..
Windows 系统安全机制
专业资料
..
Windows 系统安全机制
众所周知，操作系统是计算机的系统软件，是计算机资源的直接管理者，它直接与硬件打交道，并为用户提供接口，是计算机软件的基础与核心。操作系统经历了技术发展时期及标准化过程，这期间产生了种类繁多的各类操作系统操作系统。目前使用范围最广的当属Windows操作系统。
我们来简单了解一下Windows的发展历程。
Microsoft公司从1983年开始研制Windows系统，最初的研制目标是在MS-DOS的基础上提供一个多任务的图形用户界面 。
第一个版本的Windows 1.0于1985年问世，它是一个具有图形用户界面的系统软件。1987年推出了Windows 2.0版，最明显的变化是采用了相互叠盖的多窗口界面形式 。1990年推出Windows 3.0是一个重要的里程碑,它以压倒性的商业成功确定了Windows系统在PC领域的垄断地位 。现今流行的 Windows 窗口界面的基本形式也是从Windows 3.0开始基本确定的 。
接下来是Windows 9X系列，包括Windows Me。Windows 9X的系统是一种16位/32位混合源代码的准32位操作系统，故不稳定。Windows 2000是发行于1999年12月19日的32位图形商业性质的操作系统。Windows XP是微软公司发布的一款视窗操作系统。它发行于2001年8月25日。接着Windows Server 2003于2003年3月28日发布，Windows Vista在2006年11月30日发布。Windows 7是微软的下一代操作系统，正式版已于2009年10月23日发布。最新一款Windows 8由微软公司开发，并于2012年10月26日正式推出，是具有革命性变化的操作系统。系统独特的metro开始界面和触控式交互系统，旨在让人们的日常电脑操作更加简单和快捷，为人们提供高效易行的工作环境。
Windows一步一步向前发展，对于其安全机制方面，也伴随着极大的进步。下面从Windows 98开始至Windows 8，简要介绍一下其安全机制的发展过程。
1. Windows 98
Windows 95的最大缺点是系统经常莫名其妙的崩溃,在这点上Windows 98大有改进,它提供了网络自动升级功能,用户可以通过因特网自动连接到微软的升级站点,自动升级系统的驱动程序、系统文件和修正 Bug 等。增加了系统工具用于自动检测硬盘、系统文件和配置信息,自动修复一般性系统错误。
Windows 98操作系统以其简单友好的界面、即插即用的特性、功能强大的32位保护模式体系结构、抢占式多任务多线程机制而倍受用户重视，但是其安全管理却十分薄弱。 Windows 98是多用户操作系统，它允许多个用户访问计算机，并可以设置不同的用户名，
口令及定制桌面。当系统启动显示登记对话框时，只要输入用户名及口令，即可进入。但是，对于系统未注册的用户，Windows 98并未限制其登录，即只要单击登录对话框的取消按钮即可进入Windows 98的缺省桌面。
提到Windows 98操作系统的安全性问题，就离不开Windows 98的注册表(Registry)。 注册表是计算机中一个大的数据库，它记录计算机中所有软硬件的配置信息与状态信息以及与用户相关的多种设置信息，对系统的运行起着至关重要的作用，通过注册表可以统一管理系统中的各种信息资源。
2. Windows Me
专业资料
..
Windows Me是Windows Millennium Edition的缩写，它是微软公司为家庭用户设计的Windows 9x 系列中的最后一个操作系统。它完全面向家庭设计，给家庭计算机的使用带来了一场变革；它增强了底层功能，修改了用户界面，并增加了许多新的内置的应用程序。与Windows 98相比，Windows Me突出了四个方面的特性，即系统还原工具、家庭联网、数字媒体和娱乐及在线游戏。在此主要介绍一下系统还原工具。
Windows Me提供了新的名为\系统还原\的工具和\系统文件保护\功能。系统还原工具可以将计算机恢复到正常运行时的状态，它将对计算机的配置、文件、设置和数据进行快照，然后压缩这一快照并将其存放在硬盘上，从而创建了可在计算机故障时使用的还原点。系统还原在后台运行，它能够持续不断地监视整个系统。如果发现某个重要的系统文件被意外删除，它能够自动恢复这些文件；如果系统严重瘫痪以至无法正常启动，那么用户可在\安全模式\下运行系统还原工具，将系统恢复到原先状态。
3. Windows 2000
Windows 2000代表着Microsoft公司在其Windows NT产品系列的发展中，又向前迈出了重要的一步。Windows 2000在保留了Windows NT 部分内核的同时，为了提供业界所需的额外功能又增加了大量的内容，其中大部分新增内容都集中在安全方面。这其中以活动目录为核心，丰富了安全功能的众多方面。
Windows 2000操作系统包含四个版本。
(1)Windows 2000 Professional:作为Windows NT 4.0 Workstation 的替代产品，其设计目标是成为桌面用户和移动用户共同的标准操作系统，提供更高层次的安全性、稳定性和系统性能。
(2)Windows 2000 server：作为WindowsNT 4.0 server的替代产品，Windows2000server的设计目标为通过支持基础设施服务、文件打印与包括web在内的应用服务以及通信服务来成为主流的工作组和部门商务服务器。他引入了活动目录，通过MMC统一管理任务并引入了组策略，从而使管理（尤其是安全管理）得到简化。
