中有一个主域控制器和一个或多个备份域控制器。该模型适合于用户较少的网络中。,55,主域模型：网络中至少有两个域，但只在其中一个域(主域)中创建所有用户并存储这些用户信息。其他域则称为资源域，负责维护文件目录和打印机资源，但不需要维护用户账户。资源域都信任主域，使用主域中定义的用户和全局组。该模型适合于用户不太多，但又必须将资源分组的情况。,56,多主域模型：网络中有多个主域和多个资源域，其中主域作为账户域，所有的用户账户

25、和组都在主域之上创建。各主域都相互信任，其他的资源域都信任主域，但各资源域之间不相互信任。该模型便于大网络的统一管理，具有较好的伸缩性。因此，该模型适合于用户数很多且有一个专门管理机构的网络中。,57,完全信任域模型：网络中有多个主域，且这些域都相互信任。所有域在控制上都是平等的，每个域都执行自己的管理。该模型适合于各部门管理自己的网络情况。,58,3.用户帐户、权力和权限 每个要登录Win NT的用户，都要有一个用户帐户，该帐户是由系统管理员创建的，用户帐户中包括用户的名称、密码、用户权力、访问权限等信息。创建帐户后，Win NT再为帐户指定一个唯一的安全标识符SID。,59,用户和组都有一

26、定的权力，权力定义了用户在系统中能做什么。如：从网络中访问计算机、向域中添加工作站和成员服务器、备份文件和目录、改变系统时间、强制从远程系统退出、装/卸设备驱动器、本地登录、恢复文件和目录等。这些权力大多数只指定给管理用户。,60,用户和组要有权限才能使用对象。权限可由系统管理员赋予用户，也可由文件、目录等对象的所有者赋予用户。Win NT的权限有：列表、读取、添加、修改、添加并读取、完全控制等。,61,4.目录数据库目录数据库是整个网络系统中不可缺少的重要组成部分。目录数据库用来存放域中所有的安全数据和用户帐户信息。用户登录时，用它来核对、检验用户输入的数据是否符合其相应的身份和使用权限。该

27、数据库被存放在主域控制器，在备份域控制器中也有它的备份。,62,5.注册表注册表是包括应用程序、硬件设备、设备驱动程序配置、网络协议和网卡设置等信息的数据库。它是一个具有容错功能的数据库，如果系统出现错误，日志文件使用Win NT能够恢复和修改数据库，以保证系统正常运行。,63,Windows NT的安全漏洞虽然NT系统采用了较强的安全性规则，但该系统还是存在许多安全漏洞。如SAM数据库漏洞，SMB协议漏洞，Registry数据库权限漏洞，权限设置漏洞，打印机漏洞，建立域别名漏洞等。,64,SAM(安全帐户管理)数据库漏洞SAM数据库的一个拷贝能够被某些工具用来破解口令，而NT的Admin帐户

28、、Admin组中的所有成员、备份操作员、服务器操作员以及所有具有备份特权的用户，都可以拷贝SAM数据库的内容。特洛伊木马和病毒可能利用默认权力对SAM数据库进行备份，获取访问SAM数据库中的口令信息。,65,SMB(Server Message Block)协议漏洞：SMB协议可读取SAM数据库和NT服务器文件。而SMB协议存在一些尚未公开的漏洞：SMB协议可不用授权即可存取SAM数据库和NT上的文件；SMB协议允许远程访问共享目录和其他一些系统服务；SMB协议在验证用户身份时，使用一种简易加密方法发送申请包，因此它的文件传输授权机制很容易被击溃。,66,Registry数据库漏洞：NT上的默

