第八章操作系統(tǒng)安全基礎(chǔ)

2023/2/1內(nèi)容提要操作系統(tǒng)概述、基本概念、機(jī)制、安全模型和安全體系結(jié)構(gòu)主要介紹操作系統(tǒng)安全配置的方案。操作系統(tǒng)的安全將決定網(wǎng)絡(luò)的安全，從保護(hù)級(jí)別上分成安全初級(jí)篇、中級(jí)篇和高級(jí)篇，共36條基本配置原則。安全配置初級(jí)篇講述常規(guī)的操作系統(tǒng)安全配置，中級(jí)篇介紹操作系統(tǒng)的安全策略配置，高級(jí)篇介紹操作系統(tǒng)安全信息通信配置。8.1操作系統(tǒng)概述目前服務(wù)器常用的操作系統(tǒng)有四類(lèi)：FreeBSDUnixLinuxWindowsNT/2000/2003Server。這些操作系統(tǒng)都是符合C2級(jí)安全級(jí)別的操作系統(tǒng)。但是都存在不少漏洞，如果對(duì)這些漏洞不了解，不采取相應(yīng)的措施，就會(huì)使操作系統(tǒng)完全暴露給入侵者。TCSEC(TrustedComputerStandardsEvaluationCriteria)可信任計(jì)算機(jī)標(biāo)準(zhǔn)評(píng)價(jià)準(zhǔn)則（網(wǎng)絡(luò)安全橙皮書(shū)）8.2安全操作系統(tǒng)的研究發(fā)展操作系統(tǒng)的安全性在計(jì)算機(jī)信息系統(tǒng)的整體安全性中具有至關(guān)重要的作用。沒(méi)有操作系統(tǒng)提供的安全性，信息系統(tǒng)的安全性是沒(méi)有基礎(chǔ)的。區(qū)分安全操作系統(tǒng)和操作系統(tǒng)安全8.3安全操作系統(tǒng)的基本概念安全操作系統(tǒng)涉及很多概念：主體和客體安全策略和安全模型訪(fǎng)問(wèn)監(jiān)控器和安全內(nèi)核可信計(jì)算基8.3.1主體和客體操作系統(tǒng)中的每一個(gè)實(shí)體組件都必須是主體或者是客體，或者既是主體又是客體。主體是一個(gè)主動(dòng)的實(shí)體，它包括用戶(hù)、用戶(hù)組、進(jìn)程等。系統(tǒng)中最基本的主體應(yīng)該是用戶(hù)（包括一般用戶(hù)和系統(tǒng)管理員、系統(tǒng)安全員、系統(tǒng)審計(jì)員等特殊用戶(hù)）。每個(gè)進(jìn)入系統(tǒng)的用戶(hù)必須是惟一標(biāo)識(shí)的，并經(jīng)過(guò)鑒別確定為真實(shí)的。系統(tǒng)中的所有事件要求，幾乎全是由用戶(hù)激發(fā)的。進(jìn)程是系統(tǒng)中最活躍的實(shí)體，用戶(hù)的所有事件要求都要通過(guò)進(jìn)程的運(yùn)行來(lái)處理。在這里，進(jìn)程作為用戶(hù)的客體，同時(shí)又是其訪(fǎng)問(wèn)對(duì)象的主體?？腕w是一個(gè)被動(dòng)的實(shí)體。在操作系統(tǒng)中，客體可以是按照一定格式存儲(chǔ)在一定記錄介質(zhì)上的數(shù)據(jù)信息（通常以文件系統(tǒng)格式存儲(chǔ)數(shù)據(jù)），也可以是操作系統(tǒng)中的進(jìn)程。操作系統(tǒng)中的進(jìn)程（包括用戶(hù)進(jìn)程和系統(tǒng)進(jìn)程）一般有著雙重身份。當(dāng)一個(gè)進(jìn)程運(yùn)行時(shí)，它必定為某一用戶(hù)服務(wù)——直接或間接的處理該用戶(hù)的事件要求。于是，該進(jìn)程成為該用戶(hù)的客體，或?yàn)榱硪贿M(jìn)程的客體（這時(shí)另一進(jìn)程則是該用戶(hù)的客體）8.3.2安全策略和安全模型安全策略與安全模型是計(jì)算機(jī)安全理論中容易相互混淆的兩個(gè)概念。安全策略是指有關(guān)管理、保護(hù)和發(fā)布敏感信息的法律、規(guī)定和實(shí)施細(xì)則。例如，可以將安全策略定為：系統(tǒng)中的用戶(hù)和信息被劃分為不同的層次，一些級(jí)別比另一些級(jí)別高；而且如果主體能讀訪(fǎng)問(wèn)客體，當(dāng)且僅當(dāng)主體的級(jí)別高于或等于客體的級(jí)別；如果主體能寫(xiě)訪(fǎng)問(wèn)客體，當(dāng)且僅當(dāng)主體的級(jí)別低于或等于客體的級(jí)別。