2章同感安企底影與意 41
U可以對V進行什么樣的訪問。權限可以是下面目錄級安全控制中所述8種訪問權限的組
合。8種訪問權限組合起來共有256種權限，我們可以用0=255之間的一個數(shù)來表示其中
種訪問權限。
企業(yè)內部網應允許控制用戶對目錄、子目錄、文件、設備的訪問。用戶在目錄一級指定的
權限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的文件和子目錄的權限。對目
錄和文件的訪問控制權限一般有8種:系統(tǒng)管理員權限( Supervisor)、讀權限(Read)、寫權限
(wite)、創(chuàng)建權限( Create)、除權限( Erase)、修改權限( Modify)、文件查找權限( File Scan)、
存取控制權限( Access Control)。用戶對文件或目錄的有效權限取決于以下3個因素:用戶的
受托者指派、用戶所在組的受托者指派、繼承權限屏蔽取消的用戶權限。一個企業(yè)內部網系統(tǒng)
管理員應當為用戶指定適當?shù)脑L問權限，這些訪問權限控制著用戶對服務器的訪問。8種訪
問權限的有效組合可以讓用戶有效完成工作，同時又能有效控制用戶對服務器資源的訪問，從
而加強了企業(yè)內部網和服務器的安全性。に。題
用于文件、目錄、子目錄和往企業(yè)內部網設備。企業(yè)內部網系統(tǒng)管理員可給文件、目錄等
指定訪問屬性。屬性安全控制可以將給定的屬性與企業(yè)內部網服務器的文件、目錄和企業(yè)內
部網設備聯(lián)系起來。屬性安全性在權限安全性的基礎上提供更進一步的安全性，企業(yè)內部網
上的資源都應預先標出一組安全屬性。用戶對企業(yè)內部網資源的訪問權限對應二張訪問控制
表，用以表明用戶對企業(yè)內部網資源的訪問能力，屬性設置可以種蓋已經指定的住何受托指派
者指派和有效權限。屬性往往能控制以下幾個方面的權限:向某個文件寫數(shù)據(jù)、持貝一個文
件、刪除目錄或文件，查看目錄和文件、執(zhí)行文件、隱含文件，共享系統(tǒng)屬性等。企業(yè)內部網的
屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刷除、修改、執(zhí)行、顯示等。
企業(yè)內部網允許在服務器控制臺上執(zhí)行“系列的操作。用戶使用控制臺可以裝載和卸載
模塊，可以安裝和刷除軟件等操作。企業(yè)內部網服務器的安全控制包括可以設置口令鎖定服
務器控制臺，從而防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設定服務器登錄時間限
制、非法訪問者檢測和關閉時間間隔。
企業(yè)內部網管理者應對企業(yè)內部網實施監(jiān)控，服務器應記錄用戶對企業(yè)內部網資源的訪
問。對非法的企業(yè)內部網訪問，服務器應以圖形或文字或聲音等形式報警，以引起企業(yè)內部網
進入企業(yè)內部網的次數(shù)，如果非法訪問的次數(shù)達到設定的次數(shù)時，該賬戶將被自動鎖定。管理員的注意。如果不法之徒試圖進入企業(yè)內部網，企業(yè)內部網服務器會自動記錄企圖嘗試
企業(yè)內部網中服務器的端口往往用自動回呼設備、靜默調制解調器保護，以加密的形式來
自動按號程序對計算機進行攻擊。企業(yè)內部網中還常對服務器端和用戶端均采取控制，用戶 識別節(jié)點的身份。自動回呼設備用于防止假冒合法用戶，靜默調制解調器用以防止“黑客”的
必須帶驗證身份的驗證器(如智能卡、磁卡、安全密碼發(fā)生器等)對用戶的身份進行驗證后
オ能進入用戶端，用戶端和服務器端再進行相互驗證。
2.3.2企業(yè)內部網對外部的訪回控制T/ ewobni p is
向控制可以在OsS模型的物理層、數(shù)據(jù)鏈路層、企業(yè)內部網層、傳輸層和應用層上設置。企業(yè)內部網間的訪問控制比較復雜，根據(jù)OSI企業(yè)內部網安全體系結構，企業(yè)內部網
