Unix-Linux操作系统安全技术PPT课件
合集下载
linux系统安全课件ppt第1 章 Linux操作系统的使用
1.2 主要linux版源自的安装过程• 详见视频讲解
1.3 使用中的常见问题
• 一下内容都按照书上步骤演示 • 1.3.1 在启动器上固定图标
• 1.3.2 激活root用户
1.4 Linux系统的硬盘分区和配置文 件
• 1.4.1 硬盘分区 • 在一个硬盘上最多可以划分出4个主分区
（Primary Partitions），如4个主分区不够用， 可将一个分区划分成扩展分区，之后在这个扩 展分区中再划分出多个逻辑分区。 • 当一个分区被格式化成指定的文件系统之后， 还必须将这个分区挂载到一个挂载点上，然后 才能够访问这个分区。挂载点实际上就是Linux 文件系统的层次结构中的一个目录，可以通过 这个目录来访问这个分区，以对这个分区进行 数据的读写操作。
• magic number（幻数），大小固定为2个字节。 在magic中存放了每一个BIOS的magic number。
2. 扩展分区与逻辑分区
• 如果4个主分区不够用，可以将其中一个分 区划分成扩展分区，也就是所谓的3P+1E技 术(3 Primary Partitions and 1 Extended Partition)。扩展分区不能单独使用，必须在 扩展分区中划分出逻辑分区，而信息只能 存放在逻辑分区中。在扩展分区中会使用 链接，也就是link list的方式来记录每一个逻 辑分区所对应到的磁柱
第1章 linux系统的使用
• 1.1 linux各种版本的简介 • 1.1.1 linux各种版本的简介 • 1.1.2 选择Linux发行版本的建议 • 1.2 主要linux版本的安装过程 • 1.2.1 安装虚拟机Oracle VM
VirtualBox
• 1.2.2 安装linux操作系统的ubuntu版 本 1.2.3 运行Linux系统
1.3 使用中的常见问题
• 一下内容都按照书上步骤演示 • 1.3.1 在启动器上固定图标
• 1.3.2 激活root用户
1.4 Linux系统的硬盘分区和配置文 件
• 1.4.1 硬盘分区 • 在一个硬盘上最多可以划分出4个主分区
（Primary Partitions），如4个主分区不够用， 可将一个分区划分成扩展分区，之后在这个扩 展分区中再划分出多个逻辑分区。 • 当一个分区被格式化成指定的文件系统之后， 还必须将这个分区挂载到一个挂载点上，然后 才能够访问这个分区。挂载点实际上就是Linux 文件系统的层次结构中的一个目录，可以通过 这个目录来访问这个分区，以对这个分区进行 数据的读写操作。
• magic number（幻数），大小固定为2个字节。 在magic中存放了每一个BIOS的magic number。
2. 扩展分区与逻辑分区
• 如果4个主分区不够用，可以将其中一个分 区划分成扩展分区，也就是所谓的3P+1E技 术(3 Primary Partitions and 1 Extended Partition)。扩展分区不能单独使用，必须在 扩展分区中划分出逻辑分区，而信息只能 存放在逻辑分区中。在扩展分区中会使用 链接，也就是link list的方式来记录每一个逻 辑分区所对应到的磁柱
第1章 linux系统的使用
• 1.1 linux各种版本的简介 • 1.1.1 linux各种版本的简介 • 1.1.2 选择Linux发行版本的建议 • 1.2 主要linux版本的安装过程 • 1.2.1 安装虚拟机Oracle VM
VirtualBox
• 1.2.2 安装linux操作系统的ubuntu版 本 1.2.3 运行Linux系统
UnixLinux操作系统安全技术
kerberos 认证机制
智能卡
8.1 账户安全管理
8.1.1 root账户的管理 在Unix\Linux系统中，root账号就是一个超级用户账户。
以超级用户可以对系统进行任何操作。
• 1．超级用户
• 而Unix\Linux超级用户账户可以不止一个。 • 在Unix系统中，只要将用户的UID和GID设置为0就可
Tripwire是目前最为著名的UNIX下文件系统完整性检查的软 件工具，这一软件采用的技术核心就是对每个要监控的文 件产生一个数字签名，并保留下来。当文件现在的数字签 名与保留的数字签名不一致时，那么现在这个文件必定被 改动过了。
8.3.3 NFS简介及相关安全性问题
1.NFS的基本工作原理
• NFS由服务器端和客户机端两部分组成。 • NFS是通过RPC即远程过程调用来实现的，使得远程
