网络操作系统安全.pptVIP

四种基本的域模型 单域模型：网络中只有一个域，就是主域，域中有一个主域控制器和一个或多个备份域控制器。该模型适合于用户较少的网络中。 主域模型：网络中至少有两个域，但只在其中一个域(主域)中创建所有用户并存储这些用户信息。其他域则称为资源域，负责维护文件目录和打印机资源，但不需要维护用户账户。资源域都信任主域，使用主域中定义的用户和全局组。该模型适合于用户不太多，但又必须将资源分组的情况。 多主域模型：网络中有多个主域和多个资源域，其中主域作为账户域，所有的用户账户和组都在主域之上创建。各主域都相互信任，其他的资源域都信任主域，但各资源域之间不相互信任。该模型便于大网络的统一管理，具有较好的伸缩性。因此，该模型适合于用户数很多且有一个专门管理机构的网络中。 完全信任域模型：网络中有多个主域，且这些域都相互信任。所有域在控制上都是平等的，每个域都执行自己的管理。该模型适合于各部门管理自己的网络情况。 虽然Windows系统采用了较强的安全性规则，但该系统还是存在许多安全漏洞。如SAM数据库漏洞，SMB协议漏洞，Registry数据库权限漏洞，权限设置漏洞，打印机漏洞，建立域别名漏洞等。 Windows系统的安全性机制 Windows的安全机制主要有帐号规则、权限规则、审计规则和域管理机制。 帐号规则 帐号规则是对用户帐号和口令进行安全管理--入网访问控制。用户帐号还包括对用户入网时间限制、入网站点限制、帐号锁定、用户对特定文件/目录的访问权限限制和用户使用的网络环境的限制等内容。 权限规则 Windows系统采用两类访问权限：用户访问权限和资源访问权限。用户访问权限有四种：完全控制、更改、读写和拒绝访问，完全控制权限最大。 NTFS允许用两种访问权限来控制用户对特定目录和文件的访问：一种是标准权限(基本安全性措施)；另一种是特殊权限(特殊安全性措施)。 审核规则 审核规则是系统对用户操作行为的跟踪，管理员可根据审核结果来控制用户的操作。Windows系统可对如下事件进行审核：登录和注销、文件和对象的访问、用户权限的使用、用户和组的管理、安全性策略的改变、启动与关闭系统的安全性和进程的跟踪等。跟踪审核结果存放在安全日志文件中。 域管理机制 域是Windows系统目录服务和安全管理的基本单元，域内工作由主域控制器控制。用户每次登录整个域而非某一服务器。域所使用的安全机制信息或用户帐号信息都存放在目录数据库中--安全帐号管理数据库。目录数据库存放在服务器中并复制到备份服务器中。在每次用户登录时，都要通过目录数据库检查用户帐号信息。 （2）Windows账号和密码安全 默认账号：Administrator --root Administrator是系统管理员账号、具有最高权限。在域中和计算机中具有不受限制的权利，可以管理本地或域中的任何计算机。从不被锁定，不能删除，可重命名。 Guest：默认被禁用，不能删除，可重命名 其他账号： 如用户帐号，特定服务，应用程序 由administrator创建 一般可被禁用或删除 如果要用IIS建设站点，由以下两个帐号不能停用： IUSER_computernae IIS匿名访问帐号 IWAM_computername IIS匿名执行脚本的账号 这两个账号默认有密码，是由系统分配的，用户不要更改其密码，更不要删除，否则IIS不能匿名访问和执行脚本。 组 所谓组，是一组相关账号的集合。可以按照不同用户的操作需求和资源访问需求来创建不同的组，实现对用户的统一配置和管理。使用组的目的：简化对网络的管理，通过组可以一次性地为一批用户授权，减少要直接管理的对象数量，从而简化了网络的维护与管理。 常用内置组： Administrator管理员组，默认情况下，组中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。 Power users，高级用户组。该组内的用户具备比Users组更多的权利，可是比Administrators组拥有的权利更少一些，例如，可以：创建、删除、更改本地用户帐户；创建、删除、管理本地计算机内的共享文件夹与共享打印机；自定义系统设置，例如更改计算机时间、关闭计算机等。可是不可以更改Administrators 与Backup Operators、无法夺取文件的所有权、无法备份与还原文件、无法安装与删除设备驱动程序、无法管理安全与审核日记。 Remote Desktop Users组：该组的成员可以经由过程远程计算机登录，例如，利用终端服务器从远程计算机登录。 Guest来宾组：跟普通Users的成员有同等访问权