网络操作系统安全.docx

1、高 等 学 校 计 算 机 科 学 与 技 术 教 材网 络 操 作 系 统 安 全杨 富 国 主 编叶 传 标 任 吉 治周 惠 民 乔 正 洪 编清 华 大 学 出 版 社 北 京 交 通 大 学 出 版 社北 京 内 容 简 介本 书 从 安 全 角 度 出 发 , 理 论 联 系 实 际 , 重 点 介 绍 Window s 类 和 U NIX 类 网 络 操 作 系 统 的 安 全 设 置 和 管 理 技 巧 , 可 操 作 性 和 实 用 性 很 强 。 通 过 本 书 的 学 习 , 不 仅 可 以 深 刻 理 解 网 络 操 作 系 统 的 安 全 机 制 , 而 且 可 以

2、掌 握 常 用 网 络 操 作 系 统 的 安 全 配 置 方 法 和 安 全 管 理 技 巧 。本 书 以 网 络 安 全 管 理 人 员 为 主 要 读 者 对 象 , 同 时 兼 顾 广 大 计 算 机 网 络 爱 好 者 的 需 求 , 是 一 本 进 行 网 络 操 作 系 统 安 全 设 置 和 管 理 的 实 用 教 材 和 必 备 参 考 书 。版 权 所 有 , 翻 印 必 究 。 举 报 电 话 : 010 62782989 13501256678 13801310933本 书 封 面 贴 有 清 华 大 学 出 版 社 防 伪 标 签 , 无 标 签 者 不 得 销 售

3、。本 书 防 伪 标 签 采 用 特 殊 防 伪 技 术 , 用 户 可 通 过 在 图 案 表 面 涂 抹 清 水 , 图 案 消 失 , 水 干 后 图 案 复 现 ; 或 将 表面 膜 揭 下 , 放 在 白 纸 上 用 彩 笔 涂 抹 , 图 案 在 白 纸 上 再 现 的 方 法 识 别 真 伪 。图 书 在 版 编 目 ( CIP ) 数 据网 络 操 作 系 统 安 全 / 杨 富 国 主 编 . 北 京 : 清 华 大 学 出 版 社 ; 北 京 交 通 大 学 出 版 社 , 2005. 10( 高 等 学 校 计 算 机 科 学 与 技 术 教 材 )ISBN 7 8108

4、2 614 X . 网 . 杨 . 计 算 机 网 络 操 作 系 统 ( 软 件 ) 安 全 技 术 高 等 学 校 教 材 . T P316. 8中 国 版 本 图 书 馆 CIP 数 据 核 字 ( 2005 ) 第 100923 号责 任 编 辑 : 张 利 军出 版 者 : 清 华 大 学 出 版 社 邮 编 : 100084 电 话 : 010 62776969 h tt p : / / w ww. t up. com. cn北 京 交 通 大 学 出 版 社 邮 编 : 100044 电 话 : 010 51686414 h tt p : / / pres s. bjt u. e

5、du. c n印 刷 者 : 北 京 鑫 海 金 澳 胶 印 有 限 公 司 发 行 者 : 新 华 书 店 总 店 北 京 发 行 所开 本 : 185260 印 张 : 23 字 数 : 590 千 字版 次 : 2005 年 10 月 第 1 版 2005 年 10 月 第 1 次 印 刷书 号 : ISBN 7 81082 614 X/ T P230印 数 : 1 4 000 册 定 价 : 30. 00 元本 书 如 有 质 量 问 题 , 请 向 北 京 交 通 大 学 出 版 社 质 监 组 反 映 。 对 您 的 意 见 和 批 评 , 我 们 表 示 欢 迎 和 感 谢 。

6、投 诉 电话 : 010 51686043 , 51686008 ; 传 真 : 010 62225406 ; E m. ail : pr es s ce nter. bjtu. edu. cn。编 委 会主 编 : 杨 富 国副 主 编 : 吕 志 军 蔡 圣 闻编 委 : ( 按 姓 氏 笔 画 排 序 )丁 剑 于 广 海 王 沂 王 付 海 尹 晓 东 叶 传 标 乔 正 洪 任 吉 治 邢 霞 陈 兰 生 严 利 珍 李 巍 李 德 水 宋 征 郑 憬 邹 良 群 周 惠 民 蒋 玲前 言操 作 系 统 是 计 算 机 资 源 的 直 接 管 理 者 , 是 计 算 机 软 件 的

