windows系统安全(安全模型与体系结构)解析

平安模型与体系结构书目1平安威逼2信息平安特性3信息平安的目的4信息平安体系结构1网络中存在的平安威逼信息丢失，篡改，销毁内部，外部泄密缓冲区溢出后门，隐藏通道逻辑炸弹计算机病毒、木马未授权访问拒绝服务攻击流量、流向分析平安威逼来源平安威逼来源分为：内部和外部。内部威逼：系统的合法用户以非授权方式访问系统。多数已知的计算机犯罪都和系统平安遭遇损害的内部攻击有亲密的关系。防止内部威逼的疼惜方法:a.对工作人员进行细致审查；b.细致检查硬件、软件、平安策略和系统配制，以便在确定程度上保证运行的正确性(称为可信功能度)。c.审计跟踪以提高检测出这种攻击的可能性。外部威逼：外部威逼的实施也称远程攻击。a.搭线(主动的与被动的);b.截取辐射;c.冒充为系统的授权用户,或冒充为系统的组成部分;d.为鉴别或访问限制机制设置旁路等。外部入侵技术的发展外部入侵系统步骤攻击的发展一攻击组织严密化二攻击行为趋利化三攻击目标干脆化四僵尸网络发展快速五针对网络基础设施的攻击数量有明显增多趋势六新型网络应用的发展带来了新的平安问题和威逼（web阅读器，E-Mail和DNS服务，eMule,clubox,迅雷等）书目1平安威逼2信息平安特性3信息平安的目的4信息平安体系信息平安的基本特征相对性只有相对的平安，没有确定的平安系统。信息平安的基本特征

时效性新的漏洞与攻击方法不断发觉配置相关性日常管理中的不同配置会引入新的问题（平安测评只证明特定环境与特定配置下的平安）新的系统部件会引入新的问题(新的设备的引入、防火墙配置的修改)信息平安的基本特征攻击的不确定性攻击发起的时间、攻击者、攻击目标和攻击发起的地点都具有不确定性困难性：信息平安是一项系统工程，须要技术的和非技术的手段，涉及到平安管理、教化、培训、立法、国际合作与互不侵扰协定、应急反应等书目1平安威逼2信息平安特性3信息平安的目的4信息平安体系信息平安的目的平安工作的目的就是通过接受合适的平安技术与平安管理措施，完成以下任务：平安工作目的（一）运用认证机制，阻挡非授权用户进入网络，即“进不来”，从而保证网络系统的可用性。运用授权机制，实现对用户的权限限制，即不该拿走的“拿不走”，同时结合内容审计机制，实现对网络资源及信息的可控性。运用加密机制，确保信息不暴漏给未授权的实体或进程，即“看不懂”，从而实现信息的保密性。平安工作目的（二）运用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而其它人“改不了”，从而确保信息的完整性。运用审计、监控、防抵赖等平安机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的平安问题供应调查依据和手段，实现信息平安的可审查性。书目1平安威逼2信息平安特性3信息平安的目的4信息平安体系架构信息平安的层次层次一：物理环境的平安性（物理层平安）层次二：操作系统的平安性（系统层平安）层次三：网络的平安性（网络层平安）层次四：应用的平安性（应用层平安）层次五：管理的平安性（管理层平安）平安层次整体平安技术因素平安体系结构平安策略（securitypolicy）是指在一个特定的环境里，为保证供应确定级别的平安疼惜所必需遵守的一系列条例、规则。平安策略具备普遍的指导意义，重要性在于指导作用。平安服务（securityservice）是由平安机构所供应的服务；它确保该系统的系统服务或数据传送具有足够的平安性。平安服务在计算机网络中，主要的平安防护措施被称作平安服务。网络通信中目前主要有五种平安服务认证服务：供应实体的身份的保证访问限制服务：防止对资源的非授权运用机密性服务：对数据供应疼惜使之不被非授权地泄露完整性服务：疼惜数据防止未授权的变更、删除或替代非否认服务：供应凭证，防止发送者否认或接收者抵赖已接收到相关的信息现有TCP/IP网络平安技术框架平安组件主机平安：主要考虑疼惜合法用户对于授权资源的运用，防止非法入侵者对于系统资源的侵占与破坏.其最常用的方法是利用操作系统的功能，如用户认证、访问权限限制、扫描、防毒软件、记帐审计、灾难复原等。