應(yīng)用系統(tǒng)安全規(guī)范制定建議-資料下載頁
2025-04-07 23:08本頁面
【正文】 系統(tǒng)的支持，數(shù)據(jù)庫系統(tǒng)的用戶(如異地用戶、分布式用戶)也要通過網(wǎng)絡(luò)才能訪問數(shù)據(jù)庫的數(shù)據(jù)。網(wǎng)絡(luò)系統(tǒng)的安全是數(shù)據(jù)庫安全的第一道屏障，外部入侵首先就是從入侵網(wǎng)絡(luò)系統(tǒng)開始的。網(wǎng)絡(luò)入侵試圖破壞信息系統(tǒng)的完整性、機(jī)密性或可信任的任何網(wǎng)絡(luò)活動(dòng)的集合，具有以下特點(diǎn)： a)沒有地域和時(shí)間的限制，跨越國界的攻擊就如同在現(xiàn)場一樣方便。 b)通過網(wǎng)絡(luò)的攻擊往往混雜在大量正常的網(wǎng)絡(luò)活動(dòng)之中，隱蔽性強(qiáng)。 c)入侵手段更加隱蔽和復(fù)雜。 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)開放式環(huán)境面臨的威脅主要有以下幾種類型： a)欺騙(Masquerade)。 b)重發(fā)(Replay)。 c)報(bào)文修改(Modification of message)。 d)拒絕服務(wù)(Deny of service)。 e)陷阱門(Trapdoor)。 f)特洛伊木馬(Trojan horse)。 g)攻擊，如透納攻擊(Tunneling Attack)、應(yīng)用軟件攻擊等。這些安全威脅是無時(shí)、無處不在的，因此必須采取有效的措施來保障系統(tǒng)的安全。 從技術(shù)角度講，網(wǎng)絡(luò)系統(tǒng)層次的安全防范技術(shù)有很多種，大致可以分為防火墻、入侵檢測、協(xié)作式入侵檢測技術(shù)等。 (1)防火墻是應(yīng)用最廣的一種防范技術(shù): 作為系統(tǒng)的第一道防線，其主要作用是監(jiān)控可信任網(wǎng)絡(luò)和不可信任網(wǎng)絡(luò)之間的訪問通道，可在內(nèi)部與外部網(wǎng)絡(luò)之間形成一道防護(hù)屏障，攔截來自外部的非法訪問并阻止內(nèi)部信息的外泄，但它無法阻攔來自網(wǎng)絡(luò)內(nèi)部的非法操作。它根據(jù)事先設(shè)定的規(guī)則來確定是否攔截信息流的進(jìn)出，但無法動(dòng)態(tài)識(shí)別或自適應(yīng)地調(diào)整規(guī)則，因而其智能化程度很有限。防火墻技術(shù)主要有三種：數(shù)據(jù)包過濾器(packet filter)、代理(proxy)和狀態(tài)分析(stateful inspection)?，F(xiàn)代防火墻產(chǎn)品通常混合使用這幾種技術(shù)。 (2)入侵檢測(IDS—Instrusion Detection System)是近年來發(fā)展起來的一種防范技術(shù): 綜合采用了統(tǒng)計(jì)技術(shù)、規(guī)則方法、網(wǎng)絡(luò)通信技術(shù)、人工智能、密碼學(xué)、推理等技術(shù)和方法，其作用是監(jiān)控網(wǎng)絡(luò)和計(jì)算機(jī)系統(tǒng)是否出現(xiàn)被入侵或?yàn)E用的征兆。1987年，Derothy Denning首次提出了一種檢測入侵的思想，經(jīng)過不斷發(fā)展和完善，作為監(jiān)控和識(shí)別攻擊的標(biāo)準(zhǔn)解決方案，IDS系統(tǒng)已經(jīng)成為安全防御系統(tǒng)的重要組成部分。 入侵檢測采用的分析技術(shù)可分為三大類：簽名、統(tǒng)計(jì)和數(shù)據(jù)完整性分析法。 ?、俸灻治龇? 主要用來監(jiān)測對(duì)系統(tǒng)的已知弱點(diǎn)進(jìn)行攻擊的行為。人們從攻擊模式中歸納出它的簽名，編寫到IDS系統(tǒng)的代碼里。簽名分析實(shí)際上是一種模板匹配操作。 ?、诮y(tǒng)計(jì)分析法: 以統(tǒng)計(jì)學(xué)為理論基礎(chǔ)，以系統(tǒng)正常使用情況下觀察到的動(dòng)作模式為依據(jù)來判別某個(gè)動(dòng)作是否偏離了正常軌道。 ③數(shù)據(jù)完整性分析法: 以密碼學(xué)為理論基礎(chǔ)，可以查證文件或者對(duì)象是否被別人修改過。 