某某市房地产综合信息管理系统方案11章(2)

方面可以通过采用一些系统平台管理软件来实现。

**房产系统的各种服务器，（DNS、FTP、WEB、邮件、数据库等系统）都运行在Windows NT系统平台上或UNIX系统平台上。在设计中，将主要利用UNIX和Windows NT操作系统本身提供的安全机制，通过科学合理的设置来充分利用操作系统所提供的强大安全性能及清除操作系统的安全漏洞，保证**房产系统的安全性。

系统级安全性主要是针对网络中所涉及的一些重要服务器而言的。

11.7.1 UNIX（LINUX）系统安全性的实现

UNIX系统安全性主要通过以下几种方式实现：

1）严密保护帐号口令

在网络中严密保护用户的帐号和口令，防止外泄是非常必要的，必须采取以下保护措施：

? 帐号和口令的持有者应严守秘密，不要轻易将帐号和口令交给他人或随意放置，绝对不能泄露系统管理员的帐号和口令；

? 口令设置应尽可能复杂一些，并最好能做到经常更换，防止非法用户轻易猜出口令；

? 在UNIX系统中创建用户时，一定要注意用户UID的选用。因为如果两个用户具有相同的UID，他们将互相读写彼此的文件、删除彼此的进程等，这对于UNIX系统是很不安全的，必须确保每个用户都具有唯一的UID，另外，千万不要将根用户或超级用户的UID（即UID为0）随意用于任何一般用户，因为超级用户具有访问系统中的所有文件，删除系统中的所有进程等功能；

? 在选用用户的GID也应该特别慎重，因为同一组的用户可以互相访问彼此的文件。

2）适当控制文件许可权和拥有权

文件的使用权限对于UNIX系统安全来说是十分重要的，在**房产系统随意地分配文件的使用权限，将可能危害整个系统安全，因此适当地控制文件的许可权和拥有权，也是防范非法侵入的非常有效的方法。

3）定期检查安全日志和系统状态

为了更有效地防范非法侵入局域网的UNIX系统，应定期检查安全日志和系统状态。可以选择使用UNIX系统提供的对系统的活动进行总览的命令或者阅读UNIX系统的安全日志。

4）慎重使用网络守护服务

UNIX系统还提供了许多网络守护程序，如ftp、telnet、shell、login、exec、talk、tftp等，这些网络守护程序对局域网安全影响很大，应注意慎重使用这些网络守护程序，如无实际应用，在网络中所有UNIX系统中都应禁止这些服务。

11.7.2 Windows系统安全性的实现

1）严格用户帐号管理

加强网络用户帐户的管理，限定用户帐户的访问权限，明确规定帐户的口令限制和帐户的锁定参数。

严格限制Administrator组和备份组帐户的成员资格。

由于WINDOWS NT/2000服务器的安全帐户管理（SAM）数据库可以由以下用户复制：Administrator帐户，Administrator组中的所有成员，备份操作员，服务器操作员，以及所有具备份特权的人员。而SAM数据库的一个备份拷贝能够被某些工具利用来破解口令，所以必须对那些具有复制SAM数据库权限的特殊用户帐户资格进行严格筛选是，同时加强对这些帐户的跟踪，尤其是Administrator帐户的登录（Logon）失败和注销（Logoff）失败。对SAM进行的任何权限改变和对其本身的修改进行审计，并且设置发送一个警告给Administrator，告知得事件发生。

另外，为了防止特洛伊木马（Trojan Horses）及病毒的入侵，所有具有Administrator和备份特权的帐户绝对不能浏览Web。所有的帐户只能具有User

或者PowerUser组的权限。

将系统管理员administrator帐号改名，以防非法用户对系统管理员帐号进行口令攻击。如果用的是NT4.0，可以用Resource Kit中提供的工具封锁联机系统管理员帐号，这样可封锁由网络而来的非法登录。

