系统访问控制与审计技术(ppt32)hrgl.pptx

《系统访问控制与审计技术(ppt32)hrgl.pptx》由会员分享，可在线阅读，更多相关《系统访问控制与审计技术(ppt32)hrgl.pptx（32页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 精品资料网系统访问控制与审计技术系统访问控制与审计技术 本章学习目标：本章学习目标：了解几种基本的了解几种基本的访问访问控制技控制技术术熟悉常用操作系熟悉常用操作系统统的安全技的安全技术术了解操作系了解操作系统统的的审计审计技技术术211.1 11.1 访问访问控制技控制技术术 访问控制是在保障授权用户能获取所需资源的同时拒绝访问控制是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。非授权用户的安全机制。访问控制也是信息安全理论基础的重要组成部分。访问控制也是信息安全理论基础的重要组成部分。本章讲述访问控制的原理、作用、分类和研究前沿，重本章讲述访问控制的原理、作用、分类和研究前

2、沿，重点介绍较典型的自主访问控制、强制访问控制和基于角色的点介绍较典型的自主访问控制、强制访问控制和基于角色的访问控制。访问控制。11.1.1 11.1.1 访问访问控制技控制技术术的概念的概念 311.1 11.1 访问访问控制技控制技术术 访问访问控制与其他安全措施之控制与其他安全措施之间间的关系可以用的关系可以用图图11-111-1来来简简要要说说明。明。在用在用户户身份身份认证认证(如果必要如果必要)和授和授权权之后，之后，访问访问控制机制将控制机制将根据根据预预先先设设定的定的规则对规则对用用户访问户访问某某项资项资源源(目目标标)进进行控制，只行控制，只有有规则规则允允许时许时才能

3、才能访问访问，违违反反预预定的安全定的安全规则规则的的访问访问行行为为将将被拒被拒绝绝。资资源可以是信息源可以是信息资资源、源、处处理理资资源、通信源、通信资资源或者物理源或者物理资资源，源，访问访问方式可以是方式可以是获获取信息、修改信息或者完成某种功能，取信息、修改信息或者完成某种功能，一般情况可以理解一般情况可以理解为读为读、写或者、写或者执执行。行。11.1.2 11.1.2 访问访问控制原理控制原理 411.1 11.1 访问访问控制技控制技术术 11.1.2 11.1.2 访问访问控制原理控制原理 访问控制的目的是为了限制访问主体对访问客体的访问权限，从而访问控制的目的是为了限制访

4、问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用；它决定用户能做什么，也决定代表一使计算机系统在合法范围内使用；它决定用户能做什么，也决定代表一定用户身份的进程能做什么。访问控制一般包括三种类型：定用户身份的进程能做什么。访问控制一般包括三种类型：自主访问控自主访问控制制、强制访问控制强制访问控制和和基于角色的访问控制基于角色的访问控制。511.1 11.1 访问访问控制技控制技术术 11.1.2 11.1.2 访问访问控制原理控制原理 自主访问控制（自主访问控制（Discretionary Access ControlDiscretionary Access Control，DA

5、CDAC）是一种常用）是一种常用的访问控制方式，它基于对主体或主体所属的主体组的识别来限制对客的访问控制方式，它基于对主体或主体所属的主体组的识别来限制对客体的访问，这种控制是自主的。自主是指主体能够自主的体的访问，这种控制是自主的。自主是指主体能够自主的(可能是间接的可能是间接的)将访问权或访问权的某个子集授予其他主体。将访问权或访问权的某个子集授予其他主体。1 1自主自主访问访问控制控制 自主访问控制是一种比较宽松的访问控制，一个主体的访问权限具自主访问控制是一种比较宽松的访问控制，一个主体的访问权限具有传递性。传递可能会给系统带来安全隐患，某个主体通过继承其他主有传递性。传递可能会给系统

6、带来安全隐患，某个主体通过继承其他主体的权限而得到了它本身不应具有的访问权限，就可能破坏系统的安全体的权限而得到了它本身不应具有的访问权限，就可能破坏系统的安全性。这是自主访问控制方式的缺点。性。这是自主访问控制方式的缺点。为了实现完整的自主访问系统，访问控制一般由一个矩阵来表示。为了实现完整的自主访问系统，访问控制一般由一个矩阵来表示。矩矩阵阵中的一行表示一个主体的所有中的一行表示一个主体的所有权权限；一列限；一列则则是关于一个客体的所有是关于一个客体的所有权权限；矩限；矩阵阵中的元素是中的元素是该该元素所在行元素所在行对应对应的主体的主体对该对该元素所在列元素所在列对应对应的的客体的客体的

