1、第三部分 網絡安全防御技術 第8章 安全操作系統基礎 安全操作系統的基本概念、實現機制 安全模型以及安全體系結構 操作系統安全的36條基本配置原則第9章 密碼學與信息加密 密碼學的基本概念 DES加密和RSA加密 加密工具PGP 數字簽名的原理，數字水印的基本概念 PKI信任模型第10章 防火墻與入侵檢測 防火墻的基本概念 常見防火墻類型及實現防火墻規則集 入侵檢測系統的基本概念和入侵檢測的常用方法 編寫入侵檢測工具 使用工具實現入侵檢測。第11章 IP安全與Web安全 IPSec中的AH協議和ESP協議 密鑰交換協議IKE VPN的功能以及解決方案 SSL和TLS安全協議的內容與體系結構第8

2、章 安全操作系統基礎8內容提要 介紹安全操作系統的基本概念、實現機制、安全模型以及安全體系結構 操作系統的安全將決定網絡的安全，從保護級別上分成安全初級篇、中級篇和高級篇，共36條基本配置原則8.1 常用操作系統概述目前服務器常用的操作系統有四類：FreeBSD、UNIX、Linux和Windows NT/2000/2003 Server。這些操作系統都是符合C2級安全級別的操作系統，但是都存在不少漏洞，如果對這些漏洞不了解，不采取相應的安全措施，就會使操作系統完全暴露給入侵者。8.1.1 UNIX操作系統主要特色包括5個方面。（1）可靠性高。許多UNIX主機和服務器在國內許多企業每天24小時

3、、每年365天不間斷運行，并保持著良好的狀態，這是Windows系列操作系統所不能比擬的。整個HP公司的所有信息處理工作都采用UNIX操作系統來承擔。（2）極強的伸縮性。UNIX操作系統可以在筆記本計算機、個人計算機、小型機和大型機上運行。此外，由于采用了對稱多處理器技術、大規模并行處理器和簇等技術，使商品化的UNIX操作系統支持的CPU數量達到了32個，這就使UNIX平臺的擴展能力大大加強了。強大的可伸縮性是企業級操作系統的重要特征。（3）網絡功能強。強大的網絡功能是UNIX操作系統最重要的特色之一，特別是作為Internet技術基礎的TCP/IP協議就是在UNIX操作系統上開發出來的，幾乎

4、所有的UNIX操作系統都支持TCP/IP協議。（4）強大的數據庫支持功能。由于UNIX操作系統支持各種數據庫，特別是對關系型數據庫管理系統（Relationship Database Management System，RDBMS）提供強大的支持，許多數據庫廠商將UNIX操作系統作為首選的操作系統，比如：Oracle，Informix和Sybase等。（5）開放性好。開放系統的概念已經被計算機業界普遍接受，而且成為發展的主要趨勢。所有的計算機軟件廠商都聲稱自己的產品是開發系統，但是程度上有明顯的差別。 Linux系統 Linux是一套可以免費使用和自由傳播的類Unix操作系統，主要用于基于In

5、tel x86系列CPU的計算機上。這個系統是由全世界各地的成千上萬的程序員設計和實現的。其目的是建立不受任何商品化軟件的版權制約的、全世界都能自由使用的Unix兼容產品。Linux最早開始于一位名叫Linus Torvalds的計算機業余愛好者，當時他是芬蘭赫爾辛基大學的學生。目的是想設計一個代替Minix（是由一位名叫Andrew Tannebaum的計算機教授編寫的一個操作系統示教程序）的操作系統。這個操作系統可用于386、486或奔騰處理器的個人計算機上，并且具有Unix操作系統的全部功能。Linux典型的優點有7個。（1）完全免費（2）完全兼容POSIX 1.0標準（3）多用戶、多任

6、務（4）良好的界面（5）豐富的網絡功能（6）可靠的安全、穩定性能 （7）支持多種平臺 Windows系統Windows NT（New Technology）是微軟公司第一個真正意義上的網絡操作系統，發展經過NT3.0、NT40、NT5.0（Windows 2000）和NT6.0（Windows 2003）等眾多版本，并逐步占據了廣大的中小網絡操作系統的市場。Windows NT眾多版本的操作系統使用了與Windows 9X完全一致的用戶界面和完全相同的操作方法，使用戶使用起來比較方便。與Windows 9X相比，Windows NT的網絡功能更加強大并且安全。Windows NT系列操作系統W

7、indows NT系列操作系統具有以下三方面的優點。（1）支持多種網絡協議由于在網絡中可能存在多種客戶機，如Windows 95/98、Apple Macintosh、Unix、OS/2等等，而這些客戶機可能使用了不同的網絡協議，如TCP/IP協議、IPX/SPX等。Windows NT系列操作支持幾乎所有常見的網絡協議。（2）內置Internet功能隨著Internet的流行和TCP/IP協議組的標準化，Windows NT內置了IIS（Internet Information Server），可以使網絡管理員輕松的配置WWW和FTP等服務。（3）支持NTFS文件系統Windows 9X所使

8、用的文件系統是FAT，在NT中內置同時支持FAT和NTFS的磁盤分區格式。使用NTFS的好處主要是可以提高文件管理的安全性，用戶可以對NTFS系統中的任何文件、目錄設置權限，這樣當多用戶同時訪問系統的時候，可以增加文件的安全性。8.2 安全操作系統的研究發展Multics是開發安全操作系統最早期的嘗試。1965年美國貝爾實驗室和麻省理工學院的MAC課題組等一起聯合開發一個稱為Multics的新操作系統，其目標是要向大的用戶團體提供對計算機的并發訪問，支持強大的計算能力和數據存儲，并具有很高的安全性。貝爾實驗室中后來參加UNIX早期研究的許多人當時都參加了Multics的開發工作。由于Multi

