计
算
机
网
络
安
全
技
术
本章学习目标
访问控制的三个要素、7
种策略、内容、模型
访问控制的安全策略与
安全级别
安全审计的类型、与实
施有关的问题
日志的审计
Windows NT操作系统中
的访问控制与安全审计
计
算
机
网
络
安
全
技
术
访问控制概述
访问控制是在保障授权用户能获取所需资源的
同时拒绝非授权用户的安全机制。网络的访问
控制技术是通过对访问的申请、批准和撤销的
全过程进行有效的控制，从而确保只有合法用
户的合法访问才能给予批准，而且相应的访问
只能执行授权的操作。
访问控制是计算机网络系统安全防范和保护的
重要手段，是保证网络安全最重要的核心策略
之一，也是计算机网络安全理论基础重要组成
部分。
计
算
机
网
络
安
全
技
术
访问控制的定义
访问控制是指主体依据某些控制策略或权限对客体本
身或是其资源进行的不同授权访问。访问控制包括三
个要素，即主体、客体和控制策略。
主体S（Subject）是指一个提出请求或要求的实体，
是动作的发起者，但不一定是动作的执行者。主体可
以是某个用户，也可以是用户启动的进程、服务和设
备。
客体O（Object）是接受其他实体访问的被动实体。客
体的概念也很广泛，凡是可以被操作的信息、资源、
对象都可以认为是客体。在信息社会中，客体可以是
信息、文件、记录等的集合体，也可以是网路上的硬
件设施，无线通信中的终端，甚至一个客体可以包含
另外一个客体。
计
算
机
网
络
安
全
技
术
控制策略
控制策略A（Attribution）是主体对客体的访问
规则集，即属性集合。访问策略实际上体现了
一种授权行为，也就是客体对主体的权限允许。
访问控制的目的是为了限制访问主体对访问客
体的访问权限，从而使计算机网络系统在合法
范围内使用；它决定用户能做什么，也决定代
表一定用户身份的进程能做什么。为达到上述
目的，访问控制需要完成以下两个任务：
识别和确认访问系统的用户。
决定该用户可以对某一系统资源进行何
种类型的访问
计
算
机
网
络
安
全
技
术
7种访问控制策略
入网访问控制。
网络的权限控制。
目录级安全控制。
属性安全控制。
网络服务器安全控制。
网络监测和锁定控制。
网络端口和节点的安全
控制。
计
算
机
网
络
安
全
技
术
访问控制矩阵
访问控制系统三个要素之间的行为关系可以用一个访
问控制矩阵来表示。对于任意一个si∈S，oj∈O，都
存在相应的一个aij∈A，且aij=P（si，oj），其中P是
访问权限的函数。aij代表si可以对oj执行什么样的操作
。访问控制矩阵如下：
其中，Si（i=0，1，…，m）是主体对所有客体的权限集合，
Oj（j=0，1，…，n）是客体对所有主体的访问权限集合
计
算
机
网
络
安
全
技
术
访问控制的内容
访问控制的实现首先要考虑对合法用户进行验证，然
后是对控制策略的选用与管理，最后要对非法用户或
是越权操作进行管理。所以，访问控制包括认证、控
制策略实现和审计三个方面的内容。
认证：包括主体对客体的识别认证和客体对主体检
验认证。
控制策略的具体实现：如何设定规则集合从而确
保正常用户对信息资源的合法使用，既要防止非法用
户，也要考虑敏感资源的泄漏，对于合法用户而言，
更不能越权行使控制策略所赋予其权利以外的功能。
安全审计：使系统自动记录网络中的“正常”操作、
“非正常”操作以及使用时间、敏感信息等。审计类
似于飞机上的“黑匣子”，它为系统进行事故原因查
询、定位、事故发生前的预测、报警以及为事故发生
后的实时处理提供详细可靠的依据或支持。
计
算
机
网
络
安
全
技
术
访问控制模型
自主访问控制模型
强制访问控制模型
基于角色的访问控制
模型
其他访问控制模型
基于任务的访问控制模型
基于对象的访问控制模型
计
算
机
网
络
安
全
技
术
自主访问控制模
型
自主访问控制模型（Discretionary Access Control
Model，DAC Model）是根据自主访问控制策略建立
的一种模型，它基于对主体或主体所属的主体组的识
别来限制对客体的访问，也就是由拥有资源的用户自
己来决定其他一个或一些主体可以在什么程度上访问