以将其变成超级用户，但并不是所有的超级用户都能很 容易的登录到Unix系统中，这是因为，Unix系统使用了 可插入认证模块（PAM）进行认证登录，PAM要求超 级用户只能在指定的终端上进行访问，这种指定的终端 是可以保证安全的。
• 2．root账户的安全
• root用户账户也是有密码的，这个密码可以对那些通过 控制台访问系统的用户进行控制，即使是使用su命令的 用户也不例外。
8.3.1 文件和目录的权限
确定了一个文件的访问权限后，用户可以利用系 统提供的的命令对权限进行设置
• chmod命令来重新设定不同的访问权限。 • chown命令来更改某个文件或目录的所有者。 • chgrp命令来更改某个文件或目录的用户组
8.3.2文件系统完整性检查
对于庞大的系统文件，管理员对每一个文件都进行检查室 难以想象的，而Tripwire能够提供这种帮助，它不是为了抵 御攻击者而设计的，然而它能够帮助判断系统的一些重要 文件是否被攻击者修改，即系统完整性检查工作。
智能卡
8.1 账户安全管理
8.1.1 root账户的管理 在Unix\Linux系统中，root账号就是一个超级用户账户。
以超级用户可以对系统进行任何操作。
• 1．超级用户
• 而Unix\Linux超级用户账户可以不止一个。 • 在Unix系统中，只要将用户的UID和GID设置为0就可
Tripwire是目前最为著名的UNIX下文件系统完整性检查的软 件工具，这一软件采用的技术核心就是对每个要监控的文 件产生一个数字签名，并保留下来。当文件现在的数字签 名与保留的数字签名不一致时，那么现在这个文件必定被 改动过了。
8.3.3 NFS简介及相关安全性问题
1.NFS的基本工作原理
• NFS由服务器端和客户机端两部分组成。 • NFS是通过RPC即远程过程调用来实现的，使得远程
以将其变成超级用户，但并不是所有的超级用户都能很 容易的登录到Unix系统中，这是因为，Unix系统使用了 可插入认证模块（PAM）进行认证登录，PAM要求超 级用户只能在指定的终端上进行访问，这种指定的终端 是可以保证安全的。
• 2．root账户的安全
• root用户账户也是有密码的，这个密码可以对那些通过 控制台访问系统的用户进行控制，即使是使用su命令的 用户也不例外。
8.3.1 文件和目录的权限
确定了一个文件的访问权限后，用户可以利用系 统提供的的命令对权限进行设置
• chmod命令来重新设定不同的访问权限。 • chown命令来更改某个文件或目录的所有者。 • chgrp命令来更改某个文件或目录的用户组
8.3.2文件系统完整性检查
对于庞大的系统文件，管理员对每一个文件都进行检查室 难以想象的，而Tripwire能够提供这种帮助，它不是为了抵 御攻击者而设计的，然而它能够帮助判断系统的一些重要 文件是否被攻击者修改，即系统完整性检查工作。
《操作系统安全技术》课件
系统调用安 全技术
限制应用程序对操 作系统的访问权限， 防止恶意代码利用 系统调用进行攻击。
隔离技术
将不同的应用程序 或用户隔离开，防 止恶意行为对其他 部分造成影响。
安全性评估
1 操作系统安全评估
2 安全审计
对操作系统的安全性进行综合评估，包括 漏洞扫描、安全配置审核等。
对操作系统的安全措施进行审计，发现潜 在的安全风险和漏洞。
3 操作系统结构
操作系统的结构会影响其性能和安全性，可以采用单内核、微内核或外核等结构。
操作系统安全
1 操作系统安全定义
2 操作系统安全漏洞
操作系统安全是指保护操作系统免受未经 授权访问、攻击和恶意软件的影响。
操作系统可能存在各种漏洞，如缓冲区溢 出、提权漏洞等，需要及时修补。
3 操作系统安全攻击
参考文献
感谢您参与《操作系统安全技术》课程的学习。以下是我们在编写PPT课件 时参考的文献。
《操作系统安全技术》 PPT课件
欢迎来到《操作系统安全技术》的PPT课件展示。本课程将介绍操作系统的 安全性，包括安全漏洞、防御技术以及应用实践等内容。
操作系统概述
1 操作系统定义
操作系统是控制和管理计算机硬件和软件资源的程序集合。
2 操作系统分类
操作系统可以根据功能和架构进行分类，如分时操作系统和实时操作系统。
操作系统安全实践
操作系统安全管理
建立操作系统安全管理体系， 包括应急响应、安全培训等。
安全策略
制定操作系统的安全策略， 如密码策略、访问控制策略 等。
安全技术应用
应用各种安全技术，如防火 墙、入侵检测系统等来加强 系统安全。
操作系统安全案例
操作系统安全漏洞案例
UNIX和Linux系统.ppt
源自Unix和linux操作系统