29、认数据库Registry的权限设置有很多不合适之处。Registry数据库的默认权限是将“完全控制”(Full control)和“创建”(Create)给了“所有人”。这样的设置可能引起Registry数据库文件被删除或改变。,67,属性设置漏洞：NT系统文件属性的设置上存在安全漏洞。如复制或移动一个文件到其他目录下，则该文件的属性将继承其新目录的属性。而在NT系统中对文件进行复制和移动操作是很容易的。因此，要经常检查文件属性的设置是否恰当，尤其是在复制和移动文件后，这样就可能避免这种漏洞的影响。,68,打印机漏洞：打印机操作员组中的任何一个成员对打印驱动程序都具有系统级访问权。入侵者可以利

30、用这个安全漏洞，用一个木马程序替换一个打印驱动程序，或在打印驱动程序中插入恶意病毒。它不需要任何特权就可执行。,69,建立域别名漏洞：NT域用户可以不断地建立新的用户组直至系统资源枯竭。NT能方便地建立用户组的这个特性很容易遭到拒绝服务的攻击。虽然针对该问题，微软公司已开发了补丁程序，但用户发现该补丁程序与注册表的设置有冲突。,70,Windows NT的安全性机制和技术1.Windows NT的安全性机制NT的安全机制主要有帐号规则、权限规则、审计规则和域管理机制。,71,(1)帐号规则帐号规则是对用户帐号和口令进行安全管理-入网访问控制。用户帐号还包括对用户入网时间限制、入网站点限制、帐号

31、锁定、用户对特定文件/目录的访问权限限制和用户使用的网络环境的限制等内容。,72,(2)权限规则NT采用两类访问权限：用户访问权限和资源访问权限。用户访问权限有四种：完全控制、更改、读写和拒绝访问，完全控制权限最大。NTFS允许用两种访问权限来控制用户对特定目录和文件的访问：一种是标准权限(基本安全性措施)；另一种是特殊权限(特殊安全性措施)。,73,(3)审核规则审核规则是系统对用户操作行为的跟踪，管理员可根据审核结果来控制用户的操作。NT可对如下事件进行审核：登录和注销、文件和对象的访问、用户权限的使用、用户和组的管理、安全性策略的改变、启动与关闭系统的安全性和进程的跟踪等。跟踪审核结果存

32、放在安全日志文件中。,74,(4)域管理机制域是NT目录服务和安全管理的基本单元，域内工作由主域控制器控制。用户每次登录整个域而非某一服务器。域所使用的安全机制信息或用户帐号信息都存放在目录数据库中-安全帐号管理数据库。目录数据库存放在服务器中并复制到备份服务器中。在每次用户登录时，都要通过目录数据库检查用户帐号信息。,75,2.安全性技术(1)Kerberos验证协议NT定义了客户端和密钥分配中心网络验证服务间的接口，NT 5.0密钥分配中心在域的每个域控制器上进行验证服务。Kerberos协议已被完全集成到Win NT5.0的安全性结构中。,76,(2)加密文件系统EFSNT 5.0中提供

33、了一种新一代NTFS的加密文件系统EFS。EFS使加密和解密对用户都是透明的，加密和解密过程自动地发生在从硬盘中读取数据和向硬盘中写入数据时。EFS提供从单一文件到整个目录的加密和解密功能。如果对于一个目录进行加密，目录中所有的子目录和文件都被自动加密。,77,(3)Windows IP Security 安全性支持NT 5.0推出一种新的网络安全性方案-IP Security。它符合IETF 的IP安全性协议标准，支持在网络层一级的验证、数据完整性和加密。它与NTS内置的安全性集成在一起，使NT 5.0能够同时抵御来自内部和外部的攻击。利用IPSec功能，网络管理员可为网络提供一层强有力的保

34、护。,78,2.3.4 Windows NT的安全管理措施1物理安全管理 Windows NT采取了摘掉或锁死软盘驱动器，禁止DOS或其他操作系统访问NTFS分区，在服务器上设置系统启动口令，设置BIOS禁用软盘引导系统，不创建任何DOS分区、保证机房的物理安全等管理措施。,79,2账号和密码策略 Windows NT域用户管理器通过为用户分配的账号和密码来验证用户身份，保证系统资源的安全。用户账号是系统根据用户的使用要求和网络所能给予的服务为用户分配的，账号名称通常是公开的。用户账号密码在密码的选取、密码的维护等方面都要符合安全性要求和使用方便的原则，用户账号密码是保密的。,80,3控制授权

