实验四操作系统安全实验 一、实验目的了解Windows的文件系统 掌握Windows操作系统的访问控制和审核技术 掌握系统安全配置和安全分析方法4．理解Windows 平台下的漏洞扫描原理 掌握系统备份与恢复方法二、实验环境 PC 机，Windows XP 操作系统，X-Scan v3.3，Ghost 软件一套（或“深山红叶” 工具软件包一套） 三、实验原理 1.安全策略设置与分析 操作系统的安全配置是整个操作系统安全策略的核心，Windows 系统的默认安全配置是不安全的，在系统投入使用之前应该进行一些安全设置。
Windows 为简化安全性设置，提供了不同级别的安全模板（默认保存在系统目录下c:\windows\security\template），通过安全模板能配置帐户和本地策略、事件日志、系统服务、注册表及文件系统等安全设置。
配置完成后可立即对计算机 进行安全配置分析。
(2)根目录安全设置（rootsec）：将默认的根目录权限运用于操作系统磁盘分区并将此权限传播到从根目录继承的子对象。
(3)兼容（compatws）：用户组的默认文件和注册表权限，使之与多数没有验证 的应用程序的要求一致。
(4)安全（secure*）：定义了至少可能影响应用程序兼容性的增强安全设置。
2．Windows XP 的用户帐户 用户帐户则是和系统安全息息相关的一个重要因素，操作系统会根据不同的用户帐户以及预先的设置指派给每个用户相应的权限，以完成一定的任务。
而且每个帐户之间是互相独立，各不打扰的。
在Windows XP 操作系统中，用户帐户类型有以下2 管理员帐户：用户可以更改权限（更改仅限于管理员帐户）、密码、系统全局设置，还可安装任何可与 Windows XP 兼容的软件和驱动程序。
受限帐户：用户不可安装或运行某些特定程序，但可以更改帐户图像，以及创建、编辑或删除帐户密码。
3．授权管理 权限定义了授予用户或组对某个对象的访问类型，权限可以应用到任何受保护 的对象，如文件、文件夹或注册表，权限可以授予任何用户、组或计算机。
附加 在对象上的权限取决于对象的类型，例如，附加给文件的权限与附加给注册表项 的权限不同，但某些权限对于大多数类型的对象都是公用的，如读取权限、修改 权限、更改所有者、运行。
授权就是为组和用户指定访问权限，例如，允许一个用户读取文件的内容，允许另一个用户修改该文件的内容，同时防止其他用户访问该文件。
4．NTFS文件系统 NTFS 文件系统的安全性高于 FAT32 文件系统，支持设置目录和文件权限，为 不同用户设置不同的访问权限，支持文件加密功能。
系统审核每当用户执行了指定的某些操作，审核日志就会记录一个审核项，显示所执行的操作、用户帐户及操作日期。
审核策略用于确定计算机的安全性事件日志中记录了哪些安全事件。
能够审核 的类型包括：对文件和文件夹的访问、登录及退出登录、关闭及重启计算机、用户和组的改动。
跟踪成功事件可以决定用户对特定文件的访问，跟踪失败事件可以寻找可能出现的安全破坏。
安全审核的内容包括： 审核策略更改：成功/失败设置用于确定是否对更改用户权限分配策略、审核策略或信任策略的每个 事件进行审核。
审核登录事件：成功/失败设置用于确定是否对用户登录或注销计算机的每个实例进行审核。
审核对象访问：失败设置用于确定是否对用户访问指定了自身系统访问控制列表的对象（如文件、文件夹、注册表等）这一事件进行审核。
仅在需要时启用。
审核过程追踪：无审核设置用于确定是否审核事件的详细跟踪信息，如程序激活、进行退出、间接对象访问等。
启用时将生成大量事件，通常为无审核。
审核目录服务访问：失败设置用于确定是否对用户访问Microsoft Active directory 的事件进行审 审核特权使用：无审核设置用于确定是否对用户行使权限的每个实例进行审核。
审核系统事件：成功/失败设置用于确定在用户重启或关闭计算机时，或在影响系统安全或日志安全 的事件发生时是否进行审核。
审核帐户登录事件：成功/失败设置用于确定是否对用户在另一台计算机上登录或注销的每个实例进行审核。
成功审核会在帐户登录尝试成功时生成一个审核项，可用来确定哪个人成功登录到哪台计算机。
失败审核会在帐户登录尝试失败时生成一个审核项，该 审核项对入侵检测十分有用，但可能会导致拒绝服务攻击。
因为攻击者可以生成数百万次登录失败，并将安全事件日志填满。
审核帐户管理：成功/失败设置用于确定是否对计算机上的每个帐户管理事件进行审核。
包括：创建、 修改或删除用户帐户或组；重命名、禁用或启用用户帐户；设置或修改密码。
6.系统备份与恢复 备份有助于在服务器或存储介质发生故障时保护数据，防止重要数据的意外丢失而造成不可挽回的损失。
