第九章-操作系统安全与保护.ppt

,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,实用操作系统教程,第九章 操作系统安全与保护,本章内容,9.1,操作系统安全概述,9.2,来自系统内外的攻击及其防御,9.3,用户身份认证,9.4,操作系统保护机制,9.5,安全操作系统的设计原则,9.6 Windows 2000/XP,系统的安全机制,本章学习目标,操作系统安全和保护的区别与联系；,用户身份认证及常见方法；,常见的系统内外部攻击；,安全操作系统对计算机病毒的防御；,操作系统中常见的保护机制。,9.1,操作系统安全概述,9.1.1,系统安全性的三个要求,计算机系统的安全性可以包括狭义和广义两个层面。狭义安全主要指对外部攻击的防范，广义安全指保障计算机系统数据的保密性、完整性和系统可用性。,（,1,）数据保密性,（,2,）数据完整性,（,3,）系统可用性,9.1,操作系统安全概述,9.1.2,系统安全性的主要威胁,1,人为攻击,入侵者,2,数据意外遗失,9.1,操作系统安全概述,9.1.3,操作系统的安全级别,第一个可信计算机系统评估标准是美国国防部在,80,年代中期制定的一组计算机系统安全需求标准，共包括,20,多个文件，每个文件都使用了彼此不同颜色的封面，统称为“彩虹系列”。其中最核心的是具有橙色封皮的“可信任计算机系统评价标准（,TCSEC,）”，简称为橙皮书。,该标准将计算机系统的安全程度划分为,4,等（,D,，,C,，,B,，,A,）和,8,级（,D1,，,C1,，,C2,，,B1,，,B2,，,B3,，,A1,，,A2,），从最低级,D1,开始，随着级别的提高，系统可信度也随之增加。在橙皮书中，对每个评价级别的资源访问控制功能和访问的不可抵赖性、信任度以及产品制造商应提供的文档，都做了明确规定。,9.1,操作系统安全概述,9.1.3,操作系统的安全级别,（,1,）,D,等,最低保护等级,（,2,）,C,等,自主保护等级,（,3,）,B,等,强制保护等级,（,4,）,A,等,验证保护等级,9.2,来自系统内外的攻击及其防御,9.2.1,特洛伊木马攻击,特洛伊木马攻击是一种较为原始的攻击方法，它是一种用户很难发现异常但却隐含了意想不到功能的程序。该程序能够改变、删除、或加密用户文件，把这些文件复制并发送到别有用心人以后可以查阅到的地方，如通过电子邮件或,FTP,发送到指定的邮箱。特洛伊木马程序只有运行后，才能发挥作用，程序设计者必须想方法让程序执行。,防御特洛伊木马攻击的一个有效方法就是谨慎运行来历不明的程序。要想完全防止特洛伊木马程序的破坏必须依靠一些强制手段，如对存取控制灵活性进行限制等。过程控制、系统控制、强制控制和检查软件商的软件等措施都可以降低特洛伊木马程序攻击成功的可能性。,9.2,来自系统内外的攻击及其防御,9.2.3,逻辑炸弹攻击,逻辑炸弹是加在现有应用程序上的程序。它是一种随着编程人员的流动而产生的一种内部攻击方式。入侵者为公司写代码时，把逻辑炸弹程序秘密写入到相关系统中。只要程序员每天输入口令，产品就相安无事。当入侵者离开公司，逻辑炸弹就会因得不到口令而发作,。,逻辑炸弹具有多种触发方式，例如计数器触发方式、时间触发方式、复制触发方式、磁盘空间触发方式、视频模式触发方式、基本输入输出系统触发方式、只读内存触发方式、键盘触发方式以及反病毒触发方式等。,9.2,来自系统内外的攻击及其防御,9.2.5,缓冲区溢出攻击,操作系统多数是用,C,语言编写，但没有一个,C,编译器可以做到数组边界检查。因此，数组边界越界异常为入侵者提供了入侵机会。,9.2,来自系统内外的攻击及其防御,9.2,来自系统内外的攻击及其防御,9.2.6,计算机病毒攻击,计算机病毒是能在其它程序上进行自我繁殖的具有危害性的程序。