网络平安：主要考虑网络上主机之间的访问限制，防止来自外部网络的入侵，疼惜数据在网上传输时不被泄密和修改其最常用的方法是防火墙、加密、入侵检测等。1防火墙防火墙通常被比方为网络平安的大门，用来鉴别什么样的数据包可以进出企业内部网。在应对黑客入侵方面，可以阻挡基于IP包头的攻击和非信任地址的访问。无法阻挡和检测基于数据内容的黑客攻击和病毒入侵，无法限制内部网络之间的违规行为2加密对称加密:运用同一个隐私密钥加密和解密数据非对称加密：运用一对密钥加密解密数据HASH散列算法：用HASH函数把信息混杂，使其不行复原原状3访问限制强制访问限制（Mandatoryaccesscontrol）系统独立于用户行为强制执行访问限制，用户不能变更他们的平安级别或对象的平安属性。这种访问限制规则通常对数据和用户依据平安等级划分标签，访问限制机制通过比较平安标签来确定授予还是拒绝用户对资源的访问。强制访问限制进行了很强的等级划分，所以经常用于军事用途。自主访问限制（Discretionaryaccesscontrol）自主访问限制机制允许对象的属主来制定针对该对象的疼惜策略。通常DAC通过授权列表（或访问限制列表）来限定哪些主体针对哪些客体可以执行什么操作。如此将可以特殊灵敏地对策略进行调整。由于其易用性与可扩展性，自主访问限制机制常常被用于商业系统。主流操作系统(WindowsServer,UNIX系统)，防火墙（ACLs）等都是基于自主访问限制机制来实现访问限制。基于角色的访问限制（Rolebasedaccesscontrol）4认证密码认证智能卡生物特征（指纹、面部扫描、视网膜扫描、语音分析）位置认证（IP，反向DNS）KerberosX.5095扫描器扫描器可以说是入侵检测的一种，主要用来发觉网络服务、网络设备和主机的漏洞，通过定期的检测与比较，发觉入侵或违规行为留下的痕迹。当然，扫描器无法发觉正在进行的入侵行为，而且它还有可能成为攻击者的工具6防毒软件防毒软件是最为人熟悉的平安工具，可以检测、清除各种文件型病毒、宏病毒和邮件病毒等。在应对黑客入侵方面，它可以查杀特洛伊木马和蠕虫等病毒程序，但对于基于网络的攻击行为（如扫描、针对漏洞的攻击）却无能为力考虑内部网络系统运行环境困难，网上用户数多，同Internet有连接等，需在网络上建立多层次的病毒防护体系，对桌面、服务器和网关等潜在病毒进入点实行全面疼惜。（1)建立基于桌面的反病毒系统在内部网中的每台桌面机上安装单机版的反病毒软件，实时监测和捕获桌面计算机系统的病毒，防止来自软盘、光盘以及活动驱动器等的病毒来源。（2）建立基于服务器的反病毒系统在网络系统的文件及应用服务器上安装基于服务器的反病毒软件，实时监测和捕获进出服务器的数据文件病毒，使病毒无法在网络中传播。网络病毒防范（3）建立基于Internet网关的反病毒系统在代理服务器（Proxy）网关上安装基于网关的反病毒软件，堵住来自Internet通过Http或Ftp等方式进入内部网络的病毒，而且可过滤恶意ActiveX,Java和JavaApplet程序。（4）建立病毒管理限制中心在中心限制台（平安管理限制台）实施策略配置和管理、统一事务和告警处理、保证整个网络范围内病毒防护体系的一致性和完整性。通过自动更新、分发和告警机制，使桌面PC和服务器等设备自动获得最新的病毒特征库，完成终端用户软件及病毒特征信息的自动更新和升级，以实现网络病毒防范系统的集中管理。7平安审计系统平安审计系统通过独立的、对网络行为和主机操作供应全面与忠实的记录，便利用户分析与审查事故缘由，很像飞机上的黑匣子。由于数据量和分析量比较大，目前市场上鲜见特殊成熟的产品8入侵检测与防卫系统（IDS）IDS:intrusionDetectionSystemIDS的主要功能包括检测并分析用户在网络中的活动，识别已知的攻击行为，统计分析异样行为，核查系统配置和漏洞，评估系统关键资源和数据文件的完整性，管理操作系统日志，识别违反平安策略的用户活动等。IDS网络型入侵检测系统(NetworkIntrusionDetectionSystem，NIDS)的数据源来自网络上的数据包。一般地，用户可将某台主机网卡设定为混杂模式，以监听本网段内全部数据包，推断其是否合法。NIDS担负着监视整个网段的任务IDSNIDS的优点主要