发信人: ccaatt()
整理人: ipaq(2001-05-27 14:37:36), 站内信件
|
发布日期: 2000-11-3
内容:
----------------------------------------------------------------------
----------
作者不详
一、Windows NT的安全模式及安全简述
在现在的网络应用中，以Windows NT作为服务器的操作系统的用户越来越多
。而在计算机网络的社会中，在保证效率的同时，信息的安全则显得更加重要。
这里，我们从用户的角度对Windows NT的安全性做一些探讨。
Windows NT通过一系列的管理工具，以及对用户帐号，口令的管理，对文件
、数据授权访问，执行动作的限制，以及对事件的审核达到C2级安全，从用户的
角度看，通过这一套完整、可行、易用而非繁琐的措施可以达到较好的效果。
Windows NT的安全机制的基础是所有的资源和操作都受到选择访问控制的保
护，可以为同一目录的不同文件设置不同的权限。这是NT的文件系统的最大特点
。NT的安全机制不是外加的，而是建立在操作系统内部的，可以通过一定的设置
使文件和其他资源免受在存放的计算机上工作的用户和通过网络接触资源的用户
的威胁（破坏、非法的编辑等等）。安全机制甚至提供基本的系统功能，例如设
置系统时钟。对用户帐号、用户权限及资源权限的合理组合，可以有效地保证安
全性。
二、作为自身考虑的安全策略
对于用户而言，Windows NT有以下几种管理手段，这些对安全性有着极大的
影响：
* 用户帐号和用户密码
* 域名管理
* 用户组权限
* 共享资源的权限
1．用户帐号和用户密码
Windows NT的安全机制通过请求分配用户帐号和用户密码来帮助保护计算机
及其资源。给值得信任的使用者，按其使用的要求和网络所能给与的服务分配合
适的用户帐号，并且给其容易记住的帐号密码。使用对帐号的用户权力的限制以
及对文件的访问管理权限的策略，可以达到对服务器的数据的保护。其中用户帐
号有用户名、全名、描述三个部分。用户名是用户帐号的标识，全名是对应用户
名的全称，描述是对用户所拥有的权限的较具体的说明。组有组名和描述两个部
份，组名是标识，描述是说明。一定的用户帐号对应一定的权限，NT 对权限的划
分比较细，例如：备份、远程管理、更改系统时间等等，通过对用户的授权（在
规则菜单中）可以细化一个用户或组的权限。用户的帐号和密码有一定的规则，
包括帐号长度，密码的有效期，登录失败的锁定，登录的历史记录等等，通过对
这些的综合修改可以保证用户帐号的安全使用。
2．域名管理
以Windows NT组建的网络是一个局域网范围的网。所谓“域”是指网络服务
器和其他计算机的逻辑分组，凡是在共享域范围内的用户都使用公共的安全机制
和用户帐号信息。每个用户有一个帐号，每次登录的是整个域，而不是某一个服
务器。即使在物理上相隔较远，但在逻辑上可以在一个域上，这样便于管理。在
网络环境下，使用域的管理就显得更为有效。这里我们应该注意到在NT中，关于
域的所用的安全机制信息或用户帐号信息都存放在目录数据库中（称为安全帐号
管理器（SAM）数据库）。目录数据库存放在服务器中，并且复制到备份服务器中
。通过有规律的同步处理，可以保证数据库的安全性、有效性。在用户每次登录
时，通过目录数据库检查用户的帐号和密码。所以在对 NT进行维护时应该特别小
心目录数据库的完整性，一般来讲只有管理员才具有对此的编辑权限。
域的最大的优点是域中的控制器服务器形成了共享的安全机制和用户帐号信
息的单个管理单元，大大地节省了管理员和用户的精力和时间，在管理上较方便
，也显得集中。在使用“域”的划分时，我们应该注意到“域”是建立在一个子
网范围内，其基础是相互之间的信任度。由NT组网区别于一般的TCP/IP的组网，
TCP/IP是一种较松散的组网型式，靠路由器完成子网之间的寻径通讯；而NT组网
是一种紧密的联合，服务器之间是靠安全信任建立他们的联系的。主从关系，委
托关系是建立在信任度上的。
3．用户组权限
管理员一般根据用户访问网络的类型和等级给用户分组。组有“全局组”和
“本地组”。全局组由一个域的几个用户帐号组成，所谓全局是指可以授与该组
