信息安全论文范文10篇

时间:2023-04-03 11:31:49

信息安全论文

信息安全论文范文篇1

论文摘要:结合单位的实际,分析了现有计算机专业课程特点和不足,讨论了高师计算机专业学生开设信息安全法律法规课程的必要性、可行性,分析了信息安全技术课程、与信息安全有关法律法规课程的特点.给出了高师信息安全法律课程的教学目标定位、设置方法.

论文关键词:高师计算机专业;信息安全;法律法规课程

人类进入21世纪,现代信息技术迅猛发展,特别是网络技术的快速发展,互联网正以其强大的生命力和巨大的信息提供能力和检索能力风靡全球.

网络已成为人们尤其是大学生获取知识、信息的最快途径.网络以其数字化、多媒体化以及虚拟性、学习性等特点不仅影响和改变着大学生的学习方式生活方式以及交往方式,而且正影响着他们的人生观、世界观、价值取向,甚至利用自己所学的知识进行网络犯罪,所有这些使得高师学生思想政治工作特别是从事网络教学、实践的计算机专业的教育工作者来说,面临着前所未有的机遇和挑战,这不仅因为,自己一方面要传授学生先进的网络技术,另一方面也要教育学生不要利用这些技术从事违法活动而从技术的角度来看,违法与不违法只是一两条指令之间的事情,更重要的是高师计算机专业学生将来可能成为老师去影响他的学生,由此可见,在高师计算机专业学生中开设与信息安全有关的法律法规课程有着十分重要的意义.如何抓住机遇,研究和探索网络环境下的高师计算机专业学生信息安全法律法规教学的新特点、新方法、新途径、新对策已成为高师计算机专业教育者关心和思考的问题.本文主要结合我校的实际,就如何在高师计算机专业中开设信息安全法律课程作一些探讨.

1现有的计算机专业课程特点

根据我校人才培养目标、服务面向定位,按照夯实基础、拓宽专业口径、注重素质教育和创新精神、实践能力培养的人才培养思路,沟通不同学科、不同专业之间的课程联系.全校整个课程体系分为“通识教育课程、专业课程(含专业基础课程、专业方向课程)、教师教育课程(非师范除外)、实践教学课程”四个大类,下面仅就计算机专业课程的特点介绍.

1.1专业基础课程专业基础课是按学科门类组织的基础知识课程模块,均为必修课.目的是在大学学习的初期阶段,按学科进行培养,夯实基础,拓宽专业口径.考虑到学科知识体系、学生转专业等需要,原则上各学科大类所涵盖的各专业的学科专业基础课程应该相同.主要内容包括:计算机科学概论、网页设计与制作、C++程序设计、数据结构、操作系统等.

1.2专业方向课程各专业应围绕人才培养目标与规格设置主要课程,按照教育部《普通高等学校本科专业目录》的有关要求,结合学校实际设置必修课程和选修课程.同时可以开设2—3个方向作为限选.学生可以根据自身兴趣和自我发展的需要,在任一方向课程组中选择规定学分的课程修读.主要内容包括:计算机网络、汇编语言程序设计、计算机组成原理、数据库系统、软件工程导论、软件工程实训、计算机系统结构等.

1.3现有计算机专业课程设置的一些不足计算机技术一日千里,对于它的课程设置应该具有前瞻性,考虑到时代的变化,计算机应用专业旨在培养一批适合现代软件工程、网络工程发展要求的软件工程、网络工程技术人员,现有我校的计算机专业课程是针对这一目标进行设置的,但这一设置主要从技术的角度来考虑问题,没有充分考虑到:随着时代的发展,人们更广泛的使用网络、更关注信息安全这一事实,作为计算机专业的学生更应该承担起自觉维护起信息安全的责任,作为高师计算机专业的课程设置里应该考虑到教育学生不得利用自己所学的技术从事不利于网络安全的事情.

2高师计算机专业学生开设信息安全法律法规的必要性和可行性

2.1必要性信息安全学科群体系由核心学科群、支撑学科群和应用学科群三部分构成,是一个“以信息安全理论为核心,以信息技术、信息工程和信息安全等理论体系为支撑,以国家和社会各领域信息安全防护为应用方向”的跨学科的交叉性学科群体系.该学科交叉性、边缘性强,应用领域面宽,是一个庞大的学科群体系,涉及的知识点也非常庞杂.

仅就法学而言,信息安全涉及的法学领域就包括:刑法(计算机犯罪,包括非法侵入计算机信息系统罪、故意制作传播病毒等)、民商法(电子合同、电子支付等)、知识产权法(著作权的侵害、信息网络传播权等)等许多法学分支.因此,信息安全教育不是一项单一技术方面的教育,加强相关法律课程设置,是信息安全学科建设过程中健全人才培养体系的重要途径与任务.

高师计算机专业,虽然没有开设与信息安全专业一样多与信息安全的有关技术类课程.但这些专业的学生都有从事网络工程、软件工程所需要的基本编程能力、黑客软件的使用能力,只要具备这些能力且信息安全意识不强的人,都可能有意识或无意识的干出违反法律的事情,例如“YAI”这个比CIH还凶猛的病毒的编写者为重庆某大学计算机系一名大学生.由此可见,在高师计算机专业的学生中开设相关的法律法规选修课程是必要的.

2.2可行性技术与法律原本并不关联,但是在信息安全领域,技术与法律却深深的关联在一起,在全世界各国都不难发现诸如像数字签名、PKI应用与法律体系紧密关联.从本质上讲,信息安全对法律的需求,实际上来源于人们在面临信息技术革命过程中产生的种种新可能的时候,对这些可能性做出选择扬弃、利益权衡和价值判断的需要.这也就要求我们跳出技术思维的影响,重视信息安全中的法律范畴.

根据前面对信息安全法律法规内容的特点分析可知:信息安全技术与计算机应用技术有着千丝万缕的联系.从事计算机技术的人员很容易转到从事信息安全技术研究上,加之信息安全技术是当今最热门技术之一,因此,在高师计算机专业中开设一些基本的信息安全技术选修课程、开设一些与法律体系紧密关联的信息安全法律法规选修课程学生容易接受,具有可操作性.

3信息安全技术课程特点

信息安全技术课程所涉及的内容众多,有数学、计算机、通信、电子、管理等学科,既有理论知识,又有实践知识,理论与实践联系十分紧密,新方法、新技术以及新问题不断涌现,这给信息安全课程设置带来了很大的难度,为使我校计算机专业学生了解、掌握这一新技术,我们在专业课程模块中开设《密码学基础》、《网络安全技术》、《入侵检测技术》等作为专业选修课.我校本课程具有以下特点:

(1)每学期都对知识内容进行更新.

(2)对涉及到的基本知识面,分别采用开设专业课、专业选修课、讲座等多种方式,让学生了解信息安全知识体系,如有操作系统、密码学基础、防火墙技术、VPN应用、信息安全标准、网络安全管理、信息安全法律课程等.

(3)对先修课程提出了较高的要求.学习信息安全技术课程之前,都可设了相应的先行课程让学生了解、掌握,如开设了计算机网络基本原理、操作系统、计算机组成原理、程序设计和数论基础等课程.

(4)注重实践教学.比如密码学晦涩难懂的概念,不安排实验实训,不让学生亲手去操作,就永远不能真正理解和运用.防火墙技术只有通过亲手配置和测试.才能领会其工作机理.对此我们在相关的课程都对学生作了实践、实训的要求.

4涉及到信息安全法律法规内容的特点

信息安全的特点决定了其法律、法规内容多数情况下都涉及到网络技术、涉及到与网络有关的法律、法规.

4.1目的多样性作为信息安全的破坏者,其目的多种多样,如利用网络进行经济诈骗;利用网络获取国家政治、经济、军事情报;利用网络显示自己的才能等.这说明仅就破坏者方面而言的信息安全问题也是复杂多样的.

4.2涉及领域的广泛性随着网络技术的迅速发展,信息化的浪潮席卷全球,信息化和经济全球化互相交织,信息在经济和社会活动中的作用甚至超过资本,成为经济增长的最活跃、最有潜力的推动力.信息的安全越来越受到人们的关注,大到军事政治等机密安全,小到防范商业企业机密泄露、青少年对不良信息的浏览、个人信息的泄露等信息安全问题涉及到所有国民经济、政治、军事等的各个部门、各个领域.

4.3技术的复杂性信息安全不仅涉及到技术问题,也涉及到管理问题,信息安全技术又涉及到网络、编码等多门学科,保护信息安全的技术不仅需要法律作支撑,而且研究法律保护同时,又需要考虑其技术性的特征,符合技术上的要求.

4.4信息安全法律优先地位综上所述,信息安全的法律保护不是靠一部法律所能实现的,而是要靠涉及到信息安全技术各分支的信息安全法律法规体系来实现.因此,信息安全法律在我国法律体系中具有特殊地位,兼具有安全法、网络法的双重地位,必须与网络技术和网络立法同步建设,因此,具有优先发展的地位.

5高师信息安全技术课程中的法律法规内容教学目标

对于计算机专业或信息安全专业的本科生和研究生,应深入理解和掌握信息安全技术理论和方法,了解所涉到的常见的法律法规,深入理解和掌握网络安全技术防御技术和安全通信协议.