7、基 础 和 核 心 , 一 切 应 用 软 件 都 是 建 立 在 操 作 系 统 之 上 的 , 如 果 没 有 操 作 系 统 的 安 全 , 就 谈 不 上 主 机 和 网 络 系 统 的 安 全 , 更 谈 不 上 其 他 应 用 软 件 的 安 全 。 因 此 , 操 作 系 统 的 安 全 是 整 个 计 算 机 系 统 安 全 的 基 础 。与 过 去 相 比 , 如 今 的 操 作 系 统 性 能 更 先 进 、 功 能 更 丰 富 , 但 同 时 也 增 加 了 安 全 漏 洞 。 要 想 减 少 操 作 系 统 的 安 全 漏 洞 , 需 要 对 操 作 系 统 予 以 合

8、 理 配 置 、 管 理 和 监 控 。 通 常 的 安 全 入 侵 事 件 , 多 数 都 归 因 于 操 作 系 统 没 有 合 理 配 置 , 或 者 没 有 经 常 核 查 及 监 控 。 操 作 系 统 都 是 以 默 认 安 全 设 置 来 配 置 的 , 因 而 , 极 容 易 受 到 攻 击 。本 书 从 安 全 角 度 出 发 , 以 理 论 为 指 导 , 重 点 介 绍 网 络 操 作 系 统 的 安 全 设 置 。 通 过 阅 读 本 书 , 不 仅 可 以 深 刻 理 解 目 前 最 为 流 行 的 Window s 类 和 UN IX 类 网 络 操 作 系 统 的

9、 安 全 机 制 , 而 且 可 以 掌 握 常 用 网 络 操 作 系 统 的 安 全 配 置 方 法 和 安 全 管 理 技 巧 。本 书 注 重 所 述 内 容 的 可 操 作 性 和 实 用 性 , 以 网 络 安 全 管 理 人 员 为 主 要 读 者 群 体 , 同 时 兼 顾 广 大 计 算 机 网 络 爱 好 者 的 需 求 , 是 一 本 进 行 网 络 操 作 系 统 安 全 管 理 的 实 用 教 材 和 必 备 的 重 要 参 考 书 。本 书 的 组 织 结 构本 书 把 目 前 最 为 流 行 的 网 络 操 作 系 统 分 为 两 个 部 分 , 上 篇 第 1

10、8 章 介 绍 Window s 类 操 作 系 统 安 全 ; 下 篇 第 9 14 章 介 绍 U NIX 类 操 作 系 统 安 全 。 读 者 可 以 根 据 自 己 的 需 要 , 选 择 阅 读 相 关 的 章 节 。第 1 章 主 要 概 述 Windo w s 系 统 安 全 要 素 。 从 系 统 安 全 模 型 的 构 成 到 安 全 账 号 的 管 理 , 从 文 件 系 统 的 使 用 到 服 务 的 控 制 管 理 , 同 时 还 探 讨 注 册 表 、 进 程 及 驱 动 程 序 对 系 统 安 全 性 的 影 响 。第 2 章 介 绍 账 户 安 全 管 理 。

11、分 别 介 绍 系 统 管 理 员 口 令 设 置 和 账 户 安 全 管 理 、 用 户 账 户 的 管 理 、 用 户 组 的 管 理 、 账 户 策 略 及 密 码 的 安 全 , 同 时 还 介 绍 用 户 权 限 的 安 全 和 对 域 控 制 器 的 管 理 。第 3 章 讨 论 对 系 统 资 源 的 安 全 保 护 。 主 要 包 括 对 文 件 系 统 和 共 享 资 源 的 安 全 设 置 ; 应 用 程 序 和 用 户 主 目 录 的 安 全 管 理 ; 注 册 表 的 安 全 管 理 ; 审 核 策 略 和 系 统 策 略 文 件 ; 用 户 磁 盘 空 间 的 限 制

12、 和 数 据 备 份 。第 4 章 介 绍 IIS 的 安 全 性 管 理 。 主 要 内 容 包 括 : IIS 的 安 全 机 制 与 安 全 设 置 , 服 务 器 安全 整 体 解 决 方 案 及 相 关 的 安 全 措 施 , 如 内 容 分 级 设 置 、 安 全 与 权 限 设 置 、 安 全 认 证 及 I P 地 址 及 域 名 限 制 等 。第 5 章 主 要 介 绍 证 书 服 务 与 SSL 安 全 协 议 。 本 章 首 先 介 绍 安 装 配 置 证 书 服 务 和 实 现 SSL 证 书 颁 发 , 然 后 介 绍 建 立 SSL 安 全 站 点 和 如 何 实

