安全审计论文

安全审计论文（共9篇）

安全审计论文 篇1

网吧安全审计系统安全保密协议

甲方：

市公安局

分局 乙方（网吧）：

为保障网吧互联网络正常运行，保护上网消费人员的身份信息安全，按照国家相关法律、法规之规定，甲、乙双方就网吧安全审计系统安装使用中的保密事项达成如下协议：

1、甲、乙双方工作人员应对网吧信息、上网消费人员的身份信息等承担保密义务；

2、除甲、乙双方工作人员以外，任何单位和个人不得查看、使用网吧安全审计系统；

3、乙方应指定专人负责管理和使用网吧安全审计系统，不得转租、借用或作其他用途；

4、乙方应严格管理系统登录帐号和密码，不得对系统进行任何删除、增加或修改；

5、乙方对甲方依法进行的各类检查、调查工作承担保密义务。

本协议一式三份，市公安局网监支队一份，甲、乙双方各执一份。

甲方：

乙方：

（盖章）

（盖章）年

月

日

****年**月**日

安全审计论文 篇2

网络的开放性、黑客的攻击和系统本身的缺陷导致网络内的计算机并不安全,网络入侵也经常发生,往往造成严重的后果,为了降低入侵的风险,保障系统的正常运转,安全审计在信息安全中的作用越来越重要。在国际标准及国家标准中,安全审计都作为重要的一个部分,用来标识信息系统的安全性。本文通过信息技术安全性评估准则对安全审计进行了介绍,分析了安全审计的主要方法和策略。

1 安全审计在信息安全中的作用

信息安全其实质是信息系统的安全。国际标准化组织(ISO)对信息安全的定义为:“计算机系统有保护计算机系统的硬件、软件、数据不被偶然或故意地泄露、更改和破坏的作用。”国际信息化安全组织提出的“信息技术安全评级准则”,从可用性、完整性和保密性来衡量信息系统安全,可用性是指保证合法用户对信息和资源的使用不会被恶意拒绝;完整性是指保证数据的一致性,防止机密信息被非法用户伪造、篡改;保密性是指保证信息不被侦听,或者侦听也无法确认信息的真实含义。

审计最早出现于财务专业,词典中的“审计”都是针对财务类型定义的。在现今社会中,几乎所有的企业、机构和组织的包括财务在内的各类系统都运行在计算机上面,所以信息技术和网络技术发展的同时,“审计”成为企业安全管理、信息系统等级保护、安全风险控制不可或缺的关键手段。安全审计是指检查、验证目标系统的可用性、保密性和完整性,用以检查和防止网络入侵和网络欺骗行为,以及是否符合既定的标准等原则。美国信息系统审计的权威专家将它定义为“收集并评估证据以决定一个计算机系统是否有效做到保护资产、维护数据完整、完成目标,同时最经济的使用资源”。审计的对象包括可以被识别、分析、存储和记录的所有活动的安全事件。

2 安全审计和信息技术安全性评估准则

根据国标《GB/T18336-2001信息技术 安全技术 信息技术安全性评估准则》,审计被描述为:“如果PP/ST中包含来自类FAU(安全审计)中的要求,则审计要求包含供PP/ST作者选择的可审计的事件。这些要求包括按FAUGEN(安全审计数据产生)子类的组件所支持的以各种不同详细级别表示的安全相关事件[1]。”其中,PP表示保护轮廓,即“满足特定用户需求、与一类评估对象实现无关的一组安全要求”;ST表示安全目标,即“作为指定的评估对象评估基础的一组安全要求和规范。”

根据标准的解释,可以看出审计是应当进行层次化分类的,并且保证所有的审计事件都可被适当赋值。高等级的事件比低等级的事件提供了更多的内容。通过安全审计的结果,可以判断安全事件的发生范围,以及导致安全事件发生的责任人。