而对普通高等师范院校计算机专业学生来说,由于课程时间限制,不能对信息安全知识作较全面的掌握,也不可能过多地研究密码学理论,更不可能从法律专业的角度研究信息安全所涉到的法律法规,为此,开设信息安全法律法规课程内容的教学目标定位为:了解信息安全技术的基本原理基础上,初步掌握涉及网络安全维护和网络安全构建等技术的法律、法规和标准.如:《中华人民共和国信息系统安全保护条例》,《中华人民共和国数字签名法》,《计算机病毒防治管理办法》等.

6高师信息安全技术法律法规课程设置探讨

根据我校计算机专业课程体系结构,信息安全有关的法律法规课程,其中多数涉及信息安全技术层面,主要以选修课、讲座课为主,作为信息安全课程的补充.主要可开设以下选修课课程或讲座课程.

(1)信息安全法律法规基础讲座:本讲座力图改变大家对信息安全的态度,使操作人员知晓信息安全的重要性、企业安全规章制度的含义及其职责范围内需要注意的安全问题,让学生首先从信息安全的非技术层面了解与信息安全有关的法律、法规,主要内容包括:国内信息安全法律法规概貌、我国现有信息安全相关法律法规简介等.

(2)黑客攻击手段与防护策略:通过本课程的学习,可以借此提高自己的安全意识,了解常见的安全漏洞,识别黑客攻击手法,熟悉提高系统抗攻击能力的安全配置方法,最重要的还在于掌握一种学习信息安全知识的正确途径和方法.

(3)计算机犯罪取证技术:计算机取证是计算机安全领域中的一个全新的分支,涉及计算机犯罪事件证据的获取、保存、分析、证物呈堂等相关法律、程序、技术问题.本课程详细介绍了计算机取证相关的犯罪的追踪、密码技术、数据隐藏、恶意代码、主流操作系统取证技术,并详细介绍了计算机取证所需的各种有效的工具,还概要介绍了美国与中国不同的司法程序.

信息安全论文范文篇2

关键词:公安特色;信息安全;学科建设

中国刑警学院信息安全专业是伴随着全社会的信息化程度不断普及和提高,计算机犯罪侦查和电子物证检验工作面临着严峻的压力和挑战的形势下,于2002年2月26日申办成功的,成为继武汉大学后的第二批获批的信息安全专业,也是公安系统第一个具有信息安全专业的本科院校。2002年7月开始招收学生,目前该专业已招收六届本科生,2006年7月首批信息安全专业的本科生和二学位学生已经毕业,2007年7月第二届信息安全专业的本科生和研究生也已经走上了工作岗位,就业率为100%。用人单位无论是网警还是刑警反馈的信息都表明,学生在工作岗位上,办案能力强,业务全面,上手快。

目前我们的信息安全专业已经发展成以计算机犯罪侦查和电子物证检验为主干,以刑侦和法律为两翼的学科专业教育体系。形成了一个专业特色鲜明、教学计划科学合理、教学内容新颖实用、教学科研办案紧密结合,具有相当规模效应的特色专业。2007年被学院推荐为部级高等学校特色专业建设点。这样的结果得益于我们制定了特色鲜明科学合理的培养目标和与之相适应的教学计划。

1特色的培养目标

专业建设之初,在制定人才培养目标上,我们也走过了一段弯路。我们把培养合格的网络警察作为培养目标,而教学计划主要是在武汉大学信息安全专业教学计划的基础上,参考普通高等院校计算机专业的课程而制定的。经过大家的冷静思考我们认为,搞计算机专业我们和普通院校的计算机专业相比没有优势,做以密码学为核心课程的信息安全专业我们和地方院校信息安全专业相比也没有优势。网络警察出口面太窄,而且目前网络警察主要从地方高校引进计算机和法律专业人才,我们的毕业生从竞争角度也没有优势,这样不利于专业的长远发展。为此,我们把培养目标定位在大刑侦平台上,培养掌握计算机犯罪侦查理论与技能,能熟练进行涉计算机案件的侦查和电子物证检验的刑事警察。这样,不仅可以充分发挥中国刑警学院的专业优势,而且学生毕业分配出口广泛,到网警部门他们具有懂刑事办案、懂法律的优势,到刑警部门他们有计算机专业特色,懂涉计算机案件侦查和取证方法的优势。为所培养的学生受社会欢迎打下了坚实的基础。从教育理念上,我们占据了优势。有了一个科学的培养目标,才会有合理的教学计划。

2特色的教学计划

2004年,计算机犯罪侦查系对信息安全专业全面修订了教学计划。新计划以培养目标为指导,把“宽出口、实战型”作为教学质量控制的标准;把“点线面体”(主干课程是点、其前导后继构成线、主干课程线之间构成面、专业方向间构成体)作为讨论计划的过程控制,使新教学计划专家组的讨论意见空前的一致。这一教学计划也得到实战部门的好评,他们只听了教学计划就已经开始“订购”两年后的学生了。

该教学计划,把培养学生作为“大学生”、“警察”、“计算机专业人员”、“刑警”和“计算机案件侦查和取证人员”的基本理论、基本技能为模块进行设计。

“大学生”模块,这是教育部规定的所有大学工学本科生必须学习的课程集合。主要包括:大学英语、高等数学、普通物理学、大学生思想道德修养、马克思主义哲学原理、马克思主义政治经济学原理、思想概论、邓小平理论与“三个代表”概论、军事理论等课程。

“警察”模块,这是作为警察必须学习的课程。如,公安学概论、擒拿格斗、射击、犯罪心理学、犯罪情报学、公安应用写作、逻辑学等课程。

“计算机专业人员”模块,本着教学性大学培养应用性人才的这一目标,根据计算机犯罪侦查和电子物证检验的特点和工作需要,对计算机类专业课程进行筛选和调整。如,适当减少原理性课程门数或学时,增加应用性强的课程的设置,特别要强调语言类课程的学习,因为在计算机犯罪案件现场勘查时,如果不知道所遇到的文件类型和基本含义,会极大影响案件侦查的成功,也会丢掉很多线索。在教学计划中,我们先后共开设了C语言程序设计、汇编语言程序设计、可视化程序设计、ASP程序设计、数据库原理与应用、java程序设计等多门语言课程。但在强调语言的同时,也不能放弃能代表计算机专业特点的专业课程,这些课程可以培养学生的计算机专业功底。如,数据结构、计算机网络、操作系统原理、微机原理与接口等课程。

“刑警”模块,该模块是学生作为一名刑警应该掌握的基本原理和技能。我们把刑侦的专业主干课程均纳入了该模块。如,刑法学、刑事诉讼法学、行政法与行政诉讼法、刑事证据学、犯罪现场勘查、刑事案件侦查、预审学、查缉战术、侦查措施、经济犯罪案件侦查、治安案件查处等课程。

“计算机案件侦查和取证人员”模块,该模块主要是计算机犯罪侦查和电子物证检验人员所需要的知识。如,信息安全基础、网络安全技术与防范(含密码学)、计算机司法检验学、计算机犯罪案件侦查、计算机恶意代码原理与识别、常见操作系统分析、计算机信息系统安全法规、信息卡技术与安全等课程。

该教学计划以计算机专业理论和法律应用为基础,以计算机犯罪侦查和电子物证检验技术为重点,以刑事案件办理为特色的实用型教学计划。培养即懂传统刑事案件的办理,又具有涉计算机案件办理能力的复合型人才。

3特色的课程建设思路

为把信息安全专业办出刑警学院特色,我们将信息安全专业的课程划分为独有课、特色课和共享课。

独有课就是我们学院有,其他院校没有或非常薄弱的,如“计算机犯罪案件侦查”、“计算机司法检验学”和“计算机恶意代码原理与识别”等课程;特色课就是其他院校有,我们学院有特点的课程;共享课就是计算机及法律相关的课程,各院校开设的内容基本类似。

对各类课程采取不同的措施和思路。对共享课和特色课中的非特色部分,向重点大学靠拢,以他人之长补己之短,派计算机专业毕业的青年教师到在这些课程方面全国领先的重点大学学习,听一轮课,从中学习和了解他们的教学计划、教学内容、教学方法、教学手段、理论教材、实验教材、实验设备、实验方式等内容;特色课中的特色在于我们比地方大学有与公安实战联系密切的优势,比其他公安院校有刑警学院在刑侦和刑技方面的优势。要把握好以公安需要、应用办案为教学出发点,以培养实用型人才为教学目标的总体方向;而独有课是我们专业的拳头,要加大力量,选精兵强将,以老中青结合的方式,划分成课程攻关小组,甚至不惜重金聘请专家来共同搞好。

由于信息安全专业是刚刚兴起的专业,一些教师还没有进入角色,新课多,专业性强,任务量大,因此,提出“以课程建设促学科发展,全体动员,学生参与,加快发展”的课程建设总体思路。

将教学计划中的课程划分成课程小组,采取组长负责制,定时间、定任务、定目标。根据课程内容的需要,到重点大学进修加强理论基础,学习教学模式;到公安实战部门锻炼和听专业系的课程,了解公安一线需要,并学习涉计算机案件的办案方法。遇到难点形成科研课题,与各方面的专家共同进行攻关。再将办案方法和科研成果融入教学。这样就很好地实现了以课程建设促教学、科研和办案的发展,即实现了学科发展的目标。