Unix/Linux与Windows的区别1——磁盘格式不同 windows系统的磁盘通常都是fat格式或者是ntfs格式； unix/linux系统的磁盘格式是Ext2、Ext3、VFAT、swap等； 除了VFAT格式外，其它格式两种操作系统都是无法相互读取的； 在PC机上安装linux操作系统必须先对磁盘格式进行格式化，转化 成相应的Ext和swap格式后才可以进行安装
小节
集成电路设计软件所使用的操作系统 LINUX/UNIX与WINDOWS 的区别
Unix和linux操作系统
Unix/Linux与Windows的区别2——文件管理方式不同 在linux系统中，所有的磁盘和文件都是以文件夹的形式 管理，也就是说文件夹的管理范围是高于物理磁盘的； 在windows系统中，物理磁盘之下才是文件夹； linux系统中文件夹中可以包含一个或者多个磁盘。
Unix和linux操作系统
Unix和linux操作系统
Unix/Linux与Windows的区别3——操作方法不同 linux系统是命令与图形并行的操作系统，也就是说 一方面它可以和window系统一样通过图形界面的操 作来完成一系列任务，也可以通过命令的形式来完成 操作任务，这一点和DOS操作系统类似。
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix与Linux操作系统 Unix ------- 工作站、服务器使用 ---- 可运行cadence软件 Linux ------ PC机使用 ------------- 可运行cadence软件 Windows ---- PC机使用 ------------- 不可运行cadence软 件
Unix/Linux与Windows的区别1——磁盘格式不同 windows系统的磁盘通常都是fat格式或者是ntfs格式； unix/linux系统的磁盘格式是Ext2、Ext3、VFAT、swap等； 除了VFAT格式外，其它格式两种操作系统都是无法相互读取的； 在PC机上安装linux操作系统必须先对磁盘格式进行格式化，转化 成相应的Ext和swap格式后才可以进行安装
小节
集成电路设计软件所使用的操作系统 LINUX/UNIX与WINDOWS 的区别
Unix和linux操作系统
Unix/Linux与Windows的区别2——文件管理方式不同 在linux系统中，所有的磁盘和文件都是以文件夹的形式 管理，也就是说文件夹的管理范围是高于物理磁盘的； 在windows系统中，物理磁盘之下才是文件夹； linux系统中文件夹中可以包含一个或者多个磁盘。
Unix和linux操作系统
Unix和linux操作系统
Unix/Linux与Windows的区别3——操作方法不同 linux系统是命令与图形并行的操作系统，也就是说 一方面它可以和window系统一样通过图形界面的操 作来完成一系列任务，也可以通过命令的形式来完成 操作任务，这一点和DOS操作系统类似。
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix和linux操作系统
Unix与Linux操作系统 Unix ------- 工作站、服务器使用 ---- 可运行cadence软件 Linux ------ PC机使用 ------------- 可运行cadence软件 Windows ---- PC机使用 ------------- 不可运行cadence软 件
操作系统安全概述(PPT-45张)
应用程序
应用程序
系统调用界面
文件子系统
字符 设备
高速缓存 块设备
进程 子系统
硬件控制
硬件
进程间通信 进程调度 存储管理 Nhomakorabea第八章 操作系统安全
Unix/Linux的安全机制
• 用户标识和身份鉴别 – 每个用户一个唯一的标识符(UID); – 系统给每个用户组也分配有一个唯一的标识符(GID); – 登录需要密码口令；
性”。 – 主目录 | 配置 | – 删除无用的.htr .ida .idq .printer .idc .stm .shtml等
终端服务安全
• 输入法漏洞造成的威胁
第八章 操作系统安全
第八章 操作系统安全
Windows2000的危险服务
• 剪贴簿查看器 • Messenger （Net send） • Remote Registry Service • Server (支持此计算机通过网络的文件、打印、和命
Windows 安全子系统第八章 操作系统安全
提供登陆接口
SSPI
提供真正的 用户校验
Winlogon GINA LSA
加载GINA， 监视认证顺序
加载认证包