2章網穿全的與范
采用NT平臺作為服務器的站點越來越多，同時，許多企業(yè)已經采用NT平臺作為企業(yè)計算
各項服務和內部網 Intranet的解決方案的基礎。あ空が
但是，既然 Windows NT服務器位于網絡中，特別是在連接到 Internet上以后，面對著各
種攻擊，系統(tǒng)的安全問題變得尤其重要。而作為新一代操作系統(tǒng)的NT，則在系統(tǒng)的安全性方
面遠遠超過了 Wndows95、DOS等操作系統(tǒng)，但是，NT也存在著不少的安全漏洞，如果對這些
漏洞不了解，不采取相應的對策和防范措施，就會使你的系統(tǒng)完全暴露在入侵者的人侵范圍之
內，隨時有可能遭受毀滅性的攻擊。 raoui Xi
因此，在使用NT操作系統(tǒng)時，一定要對你的系統(tǒng)的安全基礎、系統(tǒng)特性和安全策略有二
定的了解，這樣才能降低遭受入侵者攻擊的風險。高た2oaiW1
由本節(jié)將著重介紹 Windows NT系統(tǒng)的系統(tǒng)安全問題及 Windows NT服務器在 Internet中
的網絡安全問題。國や音將來
2.4.1 Windows NT安全基出建法高無空回直國圖 的明
料不同于 Windows95操作系統(tǒng)， Windows NT操作系統(tǒng)在其設計的初期就把網絡連接安
全和審核報告作為操作系統(tǒng)的核心功能之一。可以說， Windows NT操作系統(tǒng)就是建立在二
整套完整的安全機制上的。
共但是，那種認為安裝上 Windows NT操作系統(tǒng)后就萬事大吉的想法是很天真的。因為操
作系統(tǒng)本身并不能夠自己解決安全問題，只有在制定精細的安全策略并進行正確的配置和進
行對象訪問控制后，我們才能用NT來構造一個高度安全的系統(tǒng)。只.
下面將著重介紹 Windows NT的安全基礎知識，以便使讀者能夠體會 Windows NT的基
本安全機制，有利于制定合理的安全策略?；氐拇嬲嬷蠺/ evonik追。，E
向24，1.1 Windows NT安全概述中 的。示單的存的養(yǎng)密的中
個_ Windows NT的資源的管理完全由經過授權的管理員來進行。系統(tǒng)管理員可以根據(jù)這些
資源對用戶的使用權限進行定義，并且可以從網上任何站點遠程登錄進行管理。從系統(tǒng)管理
員的角度來看， Windows NT提供了極為方便的系統(tǒng)管理工具來幫助系統(tǒng)管理員對系統(tǒng)進行
管理和維護: 是蒙口中只
(1)系統(tǒng)管理員可以控制部分用戶有訪問網絡資源的權力。這些資源包括文件目錄、服務
器、打印機和應用軟件。權限是定義在每個資源上的，可以從任何一個地點集中管理。
(2)系統(tǒng)管理員可以對用戶賬號進行集中管理。管理員可以通過易用的圖形工具指定組
成員、登錄時間、賬戶期限和其他的用戶賬戶參數(shù)
(3)系統(tǒng)管理員還可以審計所有與安全有關的事件，如用戶訪問文件、目錄、打印機和其它
資源以及登錄嘗試等等。如果用戶登錄失敗的次數(shù)超過指定的次數(shù)，系統(tǒng)可以將用戶賬戶鎖
定。管理員可以強制密碼使用期限，設置復雜性規(guī)則，強制用戶使用不易被破壞的密碼。要
從用戶的角度來看， Windows NT的安全性是完整而又易用的。用戶只需經過簡單的密
碼登錄過程就可以訪問所有已經授權的網絡資源，這個過程對用戶是不可見的，而且用戶對外
可以定義自己所擁有資源的訪問權限。量00面，中309主
Windows NT Server只允許經授權的進程訪問數(shù)據(jù)，而不管這些數(shù)據(jù)是在內存中還是在
本文地址：http://m.impossable.com//article/3728.html