用 Ghost 备份和恢复系统，比重新安装系统节省 95% 的时间，且桌面、菜单、常用的应用软件及各种参数设置等均不用重新安装和调整，非常方便。
使用Ghost软件进行备份前的注意事项： 1、在备份系统前，最好将一些无用的文件删除以减少Ghost 文件的体积 2、在备份系统前，进行磁盘碎片整理,整理源盘和镜像盘，以加快备份速度 3、在备份系统前及恢复系统前,对源盘和镜像盘进行磁盘检查错误、杀毒 4、在恢复系统时，最好先检查一下要恢复的目标盘是否有重要的文件还未转移 目标盘上的原有数据将全部被覆盖 四、实验内容与步骤 系统安全配置与分析（1）修改密码策略 在“控制面板”中选择“管理工具”——“本地安全设置”——“帐户策略”——“密码策略”， 双击“密码必须符合复杂性要求”，启用该策略后，在更改或创建密码时，会强制执行复杂性要求。
双击“密码长度最小值”，设置最短密码长度为6个字符 设置“密码最短存留期”，确定用户在可以更改密码之前必须使用该密码的天数。
设置“密码最长存留期”，确定系统在要求用户更改密码之前可以使用该密码的天数。
设置完成后退出“本地安全设置”，在“运行”中输入命令：gpupdate，系统将刷新刚才修改的安全策略。
选择一个普通用户，为该用户重设口令， 体会密码加强策略的作用。
（2）设置帐户锁定策略 帐户锁定功能指在管理员指定的登录失败次数之后禁用帐户。
一般为3 失败后锁定帐户。
对帐户锁定策略进行设置，然后重新登录系统，使用其他用户口令登录系统， 体会帐户锁定的作用。
（3）使用安全模板配置安全策略 启动“本地安全策略”——“操作”菜单——“导入策略”，选择安全模板hisecws， 把该安全模板导入系统。
单击“帐户策略”——“密码策略”——“密码最小长度值”设置为10 个字符，还可对其它安全策略进行修改。
导出修改后的策略作为本地新的安全策略，方法是：单击“安全设置”——“菜单”——“导出策略”——“本地策略”，选择一个文件名保存，使用命令gpupdate 激活修改后的策略，然后把这个文件复制到其他机器，可加快配置的效率。
单击“控制台”——“添加/删除 管理单元”——“添加”，选择“安全配置和分析”。
右击“安全配置与分析”，选择“打开数据库”，可以通过输入数据库名称，并 选择一个安全模板创建一个新的安全策略数据库，或者利用原来建立的安全策略 数据库。
2．管理用户帐户 （1）以系统管理员身份登录到 Windows XP 系统，通过“控制面板”—“管理工具”—“计算机管理”，选择“本地用户和组”—“用户”，出现如图所示界面。
（2）“操作”菜单—“新用户”，添加用户名为test，命名为 testuser，描述为 “这是一个供测试用的临时帐户”，密码为 fortest。
如果在“密码策略”中启用了“复杂性密码要求”，这时系统会提示密码不符合复杂性要求，需要按照密码复杂性要求设置密码。
每一个新用户ID 都应该拥有寝密码，并且应该选定“用户下次登录时须更改密码”。
（3）为当前用户选择合适的组，默认的当前用户属于users 把用户test放入Power User 组中，有两种方法： 方法一：单击左侧的“组”—双击右侧的“Power User”，出现Power User 性界面，单击“添加”—“高级”—“立即查找”，出现选择用户对话框，从用户列表中选择test 用户，可把test 加入到Power User 方法二：单击左侧的“用户”——双击右侧“test”，出现 test 属性界面， 单击“隶属于”——“添加”—— “高级”——“立即查找”，出现选择组对话 框，从组列表中选择Power User，可把test 加入到Power User （4）使用test用户登录系统进行权限测试 3．授权管理 （1）检查磁盘分区的文件系统 “我的电脑”——右击D 盘，查看“属性”，检查是否为NTFS 分区，如果不是， 将该分区转换为NTFS 分区。
转换方法：“开始”—“运行”，输入命令：convert /fs:ntfs，将FAT32 格式的分区转换成NTFS 格式的分区不会丢失分区中的数据，如果要将NTFS 格式分区转换为FAT 或FAT32 格式，必须对驱动器或分区进行 重新格式化，这样会从相应分区上删除包括程序及个人文件在内的所有数据。
（2）设置文件权限 默认情况下， Windows xp 操作系统在 NTFS 分区中文件夹的属性窗口看不到 “安全”选项。
在C:\下建立一个文本文件sec.txt，右击——“属性”——“安全”。
如图所 单击“高级”按钮，出现如图所示界面，可对已有的权限项目进行编辑。
单击“添加”——“高级”——“立即查找”，在“选择用户或组”对话框中 选择test 用户（当然也可选择某个组，为组授权），单击“确定”。