Authentication Packages Security Account Management
Security Support Provider
Windows安全子系第八统章 操作系统安全
• 本地安全认证（Local Security Authority）：
它负责以下任务：
– 调用所有的认证包，检查在注册表 \HKLM\SYSTEM\CurrentControlSet\Control\LSA下 AuthenticationPAckages下的值，并调用该DLL进行认证 （MSV_1.DLL）。在4.0版里，Windows NT会寻找 \HKLM\SYSTEM\CurrentControlSet\Control\LSA 下所有存在的 SecurityPackages值并调用。
《Linux系统安全》课件
01
最小权限原则
只给予用户和应用程序执行任务 所需的最小权限，避免权限的过 度分配。
加密原则
02
03
更新和维护原则
对重要数据和通信进行加密，确 保数据在传输和存储时的安全性 。
及时更新系统和软件，定期进行 安全检查和维护，以修复已知的 安全漏洞。
02
Linux系统用户和权限管理
用户账号管理
用户账号的创建与删除
应用程序日志文件
如Web服务器的访问日志、数据库 的查询日志等，记录应用程序的运行 情况和用户行为。
安全日志文件
如/var/log/auth.log、 /var/log/secure等，记录与系统安 全相关的操作和事件。
自定义日志文件
根据实际需求，可以自定义日志文件 来记录特定的事件或操作。
异常行为检测与应对
03
Linux系统防火墙配置
iptables防火墙配置
总结词
iptables是Linux系统中最常用的防火墙工具，用于配置网络数据包的过滤规则。
详细描述
iptables通过定义一系列的规则来控制网络数据包的进出，从而实现网络安全防护。用户可以根据实际需求配置 不同的规则，例如允许特定IP地址访问、禁止某些端口通信等。
灾难恢复计划
制定在发生灾难时恢复数据和系统的流程和 步骤。
测试与演练
定期测试灾难恢复计划以确保其有效性和可 行性。
数据安全审计
定期审查数据安全策略和措施，确保其符合 组织的安全需求和标准。
06
Linux系统安全审计与日志分析
安全审计工具使用
日志审计工具
用于收集、分析和报告系统日志的工具 ，如Logwatch、Snoopy等。
UNIX系统安全培训(PPT 201页)
Shadow –USER:加密过的密码:::::
UNIX系统帐号安全
Passwd文件剖析 name:coded-passwd:UID:GID:user-info:homedirectory:shell
7个域中的每一个由冒号隔开。
name—给用户分配的用户名。
Coded-passwd—经过加密的用户口令。如果一个系统管 理员需要阻止一个用户登录，则经常用一个星号（ : * :）代替。该域通常不手工编辑。
数。 口令更改之前向用户发出警告的天数。 口令终止后帐号被禁用的天数。 自从1970年1月1日起帐号被禁用的天数。 保留域。
UNIX系统帐号安全
缺省帐号
UNIX系统帐号安全
禁用和删除帐号： 禁用帐号最快的方式是在/etc/passwd或影子口 令文件中用户加密口令的开始加一个星号（*）。 该用户将不能再次登录。 # userdel test
用户、弱口令审计-原理
UNIX系统用户数据库
/etc/passwd
– USER:x:UID:GID::HOME:SHELL
/etc/shadow 加密后的用户密码
– MD5-based – Standard DES-based – Double-length DES-based – BSDI's extended DES-based – FreeBSD's MD5-based – OpenBSD's Blowfish-based – AFS
MD5SUM
最通用的免费的完整性审计工具 简单易用 只能对单一文件进行审计
AIDE
free, GPL 支持各种操作系统
文件完整性审计-部署逻辑图
文件完整性审计-其他工具
MD5SUM $ md5sum * 98343c7ee558fc6cc19cd5319c44f3d5 *README-WIN32 2bf260615d34d7d46392e21b82b195b4 *nmap-os-fingerprints 8975f7180e8f8735867e49cf3ebed5c3 *nmap-protocols a365edeebbafaeca057397c19cf94c2d *nmap-rpc 717a6cdbf5feb73617471cd041c45580 *nmap-service-probes 43dca708961769cb09780c9eba8b8712 *nmap-services b00bd7728c6e7d3e9a37ad84147dd983 *nmap.exe 5d6ecce781323aec8c58b0de1a3e6888 *nmap_pOHN