9、cs項目目標的理想性和開發中所遇到的遠超預期的復雜性使得結果不是很理想。事實上連他們自己也不清楚什么時候，開發到什么程度才算達到設計的目標。雖然Multics未能成功，但它在安全操作系統的研究方面邁出了重要的第一步，Multics為后來的安全操作系統研究積累了大量的經驗，其中Mitre公司的Bell和La Padula合作設計的BLP安全模型首次成功地用于Multics，BLP安全模型后來一直都作為安全操作系統開發所采用的基礎安全模型。8.2 安全操作系統的研究發展Adept-50是一個分時安全操作系統，可以實際投入使用，1969年C.Weissman發表了有關Adept-50的安全控制的研究

10、成果。安全Adept-50運行于IBM/360硬件平臺，它以一個形式化的安全模型高水印模型（High-Water-Mark Model）為基礎，實現了美國的一個軍事安全系統模型，為給定的安全問題提供了一個比較形式化的解決方案。在該系統中可以為客體標上敏感級別（Sensitivity Level）屬性。系統支持的基本安全條件是，對于讀操作不允許信息的敏感級別高于用戶的安全級別（Clearance）；在授權情況下，對于寫操作允許信息從高敏感級別移向低敏感級別。8.2 安全操作系統的研究發展Adept-50是一個分時安全操作系統，可以實際投入使用，1969年C.Weissman發表了有關Adept-

11、50的安全控制的研究成果。安全Adept-50運行于IBM/360硬件平臺，它以一個形式化的安全模型高水印模型（High-Water-Mark Model）為基礎，實現了美國的一個軍事安全系統模型，為給定的安全問題提供了一個比較形式化的解決方案。在該系統中可以為客體標上敏感級別（Sensitivity Level）屬性。系統支持的基本安全條件是，對于讀操作不允許信息的敏感級別高于用戶的安全級別（Clearance）；在授權情況下，對于寫操作允許信息從高敏感級別移向低敏感級別。1969年B.W.Lampson通過形式化表示方法運用主體（Subject）、客體（Object）和訪問矩陣（Acces

12、s Matrix）的思想第一次對訪問控制問題進行了抽象。主體是訪問操作中的主動實體，客體是訪問操作中被動實體，主體對客體進行訪問。訪問矩陣以主體為行索引、以客體為列索引，矩陣中的每一個元素表示一組訪問方式，是若干訪問方式的集合。矩陣中第i行第j列的元素Mij記錄著第i個主體Si可以執行的對第j個客體Oj的訪問方式，比如MijRead，Write表示Si可以對Oj進行讀和寫操作。8.2 安全操作系統的研究發展PSOS（Provably Secure Operating System）提供了一個層次結構化的基于權能的安全操作系統設計，1975年前后開始開發。PSOS采用了層次式開發方法，通過形式化

13、技術實現對安全操作系統的描述和驗證，設計中的每一個層次管理一個特定類型的對象，系統中的每一個對象通過該對象的權能表示進行訪問。KSOS（Kernelized Secure operating System）是美國國防部研究計劃局1977年發起的一個安全操作系統研制項目，由Ford太空通訊公司承擔。KSOS采用了形式化說明與驗證的方法，目標是高安全可信性。UCLA Secure Unix也是美國國防部研究計劃局于1978年前后發起的一個安全操作系統研制項目，由加里福尼亞大學承擔。UCLA Secure Unix的系統設計方法及目標幾乎與KSOS相同。8.2 安全操作系統的研究發展LINVS 是1

14、984年開發的基于UNIX的一個實驗安全操作系統，系統的安全性可達到美國國防部橘皮書的B2級。它以4.1BSD Unix為原型，實現了身份鑒別、自主訪問控制、強制訪問控制、安全審計、特權用戶權限分隔等安全功能。Secure Xenix是IBM公司于1986年在SCO Xenix的基礎上開發的一個安全操作系統，它最初是在IBM PC/AT平臺上實現的。Secure Xenix對Xenix進行了大量的改造開發，并采用了一些形式化說明與驗證技術。它的目標是TCSEC的B2到A1級。IBM公司的V.D.Gligor等在發表Secure Xenix系統的設計與開發成果中，把Unix類的安全操作系統開發方

15、法劃分成仿真法和改造/增強法兩種方式。Secure Xenix系統采用的是改造/增強法。另外值得指出的是Secure Xenix系統基于安全注意鍵（SAK，Secure Attention Key）實現了可信通路（Trusted Path），并在安全保證方面重點考慮了3個目標：系統設計與BLP模型之間的一致性；實現的安全功能的測試；軟件配置管理工具的開發。8.2 安全操作系統的研究發展ASOS（Army Secure Operating System）是針對美軍的戰術需要而設計的軍用安全操作系統，由TRW公司1990年發布完成。ASOS由兩類系統組成，其中一類是多級安全操作系統，設計目標是TC

16、SEC的A1級；另一類是專用安全操作系統，設計目標是TCSEC的C2級。兩類系統都支持Ada語言編寫的實時戰術應用程序，都能根據不同的戰術應用需求進行配置，都可以很容易地在不同硬件平臺間移植，兩類系統還提供了一致的用戶界面。從具體實現上來看，ASOS操作系統還具有5個主要特點：ASOS操作系統本身也主要是用Ada語言實現的；ASOS采用訪問控制列表（Access Control List，ACL）實現了細粒度的自主訪問控制；ASOS依據BLP模型實現了防止信息泄露的強制訪問控制，依據Biba模型實現了確保數據完整性的強制訪問控制；ASOS在形式化驗證中建立了兩個層次的規范和證明，一個層次用于抽

