Ｗｉｎｄｏｗｓ ２００３ 安全機制的分析

摘要：該文對目前流行的操作系統(tǒng)Windows 2003的安全機制作了初步分析與探討，對如何利用這些安全機制，提高Windows 2003系統(tǒng)的安全性與穩(wěn)定性做了歸納，這對更好的使用該操作系統(tǒng)有一定的參考作用。

關(guān)鍵詞：操作系統(tǒng)；安全機制；系統(tǒng)安全

中圖分類號：TP316文獻標識碼：A 文章編號：1009-3044(2008)36-2764-01

Analysis of the Security Mechanism of Windows 2003

MA Wen

(Computer Science of Xi'an University of Science and Technology， Xi'an 710054， China)

Abstract: This article discussed the security mechanism of windows 2003.It can be adopted to using these security mechanism to improve the security and stability of the Windows 2003.

Key words: operation system; security mechanism; security of system

1 引言

Windows 2003是目前比較流行的操作系統(tǒng)之一。與其它的操作系統(tǒng)一樣，如何提高Windows 2003系統(tǒng)的安全性和穩(wěn)定性是使用好該系統(tǒng)應(yīng)該考慮的一個重要問題。本文從身份驗證機制、訪問控制機制、審核機制、Internet協(xié)議安全性和防火墻技術(shù)等多方面對Windows 2003的安全機制做了初步分析。只有充分了解好這些安全機制，才能更好的使用該系統(tǒng)。

2 Windows 2003的安全機制

2.1 身份驗證機制

身份驗證是各種系統(tǒng)對安全性的一個基本要求，它主要用來對任何試圖訪問系統(tǒng)的用戶身份進行確認。Windows2003將用戶帳號信息保存在SAM數(shù)據(jù)庫中，用戶登陸時輸入的帳號和密碼需要在SAM數(shù)據(jù)庫中查找和匹配。另外，在Windows 2003系統(tǒng)中可以使用帳戶策略設(shè)置中的“密碼策略”來進行設(shè)置。通過設(shè)置可以提高密碼的破解難度、提高密碼的復雜性、增大密碼的長度、提高更換頻率等。Windows 2003的身份驗證一般包括交互式登陸和網(wǎng)絡(luò)身份驗證兩方面內(nèi)容。在對用戶進行身份驗證時，根據(jù)要求的不同，可使用多種行業(yè)標準類型的身份驗證方法，這些身份驗證方法包括以下協(xié)議類型：1) Kerberos V5與密碼或智能卡一起使用的用于交互式登陸的協(xié)議。2) 用戶嘗試訪問Web服務(wù)器時使用的SSL/TLS協(xié)議。3) 客戶端或服務(wù)器使用早期版本的Windows時使用的NTLM協(xié)議。4) 摘要式身份驗證，這將使憑據(jù)作為MD5哈希或消息摘要在網(wǎng)絡(luò)上傳遞。5) Passport身份驗證，用來提供單點登陸服務(wù)的用戶身份驗證服務(wù)。單點登陸是Windows 2003身份驗證機制提供的重要功能之一，它在安全性方面提供了兩個主要的優(yōu)點：1) 對用戶而言，使用單個密碼或智能卡可以減少混亂，提高工作效率。2) 對管理員而言，由于管理員只需要為每個用戶管理一個帳戶，因此可以減少域用戶所要求的管理。

2.2 訪問控制機制

訪問控制機制是實現(xiàn)用戶、組和計算機訪問網(wǎng)絡(luò)上的對象時所使用的安全機制。權(quán)限是訪問控制的重要概念，權(quán)限定義了授予用戶或組對某個對象或?qū)ο髮傩缘脑L問類型。包括文件和文件夾的權(quán)限、共享權(quán)限、注冊表權(quán)限、服務(wù)權(quán)限、指派打印機權(quán)限、管理連接權(quán)限、WMI權(quán)限、活動目錄權(quán)限等。在默認的情況下，大多數(shù)的文件夾對Everyone組是完全控制的（Full Control），如果系統(tǒng)的管理員不進行修改，則系統(tǒng)的安全性將非常薄弱。共享權(quán)限的使用使得在方便管理的同時，也容易導致安全問題。尤其是系統(tǒng)的默認共享（比如IPC$、C$、ADMIN$ 等）常常被用來作為入侵通道利用。

除了權(quán)限以外，構(gòu)成訪問控制機制的主要概念還包括用戶權(quán)利和對象審查。其中用戶權(quán)利定義了授予計算環(huán)境中的用戶和組特定的特權(quán)和登錄權(quán)利。與權(quán)限不同，用戶權(quán)利適用于用戶賬戶，而權(quán)限則附加給對象。對象審查則可以審核用戶對對象的訪問情況。Windows Server 2003默認權(quán)限比以前的版本更符合最小特權(quán)原則，管理員應(yīng)當在此基礎(chǔ)上根據(jù)需要嚴格設(shè)置權(quán)限和用戶權(quán)利，使用強健的訪問控制列表來保護文件系統(tǒng)和注冊表的安全。這樣做可以有效地限制、分割用戶對對象進行訪問時的權(quán)限，既能保證用戶能夠完成所操作的任務(wù)，同時又能降低事故、錯誤或攻擊對系統(tǒng)及數(shù)據(jù)造成的損失，對于系統(tǒng)安全具有重要的作用。

2.3 審核策略機制

建立審核策略是跟蹤潛在安全性問題的重要手段，并在出現(xiàn)違反安全的事件時提供證據(jù)。微軟建議對下面的事件進行審核：系統(tǒng)事件類別中的成功和失敗事件、策略更改事件類別中的成功事件、賬戶管理事件類別中的成功事件、登錄事件類別中的成功事件、賬戶登錄事件類別中的成功事件。在執(zhí)行審核策略之前需要創(chuàng)建一個審核計劃，這樣可以根據(jù)需要確定通過收集審核事件想要

