网络安全技术之计算机安全

安全
在以前的文章中,我们为大家介绍了网络安全技术中的环境分析、安全风险分析的内容,本文将继续向大家介绍有关计算机安全的内容。

计算机安全之访问控制策略

访问控制是网络安全防范和保护的主要策略,它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用,但访问控制可以说是保证网络安全最重要的核心策略之一。下面我们分述各种访问控制策略。

1) 入网访问控制

入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源,控制准许用户入网的时间和准许他们在哪台工作站入网。

用户的入网访问控制可分为三个步骤:用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查。三道关卡中只要任何一关未过,该用户便不能进入该网络。

对网络用户的用户名和口令进行验证是防止非法访问的第一道防线。用户注册时首先输入用户名和口令,服务器将验证所输入的用户名是否合法。如果验证合法,才继续验证用户输入的口令,否则,用户将被拒之网络之外。

用户的口令是用户入网的关键所在。为保证口令的安全性,用户口令不能显示在显示屏上,口令长度应不少于6个字符,口令字符最好是数字、字母和其他字符的混合,用户口令必须经过加密,加密的方法很多,其中最常见的方法有:基于单向函数的口令加密,基于测试模式的口令加密,基于公钥加密方案的口令加密,基于平方剩余的口令加密,基于多项式共享的口令加密,基于数字签名方案的口令加密等。

经过上述方法加密的口令,即使是系统管理员也难以得到它。用户还可采用一次性用户口令,也可用便携式验证器(如智能卡)来验证用户的身份。

网络管理员应该可以控制和限制普通用户的帐号使用、访问网络的时间、方式。用户名或用户帐号是所有计算机系统中最基本的安全形式。用户帐号应只有系统管理员才能建立。用户口令应是每用户访问网络所必须提交的“证件”、用户可以修改自己的口令,但系统管理员应该可以控制口令的以下几个方面的限制:最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。

用户名和口令验证有效之后,再进一步履行用户帐号的缺省限制检查。网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。当用户对交费网络的访问“资费”用尽时,网络还应能对用户的帐号加以限制,用户此时应无法进入网络访问网络资源。网络应对所有用户的访问进行审计。如果多次输入口令不正确,则认为是非法用户的入侵,应给出报警信息。

2) 网络的权限控制

网络的权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。受托者指派和继承权限屏蔽(IRM)可作为其两种实现方式。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器,可以限制子目录从父目录那里继承哪些权限。我们可以根据访问权限将用户分为以下几类:

特殊用户(即系统管理员);

一般用户,系统管理员根据他们的实际需要为他们分配操作权限;

审计用户,负责网络的安全控制与资源使用情况的审计。用户对网络资源的访问权限可以用一个访问控制表来描述。

3) 目录级安全控制

网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效,用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有八种:

系统管理员权限(Supervisor);

读权限(Read)、;

写权限(Write);

创建权限(Create);

删除权限(Erase);

修改权限(Modify);

文件查找权限(File Scan);

存取控制权限(Access Control);

用户对文件或目标的有效权限取决于以下二个因素:用户的受托者指派、用户所在组的受托者指派、继承权限屏蔽取消的用户权限。一个网络系统管理员应当为用户指定适当的访问权限,这些访问权限控制着用户对服务器的访问。八种访问权限的有效组合可以让用户有效地完成工作,同时又能有效地控制用户对服务器资源的访问,从而加强了网络和服务器的安全性。

4) 属性安全控制

当用文件、目录和网络设备时,网络系统管理员应给文件、目录等指定访问属性。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。

属性安全在权限安全的基础上提供更进一步的安全性。网络上的资源都应预先标出一组安全属性。用户对网络资源的访问权限对应一张访问控制表,用以表明用户对网络资源的访问能力。

属性设置可以覆盖已经指定的任何受托者指派和有效权限。属性往往能控制以下几个方面的权限:向某个文件写数据、拷贝一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享、系统属性等。网络的属性可以保护重要的目录和文件,防止用户对目录和文件的误删除、、执行修改、显示等。

5) 网络服务器安全控制

网络允许在服务器控制台上执行一系列操作。用户使用控制台可以装载和卸载模块,可以安装和删除软件等操作。网络服务器的安全控制包括可以设置口令锁定服务器控制台,以防止非法用户修改、删除重要信息或破坏数据;可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。

6) 网络监测和锁定控制

网络管理员应对网络实施监控,服务器应记录用户对网络资源的访问,对非法的网络访问,服务器应以图形或文字或声音等形式报警,以引起网络管理员的注意。如果不法之徒试图进入网络,网络服务器应会自动记录企图尝试进入网络的次数,如果非法访问的次数达到设定数值,那么该帐户将被自动锁定。

7) 网络端口和节点的安全控制

网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护,并以加密的形式来识别节点的身份。自动回呼设备用于防止假冒合法用户,静默调制解调器用以防范黑客的自动拨号程序对计算机进行攻击。网络还常对服务器端和用户端采取控制,用户必须携带证实身份的验证器(如智能卡、磁卡、安全密码发生器)。在对用户的身份进行验证之后,才允许用户进入用户端。然后,用户端和服务器端再进行相互验证

