本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。
一、操作系统安全概述
1.1 基本概念
操作系统安全是指满足安全策略要求，具有相应安全机制及功能，符合特定安全标准，在一定约束条件下能够抵御常见网络安全威胁，保障自身安全运行及资源安全。
安全可控两个维度：
| 维度 | 侧重点 | 说明 |
|---|---|---|
| 狭义 | 产品安全 | 如国产化操作系统本身的安全性 |
| 广义 | 产业可控 | 需配套生态，如国产应用软件支持 |
1.2 操作系统安全等级
操作系统分为五个安全等级（安全性递增）：
| 等级 | 名称 |
|---|---|
| 一级 | 用户自主保护级 |
| 二级 | 系统审计保护级 |
| 三级 | 安全标记保护级 |
| 四级 | 结构化保护级 |
| 五级 | 访问验证保护级 |
关联考点：与GB17859等级保护五级划分一致。
1.3 操作系统安全目标和需求
安全目标：防范网络安全威胁，保障操作系统安全运行及计算机系统资源安全。
六大安全需求：
| 需求 | 说明 |
|---|---|
| 标识和鉴别 | 实现用户标识与鉴别（如登录认证） |
| 访问控制 | 基于身份的访问控制（如不同用户权限分级） |
| 系统资源安全 | 保障系统资源保密性、完整性（如文件加密） |
| 网络安全 | 支持安全通信协议（如SSH远程连接） |
| 抗攻击 | 具备安全恢复机制 |
| 自身安全 | 内置安全防护功能 |
二、操作系统安全机制
2.1 硬件安全
是操作系统安全的基础保障机制。
| 保护范围 | 说明 |
|---|---|
| 硬件安全可靠性 | 如服务器冗余电源 |
| 存储保护 | 内存隔离 |
| I/O保护 | 外设访问控制 |
| CPU安全 | 指令集权限 |
| 物理环境保护 | 机房安防 |
2.2 标识与鉴别
又称为认证机制，用于操作系统用户及相关活动主体的身份标识，给用户和活动主体分配唯一标识符。
- 标识符：具有唯一性，能够防止伪造
- 鉴别：证实用户或活动主体真实身份的过程
2.3 访问控制
用于操作系统的资源管理控制，防止资源滥用。
常见类型：
- 自主访问控制（DAC）
- 强制访问控制（MAC）
2.4 最小特权管理
操作系统不分配用户超过执行任务所需的权限，防止权限滥用，减少系统安全风险。
典型场景：教师仅能查看所教科目的学生成绩；避免滥用管理员权限（如Windows的Administrator账户）。
2.5 可信路径
操作系统本地用户和远程用户进行初始登录或鉴别时，操作系统安全系统与用户之间建立的安全通信路径。
作用：
- 保护通信数据免遭修改、泄露
- 防止特洛伊木马模仿登录过程窃取用户口令
实现方式：采用安全协议（SSH/HTTPS），防止中间人攻击。
2.6 安全审计
对系统中有关安全的活动进行记录、检查及审核。
主要目的：核实系统安全策略执行的合规性，追踪违反安全策略的用户及活动主体，确认系统安全故障。
2.7 系统安全增强
又称为安全加固，通过优化操作系统配置或增加安全组件，提升抗攻击能力。
实施方式：
- 优化系统配置（如关闭高危端口）
- 添加安全组件（如SELinux模块）
三、Windows系统架构
Windows系统划分为三层：
| 层级 | 名称 | 功能 |
|---|---|---|
| 最底层 | 硬件抽象层 | 为上层提供硬件结构接口，使系统更易移植 |
| 第二层 | 内核层 | 提供执行、中断、异常处理和同步支持 |
| 第三层 | 系统服务模块层 | 实现基本系统服务：虚拟内存管理、对象管理、进程和线程管理、I/O管理、进程通信、安全参考监督器 |
对比记忆：UNIX/Linux分为三层——硬件层、系统内核、应用层。
四、Windows安全机制
4.1 认证机制
Windows提供两种基本认证类型：
| 认证类型 | 说明 |
|---|---|
| 本地认证 | 根据用户的本地计算机或Active Directory账户确认身份。SAM数据库存储本地账户，AD域认证存储在域控制器 |
| 网络认证 | 三种技术：Kerberos V5、公钥证书、NTLM |
考试重点：网络认证三种技术（Kerberos V5、公钥证书、NTLM）是高频考点。
4.2 访问控制机制
- Windows NT/XP的安全性达到了橘皮书C2级
