网络攻防技术课件第10章访问控制机制第2-3节
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
网络攻防技术
安全审计
安全审计的概念 安全审计的过程 Windows安全审计子系统
网络攻防技术
安全审计的概念
定义1：日志是记录的事件或者统计数据，这些 事件或统计数据能提供关于系统使用及性能方 面的信息。
定义2：审计是根据一定的策略，在日志中记录 系统的历史事件，通过分析这些事件发现系统 的漏洞或所受威胁以改进系统的安全性，或者 发现系统内部人员的越权操作，对潜在的攻击 者起到警告的作用。
Winlogon使用RegisterHotKey注册C+A+D， 当Windows输入系统收到该键盘组合消息，会 向Winlogon窗口发送一个特殊的消息。
木马应用程序不可能注销winlogon进程对于 SAS（Secure Attention Sequence）的所有 权。
网络攻防技术
安全注意序列（SAS）
UAC机制分析
利用白名单提权
利用白名单中的组件复制恶意文件到关键位 置
利用白名单中的程序加载恶意文件
30
网络攻防技术
本章小结
访问控制是一种重要的网络安全服务，在 计算机和网络系统中实施权限管理
访问控制通过一定的机制实现安全策略， 访问控制模型是访问控制机制和策略的桥 梁。
计算机系统中，访问控制的大部分功能在 操作系统中实现，相关的有认证和授权、 访问检查、可信通路、对象重用和审计机 制。
网络攻防技术
可信通路机制
可信通路是指提供给用户的在终端和可信 计算基之间的直接通路。可信计算基即 TCB（Trusted Computing Base）是一 个整体概念，指为用户和应用程序提供安 全基础的所有系统组件，包括硬件及操作 系统提供安全机制的部分，
网络攻防技术
安全注意序列（SAS）
如Windows中敲入SAS（Secure Attention Sequence）或组合键“Ctrl+Alt+Del”时 Winlogon调用登录界面，来获得一个用户名 和口令。
有关Windows系统日志的说明
信息类型
错误，是很重要的问题，如数据丢失。 警告，一般重要，有可能导致问题的事
件。 信息，描述程序、驱动程序或服务的
成功操作。
网络攻防技术
有关Windows系统日志的说明
事件类型
系统事件是Windows内核和系统服务对运行 情况进行记录的事件。
安全事件，也叫做审核事件。系统记录的和 安全相关的事件，如用户登录Windows的尝 试是否成功。
中等完整性 级别文件对
象
低完整性级 别文件对象
UAC机制分析
UAC的用户体验 动态提升权限：
默认情况下用户进程只有中等完整性 默认情况下用户进程只有一般用户权限 需要提升权限时用户必须面对的提示框
28
UAC机制分析
Windows 7中的UAC为了用户的体验引 入了白名单
29
网络攻防技术
1、认证界面
2、输入认证信息
LSA服务 认证包 MSV1_0
4、请求并获得认 证信息
SAM服务 SAMSRV
网络攻防技术
访问检查机制
当进程打开对象（句柄）时，对象管理器就调 用SRM向它发送进程期望的访问权限。SRM检 查对象的SD是否允许进程请求的访问类型。如 果允许，引用监控机就返回一组授权的访问权 限，允许进程得到这些权限，同时对象管理器 将它们存储在所创建的对象句柄中。
应用程序事件，一般应用程序生成的事件。
网络攻防技术
Windows审计策略
审核策略的更改 登录事件的审核 对象访问的审核 过程追踪的审核 特权使用的审核 系统事件的审核 帐户登录的审核 帐户管理的审核
网络攻防技术
本章主要内容
10.1 访问控制概述 10.2 操作系统访问控制相关机制 10.3 UAC机制分析
2020/6/10
网络攻防技术
31
本章小结
访问控制是一种重要的网络安全服务，在 计算机和网络系统中实施权限管理
访问控制通过一定的机制实现安全策略， 访问控制模型是访问控制机制和策略的桥 梁。
计算机系统中，访问控制的大部分功能在 操作系统中实现，相关的有认证和授权、 访问检查、可信通路、对象重用和审计机 制。
SAS最早在安全操作系统Xenix的开发中 出现，在Xenix通过SAK（ Secure Attention Key）来保证可信通路。