由于教师数量少,工作任务重,有许多入门操作阶段的工作,以学生参与科研的模式,充分调动在校生特别是信息安全专业学生的积极性(在这方面已经在毕业论文和志愿者学生中进行了较成功的尝试)。在学生中成立“信息安全俱乐部”,教师为之提供理论和实战需要方面的指导,并提供适当的上机条件,让他们学会使用现有大量信息安全方面的软件,然后以讲座或交流的方式给全院师生讲解。这样不仅使教师摆脱了大量基础操作软件的调试,也极大地调动和提高了全体警院学生办理涉计算机犯罪案件的意识和能力。

为保证教学质量,所有新开课程上课前,课程组要对教学大纲和教学计划共同讨论,提出意见。在信息安全专业正式讲授前如果条件允许要在全院进行讲座或选修课,这样一轮教学过后专业教学就会较为成型。

4特色的实验室建设

根据我院信息安全专业以计算机犯罪侦查、电子物证检验和网络监察与监控为方向的特点,我们建成了全国高校第一个“电子数据取证实验室”和全国公安院校第一个“网络攻防实验室”。

“电子数据取证实验室”采用与公安实战无缝对接的思想,即公安实战单位用什么设备我们就学什么设备。这样使学生的动手能力和上手快的特点得以保障。这里不仅包括计算机取证专用机、还包括各种取证平台和取证软件。如图1所示。

“网络攻防实验室”重点解决在涉网案件中,网络痕迹的搜索以及网络监控、网络攻防技术演练等需要的实验室条件。该实验室不仅有核心交换机、路由器,还有防火墙、入侵检测系统、无线网络环境。单机上的主机与虚拟机、小组内的成员之间和小组间的攻防演练均可以实现。如图2所示。

这两个特色实验室的建成为专业课教学、为科研和办案提供了物质保证。

5特色的教学科研办案模式

信息安全论文范文篇3

论文摘要:世界已进入了信息化时代,信息化和信息产业发展水平已成为衡量一个国家综合国力的重要标准。但由于信息资源不同于其他资源的特殊性质,如何保证信息的安全性成为我国信息化建设过程中需要解决的重要问题。

论文关键词:信息安全;保护

信息安全包括以下内容:真实性,保证信息的来源真实可靠;机密性,信息即使被截获也无法理解其内容;完整性,信息的内容不会被篡改或破坏;可用性,能够按照用户需要提供可用信息;可控性,对信息的传播及内容具有控制能力;不可抵赖性,用户对其行为不能进行否认;可审查性,对出现的网络安全问题提供调查的依据和手段。与传统的安全问题相比,基于网络的信息安全有一些新的特点:信息安全威胁主要来源于自然灾害、意外事故;计算机犯罪;人为错误,比如使用不当,安全意识差等;“黑客”行为;内部泄密;外部泄密;信息丢失;电子谍报,比如信息流量分析、信息窃取等;信息战;网络协议自身缺陷,等等。

1我国信息安全的现状

近年来,随着国家宏观管理和支持力度的加强、信息安全技术产业化工作的继续进行、对国际信息安全事务的积极参与以及关于信息安全的法律建设环境日益完善等因素,我国在信息安全管理上的进展是迅速的。但是,由于我国的信息化建设起步较晚,相关体系不完善,法律法规不健全等诸多因素,我国的信息化仍然存在不安全问题。

①网络安全的防护能力较弱。我国的信息化建设发展迅速,各个企业纷纷设立自己的网站,特别是“政府上网工程”全面启动后,各级政府已陆续设立了自己的网站,但是由于许多网站没有防火墙设备、安全审计系统、入侵监测系统等防护设备,整个系统存在着相当大的信息安全隐患。美国互联网安全公司赛门铁克公司2007年发表的报告称,在网络黑客攻击的国家中,中国是最大的受害国。

②对引进的国外设备和软件缺乏有效的管理和技术改造。由于我国信息技术水平的限制,很多单位和部门直接引进国外的信息设备,并不对其进行必要的监测和改造,从而给他人入侵系统或监听信息等非法操作提供了可乘之机。

③我国基础信息产业薄弱,核心技术严重依赖国外,缺乏自主创新产品,尤其是信息安全产品。我国信息网络所使用的网管设备和软件基本上来自国外,这使我国的网络安全性能大大减弱,被认为是易窥视和易打击的“玻璃网”。由于缺乏自主技术,我国的网络处于被窃听、干扰、监视和欺诈等多种信息安全威胁中,网络安全处于极脆弱的状态。

除此之外,我国目前信息技术领域的不安全局面,也与西方发达国家对我国的技术输出进行控制有关。

2我国信息安全保护的策略

针对我国信息安全存在的问题,要实现信息安全不但要靠先进的技术,还要有严格的法律法规和信息安全教育。

①加强全民信息安全教育,提高警惕性。从小做起,从己做起,有效利用各种信息安全防护设备,保证个人的信息安全,提高整个系统的安全防护能力,从而促进整个系统的信息安全。

②发展有自主知识产权的信息安全产业,加大信息产业投入。增强自主创新意识,加大核心技术的研发,尤其是信息安全产品,减小对国外产品的依赖程度。

③创造良好的信息化安全支撑环境。完善我国信息安全的法规体系,制定相关的法律法规,例如信息安全法、数字签名法、电子信息犯罪法、电子信息出版法、电子信息知识产权保护法、电子信息个人隐私法、电子信息进出境法等,加大对网络犯罪和信息犯罪的打击力度,对其进行严厉的惩处。

信息安全论文范文篇4

论文摘要:随着网络技术的飞速发展和广泛应用,信息安全问题正日益突出显现出来,受到越来越多的关注。文章介绍了网络信息安全的现状.探讨了网络信息安全的内涵,分析了网络信息安全的主要威胁,最后给出了网络信息安全的实现技术和防范措施.以保障计算机网络的信息安全,从而充分发挥计算机网络的作用。

论文关键词:计算机,网络安全,安全管理,密钥安全技术

当今社会.网络已经成为信息交流便利和开放的代名词.然而伴随计算机与通信技术的迅猛发展.网络攻击与防御技术也在循环递升,原本网络固有的优越性、开放性和互联性变成了信息安全隐患的便利桥梁.网络安全已变成越来越棘手的问题在此.笔者仅谈一些关于网络安全及网络攻击的相关知识和一些常用的安全防范技术。

1网络信息安全的内涵

网络安全从其本质上讲就是网络上的信息安全.指网络系统硬件、软件及其系统中数据的安全。网络信息的传输、存储、处理和使用都要求处于安全状态可见.网络安全至少应包括静态安全和动态安全两种静态安全是指信息在没有传输和处理的状态下信息内容的秘密性、完整性和真实性:动态安全是指信息在传输过程中不被篡改、窃取、遗失和破坏。

2网络信息安全的现状

中国互联网络信息中心(CNNIC)的《第23次中国互联网络发展状况统计报告》。报告显示,截至2008年底,中国网民数达到2.98亿.手机网民数超1亿达1.137亿。

Research艾瑞市场咨询根据公安部公共信息网络安全监察局统计数据显示.2006年中国(大陆)病毒造成的主要危害情况:“浏览器配置被修改”是用户提及率最高的选项.达20.9%.其次病毒造成的影响还表现为“数据受损或丢失”18%.“系统使用受限”16.1%.“密码被盗”13.1%.另外“受到病毒非法远程控制”提及率为6.1%“无影响”的只有4.2%。

3安全防范重在管理

在网络安全中.无论从采用的管理模型,还是技术控制,最重要的还是贯彻始终的安全管理管理是多方面的.有信息的管理、人员的管理、制度的管理、机构的管理等.它的作用也是最关键的.是网络安全防范中的灵魂。

在机构或部门中.各层次人员的责任感.对信息安全的认识、理解和重视程度,都与网络安全息息相关所以信息安全管理至少需要组织中的所有雇员的参与.此外还需要供应商、顾客或股东的参与和信息安全的专家建议在信息系统设计阶段就将安全要求和控制一体化考虑进去.则成本会更低、效率会更高那么做好网络信息安全管理.至少应从下面几个方面人手.再结合本部门的情况制定管理策略和措施:

①树立正确的安全意识.要求每个员工都要清楚自己的职责分工如设立专职的系统管理员.进行定时强化培训.对网络运行情况进行定时检测等。

2)有了明确的职责分工.还要保障制度的贯彻落实.要加强监督检查建立严格的考核制度和奖惩机制是必要的。

③对网络的管理要遵循国家的规章制度.维持网络有条不紊地运行。

④应明确网络信息的分类.按等级采取不同级别的安全保护。

4网络信息系统的安全防御

4.1防火墙技术

根据CNCERT/CC调查显示.在各类网络安全技术使用中.防火墙的使用率最高达到76.5%。防火墙的使用比例较高主要是因为它价格比较便宜.易安装.并可在线升级等特点防火墙是设置在被保护网络和外部网络之间的一道屏障,以防止发生不可预测的、潜在破坏性的侵入。它通过监测、限制、更改跨越防火墙的数据流,尽可能地对外部屏蔽网络内部的信息、结构和运行状况.以此来实现网络的安全保护。

4.2认证技术

认证是防止主动攻击的重要技术.它对开放环境中的各种消息系统的安全有重要作用.认证的主要目的有两个:

①验证信息的发送者是真正的主人

2)验证信息的完整性,保证信息在传送过程中未被窜改、重放或延迟等。

4.3信息加密技术

加密是实现信息存储和传输保密性的一种重要手段信息加密的方法有对称密钥加密和非对称密钥加密.两种方法各有所长.可以结合使用.互补长短。

4.4数字水印技术

信息隐藏主要研究如何将某一机密信息秘密隐藏于另一公开的信息中.然后通过公开信息的传输来传递机密信息对信息隐藏而吉.可能的监测者或非法拦截者则难以从公开信息中判断机密信息是否存在.难以截获机密信息.从而能保证机密信息的安全随着网络技术和信息技术的广泛应用.信息隐藏技术的发展有了更加广阔的应用前景。数字水印是信息隐藏技术的一个重要研究方向.它是通过一定的算法将一些标志性信息直接嵌到多媒体内容中.但不影响原内容的价值和使用.并且不能被人的感觉系统觉察或注意到。

4.5入侵检测技术的应用

人侵检测系统(IntrusionDetectionSystem简称IDS)是从多种计算机系统及网络系统中收集信息.再通过这此信息分析入侵特征的网络安全系统IDS被认为是防火墙之后的第二道安全闸门.它能使在入侵攻击对系统发生危害前.检测到入侵攻击.并利用报警与防护系统驱逐入侵攻击:在入侵攻击过程中.能减少入侵攻击所造成的损失:在被入侵攻击后.收集入侵攻击的相关信息.作为防范系统的知识.添加入策略集中.增强系统的防范能力.避免系统再次受到同类型的入侵入侵检测的作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术.是一种用于检测计算机网络中违反安全策略行为的技术。

信息安全论文范文篇5

论文摘要:电子商务的安全防范方面,已经出现了许多新技术新方法,但网络安全问题仍然让人担忧。引入安全策略的维度思想,对各种安全技术进行整合,使各种安全技术在搭配组合上更科学合理,发挥最大的安全效能。

论文关键词:网络安全;安全策略;雏度思想

1概述

计算机信息安全策略维度思想是将计算机信息安全首先从不同的角度(维度)进行拆分,然后对某一些角度(维度)的信息加以限制(如进行加密),当这一维度被抽出后,其它的信息即便被人得到,只要该被限制的维度不能被获得,则其他人无法得到真实完整的信息,或者说是得到无用的信息。这种体系发生作用的原因就是前面提过的,为当某一维度被限制后,它的上一层维度将会被限制,这样向上的一层层维度都将被限制直到最顶层。在计算机领域里,我们知道计算机信息需要传输,而传输过程中将涉及到传输的内容(加密内容、非加密内容)、传输使用的方式(电话、网络、卫星信号)、传输的时间等诸多维度。在这些维度中如果我们能将任何—个维度加以限制,就能保证这次传输的信息安全可靠。

2安全策略维度的关联分析

为了加强计算机信息安全,我们往往同时采用多种安全技术,如加密、安全认证、访问控制、安全通道等。这样高强度的安全措施为什么还会出现那么多的安全漏洞,以致于大家普遍认为“网络无安全“呢?经过思考,我们认为计算机信息安全策略存在的缺陷,是造成这一现象的重要原因。主要问题出在几个安全维度之间出现了强关联,使原本三维、四维的安全措施降低了维数,甚至只有一维。这样一来,就使得安全防范技术的效力大打折扣。举例来讲,如果我们采取了加密、安全通道这两种技术措施,则我们可以认为这是—个二维安全策略,但是由于它们都是在WINDOWS操作系统上运行,于是这两种本不相关联的安全技术,通过同一操作系统出现了强关联,使其安全策略维度降至一维甚至更低。因为一旦有人在当事人完全不知道的情况下,通过木马或其他手段操控了WINDOWS操作系统,那么无论是加密还是安全通道都变得毫无意义。因为这时入侵者已经被认为是—个合法的操作者,他可以以原主人的身分自行完成诸如加密、安全通道通信的操作,从而进行破坏。究其原因是加密、安全通道技术都分别与操作系统发生了强关联,而加密与安全通道技术通过操作系统,它们俩之问也发生了强关联,这就使安全强度大打折扣。为了减少各维度间的关联尽量实现各维度的正交,我们必须尽量做到各维度之间相互隔离减少软、硬件的复用、共用。共用硬件往往随之而来的就是软件的共用(通用),因此实现硬件的独立使用是关键。举例来说,要是我们能把操作系统与加密、安全通道实现隔离,则我们就可以得到真正的二维安全策略。为了实现这种隔离,我们可以作这样的设计:我们设计出用各自分离的加密、通讯硬件设备及软件操作系统这些设施能独立的(且功能单一的)完成加密、通讯任务,这样操作系统、加密、安全通道三者互不依赖,它们之间只通过一个预先设计好的接口传输数据(如:Rs232接口和PKCS#11加密设备接口标准)。这样一来,对于我们所需要保护的信息就有了一个完全意义上的二维安全策略。在电子交易的过程中,即便在操作系统被人完全操控的情况下,攻击者也只能得到—个经过加密的文件无法将其打开。即便攻击者用巨型计算机破解了加密文件,但由于安全通道的独立存在,它仍能发挥其安全保障作用,使攻击者无法与管理电子交易的服务器正常进行网络联接,不能完成不法交易。综上所述,我们在制定安全策略时,要尽量实现各个维度安全技术的正交,从硬件、软件的使用上尽量使各个安全技术不复用操作系统不复用硬件设施,从而减少不同维度安全技术的关联程度。

3安全策略维度的节点安全问题

为了保护节安全,我们可以采取的方法一般有两种:加强对节点的技术保护或是将节点后移。为了加强对节点的技术保护,我们采取的方法很多,如加设防火墙,安装防病毒、防木马软件,以及应用层次防御和主动防御技术等等,这方面已经有很多成熟的技术。这种方法强调的是使用技术手段来防御,但也有其缺点,就是防御手段往往落后于攻击手段,等发现技术问题再填补漏洞时很可能已经造成很大的损失。节点后移则更多是强调一种策略而不强调先进的技术,它不强调用最新的病毒库、最新解码技术来进行节点保护,而是通过现有的成熟技术手段尽可能延长节点并将节点后移,从而实现对节点的保护。

为了理清这俩个方法的区别,可以将保护分成系统自身的保护性构造与外部对系统的保护。

系统自身的保护构造依靠的是节点后移,它讲的是系统自身如何通过没汁的合理来保证系统内操作的安全性。但是如果仅靠系统自身的构造是不足以保证系统安全的,因为如果系统的源代码被攻击者购得,又或者高级节点的维护人员恶意修改系统内容等等安全系统外情况的出现,再完美的系统也会无效。这就如同金库的门再厚,管钥匙的人出了问题金库自身是无能为力的。计算机安全能做的事就如同建—个结实的金库,而如何加强对金库的管理、维护(或者说保护)则是另外一件事。事实上金库本身也需要维护与保护,所以我们按照维度思维构建了计算机信息安全体系本身的同时也需要按维度思维对安全体系自身进行保护。具体来讲比如,越是重要的数据服务器越要加强管理,对重要数据服务器的管理人员审查越要严格,工资待遇相对要高,越重要的工作场所越要加强值班、监控等等。

4安全策略维度的安全技术分布

在所没汁安全策略采用了加密、密码认证、安全通道三种技术,则认为是采用了三维的安全防范策略。有以下技术分布方法。方法1中三个安全技术维度直接与顶点相接,只有两级层次没有实现前文所述的节点后移无法进行层级管理,也没有按照二叉树结构进行组织。所以安全性能最差;

方法2中,三个安全技术分成了三个层级,它比方法l要好。但它也有问题它的加密与认证关联于同一个节点,因此如果图中的“二级节点”一旦被攻破则两种安全技术被同时攻破。

方法3中三个安全技术分成四个层级,且加密与认证被分布在不同的节点上,两个三级节点任意—个被攻破仍无法攻破二级节点。因此方法3的安全性能最高。

因此,在有限的可用安全技术中,应该尽量使用二叉树结构,并将这些安全技术尽可能地分布在不同的节点上。

信息安全论文范文篇6

论文提要:当今世界已进入了信息化时代,信息化和信息产业发展水平已成为衡量一个国家综合国力的重要标准。党的十七大明确提出了一条“以信息化带动工业化,以工业化促进信息化”的具有中国特色的信息化道路。信息资源随之成为社会资源的重要组成部分,但由于信息资源不同于其他资源的特殊性质,如何保证信息的安全性和保密性成为我国信息化建设过程中需要解决的重要问题。

一、信息化的内涵、信息资源的性质及信息的安全问题

“信息化”一词最早是由日本学者于20世纪六十年代末提出来的。经过40多年的发展,信息化已成为各国社会发展的主题。

信息作为一种特殊资源与其他资源相比具有其特殊的性质,主要表现在知识性、中介性、可转化性、可再生性和无限应用性。由于其特殊性质造成信息资源存在可能被篡改、伪造、窃取以及截取等安全隐患,造成信息的丢失、泄密,甚至造成病毒的传播,从而导致信息系统的不安全性,给国家的信息化建设带来不利影响。因此,如何保证信息安全成为亟须解决的重要问题。