安全模型則是對(duì)安全策略所表達(dá)的安全需求的簡(jiǎn)單、抽象和無(wú)歧義的描述，它為安全策略和安全策略實(shí)現(xiàn)機(jī)制的關(guān)聯(lián)提供了一種框架。安全模型描述了對(duì)某個(gè)安全策略需要用哪種機(jī)制來(lái)滿(mǎn)足；而模型的實(shí)現(xiàn)則描述了如何把特定的機(jī)制應(yīng)用于系統(tǒng)中，從而實(shí)現(xiàn)某一特定安全策略所需的安全保護(hù)。訪(fǎng)問(wèn)監(jiān)控器訪(fǎng)問(wèn)控制機(jī)制的理論基礎(chǔ)是訪(fǎng)問(wèn)監(jiān)控器（ReferenceMonitor），由J.P.Anderson首次提出。訪(fǎng)問(wèn)監(jiān)控器是一個(gè)抽象概念，它表現(xiàn)的是一種思想。J.P.Anderson把訪(fǎng)問(wèn)監(jiān)控器的具體實(shí)現(xiàn)稱(chēng)為引用驗(yàn)證機(jī)制，它是實(shí)現(xiàn)訪(fǎng)問(wèn)監(jiān)控器思想的硬件和軟件的組合。8.4安全操作系統(tǒng)的機(jī)制安全操作系統(tǒng)的機(jī)制包括：硬件安全機(jī)制操作系統(tǒng)的安全標(biāo)識(shí)與鑒別訪(fǎng)問(wèn)控制、最小特權(quán)管理可信通路和安全審計(jì)8.4.1硬件安全機(jī)制絕大多數(shù)實(shí)現(xiàn)操作系統(tǒng)安全的硬件機(jī)制也是傳統(tǒng)操作系統(tǒng)所要求的，優(yōu)秀的硬件保護(hù)性能是高效、可靠的操作系統(tǒng)的基礎(chǔ)。計(jì)算機(jī)硬件安全的目標(biāo)是，保證其自身的可靠性和為系統(tǒng)提供基本安全機(jī)制。其中基本安全機(jī)制包括存儲(chǔ)保護(hù)、運(yùn)行保護(hù)、I/O保護(hù)等。8.4.2標(biāo)識(shí)與鑒別標(biāo)識(shí)與鑒別是涉及系統(tǒng)和用戶(hù)的一個(gè)過(guò)程。標(biāo)識(shí)就是系統(tǒng)要標(biāo)識(shí)用戶(hù)的身份，并為每個(gè)用戶(hù)取一個(gè)系統(tǒng)可以識(shí)別的內(nèi)部名稱(chēng)——用戶(hù)標(biāo)識(shí)符。用戶(hù)標(biāo)識(shí)符必須是惟一的且不能被偽造，防止一個(gè)用戶(hù)冒充另一個(gè)用戶(hù)。將用戶(hù)標(biāo)識(shí)符與用戶(hù)聯(lián)系的過(guò)程稱(chēng)為鑒別，鑒別過(guò)程主要用以識(shí)別用戶(hù)的真實(shí)身份，鑒別操作總是要求用戶(hù)具有能夠證明他的身份的特殊信息，并且這個(gè)信息是秘密的，任何其他用戶(hù)都不能擁有它。鑒別一般是在用戶(hù)登錄時(shí)發(fā)生的，系統(tǒng)提示用戶(hù)輸入口令，然后判斷用戶(hù)輸入的口令與系統(tǒng)存在的口令是否一致，另外，生物特征識(shí)別技術(shù)；8.4.3訪(fǎng)問(wèn)控制在安全操作系統(tǒng)領(lǐng)域中，訪(fǎng)問(wèn)控制一般都涉及自主訪(fǎng)問(wèn)控制（DiscretionaryAccessControl，DAC）強(qiáng)制訪(fǎng)問(wèn)控制（MandatoryAccessControl，MAC）兩種形式1.自主訪(fǎng)問(wèn)控制最常用的一種訪(fǎng)問(wèn)控制機(jī)制，用來(lái)決定一個(gè)用戶(hù)是否有權(quán)訪(fǎng)問(wèn)一些特定客體的一種訪(fǎng)問(wèn)約束機(jī)制；文件的擁有者可以按照自己的意愿精確制定系統(tǒng)中的其他用戶(hù)對(duì)其文件的訪(fǎng)問(wèn)權(quán)，即一個(gè)用戶(hù)使用自主訪(fǎng)問(wèn)控制機(jī)制，可以自主的說(shuō)明他所擁有的資源允許系統(tǒng)中哪些用戶(hù)以何種權(quán)限進(jìn)行訪(fǎng)問(wèn)共享。2.強(qiáng)制訪(fǎng)問(wèn)控制系統(tǒng)的每個(gè)進(jìn)程，每個(gè)文件及其客體都被賦予了相應(yīng)的安全屬性，這些安全屬性是不能改變的，由管理部門(mén)或者操作系統(tǒng)自動(dòng)的按照嚴(yán)格的規(guī)則來(lái)設(shè)置；如果系統(tǒng)判定擁有一個(gè)安全屬性的主體不能訪(fǎng)問(wèn)某個(gè)客體，那么任何人（包括客體的擁有者）也不能使它訪(fǎng)問(wèn)該客體，從這種意義上講，是強(qiáng)制的。