(安全生产)网络操作系统中的安全体系

15.1 网络操作系统中的安全体系

为了实现网络安全特性的要求，计算机网络中常用的安全技术有：主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术和安全管理技术。

在实现网络安全系统时，通常需要先对保护的网络进行深入的分析，然后，选择和使用适合该网络的一种或几种安全技术。

每一种网络操作系统，一般是按一定的安全目标进行设计，因此，都采用了一些安全策略，并使用了一些常用的安全技术。下面以Windows NT 为例进行简单地讨论，由于，这些讨论具有普遍性，因此，也适用于其他的网络操作系统。

15.1.1 Windows NT 4.0 的安全概述

1. Windows NT 中的对象

对象是NT 操作系统中的基本元素。对象可以是文件、目录、存储器、驱动器、系统程序或Windows 中的桌面等。

2. Windows NT 4.0 的安全性设计目标

在设计Windows NT 结构的时候，微软把目标定位于一个具有各种内在安全功能的强大而坚实

的网络操作系统。

3. 使用Windows NT 的实现网络安全策略

Windows NT 4.0 的安全结构由3个基本安全子系统的模块组成，即身份认证、信任确定和审计跟踪。对于每一个机构，任何操作系统的安全机制都不是自动生成的，因此，在使用Windows NT 之前必须先制定它们的安全策略。这些策略需要进行详细地说明，在明确了该机构对访问控制信息的保护及审核方面的具体要求之后，还需要对所制定的安全策略进行正确地配置，并实现了对象的访问控制之后，才能说用NT 构建一个高度安全地系统。由此可见，只有将企业的安全策略和Windows NT 底层的安全机制有机地结合起来，才能充分发挥Windows NT 的各项安全特性。

4. Windows NT 的安全机制

微软的Windows NT Server 提供了安全管理的功能，以及在企业级网络中实现和管理这些功能的工具。

①Windows NT 的安全子系统有：本地安全权威、安全账户管理、安全访问监督等。

②Windows NT 提供的安全机制有：登录过程控制、存取控制、存取标识和存取控制列表

等。

5. Windows NT 的安全模型

Windows NT 的安全模型影响着整个操作系统，由于，对象的访问必须经过一个核心区域的验证，因此，在NT 中未经授权的申请者和用户是不能访问对象的。Windows NT 的安全模型由本地安全权限、安全账户管理器和安全参考监视器等几个主要部分组成，并且包括登录入网处理、访问控制和对象安全服务等部分。上述这些部分构成了NT 的安全基础，也称为安全层次。