- 实现了用户级自主访问控制
4.3 审计/日志机制
Windows日志有三种类型：
| 日志类型 | 文件名 | 说明 |
|---|---|---|
| 系统日志 | SysEvent.evt | 记录系统组件事件 |
| 应用程序日志 | AppEvent.evt | 记录应用程序事件 |
| 安全日志 | SecEvent.evt | 记录安全相关事件 |
存储路径：C:\Windows\System32\config
4.4 协议过滤和防火墙
| 系统版本 | 安全机制 |
|---|---|
| Windows NT 4.0 / Windows 2000 | 提供包过滤机制，通过过滤限制网络包进入 |
| Windows XP及以后 | 自带防火墙，监控和限制网络通信 |
4.5 文件加密系统（EFS）
为了防范入侵者通过物理途径读取磁盘信息，绕过Windows系统文件访问控制机制，微软开发了加密的文件系统EFS。
- 文件中的数据利用EFS在磁盘上加密
- 用户访问加密文件必须拥有该文件的密钥
- 使用对称加密算法（非对称加密速度慢且有膨胀性）
易混淆点：EFS使用对称加密算法，而非非对称加密。
4.6 抗攻击安全机制
针对常见的缓冲区溢出、恶意代码等攻击，微软新版本操作系统增加抗攻击安全机制，集成了内存保护机制：
| 保护机制 | 说明 |
|---|---|
| 堆栈保护 | 检测函数调用返回地址是否被篡改 |
| 安全结构例外处理（SafeSEH） | 防止结构化异常处理被利用 |
| 数据执行保护（DEP） | 对特定内存区域标注为非执行，代码不能在指定区域运行 |
| 地址随机化（ASLR） | 对程序加载到内存的地址随机化，使攻击者不能事先确定返回地址 |
| 补丁保护（PatchGuard） | 保护内核不被非法修改 |
| 驱动程序签名 | 仅允许签名驱动加载 |
五、Windows系统安全威胁与增强方法
5.1 主要安全威胁
| 威胁类型 | 说明 |
|---|---|
| Windows口令 | 空密码/弱密码 |
| Windows恶意代码 | 病毒、木马、蠕虫、僵尸网络 |
| Windows应用软件漏洞 | 如QQ、微信等应用漏洞 |
| Windows系统程序漏洞 | 操作系统本身漏洞 |
| Windows注册表安全 | 恶意软件修改注册表 |
| Windows文件共享安全 | SMB、NetBIOS服务风险 |
| Windows物理临近攻击 | 服务器被窃取、物理接触 |
5.2 六大安全增强方法
| 方法 | 说明 |
|---|---|
| 安全漏洞打补丁（Patch） | 及时安装系统和应用补丁 |
| 停止服务和卸载软件 | 关闭不必要的服务和软件 |
| 升级或更换程序 | 如替换存在漏洞的程序（如Flash） |
| 修改配置或权限 | 遵循最小权限原则 |
| 去除特洛伊等恶意程序 | 清除木马、病毒等恶意代码 |
| 安装专用安全工具软件 | 如EDR终端检测、自动补丁管理程序 |
六、Windows安全增强基本步骤
6.1 确认安全目标和业务用途
- 安全目标：防止信息泄露、抗拒绝服务攻击、限制非法访问等
- 业务用途：决定后续安全增强策略（个人使用/服务器运行）
6.2 安装最小化的操作系统
- 尽量使用纯净版系统，减少安全隐患
- 不安装不需要的网络协议
- 使用NTFS分区
- 删除不必要的服务和组件
6.3 配置系统服务
- 不安装与业务无关的网络/系统服务和应用程序
- 安装最新应用程序和服务软件
- 定期更新服务安全补丁
6.4 配置安全策略
主要配置项：账户策略、审计策略、远程访问、文件共享。
账户策略参数：
- 密码复杂度要求
- 账户锁定阈值
- 账户锁定时间
- 账户锁定计数器
6.5 禁用NetBIOS
NetBIOS提供名称服务和会话服务，通常给攻击者提供入侵切入点。
禁用方法：
- 在防火墙上过滤外部网络访问135~139、445端口
- 修改注册表，禁用NetBIOS
- 禁用NetBIOS over TCP/IP
- 禁用Microsoft网络的文件和打印共享
6.6 账户安全配置
| 措施 | 说明 |
|---|---|
| 禁用默认账号 | 停用不必要的默认账户 |
| 定期检查账户 | 尽早发现可疑账户 |
| 锁定Guest账户 | 禁用来宾账户 |
