1、第八章 操作系統(tǒng)安全基礎(chǔ),8,內(nèi)容提要,本章介紹Windows 2000服務(wù)器的安全配置。 操作系統(tǒng)的安全將決定網(wǎng)絡(luò)的安全，從保護級別上分成安全初級篇、中級篇和高級篇，共36條基本配置原則。 安全配置初級篇講述常規(guī)的操作系統(tǒng)安全配置，中級篇介紹操作系統(tǒng)的安全策略配置，高級篇介紹操作系統(tǒng)安全信息通信配置。,操作系統(tǒng)概述,目前服務(wù)器常用的操作系統(tǒng)有三類： Unix Linux Windows 這些操作系統(tǒng)都是符合C2級安全級別的操作系統(tǒng)。但是都存在不少漏洞，如果對這些漏洞不了解，不采取相應(yīng)的措施，就會使操作系統(tǒng)完全暴露給入侵者。,安全級別列表,UNIX系統(tǒng),UNIX操作系統(tǒng)是由美國貝爾實驗室開發(fā)的

2、一種多用戶、多任務(wù)的通用操作系統(tǒng)。它從一個實驗室的產(chǎn)品發(fā)展成為當前使用普遍、影響深遠的主流操作系統(tǒng)。 UNIX誕生于20世紀60年代末期，貝爾實驗室的研究人員于1969年開始在GE645計算機上實現(xiàn)一種分時操作系統(tǒng)的雛形，后來該系統(tǒng)被移植到了DEC的PDP-7小型機上。 1970年給系統(tǒng)正式取名為Unix操作系統(tǒng)。到1973年，Unix系統(tǒng)的絕大部分源代碼都用C語言重新編寫過，大大提高了Unix系統(tǒng)的可移植性，也為提高系統(tǒng)軟件的開發(fā)效率創(chuàng)造了條件。,主要特色,UNIX操作系統(tǒng)經(jīng)過20多年的發(fā)展后，已經(jīng)成為一種成熟的主流操作系統(tǒng)，并在發(fā)展過程中逐步形成了一些新的特色，其中主要特色包括5個方面。

3、（1）可靠性高 （2）極強的伸縮性 （3）網(wǎng)絡(luò)功能強 （4）強大的數(shù)據(jù)庫支持功能 （5）開放性好,Linux系統(tǒng),Linux是一套可以免費使用和自由傳播的類Unix操作系統(tǒng)，主要用于基于Intel x86系列CPU的計算機上。這個系統(tǒng)是由全世界各地的成千上萬的程序員設(shè)計和實現(xiàn)的。其目的是建立不受任何商品化軟件的版權(quán)制約的、全世界都能自由使用的Unix兼容產(chǎn)品。 Linux最早開始于一位名叫Linus Torvalds的計算機業(yè)余愛好者，當時他是芬蘭赫爾辛基大學的學生。 目的是想設(shè)計一個代替Minix（是由一位名叫Andrew Tannebaum的計算機教授編寫的一個操作系統(tǒng)示教程序）的操作系統(tǒng)

4、。這個操作系統(tǒng)可用于386、486或奔騰處理器的個人計算機上，并且具有Unix操作系統(tǒng)的全部功能。,Linux是一個免費的操作系統(tǒng)，用戶可以免費獲得其源代碼，并能夠隨意修改。 它是在共用許可證GPL(General Public License)保護下的自由軟件，也有好幾種版本，如Red Hat Linux、Slackware，以及國內(nèi)的Xteam Linux、紅旗Linux等等。Linux的流行是因為它具有許多優(yōu)點，典型的優(yōu)點有7個。,Linux典型的優(yōu)點有7個。,（1）完全免費 （2）完全兼容POSIX 1.0標準 （3）多用戶、多任務(wù) （4）良好的界面 （5）豐富的網(wǎng)絡(luò)功能 （6）可靠的

5、安全、穩(wěn)定性能 （7）支持多種平臺,Windows系統(tǒng),Windows NT（New Technology）是微軟公司第一個真正意義上的網(wǎng)絡(luò)操作系統(tǒng)，發(fā)展經(jīng)過NT3.0、NT40、NT5.0（Windows 2000）和NT6.0（Windows 2003）等眾多版本，并逐步占據(jù)了廣大的中小網(wǎng)絡(luò)操作系統(tǒng)的市場。 Windows NT眾多版本的操作系統(tǒng)使用了與Windows 9X完全一致的用戶界面和完全相同的操作方法，使用戶使用起來比較方便。與Windows 9X相比，Windows NT的網(wǎng)絡(luò)功能更加強大并且安全。,Windows NT系列操作系統(tǒng),Windows NT系列操作系統(tǒng)具有以下三方

6、面的優(yōu)點。 （1）支持多種網(wǎng)絡(luò)協(xié)議 由于在網(wǎng)絡(luò)中可能存在多種客戶機，如Windows 95/98、Apple Macintosh、Unix、OS/2等等，而這些客戶機可能使用了不同的網(wǎng)絡(luò)協(xié)議，如TCP/IP協(xié)議、IPX/SPX等。Windows NT系列操作支持幾乎所有常見的網(wǎng)絡(luò)協(xié)議。 （2）內(nèi)置Internet功能 隨著Internet的流行和TCP/IP協(xié)議組的標準化，Windows NT內(nèi)置了IIS（Internet Information Server），可以使網(wǎng)絡(luò)管理員輕松的配置WWW和FTP等服務(wù)。 （3）支持NTFS文件系統(tǒng) Windows 9X所使用的文件系統(tǒng)是FAT，在NT中

7、內(nèi)置同時支持FAT和NTFS的磁盤分區(qū)格式。使用NTFS的好處主要是可以提高文件管理的安全性，用戶可以對NTFS系統(tǒng)中的任何文件、目錄設(shè)置權(quán)限，這樣當多用戶同時訪問系統(tǒng)的時候，可以增加文件的安全性。,系統(tǒng)安全概述脆弱性分析 技術(shù)的脆弱性 配置的脆弱性 管理的脆弱性,安全操作系統(tǒng)的基本概念,安全操作系統(tǒng)涉及很多概念： 主體和客體 安全策略和安全模型 訪問監(jiān)控器和安全內(nèi)核以及可信計算基。,主體和客體,操作系統(tǒng)中的每一個實體組件都必須是主體或者是客體，或者既是主體又是客體。主體是一個主動的實體，它包括用戶、用戶組、進程等。系統(tǒng)中最基本的主體應(yīng)該是用戶（包括一般用戶和系統(tǒng)管理員、系統(tǒng)安全員、系統(tǒng)審計員

