網(wǎng)絡(luò)服務(wù)器的訪問(wèn)控制方法研究

摘要：網(wǎng)絡(luò)服務(wù)器是網(wǎng)絡(luò)中用于存儲(chǔ)共享資源的站點(diǎn)，同時(shí)也承擔(dān)著管理網(wǎng)絡(luò)資源、維護(hù)資源子網(wǎng)的責(zé)任。保護(hù)網(wǎng)絡(luò)服務(wù)器的安全，保證網(wǎng)絡(luò)共享資源不被非法使用和非法訪問(wèn)是網(wǎng)絡(luò)安全工作的最主要的任務(wù)。本文將結(jié)合Windows操作系統(tǒng)來(lái)說(shuō)明各種服務(wù)器訪問(wèn)控制策略。

關(guān)鍵詞：網(wǎng)絡(luò)服務(wù)器；訪問(wèn)控制方法；用戶(hù)權(quán)限控制；訪問(wèn)控制表

中圖分類(lèi)號(hào)：TP302 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007-9599 （2012） 17-0000-02

網(wǎng)絡(luò)服務(wù)器訪問(wèn)控制是直接運(yùn)用于網(wǎng)絡(luò)服務(wù)器上的網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要措施。在各種保護(hù)安全策略中，服務(wù)器的訪問(wèn)控制是重要的核心策略之一。

1 訪問(wèn)控制和賬戶(hù)管理

1.1 基本的訪問(wèn)控制方法。在各種網(wǎng)絡(luò)訪問(wèn)控制方法中，入網(wǎng)訪問(wèn)控制是第一層訪問(wèn)控制。它控制哪些用戶(hù)能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，控制用戶(hù)入網(wǎng)的時(shí)間和在哪臺(tái)工作站入網(wǎng)。用戶(hù)登錄控制可分為3個(gè)方面：用戶(hù)名的識(shí)別與驗(yàn)證、用戶(hù)口令的識(shí)別與驗(yàn)證、用戶(hù)賬號(hào)的默認(rèn)限制檢查。用戶(hù)只有通過(guò)了這3方面的檢查，才能進(jìn)入該網(wǎng)絡(luò)。

用戶(hù)名或用戶(hù)賬號(hào)是所有計(jì)算機(jī)系統(tǒng)中最基本的安全形式，只有系統(tǒng)管理員才能建立。用戶(hù)登錄時(shí)首先輸入用戶(hù)名和口令，服務(wù)器將驗(yàn)證所輸入的用戶(hù)名是否合法。如果驗(yàn)證合法，才繼續(xù)驗(yàn)證用戶(hù)輸入的口令，否則，用戶(hù)將被拒絕登錄。用戶(hù)的口令是用戶(hù)入網(wǎng)的關(guān)鍵，必須經(jīng)過(guò)加密，即使是系統(tǒng)管理員也難以得到它。用戶(hù)還可采用一次性用戶(hù)口令，也可用便攜式驗(yàn)證器（如智能卡）來(lái)驗(yàn)證用戶(hù)的身份。

操作系統(tǒng)將用戶(hù)的標(biāo)識(shí)記錄在一個(gè)用戶(hù)賬戶(hù)中，將用戶(hù)在系統(tǒng)中能做或不能做什么的信息全都收集在一起，僅當(dāng)用戶(hù)能給出正確的口令才能得到賬戶(hù)下的系統(tǒng)服務(wù)。網(wǎng)絡(luò)應(yīng)能控制用戶(hù)登錄入網(wǎng)的站點(diǎn)、限制用戶(hù)入網(wǎng)的時(shí)間、限制用戶(hù)入網(wǎng)的工作站數(shù)量。當(dāng)用戶(hù)對(duì)交費(fèi)網(wǎng)絡(luò)的訪問(wèn)“資費(fèi)”用盡時(shí)，網(wǎng)絡(luò)還應(yīng)能對(duì)用戶(hù)的賬號(hào)加以限制，用戶(hù)此時(shí)應(yīng)無(wú)法進(jìn)入網(wǎng)絡(luò)訪問(wèn)網(wǎng)絡(luò)資源。網(wǎng)絡(luò)應(yīng)對(duì)所有用戶(hù)的訪問(wèn)進(jìn)行審計(jì)，如果多次輸入口令不正確，則認(rèn)為是非法用戶(hù)的入侵，應(yīng)給出報(bào)警信息。

對(duì)于WindowsNT，除了使用上述基本的訪問(wèn)控制方法外，以域結(jié)構(gòu)的方式組織和管理網(wǎng)絡(luò)中的服務(wù)器資源，一方面使用戶(hù)使用網(wǎng)絡(luò)資源更方便，另一方面又能保障網(wǎng)絡(luò)資源的安全性。

