計算機安全之訪問控制策略

訪問控制是網(wǎng)絡安全防范和保護的主要策略，它的主要任務是保證網(wǎng)絡資源不被非法使用和非常訪問。它也是維護網(wǎng)絡系統(tǒng)安全、保護網(wǎng)絡資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網(wǎng)絡安全最重要的核心策略之一。下面我們分述各種訪問控制策略。

1) 入網(wǎng)訪問控制

入網(wǎng)訪問控制為網(wǎng)絡訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務器并獲取網(wǎng)絡資源，控制準許用戶入網(wǎng)的時間和準許他們在哪臺工作站入網(wǎng)。

用戶的入網(wǎng)訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶帳號的缺省限制檢查。三道關卡中只要任何一關未過，該用戶便不能進入該網(wǎng)絡。

對網(wǎng)絡用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令，服務器將驗證所輸入的用戶名是否合法。如果驗證合法，才繼續(xù)驗證用戶輸入的口令，否則，用戶將被拒之網(wǎng)絡之外。

用戶的口令是用戶入網(wǎng)的關鍵所在。為保證口令的安全性，用戶口令不能顯示在顯示屏上，口令長度應不少于6個字符，口令字符最好是數(shù)字、字母和其他字符的混合，用戶口令必須經過加密，加密的方法很多，其中最常見的方法有：基于單向函數(shù)的口令加密，基于測試模式的口令加密，基于公鑰加密方案的口令加密，基于平方剩余的口令加密，基于多項式共享的口令加密，基于數(shù)字簽名方案的口令加密等。

經過上述方法加密的口令，即使是系統(tǒng)管理員也難以得到它。用戶還可采用一次性用戶口令，也可用便攜式驗證器（如智能卡）來驗證用戶的身份。

網(wǎng)絡管理員應該可以控制和限制普通用戶的帳號使用、訪問網(wǎng)絡的時間、方式。用戶名或用戶帳號是所有計算機系統(tǒng)中最基本的安全形式。用戶帳號應只有系統(tǒng)管理員才能建立。用戶口令應是每用戶訪問網(wǎng)絡所必須提交的“證件”、用戶可以修改自己的口令，但系統(tǒng)管理員應該可以控制口令的以下幾個方面的限制：最小口令長度、強制修改口令的時間間隔、口令的唯一性、口令過期失效后允許入網(wǎng)的寬限次數(shù)。

用戶名和口令驗證有效之后，再進一步履行用戶帳號的缺省限制檢查。網(wǎng)絡應能控制用戶登錄入網(wǎng)的站點、限制用戶入網(wǎng)的時間、限制用戶入網(wǎng)的工作站數(shù)量。當用戶對交費網(wǎng)絡的訪問“資費”用盡時，網(wǎng)絡還應能對用戶的帳號加以限制，用戶此時應無法進入網(wǎng)絡訪問網(wǎng)絡資源。網(wǎng)絡應對所有用戶的訪問進行審計。如果多次輸入口令不正確，則認為是非法用戶的入侵，應給出報警信息。

2) 網(wǎng)絡的權限控制

網(wǎng)絡的權限控制是針對網(wǎng)絡非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權限。網(wǎng)絡控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源�？梢灾付ㄓ脩魧�這些文件、目錄、設備能夠執(zhí)行哪些操作。受托者指派和繼承權限屏蔽（IRM）可作為其兩種實現(xiàn)方式。受托者指派控制用戶和用戶組如何使用網(wǎng)絡服務器的目錄、文件和設備。繼承權限屏蔽相當于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權限。我們可以根據(jù)訪問權限將用戶分為以下幾類：

特殊用戶（即系統(tǒng)管理員）；

一般用戶，系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權限；

審計用戶，負責網(wǎng)絡的安全控制與資源使用情況的審計。用戶對網(wǎng)絡資源的訪問權限可以用一個訪問控制表來描述。

3) 目錄級安全控制

網(wǎng)絡應允許控制用戶對目錄、文件、設備的訪問。用戶在目錄一級指定的權限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權限。對目錄和文件的訪問權限一般有八種：

