信息安全体系结构

信息安全体系结构（精选12篇）

信息安全体系结构 第1篇

1 信息安全对企业的重要性

现代社会是一个信息爆炸的社会, 信息作为重要的战略资源, 其开发与利用已成为企业竞争能力的关键标志和企业发展的重要推动力。建立一套科学的、规范的信息系统是企业发展势在必行的。

通过信息化建设, 各企业都已建立相关的业务支撑系统、管理信息系统等, 计算机的应用已遍布整个企业内部。例如:电信运营公司内部建立了计费系统、营业账务系统、客户关系管理系统等面向用户的各类业务支撑系统;还建立了办公信息系统、资产管理信息系统、人力资源管理系统等面向企业内部的综合管理信息系统。这些计算机信息系统涉及诸如资金、交易、商业机密、个人隐私等信息, 因此在信息系统建设中一定要重点考虑整个系统的安全问题。安全性问题覆盖了整个系统中主机、网络、通信、应用、信息、数据的方方面面, 以及对网络、设备、通信、操作、人员的安全管理。安全问题能导致信息系统的瘫痪、重要数据的丢失, 使企业用户的业务停顿, 管理陷入混乱, 最终结果是给企业造成严重的经济损失, 导致企业竞争力大大下降。因此信息安全问题, 已经与企业的生存能力息息相关。

2 BS7799和信息安全管理体系 (ISMS)

信息安全发展至今, 人们逐渐认识到安全管理的重要性, 为了指导全面的信息安全工作, 作为信息安全建设蓝图的安全体系就应该顾及安全管理的内容。BS7799是BSI制定的关于信息安全管理方面的标准, 包含两个部分:

1) 第一部分是被采纳为ISO/IEC 17799:2000标准的信息安全管理实施细则, 它在10个标题框架下列举定义了127项作为安全控制的惯例, 供信息安全实践者选择使用;

2) 第二部分是建立信息安全管理体系 (ISMS) 的一套规范, 详细说明了建立、实旌和维护信息安全管理体系的要求, 指出实施机构应该遵循的风险评估标准。

作为一套管理标准, BS77992指导相关人员怎样去应用ISO/IEC 17799, 其最终目的, 还在于建立适合企业需要的信息安全管理体系 (ISMS) 。信息安全管理体系ISMS如图l所示。

BS7799提出的ISMS是一个系统化、程序化和文档化的管理体系, 技术措施只是作为依据安全需求有选择有侧重地实现安全目标的手段而已。不过, Bs7799对ISMS并没有一个明确的定义, 也没有描述ISMS的最终形态, 它只对建立ISMS框架的过程和符合体系认证的内容要求有一定的描述。

3 信息安全技术体系

技术体系部分主要是应用PPDRR模型中PDRR动态自适应的闭环体系, 涵盖了防护、检测、响应、恢复等四部分。其主要是通过以下相关技术实现:

1) 防火墙技术:实现安全系统与外网、内部各网络之间的隔离。利用集中安全监控平台或者独立的防火墙集中管理系统, 完成对全网防火墙的集中管理、集中监控与集中策略管理与审核。

2) 病毒防护:构建具有网络病毒防护能力的病毒防护系统, 可以动态升级病毒库。在中心设置防病毒中心服务器, 并对所有主机、终端等安装防病毒软件客户端。

3) 全漏洞扫描:找出系统中存在的安全漏洞和隐患, 扫描对象包括两类:网络设备和主机设备, 网络设备主要扫描防火墙、路由器等设备的配置是否存在安全漏洞。

4) 入侵检测系统:实时监测系统中的数据包, 对进出各系统的网络流量进行检测, 识别非法连接请求及网络入侵, 自动阻断连接, 报警并记录日志;通过分析关键服务器上的内核级事件、主机日志和网络活动, 执行实时的入侵检测并阻止恶意活动。

5) 身份认证技术:针对企业口令管理以及静态口令不安全问题, 提出动态口令身份认证技术, 保护口令的安全。

6) 系统监控响应:主要通过建立监控管理系统进行监测、响应。监控系统可以将检测到的入侵行为、攻击行为等信息安全事件, 进行自动的响应, 保护系统的安全。

7) 备份容灾技术:在企业中构建备份系统和容灾中心, 当主数据中心由于各种突发性意外原因导致生产系统崩溃时, 备份系统和容灾中心可完全接管全部工作, 并能够在极短时间内, 恢复业务系统的运行。

4 信息安全若干模型的探讨

4.1 IS074982信息安全模型

在IS074982中定义的信息系统安全体系结构由5类安全服务及用来支持安全服务的8种安全机制构成。安全服务体现安全体系所包含的主要功能及内容, 安全机制规定了与安全需求相对应的可以实现安全服务的技术手段, 二者有机结合相互交叉, 在安全体系的不同层次发挥作用。这种安全体系, 充分体现了层次性和结构性。

以下分别介绍ISO 74982安全体系结构的5类安全服务、8种安全机制。

4.1.1 安全服务

1) 鉴别服务:可以鉴别参与通讯的对等实体和源;授权控制的基础;提供双向的认证;一般采用高的密码技术来进行身份认证。

2) 访问控制:控制不同用户对信息资源访问权限;要求有审计核查功能;尽可能地提供细粒度的控制;

3) 数据完整性:是指通过网上传输的数据应防止被修改、删除、插人替换或重发, 以保证合法用户接收和使用该数据的真实性;用于对付主动威胁。

4) 数据保密性:提供保护, 防止数据未经授权就泄露;基于对称密钥和非对称密钥加密的算法;

5) 抗抵赖:接收方要发送方保证不能否认收到的信息是发送方发出的信息, 而不是被他人冒名篡改过的信息;发送方也要求对方不能否认已经收到的信息, 防止否认对金融电子化系统很重要。

4.1.2 安全机制

1) 数据加密机制:向数据和业务信息流提供保密性, 对其他安全机制起补充作用;

2) 数据签名机制:对数据单元签名和验证, 签名只有利用签名者的私有信息才能产生出来;

3) 访问控制机制:利用某个实体经鉴别的身份或关于该实体的信息或该实体的权标, 进行确定并实旌实体的访问权;可用于通讯连接的任何一端或用在中间连接的任何位置;

4) 数据完整性机制:两个方面:单个的数据单元或字段的完整性、数据单元串或字段串的完整性;

5) 鉴别交换机制:通过信息交换以确保实体身份的机制;

6) 业务填充机制:一种制造假的通讯实例、产生欺骗性数据单元或在数据单元中产生假数据的安全机制;提供对各种等级的保护, 防止业务分析;只在业务填充受到保密性服务时有效;

7) 路由控制机制:路由既可以动态选择, 也可以事先安排;携带某些安全标签的数据可能被安全策略禁止通过某些子网、中继站或链路;连接的发起者可以请求回避特定的子网、中继站或链路;

8) 公证机制:关于在两个或三个实体之间进行通讯的数据的性能, 可由公证机制来保证;保证由第三方提供;第三方能得到通讯实体的信任。

ISO 74982安全体系结构针对的是基于OSI参考模型的网络通信系统, 它所定义的安全服务也只是解决网络通信安全性的技术措施, 其他信息安全相关领域, 包括系统安全、物理安全、人员安全等方面都没有涉及。此外, ISO 74982体系关注的是静态的防护技术, 它并没有考虑到信息安全动态性和生命周期性的发展特点, 缺乏检测、响应和恢复这些重要的环节, 因而无法满足更复杂更全面的信息保障的要求。

4.2 IATF信息安全模型

IATF是由美国国家安全局组织专家编写的一个全面描述信息安全保障体系的框架, 它提出了信息保障时代信息基础设施的全套安全需求。IATF提出了信息保障依赖于人、操作和技术来共同实现组织职能、业务运作的思想, 对技术、信息基础设施的管理也离不开这三个要素。人, 借助技术的支持, 实施一系列的操作过程, 最终实现信息保障目标, 这就是IATF最核心的理念。IATF定义了实现信息保障目标的工程过程和信息系统各个方面的安全需求。在此基础上, 对信息基础设施就可以做到多层防护, 这样的防护被称为“深度保护战略”, IATF核心恩想如图2所示。

不过, 尽管信息安全保障体系框架IATF提出了以人为核心的思想, 但整个体系的阐述还是以技术为侧重的, 对于安全管理的内容则很少涉及。IATF为我们指出了设计、构建和实施信息安全解决方案的一个技术框架, 概括了信息安全应该关注的领域和范围、途径和方法、可选的技术性措施, 但并没有指出信息安全最终的表现形态。

4.3 P2DR动态自适应的信息安全模型

P2DR动念自适应安全模型是美国国际互联网安全系统公司 (1SS) 最先提出的, 即Policy (策略) 、Protection (防护) 、Detection (检测和Response (响应) 。按照P2DR的观点, 一个完整的动态安全体系, 不仅需要恰当的防护 (如操作系统访问控制、防火墙、加密等) , 而且需要动态的检测机制 (如入侵检测、漏洞扫描等) , 在发现问题时还需要及时响应, 这样的体系需要在统一的、一致的安全策略指导下实施, 形成一个完备的、闭环的动态自适应安全体系。

P2DR模型是建立在基于时间的安全理论基础之上的:Pt:攻击成功所需时间被称作安全体系能够提供的防护时间:Dt:在攻击发生的同时, 检测系统发挥作用, 攻击行为被检测出来需要的时间;Rt:检测到攻击之后, 系统会做出应有的响应动作, 所需时间被称作响应时问;Et:系统暴露时间, 即系统处于不安全状况的时间 (Et=Dt+Rt-Pt) 要实现安全, 必须让防护时间大于检测时间加上响应时间, 即:Pt>Dt+Rt。

P2DR模型基本上体现了比较完整的信息安全体系的思想, 勾画出信息安全体系建立之后一个良好的表现形态。近十年来, 该模型被普遍使用。

P2DR动态自适应安全体系模型针对的是基于时间的安全理论构建的闭环的动态体系结构, 也只是解决信息安全的技术措施, 其他信息安全相关领域, 包括系统安全、物理安全、人员安全等方面都没有涉及。此外, P2DR动态自适应安全体系虽然已经关注信息安全动态性和生命周期性的发展特点, 但缺乏恢复的环节, 因而无法满足更复杂更全面的信息保障的要求。

4.4 PPDRR的信息安全模型

在P2DR模型中, 恢复 (Recovery) 环节是包含在响应 (Response) 环节中的, 作为事件响应之后的一项处理措施, 不过, 随着人们对业务连续性和灾难恢复愈加重视, 尤其是911恐怖事件发生之后, 人们对P2DR模型的认识也就有了新的内容, 于是, PPDRR模型就应运而生了。PPDRR模型, 或者叫P2DR2, 与P2DR唯一的区别就是把恢复环节提到了和防护、检测、响应等环节同等的高度。在PPDRR模型中, 安全策略、防护、检测、响应和恢复共同构成了完整的信息安全体系。PPDRR也是基于时间的动态模型, 其中, 恢复环节对于信息系统和业务活动的生存起着至关重要的作用, 组织只有建立并采用完善的恢复计划和机制, 其信息系统才能在重大灾难事件中尽快恢复并延续业务。

基于PPDRR的安全体系模型针对的同样是基于时间的安全理论构建的闭环的动态体系结构, 仍没涉及其他信息安全相关领域, 包括系统安全、物理安全、人员安全等方面都没有涉及。因而无法满足更复杂更全面的信息保障的要求。

5 结束语

本文作者主要对信息安全体系结构领域中现有的各种体系模型进行了综述和分析, 详细地讨论了各种体系模型的优缺点。使我们能够从整体上把握信息安全体系结构领域的研究和发展方向, 为我们以后的研究工作奠定了必要的理论基础。

参考文献

[1]林宁, 吴志刚.我国信息安全标准化现状[J].计算机世界:信息安全专刊, 2003 (8) .