8、等特殊用戶）。每個進入系統(tǒng)的用戶必須是惟一標識的，并經(jīng)過鑒別確定為真實的。系統(tǒng)中的所有事件要求，幾乎全是由用戶激發(fā)的。進程是系統(tǒng)中最活躍的實體，用戶的所有事件要求都要通過進程的運行來處理。在這里，進程作為用戶的客體，同時又是其訪問對象的主體。 客體是一個被動的實體。在操作系統(tǒng)中，客體可以是按照一定格式存儲在一定記錄介質(zhì)上的數(shù)據(jù)信息（通常以文件系統(tǒng)格式存儲數(shù)據(jù)），也可以是操作系統(tǒng)中的進程。操作系統(tǒng)中的進程（包括用戶進程和系統(tǒng)進程）一般有著雙重身份。當一個進程運行時，它必定為某一用戶服務(wù)直接或間接的處理該用戶的事件要求。于是，該進程成為該用戶的客體，或為另一進程的客體（這時另一進程則是該用戶的客體

9、）,安全策略和安全模型,安全策略與安全模型是計算機安全理論中容易相互混淆的兩個概念。安全策略是指有關(guān)管理、保護和發(fā)布敏感信息的法律、規(guī)定和實施細則。例如，可以將安全策略定為：系統(tǒng)中的用戶和信息被劃分為不同的層次，一些級別比另一些級別高；而且如果主體能讀訪問客體，當且僅當主體的級別高于或等于客體的級別；如果主體能寫訪問客體，當且僅當主體的級別低于或等于客體的級別。 安全模型則是對安全策略所表達的安全需求的簡單、抽象和無歧義的描述，它為安全策略和安全策略實現(xiàn)機制的關(guān)聯(lián)提供了一種框架。安全模型描述了對某個安全策略需要用哪種機制來滿足；而模型的實現(xiàn)則描述了如何把特定的機制應(yīng)用于系統(tǒng)中，從而實現(xiàn)某一特定

10、安全策略所需的安全保護。,訪問監(jiān)控器,訪問控制機制的理論基礎(chǔ)是訪問監(jiān)控器（Reference Monitor），由J.P.Anderson首次提出。訪問監(jiān)控器是一個抽象概念，它表現(xiàn)的是一種思想。J.P.Anderson把訪問監(jiān)控器的具體實現(xiàn)稱為引用驗證機制，它是實現(xiàn)訪問監(jiān)控器思想的硬件和軟件的組合,安全內(nèi)核,安全內(nèi)核是實現(xiàn)訪問監(jiān)控器概念的一種技術(shù)，在一個大型操作系統(tǒng)中，只有其中的一小部分軟件用于安全目的是它的理論依據(jù)。所以在重新生成操作系統(tǒng)過程中，可用其中安全相關(guān)的軟件來構(gòu)成操作系統(tǒng)的一個可信內(nèi)核，稱之為安全內(nèi)核。安全內(nèi)核必須予以適當?shù)谋Ｗo，不能篡改。同時絕不能有任何繞過安全內(nèi)核存取控制檢查的

11、存取行為存在。此外安全內(nèi)核必須盡可能地小，便于進行正確性驗證。安全內(nèi)核由硬件和介于硬件和操作系統(tǒng)之間的一層軟件組成。,可信計算基,操作系統(tǒng)的安全依賴于一些具體實施安全策略的可信的軟件和硬件。這些軟件、硬件和負責系統(tǒng)安全管理的人員一起組成了系統(tǒng)的可信計算基（Trusted Computing Base，TCB）。具體來說可信計算基由以下7個部分組成： 1. 操作系統(tǒng)的安全內(nèi)核。 2. 具有特權(quán)的程序和命令。 3. 處理敏感信息的程序，如系統(tǒng)管理命令等。 4. 與TCB實施安全策略有關(guān)的文件。 5. 其它有關(guān)的固件、硬件和設(shè)備。 6. 負責系統(tǒng)管理的人員。 7. 保障固件和硬件正確的程序和診斷軟件

12、。,1 Windows系統(tǒng)的安全架構(gòu) 2 Windows的安全子系統(tǒng) 3 Windows的賬戶及密碼系統(tǒng) 4 Windows的權(quán)利與權(quán)限 5 Windows的系統(tǒng)服務(wù)和進程 6 Windows的日志系統(tǒng),Windows系統(tǒng)安全機制,1. Windows系統(tǒng)的安全架構(gòu),6個主要的安全服務(wù)： Audit（審計）, Administration（管理）, Encryption（加密）, Access Control（訪問控制）, User Authentication（用戶身份驗證）, Corporate Security PolicyCorporate Security Policy（安全組策略）

13、。,1.1 Windows系統(tǒng)的安全組件,C2級別的操作系統(tǒng)中所包含的安全組件： 訪問控制的判斷（Discretion access control）Windows 支持對象的訪問控制的判斷。這些需求包括允許對象的所有者可以控制誰被允許訪問該對象以及訪問的方式。 對象重用（Object reuse）當資源（內(nèi)存、磁盤等）被某應(yīng)用訪問時，Windows 禁止所有的系統(tǒng)應(yīng)用訪問該資源，這也就是為什么Windows NT禁止undelete已經(jīng)被刪除的文件的原因。 強制登陸（Mandatory log on）與Windows for Workgroups，Windwows95，Windows 98不

14、同，Windows2K/ NT要求所有的用戶必須登陸，通過認證后才可以訪問資源。由于網(wǎng)絡(luò)連接缺少強制的認證，所以Windows 作為C2級別的操作系統(tǒng)必須是未連網(wǎng)的。 審核（Auditing） Windows NT 在控制用戶訪問資源的同時，也可以對這些訪問作了相應(yīng)的記錄。 對象的訪問控制（Control of access to object） Windows NT不允許直接訪問系統(tǒng)的某些資源。必須是該資源允許被訪問，然后是用戶或應(yīng)用通過第一次認證后再訪問。,1.2 Windows系統(tǒng)的對象,為了實現(xiàn)自身的安全特性，Windows2K/ NT把所有的資源作為系統(tǒng)的特殊的對象。這些對象包含資源