系統(tǒng)管理員權限（Supervisor）；

讀權限（Read）、；

寫權限（Write）；

創(chuàng)建權限（Create）；

刪除權限（Erase）；

修改權限（Modify）；

文件查找權限（File Scan）；

存取控制權限（Access Control）；

用戶對文件或目標的有效權限取決于以下二個因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權限屏蔽取消的用戶權限。一個網(wǎng)絡系統(tǒng)管理員應當為用戶指定適當?shù)脑L問權限，這些訪問權限控制著用戶對服務器的訪問。八種訪問權限的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對服務器資源的訪問，從而加強了網(wǎng)絡和服務器的安全性。

4) 屬性安全控制

當用文件、目錄和網(wǎng)絡設備時，網(wǎng)絡系統(tǒng)管理員應給文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與網(wǎng)絡服務器的文件、目錄和網(wǎng)絡設備聯(lián)系起來。

屬性安全在權限安全的基礎上提供更進一步的安全性。網(wǎng)絡上的資源都應預先標出一組安全屬性。用戶對網(wǎng)絡資源的訪問權限對應一張訪問控制表，用以表明用戶對網(wǎng)絡資源的訪問能力。

屬性設置可以覆蓋已經指定的任何受托者指派和有效權限。屬性往往能控制以下幾個方面的權限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。網(wǎng)絡的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、、執(zhí)行修改、顯示等。

5) 網(wǎng)絡服務器安全控制

網(wǎng)絡允許在服務器控制臺上執(zhí)行一系列操作。用戶使用控制臺可以裝載和卸載模塊，可以安裝和刪除軟件等操作。網(wǎng)絡服務器的安全控制包括可以設置口令鎖定服務器控制臺，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設定服務器登錄時間限制、非法訪問者檢測和關閉的時間間隔。

6) 網(wǎng)絡監(jiān)測和鎖定控制

網(wǎng)絡管理員應對網(wǎng)絡實施監(jiān)控，服務器應記錄用戶對網(wǎng)絡資源的訪問，對非法的網(wǎng)絡訪問，服務器應以圖形或文字或聲音等形式報警，以引起網(wǎng)絡管理員的注意。如果不法之徒試圖進入網(wǎng)絡，網(wǎng)絡服務器應會自動記錄企圖嘗試進入網(wǎng)絡的次數(shù)，如果非法訪問的次數(shù)達到設定數(shù)值，那么該帳戶將被自動鎖定。

7) 網(wǎng)絡端口和節(jié)點的安全控制

網(wǎng)絡中服務器的端口往往使用自動回呼設備、靜默調制解調器加以保護，并以加密的形式來識別節(jié)點的身份。自動回呼設備用于防止假冒合法用戶，靜默調制解調器用以防范黑客的自動撥號程序對計算機進行攻擊。網(wǎng)絡還常對服務器端和用戶端采取控制，用戶必須攜帶證實身份的驗證器（如智能卡、磁卡、安全密碼發(fā)生器）。在對用戶的身份進行驗證之后，才允許用戶進入用戶端。然后，用戶端和服務器端再進行相互驗證

計算機安全之網(wǎng)絡安全措施

由于網(wǎng)絡安全的目的是保障用戶的重要信息的安全，因此限制直接接觸十分重要。如果用戶的網(wǎng)絡連入Internet，那麼最好盡可能地把與Internet連接的機器與網(wǎng)絡的其余部分隔離開來。實現(xiàn)這個目標的最安全的方法是將Internet服務器與網(wǎng)絡實際隔開。當然，這種解決方案增加了機器管理的難度。但是如果有人闖入隔離開的機器，那麼網(wǎng)絡的其余部分不會受到牽連。

最重要的是限制訪問。不要讓不需要進入網(wǎng)關的人都進入網(wǎng)關。在機器上用戶僅需要一個用戶帳號，嚴格限制它的口令。只有在使用su時才允許進入根帳號。這個方法保留一份使用根帳號者的記錄。

在Internet服務器上提供的一些服務有FTP、HTTP、遠程登陸和WAIS（廣域信息服務）。但是，F(xiàn)TP和HTTP是使用最普遍的服務。它們還有潛力泄露出乎用戶意料之外的秘密。

與任何其它Internet服務一樣，F(xiàn)TP一直是（而且仍是）易于被濫用的。值得一提的弱點涉及幾個方面。第一個危險是配置不當。它使站點的訪問者（或潛在攻擊者）能夠獲得更多超出其預期的數(shù)據(jù)。