7、访问权访问权限。具体限。具体实现时实现时，往往是基于矩，往往是基于矩阵阵的行或者列来表达的行或者列来表达访问访问控制信息。控制信息。611.1 11.1 访问访问控制技控制技术术 11.1.2 11.1.2 访问访问控制原理控制原理 访问控制表访问控制表(Access Control List(Access Control List，ACL)ACL)是基于访问控制矩阵中列是基于访问控制矩阵中列的自主访问控制。的自主访问控制。1 1自主自主访问访问控制控制(续续)（1 1）访问访问控制表控制表 对对系系统统中一个需要保中一个需要保护护的客体的客体O Oj j附加的附加的访问访问控制表的控制表的结

8、结构如构如下下图图所示所示 在上在上图图的例子中，的例子中，对对于客体于客体O Oj j,主体主体S S0 0具有具有读读(r)(r)和和执执行行(e)(e)的的权权利；主利；主体体S S1 1只有只有读读的的权权利；主体利；主体S S2 2只有只有执执行的行的权权利；主体利；主体S Sm m具有具有读读、写、写(w)(w)和和执执行的行的权权利。利。711.1 11.1 访问访问控制技控制技术术 11.1.2 11.1.2 访问访问控制原理控制原理 1 1自主自主访问访问控制控制(续续)(2)(2)访问访问能力表能力表 访问访问能力表能力表(Access Capabilities List)

9、(Access Capabilities List)是最常用的基于行的自主是最常用的基于行的自主访访问问控制。能力控制。能力(capability)(capability)是是为为主体提供的、主体提供的、对对客体具有特定客体具有特定访问权访问权限的限的不可不可伪伪造的造的标标志，它决定主体是否可以志，它决定主体是否可以访问访问客体以及以什么方式客体以及以什么方式访问访问客体。客体。主体可以将能力主体可以将能力转转移移给为给为自己工作的自己工作的进进程，在程，在进进程运行期程运行期间间，还还可以添加可以添加或者修改能力。或者修改能力。能力的能力的转转移不受任何策略的限制，所以移不受任何策略的限制

10、，所以对对于一个特定的客体，不能确于一个特定的客体，不能确定所有有定所有有权访问权访问它的主体。因此，它的主体。因此，访问访问能力表不能能力表不能实现实现完完备备的自主的自主访问访问控控制，而制，而访问访问控制表是可以控制表是可以实现实现的。的。811.1 11.1 访问访问控制技控制技术术 11.1.2 11.1.2 访问访问控制原理控制原理 2 2强强制制访问访问控制控制 强强制制访问访问控制系控制系统为统为所有的主体和客体指定安全所有的主体和客体指定安全级别级别，比如，比如绝绝密密级级、机密机密级级、秘密、秘密级级和无密和无密级级。不同。不同级别标记级别标记了不同重要程度和能力的了不同重

11、要程度和能力的实实体。体。不同不同级别级别的主体的主体对对不同不同级别级别的客体的的客体的访问访问是在是在强强制的安全策略下制的安全策略下实现实现的。的。在在强强制制访问访问控制机制中，将安全控制机制中，将安全级别进级别进行排序，如按照从高到低排列，行排序，如按照从高到低排列，规规定高定高级别级别可以可以单单向向访问访问低低级别级别，也可以，也可以规规定低定低级别级别可以可以单单向向访问访问高高级级别别。这这种种访问访问可以是可以是读读，也可以是写或修改。，也可以是写或修改。1 1）保障信息完整性策略。）保障信息完整性策略。2 2）保障信息机密性策略。）保障信息机密性策略。自主自主访问访问控制

12、控制较较弱，而弱，而强强制制访问访问控制又太控制又太强强，会，会给给用用户带户带来来许许多不多不便。因此，便。因此，实际应实际应用中，往往将自主用中，往往将自主访问访问控制和控制和强强制制访问访问控制控制结结合在一合在一起使用。自主起使用。自主访问访问控制作控制作为为基基础础的、常用的控制手段；的、常用的控制手段；强强制制访问访问控制作控制作为为增增强强的、更加的、更加严严格的控制手段。格的控制手段。911.1 11.1 访问访问控制技控制技术术 11.1.2 11.1.2 访问访问控制原理控制原理 3 3基于角色的基于角色的访问访问控制控制 基于角色的基于角色的访问访问控制模式控制模式(Ro