哪些资源。
自主访问控制又称为任意访问控制，一个主体的访问
权限具有传递性。
为了实现完整的自主访问系统，DAC模型一般采用访
问控制表来表达访问控制信息。
访问控制表（Access Control List，ACL）是基于访问
控制矩阵中列的自主访问控制。它在一个客体上附加
一个主体明细表，来表示各个主体对这个客体的访问
权限。明细表中的每一项都包括主体的身份和主体对
这个客体的访问权限。对系统中一个需要保护的客体
oj附加的访问控制表的结构如图所示。
计
算
机
网
络
安
全
技
术
Oj s0r s1w s2e …… sxrwe
对于客体oj，主体s0只有读（r）的权限；主体s1只有写
（w）的权限；主体s2只有执行（e）的权限；主体sx具有读
（r）、写（w）和执行（e）的权限。
但是，在一个很大的系统中，可能会有非常多的主体和客
体，这就导致访问控制表非常长，占用很多的存储空间，
而且访问时效率下降。使用组（group）或者通配符可以有
效地缩短表的长度。
用户可以根据部门结构或者工作性质被分为有限的几类。
同一类用户使用的资源基本上是相同的。因此，可以把一
类用户作为一个组，分配一个组名，简称“GN”，访问时
可以按照组名判断。通配符“*”可以代替任何组名或者主
体标识符。这时，访问控制表中的主体标识为：主体标识
=ID•GN。
其中，ID是主体标识符，GN是主体所在组的组名。
计
算
机
网
络
安
全
技
术
带有组和通配符的访问控制表示例
上图的第二列表示，属于
TEACH组的所有主体都对客
体oj具有读和写的权限；但是
只有TEACH组中的主体Cai才
额外具有执行的权限（第一列）
；无论是哪一组中的Li都可以
读客体oj（第三列）；最后一
个表项（第四列）说明所有其
他的主体，无论属于哪个组，
都不具备对oj有任何访问权限。
计
算
机
网
络
安
全
技
术
强制访问控制模
型
自主访问控制的最大特点是自主，即资源的拥有者对
资源的访问策略具有决策权，因此是一种限制比较弱
的访问控制策略。这种方式给用户带来灵活性的同时，
也带来了安全隐患。
和DAC模型不同的是，强制访问控制模型
（Mandatory Access Control Model，MAC Model）是
一种多级访问控制策略，它的主要特点是系统对主体
和客体实行强制访问控制：系统事先给所有的主体和
客体指定不同的安全级别，比如绝密级、机密级、秘
密级和无密级。在实施访问控制时，系统先对主体和
客体的安全级别进行比较，再决定主体能否访问该客
体。所以，不同级别的主体对不同级别的客体的访问
是在强制的安全策略下实现的。
计
算
机
网
络
安
全
技
术
在强制访问控制模型中，将安全级别进行排序，
如按照从高到低排列，规定高级别可以单向访
问低级别，也可以规定低级别可以单向访问高
级别。这种访问可以是读，也可以是写或修改。
主体对客体的访问主要有4种方式：
向下读（rd，read down）。主体安全级别高于客体信息资源
的安全级别时允许查阅的读操作。
向上读（ru，read up）。主体安全级别低于客体信息资源的
安全级别时允许的读操作。
向下写（wd，write down）。主体安全级别高于客体信息资
源的安全级别时允许执行的动作或是写操作。
向上写（wu，write up）。主体安全级别低于客体信息资源
的安全级别时允许执行的动作或是写操作。
计
算
机
网
络
安
全
技
术
由于MAC通过将安全级别进行排序实现了信息的单向
流通，因此它一直被军方采用。MAC模型中最主要的
三种模型为：Lattice模型、Bell LaPadula模型（BLP
Model）和Biba模型（Biba Model）。在这些模型中，
信息的完整性和保密性是分别考虑的，因而对读、写
的方向进行了反向规定。
保障信息完整性策略。为了保障信息的完整性，低级
别的主体可以读高级别客体的信息（不保密），但低
级别的主体不能写高级别的客体（保障信息完整），
因此采用的是上读/下写策略。
保障信息机密性策略。与保障完整性策略相反，为了
保障信息的保密性，低级别的主体不可以读高级别的
信息（保密），但低级别的主体可以写高级别的客体