6.7 文件系统安全配置
- 删除不必要的帮助文件和
%System%\Driver cache目录下的文件 - 删除不必要的应用程序（如cmd.exe）
- 启用加密文件系统（EFS）
- 设置文件共享口令
- 修改系统默认安装目录名
6.8 配置TCP/IP筛选
- 过滤不需要使用的端口
- 过滤不需要的应用层网络服务
- 过滤ICMP数据包（使ping不通）
6.9 禁用光盘或软盘启动
目的：防止通过PE系统绕过操作系统认证。
方法：
- BIOS设置"C only"启动（仅允许从C盘启动）
- 设置BIOS密码
6.10 设置应用软件安全
- 及时安装应用软件补丁（特别是IE、Outlook、Office）
- 修改应用软件安全默认设置
- 限制应用软件使用范围
6.11 安装第三方防护软件
| 软件类型 | 说明 |
|---|---|
| 杀毒软件 | 病毒查杀 |
| 个人防火墙 | 网络访问控制 |
| 入侵检测系统 | 入侵行为监测 |
| 系统安全增强工具 | 如EDR终端检测与响应 |
七、Windows账号与口令安全增强策略
7.1 系统启动安全增强
- 关闭硬盘及光盘的启动功能
- CMOS设置启动选项为"C only"
- 为CMOS设置密码
7.2 账号与口令九大增强措施
- 停用Guest账号
- 限制不必要的用户数量
- 把系统Administrator账号改名
- 创建一个陷阱账号（低权限诱饵账号）
- 设置安全复杂的口令
- 设置屏幕保护口令
- 不让系统显示上次登录的用户名
- 开启口令安全策略
- 开启账号策略
7.3 口令策略参数
| 参数 | 建议值 |
|---|---|
| 口令复杂性要求 | 启用 |
| 口令长度最小值 | 6位 |
| 强制口令历史 | 5次 |
| 密码最长使用期限 | 42天 |
7.4 账号锁定策略参数
| 参数 | 建议值 |
|---|---|
| 复位账号锁定计数器 | 20分钟 |
| 账号锁定时间 | 20分钟 |
| 账号锁定阈值 | 3次错误尝试 |
本章小结
本章节系统梳理了操作系统安全基础理论与Windows安全防护：
- 操作系统安全概念：满足安全策略要求，具备安全机制/功能，抵御常见威胁；狭义（产品安全）vs广义（产业可控）
- 五级安全等级：用户自主保护级→系统审计保护级→安全标记保护级→结构化保护级→访问验证保护级
- 六大安全需求：标识鉴别/访问控制/系统资源安全/网络安全/抗攻击/自身安全
- 七大安全机制：硬件安全/标识鉴别/访问控制（DAC+MAC）/最小特权管理/可信路径（SSH/HTTPS防木马窃密）/安全审计/系统安全增强（加固）
- Windows三层架构：硬件抽象层（最底层）→内核层→系统服务模块层（对比Linux：硬件层/内核/应用层）
- Windows认证：本地认证（SAM/AD）+网络认证（Kerberos V5/公钥证书/NTLM）
- Windows访问控制：NT/XP达橘皮书C2级，用户级自主访问控制
- Windows三类日志：系统日志（SysEvent.evt）/应用程序日志（AppEvent.evt）/安全日志（SecEvent.evt），存于System32\config
- EFS文件加密：对称加密算法，防物理途径读取磁盘
- 六大抗攻击机制：堆栈保护/SafeSEH/DEP/ASLR/PatchGuard/驱动签名
- 七大安全威胁：口令/恶意代码/应用漏洞/系统漏洞/注册表/文件共享/物理临近
- 六大增强方法：打补丁/停服务卸软件/升级更换程序/修改配置权限/去恶意程序/装安全工具
- 11项安全增强步骤：确认目标→最小化安装→配置服务→配置安全策略→禁用NetBIOS→账户安全→文件系统安全→TCP/IP筛选→禁用光盘启动→应用软件安全→第三方防护
- 账号口令策略：停用Guest/重命名Administrator/创建陷阱账号/口令复杂度6位+/42天更换/3次错误锁定20分钟
上述内容中，操作系统七大安全机制（特别是最小特权和可信路径）、Windows网络认证三种技术、EFS对称加密、六大抗攻击机制、禁用NetBIOS方法、账号锁定策略参数为高频考点，Windows安全增强步骤可能出现在下午案例分析题中。
本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。