,计算机病毒具有如下特点：,计算机病毒是一段可执行程序，具有依附性。,计算机病毒具有传染性。,计算机病毒具有潜伏性。,计算机病毒具有破坏性。,计算机病毒具有针对性。,9.2,来自系统内外的攻击及其防御,9.2.6,计算机病毒攻击,计算机病毒大多由三部分组成：引导模块、传染模块和表现模块。,病毒的引导模块负责将病毒引导到内存，对相应的存储空间实施保护以防止它被其它程序覆盖，同时修改一些必要的系统参数，为激活病毒做准备。,病毒传染模块负责将病毒传染给其它计算机程序，它由两部分组成：一部分判断是否具备传染条件，另一部分实施传染。,计算机病毒一般依附在正常的程序或数据上，当用户执行正常程序时，它先于正常程序执行，首先取得系统控制权，要求操作系统为其分配系统资源，然后再完成其病毒的动作。,9.2,来自系统内外的攻击及其防御,9.2.7,常见计算机病毒介绍,（,1,）按照计算机病毒攻击的系统分类,攻击,DOS,系统的病毒,攻击,Windows,系统的病毒,攻击,Unix,系统的病毒,攻击,OS/2,系统的病毒,（,2,）按照病毒的攻击机型分类,攻击微型计算机的病毒,攻击小型机的计算机病毒,攻击工作站的计算机病毒,9.2,来自系统内外的攻击及其防御,9.2.7,常见计算机病毒介绍,（,6）按照计算机病毒激活的时间分类,按照计算机病毒激活的时间可分为定时的和随机的。,（7）按照传播媒介分类,单机病毒,网络病毒,（8）按照寄生方式和传染途径分类,引导型病毒,文件型病毒,混合型病毒,宏病毒,9.2,来自系统内外的攻击及其防御,9.2.8,计算机病毒的防御,根据对计算机病毒传染和运行机理的研究，在病毒感染或运行过程中的任一环节都可以采取防御措施。计算机病毒防御措施通常将系统的存取控制、实体保护等安全机制结合起来，通过专门的防御程序模块为计算机建立病毒的免疫系统和报警系统。,计算机病毒的防御重点在操作系统敏感的数据结构、文件系统、数据存储结构和,I/O,设备驱动结构上。操作系统敏感的数据结构包括系统进程表、关键缓冲区、共享数据段、系统记录、中断矢量表和指针表等。病毒会试图篡改或删除其中的数据和记录时，会造成系统运行出错。针对病毒的各种攻击，病毒防御机制采用了存储映像、数据备份、修改许可、区域保护、动态检疫等方式来保护敏感数据结构。,9.3.1,基于口令的身份验证技术,当前使用最为广泛的验证方式是要求用户输入登录名和口令。口令是计算机和用户双方知道的某个关键，是一个需要严加保护的对象。它作为一个确认符号串只能由用户和操作系统本身识别。口令保护很容易理解，也很容易实现。最简单的实现方法是保存一张重要的（登录名，口令）对列表。键入的登录名在该列表中查找，键入的口令与已保护的口令进行比较。如果它们都匹配，则允许登录，如果不匹配，登录被拒绝。,9.3.2,基于实际物体的身份验证技术,用户验证的第二种方式是验证一些用户所拥有的实际物体而不是用户所知道的信息。现在，人们经常使用载有信息的磁卡和,IC,卡。,磁卡后边粘附的磁条上可以写上存放140个字节的信息。,智能卡是近期发展起来的一种更具安全性的芯片卡。它通常使用4Mhz的8位CPU、16KB EEPROM、521字节可擦写RAM。这类卡制作小巧，各种参数不尽相同。,9.4,操作系统保护机制,为了保护系统，使之安全地工作，计算机系统需建立相应的安全机制，这将涉及到许多概念。一方面系统硬件必须提供保护机制，允许实现安全特性，另一方面，操作系统从一开始设计时就要考虑各种安全问题，采取相应措施。目前采用的主要安全机制包括：硬件安全机制、存取控制、安全审计、用户标识与鉴别、入侵检测等。,9.4.1,进程支持,当前的操作系统绝大多数都是多任务并发操作系统，允许用户在自己的权限内同时创建多个并发进程。这样一来，进程转换的安全问题就成为了操作系统设计者首先要考虑的问题之一。