（完整性可能破坏），因此采用的是下读/上写策略。
计
算
机
网
络
安
全
技
术
基于角色的访问
控制模型
在上述两种访问控制模型中，用户的权限可以变更，
但必须在系统管理员的授权下才能进行。然而在具体
实现时，往往不能满足实际需求。主要问题在于：
同一用户在不同的场合需要以不同的权限访问系统，而变更
权限必须经系统管理员授权修改，因此很不方便。
当用户量大量增加时，系统管理将变得复杂、工作量急剧增
加，容易出错。
不容易实现系统的层次化分权管理，尤其是当同一用户在不
同场合处在不同的权限层次时，系统管理很难实现。除非同
一用户以多个用户名注册。
但是如果企业的组织结构或是系统的安全需求出于变
化的过程中时，那么就需要进行大量繁琐的授权变动，
系统管理员的工作将变得非常繁重，更主要的是容易
发生错误造成一些意想不到的安全漏洞。
计
算
机
网
络
安
全
技
术
角色的概念
在基于角色的访问控制模型中，
角色（role）定义为与一个特
定活动相关联的一组动作和责
任。系统中的主体担任角色，
完成角色规定的责任，具有角
色拥有的权限。一个主体可以
同时担任多个角色，它的权限
就是多个角色权限的总和。基
于角色的访问控制就是通过各
种角色的不同搭配授权来尽可
能实现主体的最小权限。最小
权限指主体在能够完成所有必
需的访问工作基础上的最小权
限。
计
算
机
网
络
安
全
技
术
基于角色的访问控制原
理
基于角色的访问控制就是通过定义角色的权限，
为系统中的主体分配角色来实现访问控制的，
如图所示。
用户先经认证后获得一个角色，该角色被分派
了一定的权限，用户以特定角色访问系统资源，
访问控制机制检查角色的权限，并决定是否允
许访问。
计
算
机
网
络
安
全
技
术
其他访问控制模
型
1、基于任务的访问控制模型（Task based
Access Control Model，TBAC Model）。
TBAC是从应用和企业层角度来解决安全问题，
以面向任务的观点，从任务（活动）的角度来
建立安全模型和实现安全机制，在任务处理的
过程中提供动态实时的安全管理。其访问控制
策略及其内部组件关系一般由系统管理员直接
配置，支持最小特权原则和最小泄漏原则，在
执行任务时只给用户分配所需的权限，未执行
任务或任务终止后用户不再拥有所分配的权限；
而且在执行任务过程中，当某一权限不再使用
时，将自动收回该权限。
计
算
机
网
络
安
全
技
术
2．基于对象的访问控
制模型
基于对象的访问控制模型（Object Based
Access Control Model，OBAC Model）。
OBAC模型从受控对象的角度出发，将主体的
访问权限直接与受控对象相关联，一方面定义
对象的访问控制表，增、删、修改访问控制项
易于操作；另一方面，当受控对象的属性发生
改变，或者受控对象发生继承和派生行为时，
无须更新访问主体的权限，只需要修改受控对
象的相应访问控制项即可，从而减少了主体的
权限管理，减轻了由于信息资源的派生、演化
和重组等带来的分配、设定角色权限等的工作
量。
计
算
机
网
络
安
全
技
术
访问控制的安全策略
与安全级别
访问控制的安全策略有以下两
种实现方式：基于身份的安全
策略和基于规则的安全策略。
这两种安全策略建立的基础都
是授权行为。就其形式而言，
基于身份的安全策略等同于
DAC安全策略，基于规则的安
全策略等同于MAC安全策略。
计
算
机
网
络
安
全
技
术
安全策略
实施原则：访问控制安全策略的实施原则围绕主体、
客体和安全控制规则集三者之间的关系展开。
最小特权原则。是指主体执行操作时，按照主体所需
权利的最小化原则分配给主体权力。最小特权原则的
优点是最大限度地限制了主体实施授权行为，可以避
免来自突发事件、错误和未授权主体的危险。也就是
说，为了达到一定目的，主体必须执行一定操作，但
他只能做他所被允许做的，其他除外。
最小泄漏原则。是指主体执行任务时，按照主体所需
要知道的信息最小化的原则分配给主体权力。
多级安全策略。是指主体和客体间的数据流向和权限
控制按照安全级别的绝密（TS）、秘密（S）、机密