15、本身，Windows2K/ NT提供了一種訪問機制去使用它們。 Microsoft的安全就是基于以下的法則： 用對象表現(xiàn)所有的資源 只有Windows2K/ NT才能直接訪問這些對象 對象能夠包含所有的數(shù)據(jù)和方法 對象的訪問必須通過Windows 2K/NT的安全子系統(tǒng)的第一次驗證 存在幾種單獨的對象，每一個對象的類型決定了這些對象能做些什么 Windows 中首要的對象類型有： 文件文件夾打印機I/O設(shè)備窗口線程進程內(nèi)存 這些安全構(gòu)架的目標就是實現(xiàn)系統(tǒng)的牢固性。從設(shè)計來考慮，就是所有的訪問都必須通過同一種方法認證，減少安全機制被繞過的機會。,2.Windows安全子系統(tǒng),(執(zhí)行服務(wù)),（接口

16、和播放）,（內(nèi)核）,（硬件提取層）,Windows安全子系統(tǒng)的組件,Windows NT安全子系統(tǒng)包含五個關(guān)鍵的組件： Security identifiers，Access tokens，Security descriptors，Access control lists，Access Control Entries。 安全標識符（Security Identifiers）:就是我們經(jīng)常說的SID，每次當我們創(chuàng)建一個用戶或一個組的時候，系統(tǒng)會分配給改用戶或組一個唯一SID，當你重新安裝Windows NT后，也會得到一個唯一的SID。SID永遠都是唯一的，由計算機名、當前時間、當前用戶態(tài)線程的

17、CPU耗費時間的總和三個參數(shù)決定以保證它的唯一性。例：S-1-5-21-1763234323-3212657521-1234321321-500 訪問令牌（Access tokens）:用戶通過驗證后，登陸進程會給用戶一個訪問令牌，該令牌相當于用戶訪問系統(tǒng)資源的票證，當用戶試圖訪問系統(tǒng)資源時，將訪問令牌提供給Windows NT，然后Windows NT檢查用戶試圖訪問對象上的訪問控制列表。如果用戶被允許訪問該對象，Windows NT將會分配給用戶適當?shù)脑L問權(quán)限。訪問令牌是用戶在通過驗證的時候有登陸進程所提供的，所以改變用戶的權(quán)限需要注銷后重新登陸，重新獲取訪問令牌。,安全描述符（Secur

18、ity descriptors）： Windows NT中的任何對象的屬性都有安全描述符這部分。它保存對象的安全配置。 訪問控制列表（Access control lists）： 訪問控制列表有兩種：任意訪問控制列表（Discretionary ACL）、系統(tǒng)訪問控制列表（System ACL）。任意訪問控制列表包含了用戶和組的列表，以及相應(yīng)的權(quán)限，允許或拒絕。每一個用戶或組在任意訪問控制列表中都有特殊的權(quán)限。而系統(tǒng)訪問控制列表是為審核服務(wù)的，包含了對象被訪問的時間。 訪問控制項（Access control entries）: 訪問控制項（ACE）包含了用戶或組的SID以及對象的權(quán)限。訪問控

19、制項有兩種：允許訪問和拒絕訪問。拒絕訪問的級別高于允許訪問。 當你使用管理工具列出對象的訪問權(quán)限時，列表的排序是以文字為順序的，它并不象防火墻的規(guī)則那樣由上往下的，不過好在并不會出現(xiàn)沖突，拒絕訪問總是優(yōu)先于允許訪問的。,2.1Windows安全子系統(tǒng)的身份認證,Winlogon Graphical Identification and Authentication DLL (GINA)圖形辨認和鑒定動態(tài)鏈接 Local Security Authority(LSA)本地安全認證 Security Support Provider Interface(SSPI) Authentication P

20、ackages Security support providers NetlogonService Security Account Manager(SAM),Windows安全子系統(tǒng)的身份認證架構(gòu)示意圖,Winlogon, Local Security Authorit以及Netlogon作為服務(wù)運行，其他的以DLL方式被這些文件調(diào)用。,Winlogon and Gina:,Winlogon調(diào)用GINA DLL，并監(jiān)視安全認證序列。而GINA DLL提供一個交互式的界面為用戶登陸提供認證請求。GINA DLL被設(shè)計成一個獨立的模塊，當然我們也可以用一個更加強有力的認證方式（指紋、視網(wǎng)膜）替

21、換內(nèi)置的GINA DLL。 Winlogon在注冊表中查找HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogon，如果存在GinaDLL鍵，Winlogon將使用這個DLL，如果不存在該鍵，Winlogon將使用默認值MSGINA.DLL,本地安全認證（Local Security Authority）,本地安全認證（LSA）是一個被保護的子系統(tǒng)，它負責以下任務(wù)： 調(diào)用所有的認證包，檢查在注冊表HKLMSYSTEMCurrentControlSetControlLSA下AuthenticationPAckages下的值，并調(diào)用該DLL進行認證

22、（MSV_1.DLL）。在4.0版里，Windows NT會尋找HKLMSYSTEMCurrentControlSetControlLSA 下所有存在的SecurityPackages值并調(diào)用。 重新找回本地組的SIDs和用戶的權(quán)限。 創(chuàng)建用戶的訪問令牌。 管理本地安裝的服務(wù)所使用的服務(wù)賬號。 儲存和映射用戶權(quán)限。 管理審核的策略和設(shè)置。 管理信任關(guān)系。,安全支持提供者的接口（Security Support Provide Interface）,微軟的Security Support Provide Interface很簡單地遵循RFC 2743和RFC 2744的定義，提供一些安全服務(wù)的A

23、PI，為應(yīng)用程序和服務(wù)提供請求安全的認證連接的方法(Kerberos/ NTLM)。,認證包（Authentication Package）,認證包可以為真實用戶提供認證。通過GINA DLL的可信認證后，認證包返回用戶的SIDs給LSA，然后將其放在用戶的訪問令牌中。,安全支持提供者（Security Support Provider）,安全支持提供者是以驅(qū)動的形式安裝的，能夠?qū)崿F(xiàn)一些附加的安全機制，默認情況下，Windows NT安裝了以下三種： Msnsspc.dll：微軟網(wǎng)絡(luò)挑戰(zhàn)/反應(yīng)認證模塊 Msapsspc.dll：分布式密碼認證挑戰(zhàn)/反應(yīng)模塊，該模塊也可以在微軟網(wǎng)絡(luò)中使用 Sch