3 安全审计的主要策略

3.1 审计范围、内容和记录应全面

安全审计应保证审计的范围要能够覆盖到每个系统的每个用户。只有范围覆盖的合理且全面,才能保证安全审计的充分性,保证安全审计的有效性。审计的内容要应包括普通用户的行为和特殊用户的行为,不出现“死角”。审计内容还应包括系统资源的使用状况,是否异常,和系统组件使用等与系统安全相关的所有事件。发生的事件应有审计记录,并保证审计记录将安全事件的特性描述清晰,至少要包含主体、客体、时间、结果和类型等相关信息。审计可通过这些记录来识别安全事件的性质、危害范围和发生位置。

3.2 保护审计过程及审计结果

在安全审计的过程中,应保护审计的过程,避免审计中受到未预期的中断。安全审计要求审计结果的准确,而中断会导致审计记录前后不一致,致使准确性下降。同时,也应确保审计记录的安全,避免受到恶意用户的删除、修改或覆盖等破坏。

3.3 主要的安全审计项目

3.3.1 审查系统日志文件

审查系统的日志文件就是对日志文件中的可疑事件或异常问题进行审查,通过审查可以掌握系统被入侵过程的详细情况,了解系统是怎样被入侵的,并且能够获悉系统遭受到了何种破坏,入侵者在入侵后都进行了哪些操作以及是否通过本机或本系统间接入侵了其它机器或系统。通过这些日志文件可以对入侵的过程有明确的认识和清晰的行为分析。但是系统中的日志文件是可以被修改的,所以应对日志文件进行保护,明确系统日志文件的位置。

3.3.2 审查用户权限分配

审查系统的用户权限主要是审查用户的权限分配的是否合理,是否存在不必要的超级管理员或权限过大的用户,通过审查用户权限可以降低入侵发生的概率和安全风险。很多入侵事件都是因用户的权限过大导致的,因此有必要保证超级管理员的唯一性,对普通用户进行权限控制,不可进行普通用户权限的随意提升。

3.3.3 审查用户的必要性

审查系统用户及应用用户是否合理,是否建立合理的审查机制,对用户的使用者是否有相应规定限制其恶意使用。对于用户的审查不仅仅包含应用层的审查,也包括管理层的审查。从管理制度上审查用户的合理性,是对用户审查的一个重要方面。用户的建立应以越少越好为原则,不建立不必要的用户,严禁用户的登录信息随意泄露,保持数据的机密性。

3.3.4 审查系统的版本更新情况

审查系统的版本更新情况是安全审计的一个重要方面,因为系统版本的更新情况直接决定了系统的漏洞多少。系统每当被发现漏洞后,都会为系统打补丁进而使系统不再具有某类漏洞,保持了系统的安全性。更新版本后的系统不仅可以抵御外来攻击,不再被入侵,更重要的是可以为审计系统审计其它部分提供有效的审查依据。

3.3.5 审查系统传输的加密策略

系统与外界通信时极易被入侵者捕捉到入侵机会,审查系统传输的加密策略是非常必要的。经过加密的传输数据流,不易被攻击,安全性高。即使数据流被攻击也不会对系统安全造成影响,可以把风险降低到最小。

4 结束语

由于篇幅限制本文只通过国际标准和国家标准对安全审计作了简略的介绍,并对安全审计的一般策略进行了简单的介绍,并没有进行深入讨论。安全审计只是信息系统安全策略的一部分,组建信息系统的安全策略是一个非常复杂和费时的过程,需要不同的安全策略共同组建详尽完整的安全策略。但是良好的审计方法会有助于降低信息系统被入侵的概率,更高效地处理信息安全事件。在灵活运用审计方法的同时,也应适当的使用审计工具来处理安全事件。

参考文献

[1]GB/T18336-2001信息技术.安全技术.信息技术安全性评估准则[Z].

[2]田盛丰.入侵检测中对系统日志审计信息进行数据挖掘的研究[J].计算机工程,2002(1).

[3]陈祖义,华勇.计算机网络入侵应急响应的研究[J].计算机安全,2009(7).