35、用户的访问在Windows NT域中配置适当的NTFS访问控制可增强网络安全。在系统默认情况下，每建立一个新的共享，Everyone用户就享有“完全控制”的共享权限，因此在使用时要取消或更改默认情况下Everyone组的“完全控制”权限，要始终设置用户所能允许的最小目录和文件的访问权限。为安装后默认的Guest用户设置密码，以防被黑客利用。,81,为每个用户指定一个工作组，为工作组指定文件和目录访问权限，这样，当某个用户角色变更时，只要把该用户从工作组中删除或指定他属于另一组，即可收回或更改该用户的访问权限。所以说，将用户以“组”的方式进行管理，是用户管理的一个有效方法。,82,4及时下载和更

36、新补丁程序 经常光顾安全网站，下载最新补丁程序，或用最新的Service Pack升级Windows NT Server，因为Service Pack中有所有补丁程序和新发表的诸多安全补丁程序。,83,5控制远程访问服务 远程访问是入侵者攻击Windows NT系统的常用手段，因此可以采取控制远程服务的方法减少对系统的攻击。Windows NT防止外来入侵最好的功能是认证系统。Windows 95/98和Windows NT Workstation客户机不仅可以交换用户ID和口令数据，而且还使用Windows专用的响应协议，这可确保不会出现相同的认证数据，并可以有效地阻止内部黑客捕捉网络信息包

37、。如条件允许，可使用回叫安全机制，并尽量采用数据加密技术，以保证数据安全。,84,6启动审查功能 为防止未经授权的访问，可以利用域用户管理器启用安全审查功能，以便在安全日志中记录未经授权的访问企图，以便尽早发现安全漏洞并及时补救。但要结合工作实际，设置合理的审计规则。切忌审查太多，以免无时间全部审查安全问题。,85,7应用系统的安全 在Windows NT上运行的应用系统，应及时通过各种途径获得补丁程序，以解决其安全问题。把IIS中的sample、scripts、iisadmin和msadc等Web目录设置为禁止匿名访问并限制IP地址。把FTP、Telnet的TCP端口改为非标准端口。Web目

38、录、CGI目录、scripts目录和WinNT目录只允许管理员完全控制。凡是涉及到访问与系统有关的重要文件，除系统管理员账号Administrator外，其他账号均应设置为只读权限。,86,8取消TCP/IP上的NetBIOS绑定 Windows NT系统管理员可以通过构造目标站NetBIOS名与其IP地址之间的影像，对Internet或Intranet上的其他服务器进行管理，但非法用户也可从中找到可乘之机。如果这种远程管理不是必需的，可立即取消(通过网络属性的绑定选项，取消NetBIOS与TCP/IP之间的绑定)，如禁用NetBIOS端口。,87,2.3.5 Windows NT的数据保护

39、由于网络系统出现故障、数据丢失等原因致使系统不能可靠运行或系统不能正常启动时，Windows NT系统可为网络用户提供快速、准确的服务，如系统修复或数据恢复等，使系统能正常工作。,88,1Windows NT数据保护方法NT系统可提供以下的数据保护方法。(1)磁带备份磁带备份就是将主机上的数据备份到其他存储介质上，以确保数据的安全，这是最简单也是最经济的数据保护方法。磁带备份又分为完全备份、一般拷贝、日常备份、增量备份和差异备份。,89,(2)不间断电源保护不间断电源(UPS)保护可使Windows NT系统在突然断电的情况下继续使用一段时间，在电源恢复之前安全关机，从而避免因断电造成的数据丢