15.1.2 Windows NT 网络安全子系统的实现

Windows NT 的安全系统应当由3 个策略环节构成：即身份识别系统、资源访问权限控

制系统和安全审计系统。

(1)满足C2 安全等级的NT 必须做到的几项工作

①拥有对系统的非网络访问权限。

②去除或禁止使用软盘驱动器。

③更加严格地控制对标准系统文件的访问。

(2)Windows NT中C2安全等级的标准特征

①可自由决定的访问控制。允许管理员或用户定义自己所拥有的对象的访问控制。

②禁止对象的重用。主要表现在两个方面。第一，当内存被一个程序释放后，不再允许对它的

读访问。第二，当对象被删除，即对象所在的磁盘空间已被重新分配时，也不允许用户对对

象进行再次的访问。

③身份的确认和验证。在系统进行任何访问之前，用户必须先确认自己的身份，包括输入用户

名、口令、域和组等信息的验证。

④审核。应当创建并维护用户对对象的访问记录，并防止他人更改此记录。必须严格地规定，

只有管理员才能够访问系统的审核信息。

15.1.2.1 Windows NT 网络的登录和身份认证机制

Windows NT 处理各种服务请求，是建立在授权许可的基础上，因此，必须先通过用户的登录和

访问权限的验证，此后还需要对用户的访问权限进行限制。其验证过程分为以下几个部分。

1. Windows NT 网络的登录机制和账户管理

Windows NT 网络登录时，要求用户使用唯一的用户名和口令登录到计算机上，这种登录过程是不能关闭的，因此，称为强制性的登录。

( 1 ) 登录机制

①登录过程

任何一台NT 计算机都使用“ Ctrl+Alt+Del ”三个健的组合进行强制登录，登录过程包括输入的用户名和密码的登录验证过程。

②登录的类型

登录的类型分为交互登录和远程登录两种。

交互登录：使用本地的安全账户管理 ( SAM ，Security Reference Monitor )进行身份认

证。当用户选择了本地SAM ，则登录时，不会发生域内的身份验证，所有的身份认证均在本地，并可以针对本地资源进行访问。

远程登录：当用户在一个域中的计算机上登录到一个服务器时，就会发生远程登录，也叫做“域SAM ”，此时，用户的身份认证会传递到“域”的控制器上去完成。

( 2) 身份识别系统

Windows NT 中的身份识别系统是网络安全系统的第一层保护，它除了进行账户和口令的检测以外，还可以由管理员限制用户的上网时间、非法使用者锁定和密码更改等。

用户账户的设置是由系统管理员来确定的，它不但是用户惟一的身份识别标志，还被分配了到域中访问资源的权限。当然，用户可以选择本地的SAM 或域SAM 方式进行交互式登录或者是远程登录。不同的登录方式，对资源的使用权限也不同。每一个需要使用网络的用户都应该拥有一个账户。

①账户管理的最高权限账户—Administrator 账户

每一台NT 计算机在安装过程中都会建立一个系统默认的Administrator 账户。该账户不能删除，但可以被更改名称。在域控制器上，此账户是一个全局账户，在其他计算机上，它只是一个本地账户。系统管理员可以使用Administrator 账户进行登录，并定义用户对资源的使用权限，用户账户的管理，还可以从网上任何站点进行远程登录，并行使各种管理权。

使用域的Administrator账户登录时的系统管理员可以完成以下任务。

可以对文件和目录的安全访问权限进行设置和控制。

可以对注册表进行操作。例如：修改注册表。可以对用户的账号进行集中管理。设置用户

登录网络的账户和口令，指定登录时间，

确定账户的期限及口令的使用限定等。

可以审计各种事件。例如：用户的登录尝试设置，就是指当用户登录失败的次数超过指定的次数，系统可以将用户账号锁定。

由于，域的Administrator账户具有很高的权限，因此，为了保证网络的安全，对该账户及其他具有同等特权的账户的账号必须采取严格地安全措施。

②账户管理。账户管理的内容包括：用户口令控制、本地和全局账户、用户宿主目录的指定、

网络登录脚本、用户强制性配置文件，以及将用户分配到默认的组等多项账户属性的操作。

（3）账户的安全策略

建立用户账户的方法在第8章中已作介绍，本节仅介绍账户安全的设置策略和步骤。

Windows NT的缺省和默认账户策略是为了便于用户方便而设计的。例如：允许用户使用空口令和选择任意长度的口令。而这些设置可以使得非法入侵者可以轻易地入侵网络。因此，出于安全性考虑，应当修改上述的设计策略。表15-2说明了建议网络管理员在各种情