8.4.4最小特權(quán)管理在現(xiàn)有一般多用戶(hù)操作系統(tǒng)（如UNIX、Linux等）的版本中，超級(jí)用戶(hù)具有所有特權(quán)，普通用戶(hù)不具有任何特權(quán)。一個(gè)進(jìn)程要么具有所有特權(quán)(超級(jí)用戶(hù)進(jìn)程)，要么不具有任何特權(quán)(非超級(jí)用戶(hù)進(jìn)程)。這種特權(quán)管理方式便于系統(tǒng)維護(hù)和配置，但不利于系統(tǒng)的安全性。一旦超級(jí)用戶(hù)的口令丟失或超級(jí)用戶(hù)被冒充，將會(huì)對(duì)系統(tǒng)造成極大的損失。另外超級(jí)用戶(hù)的誤操作也是系統(tǒng)極大的潛在安全隱患。因此必須實(shí)行最小特權(quán)管理機(jī)制。最小特權(quán)管理的思想是系統(tǒng)不應(yīng)給用戶(hù)超過(guò)執(zhí)行任務(wù)所需特權(quán)以外的特權(quán)；如將超級(jí)用戶(hù)的特權(quán)劃分為一組細(xì)粒度的特權(quán)，分別授予不同的系統(tǒng)操作員/管理員，使各種系統(tǒng)操作員/管理員只具有完成其任務(wù)所需的特權(quán)，從而減少由于特權(quán)用戶(hù)口令丟失或錯(cuò)誤軟件、惡意軟件、誤操作所引起的損失。8.4.6安全審計(jì)一個(gè)系統(tǒng)的安全審計(jì)就是對(duì)系統(tǒng)中有關(guān)安全的活動(dòng)進(jìn)行記錄、檢查及審核。它的主要目的就是檢測(cè)和阻止非法用戶(hù)對(duì)計(jì)算機(jī)系統(tǒng)的入侵，并顯示合法用戶(hù)的誤操作。審計(jì)作為一種事后追查的手段來(lái)保證系統(tǒng)的安全，它對(duì)涉及系統(tǒng)安全的操作做一個(gè)完整的記錄。審計(jì)為系統(tǒng)進(jìn)行事故原因的查詢(xún)、定位，事故發(fā)生前的預(yù)測(cè)、報(bào)警以及事故發(fā)生之后的實(shí)時(shí)處理提供詳細(xì)、可靠的依據(jù)和支持，以備有違反系統(tǒng)安全規(guī)則的事件發(fā)生后能夠有效地追查事件發(fā)生的地點(diǎn)和過(guò)程以及責(zé)任人。8.6操作系統(tǒng)安全體系結(jié)構(gòu)建立一個(gè)計(jì)算機(jī)系統(tǒng)往往需要滿(mǎn)足許多要求，如安全性要求，性能要求，可擴(kuò)展性要求，容量要求，使用的方便性要求和成本要求等，這些要求往往是有沖突的，為了把它們協(xié)調(diào)地納入到一個(gè)系統(tǒng)中并有效實(shí)現(xiàn)，對(duì)所有的要求都予以最大可能滿(mǎn)足通常是很困難的，有時(shí)也是不可能的。因此系統(tǒng)對(duì)各種要求的滿(mǎn)足程度必須在各種要求之間進(jìn)行全局性地折衷考慮，并通過(guò)恰當(dāng)?shù)膶?shí)現(xiàn)方式表達(dá)出這些考慮，使系統(tǒng)在實(shí)現(xiàn)時(shí)各項(xiàng)要求有輕重之分，這就是體系結(jié)構(gòu)要完成的主要任務(wù)。安全配置方案初級(jí)篇安全配置方案初級(jí)篇主要介紹常規(guī)的操作系統(tǒng)安全配置，包括十二條基本配置原則：物理安全、停止Guest帳號(hào)、限制用戶(hù)數(shù)量創(chuàng)建多個(gè)管理員帳號(hào)、管理員帳號(hào)改名陷阱帳號(hào)、更改默認(rèn)權(quán)限、設(shè)置安全密碼屏幕保護(hù)密碼、使用NTFS分區(qū)運(yùn)行防毒軟件和確保備份盤(pán)安全。1、物理安全服務(wù)器應(yīng)該安放在安裝了監(jiān)視器的隔離房間內(nèi)，并且監(jiān)視器要保留15天以上的攝像記錄。另外，機(jī)箱，鍵盤(pán)，電腦桌抽屜要上鎖，以確保旁人即使進(jìn)入房間也無(wú)法使用電腦，鑰匙要放在安全的地方。2、停止Guest帳號(hào)在計(jì)算機(jī)管理的用戶(hù)里面把Guest帳號(hào)停用，任何時(shí)候都不允許Guest帳號(hào)登陸系統(tǒng)。