,为了实现共享进程的安全，通常操作系统的设计者在进程的唯一标识,进程控制块中进行相应的设置，用它来控制和管理进程，实现共享进程的安全。,9.4.2,内存保护,对于一个安全操作系统，内存保护是最基本要求。所谓内存保护是指保护用户在存储器中的数据。保护单元为存储器中的最小数据范围，可为字、字块、页面或段。保护单元越小，则存储保护精度越高。同时，在多道程序系统中，需要存储保护机制对进程的存储区域实行隔离。,内存保护与操作系统中的存储器管理是紧密相联的，存储保护负责保证系统各个任务之间互不干扰；存储器管理则是为了更有效地利用存储空间。,9.4.3,存取控制,在计算机系统中，安全机制的主要内容是存取控制。它包括以下三个任务：,授权：确定可给予哪些主体存取客体的权限；,确定存取权限（读、写、执行、删除、追加等存取方式的组合）；,实施存取权限。,“存取控制”仅适用于算机系统内的主体和客体、而不包括外界对系统的访问。控制外界对系统存取的技术是标识与鉴别。,9.4.3,存取控制,在安全操作系统领域中，存取控制一般都涉及自主存取控制和强制存取控制两种形式。,(1),自主存取控制,(2),强制存取控制,强制存取控制和自主存取控制是两种不同类型的存取控制机制，它们常结合起来使用。仅当主体能够同时通过自主存取控制和强制存取控制检查时，它才能访问一个客体。用户使用自主存取控制防止其它用户非法入侵自己的文件，强制存取控制则作为更强有力的安全保护方式，使用户不能通过意外事件和有意识的误操作逃避安全控制。强制存取控制用于将系统中的信息分密级和类进行管理，适用于政府部门、军事和金融等领域。,9.4.4,安全审计机制,安全审计是对系统中有关安全的活动进行记录、检查及审核。安全审计机制的主要作用是检测和阻止非法用户对计算机系统的入侵，同时显示合法用户的误操作。审计通过事后分析的方法认定违反安全规则的行为，并对涉及系统安全的操作进行完整的记录，从而保证系统的安全。,一般来讲，安全审计机制能够详细记录与系统安全有关的行为，并对这些行为进行分析，发现系统中的不安全因素，保障系统安全；能够对违反安全规则的行为或企图提供证据，帮助追查危险行为发生的地点、过程以及对应的主体；对已受攻击的系统提供信息，帮助进行损失评估和系统恢复。,9.4.5,入侵检测机制,入侵检测基于这样一个假设：入侵者的行为不同于合法用户的某些行为。而事实上，我们无法期望入侵攻击行为和授权用户正常使用资源之间存在着明显的区别，相反两者之间存在着相同之处。因此，对入侵者行为不精确的解释虽然会捕获更多的入侵者，但也会导致判断错误，将授权用户当作入侵者。另一方面，对入侵者攻击行为的严格解释会导致增加错误的否定判断，没有把入侵者检验出来。所以，在入侵检测的实际情况中，系统要在这两方面做出权衡。,入侵检测通常有以下两种方式。,（,1,）统计异常检测,（,2,）基于规则检测,9.5,安全,操作系统的设计原则,所谓安全操作系统设计，就是指在操作系统的各个部分对安全性都予以考虑。,安全操作系统设计的一般原则如下：,最小权限原则,赋予主体完成工作所需要的最小权限，防止权限过大造成不必要的损害。,完全性原则,对所有保护对象的每次访问都必须接受访问权限的检查。如果该访问具有相应的访问权限才允许访问。,经济性原则,尽量采用最直接、最简单的方法对系统进行检查和验证。保护措施带来的系统开销要小于受保护对象的价值。,9.5,安全,操作系统的设计原则,分开性原则,系统的安全性不能建立在对系统某些技术保密的基础上，而应让这些技术充分接受实际的检验。,权限分离原则,理想的访问权限应取决于两个以上条件的同时满足。,最小共同性原则,用物理上或逻辑上隔离的方法来减少资源共享带来的潜在危害。,易用性原则,系统人机接口的安全措施必须简单易用，这是保证安全措施会广泛使用的前提。,缺省安全原则,课后作业,认真做课后,习题,9,，仔细分析每道题的答案,