在Linux中类似的为击键序列 Alt+Sysrq+K
网络攻防技术
对象重用机制
对象重用的作用是保证存储介质在分 配某个存储单元给用户时，该单元原 来存储过的其他用户信息不被泄露。
管理员权限
支撑：
强制完整性级别（MIC） 用户界面特权隔离（UIPI）
特点：动态提升权限 重要应用：IE 保护模式
25
网络攻防技术
UAC机ห้องสมุดไป่ตู้分析
强制完整性级别
进程、文件、注册表项都被划分了完整性级 别
不信任 (Untrusted)、低 (Low)、中 (Medium)、高 (High) 及系统(System)
理解：完整性越高的对象，其完整性越需要 保护，可以被查看，但是不能轻易被修改， 所以低完整性级别的对象不能修改高完整性 级别的对象
26
网络攻防技术
UAC机制分析
读
高完整性级
别进程对象
写
中等完整性 级别进程对
象
中等完整性级别的进程
低完整性级 别进程对象
低完整性级别的进程
27
网络攻防技术
高完整性级 别文件对象
，则SRM在进一步检查DACL之前立即赋予调用这修改 SD中的所有者字段的权限。 如果调用者是对象的拥有者，则在进一步审核DACL之 前，调用者将被赋予对DACL进行读取控制和写入控制 的权限（查看和修改DACL）。 按次序检查DACL中的每一个ACE，如果ACE中的SID 与令牌中启用的SID匹配，则处理ACE。 如果赋予调用者所请求的所有访问权限，则对象访问成 功；如果任何一个所请求的访问不能被赋予，则对象访 问失败。
本章主要内容
10.1 访问控制概述 10.2 操作系统访问控制相关机制 10.3 UAC机制分析
2020/6/10
网络攻防技术
1
10.2 操作系统访问控制相关机制
认证和授权机制 访问检查机制 可信通路机制 对象重用机制 审计机制
2020/6/10
2
网络攻防技术
认证和授权机制
访问控制假定：在实施访问控制前，用户的 身份已得到验证。
网络攻防技术
安全审计过程
事件信息采集：捕获事件并对其关键信息进行 提取；
日志记录：将事件信息保存到日志文件中； 日志察看：分析日志文件得到报告，将其反映
给管理者。
网络攻防技术
Windows XP系统日志
（1）系统事件日志； （2）应用程序事件日志； （3）安全事件日志
网络攻防技术
Windows 7系统日志
鉴别的目标是正确建立用户的身份。
网络攻防技术
认证和授权机制
鉴别：用以检验主体的合法身份 授权：用以限制用户对资源的访问级别
访问包括读取数据、更改数据、运 行程序、发起连接等。
网络攻防技术
Windows登录过程涉及的组件
6、授权，以用户令牌 创建用户代理进程
5、返回认证结果
登录进程 3、请求认证
网络攻防技术
访问检查机制
审计记录
主体
引用监控机 访问检查
访问控制信息库
客体 引用监控机模型
应用程序 操作系统 安全内核
硬件
操作系统接口 内核接口 硬件接口
安全内核系统结构
网络攻防技术
SRM的允许访问的算法
如果对象没有DACL，对象不受保护，允许完全访问 如果调用者具备SE_TAKE_OWNERSHIP_NAME特权
内存和磁盘的Cache出于效率考虑会 备份对象信息，要将其格外保护，以 免对所有用户泄露信息。
网络攻防技术
对象重用机制
操作系统中对存储过口令的缓冲区一般会 进行清零处理。
Windows系统通过设置注册表里 “HKLM\SYSTEM\CurrentControlSet\C ontrol\Session Manager\Memory Management” 键下的 ClearPageFileAtShutdown项值为1，可 以在关机时清零页面文件。
2020/6/10
网络攻防技术
32
本章小结
UAC机制是当前Windows操作系统访问 控制机制的重要组成部分，包括权限提升 提示机制、强制完整性控制机制、会话隔 离机制等。UAC机制有效提高了系统的 安全性，但也还存在有一定的安全弱点
2020/6/10
网络攻防技术
33
2020/6/10
网络攻防技术
22
10.3 UAC机制分析
UAC机制分析
保护系统完整性的机制
用户帐户控制（User Account Control）
强制完整性级别（MIC） 用户界面特权隔离（UIPI） IE保护模式
24
网络攻防技术
