论文部分内容阅读
摘要：该文对目前流行的操作系统Windows 2003的安全机制作了初步分析与探讨，对如何利用这些安全机制，提高Windows 2003系统的安全性与稳定性做了归纳，这对更好的使用该操作系统有一定的参考作用。
关键词：操作系统；安全机制；系统安全
中图分类号：TP316文献标识码：A 文章编号：1009-3044(2008)36-2764-01
Analysis of the Security Mechanism of Windows 2003
MA Wen
(Computer Science of Xi’an University of Science and Technology, Xi’an 710054, China)
Abstract: This article discussed the security mechanism of windows 2003.It can be adopted to using these security mechanism to improve the security and stability of the Windows 2003.
Key words: operation system; security mechanism; security of system
1 引言
Windows 2003是目前比较流行的操作系统之一。与其它的操作系统一样，如何提高Windows 2003系统的安全性和稳定性是使用好该系统应该考虑的一个重要问题。本文从身份验证机制、访问控制机制、审核机制、Internet协议安全性和防火墙技术等多方面对Windows 2003的安全机制做了初步分析。只有充分了解好这些安全机制，才能更好的使用该系统。
2 Windows 2003的安全机制
2.1 身份验证机制
身份验证是各种系统对安全性的一个基本要求，它主要用来对任何试图访问系统的用户身份进行确认。Windows2003将用户帐号信息保存在SAM数据库中，用户登陆时输入的帐号和密码需要在SAM数据库中查找和匹配。另外，在Windows 2003系统中可以使用帐户策略设置中的“密码策略”来进行设置。通过设置可以提高密码的破解难度、提高密码的复杂性、增大密码的长度、提高更换频率等。Windows 2003的身份验证一般包括交互式登陆和网络身份验证两方面内容。在对用户进行身份验证时，根据要求的不同，可使用多种行业标准类型的身份验证方法，这些身份验证方法包括以下协议类型：1) Kerberos V5与密码或智能卡一起使用的用于交互式登陆的协议。2) 用户尝试访问Web服务器时使用的SSL/TLS协议。3) 客户端或服务器使用早期版本的Windows时使用的NTLM协议。4) 摘要式身份验证，这将使凭据作为MD5哈希或消息摘要在网络上传递。5) Passport身份验证，用来提供单点登陆服务的用户身份验证服务。单点登陆是Windows 2003身份验证机制提供的重要功能之一，它在安全性方面提供了两个主要的优点：1) 对用户而言，使用单个密码或智能卡可以减少混乱，提高工作效率。2) 对管理员而言，由于管理员只需要为每个用户管理一个帐户，因此可以减少域用户所要求的管理。
2.2 访问控制机制
访问控制机制是实现用户、组和计算机访问网络上的对象时所使用的安全机制。权限是访问控制的重要概念，权限定义了授予用户或组对某个对象或对象属性的访问类型。包括文件和文件夹的权限、共享权限、注册表权限、服务权限、指派打印机权限、管理连接权限、WMI权限、活动目录权限等。在默认的情况下，大多数的文件夹对Everyone组是完全控制的（Full Control），如果系统的管理员不进行修改，则系统的安全性将非常薄弱。共享权限的使用使得在方便管理的同时，也容易导致安全问题。尤其是系统的默认共享（比如IPC$、C$、ADMIN$ 等）常常被用来作为入侵通道利用。
除了权限以外，构成访问控制机制的主要概念还包括用户权利和对象审查。其中用户权利定义了授予计算环境中的用户和组特定的特权和登录权利。与权限不同，用户权利适用于用户账户，而权限则附加给对象。对象审查则可以审核用户对对象的访问情况。Windows Server 2003默认权限比以前的版本更符合最小特权原则，管理员应当在此基础上根据需要严格设置权限和用户权利，使用强健的访问控制列表来保护文件系统和注册表的安全。这样做可以有效地限制、分割用户对对象进行访问时的权限，既能保证用户能够完成所操作的任务，同时又能降低事故、错误或攻击对系统及数据造成的损失，对于系统安全具有重要的作用。