17、象的安全模型，另一個層次用于形式化頂層規范；用于證明系統安全性的主要工具是Gypsy驗證環境（GVE），ASOS開發了一個在GVE中工作的流分析工具，用于分析系統設計中潛在的隱蔽通道。8.2 安全操作系統的研究發展OSF/1是開放軟件基金會于1990年推出的一個安全操作系統，被美國國家計算機安全中心（NCSC）認可為符合TCSEC的B1級，其主要安全性表現4個方面：系統標識；口令管理；強制存取控制和自主存取控制；審計。UNIX SVR4.1ES是UI（UNIX國際組織）于1991年推出的一個安全操作系統，被美國國家計算機安全中心（NCSC）認可為符合TCSEC的B2級，除OSF/1外的安全性主

18、要表現在4個方面：更全面的存取控制；最小特權管理；可信通路；隱蔽通道分析和處理。1991年，在歐洲共同體的贊助下，英、德、法、荷四國制定了擬為歐共體成員國使用的共同標準信息技術安全評定標準（ITSEC）。隨著各種標準的推出和安全技術產品的發展，美國和同加拿大及歐共體國家一起制定通用安全評價準則（Common Criteria for IT Security Evaluation，CC），1996年1月發布了CC的1.0版。CC標準的2.0版已于1997年8月頒布，并于1999年7月通過國際標準組織認可，確立為國際標準，即ISO/IEC 15408。 8.2 安全操作系統的研究發展在1992到1

19、993年之間，美國國家安全局（NSA）和安全計算公司（SCC）的研究人員在TMach項目和LOCK項目的基礎上，共同設計和實現了分布式可信Mach系統（Distributed Trusted Mach，DTMach）。DTMach項目的后繼項目是分布式可信操作系統（Distributed Trusted Operating System，DTOS）。DTOS項目改良了早期的設計和實現工作，產生了一些供大學研究的原型系統，例如Secure Transactional Resources、DX等。此外DTOS項目產生了一些學術報告、系統形式化的需求說明書、安全策略和特性的分析、組合技術的研究和對多

20、種微內核系統安全和保證的研究。當DTOS項目快要完成的時候，NSA、SCC和猶他州大學的Flux項目組聯合將DTOS安全結構移植到Fluke操作系統研究中去。在將結構移植到Fluke的過程中，他們改良了結構以更好地支持動態安全策略。這個改良后的結構就叫Flask。一些Flask的接口和組件就是從Fluke到OSKit中的接口和組件中繼承下來的。8.2 安全操作系統的研究發展2001年，Flask由NSA在Linux操作系統上實現，并且不同尋常地向開放源碼社區發布了一個安全性增強型版本的Linux（SELinux）包括代碼和所有文檔。與傳統的基于TCSEC標準的開發方法不同，1997年美國國家安

21、全局和安全計算公司完成的DTOS安全操作系統采用了基于安全威脅的開發方法。設計目標包括3個方面：（1）策略靈活性：DTOS內核應該能夠支持一系列的安全策略，包括諸如國防部的強制存取控制多級安全策略；（2）與Mach兼容，現有的Mach應用應能在不做任何改變的情況下運行；（3）性能應與Mach接近。8.2 安全操作系統的研究發展SELinux以Flask安全體系結構為指導，通過安全判定與安全實施的分離實現了安全策略的獨立性，借助訪問向量緩存（AVC）實現了對動態策略的支持。SELinux定義了一個類型實施（TE）策略，基于角色的訪問控制（RBAC）策略和多級安全（MLS）策略組合的安全策略，其中

22、TE和RBAC策略總是系統實現的安全策略的有機組成。EROS（Extremely Reliable Operating System）是一種基于權能（Capability，權能）的高性能微內核實時安全操作系統，是GNOSIS（后命名為KeyKOS）體系結構的第三代實現。EROS最初由美國賓西法尼亞大學開發，此項目現已轉入約翰霍普金斯大學。目前，EROS仍處在研究開發階段，只支持Intel 486以上的系列芯片。第一個EROS內核已在1999年完成，現在開發的版本是EROS 2.0，不久就會發布。EROS的源代碼遵守GPL規范，可在其網站（）獲得。8.2.2 國內安全操作系統的發展國內也進行了許

23、多有關安全操作系統的開發研制工作，并取得了一些研究成果。1990年前后，海軍計算技術研究所和解放軍電子技術學院分別開始了安全操作系統技術方面的探討，他們都是參照美國TCSEC標準的B2級安全要求，基于UNIX System V3.2進行安全操作系統的研究與開發。1993年，海軍計算技術研究所繼續按照美國TCSEC標準的B2級安全要求，圍繞Unix SVR4.2/SE，實現了國產自主的安全增強包。1995年，在國家“八五”科技攻關項目“COSA國產系統軟件平臺”中，圍繞UNIX類國產操作系統COSIX V2.0的安全子系統的設計與實現，中國計算機軟件與技術服務總公司、海軍計算技術研究所和中國科學

24、院軟件研究所一起參與了研究工作。COSIX V2.0安全子系統的設計目標是介于美國TCSEC的B1和B2級安全要求之間，當時定義為B1，主要實現的安全功能包括安全登錄、自主訪問控制、強制訪問控制、特權管理、安全審計和可信通路等。8.2.2 國內安全操作系統的發展中國科學院信息安全技術工程研究中心基于Linux資源，開發完成了符合我國GB178591999第三級（相當于美國TCSEC B1）安全要求的安全操作系統SecLinux。SecLinux系統提供了身份標識與鑒別、自主訪問控制、強制訪問控制、最小特權管理、安全審計、可信通路、密碼服務、網絡安全服務等方面的安全功能。依托南京大學的江蘇南大蘇