13、le Based Access Control(Role Based Access Control，RBAC)RBAC)中，中，用用户户不是自始至不是自始至终终以同以同样样的注册身份和的注册身份和权权限限访问访问系系统统，而是以一定的角，而是以一定的角色色访问访问，不同的角色被，不同的角色被赋赋予不同的予不同的访问权访问权限，系限，系统统的的访问访问控制机制只看控制机制只看到角色，而看不到用到角色，而看不到用户户。用。用户户在在访问访问系系统统前，前，经过经过角色角色认证认证而充当相而充当相应应的角色。用的角色。用户获户获得特定角色后，系得特定角色后，系统统依然可以按照自主依然可以按照自主访问

14、访问控制或控制或强强制制访问访问控制机制控制角色的控制机制控制角色的访问访问能力。能力。（1 1）角色的概念）角色的概念 在基于角色的在基于角色的访问访问控制中，角色控制中，角色(role)(role)定定义为义为与一个特定活与一个特定活动动相关相关联联的一的一组动组动作和作和责责任。系任。系统统中的主体担任角色，完成角色中的主体担任角色，完成角色规规定的定的责责任，具任，具有角色有角色拥拥有的有的权权限。一个主体可以同限。一个主体可以同时时担任多个角色，它的担任多个角色，它的权权限就是多限就是多个角色个角色权权限的限的总总和。基于角色的和。基于角色的访问访问控制就是通控制就是通过过各种角色的

15、不同搭配各种角色的不同搭配授授权权来尽可能来尽可能实现实现主体的最小主体的最小权权限限(最小授最小授权权指主体在能指主体在能够够完成所有必需完成所有必需的的访问访问工作基工作基础础上的最小上的最小权权限限)。1011.1 11.1 访问访问控制技控制技术术 11.1.2 11.1.2 访问访问控制原理控制原理 3 3基于角色的基于角色的访问访问控制控制 （2 2）基于角色的）基于角色的访问访问控制控制 基于角色的基于角色的访问访问控制就是通控制就是通过过定定义义角色的角色的权权限，限，为为系系统统中的主体分中的主体分配角色来配角色来实现访问实现访问控制的。用控制的。用户户先先经认证经认证后后获

16、获得一定角色，得一定角色，该该角色被分角色被分派了一定的派了一定的权权限，用限，用户户以特定角色以特定角色访问访问系系统资统资源，源，访问访问控制机制控制机制检查检查角角色的色的权权限，并决定是否允限，并决定是否允许访问许访问。这这种种访问访问控制方法的具体特点如下：控制方法的具体特点如下：1 1）提供了三种授）提供了三种授权权管理的控制途径管理的控制途径 2 2）系）系统统中所有角色的关系中所有角色的关系结结构可以是构可以是层层次化的，便于管理。次化的，便于管理。3 3）具有）具有较较好的提供最小好的提供最小权权利的能力，从而提高了安全性。利的能力，从而提高了安全性。4 4）具有）具有责责任

17、分离的能力。任分离的能力。1111.2 Windows 200011.2 Windows 2000的的访问访问控制控制 11.2.1 Windows11.2.1 Windows的安全模型与基本概念的安全模型与基本概念 1 1安全模型安全模型 WindowsWindows的安全模型由以下几个关的安全模型由以下几个关键键部分构成：部分构成：1 1）登登录录过过程程(Logon(Logon ProcessProcess，LP)LP)。接接受受本本地地用用户户或或者者远远程程用用户户的的登登录请录请求，求，处处理用理用户户信息，信息，为为用用户户做一些初始化工作。做一些初始化工作。2 2）本本地地安安

18、全全授授权权机机构构(Local(Local Security Security AuthorityAuthority，LSA)LSA)。根根据据安安全全账账号号管管理理器器中中的的数数据据处处理理本本地地或或者者远远程程用用户户的的登登录录信信息息，并并控控制制审审计计和和日志。日志。这这是整个安全子系是整个安全子系统统的核心。的核心。3 3）安安全全账账号号管管理理器器(Security(Security Account Account ManagerManager，SAM)SAM)。维维护护账账号号的的安全性管理数据安全性管理数据库库(SAM(SAM数据数据库库，又称目，又称目录录数据数