2.3 审核策略机制
建立审核策略是跟踪潜在安全性问题的重要手段，并在出现违反安全的事件时提供证据。微软建议对下面的事件进行审核：系统事件类别中的成功和失败事件、策略更改事件类别中的成功事件、账户管理事件类别中的成功事件、登录事件类别中的成功事件、账户登录事件类别中的成功事件。在执行审核策略之前需要创建一个审核计划，这样可以根据需要确定通过收集审核事件想要
获得的信息资源和类型。审核事件占用服务器的存储空间和CPU时间，如果设置不当，可能反而被攻击者利用进行拒绝服务攻击。因此，在建立审核策略时，应考虑生成的审核数量尽可能少一些，而且从事件中获得的信息的质量相对比较高一些，同时占用系统的资源也尽量少一些。系统审核机制可以对系统中的各类事件进行跟踪记录并写入日志文件，以供管理员进行分析、查找系统和应用程序故障以及各类安全事件。当在系统中启用安全审核策略后，管理员应经常查看安全日志的记录，否则就失去了及时补救和防御的时机了。除了安全日志外，管理员还要注意检查各种服务或应用的日志文件。在Windows 2003 IIS 6.0中，其日志功能默认已经启动，并且日志文件存放的路径默认在System32/LogFiles目录下，打开IIS日志文件，可以看到对Web服务器的HTTP请求，IIS6.0系统自带的日志功能从某种程度上可以成为入侵检测的得力帮手。
2.4 IP安全策略机制
Internet 协议安全性 (IPSec)是一种开放标准的框架结构，通过使用加密的安全服务以确保在 IP 网络上进行保密而安全的通讯。作为网络操作系统的Windows 2003,在分析它的安全机制时，也应该考虑到IP安全策略机制。一个IPSec安全策略由IP筛选器和筛选器操作两部分构成，其中IP筛选器决定哪些报文应当引起IPSec 安全策略的关注，筛选器操作是指“允许”还是“拒绝”报文的通过。要新建一个IPSec安全策略，一般需要新建IP筛选器和筛选器操作。在WindowsServer 2003系统中，其服务器产品和客户端产品都提供了对IPSec的支持。从而增强了安全性、可伸缩性以及可用性，同时使得配置部署和管理更加方便。
2.5 防火墙机制
防火墙是网络安全机制的一个重要的技术，它在内部网和外部网之间、机器与网络之间建立起了一个安全屏障。是Internet建网的一个重要组成部分。Windows 2003网络操作系统自身带有一个可扩展的企业级防火墙ISA Server。支持两个层级的策略：阵列级策略和企业级策略。阵列策略包括站点和内容规则、协议规则、IP 数据包筛选器、Web 发布规则和服务器发布规则。修改阵列配置时，该阵列内所有的ISA Server计算机也都会被修改，包括所有的访问策略和缓存策略。企业策略进一步体现了集中式管理，它允许设置一项或多项应用于企业网阵列的企业策略。企业策略包括站点和内容规则以及协议规则。企业策略可用于任何阵列，而且可通过阵列自己的策略进行扩充。Windows 2003 支持ISA Server2000，但要安裝补丁为 ISA Server升级。在Windows 2003中，IP 安全监视器是作为 Microsoft 管理控制台(MMC)实现的，并包括了一些增强功能。IPSec的功能得到了很大的增强，这些增强的功能主要体现在支持使用2048位Diffie-Hellman密钥交换；支持通过Netsh进行配置静态或动态IPSec主模式设置、快速模式设置、规则和配置参数；在计算机启动过程中可对网络通信提供状态可控的筛选，从而提高了计算机启动过程中的安全性；IPSec与网络负载平衡更好地集成等。
3 总结
本文从以上几个方面分析和探讨了Windows 2003网络操作系统的安全机制,对于Windows 2003系统而言，还有一些诸如文件系统、服务等方面安全问题，由于篇幅问题本文没有涉及。总之，安全问题是一个很复杂的问题，只有了解和熟练的运用Windows 2003所具有的这些安全机制可以增强系统的安全性和稳定性,从而使得系统避免受到一些非法入侵和不当操作。
参考文献：
[1] 张淑芬,陈学斌,郭景峰.基于Windows Server 2003的安全性研究[J].计算机应用与软件, 2005,(08).
[2] 金立明.怎样使你的Windows Server 2003系统更加安全[J]. 网络与信息,2004,(12).
[3] 邓立新.加强Windows Server 2003系统安全的思考[J].科技资讯,2005,(26).