使用多个（全局）域资源的权力和权限。全局组只能在域中创建。本地组有用户
帐号和一个或多个域中的全局组构成，这些用户在同一个线帐号下，只有非本地
域的用户和全局组处于受托域中时，才可以将其添加到本地组中。本地组可以包
含用户和全局组，但不能包含其它本地组。
NT域控制器包含内置本地组，它决定了用户登录到域控制器时可以进行的操
作，域控制器上的内置本地组给管理员在管理域安全机制方面明显的起始位置。
每一个内置本地组都有一套预先确定的权力，这些权力自动地应用于添加到该组
中的每一个用户帐号，假若需要对组中的某些用户的权限做一些修改，可以在用
户管理器中进行。建议在使用其默认权力时，对用户进行仔细的筛选，防止在组
员中有信用度不高的用户，而对网络资源造成损坏。
4．共享资源权限
Windows NT允许用户指定他人共享的资源。资源共享后，可以通过网络限制
某些用户对他的访问权限，这称为共享权限的限制。针对不同的用户，可以利用
资源共享及资源权限来创建不同的资源安全级别。
Windows NT的较大特点在其文件系统（NTFS）。在NTFS文件系统中，可以使
用权限对单个文件进行保护，并且可以把该权限应用到本地访问和网络访问中。
在NTFS卷上，可以对文件设置文件权限，对目录设置目录权限。用于指定可以访
问的组和用户以及允许的访问等级时，NTFS卷的共享权限与文件及目录的权限共
同起作用。共享目录时，通过共享目录设置的权限允许用户连接到共享资源，反
之改变设备可以中断与用户的共享资源的连接。资源拥有者或管理员使用NTFS的
共享目录的默认权限（空全控制），可以使用目录与文件权限来管理文件的安全
性问题。
文件属性有四种：只读、隐藏、存档、系统。这决定了文件的基本操作属性
。资源的共享权限有五种：不共享、只读、安全、根据口令访问、WEB共享。
三、在网络中NT的安全性
作为一种针对网络应用的操作系统，安全性通过其本身的内部机制得到了一
定的基本的保证，比如：用户帐号、用户密码；共享资源权限；用户管理器等等
。在实践中的应用也证明NT的安全性的可靠程度还能支持应用。但是，随着网络
的不断扩大，以及通过Internet互联，资源的共享和系统的安全、用户的隐私（
privacy）、运行的效率这些矛盾日益的突出。在用户获得较大的自由度和灵活性
而与世界各地的人和计算机通讯(who you want to communication)的同时，在另
一方面增加了系统的冒险性——有人也可以自由通过网络访问你的机器或资源，
甚至于你的隐私，给你的系统增加负担，降低运行效率。本人认为，为了更好发
挥服务器的作用同时减轻其在安全性上的冒险性，有必要在NT安全模型的基础上
结合IIS(Internet Information Server)的安全机制，这样在客观上讲，可以较
好的解决上面所说的矛盾。
在网络中，有三种方式可以访问NT服务器：
（1）通过用户帐号、密码、用户组方式登录到服务器上，在服务器允许的权
限内对资源进行访问、操作。这种方式的可控制性较强，可以针对不同的用户。
（2）在局部范围内通过资源共享的形式，这种方式建立在NETBIOS的基础之
上。对共享的访问不能经过路由器，范围被限制在一个子网范围内，在使用的灵
活性上受到限制，通过对共享资源的共享权限的控制达到安全保护。但不能针对
不同的用户，当一个用户在通过共享对某一个资源进行操作时（这时共享权限有
所扩大），其他用户趁虚而入，而造成对资源的破坏。
（3）在网络中通过TCP/IP协议，对服务器进行访问。目前典型应用有FTP、
HTTP、WWW等。通过对文件权限的限制和对IP的选择，对登录用户的认证可以在安
全性上做到一定的保护。但由于NT是微软的产品，其透明度并不高，安全隐患有
可能就隐藏于此。第一，NT本身有可能存在BUG，一但被发现，就有可能造成损失
。第二，由于网络的日益庞大，使通过INTERNET访问某个国家的机密成为可能，
假如在编写网络操作系统的同时，为以后通过TCP/IP 入侵留下隐藏的人为的漏洞
。
以下是针对上面三种情况在安全措施上作一些介绍：
（1）设置用户帐号
Windows NT的用户管理器指定允许那些用户或用户组可以在服务器上操作，
可以控制对Web节点的访问。可以通过Web客户请求提供在完成请求之前定制的II