（C）、限制（RS）和无级别（U）5级来划分。多级
安全策略的优点是避免敏感信息的扩散。具有安全级
别的信息资源，只有安全级别比它高的主体才能够访
问。
计
算
机
网
络
安
全
技
术
基于身份的安全策略
基于身份的安全策略是过滤对数据或资源的访
问，只有能通过认证的那些主体才有可能正常
使用客体的资源。基于身份的安全策略包括基
于个人的策略和基于组的策略，主要有两种基
本的实现方法，分别为能力表和访问控制表。
基于个人的策略。基于个人的策略是指以用户
个人为中心建立的一种策略，由一些列表组成。
这些列表针对特定的客体，限定了哪些用户可
以实现何种安全策略的操作行为。
基于组的策略。基于组的策略是基于个人的策
略的扩充，指一些用户被允许使用同样的访问
控制规则访问同样的客体。
计
算
机
网
络
安
全
技
术
基于规则的安全策略
基于规则的安全策略中的授权
通常依赖于敏感性。在一个安
全系统中，数据或资源应该标
注安全标记。代表用户进行活
动的进程可以得到与其原发者
相应的安全标记。在实现上，
由系统通过比较用户的安全级
别和客体资源的安全级别来判
断是否允许用户进行访问。
计
算
机
网
络
安
全
技
术
安全级别
安全级别有两个含义，一个是
主、客体系统资源的安全级别，
分为有层次的安全级别和无层
次的安全级别；另一个是访问
控制系统实现的安全级别，这
和《可信计算机系统评估标准
》的安全级别是一样的，分为
D，C（C1，C2），B（B1，
B2，B3）和A共4类7级，由低
到高。
计
算
机
网
络
安
全
技
术
安全审计
计算机网络安全审计是通过一
定的策略，利用记录和分析系
统活动和用户活动的历史操作
事件，按照顺序检查、审查和
检验每个事件的环境及活动，
其中系统活动包括操作系统和
应用程序进程的活动；用户活
动包括用户在操作系统中和应
用程序中的活动，如用户使用
何种资源、使用的时间、执行
何种操作等方面，发现系统的
漏洞并改进系统的性能和安全。
审计是计算机网络安全的重要
组成部分。
计
算
机
网
络
安
全
技
术
安全审计概述
安全审计的目标：对潜在的攻
击者起到震慑和警告的作用；
对于已经发生的系统破坏行为，
提供有效的追究责任的证据，
评估损失，提供有效的灾难恢
复依据；为系统管理员提供有
价值的系统使用日志，帮助系
统管理员及时发现系统入侵行
为或潜在的系统漏洞。
计
算
机
网
络
安
全
技
术
安全审计的类型
有三种：系统级审计、应用级审计和用户级审计。
系统级审计。系统级审计的内容主要包括登录（成功
和失败）、登录识别号、每次登录尝试的日期和时间、
每次退出的日期和时间、所使用的设备、登录后运行
的内容（如用户启动应用的尝试，无论成功或失败）。
典型的系统级日志还包括和安全无关的信息，如系统
操作、费用记账和网络性能。
应用级审计。系统级审计可能无法跟踪和记录应用中
的事件，也可能无法提供应用和数据拥有者需要的足
够的细节信息。通常，应用级审计的内容包括打开和
关闭数据文件，读取、编辑和删除记录或字段的特定
操作以及打印报告之类的用户活动。
用户级审计。用户级审计的内容通常包括：用户直接
启动的所有命令、用户所有的鉴别和认证尝试、用户
所访问的文件和资源等方面。
计
算
机
网
络
安
全
技
术
安全审计系统的基本结
构
安全审计是通过对所关心的事件进行记录和分析来实
现的，因此审计过程包括审计发生器、日志记录器、
日志分析器和报告机制几部分，如图所示。
系统事件
安全事件
应用事件
网络事件
其他事件
审计发生器
审计发生器
审计发生器
审计发生器
审计发生器
日志
记录器
日志
分析器
审计分析报告
日志文件
审计策略
和规则
…
计
算
机
网
络
安
全
技
术
日志的审计
日志的内容：日志系统可根据安全要求的强度
选择记录下列事件的部分或全部：
审计功能的启动和关闭。
使用身份验证机制。
将客体引入主体的地址空间。
删除客体。
管理员、安全员、审计员和一般操作
人员的操作。
其他专门定义的可审计事件。
通常，对于一个事件，日志应包括事件发生的
日期和时间、引发事件的用户（地址）、事件
和源及目的的位置、事件类型、事件成败等。