[4] http://www.microsoft.com/windowsserver.2003.
[5] http://www.microsoft.com/security.2003.
关键词：操作系统；安全机制；系统安全
中图分类号：TP316文献标识码：A 文章编号：1009-3044(2008)36-2764-01
Analysis of the Security Mechanism of Windows 2003
MA Wen
(Computer Science of Xi’an University of Science and Technology, Xi’an 710054, China)
Abstract: This article discussed the security mechanism of windows 2003.It can be adopted to using these security mechanism to improve the security and stability of the Windows 2003.
Key words: operation system; security mechanism; security of system
1 引言
Windows 2003是目前比较流行的操作系统之一。与其它的操作系统一样，如何提高Windows 2003系统的安全性和稳定性是使用好该系统应该考虑的一个重要问题。本文从身份验证机制、访问控制机制、审核机制、Internet协议安全性和防火墙技术等多方面对Windows 2003的安全机制做了初步分析。只有充分了解好这些安全机制，才能更好的使用该系统。
2 Windows 2003的安全机制
2.1 身份验证机制
身份验证是各种系统对安全性的一个基本要求，它主要用来对任何试图访问系统的用户身份进行确认。Windows2003将用户帐号信息保存在SAM数据库中，用户登陆时输入的帐号和密码需要在SAM数据库中查找和匹配。另外，在Windows 2003系统中可以使用帐户策略设置中的“密码策略”来进行设置。通过设置可以提高密码的破解难度、提高密码的复杂性、增大密码的长度、提高更换频率等。Windows 2003的身份验证一般包括交互式登陆和网络身份验证两方面内容。在对用户进行身份验证时，根据要求的不同，可使用多种行业标准类型的身份验证方法，这些身份验证方法包括以下协议类型：1) Kerberos V5与密码或智能卡一起使用的用于交互式登陆的协议。2) 用户尝试访问Web服务器时使用的SSL/TLS协议。3) 客户端或服务器使用早期版本的Windows时使用的NTLM协议。4) 摘要式身份验证，这将使凭据作为MD5哈希或消息摘要在网络上传递。5) Passport身份验证，用来提供单点登陆服务的用户身份验证服务。单点登陆是Windows 2003身份验证机制提供的重要功能之一，它在安全性方面提供了两个主要的优点：1) 对用户而言，使用单个密码或智能卡可以减少混乱，提高工作效率。2) 对管理员而言，由于管理员只需要为每个用户管理一个帐户，因此可以减少域用户所要求的管理。
2.2 访问控制机制
访问控制机制是实现用户、组和计算机访问网络上的对象时所使用的安全机制。权限是访问控制的重要概念，权限定义了授予用户或组对某个对象或对象属性的访问类型。包括文件和文件夹的权限、共享权限、注册表权限、服务权限、指派打印机权限、管理连接权限、WMI权限、活动目录权限等。在默认的情况下，大多数的文件夹对Everyone组是完全控制的（Full Control），如果系统的管理员不进行修改，则系统的安全性将非常薄弱。共享权限的使用使得在方便管理的同时，也容易导致安全问题。尤其是系统的默认共享（比如IPC$、C$、ADMIN$ 等）常常被用来作为入侵通道利用。
除了权限以外，构成访问控制机制的主要概念还包括用户权利和对象审查。其中用户权利定义了授予计算环境中的用户和组特定的特权和登录权利。与权限不同，用户权利适用于用户账户，而权限则附加给对象。对象审查则可以审核用户对对象的访问情况。Windows Server 2003默认权限比以前的版本更符合最小特权原则，管理员应当在此基础上根据需要严格设置权限和用户权利，使用强健的访问控制列表来保护文件系统和注册表的安全。这样做可以有效地限制、分割用户对对象进行访问时的权限，既能保证用户能够完成所操作的任务，同时又能降低事故、错误或攻击对系统及数据造成的损失，对于系统安全具有重要的作用。
2.3 审核策略机制