為了保險(xiǎn)起見(jiàn)，最好給Guest加一個(gè)復(fù)雜的密碼，可以打開(kāi)記事本，在里面輸入一串包含特殊字符,數(shù)字，字母的長(zhǎng)字符串。用它作為Guest帳號(hào)的密碼。修改Guest帳號(hào)的屬性，設(shè)置拒絕遠(yuǎn)程訪(fǎng)問(wèn)。3限制用戶(hù)數(shù)量去掉所有的測(cè)試帳戶(hù)、共享帳號(hào)和普通部門(mén)帳號(hào)等等。用戶(hù)組策略設(shè)置相應(yīng)權(quán)限，并且經(jīng)常檢查系統(tǒng)的帳戶(hù)，刪除已經(jīng)不使用的帳戶(hù)。帳戶(hù)很多是黑客們?nèi)肭窒到y(tǒng)的突破口，系統(tǒng)的帳戶(hù)越多，黑客們得到合法用戶(hù)的權(quán)限可能性一般也就越大。對(duì)于WindowsNT/2000主機(jī)，如果系統(tǒng)帳戶(hù)超過(guò)10個(gè)，一般能找出一兩個(gè)弱口令帳戶(hù)，所以帳戶(hù)數(shù)量不要大于10個(gè)。4多個(gè)管理員帳號(hào)雖然這點(diǎn)看上去和上面有些矛盾，但事實(shí)上是服從上面規(guī)則的。創(chuàng)建一個(gè)一般用戶(hù)權(quán)限帳號(hào)用來(lái)處理電子郵件以及處理一些日常事物，另一個(gè)擁有Administrator權(quán)限的帳戶(hù)只在需要的時(shí)候使用。因?yàn)橹灰卿浵到y(tǒng)以后，密碼就存儲(chǔ)再WinLogon進(jìn)程中，當(dāng)有其他用戶(hù)入侵計(jì)算機(jī)的時(shí)候就可以得到登錄用戶(hù)的密碼，盡量減少Administrator登錄的次數(shù)和時(shí)間。5管理員帳號(hào)改名Windows2000中的Administrator帳號(hào)是不能被停用的，這意味著別人可以一遍又一邊的嘗試這個(gè)帳戶(hù)的密碼。把Administrator帳戶(hù)改名可以有效的防止這一點(diǎn)。不要使用Admin之類(lèi)的名字，改了等于沒(méi)改，盡量把它偽裝成普通用戶(hù)，比如改成：guestone。具體操作的時(shí)候只要選中帳戶(hù)名改名就可以了。6陷阱帳號(hào)所謂的陷阱帳號(hào)是創(chuàng)建一個(gè)名為“Administrator”的本地帳戶(hù)，把它的權(quán)限設(shè)置成最低，什么事也干不了的那種，并且加上一個(gè)超過(guò)10位的超級(jí)復(fù)雜密碼。這樣可以讓那些企圖入侵者忙上一段時(shí)間了，并且可以借此發(fā)現(xiàn)它們的入侵企圖?？梢詫⒃撚脩?hù)隸屬的組修改成Guests組。7更改默認(rèn)權(quán)限共享文件的權(quán)限從“Everyone”組改成“授權(quán)用戶(hù)”?！癊veryone”在Windows2000中意味著任何有權(quán)進(jìn)入你的網(wǎng)絡(luò)的用戶(hù)都能夠獲得這些共享資料。任何時(shí)候不要把共享文件的用戶(hù)設(shè)置成“Everyone”組。包括打印共享，默認(rèn)的屬性就是“Everyone”組的，一定不要忘了改。設(shè)置某文件夾共享默認(rèn)設(shè)置。8安全密碼好的密碼對(duì)于一個(gè)網(wǎng)絡(luò)是非常重要的，但是也是最容易被忽略的。一些網(wǎng)絡(luò)管理員創(chuàng)建帳號(hào)的時(shí)候往往用公司名，計(jì)算機(jī)名，或者一些別的一猜就到的字符做用戶(hù)名，然后又把這些帳戶(hù)的密碼設(shè)置得比較簡(jiǎn)單，比如：“welcome”、“iloveyou”、“l(fā)etmein”或者和用戶(hù)名相同的密碼等。這樣的帳戶(hù)應(yīng)該要求用戶(hù)首此登陸的時(shí)候更改成復(fù)雜的密碼，還要注意經(jīng)常更改密碼。這里給好密碼下了個(gè)定義：安全期內(nèi)無(wú)法破解出來(lái)的密碼就是好密碼，也就是說(shuō)，如果得到了密碼文檔，必須花43天或者更長(zhǎng)的時(shí)間才能破解出來(lái)，密碼策略是42天必須改密碼。9屏幕保護(hù)密碼設(shè)置屏幕保護(hù)密碼是防止內(nèi)部人員破壞服務(wù)器的一個(gè)屏障。注意不要使用一些復(fù)雜的屏幕保護(hù)程序，浪費(fèi)系統(tǒng)資源，黑屏就可以了。還有一點(diǎn)，所有系統(tǒng)用戶(hù)所使用的機(jī)器也最好加上屏幕保護(hù)密碼。將屏幕保護(hù)的選項(xiàng)“密碼保護(hù)”選中就可以了，并將等待時(shí)間設(shè)置為最短時(shí)間“1分鐘”。10NTFS分區(qū)NTFS(NewTechnologyFileSystem)是