[2]孙强, 陈伟, 王东红.信息安全管理:全球最佳实务与实施指南[M].北京:清华大学出版社, 2004.

[3]金纯, 郑武, 陈林星.无线网络安全:技术与策略[M].北京:电子工业出版社, 2004.

信息安全风险与信息安全体系论文 第2篇

信息安全风险与信息安全体系论文【1】

摘要：信息概念是由信息论的创立者申农提出的，他把信息定义为在信宿中用来消除对于在信源中发出的消息的不确定性的东西。

它包含的两个特质也揭示了成熟的信息的存在与能动主体的目的性行为是不可分的，本文就信息安全进行讨论主要包括信息安全风险与体系结构、漏洞扫描技术与信息安全管理等。

关键词：信息;安全

信息是客观世界中物质和能量存在和变动的有序形式，和组织系统对这个形式的能动的反映及改组。

其中前一个表语表述了信息概念的广义内涵，后一个表语表述了信息概念的狭义内涵。

一、信息的概述

信息是物质的普遍性，是物质运动的状态与方式。

信息的一般属性主要包括普遍性、客观性、无限性、动态性、异步性、共享性 、可传递性等。

信息的功能是信息属性的体现 ，主要可以分为两个层次：基本功能和社会功能。

信息的功能主要体现在以下几个方面：信息是一切生物进化的导向资源，是知识的来源，是决策的依据，是控制的灵魂，是思维的材料。

二、信息安全的重要性

在当今的信息时代，必须保护对其发展壮大至关重要的信息资产，因此，保护信息的私密性、完整性、真实性和可靠性的需求已经成为企业和消费者的最优先的需求之一。

安全漏洞会大大降低公司的市场价值，甚至威胁企业的生存。

当今世界已进入信息社会，随着计算机、通信技术的迅猛发展，计算机信息系统的广泛应用，促使它渗透到社会各个行业和部门，人们对它的依赖性越来越大。

在军事、经济、科学技术、文化教育商业等行业中，重要的信息资源是通过计算机网络进行输入、处理、存储、传递、输出， 给人们提供迅速、高效的各种信息服务，因此如果不重视计算机信息系统的保护，国家的机要信息资源如不加保护，势必容易被非法窃取、更改、毁坏，将会造成国民经济的巨大损失，国家安全的严重危害。

三、信息安全体系结构

(1)息安全的保护机制

信息安全保护存在的主要问题与政策： 正确的信息安全政策和策略是搞好国家信息安全保护工作的关键， 引发信息安全问题的因素有有外部因素和内部两方面，主要的因素在于内部如信息安全政策不确定;信息安全保护工作组织管理制度不健全，安全责任制不落实，导致管理混乱、安全管理与技术规范不统一;信息安全市场和服务混乱、不规范;国家监管机制不健全，监管手段缺乏等。

信息安全等级保护要贯彻国家保护重点和基础信息网络与重要信息系统内分区重点兼顾一般的原则。

(2)信息安全体系框架

依据信息安全的多重保护机制，信息安全系统的总要求是物理安全、网络安全、信息内容安全、应用系统安全的总和，安全的最终目标是确保信息的机密性、完整性、可用性、可空性和抗抵赖性，以及信息系统主体对信息资源的控制。

完整的信息系统安全体系框架由技术体系、组织机构体系和管理体系共同构建。

为了适应信息技术的迅速发展以及信息安全的突出需求，国际上许多标准化组织和机构很早就开始了信息安全标准的研究和制定工作，如美国的国防部DOD(Department Of Defense)，国际标准化组织ISO，英国标准化协会BSI(British Standards Institute)等。

四、漏洞扫描技术与信息安全管理

(1)漏洞扫描技术

一般认为，漏洞是指硬件、软件或策略上存在的安全缺陷，从而使得攻击者能够在未授权的情况下访问、控制系统。

随着Internet的不断发展，信息技术已经对经济发展、社会进步产生了巨大的推动力。

不管是存储在工作站、服务器中还是流通于Internet上的信息，都已转变成为一个关系事业成败的策略点，因此，保证信息资源的安全就显得格外重要。

目前，国内网络安全产品主要是以硬件为主，防火墙、入侵检测系统、VPN应用较为广泛。

漏洞扫描系统也是网络安全产品中不可缺少的一部分，有效的安全扫描是增强计算机系统安全性的重要措施之一，它能够预先评估和分析系统中存在的各种安全隐患。

换言之，漏洞扫描就是对系统中重要的数据、文件等进行检查，发现其中可被黑客所利用的漏洞。

随着黑客入侵手段的日益复杂和通用系统不断发现的安全缺陷，预先评估和分析网络系统中存在的安全问题已经成为网络管理员们的重要需求。

漏洞扫描的结果实际上就是系统安全性能的一个评估报告，因此成为网络安全解决方案中的一个重要组成部分。

(2)信息安全管理

随着社会信息化的深入和竞争的日益激烈，信息安全问题备受关注。

制定信息安全管理策略及制度才能有效的保证信息的安全性。

制定信息安全管理策略及制度

目前关于信息安全的理论研究，一个是信息安全问题不仅仅是保密问题，信息安全是指信息的保密性、完整性和可用性的保持，其最终目标是降低组织的业务风险，保持可持续发展;另一个观点是，信息安全问题不单纯是技术问题，它是涉及很多方面如历史，文化，道德，法律，管理，技术等方面的综合性问题，单纯从技术角度考虑是不可能得到很好解决的。

这里讨论的组织是指在既定法律环境下的盈利组织和非盈利组织，其规模和性质不足以直接改变所在国家或地区的信息安全法律法规。

作为这样一个组织实体应该有一个完整的信息安全策略。

信息安全策略也叫信息安全方针，是组织对信息和信息处理设施进行管理，保护和分配的原则，以及使信息系统免遭入侵和破坏而必须采取的措施，它告诉组织成员在日常的工作中哪里是安全区，哪里是敏感区，就像交通规则之于车辆和行人，信息安全策略是有关信息安全的行为规范。

制定信息安全管理制度应遵循如下统一的安全管理原则：

(1)规范化原则。

各阶段都应遵循安全规范要求，根据组织安全信息需求，制定安全策略。

(2)系统化原则。

根据安全工程的要求，对系统个阶段，包括以后的升级、换代和功能扩展进行全面统一地考虑。

(3)综合保障原则。

人员、资金、技术等多方面 综合保障。

(4)以人为本原则。

技术是关键，管理是核心，要不断提高管理人员的技术素养和道德水平。

(5)首长负责原则。

(6)预防原则。

安全管理以预防为主，并要有一定的超前意识。

(7)风险评估原则。

根据实践对系统定期进行风险评估以改进系统的安全状况。

(8)动态原则。

根据环境的改变和技术的进步，提高系统的保护能力。

(9)成本效益原则。

根据资源价值和风险评估结果，采用适度的保护措施。

(10)均衡防护原则。

信息安全系统工程

安全系统工程运用系统论的观点和方法 ，结合工程学原理及有关专业知识来研究生产安全管理和工程的新学科，是系统工程学的一个分支。

其研究内容主要有危险的识别、分析与事故预测;消除、控制导致事故的危险;分析构成安全系统各单元间的关系和相互影响，协调各单元之间的关系，取得系统安全的最佳设计等。

目的是使生产条件安全化，使事故减少到可接受的水平。

安全系统工程不仅从生产现场的管理方法来预防事故，而且是从机器设备的设计、制造和研究操作方法阶段就采取预防措施，并着眼于人机系统运行的稳定性，保障系统的安全。

信息安全风险评估与安全预算【2】

随着我国信息化建设进程不断加速，各类企事业都在积极运用网络带来的便利，对各种信息系统的依赖性也在不断增强，但是信息系统的脆弱性也日益暴露，如何通过有效的手段，保证有限的安全预算发挥出最大的效果，以保证信息安全，成为大家共同面临的问题。

构建立体信息安全体系 第3篇

天融信CEO于海波表示：“网络威胁瞬息万变，这就要求我们的安全防御体系也要有应对瞬息万变安全问题的能力，以识别、发现和感知最新的变化。”于海波提出了“安全是感知、安全是融合、安全是服务和安全是信赖”等新理念。

天融信通过前沿安全研究中心、天融信阿尔法实验室、企业博士后流动站、美国硅谷的安全分析实验室、与运营商共同搭建的安全云服务中心，构建了五位一体的企业级安全感知系统。尤其是安全云服务中心，提供了网站监控、设备监控、事件监控、可用性监控、舆情监控、云恢复、云加速等7x24小时的实时安全监控服务，并藉此实时跟踪全球最新安全态势。

于海波强调信息安全建设要有全面融合的思想，他认为未来的信息安全建设务必在技术层面要实现相互融合，天融信就在终端安全、边界安全、应用和数据安全、监控审计、安全管理等系列技术体系中进行融合。同时他还强调，安全有其独特的一面，产品必须和服务融合，整体安全也必将与业务融合。

在日前天融信举办的以“构建安全能力 ，提升业务价值”为主题的全国信息安全高层系列研讨会上，天融信展示了其全新的云安全服务业务。依托已经建成的多个安全云服务中心，天融信已经为上千个客户提供了7x24小时的安全服务，并以安全云服务中心为支撑为客户提供了专业安全咨询、评估、设计、建设、运维和应急响应服务。