24、annel.dll：該認證模塊使用某些證書頒發(fā)機構(gòu)提供的證書來進行驗證，常見的證書機構(gòu)比如Verisign。這種認證方式經(jīng)常在使用SSL（Secure Sockets Layer）和PCT（Private Communication Technology私有信息技術(shù)）協(xié)議通信的時候用到。,網(wǎng)絡(luò)登陸（Netlogon）,網(wǎng)絡(luò)登陸服務(wù)必須在通過認證后建立一個安全的通道。要實現(xiàn)這個目標，必須通過安全通道與域中的域控制器建立連接，然后，再通過安全的通道傳遞用戶的口令，在域的域控制器上響應(yīng)請求后，重新取回用戶的SIDs和用戶權(quán)限。,安全賬號管理者（Security Account Manager）,安全

25、賬號管理者，也就是我們經(jīng)常所說的SAM，它是用來保存用戶賬號和口令的數(shù)據(jù)庫。保存了注冊表中HKLMSecuritySam中的一部分內(nèi)容。不同的域有不同的Sam，在域復制的過程中，Sam包將會被拷貝。,2.2Windows身份認證機制,LanManager認證(稱為LM協(xié)議) 早期版本 NTLM v1 認證協(xié)議 NT 4.0 SP3之前的版本 NTLM v2 認證協(xié)議 NT 4.0 SP4開始支持 Kerberos v5認證協(xié)議 Windows 2000活動目錄,NTLM身份認證過程,1、客戶端首先在本地加密自己的密碼成為密碼散列 2、客戶端向服務(wù)器發(fā)送自己的帳號，這個帳號是沒有經(jīng)過加密的，明文

26、直接傳輸。 3、服務(wù)器產(chǎn)生一個16位的隨機數(shù)字發(fā)送給客戶端，作為一個challenge (挑戰(zhàn)) 4、客戶端再用加密后的密碼散列來加密這個challenge ，然后把這個返回給服務(wù)器，作為response。 5、服務(wù)器把用戶名、給客戶端的challenge 、客戶端返回的response 這三個東西，發(fā)送域控制器 6、域控制器用這個用戶名在SAM密碼管理庫中找到這個用戶的密碼散列，然后使用這個密碼散列來加密challenge。 7、域控制器比較兩次加密的challenge ，如果一樣，那么認證成功。,Kerberos V5,注:KDC-密鑰分配中心;TGT-使用密鑰; ST-服務(wù)票據(jù).,3.W

27、indows的賬戶及密碼系統(tǒng),windows NT及win2000中對用戶帳戶的安全管理使用了安全帳號管理器(security account manager)的機制,安全帳號管理器對帳號的管理是通過安全標識進行的，安全標識在帳號創(chuàng)建時就同時創(chuàng)建，一旦帳號被刪除，安全標識也同時被刪除。安全標識是唯一的，即使是相同的用戶名，在每次創(chuàng)建時獲得的安全標識都是完全不同的。因此，一旦某個帳號被刪除，它的安全標識就不再存在了，即使用相同的用戶名重建帳號，也會被賦予不同的安全標識，不會保留原來的權(quán)限。,4.Windows的權(quán)利和權(quán)限,網(wǎng)絡(luò)安全性依賴于給用戶或組授予的能力： 權(quán)利:在系統(tǒng)上完成特定動作的授權(quán)，

28、一般由系統(tǒng)指定給內(nèi)置組，但也可以由管理員將其擴大到組和用戶上。 權(quán)限:用戶或組對于文件系統(tǒng)的訪問能力。 共享:用戶可以通過網(wǎng)絡(luò)使用的文件夾。,Windows系統(tǒng)的用戶權(quán)利,權(quán)利適用于對整個系統(tǒng)范圍內(nèi)的對象和任務(wù)的操作，通常是用來授權(quán)用戶執(zhí)行某些系統(tǒng)任務(wù)。當用戶登錄到一個具有某種權(quán)利的帳號時，該用戶就可以執(zhí)行與該權(quán)利相關(guān)的任務(wù)。 下面列出了用戶的特定權(quán)利： Access this computer from network 可使用戶通過網(wǎng)絡(luò)訪問該計算機。 Add workstation to a domain 允許用戶將工作站添加到域中。 Backup files and directories

29、 授權(quán)用戶對計算機的文件和目錄進行備份。 Change the system time 用戶可以設(shè)置計算機的系統(tǒng)時鐘。 Load and unload device drive 允許用戶在網(wǎng)絡(luò)上安裝和刪除設(shè)備的驅(qū)動程序。 Restore files and directories 允許用戶恢復以前備份的文件和目錄。 Shutdown the system 允許用戶關(guān)閉系統(tǒng)。,Windows系統(tǒng)的用戶權(quán)限,權(quán)限適用于對特定對象如目錄和文件（只適用于NTFS卷）的操作，指定允許哪些用戶可以使用這些對象，以及如何使用（如把某個目錄的訪問權(quán)限授予指定的用戶）。權(quán)限分為目錄權(quán)限和文件權(quán)限，每一個權(quán)級別都

30、確定了一個執(zhí)行特定的任務(wù)組合的能力，這些任務(wù)是：Read(R)、Execute(X)、Write(W)、Delete(D)、Set Permission(P)和Take Ownership(O)。下表顯示了這些任務(wù)是如何與各種權(quán)限級別相關(guān)聯(lián)的。,Windows系統(tǒng)的用戶權(quán)限關(guān)聯(lián)表一,如果對目錄有Execute(X)權(quán)限，表示可以穿越目錄，進入其子目。,Windows系統(tǒng)的用戶權(quán)限關(guān)聯(lián)表二,Windows系統(tǒng)的共享權(quán)限,共享只適用于文件夾（目錄），如果文件夾不是共享的，那么在網(wǎng)絡(luò)上就不會有用戶看到它，也就更不能訪問。網(wǎng)絡(luò)上的絕大多數(shù)服務(wù)器主要用于存放可被網(wǎng)絡(luò)用戶訪問的文件和目錄，要使網(wǎng)絡(luò)用戶可以