修改后的sec.txt 文件的安全属性如图： 使用test 用户名登录系统，双击sec.txt 文件进行编辑，系统会提示权限错误。
（3）设置目录权限 请参照上述方法实现本项实验要求，在开始操作前，创建下面表格中的用户和 W01Managers W02 Accounting W03 Managers, Accounting W04 未指定 所有用户能够允许WordProcessing文件夹中的程序，但不能更改内部的文件 所有用户能够读取Public文件夹中的文件夹，以及在该文件夹中创建文件 所有用户被阻止在文件夹Public\Library中更改文件 只有W01能够更改和删除Public\Manuals 文件夹中的文件 对下面表中列出的文件夹指派合适的权限文件夹名称 用户帐户或组 权限 Public Users ExecuteFull Control Public\Library Users ExecuteFull Control Modify Public\Library\Misc W04 Read qtest\database Accounting Denyall 权限设置完成后，分别以用户user1,user2,user3,user4 和管理员用户登录 系统，并测试相应目录的读写，更改和执行权限，体会Windows 授权管理的作用。
4．开启审核策略 （1）设置审核策略 控制面板”—“本地安全策略”—“审核策略”，系统各项审核策略默认情况下没有开启，可根据实际情况开启策略。
（2）对特定的文件或文件夹的访问进行审核。
例如，系统需要对Administrators 组的用户对Windows 文件夹写文件进行审核，具体方法如下：右击C：\Windows 文件夹——“属性”——“安全”——“高级”——“审核”——“添加”。
如图所示，可以对要审核的事件进行编辑。
（3）使用事件查看器 审核开启后，审核结果记录在事件日志中，可用“事件查看器”查看。
查看方法：“控制面板”—“管理工具”—“事件查看器”——“安全性” 使用管理员帐户在C:\Windows 文件夹下新建一个文件，然后查看事件日志中的内容。
单击菜单“设置”——“扫描参数”，设置扫描参数。
如下的扫描结果指出系统存在一个安全漏洞---FTP 弱口令: "anonymous/[空 口令]"。
弱口令即指加密性并不强的短而容易在很短时间内被攻破的密码。
口令 至少要包含大小写字母+数字+特殊符号，如Pwd_123。
（3）根据扫描结果对系统的安全漏洞进行修补，具体方法为： “控制面板”—“管理工具”—“Internet信息服务”—“FTP 站点”， 右击—“属性” 单击“安全帐号”—选择“只允许匿名连接”—选定一个匿名用户访问的帐号。
系统的网络服务管理Windows 操作系统中有许多用不着的服务自动处于激活状态，它们中可能存在 安全漏洞，应该把不需要的服务和端口关闭，以减少系统的安全风险。
（1）关闭不必要的系统服务 选择要设置的服务—右击，设置启动方式和服务状态。
添加需要的TCP、UDP端口以及IP 协议 常用TCP端口有： 常用UDP端口有： QQ：8000，4000（3）禁用远程协助 “我的电脑”—“属性”—“远程”选项卡。
（4）关闭默认共享 WindowsXP 安装后会自动创建一些隐藏的共享。
使用Ghost一键恢复软件进行系统备份与恢复 把Ghost 一键恢复软件解压到非系统盘，如D：盘，执行安装程序，重启计算 机，在启动界面中出现Ghost 启动选项，运行Ghost.exe。
Ghost的主界面 10 Local——本地硬盘备份 Quit——退出单机用户选择Local，Local 下的选项有： Disk硬盘操作选项 Disk硬盘对硬盘完全复制 Image硬盘内容备份成镜像文件 FromImage 从镜像文件恢复到原来硬盘 Partion硬盘分区操作选项 Partion分区对分区完全复制 Image分区内容备份成镜像文件 FromImage 从镜像文件恢复到分区 （2）备份的操作步骤 选择Local——Partion——ToImage，将硬盘分区备份为一个后缀为.gho 选择要备份的分区，即系统分区C：，通常选择第一个就是 分区，回车确定；按一下TAB 再次回车确定，则表示已经选定备份C 盘,再按Enter 键后出现如下图画面。
Filename一栏中写入镜像文件名称，名称中最好能够体现生成备份的日期，如WinXP2010-5-8.gho,以便日后恢复时了解系统所要恢复到的时间 点。
（3）恢复镜像文件的操作步骤 选择Local——Partion——FromImage，选择要恢复从镜像 文件恢复系统 恢复完毕后，提示重新启动计算机，这样系统就恢复到原来备份镜像文件时的系统状态。