13、现 We b 和 Inte rnet 安 全 , 最 后 给 出 SSL 的 安 全 漏 洞 及 其 解 决 方 案 。第 6 章 讲 述 Wi ndow s 系 统 的 安 全 漏 洞 与 防 范 措 施 。 分 别 讨 论 Wi ndow s N T 漏 洞 与 防 范 、 Window s 2000 系 统 的 安 全 漏 洞 与 防 范 及 Window s XP 漏 洞 与 防 范 。第 7 章 介 绍 Windo w s 系 统 安 全 管 理 技 巧 。 内 容 包 括 : 用 控 制 台 配 置 安 全 系 统 和 优 化 网络 配 置 TC P/ IP 安 全 策 略 。第

14、8 章 介 绍 常 用 的 安 全 工 具 , 如 扫 描 工 具 、 网 络 数 据 流 检 测 工 具 和 加 密 工 具 等 。第 9 章 讨 论 U N IX 类 操 作 系 统 的 安 全 体 系 结 构 。 内 容 包 括 物 理 的 安 全 性 、 系 统 的 安 全性 、 用 户 的 安 全 性 、 应 用 程 序 的 安 全 性 、 数 据 库 的 安 全 性 和 安 全 管 理 原 则 及 实 现 。第 10 章 主 要 介 绍 U NIX 类 操 作 系 统 下 的 用 户 安 全 策 略 , 内 容 包 括 保 护 用 户 口 令 策 略 、root 账 户 的 安 全

15、 策 略 、 用 户 访 问 控 制 策 略 和 用 户 组 的 管 理 策 略 。第 11 章 重 点 讨 论 U NIX 类 操 作 系 统 下 文 件 系 统 安 全 。 从 分 区 的 安 全 策 略 到 文 件 系 统 的安 全 加 载 、 从 文 件 的 完 整 性 检 查 到 文 件 系 统 的 数 据 备 份 都 做 了 全 面 细 致 的 分 析 。第 12 章 是 We b 服 务 器 安 全 , 内 容 有 W eb 服 务 器 的 安 全 隐 患 及 策 略 、 A pach e W eb 服 务 的 安 全 配 置 及 安 全 We b 协 议 SSL 的 介 绍 。

16、第 13 章 讲 述 安 全 服 务 认 证 和 网 络 加 密 协 议 。 主 要 内 容 是 U UC P 系 统 及 安 全 、Ke rberos、 Teln et 及 SS H 安 全 。第 14 章 介 绍 U NIX 系 统 安 全 管 理 技 巧 。 内 容 有 系 统 安 全 设 置 技 巧 、 日 志 和 审 计 工 具 的使 用 , 同 时 对 U N IX 类 操 作 系 统 常 见 安 全 问 题 ( F AQ ) 给 予 了 解 答 。本 书 的 读 者 对 象本 书 适 合 以 下 读 者 对 象 : 信 息 安 全 专 业 本 科 高 年 级 学 生 ; 计 算

17、机 、 通 信 及 相 关 专 业 的 本 科 生 和 硕 士 生 ;网 站 设 计 开 发 和 维 护 的 程 序 员 、 分 析 员 和 项 目 管 理 人 员 ; 需 要 建 立 、 实 现 和 管 理 因 特 网 和 企 业 内 部 网 的 网 络 管 理 人 员 ; 关 注 网 络 操 作 系 统 安 全 的 技 术 人 员 ; 关 注 网 络 安 全 的 非 专 业 人 员 和 网 络 爱 好 者 。编 者2005 年 10 月目 录上 篇 W i n d o w s 类 操 作 系 统 安 全第 1 章 Win dows 系 统 安 全 要 素 ( 3)1. 1 W indo w

18、s 系 统 安 全 模 型 ( 3)1. 1. 1 Windows 系 统 安 全 模 型 构 成 ( 3)1. 1. 2 登 录 流 程 ( 3)1. 1. 3 本 地 安 全 权 威 ( 4)1. 1. 4 安 全 账 号 管 理 器 ( 4)1. 1. 5 安 全 引 用 监 视 器 ( 5)1. 2 对 象 与 共 享 资 源 ( 6)1. 2. 1 对 象 ( 6)1. 2. 2 共 享 资 源 ( 6)1. 3 文 件 系 统 ( 7)1. 3. 1 F AT ( 7)1. 3. 2 F AT 32 ( 7)1. 3. 3 N TFS ( 8)1. 3. 4 CIFS ( 9)1.

