信息安全問題論文

　　信息安全問題論文【1】

　　摘要：文章通過對計算機信息安全的研究，分析了信息安全的風險，在遵循信息安全策略的基礎上，利用計算機信息安全技術保護信息安全。

　　同時對現今主流的幾項安全技術進行了簡單介紹，以此引起企業或者用戶對信息安全問題的重視。

　　關鍵詞：信息安全;防范技術;系統安全

　　計算機硬件蓬勃發展，計算機中存儲的程序和數據的量越來越大，如何保障存儲在計算機中的數據不被丟失，是任何計算機應用部門要首先考慮的問題。

　　計算機網絡安全措施主要包括保護網絡安全、保護應用服務安全和保護系統安全三個方面，這三個方面均涉及物理安全、防火墻、信息安全等領域。

　　一、信息安全簡述

　　信息安全是指信息網絡的硬件、軟件及其系統中的數據受到保護，不因偶然或者惡意的原因而遭到破壞、更改、泄露，系統連續可靠正常地運行，信息服務不中斷。

　　信息安全是一門涉及計算機科學、網絡技術、通信技術、密碼技術、信息安全技術、應用數學、數論、信息論等多種學科的綜合性學科。

　　從廣義上來說，凡是涉及到信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是信息安全的研究領域。

　　總的來說，信息安全是用于避免計算機軟硬件以及數據不因各種原因而遭到破壞、修改。

　　其中計算機的硬件可以看作是物理層面，軟件可以看做是運行層面，再就是數據層面;而從屬性的角度來說，其中破壞涉及的是可用性，更改涉及的是完整性，顯露涉及的是機密性。

　　在信息安全的概念中，網絡信息安全包括了四個方面的內容：

　　1.硬件安全：即網絡硬件和存儲媒體的安全。

　　要保護這些硬件設施不受損害，使其可以正常的工作。

　　2.軟件安全：也就是說計算機網絡保護其軟件不會被修改或破壞，不會因為非法操作而更改其功能，或者使功能失效。

　　3.運行服務安全：也就是刪除網絡中的部分信息，網絡通訊仍然正常，系統運行正常。

　　在保障網絡順暢運行的情況下，系統應該及時發現破壞因素，并采取報警和解決策略。

　　4.數據安全：從信息安全最重要的目的出發，要避免網絡中流通的數據不被任意修改，不被非法增刪改，不被非法使用。

　　圖1是供電局有限公司的信息網絡示意圖：

　　圖1 廣州供電局有限公司圖形信息管理系統網絡描述圖

　　二、信息安全風險分析

　　計算機病毒的威脅：在因特網日益發展的今天，各大公司、各大企業的網絡環境也得到了改善，這就助長了病毒的繁衍和傳播，且其傳播能力越來越不可忽視，傳播途徑也由單一變得復雜。

　　概括地說，當今的網絡環境為病毒的肆掠奠定了良好的環境基礎。

　　黑客攻擊：近年來黑客攻擊經常出現，他們為了盜竊系統的私密信息，或者為了破壞信息，或者想非法占用系統資源，于是利用數據庫或系統漏洞，采用信息炸彈、網絡監聽，或者密碼破解、移植后門程序等非法手段入侵計算機系統，使達到其目的。

　　信息傳遞的安全風險：近幾年企業開始關注信息傳遞的安全性，這使得信息安全中隱藏的許多問題得以暴露。

　　在企業與國內外的工作聯系中，通過網絡傳輸的大量數據以及日常事務信息，都存在著各種傳輸的安全性問題，比如在傳輸過程中非法攔截用戶信息，盜取用戶賬號，非法截取保密信息以及商業機密等。

　　這就使企業的正常運作得到了嚴峻的考驗，造成秩序紊亂。

　　身份認證以及訪問控制存在的問題：只有被設定了權限的用戶才可以對信息系統中的相應數據和信息進行操作，也就是說系統中的信息和數據是在一定范圍內對含有對應權限的用戶才是開放的，沒有被授權的用戶不可以訪問。

