安小圈

第700期

身份識別（Identification）、認證（Authentication）、授權（Authorization）、審計（Audit）、問責（Accounting）是保障系統安全的基礎措施。 ? ? ? ? ? ? ? ? ? ? ? ??

?---James P.Anderson的“3Au黃金法則”

一、操作系統安全基礎概念與核心需求

（一）安全定義與等級劃分

安全概念：操作系統安全指滿足安全策略要求，具備抗攻擊能力并保障資源安全。

國家標準 GB/T 20272-2019 將操作系統分為五級：用戶自主保護級、系統審計保護級、安全標記保護級、結構化保護級、訪問驗證保護級。

安全可控目標：

• 用戶可理解、修改、檢測、修復系統；

• 產業可控，避免商業利益綁架（如安卓系統的產業控制權問題）。

（二）核心安全需求

標識與鑒別：唯一標識用戶并驗證身份（如 Windows 的 Kerberos 認證）。

訪問控制：防止非法資源訪問（如 UNIX/Linux 的 9 位權限控制）。

資源安全：保障數據完整性、保密性、可用性（如 Windows 的 EFS 加密）。

抗攻擊能力：防御惡意代碼（如 Windows 10 的 ASLR 地址隨機化）。

?

二、Windows 操作系統安全分析

（一）系統架構與安全機制

架構特點：Windows XP 采用層次結構與客戶機 / 服務器混合架構，Windows 2000 安全子系統包含本地安全授權（LSA）、安全賬戶管理（SAM）和安全參考監視器（SRM）。

關鍵機制：

• 認證機制：支持 Kerberos V5、NTLM，Windows 2000 集成本地與網絡認證。

• 訪問控制：通過安全描述符（Security Descriptor）實現 ACL 訪問控制列表。

• 抗攻擊技術：Windows 10 集成 ASLR（地址隨機化）、DEP（數據執行保護）、減少攻擊面規則（如阻止 Office 創建子進程）。

• 
  

（二）典型安全問題與增強措施

安全風險：

弱口令（如 Windows 2000 默認空連接漏洞）、惡意代碼（如 “永恒之藍” 勒索蠕蟲）、注冊表權限配置不當。

增強措施：

• 補丁管理：及時安裝微軟漏洞補?。ㄈ?MS17-010 修復 “永恒之藍” 漏洞），通過 Windows Update 或 SUS 系統自動分發。

• 賬號安全配置：

• 禁用 Guest 賬號，修改 Administrator 名稱為復雜用戶名，防止暴力破解。

• 設置強口令策略（長度≥8 位，混合字符），啟用賬號鎖定閾值（如 3 次錯誤登錄后鎖定）。

網絡安全設置：

• 關閉默認共享（如 IPC$），通過注冊表限制匿名連接（修改 LSA-RestrictAnonymous 值為 1）。

• 啟用 Windows 防火墻，過濾 TCP/IP 端口（如禁用 135-139 端口防范勒索軟件）。

• 防御勒索軟件：啟用 Windows 10 “減少攻擊面” 規則，阻止 Office 創建子進程或注入代碼。

• 

（三）安全工具與標準規范

工具：

漏洞掃描：Nmap 檢測開放端口，AppScan 掃描 Web 漏洞。

惡意代碼查殺：天融信EDR、火絨劍，結合 ClamAV 開源工具。

參考標準：CIS 安全基線、NIST SP 800-70，符合等保 2.0 三級要求。

?