25、富特軟件股份有限公司開發完成了基于Linux的安全操作系統SoftOS，實現的安全功能包括：強制訪問控制、審計、禁止客體重用、入侵檢測等。信息產業部30所控股的三零盛安公司推出的強林Linux安全操作系統，達到了我國GB178591999第三級的安全要求。中國科學院軟件所開放系統與中文處理中心基于紅旗Linux操作系統，實現了符合我國GB178591999第三級要求的安全功能。中國計算機軟件與技術服務總公司以美國TCSEC標準的B1級為安全目標，對其COSIX V2.0進行了安全性增強改造。8.3 安全操作系統的基本概念安全操作系統涉及很多概念：主體和客體安全策略和安全模型訪問監控器安全內核可

26、信計算基。8.3.2 安全策略和安全模型安全策略與安全模型是計算機安全理論中容易相互混淆的兩個概念。安全策略是指有關管理、保護和發布敏感信息的法律、規定和實施細則。例如，可以將安全策略定為：系統中的用戶和信息被劃分為不同的層次，一些級別比另一些級別高；而且如果主體能讀訪問客體，當且僅當主體的級別高于或等于客體的級別；如果主體能寫訪問客體，當且僅當主體的級別低于或等于客體的級別。說一個操作系統是安全的，是指它滿足某一給定的安全策略。同樣進行安全操作系統的設計和開發時，也要圍繞一個給定的安全策略進行。安全策略由一整套嚴密的規則組成，這些確定授權存取的規則是決定存取控制的基礎。許多系統的安全控制遭到

27、失敗，主要不是因為程序錯誤，而是沒有明確的安全策略。安全模型則是對安全策略所表達的安全需求的簡單、抽象和無歧義的描述，它為安全策略和安全策略實現機制的關聯提供了一種框架。安全模型描述了對某個安全策略需要用哪種機制來滿足；而模型的實現則描述了如何把特定的機制應用于系統中，從而實現某一特定安全策略所需的安全保護。8.3.3 訪問監控器和安全內核訪問控制機制的理論基礎是訪問監控器（Reference Monitor），由J.P.Anderson首次提出。訪問監控器是一個抽象概念，它表現的是一種思想。J.P.Anderson把訪問監控器的具體實現稱為引用驗證機制，它是實現訪問監控器思想的硬件和軟件的組

28、合 8.3.3 訪問監控器和安全內核安全策略所要求的存取判定以抽象存取訪問控制數據庫中的信息為依據，存取判定是安全策略的具體表現。訪問控制數據庫包含有關由主體存取的客體及其存取方式的信息。數據庫是動態的，它隨著主體和客體的產生或刪除及其權限的修改而改變。訪問監控器的關鍵需求是控制從主體到客體的每一次存取，并將重要的安全事件存入審計文件之中。引用驗證機制需要同時滿足以下三個原則：（1）必須具有自我保護能力；（2）必須總是處于活躍狀態；（3）必須設計得足夠小，以利于分析和測試，從而能夠證明它的實現是正確的。8.3.3 訪問監控器和安全內核在訪問監控器思想的基礎上，J.P.Anderson定義了安全

29、內核的概念。安全內核是指系統中與安全性實現有關的部分，包括引用驗證機制、訪問控制機制、授權機制和授權管理機制等部分。因此一般情況下人們趨向于把訪問監控器的概念和安全內核方法等同起來。安全內核是實現訪問監控器概念的一種技術，在一個大型操作系統中，只有其中的一小部分軟件用于安全目的是它的理論依據。所以在重新生成操作系統過程中，可用其中安全相關的軟件來構成操作系統的一個可信內核，稱之為安全內核。安全內核必須予以適當的保護，不能篡改。同時絕不能有任何繞過安全內核存取控制檢查的存取行為存在。此外安全內核必須盡可能地小，便于進行正確性驗證。安全內核由硬件和介于硬件和操作系統之間的一層軟件組成 操作系統安全

30、內核 8.3.4 可信計算基操作系統的安全依賴于一些具體實施安全策略的可信的軟件和硬件。這些軟件、硬件和負責系統安全管理的人員一起組成了系統的可信計算基（Trusted Computing Base，TCB）。具體來說可信計算基由以下7個部分組成：1. 操作系統的安全內核。2. 具有特權的程序和命令。3. 處理敏感信息的程序，如系統管理命令等。4. 與TCB實施安全策略有關的文件。5. 其它有關的固件、硬件和設備。 6. 負責系統管理的人員。 7. 保障固件和硬件正確的程序和診斷軟件。8.4 安全操作系統的機制安全操作系統的機制包括：硬件安全機制，操作系統的安全標識與鑒別，訪問控制、最小特權管

31、理、可信通路和安全審計。8.4.1 硬件安全機制絕大多數實現操作系統安全的硬件機制也是傳統操作系統所要求的，優秀的硬件保護性能是高效、可靠的操作系統的基礎。計算機硬件安全的目標是，保證其自身的可靠性和為系統提供基本安全機制。其中基本安全機制包括存儲保護運行保護I/O保護等。8.4.2 標識與鑒別標識與鑒別是涉及系統和用戶的一個過程。標識就是系統要標識用戶的身份，并為每個用戶取一個系統可以識別的內部名稱用戶標識符。用戶標識符必須是惟一的且不能被偽造，防止一個用戶冒充另一個用戶。將用戶標識符與用戶聯系的過程稱為鑒別，鑒別過程主要用以識別用戶的真實身份，鑒別操作總是要求用戶具有能夠證明他的身份的特殊

