安全生产-操作系统安全概述.ppt

第八章 操作系统安全 8.1 Linux系统 8.2 Unix/Linux系统安全 8.3 Windows系统 8.4 Windows安全机制 8.5 Windows系统安全配置 操作系统概述 目前服务器常用的操作系统： Unix Linux Windows NT/2000/2003 Server。 这些操作系统都是符合C2级安全级别的操作系统。 都存在很多漏洞，如果对这些漏洞不了解，不采取相应的措施，就会使操作系统完全暴露给入侵者。 8.2 Unix/Linux系统安全 Unix/Linux安全配置 合理设置系统的安全级别 合理设置用户权限 指定主控台及终端登录的限制 合理配置/etc/inetd.conf文件 合理设置/etc/ftpusers文件 合理设置网段及路由 不设置UUCP 删除不用的软件包及协议 正确配置.profile文件 创建匿名ftp 应用用户同维护用户分开 8.3 Windows系统 1) 高效直观的面向对象的图形用户界面，易学易用。 2) 多任务。 3) 用户界面统一、友好、漂亮。 4) 丰富的与设备无关的图形操作。 8.4 Windows安全机制 1. 活动目录服务 2. 认证服务 3. 加密文件系统 4.安全模版 5. 安全账号管理器 Windows平台上的共享资源 在Windows平台上，共享资源是受攻击的入侵点 文件资源的共享 打印服务的共享 IPC$也是一个共享资源 在网络环境下，又离不开共享功能 对策 使用隐藏共享 设置好权限控制 Windows 9x/ME 它本身就不是一个安全的操作系统 主要的危险 直接连接到共享资源上 远程访问注册表 安装后门服务程序 利用现有服务程序的漏洞 拒绝服务 本地系统的不安性 重新启动 口令的不安全 Windows NT Windows NT是一个安全操作系统 虽然已经发现了大量的漏洞 但是总算补丁来得很及时 两个显著的安全性特点 操作系统本身并不提供远程运行代码的能力 对于控制台的交互登录权力仅限于少数帐号 安全现状 对于Windows NT的大量攻击都是通过应用服务器进行的(比如IIS Web Server)。 尽快升级到Windows 2000 Windows NT的Administrator 这是攻击者最期望得到的权限 手段 远程密码猜测 找到一个共享点，使用net use命令行 Nat工具 从NT的认证协议(LanMan、NTLM)着手 防护 禁止NIC的NetBIOS功能 帐户的管理策略：设定lockout功能、强制使用强口令 失败类型的审计总是需要的 SAM数据库 SAM: Security Accounts Manager, 包含有本地系统或者所控制域上所有用户的用户名和密文形式的密码 这是攻击者最感兴趣的部位 获取sam数据库，然后进行破解 在系统运行期间，sam数据库是上锁的 获取sam的手段 从另一个文件系统进行拷贝 从关键文件的备份中获取压缩之后的sam文件 在线提取密码散列值 从网络上进行监听 破解工具 无论是字典破解，还是穷举攻击，往往很奏效 两种手段结合起来使用 使用syskey保护 Windows2000的危险服务 剪贴簿查看器 Messenger （Net send） Remote Registry Service Server (支持此计算机通过网络的文件、打印、和命名管道共享) Terminal Services (允许多位用户连接并控制一台机器，并且在远程计算机上显示桌面和应用程序。这是远程桌面(包括管理员的远程桌面)、快速用户转换、远程协助和终端服务器的基础结构。) 针对Windows 2000的入侵过程(一) 1. 探测 选择攻击对象，了解部分简单的对象信息。 针对具体的攻击目标，随便选择一组IP地址，进行测试，选择处于活动状态的主机； 针对探测的安全建议 对于网络：安装防火墙，禁止这种探测行为 对于主机：安装个人防火墙软件，禁止外部主机的ping包，使对方无法获知主机当前正确的活动状态 针对Windows 2000的入侵过程(二) 2. 扫描 使用的扫描软件 这里选择的扫描软件是SSS（Shadow Security Scanner），SSS是俄罗斯的一套非常专业的安全漏洞扫描软件，能够扫描目标服务器上的各种漏洞，包括很多漏洞扫描、端口扫描、操作系统检测、账号扫描等等，而且漏洞数据可以随时更新。 扫描远程主机 开放端口扫描 操作系统识别 SSS本身就提供了强大的操作系统识别能力，也可以使用其他工具进行主机操作系统检测。 主机漏洞分析 扫描结果：端口扫描 可以看出几个比较知名的端口均处于打开状态，如139、80等 尝试使用Unicode漏洞攻击，无效。可能主机已经使用了SP进行补丁或未开放远程