19、 3. 5 EFS (10)1. 3. 6 DFS (10)1. 4 域 和 工 作 组 (11)1. 4. 1 域 (11)1. 4. 2 域 和 委 托 (12)1. 4. 3 工 作 组 (13)1. 5 用 户 账 号 (13)1. 5. 1 用 户 账 号 的 概 念 (13)1. 5. 2 账 号 类 型 (14)1. 5. 3 认 证 (14)1. 5. 4 用 户 管 理 (15)1. 6 用 户 组 (15)1. 6. 1 全 局 组 (16)1. 6. 2 本 地 组 (16)1. 6. 3 特 别 组 (17)1. 7 注 册 表 (17)1. 7. 1 注 册 表 概

20、述 (17)1. 7. 2 注 册 表 中 的 关 键 字 (18)1. 7. 3 注 册 表 中 的 值 (18)1. 7. 4 注 册 表 中 关 键 字 的 结 构 (19). 8 进 程 、 线 程 和 服 务 (20)1. 8. 1 作 业 对 象 (20)1. 8. 2 进 程 (20)1. 8. 3 线 程 (21)1. 8. 4 服 务 的 概 念 (21)1. 8. 5 服 务 控 制 管 理 器 (21)1. 8. 6 服 务 对 象 安 全 性 (22)1. 8. 7 服 务 启 动 (23)11. 9 驱 动 程 序 (23)1. 9. 1 Windows 系 统 I/

21、 O 模 型 (23)1. 9. 2 驱 动 程 序 的 种 类 (23)第 2 章 账 户 安 全 管 理 (25)2. 1 系 统 管 理 员 账 户 的 管 理 (25)2. 1. 1 系 统 管 理 员 口 令 设 置 (25)2. 1. 2 系 统 管 理 员 账 户 安 全 管 理 (25)2. 2 用 户 账 户 的 管 理 (26)2. 3 用 户 组 的 管 理 (28)2. 4 账 户 策 略 及 密 码 的 安 全 (29)2. 5 用 户 权 限 的 安 全 (30)2. 6 域 控 制 器 管 理 (32)2. 6. 1 Windows N T 系 统 的 域 控 制

22、 器 管 理 (32)2. 6. 2 Windows 2000/ XP 系 统 的 域 控 制 器 管 理 (34)第 3 章 系 统 资 源 的 安 全 保 护 (38)3. 1 文 件 系 统 和 共 享 资 源 的 安 全 设 置 (38)3. 1. 1 共 享 文 件 和 目 录 的 安 全 管 理 (38)3. 1. 2 本 地 文 件 和 目 录 的 安 全 管 理 (39)3. 1. 3 常 规 和 Web 共 享 属 性 (39)3. 1. 4 审 核 功 能 (39)3. 2 应 用 程 序 和 用 户 主 目 录 的 安 全 管 理 (40)3. 2. 1 应 用 程 序

23、的 目 录 安 全 管 理 措 施 (40)3. 2. 2 用 户 主 目 录 设 置 中 的 安 全 措 施 (40)3. 3 打 印 机 的 安 全 管 理 (41)3. 4 注 册 表 的 安 全 管 理 (42)4. 1. 1 密 码 安 全 (56)4. 1. 2 权 限 安 全 (56)4. 1. 3 Web 安 全 (57)4. 1. 4 N TFS 分 区 安 全 (57). 2 IIS 的 安 全 设 置 (58)4. 2. 1 安 装 时 应 注 意 的 安 全 问 题 (59)4. 2. 2 用 户 控 制 的 安 全 性 (59)4. 2. 3 登 录 认 证 的 安

24、全 性 (60)4. 2. 4 访 问 权 限 控 制 (60)4. 2. 5 IP 地 址 的 控 制 (61)4. 2. 6 端 口 安 全 性 的 实 现 (61)4. 2. 7 IP 转 发 的 安 全 性 (61)4. 2. 8 SSL 安 全 机 制 (61). 3 相 关 的 安 全 措 施 (62)4. 3. 1 设 置 内 容 过 期 (62)4. 3. 2 内 容 分 级 设 置 (63)4. 3. 3 安 全 与 权 限 设 置 (64)4. 3. 4 安 全 认 证 (66)4. 3. 5 IP 地 址 及 域 名 限 制 (67)3. 4. 1 注 册 表 的 编 辑