建立审核策略是跟踪潜在安全性问题的重要手段，并在出现违反安全的事件时提供证据。微软建议对下面的事件进行审核：系统事件类别中的成功和失败事件、策略更改事件类别中的成功事件、账户管理事件类别中的成功事件、登录事件类别中的成功事件、账户登录事件类别中的成功事件。在执行审核策略之前需要创建一个审核计划，这样可以根据需要确定通过收集审核事件想要
获得的信息资源和类型。审核事件占用服务器的存储空间和CPU时间，如果设置不当，可能反而被攻击者利用进行拒绝服务攻击。因此，在建立审核策略时，应考虑生成的审核数量尽可能少一些，而且从事件中获得的信息的质量相对比较高一些，同时占用系统的资源也尽量少一些。系统审核机制可以对系统中的各类事件进行跟踪记录并写入日志文件，以供管理员进行分析、查找系统和应用程序故障以及各类安全事件。当在系统中启用安全审核策略后，管理员应经常查看安全日志的记录，否则就失去了及时补救和防御的时机了。除了安全日志外，管理员还要注意检查各种服务或应用的日志文件。在Windows 2003 IIS 6.0中，其日志功能默认已经启动，并且日志文件存放的路径默认在System32/LogFiles目录下，打开IIS日志文件，可以看到对Web服务器的HTTP请求，IIS6.0系统自带的日志功能从某种程度上可以成为入侵检测的得力帮手。
2.4 IP安全策略机制
Internet 协议安全性 (IPSec)是一种开放标准的框架结构，通过使用加密的安全服务以确保在 IP 网络上进行保密而安全的通讯。作为网络操作系统的Windows 2003,在分析它的安全机制时，也应该考虑到IP安全策略机制。一个IPSec安全策略由IP筛选器和筛选器操作两部分构成，其中IP筛选器决定哪些报文应当引起IPSec 安全策略的关注，筛选器操作是指“允许”还是“拒绝”报文的通过。要新建一个IPSec安全策略，一般需要新建IP筛选器和筛选器操作。在WindowsServer 2003系统中，其服务器产品和客户端产品都提供了对IPSec的支持。从而增强了安全性、可伸缩性以及可用性，同时使得配置部署和管理更加方便。
2.5 防火墙机制
防火墙是网络安全机制的一个重要的技术，它在内部网和外部网之间、机器与网络之间建立起了一个安全屏障。是Internet建网的一个重要组成部分。Windows 2003网络操作系统自身带有一个可扩展的企业级防火墙ISA Server。支持两个层级的策略：阵列级策略和企业级策略。阵列策略包括站点和内容规则、协议规则、IP 数据包筛选器、Web 发布规则和服务器发布规则。修改阵列配置时，该阵列内所有的ISA Server计算机也都会被修改，包括所有的访问策略和缓存策略。企业策略进一步体现了集中式管理，它允许设置一项或多项应用于企业网阵列的企业策略。企业策略包括站点和内容规则以及协议规则。企业策略可用于任何阵列，而且可通过阵列自己的策略进行扩充。Windows 2003 支持ISA Server2000，但要安裝补丁为 ISA Server升级。在Windows 2003中，IP 安全监视器是作为 Microsoft 管理控制台(MMC)实现的，并包括了一些增强功能。IPSec的功能得到了很大的增强，这些增强的功能主要体现在支持使用2048位Diffie-Hellman密钥交换；支持通过Netsh进行配置静态或动态IPSec主模式设置、快速模式设置、规则和配置参数；在计算机启动过程中可对网络通信提供状态可控的筛选，从而提高了计算机启动过程中的安全性；IPSec与网络负载平衡更好地集成等。
3 总结
本文从以上几个方面分析和探讨了Windows 2003网络操作系统的安全机制,对于Windows 2003系统而言，还有一些诸如文件系统、服务等方面安全问题，由于篇幅问题本文没有涉及。总之，安全问题是一个很复杂的问题，只有了解和熟练的运用Windows 2003所具有的这些安全机制可以增强系统的安全性和稳定性,从而使得系统避免受到一些非法入侵和不当操作。
参考文献：
[1] 张淑芬,陈学斌,郭景峰.基于Windows Server 2003的安全性研究[J].计算机应用与软件, 2005,(08).
[2] 金立明.怎样使你的Windows Server 2003系统更加安全[J]. 网络与信息,2004,(12).
[3] 邓立新.加强Windows Server 2003系统安全的思考[J].科技资讯,2005,(26).
[4] http://www.microsoft.com/windowsserver.2003.
[5] http://www.microsoft.com/security.2003.