第04章.操作系统安全.ppt

4.5 Windows系统安全 4.5.1 Windows系统安全模型 Kerberos认证 4.5 Windows系统安全 4.5.1 Windows系统安全模型 （2）Windows访问控制机制。 Windows NT/XP的安全性达到了橘皮书C2级，实现了用户级自主访问控制。其访问控制机制如图4-19所示。 4.5 Windows系统安全 4.5.1 Windows系统安全模型 （3）Windows审计/日志机制 日志文件是Windows系统中一个比较特殊的文件，它记录Windows系统运行状况，如各种系统服务的启动、运行和关闭等信息。 Windows日志有3种类型：系统日志、应用程序日志和安全日志，它们对应的文件名为SysEvent.evt、AppEvent.evt和SecEvent.evt。这些日志文件通常存放在操作系统安装的区域“system32\config”目录下，可以通过打开“控制面板”→“管理工具”→“事件查看器”来浏览其中内容。 4.5 Windows系统安全 4.5.1 Windows系统安全模型 （4）Windows协议过滤和防火墙 针对来自网络上的威胁，Windows NT 4.0、Windows 2000则提供了包过滤机制，通过过滤机制可以限制网络包进入到用户计算机。而WindowsXP则自带了防火墙，该防火墙能够监控和限制用户计算机的网络通信。 4.5 Windows系统安全 4.5.1 Windows系统安全模型 （5）Windows文件加密系统 为了防范入侵者通过物理途径读取磁盘信息，绕过Windows系统文件访问控制机制。微软公司研究开发了加密的文件系统EFS (Encrypting File System)，利用EFS，文件中的数据在磁盘上是加密的。用户如果访问加密的文件，则必须拥有这个文件的密钥，他才能够打开这个文件，并且像普通文档一样透明地使用它。 4.5 Windows系统安全 4.5.1 Windows系统安全模型 EPS 4.5 Windows系统安全 4.5.2 Windows用户帐户 1、用户账户 在Windows中，访问控制依赖于系统能够惟一识别出每个用户。用户账户(User Account)提供了这种惟一性。 2、组 除用户帐户外，Windows还提供组帐户。可使用组帐户对同类用户授予权限以简化帐户管理。如果用户是可访问某个资源的一个组中的成员，则该特定用户也可访问这一资源。因此，若要使某个用户能访问各种工作相关的资源，只需将该用户加入正确的组。 4.5 Windows系统安全 4.5.2 Windows用户帐户 3、本地账户和域账户 本地账户，即存储在计算机SAM中的用户账户和安全组。独立的计算机和工作组中的计算机都只使用本地账户。工作组中的每台计算机只维护含有该台计算机本地账户的自己SAM。本地账户只允许用户登录到存储其账户的计算机，并且只允许访问该计算机上的资源。 4.5 Windows系统安全 4.5.3 登录验证 1、验证机制 Windows 安全系统包括了三种不同的身份验证协议来进行加密： （1）NTLM(与Windows NT 4.0系统兼容) （2）Kerberos V5 （3）PKI 4.5 Windows系统安全 4.5.3 登录验证 2、登录及身份验证过程 成功的登录过程要经过以下4个步骤： 1）Windows的Winlogon过程给出一个对话框，要求回答一个用户名和口令。 2）Winlogon将用户名和口令传递给LSA(Local Security Authority，本地安全授权)，LSA决定该登录应该在本地计算机还是网络上进行身份验证。这实际上依赖于用户在“登录到”窗口所作的选择。 4.5 Windows系统安全 4.5.3 登录验证 3）如果是本地登录，LSA会查询SAM数据库，以确定用户名和口令是否属于授权的系统用户。如果用户名和密码合法，SAM把该用户的SID以及所属的所有组的SID返回给LSA。LSA使用这些信息创建一个访问令牌(Access Token)，每当用户请求访问一个受保护资源时，LSA就会将访问令牌出示以代表用户的“标记”。 4.5 Windows系统安全 4.5.3 登录验证 4）Winlogon启动系统，该用户的访问令牌就成了用户进程在Windows系统中的通行证。用户无论做什么事情，Windows中负责安全的进程都会检查其存取标识，以确定其操作是否合法。用户成功地登录之后，只要用户没有注销自己，其在系统中的权力就以SID为准，Windows安全系统在此期间不再检查安全账户数据库SAM。这主要是考虑到效率。 4.5 Windows系统安全 4.5.4 Windows安全策略 Windows XP的安全