19、据库库)。4 4）安安全全引引用用监监视视器器(Security(Security Reference Reference MonitorMonitor，SRM)SRM)。检检查查存存取取合法性，防止非法存取和修改。合法性，防止非法存取和修改。这这几部分在几部分在访问访问控制的不同控制的不同阶阶段段发挥发挥了各自的作用。了各自的作用。1211.2 Windows 200011.2 Windows 2000的的访问访问控制控制 11.2.1 Windows11.2.1 Windows的安全模型与基本概念的安全模型与基本概念 2 2安全概念安全概念 1 1）安全）安全标识标识(Security I

20、dentifier(Security Identifier，SID)SID)：安全：安全标识标识和和账账号唯一号唯一对应对应，在在账账号号创创建建时创时创建，建，账账号号删删除除时删时删除，而且永不再用。安全除，而且永不再用。安全标识标识与与对应对应的用的用户户和和组组的的账账号信息一起存号信息一起存储储在在SAMSAM数据数据库库里。里。2 2）访访问问令令牌牌(Access(Access Token)Token)。当当用用户户登登录录时时，本本地地安安全全授授权权机机构构为为用用户创户创建一个建一个访问访问令牌，包括用令牌，包括用户户名、所在名、所在组组、安全、安全标识标识等信息。等信息。

21、3 3）主主体体。用用户户登登录录到到系系统统之之后后，本本地地安安全全授授权权机机构构为为用用户户构构造造一一个个访访问问令令牌牌，这这个个令令牌牌与与该该用用户户所所有有的的操操作作相相联联系系，用用户户进进行行的的操操作作和和访访问问令牌一起构成一个主体。令牌一起构成一个主体。4 4）对对象象、资资源源、共共享享资资源源。对对象象的的实实质质是是封封装装了了数数据据和和处处理理过过程程的的一一系系列列信信息息集集合合体体。资资源源是是用用于于网网络络环环境境的的对对象象。共共享享资资源源是是在在网网络络上上共享的共享的对对象。象。5 5）安全描述符）安全描述符（Security Desc

22、riptSecurity Descript）。）。WindowsWindows系系统统会会为为共享共享资资源源创创建安全描述符，包含了建安全描述符，包含了该对该对象的一象的一组组安全属性安全属性。13 安全描述符分安全描述符分为为四个部分：四个部分：所所有有者者安安全全标标识识(Owner(Owner SecurityID)SecurityID)。拥拥有有该该对对象象的的用用户户或或者者用用户组户组的的SDSD。组组安全安全标识标识(GroupSecurity)(GroupSecurity)。自自主主访访问问控控制制表表(Discretionary(Discretionary Access A

23、ccess Control Control ListList，DAC)DAC)。该该对对象的象的访问访问控制表，由控制表，由对对象的所有者控制。象的所有者控制。系系统统访访问问控控制制表表(System(System Access Access Control Control ListList，ACL)ACL)。定定义义操操作作系系统统将将产产生何种生何种类类型的型的审计审计信息，由系信息，由系统统的安全管理的安全管理员员控制。控制。其中，安全描述符中的每一个访问控制表其中，安全描述符中的每一个访问控制表(ACL)(ACL)都由访问控制项都由访问控制项(Access Control Entri

24、es(Access Control Entries，ACEs)ACEs)组成，用来描述用户或者组对对象的访组成，用来描述用户或者组对对象的访问或审计权限。问或审计权限。ACEsACEs有三种类型：有三种类型：Access AllowedAccess Allowed、Access DeniedAccess Denied和和System AuditSystem Audit。前两种用于自主访问控制；后一种用于记录安全日志。前两种用于自主访问控制；后一种用于记录安全日志。11.2 Windows 200011.2 Windows 2000的的访问访问控制控制 11.2.1 Windows11.2.1

25、Windows的安全模型与基本概念的安全模型与基本概念 2 2安全概念安全概念(续续)Cacls命令14 当当一一个个账账号号被被创创建建时时，WindowsWindows系系统统为为它它分分配配一一个个SIDSID，并并与与其其他他账账号号信息一起存入信息一起存入SAMSAM数据数据库库。每每次次用用户户登登录录时时，登登录录主主机机(通通常常为为工工作作站站)的的系系统统首首先先把把用用户户输输入入的的用用户户名名、口口令令和和用用户户希希望望登登录录的的服服务务器器域域信信息息送送给给安安全全账账号号管管理理器器，安安全全账账号号管管理理器器将将这这些些信信息息与与SAMSAM数数据据库