40、失。,90,扇区备份。扇区备份也叫“热修复”，是Windows NT提供的又一种容错方法。系统在发现扇区损坏时，对该坏扇区进行标记，并将其上的数据尽可能地转储到好的扇区上，从而保证数据的完整。这种容错方法只是在NTFS分区的SCSI硬盘上才能实现，而ESDI和IDE磁盘上无法实现此项功能。,91,2Windows NT系统的恢复和修复 采用了容错技术的系统恢复的效果较好。但如果没有采用容错技术，由于各种原因使得Windows NT系统无法正常启动时，无论采取什么方法修复系统，效果都是有限的。以下是常用的Windows NT系统修复或恢复方法。,92,(1)利用“系统配置”环境恢复Windows

41、 NT系统 当用户由于新增了驱动程序和用户修改了注册表Registry数据库后而无法正常启动Windows NT系统时，可以尝试利用上一次正确的“系统配置”环境启动系统。但它不适合由于驱动程序或文件损坏、丢失所造成的不能启动的情况。,93,(2)利用“紧急修复磁盘”修复被损坏的Windows NT系统 在Windows NT系统工作站或服务器安装时，都允许用户制作一张“紧急修复磁盘”。该磁盘中包含了修复系统所必需的数据。当Windows NT系统文件、启动变量或启动分区被损坏时，无法利用上一次正确“系统配置”环境启动，则利用该磁盘可以恢复系统正常工作。作为网络管理员，应该及时制作该磁盘，并且要

42、定期进行更新。,94,(3)利用“Windows NT启动盘”修复被损坏的系统 当Windows NT系统损坏而又无法启动时，用户可以利用自己制作的“Windows NT启动盘”修复系统。当用户系统的部分启动文件损坏或映射磁盘区出现故障时，也可以使用“Windows NT启动盘”进行修复。,95,Windows 2000系统安全,96,Windows 2000 的安全漏洞 Windows 2000系统面世不久，就被发现存在安全漏洞。作为已被广泛应用的网络操作系统，无论是对普通用户还是对于公司企业用户，Windows 2000的影响都是巨大的。如果用户不能对这些漏洞进行及时的补救，系统就可能被攻

43、击，造成不必要的损失。,97,1.登录验证机制漏洞 当Windows 2000启动后，按屏幕提示按下Alt+Ctrl+Del进行登录,在登录界面将光标移至用户名输入框，按键盘上的Ctrl+Shift键进行输入法切换。在进行输入法选择时，屏幕上会出现一些“选项”按钮，点击某些选项时，可进入“网络设置”项。,98,这样，任何人都可对网络进行设置，甚至在控制面板上做任何修改操作；或者进入“Internet选项”中，可以对主页、连接、安全、高级选项等进行任何操作而不受限制；或者进入“跳至URL”框，操作者可获得系统管理员权限，对相关磁盘的数据做任何操作(修改、删除、重命名、设置共享等)。,99,Win

44、dows 2000的这种登录漏洞可使操作者完全绕过了Windows 2000的登录验证机制，并能以最高管理员身份访问整个系统。而且在进入系统后，操作者还可以利用Terminal Server远程通信漏洞对系统进行攻击。因此，该漏洞的危害性是很大的，可采取以下步骤修补漏洞：,100,把不必要的输入法删除掉，如郑码。把要使用的但有漏洞的输入法的帮助文件删除掉。尽快从微软公司网站上下载相关的简体中文和英文版Windows 2000补丁程序。,101,2.NetBIOS漏洞 NetBIOS共享入侵问题从NT问世时就从未解决，且一直是NT系统最常见的入侵手段。特别是IPC$Null Session(空对

45、话)，虽然加了补丁程序后可以对其进行限制，但不知为什么在Windows 2000中又原封不动地保留了该漏洞。对于该漏洞，可以通过在注册表中做相应修改来解决。,102,3.Telnet漏洞Windows 中的Telnet是网络管理员很喜欢的网络实用工具之一。但在Windows 2000中Telnet在守护其进程时，在已经被初始化的会话还未复位的情况下，很容易受到一种普通的拒绝服务攻击。2000年2月，该攻击出现在多个大型网站上。,103,Telnet连接后，在初始化的对话还没复位时，在一定的时间间隔后，如果连接用户还没有提供登录的用户名和密码，Telnet对话将超时。直到用户输入一个字符后连接才