天融信提出安全必须实现可信赖，不仅实现业务系统之间的可信，将安全的能力嵌入到每个系统之中，除技术层面信赖关系的建立以外，更需要打造一个安全信赖的生态链，构建用户和产品提供商、服务提供商之间的信赖关系，共同构建可信安全架构。

网络信息安全体系结构之研究 第4篇

关键词：计算机网络信息,信息安全,安全体系结构,构建

0 引言

如今世界发展步入了信息化时代,网络信息系统在国家的各个领域中得到了普遍应用,人们的生活生产充分认识到了计算机网络信息的重要性,很多企业组织发展加强了对信息的依赖。但在计算机网络信息类型增多和人们使用需求提升以及计算机网络系统自身存在的风险,计算机网络信息系统安全管理成为有关人员关注的重点。为了避免计算机使用用户信息泄露、信息资源的应用浪费、计算机信息系统软硬件故障对信息准确性的不利影响,需要有关人员构建有效的计算机网络信息安全结构体系,通过该结构体系的构建保证计算机网络信息系统运行的安全。

1 计算机网络信息系统安全概述

1.1 计算机网络信息系统安全内涵和发展目标

计算机网络信息系统安全是指计算机信息系统结构安全,计算机信息系统有关元素的安全,以及计算机信息系统有关安全技术、安全服务以及安全管理的总和。计算机网络信息系统安全从系统应用和控制角度上看,主要是指信息的存储、处理、传输过程中体现其机密性、完整性、可用性的系统辨识、控制、策略以及过程。

计算机网络信息系统安全管理的目标是实现信息在安全环境中的运行。实现这一目标需要可靠操作技术的支持、相关的操作规范、计算机网络系统、计算机数据系统等。

1.2 计算机网络信息系统安全体系结构概述

在计算机网络技术的不断发展下,基于经典模型的计算机网络信息安全体系结构不再适用,为了研究解决多个平台计算机网络安全服务和安全机制问题,在1989年的时候有关人员提出了开放性的计算机网络信息安全全体系结构标准,确定了计算机三维框架网络安全体系结构。三维框架网络安全体系结构具体如图1所示。

2 计算机网络信息安全体系结构特点

2.1 保密性和完整性特点

计算机网络信息的重要特征是保密性和完整性,能够保证计算机网络信息应用的安全。保密性主要是指保证计算机网络系统在应用的过程中机密信息不泄露给非法用户。完整性是指计算机信息网络在运营的过程中信息不能被随意篡改。

2.2 真实性和可靠性特点

真实性主要是指计算机网络信息用户身份的真实,从而避免计算机网络信息应用中冒名顶替制造虚假信息现象的出现。可靠性是指计算机信息网络系统在规定的时间内完成指定任务。

2.3 可控性和占有性特点

可控性是指计算机网络信息全系统对网络信息传播和运行的控制能力,能够杜绝不良信息对计算机网络信息系统的影响。占有性是指经过授权的用户拥有享受网络信息服务的权利。

3 计算机网络信息安全体系存在的风险

3.1 物理安全风险

计算机网络信息物理安全风险包含物理层中可能导致计算机网络系统平台内部数据受损的物理因素,主要包括由于自然灾害带来的意外事故造成的计算机系统破坏、电源故障导致的计算机设备损坏和数据丢失、设备失窃带来的计算机数据丢失、电磁辐射带来的计算机信息数据丢失等。

3.2 网络系统安全风险

计算机信息网络系统安全风险包括计算机数据链路层和计算机网络层中能够导致计算机系统平台或者内部数据信息丢失、损坏的因素。网络系统安全风险包括网络信息传输的安全风险、网络边界的安全风险、网络出现的病毒安全风险、黑客攻击安全风险。

3.3 系统应用安全风险

计算机信息网络系统的应用安全风险包括系统应用层中能够导致系统平台和内部数据损坏的因素,包括用户的非法访问、数据存储安全问题、信息输出问题、系统安全预警机制不完善、审计跟踪问题。

4 计算机网络信息安全体系结构构建分析

4.1 计算机网络信息安全体系结构

计算机网络信息安全结构是一个动态化概念,具体结构不仅体现在保证计算机信息的完整、安全、真实、保密等,而且还需要有关操作人员在应用的过程中积极转变思维,根据不同的安全保护因素加快构建一个更科学、有效、严谨的综合性计算机网络信息安全保护屏障,具体的计算机网络信息安全体系结构模式需要包括以下几个环节:

(1)预警

预警机制在计算机网络信息安全体系结构中具有重要的意义,也是实施网络信息安全体系的重要依据,在对整个计算机网络环境、网络安全进行分析和判断之后为计算机信息系统安全保护体系提供更为精确的预测和评估。

(2)保护

保护是提升计算机网络安全性能,减少恶意入侵计算机系统的重要防御手段,主要是指经过建立一种机制来对计算机网络系统的安全设置进行检查,及时发展系统自身的漏洞并予以及时弥补。

(3)检测

检测是及时发现入侵计算机信息系统行为的重要手段,主要是指通过对计算机网络信息安全系统实施隐蔽技术,从而减少入侵者发现计算机系统防护措施并进行破坏系统的一种主动性反击行为。检测能够为计算机信息安全系统的响应提供有效的时间,在操作应用的过程中减少不必要的损失。检测能够和计算机系统的防火墙进行联动作用,从而形成一个整体性的策略,设立相应的计算机信息系统安全监控中心,及时掌握计算机信息系统的安全运行情况。

(4)响应

如果计算机网络信息安全体系结构出现入侵行为,需要有关人员对计算机网络进行冻结处理,切断黑客的入侵途径,并做出相应的防入侵措施。

(5)恢复

三维框架网络安全体系结构中的恢复是指在计算机系统遇到黑客供给和入侵威胁之后,对被攻击和损坏的数据进行恢复的过程。恢复的实现需要三维框架网络安全体系结构体系对计算机网络文件和数据信息资源进行备份处理。

(6)反击

三维框架网络安全体系结构中的反击是技术性能高的一种模块,主要反击行为是标记跟踪,即对黑客进行标记,之后应用侦查系统分析黑客的入侵方式,寻找黑客的地址。

4.2 基于三维框架网络安全体系结构计算机安全统平台的构建

(1)硬件密码处理安全平台

该平台的构建面向整个计算机业务网络,具有标准规范的API接口,通过该接口能够让整个计算机系统网络所需的身份认证、信息资料保密、信息资料完整、密钥管理等具有相应的规范标准。

(2)网络级安全平台

该平台需要解决计算机网络信息系统互联、拨号网络用户身份认证、数据传输、信息传输通道的安全保密、网络入侵检测、系统预警系统等问题。在各个业务进行互联的时候需要应用硬件防火墙实现隔阂处理。在计算机网络层需要应用SVPN技术建立系统安全虚拟加密隧道,从而保证计算机系统重要信息传输的安全可靠。

(3)应用安全平台

该平台的构建需要从两个方面实现:第一,应用计算机网络自身的安全机制进行应用安全平台的构建。第二,应用通用的安全应用平台实现对计算机网络上各种应用系统信息的安全防护。

(4)安全管理平台

该平台能够根据计算机网络自身应用情况采用单独的安全管理中心、多个安全管理中心模式。该平台的主要功能是实现对计算机系统密钥管理、完善计算机系统安全设备的管理配置、加强对计算机系统运行状态的监督控制等。

(5)安全测评认证中心

安全测评认证中心是大型计算机信息网络系统必须要建立的。安全测评认证中心的主要功能是通过建立完善的网络风险评估分析系统,及时发现计算机网络中可能存在的系统安全漏洞,针对漏洞指定计算机系统安全管理方案、安全策略。

4.3 计算机网络信息安全体系的实现分析

(1)计算机信息安全体系结构在攻击中的防护措施

如果计算机网络信息受到了病毒或者非法入侵,计算机网络信息安全体系结构则是能够及时组织病毒或者非法入侵进入电脑系统。三维框架网络安全体系结构在对计算机网络信息系统进行综合分析的过程中,能够对攻击行为进行全面的分析,及时感知到计算机系统存在的安全隐患。

(2)计算机信息安全体系结构在攻击之前的防护措施

计算机网络信息支持下各种文件的使用也存在差异,越高使用频率的文件就越容易得到黑客的攻击。为此,需要在文件被攻击之前做好计算机网络信息安全防护工作,一般对使用频率较高文件的保护方式是设置防火墙和网络访问权限。同时还可以应用三维框架网络安全体系结构来分析计算机系统应用潜在的威胁因素。

(3)加强对计算机信息网络的安全管理

对计算机信息网络的安全管理是计算机系统数据安全的重要保证,具体需要做到以下几点:①拓展计算机信息网络安全管理范围。针对黑客在计算机数据使用之前对数据进行攻击的情况,有关人员可以在事先做好相应的预防工作,通过对计算机系统的预防管理保证计算机信息技术得到充分应用。②加强对计算机信息网络安全管理力度。具体表现为根据计算机系统,对计算机用户信息情况全面掌握,在判断用户身份的情况下做好加密工作,保证用户数据信息安全。

(4)实现对入侵检测和计算机数据的加密

入侵检测技术是在防火墙技术基础上发展起来的一种补充性技术,是一种主动防御技术。计算机信息系统入侵检测技术工作包含对用户活动进行分析和监听、对计算机系统自身弱点进行审计、对计算机系统中的异常行为进行辨别分析、对入侵模式进行分析等。入侵检测工作需要按照网络安全要求进行,基于入侵检测是从外部环境入手,很容易受到外来信息的破坏,为此需要有关人员加强对计算机数据的加密处理。

5 结束语

综上所述,在现代科技的发展下,人们对计算机网络信息安全体系结构提出了更高的要求,需要应用最新技术完善计算机网络信息安全体系结构,从而有效防止非法用户对计算机信息安全系统的入侵、减少计算机网络信息的泄漏、实现对网络用户个人利益的维护,从而保证计算机网络信息安全系统的有效应用。

参考文献

[1]唐俊,赵晓娟,贾逸龙.企业信息系统安全体系结构的研究[J].微计算机信息,2010.

[2]邹白茹,李聪,蒋云霞.网络环境下重要信息系统安全体系结构的研究[J].中国安全科学学报,2010.