獲得的信息資源和類型。審核事件占用服務(wù)器的存儲空間和CPU時間，如果設(shè)置不當，可能反而被攻擊者利用進行拒絕服務(wù)攻擊。因此，在建立審核策略時，應(yīng)考慮生成的審核數(shù)量盡可能少一些，而且從事件中獲得的信息的質(zhì)量相對比較高一些，同時占用系統(tǒng)的資源也盡量少一些。系統(tǒng)審核機制可以對系統(tǒng)中的各類事件進行跟蹤記錄并寫入日志文件，以供管理員進行分析、查找系統(tǒng)和應(yīng)用程序故障以及各類安全事件。當在系統(tǒng)中啟用安全審核策略后，管理員應(yīng)經(jīng)常查看安全日志的記錄，否則就失去了及時補救和防御的時機了。除了安全日志外，管理員還要注意檢查各種服務(wù)或應(yīng)用的日志文件。在Windows 2003 IIS 6.0中，其日志功能默認已經(jīng)啟動，并且日志文件存放的路徑默認在System32/LogFiles目錄下，打開IIS日志文件，可以看到對Web服務(wù)器的HTTP請求，IIS6.0系統(tǒng)自帶的日志功能從某種程度上可以成為入侵檢測的得力幫手。

2.4 IP安全策略機制

Internet 協(xié)議安全性 (IPSec)是一種開放標準的框架結(jié)構(gòu)，通過使用加密的安全服務(wù)以確保在 IP 網(wǎng)絡(luò)上進行保密而安全的通訊。作為網(wǎng)絡(luò)操作系統(tǒng)的Windows 2003，在分析它的安全機制時，也應(yīng)該考慮到IP安全策略機制。一個IPSec安全策略由IP篩選器和篩選器操作兩部分構(gòu)成，其中IP篩選器決定哪些報文應(yīng)當引起IPSec 安全策略的關(guān)注，篩選器操作是指“允許”還是“拒絕”報文的通過。要新建一個IPSec安全策略，一般需要新建IP篩選器和篩選器操作。在WindowsServer 2003系統(tǒng)中，其服務(wù)器產(chǎn)品和客戶端產(chǎn)品都提供了對IPSec的支持。從而增強了安全性、可伸縮性以及可用性，同時使得配置部署和管理更加方便。

2.5 防火墻機制

防火墻是網(wǎng)絡(luò)安全機制的一個重要的技術(shù)，它在內(nèi)部網(wǎng)和外部網(wǎng)之間、機器與網(wǎng)絡(luò)之間建立起了一個安全屏障。是Internet建網(wǎng)的一個重要組成部分。Windows 2003網(wǎng)絡(luò)操作系統(tǒng)自身帶有一個可擴展的企業(yè)級防火墻ISA Server。支持兩個層級的策略：陣列級策略和企業(yè)級策略。陣列策略包括站點和內(nèi)容規(guī)則、協(xié)議規(guī)則、IP 數(shù)據(jù)包篩選器、Web 發(fā)布規(guī)則和服務(wù)器發(fā)布規(guī)則。修改陣列配置時，該陣列內(nèi)所有的ISA Server計算機也都會被修改，包括所有的訪問策略和緩存策略。企業(yè)策略進一步體現(xiàn)了集中式管理，它允許設(shè)置一項或多項應(yīng)用于企業(yè)網(wǎng)陣列的企業(yè)策略。企業(yè)策略包括站點和內(nèi)容規(guī)則以及協(xié)議規(guī)則。企業(yè)策略可用于任何陣列，而且可通過陣列自己的策略進行擴充。Windows 2003 支持ISA Server2000，但要安裝補丁為 ISA Server升級。在Windows 2003中，IP 安全監(jiān)視器是作為 Microsoft 管理控制臺(MMC)實現(xiàn)的，并包括了一些增強功能。IPSec的功能得到了很大的增強，這些增強的功能主要體現(xiàn)在支持使用2048位Diffie-Hellman密鑰交換；支持通過Netsh進行配置靜態(tài)或動態(tài)IPSec主模式設(shè)置、快速模式設(shè)置、規(guī)則和配置參數(shù)；在計算機啟動過程中可對網(wǎng)絡(luò)通信提供狀態(tài)可控的篩選，從而提高了計算機啟動過程中的安全性；IPSec與網(wǎng)絡(luò)負載平衡更好地集成等。

3 總結(jié)

本文從以上幾個方面分析和探討了Windows 2003網(wǎng)絡(luò)操作系統(tǒng)的安全機制，對于Windows 2003系統(tǒng)而言，還有一些諸如文件系統(tǒng)、服務(wù)等方面安全問題，由于篇幅問題本文沒有涉及。總之，安全問題是一個很復雜的問題，只有了解和熟練的運用Windows 2003所具有的這些安全機制可以增強系統(tǒng)的安全性和穩(wěn)定性，從而使得系統(tǒng)避免受到一些非法入侵和不當操作。

參考文獻：

[1] 張淑芬，陳學斌，郭景峰.基于Windows Server 2003的安全性研究[J].計算機應(yīng)用與軟件， 2005，(08).

[2] 金立明.怎樣使你的Windows Server 2003系統(tǒng)更加安全[J]. 網(wǎng)絡(luò)與信息，2004，(12).

[3] 鄧立新.加強Windows Server 2003系統(tǒng)安全的思考[J].科技資訊，2005，(26).

[4] http://www.microsoft.com/windowsserver.2003.

[5] http://www.microsoft.com/security.2003.