1 / 86

NISE 安全技术工程师培训 — Win2K 安全配置与管理

NISE 安全技术工程师培训 — Win2K 安全配置与管理. 课程目的. 了解 win2K 系统的设计原理 了解 Win2K 的安全特性 能够对 win2K 系统进行安全配置 授课方式：讲解、演示、学员实际操作. Windows 系统安全配置. 为什么要介绍 windows NT 安全 Windows NT 体系构架 Windows NT 安全模型 Windows NT 安全配置 Windows NT 的审计分析. 为什么要介绍 windows 安全. 系统安全评测标准 系统面临很多威胁 系统漏洞导致的损失. TCSEC 安全等级.

nijole
Download Presentation

NISE 安全技术工程师培训 — Win2K 安全配置与管理

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. NISE安全技术工程师培训—Win2K安全配置与管理

  2. 课程目的 • 了解win2K系统的设计原理 • 了解Win2K的安全特性 • 能够对win2K系统进行安全配置 授课方式：讲解、演示、学员实际操作

  3. Windows系统安全配置 • 为什么要介绍windows NT安全 • Windows NT体系构架 • Windows NT安全模型 • Windows NT安全配置 • Windows NT的审计分析

  4. 为什么要介绍windows 安全 • 系统安全评测标准 • 系统面临很多威胁 • 系统漏洞导致的损失

  5. TCSEC 安全等级

  6. 基于C2级标准的安全组件 • 灵活的访问控制----Windows NT 支持C2级标准要求的灵活访问控制。要求包括允许对象的属主能够完全控制谁可以访问这个对象及什么样的访问权限。 • 对象再利用-----Windows NT很明确地阻止所有的应用程序不可访问被另一应用程序使用所占用资源内的信息（比如内存或磁盘）。 • 强制登陆----与Windows for Workgroups、Windows 95和98不同，Windows NT用户在能访问任何资源前必须通过登陆来验证他们的身份。这也是另一个原因缺乏这种强制登陆的NT要想达到以前的C2级的标准就必须禁止网络功能。 • 审计----因为Windows NT采用单独地机制来控制对任何资源的访问，所以这种机制可以集中地记录下所有的访问活动。 • 控制对象的访问----Windows NT不允许直接访问系统里的资源。

  7. 被攻击的前几种操作系统 • Microsoft Windows 31663000 • UNIX 22544605 • CISCO IOS 7821832

  8. 被攻击最多的通用WEB服务器 被攻击的产品 占有用户的百分比 被攻击的次数 Microsoft IIS 41.06 17797201 Apache Group Apache 10.62 12602 Netscape Enterprise Server 9.07 4892 Iplanet E-commerce Solution 0.13 124

  9. 系统漏洞导致的损失

  10. 系统漏洞导致的损失 • 2003-8-15全球受冲击波里蠕虫感染的机器超过34万台。 • 8月1日下午微软公司网站被黑，一个多小时无法访问。

  11. Windows系统安全配置 • 为什么要介绍windows NT安全 • Windows NT体系统构架 • Windows NT安全模型 • Windows NT安全配置 • Windows NT的审计分析

  12. Windows NT体系统构架 系统支持进程 服务进程 应用程序 环境子系统 服务管理器 任务管理器 Svchost.exe OS/2 Windows浏览器 本地安全验证服务 Winmgmt.exe POSIX Win32 Spooler 用户级应用程序 Windows登录 Services.exe 子系统动态链接库 会话管理器 NTdll,dll 系统服务调度进程 核心可调用接口 Win32 User GDI 图形驱动 I/O设备 管理器 设备、文件 驱动程序 文件系统 缓存 管理器 即插即用 设备 管理器 虚拟内存 管理器 进程和 线程 注册表配置 管理器 Micro kernel HAL

  13. 进程和线程 进程地址空间 线程 • 什么是进程？ • 代表了运行程序的一个实例 • 每一个进程有一个私有的内存地址空间 • 什么是线程？ • 进程内的一个执行上下文 • 进程内的所有线程共享相同的进程地址空间 • 每一个进程启动时带有一个线程 • 运行程序的“主”函数 • 可以在同一个进程中创建其他的线程 • 可以创建额外的进程 线程 线程 系统地址空间

  14. 系统进程 • 基本的系统进程 System Idle Process 这个进程是作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器的时间 smss.exe 会话管理子系统，负责启动用户会话 csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 本地安全身份验证服务器 svchost.exe 包含很多系统服务 SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务) explorer.exe 资源管理器 internat.exe 托盘区的拼音图标