25、 功 能 (42)3. 4. 2 注 册 表 的 安 全 管 理 (42)3. 4. 3 注 册 表 编 辑 器 的 限 制 使 用 (44)3. 4. 4 注 册 表 的 审 核 (44)3. 5 审 核 策 略 和 系 统 策 略 文 件 (45)3. 5. 1 审 核 策 略 和 安 全 日 志 (45)3. 5. 2 系 统 策 略 文 件 (46)3. 6 用 户 磁 盘 空 间 的 限 制 和 数 据 备 份 (49)3. 6. 1 用 户 磁 盘 空 间 的 限 制 (49)3. 6. 2 使 用 磁 盘 配 额 管 理 (49)3. 6. 3 数 据 备 份 (52)第 4 章

26、 IIS 的 安 全 性 管 理 (56)4. 1 IIS 的 安 全 机 制 (56)44第 5 章 证 书 服 务 与 SSL 安 全 协 议 (69)5. 1 证 书 服 务 的 概 念 (69)5. 2 安 装 证 书 服 务 (70)5. 3 配 置 和 实 现 SSL 证 书 颁 发 (73)5. 3. 1 安 全 套 接 字 层 ( SSL ) 协议 (73). 1 用 控 制 台 配 置 安 全 系 统 ( 110)7. 1. 1 使 用 安 全 模 板 设 置 ( 110)7. 1. 2 预 定 义 的 安 全 模 板 ( 111)7. 1. 3 用 户 的 基 本 安 全

27、级 别 ( 114)7. 1. 4 账 户 策 略 ( 116)7. 1. 5 本 地 策 略 ( 119). 2 优 化 网 络 配 置 TCP/ IP 安 全 策 略 ( 123)7. 2. 1 禁 用 T CP/ IP 上 的 NetBIOS ( 124)7. 2. 2 IP 安 全 设 置 ( 124)7. 2. 3 T CP/ IP 筛 选 设 置 ( 125)5. 3. 2 在 We b 服 务 器 上 设 置 SSL (75)5. 3. 3 SSL 安 全 站 点 的 应 用 策 略 (83)5. 4 SSL 的 安 全 漏 洞 及 其 解 决 方 案 (85)5. 4. 1 S

28、SL 的 安 全 漏 洞 (85)5. 4. 2 安 全 防 范 措 施 (86)第 6 章 Win dows 系 统 的 安 全 漏 洞 与 防 范 (89)6. 1 W indo ws N T 的 漏 洞 与 防 范 (89)6. 1. 1 概 况 (89)6. 1. 2 N T 服 务 器 和 工 作 站 的 安 全 漏 洞 (89)6. 1. 3 与 浏 览 器 和 Windows NT 系 统 相 关 的 安 全 漏 洞 (97)6. 2 W indo ws 2000 的 漏 洞 与 防 范 (97)6. 2. 1 Windows 2000 系 统 的 安 全 漏 洞 (97)6.

29、2. 2 防 范 措 施 ( 103)6. 3 W indo ws XP 的 漏 洞 与 防 范 ( 105)6. 3. 1 Windows XP 系 统 的 性 能 改 进 ( 105)6. 3. 2 Windows XP 系 统 的 安 全 漏 洞 ( 106)第 7 章 Win dows 系 统 安 全 管 理 技 巧 ( 110)77第 8 章 常 用 安 全 工 具 的 介 绍 ( 127)8. 1 扫 描 工 具 ( 127)8. 1. 1 小 榕 流 光 扫 描 器 ( 127)8. 1. 2 X S.can v.2. 3 扫 描 器 ( 131)8. 2 网 络 数 据 流 检

30、 测 工 具 NetXra y ( 134)8. 2. 1 NetXray 的 主 要 功 能 ( 134)8. 2. 2 NetXray 的 基 本 操 作 ( 135)8. 2. 3 对 网 络 进 行 诊 断 ( 137)下 篇 U N I X 类 操 作 系 统 安 全第 9 章 安 全 体 系 结 构 ( 141)9. 1 物 理 的 安 全 性 ( 141)9. 1. 1 物 理 安 全 的 重 要 性 ( 141)9. 1. 2 选 择 安 全 的 物 理 位 置 ( 141)9. 1. 3 物 理 安 全 策 略 ( 142)9. 1. 4 访 问 审 核 ( 143)9. 2

31、 系 统 的 安 全 性 ( 143)9. 2. 1 受 托 系 统 的 特 点 ( 143)9. 2. 2 运 行 受 托 系 统 ( 146)9. 2. 3 系 统 中 数 据 的 保 护 ( 147)9. 2. 4 建 立 账 户 和 注 册 活 动 报 告 ( 149)9. 2. 5 安 全 数 据 库 维 护 ( 151)9. 3 用 户 的 安 全 性 ( 152)9. 3. 1 口 令 安 全 ( 152)9. 3. 2 文 件 许 可 权 ( 153)9. 3. 3 目 录 许 可 ( 154)9. 3. 4 常 用 的 文 件 和 目 录 命 令 ( 155)9. 4 应 用