31、訪問在NT Server服務(wù)器上的文件和目錄，必須首先對它建立共享。共享權(quán)限建立了通過網(wǎng)絡(luò)對共享目錄訪問的最高級別。,Windows系統(tǒng)的共享權(quán)限列表,5.Windows的系統(tǒng)服務(wù),單擊“開始”，指向“設(shè)置”，然后單擊“控制面板”。雙擊“管理工具”，然后雙擊“服務(wù)”。在列表框中顯示的是系統(tǒng)可以使用的服務(wù)。 Windows 2k下可以在命令行中輸入services.msc打開服務(wù)列表。,服務(wù)類型,服務(wù)包括三種啟動類型：自動，手動，已禁用。 自動-Windows 2000啟動的時候自動加載服務(wù) 手動-Windows 2000啟動的時候不自動加載服務(wù)，在需要的時候手動開啟 已禁用-Windows 2

32、000啟動的時候不自動加載服務(wù)，在需要的時候選擇手動或者自動方式開啟服務(wù)，并重新啟動電腦完成服務(wù)的配置雙擊需要進行配置的服務(wù)，出現(xiàn)下圖所示的屬性對話框：,系統(tǒng)服務(wù)在注冊表下的設(shè)置,在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetService 底下每一筆服務(wù)項目子項都有一個Start 數(shù)值, 這個數(shù)值的內(nèi)容依照每一個服務(wù)項目的狀況而又有不同。Start 數(shù)值內(nèi)容所記錄的就是服務(wù)項目驅(qū)動程式該在何時被加載。 目前微軟對Start 內(nèi)容的定義有0、1、2、3、4 等五種狀態(tài), 0、1、2 分別代表Boot、System、Auto Load 等叁種意義。而Star

33、t 數(shù)值內(nèi)容為3 的服務(wù)項目代表讓使用者以手動的方式載入(Load on demand), 4 則是代表停用的狀態(tài), 也就是禁用。,6.Windows的系統(tǒng)進程,基本的系統(tǒng)進程 smss.exe Session Manager csrss.exe 子系統(tǒng)服務(wù)器進程 winlogon.exe 管理用戶登錄 services.exe 包含很多系統(tǒng)服務(wù) lsass.exe 管理IP 安全策略以及啟動ISAKMP/Oakley (IKE) 和IP 安全驅(qū)動程序。(系統(tǒng)服務(wù)) svchost.exe 包含很多系統(tǒng)服務(wù) spoolsv.exe將文件加載到內(nèi)存中以便遲后打印。(系統(tǒng)服務(wù)) explorer.

34、exe 資源管理器 internat.exe 輸入法,附加的系統(tǒng)進程（這些進程不是必要的） mstask.exe 允許程序在指定時間運行。(系統(tǒng)服務(wù)) regsvc.exe 允許遠程注冊表操作。(系統(tǒng)服務(wù)) winmgmt.exe 提供系統(tǒng)管理信息(系統(tǒng)服務(wù))。 inetinfo.exe 通過Internet 信息服務(wù)的管理單元提供FTP 連接和管理。(系統(tǒng)服務(wù)) tlntsvr.exe 允許遠程用戶登錄到系統(tǒng)并且使用命令行運行控制臺程序。(系統(tǒng)服務(wù)) termsrv.exe 提供多會話環(huán)境允許客戶端設(shè)備訪問虛擬的Windows 2000 Professional 桌面會話以及運行在服務(wù)器上的

35、基于Windows 的程序。(系統(tǒng)服務(wù)) dns.exe 應(yīng)答對域名系統(tǒng)(DNS)名稱的查詢和更新請求。(系統(tǒng)服務(wù)) tcpsvcs.exe 提供在PXE 可遠程啟動客戶計算機上遠程安裝Windows 2000 Professional 的能力。(系統(tǒng)服務(wù)) ismserv.exe 允許在Windows Advanced Server 站點間發(fā)送和接收消息。(系統(tǒng)服務(wù)),ups.exe 管理連接到計算機的不間斷電源(UPS)。(系統(tǒng)服務(wù)) wins.exe 為注冊和解析NetBIOS 型名稱的TCP/IP 客戶提供NetBIOS 名稱服務(wù)。(系統(tǒng)服務(wù)) llssrv.exe License L

36、ogging Service(system service) ntfrs.exe 在多個服務(wù)器間維護文件目錄內(nèi)容的文件同步。(系統(tǒng)服務(wù)) RsSub.exe 控制用來遠程儲存數(shù)據(jù)的媒體。(系統(tǒng)服務(wù)) locator.exe 管理RPC 名稱服務(wù)數(shù)據(jù)庫。(系統(tǒng)服務(wù)) lserver.exe 注冊客戶端許可證。(系統(tǒng)服務(wù)) dfssvc.exe 管理分布于局域網(wǎng)或廣域網(wǎng)的邏輯卷。(系統(tǒng)服務(wù)) clipsrv.exe 支持“剪貼簿查看器”，以便可以從遠程剪貼簿查閱剪貼頁面。(系統(tǒng)服務(wù)) msdtc.exe 并列事務(wù)，是分布于兩個以上的數(shù)據(jù)庫，消息隊列，文件系統(tǒng)，或其它事務(wù)保護資源管理器。(系統(tǒng)服務(wù))

37、 faxsvc.exe 幫助您發(fā)送和接收傳真。(系統(tǒng)服務(wù)) cisvc.exe Indexing Service(system service) dmadmin.exe 磁盤管理請求的系統(tǒng)管理服務(wù)。(系統(tǒng)服務(wù)) mnmsrvc.exe 允許有權(quán)限的用戶使用NetMeeting 遠程訪問Windows 桌面。(系統(tǒng)服務(wù)) netdde.exe提供動態(tài)數(shù)據(jù)交換(DDE) 的網(wǎng)絡(luò)傳輸和安全特性。(系統(tǒng)服務(wù)),smlogsvc.exe配置性能日志和警報。(系統(tǒng)服務(wù)) rsvp.exe為依賴質(zhì)量服務(wù)(QoS)的程序和控制應(yīng)用程序提供網(wǎng)絡(luò)信號和本地通信控制安裝功能。(系統(tǒng)服務(wù)) RsEng.exe協(xié)調(diào)用來