26、库中中的的信信息息进进行行比比较较，如如果果匹匹配配，服服务务器器发发给给工工作作站站允允许许访访问问的的信信息息，并并返返回回用用户户的的安安全全标标识识和和用用户户所所在在组组的的安安全全标标识识，工工作作站站系系统统为为用用户户生生成成一一个个进进程程。服服务务器器还还要要记记录录用用户户账账号号的的特特权权、主目、主目录录位置、工作站参数等信息。位置、工作站参数等信息。然然后后，本本地地安安全全授授权权机机构构为为用用户户创创建建访访问问令令牌牌，包包括括用用户户名名、所所在在组组、安安全全标标识识等等信信息息。此此后后用用户户每每新新建建一一个个进进程程，都都将将访访问问令令牌牌复复

27、制制作作为为该该进进程的程的访问访问令牌。令牌。当当用用户户或或者者用用户户生生成成的的进进程程要要访访问问某某个个对对象象时时，安安全全引引用用监监视视器器将将用用户户进进程程的的访访问问令令牌牌中中的的SIDSID与与对对象象安安全全描描述述符符中中的的自自主主访访问问控控制制表表进进行行比比较较，从而决定用，从而决定用户户是否有是否有权访问对权访问对象。象。11.2 Windows 200011.2 Windows 2000的的访问访问控制控制 11.2.2 Windows11.2.2 Windows的的访问访问控制控制过过程程 1511.2 Windows 200011.2 Windo

28、ws 2000的的访问访问控制控制 11.2.2 Windows11.2.2 Windows的的访问访问控制控制过过程程 资资源源的的本本地地访访问问权权限限共共有有以以下下六六种种，每每一一种种权权限限都都可可设设置置为为允许或拒绝。允许或拒绝。1 1）完全控制）完全控制 2 2）修改修改 3 3）读读取及运行取及运行 4 4）列出文件夹目录列出文件夹目录 5 5）读取读取 6 6）写入写入 资资源的共享源的共享访问权访问权限限共有以下四种：共有以下四种：1 1）完全控制）完全控制 2 2）读读取取 3 3）更改）更改 4 4）拒）拒绝访问绝访问1611.2 Windows 200011.2

29、 Windows 2000的的访问访问控制控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系系统统安全安全设设置置 1 1用用户户管理管理 删删除所有不需要的除所有不需要的账账号，禁用所有号，禁用所有暂时暂时不用的不用的账账号。一定要禁用号。一定要禁用“guestguest”用用户户。重命名重命名系系统统默默认认的管理的管理员员“AdministratorAdministrator”，然后然后再再创创建一个名建一个名为为“AdministratorAdministrator”的用的用户户，并分配，并分配给这给这个新用个新用户户一一个

30、复个复杂杂无比的口令，最后不无比的口令，最后不让让它属于任何它属于任何组组。2 2使用使用NTFSNTFS文件系文件系统统 FAT32FAT32无法提供用无法提供用户户所需的所需的针对针对于本地的于本地的单单个文件与目个文件与目录录的的权权限限设设置。置。NTFSNTFS格式是服格式是服务务器必器必须须的，使用的，使用FAT32FAT32文件系文件系统统没有安全性可没有安全性可言。言。3 3不不让让系系统显统显示上次登示上次登录录的用的用户户名名 通通过过修改修改“管理工具管理工具”中的中的“本地安全策略本地安全策略”的相的相应选项应选项或修改系或修改系统注册表来统注册表来实现实现。1711.

31、2 Windows 200011.2 Windows 2000的的访问访问控制控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系系统统安全安全设设置置(续续)4 4禁止建立空禁止建立空连连接接 默默认认情况下，任何用情况下，任何用户户可通可通过过空空连连接接连连上服上服务务器，枚器，枚举账举账号并猜号并猜测测密密码码。通。通过过修改修改“管理工具管理工具”中的中的“本地安全策略本地安全策略”的相的相应选项应选项或修或修改系统注册表来改系统注册表来实现实现。5 5打开安全打开安全审审核核 Windows 2000Windows 200

32、0的安全审计功能在默认安装时是关闭的。激活此功的安全审计功能在默认安装时是关闭的。激活此功能有利于管理员很好的掌握机器的状态，有利于系统的入侵检测。你能有利于管理员很好的掌握机器的状态，有利于系统的入侵检测。你可以从日志中了解到机器是否在被人蛮力攻击、非法的文件访问等。可以从日志中了解到机器是否在被人蛮力攻击、非法的文件访问等。设置设置“本地安全策略本地安全策略”中中“本地策略本地策略”的的“审核策略审核策略”，建议设，建议设置如下：置如下：审核策略审核策略设置设置账户登录事件账户登录事件成功，失败成功，失败账户管理账户管理成功，失败成功，失败登录事件登录事件成功，失败成功，失败对象访问对象访