32、信息，并且這個信息是秘密的，任何其他用戶都不能擁有它。在操作系統中，鑒別一般是在用戶登錄時發生的，系統提示用戶輸入口令，然后判斷用戶輸入的口令是否與系統中存在的該用戶的口令一致。這種口令機制是簡便易行的鑒別手段，但比較脆弱，許多計算機用戶常常使用自己的姓名、配偶的姓名、寵物的名字或者生日作為口令，這種口令很不安全，因為這種口令很難經得住常見的字典攻擊的。較安全的口令應是不小于6個字符并同時含有數字和字母的口令，并且限定一個口令的生存周期。另外生物技術是一種比較有前途的鑒別用戶身份的方法，如利用指紋、視網膜等，目前這種技術已取得了長足進展，逐步進入了應用階段。8.4.3 訪問控制在安全操作系統領

33、域中，訪問控制一般都涉及自主訪問控制（Discretionary Access Control，DAC）強制訪問控制（Mandatory Access Control，MAC）兩種形式8.4.4 最小特權管理為使系統能夠正常地運行，系統中的某些進程需具有一些可違反系統安全策略的操作能力，這些進程一般是系統管理員/操作員進程。一般定義一個特權就是可違反系統安全策略的一個操作的能力。在現有一般多用戶操作系統（如UNIX、Linux等）的版本中，超級用戶具有所有特權，普通用戶不具有任何特權。一個進程要么具有所有特權(超級用戶進程)，要么不具有任何特權(非超級用戶進程)。這種特權管理方式便于系統維護和

34、配置，但不利于系統的安全性。一旦超級用戶的口令丟失或超級用戶被冒充，將會對系統造成極大的損失。另外超級用戶的誤操作也是系統極大的潛在安全隱患。因此必須實行最小特權管理機制。最小特權管理的思想是系統不應給用戶超過執行任務所需特權以外的特權，如將超級用戶的特權劃分為一組細粒度的特權，分別授予不同的系統操作員/管理員，使各種系統操作員/管理員只具有完成其任務所需的特權，從而減少由于特權用戶口令丟失或錯誤軟件、惡意軟件、誤操作所引起的損失。比如可在系統中定義5個特權管理職責，任何一個用戶都不能獲取足夠的權力破壞系統的安全策略。8.4.5可信通路在計算機系統中，用戶是通過不可信的中間應用層和操作系統相互

35、作用的。但用戶登錄，定義用戶的安全屬性，改變文件的安全級等操作，用戶必須確實與安全核心通信，而不是與一個特洛伊木馬打交道。系統必須防止特洛伊木馬模仿登錄過程，竊取用戶的口令。特權用戶在進行特權操作時，也要有辦法證實從終端上輸出的信息是正確的，而不是來自于特洛伊木馬。這些都需要一個機制保障用戶和內核的通信，這種機制就是由可信通路提供的。8.4.6安全審計一個系統的安全審計就是對系統中有關安全的活動進行記錄、檢查及審核。它的主要目的就是檢測和阻止非法用戶對計算機系統的入侵，并顯示合法用戶的誤操作。審計作為一種事后追查的手段來保證系統的安全，它對涉及系統安全的操作做一個完整的記錄。審計為系統進行事故

36、原因的查詢、定位，事故發生前的預測、報警以及事故發生之后的實時處理提供詳細、可靠的依據和支持，以備有違反系統安全規則的事件發生后能夠有效地追查事件發生的地點和過程以及責任人。8.5 代表性的安全模型安全模型就是對安全策略所表達的安全需求的簡單、抽象和無歧義的描述，它為安全策略和它的實現機制之間的關聯提供了一種框架。安全模型描述了對某個安全策略需要用哪種機制來滿足；而模型的實現則描述了如何把特定的機制應用于系統中，從而實現某一特定安全策略所需的安全保護。8.5.1 安全模型的特點能否成功地獲得高安全級別的系統，取決于對安全控制機制的設計和實施投入多少精力。但是如果對系統的安全需求了解的不清楚，即

37、使運用最好的軟件技術，投入最大的精力，也很難達到安全要求的目的。安全模型的目的就在于明確地表達這些需求，為設計開發安全系統提供方針。安全模型有以下4個特點：它是精確的、無歧義的；它是簡易和抽象的，所以容易理解；它是一般性的：只涉及安全性質，而不過度地牽扯系統的功能或其實現；它是安全策略的明顯表現。安全模型一般分為兩種：形式化的安全模型和非形式化的安全模型。非形式化安全模型僅模擬系統的安全功能；形式化安全模型則使用數學模型，精確地描述安全性及其在系統中使用的情況。8.5.2 主要安全模型介紹 主要介紹具有代表性的BLP機密性安全模型Biba完整性安全模型Clark-Wilson完整性安全模型信息

38、流模型RBAC安全模型DTE安全模型無干擾安全模型等。1. Bell-LaPadula（BLP）模型 Bell-LaPadula模型（簡稱BLP模型）是D. Elliott Bell和Leonard J. LaPadula于1973年提出的一種適用于軍事安全策略的計算機操作系統安全模型，它是最早、也是最常用的一種計算機多級安全模型之一。在BLP模型中將主體定義為能夠發起行為的實體，如進程；將客體定義為被動的主體行為承擔者，如數據，文件等；將主體對客體的訪問分為r（只讀），w（讀寫），a（只寫），e（執行），以及c（控制）等幾種訪問模式，其中c（控制）是指該主體用來授予或撤銷另一主體對某一客體的