况下可以采取的账户策略。

注意：NT操作系统可以自动锁定账户，管理员不能采用手动锁定账户，但是，可以进行禁止账户或解锁的操作。

（4）账户安全策略的实施步骤

①依次选择“开始T程序T管理工具T域用户管理工具”命令选项，激活如图15-7

所示的窗口。

图15-7 “域用户管理器”窗口

②在图15-7所示的“域用户管理器” 窗口中，选择“规则（策略）T账户”命令选项，即可

激活如图15-8所示的窗口。注：有些NT版本中的“规则”命令显示为“策略”。

图15-8 “域用户管理器”中的“账号规则”窗口

③在图15-8所示的窗口中，可以设置：密码限制、账号锁定和锁定时间等，用户应当根据安

全策略的需要酌情进行选择。例如：可以通过“登录失败”选项进行设定。

用户允许的最多登录企图的次数的取值范围为：1?999。如果设定的值为5次，就表示用户在连续5次的错误登录之后，系统就会锁定该账户。

④对于锁定时间可以在“复位账号前锁定”选项处进行设置，通过设定用户账户，在

锁定前的最大登录时间间隔，其取范围为1?99999分钟。例如：如果将此时间设

定为30分钟，就表示用户在30分钟之内，连续进行了允许的错误登录次数后，其账户将被自动锁定。

⑤在“锁定时间”处，设定对锁定账户的处理方式。如果选择了“永久”单选项，将使得被锁

定的账户在管理员解锁它们之前，保持锁定状态。如果选择了“时间”单选项，则要求设定锁定时间，即被锁定的用户账户将在该时间之后自动解锁，从而恢复该账户的使用权。

⑥在图15-8所示的窗口中，如果选择了“账号不锁定”的单选项，则系统对于登录失败将不

进行任何的处理。注意：为了防止他人不断地登录而猜出用户的密码，最好不要选择此项，而应按照上面所介绍的方法进行必要的设置。

⑦为了防止用户非法访问域，每一个用户账户都要设置一个密码。Windows NT的身

份验证系统，要求用户在登录NT网络时，提供正确的密码，否则用户的入网请求

将被拒绝。Windows NT密码的策略如表15-2所述，这里仅介绍用户密码的保护方

法和操作步骤。

依次选择“开始T程序T管理工具T域用户管理工具”命令选项，激活如图15-7所示的窗口。

在图15-7所示的窗口中，选择“规则（策略）T账户”命令选项。

在激活的窗口中，选择“密码最长期限” 选项，可以设置用户口令可以使用的时间，其取值范围为1?999天。之后，用户将被要求改变口令。为安全起见，应当要求用户经常更换他们的口令。在中等安全性的网络中，要求用户每45?90天更换一次口

令。在高等安全性的网络中，要求用户每14?45天更换一次口令。当然，也可以将

其设置为“密码永久有效” ，为了避免密码失窃，建议尽量不要这样设置。

“最短密码期限”选项，用来设置口令在被用户改变之前，必须要保持的时间，其取值范围为1?999天。值得注意的是：本项设置的时间一定要小于“③”中所设置的密码最长期限值。

“最短密码长度”选项，用来设置口令的最小长度，由于口令越长越难被破译，因此，在中等安全性的网络中，要求用户的口令长度为6?8个字符。在高等安全性网

络中，要求用户的口令长度为8?14个字符。当然，也可以设置为“允许空密码” ，即允许用户不设置密码，为了保证系统的安全，建议不要这样选择和设置。

2. Windows NT 的访问控制机制系统的资源包括系统本身、文件、目录和打印机等各种网络共

享资源以及其他对象。

在NT-SER 中，提供了控制资源存取的工具。对资源可以灵活地控制到特定的用户、多

个用户、nobody、用户组或所有人等。这些控制可以由资源的所有者、系统管理员用户，以及其他被授授予了资源控制权限的用户来完成。

15.1.2.2 文件和目录的安全性

网络中最主要的资源就是文件和目录，因此，几乎所有操作系统的访问控制机制的安全特性都取决于文件和目录的安全性。当然，文件和目录的安全也是Windows NT 安全模型的核心。文件和目录的安全性可以应用于单个文件、多个文件、目录或整个的目录结构。因此，NT 的资源访问控制系统，可以确定用户对目录和文件的访问和使用的权利。它除了规定了用户所能访问的网络信息资源的目录和文件外，还可以控制用户的访问层次和范围。

1. 通过共享许可（权限）保护网络资源

（ 1 ）共享的基本概念

共享和共享文件夹：当一个目录（文件夹）被共享时，用户就可以通过网络连接到该共享目录（文件夹）上，进而访问该文件夹中的所有文件和文件夹。因此，共享是一种开放共享资源的操作，而所开放的目录资源就被称为共享目录。