山区道路安全审计探讨 篇3

关键词：山区道路；安全审计；内容；步骤

中图分类号：U491

文献标识码：A

文章编号：1000-8136(2009)20-0033-02

道路安全审计(Road Safely Audits,简称RSA)是从预防交通事故、降低事故产生的可能性和严重性人手，对道路项目建设的全过程，即规划、设计、施工和服务期进行全方位的安全审核，从而揭示道路发生事故的潜在危险因素及安全性能，是国际上近期兴起的以预防交通事故和提高道路交通安全为目的的一项新技术手段。其目标是：确定项目潜在的安全隐患；确保考虑了合适的安全对策；使安全隐患得以消除或以较低的代价降低其负面影响，避免道路成为事故多发路段；保障道路项目在规划、设计、施工和运营各阶段都考虑了使用者的安全需求，从而保证现已运营或将建设的道路项目能为使用者提供最高实用标准的交通安全服务。

1道路安全审计的起源与发展

1991年，英国版的《公路安全审计指南》问世，这标志着安全审计有了系统的体系。从1991年4月起，安全审计成为英国全境主干道、高速公路建设与养护工程项目必须进行的程序，使英国成为安全审计的重要发起与发展国。而我国则是在20世纪90年代中期开始发展安全审计，主要有两个渠道：①以高等院校为主的学者通过国际学术交流与检索国外文献，从理论体系的角度引入道路安全审计的理论；②通过世界银行贷款项目的配套科研课题。在工程领域开展道路安全审计的实践。

目前，在澳大利亚、丹麦、英国、冰岛、新西兰和挪威等国已定期地执行道路安全审计，德国、芬兰、法国、意大利、加拿大、荷兰、葡萄牙、泰国以及美国正处于实验或试行阶段，其他许多国家也在就道路安全审计的引入进行检验，比如希腊等国家。国外研究表明，道路安全审计可有效地预防交通事故，降低交通事故数量及其严重度，减少道路开通后改建完善和运营管理费用，提升交通安全文化，其投资回报是15～40倍。

道路安全审计在我们道路建设中的重要性，不仅仅是在提高安全性方面，对经济性也有帮助。而山区道路的安全比起一般道路来讲，就更应该引起我们的注意，毕竟山区道路的崎岖以及地势的高低相对与一般道路对驾驶者来说是一个很大的挑战，而且其发生事故的死亡率也比其他道路高很多，因此，审计对于山区道路来说是至关重要的。

2山区道路安全审计内容

加拿大等国家认为，在项目建设的初步设计阶段进行道路安全审计最重要、最有效，因而早期的道路安全审计主要重点是在项目建设的初步设计阶段。现世界各国都普遍认为可在已运营的道路和拟建道路项目建设期的全过程实行安全审计，即在规划或可行性研究、初步设计、施工图设计、道路通车前期(预开通)和开通服务期(后评估阶段)都有所侧重地实行审计。山区道路安全审计同样与其他道路的安全审计工作内容一样。

3审计要素

典型的道路安全审计过程为：组建审计组+设计队介绍项目情况及提供资料+项目实施考察－安全性分析研究－编写安全审计报告+审计组介绍项目审计结果+设计队研究、编写响应报告－审计报告及响应报告共同构成项目安全文件。

整个安全审计的时间一般为两周左右。为保证安全审计的质量，审计组人员的构成至关重要。审计组的人数依项目的规模大小一般由26人组成，审计组应由不同背景、不同经历、受过培训、经验丰富、独立的人员(与设计队无直接关联)组成。审计人员一般应具备交通安全、交通工程、交通运行分析、交通心理、道路设计、道路维护、交通运营及管理、交通法律法规等方面的知识，应保证审计组人员相互间能平等、自由地交流、讨论和商议安全问题。审计人员应本着对社会(用户)负责的态度、安全第一的观点，依据道路标准规范，对项目各种设计参数、弱势用户、气候环境等的综合组合，展开道路安全审计。道路安全审计人员(审计组)与设计人员(设计队)的区别在于：设计人员需要综合考虑项目投资、土地、政治、地理、地形、环境、交通、安全等方方面面的因数，限于经验、时间的约束，对安全问题难免有所偏颇。而安全审计人员不考虑项目投资、建设背景等因数，仅仅考虑安全问题，只提安全建议，最后由设计人员决定：采纳、改进或不采纳。因而可以说道路安全审计的关键点为：它是一个正式的、独立进行的审计过程，须由有经验的、有资格的人员从事这一工作，要考虑到道路的各种用户，最重要的一点是只考虑安全问题。