1.2 Windows操作系統(tǒng)的賬戶(hù)安全參數(shù)。Windows操作系統(tǒng)具備一般的賬戶(hù)安全特性，用戶(hù)的賬戶(hù)中記錄著賬戶(hù)所屬的組。組是一系列用戶(hù)的代號(hào)，是一種簡(jiǎn)化網(wǎng)絡(luò)管理的方法，同時(shí)也是簡(jiǎn)化對(duì)目標(biāo)訪問(wèn)的途徑，所以必須對(duì)組進(jìn)行仔細(xì)的計(jì)劃和控制。

Windows操作系統(tǒng)的“賬戶(hù)策略”中有一些與口令控制有關(guān)的策略，這些策略適用于該系統(tǒng)中存儲(chǔ)的所有賬戶(hù)。例如，用戶(hù)可以設(shè)置口令的最短長(zhǎng)度、口令的有效期限、當(dāng)口令失效后是否允許用戶(hù)修改其口令、用戶(hù)是否可以使用以前用過(guò)的口令等。最重要的口令策略是鎖定策略，當(dāng)在一個(gè)指定時(shí)間段內(nèi)提供指定次數(shù)的假口令之后，其賬戶(hù)將被鎖定而無(wú)法再登錄系統(tǒng)。此后按照設(shè)置可以在一段時(shí)間后自動(dòng)解鎖，或由管理員對(duì)賬戶(hù)解鎖。賬戶(hù)的鎖定保護(hù)也適用于遠(yuǎn)程登錄。

賬戶(hù)鎖定策略的唯一例外是管理員賬戶(hù)Administrator永遠(yuǎn)不會(huì)被鎖定，至少在域控制器上如此。因此為了安全考慮，應(yīng)該為其取一個(gè)較長(zhǎng)的、隨機(jī)的好口令，并且僅在特別緊急的時(shí)候使用。平時(shí)，管理員可以用其他的管理賬戶(hù)登錄，進(jìn)行系統(tǒng)的管理，同時(shí)把這些賬戶(hù)設(shè)置為具有鎖定能力。

2 用戶(hù)權(quán)限控制

用戶(hù)權(quán)限是由系統(tǒng)管理員賦予用戶(hù)的特殊屬性。只有當(dāng)用戶(hù)擁有所需要的訪問(wèn)權(quán)限，系統(tǒng)才能滿(mǎn)足用戶(hù)所提出的特殊請(qǐng)求。權(quán)限中大多數(shù)與管理有關(guān)，而許多權(quán)限則僅有操作系統(tǒng)自身可使用。一個(gè)用戶(hù)的權(quán)限可以延伸到用戶(hù)在本地或遠(yuǎn)程會(huì)話過(guò)程中運(yùn)行的所有程序中。

用戶(hù)的權(quán)限控制是針對(duì)網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。權(quán)限控制機(jī)制控制用戶(hù)和用戶(hù)組可以訪問(wèn)哪些目錄、子目錄、文件和其他資源。可以指定用戶(hù)對(duì)這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。權(quán)限控制有兩種實(shí)現(xiàn)方式：受托者指派和繼承權(quán)限屏蔽。受托者指派控制用戶(hù)和用戶(hù)組如何使用網(wǎng)絡(luò)服務(wù)器的目錄、文件和設(shè)備。繼承權(quán)限屏蔽相當(dāng)于一個(gè)過(guò)濾器，可以限制子目錄從父目錄那里繼承哪些權(quán)限要求。操作系統(tǒng)可以根據(jù)訪問(wèn)權(quán)限將用戶(hù)分為以下幾類(lèi)：

2.1 特殊用戶(hù)（即系統(tǒng)管理員）。

2.2 一般用戶(hù)，系統(tǒng)管理員根據(jù)他們的實(shí)際需要為他們分配操作權(quán)限。

2.3 審計(jì)用戶(hù)，負(fù)責(zé)網(wǎng)絡(luò)的安全控制與資源使用情況的審計(jì)。

操作系統(tǒng)有自己的權(quán)限數(shù)據(jù)庫(kù)，其中記錄了在該機(jī)上可以使用的各個(gè)賬戶(hù)的權(quán)限。一個(gè)域賬戶(hù)在一些機(jī)器上有某些權(quán)限，而在另一些機(jī)器上則可能具有其他的權(quán)限。

其中，遠(yuǎn)程登錄和控制本地登錄這兩個(gè)權(quán)限具有特殊的重要性。前者允許一個(gè)用戶(hù)在該系統(tǒng)的鍵盤(pán)上登錄系統(tǒng)，而后者可以在該機(jī)器上建立遠(yuǎn)程會(huì)話。它們可以與域結(jié)構(gòu)和本地匹配賬戶(hù)策略有效地結(jié)合在一起，用于確定在網(wǎng)絡(luò)范圍內(nèi)可以使用哪些賬戶(hù)，使域結(jié)構(gòu)簡(jiǎn)單化。