　　因此，在計算機系統中都設立了用戶賬戶管理的功能，它可以創建用戶、設定權限等等。

　　雖然系統中的用戶賬戶管理功能能夠在一定程度上加強系統的安全性，但在實際應用時仍然存在一些問題。

　　三、信息安全策略

　　在信息安全的管理中，為了使安全保護達到相應的程度，我們制定了相應規則，這被定義為信息安全策略。

　　1.信息安全中把先進的信息安全技術作為網絡安全的根本保障。

　　要建立一個全方位的安全系統，是以這樣的形式產生的：首先用戶要對所面臨的威脅進行風險評估，在所對應的安全服務類別前提下，選擇相應的安全機制，最后利用先進的信息安全技術，建立一個全方位的安全系統。

　　2.嚴謹的安全管理。

　　在已建立的安全體系中，要著重加強內部協調和用戶的授權管理，建立安全的審計和追蹤體系，提高全民網絡安全意識，建立安全的網絡安全管理體系。

　　3.制定并實施嚴格的法律體系。

　　近幾年網絡犯罪日益泛濫，因此制定并實施嚴格的法律法規體系刻不容緩。

　　四、信息安全技術

　　防火墻：防火墻作為一種訪問控制產品，它位于內部網絡與不安全的外部網絡之間，起著障礙的作用。

　　為了防止訪問不安全的情況發生，防火墻阻止外界非法訪問內部資源。

　　目前主流的技術有：應用網管技術、包過濾技術和代理服務技術。

　　防火墻能夠對數據流進行監控、記錄以及報告，特別對于內外網絡之間的聯系有著較好的過濾作用，因此，黑客利用漏洞對內部網絡的破壞攻擊的時候，防火墻起著不可或缺的作用。

　　圖2所示是目前新興防火墻技術：

　　圖2 新興防火墻技術

　　安全的路由器：通常控制網絡信息流的主要技術采用訪問控制列表技術，利用路由器來控制網絡中的數據傳輸。

　　虛擬專用網(VPN)：具有加密功能的路由器和防火墻能夠使在公共信道上的數據實現可信賴傳達，而VPN在利用加密技術和訪問控制技術的前提下可以在兩個或多個可信賴內部網絡中進行通訊互聯。

　　因此我們使用VPN技術來構建這樣的防火墻或路由器。

　　安全的服務器：在一個局域網內，信息或數據的存儲和傳輸是保密的，安全的服務器可以實現這個功能，這是基于它對局域網資源和用戶的控制管理，它能夠對安全相關事件進行審計和跟蹤。

　　CA和PKI產品：CA(電子簽證機構)為用戶發送電子簽證證書，具有用戶身份驗證和密鑰管理的功能，因此被作為一種可提供信任的認證服務為大眾使用。

　　用發展的眼光來看，PKI有著光明的發展前景，它可以為認證服務提供能為完善的功能和服務。

　　用戶認證的產品：將IC卡個人密鑰和數字簽名相結合，使得IC卡更廣泛的被應用于認證產品。

　　在存儲賬戶密鑰的同時，將它與動態口令恰當結合，這使得用戶身份驗證和識別更為安全信賴。

　　安全管理中心：安全管理中心可以在大范圍、多產品的情況下提供完善的服務。

　　它監控網絡運行的安全，分配安全設備的密鑰，收集網絡安全以及提供審計信息等。

　　IDS：IDS(入侵檢測系統)是一種傳統的保護安全機制。

　　安全數據庫：安全數據庫的建立使得存儲在計算機內部的數據和信息更為完善、更為可靠有效，能夠保障其機密性和可審計性，也使得在用戶身份識別的時候更為安全。

　　安全的操作系統：穩定安全的操作系統為信息數據的存儲提供了一個可靠的平臺，因此要確保信息安全，首先要確保所在的操作系統安全。

　　五、結語

　　信息網絡系統的迅速發展和全面普及，人類與計算機的關系發生了質的變化，人類社會與計算機和網絡組成了一個巨大的系統，出現了一個全新的世界――網絡社會。

　　信息安全是21世紀經濟安全和國家安全的首要條件，也是國家生存的前提條件。

　　在全球一體化成為趨勢的時代背景下，每個國家都要在維護國家主權前提下參與國際合作，共同維護信息安全。

　　參考文獻

　　[1] 胥家瑞.網絡信息安全及其防護策略的探究[J].計算機安全，2011，(9).