安全审计报告一般应包括：设计人及审计组简述、审计过程及日期、项目背景及简况、图纸等，对确认的每一个潜在危险因素都应阐述其地点、详细特征、可能引发的事故(类型)、事故的频率及严重度评估、改进建议及该建议的可操作性(实用性)等。审计报告应易于被设计人员接受并实施。响应报告应由项目设计人员编写，其内容—般应包括：对审计报告指出的安全缺陷是否接受，如不接受应阐述理由，对每一改进建议应一一响应，采纳、部分采纳或不采纳，并阐明原因。

4现有山区道路的安全审计

对现状山区道路进行安全审计，主要评估现状道路潜在事故危险性，同时提出改进措施以降低未来发生事故的可能性。现状道路的安全审计与新建道路相类似，也需进行上面所提到的工作，但现场调查以及评估资料及文件这两步与新建道路有所不同。此时事故资料被作为欲审计资料的重要组成部分，同时该资料也包括可能导致事故发生潜在性的一些不利因素的详细资料。

理想的关于现状道路网的安全审计应该建立在有规律的基础之上。它可以以连续几年审计的结果为基础，采用滚动式的审计方式对路网中的每条道路都进行评估。对于里程较长的道路(一般>100km)，其安全审计工作可按两阶段进行，即初步审计阶段和详细审计阶段。前者主要对道路总体上进行粗略审计，给出存在的主要问题及所处位置，后者则对找到的问题进行进一步的详细分析并提出相应的改进建议。对里程较短的道路(<30km)可直接进行第二阶段的工作。而对里程在30km～100km的道路，两阶段审计工作可根据具体情况灵活进行。

由于欲审计道路已修建完成并已经运营，此时现场调查就显得非常重要。不管是拟建道路或已建道路、线内工程还是线外工程，安全审计工作必须全方位细致地进行。要考虑不同道路使用者对道路安全性能的不同需求。例如：①由于坡度太大或海拔高而使得驾驶员的心理产生恐惧；②半径太小可能使得驾驶员无法在规定视距范围内看到对方；③山体的稳定性也可能会影响到驾驶员。

信息系统安全审计定义与发展 篇4

信息系统安全审计定义与发展

信息系统安全审计是评判一个信息系统是否真正安全的重要标准之一。通过安全审计收集、分析、评估安全信息、掌握安全状态，制定安全策略，确保整个安全体系的完备性、合理性和适用性，才能将系统调整到“最安全”和“最低风险”的状态。安全审计已成为企业内控、信息系统安全风险控制等不可或缺的关键手段，也是威慑、打击内部计算机犯罪的重要手段。在国际通用的CC准则（即ISO/IEC15408-2:1999《信息技术安全性评估准则》）中对信息系统安全审计（ISSA，Information System Security Audit）给出了明确定义：信息系统安全审计主要指对与安全有关的活动的相关信息进行识别、记录、存储和分析；审计记录的结果用于检查网络上发生了哪些与安全有关的活动，谁（哪个用户）对这个活动负责；主要功能包括：安全审计自动响应、安全审计数据生成、安全审计分析、安全审计浏览、安全审计事件选择、安全审计事件存储等。这是国际CC准则给出的一个比较抽象的概念，通俗来讲，信息安全审计就是信息网络中的“监控摄像头”，通过运用各种技术手段，洞察网络信息系统中的活动，全面监测信息系统中的各种会话和事件，记录分析各种网络可疑行为、违规操作、敏感信息，帮助定位安全事件源头和追查取证，防范和发现计算机网络犯罪活动，为信息系统安全策略制定、风险内控提供有力的数据支撑。