38、儲存不常用數(shù)據(jù)的服務(wù)和管理工具。(系統(tǒng)服務(wù)) RsFsa.exe管理遠程儲存的文件的操作。(系統(tǒng)服務(wù)) grovel.exe 掃描零備份存儲(SIS)卷上的重復文件，并且將重復文件指向一個數(shù)據(jù)存儲點，以節(jié)省磁盤空間。(系統(tǒng)服務(wù)) SCardSvr.exe 對插入在計算機智能卡閱讀器中的智能卡進行管理和訪問控制。(系統(tǒng)服務(wù)) snmp.exe 包含代理程序可以監(jiān)視網(wǎng)絡(luò)設(shè)備的活動并且向網(wǎng)絡(luò)控制臺工作站匯報。(系統(tǒng)服務(wù)) snmptrap.exe 接收由本地或遠程SNMP 代理程序產(chǎn)生的陷阱消息，然后將消息傳遞到運行在這臺計算機上SNMP 管理程序。(系統(tǒng)服務(wù)) UtilMan.exe 從一個窗口中

39、啟動和配置輔助工具。(系統(tǒng)服務(wù)) msiexec.exe 依據(jù).MSI 文件中包含的命令來安裝、修復以及刪除軟件。(系統(tǒng)服務(wù)),Windows的Log系統(tǒng),Windows有三種類型的事件日志： 系統(tǒng)日志跟蹤各種各樣的系統(tǒng)事件，比如跟蹤系統(tǒng)啟動過程中的事件或者硬件和控制器的故障。 應(yīng)用程序日志跟蹤應(yīng)用程序關(guān)聯(lián)的事件，比如應(yīng)用程序產(chǎn)生的象裝載DLL（動態(tài)鏈接庫）失敗的信息將出現(xiàn)在日志中。 安全日志跟蹤事件如登錄上網(wǎng)、下網(wǎng)、改變訪問權(quán)限以及系統(tǒng)啟動和關(guān)閉。注意：安全日志的默認狀態(tài)是關(guān)閉的。,Windows2000下本地安全策略-審核策略中打開相應(yīng)的審核 推薦的審核是： 賬戶管理 成功失敗 登錄事件

40、成功失敗 對象訪問 失敗 策略更改 成功失敗 特權(quán)使用 失敗 系統(tǒng)事件 成功失敗 目錄服務(wù)訪問 失敗 賬戶登錄事件 成功失敗,一款不錯的安全工具FPORT,系統(tǒng)自帶netstat查看機器開放的端口，也可以任務(wù)管理器來查看當前機器的進程，但是這兩個東西都有自身的缺點，由于netstat由于設(shè)計的原因很多開放的端口無法查出，而使用任務(wù)管理器的時候只能查看到進程的名字，如果一個惡意的攻擊者把木馬命名為svchost.exe,dllhost.exe，這樣就能很好麻痹一些管理員，由于這些文件可能在一臺web服務(wù)器上存在多個進程，然后給這個木馬定義一個很象RPC的端口，不仔細查真的很難查找得到，F(xiàn)PORT

41、就彌補了netstat和taskbar的不足 該軟件可以得到所有端口對應(yīng)的文件有完整的路徑名，可以避免有些木馬程序使用系統(tǒng)服務(wù)的文件名，而將其放在非系統(tǒng)目錄，無法在Task Manager里察覺，這個時候FPort的優(yōu)勢就體體現(xiàn)出來了.,FPORT的運行示例,安全配置方案初級篇,安全配置方案初級篇主要介紹常規(guī)的操作系統(tǒng)安全配置，包括十二條基本配置原則： 物理安全、停止Guest帳號、限制用戶數(shù)量 創(chuàng)建多個管理員帳號、管理員帳號改名 陷阱帳號、更改默認權(quán)限、設(shè)置安全密碼 屏幕保護密碼、使用NTFS分區(qū) 運行防毒軟件和確保備份盤安全。,1、物理安全,服務(wù)器應(yīng)該安放在安裝了監(jiān)視器的隔離房間內(nèi)，并且監(jiān)

42、視器要保留15天以上的攝像記錄。 另外，機箱，鍵盤，電腦桌抽屜要上鎖，以確保旁人即使進入房間也無法使用電腦，鑰匙要放在安全的地方。,2、停止Guest帳號,在計算機管理的用戶里面把Guest帳號停用，任何時候都不允許Guest帳號登陸系統(tǒng)。 為了保險起見，最好給Guest 加一個復雜的密碼，可以打開記事本，在里面輸入一串包含特殊字符,數(shù)字，字母的長字符串。 用它作為Guest帳號的密碼。并且修改Guest帳號的屬性，設(shè)置拒絕遠程訪問，如圖所示。,3 限制用戶數(shù)量,去掉所有的測試帳戶、共享帳號和普通部門帳號等等。用戶組策略設(shè)置相應(yīng)權(quán)限，并且經(jīng)常檢查系統(tǒng)的帳戶，刪除已經(jīng)不使用的帳戶。 帳戶很多是黑

43、客們?nèi)肭窒到y(tǒng)的突破口，系統(tǒng)的帳戶越多，黑客們得到合法用戶的權(quán)限可能性一般也就越大。 對于Windows NT/2000主機，如果系統(tǒng)帳戶超過10個，一般能找出一兩個弱口令帳戶，所以帳戶數(shù)量不要大于10個。,4 多個管理員帳號,雖然這點看上去和上面有些矛盾，但事實上是服從上面規(guī)則的。創(chuàng)建一個一般用戶權(quán)限帳號用來處理電子郵件以及處理一些日常事物，另一個擁有Administrator權(quán)限的帳戶只在需要的時候使用。 因為只要登錄系統(tǒng)以后，密碼就存儲再WinLogon進程中，當有其他用戶入侵計算機的時候就可以得到登錄用戶的密碼，盡量減少Administrator登錄的次數(shù)和時間。,5 管理員帳號改名,W

44、indows 2000中的Administrator帳號是不能被停用的，這意味著別人可以一遍又一邊的嘗試這個帳戶的密碼。把Administrator帳戶改名可以有效的防止這一點。 不要使用Admin之類的名字，改了等于沒改，盡量把它偽裝成普通用戶，比如改成：guestone。具體操作的時候只要選中帳戶名改名就可以了，如圖所示。,6 陷阱帳號,所謂的陷阱帳號是創(chuàng)建一個名為“Administrator”的本地帳戶，把它的權(quán)限設(shè)置成最低，什么事也干不了的那種，并且加上一個超過10位的超級復雜密碼。 這樣可以讓那些企圖入侵者忙上一段時間了，并且可以借此發(fā)現(xiàn)它們的入侵企圖。可以將該用戶隸屬的組修改成Gu