WindowsNT

操作環(huán)境和WindowsNT高級(jí)服務(wù)器網(wǎng)絡(luò)操作系統(tǒng)環(huán)境的文件系統(tǒng)。NTFS提供長(zhǎng)文件名、數(shù)據(jù)保護(hù)和恢復(fù)，并通過(guò)目錄和文件許可實(shí)現(xiàn)安全性。NTFS支持大硬盤(pán)和在多個(gè)硬盤(pán)上存儲(chǔ)文件(稱(chēng)為卷)。11防毒軟件Windows2000/NT服務(wù)器一般都沒(méi)有安裝防毒軟件的，一些好的殺毒軟件不僅能殺掉一些著名的病毒，還能查殺大量木馬和后門(mén)程序。設(shè)置了放毒軟件，“黑客”們使用的那些有名的木馬就毫無(wú)用武之地了，并且要經(jīng)常升級(jí)病毒庫(kù)。12備份盤(pán)的安全一旦系統(tǒng)資料被黑客破壞，備份盤(pán)將是恢復(fù)資料的唯一途徑。備份完資料后，把備份盤(pán)防在安全的地方。不能把資料備份在同一臺(tái)服務(wù)器上，這樣的話(huà)還不如不要備份。安全配置方案中級(jí)篇安全配置方案中級(jí)篇主要介紹操作系統(tǒng)的安全策略配置，包括十條基本配置原則：操作系統(tǒng)安全策略、關(guān)閉不必要的服務(wù)關(guān)閉不必要的端口、開(kāi)啟審核策略開(kāi)啟密碼策略、開(kāi)啟帳戶(hù)策略、備份敏感文件不顯示上次登陸名、禁止建立空連接和下載最新的補(bǔ)丁1操作系統(tǒng)安全策略利用Windows2000的安全配置工具來(lái)配置安全策略，微軟提供了一套的基于管理控制臺(tái)的安全配置和分析工具，可以配置服務(wù)器的安全策略。在管理工具中可以找到“本地安全策略”。可以配置四類(lèi)安全策略：帳戶(hù)策略、本地策略、公鑰策略和IP安全策略。在默認(rèn)的情況下，這些策略都是沒(méi)有開(kāi)啟的。2關(guān)閉不必要的服務(wù)Windows2000的TerminalServices（終端服務(wù)）和IIS（Internet信息服務(wù)）等都可能給系統(tǒng)帶來(lái)安全漏洞。為了能夠在遠(yuǎn)程方便的管理服務(wù)器，很多機(jī)器的終端服務(wù)都是開(kāi)著的，如果開(kāi)了，要確認(rèn)已經(jīng)正確的配置了終端服務(wù)。有些惡意的程序也能以服務(wù)方式悄悄的運(yùn)行服務(wù)器上的終端服務(wù)。要留意服務(wù)器上開(kāi)啟的所有服務(wù)并每天檢查。Windows2000作為服務(wù)器可禁用的服務(wù)及其相關(guān)說(shuō)明如表7-1所示。Windows2000可禁用的服務(wù)服務(wù)名說(shuō)明ComputerBrowser維護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的最新列表以及提供這個(gè)列表Taskscheduler允許程序在指定時(shí)間運(yùn)行RoutingandRemoteAccess在局域網(wǎng)以及廣域網(wǎng)環(huán)境中為企業(yè)提供路由服務(wù)Removablestorage管理可移動(dòng)媒體、驅(qū)動(dòng)程序和庫(kù)RemoteRegistryService允許遠(yuǎn)程注冊(cè)表操作PrintSpooler將文件加載到內(nèi)存中以便以后打印。要用打印機(jī)的用戶(hù)不能禁用這項(xiàng)服務(wù)IPSECPolicyAgent管理IP安全策略以及啟動(dòng)ISAKMP/Oakley(IKE)和IP安全驅(qū)動(dòng)程序DistributedLinkTrackingClient當(dāng)文件在網(wǎng)絡(luò)域的NTFS卷中移動(dòng)時(shí)發(fā)送通知Com+EventSystem提供事件的自動(dòng)發(fā)布到訂閱COM組件3關(guān)閉不必要的端口關(guān)閉端口意味著減少功能，如果服務(wù)器安裝在防火墻的后面，被入侵的機(jī)會(huì)就會(huì)少一些，但是不可以認(rèn)為高枕無(wú)憂(yōu)了。