32、 程 序 的 安 全 性 ( 157)9. 4. 1 访 问 控 制 ( 157)9. 4. 2 数 据 确 认 ( 158)9. 4. 3 授 权 ( 158)9. 4. 4 日 志 技 术 ( 159)9. 4. 5 变 异 检 测 技 术 ( 159)9. 5 数 据 库 的 安 全 性 ( 159)9. 5. 1 数 据 库 安 全 系 统 特 性 ( 159)9. 5. 2 数 据 库 安 全 的 威 胁 ( 161)9. 5. 3 数 据 库 的 数 据 保 护 ( 161)9. 6 安 全 管 理 原 则 及 实 现 ( 165)9. 6. 1 启 动 / 终 止 系 统 ( 1

33、65)9. 6. 2 执 行 安 全 策 略 ( 166)9. 6. 3 维 护 系 统 环 境 ( 167)9. 6. 4 监 控 系 统 性 能 ( 167)9. 6. 5 备 份 / 恢 复 ( 168)第 10 章 用 户 安 全 策 略 ( 169)10. 1 保 护 用 户 口 令 策 略 ( 169)10. 1. 1 怎 样 保 护 系 统 的 口 令 ( 169)10. 1. 2 关 于 口 令 维 护 的 问 题 ( 171)10. 2 root 账 户 的 安 全 策 略 ( 171)10. 2. 1 如 何 成 为 超 级 用 户 ( 172)10. 2. 2 确 保 r

34、oo t 账 户 的 安 全 ( 173)10. 2. 3 确 保 roo t 和 suid/ sgid 的 安 全 ( 174)10. 3 用 户 访 问 控 制 策 略 ( 175)10. 3. 1 系 统 登 录 ( 175)10. 3. 2 身 份 认 证 ( 179)10. 4 用 户 组 的 管 理 策 略 ( 180)10. 4. 1 如 何 分 组 ( 181)10. 4. 2 用 户 组 的 管 理 ( 181)10. 4. 3 使 用 Linuxconf 工 具 管 理 用 户 组 ( 183)10. 4. 4 与 用 户 组 有 关 的 系 统 文 件 ( 184)第 1

35、1 章 文 件 系 统 安 全 ( 186)11. 1 分 区 的 安 全 策 略 ( 186)11. 1. 1 分 区 ( 186)11. 1. 2 分 区 方 案 ( 188)11. 1. 3 空 间 要 求 ( 189)11. 2 文 件 共 享 安 全 和 N FS 安 全 ( 190)11. 2. 1 选 择 NF S 服 务 器 ( 190)11. 2. 2 配 置 / etc/ exports 文 件 ( 190)11. 2. 3 NF S 包 过 滤 ( 192)11. 3 文 件 系 统 的 安 全 加 载 ( 193)11. 3. 1 文 件 系 统 的 手 工 安 装 (

36、 193)11. 3. 2 文 件 系 统 的 自 动 安 装 ( 195)11. 4 文 件 的 完 整 性 检 查 ( 196)11. 4. 1 s um 和 cksu m 命 令 ( 196)11. 4. 2 R PM 检 验 和 签 名 检 查 ( 196)11. 4. 3 T r ipwire 工 具 ( 197)11. 5 文 件 系 统 的 数 据 备 份 ( 201)11. 5. 1 什 么 是 备 份 ( 201)11. 5. 2 备 份 设 备 的 选 择 ( 202)11. 5. 3 使 用 命 令 进 行 备 份 和 恢 复 ( 202)11. 5. 4 自 动 备 份

37、 ( 208)11. 5. 5 专 有 的 备 份 软 件 ( 208)第 12 章 Web 服 务 器 安 全 ( 210)12. 1 We b 服 务 器 的 安 全 隐 患 及 策 略 ( 210)12. 2 A pach e 服 务 器 的 主 要 安 全 缺 陷 ( 211)12. 3 关 闭 不 必 要 的 网 络 服 务 ( 213)12. 3. 1 打 开 不 必 要 的 服 务 可 能 造 成 的 安 全 隐 患 ( 214)12. 3. 2 关 闭 网 络 服 务 的 方 式 ( 216)12. 4 A pach e W eb 服 务 的 安 全 配 置 ( 219)12.