　　[2] William Stallings.網絡安全基礎教程：應用與標準(英文影印版)[M].清華大學出版社，2006.

　　[3] 趙樹升，等.信息安全原理與實現[M].清華大學出版社，2004.

　　[4] 沈波.信息系統安全：數字化企業的生命線[J].中國會計報，2011，(9).

　　[5] 劉玉秀，王磊.安全管理是重點[J].榆林日報，2011，(10).

　　[6] 高永仁.局域網中信息安全管理研究[J].中原工學院學報，2011，(4).

　　[7] 李仲偉.關于網絡信息安全管理的思考[J].中小企業管理與科技(下旬刊)，2011，(10).

　　網絡信息安全管理論文【2】

　　[摘要] 在互聯網絡飛速發展的今天，由于技術上的缺陷以及思想上不購重視等原因，在現代網絡信息社會環境下，存在著各種各樣的安全威脅。

　　這些威脅可能會造成重要數據文件的丟失，甚至給政府、銀行證券以及企業的網絡信息系統帶來了極大的損失和危害。

　　網絡攻擊的主要方式包括口令攻擊、軟件攻擊、偷聽攻擊、欺詐攻擊、病毒攻擊以及拒絕服務攻擊等，而網絡安全的防范措施則包括安裝防火墻、防止內部破壞、口令保護和數據加密等多種方式。

　　網絡安全防范是一個動態的概念，重要的是要建立一個網絡安全防范體系。

　　[關鍵詞] 網絡安全 信息安全 網絡攻擊 安全防范

　　近年來，隨著各行各業信息化建設的發展，互聯網和電子商務的應用的不斷普及與提高，人們對參與互聯網活動的需求越來越高。

　　隨之而來的網絡信息安全問題也日益突出，安全已經成為當今網絡世界必須考慮的一個重要問題。

　　在我們國家，政府部門對信息系統的安全性也非常的重視，在國家技術監督局和其他主管部門的指導下，我們國家與國際標準接軌的，關于信息安全與網絡安全方面的技術標準和產品標準已經陸續出臺，并早在1997年就建立了全國信息技術、安全技術委員會。

　　網絡安全問題除了引起了政府機關、國家安全部門、金融機構等的重視，一般的企事業單位甚至個人也都日益關注這些網絡安全問題。

　　一、網絡安全威脅的起因

　　為什么會存在這么多的網絡安全,網絡安全威脅的起因包括：

　　1.技術上存在缺陷。

　　互聯網使用的通訊協議是TCP/IP，TCP/IP在最初的設計時，主要考慮的是如何實現網絡連接，并沒有充分考慮到網絡的安全問題，而TCP/IP協議是完全公開的，這就導致入侵者可以利用TCP/IP協議的漏洞對網絡進行攻擊。

　　另外計算機使用的操作系統，比如說目前仍普遍使用的微軟windows操作系統在設計上也存在安全漏洞，用戶經常需要更新、下載它的安全補丁，以修補它的安全漏洞。

　　其他的技術缺陷還包括應用程序的編寫對安全性考慮不足，網絡通訊設備包括路由器、交換機存在安全的缺陷等等，這些技術上的缺陷都容易被入侵者利用，從而構成安全威脅。

　　2.思想上不重視。

　　由于企業的負責人、網絡管理員思想上不重視或者疏忽，沒有正視黑客入侵所造成的嚴重后果，沒有投入必要的人力、物力和財力來加強網絡的安全性，沒有采取有效的安全策略和安全機制，缺乏先進的網絡安全技術、工具、手段和產品等等，這也導致了網絡的安全防范能力差。