UAC机制分析
UAC目的：
保护系统完整性 防止攻击者在用户不能察觉的情况下获得
安全审计
安全审计的概念 安全审计的过程 Windows安全审计子系统
网络攻防技术
安全审计的概念
定义1：日志是记录的事件或者统计数据，这些 事件或统计数据能提供关于系统使用及性能方 面的信息。
定义2：审计是根据一定的策略，在日志中记录 系统的历史事件，通过分析这些事件发现系统 的漏洞或所受威胁以改进系统的安全性，或者 发现系统内部人员的越权操作，对潜在的攻击 者起到警告的作用。
Winlogon使用RegisterHotKey注册C+A+D， 当Windows输入系统收到该键盘组合消息，会 向Winlogon窗口发送一个特殊的消息。
木马应用程序不可能注销winlogon进程对于 SAS（Secure Attention Sequence）的所有 权。
网络攻防技术
安全注意序列（SAS）
UAC机制分析
利用白名单提权
利用白名单中的组件复制恶意文件到关键位 置
利用白名单中的程序加载恶意文件
30
网络攻防技术
本章小结
访问控制是一种重要的网络安全服务，在 计算机和网络系统中实施权限管理
访问控制通过一定的机制实现安全策略， 访问控制模型是访问控制机制和策略的桥 梁。
计算机系统中，访问控制的大部分功能在 操作系统中实现，相关的有认证和授权、 访问检查、可信通路、对象重用和审计机 制。
网络攻防技术
可信通路机制
可信通路是指提供给用户的在终端和可信 计算基之间的直接通路。可信计算基即 TCB（Trusted Computing Base）是一 个整体概念，指为用户和应用程序提供安 全基础的所有系统组件，包括硬件及操作 系统提供安全机制的部分，
网络攻防技术
安全注意序列（SAS）
如Windows中敲入SAS（Secure Attention Sequence）或组合键“Ctrl+Alt+Del”时 Winlogon调用登录界面，来获得一个用户名 和口令。
有关Windows系统日志的说明
信息类型
错误，是很重要的问题，如数据丢失。 警告，一般重要，有可能导致问题的事
件。 信息，描述程序、驱动程序或服务的
成功操作。
网络攻防技术
有关Windows系统日志的说明
事件类型
系统事件是Windows内核和系统服务对运行 情况进行记录的事件。
安全事件，也叫做审核事件。系统记录的和 安全相关的事件，如用户登录Windows的尝 试是否成功。
中等完整性 级别文件对
象
低完整性级 别文件对象
UAC机制分析
UAC的用户体验 动态提升权限：
默认情况下用户进程只有中等完整性 默认情况下用户进程只有一般用户权限 需要提升权限时用户必须面对的提示框
28
UAC机制分析
Windows 7中的UAC为了用户的体验引 入了白名单
29
网络攻防技术
1、认证界面
2、输入认证信息
LSA服务 认证包 MSV1_0
4、请求并获得认 证信息
SAM服务 SAMSRV
网络攻防技术
访问检查机制
当进程打开对象（句柄）时，对象管理器就调 用SRM向它发送进程期望的访问权限。SRM检 查对象的SD是否允许进程请求的访问类型。如 果允许，引用监控机就返回一组授权的访问权 限，允许进程得到这些权限，同时对象管理器 将它们存储在所创建的对象句柄中。
应用程序事件，一般应用程序生成的事件。
网络攻防技术
Windows审计策略
审核策略的更改 登录事件的审核 对象访问的审核 过程追踪的审核 特权使用的审核 系统事件的审核 帐户登录的审核 帐户管理的审核
网络攻防技术
本章主要内容
10.1 访问控制概述 10.2 操作系统访问控制相关机制 10.3 UAC机制分析
2020/6/10
网络攻防技术
31
本章小结
访问控制是一种重要的网络安全服务，在 计算机和网络系统中实施权限管理
访问控制通过一定的机制实现安全策略， 访问控制模型是访问控制机制和策略的桥 梁。
计算机系统中，访问控制的大部分功能在 操作系统中实现，相关的有认证和授权、 访问检查、可信通路、对象重用和审计机 制。
SAS最早在安全操作系统Xenix的开发中 出现，在Xenix通过SAK（ Secure Attention Key）来保证可信通路。
在Linux中类似的为击键序列 Alt+Sysrq+K
网络攻防技术
对象重用机制