38、 4. 1 激 活 服 务 器 端 嵌 入 ( SSI) 的 应 用 ( 219)12. 4. 2 影 响 h tt pd. conf 安 全 的 设 置 ( 223)12. 4. 3 使 用 基 本 的 H T T P 认 证 ( 230)12. 4. 4 安 装 和 配 置 We bD AV ( 240)12. 5 安 全 We b 协 议 SSL ( 244)12. 5. 1 数 据 加 密 与 数 字 签 名 的 概 念 ( 245)12. 5. 2 SSL 的 工 作 原 理 ( 247)12. 5. 3 用 SSL 构 建 安 全 的 Apache 服 务 器 ( 248)第 13

39、 章 安 全 服 务 认 证 和 网 络 加 密 协 议 ( 251)13. 1 U U CP 系 统 及 安 全 ( 251)13. 1. 1 使 用 U UCP ( 252)13. 1. 2 U UCP 的 安 全 ( 254)13. 2 Ke rberos ( 257)13. 2. 1 Kerbe ros 的 认 证 方 法 及 特 点 ( 257)13. 2. 2 Kerbe ros V5 的 实 现 ( 260)13. 3 T el net 和 SSH 安 全 ( 277)13. 3. 1 SS H 和 OpenSS H 的 工 作 原 理 ( 278)13. 3. 2 安 装 、配

40、 置 和 使 用 SS H ( 279)13. 3. 3 SS H 和 OpenSS H 的 安 全 问 题 ( 289)第 14 章 UNI X 系 统 安 全 管 理 技 巧 ( 291)14. 1 系14. 1. 1统 安 全 设 置 技 巧启 动 和 登 录 安 全 性 设 置( 291)( 291)14. 1. 2 网 络 访 问 安 全 性 设 置 ( 294)14. 1. 3 安 装 系 统 安 全 补 丁 包 ( 296)14. 2 日 志 和 审 计 工 具 的 使 用 ( 302)14. 2. 1 U NIX 的 日 志 系 统 ( 302)14. 2. 2 syslog

41、n.g 工 具 及 使 用 ( 304)14. 2. 3 其 他 日 志 工 具 ( 312)14. 3 入 侵 检 测 工 具 及 使 用 ( 313)14. 3. 1 入 侵 检 测 概 述 ( 313)14. 3. 2 IDS 的 分 类 ( 314)14. 3. 3 常 用 手 工 入 侵 检 测 方 法 与 命 令 ( 317)14. 3. 4 入 侵 检 测 工 具 Snor t 及 使 用 技 巧 ( 320)14. 4 UN IX 系 统 常 见 安 全 问 题 解 答 ( FA Q ) ( 345)参 考 文 献 ( 352)上 篇Win dows 类 操 作 系 统 安 全

42、第 1 章 Windows 系 统 安 全 要 素1. 1 Win dows 系 统 安 全 模 型Window s 系 统 具 有 模 块 化 的 设 计 结 构 。 所 谓 “模 块 ”, 就 是 一 组 被 称 做 执 行 程 序 服 务 ( E xecu tive Se rvice ) 的 软 件 。 这 些 “模 块 ” 运 行 在 内 核 模 式 ( Kern el Mode ) 下 , 内 核 模 式之 上 是 用 户 模 式 , 由 非 特 权 服 务 组 成 , 称 为 保 护 子 系 统 ( Pro tected Subsys te m ) , 其 启 动 与否 由 用 户

43、 决 定 。必 需 的 内 核 模 式 组 件 可 组 成 自 成 系 统 的 操 作 系 统 , 并 使 用 户 模 式 组 件 利 用 它 的 服 务 运 行 在 核 心 上 , 该 结 构 称 做 微 内 核 ( Microk ern el ) 结 构 。Window s 系 统 的 安 全 性 根 植 于 Window s 系 统 的 核 心 ( Kern el ) 层 , 它 为 各 层 次 提 供 一致 的 安 全 模 型 。 Window s 系 统 安 全 模 型 是 Window s 系 统 中 密 不 可 分 的 子 系 统 , 控 制 着 W in- dow s 系 统

44、中 对 象 的 访 问 ( 如 文 件 、 内 存 、 打 印 机 等 ) 。 在 Window s 系 统 中 , 对 象 实 质 上 是指 一 系 列 信 息 集 合 体 , 封 装 了 数 据 及 处 理 过 程 , 使 之 成 为 一 个 可 被 广 泛 引 用 的 整 体 。 当 对 象 用 于 网 络 环 境 时 , 称 之 为 资 源 ; 当 对 象 在 网 络 中 共 享 时 , 称 之 为 共 享 资 源 。1. 1. 1 W indow s系 统 安 全 模 型 构 成Window s 的 安 全 系 统 提 供 了 对 事 件 的 审 核 及 详 细 的 跟 踪 手 段