　　二、網絡安全問題可能導致的后果

　　在現代網絡信息社會環境下，由于存在各種各樣的安全威脅，比如病毒、誤操作、設備故障和黑客攻擊等，從而可能會造成重要數據文件的丟失。

　　安全問題具體的后果包括：

　　1.企業的資料被有意篡改、網站的頁面被丑化或者修改。

　　比如說，在被攻擊的網站首頁上貼上謠言、黃色圖片或反動言論，從而造成法律上和政治上的嚴重后果。

　　2.破壞計算機的硬件系統，比如說磁盤系統，從而造成文件永久丟失。

　　3.使得商業機密或技術成果泄露或者被散播。

　　4.安全問題還可能使得服務被迫停止，并給客戶層帶來服務質量低劣的印象，使得企業形象被破壞，從而造成惡劣影響和難以挽回的損失。

　　三、網絡攻擊的主要方式

　　互聯網技術在飛速發展的同時，黑客技術也在飛速發展，網絡世界的安全性不斷地在受到挑戰。

　　對于黑客來說，要進入普通人的電腦非常容易。

　　只果你要上網，就免不了遇到病毒和黑客。

　　那么黑客們有哪些常用攻擊手段呢?

　　1.口令攻擊。

　　口令攻擊就是通過竊取口令的方式進行破壞的活動，口令攻擊是比較常用的一種攻擊方式。

　　在現實生活中，由于用戶名和密碼被盜造成損失的例子有很多，一旦用戶名和密碼被盜，入侵者還可以冒用此用戶的名義對系統進行進一步的破壞和攻擊，從而給用戶本身或者整個系統造成非常大的損失。

　　就目前的黑客技術來說，用戶名和密碼的盜取對黑客不再是有難度的事情，黑客盜取口令的方法有很多。

　　比如說，有的黑客通過FTP、TFTP和Telnet等工具，可以搜集用戶賬戶資料、獲得口令文件，然后對口令文件進行解密來獲得口令。

　　或者如果用戶的口令設置缺乏安全性，可能被輕易地被“字典攻擊”猜到用戶的口令。

　　“字典攻擊”就是通過編寫一個應用程序，根據一定的規律，由應用程序自動反復地去嘗試口令，強行破解用戶口令。

　　“字典攻擊”要求黑客要有足夠的耐心和時間，但對那些口令安全系數極低的用戶，只要短短的幾分鐘，甚至數十秒就可以被破解。

　　2.軟件攻擊。

　　軟件攻擊有時又叫漏洞攻擊，許多系統包括計算機系統、網絡系統都有這樣那樣的安全漏洞(Bug)和后門(backdoor)。

　　特別是計算機系統，在安裝好操作系統后，出現漏洞和缺陷的可能性是最大的，這些漏洞需要廠商發布補丁(patch)程序來進行修補。

　　各個硬件廠商和軟件廠商，包括微軟在內，都在不斷地發布自己的補丁，這要求用戶及時的去下載這些補丁，進行系統更新操作。

　　如果系統管理人員沒有對網絡和操作系統的漏洞及時打補丁，入侵者就可以很容易利用這些公開的漏洞，侵入系統，從而對整個網絡帶來災難性的后果。

　　軟件攻擊除了利用系統的漏洞外，還可以利用一些后門程序。

　　后門，就是秘密入口。

　　比如說，在程序開發階段，程序員可能會設置一些后門，以便于測試、修改和增強模塊功能。

　　正常情況下，程序開放完成后需要去掉各個模塊的后門，不過有時由于疏忽或者其他原因，比如說如保留后門便于日后訪問、測試或維護，后門沒有去掉，一些別有用心的人就會利用專門的掃描工具發現并利用這些后門，然后進入系統并發動攻擊。