信息安全体系结构 第5篇

随身预见，动感互联。

处理资料要谨慎，安全第一最稳阵。

遇见一个连接的世界。

除网络陋习，讲勤学上进，树文明新风，建和谐校园。

维护网络安全，保护个人隐私。

个人信息勿泄露，安全意识存心头。

聚网络文明之风，传文明网络之行。

君子之于网事，于节于礼于制。

人人关心信息安全，家家享受智慧服务。

个人资料要小心，资讯安全勿轻心。

智取人生，先人一步。

未来世界，移动掌控。

智能移动，先行者立。

提高个人信息保护意识，保护个人合法权益。

共建网络安全，共享网络文明。

掌握网络安全知识，保护个人安全信息。

网络无边，青春有限，珍惜时间，文明上网。

筑牢网络安全基石，成就网络强国梦想。

妥善运用及保护个人信息，避免因个人信息泄露而让犯罪分子有机可乘。

预见未来，创新科技。

智拓人生，无限未来。

构建企业网络信息安全体系 第6篇

关键词:信息安全;黑客;屏蔽;日志;入侵

中图分类号:TP393.08 文献标识码:A文章编号:1007-9599 (2010) 06-0000-02

Construction of Enterprise Network Information Security System

Chen Dan

(Guangdong Justice Police Vocational College,Guangzhou510520,China)

Abstract:As viruses,hackers,malicious attacks means emerge in endlessly,enterprise's information security also suffer unprecedented threat,if build enterprise network information security system has become an enterprise's survival and development of the primary consideration to the problem.From the"physical security,system security,network security,application security and security management from five aspects"explains detail of the construction enterprise information safety requirements and implementation scheme.

Keywords:Information safety;Hackers;Shielding;Log;Invasion

随着计算机的网络化和全球化,信息已经成为企业竞争的重要资源之一,然而,信息领域的犯罪也随之而来,商业黑客、病毒、恶意攻击等对企业造成了巨大的危害和损失。2010年1月12日,百度首页被黑的事件,充分说明了企业仍然面临严重的信息安全问题。面对病毒肆虐,黑客侵扰,泄密及窃密等造成的巨大损失,企业唯有构建安全稳健的网络信息安全体系,才能确保在利用互联网获取和传递信息的万无一失。

企业构建网络信息安全体系的总体目标是:建立具有信息安全防护能力、隐患发现能力、网络应急反应能力和信息对抗能力的信息安全保障体系,提高整体信息安全管理水平,切实保障网络安全和信息安全。保证信息的可用性、完整性、保密性;保证网络系统服务的连续性;保证攻击、破坏的可追查性;保证安全管理的可实施性。充分利用认证、访问控制、加密、入侵检测等安全技术,按需求提供多层次的安全保密和防范功能,逐步建立应急处理和数据灾难备份系统,并完善安全管理体系。

企业网络信息安全体系建设要做到“物理安全、系统安全、网络安全、应用安全及管理安全”。

一、物理安全

保证计算机信息系统各类设备的物理安全是保障信息化应用系统安全的前提。物理安全是保护计算机网络设备、设施以及其他媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏,主要包括:环境安全、设备安全、媒体安全三个方面。

环境安全:对系统所在环境的安全保护,如区域保护和灾难保护。

设备安全:设备安全主要包括设备的防盗、防毁、电源保护等。

媒体安全:包括媒体数据的安全及媒体本身的安全。显然,为保证信息网络系统的物理安全,除在网络规划和场地、环境等要求之外,还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经很多,在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示技术给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散,通常是在物理上采取一定的防护措施,来减少或干扰扩散出去的空间信号。

避免信息在空间扩散的防范措施主要有三个方面:

对主机房及重要信息存储、收发部门进行屏蔽处理,即建设一个具有高效屏蔽效能的屏蔽室,用它来安装运行主要设备,以防止磁鼓、磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能,在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计,如信号线、电话线、空调、消防控制线,以及通风、波导,门的关起等。

对本地网、局域网传输线路传导辐射的抑制,由于电缆传输辐射信息的不可避免性,现均采用光缆传输的方式,大多数均在Modem出来的设备用光电转换接口,用光缆接出屏蔽室外进行传输。

对终端设备辐射的防范。终端机尤其是CRT显示器,由于上万伏高压电子流的作用,辐射有极强的信号外泄,但又因终端分散使用不宜集中采用屏蔽室的办法来防止,故现在的要求除在订购设备上尽量选取较低辐射的产品外,目前主要采取主动式的干扰设备如干扰机来破坏对应信息的窃取,个别重要的首脑或集中的终端也可考虑采用有窗子的装饰性屏蔽室,这种方法虽然降低了部份屏蔽效能,但可大大改善工作环境,使人感到是在普通机房内工作。

二、系统安全

系统安全建设内容包括:访问控制措施、安全审计、补丁策略、负载均衡、扩展的基线加固、日志保护、病毒防护、页面防篡改、URL内容过滤、数据库保护、加密备份。

访问控制:进一步控制服务或应用信息的访问,加强对用户“权利”的指派控制,在每台服务器上启用C2级系统自身的审核机制,完成对用户特权、登录事件、特殊对象访问等类别的审核记录。

主机审计:在一些特殊关键的系统上配置主机审计系统,便于更深入的检测、发现、排除任何入侵行为及系统、服务的安全漏洞。同时管理员可利用其优异的统计报表和报文回放功能,建立阶段性的“风险--威胁分析报表”,便于下一阶段安全策略更新条目的完善。

页面防篡改:需要在安全管理服务器上部署网页防篡改监测系统,在具体的站点服务器上部署网页防篡改的监控代理端,实时监测对外服务网站的运行,如果发现对页面的修改,将实时修复和报警,实现对网站页面的保护。

URL内容过滤:防止访问互联网中含有反动、色情等不良信息的网站,堵截和阻止不良信息的传播,创造一个良好健康的网络环境。

负载均衡:在开销允许的情况下,为部分或所有业务服务器或业务应用配置集群或负载均衡措施,可选择采用内容服务交换机作为维持服务器应用负载均衡的控制设备。

加密备份:作为补充建议,在开销和需求允许的情况下,可考虑对重要资产的数据备份进行适当的加密处理,避免因备份介质丢失而造成的数据内容泄露。

三、网络安全

网络安全是整个安全解决方案的关键,包括:访问控制、通信保密、入侵检测、网络安全扫描系统、防病毒等。

隔离与访问控制:企业内部办公自动化网络根据不同用户安全级别或者根据不同部门的安全需求,利用三层交换机来划分虚拟子网,在没有配置路由的情况下,不同虚拟子网间是不能够互相访问。通过虚拟子网的划分,能够实现较粗略的访问控制。

防火墙:防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。防火墙通过制定严格的安全策略实现内外网络或内部网络不同信任域之间的隔离与访问控制。并且防火墙可以实现单向或双向控制,对一些高层协议实现较细粒度的访问控制。

通信保密:数据的机密性与完整性,主要是为了保护在网上传送的私密信息,经过配备加密设备,使得在网上传送的数据是密文形式,而不是明文。可以根据情况选择链路层加密、网络层加密等不同方式。

入侵检测:入侵检测系统是根据已有的、最新的攻击手段的信息代码对进出局域网段的所有操作行为进行实时监控、记录,并按制定的策略实行响应(阻断、报警、发送E-mail)。从而防止针对网络的攻击与犯罪行为。入侵检测系统一般包括控制台和探测器(网络引擎)。控制台用作制定及管理所有探测器(网络引擎)。探测器(网络引擎)用作监听进出网络的访问行为,根据控制台的指令执行相应行为。由于探测器采取的是监听不是过滤数据包,因此,入侵检测系统的应用不会对网络系统性能造成太大影响。

漏洞扫描:漏洞扫描系统可以对网络中所有部件(Web站点,防火墙,路由器,TCP/IP及相关协议服务)进行攻击性扫描、分析和评估,发现并报告系统存在的弱点和漏洞,评估安全风险,建议补救措施。漏洞扫描系统可以对网络系统中的所有操作系统进行安全性扫描,检测操作系统存在的安全漏洞,并产生报表,以供分析;还会针对具体安全漏洞提出补救措施。

病毒防护:用户使用的操作系统一般均为Windows系统,比较容易感染病毒。在网络环境下,计算机病毒有不可估量的威胁性和破坏力。因此计算机病毒的防范也是网络安全建设中应该考虑的重要的环节之一。反病毒技术包括预防病毒、检测病毒和杀毒三种技术。

预防病毒技术通过自身常驻系统内存,优先获得系统的控制权,监视和判断系统中是否有病毒存在,进而阻止计算机病毒进入计算机系统和对系统进行破坏。这类技术有,加密可执行程序、引导区保护、系统监控与读写控制(如防病毒卡等)。

检测病毒技术是通过对计算机病毒的特征来进行判断的技术(如自身校验、关键字、文件长度的变化等),来确定病毒的类型。

杀毒技术通过对计算机病毒代码的分析,开发出具有删除病毒程序并恢复原文件的软件。反病毒技术的具体实现方法包括对网络中服务器及工作站中的文件及电子邮件等进行频繁地扫描和监测。一旦发现与病毒代码库中相匹配的病毒代码,反病毒程序会采取相应处理措施(清除、更名或删除),防止病毒进入网络进行传播扩散。

四、应用安全

通过利用数字签名、加密防护、授权管理,实现高强度身份认证,实现授权管理和责任认定。

建设统一认证授权、资源共享平台,实现统一身份认证和单点登录、资源共享,可以体现信息化多套管理系统的融合性。通过这种有机结合,更好地体现统一平台,大集中的理念。同时,这样做也利于各管理系统的相互促进与相互宣传,资源共享。严格控制内部员工对网络共享资源的使用。在内部子网中一般不要轻易开放共享目录,否则较容易因为疏忽而在与员工间交换信息时泄漏重要信息。对有经常交换信息需求的用户,在共享时也必须加上必要的口令认证机制,即只有通过口令的认证才允许访问数据。虽然说用户名加口令的机制不是很安全,但对一般用户而言,还是起到一定的安全防护,即使有刻意破解者,只要口令设得复杂些,也得花费相当长的时间。

对有涉及私密信息的用户主机,使用者在应用过程中应该做到尽量少开放一些不常用的网络服务。对数据库服务器中的数据库必须做安全备份。通过网络备份系统,可以对数据库进行远程备份存储。

针对信息的安全性、完整性、正确性和不可否认性等问题,目前国际上先进的方法是采用信息加密技术、数字签名技术。具体实现的办法是使用数字证书,通过数字证书,把证书持有者的公开密钥与用户的身份信息紧密安全地结合起来,以实现身份确认和不可否认性。

五、安全管理

制定健全的安全管理体制将是网络安全得以实现的重要保证。可以根据企业自身的实际情况,制定如安全操作流程、安全事故的奖罚制度以及对任命安全管理人员的考查等。

安全组织体系建设:建立网络安全建设领导小组,由主管领导、网络管理员、安全操作员等人员组成。

安全管理制度建设:面对网络安全的脆弱性,在网络设计上增加安全服务功能,完善系统的安全保密措施同时,按照多人负责、任期有限、职责分离等实施原则,建立健全安全管理制度。