33、问失败失败策略更改策略更改成功，失败成功，失败特权使用特权使用成功，失败成功，失败系统事件系统事件失败失败1811.2 Windows 200011.2 Windows 2000的的访问访问控制控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系系统统安全安全设设置置(续续)6 6关关闭闭不必要和危不必要和危险险的系的系统统服服务务 安装好安装好Windows 2000Windows 2000后，一般开放了数十后，一般开放了数十项项系系统统或或应应用服用服务务，做，做为为一个管理一个管理员员，应该应该知道各种服知道各种服务务都是做什么

34、用的，例如有人入侵后都是做什么用的，例如有人入侵后须须及及时发现时发现是否运行了一些入侵者留下的服是否运行了一些入侵者留下的服务务。管理方法是打开。管理方法是打开“管管理工具理工具”“”“服服务务”，根据要求启，根据要求启动动/停止相停止相应应的服的服务务。可参照附录可参照附录1 1。7 7修改修改终终端服端服务务的默的默认认端口端口 如有必要才需要此操作，默如有必要才需要此操作，默认为认为33893389，可随意修改，可随意修改为为1 16553565535的的端口。端口。键值：键值：“HKLMSYSTEMCurrent ControlSetControlTerminal ServerWin

35、“HKLMSYSTEMCurrent ControlSetControlTerminal ServerWin Stations”Stations”。8 8网卡的端口网卡的端口筛选筛选 具体情况配置具体情况配置。通过。通过网卡网卡“属性属性”-“”-“TCP/IPTCP/IP协议协议属性属性”-“”-“高高级级”-“”-“选项选项”-“”-“TCP/IPTCP/IP筛选筛选属性属性”来设置来设置。根据服务器开启的应用服务，添加相应的根据服务器开启的应用服务，添加相应的TCPTCP、UDPUDP端口或端口或IPIP协议。协议。如一台服务器只作如一台服务器只作WebWeb和和EmailEmail服务

36、器，则可只允许服务器，则可只允许8080、110110和和2525端口。端口。1911.2 Windows 200011.2 Windows 2000的的访问访问控制控制 11.2.3 Windows 2000 Server11.2.3 Windows 2000 Server系系统统安全安全设设置置(续续)9 9IISIIS安全配置安全配置 IISIIS安全操作步安全操作步骤骤：配置：配置“开始开始”“程序程序”-“管理工具管理工具”-“Internet Internet 服服务务管理器管理器”。删删除除“默默认认站点站点”的站点的站点。默默认认的的IISIIS发发布布目目录为录为C:Inet

37、pubC:Inetpub，请请将将这这个目个目录删录删除。在除。在d d盘盘或或e e盘盘新建一个目新建一个目录录(目目录录名随意名随意)，然后新建一个站点，将主目，然后新建一个站点，将主目录录指向你新建的目指向你新建的目录录。1010禁用不必要的网禁用不必要的网络协议络协议与网与网络络共享共享 建建议议在网在网络络属性中关属性中关闭闭“MicrosoftMicrosoft网网络络客客户户端端”和和“MicrosoftMicrosoft网网络络文件与打印机共享文件与打印机共享”的的选项选项。建建议议去掉去掉系统的默认共享。可通过系统的默认共享。可通过NetNet命令、命令、“计算机管理计算机管

38、理”或或修改注册表实现。修改注册表实现。1111其它其它 建议仔细查看建议仔细查看“本地安全策略本地安全策略”、“计算机管理计算机管理”及及“组策略组策略”等相关组件的功能，了解这些组件对系统安全的影响。等相关组件的功能，了解这些组件对系统安全的影响。2011.3 11.3 安全安全审计审计技技术术 11.3.1 11.3.1 安全安全审计审计概述概述 审计审计是是对访问对访问控制的必要控制的必要补补充，是充，是访问访问控制的一个重控制的一个重要内容。要内容。审计审计会会对对用用户户使用何种信息使用何种信息资资源、使用的源、使用的时间时间，以及如何使用（以及如何使用（执执行何种操作）行何种操作