　　3.偷聽攻擊。

　　網絡偷聽是最直接的獲取數據的手段，如果在共享的網絡通道上，用沒有加密的明文傳輸敏感數據，這些信息很可能被偷聽和監視。

　　偷聽者可以采用如Sniffer等網絡協議分析工具，非常容易地在信息傳輸過程中獲取所有信息的內容，這些信息包括賬號、密碼等重要信息。

　　一旦，入侵者監聽到用戶傳輸的口令，就可以利用口令入侵到系統中。

　　比如說，政府部門內部的普通工作人員，如果通過內部網絡偷聽手段，獲取了領導的賬號和密碼，從而可以利用這些密碼，查閱只能由領導查閱的秘密文件等。

　　這類方法有一定的局限性，但危害性較大，監聽者往往能夠獲得其所在網段的所有用戶賬號和口令，對內部網絡安全威脅巨大，因為內網數據往往是密級非常高的，如果被非法偷聽而導致信息泄露，將對國家造成非常大的損失。

　　4.欺詐攻擊。

　　欺詐攻擊是利用假冒方式騙取連接和信息資源、損害企業的聲譽和利益的方式。

　　比如說，黑客在被攻擊主機上啟動一個可執行程序，該程序顯示一個偽造的登錄界面。

　　當用戶在這個偽裝的界面上鍵入登錄信息后，黑客程序會將用戶輸入的信息傳送到攻擊者主機，然后關閉界面給出提示錯誤，要求用戶重新登錄。

　　此后，才會出現真正的登錄界面，這就是欺詐攻擊的一種方式。

　　再比如說，黑客可以制作自己的網頁，一旦用戶點擊了假冒鏈接地址，進入到這個網頁后，如果用戶此時輸入銀行賬號、密碼、驗證碼后，該假冒網頁會提示驗證碼錯誤，隨后再轉向正常的網頁，這樣，黑客就巧妙地從中獲取了用戶的機密信息。

　　5.病毒攻擊。

　　計算機病毒實際上是一段可執行程序，為什么稱之為病毒，主要是因為它和現實世界的病毒一樣具有傳染性、潛伏性和破壞性。

　　在越來越依賴網絡的今天，由于病毒導致的系統破壞將帶來巨大的損失。

　　計算機病毒對計算機的影響是災難性的。

　　從20世紀80年代起，計算機使用者就開始和計算機病毒斗爭，特別是隨著近年互聯網的發展、網絡應用的普及、人們對計算機的依賴程度的不斷提高，這一切為病毒的傳播提供了方便的渠道，同時也使計算機病毒的種類迅速增加，擴散速度大大加快，受感染的范圍越來越廣，病毒的破壞性也越來越嚴重。

　　以前病毒的傳播方式主要是單機之間通過軟盤介質傳染，而現在病毒可以更迅速地通過網絡共享文件、電子郵件及互聯網在全世界范圍內傳播。

　　6.拒絕服務攻擊。

　　拒絕服務(denial-of-service)攻擊，簡稱DoS攻擊，是通過向攻擊目標施加超強力的服務要求，要求被攻擊目標提供超出它能力范圍的服務，從而引起的攻擊目標對正常服務的拒絕或服務性能大大降低。

　　簡單的說拒絕服務攻擊就是想辦法將被攻擊的計算機資源或網絡帶寬資源耗盡，導致網絡或系統不勝負荷以至于癱瘓，而停止提供正常的服務。

　　DoS攻擊由于可以通過使用一些公開的軟件和工具進行攻擊，因而它的發動較為簡單，“拒絕服務”的攻擊方式是：用戶發送許多要求確認的信息到服務器，使服務器里充斥著這種大量要求回復的無用信息，所有的信息都有需回復的虛假地址，而當服務器試圖回傳時，卻無法找到用戶。