（一）国内信息系统安全审计发展历史与国外相比，中国的信息系统安全审计起步较晚，相关审计技术、规范和制度等都有待进一步完善。随着我国信息化水平快速提高，信息系统安全审计正逐渐成为国内信息系统安全建设热点之一。我国的信息系统安全审计发展可分为两个阶段：1999年-2004年 信息系统安全审计导入期1999年财政部颁布了《独立审计准则第20号-计算机信息系统环境下的审计》，部分内容借鉴了国外研究成果。这是国内第一次明确提出对计算信息系统审计的要求。同年,国家质量技术监督局颁布《GB17859-1999 计算机信息系统安全保护等级划分准则》,该准则是建立计算机信息系统安全保护等级制度，实施安全保护等级管理的重要基础性标准，其中明确要求计算机信息系统创建和维护受保护客体的访问审计跟踪记录，并能阻止非授权的用户对它访问或破坏。”2005年-2009年 信息系统安全审计的快速成长期随着互联网在国内的迅速普及应用，推动国内信息系统安全审计进入快速发展阶段。国家相关部门、金融行业、能源行业、运营商均陆续推出多项针对信息系统风险管理政策法规，推动国内信息系统安全审计快速发展。目前，随着信息安全建设的深入，安全审计已成为国内信息安全建设的重要技术手段。总体来看，由于信息系统发展水平和业务需求的不同，各行业对安全审计的具体关注点存在一定差异，但均是基于政策合规、自身安全建设要求，如：政府主要关注如何满足“信息系统安全等级保护”等政策要求的合规安全审计；电信运营商则基于自身信息系统风险内控需求进行安全审计建设。

网络安全审计系统的实现方法 篇5

司法信息安全方向王立鹏1 传统安全审计系统的历史

传统的安全审计系统早在70年代末、80年代初就已经出现在某些UNDO系统当中，其审计的重点也是本主机的用户行为和系统调用。在随后的20年间，其他的各个操作系统也有了自己的安全审计工具，如符合C2安全级别的Windows NT, Nnux的syslog机制以及SUN 13SM等。常用安全措施的不足和基于网络的安全审计系统的出现

近几年来，随着开放系统Internet的飞速发展和电子商务的口益普及，网络安全和信息安全问题日益突出，各类黑客攻击事件更是层出不穷。而相应发展起来的安全防护措施也日益增多，特别是防火墙技术以及IDS(人侵检测技术)更是成为大家关注的焦点。但是这两者都有自己的局限性。

2.1防火墙技术的不足

防火墙技术是发展时间最长，也是当今防止网络人侵行为的最主要手段之一，主要有包过滤型防火墙和代理网关型防火墙两类。其主要思想是在内外部网络之间建立起一定的隔离，控制外部对受保护网络的访问，它通过控制穿越防火墙的数据流来屏蔽内部网络的敏感信息以及阻挡来自外部的威胁。虽然防火墙技术是当今公认发展最为成熟的一种技术，但是由于防火墙技术自身存在的一些缺陷，使其越来越难以完全满足当前网络安全防护的要求。包过滤型防火墙如只实现了粗粒度的访问控制，一般只是基于IP地址和服务端口，对网络数据包中其他内容的检查极少，再加上其规则的配置和管理极其复杂，要求管理员对网络安全攻击有较深人的了解，因此在黑客猖撅的开放Internet系统中显得越来越难以使用。而代理网关防火墙虽然可以将内部用户和外界隔离开来，从外部只能看到代理服务器而看不到内部任何资源，但它没有从根本上改变包过滤技术的缺陷，而且在对应用的支持和速度方面也不能令人满意

2.2入侵检测技术的不足

人侵检测技术是防火墙技术的合理补充，能够对各种黑客人侵行为进行识别，扩展了网络管理员的安全管理能力。一般来说，人侵检测系统(IDS)是防火墙之后的第二层网络安全防护机制。