对于在网络中用于提供公共服务信息的服务器不需要也不应该有除了系统管理用途之外工其他用户帐号。因此，应该废止Guest帐号，移走或限制所有的其他用户账号。

2）用NTFS取代FAT

在局域网中的各WINDOWS NT/2000服务器上采用NTFS而不用FAT文件系统，限制用户对NTFS卷上的磁盘、目录或文件的访问。

NTFS（NT文件系统）可以对文件和目录使用ACL（存取控制表），SCL可以管理共享目录的合理使用，而FAT（文件分配表）却只能管理共享级的安全。使用NTFS ACL的好处在于，如果它授权用户对某分区具有全部存取权限，但共享级权限为“只读”，则最终的有效权限为“只读”。Windows NT取NTFS ACL和共享权限的交集。

3）认真设置并正确利用审计系统

通过激活Windows NY/2000的事件审计系统，可对在NT/2000环境中安全性是否已经被攻击或攻破做很好的监控与分析。通过审计各种操作成功和失败的情况（失败的情况通常比成功的情况少得多），管理员可随时排除安全隐患；另外不常用的操作也值得注意，如安全性策略的改变和再启动往往反映了未经授权的行为。

审计日志本身也需要保护，因为非法用户在进入系统之后通常会抹掉其活动足迹。首先应该定时自动备份日志文件，但是如果这些备份仍然是联机的，则也有可能被非法用户找到。一个比较好的解决方法是将审计事件记录同时制成硬拷贝，或者将其通过W-mail发送给系统管理员。

4）认真利用域管理及域之间的委托关系

利用域的管理能力，选择安全策略和操作步骤，把服务器和工作站组成逻辑组，以便于更好地管理局域网中服务器和Windows工作站。

正确控制局域网中各服务器域的委托关系，从而控制网络用户的访问权限，使局域网中资源只在一定范围内进行共享。

5)及时安全最新的Service pack

由于Windows NT/2000是近年来才开始流行发展的一个较新的操作系统，其中总免不了存在一些连Microsoft公司的开发人员均始料未及的BUG，而这些BUG往往是在被发现之后才由Microsoft的技术人员制作一些Pack来加以弥补修正。所以，为了最大程度地减少Windows NT/2000中的BUG可能给网络系统带来侵害，除了针对这些BUG对NT/2000操作系统作一些策略性的设置外，另一个重要且有效的方法就是及时安装微软所提供的Service Pack。

§11.8 应用系统的安全

应用软件系统在用户存取权限分级和信息处理的保密方面进行了精心设计，保证使内部的恶意或错误操作给系统带来的影响降到最低。应用系统的安全，在系统设计阶段就应得到重视，尽力避免在实施过程中再反复修改，弥补漏洞。

§11.9 网络系统的安全

**房产综合信息网络与Internet是物理隔离的，这种结构为**房产综合信息在相当程度上提供了安全保证。

但是单凭这一点还远远不能适应当今网络安全的要求。**房产综合信息网将作为一个地区子网通过广域网连通本地所有相关终端，其将要受到的安全威胁是一个不容忽视的大问题。

因此，需要多角度地分析**房产综合信息网可能存在的安全漏洞和安全风险，并提出针对性的解决办法，保护网络的安全，从而最大限度地减少可能因为被入侵而造成的社会影响和经济损失。

网络安全管理的内容包括：保护网络资源不受内部或外部的恶意攻击和破坏，保护网络的配置不受非法的修改；保护网络设备不受内部或外部的恶意、非

恶意攻击和破坏；阻止反动的、黄色的信息在网上流动和传播等等。这些问题的解决除加强思想和组织管理外，最根本的办法就是采取有利的措施加强网络运行管理，采用各种保护措施维护网络系统的安全。用户应当建立各种安全规章制度，如值班制度、系统安全运行制度等；完善各种事故保护系统，如防火 …… 此处隐藏：2127字，全部文档内容请下载后查看。喜欢就下载吧 ……