计算机安全之网络安全措施

由于网络安全的目的是保障用户的重要信息的安全,因此限制直接接触十分重要。如果用户的网络连入Internet,那麽最好尽可能地把与Internet连接的机器与网络的其余部分隔离开来。实现这个目标的最安全的方法是将Internet服务器与网络实际隔开。当然,这种解决方案增加了机器管理的难度。但是如果有人闯入隔离开的机器,那麽网络的其余部分不会受到牵连。

最重要的是限制访问。不要让不需要进入网关的人都进入网关。在机器上用户仅需要一个用户帐号,严格限制它的口令。只有在使用su时才允许进入根帐号。这个方法保留一份使用根帐号者的记录。

在Internet服务器上提供的一些服务有FTP、HTTP、远程登陆和WAIS(广域信息服务)。但是,FTP和HTTP是使用最普遍的服务。它们还有潜力泄露出乎用户意料之外的秘密。

与任何其它Internet服务一样,FTP一直是(而且仍是)易于被滥用的。值得一提的弱点涉及几个方面。第一个危险是配置不当。它使站点的访问者(或潜在攻击者)能够获得更多超出其预期的数据。

他们一旦进入,下一个危险是可能破坏信息。一个未经审查的攻击者可以抹去用户的整个FTP站点。

最后一个危险不必长篇累牍,这是因为它不会造成破坏,而且是低水平的。它由用户的FTP站点构成,对于交换文件的人来说,用户的FTP站点成为“麻木不仁的窝脏点”。这些文件无所不包,可以是盗版软件,也可以是色情画。这种交换如何进行的呢?简单的很。发送者发现了一个他们有权写入和拷入可疑文件的FTP站点。通过某些其它方法,发送者通知它们的同伙文件可以使用。

所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时,这一般是FTP用户所做的事。因此,FTP用户可以访问,用户的访问者也可以使用。所有这些问题都是由未正确规定许可条件而引起的。最大的一个问题可能是允许FTP用户有机会写入。当用户通过FTP访问一个系统时,这一般是FTP用户所做的事。因此,FTP用户可以访问,用户的访问者也可以访问。

一般说来,FTP用户不是用户的系统中已经有的。因此,用户要建立FTP用户。无论如何要保证将外壳设置为真正外壳以外的东西。这一步骤防止FTP用户通过远程登录进行注册(用户或许已经禁止远程登录,但是万一用户没有这样做,确认一下也不会有错)。

将所有文件和目录的主人放在根目录下,不要放在ftp下。这个预防措施防止FTP用户修改用户仔细构思出的口令。然后,将口令规定为755(读和执行,但不能写,除了主人之外)。在用户希望匿名用户访问的所有目录上做这项工作。尽管这个规定允许他们读目录,但它也防止他们把什麽东西放到目录中来。

用户还需要编制某些可用的库。然而,由于用户已经在以前建立了必要的目录,因此这一步仅执行一部分。因此,用户需要做的一切是将/usr/lib/libe.so.1和/usr/lib/libsock-et.so/1拷贝到~ftp/usr/lib中。接着将~ftp/usr/lib上的口令改为555,并建立主接收器。

最后,用户需要在~ftp/dev/中建立/dev/null和/dev/socksys设备结点。用户可以用mknod手工建立它们。然而,让系统为用户工作会更加容易。SCO文档说用cpio,但是copy(非cp)很管用。

如果用户想建立一个人们都可用留下文件的目录,那麽可将它称作输入。允许其他人写入这个目录,但不能读。这个预防措施防止它成为麻木不仁的窝脏点。人们可以在这里放入他们想放的任何东西,但是他们不能将它们取出。如果用户认为信息比较适合共享,那麽将拷贝到另一个目录中。

计算机安全之提高企业内部网安全性步骤

限制对网关的访问。限制网关上的帐号数。不要允许关不信任任何机器。没有一台机器应该信任网关;

不要用NFS向网关传输或接收来自网关的任何文件系统;

不要在网关上使用NIS(网络信息服务);

制订和执行一个非网关机器上的安全性方针;

关闭所有多余服务和删除多余程序

删除网关的所有多余程序(远程登录、rlogin、FTP等等);

定期阅读系统记录。

【编辑推荐】

  1. 网络安全技术之安全风险分析
  2. 网络安全技术之网络环境现状分析
责任编辑:佚名 来源: 51CTO整理
相关推荐

2023-02-10 11:46:26

2011-07-27 21:53:12

2023-09-28 00:07:47

2011-03-17 13:32:45

2011-07-05 13:11:45

2021-12-08 00:02:46

网络安全计算机

2017-11-21 18:03:00

2011-11-08 11:29:39

2016-09-22 14:09:47

2011-03-09 10:30:55

2022-06-23 11:09:12

网络攻击网络安全

2011-07-28 12:36:43

2018-03-02 07:12:42

2023-10-06 00:02:34

2011-03-17 11:24:18

2009-01-10 23:54:10

软考英语

2011-03-21 15:29:46

2011-07-28 18:56:20

2011-12-06 15:12:01

2010-10-28 10:00:01

点赞
收藏

51CTO技术栈公众号