39、）进进行行记录记录与与监监控。控。审计审计和和监监控是控是实现实现系系统统安全的最后一道防安全的最后一道防线线，处处于系于系统统的最高的最高层层。审计审计与与监监控能控能够够再再现现原有的原有的进进程和程和问题问题，这对这对于于责责任追任追查查和数据恢复非常有必要。和数据恢复非常有必要。审计审计跟踪是系跟踪是系统统活活动动的流水的流水记录记录。该记录该记录按事件从始按事件从始至至终终的途径，的途径，顺顺序序检查检查、审查审查和和检验检验每个事件的每个事件的环环境及活境及活动动。审计审计跟踪跟踪记录记录系系统统活活动动和用和用户户活活动动。审计审计跟踪可以跟踪可以发发现违现违反安全策略的活反安全

40、策略的活动动、影响运行效率的、影响运行效率的问题问题以及程序中以及程序中的的错误错误。审计审计跟踪不但有助于帮助系跟踪不但有助于帮助系统统管理管理员员确保系确保系统统及及其其资资源免遭非法授源免遭非法授权权用用户户的侵害，同的侵害，同时还时还能帮助恢复数据。能帮助恢复数据。2111.3 11.3 安全安全审计审计技技术术 11.3.2 11.3.2 审计审计内容内容 审计审计跟踪可以跟踪可以实现实现多种安全相关目多种安全相关目标标，包括个人，包括个人职职能、能、事件重建、入侵事件重建、入侵检测检测和故障分析。和故障分析。1 1）个人）个人职职能（能（individual accountabil

41、ityindividual accountability）审计审计跟踪是管理人跟踪是管理人员员用来用来维护维护个人个人职职能的技能的技术术手段。如果用手段。如果用户户被知被知道他道他们们的行的行为为活活动动被被记录记录在在审计审计日志中，相日志中，相应应的人的人员员需要需要为为自己的行自己的行为为负责负责，他，他们们就不太会就不太会违违反安全策略和反安全策略和绕过绕过安全控制措施。安全控制措施。2 2）事件重建（）事件重建（reconstruction of eventsreconstruction of events）在在发发生故障后，生故障后，审计审计跟踪可以用于重建事件和数据恢复。跟踪可

42、以用于重建事件和数据恢复。3 3）入侵）入侵检测检测（intrusion detectionintrusion detection）审计审计跟踪跟踪记录记录可以用来可以用来协协助入侵助入侵检测检测工作。如果将工作。如果将审计审计的每一笔的每一笔记记录录都都进进行上下文分析，就可以行上下文分析，就可以实时发现实时发现或是或是过过后后预预防入侵防入侵检测检测活活动动。4 4）故障分析（）故障分析（problem analysisproblem analysis）审计审计跟踪可以用于跟踪可以用于实时审计实时审计或或监监控。控。2211.3 11.3 安全安全审计审计技技术术 11.3.3 11.3.

43、3 安全安全审计审计的目的目标标 计计算机安全算机安全审计审计机制的目机制的目标标如下：如下：1)1)应应为为安安全全人人员员提提供供足足够够多多的的信信息息，使使他他们们能能够够定定位位问问题题所所在在；但另一方面，提供的信息但另一方面，提供的信息应应不足以使他不足以使他们们自己也能自己也能够进够进行攻行攻击击。2)2)应应优优化化审审计计追追踪踪的的内内容容，以以检检测测发发现现的的问问题题，而而且且必必须须能能从从不不同的系同的系统资统资源收集信息。源收集信息。3)3)应应能能够够对对一一个个给给定定的的资资源源(其其他他用用户户也也被被视视为为资资源源)进进行行审审计计分分析，分辨看似

44、正常的活析，分辨看似正常的活动动，以，以发现发现内部内部计计算机系算机系统统的不正当使用；的不正当使用；4)4)设计审计设计审计机制机制时时，应应将系将系统统攻攻击击者的策略也考者的策略也考虑虑在内。在内。概括而言，概括而言，审计审计系系统统的目的目标标至少包括：至少包括：确定和保持系确定和保持系统统活活动动中每中每个人的个人的责责任任；确确认认重建事件的重建事件的发发生生；评评估估损损失失；临测临测系系统问题统问题区区；提；提供有效的灾供有效的灾难难恢复依据；恢复依据；提供阻止不正当使用系提供阻止不正当使用系统统行行为为的依据的依据；提供；提供案件案件侦侦破破证证据。据。2311.3 11.