　　服務器于是暫時等候，然后再切斷連接。

　　服務器切斷連接時，黑客再度傳送新一批需要確認的信息，這個過程周而復始，最終導致服務器資源耗盡而癱瘓。

　　四、網絡安全的主要防范措施

　　網絡安全防范的目的是保護以網絡為代表的系統資源不受攻擊影響、同時要發現可疑的行為、對可能影響安全的事件作出反應。

　　網絡系統安全的最終目標是要保證數據和信息的安全性，也就是說，網絡自身的安全是為數據和信息安全服務的。

　　網絡安全不單是單點的安全，而是整個系統的安全，需要專業的安全產品與網絡產品緊密配合才能達到。

　　網絡安全的防范措施包括：

　　1.安裝防火墻。

　　最常用的網絡安全技術就是采用防火墻，防火墻所處的位置和功能很象是建筑上所說的防火墻，防火墻是安裝在計算機網絡上，防止內部的網絡系統被人惡意破壞的一個網絡安全產品。

　　防火墻通常是防范外部入侵的第一道防線，使用了防火墻后，可以有效地擋住外來的攻擊，對進出的數據進行監視。

　　2.防止內部破壞。

　　有了防火墻可以防范外部的攻擊，這還不能完全有效地保障內網的安全，因為很多不安全因素來自內部非授權人員對涉密信息的非法訪問和惡意竊取，因此在網絡內部，也必須要有強有力的身份鑒別、訪問控制、權限管理以及涉密文件的保密存儲和傳輸等措施，才能有效地保障內部涉密信息的安全性。

　　3.口令保護。

　　口令攻擊是常見的一種網絡攻擊方式，黑客可以通過破解用戶口令入侵用戶系統，因此必須非常注意對口令的保護，特別是在設置口令時不能簡單了事，密碼設置不要容易被別人猜出，重要的密碼最好定期更換等等。

　　除了在設定口令時要注意口令安全，還有一種動態口令方式來保護口令的安全，動態口令認證是針對，靜態口令身份認證機制的安全弱點，提出的一種新的身份認證機制。

　　在這種機制下，認證客戶端和認證服務器都基于用戶密鑰和當前時間，通過特定的密碼算法，生成該用戶的當前登錄口令，用于身份認證。

　　由于當前登錄口令是和當前時間相關的，而且登錄口令只是一次有效，用戶在登錄時口令是隨時變化的，因此很好地解決了口令的泄露問題，保證了用戶的身份真實性和不可抵賴性。

　　4.數據加密。

　　在互聯網出現后，特別是隨著電子商務應用的普及，企業的許多數據要經過互聯網傳輸，傳輸過程中間極有可能出現數據被竊取和被篡改的危險，因此跨越互聯網傳輸的數據都必須經過加密，保證數據不被竊取。

　　除了跨越互聯網傳輸的數據需要加密外，以往發生的數據泄露事件中，內部數據泄露也比較多，因此網絡內部的數據也應該采用一定的加密措施。

　　加密技術的主要目標是確保數據的機密性、真實性、完整性，通過加密措施，使非法偷聽者即使截獲部分信息也無法理解這些信息，另外通過校驗技術，可以使數據被篡改后還有機制去恢復被篡改的內容。

　　總之，網絡安全防范是一個動態的概念，不可能做到一勞永逸，重要的是要建立一個網絡安全防范體系。

　　網絡安全是一個廣泛而復雜的課題，各種類型的企業對網絡安全有不同的需求，必須進行具體的分析才能制定出適合企業自身要求的、總體網絡安全解決方案。

　　參考文獻：

　　[1]馬翔:網絡安全的策略和解決方案研究.中國科技信息，2007(22)

　　[2]黃梯云:管理信息系統，北京：高等教育出版社，2005.3

　　[3]沈昌祥:網絡安全應急體系探究. 信息網絡安全，2006(1)

【信息安全問題論文】相關文章：

企業信息安全問題研究論文10-08

采供血機構信息安全問題及管理的論文10-11

網絡金融信息安全問題討論論文10-08

網絡信息安全問題及對策論文10-09

關于網絡信息安全問題及對策分析論文10-08

檔案信息化建設安全問題分析論文10-11

基于實證的銀行信息安全問題防范研究論文10-08

大數據時代信息安全問題探討論文10-10

計算機信息安全問題及對策論文10-11