三、UNIX/Linux 操作系統安全分析

（一）系統架構與安全機制

架構特點：分為硬件層、內核層、應用層，多用戶多任務設計，支持模塊化加載（LKM）。

核心機制：

認證方式：基于口令、終端認證（限制超級用戶遠程登錄）、主機信任機制（.rhost 文件）。

訪問控制：通過 9 位權限位（rwxr-xr--）控制文件訪問，所有者 / 組 / 其他用戶權限分離。

審計日志：日志存儲于 /var/log，如 wtmp 記錄登錄歷史，sulog 記錄 SU 命令使用。

（二）典型安全問題與增強措施

安全風險：

SUID 文件漏洞：非授權程序獲取 root 權限（如利用 eject 程序緩沖區溢出提權）。

弱口令：root 密碼泄露，John the Ripper 可破解 UNIX/Linux 口令。

網絡服務漏洞：Sendmail 緩沖區溢出（“小莫里斯” 蠕蟲利用此漏洞）。

增強措施：

最小化服務：關閉 finger、rsh 等危險服務，設置 inetd.conf 權限為 600。

SSH 替代：用 SSH 加密遠程登錄，替代明文傳輸的 Telnet。

TCP Wrappers：通過 hosts.allow/hosts.deny 控制遠程訪問，禁止未授權 IP 連接。

完整性檢測：使用 Tripwire 或 MD5Sum 監控文件篡改，生成基準指紋庫。

（三）安全工具與實踐案例

工具：

弱口令檢測：John the Ripper，破解 UNIX shadow 文件。

內核后門掃描：Chkrootkit、Rootkit Hunter 檢測 LKM 惡意模塊。

案例：通過chattr +i鎖定關鍵文件（如 /etc/inetd.conf），防止未授權修改。

四、國產操作系統安全分析

（一）發展與安全架構

代表產品：中科方德方舟、中標麒麟、華為鴻蒙，基于 Linux 內核深度優化。

安全特性：

三權分立：系統管理員、安全管理員、審計管理員權限分離。

強制訪問控制：中標麒麟支持 SELinux 的類型實施（Type Enforcement）。

可信計算：集成 TCM/TPM 芯片，支持國密算法（SM2/SM3/SM4）。

（二）安全挑戰與增強措施

風險：

Linux 內核漏洞（如熔斷 / 幽靈漏洞）、第三方組件安全（NetworkManager 腳本缺陷）。

硬件依賴風險（CPU 設計缺陷導致內存隔離失效）。

增強措施：

內核加固：修補 Linux 漏洞，如中標麒麟通過等保四級認證。

安全審計：中科方德方舟在內核層實現不可繞過的審計機制。

五、歷年真題與核心考點

（一）典型真題解析

2023 年單選題

題目：下列哪項屬于 Windows 的抗攻擊機制？（ ） ? ? ? ? ?
A. 地址空間隨機化（ASLR） ? ? ? ? ?
B. 9 位權限控制 ? ? ? ? ?
C. 可信路徑 ? ? ? ? ?
D. 端口過濾 ? ? ? ? ?
答案：A ? ??? ? ?
解析：ASLR 是 Windows 7 及以上版本的抗攻擊機制，通過隨機化內存地址防止緩沖區溢出；B 為 UNIX/Linux 特性，C 為通用安全機制，D 屬于網絡防護。

2022 年案例分析題

背景：UNIX 服務器遭暴力破解，需增強賬號安全。 ? ? ? ? ?
問題：列出兩種弱口令檢測工具及賬號鎖定策略。 ? ? ? ? ?
參考答案：

工具：John the Ripper、Crack。

策略：3 次錯誤登錄后鎖定賬號 20 分鐘，復位計數器間隔 20 分鐘。

（二）核心考點總結

關鍵技術：

Windows：ASLR、DEP、減少攻擊面規則。

UNIX/Linux：SUID 文件審計、TCP Wrappers。

六、復習建議

對比記憶：通過表格區分不同系統的認證與訪問控制差異（如 Windows 的 ACL vs UNIX 的 9 位權限）。

工具實操：用 Nmap 掃描端口、John the Ripper 測試弱口令，熟悉工具輸出結果。

標準重點：掌握 GB/T 20272 的五級分類及等保 2.0 對操作系統的合規要求（如三級系統需啟用可信驗證）。

END

• 第1關 網絡信息安全概述

• 第2關 網絡攻擊原理與常用方法
• 第3關 密碼學基本理論

• 第4關 網絡安全體系與網絡安全模型

• 第5關 物理與環境安全技術

• 第6關 認證技術原理與應用

• 第7關 訪問控制技術原理與應用

• 第8關 防火墻技術原理與應用

• 第9關 VPN技術原理與應用

• 第10關 入侵檢測技術原理與應用

• 第11關 網絡物理隔離技術原理與應用

• 第12關 網絡安全審計技術原理與應用

• 第13關 網絡安全漏洞防護技術原理與應用

• 第14關 惡意代碼防范技術原理與應用

• 第15關 網絡安全主動防御技術與應用

• 第16關 網絡安全風險評估技術原理與應用總結

• 第17關 網絡安全應急技術原理與應用

• 第18關 網絡安全測評技術與標準

• 挖礦病毒【應急響應】處置手冊

• 用Deepseek實現Web滲透自動化

• 【風險】DeepSeek等大模型私有化服務器部署近九成在“裸奔”，已知漏洞趕緊處理！

• 關于各大網安廠商推廣「DeepSeek一體機」現象的深度分析

• Deepseek真的能搞定【安全運營】？

• 【熱點】哪些網絡安全廠商接入了DeepSeek？

• 【2025】常見的網絡安全服務大全（匯總詳解）

• AI 安全 |《人工智能安全標準體系(V1.0)》(征求意見稿)，附下載

• DeepSeek突遭大規模惡意攻擊！

• 【2024】年度最活躍的勒索軟件組織TOP 10

• 我國71個機構受到勒索攻擊

• 超300萬臺未加密郵件服務器暴露，用戶數據面臨嚴重威脅！

• 電網黑客：通過無線電控制路燈和發電廠

• 網絡安全公司“內鬼”監守自盜 編寫代碼當黑客 竊取公民個人信息2.08億條

• 大眾汽車集團歐洲發生嚴重數據泄漏，80萬車主可被定位

• 2025年 · 網絡威脅趨勢【預測】

• 【實操】常見的安全事件及應急響應處

• 2024 網絡安全人才實戰能力白皮書安全測試評估篇