信息安全包括以下内容:真实性,保证信息的来源真实可靠;机密性,信息即使被截获也无法理解其内容;完整性,信息的内容不会被篡改或破坏;可用性,能够按照用户需要提供可用信息;可控性,对信息的传播及内容具有控制能力;不可抵赖性,用户对其行为不能进行否认;可审查性,对出现的网络安全问题提供调查的依据和手段。与传统的安全问题相比,基于网络的信息安全有一些新的特点:

一是由于信息基础设施的固有特点导致的信息安全的脆弱性。由于因特网与生俱来的开放性特点,从网络架到协议以及操作系统等都具有开放性的特点,通过网络主体之间的联系是匿名的、开放的,而不是封闭的、保密的。这种先天的技术弱点导致网络易受攻击。

二是信息安全问题的易扩散性。信息安全问题会随着信息网络基础设施的建设与因特网的普及而迅速扩大。由于因特网的庞大系统,造成了病毒极易滋生和传播,从而导致信息危害。

三是信息安全中的智能性、隐蔽性特点。传统的安全问题更多的是使用物理手段造成的破坏行为,而网络环境下的安全问题常常表现为一种技术对抗,对信息的破坏、窃取等都是通过技术手段实现的。而且这样的破坏甚至攻击也是“无形”的,不受时间和地点的约束,犯罪行为实施后对机器硬件的信息载体可以不受任何损失,甚至不留任何痕迹,给侦破和定罪带来困难。

信息安全威胁主要来源于自然灾害、意外事故;计算机犯罪;人为错误,比如使用不当,安全意识差等;“黑客”行为;内部泄密;外部泄密;信息丢失;电子谍报,比如信息流量分析、信息窃取等;信息战;网络协议自身缺陷,等等。

二、我国信息化中的信息安全问题

近年来,随着国家宏观管理和支持力度的加强、信息安全技术产业化工作的继续进行、对国际信息安全事务的积极参与以及关于信息安全的法律建设环境日益完善等因素,我国在信息安全管理上的进展是迅速的。但是,由于我国的信息化建设起步较晚,相关体系不完善,法律法规不健全等诸多因素,我国的信息化仍然存在不安全问题。

1、信息与网络安全的防护能力较弱。我国的信息化建设发展迅速,各个企业纷纷设立自己的网站,特别是“政府上网工程”全面启动后,各级政府已陆续设立了自己的网站,但是由于许多网站没有防火墙设备、安全审计系统、入侵监测系统等防护设备,整个系统存在着相当大的信息安全隐患。美国互联网安全公司赛门铁克公司2007年发表的报告称,在网络黑客攻击的国家中,中国是最大的受害国。

2、对引进的国外设备和软件缺乏有效的管理和技术改造。由于我国信息技术水平的限制,很多单位和部门直接引进国外的信息设备,并不对其进行必要的监测和改造,从而给他人入侵系统或监听信息等非法操作提供了可乘之机。3、我国基础信息产业薄弱,核心技术严重依赖国外,缺乏自主创新产品,尤其是信息安全产品。我国信息网络所使用的网管设备和软件基本上来自国外,这使我国的网络安全性能大大减弱,被认为是易窥视和易打击的“玻璃网”。由于缺乏自主技术,我国的网络处于被窃听、干扰、监视和欺诈等多种信息安全威胁中,网络安全处于极脆弱的状态。

4、信息犯罪在我国有快速发展趋势。除了境外黑客对我国信息网络进行攻击,国内也有部分人利用系统漏洞进行网络犯罪,例如传播病毒、窃取他人网络银行账号密码等。

5、在研究开发、产业发展、人才培养、队伍建设等方面与迅速发展的形势极不适应。

造成以上问题的相关因素在于:首先,我国的经济基础薄弱,在信息产业上的投入还是不足,尤其是在核心和关键技术及安全产品的开发生产上缺乏有力的资金支持和自主创新意识。其次,全民信息安全意识淡薄,警惕性不高。大多数计算机用户都曾被病毒感染过,并且病毒的重复感染率相当高。

除此之外,我国目前信息技术领域的不安全局面,也与西方发达国家对我国的技术输出进行控制有关。

三、相关解决措施

针对我国信息安全存在的问题,要实现信息安全不但要靠先进的技术,还要有严格的法律法规和信息安全教育。

1、加强全民信息安全教育,提高警惕性。从小做起,从己做起,有效利用各种信息安全防护设备,保证个人的信息安全,提高整个系统的安全防护能力,从而促进整个系统的信息安全。

2、发展有自主知识产权的信息安全产业,加大信息产业投入。增强自主创新意识,加大核心技术的研发,尤其是信息安全产品,减小对国外产品的依赖程度。

3、创造良好的信息化安全支撑环境。完善我国信息安全的法规体系,制定相关的法律法规,例如信息安全法、数字签名法、电子信息犯罪法、电子信息出版法、电子信息知识产权保护法、电子信息个人隐私法、电子信息进出境法等,加大对网络犯罪和信息犯罪的打击力度,对其进行严厉的惩处。

4、高度重视信息安全基础研究和人才的培养。为了在高技术环境下发展自主知识产权的信息安全产业,应大力培养信息安全专业人才,建立信息安全人才培养体系。

5、加强国际防范,创造良好的安全外部环境。由于网络与生俱有的开放性、交互性和分散性等特征,产生了许多安全问题,要保证信息安全,必须积极参与国际合作,通过吸收和转化有关信息网络安全管理的国际法律规范,防范来自世界各地的黑客入侵,加强信息网络安全。

信息安全论文范文篇7

关键词:税收信息化;信息状态安全;信息转移安全;信息安全技术

从三个方面来考虑:首先是信息状态安全,即税务系统安全,要防止税务系统中心的数据被攻击者破坏。税务系统要通过Internet对纳税人提供纳税便利,必须以一定的方式将它的数据中心开放,这对税务系统本身带来了很大的风险。其次是信息转移安全,即服务安全,如纳税人识别号、口令、纳税金额等在传输中不被冒用、泄露和篡改。再次是安全管理制度,即使用安全,保证税务人员正确、安全的使用。本文主要针对以上前两个方面也就是信息安全技术进行研究。

一、信息状态安全技术

信息状态安全主要包括系统主机服务器安全、操作系统安全和数据库安全三个方面。

(一)系统主机服务器安全(ServerSecurity)

服务器是存储数据、处理请求的核心,因此服务器的安全性尤为重要。服务器的安全性主要涉及到服务器硬件设备自身的安全性防护,对非法接触服务器配件具有一定的保护措施,比如加锁或密码开关设置等;同时,服务器需要支持大数据量及多线程存储矩阵以满足大数据量访问的实时性和稳定性,不会因为大量的访问导致服务器崩溃;服务器要能够支持基于硬件的磁盘阵列功能,支持磁盘及磁带的系统、数据备份功能,使得安装在服务器上的操作系统和数据库能够在灾难后得到备份恢复,保证服务器的不间断运行;服务器设备配件的高质量及运行可靠性也是服务器安全的非常重要的一个方面,这直接关系到服务器不间断运行的时间和网络数据访问的效率。

(二)操作系统安全(OperatingSystemSecurity)

设置操作系统就像为构筑安全防范体系打好“地基”。

1.自主访问控制(DiscretionaryAccessControl,DAC)。自主访问控制是基于对主体(Subject)或主体所属的主体组的识别来限制对客体(Object)的访问。为实现完备的自主访问控制,由访问控制矩阵提供的信息必须以某种形式保存在税务操作系统中。访问控制矩阵中的每行表示一个主体,每列表示一个受保护的客体,矩阵中的元素表示主体可对客体的访问模式。以基于行的自主访问控制方法为例。它是在每个主体上都附加一个该主体可访问的客体的明细表,根据表中信息的不同可分为三种形式:(1)权力表(CapabilitiesList),它决定是否可对客体进行访问以及可进行何种模式的访问。(2)前缀表(PrefixList),它包括受保护客体名以及主体对客体的访问权。(3)口令(Password),主体对客体进行访问前,必须向税务操作系统提供该客体的口令。对于口令的使用,建议实行相互制约式的双人共管系统口令。

2.强制访问控制(MandatoryAccessControl,MAC)。鉴于自主访问控制不能有效的抵抗计算机病毒的攻击,这就需要利用强制访问控制来采取更强有力的访问控制手段。在强制访问控制中,税务系统对主体和客体都分配一个特殊的一般不能更改的安全属性,系统通过比较主体与客体的安全属性来决定一个主体是否能够访问某个客体。税务系统一般可采取两种强制措施:(1)限制访问控制的灵活性。用户修改访问控制信息的唯一途径是请求一个特权系统的功能调用,该功能依据用户终端输入的信息而不是靠另一个程序提供的信息来修改访问控制信息。在确信用户自己不会泄露文件的前提下,用这种方法可以消除偷改访问控制信息的计算机病毒的威胁。(2)限制编程。鉴于税务系统仅需要进行事务处理,不需要任何编程的能力,可将用于应用开发的计算机系统分离出去,完全消除用户的编程能力。

3.安全核技术(SecurityKernelTechnology)。安全核是构造高度安全的操作系统最常用的技术。该技术的理论基础是:将与安全有关的软件隔离在操作系统的一个可信核内,而操作系统的大部分软件无须负责系统安全。税务系统安全核技术要满足三个原则:(1)完备性(Completeness),要求使主体必须通过引进监控器才能对客体进行访问操作,并使硬件支持基于安全核的系统。(2)隔离性(Isolation),要求将安全核与外部系统很好的隔离起来,以防止进程对安全核的非法修改。(3)可验证性(Verifiability),要求无论采用什么方法构造安全核,都必须保证对它的正确性可以进行某种验证。

