雷神的微软平台安全宝典
出版社:清华大学出版社
出版日期:2013-1
ISBN:9787302307433
作者:(美)马伦(Mullen, T.) 著
页数:272页
章节摘录
版权页： 插图： 下面列出了几种能够立即解决这个问题以及与之相关的其他问题的方法： 1）可以保持DefaultAppPool配置不变，而将虚拟目录显式地配置成指定的用户账户只能访问指定的资源这种方式，这样就可以不使用应用程序池的上下文。换句话说，可以将用户直接指派给虚拟目录的管道，这个用户将被赋予访问用户共享目录的权限。当然还有更简单的方法，那就是直接把用户添加到gShared全局组中。这样做产生的问题也是显而易见的，必须将目录访问设置成用户的上下文（身份）。通过虚拟目录访问文件就像用户直接访问文件一样。因为既然用户已经必然地拥有了访问目录结构的权限，当然也就不需要再显式地对资源访问请求进行认证了。 2）可以修改DefaultAppPool配置，让应用程序池显式地使用某个用户的上下文。正如前面提到的，这样做有相同的用户限制，但是虚拟目录可以使用应用程序池的上下文，不用像第一种方法那样必须指定某个用户。这样就允许用户通过应用程序池建立的管道通过认证，当然用户还是需要登录以便能够访问管道（基于NTFS权限）。但是，修改DefaultAppPool配置可能会导致那些正在使用DefaultAppPool的应用程序出现问题，不过是否出现问题最终还是取决于你的环境（系统）。 3）可以创建新的应用程序池并让这个应用程序池在指定用户账户的上下文环境中运行。除了不使用默认的应用程序池以外，这种方法实现起来和第二种方法很类似。这是目前最好的方法，定制的新应用程序池与其他应用程序池和进程完全隔离，可以对这个应用程序池做任何操作，这些操作都不会影响到其他应用程序。还可以将用户账户限定为只能在此应用程序池的应用程序中使用。 你现在应该已经猜到了吧，我们将会采用第三种解决方法，因为使用这种方法可以给配置和管理带来极大的灵活性。现在要做的事情就是确定使用哪种类型的用户账户，我喜欢将之作为服务账户来引用，因为这个账户是要指派给进程而不是某个用户的。当然想怎么做都可以，不一定要和我一样。我还喜欢给服务账户限定访问范围，这样就可以严格地控制当服务用户上下文中因执行能力（权限）不足而发生违约事件时，服务账户能够接触到哪些东西。这其实是最小特权的概念，只赋予进程完成功能所需的最低权限，一点也不多给。让进程在高特权的上下文中执行是危险的，进程可以利用这些特权做它们正常情况下不能做的事情，比如添加用户、创建文件或访问一些有重要价值的组。
内容概要
Timothy Mullen是某个价值数十亿美元的商务平台的首席安全架构师，该商务平台在全球范围内被广泛应用。Timothy被称为“雷神”，也是“上帝之锤”安全合作组织的创始人。他是美国门萨俱乐部的成员、微软的认证讲师。对于微软新发布的每一款操作系统，他都通过了微软工程师认证，在Windows企业安全领域连续4年被授予MVP称号。
书籍目录
目 录
第1章 将Web代理日志安全地写入SQL Server数据库中，并通过编程监视Web
数据流量，自动向TMG添加“允许/拒绝”规则
1
1.1 引言
2
1.2 范围和关注的事情
3
1.3 实现
5
1.3.1 将权限委托给用户
6
1.3.2 TMG访问规则
8
1.4 安全地将日志写入SQL Server数据库中
9
1.4.1 在SQL Server中创建TMG服务器用户账户
11
1.4.2 配置登录选项
12
1.4.3 测试连接
13
1.4.4 保证SQL通信通道的安全
14
1.4.5 证书登记和配置
15
1.4.6 TMG特别登记
16
1.4.7 故障排除
18
1.4.8 测试和验证
20
1.5 设计工作流
21
1.6 执行
24
1.6.1 xp_cmdshell
25
1.6.2 CmdExec
25
1.6.3 SQL CLR
30
1.6.4 可选方案
35
1.6.5 利用AppLocker
39
1.7 本章小结
40
