windows操作系统安全技术

《windows操作系统安全技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、操作系统安全第七章Windows操作系统安全技术第七章Windows操作系统安全技术7.1身份验证7.2访问的安全控制7.3注册表安全7.4域管理机制7.5文件系统安全7.6安全设置7.7日志7.8服务包与补丁包更新7.9Windows7安全机制十大革新7.1身份验证7.1.1基本概念1用户账户(Account）所谓用户账户，是计算机使用者的身份标识。每一个使用计算机的人，必须凭借他的用户账户才能进入计算机，进而访问计算机中的资源。用户账户有两种基本类型：本地用户账户和全局用户账户（域用户账户）（1

2、）本地用户账户创建于网络客户机，它的作用范围仅仅限于创建它的计算机，用于控制用户对该计算机上资源的访问。（2）域用户账户创建于服务器（域控制器），可以在网络中任何计算机上登录，使用范围是整个网络。7.1身份验证Windows系统常用的内置账户：（1）Guest:来宾账户。（2）Administrator:系统管理员账户，具有最高权限。2组(Group）组是一组相关账号的集合，即用户账户的一种容器，提供了为一组用户同时设定权利和权限的可能。使用组的目的：简化对网络的管理，通过组可以一次性地为一批用户授

3、予一定的权利和权限。7.1身份验证Windows系统中的组有三种基本类型：本地组全局组特别组本地组（1）本地组（工作组网络环境的组）用于创建网络客户机，控制对所创建的计算机资源的访问。它的成员是用户账户和全局组，它在一个本地的系统或者域中进行维护。本地组只有在创建它的本地系统或者域中才能实现对许可权和权限的管理。全局组（2）全局组（域环境中的组）用于创建服务器（域控制器），控制对域资源的访问。系统管理员可以利用全局组有效地将用户按他们的需要进行安排。Windows系统提供了三类全局组：1）管理员组（

4、DomainAdmins）2）用户组（DomainUsers）3）域客人组（DomainGuests）（3）特别组Windows系统为了特定的目的创建了特别组。通过用户访问系统资源的方式来决定用户是否具有特别组的成员资格，特别组不可以通过用户管理器为其增加新成员，同时它也不可以被浏览和修改。Windows系统提供的的特别组如下：1）System：Windows操作系统2）Creatorowner：创建对对象拥有所有权的用户3）Interactive：以交互的方式在本地系统登录入网的所有用户4）Net

5、work：系统中所有通过网络连接的用户5）Everyone：登录上网的系统中的所有用户（包括Interactive和Network组）需要注意的是，在特别组中，所有登录账户都是Everyone组的成员特别组1)用户账户的管理从安全角度考虑，应注意如下几点：（1）要保证用户不会从隶属于的组中获得超过其任务要求的额外权限，同时用户隶属于的组能满足它的任务要求。（2）图7-2为Windows2000/XP系统中用户属性对话框的“配置文件标签”对话框，一个登录脚本可以被分配给一个或者多个用户组账户，脚本文件

6、一般是可执行文件（扩展名为.exe）或者是批处理文件（扩展名为.cmd或者.bat）。若设置了登录脚本，则系统在每次登录的时候都会运行此脚本。7.1.2账户安全管理2)系统管理员账户的管理在安装Windows系统时系统管理员账户自动产生，该账户不会因为多次登录失败而被锁住，它不能被删除，但可以更名。（1）系统管理员口令设置为了使对系统的野蛮攻击和猜测变得更加困难，应该选择随即的、可打印的并且大小写混合的字符串来设置系统管理员，尤其是系统域管理员（主域控制器的系统管理员）的口令。其他服务器的管理员应采

7、用与域控制器中管理员不同的密码，以便更安全的保证域的绝对管理权限。（2）系统管理员账户安全管理新建一个拥有域级系统管理员权限的用户再将系统管理员的权限设置为最低或更换管理员账户名是保护系统管理员账户的常用措施。7.1.2账户安全管理7.1.2账户安全管理3)组的安全管理措施如下：（1）本地一般用户组的成员在不扩大其访问权限的条件下可以产生它们自己的用户组；（2）应该清楚用户组的成员设置是否得当，要对其进行仔细的观察；（3）为了使具有相同安全策略的用户组在登录时间、密码和权限等方面保持一致，可以用组将

8、其组织在一起；（4）由于域控制器的复制组复制的数据库是安全性数据库，所以不能将全局组用户或者本地一般用户组加入到复制组中；（5）DomainGuests组和Guests组与普通用户组一样，其中的成员决定其运作方式，与Guests帐号具有独特的性质不一样。7.1.3Windows身份验证7.1.3Windows身份验证要使用户和系统之间建立联系，本地用户必须请求本地登录进行身份验证，远程用户必须请求远程登录进行身份验证。Windows远程登录身份验证经过如下阶段SMB验