目前较为成熟的IDS系统可分为基十主机的IDS和基于网络的IDS两种。

基于主机的IDS来源于系统的审计日志，它和传统基于主机的审计系统一样一 般只能检测发生在本主机上面的人侵行为。

基于网络的IDS系统对网络中的数据包进行监测，对一些有人侵嫌疑的包作出报警。人侵检测的最大特色就是它的实时性„准实时性)，它能在出现攻击的时候发出警告，让管理人员在在第一时间了解到攻击行为的发生，并作出相应措施，以防止进一步的危害产生。实时性的要求使得人侵检测的速度性能至关重要，因此决定了其采用的数据分析算法不能过于复杂，也不可能采用长时间窗分析或把历史数据与实时数据结合起来进行分析，所以现在大

多数人侵检测系统只是对单个数据包或者一小段时间内的数据包进行简单分析，从而作出判断，这样势必会产生较高的误报率和漏报率，一般只有20%攻击行为被IDS发现也就不足为奇了。虽然国内外普遍对人侵检测技术都有很高的评价，但是随着黑客技术的发展，一些人侵检测系统本身的缺陷也为人们所了解。一些黑客利用某些分布式技术，在同一时刻向某个人侵检测系统发送大量垃圾数据包，使得人侵检测系统来不及处理而过载，直到发生丢包现象。黑客在此时发动攻击，人侵相关的网络活动被淹没在大量的嘈声之中，使得人侵检测无法检测出包含人侵模式的网络信息，这样一来黑客就达到了逃避人侵检测的目的。

2.3基于网络的安全审计系统

在这种情况下，基于网络安全审计系统孕育而生。基于网络的安全审计系统在近几年刚刚起步，尚处在探索阶段，其审计重点也在网络的访问行为和网络中的各种数据。对此有比较深人研究的也只是少数几个高校或者科研机构，其中以Purdue大学的NASHIS系统较为著名。

一般的基于网络的安全审计系统作为一个完整安全框架中的一个必要环节，一般处在人侵检测系统之后，作为对防火墙系统和人侵检测系统的一个补充，其功能:首先它能够检测出某些特殊的IDS无法检测的人侵行为(比如时间跨度很大的长期的攻击特征);其次它可以对人侵行为进行记录并可以在任何时间对其进行再现以达到取证的目的;最后它可以用来提取一些未知的或者未被发现的人侵行为模式等。

图1安全审计在整个安全体系中的位置

与传统的人侵检测系统相比，安全审计系统并没有实时性的要求，因此可以对海量的历史数据进行分析，并且采用的分析方法也可以更加复杂和精细。一般来说，网络安全审计系统能够发现的攻击种类大大高于人侵检测系统，而且误报率也没有人侵检测系统那样的高。3 基于网络的安全审计系统的常用实现方法

3.1基于规则库的方法

基于规则库的安全审计方法就是将已知的攻击行为进行特征提取，把这些特征用脚本语言等方法进行描述后放人规则库中，当进行安全审计时，将收集到网络数据与这些规则进行某种比较和匹配操作(关键字、正则表达式、模糊近似度等)，从而发现可能的网络攻击行为。这种方法和某些防火墙和防病毒软件的技术思路类似，检测的准确率都相当高，可以通过最简单的匹配方法过滤掉大量的网络数据信息，对于使用特定黑客工具进行的网络攻击特别有效。比如发现目的端口为139以及含有DOB标志的数据包，一般肯定是Winnuke攻击数据包。而且规则库可以从互连网上下载和升级(如。.cert.org等站点都可以提供各种最新攻击数据库)，使得系统的可扩充性非常好。

但是其不足之处在于这些规则一般只针对已知攻击类型或者某类特定的攻击软件，当出现新的攻击软件或者攻击软件进行升级之后，就容易产生漏报。

例如，著名的Back Orifice后门软件在90年代末非常流行，当时人们会发现攻击的端口

是31337，因此31337这个古怪的端口便和 Back Orifice联系在了一起。但不久之后，聪明的Back Orifice作者把这个源端口换成了80这个常用的Web服务器端口，这样一来便逃过了很多安全系统的检查。

