NCSE-4强化WINDOWS安全（）.pptVIP

强化WINDOWS安全 ＮＣＳＥ考试辅导教材第4章 教学内容： 操作系统安全基础 Windows 2000安全结构 Windows 2000文件系统安全 Windows 2000账号安全 GPO的编辑 AD(Active Directory)安全性考察 Windows 2000缺省值的安全性 评估Windows 2000主机安全 一、操作系统安全基础 操作系统安全是系统安全的基础 操作系统安全级别的划分 1、操作系统安全是系统安全的基础 上层软件要获得运行的可靠性和信息的完整性、保密性，必须依赖于操作系统提供的系统软件基础。 在网络环境中，网络安全依赖于网络中各主机的安全性，而主机系统的安全性正式由其操作系统的安全性决定的。 2、操作系统安全级别的划分 3、常见操作系统安全级别 二、Windows 2000安全结构 Windows 2000 安全概述 安全的组成部分 Windows 2K安全机制 1、Windows 2000 安全概述 Windows 2k的安全结构 Windows 2k安全组件 Windows 2k对象 Windows 2K中有下列主要的对象类别 Windows 2k的安全结构 Windows 2k系统内置有用户验证、访问控制、管理和审计（四大安全要素），另外还有加密和安全策略。 Windows 2k安全组件 灵活的访问控制 允许对象的属主能够完全控制，谁可以访问这个对象以及什么样的访问权限。 对象再利用 Windows 2k明确地阻止所有应用程序不可以访问被另一应用程序所占用资源内的信息（比如内存和磁盘）。 强制登录 与Windows 2k在用户能访问任何资源前必须通过登录来验证他们的身份。 审计 Windows 2k采用单独的机制来控制对任何资源的访问，所以这种机制可以集中地记录下所有的访问活动。 控制对象的访问 Windows 2k不允许直接访问系统里的资源，这种不许直接访问是访问控制的关键。在允许访问之前，用户或应用程序的权限首先被验证。 Windows 2k对象 为实现其安全特色，Windows 2K把所有的资源都处理成特殊的对象。（包括资源本身、机制和需要访问的程序）把所有封装成对象并建立单独的机制来使用它们，微软创建单独的方法来对那些对象实行访问控制。基于这种方法，Windows 2K被称为基于对象的操作系统。 Windows 2K中有下列主要的对象类别 文件 目录 打印机 输入输出设备 窗口 线程 进程 内存 2、安全的组成部分 安全标识符 访问令牌 安全描述符 访问控制列表 访问控制条目 安全标识符（SID） 安全标识符是统计上分配给所有用户、组和计算机的惟一数组。统计上的惟一指的是两个数组发生重复的可能性极为罕见。每当一个新用户或组被建立时，就会收到一个新的SID。每台Windows 2K系统安装完毕后，也会有一个新的SID分配给这台计算机。SID标示了用户、组和计算机和惟一性。SID是Windows 2K安全结构的基础。 访问令牌 访问令牌是登录过程的主要目的之一。访问令牌是由用户的SID、用户所属的组的SID、用户名和用户所属的组的名称构成的。无论何时用户企图访问，用户必须向Windows 2K出示访问令牌。由于访问令牌只在登录过程中才会被发布，因此如果权限改动，那么只有重新登录后才会生效。 安全描述符 Windows 2K内置的每个对象都有一个安全描述符作为它们属性的一部分。安全描述符持有对象属主的SID、组SID、灵活的访问控制列表和计算机访问控制列表。 访问控制列表（ACL） 两种不同的访问控制列表是灵活的访问控制列表和系统的访问控制列表。灵活的访问控制列表中记录了用户和组，以及它们的权限，允许还是拒绝，其列出每个用户和组的特定权限。系统访问控制列表包含对象审计的事件。当没有特殊制定ALC类型时，通常是灵活的ACL。 访问控制条目（ACE） 每个ACE包含用户或组的SID及对象所持有的权限。对象分配的每个权限都有一个ACE。ACE有两种类型，允许访问或拒绝访问。在ACL里，拒绝访问ACE优于允许访问ACE。 3、Windows 2K安全机制 账号安全 文件系统安全NTFS Kerberos v5认证 NTLM认证 Active Directory 账号安全 计算机账户 每个加入域的Windows 2K计算机都具有计算机账户，否则无法进行连接，实现域资源的访问。与用户账户类似，计算机账户也提供验证和审核计算机登录到网络及访问资源的方法。不过，一个计算机系统要加入到域中，只能使用一个计算机账户，而一个用户可以使用多个用户账户，并且可以在不同的计算机上使用自己的用户进行登录。 活动目录用户账户 用户账户用来记录用户的用户名和口令、隶属