UNIX系统帐号安全
Passwd文件剖析 name:coded-passwd:UID:GID:user-info:homedirectory:shell
7个域中的每一个由冒号隔开。
name—给用户分配的用户名。
Coded-passwd—经过加密的用户口令。如果一个系统管 理员需要阻止一个用户登录，则经常用一个星号（ : * :）代替。该域通常不手工编辑。
数。 口令更改之前向用户发出警告的天数。 口令终止后帐号被禁用的天数。 自从1970年1月1日起帐号被禁用的天数。 保留域。
UNIX系统帐号安全
缺省帐号
UNIX系统帐号安全
禁用和删除帐号： 禁用帐号最快的方式是在/etc/passwd或影子口 令文件中用户加密口令的开始加一个星号（*）。 该用户将不能再次登录。 # userdel test
用户、弱口令审计-原理
UNIX系统用户数据库
/etc/passwd
– USER:x:UID:GID::HOME:SHELL
/etc/shadow 加密后的用户密码
– MD5-based – Standard DES-based – Double-length DES-based – BSDI's extended DES-based – FreeBSD's MD5-based – OpenBSD's Blowfish-based – AFS
MD5SUM
最通用的免费的完整性审计工具 简单易用 只能对单一文件进行审计
AIDE
free, GPL 支持各种操作系统
文件完整性审计-部署逻辑图
文件完整性审计-其他工具
MD5SUM $ md5sum * 98343c7ee558fc6cc19cd5319c44f3d5 *README-WIN32 2bf260615d34d7d46392e21b82b195b4 *nmap-os-fingerprints 8975f7180e8f8735867e49cf3ebed5c3 *nmap-protocols a365edeebbafaeca057397c19cf94c2d *nmap-rpc 717a6cdbf5feb73617471cd041c45580 *nmap-service-probes 43dca708961769cb09780c9eba8b8712 *nmap-services b00bd7728c6e7d3e9a37ad84147dd983 *nmap.exe 5d6ecce781323aec8c58b0de1a3e6888 *nmap_pOHN
《UNIX操作系统》课件
数据库管理工具
数据库备份与恢复
MySQL、PostgreSQL等
MongoDB、Redis等
phpMyAdmin、MySQL Workbench等
定期备份、灾难恢复等
自动化部署工具
Ansible、Chef等
监控工具
Zabbix、Nagios等
日志管理工具
ELK Stack（Elasticsearch、Logstash、Kibana）等
持续集成与持续部署（CI/CD）
Jenkins、GitLab CI/CD等
THANKS
感谢您的观看。
《Unix操作系统》PPT课件
目录
Unix操作系统概述Unix系统基础Unix系统管理和维护Unix网络配置和管理Unix系统编程Unix系统应用实例
01
CHAPTER
Unix操作系统概述
01
1969年，AT&T的贝尔实验室的肯·汤普森和丹尼斯·里奇开发出了Unix的原型。
02
1973年，Unix正式发布，并被移植到了PDP-11小型机上。
函数与程序结构
介绍函数的定义、声明和调用，以及程序的基统调用与库函数的比较与选择
06
CHAPTER
Unix系统应用实例
Web服务器软件
Apache、Nginx等
性能优化
缓存、负载均衡等
安全性配置
防火墙设置、SSL证书配置等
配置过程
安装、配置、测试、优化
关系型数据库
非关系型数据库
磁盘管理
掌握磁盘分区、格式化、挂载和卸载等操作，维护磁盘空间和文件系统。
系统日志
查看和分析系统日志，及时发现和解决系统问题。
02
03
数据库备份与恢复
MySQL、PostgreSQL等
MongoDB、Redis等
phpMyAdmin、MySQL Workbench等
定期备份、灾难恢复等