安全管理手段:采用可行的技术对全网的设备、策略、安全事件统一整合、管理,以确保管理制度的顺利实施。

做到以上五点安全措施,企业就能构建起一个安全的网络环境。然而,互联网瞬息万变,黑客的攻击手段也会不断更新,因此,构建安全的企业信息环境也是一个长期而复杂的过程,我们的企业只有不断的探索并应用新的信息安全技术,才能做到永久的信息安全。

参考文献:

[1]胡道元,闵京华.网络安全.清华大学出版社,2008

[2]拉菲(美).思科网络技术学院教程,网络安全.人们邮电出版社,2008

[3]杨哲.无线网络安全攻防实战.电子工业出版社,2008

[4]海吉(美).网络安全技术与解决方案(修订版)人民邮电出版社,2010

[5]冯登国,赵险峰.信息安全技术概论.电子工业出版社,2009

公司信息安全体系构建 第7篇

C公司的信息化建设起步于20世纪80年代初,在建设的初期通过引进、吸收的方式建立了以富士通中型计算机为平台的管理信息系统,而且开发并应用了财务、调度、统计等一系列通用软件系统。进入到90年代,C公司在信息化建设上加大了投入力度,购置了运算速度更快、处理能力更强以及稳定性更好的IBM大型机来作为管理信息系统的服务器,并淘汰掉富士通中型计算机,将一些主要的应用系统如调度、统计、财务等都迁移到大型机上运行。并先后三次派送多名技术人员出国培训,为C公司信息系统的稳定运行提供有力的人才保障。2000年后,随着网络技术的飞速发展和广泛应用,C公司的应用系统也由原来的单机运行,转变为网络分布式架构应用,其工作内容主要体现在三个方面:应用系统建设、网络建设、信息组织建设。

虽然C公司至今未发生过重大的信息安全事件,但是病毒攻击、网络中断、个别应用系统瘫痪等情况却时有发生。信息中心技术人员经常疲于应付各种各样病毒、死机、数据丢失等问题,虽然做了大量工作,但却仍然经常收到用户投诉和抱怨。为了更好地掌握C公司信息安全现状,尽可能地挖掘C公司在信息安全管理过程中的漏洞和薄弱环节,为业务应用提供安全保证,公司聘请了惠普公司安全测试人员,并使用极光远程安全评估系统AURO-RA-600-B对现有系统中所有服务器网段进行扫描(详见附表1所示),测试结果表明:有5台服务器的扫描结果为非常危险,12台服务器的扫描结果为比较危险,13台服务器的扫描结果为比较安全,13台服务器的扫描结果为非常安全,其所占的比例如图1所示。

通过对扫描结果的分析,C公司发现在信息安全方面主要存在着以下技术问题:

1)重要业务数据存储在个人的电脑当中,没有制定良好的备份机制。对于目前的备份作业来看,没有确定一个良好的备份方法,使备份工作流于形式;没有对备份作业进行恢复性测试,存在着很大的安全隐患。

2)没有完全禁用网络设备上不必要的和不使用的网络服务。

3)缺少先进、全面的日志管理工具和安全防御工具;不能通过使用强大的日志分析工具,对网络中的异常情况在最短时间内报警并联动安全防御工具对网络起到有效保护。

4)系统使用了默认的安装方式,并且安装了多余的服务和使用了默认账号,给系统增加了额外安全风险;有的没有对默认安装的服务进行安全性检查;一些系统没有安装重要的系统安全补丁,或者在安装了系统安全补丁后没有按照要求重新启动计算机;一些系统服务在安装完成以后,并未对其完成全部安全配置,存在很高安全风险。

5)系统管理员账号口令过于简单,有的口令与用户名相同、甚至为空,有的口令只是简单的连续3到5位数字,或者用自己的生日做口令等弱口令现象非常普遍。

2 信息安全风险评估

按照ISO17799标准,安全风险评估是安全体系建设必需的前奏,可为安全体系建设确定安全需求,提出安全规划,并为安全技术标准体系和安全管理体系的制定提供完善的建议。

2.1 评估流程

参照ISO27001的风险评估方法,风险评估共分7个阶段:评估规划、信息收集、资产确定和估值、威胁和漏洞分析、影响和可能性分析、风险建模和分析、确定和推荐控制措施。C公司的风险评估部分结果如表1所示。

进一步对这些漏洞产生的风险进行统计分析,结果高风险有875个(占9%),中风险有3762个(占39%),低风险有5104个(占52%)。具体的风险分布比例如图2所示。

从风险评估的结果分布图上看,高风险情况占的比例低于10%,在国内同行业中属于较好状态,但于世界先进水平相比还有很大差距(通常要求控制在4%以下)。

3 信息安全体系构建

C公司的信息安全体系由三个方面组成:安全策略体系、安全管理体系和安全技术体系。

3.1 安全策略体系

安全策略体系包括管理策略、法律法规、规章制度、技术标准、管理标准等,是信息安全策略的最核心问题,是整个信息安全建设的依据。安全策略覆盖了资产管理、人员信息安全管理、物理和环境安全管理、日常运行维护安全管理、信息系统安全访问控制管理五个方面。安全策略的规划工作是信息安全体系建设的基础,它是C公司信息安全体系建设的标准,是整个信息安全建设的蓝图。

3.2 安全管理体系

通过对信息安全管理工作的梳理,C公司制定了9个流程,具体名称见表2所示。

3.3 安全技术体系

信息安全技术主要包含实现信息安全的产品(如防火墙、防病毒软件等)、执行信息安全的工具和服务(如入侵监测、网络行为审计、IT流程服务管理、配置管理等)三个方面。在C公司安全技术体系规划中,设计宗旨可以表述为:依据最新、最先进的国际信息安全标准,采用国际上先进的安全技术。参照国际标准来规范信息安全产品和服务,严格遵守中华人民共和国相关的法律和法规。考虑到安全产品的使用特性以及C航运业务应用的不断发展,安全产品的配置还要适用将来一定时期内的业务需求。

参考文献

[1]Acharya.网络存储的备份策略[M].中译本.北京:电子工业出版社,2001.

[2]张晓阳.信息安全防范策略[M].北京:电子工业出版社,2003.

[3]李证.中央企业信息安全管理指南[M].北京:北京工业大学出版社,2004.

[4]蔡勉.信息系统安全理论与技术[M].北京:北京工业大学出版社,2006.

计算机网络的信息安全体系结构探析 第8篇

网络信息时代的到来, 促使计算机的应用渗入到各行各业, 而且在计算机与网络相互作用的基础上, 促进信息资源的快速流通, 多种类型的信息需要依靠计算机和网络进行传输, 因此计算机网络信息安全成为社会各界特别关注的问题, 迫切需要构建有效的信息安全结构体系, 利用信息安全体系结构, 保障计算机网络运行环境的安全。

1 计算机网络信息风险分析

计算机网络信息风险的形成主要是围绕计算机、网络与信息相互运行的过程产生的, 因此计算机网络信息的风险主要体现在计算机系统、网络运行环境、信息使用途径以及综合管理四个方面。

计算机系统风险分析。此风险主要以计算机系统为中心, 外界环境存在较多具毁坏性的因素, 造成计算机系统内部资源的破坏, 其影响因素包括以下几点:第一是计算机系统的访问权, 部分计算机系统没有对访问权进行设置, 导致系统在接受访问时任意被篡改或者系统对访问行为无法控制;第二是计算机系统的突然暂停, 计算机硬件故障或电源故障会导致计算机系统部分数据无法正常读取;第三是不可抗拒的自然灾害造成计算机系统毁灭性破坏, 例如:火灾、地震、台风等;第四是计算机信息系统漏洞较多, 导致被攻击机率增加, 造成信息或数据丢失;第五是计算机系统存在恶意插件, 数据或信息被自动删除。

网络运行环境风险分析。此风险主要来源于计算机所处的网络环境, 网络运行环境主要是数据和网络为基础, 而且造成网络环境不安全的因素具有多样性的特点, 比较典型的是病毒攻击风险和文件传输风险。病毒依靠网络运行环境为传播的载体, 而且其传播途径多种多样。文件传输风险是指基于网络环境中文件与文件之间的传递运输, 文件之间的相互传输如未采取有效的保护或加密措施, 一旦被黑客或不法分子窃取, 其危害性是比较严重的, 常见的文件传输窃取方式主要有:网络交换机连接未知线路、网络集线器上安装拦截装置或在文件传输途径上安装窃取设备。

信息使用途径风险分析。信息使用途径是指计算机系统信息和数据的应用, 其风险的存在主要体现在硬件设备的使用以及安全机制的建立。硬件设备的使用主要是以信息存储和数据输出为中心, 存储与输出大多依存网盘、硬盘和U盘与计算机USB接口联系, USB接口非常容易发生信息数据的丢失;安全机制的建立是针对信息使用过程中出现的危险进行提示, 如缺乏完善的安全机制, 则不能及时处理信息使用过程中的威胁。

2 探析计算机网络的信息安全体系结构

计算机网络的信息安全体系结构的建立是保障信息共享和数据传递的基础, 面对计算机网络风险带来的巨大压力, 站在信息安全的角度考虑, 必须保障计算机网络信息安全体系结构的完整性和实用性, 因此基于科学技术的迅速发展下, 提出WPDRRC结构, 此结构的意义为:W=预警;P=保护;D=检测;R=响应;R=恢复;C=反击, 其体系结构如图1, 此结构中的六个部分依据计算机网络时间的变化进行实时反馈。

W=预警。计算机网络的信息安全体系中的预警结构是整体体系的根本, 可针对计算机网络的信息安全提出预防性的诊断, 并且通过对计算机网络的性能进行研究, 给出科学合理的评估报告。

P=保护。信息安全体系的保护作用主要是保障计算机网络使用的安全, 对外界的入侵和攻击行为进行封锁和控制, 通过体系结构中的安全设置, 首先对计算机网络中的可攻击点和漏洞进行重点检查和保护, 同时保障信息在计算机网络各个环节中的应用通畅。

D=检测。如果计算机网络受到攻击, 信息安全体系结构中的检测环境可较早的发觉正在活动的攻击行为, 而且信息安全体系结构中检测模块是比较隐蔽的, 主要是防止黑客发现检测程序, 对其进行恶意修改, 不仅无法对计算机网络进行保护, 而且降低了检测系统自身的保护能力, 此检测模块经常与保护模块配合使用, 增加计算机网络整体的保护能力和检测能力。