  15. 系统进程树 smss.exe 对话管理器 第一个创建的进程引入参数HKLM\System\CurrentControlSet\Control\Session Manager装入所需的子系统(csrss) ，然后winlogon csrss.exe Win32 子系统 winlogon.exe 登录进程：装入services.exe 和 lsass.exe 显示登录对话框（“键入CTRL+ALT+DEL ，登录） 当有人登入，运行在 HKLM\Software\Microsoft\Windows NT\WinLogon\Userinit 中的进程（通常只是userinit.exe) services.exe 服务控制器：也是几项服务的出发点 服务的开始进程不是services.exe的一部分 (由 HKLM\System\CurrentControlSet\Services驱动) lsass.exe 本地安全验证服务器（打开SAM） userinit.exe 登陆之后启动。启动外壳（通常是Explorer.exe —见HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon\Shell)装入配置文件，恢复驱动器标识符映象，然后退出 explorer.exe 和它的孩子是所有交互式应用的创建者

  16. 附加的系统进程 • mstask.exe 允许程序在指定时间运行。(系统服务) • regsvc.exe regsvc.exe 允许远程注册表操作。 (系统服务) • winmgmt.exe 提供系统管理信息(系统服务)。 • inetinfo.exe 通过Internet 信息服务的管理单元提供信息服务连接和管理。(系统服务) • tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台。(系统服务) • dns.exe 应答对域名系统 (DNS)名称的查询和更新请求。(系统服务) 。。。。。。

  17. Windows系统安全配置 • 为什么要介绍windows NT安全 • Windows NT体系统构架 • Windows NT安全模型 • Windows NT安全配置 • Windows NT的审计分析

  18. 安全的组件 • 安全标识符 SID：综合计算机名字、当前时间、以及处理当前用户模式线程所花费CPU的时间所建立起来的。一个SID： S-1-5-163499331-18283675290-12989372637-500 • 访问令牌 访问令牌是由用户的SID安全描述符、用户所属于组的SID、用户名、用户所在组的组名构成的 安全描述符是由对象属主的SID、组SID，灵活访问控制列表以及计算机访问控制列表 • 访问控制列表 包括DACL和SACL，灵活访问控制列表里记录用户和组以及它们的相关权限。系统访问控制列表包含为对象审计的事件。

  19. windowsNT安全模型 User Account Database Log process SAM Security Policy Database Win32 application LSA Win32 subsystem Audit log Security policy Audit message User mode Kernel mode Security Reference Monitor

  20. WindowsNT安全子系统 Winlogon GINA Local Security Authority (LSA) SSPI Authentication Packages SecuritySupport Providers Security Account Manager Netlogon

  21. Windows系统安全配置 • 为什么要介绍windows NT安全 • Windows NT体系统构架 • Windows NT安全模型 • Windows NT安全配置 • Windows NT的审计分析

  22. 安全管理与维护 用户管理 保护注册表 数据备份 漏洞与补丁 安全配置程序 安全分析 组策略 安全模板 安全策略 数据的安全 IPSec EFS 访问控制 TCP/IP 组权限 权限控制 身 份 认证 证书服务 SSL/TLS Kerberos 智能卡 NTLM Win2000基本安全注意事项

  23. Win2000安装配置 • 建立和选择分区 • 选择安装目录 • 不安装多余的组件 • 停止多余的服务 • 安装系统补丁

  24. 多余的组件 • Internt信息服务（IIS）（如不需要） • 索引服务　Indexing Service • 消息队列服务（MSMQ） • 远程安装服务 • 远程存储服务 • 终端服务 • 终端服务授权

  25. Win2K服务

  26. 安全管理与维护 用户管理 保护注册表 数据备份 漏洞与补丁 安全配置程序 安全分析 组策略 安全模板 安全策略 数据的安全 IPSec EFS 访问控制 TCP/IP 组权限 权限控制 身 份 认 证 证书服务 SSL/TLS Kerberos 智能卡 NTLM Win2000基本安全注意事项

  27. 用户身份验证 • 交互式登录 使用域帐号 使用本地计算机帐户 • 网络身份验证 Kerberos V5 NTLM验证 安全套接字层/传输层安全（SSL/TLS）

  28. NTLM验证实例 (1) A向B发起连接请求 (2) B向A发送挑战(一组随机数据) (3) A用源自明文口令的DESKEY对挑战进行标准DES加密得到响应，并发往B (4) B从SAM中获取A的LM Hash、NTLM Hash，计算出DESKEY，并对前面发往A的挑战进 行标准DES加密 (5) 如果(4)中计算结果与A送过来的响应匹配，A被允许访问B

  29. 使用 NTLM 的配置 • Windows 2000 Professional 客户端向 Windows NT 4.0 的域控制器验证身份 • Windows NT 4.0 Workstation 客户端向 Windows 2000 域控制器验证身份 • Windows NT 4.0 Workstation 客户端向 Windows NT 4.0 域控制器验证身份 • Windows NT 4.0 域中的用户向 Windows 2000 域验证身份。