39、訪問權限的能力。BLP模型的安全策略包括兩部分：自主安全策略和強制安全策略。自主安全策略使用一個訪問矩陣表示，訪問矩陣第i行第j列的元素Mij表示主體Si對客體Oj的所有允許的訪問模式，主體只能按照在訪問矩陣中被授予的對客體的訪問權限對客體進行相應的訪問。強制安全策略包括簡單安全特性和特性，系統對所有的主體和客體都分配一個訪問類屬性，包括主體和客體的密級和范疇，系統通過比較主體與客體的訪問類屬性控制主體對客體的訪問。2. Biba模型BLP模型通過防止非授權信息的擴散保證系統的安全，但它不能防止非授權修改系統信息。于是Biba等人在1977年提出了第一個完整性安全模型Biba模型，其主要應用是

40、保護信息的完整性，而BLP模型是保護信息機密性。Biba模型也是基于主體、客體以及它們的級別的概念的。模型中主體和客體的概念與BLP模型相同，對系統中的每個主體和每個客體均分配一個級別，稱為完整級別。3. Clark-Wilson完整性模型在商務環境中，1987年David Clark和David Wilson所提出的完整性模型具有里程碑的意義，它是完整意義上的完整性目標、策略和機制的起源，在他們的論文中，為了體現用戶完整性，他們提出了職責隔離目標；為了保證數據完整性，他們提出了應用相關的完整性驗證進程；為了建立過程完整性，他們定義了對于轉換過程的應用相關驗證；為了約束用戶、進程和數據之間的關

41、聯，他們使用了一個三元組結構。Clark-Wilson模型的核心在于以良構事務(well-formal transaction)為基礎來實現在商務環境中所需的完整性策略。良構事務的概念是指一個用戶不能任意操作數據，只能用一種能夠確保數據完整性的受控方式來操作數據。為了確保數據項(data items)僅僅只能被良構事務來操作，首先得確認一個數據項僅僅只能被一組特定的程序來操縱，而且這些程序都能被驗證是經過適當構造，并且被正確安裝和修改。4. 信息流模型許多信息泄露問題（如隱蔽通道）并非存取控制機制不完善，而是由于缺乏對信息流的必要保護。例如遵守BLP模型的系統，應當遵守“下讀上寫”的規則，即低

42、安全進程程不能讀高安全級文件，高安全級進程不能寫低安全級文件。然而在實際系統中，盡管不一定能直接為主體所見，許多客體（包括緩沖池、定額變量、全程計數器等等）還是可以被所有不同安全級的主體更改和讀取，這樣入侵者就可能利用這些客體間接地傳遞信息。要建立高級別的安全操作系統，必須在建立完善的存取控制機制的同時，依據適當的信息流模型實現對信息流的分析和控制。5. 基于角色的訪問控制模型基于角色的訪問控制模型（Role-Based Access Control，RBAC）提供了一種強制訪問控制機制。在一個采用RBAC作為授權訪問控制的系統中，根據公司或組織的業務特征或管理需求，一般要求在系統內設置若干個

43、稱之為“角色”的客體，用以支撐RBAC授權存取控制機制的實現。角色，就是業務系統中的崗位、職位或者分工。例如在一個公司內，財會主管、會計、出納、核算員等每一種崗位都可以設置多個職員具體從事該崗位的工作，因此它們都可以視為角色。6. DTE模型DTE模型最初由Boebert和Kain提出，經修改后在LOCK系統中得到實現。與其它訪問控制機制一樣，DTE將系統視為一個主動實體（主體）的集合和一個被動實體（客體）的集合。每個主體有一個屬性域，每個客體有一個屬性類型，這樣所有的主體被劃分到若干個域中，所有的客體被劃分到若干個類型中。DTE再建立一個表“域定義表”(Domain Definition T

44、able)，描述各個域對不同類型客體的操作權限。同時建立另一張表“域交互表”(Domain Interaction Table)，描述各個域之間的許可訪問模式（如創建、發信號、切換）。系統運行時，依據訪問的主體域和客體類型，查找域定義表，決定是否允許訪問。7. 無干擾模型Goguen與Meseguer在1982年提出了一種基于自動機理論和域隔離的安全系統事項方法，這個方法分為4個階段：（1）判定一給定機構的安全需求；（2）用正式/形式化的安全策略表示這些需求；（3）把機構正在（或將要）使用的系統模型化；（4）驗證此模型滿足策略的需求。Goguen與Meseguer把安全策略與安全模型明確地區分

45、開來。一般來說安全策略是非常簡單的，而且很容易用適當的形式化方法表示出來。他們提出了一種非常簡單的用來表達安全策略的需求語言，該語言是基于無干擾概念的：8.6 操作系統安全體系結構建立一個計算機系統往往需要滿足許多要求，如安全性要求，性能要求，可擴展性要求，容量要求，使用的方便性要求和成本要求等，這些要求往往是有沖突的，為了把它們協調地納入到一個系統中并有效實現，對所有的要求都予以最大可能滿足通常是很困難的，有時也是不可能的。因此系統對各種要求的滿足程度必須在各種要求之間進行全局性地折衷考慮，并通過恰當的實現方式表達出這些考慮，使系統在實現時各項要求有輕重之分，這就是體系結構要完成的主要任務。