此外，虽然对于大多数黑客来说，一般都只使用网络上别人写的攻击程序，但是越来越多的黑客已经开始学会分析和修改别人写的一些攻击程序，这样一来，对同一个攻击程序就会出现很多变种，其简单的通用特征就变得不十分明显，特别规则库的编写变得非常困难。综上所述，基于规则库的安全审计方法有其自身的局限性。对于某些特征十分明显的网络攻击数据包，该技术的效果非常之好;但是对于其他一些非常容易产生变种的网络攻击行为(如Backdoo:等)，规则库就很难用完全满足要求了。

3.2基于数理统计的方法

数理统计方法就是首先给对象创建一个统计量的描述，比如一个网络流量的平均值、方差等等，统计出正常情况下这些特征量的数值，然后用来对实际网络数据包的情况进行比较，当发现实际值远离正常数值时，就可以认为是潜在的攻击发生。

对于著名syn flooding攻击来说，攻击者的目的是不想完成正常的TCP 次握手所建立起来的连接，从而让等待建立这一特定服务的连接数量超过系统所限制的数量，这样就可以使被攻击系统无法建立关于该服务的新连接。很显然，要填满一个队列，一般要在一段时间内不停地发送SYN连接请求，根据各个系统的不同，一般在每分钟 10-20，或者更多。显然，在一分钟从同一个源地址发送来20个以上的SYN连接请求是非常不正常的，我们完全可以通过设置每分钟同一源地址的SYN连接数量这个统计量来判别攻击行为的发生。但是，数理统计的最大问题在于如何设定统计量的“阂值”，也就是正常数值和非正常数值的分界点，这往往取决于管理员的经验，不可避免地容易产生误报和漏报基于网络安全审计系统的新方法:有学习能力的数据挖掘

上述的两种方法已经得到了广泛的应用，而且也获得了比较大的成功，但是它最大的缺陷在于已知的人侵模式必须被手工编码，它不能适用于任何未知的人侵模式。因此最近人们开始越来越关注带有学习能力的数据挖掘方法。

4.1数据挖掘简介及其优点

数据挖掘是一个比较完整地分析大量数据的过程，它一般包括数据准各、数据预处理、建立挖掘模型模型评估和解释等，它是一个迭代的过程，通过不断调整方法和参数以求得到较好的模型。

数据挖掘这个课题现在有了许多成熟的算法，比如决策树、神经元网络、K个最近邻居(K一NN),聚类关联规则和序惯模型、时间序列分析器、粗糙集等。应用这些成熟的算法可以尽量减少手工和经验的成分而且通过学习可以检测出一些未被手工编码的特征因此十分适用于网络安全审计系统。

4.2有学习能力的数据挖掘在基于网络的安全审计系统中的应用

我们采用有学习能力的数据挖掘方法，实现了一般网络安全审计系统的框架原型。该系统的主要思想是从“正常”的网络通讯数据中发现“正常”的网络通讯模式。并和常规的一些攻击规则库进行关联分析，达到检测网络人侵行为的目的。在本系统之巾，主要采用了三种比较成熟的数据挖掘算法，这三个算法和我们的安全审计系统都有着十分密切的关系:

分类算法 该算法主要将数据影射到事先定义的一个分类之中。这个算法的结果是产生一个以决策树或者规则形式存在“判别器”。理想安全审计系统一般先收集足够多的“正常”或者“非正常”的被市计数据，然后用一个算法去产生一个“判别器”来对将来的数据进行判别，决定哪些是正常行为而哪些是可疑或者人侵行为。而这个“判别器”就是我们系统中“分析引擎”的一个主要部分。

