信息系統建設中的網絡安全問題分析

唐坤 劉靜

摘要：伴隨著當代網絡信息技術的不斷發展，網絡安全方面的新挑戰也隨之而來。隨著計算機對人們的生活越來越重要，網絡安全的問題會被越來越重視，計算機信息系統建設中的網絡安全問題已經不容忽視。本文從信息系統網絡安全的重要性、存在的問題以及安全保障三個方面進行了分析。

關鍵詞：計算機;信息系統;網絡安全;應用

1 信息系統網絡安全的重要性

自20世紀90年代開始，計算機技術飛速發展，社會隨著信息技術的發展和創新也經歷了龐大的變化和改革，這場變革存在于各行各業之中，占據了社會經濟發展的重要地位。隨著計算機網絡技術的逐步提升，基于計算機網絡設計開發的信息系統存在諸多特性，如多元性和公開性，但是在信息系統使用過沉重卻存在逾權訪問、敏感信息泄露、盜竊掌控權等威脅行為。

在信息技術迅速發展的當下，人們的生活逐漸離不開互聯網，生活中的各個方面都會使用到互聯網，在使用互聯網處理生活中的衣食住行等各方面需求時，必然需要在網上輸入個人相關信息，此時，就存在巨大的安全隱患，個人隱私的保護問題。隨著大數據時代的到來，就算不輸入任何信息，但系統還是會記錄下你的網頁瀏覽記錄，悄無聲息的將個人隱私泄露出去。在工作之中，人們通常使用聊天軟件進行交流，如果在使用中不注意使用環境和場景，極有可能會泄露很多重要的商業信息以及商業機密等。站在經濟角度來講，不少黑客入侵是為了有意盜取重要資料來給公司造成重大商業損失。站在個人角度來講，隱私權是每個人都合法擁有的，在互聯網大數據時代，信息系統每時每刻都在收集著人們的信息，所有人的生活習慣等信息都在被悄無聲息地記錄著，這些對某個人來說沒有價值的信息，被某些心懷不軌之人就加以利用之后就可能對個人造成重大傷害。

2 信息系統的網絡安全問題

2.1信息系統的運行機制欠缺監管

互聯網平臺有著速度快、容量大等特點，隨著移動互聯網以及5G技術的迅速發展，每個人都可以輕松的使用互聯網，在互聯網上活動，互聯網縮小了世界的距離，不管人們相隔多么遙遠，只要有網絡就可以分享自己的生活，而且運行成本低廉，這幾點都是互聯網帶來的好處及優點，但互聯網在縮短人們之間距離的同時，同樣也給犯罪分子創造了機會。由于體量巨大，所以互聯網的掌控尤其困難，如果缺乏管理規范，大量不法分子就可以乘虛而入利用網絡安全漏洞及用戶較差的網絡防范意識，進行竊取用戶信息、傳播非法信息等危害互聯網安全的行為。因此在互聯網運行中，需要科學完備的管理方法，加大在網絡漏洞、惡意病毒木馬等多個方面的管理，才能有效遏制不法分子。

2.2信息系統自身存在漏洞

當前計算機網絡一直采用的固定的IP協議制度，每一個互聯網端口都使用一個自己固定獨立的IP地址，然而，通過某些方法將IP地址進行修改，使信息系統內的數據庫等敏感資源會對外界顯露出來，互聯網安全的相關協議在現階段還并不完善，這些缺陷都給病毒和木馬乘虛而入創造機會。病毒和木馬的破壞性、傳染性非常強，篡改及盜取計算機中的信息，嚴重的時候還會出現網絡癱瘓。

3 信息系統的網絡安全保障

3.1用戶身份鑒別

認定登錄到系統的用戶。用戶注冊的時候，應標記注冊用戶，建議使用特定標記主鍵進行標記，在整個系統的生命周期中，需要保證用戶標志信息系統的完整性和唯一性。需采用基于增強管控的口令，在用戶出現異常重新登錄或每次登錄到系統時都需要使用該口令。為了確保身份鑒別的保密性和完整性，密碼的存儲和傳輸均采用加密機制處理，并限制登錄次數和惡意試探登錄，同一賬號每次登錄3次失敗，系統自動退出，每天允許六次錄入登錄信息錯誤，超過六次賬號將自動鎖定。滿足以下強化口令要求：（1）登錄口令長度最低為十二位，至少每季度更新一次，新口令最低五次內不能再次出現;（2）采用毫無規則的混亂排序方法，必須使用符號加字母加數字的方式;（3）系統默認的賬戶、口令必須可以重新命名和更改。（4）如果上述對于口令的設置要求不被系統支持，則可以縮短更換時間，但應該使用系統支持的最大長度的口令;也可以使用一次性口令的認證方式。

3.2自主訪問控制

系統為確保系統數據、應用數據的安全訪問，采取了自主訪問控制。訪問主體對訪問客體訪問權限的設置叫作訪問控制，嚴格的訪問控制可以確保計算機系統在合法范圍之內使用。自主訪問控制是信息系統對授權之后的使用人進行權限上的訪問限制，這樣有利于對有客體的資源請求進行限制，從而禁止非授權的用戶非法請求客體資源。不同權限級別的訪問主體僅能訪問限定范圍的業務模塊，且上級權限的訪問主體可以控制自身創建客體的訪問。

以數據庫的方式存放系統內所有用戶、業務數據，數據庫的管理系統可以自主訪問控制數據庫的表級/記錄、字段。對于表級的訪問控制，通過oracle自帶工具對不同權限的主體設定select、insert、update、delete權限;對于記錄、字段級的訪問控制，通過建立視圖的方式進行操作權限限定。

3.3標記與強制訪問控制

對于直接登錄系統的主體，系統建立了3級權限管理，系統根據登錄用戶的不同級別展現不同的系統業務。可以設計如下強制訪問控制措施：（1）劃分權限應按系統特權用戶進行，從而達到特權用戶權限分開的目的，并且需要分配這些用戶需要的最低權限配置來達到目的。（2）配置敏感標記，由安全管理人員對強制訪問控制的策略所包含的主、客體進行配置，從而達到由系統按照約定規則強制性控制主體訪問客體資源的行為。（3）對系統配置進行訪問限制，必須采用基于角色的訪問控制策略。

3.4安全審計

系統安全審計主要包括審計日志查閱、審計數據產生、審計日志存儲。實時監控人員登錄、硬件狀態、軟件業務操作、通訊狀態等，進行安全日志記錄，并對軟件異常操作進行實時報警及操作控制，提高系統的安全性能。安全審計事件記錄了系統訪問主體對系統的訪問事件，包括：主體身份、時間、事件描述、事件結果、事件類型、備注信息。不同的訪問主體對應限定的業務功能操作權限，系統可全面記錄所有訪問主體對系統的訪問情況，并提供記錄查閱、追溯功能。