04信息安全竞赛培训_Windows2008安全管理

注册表 配置 管理器
Win32 User GDI 图形驱动
进程和线程
进程地址空间
什么是进程？
代表了运行程序的一个实例 每一个进程有一个私有的内存地址空 间
什么是线程？
线程 线程
进程内的一个执行上下文 进程内的所有线程共享相同的进程地 址空间
每一个进程启动时带有一个主线程 线程
运行程序的“主”函数 可以在同一个进程中创建其他的线程 可以创建额外的进程
Windows安全子系统的组件（1）
安全标识符（Security Identifiers）:
就是我们经常说的SID，每次当我们创建一个用户或一个组的时候，系统会分配 给改用户或组一个唯一SID，当你重新安装系统后，也会得到一个唯一的SID。 SID永远都是唯一的，由计算机名、当前时间、当前用户态线程的CPU耗费时间 的总和三个参数决定以保证它的唯一性。
附加的系统进程
mstask.exe 允许程序在指定时间运行。(系统服务) regsvc.exe 允许远程注册表操作。 (系统服务) winmgmt.exe 提供系统管理信息(系统服务)。 inetinfo.exe 通过Internet 信息服务的管理单元提供信 息服务连接和管理。(系统服务) tlntsvr.exe 允许远程用户登录到系统并且使用命令行运 行控制台。(系统服务) dns.exe 应答对域名系统 (系统服务) 。。。。。。 (DNS)名称的查询和更新请求。
系统地址空间
系统进程
基本的系统进程
System Idle Process 这个进程是作为单线程运行在每个处理器上，并在 系统不处理其他线程的时候分派处理器的时间 smss.exe 会话管理子系统，负责启动用户会话 csrss.exe 子系统服务器进程 winlogon.exe 管理用户登录 services.exe 包含很多系统服务 lsass.exe 本地安全身份验证服务器 svchost.exe 包含很多系统服务 spoolsv.exe 将文件加载到内存中以便迟后打印 explorer.exe 资源管理器 internat.exe 托盘区的拼音图标
B1
B2 B3 A
基于C2级标准的安全组件
灵活的访问控制----要求允许对象的属主能够完全控制谁 可以访问这个对象及拥有什么样的访问权限。 对象再利用-----Windows NT很明确地阻止所有的应用程序 访问被另一应用程序占用的资源（比如内存或磁盘）。 强制登陆----Windows NT用户在能访问任何资源前必须通 过登陆来验证他们的身份。因此，缺乏这种强制登陆的NT 要想达到C2级标准就必须禁止网络功能。 审计----因为Windows NT采用单独地机制来控制对任何资 源的访问，所以这种机制可以集中地记录下所有的访问活 动。 控制对象的访问----Windows NT不允许直接访问系统里的 资源。
主要内容
Windows系统安全性 Windows体系构架 Windows体系构架 Windows安全配置 Windows系统高级安全配置 Windows的审计分析
WindowsNT系统构架
系统支持进程 服务管理器 本地安全验证服务 Windows登录 会话管理器 服务进程 Svchost.exe Winmgmt.exe Spooler Services.exe 应用程序
系统进程树
smss.exe 对话管理器，第一个创建的进程 引入参数 HKLM\System\CurrentControlSet\Control\Session Manager 装入所需的子系统(csrss) ，然后winlogon Win32 子系统
csrss.exe
winlogon.exe 登录进程：装入services.exe 和 lsass.exe 显示登录对话框（“键入CTRL+ALT+DEL ，登录） 当有人登入，运行在 HKLM\Software\Microsoft\Windows NT\WinLogon\Userinit 中的进程（通常只是userinit.exe) services.exe 服务控制器：也是几项服务的出发点 服务的开始进程不是services.exe的一部分 (由 HKLM\System\CurrentControlSet\Services驱动) lsass.exe 本地安全验证服务器（打开SAM） userinit.exe 登陆之后启动。启动外壳（通常是Explorer.exe —见 HKLM\Software\Microsoft\ Windows NT\CurrentVersion\WinLogon\Shell) 装入配置文件，恢复驱动器标识符映象，然后退出 explorer.exe 和它的子进程是所有交互式应用的创建者
信息安全评估标准
ITSEC和TCSEC TCSEC描述的系统安全级别
D------------ A
CC(Common Critical)标准 BS 7799:2000标准体系 ISO 17799标准