计
算
机
网
络
安
全
技
术
安全审计的记录机制
不同的系统可采用不同的机制记录日志。日志
的记录可以由操作系统完成，也可以由应用系
统或其他专用记录系统完成。但是，大部分情
况都可用系统调用Syslog来记录日志，也可以
用SNMP记录。Syslog由Syslog守护程序、
Syslog规则集及Syslog系统调用三部分组成。
日志素材 Syslog
系统调用
Syslog
守护程序
Syslog
规则集
日志记录
系统
计
算
机
网
络
安
全
技
术
日志分析
日志分析就是在日志中寻找模式，主要内容如下：
潜在侵害分析。日志分析应能用一些规则去监控审计
事件，并根据规则发现潜在的入侵。这种规则可以是
由己定义的可审计事件的子集所指示的潜在安全攻击
的积累或组合，或者其他规则。
基于异常检测的轮廓。日志分析应确定用户正常行为
的轮廓，当日志中的事件违反正常访问行为的轮廓，
或超出正常轮廓一定的门限时，能指出将要发生的威
胁。
简单攻击探测。日志分析应对重大威胁事件的特征有
明确的描述，当这些攻击现象出现时，能及时指出。
复杂攻击探测。要求高的日志分析系统还应能检测到
多步入侵序列，当攻击序列出现时，能预测其发生步
骤
计
算
机
网
络
安
全
技
术
审计事件查阅
由于审计系统是追踪、恢复的直接依据，甚至
是司法依据，因此其自身的安全性十分重要。
审计系统的安全主要是查阅和存储的安全。
审计事件的查阅应该受到严格的限制，不能篡
改日志。通常通过以下不同的层次保证查阅的
安全：
审计查阅。审计系统以可理解的方式
为授权用户提供查阅日志和分析结果
的功能。
有限审计查阅。审计系统只能提供对
内容的读权限，因此应拒绝具有读以
外权限的用户访问审计系统
可选审计查阅。在有限审计查阅的基
础上限制查阅的范围。
计
算
机
网
络
安
全
技
术
审计事件存储
审计事件的存储也有安全要求，
具体有如下几种情况。
受保护的审计踪迹存储。即要求存储
系统对日志事件具有保护功能，防止
未授权的修改和删除，并具有检测修
改/删除的能力。
审计数据的可用性保证。在审计存储
系统遭受意外时，能防止或检测审计
记录的修改，在存储介质存满或存储
失败时，能确保记录不被破坏。
防止审计数据丢失。在审计踪迹超过
预定的门限或记满时，应采取相应的
措施防止数据丢失。这种措施可以是
忽略可审计事件、只允许记录有特殊
权限的事件、覆盖以前记录、停止工
作等。
计
算
机
网
络
安
全
技
术
安全审计的实施
为了确保审计数据的可用性和正确性，审计数
据需要受到保护，因为不正确的数据也是没用
的。而且，如果不对日志数据进行及时审查，
规划和实施得再好的审计也会失去价值。审计
应该根据需要（经常由安全事件触发）定期审
查、自动实时审查或两者兼而有之。系统管理
人员和系统管理员应该根据计算机安全管理的
要求确定需要维护多长时间的审计数据，其中
包括系统内保存的和归档保存的数据。
与实施有关的问题包括：保护审计数据、审查
审计数据和用于审计分析的工具。
计
算
机
网
络
安
全
技
术
1．保护审计数据
访问在线审计日志必须受到严格限制。计算机安全管
理人员和系统管理员或职能部门经理出于检查的目的
可以访问，但是维护逻辑访问功能的安全管理人员没
有必要访问审计日志。
防止非法修改以确保审计跟踪数据的完整性尤其重要。
使用数字签名是实现这一目标的一种途径。另一类方
法是使用只读设备。入侵者会试图修改审计跟踪记录
以掩盖自己的踪迹是审计跟踪文件需要保护的原因之
一。使用强访问控制是保护审计跟踪记录免受非法访
问的有效措施。当牵涉到法律问题时，审计跟踪信息
的完整性尤为重要（这可能需要每天打印和签署日志）
。此类法律问题应该直接咨询相关法律顾问。
审计跟踪信息的机密性也需要受到保护，如审计跟踪
所记录的用户信息可能包含诸如交易记录等不宜披露
的个人信息。强访问控制和加密在保护机密性方面非
常有效
计
算
机
网
络
安
全
技
术
2．审查审计数据
审计跟踪的审查和分析可以分为在事后检查、
定期检查或实时检查。审查人员应该知道如何
发现异常活动。如果可以通过用户识别码、终
端识别码、应用程序名、日期时间或其他参数
