第4章操作系统安全讲述.ppt

* 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.2 Windows系统安全机制 5. Windows协议过滤和防火墙 针对来自网络上的威胁，Windows NT 4.0、Windows 2000则提供了包过滤机制，通过过滤机制可以限制网络包进入到用户计算机。 Windows XP Sp2以后的版本则自带了防火墙，该防火墙能够监控和限制用户计算机的网络通信。 有关防火墙的原理与技术本书将在5.3节中介绍。 * 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.3 Windows安全子系统的结构 * 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.4 Windows安全子系统的组件 （1）安全标识符SID(Security Identifiers) SID是一个48位的字符串，在Windows Vista中，要想查看当前登录账户的SID，可以使用管理员身份启动命令提示行窗口，然后运行“whoami /user”命令 * 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.4 Windows安全子系统的组件 （2）访问令牌(Access Tokens) 安全引用监视器SRM使用一个称为访问令牌的对象来标识一个进程或线程的安全环境。 访问令牌可以看做是一张电子通行证，里面记录了用于访问对象以及执行程序，甚至修改系统设置所需的安全验证信息。 * 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.4 Windows安全子系统的组件 （2）访问令牌(Access Tokens) 在一个令牌中，决定该令牌的线程或进程可以做哪些事情的第二部分信息是权限集。一个令牌的权限集是一组与该令牌关联的权限的列表。 在进程管理器Process Explorer中，通过进程属性对话框的安全属性页面，可以间接地查看令牌的内容，如图4-25该对话框显示了当前进程的令牌中包括的组和权限。 * 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.4 Windows安全子系统的组件 （3）安全描述符(Security Descriptors) 令牌标识了一个用户的凭证，而安全描述符与一个对象关联在一起，规定了谁可以在这个对象上执行哪些操作。 安全描述符的主要组件是访问控制表，访问控制表为该对象确定了各个用户和用户组的访问权限。 当一个进程试图访问该对象时，该进程的SID与该对象的访问控制表相匹配，来确定本次访问是否被允许。 * 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.4 Windows安全子系统的组件 （4）访问控制表ACL(Access Control Lists) ACL是Windows访问控制机制的核心。 每个表由整个表的表头和许多访问控制(ACE)项组成。每一项定义一个个人SID或组SID，访问掩码定义了该SID被授予的权限。 * 计算机系统安全原理与技术(第3版) * 4.7 Windows系统安全4.7.4 Windows安全子系统的组件 （5）访问控制项ACE(Access Control Entries) 访问控制项包含了用户或组的SID以及对象的权限。 SID用来标识允许、禁止或审计访问的用户或组。 访问控制项有两种：允许访问和拒绝访问。拒绝访问的级别高于允许访问。 * * 计算机系统安全原理与技术(第3版) * 4.5 访问控制4.5.1 访问控制基本概念 两个问题构成了访问控制的基础： 1）对于给定主体，它能访问哪些客体以及如何访问？ 2）对于给定客体，哪些主体能访问它以及如何访问？ 对于第1个问题，使用能力表回答最为简单，只需要列出与主体相关联的cap表中的元素即可。对于第2个问题，使用访问控制表ACL回答最为简单，只需列出与客体相关联的acl表中的元素即可。 人们可能更关注第2个问题，因此，现今大多数主流的操作系统都把ACL作为主要的访问控制机制。这种机制也可以扩展到分布式系统，ACL由文件服务器维护。 * 计算机系统安全原理与技术(第3版) * 4.5 访问控制4.5.2 自主访问控制 由客体的属主对自己的客体进行管理，由属主自己决定是否将自己客体的访问权或部分访问权授予其他主体，这种控制方式是自主的，我们把它称为自主访问控制(DAC，Discretionary Access Control)。 在自主访问控制下，一个用户可以自主选择哪些用户可以共享他的文件。 访问控制表ACL、能力表是实现DAC策略的基本数据结构 在DAC模式下，有3种控制许可权手段：层次型、属主型和