46、8.6.1 安全體系結構的含義一個計算機系統（特別是安全操作系統）的安全體系結構，主要包含如下4方面的內容：1. 詳細描述系統中安全相關的所有方面。這包括系統可能提供的所有安全服務及保護系統自身安全的所有安全措施，描述方式可以用自然語言，也可以用形式語言。2. 在一定的抽象層次上描述各個安全相關模塊之間的關系。這可以用邏輯框圖來表達，主要用以在抽象層次上按滿足安全需求的方式來描述系統關鍵元素之間的關系。3. 提出指導設計的基本原理。根據系統設計的要求及工程設計的理論和方法，明確系統設計的各方面的基本原則。4. 提出開發過程的基本框架及對應于該框架體系的層次結構。它描述確保系統忠實于安全需求的整

47、個開發過程的所有方面。為達到此目的，安全體系總是按一定的層次結構進行描述8.6.2 安全體系結構的類型在美國國防部的“目標安全體系”中，把安全體系劃分為四種類型：1. 抽象體系(Abstract Architecture)。抽象體系從描述需求開始，定義執行這些需求的功能函數。之后定義指導如何選用這些功能函數及如何把這些功能有機組織成為一個整體的原理及相關的基本概念。2. 通用體系(Generic Architecture)。通用體系的開發是基于抽象體系的決策來進行的。它定義了系統分量的通用類型(general type)及使用相關行業標準的情況，它也明確規定系統應用中必要的指導原則。通用安全體

48、系是在已有的安全功能和相關安全服務配置的基礎上，定義系統分量類型及可得到的實現這些安全功能的有關安全機制。3. 邏輯體系(Logical Architecture)。邏輯體系就是滿足某個假設的需求集合的一個設計，它顯示了把一個通用體系應用于具體環境時的基本情況。邏輯體系與下面將描述的特殊體系的僅有的不同之處在于：特殊體系是使用系統的實際體系，而邏輯體系是假想的體系，是為理解或者其它目的而提出的。4. 特殊體系(Specific Architecture)。特殊安全體系要表達系統分量、接口、標準、性能和開銷，它表明如何把所有被選擇的信息安全分量和機制結合起來以滿足我們正在考慮的特殊系統的安全需求

49、。這里信息安全分量和機制包括基本原則及支持安全管理的分量等。8.6.3 Flask安全體系結構Flask原型由一個基于微內核的操作系統來實現，支持硬件強行對進程地址空間的分離。但也有一些最近的努力已經展示了軟件強行進程分離的效果。對Flask結構而言，這種區別是基本不相關的。它認為所提供的進程分離的形式才是主要的，但Flask結構并沒有強制要某一種機制。Flask結構為達到其他系統常見的可適應性，將通過采用DTOS結構在SPIN中的安全框架具體證明。進一步來講，Flask結構也可以適用于除操作系統之外的其它軟件，例如中間件或分布式系統，但此時由底層操作系統的不安全性所導致的弱點仍保留。8.6.

50、4 權能體系結構權能體系是較早用于實現安全內核的結構體系，盡管它存在一些不足，但是作為實現訪問控制的一種通用的、可塑性良好的方法，目前仍然是人們實現安全比較偏愛的方法之一。權能體系的優點包括2個方面：（1）權能為訪問客體和保護客體提供了一個統一的方法，權能的應用對統籌設計及簡化證明過程有重要的影響。（2）權能與層次設計方法是非常協調的，從權能機制很自然可導致使用擴展型對象來提供抽象和保護的層次。盡管對權能提供的保護及權能的創建是集中式的，但是由權能實現的保護是可適當分配的，也就是說，權能具有傳遞能力。這樣一來，權能促進了機制與策略的分離。安全配置方案初級篇 安全配置方案初級篇主要介紹常規的操作

51、系統安全配置，包括十二條基本配置原則：物理安全、停止Guest帳號、限制用戶數量創建多個管理員帳號、管理員帳號改名陷阱帳號、更改默認權限、設置安全密碼屏幕保護密碼、使用NTFS分區運行防毒軟件和確保備份盤安全。1、物理安全服務器應該安放在安裝了監視器的隔離房間內，并且監視器要保留15天以上的攝像記錄。另外，機箱，鍵盤，電腦桌抽屜要上鎖，以確保旁人即使進入房間也無法使用電腦，鑰匙要放在安全的地方。2、停止Guest帳號在計算機管理的用戶里面把Guest帳號停用，任何時候都不允許Guest帳號登陸系統。為了保險起見，最好給Guest 加一個復雜的密碼，可以打開記事本，在里面輸入一串包含特殊字符,數

52、字，字母的長字符串。用它作為Guest帳號的密碼。并且修改Guest帳號的屬性，設置拒絕遠程訪問，如圖7-1所示。3 限制用戶數量去掉所有的測試帳戶、共享帳號和普通部門帳號等等。用戶組策略設置相應權限，并且經常檢查系統的帳戶，刪除已經不使用的帳戶。帳戶很多是黑客們入侵系統的突破口，系統的帳戶越多，黑客們得到合法用戶的權限可能性一般也就越大。對于Windows NT/2000主機，如果系統帳戶超過10個，一般能找出一兩個弱口令帳戶，所以帳戶數量不要大于10個。4 多個管理員帳號雖然這點看上去和上面有些矛盾，但事實上是服從上面規則的。創建一個一般用戶權限帳號用來處理電子郵件以及處理一些日常事物，另

53、一個擁有Administrator權限的帳戶只在需要的時候使用。因為只要登錄系統以后，密碼就存儲再WinLogon進程中，當有其他用戶入侵計算機的時候就可以得到登錄用戶的密碼，盡量減少Administrator登錄的次數和時間。5 管理員帳號改名Windows 2000中的Administrator帳號是不能被停用的，這意味著別人可以一遍又一邊的嘗試這個帳戶的密碼。把Administrator帳戶改名可以有效的防止這一點。不要使用Admin之類的名字，改了等于沒改，盡量把它偽裝成普通用戶，比如改成：guestone。具體操作的時候只要選中帳戶名改名就可以了，如圖7-2所示。6 陷阱帳號所謂的陷