以上三个信息安全体系结构主要是以预防为主进行的保护和检测, 可有效的防止黑客入侵计算机, 但是目前计算机网络信息安全技术虽然非常先进, 但是由于计算机网络本身就具有开放性, 因此还应对计算机网络建立实际性解决工作, 如下是WPDRRC结构中以实际解决为主的体系结构。

R=响应。一旦计算机网络信息安全体系结构中发展有入侵行为, 则会立刻采取计算机网络的冻结措施, 切断黑客的一切入侵行为, 同时做出防入侵的响应, 例如:信息安全体系结构中采取的实施阻断响应系统、跟踪攻击源系统等系统技术, 保障WPDRRC结构响应的及时性和准确性, 以便防止黑客更深程度的入侵。

R=恢复。WPDRRC结构中的恢复是指在遭遇黑客攻击和入侵行为后, 及时对被攻击、入侵的数据和信息进行恢复, 此结构体系中会对计算机网络信息文件和数据资源采取备份处理, 同时借助自行恢复系统, 对损坏的文件进行修复。

C=反击。反击是WPDRRC结构中技术性能比较高的模块, 其是以标记跟踪为主的反击行为, 其可对黑客进行标记, 利用侦查系统对黑客的入侵方式、入侵路径以及黑客地址等进行解析, 保留黑客攻击的证据, 同时采取一定的反击措施, 防止黑客再次攻击。

3 信息安全体系结构的防护

通过WPDRRC结构, 计算机网络的信息安全体系结构的安全防护流程主要由三方面组成, 计算机网络被攻击前、中、后期的防护工作。

计算机网络被攻击前的信息安全结构的防护主要是对平常使用最为频繁的文件进行防护, 在计算机网络中, 使用较频繁的文件最容易受到攻击, 因此通过网络防火墙以及网络访问控制进行普通防护工作, 利用WPDRRC结构可对计算机网络运行环境进行扫描, 列出计算机网络中的威胁项目, 提升解决措施。

计算机网络被攻击过程中信息安全结构的防护主要是对进行中的攻击行为进行阻止, WPDRRC结构对黑客的入侵和程序的篡改是非常敏感的, 可通过综合分析计算机网络系统文件, 及时发现正在攻击的行为, 而且其可感知计算机网络中细节的变动, 有效制止黑客的攻击行为。

计算机网络攻击后信息安全结构的防护主要是对黑客攻击造成的破坏和损坏进行修复, 以便恢复计算机网络正常的运行状态和运行系统, 再次保护计算机网络信息的安全。

4 结束语

计算机网络信息安全体系结构的建立是一项复杂而系统的工程, 其不仅涉及较多的学科知识, 而且知识的延伸性比较强, 导致体系结构在建立时, 困难度比较大而且在结构的控制方面缺乏一定的手段, 因此只能通过计算机网络不断发展, 及时对信息的安全体系结构进行更新和修复, 保障计算机网络信息传递的通常和安全。

参考文献

[1]杨红霞, 李玮.计算机网络安全风险分析及防范[J].科技信息, 2011 (16) .

[2]张昱.对计算机网络技术安全与网络防御的分析[J].广东科技, 2011 (10) .

[3]段莹, 陈耿.计算机网络的信息安全体系结构[J].中国西部科技, 2011 (12) .

物联网信息安全体系研究 第9篇

1 物联网安全层次结构

物联网的底层是用来进行信息采集的感知层,中间层是用来数据传输的网络层,顶层则是应用/中间件层[1]。

物联网信息安全的总体需求就是实现物理安全、信息采集安全、信息传输安全和个人隐私的保护,最终能够确保信息的机密性、完整性、真实性和数据实时性。结合物联网的以上特性,本文给出物联网的系统模型,如图1所示,并对每一层的关键技术进行阐述。

2 物联网信息安全问题

从物联网对信息处理的过程来看,从感知信息到采集、汇聚、融合、传输、决策与控制都体现了物联网的安全特征和对安全的要求。与传统网络相比物联网的感知节点大都部署在无人监控的环境,能力脆弱、资源受限,并且由于物联网是在现有网络基础上扩展出来的感知网络和应用平台,传统网络的安全措施不足以为物联网提供可靠的安全保障,这就使得物联网的安全问题具有特殊性。表1统计了物联网中实体和通信遇到的主要威胁。因此,须根据自身特点来设计物联网的相关安全机制[2]。

2.1 感知层

物联网的信息层感知节点趋于多样化,无线链路相对脆弱,网络拓扑呈动态变化,节点的计算能力、存储能力和能源均有限,无线通讯过程中易受到外界干扰,这使得它们无法拥有复杂的自我安全保护能力。RFID标签本身存在访问缺陷,而且标签的可重写性使得标签中数据的安全性、有效性和完整性都不能得到有效保证。另外,从道路导航到温度监测感知网络也是多种多样,对于数据传输和属性并没有特定的规定和标准,因此系统无法提供统一、全面的安全保护体系。

2.2 网络层

信息的转发和传送主要由物联网的网络层来实现。作为数据在远端进行智能处理和分析决策的基础,网络层负责将采集获取的信息快速安全的传送到远端。各种设备在接入物联网时使用了多种无线技术,鉴于接入层的异构性,保证在异构网络间节点间漫游和无缝移动服务来为终端提供移动性管理是研究的重点对象。而无线接口多为开放式,任何使用无线设备的个体都可以通过监听无线信道而截获通道中传输的信息,更有甚者还可以私自修改、插入、删除或重传无线接口中传输的消息,假冒用户身份欺骗网络端。

在进行数据传输时面临最大的问题是网络地址空间的空缺,正在推进的IPv6技术采纳IPsec协议,虽然在IP层上对数据包进行了高强度安全处理,但风险依旧存在,并且替换IPv4协议向IPv6协议过渡需要一个过程,这个过程只能逐步推进,而在解决两者互通问题上所采取的各种过渡措施也有可能给网络带来新的风险。

2.3 应用层

应用层的安全问题主要包括数据库的访问管理认证机制、隐私保护和中间件等。物联网信息处理业务和控制策略涉及到的范围广、数据种类多,安全需求各不相同,面对同一安全信息服务,如果只提供一种精度的信息,将会增加信息泄露的风险。针对不同需求来提供适宜的精度信息,是应用层安全面临的一个重要问题。

中间件一般存在于物联网的集成服务器端、感知层以及传输层的嵌入式设备中。集成服务器端的中间件称为物联网业务基础中间件,不同通信协议的模块和运行环境则是由嵌入式中间件提供支持。一般情况下,某种中间件的内部已经固化了某些特定通用功能,但如需在具体应用中实现个性化的业务需求还需进行二次开发,为此物联网中间件都提供了快速开发(RAD)工具。

3 物联网安全关键技术

3.1 密钥管理安全

密钥系统是网络安全的基础,是实现信息隐私保护的主要手段之一。互联网面临的安全隐患主要来源于其开放式管理模式,没有严格管理中心的网络。移动通信网络是相对集中管理的一种网络,由于计算资源的限制,使得无线传感器网络和感知节点对密钥系统提出了更多的要求。因此物联网密钥管理系统的安全主要在两个方面存在问题,一是构建一个贯穿多个网络并与物联网的体系结构相适应的统一密钥管理系统,二是如何对传感器网络密钥进行管理问题,如密钥的分配、更新、组播等问题。可以采用以互联网为中心的集中式管理方式和以各自网络为中心的分布式管理方式来实现统一的密钥管理系统安全。有线网络和传统的资源不受无线网络的限制,这使得无线传感器网络的密钥管理安全系统的设计,要充分考虑到无线传感器网络传感节点的限制和网络组网与路由的特征[3]。

3.2 信息采集安全

在物联网中,传感器、RFID、短距离无线通信等负责感知物体的信息,识别和捕获物体的动态属性。信息采集安全问题主要表现为数据信息在采集过程中的机密性、完整性、可用性等方面的要求。

在传感器网络中存在很多相对简单的路由协议,使其系统更容易受到攻击。可以在路由中加入容侵策略来提高物联网的安全性;也可采用多径路由选择的方法减少非法用户控制数据流的计划,以起到保护的作用;还可在路由设计中加入广播半径,每个节点都只能在限制内的半径区域发送数据。基于RFID标签本身的访问缺陷,任何用户都可利用合法阅读器直接对标签信息进行读取、篡改设置删除操作。还可以利用植入到标签中的读写芯片来假冒合法读写器的身份,如果没有足够的安全策略保护,标签中的数据的机密性、完整性、安全性和可用性都得不到保证。可以使用物理方法、密码机制和将两者有机结合的方法来保证RFID标签安全。

3.3 信息传输安全

物联网系统的功能是实现高层对网络末梢实体的实时感知和精确控制,可以使用双向认证技术来建立二者之间的互信机制。但在物联网网络环境下,网络层的最大问题是现有的地址空间短缺,认证过程中末梢网络资源有限,因此认证机制的计算和通信开销应尽可能小。对外部网络而言,其连接的末梢网络数量巨大,结构不尽相同,须建立一个高效的识别机制以区分这些网络及其内部节点,并赋予其唯一的身份标识。认证可采用分段加密口令来保证网络的运行效率和可扩展性。

3.4 个体隐私保护

基于位置服务中的隐私内容涉及两个方面,一是基于位置隐私,二是在查询信息处理过程中的隐私保护问题。位置隐私是指用户过去或现在位置的隐私,而查询隐私是指在数据处理过程中对敏感信息的查询与挖掘。想要系统在能够提供尽可能精确的位置服务的同时,又希望个人的隐私得到保护,这就需要提供足够的技术保证。目前常见的隐私保护方法主要有时空匿名、位置伪装和空间加密等。

4 结论

物联网安全是一个新兴的领域,作为一个整体,各层安全机制的简单相加并不能实现系统的深度防御,保障系统安全。因此构建控制与信息相结合的安全体系,并实现各层次简单与技术安全的无缝衔接,是物联网安全研究发展的重要方向。

摘要：介绍了基于物联网特性的物联网安全层次结构和物联网安全常见问题,论述了物联网实体和通信中常遇到的威胁,并对密匙管理安全、信息采集安全、信息传输安全和个体隐私保护等物联网关键技术进行了分析和论述,为实现各层次技术安全的无缝衔接提供理论依据。

关键词：物联网,安全层次,技术

参考文献

[1]沈苏彬,范曲立,宗平,等.物联网的体系结构与相关技术研究[J].南京邮电大学学报(自然科学版),2009,29(6):1-11.