（2）共享许可（权限）

①共享许可。在共享许可情况下，用户可以通过共享目录（文件夹）来访问网络的程序、

数据和用户的宿主文件夹，但不能对目录下的文件具有单独和特定的权限。此外，当用

户从本地登录访问资源时，共享目录设置的权限（许可）是无效的。

②共享许可使用的目的。其基本目的是：避免网络中的每个用户都安装同样的文件和目

录。共享许可应用的另一个目的：是将安全性运用于网络的共享资源上，例如：共享

许可运用于目录上，可以实现共享目录的网络安全访问。

③FAT 分区中的共享许可。在FAT 分区上，共享许可是使得网络资源获得安全性的惟一

方法。而在NTFS 分区上，可以通过“共享许可” 与下面将要介绍的“文件许可

和目录许可”两种途径来对网络中的文件和目录资源进行保护。

④共享目录许可（权限）的类型。共享目录许可的类型有四种，由高到低依次表示为：完

全控制、更改、读取与拒绝访问。

（3）用户和组的共享许可

如果管理员需要控制用户对共享目录的访问，就要给用户分配共享目录的访问权限。共享资源的权限既可以被单独地分配给用户或组；也可以被同时分配给组和用户。因此，一个用户既

可以直接获得某个目录的使用权限，也可以作为组的成员获得该目录的使用权限。一般情况下，用户对某个资源的有效权限为用户权限和组权限的组合，即取用户和组权限中的较高权限。例如：如果用户对于某个目录具有了“读取”权限，同时Everyone 组被分配了该目录“完全控制”的访问权限。则由于该用户必定是Everyone 的组员，因此，用户和组的组合权限的结果是该用户对于这个目录具有“完全控制”的访问权限。

注意：“拒绝访问”权限是个例外，因为，“拒绝访问”权限总会覆盖掉其他权限，在上例中，假定该用户对该目录的权限为“拒绝访问”，而Everyone 组同样被分配了“完全控制” 权限，组合结果是该用户对于此目录的访问权限为“拒绝访问” 。

（4）对于用户和组分配共享许可的一般准则

①对被访问的资源确定允许访问的组。

②给组分配其应具有的访问许可的类型。

③在允许网络用户执行所需的任务的前提下，给共享资源分配最严格的权限。

④删除新共享文件夹上的给Everyone 组分配的“完全控制”的缺省权限。

注意：为了简化管理，应当尽量使用组账户进行权限设置的管理，即先把用户添加到组

中，再给需要访问该资源的组，而不是单个用户分配访问权限。

（5）共享目录的权限（许可）的应用

下面从网络安全的角度出发，将介绍为共享目录分配许可（权限）的步骤。

①依次选择“开始T程序T Windows NT资源管理器”命令选项，打开NT中的资源管理器窗

口。

②选择拟管理的“驱动器T目录”，单击鼠标右键，在激活的快捷菜单中，选择“属性”选

项。

③在所选目录的“属性”窗口，选择“共享”选项卡，在该窗口中，即可对以下内容进行设

置。

“共享名”选项处应输入该目录的共享名。应注意：管理员或用户可以通过在共享名后，加一个“ $”符号来创建一个隐藏的共享目录，当用户在浏览计算机时，$符号可以将此共享目录隐藏起来。拥有该隐藏目录使用许可的用户仍然可以使用它。

“用户个数”选项：并输入使用该资源的确定用户数目。“备注”选项：用于输入该共享资源的描述，通过描述能够标识共享目录的内容，该选项处可以空白。

④在“属性”窗口中，单击“权限”按钮。在激活的窗口中，可以为用户或组分配选定目录的

使用权限。此处，应先选择用户和组，再为其分配权限类型。可以选择的访问类型有“完全

控制” 、“读取”和“拒绝访问”等。

对于一个已共享的目录，管理员可以执行“停止该目录的共享”的操作。当然，管理员必须注意，如果停止一个用户正在使用的目录，则可能导致用户数据的丢失。因此，当需要停止目录的共享时，会出现一个对话框提醒有用户正连接到该共享目录上。

2. 通过NTFS 许可保护网络资源

Windows NT 操作系统一般是利用NTFS 文件系统，而不是FAT 文件系统来格式化硬盘的。在NTFS 分区中可以通过共享许可和文件和目录许可两种方式实现网络资源的安全保护。由此可见，在NTFS 分区上，除了能够实现文件和目录的共享之外，还能够在文件和目录一级实施安全措施。