(3)Windows 2000 Advanced server：作为 Windows NT 4.0 server Enterprise Edition 的替代产品，Windows 2000 Advanced server 除了具有Windows 2000 server的所有功能和特性之外，还有一些转为中大型应用范围的服务器所设计的特性。
(4)Windows 2000 Datacenter Server: 这是Windows 2000 新增的数据中心服务器，它提供了做高等级的性能，在Windows 2000 server标准版的基础上针对企业部署与解决方案进行了必要的优化。
Windows 2000 的安全性在很大程度上依赖于它的前身Windows NT ，因为Windows NT所有重要的安全特性都被转移到了Windows2000 中，而且Windows 2000结构的大部分核心功能和面向对象的设计也都来自于Windows NT 。总的来说，Windows 2000 的某些具体目标是改进Windows NT 的可扩展性、可靠性和安全性，并将许多附加功能集成到操作系统中。安全性包括活动目录（AD）、公钥基础结构（PKI）、组策略对象（GPO）、Kerberos协议、智能卡支持、IP安全协议（IPSec）、加密文件系统（EFS）和安全配置工具集等。 3.1 活动目录
活动目录服务是Windows 2000 安全模型灵活性与可扩展性的核心，它提供了完全集成于Windows 2000的一个安全、分布式、可扩展以及重复的分层目录服务。
活动目录代替了Windows NT 早期版本中域控制器的注册表数据库内的安全账户管理器（SAM） ，从而成为用户账户、工作组和口令等安全信息的主要存储区域。同样地，活动目录形成了本地安全授权（LSA）的一个可信任组件。即活动目录既为支持验证而存储了用
专业资料
..
户证书，也为支持授权访问系统资源而存储了访问控制信息。 3.2 公钥基础结构
PKI是由数字证书、证书颁发机构（CA）和其他检查并验证参与电子交易各方合法身份的注册机构所组成的一个系统，它提供使用、管理及查找公钥证书的能力。
Windows2000 扩展了以前Windows系统中基于公共密钥（PK）的加密服务，引进了全面建立标准的PKI所必需的工具。此外，Windows 2000 PKI与Active Directory 和操作系统的分布式安全服务完全集成在一起。 3.3 组策略对象
Windows 2000 中的组策略对象代替了Windows NT 4.0中的系统策略编辑器。“组策略”是Active Directory一项显著的功能，它允许以相同的方式将所有类型的策略应用到众多计算机上。组策略设置是配置设置，管理者可用此设置来控制Active Directory中对象的各种行为。例如，可以使用组策略来配置安全行选项，管理应用程序和桌面外观，指派脚本以及将文件夹从本地计算机重新定位到网络位置。 3.4 Kerberos协议
Windows2000 使用Internet 标准Kerberos v5 协议（RFC 1510）作为验证用户身份的主要方法。Kerberos协议提供在客户机和服务器之间的网络连接打开前交互身份验证的机制。此方法对包含开放通信的网络来说是非常理想的。 3.5 智能卡
若要使未经授权的人更难取得访问网络的权限，智能卡是相对简单的一种方法。因此，windows2000 中包含对智能卡安全性的内置支持。智能卡通常和信用卡大小一样，它所提供的抗篡改存储能够保护用户的证书和私钥。因此智能卡提供了一种十分安全的用于用户身份验证、交互式登录、代码签名以及安全电子邮件的方法。 3.6 IP安全协议（IPSec）
对于基于Internet协议（IP）网络安全的需求已经非常巨大，并且日益增长，敏感信息经常通过网络传输。由于Internet协议本身的问题，这些敏感信息容易遭受到篡改、监听、未授权访问等威胁。为解决此问题，Windows2000 增加了Internet协议安全措施（IPSec）。
IPSec是一套Internet标准协议，允许两台计算机在不安全的网络上进行安全的、加密的通信。加密应用于IP网络层，亦即它对大部分使用特定网络协议的应用程序都是透明的。此外，IPSec提供端对端的安全性，意味着IP包邮发送计算机加密，在途中不可读取，只能有收件计算机解密。为了更加安全，此过程使用加密算法来产生用于连接两端的单一加密密钥，因此密钥无需通过网络发送。 3.7 加密文件系统（EFS）
Windows2000 中的加密文件系统通过采用公开密钥加密技术来对磁盘上保存的数据进行加密，就可以保护用户系统中的文件和文件夹免遭非授权的访问。 3.8 安全配置工具集
安全配置工具集（SCTS）允许对Windows2000操作系统安全属性进行配置，然后进行周期性的系统分析以保证配置的完整性，或者过后进行必要的更改。
4. Windows XP
4.1 完善的用户管理功能
Windows XP采用Windows 2000／NT的内核，在用户管理上非常安全。凡是增加的用户都可以在登录的时候看到，不像Windows 2000那样，被黑客增加了一个管理员组的用户都发现不了。使用NTFS文件系统可以通过设置文件 夹的安全选项来限制用户对文件夹的访问，如某普通用户访问另一个用户的文 档时会提出警告。你还可以对某个文件 (或
专业资料
..