在用戶(hù)權(quán)限控制的基礎(chǔ)上還可以進(jìn)一步建立屬性安全控制。在提供文件、目錄、設(shè)備等資源時(shí)，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)給文件、目錄等指定訪問(wèn)屬性，形成一組網(wǎng)絡(luò)資源安全屬性。用戶(hù)對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限對(duì)應(yīng)一張?jiān)L問(wèn)控制表，用以表明用戶(hù)對(duì)網(wǎng)絡(luò)資源的訪問(wèn)能力。屬性設(shè)置可以覆蓋已經(jīng)指定的任何受托者指派的有效權(quán)限。屬性往往能控制以下幾個(gè)方面的權(quán)限：向某個(gè)文件寫(xiě)數(shù)據(jù)、復(fù)制一個(gè)文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享系統(tǒng)屬性等。網(wǎng)絡(luò)的屬性可以保護(hù)重要的目錄和文件，防止用戶(hù)對(duì)目錄和文件的誤刪除、修改、顯示等。

3 訪問(wèn)控制表

用戶(hù)權(quán)限控制是針對(duì)訪問(wèn)者建立的安全控制措施，而訪問(wèn)控制表則用于被訪問(wèn)對(duì)象。WindowsNT系統(tǒng)中的每個(gè)數(shù)據(jù)對(duì)象，如一個(gè)用戶(hù)的數(shù)據(jù)文件、一臺(tái)打印機(jī)、一個(gè)系統(tǒng)注冊(cè)表，或者是用戶(hù)不可見(jiàn)的設(shè)備對(duì)象，都可以擁有一個(gè)訪問(wèn)控制表。一個(gè)訪問(wèn)控制表指出誰(shuí)可以用什么方式訪問(wèn)該對(duì)象。通常每個(gè)對(duì)象的訪問(wèn)方式是不同的，但一般有這樣一些類(lèi)型，如讀、寫(xiě)、刪除、更改對(duì)象的訪問(wèn)控制表，或使自己成為對(duì)象的所有者等。如果用戶(hù)創(chuàng)建了一個(gè)對(duì)象，那么用戶(hù)就成為該對(duì)象的所有者，而且可以改變其訪問(wèn)控制表。

每個(gè)目錄的訪問(wèn)控制表含有WindowsNT在創(chuàng)建文件時(shí)所用的默認(rèn)訪問(wèn)控制表。注意修改文件的默認(rèn)訪問(wèn)控制表，否則可能會(huì)出現(xiàn)信息的泄露。例如，某些應(yīng)用程序在與原始文檔相同的目錄下創(chuàng)建了一個(gè)臨時(shí)文件，臨時(shí)文件可能含有原始文檔中的數(shù)據(jù)。多數(shù)應(yīng)用程序都簡(jiǎn)單地采用臨時(shí)文件上的系統(tǒng)默認(rèn)訪問(wèn)控制表。但是如果用戶(hù)對(duì)原始文檔指定了比其默認(rèn)訪問(wèn)控制表更加嚴(yán)格的訪問(wèn)方式，那么臨時(shí)文件的訪問(wèn)方式就顯得寬松了，有可能會(huì)泄露數(shù)據(jù)信息。更加嚴(yán)重的是，有些程序在編輯和保存文檔時(shí)，會(huì)建立一個(gè)全新的文件，并且使用系統(tǒng)默認(rèn)的訪問(wèn)控制表，這時(shí)如果用戶(hù)改變過(guò)原文件的默認(rèn)訪問(wèn)控制表，那么新文件的建立會(huì)放松對(duì)原文件數(shù)據(jù)的訪問(wèn)控制。

4 結(jié)束語(yǔ)

WindowsNT在網(wǎng)絡(luò)服務(wù)器訪問(wèn)控制安全方面有許多特色，并做了許多重要的貢獻(xiàn)，但這不是說(shuō)WindowsNT的網(wǎng)絡(luò)服務(wù)器訪問(wèn)控制就是一個(gè)非常安全的系統(tǒng)，如果存在錯(cuò)誤的概念或表面的理解，仍然會(huì)在系統(tǒng)安全上出現(xiàn)問(wèn)題，這也是我們不斷研究網(wǎng)絡(luò)服務(wù)器訪問(wèn)控制防范和保護(hù)網(wǎng)絡(luò)服務(wù)器的目的，也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的目的。

參考文獻(xiàn)：

[1]邢金萍.校園網(wǎng)絡(luò)FTP服務(wù)器用戶(hù)權(quán)限管理及訪問(wèn)控制[J].硅谷，2009，2

[2]侯素娟.基于屬性的訪問(wèn)控制模型及應(yīng)用研究[J].重慶大學(xué)，網(wǎng)絡(luò)出版，2012，3

[作者簡(jiǎn)介]武晶晶（1981-），女，甘肅酒泉人，講師，研究方向：網(wǎng)站開(kāi)發(fā)、網(wǎng)絡(luò)應(yīng)用。