自动化部署工具
Ansible、Chef等
监控工具
Zabbix、Nagios等
日志管理工具
ELK Stack（Elasticsearch、Logstash、Kibana）等
持续集成与持续部署（CI/CD）
Jenkins、GitLab CI/CD等
THANKS
感谢您的观看。
《Unix操作系统》PPT课件
目录
Unix操作系统概述Unix系统基础Unix系统管理和维护Unix网络配置和管理Unix系统编程Unix系统应用实例
01
CHAPTER
Unix操作系统概述
01
1969年，AT&T的贝尔实验室的肯·汤普森和丹尼斯·里奇开发出了Unix的原型。
02
1973年，Unix正式发布，并被移植到了PDP-11小型机上。
函数与程序结构
介绍函数的定义、声明和调用，以及程序的基统调用与库函数的比较与选择
06
CHAPTER
Unix系统应用实例
Web服务器软件
Apache、Nginx等
性能优化
缓存、负载均衡等
安全性配置
防火墙设置、SSL证书配置等
配置过程
安装、配置、测试、优化
关系型数据库
非关系型数据库
磁盘管理
掌握磁盘分区、格式化、挂载和卸载等操作，维护磁盘空间和文件系统。
系统日志
查看和分析系统日志，及时发现和解决系统问题。
02
03
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Unix系统中，主要分为以下3种形式的日志系统：
• （1）记录连接时间的日志 系统中多个进程运行时，把记录写入到∕var∕log∕wtmp和 ∕var∕run∕utmp，这两个文件的更新由login等进程完成，以便于管 理员跟踪谁在何时登录了系统。
• （2）进程统计 由系统内核执行。进程的执行和终止，都将被记录到统计文件 pacct和acct中。该系统的目的是为系统中的基本服务提供命令
• 文件所有者 • 同组用户 • 其他用户
每一文件或目录的访问权限有三组，每组用三位表示，分别为
• 文件属主的读、写和执行权限； • 与属主同组的用户的读、写和执行权限； • 系统中其他用户的读、写和执行权限。
计算机科学与工程系
8.3.1 文件和目录的权限
确定了一个文件的访问权限后，用户可以利用系 统提供的的命令对权限进行设置
• 用户口令技术 • 影子口令机制 • 一次性口令机制
计算机科学与工程系
8.3 文件系统安全 文件和目录的权限 文件系统完整性检查
计算机科学与工程系
8.3.1 文件和目录的权限
Unix系统中的每个文件和目录都有访问许可权限，文件或目录 的访问权限分为三种：
• 只读 • 只写 • 可执行
有三种不同类型的用户可对文件或目录进行访问：
久记录
计算机科学与工程系
8.4.1 日志查看技术 8.4.1 日志查看技术
• wtmp和utmp文件都是二进制文件，他们不能被诸如 tail、cat命令进行剪贴或合并。用户需要使用who、w、 users、last和ac来使用这两个文件包含的信息。
守 物理安全
卫
文
账
件 、
用 户
号
目
名
安
录
、
全
权 限
口 令
防
火
墙
网络安全
技
术
计算机科学与工程系
8.1 账户安全管理
8.1.1 root账户的管理 在Unix\Linux系统中，root账号就是一个超级用户账户。
以超级用户可以对系统进行任何操作。
• 1．超级用户
• 而Unix\Linux超级用户账户可以不止一个。 • 在Unix系统中，只要将用户的UID和GID设置为0就可
• Linux所做的第一个安全措施就是启用防火墙。 • Linux所做的第二个安全措施是服务器的导出选项。相
关的导出选项有如下几类： • (1)读写服务器访问； • (2)UID与GID挤压； • (3)端口安全； • (4)锁监控程序； • (5)部分挂接与子挂接。
计算机科学与工程系
8.4 日志查看与分析
• 应用程序可以通过PAM API(由pam.conf控制）方 便的使用PAM提供的各种鉴别功能，而不必了解 太多的底层细节。
计算机科学与工程系
PAM认证机制
应用程序
su
telent
ftp
Pam.confPAM APIFra bibliotekUNIX
kerberos
智能卡
认证机制
计算机科学与工程系
8.2 口令安全与访问控制 Unix中常用的口令机制
• chmod命令来重新设定不同的访问权限。 • chown命令来更改某个文件或目录的所有者。 • chgrp命令来更改某个文件或目录的用户组
计算机科学与工程系
8.3.2文件系统完整性检查