用端口掃描器掃描系統(tǒng)所開(kāi)放的端口，在Winnt\system32\drivers\etc\services文件中有知名端口和服務(wù)的對(duì)照表可供參考。該文件用記事本打開(kāi)如圖7-7所示。設(shè)置本機(jī)開(kāi)放的端口和服務(wù)，在IP地址設(shè)置窗口中點(diǎn)擊按鈕“高級(jí)”，如圖7-8所示。在出現(xiàn)的對(duì)話(huà)框中選擇選項(xiàng)卡“選項(xiàng)”，選中“TCP/IP篩選”，點(diǎn)擊按鈕“屬性”，如圖7-9所示。設(shè)置端口界面如圖所示。一臺(tái)Web服務(wù)器只允許TCP的80端口通過(guò)就可以了。TCP/IP篩選器是Windows自帶的防火墻，功能比較強(qiáng)大，可以替代防火墻的部分功能。4開(kāi)啟審核策略安全審核是Windows2000最基本的入侵檢測(cè)方法。當(dāng)有人嘗試對(duì)系統(tǒng)進(jìn)行某種方式（如嘗試用戶(hù)密碼，改變帳戶(hù)策略和未經(jīng)許可的文件訪(fǎng)問(wèn)等等）入侵的時(shí)候，都會(huì)被安全審核記錄下來(lái)。很多的管理員在系統(tǒng)被入侵了幾個(gè)月都不知道，直到系統(tǒng)遭到破壞。表7-2的這些審核是必須開(kāi)啟的，其他的可以根據(jù)需要增加。策略設(shè)置審核系統(tǒng)登陸事件成功，失敗審核帳戶(hù)管理成功，失敗審核登陸事件成功，失敗審核對(duì)象訪(fǎng)問(wèn)成功審核策略更改成功，失敗審核特權(quán)使用成功，失敗審核系統(tǒng)事件成功，失敗審核策略默認(rèn)設(shè)置審核策略在默認(rèn)的情況下都是沒(méi)有開(kāi)啟的，如圖7-11所示。雙擊審核列表的某一項(xiàng)，出現(xiàn)設(shè)置對(duì)話(huà)框，將復(fù)選框“成功”和“失敗”都選中，如圖7-12所示。5開(kāi)啟密碼策略密碼對(duì)系統(tǒng)安全非常重要。本地安全設(shè)置中的密碼策略在默認(rèn)的情況下都沒(méi)有開(kāi)啟。需要開(kāi)啟的密碼策略如表7-3所示策略設(shè)置密碼復(fù)雜性要求啟用密碼長(zhǎng)度最小值6位密碼最長(zhǎng)存留期15天強(qiáng)制密碼歷史5個(gè)設(shè)置選項(xiàng)如圖7-13所示。6開(kāi)啟帳戶(hù)策略開(kāi)啟帳戶(hù)策略可以有效的防止字典式攻擊，設(shè)置如表7-4所示。策略設(shè)置復(fù)位帳戶(hù)鎖定計(jì)數(shù)器30分鐘帳戶(hù)鎖定時(shí)間30分鐘帳戶(hù)鎖定閾值5次設(shè)置帳戶(hù)策略設(shè)置的結(jié)果如圖7-14所示。7備份敏感文件把敏感文件存放在另外的文件服務(wù)器中，雖然服務(wù)器的硬盤(pán)容量都很大，但是還是應(yīng)該考慮把一些重要的用戶(hù)數(shù)據(jù)（文件，數(shù)據(jù)表和項(xiàng)目文件等）存放在另外一個(gè)安全的服務(wù)器中，并且經(jīng)常備份它們8不顯示上次登錄名默認(rèn)情況下，終端服務(wù)接入服務(wù)器時(shí)，登陸對(duì)話(huà)框中會(huì)顯示上次登陸的帳戶(hù)名，本地的登陸對(duì)話(huà)框也是一樣。黑客們可以得到系統(tǒng)的一些用戶(hù)名，進(jìn)而做密碼猜測(cè)。修改注冊(cè)表禁止顯示上次登錄名，在HKEY_LOCAL_MACHINE主鍵下修改子鍵：Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\DontDisplayLastUserName，將鍵值改成1。