[2]宁焕生,张瑜,刘芳丽,等.中国物联网信息服务系统研究[J].电子学报,2006,34(12):2514-2517.

高校信息安全体系建设研究 第10篇

高校信息安全体系存在的问题, 受多方面因素的影响。本文把这些问题主要归结为外部原因和内部原因。

1.1 外部原因

据有关调查显示, 目前高校的信息系统时常会遭受病毒、黑客的攻击, 威胁着信息系统的安全。再严密的计算机操作系统也是人为设计和开发的, 存在漏洞在所难免。攻击者就是通过研究这些漏洞向高校的信息系统传播病毒, 或者人为控制计算机系统。因为, 随着网络技术的提高, 黑客有充足的资源和途径可以更隐蔽地对目标进行攻击, 使得病毒能通过网络和各种存储介质传播速度不断提高, 造成的危害也日益严重。这些病毒中的蠕虫病毒最为厉害, 它的隐蔽性和破坏性都是极强的, 具有不依赖于人为操作的自主攻击性, 自身可以通过繁殖的方式, 迅速扩散造成网络阻塞、服务中断甚至信息泄露。并且目前的防毒和杀毒软件具有滞后性, 都是在某一项病毒被发现后才能更新或者升级, 这些都给黑客带来可趁之机。

1.2 内部原因

(1) 面临双重威胁。

一方面, 由于高校的特殊性, 管理的幅度比较大, 所以高校的信息系统为了便于管理与信息的传达连接了校内各院系所部等教学行政单位及学生宿舍的计算机;另一方面, 为了满足教师与学生接触外界的需要又通过CERNET与Internet直接相连。由于校园网与Internet相连, 且网民数量越来越多, 很容易受到不法分子的攻击;再就是高校的信息系统的用户大多数都是校内学生, 比较了解校内网络结构和应用模式, 特别是一些信息专业的学生专业技术比较强, 有的还喜欢挑战, 所以也有威胁其它用户的潜在可能性。

(2) 计算机节点多, 安全方法弱。

随着信息技术的普及和高校信息技术的广泛应用, 一系列的教学工作都是通过网络来完成的, 所以接入校园网的节点越来越多, 就是一所普通的高等学校的计算机节点数量都达上万台。由于, 高校在信息系统的管理与维护方面的疏忽, 导致这些节点多没有安全防护措施, 非常容易受到病毒感染和黑客的攻击, 这就给高校的信息系统带来了潜在危害。

(3) 管理方面存在疏漏。

据有关统计表明, 70%的信息安全问题都是由于管理不善造成的, 而这些问题基本上都可以通过加强管理来避免, 所以说安全管理制度不完善是风险的主要原因。由于我国高校信息管理系统的起步比较晚, 疏于管理, 造成内部使用者可能会误入本不想进入的领域, 由于好奇或无知, 或也有一些用户为了自身利益或其它目的恶意对数据进行修改。由于原始数据的破坏, 就可能影响高校信息系统的正常教学和管理。

(4) 用户安全意识淡薄, 缺乏安全培训。

目前, 普通高校的大学生都具有一定的计算机操作能力, 但却对安全方面的知识了解甚少。常常有用户出现口令选择不慎, 或把自己的账号转借他人, 这些都会对校园信息系统产生极大的危害。因此, 对校园用户进行相关的安全知识培训, 提高其安全和防护意识是非常必要的。

2 解决高校信息安全问题的对策

(1) 对高校信息系统进行不同等级的保护。

高校应以最小成本去实施合理的管理, 保障其安全性。对此, 学校可以把校内信息系统按照受破坏程度后造成影响的不同程序进行等级划分, 分成不同的等级安全域, 从而对不同的影响程度进行不同的安全保护。安全域是指对同一系统内根据信息的性质安全目标和策略等元素的划分不同的子网络, 每个区域内有相同的安全需要。当然, 安全域的划分不能单纯从安全角度考虑, 而是应该以业务角度为主, 辅以安全角度。这样通过划分不同的安全域就可以使高校对影响较大的安全问题实施重点保护, 对造成的破坏程度较小的安全问题实施相对较小幅度的保护。从而既可以保证高校信息系统的安全, 又可以节约成本。

(2) 部署身份认证和管理系统。

由于校园网是为本校的师生服务的, 所以不是任何人都可以进入的。应该设置身份验证和访问授权程序, 所有校园网用户在使用校园网时必须表明用户身份, 授权程序根据用户的不同身份确定用户可以访问的信息安全域以及可以采取的操作。所有校园网用户无论是进行内网访问还是进行外网访问都要在系统中进行登记, 记录用户访问的IP地址、登录地点和登录时间等内容。

(3) 建立统一的信息安全中心。

为防止来自外部和内部的病毒威胁, 学校应在本校的信息系统内部建立统一的信息安全中心。可以统一购置最新的、功能最齐全的杀毒软件。并为全校的用户提供杀毒和升级服务, 如果在资金和实力允许的情况下, 信息安全中心也可以成立研发团队, 针对本系统经常会出现的问题, 设计适合本系统的杀毒软件, 并及时更新和升级, 装在整个校园网上。

(4) 配备专职信息安全工作人员。

由于高校的信息安全工作涉及学校工作的方方面面, 一旦遭到破坏造成的损失将是巨大的, 所以配备专职的懂得相关技术的信息安全工作人员是非常必要的。技术方面, 信息安全工作人员应定期对全校存在安全隐患的地方进行漏洞修补、软件升级和安全系统定期巡检。及时发现问题, 在第一时间解决问题。管理方面, 信息中心安全工作人员要及时与各学院的安全管理人员进行沟通, 共同讨论发现的难题, 必要的时候可以举行论坛、研讨会等研究解决方法。只有信息安全人员的工作对解决信息系统安全问题来说还是远远不够的, 一方面需要用户的密切配合, 另一方面, 制定安全管理制度也是必要的。这样可以更有效地对校园信息系统实施安全保护。

(5) 建立应急处理机制。

高校信息安全具有复杂性和动态性两方面特点。复杂性是指其安全问题来自多方面。动态性是指高校信息安全工作总是处于动态变化之中, 每个月都可能出现不同的信息热点问题, 甚至一个月中可能会出现数个不同的信息热点问题。这些特点决定了其设置应急处理机制的必要性, 当遇到突发事件时, 能够立即采取措施, 有效控制局面, 减少损失。

(6) 增强大学生的信息安全意识。

现在大学生是浏览网络最活跃的群体, 在浏览网络的过程中需要保护个人的信息。这些信息包括两大类:个人身份资料和个人网络痕迹。其中, 个人身份资料包括姓名、生日、家庭住址、电话、图像、银行卡号码等与个人密切相关的客观信息。个人网络痕迹包括个人的言论观点、行为特征、上网偏好等等主观性的信息。目前, 大学生泄露信息的途径主要有以下几种途径:①一些非法用户通过发布一些诱人的信息致使有些大学生出于好奇去注册用户, 从而泄露信息;②垃圾邮件, 如中奖之类的邮件;③BBS泄露个人信息。人们有意或无意地在BBS中披露个人信息, 就会被其他居心不良的人发现并使用;④实名博客等对他人的相关描述是个人信息保护的新挑战, 其风险甚至高于BBS。

(7) 开展大学生信息安全教育。

首先, 可以在大学生课程中开设信息安全课程;其次, 学校可以通过举办研讨会、安全知识讲座、安全知识竞赛等方式让大学生主动搜集、学习相关知识;最后, 学校利用校刊、广播、宣传栏等媒介宣传信息安全知识。

摘要：随着高校信息系统的普及给高校的师生带来了极大的便利, 但其安全问题也.日益威胁着用户的网络安全。针对这一问题, 分析了产生高校信息系统安全问题的原因, 并提出了解决的建议和措施, 以期对解决高校信息系统的安全问题有所帮助。

关键词：高校信息系统,信息安全,安全策略

参考文献

[1]杨建国.网络环境下高校信息安全的管理[J].安庆师范学院学报:社会科学版, 2004 (2) .

[2]盛海.浅谈高校信息安全问题与对策[J].青春岁月, 2011 (24) .

[3]熊平.高校信息安全教育改革[J].科技咨询导报, 2007 (10) .

信息安全体系结构 第11篇

关键词:企业;安全;信息;技术;防御

中图分类号:TP393.08 文献标识码:A文章编号:1007-9599 (2010) 09-0000-01

Information Security Technology Design in Enterprise Security Defense System

Yang Dapeng

(Rural Credit Cooperative of Shandong,Huangdao Technology Center,Qingdao250001.China)

Abstract:The Internet has brought convenience and benefits to the enterprise,while Brought risk and security risk for enterprise.By analyzing the existing enterprise network security issues,security defense system for enterprise information security technology in the design of reference.

Keywords:Enterprise;Safety;Information;Technology;Defense

一、前言

在當今的电子商务活动中,互联网已经渐渐成为了获取信息的一条主要途径。国内外各大企业用内部网络技术手段有机地共享企业内部不同部门、不同区域的信息和资源,以实现内部资源的最大利用,以提高工作效率和管理水平。但是,共享资源很有可能通过互联网进入其他的局域网,这样就很容易遭到黑客入侵,导致企业系统瘫痪,重要信息外泄及丢失。互联网在提供方便的同时还带来了一定的危险,因此,企业万万不可忽视网络的安全问题。

二、企业网络中存在的安全问题

企业的内网一旦过渡到电子商务阶段,就会接入互联网,这样可以实时掌握企业的信息,带来一定程度的商业利益,但是也会带来一定的风险。

(一)来自企业外部的风险

互联网的共享性与开放性导致企业在接入互联网时会暴露许多企业内部的资源和信息,带来各种威胁。

1.计算机病毒

计算机病毒是网络上最常见的威胁,它是一种特殊编制的程序,能侵入计算机并摧毁内部存贮的各种信息。

2.黑客

在接入网络时,一些人可以有目的地避开或摧毁企业网络防火墙,侵入企业网络,冒充合法用户登录企业网络,非法使用企业内部资源,私自删改企业内部信息,窃取商业秘密,实施破坏。

3.网络设备瘫痪

网络瘫痪是计算机软件或硬件故障造成的,比如说防火墙出现故障导致安全系统瘫痪,或者服务器负载过大导致数据丢失。

4.使用的软件配置不当或者有错误

这样会影响其他合法使用资源的用户,带来严重后果。

(二)来自企业内部的风险

内部工作人员很有可能操作失误而给企业带来一定的安全隐患,甚至造成损失。员工有时会偷偷利用企业网络处理私事,进入与工作不相干的网站,或者接收私人电子邮件,下载私人文件。这些做法会大大降低企业网络的安全性,招来病毒或黑客。倘若企业内部人员蓄意攻击企业网络,会更加难以防范,也会带来更大的危害。为了牟取暴力,有的公司员工会与企业的竞争对手私通,出卖商业秘密,甚至攻击企业网路系统。