第2章 IIS认证和授权模型，使用EFS和WebDAV锁定文件访问
41
2.1 引言
42
2.2 RSA和AES
44
2.2.1 EFS规划和故障解决
48
2.2.2 事后用例分析
51
2.3 构建Web应用程序结构
52
2.3.1 访问概述
52
2.3.2 应用程序池
56
2.4 访问远程文件
59
2.4.1 虚拟目录
59
2.4.2 服务用户
63
2.5 深度安全
66
2.5.1 使用EFS
67
2.5.2 EFS和服务用户
67
2.5.3 为共享文件建立EFS
68
2.5.4 委托
70
2.5.5 检查点
76
2.6 使用WebDAV提供安全访问
77
2.6.1 安装WebDAV
77
2.6.2 配置WebDAV
78
2.6.3 映射远程WebDAV驱动器的好处
79
2.6.4 WebDAV和EFS——没有委托
80
2.6.5 WebDAV和EFS——数据移动
80
2.7 结论
81
2.8 本章小结
82
第3章 根据地理位置分析和阻止恶意流量
83
3.1 引言
84
3.2 研究和尽职调查
84
3.3 实现一种解决方案
86
3.3.1 记录流量
88
3.3.2 数据函数
89
3.3.3 建立数据之间的联系
93
3.3.4 处理流量来源国家
95
3.4 与TMG集成
96
3.4.1 决策，再次决策……
97
3.4.2 保持简洁
100
3.4.3 引入SQL CLR
103
3.4.4 构建ISA服务器/TMG计算机集
108
3.5 本章小结
116
第4章 以安全的方式创建可以从外部访问的认证代理
117
4.1 引言
118
4.2 做好准备，该来的自然会来
118
4.2.1 认证挑战
120
4.2.2 认证机制
123
4.2.3 发布代理
124
4.3 本章小结
133
第5章 创建和维护低特权服务用户
135
5.1 引言
136
5.2 创建并配置服务用户账户
137
5.2.1 活动目录的结构
138
5.2.2 准备应用程序
141
5.2.3 组策略对象配置的设置示例
146
5.3 真实、可量化的密码强度以及如何衡量密码强度
155
5.3.1 一种新方法
156
5.3.2 字典攻击和其他攻击方法
160
5.3.3 查看代码
161
5.4 本章小结
165
第6章 在最小特权环境中收集远程安全日志
167
6.1 引言
168
6.2 日志提取程序的架构
169
6.2.1 检索日志数据
169
6.2.2 日志文件访问和权限
179
6.2.3 自定义Windows日志权限
181
6.3 访问WMI对象
197
6.3.1 构建WMI组件
197
6.3.2 加密DCOM WMI连接
200
6.3.3 其他WMI示例
203
6.4 查看代码
207
6.4.1 SQL Server的数据结构
208
6.4.2 向SQL Server发送数据
209
6.4.3 日志提取程序代码总结
217
6.5 本章小结
218
第7章 确保远程桌面协议的安全
219
7.1 引言
219
7.2 常见的RDP攻击和防范
221
7.2.1 重命名管理员账户并使用强壮的密码
222
7.2.2 RDP服务端口
222
7.2.3 网络级别身份验证
224
7.3 RDP解决方案概述
225
7.4 直接访问多台RDP主机
226
7.5 RDG/TSG
227
7.6 RDP主机的安全性
231
7.7 RDWeb和RemoteApp
233
7.7.1 RDWeb
234
7.7.2 RemoteApp
235
7.7.3 部署经过签名的RDP文件
238
7.7.4 RemoteApp和桌面连接(WebFeed)
242
7.8 工作站主机的注意事项
243
7.9 使用源端口访问规则来限制访问
245
7.10 查看代码
249
7.11 本章小结
257
附录A 首字母缩略词列表
259
附录B 利用WEVTUTIL工具从Windows Server 2008获取的完整日志列表
263
编辑推荐