者文件夹)启用审核功能，将用户对 该文件(或者文件夹)的访问情况记录到安全日志文件里去，进一步加强对文件操作的监督。 4.2 透明的软件限制策略
在Windows XP中，软件限制策略以“透明”的方式来隔离和使用不可靠的、潜在的对用户数据有危害的代码，这可以保护你的计算机免受各种通过电子 邮件或网页传播的病毒、木马程序和蠕 虫等，保证了数据的安全。 4.3 支持 NTFS文件系统以及加密文件系统EFS
Windows XP里的加密文件系统（EFs)基于公众密钥，并利用CryptoAPI 结构默认的 EFS设置 ，EFS还可以使用 扩 展 的 Data Encryption Standard (DESX)和 T却le—DES ODES)作为加 密算法 。用户可以轻松地加密文件。加密时，EFS自动生成一个加密密钥。当你加密一个文件夹时，文件夹内的所有文件和子文件夹都被自动加密了，你的数据就会更加安全。 EFS还允许在Web服务器上存储加密文件。这些文件通过Internet进行传输并且以加密的形式存储在服务器上。当用户需要使用自己的文件时，它们将以透明方式在用户的计算机上进行解密。这种特性允许以安全方式在Web服务器存储相对敏感的数据，而不必担心数据被窃取，或在 传输过程中被他人读取。 4.4 安全的网络访问特性
新的特性主要表现在以下几个方面： 1）补丁自动更新，为用户“减负” 2）系统自带Internet连接防火墙
自带了Internet防火墙，支持LAN、VPN、拨号连接等。支持“自定义设置”以及“日志察看”，为系统的安全筑起了一道“黑客防线”。实际上，Internet连接防火墙属于个人防火墙，它的功能比常见的主机防火墙BlackICE和ZoneAlarm以及网络防火墙PIX和Netscreen等都相差甚大。它最适合保护本机的Internet连接。事实上，一旦启用了internet连接防火墙，只有经过域认证的用户才可以正常访问主机，而所有其他来自Internet的TCP/ICMP连接包都将被丢弃，这可以较好地防止端口扫描和拒绝服务攻击。
3) 关闭“后门” 在以前的版本中，Windows系统留着几个“后门”，如 137、138、139等端口都是“敞开大门”的，现在，在 Windows XP中这些端口是关闭的。 4.5 以太网的安全性改进
Secure Wireless/Ethernet LAN(安全无线/以太局域网)增加了开发安全有线与无线局域网(LAN)的能力。这种特性是通过允许在以太网或无线局域网上部署服务器实现的。借助Secure Wireless/Ethernet LAN在用户进行登录前，计算机将无法访问网络。然而，如果一台设备具备“机器身份验证”功能，那么它将能够在通过验证并接受IAS/RADIUS服务器授权后获得局域网的访问权限。
Windows XP中的Secure Wireless/Ethernet LAN在基于IEEE 802.11规范的有线与无线局域网上实现了安全性。这一过程是通过对由自动注册或智能卡所部署的公共证书的使用加以支持的。它允许在公共场所(如购物中心或机场)对有线以太网和无线IEEE 802.11网络实施访问控制。这种IEEE 802.1X Network Access Control(IEEE网络访问控制)安全特性还支持Extensible Authentication Protocol(扩展身份验证协议,EAP)运行环境中的计算机身份验证功能。IEEE 802.1X允许管理员为获得有线局域网和无线IEEE 802.11局域网访问许可的服务器分配权限。因此，如果一台服务器被放置在网络中，那么，管理员肯定希望确保其只能访问那些已在其中通过身份验证的网络。例如，对会议室的访问权限将只提供给特定服务器，并拒绝来自其它服务器的访问请求。
5. Windows server 2003
专业资料
操作系统安全分析实施报告