其他常见措施还有:信息加密、数字签名、审计等,这些技术方法在数据库安全等方面也可广泛应用,我们将在下面介绍。

(三)数据库安全(DatabaseSecurity)

数据库是信息化及很多应用系统的核心,其安全在整个信息系统中是最为关键的一环,所有的安全措施都是为了最终的数据库上的数据的安全性。另外,根据税务网络信息系统中各种不同应用系统对各种机密、非机密信息访问权限的要求,数据库需要提供安全性控制的层次结构和有效的安全性控制策略。

数据库的安全性主要是依靠分层解决的,它的安全措施也是一级一级层层设置的,真正做到了层层设防。第一层应该是注册和用户许可,保护对服务器的基本存取;第二层是存取控制,对不同用户设定不同的权限,使数据库得到最大限度的保护;第三层是增加限制数据存取的视图和存储过程,在数据库与用户之间建立一道屏障。基于上述数据库层次结构的安全体系,税务网络信息系统需要设置对机密和非机密数据的访问控制:(1)验证(Authentication),保证只有授权的合法用户才能注册和访问;(2)授权(Authorization),对不同的用户访问数据库授予不同的权限;(3)审计(Auditing),对涉及数据库安全的操作做一个完整的记录,以备有违反数据库安全规则的事件发生后能够有效追查,再结合以报警(Alert)功能,将达到更好的效果。还可以使用数据库本身提供的视图和存储过程对数据库中的其他对象进行权限设定,这样用户只能取得对视图和存储过程的授权,而无法访问底层表。视图可以限制底层表的可见列,从而限制用户能查询的数据列的种类。

二、信息转移安全技术

信息转移安全即网络安全。为了达到保证网络系统安全性的目的,安全系统应具有身份认证(IdentificationandAuthentication);访问控制(AccessControl);可记账性(Accountability);对象重用(ObjectReuse);精确性(Accuracy);服务可用性(AvailabilityofServices)等功能。

1.防火墙技术(FirewallTechnology)

为保证信息安全,防止税务系统数据受到破坏,常用防火墙来阻挡外界对税务局数据中心的非法入侵。所谓防火墙,是一类防范措施的总称,是指在受保护的企业内联网与对公众开放的网络(如Internet)之间设立一道屏障,对所有要进入内联网的信息进行分析或对访问用户进行认证,防止有害信息和来自外部的非法入侵进入受保护网,并且阻止内联网本身某个节点上发生的非法操作以及有害数据向外部扩散,从而保护内部系统的安全。防火墙的实质是实施过滤技术的软件防范措施。防火墙可以分为不同类型,最常见的有基于路由器的IP层防火墙和基于主机的应用层防火墙。两种防火墙各有千秋,IP层防火墙对用户透明性好,应用层防火墙具有更大的灵活性和安全性。实践中只要有资金许可,常常将两种防火墙结合使用,以互相补充,确保网络的安全。另外,还有专门用于过滤病毒的病毒防火墙,随时为用户查杀病毒,保护系统。

2.信息加密技术(InformationEncryptionTechnology)

信息加密包括密码设计、密码分析、密钥管理、验证等内容。利用加密技术可以把某些重要信息或数据从明文形式转换成密文形式,经过线路传送,到达目的端用户再把密文还原成明文。对数据进行加密是防止信息泄露的有效手段。适当的增加密钥的长度和更先进的密钥算法,可以使破译的难度大大增加。具体有两种加密方式:(1)私钥加密体制(Secret-keyCryptography),即加密与解密时使用相同的密码。私钥加密体制包括分组密码和序列密码两种。分组密码把明文符号按固定大小进行分组,然后逐组加密。而序列密码把明文符号立即转换为密文符号,运算速度更快,安全性更高。(2)公钥加密体制(Public-keyCryptography),其加密密钥与解密密钥分为两个不同的密钥,一个用于对信息的加密,另一个用于对已加密信息的解密。这两个密钥是一对互相依赖的密钥。

在传输过程中,只有税务系统和认证中心(AuthenticationCenter,AC)才有税务系统的公开密钥,只有纳税人和认证中心才有纳税人的公开密钥,在这种情况下,即使其他人得到了经过加密后双方的私有密钥,也因为无法进行解密而保证了私有密钥的重要性,从而保证了传输文件的安全性。

3.信息认证技术(InformationAuthenticationTechnology)

数字签名技术(DigitalSignatureTechnology)。数字签名可以证实信息发送者的身份以及信息的真实性,它具备不可伪造性、真实性、不可更改性和不可重复性四大特征。数字签名是通过密码算法对数据进行加密、解密交换实现的,其主要方式是:信息发送方首先通过运行散列函数,生成一个欲发送报文的信息摘要,然后用所持有的私钥对这个信息的摘要进行加密以形成发送方的数字签名,这个数字签名将作为报文的附件和报文一起发送给报文的接收方。接收方在接收到信息后,首先运行和发送方相同的散列函数生成接收报文的信息摘要,然后再用发送方的公开密钥对报文所附的数字签名进行解密,产生原始报文的信息摘要,通过比较两个信息摘要是否相同就可以确认发送方和报文的正确性。

完整性认证(IntegrityAuthentication)。完整性认证能够使既定的接收者检验接收到的信息是否真实。常用的方法是:信息发送者在信息中加入一个认证码,经加密后发送给接收者检验,接收者利用约定的算法对解密后的信息进行运算,将得到的认证码与收到的认证码进行比较,若两者相等,则接收,否则拒绝接收。

4.防病毒技术(Anti-virusTechnology)

病毒防范是计算机安全中最常见也是最容易被忽视的一环。我们建议采用由单机防毒和网络防毒同时使用的这种防病毒措施,来最大限度地加强网络端到端的防病毒架构,再加上防病毒制度与措施,就构成了一套完整的防病毒体系。

参考文献:

[1]杨怀则.税收信息化建设存在的问题及建议[J].草原税务,2002,(12):31-32.

[2]AndrewS.Tanenbaum,“ModernOperatingSystems”,PrenticeHall,1992.

[3]滕至阳.现代操作系统教程[M].北京:高等教育出版社,2000.

[4]陆楠.现代网络技术[M].西安:西安电子科技大学出版社,2003.

信息安全论文范文篇8

关键词信息安全评估标准TCSECITSECCCBS7799/ISO7799GB17859-1999

0引言

进入21世纪,信息化对经济社会发展的影响更加深刻。全球信息化正在引发当今世界的深刻变革,重塑世界政治、经济、社会、文化和军事发展的新格局。信息资源日益成为重要生产要素、无形资产和社会财富。信息安全的重要性与日俱增,成为各国面临的共同挑战。在《2006-2020年国家信息化发展战略》中,“建设国家信息安全保障体系”已经做为我国信息化发展的9大战略重点之一【1】。

信息安全评估是指评估机构依据信息安全评估标准,采用一定的方法(方案)对信息安全产品或系统安全性进行评价【2】。信息安全评估标准是信息安全评估的行动指南。在信息安全管理领域里,由于标准众多,对于标准的争论从未停息过,有ISO/IEC的国际标准17799、13335;西方国家,有美国国家标准和技术委员会(NIST)的特别出版物系列、英国标准协会(BSI)的7799系列;在我国,有风险管理、灾难恢复的国家政策。本文将对目前主要使用的标准:TCSECITSECCCISO15408BS7799/ISO7799GB17859-1999进行逐一介绍并进行比较。

1安全评估标准介绍

国际上针对计算机安全的等级防护和评估制定了多个标准,其发展过程和关系见下图:

1.1侧重于对系统和产品的技术指标方面的标准

美国国防部于1985年公布可信的计算机系统安全评估标准(TCSEC,从橘皮书到彩虹系列),是计算机系统信息安全评估的第一个正式标准。它把计算机系统的安全分为4类、7个级别,对用户登录、授权管理、访问控制、审计跟踪、隐蔽通道分析、可信通道建立、安全检测、生命周期保障、文档写作、用户指南等内容提出了规范性要求。

法、英、荷、德欧洲四国90年代初联合信息技术安全评估标准(ITSEC,欧洲百皮书),它提出了信息安全的机密性、完整性、可用性的安全属性。ITSEC把可信计算机的概念提高到可信信息技术的高度上来认识,对国际信息安全的研究、实施产生了深刻的影响。

信息技术安全评价的通用标准(CC)由六个国家(美、加、英、法、德、荷)于1996年联合提出的,并逐渐形成国际标准ISO15408。CC标准是第一个信息技术安全评价国际标准,它的对信息安全具有重要意义,是信息技术安全评价标准以及信息安全技术发展的一个重要里程碑。该标准定义了评价信息技术产品和系统安全性的基本准则,提出了目前国际上公认的表述信息技术安全性的结构,即把安全要求分为规范产品和系统安全行为的功能要求以及解决如何正确有效地实施这些功能的保证要求。

1.2偏重于安全管理方面的标准

1995年,英国贸工部根据英国国内企业对信息安全日益高涨的呼声,组织大企业的信息安全经理们,制定了世界上第一个信息安全管理体系标准BS7799-1:1995《信息安全管理实施规则》,作为工商业和大、中、小型组织实施信息安全管理的指南。