对于庞大的系统文件，管理员对每一个文件都进行检查室 难以想象的，而Tripwire能够提供这种帮助，它不是为了抵 御攻击者而设计的，然而它能够帮助判断系统的一些重要 文件是否被攻击者修改，即系统完整性检查工作。
计算机科学与工程系
8.1.3 PAM认证机制
8.1.3 PAM认证机制
• 嵌入式认证模块(PAM)机制采用模块化设计和插 件功能，使得管理员可以轻易地在应用程序中插 入新的鉴别模块或替换原先的组件，而不必对应 用程序做任何修改，从而使软件的定制、维持和 升级更加轻松，因为鉴别机制与应用程序之间相 对独立。
以将其变成超级用户，但并不是所有的超级用户都能很 容易的登录到Unix系统中，这是因为，Unix系统使用了 可插入认证模块（PAM）进行认证登录，PAM要求超 级用户只能在指定的终端上进行访问，这种指定的终端 是可以保证安全的。
• 2．root账户的安全
• root用户账户也是有密码的，这个密码可以对那些通过 控制台访问系统的用户进行控制，即使是使用su命令的 用户也不例外。
• NFS由服务器端和客户机端两部分组成。 • NFS是通过RPC即远程过程调用来实现的，使得远程
的计算机节点执行文件的操作命令就像执行本地文件 的操作命令一样，可以执行创建文件、创建目录、删 除文件、删除目录等文件操作命令。
计算机科学与工程系
8.3.3 NFS简介及相关安全性问题
2.NFS安全性的实现
Tripwire是目前最为著名的UNIX下文件系统完整性检查的软 件工具，这一软件采用的技术核心就是对每个要监控的文 件产生一个数字签名，并保留下来。当文件现在的数字签 名与保留的数字签名不一致时，那么现在这个文件必定被 改动过了。
计算机科学与工程系
8.3.3 NFS简介及相关安全性问题 1.NFS的基本工作原理
操作系统安全
第八章 Unix/Linux 操作系统安全技术
第八章 Unix/Linux操作系统安全技术
8.1 账户安全管理 8.2 口令安全与访问控制 8.3 文件系统安全 8.4 日志查看与分析 8.5 网络服务安全 8.6 备份与恢复
计算机科学与工程系
Unix安全模型
UNIX是一个强大的多用户、多任务操作系统，支持多种处 理器架构，按照操作系统的分类，属于分时操作系统。因 为安全可靠，高效强大的特点，其在服务器领域得到了广 泛的应用。图8-1为Unix操作系统的一个安全模型：
使用情况统计。 • （3）错误日志
由syslog(8)执行各种系统守护进程、用户程序和内核通过 syslog(3)向文件∕var∕log∕messages报告值得注意的事件。
计算机科学与工程系
日志文件 access-log acct∕pacct aculog btmp lastlog
message sublog suslog utmp wtmp
日志文件及其功能说明
功能及说明 记录Http∕Web的传输 记录用户命令 记录Modem的活动 记录失败的记录 记录最近几次成功登录的事件和最后一
次不成功的登录 从syslog中记录信息 记录使用sudo发出的命令 从syslog中记录信息 记录当前登录的每个用户 一个用户每次登录进入和退出时间的永
• （1）记录连接时间的日志 系统中多个进程运行时，把记录写入到∕var∕log∕wtmp和 ∕var∕run∕utmp，这两个文件的更新由login等进程完成，以便于管 理员跟踪谁在何时登录了系统。
• （2）进程统计 由系统内核执行。进程的执行和终止，都将被记录到统计文件 pacct和acct中。该系统的目的是为系统中的基本服务提供命令
• 文件所有者 • 同组用户 • 其他用户
每一文件或目录的访问权限有三组，每组用三位表示，分别为
• 文件属主的读、写和执行权限； • 与属主同组的用户的读、写和执行权限； • 系统中其他用户的读、写和执行权限。
计算机科学与工程系
8.3.1 文件和目录的权限
确定了一个文件的访问权限后，用户可以利用系 统提供的的命令对权限进行设置
• 用户口令技术 • 影子口令机制 • 一次性口令机制
计算机科学与工程系
8.3 文件系统安全 文件和目录的权限 文件系统完整性检查
计算机科学与工程系
8.3.1 文件和目录的权限
Unix系统中的每个文件和目录都有访问许可权限，文件或目录 的访问权限分为三种：
• 只读 • 只写 • 可执行
有三种不同类型的用户可对文件或目录进行访问：
久记录
计算机科学与工程系
8.4.1 日志查看技术 8.4.1 日志查看技术
• wtmp和utmp文件都是二进制文件，他们不能被诸如 tail、cat命令进行剪贴或合并。用户需要使用who、w、 users、last和ac来使用这两个文件包含的信息。
守 物理安全
卫
文
账
件 、
用 户
号
目
名
安
录