9禁止建立空連接默認(rèn)情況下，任何用戶(hù)通過(guò)空連接連上服務(wù)器，進(jìn)而可以枚舉出帳號(hào)，猜測(cè)密碼。可以通過(guò)修改注冊(cè)表來(lái)禁止建立空連接。在HKEY_LOCAL_MACHINE主鍵下修改子鍵：System\CurrentControlSet\Control\LSA\RestrictAnonymous，將鍵值改成“1”即可。如圖7-16所示。10下載最新的補(bǔ)丁很多網(wǎng)絡(luò)管理員沒(méi)有訪(fǎng)問(wèn)安全站點(diǎn)的習(xí)慣，以至于一些漏洞都出了很久了，還放著服務(wù)器的漏洞不補(bǔ)給人家當(dāng)靶子用。誰(shuí)也不敢保證數(shù)百萬(wàn)行以上代碼的Windows2000不出一點(diǎn)安全漏洞。經(jīng)常訪(fǎng)問(wèn)微軟和一些安全站點(diǎn)，下載最新的ServicePack和漏洞補(bǔ)丁，是保障服務(wù)器長(zhǎng)久安全的唯一方法。安全配置方案高級(jí)篇高級(jí)篇介紹操作系統(tǒng)安全信息通信配置，包括十四條配置原則：關(guān)閉DirectDraw、關(guān)閉默認(rèn)共享禁用DumpFile、文件加密系統(tǒng)加密Temp文件夾、鎖住注冊(cè)表、關(guān)機(jī)時(shí)清除文件禁止軟盤(pán)光盤(pán)啟動(dòng)、使用智能卡、使用IPSec禁止判斷主機(jī)類(lèi)型、抵抗DDOS禁止Guest訪(fǎng)問(wèn)日志和數(shù)據(jù)恢復(fù)軟件1關(guān)閉DirectDrawC2級(jí)安全標(biāo)準(zhǔn)對(duì)視頻卡和內(nèi)存有要求。關(guān)閉DirectDraw可能對(duì)一些需要用到DirectX的程序有影響（比如游戲），但是對(duì)于絕大多數(shù)的商業(yè)站點(diǎn)都是沒(méi)有影響的。在HKEY_LOCAL_MACHINE主鍵下修改子鍵：SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI\Timeout，將鍵值改為“0”即可，如圖7-17所示。2關(guān)閉默認(rèn)共享Windows2000安裝以后，系統(tǒng)會(huì)創(chuàng)建一些隱藏的共享，可以在DOS提示符下輸入命令NetShare查看，如圖7-18所示。停止默認(rèn)共享禁止這些共享，打開(kāi)管理工具>計(jì)算機(jī)管理>共享文件夾>共享，在相應(yīng)的共享文件夾上按右鍵，點(diǎn)停止共享即可，如圖7-19所示。3禁用Dump文件在系統(tǒng)崩潰和藍(lán)屏的時(shí)候，Dump文件是一份很有用資料，可以幫助查找問(wèn)題。然而，也能夠給黑客提供一些敏感信息，比如一些應(yīng)用程序的密碼等需要禁止它，打開(kāi)控制面板>系統(tǒng)屬性>高級(jí)>啟動(dòng)和故障恢復(fù)，把寫(xiě)入調(diào)試信息改成無(wú)，如圖7-20所示。4文件加密系統(tǒng)Windows2000強(qiáng)大的加密系統(tǒng)能夠給磁盤(pán)，文件夾，文件加上一層安全保護(hù)。這樣可以防止別人把你的硬盤(pán)掛到別的機(jī)器上以讀出里面的數(shù)據(jù)。微軟公司為了彌補(bǔ)WindowsNT4.0的不足，在Windows2000中，提供了一種基于新一代NTFS：NTFSV5（第5版本）的加密文件系統(tǒng)（EncryptedFileSystem，簡(jiǎn)稱(chēng)EFS）。EFS實(shí)現(xiàn)的是一種基于公共密鑰的數(shù)據(jù)加密方式，利用了Windows2000中的CryptoAPI結(jié)構(gòu)。5加密Temp文件夾一些應(yīng)用程序在安裝和升級(jí)的時(shí)候，會(huì)把一些東西拷貝到Temp文件夾，但是當(dāng)程序升級(jí)完畢或關(guān)閉的時(shí)候，并不會(huì)自己清除Temp文件夾的內(nèi)容。所以，給Temp文件夾加密可以給你的文件多一層保護(hù)。6鎖住注冊(cè)表在Windows2000中，只有Administrators和BackupOperators才有從網(wǎng)絡(luò)上訪(fǎng)問(wèn)注冊(cè)表的權(quán)限。當(dāng)帳號(hào)的密碼泄漏以后，黑客也可以在遠(yuǎn)程訪(fǎng)問(wèn)注冊(cè)表，當(dāng)服務(wù)器放到網(wǎng)絡(luò)上的時(shí)候，一般需要鎖定注冊(cè)表。修改Hkey_current_user下的子鍵Software\microsoft\windows\currentversion\Policies\system