1998年,为了适应第三方认证的需要,英国又制定了第一个信息安全管理体系认证标准--BS7799-2:1998《信息安全管理体系规范》,作为对一个组织的全面或部分信息安全管理体系进行评审认证的依据标准。

1999年,鉴于计算机和信息处理技术,尤其是网络和通信领域应用的迅速发展,英国又对信息安全管理体系标准进行了修订。修订后的BS7799-1:1999和BS7799-2:1999分别取代了BS7799-1:1995和BS7799-2:1998。新修订的1999版标准进一步强调了组织在商务工作中所涉及的信息安全和信息安全责任。

BS7799-1:1999和BS7799-2:1999是一对配套标准,BS7799-1:1999为如何建立和实施符合BS7799-2:1999标准要求的信息安全管理体系提供了最佳的应用建议。

2000年12月,BS7799-1:1999已经被ISO/IEC正式采纳成为国际标准--ISO/IEC17799:2000《信息技术—信息安全管理实施规则》,另外,BS7799-2:1999也于2005年底被ISO/IEC作为蓝本修订后成为可用于认证的ISO/IEC的《信息安全管理体系规范》。ISO/IEC27001:2005《信息安全管理体系规范》。

1.3我国目前的安全评估标准

我国2001年由中国信息安全产品测评认证中心牵头,将ISO/IEC15408转化为国家标准——GB/T18336-2001《信息技术安全性评估准则》,并直接应用于我国的信息安全测评认证工作。其中,基础性等级划分标准GB17859—1999计算机信息系统安全保护等级划分准则,是其他标准的基础;是信息系统安全等级保护实施指南,为等级保护的实施提供指导。

标准体系的基本思想概括为:以信息安全的五个属性为基本内容,从实现信息安全的五个层面,按照信息安全五个等级的不同要求,分别对安全信息系统的构建过程、测评过程和运行过程进行控制和管理,实现对不同信息类别按不同要求进行分等级安全保护的总体目标。

图3信息安全等级保护基本思想图4信息安全等级保护分级、分层及控制过程

2安全评估标准比较分析2.1侧重于对系统和产品的技术指标方面的标准TCSEC、ITSEC、CPCPEC、CC、ISO15408之间的比较

从图1中可以看出,信息评估标准是经历了TCSEC、ITSEC、CPCPEC、CC、ISO15408这5个发展阶段,最初的TCSEC是针对孤立计算机系统提出的,该标准适用于军队,开始时应用在OS的评估上,TCSEC与ITSEC均是不涉及开放系统的安全标准,仅针对产品的安全保证要求来划分等级并进行评测,并均为静态模型,仅能反应静态安全状况,CPCPEC虽在两者的基础上有一定的发展,但也未能突破上述的局限性,FC对TCSEC做了补充和修改,但因其自身的缺陷一直没有正式投入使用。CC与早期的评估标准相比,其优势体现在其结构的开放性、表达方式的通用性以及结构和表达方式的内在完备性和实用性等方面。总体来说,各标准适用范围略有不同,各有优劣。

标准名称公布时间标准区域使用范围安全定义安全模型评估级别

TCSEC1985美国军用标准、延至民用机密性静态四类八个级别

ITSEC1991欧洲军用、政府用和商用机密性、完整性和可用性静态评估级别E1-E6

CPCPEC1992北美政府机密性、完整性、可用性、可控性静态评估级别0-5级

CC1996北美和欧盟军用、政府用和商用机密性、完整性和可用性、可控性、责任可追查性动态评估级别EAL1-EAL7

ISO154081999国际军用、政府用和商用机密性、完整性和可用性、可控性、责任可追查性动态评估级别EAL1-EAL7

GB/T18336-20012001中国军用、政府用和商用机密性、完整性和可用性、可控性、责任可追查性动态5个保护等级

2.2CC标准与BS7799的异同点

CC(即GB/T18336:2001idtISO/IEC15408:1999)和BS7799标准的共同点表现在以下四个方面:

☆两个标准所涉及的范围从大的角度来说都是信息安全领域;

☆两个标准对信息安全的定义相同,都是指对信息保密性、完整性和可用性的保护;

☆两个标准对信息安全风险的定义基本相同,都是从资产、威胁、薄弱点和影响来考察风险;

☆两个标准都针对不同的风险提出了相应的控制目标和控制措施。

两个标准之间最主要的区别在于着眼点的不同,简单地说,这两个标准之间没有任何紧密联系,它们没有相同或类似的主题。CC侧重于对系统和产品的技术指标,旨在支持产品(最终是指已经在系统中安装了的产品,虽然目前指的是一般产品)中IT安全特征的技术性评估。ISO/IEC15408标准还有一个重要作用,即它可以用于描述用户对安全性的技术需求。BS7799则偏重于安全管理方面的要求。它不是一篇技术标准,而是管理标准。它处理的是对IT系统中非技术内容的检查。这些内容与人员、流程、物理安全以及一般意义上的安全管理有关。ISO/IEC17799的目的是"为信息安全管理提供建议,供那些在其机构中负有安全责任的人使用。它旨在为一个机构提供用来制定安全标准、实施有效的安全管理时的通用要素,并得以使跨机构的交易得到互信"。

CC中虽对信息安全管理方面提出了一定的要求,但这些管理要求是孤立、相对静止的、不成体系的。同样,BS7799也涉及极小部分的技术指标,但仅限于管理上必须的技术指标。因此在这一方面两个标准对其重点强调部分可互相补充和借鉴,例如在按照BS7799建立体系时候,可以制定组织的信息产品和系统的采购策略,要求采购通过CC认证的产品。

3安全评估标准中面临的问题及进一步完善方法3.1建立多边安全的安全功能

安全评估标准从一开始就偏重于仅对系统拥有者和操作者的保护,用户的安全,特别是通信系统用户的安全则没有被考虑,因此提供双边或多边安全的各种技术,就不能用当前标准来正确的描述。

3.2增强标准的可操作性

目前的信息安全评估标准只是制定了一个框架,明确了标准的主体,但是可操作性不强,具体的步骤需要大量文档进行补充,而且评估结果最终是一个客观参考性的结构,对企业的实际指导意义不强。

3.3加强国内安全标准的研究

从沟通交流的角度说,最好全世界只有一个标准,从国家安全的角度说,最好所有的标准都和国外的不同,就像中国和俄罗斯之间的铁路一样,轨距是不同的。标准意味着开放,互通,弱点公开,如果你自豪的宣称你的系统达到了CCEAL4安全级别,那就意味着你同时也具有EAL4级缺陷,采用EAL5分析方法就可以解决。

目前国外的标准基本是由政府出资由有关的职能团队开发而来的,从2006年在西班牙召开的ISO/IECJTC1/SC27工作组会议上来看,我国目前在信息标准化的组织结构、工作程序等基本运作机制上于国际标准化组织保持了一致,但是目前我国在标准的制定及参与方面都有待于进一步的加强,我们的很多单位却在盲目地摘抄7799/17799。只有积极参与国际标准制定,建立稳定的国际标准跟踪,研究队伍,才能对国际信息安全发展形成全面的认识、而踏踏实实做好基础性理论研究,形成我们自己的看法,拿出我们自己的东西,才是我们更应该做的。

4总结

本文从侧重产品的技术指标和侧重安全管理这二方面介绍了国内外现有的信息安全评估标准,并对这些标准的特点、应用方式、适用范围和实用价值进行了详细的比较、讨论;最后研究了安全评估标准中面临的问题及进一步完善方法。

参考文献

1陈星胡啸国际信息安全标准热点问题与发展趋势《信息技术与标准化》2003年12期

2李守鹏吴希唐信息安全评估中的重要概念《计算机安全》2000年

3中国信息安全产品测试认证中心国家标准GB/T18336-2001介绍

信息安全论文范文篇9

1.1对软硬件系统的依赖性

电子文件是按照确定的某种标准规则,记录在特定载体上的编码信息集合,需要特定的软硬件系统环境才能翻译阅读。脱离了这种特定环境,就根本无法看到电子文件的存在和记录的信息内容,所以电子文件对产生的标准规则及软硬件系统环境有极强的依赖性。随着信息技术的发展,原标准规则及计算机软硬件技术发展更新,就有可能导致原有电子档案信息无法读识。电子档案信息对软硬件系统的过度依赖性给今后的安全问题带来了很大的困难。

1.2存储的高密度性

电子信息的发展和数量,呈几何倍数增涨,海量的数据需要大容量的存储介质,随着记录技术的快速发展,数字信息由早期的纸带打孔到后来的磁带、磁盘再到现在的光盘等,存储密度不断提高。目前一块硬盘容量已达数个TB,一张蓝光光盘通过纳米级波长的蓝光激光光源及多层记录技术的应用,可以记录数百GB数据。光盘上构成0和1数据刻痕直径小于0.15μm,1张光盘可存数百万张打印在纸上的文字信息。电子档案的高密度,一方面对节约空间、拓展应用带来有利条件,另一方面却对电子档案的保护提出了严格的要求,任何一个小的失误或一条轻微的划痕都有可能导致数量巨大的档案信息遭到破坏。