、
全
权 限
口 令
防
火
墙
网络安全
技
术
计算机科学与工程系
8.1 账户安全管理
8.1.1 root账户的管理 在Unix\Linux系统中，root账号就是一个超级用户账户。
以超级用户可以对系统进行任何操作。
• 1．超级用户
• 而Unix\Linux超级用户账户可以不止一个。 • 在Unix系统中，只要将用户的UID和GID设置为0就可
• Linux所做的第一个安全措施就是启用防火墙。 • Linux所做的第二个安全措施是服务器的导出选项。相
关的导出选项有如下几类： • (1)读写服务器访问； • (2)UID与GID挤压； • (3)端口安全； • (4)锁监控程序； • (5)部分挂接与子挂接。
计算机科学与工程系
8.4 日志查看与分析
• 应用程序可以通过PAM API(由pam.conf控制）方 便的使用PAM提供的各种鉴别功能，而不必了解 太多的底层细节。
计算机科学与工程系
PAM认证机制
应用程序
su
telent
ftp
Pam.confPAM APIFra bibliotekUNIX
kerberos
智能卡
认证机制
计算机科学与工程系
8.2 口令安全与访问控制 Unix中常用的口令机制
• chmod命令来重新设定不同的访问权限。 • chown命令来更改某个文件或目录的所有者。 • chgrp命令来更改某个文件或目录的用户组
计算机科学与工程系
8.3.2文件系统完整性检查
对于庞大的系统文件，管理员对每一个文件都进行检查室 难以想象的，而Tripwire能够提供这种帮助，它不是为了抵 御攻击者而设计的，然而它能够帮助判断系统的一些重要 文件是否被攻击者修改，即系统完整性检查工作。
计算机科学与工程系
8.1.3 PAM认证机制
8.1.3 PAM认证机制
• 嵌入式认证模块(PAM)机制采用模块化设计和插 件功能，使得管理员可以轻易地在应用程序中插 入新的鉴别模块或替换原先的组件，而不必对应 用程序做任何修改，从而使软件的定制、维持和 升级更加轻松，因为鉴别机制与应用程序之间相 对独立。
以将其变成超级用户，但并不是所有的超级用户都能很 容易的登录到Unix系统中，这是因为，Unix系统使用了 可插入认证模块（PAM）进行认证登录，PAM要求超 级用户只能在指定的终端上进行访问，这种指定的终端 是可以保证安全的。
• 2．root账户的安全
• root用户账户也是有密码的，这个密码可以对那些通过 控制台访问系统的用户进行控制，即使是使用su命令的 用户也不例外。
• NFS由服务器端和客户机端两部分组成。 • NFS是通过RPC即远程过程调用来实现的，使得远程
的计算机节点执行文件的操作命令就像执行本地文件 的操作命令一样，可以执行创建文件、创建目录、删 除文件、删除目录等文件操作命令。
计算机科学与工程系
8.3.3 NFS简介及相关安全性问题
2.NFS安全性的实现
Tripwire是目前最为著名的UNIX下文件系统完整性检查的软 件工具，这一软件采用的技术核心就是对每个要监控的文 件产生一个数字签名，并保留下来。当文件现在的数字签 名与保留的数字签名不一致时，那么现在这个文件必定被 改动过了。
计算机科学与工程系
8.3.3 NFS简介及相关安全性问题 1.NFS的基本工作原理
操作系统安全
第八章 Unix/Linux 操作系统安全技术
第八章 Unix/Linux操作系统安全技术
8.1 账户安全管理 8.2 口令安全与访问控制 8.3 文件系统安全 8.4 日志查看与分析 8.5 网络服务安全 8.6 备份与恢复
计算机科学与工程系
Unix安全模型
UNIX是一个强大的多用户、多任务操作系统，支持多种处 理器架构，按照操作系统的分类，属于分时操作系统。因 为安全可靠，高效强大的特点，其在服务器领域得到了广 泛的应用。图8-1为Unix操作系统的一个安全模型：
使用情况统计。 • （3）错误日志
由syslog(8)执行各种系统守护进程、用户程序和内核通过 syslog(3)向文件∕var∕log∕messages报告值得注意的事件。
计算机科学与工程系
日志文件 access-log acct∕pacct aculog btmp lastlog
message sublog suslog utmp wtmp
日志文件及其功能说明
功能及说明 记录Http∕Web的传输 记录用户命令 记录Modem的活动 记录失败的记录 记录最近几次成功登录的事件和最后一
次不成功的登录 从syslog中记录信息 记录使用sudo发出的命令 从syslog中记录信息 记录当前登录的每个用户 一个用户每次登录进入和退出时间的永