计算机网络安全电子教案第2章

《计算机网络安全电子教案第2章》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第二章操作系统安全本章主要内容：第一节安全等级标准第二节漏洞第三节NetWare系统安全第四节WindowsNT系统安全第五节UNIX系统的安全第六节Windows2000的安全10/3/20211操作系统安全知识点漏洞的概念、类型NetWare、WindowsNT、UNIX的安全性和漏洞Windows9X、Windows2000的安全10/3/20212操作系统安全难点WindowsNT、UNIX的安全性10/3/20213操作系统安全要求熟练掌握以下内容：漏洞的定义和分类NetWare、WindowsNT、

2、UNIX、Windows2000的安全漏洞了解以下内容：NetWare、WindowsNT、UNIX的安全性安全等级标准10/3/20214操作系统安全第一节安全等级标准美国的“可信计算机系统评估准则（TCSEC）”中国国家标准《计算机信息安全保护等级划分准则》10/3/20215操作系统安全2.1.1美国的“可信计算机系统评估准则（TCSEC）”橙皮书（正式名为“可信任计算机标准评估准则”）根据这四个准则为计算机的安全级别进行了分类，分为D、C、B、A级，由低到高。D级暂时不分子级。C级分为C1和C2两个子级

3、，C2比C1提供更多的保护。B级分为B1、B2和B3三个子级，由低到高。A级暂时不分子级。每级包括它下级的所有特性。10/3/20216操作系统安全D级:D级是最低的安全级别，整个计算机系统是不可信任的。硬件和操作系统很容易被侵袭。任何人都可以自由地使用该计算机系统，不对用户进行验证。系统不要求用户进行登记（要求用户提供用户名）或使用密码（要求用户提供唯一的字符串来进行访问）。任何人都可以坐在计算机的旁边并使用它。DOS、Windows3.x及Windows95(不在工作组方式中)都属于D级的计算机操作系统。1

4、0/3/20217操作系统安全C级分为C1和C2两个子级C1级是选择性安全防护（discretionarysecurityprotection）系统，要求硬件有一定的安全保护（如硬件有带锁装置，需要钥匙才能使用计算机）。用户在使用计算机系统前必须先登录。另外，作为C1级保护的一部分，允许系统管理员为一些程序或数据设立访问许可权限。UNIX系统、Novell3.x或更高版本、WindowsNT都属于C1级兼容计算机操作系统。C1级：10/3/20218操作系统安全C2级：C2级引进了受控访问环境（用户权限级别）的

5、增强特性，具有进一步限制用户执行某些命令或访问某些文件的权限，而且还加入了身份认证级别。能够达到C2级的常见操作系统有UNIX、Novell3.x或更高版本、WindowsNT.10/3/20219操作系统安全B级分为B1、B2和B3三个子级B1级：指符号安全防护（labelsecurityprotection），支持多级安全。“符号”是指网上的一个对象，该对象在安全防护计划中是可识别且受保护的。“多级”是指这一安全防护安装在不同级别，对敏感信息提供更高级的保护，让每个对象都有一个敏感标签，而每个用户都有一个许

6、可级别。B1级安全措施的计算机系统随着计算机系统而定，政府机构和防御承包商们是B1级计算机系统的主要拥有者。10/3/202110操作系统安全B2级：B2级又称为结构防护（structuredprotection），要求计算机系统中所有对象加标签，而且给设备（如工作站、终端和磁盘驱动器）分配安全级别。如允许用户访问一台工作站，但不允许访问含有职员工资资料的磁盘子系统。10/3/202111操作系统安全B3级：B3级又称为安全域（securitydomain），要求用户工作站或终端通过可信任途径连接网络系统，而且

7、这一级采用硬件来保护安全系统的存储区。10/3/202112操作系统安全A级：A级是橙皮书中的最高安全级，又称为验证设计（veritydesign），它包括了一个严格的设计、控制和验证过程。与前面所提到的各级别一样，该级别包含了较低级别的所有特性。设计必须是从数学角度上经过验证的，而且必须进行秘密通道和可信任分布的分析。可信任分布（trusteddistribution）的含义是，硬件和软件在物理传输过程中已经受到保护，以防止破坏安全系统。10/3/202113操作系统安全2.1.2中国国家标准《计算机信息安全

8、保护等级划分准则》该准则将计算机信息系统安全保护等级划分为五个级别：用户自主保护级本级的安全保护机制使用户具备自主安全保护能力，保护用户和用户组信息，避免其他用户对数据的非法读写和破坏。2.系统审计保护级本级的安全保护机制具备第一级的所有安全保护功能，并创建、维护访问审计跟踪记录，以记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，使所有用户对自己行为的合法性负责。10/3