《雷神的微软平台安全宝典》从多个层面详细描述了安全相关的概念和方法论，包括服务器、客户端、组织结构、特定平台相关的安全选项、应用程序相关的安全特性（IIS、SQL、活动目录等），还包括一些新的、从来没有发布过的安全工具，这些安全工具都带有完整的源代码。
作者简介
以最有效、最便捷的方式构建安全防护的基础设施
《雷神的微软平台安全宝典》为读者学习微软平台相关的安全技术提供了“一站式”解决方案，这些技术可以用于部署一些典型的基础安全设施。本书从多个层面详细描述了安全相关的概念和方法论，包括服务器、客户端、组织结构、特定平台相关的安全选项、应用程序相关的安全特性(IIS、SQL、活动目录等)，还包括一些新的、从来没有发布过的安全工具，这些安全工具都带有完整的源代码。
主要内容
● 针对所有主流的微软应用程序的安全过程提供了详实的技术信息
● 采用独特的、基于项目的“讲故事”表达方式，同时组合多种安全技术和方法以应对现实世界中实际商业模式面临的安全挑战
● 内容的组织方式使得访问特定应用程序的安全技术和方法变得易如反掌
● 采用独特的观点和视角，使读者对解决特定应用程序安全方案的方法不仅“知其然”，而且“知其所以然”
● 随书发布的DVD光盘包含了源代码、工具、视频教程以及其他有用的资料
发布书评
精彩书评 (总计1条)
-
什么是安全？是一种思维方式吗？还是一种可衡量的、可操作的看法或态度？抑或与两者都有一点关系？人类，作为一个种族，根据以前学到的知识构建新的知识已经成为我们内心根深蒂固的过程，正如牛顿说的那样：“如果我看的比别人远，那是因为我站在巨人的肩膀上。”从根本上讲，当我们处理新的信息时，可以把旧的信息当作基础。但这对我们并不总是有用，特别是在技术领域，技术总是以自身特有的方式暴露我们以过去思维方式填补人们之间假设的空白时产生的缺陷。技术可以回答很多问题，但是坦白地说，这些问题都是以前被某些人即兴回答过的问题。笔者认为科学和宗教之间的关系也是很好的例子，随着技术的进步，越来越多关于这个世界的事情被解开了神秘的面纱，这些事情以前都被解释为神的意志或是魔法。那些给出这些答案的人被尊为某种方法的大师，被抬到受人尊敬的神坛上膜拜，他们中的一些人的确是天才，乐于用他们的洞察力和智慧帮助其他人，而另一些人则是一群冒牌的“大师”，他们怀有私心，编造一些既不明智又缺乏洞察力的故事，他们甚至可能就是一群“蛇油推销员”。笔者的目的不是预言什么事情，而是提出建议，这些建议能帮助大家清楚地分辨出哪些是对保持信息安全有价值的历史教训，哪些是一堆毫无意义的废话。安全策略需要规划和事件响应，就像在滑动的鳞片上移动目标那样。载体和目标都会随着技术的变化而变化，或随着罪犯收入来源的枯竭而变化。新的目标不断被物色出来，在家用环境中针对用户的攻击和行为模式将会迁移到移动领域，无论是个人还是商务应用，越来越多的业务都将会用手机完成。但是随着攻击目标的变化，仍然保持不变的还是构建安全防护的基础设施，这些基础设施应该就是深度安全和最小特权原则。之所以这么认为，是因为到目前为止这方面的话题讨论已经有十几年时间了，这两个安全概念依然和当初一样值得信赖。现在的安全行业正在被引导至错误的方向，实际上已经违反了最初存在的目的，离实际的信息安全越来越远，反而更像是三环马戏团的营销手段。如今，安全看起来全是黑客们的自我炫耀。如果参加过任何流行的安全大会，就会发现会议的主题实际上已经不是有关安全的了，更像是反安全的：如何黑掉这个、如何攻击那个、如何入侵什么等等。随着时间的推移，攻击方法变得更精密，更复杂，即使那些很少可能发生的攻击现在也变成日常的威胁。参会的演讲者看起来不是展示如何更安全，而是炫耀自己如何优秀。如果能提出一些疯狂的方法做一些独特的事情，他就会认为是天才，对他展示的东西你就得照单全收。研究者找到bug并对外公布，只是想借此提高他们的知名度，而不是像他们经常宣称的那样：促使软件公司提高软件的安全性。他们希望自己发现的问题越严重越好，总是试图发现最糟糕的情况是什么。他们往往忽略那些最简单的逻辑点，如设置一下载体的权限就可以防止被利用之类的方法。