45、ests組，如圖所示。,7 更改默認權(quán)限,共享文件的權(quán)限從“Everyone”組改成“授權(quán)用戶”?！癊veryone”在Windows 2000中意味著任何有權(quán)進入你的網(wǎng)絡(luò)的用戶都能夠獲得這些共享資料。 任何時候不要把共享文件的用戶設(shè)置成“Everyone”組。包括打印共享，默認的屬性就是“Everyone”組的，一定不要忘了改。設(shè)置某文件夾共享默認設(shè)置如圖所示。,8安全密碼,好的密碼對于一個網(wǎng)絡(luò)是非常重要的，但是也是最容易被忽略的。 一些網(wǎng)絡(luò)管理員創(chuàng)建帳號的時候往往用公司名，計算機名，或者一些別的一猜就到的字符做用戶名，然后又把這些帳戶的密碼設(shè)置得比較簡單，比如：“welcome”、“ilo

46、veyou”、“l(fā)etmein”或者和用戶名相同的密碼等。這樣的帳戶應(yīng)該要求用戶首此登陸的時候更改成復雜的密碼，還要注意經(jīng)常更改密碼。 這里給好密碼下了個定義：安全期內(nèi)無法破解出來的密碼就是好密碼，也就是說，如果得到了密碼文檔，必須花43天或者更長的時間才能破解出來，密碼策略是42天必須改密碼。,9屏幕保護密碼,設(shè)置屏幕保護密碼是防止內(nèi)部人員破壞服務(wù)器的一個屏障。注意不要使用OpenGL和一些復雜的屏幕保護程序，浪費系統(tǒng)資源，黑屏就可以了。 還有一點，所有系統(tǒng)用戶所使用的機器也最好加上屏幕保護密碼。 將屏幕保護的選項“密碼保護”選中就可以了，并將等待時間設(shè)置為最短時間“1秒”，如圖所示。,10

47、 NTFS分區(qū),把服務(wù)器的所有分區(qū)都改成NTFS格式。NTFS文件系統(tǒng)要比FAT、FAT32的文件系統(tǒng)安全得多。,11防毒軟件,Windows 2000/NT服務(wù)器一般都沒有安裝防毒軟件的，一些好的殺毒軟件不僅能殺掉一些著名的病毒，還能查殺大量木馬和后門程序。 設(shè)置了放毒軟件，“黑客”們使用的那些有名的木馬就毫無用武之地了，并且要經(jīng)常升級病毒庫。,12備份盤的安全,一旦系統(tǒng)資料被黑客破壞，備份盤將是恢復資料的唯一途徑。備份完資料后，把備份盤防在安全的地方。 不能把資料備份在同一臺服務(wù)器上，這樣的話還不如不要備份。,安全配置方案中級篇,安全配置方案中級篇主要介紹操作系統(tǒng)的安全策略配置，包括十條基

48、本配置原則： 操作系統(tǒng)安全策略、關(guān)閉不必要的服務(wù) 關(guān)閉不必要的端口、開啟審核策略 開啟密碼策略、開啟帳戶策略、備份敏感文件 不顯示上次登陸名、禁止建立空連接和下載最新的補丁,1 操作系統(tǒng)安全策略,利用Windows 2000的安全配置工具來配置安全策略，微軟提供了一套的基于管理控制臺的安全配置和分析工具，可以配置服務(wù)器的安全策略。 在管理工具中可以找到“本地安全策略”，主界面如圖所示。 可以配置四類安全策略：帳戶策略、本地策略、公鑰策略和IP安全策略。在默認的情況下，這些策略都是沒有開啟的。,2 關(guān)閉不必要的服務(wù),Windows 2000的Terminal Services（終端服務(wù)）和IIS

49、（Internet 信息服務(wù)）等都可能給系統(tǒng)帶來安全漏洞。 為了能夠在遠程方便的管理服務(wù)器，很多機器的終端服務(wù)都是開著的，如果開了，要確認已經(jīng)正確的配置了終端服務(wù)。 有些惡意的程序也能以服務(wù)方式悄悄的運行服務(wù)器上的終端服務(wù)。要留意服務(wù)器上開啟的所有服務(wù)并每天檢查。 Windows 2000作為服務(wù)器可禁用的服務(wù)及其相關(guān)說明下表所示。,Windows2000可禁用的服務(wù),3 關(guān)閉不必要的端口,關(guān)閉端口意味著減少功能，如果服務(wù)器安裝在防火墻的后面，被入侵的機會就會少一些，但是不可以認為高枕無憂了。 用端口掃描器掃描系統(tǒng)所開放的端口，在Winntsystem32driversetcservices文

50、件中有知名端口和服務(wù)的對照表可供參考。該文件用記事本打開如圖所示。,設(shè)置本機開放的端口和服務(wù)，在IP地址設(shè)置窗口中點擊按鈕“高級”，如圖所示。,在出現(xiàn)的對話框中選擇選項卡“選項”，選中“TCP/IP篩選”，點擊按鈕“屬性”，如圖所示。,設(shè)置端口界面如圖所示。 一臺Web服務(wù)器只允許TCP的80端口通過就可以了。TCP/IP篩選器是Windows自帶的防火墻，功能比較強大，可以替代防火墻的部分功能。,4 開啟審核策略,安全審核是Windows 2000最基本的入侵檢測方法。當有人嘗試對系統(tǒng)進行某種方式（如嘗試用戶密碼，改變帳戶策略和未經(jīng)許可的文件訪問等等）入侵的時候，都會被安全審核記錄下來。 很

51、多的管理員在系統(tǒng)被入侵了幾個月都不知道，直到系統(tǒng)遭到破壞。下表的這些審核是必須開啟的，其他的可以根據(jù)需要增加。,審核策略默認設(shè)置,審核策略在默認的情況下都是沒有開啟的，如圖所示。,雙擊審核列表的某一項，出現(xiàn)設(shè)置對話框，將復選框“成功”和“失敗”都選中，如圖所示。,5 開啟密碼策略,密碼對系統(tǒng)安全非常重要。本地安全設(shè)置中的密碼策略在默認的情況下都沒有開啟。需要開啟的密碼策略如表所示,設(shè)置選項如圖所示。,6 開啟帳戶策略,開啟帳戶策略可以有效的防止字典式攻擊，設(shè)置如表所示。,設(shè)置帳戶策略,設(shè)置的結(jié)果如圖所示。,7 備份敏感文件,把敏感文件存放在另外的文件服務(wù)器中，雖然服務(wù)器的硬盤容量都很大，但是還