54、阱帳號是創建一個名為“Administrator”的本地帳戶，把它的權限設置成最低，什么事也干不了的那種，并且加上一個超過10位的超級復雜密碼。這樣可以讓那些企圖入侵者忙上一段時間了，并且可以借此發現它們的入侵企圖?？梢詫⒃撚脩綦`屬的組修改成Guests組，如圖7-3所示。7 更改默認權限共享文件的權限從“Everyone”組改成“授權用戶”。“Everyone”在Windows 2000中意味著任何有權進入你的網絡的用戶都能夠獲得這些共享資料。任何時候不要把共享文件的用戶設置成“Everyone”組。包括打印共享，默認的屬性就是“Everyone”組的，一定不要忘了改。設置某文件夾共享默認設

55、置如圖7-4所示。 8安全密碼好的密碼對于一個網絡是非常重要的，但是也是最容易被忽略的。一些網絡管理員創建帳號的時候往往用公司名，計算機名，或者一些別的一猜就到的字符做用戶名，然后又把這些帳戶的密碼設置得比較簡單，比如：“welcome”、“iloveyou”、“letmein”或者和用戶名相同的密碼等。這樣的帳戶應該要求用戶首此登陸的時候更改成復雜的密碼，還要注意經常更改密碼。這里給好密碼下了個定義：安全期內無法破解出來的密碼就是好密碼，也就是說，如果得到了密碼文檔，必須花43天或者更長的時間才能破解出來，密碼策略是42天必須改密碼。9屏幕保護密碼設置屏幕保護密碼是防止內部人員破壞服務器的一

56、個屏障。注意不要使用OpenGL和一些復雜的屏幕保護程序，浪費系統資源，黑屏就可以了。還有一點，所有系統用戶所使用的機器也最好加上屏幕保護密碼。將屏幕保護的選項“密碼保護”選中就可以了，并將等待時間設置為最短時間“1秒”，如圖7-5所示。10 NTFS分區把服務器的所有分區都改成NTFS格式。NTFS文件系統要比FAT、FAT32的文件系統安全得多。 11防毒軟件Windows 2000/NT服務器一般都沒有安裝防毒軟件的，一些好的殺毒軟件不僅能殺掉一些著名的病毒，還能查殺大量木馬和后門程序。設置了放毒軟件，“黑客”們使用的那些有名的木馬就毫無用武之地了，并且要經常升級病毒庫。12備份盤的安全

57、一旦系統資料被黑客破壞，備份盤將是恢復資料的唯一途徑。備份完資料后，把備份盤防在安全的地方。不能把資料備份在同一臺服務器上，這樣的話還不如不要備份。 安全配置方案中級篇安全配置方案中級篇主要介紹操作系統的安全策略配置，包括十條基本配置原則：操作系統安全策略、關閉不必要的服務關閉不必要的端口、開啟審核策略開啟密碼策略、開啟帳戶策略、備份敏感文件不顯示上次登陸名、禁止建立空連接和下載最新的補丁1 操作系統安全策略利用Windows 2000的安全配置工具來配置安全策略，微軟提供了一套的基于管理控制臺的安全配置和分析工具，可以配置服務器的安全策略。在管理工具中可以找到“本地安全策略”，主界面如圖7-

58、6所示?？梢耘渲盟念惏踩呗裕簬舨呗?、本地策略、公鑰策略和IP安全策略。在默認的情況下，這些策略都是沒有開啟的。2 關閉不必要的服務Windows 2000的Terminal Services（終端服務）和IIS（Internet 信息服務）等都可能給系統帶來安全漏洞。為了能夠在遠程方便的管理服務器，很多機器的終端服務都是開著的，如果開了，要確認已經正確的配置了終端服務。有些惡意的程序也能以服務方式悄悄的運行服務器上的終端服務。要留意服務器上開啟的所有服務并每天檢查。Windows 2000作為服務器可禁用的服務及其相關說明如表7-1所示。 Windows2000可禁用的服務 服務名說明Co

59、mputer Browser維護網絡上計算機的最新列表以及提供這個列表Task scheduler允許程序在指定時間運行Routing and Remote Access在局域網以及廣域網環境中為企業提供路由服務Removable storage管理可移動媒體、驅動程序和庫Remote Registry Service允許遠程注冊表操作Print Spooler將文件加載到內存中以便以后打印。要用打印機的用戶不能禁用這項服務IPSEC Policy Agent管理IP安全策略以及啟動ISAKMP/Oakley(IKE)和IP安全驅動程序Distributed Link Tracking Cli

60、ent當文件在網絡域的NTFS卷中移動時發送通知Com+ Event System提供事件的自動發布到訂閱COM組件3 關閉不必要的端口關閉端口意味著減少功能，如果服務器安裝在防火墻的后面，被入侵的機會就會少一些，但是不可以認為高枕無憂了。用端口掃描器掃描系統所開放的端口，在Winntsystem32driversetcservices文件中有知名端口和服務的對照表可供參考。該文件用記事本打開如圖7-7所示。設置本機開放的端口和服務，在IP地址設置窗口中點擊按鈕“高級”，如圖7-8所示。在出現的對話框中選擇選項卡“選項”，選中“TCP/IP篩選”，點擊按鈕“屬性”，如圖7-9所示。設置端口界面