TCSEC安全等级
安全级别 D C1 C2 描述 最低的级别。 MS-DOS计算机， 最低的级别。如MS-DOS计算机，没有安全性可言 计算机 自主安全保护。系统不需要区分用户。 自主安全保护。系统不需要区分用户。可提供根本的访问控制 大部分UNIX达到此标准。 UNIX达到此标准 大部分UNIX达到此标准。 可控访问保护。系统可通过注册过程、 可控访问保护。系统可通过注册过程、与安全相关事件的审计 以及资源隔离等措施，使用户对他们的活动分别负责。NT属 以及资源隔离等措施，使用户对他们的活动分别负责。NT属 于C2级的系统 C2级的系统 标记安全保护。系统提供更多的保护措施包括各式的安全级别。 标记安全保护。系统提供更多的保护措施包括各式的安全级别。 AT＆ V和 以及IBM 如AT＆T的SYSTEM V和UNIX with MLS 以及IBM MVS/ESA 结构化保护。支持硬件保护。内容区被虚拟分割并严格保护。 结构化保护。支持硬件保护。内容区被虚拟分割并严格保护。 如Trusted XENIX and Honeywell MULTICS 安全域。提出数据隐藏和分层，阻止层之间的交互。 安全域。提出数据隐藏和分层，阻止层之间的交互。如 XTSHoneywell XTS-200 校验级设计。需要严格的准确的证明系统不会被危害。 校验级设计。需要严格的准确的证明系统不会被危害。如 Honeywell SCOMP
例：
S-1-5-21-1763234323-3212657521-1234321321-500
访问令牌（Access tokens）:
用户通过验证后，登陆进程会给用户一个访问令牌，该令牌相当于用户访 问系统资源的票证，当用户试图访问系统资源时，将访问令牌提供给 Windows 系统，然后Windows NT检查用户试图访问对象上的访问控制列表。 如果用户被允许访问该对象，系统将会分配给用户适当的访问权限。 访问令牌是用户在通过验证的时候有登陆进程所提供的，所以改变用户的 权限需要注销后重新登陆，重新获取访问令牌。
任务管理器 Windows浏览器 用户级应用程序 子系统动态链接库
环境子系统 OS/2 POSIX Win32
NTdll,dll 系统服务调度进程 核心可调用接口
I/O设备 设备 管理器 设备、 设备、文件 驱动程序
进程和 对象 安全引用 虚拟内存 线程管 管理器 监视器 管理器 理器 Micro kernel HAL（硬件抽象层）
Windows系统漏洞导致的损失
2004年，Mydoom所造成的经济损失已经达到261亿 美元 。 2005年，Nimda电脑病毒在全球各地侵袭了830万部 电脑，总共造成5亿9000万美元的损失。 2006年，美国联邦调查局公布报告估计：“僵尸网 络”、蠕虫、特洛伊木马等电脑病毒给美国机构每 年造成的损失达119亿美元。
Windows 安全子系统（2）
加载GINA， 监视认证顺序 提供登陆接口
Winlogon GINA
提供真正的 用户校验
Hale Waihona Puke LSA加载认证包SSPI Authentication Packages Security Support Provider
支持额外的 验证机制
Security Account Management
Windows系统的安全架构
Windows NT系统内置支持用户认证、访问 控制、管理、审核。
Windows系统的安全组件
访问控制的判断（Discretion access control）
允许对象所有者可以控制谁被允许访问该对象以及访问的方式。
对象重用（Object reuse）
当资源（内存、磁盘等）被某应用访问时，Windows 禁止所有的系统应用 访问该资源，这也就是为什么无法恢复已经被删除的文件的原因。
访问控制项（Access control entries）:
访问控制项（ACE）包含了用户或组的SID以及对象的权限。访问 控制项有两种：允许访问和拒绝访问。拒绝访问的级别高于允许访问。
Windows安全子系统（1）
安全子系统包括以下部分：
Winlogon Graphical Identification and Authentication DLL (GINA) Local Security Authority(LSA) Security Support Provider Interface(SSPI) Authentication Packages Security support providers Netlogon Service Security Account Manager(SAM)
Windows安全子系统的组件（2）
安全描述符（Security descriptors）：
Windows 系统中的任何对象的属性都有安全描述符这部分。它保 存对象的安全配置。
访问控制列表（Access control lists）：