IDS的種類包括基于網(wǎng)絡(luò)和基于主機(jī)的入侵監(jiān)測系統(tǒng)、基于特征的和基于非正常的入侵監(jiān)測系統(tǒng)、實(shí)時(shí)和非實(shí)時(shí)的入侵監(jiān)測系統(tǒng)等。 (3)協(xié)作式入侵監(jiān)測技術(shù): 獨(dú)立的入侵監(jiān)測系統(tǒng)不能夠?qū)V泛發(fā)生的各種入侵活動(dòng)都做出有效的監(jiān)測和反應(yīng)，為了彌補(bǔ)獨(dú)立運(yùn)作的不足，人們提出了協(xié)作式入侵監(jiān)測系統(tǒng)的想法。在協(xié)作式入侵監(jiān)測系統(tǒng)中，IDS基于一種統(tǒng)一的規(guī)范，入侵監(jiān)測組件之間自動(dòng)地交換信息，并且通過信息的交換得到了對(duì)入侵的有效監(jiān)測，可以應(yīng)用于不同的網(wǎng)絡(luò)環(huán)境。 操作系統(tǒng)是大型數(shù)據(jù)庫系統(tǒng)的運(yùn)行平臺(tái)，為數(shù)據(jù)庫系統(tǒng)提供一定程度的安全保護(hù)。目前操作系統(tǒng)平臺(tái)大多數(shù)集中在Windows NT和Unix，安全級(jí)別通常為CC2級(jí)。主要安全技術(shù)有操作系統(tǒng)安全策略、安全管理策略、數(shù)據(jù)安全等方面。 操作系統(tǒng)安全策略用于配置本地計(jì)算機(jī)的安全設(shè)置，包括密碼策略、賬戶鎖定策略、審核策略、IP安全策略、用戶權(quán)利指派、加密數(shù)據(jù)的恢復(fù)代理以及其它安全選項(xiàng)。具體可以體現(xiàn)在用戶賬戶、口令、訪問權(quán)限、審計(jì)等方面。 ◆用戶賬戶：用戶訪問系統(tǒng)的“身份證”，只有合法用戶才有賬戶。 ◆口令：用戶的口令為用戶訪問系統(tǒng)提供一道驗(yàn)證。 ◆訪問權(quán)限：規(guī)定用戶的權(quán)限。 ◆審計(jì)：對(duì)用戶的行為進(jìn)行跟蹤和記錄，便于系統(tǒng)管理員分析系統(tǒng)的訪問情況以及事后的追查使用。 應(yīng)用軟件安全應(yīng)用軟件安全性應(yīng)考慮三方面，個(gè)人認(rèn)為： （1）安全架構(gòu)設(shè)計(jì)； （2）安全編程 （3）安全測試。 如果按照CC要求，還有就是安全保障！首先，信息安全是一個(gè)體系，不是孤立的幾個(gè)不同步驟，目的是保護(hù)核心數(shù)據(jù)安全。 其次，信息安全體系遵從木桶原則，信息安全體系的防護(hù)程度取決于體系中最短的一塊木桶。 所以，我認(rèn)為體系中那個(gè)部分做的最薄弱，那個(gè)部分最重要，只有加長了短木板，整體防護(hù)才能上一個(gè)新水平，才能談到下一步繼續(xù)發(fā)展發(fā)表于: 20071121 16:35 發(fā)表主題: 個(gè)人見解,僅供參考我覺得最重要的是意識(shí)、是對(duì)安全的認(rèn)識(shí) 安全不是一個(gè)人、幾個(gè)人或者某個(gè)部門的事情，而是整個(gè)企業(yè)的事情 僅僅依靠技術(shù)、管理制度去維系企業(yè)的信息安全，則很難保障不會(huì)出現(xiàn)內(nèi)部威脅，而內(nèi)部威脅對(duì)信息安全而言，是很要命的事情。 只有整個(gè)企業(yè)的人員，自上而下都認(rèn)識(shí)到安全的重要性，具有維護(hù)本企業(yè)內(nèi)部信息安全的意識(shí)，主動(dòng)地遵循制定好的管理規(guī)則，將信息安全保護(hù)的意識(shí)貫徹到日常的行為中去，才能真正的保障企業(yè)的信息安全。 這里面，對(duì)員工日常的安全意識(shí)的培訓(xùn)教育是一方面，員工本身的職業(yè)道德素養(yǎng)的培養(yǎng)又是另一方面。 安全首先要貫徹到人的意識(shí)中去，企業(yè)負(fù)責(zé)人重視安全的保障問題，技術(shù)部門認(rèn)真管理安全技術(shù)設(shè)置，多個(gè)方面齊發(fā)并行，才能真正的實(shí)現(xiàn)企業(yè)的信息安全保證。 但這些方面的基礎(chǔ)設(shè)施是人員對(duì)安全的意識(shí)與認(rèn)識(shí)！
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1