他們一旦進入，下一個危險是可能破壞信息。一個未經審查的攻擊者可以抹去用戶的整個FTP站點。

最后一個危險不必長篇累牘，這是因為它不會造成破壞，而且是低水平的。它由用戶的FTP站點構成，對于交換文件的人來說，用戶的FTP站點成為“麻木不仁的窩臟點”。這些文件無所不包，可以是盜版軟件，也可以是xxx畫。這種交換如何進行的呢？簡單的很。發(fā)送者發(fā)現(xiàn)了一個他們有權寫入和拷入可疑文件的FTP站點。通過某些其它方法，發(fā)送者通知它們的同伙文件可以使用。

所有這些問題都是由未正確規(guī)定許可條件而引起的。最大的一個問題可能是允許FTP用戶有機會寫入。當用戶通過FTP訪問一個系統(tǒng)時，這一般是FTP用戶所做的事。因此，F(xiàn)TP用戶可以訪問，用戶的訪問者也可以使用。所有這些問題都是由未正確規(guī)定許可條件而引起的。最大的一個問題可能是允許FTP用戶有機會寫入。當用戶通過FTP訪問一個系統(tǒng)時，這一般是FTP用戶所做的事。因此，F(xiàn)TP用戶可以訪問，用戶的訪問者也可以訪問。

一般說來，F(xiàn)TP用戶不是用戶的系統(tǒng)中已經有的。因此，用戶要建立FTP用戶。無論如何要保證將外殼設置為真正外殼以外的東西。這一步驟防止FTP用戶通過遠程登錄進行注冊（用戶或許已經禁止遠程登錄，但是萬一用戶沒有這樣做，確認一下也不會有錯）。

將所有文件和目錄的主人放在根目錄下，不要放在ftp下。這個預防措施防止FTP用戶修改用戶仔細構思出的口令。然后，將口令規(guī)定為755（讀和執(zhí)行，但不能寫，除了主人之外）。在用戶希望匿名用戶訪問的所有目錄上做這項工作。盡管這個規(guī)定允許他們讀目錄，但它也防止他們把什麼東西放到目錄中來。

用戶還需要編制某些可用的庫。然而，由于用戶已經在以前建立了必要的目錄，因此這一步僅執(zhí)行一部分。因此，用戶需要做的一切是將/usr/lib/libe.so.1和/usr/lib/libsock-et.so/1拷貝到~ftp/usr/lib中。接著將~ftp/usr/lib上的口令改為555，并建立主接收器。

最后，用戶需要在~ftp/dev/中建立/dev/null和/dev/socksys設備結點。用戶可以用mknod手工建立它們。然而，讓系統(tǒng)為用戶工作會更加容易。SCO文檔說用cpio,但是copy（非cp）很管用。

如果用戶想建立一個人們都可用留下文件的目錄，那麼可將它稱作輸入。允許其他人寫入這個目錄，但不能讀。這個預防措施防止它成為麻木不仁的窩臟點。人們可以在這里放入他們想放的任何東西，但是他們不能將它們取出。如果用戶認為信息比較適合共享，那麼將拷貝到另一個目錄中。

計算機安全之提高企業(yè)內部網(wǎng)安全性步驟

限制對網(wǎng)關的訪問。限制網(wǎng)關上的帳號數(shù)。不要允許關不信任任何機器。沒有一臺機器應該信任網(wǎng)關；

不要用NFS向網(wǎng)關傳輸或接收來自網(wǎng)關的任何文件系統(tǒng)；

不要在網(wǎng)關上使用NIS（網(wǎng)絡信息服務）；

制訂和執(zhí)行一個非網(wǎng)關機器上的安全性方針；

關閉所有多余服務和刪除多余程序

刪除網(wǎng)關的所有多余程序（遠程登錄、rlogin、FTP等等）；

定期閱讀系統(tǒng)記錄。

原文鏈接：http://netsecurity.51cto.com/art/201103/249651.htm

標簽： 安全 服務器 服務器安全 服務器端 權限 網(wǎng)絡 網(wǎng)絡安全 網(wǎng)絡安全防范 網(wǎng)絡服務器

版權申明：本站文章部分自網(wǎng)絡，如有侵權，請聯(lián)系：west999com@outlook.com
特別注意：本站所有轉載文章言論不代表本站觀點！
本站所提供的圖片等素材，版權歸原作者所有，如需使用，請與原作者聯(lián)系。