实训6-1 Windows访问控制功能

实训

6.1

Windows访问控制功能

本节实训与 思考的目的是：

(1) 熟悉访问控制技术的基本概念，了解访问控制技术的工作原理和基本内容。 (2) 通过学习配置安全的Windows操作系统，来加深理解访问控制技术，掌握Windows的访问控制功能。

1 工具/准备工作

在开始本实训之前，请认真阅读本课程的相关内容。

需要准备一台运行Windows XP Professional操作系统，并带有浏览器，能够访问因特网的计算机。

2 实训内容与步骤

(1) 概念理解

1) 请通过查阅有关资料，尽量用自己的语言解释以下有关访问控制技术的概念： ① 自主访问控制：是一种比较宽松的访问控制机制，一个主体的访问权限具有传递性，拥有资源的用户来决定其他一个或一些主体可以在什么程度上访问哪些资源。 ② 强制访问控制：这是一种比较强硬的控制机制，系统为所有的主体和客体指定安全级别，不同级别标记了不同重要程度和能力的实体，不同级别的主体对不同级别的客体的访问是在强制的安全策略下实现的。

③ 角色和基于角色的访问控制：就是通过定义角色的权限，为系统中的主体分配角色来实现访问控制，用户先经认证后获得一定角色，该角色被分派了一定的权限，用户以特定角色访问系统资源，访问控制机制检查角色的权限，并决定是否允许访问。

2 信息安全技术

2) 请查阅有关资料，根据你的理解和看法，给出“访问控制技术”的定义： 访问控制是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制，也是信息安全理论基础的重要组成部分。

这个定义的来源是： 课本

(2) 配置安全的Windows操作系统

关注网络安全，首先就要关注操作系统及其安全设置。根据用户的不同要求，操作系统的选择也有所不同。从整体上来说，操作系统可以分为3种类型：第一类是选用Windows 98/ME；第二类是选用Windows 2000/XP甚至2003；第三类是使用Unix/Linux操作系统。从安全角度看，各种操作系统都存在着一定的漏洞，或多或少，有的漏洞可能还没有被发现。而正是这些还没被发现的漏洞严重的威胁着大家计算机的安全。但这些漏洞都是可以通过自己修改系统来减小危害的。

1) Windows 98/ME操作系统。这一类操作系统所受到的网络攻击相对比较少，原因是其主要面对家庭用户，网络功能较弱，一般的服务器不会选择这类操作系统。但是，漏洞还是存在的。

比如Windows 98有一个很著名的共享导致蓝屏的漏洞：当你共享一个分区，例如C盘时，只要在运行里输入\\\\ip\\c\\con\\con或者\\\\机器名\\c\\con\\con，就会导致蓝屏。其原因是由于硬件冲突，这是Windows 98的一个bug。黑客经常利用这些漏洞攻击电脑。其解决的办法就是不共享和安装补丁。目前来看，Windows 98/ME操作系统的安全防范主要就是针对那些菜鸟级别的黑客，只要注意安装网络防火墙，小心木马之类的软件就可以了。安装的时候应尽量选用正版软件。

下面的内容主要是针对Windows 2000/XP/2003操作系统安全设置的。 2) Windows版本选择。

① 版本选择。Windows 2000/XP/2003等都有各种语言的版本。国内用户见到的基本都是简体中文版和英文版，如果没有语言障碍，建议选择使用英文版的操作系统。这主要是因为Windows操作系统是基于英文开发的，一般来说，中文版的bug肯定要多于英文版，而且因为各种补丁通常都是先发表英文版的，中文版往往要延迟一段时间，那么延迟的这段时间就相当凶险了。

② 正确安装系统。建议尽量不要采用网络安装方式，并强烈建议不要采用升级安装，而是进行全新安装，这样可以避免升级方式带来的种种问题。

安装完成后，各种服务均自动运行，此时的机器是漏洞满身，非常危险，所以，建议一定要在安装完毕，并且安装好各种补丁后才接入网络。

③ 硬盘的分区问题。硬盘如果只有一个分区，直接安装系统，这样做的风险很大。建议划分3个以上分区。第一个用来安装系统和日志，第二个放IIS，第三个放

第6章 访问控制与审计技术 3

FTP。这样，IIS或FTP即使出了安全问题也不会影响系统。IIS和FTP分开主要是为了防止黑客入侵时上传程序并且从IIS运行。另外，硬盘分区应该选用NTFS格式，因为NTFS格式的安全性能要远高于FAT/FAT32。

④ 修改默认的安装路径。Windows的默认安装路径为C: ，这也存在着一定的安全隐患，建议修改一下，比如安装在D: 上，这也能在一定的程度上保护系统。

请分析：以Windows XP为例，即使是同一种操作系统，也还有面向不同应用对象的版本，下列操作系统的应用对象是：

① Windows XP HomeEdition：____________________________________________ ② Windows XP Professional：_____________________________________________ ③ Windows XP Server：_________________________________________________ 3) 目录文件权限。为了控制好服务器上用户的权限，同时也为了预防以后可能的入侵和溢出，我们必须设置目录和文件的访问权限。Windows NT的访问权限分为读取、写入、执行、修改列目录和完全控制等。设置的时候应注意以下原则：

① 权限是累计的。如果一个用户同时属于两个组，那么他就有了这两个组所允许的所有权限。

② 拒绝的权限要比允许的权限高 (拒绝策略会先执行) 。如果一个用户属于一个被拒绝访问某个资源的组，那么不管其他的权限设置给他开放了多少权限，他也一定不能访问这个资源。

③ 文件权限比文件夹权限高。

④ 利用用户组来进行权限控制是一个成熟的系统管理员所必须具有的良好习惯之一。

⑤ 仅给用户真正需要的权限，权限的最小化原则是安全的重要保障。 4) 用户管理 (账号策略) 。

① 删除所有不需要的账号，禁止使用所有暂时不用的账号。在账号管理界面中选择“此用户已禁用”。

② 系统开的账号要尽可能地少，因为每多一个账号，就增加了一分被暴力攻破的概率。要严格控制账号的权限。

③ 重命名Administrator，将其改为一个不容易猜到的用户名，以避免暴力破解。Windows系统默认的管理员Administrator可以从远程访问系统，经常被黑客用口令猜测的手段破解后使用，造成危害。建议安装后把这个用户改名，然后再创建一个名为Administrator的用户，并分配给这个新用户一个复杂无比的口令，最后不让它属于任何组。这样我们就有了一个假的管理员用户，就算口令被解出 (这几乎是不可能的了) ，也不能由此获得任何权限。

④ 禁用guest账号。因为不但黑客们经常利用它攻击系统，病毒也会借用guest来传播和开后门。