  30. 智能卡身份验证 • 什么是智能卡 • 智能卡读取器 • 用智能卡登录计算机

  31. KerberosV5工作原理 Kerberos V5用于处理用户或系统身份的身份验证的Internet标准安全协议 KDC TGS TGT TGT 请求的网络 ST ST

  32. 为什么需要证书机构 从网上获得 Bob 公钥 Bob 使用本身私钥解密 Alice 使用Bob公钥加密 如何确定公钥为真？

  33. 证书的概念 • 证书将公钥安全地绑定到持有相应私钥的实体中。 • 证书由颁发证书的机构进行数字签名，并且可被管理以便用于用户、计算机或服务。被最广泛接受的证书格式由ITU-TX.509国际标准定义。

  34. 证书服务 使用独立机构——安全的第三方CA证书验证 1、发送请求 2、验证信息 3、使用CA私有密钥对对方公钥签名 4、出版证书作为安全信任 Bob 使用本身私钥解密 Alice 使用Bob公钥加密 CA

  35. SSL安全机制 SSL（加密套接字协议层）位于HTTP层和TCP层之间，建立用户与服务器之间的加密通信，确保所传递信息的安全性。使用SSL安全机制时，首先客户端与服务器建立连接，服务器把它的数字证书与公共密钥一并发送给客户端，客户端随机生成会话密钥，用从服务器得到的公共密钥对会话密钥进行加密，并把会话密钥在网络上传递给服务器，而会话密钥只有在服务器端用私人密钥才能解密，这样，客户端和服务器端就建立了一个唯一的安全通道 。

  36. 安全管理与维护 用户管理 保护注册表 数据备份 漏洞与补丁 安全配置程序 安全分析 组策略 安全模板 安全策略 数据的安全 IPSec EFS 访问控制 TCP/IP 组权限 权限控制 身 份 认 证 证书服务 SSL/TLS Kerberos 智能卡 NTLM Win2000基本安全注意事项

  37. 访问控制 • NTFS与FAT分区文件属性 • 文件权限 • 用户权限 • 权限控制原则 • 网络访问控制

  38. NTFS与FAT分区权限 FAT32 NTFS

  39. 文件权限

  40. 用户权限 • Administrators 组 • Users 组 • Power Users 组 • Backup Operators组

  41. Administrators 组权限 • 安装操作系统和组件（例如硬件驱动程序、系统服务等等）。 • 安装 Service Packs 和 Windows Packs。 • 升级操作系统。 • 修复操作系统。 • 配置关键操作系统参数（例如密码策略、访问控制、审核策略、内核模式驱动程序配置等等）。 • 获取已经不能访问的文件的所有权。 • 管理安全措施和审核日志。 • 备份和还原系统

  42. USERS组权限 • 用户不能修改系统注册表设置，操作系统文件或程序文件。 • 用户可以关闭工作站不能关闭服务器 • 可以创建本地组，但只能修改自己创建的本地组 • 他们可以运行由管理员安装和配置的 Windows 2000 认可的程序 • 对自己的所有数据文件 (%userprofile%) 和自己的那一部分注册表 (HKEY_CURRENT_USER) 有完全的控制权。 • 用户无法安装其他用户运行的程序 • 不能访问其他用户的私人数据或桌面设置

  43. POWER USERS组权限 • 可以运行一些安全性不太严格的应用程序 • 安装不修改操作系统文件并且不需要安装系统服务的应用程序 • 自定义系统资源，包括打印机、日期/时间、电源选项和其他控制面板资源。 • 创建和管理本地用户帐户和组 • 启动或停止默认情况下不启动的服务。 • 超级用户没有将自己添加到管理员组的权限 • 不能访问在 NTFS 卷上的其他用户的数据

  44. Backup Operators 组 • 可以备份和还原计算机上的文件，而不管保护这些文件的权限如何。 • 可以登录到计算机和关闭计算机，但不能更改安全性设置。 • 备份和还原数据文件和系统文件都需要对这些文件的读写权限。

  45. 权限控制原则和特点 1>权限是累计 2>拒绝的权限要比允许的权限高 3>文件权限比文件夹权限高 4>利用用户组来进行权限控制 5>权限的最小化原则

  46. 网络访问控制

  47. 安全管理与维护 用户管理 保护注册表 数据备份 漏洞与补丁 安全配置程序 安全分析 组策略 安全模板 安全策略 数据的安全 IPSec EFS 访问控制 TCP/IP 组权限 权限控制 身 份 认 证 证书服务 SSL/TLS Kerberos 智能卡 NTLM Win2000基本安全注意事项

  48. EFS加密文件系统 特性： 1、采用单一密钥技术 2、核心文件加密技术仅用于NTFS，使用户在本地计算机上安全存储数据 3、加密用户使用透明，其他用户被拒 4、不能加密压缩的和系统文件，加密后不能被共享、能被删除 建议加密文件夹，不要加密单独的文件

  49. EFS恢复代理 • 故障恢复代理就是获得授权解密由其他用户加密的数据的管理员 • 必须进行数据恢复时，恢复代理可以从安全的存储位置获得数据恢复证书导入系统。 • 默认的超级管理员就是恢复代理 使用条件：当加密密钥丢失

More Related