52、是應(yīng)該考慮把一些重要的用戶數(shù)據(jù)（文件，數(shù)據(jù)表和項目文件等）存放在另外一個安全的服務(wù)器中，并且經(jīng)常備份它們,8 不顯示上次登錄名,默認情況下，終端服務(wù)接入服務(wù)器時，登陸對話框中會顯示上次登陸的帳戶名，本地的登陸對話框也是一樣。黑客們可以得到系統(tǒng)的一些用戶名，進而做密碼猜測。 修改注冊表禁止顯示上次登錄名，在HKEY_LOCAL_MACHINE主鍵下修改子鍵： SoftwareMicrosoftWindowsNTCurrentVersionWinlogonDontDisplayLastUserName，將鍵值改成1，如圖所示。,9 禁止建立空連接,默認情況下，任何用戶通過空連接連上服務(wù)器，進而可以

53、枚舉出帳號，猜測密碼。 可以通過修改注冊表來禁止建立空連接。在HKEY_LOCAL_MACHINE主鍵下修改子鍵： SystemCurrentControlSetControlLSARestrictAnonymous，將鍵值改成“1”即可。如圖所示。,10 下載最新的補丁,很多網(wǎng)絡(luò)管理員沒有訪問安全站點的習慣，以至于一些漏洞都出了很久了，還放著服務(wù)器的漏洞不補給人家當靶子用。 誰也不敢保證數(shù)百萬行以上代碼的Windows 2000不出一點安全漏洞。 經(jīng)常訪問微軟和一些安全站點，下載最新的Service Pack和漏洞補丁，是保障服務(wù)器長久安全的唯一方法。,安全配置方案高級篇,高級篇介紹操作系統(tǒng)

54、安全信息通信配置，包括十四條配置原則： 關(guān)閉DirectDraw、關(guān)閉默認共享 禁用Dump File、文件加密系統(tǒng) 加密Temp文件夾、鎖住注冊表、關(guān)機時清除文件 禁止軟盤光盤啟動、使用智能卡、使用IPSec 禁止判斷主機類型、抵抗DDOS 禁止Guest訪問日志和數(shù)據(jù)恢復軟件,1 關(guān)閉DirectDraw,C2級安全標準對視頻卡和內(nèi)存有要求。關(guān)閉DirectDraw可能對一些需要用到DirectX的程序有影響（比如游戲），但是對于絕大多數(shù)的商業(yè)站點都是沒有影響的。 在HKEY_LOCAL_MACHINE主鍵下修改子鍵： SYSTEMCurrentControlSetControlGraph

55、icsDriversDCITimeout，將鍵值改為“0”即可，如圖所示。,2 關(guān)閉默認共享,Windows 2000安裝以后，系統(tǒng)會創(chuàng)建一些隱藏的共享，可以在DOS提示符下輸入命令Net Share 查看，如圖所示。,停止默認共享,禁止這些共享，打開管理工具計算機管理共享文件夾共享，在相應(yīng)的共享文件夾上按右鍵，點停止共享即可，如圖所示。,3 禁用Dump文件,在系統(tǒng)崩潰和藍屏的時候，Dump文件是一份很有用資料，可以幫助查找問題。然而，也能夠給黑客提供一些敏感信息，比如一些應(yīng)用程序的密碼等 需要禁止它，打開控制面板系統(tǒng)屬性高級啟動和故障恢復，把寫入調(diào)試信息改成無，如圖所示。,4 文件加密系統(tǒng)

56、,Windows2000強大的加密系統(tǒng)能夠給磁盤，文件夾，文件加上一層安全保護。這樣可以防止別人把你的硬盤掛到別的機器上以讀出里面的數(shù)據(jù)。 微軟公司為了彌補Windows NT 4.0的不足，在Windows 2000中，提供了一種基于新一代NTFS：NTFS V5（第5版本）的加密文件系統(tǒng)（Encrypted File System，簡稱EFS）。 EFS實現(xiàn)的是一種基于公共密鑰的數(shù)據(jù)加密方式，利用了Windows 2000中的CryptoAPI結(jié)構(gòu)。,5 加密Temp文件夾,一些應(yīng)用程序在安裝和升級的時候，會把一些東西拷貝到Temp文件夾，但是當程序升級完畢或關(guān)閉的時候，并不會自己清除Te

57、mp文件夾的內(nèi)容。 所以，給Temp文件夾加密可以給你的文件多一層保護。,6 鎖住注冊表,在Windows2000中，只有Administrators和Backup Operators才有從網(wǎng)絡(luò)上訪問注冊表的權(quán)限。當帳號的密碼泄漏以后，黑客也可以在遠程訪問注冊表，當服務(wù)器放到網(wǎng)絡(luò)上的時候，一般需要鎖定注冊表。修改Hkey_current_user下的子鍵 SoftwaremicrosoftwindowscurrentversionPoliciessystem 把DisableRegistryTools的值該為0，類型為DWORD，如圖所示。,7 關(guān)機時清除文件,頁面文件也就是調(diào)度文件，是Win

58、dows 2000用來存儲沒有裝入內(nèi)存的程序和數(shù)據(jù)文件部分的隱藏文件。 一些第三方的程序可以把一些沒有的加密的密碼存在內(nèi)存中，頁面文件中可能含有另外一些敏感的資料。要在關(guān)機的時候清楚頁面文件，可以編輯注冊表 修改主鍵HKEY_LOCAL_MACHINE下的子鍵： SYSTEMCurrentControlSetControlSession ManagerMemory Management 把ClearPageFileAtShutdown的值設(shè)置成1，如圖所示。,8 禁止軟盤光盤啟動,一些第三方的工具能通過引導系統(tǒng)來繞過原有的安全機制。比如一些管理員工具，從軟盤上或者光盤上引導系統(tǒng)以后，就可以修改硬盤上操作系統(tǒng)的管理員密碼。 如果服務(wù)器對安全要求非常高，可以考慮使用可移動軟盤和光驅(qū)，把機箱鎖起來仍然不失為一個好方法。,9 使用智能卡,對于密碼，總是使安全管理員進退兩難，容易受到一些工具的攻擊，如果密碼太復雜，用戶把為了記住密碼，會把密碼到處亂寫。 如果條件允許，用智能卡來代替復雜的密碼是一個很好的解決方法。,10 使用IPSec,正如其名字的含義，IPSec提供IP數(shù)據(jù)包的安全性。 IPSec提供身份驗證、完整性和可選擇的機密性