三、企业安全访问体系的设计

企业网络需要全方位的防御,及时发现计算机设备和网络服务器的新漏洞,仅有静态防御是远远不够的,企业网络还要有一定的动态防御能力。建立具有不同功能的防御层,使各个防御层相互支持,可以提高企业网络的动态防御能力。

(一)基于网络防护技术的安全层

防火墙技术、漏洞扫描技术、薄弱环节检测技术、病毒防治技术等都属于安全防护技术,这一层以防护为目的,控制用户访问。

1.在被保护网络和公共网络之间设置网络防火墙,限制、监测、更改数据流,以保护企业网络信息资源不被干扰和破坏。

2.漏洞扫描技术和防泄露技术可以检验系统漏洞,防止信息在传播过程中泄露,将有用的信息限制在安全区内。

3.薄弱环节检测技术可以及时准确地检测出系统异常,防止黑客及病毒入侵。

4.病毒防护技术通过完善软硬件设备、修补缺陷来防止网络薄弱环节被攻击。

基于网络防护技术的这一层可以强制检验所有经过此层的连接,阻止非法访问。但是这一层只能抵御外部入侵,不能抵御内部攻击,这一点犹需谨慎。因此可以考虑使用企业虚拟专用网技术控制重要数据的传输。VPN(企业虚拟专用网)主要公共通信网络为通信数据保密,采用隧技术、加解密技术、密钥管理技术、身份认证技术,保证机密数据的安全传输。

(二)基于入侵检测的安全层

入侵检测技术通过检测计算机网络中违反安全策略行为,可以及时发现并报告系统中的异常现象,保证计算机的安全,它是网络安全防护的重要组成部分。违反安全策略的行为有入侵和滥用两种,入侵是非法用户的违规行为,滥用是合法用户的违规行为。入侵检测系统的应用,能提前检测出入侵攻击嫌疑,利用报警与防护系统进行驱逐,减少损失。即使预警失败,该技术也能在被攻击后收集入侵攻击的有关信息,引以为戒。我们还应该在该层防御中加入内容检查工具,即过滤内容又防护病毒,以防止病毒感染及恶意攻击。

(三)基于控制技术的安全层

控制技术即口令控制和访问控制。口令控制技术可以设置口令技术来判断用户的身份和用户享有的使用资源的权限,防止黑客入侵。访问控制可以确定特定用户的合法性和访问权限,并通过特定的访问路径,保护信息资源的合法利用。判断访问权限的方法有三种:强制法、随意法和基于角色的判断法,最后一种方法比较安全,值得提倡。

四、结论

在知识经济化和信息化程度日益加深的今天,网络已经渗透到了人们的生活中,企业网络应用也越来越普及。在企业与企业的竞争中,网络能给企业带来一定的商业利益,因此企业网络比家庭网络更容易受到侵入和损害。设计出更安全的网路防御体系,对于企业的安全规划具有重要的现实意义。与此同时,还要注重培养内部员工的安全意识,组建一支分析企业信息风险的专业队伍,加大信息安全防范和管理的力度,增强企业网络的应急能力。

参考文献:

[1]孟杰,李飒.艾克斯特:打造企业的“安全通道”——访艾克斯特网络安全事业部总经理秦仕存[J].《中国制造业信息化:学术版》,2005年第5期

[2]林世溪,林小迪.电力企业网络信息安全防护体系的建立[J].《华东电力》,2010年第5期

信息安全体系结构 第12篇

随着我国经济的快速发展, 信息系统也跟随进入到了快速发展时期。网络信息系统在国家安全、经济建设以及高新科学技术都发挥着重要作用。由于信息系统的快速发展, 应用领域逐渐的进行变化, 从传统的小型业务系统逐渐向大型的关键业务系统扩展, 应用层次不断的进行深入, 网络的信息安全日益成为影响整个信息系统的重要问题。由于目前的网络系统基于TCP/IP协议, 具有充分的开放性与自由性, 为广大用户提供了很广阔的使用领域, 但同时也给网络安全带来到了极大的安全隐患。网络的信息安全体系的建设成为了一个急需解决的问题。作为我国国家安全重要的组成部分公安机关, 其网络系统的安全体系建设是首先要考虑的问题。本文分析了公安网络的信息安全当前面临的问题以及安全需求, 给出了公安网络的信息安全体系设计中, 通信平台、网络平台、应用平台以及安全管理平台的问题分析。

1 公安网络面临的安全问题分析

公安网络的信息安全一般来说是指公安网络系统要保障信息不受破坏、保护数据安全、保护服务安全以及保护通信安全等多个方面。尽管公安网络与公共网络进行隔离, 但是公安网络所覆盖的范围非常广, 使用公安网络的公安干警、司法部门的人员众多。不仅如此公安网络还连接着全国公安一级网络。使用人员的误操作或者非法操作都有可能导致信息的泄露与破坏。因此, 目前我国的公安网络的信息安全面临着许多的安全问题。

1.1 网络构成庞大, 访问控制不严

由于目前的公安网络拓扑结构庞大, 对伪装IP的判断以及网络用塞现象严重。另外, 目前用户的登录方式的安全级别尚未做到将本文真实的身份信息与登录口令做到单一映射。甚至有些地方的公安网络中, 仍然使用同一的用户名+口令的模式, 这些无疑会对公安网络的信息安全造成巨大的安全隐患, 造成非法入侵者对数据的破坏、盗取以及泄露安全机密。

1.2 公安网络系统中软件设计问题

由于公安网络系统的安全防护软件的开发周期与早期的系统分析不适合当前安全防护形势的原因。其公安网络操作系统与应用软件中存在很多的安全楼同, 这些漏洞的存在将对网络的正常运行构成很大的隐患。

1.3 病毒的防护漏洞

公安网络目前对网络病毒的防护手段十分有限, 没有建立专用的计算及病毒防护中心、监控中心, 这同样对公安网络的安全造成巨大隐患, “尼姆达”与“2003蠕虫王”等网络病毒曾对公安网络造成想打的危害, 造成网络拥堵、降低性能, 严重扰乱了公安系统的正常工作秩序。

1.4 信息安全的管理体制不完善

公安网络系统是与公共网络物理隔离的系统, 但是还未在整体上建立完善的安全结构体系, 在管理上缺乏安全标准以及使用条例, 甚至有些地方公安网络中的计算机出现公安网络与公共网络同时使用的现象, 这都对公安网络的信息安全带来不可忽视的安全威胁, 使非法入侵者有着可乘之机。

2 公安网络的信息安全体系结构设计

公安网络的信息安全体系结构设计, 是一项非常复杂的系统工程, 该体系对安全的需求是多层次, 多方面的。因此本文设计了比较完整的安全体系结构模型, 以保障整个系统的完备性以及安全性, 为公安网络的信息安全提供切实有效的安全服务保障。本文在借鉴了多种成熟的信息网络安全体系结构, 并且根据国家公安部提出的具体保障体系的指导思想, 设计了适应我国公安网络的信息安全体系。该体系从安全服务、协议层次以及系统单元三个维度, 综合立体的对公安信息网络的安全体系进行了设计。这个三个层次均包含了安全管理模块。

2.1 协议层次维度

本文从网络的七层协议模型来设计公安网络的安全体系结构中的协议层次。每一个协议层次都有专属的安全机制。对于某一项安全服务, 安全实现机制随着协议层次的不同而不同。例如, 审计跟踪的安全服务项目在网络层, 主要对审计记录与登录主机之间的流量进行分析, 对非法入侵进行实时监测。病毒防护层一般在应用层实现, 一般用来对访问事件进行监控, 监控内容为用户身份, 访问IP, 访问的应用等等进行日志统计。

2.2 安全服务维度

公安网络的信息安全体系中包括的安全服务有, 身份识别认证、访问控制权限、数据完整性和保密性以及抗抵赖组成了安全服务模型。在安全服务模型中, 每一个安全服务对应着不同类别的应用。这几种安全服务模型不是独立的是互相联系着的。进入公安网络安全体系的主体登录系统时, 要进行身份识别认证, 并且查找授权数据库, 以获得主体访问的权限, 如果通过验证与授权, 则对访问信息进行加密返回至主体, 主体通过解析进行信息获取。并且, 主体访问的过程被审计跟踪监测模块记录, 生成访问日志, 以便日后进行查验。

2.3 系统单元维度

公安网络的信息安全体系的实施阶段, 上述安全服务与协议等要集成在物理单元上, 从系统单元的维度看, 可分为以下几个层次。首先, 物理环境安全, 该层次保护计算机信息系统的基本设施安全, 能够有能力应对自然灾害以及人为物理误操作对安全体系的基础设施的干扰以及破坏。其次, 网络平台的安全, 主要保证网络的安全可靠运行, 保障通过交换机等网络设备的信息的安全。最后是应用系统的安全, 该层次提供了访问用户的身份认证、数据的保密性以及完整性, 权限访问等。

3 总结

本文分析了公安网络的信息安全当前面临的问题以及安全需求, 对公安网络的信息安全体系设计中, 协议层次、安全服务以及系统单元三个维度的结构设计问题进行了深入的分析。

摘要：随着社会科技的不断进步, 我国的网络信息系统建设进入快速发展阶段。网络信息系统在国家安全、经济建设以及高新科学技术都发挥着重要作用。作为我国国家安全重要的组成部分公安机关, 其网络系统的安全体系建设是首先要考虑的问题。本文分析了公安网络的信息安全当前面临的问题以及安全需求, 给出了公安网络的信息安全体系设计中, 通信平台、网络平台、应用平台以及安全管理平台的问题分析。

关键词：信息系统,公安网络,体系结构,安全体系

参考文献

[1]张兴东, 胡华平, 况晓辉, 陈辉忠.防火墙与入侵检测系统联动的研究与实现[J].计算机工程与科学, 2004 (04) .

[2]艾军.防火墙体系结构及功能分析[J].电脑知识与技术, 2004 (08) .

[3]单蓉胜, 王明政, 李建华.基于策略的网络安全模型及形式化描述[J].计算机工程与应用, 2003 (13) .

[4]陈科, 李之棠.网络入侵检测系统和防火墙集成的框架模型[J].计算机工程与科学, 2001 (02) .

[5]陈硕, 安常青, 李学农.分布式入侵检测系统及其认知能力[J].软件学报, 2001 (02) .