更重要的是，那些打着安全建议旗号出售的东西往往十分的蹩脚，一些非常不起眼的安全问题被夸大其词为危险的安全漏洞。有人可能会说，正是这种级别的公开监督才使得整个产业越来越安全，这样做也无可厚非。但是，随着这样的“蛇油推销员”越来越多，真正有志于信息安全的聪明人士反而越来越少。说句公道话，笔者确实看过一些真正有趣的，甚至是非常吸引人的攻击系统的方法，都是一些非常聪明的方法，但是要在现实世界的业务中应用还不太可能。如果用刚才那个马戏团的比喻，就像杂技演员互相头顶头倒立翻转，降落时一只脚落在另一个人的手上，这真的相当了不起，需要大量的练习和技巧，但是却没有做任何真正的事情。虽然，这是艺术并且有娱乐的价值，但是从生产的角度看，这些人没有创造任何东西，差不多可以说，这些都是表演。这也就是本书为什么总是从防守的角度展示信息安全问题的原因所在，本书指导的每一次练习以及展示的每个示例都是基于如下思想：这样做可以保护你不受某种攻击。对你来说，这就是价值所在，花5分钟时间展示给大家的一些设置方法，可以防止那些需要花5个小时时间黑客训练才能学会的攻击手段的攻击，这应该是更理所当然的一种做事的方法。于是，这听起来可能有点可笑，没有被黑过反而很无聊。攻击失败之后再来观看失败的攻击过程并不十分有趣，这也是为什么没人卖安全的原因。观看杂技演员的表演和打开一扇门一样安全，然而觉得钱花得值是因为表演能吸引我们的注意力。这本书介绍的是如何构建安全基础障碍以提高系统的安全态势，如何在最小特权环境中部署符合深度安全的解决方案，如何使用现有的系统获得更好的安全态势而不是继续花钱买新的安全产品。希望这本书有别于那些只关注某一种应用观点的安全书籍，同时希望本书展示的资料有别于那些典型的以学院派方式编写的书籍，这本书做到了这两点。这本书是以交谈的方式组织的，基本上就是观点和方法的集合，这些观点和方法都是笔者过去在安全领域积累的独特方法，它们以非常自然的方式传授给你，就好像我们互相面对面坐在一起交谈一样。为了让各种安全观点都能够被接受，本书模拟创建了各种业务场景问题，然后找出相应的解决方案，这些都和现实世界中实际的工作情况相一致。例如，不仅仅是保证SQL Server安全，通过阅读本书，实践其中的例子，最终可以保证所有围绕着SQL Server构建的过程都是安全的。所以在这些故事中，情节就是在我们曾经经历过的商业项目中，将各种不同性质的产品和产品特征结合在一起完成工作。这些故事不仅仅是关于业务场景的，和其他的宝典书籍一样，每个故事都是一段教学课程，了解这一点很重要。当读到关于如何写一段特殊的代码或以某种特殊的方式创建用户以完成某些特定的事情时，希望你能思考一下如何将同样的概念应用到其他事情上。通过这些例子，你会看到本书接下来要介绍的场景，在这个场景中你会了解到如何将防火墙代理日志数据记入SQL Server，如何将SQL Server运行在低权限用户的上下文中，如何为保证数据一致性而加密所有网络连接过程。虽然项目可能会创建自主日志监视以便自动实施访问规则，但还是可以使用完全相同的处理来保证其他应用程序在向SQL Server记录日志时的传输数据也是加密的。换句话说，每个故事都蕴含着一些超越故事本身的东西。说到这里，我们还要介绍一下本书其他有用的内容。除了每章的文字内容之外，在随书光盘中还有贯穿本书内容的视频展示和示例代码，这些附加内容涵盖了更宽范围的主题、观点和处理方法。笔者将演示如何像前面提到的那样创建自主流量监控，如何根据国家和国家的地理位置汇编和报告流量，如何建立安全的外部Web代理，如何保证远程桌面协议的安全，如何使用最低权限并以安全的方式建立远程安全日志系统，以及如何为维护服务使用者提供相关的诀窍、计谋和更多的内容。本书尝试以循序渐进的方式介绍每个故事或项目，尽量与你自己冒险创建项目时要做的过程一致。也就是说，当你尝试亲自解决某个问题的时候，笔者会模仿你可能收获的经验。笔者喜欢用系统的方法解决项目问题，因为多次重复项目的某个特定方面不可能使你真正了解它，除非亲自遇到。当然，笔者对人生、宇宙和其他事物的一些看法也交织在其中。所以，感谢你购买这本书支持“上帝之锤”的研究成果。事不宜迟，现在就开始吧。