把DisableRegistryTools的值該為0，類(lèi)型為DWORD。7關(guān)機(jī)時(shí)清除文件頁(yè)面文件也就是調(diào)度文件，是Windows2000用來(lái)存儲(chǔ)沒(méi)有裝入內(nèi)存的程序和數(shù)據(jù)文件部分的隱藏文件。一些第三方的程序可以把一些沒(méi)有的加密的密碼存在內(nèi)存中，頁(yè)面文件中可能含有另外一些敏感的資料。要在關(guān)機(jī)的時(shí)候清楚頁(yè)面文件，可以編輯注冊(cè)表修改主鍵HKEY_LOCAL_MACHINE下的子鍵：SYSTEM\CurrentControlSet\Control\SessionManager\MemoryManagement把ClearPageFileAtShutdown的值設(shè)置成1，如圖7-22所示。10使用IPSecIPSec協(xié)議不是一個(gè)單獨(dú)的協(xié)議，它給出了應(yīng)用于IP層上的網(wǎng)絡(luò)數(shù)據(jù)安全，IPSec提供IP數(shù)據(jù)包的安全性。IPSec提供身份驗(yàn)證、完整性和可選擇的機(jī)密性。發(fā)送方計(jì)算機(jī)在傳輸之前加密數(shù)據(jù)，而接收方計(jì)算機(jī)在收到數(shù)據(jù)之后解密數(shù)據(jù)。利用IPSec可以使得系統(tǒng)的安全性能大大增強(qiáng)。11禁止判斷主機(jī)類(lèi)型黑客利用TTL（Time-To-Live，活動(dòng)時(shí)間）值可以鑒別操作系統(tǒng)的類(lèi)型，通過(guò)Ping指令能判斷目標(biāo)主機(jī)類(lèi)型。Ping的用處是檢測(cè)目標(biāo)主機(jī)是否連通。許多入侵者首先會(huì)Ping一下主機(jī)，因?yàn)楣裟骋慌_(tái)計(jì)算機(jī)需要根據(jù)對(duì)方的操作系統(tǒng)，是Windows還是Unix。如過(guò)TTL值為128就可以認(rèn)為你的系統(tǒng)為Windows2000。從圖中可以看出，TTL值為128，說(shuō)明改主機(jī)的操作系統(tǒng)是Windows2000操作系統(tǒng)。表7-6給出了一些常見(jiàn)操作系統(tǒng)的對(duì)照值。操作系統(tǒng)類(lèi)型TTL返回值Windows2000128WindowsNT107win9x128or127solaris252IRIX240AIX247Linux241or240修改TTL的值，入侵者就無(wú)法入侵電腦了。比如將操作系統(tǒng)的TTL值改為111，修改主鍵HKEY_LOCAL_MACHINE的子鍵：SYSTEM\CURRENT_CONTROLSET\SERVICES\TCPIP\PARAMETERS，新建一個(gè)雙字節(jié)項(xiàng)。在鍵的名稱(chēng)中輸入“defaultTTL”，然后雙擊改鍵名，選擇單選框“十進(jìn)制”，在文本框中輸入111。設(shè)置完畢重新啟動(dòng)計(jì)算機(jī)，再用Ping指令，發(fā)現(xiàn)TTL的值已經(jīng)被改成111了。12抵抗DDOS添加注冊(cè)表的一些鍵值，可以有效的抵抗DDOS的攻擊。在鍵值[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters]下增加響應(yīng)的鍵及其說(shuō)明增加的鍵值鍵值說(shuō)明"EnablePMTUDiscovery"=dword:00000000"NoNameReleaseOnDemand"=dword:00000000"KeepAliveTime"=dword:00000000"PerformRouterDiscovery"=dword:00000000基本設(shè)置"EnableICMPRedirects"=dword:00000000防止ICMP重定向報(bào)文的攻擊"SynAttackProtect"=dword:00000002防止SYN洪水攻擊"TcpMaxHalfOpenRetried"=dword:00000080僅在TcpMaxHalfOpen和TcpMaxHalfOpenRetried設(shè)置超出范圍時(shí),保護(hù)機(jī)制才會(huì)采取措施"TcpMaxHalfOpen"=dword:00000100"IGMPLevel"=dword:00000000不支持IGMP協(xié)議"EnableDeadGWDetect"=dword:00000000禁止死網(wǎng)關(guān)監(jiān)測(cè)技術(shù)"IPEnableRouter"=dword:00000001支持路由功能13禁止Gues