组来检索审计跟踪记录并生成所需的报告，那
么审计跟踪检查就会比较容易。
事后检查。
定期检查。
实时检查。
计
算
机
网
络
安
全
技
术
3．审计工具
审计精选工具。此类工具用于从大量的数据中精选出
有用的信息以协助人工检查。在安全检查前，此类工
具可以剔除大量对安全影响不大的信息。这类工具通
常可以剔除由特定类型事件产生的记录，如由夜间备
份产生的记录将被剔除。
趋势/差别探测工具。此类工具用于发现系统或用户的
异常活动。可以建立较复杂的处理机制以监控系统使
用趋势和探测各种异常活动。例如，如果用户通常在
上午9点登录，但却有一天在凌晨4点半登录，这可能
是一件值得调查的安全事件。
攻击特征探测工具。此类工具用于查找攻击特征，通
常一系列特定的事件表明有可能发生了非法访问尝试。
一个简单的例子是反复进行失败的登录尝试。
计
算
机
网
络
安
全
技
术
Windows NT中的访问控制
与安全审计
Windows NT中的访问
控制
1．Windows NT的安全模型
Windows NT采用的是微内核
（Microkernel）结构和模块化
的系统设计。有的模块运行在
底层的内核模式上，有的模块
则运行在受内核保护的用户模
式上。
计
算
机
网
络
安
全
技
术
Windows NT的安全模型
由4部分构成
登录过程（Logon Process，LP）：接受本地用户或者
远程用户的登录请求，处理用户信息，为用户做一些
初始化工作。
本地安全授权机构（Local Security Authority，LSA）：
根据安全账号管理器中的数据处理本地或者远程用户
的登录信息，并控制审计和日志。这是整个安全子系
统的核心。
安全账号管理器（Security Account Manager，SAM）：
维护账号的安全性管理的数据库。
安全引用监视器（Security Reference Monitor，SRM）：
检查存取合法性，防止非法存取和修改。
这4部分在访问控制的不同阶段发挥各自不同的作用。
计
算
机
网
络
安
全
技
术
2．Windows NT的访问控制过程
（1）创建账号。当一个账号被创建时，Windows NT系统为它分配一个
安全标识（SID）。安全标识和账号惟一对应，在账号创建时创建，账
号删除时删除，而且永不再用。安全标识与对应的用户和组的账号信息
一起存储在SAM数据库里。
（2）登录过程（LP）控制。每次用户登录时，用户应输入用户名、口
令和用户希望登录的服务器/域等信息，登录主机把这些信息传送给系
统的安全账号管理器，安全账号管理器将这些信息与SAM数据库中的信
息进行比较，如果匹配，服务器发给客户机或工作站允许访问的信息，
记录用户账号的特权、主目录位置、工作站参数等信息，并返回用户的
安全标识和用户所在组的安全标识。工作站为用户生成一个进程。
（3）创建访问令牌。当用户登录成功后，本地安全授权机构（LSA）
为用户创建一个访问令牌，包括用户名、所在组、安全标识等信息。以
后用户每新建一个进程，都将访问并复制令牌作为该进程的访问令牌。
（4）访问对象控制。当用户或者用户生成的进程要访问某个对象时，
安全引用监视器（SRM）将用户/进程的访问令牌中的安全标识（SID）
与对象安全描述符（是NT为共享资源创建的一组安全属性，包括所有
者安全标识、组安全标识、自主访问控制表、系统访问控制表和访问控
制项）中的自主访问控制表进行比较，从而决定用户是否有权访问该对
象。
在这个过程中应该注意：安全标识（SID）对应账号的整个有效期，而
访问令牌只对应某一次账号登录。
计
算
机
网
络
安
全
技
术
Windows NT中的安全审计
Windows NT的三个日志文件的物理位置如下：
系统日志：包含所有系统相关事件的信息。
%systemroot%\system32\config\
安全日志：包括有关通过NT可识别安全提供
者和客户的系统访问信息。
%systemroot%\system32\config\
应用程序日志：包括用NT Security authority注
册的应用程序产生的信息。
%systemroot%\system32\config\