对象重用的作用是保证存储介质在分 配某个存储单元给用户时，该单元原 来存储过的其他用户信息不被泄露。
管理员权限
支撑：
强制完整性级别（MIC） 用户界面特权隔离（UIPI）
特点：动态提升权限 重要应用：IE 保护模式
25
网络攻防技术
UAC机ห้องสมุดไป่ตู้分析
强制完整性级别
进程、文件、注册表项都被划分了完整性级 别
不信任 (Untrusted)、低 (Low)、中 (Medium)、高 (High) 及系统(System)
理解：完整性越高的对象，其完整性越需要 保护，可以被查看，但是不能轻易被修改， 所以低完整性级别的对象不能修改高完整性 级别的对象
26
网络攻防技术
UAC机制分析
读
高完整性级
别进程对象
写
中等完整性 级别进程对
象
中等完整性级别的进程
低完整性级 别进程对象
低完整性级别的进程
27
网络攻防技术
高完整性级 别文件对象
，则SRM在进一步检查DACL之前立即赋予调用这修改 SD中的所有者字段的权限。 如果调用者是对象的拥有者，则在进一步审核DACL之 前，调用者将被赋予对DACL进行读取控制和写入控制 的权限（查看和修改DACL）。 按次序检查DACL中的每一个ACE，如果ACE中的SID 与令牌中启用的SID匹配，则处理ACE。 如果赋予调用者所请求的所有访问权限，则对象访问成 功；如果任何一个所请求的访问不能被赋予，则对象访 问失败。
本章主要内容
10.1 访问控制概述 10.2 操作系统访问控制相关机制 10.3 UAC机制分析
2020/6/10
网络攻防技术
1
10.2 操作系统访问控制相关机制
认证和授权机制 访问检查机制 可信通路机制 对象重用机制 审计机制
2020/6/10
2
网络攻防技术
认证和授权机制
访问控制假定：在实施访问控制前，用户的 身份已得到验证。
网络攻防技术
安全审计过程
事件信息采集：捕获事件并对其关键信息进行 提取；
日志记录：将事件信息保存到日志文件中； 日志察看：分析日志文件得到报告，将其反映
给管理者。
网络攻防技术
Windows XP系统日志
（1）系统事件日志； （2）应用程序事件日志； （3）安全事件日志
网络攻防技术
Windows 7系统日志
鉴别的目标是正确建立用户的身份。
网络攻防技术
认证和授权机制
鉴别：用以检验主体的合法身份 授权：用以限制用户对资源的访问级别
访问包括读取数据、更改数据、运 行程序、发起连接等。
网络攻防技术
Windows登录过程涉及的组件
6、授权，以用户令牌 创建用户代理进程
5、返回认证结果
登录进程 3、请求认证
网络攻防技术
访问检查机制
审计记录
主体
引用监控机 访问检查
访问控制信息库
客体 引用监控机模型
应用程序 操作系统 安全内核
硬件
操作系统接口 内核接口 硬件接口
安全内核系统结构
网络攻防技术
SRM的允许访问的算法
如果对象没有DACL，对象不受保护，允许完全访问 如果调用者具备SE_TAKE_OWNERSHIP_NAME特权
内存和磁盘的Cache出于效率考虑会 备份对象信息，要将其格外保护，以 免对所有用户泄露信息。
网络攻防技术
对象重用机制
操作系统中对存储过口令的缓冲区一般会 进行清零处理。
Windows系统通过设置注册表里 “HKLM\SYSTEM\CurrentControlSet\C ontrol\Session Manager\Memory Management” 键下的 ClearPageFileAtShutdown项值为1，可 以在关机时清零页面文件。
2020/6/10
网络攻防技术
32
本章小结
UAC机制是当前Windows操作系统访问 控制机制的重要组成部分，包括权限提升 提示机制、强制完整性控制机制、会话隔 离机制等。UAC机制有效提高了系统的 安全性，但也还存在有一定的安全弱点
2020/6/10
网络攻防技术
33
2020/6/10
网络攻防技术
22
10.3 UAC机制分析
UAC机制分析
保护系统完整性的机制
用户帐户控制（User Account Control）
强制完整性级别（MIC） 用户界面特权隔离（UIPI） IE保护模式
24
网络攻防技术
UAC机制分析
UAC目的：
保护系统完整性 防止攻击者在用户不能察觉的情况下获得