45、来 监 控 网 络 上 资 源 的 访 问和 应 用 。Window s 系 统 安 全 模 型 由 登 录 流 程 ( L ogon Process , LP ) 、 本 地 安 全 权 威 ( Local Security A ut horit y , LSA ) 、 安 全 账 号 管 理 器 ( Securit y Accoun t Man age r , SA M ) 和 安 全 引 用 监 视 器 ( Security R efere nce Monitor , S RM ) 组 合 而 成 。1. 1. 2 登 录 流 程登 录 流 程 接 受 本 地 用 户 的 本 地 登 录

46、 请 求 或 者 远 程 用 户 的 远 程 登 录 请 求 , 使 用 户 和 系 统 之 间 建 立 联 系 。 如 图 1 1 所 示 。图 1 1 Windows 系 统 登 录 流 程登 录 开 始 , Window s 系 统 的 Winlogon 进 程 会 显 示 一 个 安 全 性 交 互 对 话 框 , 要 求 用 户 输 入 用 户 名 、 口 令 和 用 户 希 望 登 录 的 服 务 器 / 域 。 如 果 用 户 信 息 有 效 , 系 统 将 开 始 确 认 用 户 身份 。 Window s 系 统 把 用 户 信 息 通 过 安 全 系 统 传 输 到 安 全

47、 账 号 管 理 器 , 并 对 用 户 身 份 进 行 确网 络 操 作 系 统 安 全4认 。 安 全 账 号 管 理 器 把 用 户 的 登 录 信 息 与 服 务 器 里 的 安 全 账 号 管 理 数 据 库 进 行 比 较 , 如 果 两 者 匹 配 , 服 务 器 将 通 知 工 作 站 允 许 用 户 进 行 访 问 。 Win logon 进 程 将 调 用 Win32 子 系 统 为 用户 产 生 一 个 新 的 进 程 , 同 时 服 务 器 还 将 记 录 用 户 的 一 些 信 息 , 如 用 户 享 用 的 特 权 、 主 目 录 所 在 位 置 及 工 作 站 参

48、 数 等 。然 后 本 地 安 全 权 威 开 始 构 造 访 问 令 牌 ( Access T oke n) , 与 用 户 进 行 的 所 有 操 作 相 连 接 , 用 户 进 行 的 操 作 与 访 问 令 牌 一 起 构 成 一 个 主 体 ( Sub ject ) 。 当 用 户 要 求 访 问 一 个 对 象 时 , 主 体 的 访 问 令 牌 的 内 容 将 与 对 象 的 存 取 控 制 列 表 通 过 一 个 有 效 性 访 问 程 序 进 行 比 较 , 这 个 程 序 将 决 定 允 许 或 拒 绝 用 户 所 发 出 的 访 问 要 求 。1. 1. 3 本 地 安

49、全 权 威本 地 安 全 权 威 是 Windo w s 系 统 的 核 心 , 它 通 过 确 认 安 全 账 号 管 理 器 中 的 数 据 信 息 来 处理 用 户 从 本 地 或 远 程 的 登 录 。本 地 安 全 权 威 确 保 用 户 有 存 取 系 统 的 权 限 , 从 而 产 生 访 问 令 牌 , 管 理 本 地 安 全 策 略 并 提 供 交 互 式 的 用 户 认 证 服 务 。 本 地 安 全 权 威 同 时 还 控 制 审 计 方 案 和 将 安 全 引 用 监 视 器 产 生 的 审 计 信 息 记 入 日 志 。本 地 安 全 权 威 具 体 担 任 以 下 职 能 :在 登 录 过 程 中 建 立 访 问 令 牌 , 提 供 用 户 有 效 身 份 证 明 ;使 Window s 系 统 能 和 第 三 方 供 应 商 的 有 效 性 确 认 软 件 包 共 同 管 理 安 全 性 策 略 ;控 制 审 计 策 略 ; 确 认 用 户 对 本 系 统 的 访 问 权 限 ; 记 录 安 全 引 用 监 视 器 生 成 的 审 计 信 息 。1. 1. 4 安 全 账 号 管 理 器安 全 账 号 管 理 器 维 护 账 号 的 安 全 性 管 理 数 据 库