S用户名和密码，这样可以进一步控制在网络中对服务器的访问。通过公共的管理
工具中的“策略”设置用户权力，在“用户管理器”中配置在计算机上授权用户
所进行的操作。用户Basic身份验证时用户所要求用于Internet服务的权力，若使
用Windows NT Challege/Response身份验证，用户使用Internet服务则须要有“
从网络访问本机”的权力。
（2）设置必要的ＷＷＷ目录访问权限
在Internet Server manager中创建Web发布目录（文件夹）时，可以为定义
的主目录或虚拟目录及其中所有的文件夹设置访问权限，这些权限是NTFS文件系
统提供的权限之外的部分，其中的权限是：只读，只执行，这样可以防止用户修
改。
（3）通过IP地址控制访问权限
可以配置IIS以允许或拒绝特定的IP地址访问你的服务器或整个网络。在实际
应用中，对于一些未知的用户，若从安全的角度出发，可以通过IP设置排出。假
若在日志分析中通过分析可以发现某些用户或用户组有不良倾向或侵犯倾向，那
Administrator可以通过IIS设置，不再允许这些用户或组的IP地址访问本机及本
网络。
（4）使用SSL（安全套接字层）保护数据在网络中的传输
在网络应用中数据在网络上的传输的安全是关系到整个网络应有安全的重要
问题。使用密码技术保护数据从服务器到客户端的双向传输，从某种意义上说也
是保护NT资源不受侵犯的有效途径。SSL为TCP/IP连接提供数据加密，服务器身份
验证和消息的完整性。它被视为Internet上的Web浏览器和服务器的标准安全措施
。SSL加密的传输较之未加密的传输速度要慢，为了避免整个节点的性能受到影响
，所以一般考虑对于较敏感的信息数据才采取SSL加密。目前使用较多的是身份验
证、信用卡、电子银行等业务。
还有一点应该考虑到：及时地为数据和文件作好备份，以防止最坏情况的发
生。备份应注意几点：有效性，及时性，安全性。根据不同的使用情况在以上几
点和价格之间作出一定的折衷。
总之，为了确保基于 NT的服务器在网络中的安全，应该注意到在NT本身的安
全模型上加以IIS等外挂的保证安全的应用，这样才能针对不同的问题，相互促进
，对一些不足之处进行弥补。在尽力发挥NT性能的同时，保证其运行的安全，稳
定。
四、基本安全措施
为了保证NT在网络应用中的安全，避免资源被破坏，我们在配置、使用NT的
过程中应该注意养成良好的习惯，并且遵循一定的操作规程。作为基本的安全措
施，我们应该注意以下几点：
1．在人员配置上，应该对用户进行分类，划分不同的用户等级。规定不同的
用户权限。
2．对资源进行区分，共享和不共享资源应该放置于不同的文件夹或路径下，
对共享资源再进行细分，划分不同的共享级别，比如：只读、安全控制，备份、
等等。
3．给不同的用户或用户组分配不同的帐号、口令、密码。并且规定口令、密
码的有效期，对其进行动态的分配和修改，保证密码的有效性。
4．配合路由器和防火墙的使用，对一些IP地址进行过滤，可以在很大程度上
防止其他用户通过TCP/IP访问你的服务器。
5．养成在登录前，先键入ALT+DEL+CTRL的好习惯，防止特洛依木马盗用你的
口令和密码。在使用软件时应该先检查是否带有病毒，防止病毒的进入。定期对
系统进行病毒检查，清除隐患。
五、结束语
网络的发展日新月异，其中呈现的问题越来越复杂，比如“网络炸弹”，从
一个或不同的IP地址向网络的某些服务器不停的发送无效的或冗余的信息，这样
在一定程度上使网络服务器的性能降低，甚至于瘫患。在实际应用中网络管理员
可以用“事件审核”对于此现象进行调查，然后在IIS中排除来自于以上IP地址的
IP包，并且可以给其发出警告，也可以用一种过滤器自动对选定的IP包进行过滤
。总之，安全性是一个涉及到整体的一个与性能等各方面相互折衷的问题，在越
来越多的以NT为操作系统的今天，安全性问题日益突出。我们应该有一个清醒的
认识：不能依靠NT本身解决其安全性的问题，而应该结合多种措施，取长补短，
相互制约，这样才能达到你所期望的安全控制。最后我想说：安全的关键在于人
，一个良好的习惯和对人员的控制是应该放在考虑问题的首位。
--
※ 来源:．月光程序代码网 http://www.moon-soft.com．[FROM: 202.130.232.129]
|
|