46、被复位。这样，如果恶意用户连接到Windows 2000的Telnet守护进程中，并且对该连接不进行复位操作，就可以有效地拒绝其他任何用户连接到该Telnet服务器。,104,4.奇怪的系统崩溃漏洞 Windows 2000 系统有一个奇怪的特性：用户可以通过按住右Ctrl键，同时再按两次Scroll Lock键，就可使整个Windows 2000系统完全崩溃。但同时又在C:WinNT目录下删除完整的当前系统内存记录，内存记录文件名为Memory.dmp。该奇怪特性在默认状态下是关闭的，但可通过修改注册表的方法将其激活。,105,5.IIS服务泄漏文件内容Windows 的IIS是在大多数Wi

47、ndows NT/Windows 2000服务器上使用的服务器软件。安装了IIS后，就自动安装了多个ISAPI(Internet服务的应用编程接口)，允许开发人员使用DLL扩展IIS服务器的性能。IIS服务泄漏文件内容漏洞：当Windows IIS 4.0/5.0(远东地区版)在处理包含有不完整的双字节编码字符的HTTP命令请求时，将导致WEB目录下的文件内容泄漏给远程攻击者。,106,Windows IIS的远东地区版本包括中文、韩文和日文版，这些都是使用双字节编码的格式。攻击者通过提交一个特殊的URL，可使IIS使用某个ISAPI动态链接库打开某种所不能解释的类型文件，并获得该文件的内容。

48、依靠系统安装的ISAPI应用程序的类型，攻击者可以获得Web根目录或虚拟目录下的文件内容，这些文件可以是普通的文本文件，也可以是二进制文件。,107,黑客们可使用Unicode(采用双字节对字符进行编码的统一的字符编码标准)方法对这个漏洞进行攻击.由于某些双字节的原因，Windows 2000在处理某些特殊字符时，与英文版本不同。利用这种漏洞，攻击者就可以通过这些特殊字符绕过IIS的目录审计，远程执行任意命令。,108,6.ICMP漏洞 ICMP的主要作用是当系统出错时向源主机传输错误报告控制信息，以便源主机重发失败的数据报。ICMP的一个特点是无连接。只要发送端完成ICMP报文的封装，并将其

49、传输给路由器，该报文就会自己去寻找目的地址。该特点使得ICMP协议非常灵活方便，但这同时也带来了致命的缺陷，信息包很容易被伪造。,109,任何人都可以伪造一个ICMP报文并发送出去。伪造者可以利用SOCK_RAW编程直接改写报文的ICMP首部和IP首部，这样的报文携带的源地址是伪造的，目的端根本无法追查。根据这个原理，出现了不少基于ICMP的攻击软件。,110,Windows 2000的安全性措施和技术1.安全性措施由于Windows 2000操作系统有良好的网络功能，在Internet中有部分网站服务器使用Windows 2000作为主操作系统，因此它也往往会被攻击者选为攻击对象。作为Win

50、dows 2000的用户，可以采取以下措施来提高Windows 2000系统的安全性。,111,(1)及时备份系统 为防止系统发生意外而不能正常运行，应对Windows 2000系统进行系统备份。以此作为完整的备份系统来验证系统的完整性，检查系统文件是否给非法修改过。如果发生系统文件被破坏，也可使用系统备份来恢复到正常状态。,112,(2)设置系统格式为NTFS 安装Windows 2000时，应选择自定义安装，选择必需的系统组件和服务，取消不必要的服务和协议。因为服务和协议安装得越多，入侵者可利用的途径就越多，潜在的系统安全隐患也就越大。在选择Windows 2000文件系统时，应选择NTF