（1）NTFS 许可（权限）

①NTFS 许可：NTFS 许可（权限）就是只能在NTFS 文件系统分区上使用的权限。

②使用NTFS 权限（许可）的目的：共享许可只能控制网络资源的访问，而不能阻止从本地登录时对硬盘的任何操作；即使用共享许可用户可以通过本地的交互式登录，从本地访问文件和目录，因此，共享许可不能保护目录和单个的文件。而NTFS 许可（权限）不但能够控制远程登录用户的访问，还能限制本地登录用户操纵文件和目录的能力。此外，在NTFS 中，还可以审核任何个人和组访问文件和目录事件的成败情况，即用户的权限可以分配给目录和单独的文件，所以采用NTFS 可以提供更高的安全性。

③NTFS 许可类型：可以按文件和目录许可分为两大类，即文件许可和目录许可两类。每类

NTFS 许可又可以分别包括NTFS 的标准许可和NTFS 的特殊访问许可两类。NTFS 的标准许可（权限）：包括标准文件许可和标准目录许可两类。在大多数情况下，Windows NT 的文件系统中都使用NTFS 标准许可

NTFS 的特殊访问许可（权限）：包括特殊文件访问许可和特殊目录访问许可两类。

④文件许可：用于控制对文件的访问。文件许可又可以进一步分为标准文件许可和特殊访问文

件许可两类。

标准文件许可的类型：拒绝访问（None ）、读取（RX ）、更改（RWXD ）和完全控

制（All ）等 4 种。

特殊访问文件许可的类型：读取（R）、写入（W）、执行（X ）、删除（D）、更改许

可权（P）和获得所有权（O）等6种。

⑤目录许可：用于控制对NTFS 分区中各目录的访问。目录许可也可以进一步分为标准目录许

可和特殊访问目录许可两类。

标准目录许可的类型（文件和目录的访问权利）：拒绝访问（None和None）、列表

（RX和未指定）、读取（RX和RX ）、添加（WX和未指定）、添加与读取（RWX 和

RX ）、更改（RWXD和RWXD ）和完全控制（All ）等7种。

特殊访问目录许可的类型：完全控制（All ）、读取（R ）、写入（W）、执行（X ）、删除（D）、更改许可权（P）和获得所有权（O）等7种。

在NTFS 分区上创建目录或文件的用户将成为该文件或目录的所有者，而所有者总是能够分配和改变资源权限的。

NTFS 中文件的权限高于该文件存放目录所分配的权限。例如：一个用户对一个目录拥有

“写入”权限，对这个目录中的某文件却只有“读取”的权限时，则用户对该文件的权限是

“读取” 。

对于组账户和用户账户设置、使用和管理NTFS 权限的方法与FAT 文件系统中共享权限（许可）的类似，一个用户既可以被直接分配权限，也可作为组的成员被分配权限。

在共享许可中，权限可以分配给用户和组，但共享许可只能提供有限的安全性。

在NTFS 许可中，通过NTFS 许可和共享许可的组合，而获得网络资源的最大程度的安全性，在这两者许可中，限制最严格的权限是用户最终得到的有效权限。

（2）分配NTFS 许可（权限）的准则

①移去给Everyone 组的完全控制许可。

②给管理员组（Administrator 组）分配完全控制许可。

③对数据文件夹的创建组（Creator Owner 组）分配完全控制许可。

④让用户为自己的文件分配NTFS 许可。

⑤在完成任务的前提下，为用户分配最严格的权限。

（3）应用和分配NTFS 许可时的操作步骤

①在NTFS系统分区上的NT-SER或NT-WS上，依次选择“开始宀程序宀Windows NT

资源管理器”命令选项，打开“ NT 资源管理器”窗口。

②选择拟管理的目录或文件后，单击鼠标右键，在激活的快捷菜单中，选择“属性” 选项。

③在激活的选定目录或文件的“属性”窗口中，选择“安全性”选项卡，从中选择并单击“权

限”按钮。

④在激活的窗口中，通过选择“访问类型”来为当前的组和用户分配权限。在该窗口

中，所见到的是NTFS的标准权限。另外，从“访问类型”列表中，可以通过选择

“选择性目录访问”和“选择性文件访问”选项，进一步扩充目录的访问权限。

⑤选定之后，单击“添加”按钮，在激活的窗口中，可以为其他的用户和组分配所目

录或文件的NTFS权限。最后，单击“确定”按钮，完成对组或用户NTFS目录权