网络安全教程：操作系统安全概述

1.网络安全的威胁

网络安全的威胁来自多个方面，主要包括操作系统安全、应用服务安全、网络设备安全、网络传输安全等。

（1）操作系统安全问题

操作系统安全指的是一个操作系统在其系统管理机制实施中的完整性、强制性、计划性、可预期性不受干扰或破坏，如操作系统的用户等级管理机制、文件读取权限管理机制、程序执行权限管理机制、系统资源分配管理机制等。操作系统安全问题的来源主要表现在系统管理程序编写失误、系统配置失误等方面，其安全问题主要体现在抵御和防范本地攻击。

攻击行为通常表现为攻击者突破以上一些系统管理机制，对系统的越权访问和控制。

（2）网络应用服务安全问题

每一个网络应用服务都是由一个或多个程序构成，在讨论安全性问题时，不仅要考虑服务端程序，也需要考虑客户端程序。

服务端的安全问题主要表现在非法的远程访问，客户端的安全问题主要表现在本地越权使用客户程序。由于大多数服务的进程由超级用户守护，许多重大的安全漏洞往往出现在一些以超级用户守护的应用程序上。

2.服务器操作系统配置的常见问题

（1）IT安全策略设置不合理

操作人员应该审阅那些能够管理特权账户的IT安全策略，要保障安全策略的存在，还要清楚存取访问是如何被处理、验证、证实的，要确保对这些策略定期进行审查。否则，基本上就不存在管理特权访问的基础了。

特权账户的口令审核涉及如下的问题：口令何时更新，更新失败有哪些，以及在一个共享账户下，个别用户如何执行任务等。

制定的策略应能够终止明显的不可防御的用户活动。要确保所有的雇员、订约人和其他用户清楚其责任，从而与IT的安全策略、方法以及与其角色相适应的相关指导等。

（2）“超级用户”账户和访问许可权

了解公司与用户访问有关的暴露程度是很重要的。应该决定拥有访问特权的账户和用户的人员，并获得对网络、应用程序、数据和管理功能的访问有较高权力的所有账户列表，包括通常被忽视的所有计算机账户。

一个好方法是定期审查用户访问，并决定数据和系统的“所有者”已经得到明确授权。

（3）账户和口令配置标准采用默认值

要保证所有的管理员账户能够根据策略更新。在特定设备上不应存在默认的口令设置。设置口令的期限也是很重要的，禁用某些明显的临时账户也是很好的做法。

（4）对口令的受控访问

对权力有所提升的账户和管理员的口令访问要加以治理。

（5）服务账户的访问权限

服务器同样也可以被提升权限，并用于各种不当的目的。这些账户典型情况下并不分配给一般用户，并且也不包括在传统的认证或口令治理过程中，这些账户可被轻易地隐藏。管理员应该保障服务账户只拥有必要的访问权。这些账户应该定期检查。这种用户的数量是很多的，而且还有许多不用的账户也需要关注。

（6）高风险用户和角色滥用访问权

许多企业拥有一些风险极高的要害角色。例如，一位采购经理为谋求一个职位可能会将自己能够访问的敏感数据带到另外一家竞争公司那里去。这种情况下，其访问是被授权的，不过却存在着滥用的情况。岗位、职责的轮换以及设定任命时间是对付高风险的一个重要方案。(www.xing528.com)

（7）安全知晓项目不明确

任何雇员或用户都可能造成一种威胁。贯彻执行一个安全知晓项目，并能保证其强制实施，确保所有的用户已经阅读并同意有关规则和政策。其中一种工具是在用户登录时要求其在一个警告消息上签名，要求用户确认其同意并选择窗口中的“接受”或“同意”复选框。

（8）安全事件记录不完整

安全事件记录提供了实时使用和活动的透明度。精确而完整的用户及其活动的记录对于事件分析和制定额外的安全措施是至关重要的。获取访问的方法、访问范围和过去的活动是很重要的。

3.服务器操作系统安全配置的一般思路

（1）安装安全配置向导“SCW”

SCW功能虽然已经内置在SP1中，但是必须通过手动安装才能够正常使用。利用“SCW”配置安全策略，增强Windows Server 2003服务器安全。

（2）基于角色的安全服务配置

所谓服务器“角色”，其实就是提供各种服务的Windows Server 2003服务器，如文件服务器、打印服务器、DNS服务器和DHCP服务器等。一个Windows Server 2003服务器可以只提供一种服务器“角色”，也可以扮演多种服务器角色。

注意：为了保证服务器的安全，只安装需要的服务器角色即可，选择多余的服务器角色选项，会增加Windows Server 2003系统的安全隐患。如Windows Server 2003服务器只是作为文件服务器使用，这时只要选择“文件服务器”选项即可。

（3）配置网络安全

Windows Server 2003服务器包含的各种服务，都是通过某个或某些端口来提供服务内容的，为了保证服务器的安全，Windows防火墙默认是不会开放这些服务端口的。通过“网络安全”配置向导开放各项服务所需的端口，这种向导化配置过程与手工配置Windows防火墙相比，更加简单、方便和安全。

在“网络安全”配置中，要开放选中的服务器角色，Windows Server 2003系统提供的管理功能以及第三方软件提供的服务所使用的端口。如FTP服务器所需的“20和21”端口，IIS服务所需的“80”端口等，这里要切记“最小化”原则，只选择要必须开放的端口选项即可，最后确认端口配置。注意：其他不需要使用的端口，建议大家不要开放，以免给Windows Server 2003服务器造成安全隐患。

（4）注册表设置

Windows Server 2003服务器在网络中为用户提供各种服务，但用户与服务器的通信中很有可能包含“不怀好意”的访问，如黑客和病毒攻击。如何保证服务器的安全，最大限度地限制非法用户访问，通过“注册表设置”向导就能轻松实现。

利用注册表设置向导，修改Windows Server 2003服务器注册表中某些特殊的键值，来严格限制用户的访问权限。用户只要根据设置向导提示，以及服务器的服务需要，分别对“要求SMB安全签名”“出站身份验证方法”“入站身份验证方法”进行严格设置，就能最大限度保证Windows Server 2003服务器的安全运行，并且免去手工修改注册表的麻烦。

（5）启用“审核策略”

网络管理员会利用日志功能来分析服务器的运行状况，因此启用审核策略是非常重要的。SCW功能也充分地考虑到这些，利用向导化的操作就能轻松启用审核策略。

在“系统审核策略”配置对话框中要合理选择审核目标，毕竟日志记录过多的事件会影响服务器的性能，因此建议用户选择“审核成功的操作”选项。当然如果有特殊需要，也可以选择其他选项，如“不审核”或“审核成功或不成功的操作”选项。

（6）增强IIS安全

IIS服务器是网络中最为广泛应用的一种服务，也是Windows系统中最易受攻击的服务。如何来保证IIS服务器的安全运行，最大限度免受黑客和病毒的攻击，这也是SCW功能要解决的一个问题。利用“安全配置向导”可以轻松地增强IIS服务器的安全，保证其稳定、安全运行。

在“Internet信息服务”配置对话框中，通过配置向导来选择要启用的Web服务扩展、保持的虚拟目录，以及设置匿名用户对内容文件的写权限。这样IIS服务器的安全性就大大增强。

小提示：如果Windows Server 2003服务器没有安装和运行IIS服务，则在SCW配置过程中不会出现IIS安全配置部分。