45、3 安全安全审计审计技技术术 11.3.4 11.3.4 安全安全审计审计系系统统 审审计计通通过过对对所所关关心心的的事事件件进进行行记记录录和和分分析析来来实实现现。因因此此审审计计过过程程包包括括审审计计发发生生器器、日日志志记记录录器器、日日志志分分析析器器和和报报告机制几部分。告机制几部分。1 1日志的内容日志的内容 通常，通常，对对于一个事件，日志于一个事件，日志应应包括事件包括事件发发生的日期和生的日期和时间时间、引、引发发事事件的用件的用户户(地址地址)、事件和源和目的的位置、事件、事件和源和目的的位置、事件类类型、事件成型、事件成败败等。等。2 2安全安全审计审计的的记录记录

46、机制机制 不同的系不同的系统统可采用不同的机制可采用不同的机制记录记录日志。日志的日志。日志的记录记录可能由操作系可能由操作系统统完成，也可以由完成，也可以由应应用系用系统统或其他或其他专专用用记录记录系系统统完成。但是，大部分情完成。但是，大部分情况都可用系况都可用系统调统调用用SyslogSyslog来来记录记录日志，也可以用日志，也可以用SNMPSNMP记录记录。2411.3 11.3 安全安全审计审计技技术术 11.3.4 11.3.4 安全安全审计审计系系统统(续续)3 3安全安全审计审计分析分析 通通过对过对日志日志进进行分析，行分析，发现发现所需事件信息和所需事件信息和规规律是安

47、全律是安全审计审计的根本的根本目的。主要内容目的。主要内容有有：1 1）潜在侵害分析）潜在侵害分析；2 2）基于异常）基于异常检测检测的的轮轮廓廓；3 3）简简单单攻攻击击探探测测；4 4）复）复杂杂攻攻击击探探测测。4 4审计审计事件事件查阅查阅 由由于于审审计计系系统统是是追追踪踪、恢恢复复的的直直接接依依据据，甚甚至至是是司司法法依依据据，因因此此其其自自身身的的安安全全性性十十分分重重要要。审审计计系系统统的的安安全全主主要要是是查查阅阅和和存存储储的的安安全全。审审计计事件的事件的查阅应该查阅应该受到受到严严格的限制，不能格的限制，不能篡篡改日志。改日志。5 5审计审计事件存事件存储

48、储 审审计计事事件件的的存存储储也也有有安安全全要要求求，主主要要有有：1 1）受受保保护护的的审审计计踪踪迹迹存存储储；2 2）审计审计数据的可用性保数据的可用性保证证；3 3）防止）防止审计审计数据数据丢丢失。失。2511.3 11.3 安全安全审计审计技技术术 11.3.5 11.3.5 安全安全审计应审计应用用实实例例 流行的操作系流行的操作系统统都提供都提供审计审计的功能。下面以的功能。下面以Windows Windows 2000 Server2000 Server操作系操作系统为统为例，在例，在NTFSNTFS格式的支持下，格式的支持下，说说明安明安全全审计审计的的应应用用实实例

49、。例。1 1审计审计子系子系统结统结构构 在在“资资源源管管理理器器”中中，选选择择右右键键菜菜单单中中的的属属性性安安全全高高级级，再再选选择择“审审核核”以以激激活活目目录录审审核核对对话话框框，系系统统管管理理员员可可以以在在这这个个窗窗口口选选择择跟跟踪踪有有效效和和无无效的文件效的文件访问访问。2611.3 11.3 安全安全审计审计技技术术 11.3.5 11.3.5 安全安全审计应审计应用用实实例例 在在“本本地地安安全全策策”中中，系系统统管管理理员员可可以以根根据据各各种种用用户户事事件件的的成成功功和和失失败败选择审计选择审计策略，如登策略，如登录录和退出、文件和退出、文件

50、访问访问、权权限非法和关限非法和关闭闭系系统统等。等。2711.3 11.3 安全安全审计审计技技术术 11.3.5 11.3.5 安全安全审计应审计应用用实实例例 系系统统管管理理员员可可以以使使用用事事件件查查看看器器的的筛筛选选选选项项根根据据一一定定条条件件选选择择要要查查看看的日志条目。的日志条目。查查看条件包括看条件包括类别类别、用、用户户和消息和消息类类型。型。2811.3 11.3 安全安全审计审计技技术术 11.3.5 11.3.5 安全安全审计应审计应用用实实例例 WindowsWindows的的日日志志文文件件很很多多，但但主主要要是是系系统统日日志志、应应用用程程序序日