數(shù)字圖書館信息安全對策研究

關(guān)鍵詞：數(shù)字圖書館；信息安全；對策

摘要：文章從分析影響數(shù)字圖書館信息安全的問題入手，針對綜合制度管理、安全技術(shù)、人才培養(yǎng)等方面，提出了數(shù)字圖書館信息安全的對策。

中圖分類號：G250.76文獻標識碼：A文章編號：1003-1588（2014）05-0118-02

收稿日期：2014-04-02

作者簡介：郭彧（1981-），遼寧省圖書館館員。1影響數(shù)字圖書館信息安全的問題

1.1硬件安全

所謂硬件安全主要是指硬件設(shè)備安全, 數(shù)字圖書館所依托設(shè)備載體包括：各種計算機設(shè)備( 如計算機客戶端、服務(wù)器、工作站等) 和網(wǎng)絡(luò)通訊設(shè)備(光纖、交換機、路由器等), 以及存儲（磁盤陣列、光盤、磁帶等）, 這些設(shè)備構(gòu)建了數(shù)字圖書館正常運行的物質(zhì)基礎(chǔ)。而環(huán)境因素是影響這些設(shè)備物理安全的主要因素。 數(shù)字圖書館的硬件設(shè)備對其所處的物理環(huán)境有較高的要求, 除了機房要滿足防水、防火等常規(guī)需求外, 對所處環(huán)境的防塵、溫濕度控制、靜電屏蔽、電磁干擾等物理條件也有很嚴格的要求,否則硬件設(shè)備很容易產(chǎn)生各種各樣的故障和安全隱患, 網(wǎng)絡(luò)系統(tǒng)也會相應(yīng)受到損壞，而用戶存儲中的數(shù)據(jù)信息一旦遭到破壞，相應(yīng)的損失是不易修復(fù)的。

1.2軟件安全

數(shù)字圖書館的軟件系統(tǒng)主要是包括系統(tǒng)軟件、數(shù)據(jù)庫軟件和各種應(yīng)用軟件。目前主流的操作系統(tǒng)大多是windows、linux,數(shù)據(jù)庫軟件一般都采用SQLserver、Oracle系統(tǒng)，這類軟件系統(tǒng)在設(shè)計的時候就不可能做到毫無漏洞，主要表現(xiàn)在操作系統(tǒng)結(jié)構(gòu)體系本身的設(shè)計缺陷、遠程權(quán)限的安全驗證、遠程數(shù)據(jù)傳輸時加密程度不夠、守護進程的權(quán)限，以及端口發(fā)放等一系列問題。而數(shù)據(jù)庫應(yīng)用軟件的安全性也很脆弱，例如，微軟的SQLServer 是數(shù)字圖書館信息化平臺廣泛使用的一種數(shù)據(jù)庫，SQL Server 數(shù)據(jù)庫默認情況下使用1433端口監(jiān)聽，所以管理員在初始配置SQL Server的時候要改變監(jiān)聽端口，但是如果使用1434端口的UDP探測則可以很容易獲知SQL Server使用哪一個TCP/IP端口。如果沒有限制1434端口的探測，那么黑客就能夠探測到數(shù)據(jù)庫的一些信息，而且數(shù)據(jù)庫還可能遭到Dos攻擊導(dǎo)致服務(wù)器的CPU負荷增大，所以對管理員來說，在IPSec策略上過濾拒絕掉1434端口的UDP通訊，可以盡可能地隱藏你的sql server，從而保護你的數(shù)據(jù)庫。

1.3人為因素

人為因素分為兩種：一種是以管理員或用戶在使用、維護、部署中操作失誤為代表的偶然事故，并沒有惡意企圖和威脅；另一種是黑客或有惡意企圖的人進行的惡意攻擊。雖然在偶然事故中，管理員和用戶并沒有明顯的惡意企圖和目的, 但它所造成的破壞性依然很嚴重，數(shù)據(jù)信息所受到的損壞不亞于黑客攻擊。例如在使用或維護中錯誤地插拔存儲設(shè)備，無意地刪除系統(tǒng)數(shù)據(jù)，這都會造成存儲上數(shù)據(jù)信息的丟失，錯誤的開關(guān)機和插拔電源會導(dǎo)致設(shè)備損毀等一系列損失。人為的惡意攻擊則是有企圖、有目的地進行破壞和竊取行為，攻擊者通過利用系統(tǒng)軟硬件或部署認證中所暴露的漏洞或弱點，破壞或繞過系統(tǒng)的安全防御機制，獲得了內(nèi)部權(quán)限或直接進行攻擊，從而造成數(shù)字圖書館信息資源遭到竊取或損壞，使數(shù)字圖書館的保密性、完整性、安全性受到損毀，造成損失。