计
算
机
网
络
安
全
技
术
NT审计子系统结构
几乎Windows NT系统中的每一项事务都可以在一定程
度上被审计，在Windows NT中可以在Explorer和User
manager两个地方打开审计。
在Explorer中，选择Security，再选择Auditing以激活
Directory Auditing对话框，系统管理员可以在这个窗
口选择跟踪有效和无效的文件访问。
在User manager中，系统管理员可以根据各种用户事
件的成功和失败选择审计策略，如登录和退出、文件
访问、权限非法和关闭系统等。
Windows NT使用一种特殊的格式存放它的日志文件，
这种格式的文件可以被事件浏览器（Event viewer）读
取。事件浏览器可以在Administrative tool程序组中找
到。系统管理员可以使用事件浏览器的Filter选项根据
一定条件选择要查看的日志条目。查看条件包括类别、
用户和消息类型。
计
算
机
网
络
安
全
技
术
审计日志的记录格式
Windows NT的审计日志由一系列的事件记录组成。每
一个事件记录分为三个功能部分：头、事件描述和可
选的附加数据项。下图显示了一个事件记录的结构。
记录头
数据 时间 用户名 计算机名
事件ID 源 类型 种类
事件
描述
可变内容，依赖于事件，可以是问题的文本解释和纠正措
施的建议
附加
数据
附加域。如果采用的话，包含以字节或字显示的二进制数
据及事件
记录的源应用产生的信息
计
算
机
网
络
安
全
技
术
NT事件日志管理特征
Windows NT提供了大量特征给系统管理员去管理操作
系统事件日志机制。例如，管理员能限制日志的大小
并规定当文件达到容量上限时，如何去处理这些文件。
选项包括：用新记录去冲掉最老的记录，停止系统直
到事件日志被手工清除。
当系统开始运行时，系统和应用事件日志也自动开始。
当日志文件满并且系统配置规定它们必须被手工清除
时，日志停止。另一方面，安全事件日志必须由具有
管理者权限的人启动。利用NT的用户管理器，可以设
置安全审计规则。要启用安全审计的功能，只需在“
规则”菜单下选择“审计”，然后通过查看NT记录的
安全事件日志中的安全性事件，即可以跟踪所选用户
的操作。
计
算
机
网
络
安
全
技
术
NT安全日志的审计策
略
NT的审计规则如下（既可以审计成功的操作，
又可以审计失败的操作）：
（l）登录及注销。登录及注销或连接到网络。
（2）用户及组管理。创建、更改或删除用户账号或组，重
命名、禁止或启用用户号，设置和更改密码。
（3）文件及对象访问。对访问的用户，访问的文件、目录、
对象进行审计。如果设置用于打印审计的系统发送打印用户
及打印作业的消息，审计通过后才能打印。
（4）安全性规则更改。对用户权利、审计或委托关系规则
的改动。
（5）重新启动、关机及系统级事件。
（6）进程跟踪。这些事件提供了关于事件的详细跟踪信息，
如程序活动、某些形式句柄的复制、间接对象的访问和退出
进程。对于“文件及对象访问”中的文件和目录的审计还需
要在资源管理器中对要审计的目录或文件进行具体设置。
（7）文件和目录审计。
计
算
机
网
络
安
全
技
术
管理和维护NT审计
通常情况下，Windows NT不是将所有的事件都记录日
志，而需要手动启动审计的功能。这时需要首先从“
开始”菜单中选择“程序”，然后再选择“管理工具
”。从“管理工具”子菜单选择“用户管理器”，显
示出“用户管理器”窗口。然后从“用户管理器”菜
单中单击Policies（策略），再单击audit（审计），“
审计策略”窗口就出现了。接着选择audit these events
单选框（审计这些事件）。最后选择需要启动的事件
按OK，然后关闭“用户管理器”。值得注意的是，在
启动Windows NT的审计功能时，需要仔细选择审计的
内容。审计日志将产生大量的数据，因此较为合理的
方法是首先设置进行简单的审计，然后在监视系统性
能的情况下逐步增加复杂的审计要求。当需要审查审
计日志以跟踪网络或机器上的异常事件时，采用一些
第三方提供的工具是一个较有效率的选择。