1.3信息与载体之间的可分离性

传统档案是固化在某种载体上,不能分离,称之为档案实体,有明显的原始性特征,不易被复制加工。而电子档案,虽然依赖于软硬环境,但按一定的规则可以非常轻易地被复制、更改,传输,可以做到迅速而不留任何痕迹。因此电子档案的原始性、真实性、凭证作用就受到威胁和质疑。这种信息与载体之间的可分离性,给电子档案信息的安全提出了前所未有的挑战,档案管理人员不仅要保护电子档案实体不受破坏,同时也要保护信息内容不被人为篡改。

2档案信息的保护目标

电子文件技术随着整个计算机信息技术的发展而发展,电子文件的产生环境、文件格式、存储介质在不断更新,而作为档案的电子文件却需要长期或永久保存并被查询利用。因此,如何确保电子档案的长期可用性是保护电子档案安全的主要任务之一。同时,电子档案的真实性、完整性、安全保密性也是主要保护目标。

3电子档案保护的技术措施

3.1电子档案系统安全

电子档案系统安全,一般是由硬件系统和软件系统构成。硬件系统本身的安全称为物理安全,软件系统的安全主要有操作系统的安全、网络系统的安全、数据库系统安全及各种功能的应用软件系统安全等。因此,这种保护措施可分以下几类:1)设备层的安全管理。设备层的安全主要通过采用物理防范,解决机房场地的防灾保护,电源的稳定与净化,重要服务设备的冗余设计,安全可靠的存储,以及信息系统的异地存储保护,不低于3套的脱机光盘保存等,同时制定完整物理层面的管理规范和措施提供安全技术方案,使设备免受外来攻击造成意外损失。2)网络层的安全管理。网络层的安全任务主要是防止病毒、木马、黑客的攻击,防止档案数据被非法访问。最有效的办法就是运行档案信息系统的网络与外界实行物理隔离,但电子档案的最大优势,如远程查讯利用、共享资源等受到局限。而在公共网络上,资源虽可以得到充分利用,但安全问题又成为难题。近年来,随着政务信息的公开,档案资源的逐步开放,公共网上出现了越来越多的应用。外网的安全是必须面对并努力解决的问题,目前可以通过使用路由器及交换技术设置、防火墙、入侵防御系统等网络安全策略的制定提供相对安全的解决方案。3)应用层的安全管理。应用层的安全主要通过使用网络监控与恢复技术,防病毒、漏洞检测,入侵检测技术,上网行为管理等对网络安全进行扫描、实时监控、权限控制、自动报警,并对计算机信息网络系统的使用情况建立日志记录,及时发现系统中的异常情况。

3.2电子档案信息内容安全

确保电子档案真实性、完整性、长期可读性,是档案信息内容安全的基本要求。电子文件的存放寿命依赖于存储介质的寿命,理论上光盘的寿命可达百年,但实际上谁也不能保证该光盘数据10年后还能够完整读出。尤其文件格式技术上的发展与改进,软件环镜与硬件系统的更新,都需要档案人员对存档的电子文件进行备份转存、文件存储格式的转换等维护。这一过程,要建立制度,明确责任,严格审核、评估、管理,以延续电子档案保存期限,确保档案内容的安全。另外,应用软件系统中针对用户权限的管理;档案数据密级划分,目录和文件的读写权限,开放范围的划控等,是对在线档案信息内容安全管理的必要手段,是任何一个档案信息管理系统重点思考解决的问题。

4电子档案信息的灾难恢复

4.1灾难恢复含义

《信息安全技术信息系统灾难恢复规范》(GB/T20988—2007)中表述灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态,并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态。将灾难圈定为由于人为或自然灾害,技术风险、设备故障等原因,造成信息系统运行严重故障或瘫痪。主要涉及的技术和方案有数据的存储、备份和恢复;本地的高安全防护和远程异地防护方案等。

4.2灾难恢复前的存储备份方式

信息数据的存储、备份,是灾难恢复的前提,没有安全可靠的存储、备份,无从谈起恢复。备份的方式有多种多样,最常用的主要是全备份、增量备份、差分备份。全备份是将整个系统中相关软件、数据全部备份一遍;增量备份就是每次备份的数据只是相当于上一次备份后增加的和修改过的数据;差分备份就是备份上一次全备份之后新增加的和修改过的数据。全备份所需时间最长,占用的空间最大,但恢复操作最简单,当系统中数据量不大时,采用全备份是可行可靠的;增量备份恢复起来比较麻烦,但每次的备份任务少,系统资源占用最少;差分备份相对节省存储空间,恢复较方便,但备份时较麻烦。因此,在备份时要根据他们各自的特点灵活使用。在实际应用中,采用的备份方式常是以上几种的结合。

4.3灾难恢复采用的技术

信息安全论文范文篇10

1.1计算机软件的自身安全缺陷计算机软件系统中分为两大块:操作系统软件和应用系统软件。而任何软件在诞生之初,都或多或少有其自身的设计缺陷,也正是由于这种缺陷,给网络不法分子以可趁的机会,如:网络黑客能轻易的进入计算机核心内部,篡改或偷取计算机中的重要数据信息等。这也就严重威胁了计算机中的数据信息安全。

1.2用户安全意识不强烈现在社会发生很多因为自身的网络防范意识不高,而导致在网络世界中上当受骗的事件,这不仅造成了受骗者的经济损失,严重的还丢失了其重要的信息文件。使用互联网的每一个用户,都应该充分认识到网络的虚假性这一特点,时刻保持对其自身信息安全的防范意识,如:在公共网络场所(网吧、电脑房等地),不要探讨网络与信息安全的风险与对策杨玉娣上海科技管理学校200433轻易在其计算机内保存自己的重要文件信息或登记个人信息,这很容易被他人盗取或盗用其个人信息。并且,不要轻易接受陌生人的远程操控要求。所以,用户也应该增强自身对网络信息安全的意识,对计算机多设置设置一些安全屏障。

1.3计算机病毒入侵计算机病毒是一种人为的特制程序。病毒若存在于计算机之中,会对其内部的信息进行存取、复制、传送。因此,计算机病毒对其网络信息安全起到了严重的威胁,具有巨大的破坏性和触发性。病毒入侵于电脑之中的主要手段是:互联网黑客将网络病毒放入一些不法网站之中,只要用户点击进去,就会导致计算机软件中病毒。而只要这些病毒存在于计算机之中,都会严重影响其计算机的运行速度,甚至导致计算机互联网整体瘫痪,从而导致计算机内部的信息安全性被大大降低。

1.4黑客网络攻击黑客攻击手段可分为非破坏性攻击和破坏性攻击两类。非破坏性攻击是指扰乱计算机系统的运行,并不盗取系统内部信息资料,通常采用的攻击手段为拒绝服务攻击或信息炸弹;破坏性攻击是以侵入他人电脑系统、盗取系统保密信息、破坏目标系统数据为目的。其黑客攻击手段主要为密码破解。而一般黑客进行网络攻击的目标,还是为了获取目标人中的电脑内部信息资料。所以,黑客在登陆目标主机之后,会直接进入文件系统中的/etc/hosts,把其中的信息资料复制回去。而这种黑客互联网攻击行径,都对严重威胁到了网络信息的安全。

2保障网络信息安全的防范措施

2.1提高用户的互联网安全意识用户在计算机保存重要信息的时候,随时做好数据备份,并对其进行多重加密,以防止数据丢失或泄露。用户定期维护计算机网络系统的安全运行,且提高健康上网的意识,如:不浏览、不点击非法网站,从而防止病毒入侵。

2.2建立网络防火墙防火墙是一种连接内部互联网和外部互联网之间的互联网安全系统。使用防火墙的主要作用有:

(1)防火墙可以强化计算机内部的安全系统。

(2)能对网络上的所有活动进行有效记录。

(3)防火墙可以保护网络用户点,可以防止有效防止用户网络信息的泄露。

(4)防火墙也是一个安全性能很高的检查站,所有进出计算机网络的信息都必须经过它的审核,只有安全的信息访问才可能进入电脑之中;而对可疑的网络,防火墙会把它拒绝在电脑之外。因此,建立网络防火墙可以对网络通信中的产生的数据流进行有效检测和管理,能使合法的信息得到合法的传输,从而有效的防止了非法信息的入侵,避免了计算机内部重要的信息被黑客盗取或篡改。

2.3信息加密计算机网络的信息安全通常主要使用的防护技术是信息加密。它主要是对信息进行传输之前,通过信息加密的算法进行操作,进而提高网络使用安全。在电脑中使用信息加密的方式,可以有效的降低网站访问权限,而加密设备也只有通过利用密钥交换原始信息,才可以获得到密文的,并把密文转变成原始信息的整个过程被称作解密。在实际的操作过程中,硬件上加密和解密的设备类型必须匹配,软件上加密和解算法也要同时符合要求。

2.4安装入侵检测系统入侵检测系统是指对计算机和网络资源的恶意使用行为进行识别和对其相应处理的系统软件。它是专门为保证计算机系统的安全而设置和配置的一种可以及时发现并报告计算机内部异常现象的技术,也是一种应用于检测计算机网络中违反安全策略行为的技术手段。而入侵检测也一般被认为是防火墙的第二道安全闸门,它可以帮助系统对付网络攻击,扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应),提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点中收集信息,并分析这些信息,看看网络中是否有违反安全策略的行为和遭到袭击的迹象。并在不影响网络性能的情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护。因此,入侵检测系统能有效防止网络信息被泄露等问题的发生。

3结束语