1.4計算機病毒

計算機病毒實質(zhì)上是一種程序代碼，具有破壞性、傳播性、自我復(fù)制的特點。對于數(shù)字圖書館來說，病毒的危害如下：①病毒通過代碼可以自動格式化硬盤、自動刪除文件、自動修改分區(qū)表，從而破壞信息數(shù)據(jù)。②病毒侵占系統(tǒng)硬件資源，大量占用CPU時間、內(nèi)存，自我復(fù)制，造成磁盤空間浪費。③木馬類病毒可以竊取用戶賬號、密碼、使用戶隱私受到侵害。④網(wǎng)絡(luò)內(nèi)機器不斷廣播發(fā)送無用數(shù)據(jù)包，堵塞網(wǎng)絡(luò)。⑥留有后門，為黑客攻擊提供便利。隨著網(wǎng)絡(luò)技術(shù)和帶寬的不斷發(fā)展，計算機病毒的傳播和擴散變得更為迅速，是影響數(shù)字圖書館信息安全的主要因素。

2數(shù)字圖書館信息安全的防護對策

要保證數(shù)字圖書館的信息安全，除了系統(tǒng)管理員要做好日常的基本網(wǎng)絡(luò)管理措施，及時修補漏洞、查殺病毒、保護硬件設(shè)備的安全外，最重要的就是要提高管理員和用戶的信息安全意識，建立健全數(shù)字圖書館的安全管理制度，完善信息安全管理體系，提高安全防范意識，具體應(yīng)做到如下幾點。

2.1重視信息安全，提高信息安全意識

目前，保證數(shù)字圖書館信息資源安全的一個難點在于信息安全管理防護意識比較淡薄，不夠重視信息安全，同時這也是一個敏感的問題，一般數(shù)字圖書館對此問題不愿意太過于公開化。首先，是對信息安全意識重視不夠，有些管理者和工作人員認為信息安全只是系統(tǒng)管理員和網(wǎng)絡(luò)維護人員的事，但其實不然，每一個圖書館的工作人員都應(yīng)該提高意識，重視信息安全問題。其次，安全防范意識不夠，有些負責人認為購買了防火墻就是購買了安全屏障，從而放松了其他的基本防范措施或是采取的措施不夠得當，被一些黑客或計算機病毒抓住漏洞，繞過防火墻進行攻擊，給信息數(shù)據(jù)帶來嚴重的破壞。所以首先要提高數(shù)字圖書館管理員和用戶的信息安全意識，才能有效地保護數(shù)字圖書館信息資源的完整和安全。

2.2完善體系，規(guī)范信息安全管理

完善的信息安全管理體系以及可行的管理規(guī)章制度對數(shù)字圖書館的信息安全來說是必不可缺的，信息安全與規(guī)范管理是不可分的，即便有最先進的安全設(shè)備系統(tǒng)，而沒有一套完善的管理制度并貫徹落實，信息安全性就是空談。規(guī)范信息安全管理的目的在于以下幾點：①保證數(shù)字圖書館的管理維護人員有制度可依。②保證數(shù)字圖書館的設(shè)備、網(wǎng)絡(luò)能健康運行。③一旦發(fā)生突發(fā)事件，能最大限度地避免和挽回損失。④在日常工作中能防微杜漸，防患于未然。因此圖書館系統(tǒng)內(nèi)部應(yīng)完善信息管理，制定詳盡可行的管理規(guī)章制度，建立權(quán)限管理、備份管理、安全檢測機制、操作人員章程、日志管理等一系列管理制度和章程。

郭彧：數(shù)字圖書館信息安全對策研究郭彧：數(shù)字圖書館信息安全對策研究2.3利用安全技術(shù)，保障信息安全

2.3.1認證授權(quán)及訪問控制技術(shù)

管理員在部署數(shù)據(jù)庫和系統(tǒng)的時候，做好認證授權(quán)體系，通過該體系系統(tǒng)可自動識別訪問者權(quán)限是否合法，對不合法的用戶拒絕訪問，防止攻擊者假冒合法用戶。針對合法用戶，根據(jù)其權(quán)限對其進行網(wǎng)絡(luò)訪問控制，用戶被授予不同的權(quán)限，訪問能力就不同，這樣可以防止無授權(quán)用戶惡意修改或刪除數(shù)據(jù)庫內(nèi)的信息資源，有效地保護文件資源的完整性和安全性。

2.3.2應(yīng)用防火墻技術(shù)

