网络服务器在计算机网络中是一类提供共享资源的站点，是网络共享信息的存储地，同时也负有管理网络资源、维护资源子网的责任。保护网络服务器的安全，保证网络共享资源不被非法使用和非法访问是网络安全工作的基本任务。网络服务器访问控制是直接建立在网络服务器上的网络安全防范和保护的主要策略，也是维护网络系统安全、保护网络资源的重要手段。各种安全策略必须相互配合才能真正起到保护作用，但服务器的访问控制是重要的核心策略之一。本文将结合Windows操作系统说明各种服务器访问控制策略。

1.基本的访问控制方法

入网访问控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获取网络资源，控制用户入网的时间和在哪台工作站入网。用户登录控制可分为3个方面：用户名的识别与验证、用户口令的识别与验证、用户账号的默认限制检查。用户只有通过了所有3方面的检查，才能进入该网络。

用户登录时首先输入用户名和口令，服务器将验证所输入的用户名是否合法。如果验证合法，才继续验证用户输入的口令，否则，用户将被拒绝登录。用户的口令是用户入网的关键，必须经过加密，即使是系统管理员也难以得到它。用户还可采用一次性用户口令,也可用便携式验证器(如智能卡)来验证用户的身份。

用户名或用户账号是所有计算机系统中最基本的安全形式。用户账号应只有系统管理员才能建立。用户口令应是每个用户访问网络所必须提交的“证件”’用户可以修改自己的口令，但系统管理员可以在以下几个方面控制对口令的限制：最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。

用户名和口令验证有效之后，再进一步履行用户账号的默认限制检查。操作系统将用户的标识记录在一个用户账户中’将用户在系统中能做或不能做什么的信息全都收集在一起，仅当用户能给出正确的口令才能得到账户下的系统服务。网络应能控制用户登录入网的站点、限制用户入网的时间、限制用户入网的工作站数量。当用户对交费网络的访问“资费”用尽时，网络还应能对用户的账号加以限制，用户此时应无法进入网络访问网络资源。网络应对所有用户的访问进行审计，如果多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。

WindowsNT除了使用上述基本的访问控制方法外，以域结构的方式组织和管理网络中的服务器资源，一方面使用户使用网络资源更方便，另一方面又能保障网络资源的安全性。建设网络过程中设计Windows操作系统的域结构，成为保障网络资源安全的重要手段之一。Windows操作系统提供了很多适宜于不同对象的域模型，但关键是要正确理解域与基本认证机制的关系，以及如何使用一个匹配账户使域结构更为简单。

2.Windows操作系统的账户安全参数

Windows操作系统具有一般的账户安全特性，用户的账户中记录着账户所属的组。组是一系列用户的代号，是一种简化网络管理的方法，同时也是简化对目标访问的途径，所以必须对组进行仔细的计划和控制。

Windows操作系统的“账户策咯”有一些与口令控制有关的项目，这将适用于该系统中存储的所有账户。例如，用户可以设置口令的最短长度、口令的有效期限、当口令失效后是否允许用户修改其口令、用户是否可以使用以前用过的口令等。最重要的口令策略是锁定策略。当在一个指定时间段内提供指定次数的假口令之后，其账户将被锁定而无法再登录系统。此后按照设置可以在一段时间后自动解锁，或由管理员对账户解锁。账户的锁定保护也适用于远程登录。

口令的安全性不能单靠口令的长度来保证。锁定参数和口令的复杂度共同用于防止口令的猜测。口令的复杂度是指构成口令的字符种类及长度。例如，如果设置锁定周期为半小时尝试6次，并有半小时的恢复时间，这就表示一个入侵者每小时最多可以猜测5次口令。这样即使口令长度为6,这是一个最小的长度，并且仅仅使用26个小写字母，在短时期内口令被猜测出来的可能性也是很小的。

账户锁定策略的唯一例外是管理员账户Administrator永远不会被锁定，至少在域控制器上如此。因此为了安全考虑，应该为其取一个较长的、随机的好口令，并且仅在特别紧急的时候使用。平时，管理员可以用其他的管理账户登录，进行系统的管理，同时把这些账户设置为具有锁定能力。

权限是由系统管理员赋予用户的特殊属性。只有当用户拥有所需要的访问权限，系统才能满足用户所提出的特殊请求。权限中大多数与管理有关，而许多权限则仅有操作系统自身可使用。一个用户的权限可以延伸到用户在本地或远程会话过程中运行的所有程序中。