防火墻技術(shù)是現(xiàn)今應(yīng)用于信息安全的關(guān)鍵技術(shù)，它在內(nèi)網(wǎng)和外網(wǎng)之間執(zhí)行安全策略的部署和控制，通過檢測兩個網(wǎng)絡(luò)間的信息訪問和交換并加以控制來實現(xiàn)對網(wǎng)絡(luò)安全的管理。它包括硬件防火墻和軟件防火墻，它的主要功能有：增強內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)、信息的安全，加強內(nèi)外網(wǎng)之間的訪問控制，可以有效地控制數(shù)據(jù)在內(nèi)外網(wǎng)絡(luò)之間的交換與流動，屏蔽非法用戶的請求，限制權(quán)限用戶對外網(wǎng)的非法訪問和對內(nèi)部數(shù)據(jù)的隨意修改，防止攻擊者竊取受保護的信息，對外來的攻擊進行偵測、警告和屏蔽。在防火墻配置完成投入使用后，必須對它進行實時跟蹤和維護，確保網(wǎng)絡(luò)處于最安全的狀態(tài)。

2.3.3防病毒與漏洞掃描技術(shù)

圖書館應(yīng)根據(jù)自身實際情況，選擇適合自己的殺毒軟件，一款好的殺毒軟件可以有效防御病毒傳播，檢測并查殺病毒、木馬，同時要加強管理，嚴禁工作人員和用戶下載、上傳和使用未通過安全檢驗的程序。同時做好系統(tǒng)漏洞掃描，及時發(fā)現(xiàn)系統(tǒng)和網(wǎng)絡(luò)中諸如服務(wù)、端口等容易被利用攻擊的安全漏洞，從而在安全防護中做到未雨綢繆，提高系統(tǒng)自身防御力和穩(wěn)定性，提前封堵可能受到攻擊的渠道。

2.3.4備份和容災(zāi)技術(shù)

要保證數(shù)據(jù)庫絕不被破壞和攻擊是不現(xiàn)實的，作為數(shù)據(jù)安全保護的最后一道壁壘，備份工作是不可或缺的。數(shù)字圖書館中的數(shù)據(jù)，尤其是自建數(shù)據(jù)庫，是本館特色服務(wù)的核心部分，它是圖書館員工多年工作的辛苦結(jié)晶，更是圖書館業(yè)務(wù)的基礎(chǔ)，因此對數(shù)據(jù)進行備份是一項必不可少的工作，應(yīng)定期進行數(shù)據(jù)備份，將數(shù)據(jù)備份到其他存儲上，或者采用RAID5/0等磁盤陣列技術(shù)，進行實時備份。在條件允許的情況下，可以構(gòu)建異地容災(zāi)系統(tǒng)，這樣在發(fā)生諸如地震、水災(zāi)等自然災(zāi)害下，信息數(shù)據(jù)也可以保存完好。

2.4加強人才培養(yǎng)，提高安全管理水平

在一切安全管理體系中，人是決定一切的關(guān)鍵因素，現(xiàn)在網(wǎng)絡(luò)技術(shù)和信息技術(shù)快速增長，人只有不斷去學(xué)習才能適應(yīng)。因此，圖書館需要加大信息安全人才的培養(yǎng)力度，豐富工作人員的信息安全知識，提高工作人員的專業(yè)技術(shù)能力，增加安全技術(shù)管理經(jīng)驗。同時，確定以崗位定權(quán)限的管理機制，做到不同崗位擁有不同權(quán)限，避免各崗位之間的權(quán)限混亂，以降低信息安全的管理風險為目的，優(yōu)化組合，合理配置信息安全管理人員。

總之，數(shù)字圖書館的信息安全保障是一項復(fù)雜的系統(tǒng)工程，其特點是技術(shù)含量高、綜合因素多，集制度管理、軟硬件需求、技術(shù)規(guī)范為一體，并且隨著計算機信息技術(shù)與網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，信息安全與保障將面臨更多的挑戰(zhàn)和更多的問題，因此,圖書館必須構(gòu)建有效的安全管理體系，不斷加強數(shù)字圖書館網(wǎng)絡(luò)與信息系統(tǒng)的安全建設(shè)，提高工作人員的技術(shù)水平，不斷總結(jié)經(jīng)驗。只有做到這些，數(shù)字圖書館的信息安全才能有保障，不被竊取和破壞，才能更好地為讀者服務(wù)。

參考文獻：

［1］劉超.數(shù)字圖書館的信息安全分析［J］.現(xiàn)代情報，2009（6）：72-75.

［2］裴毅.高校數(shù)字圖書館信息安全管理研究［J］.安徽科技學(xué)院學(xué)報，2009（5）:82-85.

［3］黎平國，鐘守機.數(shù)字圖書館的信息安全問題與相關(guān)對策的探討［J］ .現(xiàn)代情報, 2005(9) : 73-74,77.

［4］龍文.淺談高校數(shù)字圖書館信息安全［J］.科技情報開發(fā)與經(jīng)濟，2010（16）：52-54.

（編校：嚴真）

endprint