用户的权限控制是针对网络非法操作所提出的一种安全保护措施。权限控制机制控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。可以指定用户对这些文件、目录、设备能够执行哪些操作。权限控制有两种实现方式：受托者指派和继承权限屏蔽。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备。继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限要求。操作系统可以根据访问权限将用户分为以下几类。

(1)特殊用户(即系统管理员)。

(2)一般用户，系统管理员根据他们的实际需要为他们分配操作权限。

(3)审计用户，负责网络的安全控制与资源使用情况的审计。

操作系统有自己的权限数据库，其中记录了在该机上可以使用的各个账户的权限。一个域账户在一些机器上有某些权限，而在另一些机器上则可能具有其他的权限。

控制本地登录和远程登录的两个权限具有特殊的重要性。前者允许一个用户在该系统的键盘上登录系统，而后者可以在该机器上建立远程会话。它们可以与域结构和本地匹配账户策略有效地结合在一起，用于确定在网络范围内可以使用哪些账户，使域结构简单化。

在用户权限控制的基础上还可以进一步建立属性安全控制。在提供文件、目录、设备等资源时，网络系统管理员应给文件、目录等指定访问属性，形成一组网络资源安全属性。用户对网络资源的访问权限对应一张访问控制表，用以表明用户对网络资源的访问能力。属性设置可以覆盖已经指定的任何受托者指派的有效权限。属性往往能控制以下几个方面的权限：向某个文件写数据、复制一个文件、删除目录或文件、查看目录和文件、执行文件、隐含文件、共享系统属性等。网络的属性可以保护重要的目录和文件，防止用户对目录和文件的误删除、修改、显示等。

3访问控制表

用户权限控制是针对访问者建立的安全控制措施，而访问控制表则用于被访问对象。WindowsNT系统中的每个数据对象，如一个用户的数据文件、一台打印机、一个系统注册表，或者是用户不可见的设备对象，都可以拥有一个访问控制表。一个访问控制表指出谁可以用什么方式访问该对象。通常每个对象的访问方式是不同的，但一般有这样一些类型，如读、写、删除、更改对象的访问控制表，或使自己成为对象的所有者等。如果用户创建了一个对象，那么用户就成为该对象的所有者，而且可以改变其访问控制表。

目录和文件的访问控制表是最常用的’也是最容易因为使用不当而不能达到预期效果的地方。目录的访问控制表将被直接传递给该目录下的所有子目录和文件，但是用户往往会疏忽它们之间的区别。例如，一个公司经理不应该按照日期来建立文件的目录结构，而应该为每种不同性质的文件建立不同的目录和访问控制表。这时把目录结构分为公共报告、小组报告和向上司的报告等会更合适。因此，文件和目录应该以如何保护为依据组织成目录树结构。

每个目录的访问控制表含有WindowsNT在创建文件时所用的默认访问控制表。注意修改文件的默认访问控制表，否则可能会出现信息的泄露。例如，某些应用程序在与原始文档相同的目录下创建了一个临时文件，临时文件可能含有原始文档中的数据。多数应用程序都简单地采用临时文件上的系统默认访问控制表。但是如果用户对原始文档指定了比其默认访问控制表更加严格的访问方式，那么临时文件的访问方式就显得宽松了，有可能会泄露数据信息。更加严重的是，有些程序在编辑和保存文档时，会建立一个全新的文件,并且使用系统默认的访问控制表，这时如果用户改变过原文件的默认访问控制表，那么新文件的建立会放松对原文件数据的访问控制。

此外，还应该注意一个有趣的访问控制表权限，称为“绕过遍历检查(BypassTraverseChecking)"。它应用在这样的场合：如果一个用户没有对一个目录的访问权限，却拥有对目录中的一个对象的访问权，这时，只有对用户设置过绕过遍历检查权限时，用户才能够实现对那个对象的访问。在WindowsNT系统中，每个用户都有这种默认权限，但从安全角度出发，应该取消这种权限。

WindowsNT在访问安全方面有许多特色，并做了许多重要的贡献，但这不是说WindowsNT就是一个非常安全的系统，如果存在错误的概念或表面的理解，仍然会在系统安全上出现问题。

版权申明：本站文章均来自网络，如有侵权，请联系01056159998 邮箱：itboby@foxmail.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有