相关性分析 主要用来决定数据库里的各个域之间的相互关系。找出被审计数据间的相互关联将为决定整个安全审计系统的特征集提供很重要的依据。

时间序列分析 该算法用来建立本系统的时间顺序标准模型。这个算法帮助我们理解审计事件的时间序列一般是如何产生的，这些所获得常用时间标准模型可以用来定义网络事件是否正常。

整个系统的工作流程如图2所示

图2 系统工作流程图

首先，系统从数据的采集点介采集数据，将数据进行处理后放入被审计数据库，通过执行安全审计引擎读人规则库来发现人侵事件，将人侵时rbi记录到人侵时间数据库，而将正常网络数据的访问放人正常网络数据库，并通过数据挖掘来提取正常的访问模式。最后通过旧的规则库、人侵事件以及正常访间模式来获得最新的规则库。可以不停地重复上述过程，不断地进行自我学习的过程，同时不断更新规则库，直到规则库达到稳定。

我们实现的原型系统的框图由图3所示。

图3 系统结构框图

上面我们所见到的系统整体框架图中，在通过对正常网络通讯数据集的学习后，可以获得正常访问模式，这个过程就采用了数据挖掘技术，从海量的正常数据中半自动地提取正常访间模式，可以减少人为的知觉和经验的参与，减少了误报出现的可能性。此外，使用规则合并可以不断更新规则库，对新出现的攻击方式也可以在最快的时间内做出反应，这也是传统方法无法实现的。总 结

审计局网络与信息安全应急预案 篇6

第一章 总则

第一条 本预案所称突发性事件，是指自然因素或人为活动引发的危害福州市审计局网络设施及信息安全等有关的灾害。

第二条 本预案的指导思想是确保福州市审计局有关计算机网络及信息的安全。

第三条 本预案适用于发生在福州市审计局网络范围内的突发性事件应急工作。

第四条 应急处置工作原则：

（一）明确责任、分级负责：按照“谁主管谁负责，谁运行谁负责”的要求，逐级建立并落实审计信息系统责任制和应急机制。

（二）加强领导、分工合作：市局各处室应按照规定的职责和流程，实施统计信息系统的应急处理工作。

（三）积极预防、及时预警：市局各处室应及早发现安全事件，及时进行预警和信息通报；积极做好应急处理准备，提高对安全事件的预防和应急处理能力。

（四）协作配合、确保恢复：市局各处室要协同配合，确保在最短的时间内完成系统的恢复。

第二章 组织指挥和职责任务

第五条福州市审计局成立网络与信息安全工作领导小组，局办公室负责日常工作。

组长：翁国荣

副组长：潘玉宁

成员：吴祥添

领导小组的主要职责与任务是统一领导信息网络的灾害应急工作，全面负责信息网络可能出现的各种突发事件处置工作，协调解决灾害处置工作中的重大问题等。

第三章 处置措施和处置程序

第六条处置措施

处置的基本措施分灾害发生前与灾害发生后两种情况。

（一）灾害发生前，即日常管理与灾害发生前的征兆阶段，局办公室要预先对灾害预警预报体系进行建设（防杀毒体系、漏洞补丁修补、防ARP网络攻击、单机网络备份系统、防单机非法内（外）联、移动设备认证系统），并开展灾害调查，编制灾害防治规划，建设专业监测网络，并规划建设灾害信息管理系统，及时处理灾害讯情信息。加强灾害险情巡查。局办公室要充分发挥专业监测的作用，进行定期和不定期的检查，加强对灾害重点部位的监测和防范，发现有不良险情时，要及时处理并向领导小组报告。建立健全灾情速报制度，保障突发性灾害紧急信息报送渠道畅通。

（二）灾害发生后，立即启动应急预案，采取应急处置程序，判定灾害级别，并立即将灾情向网络与信息安全领导小组报告，在处置过程中，应及时报告处置工作进展情况，直至处置工作结束。

第七条处置程序

（一）发现情况

市局各处室信息化管理人员要严格执行监管制度、处内设备管理和定期查杀毒制度，局办公室做好网络信息系统安全的日常巡查工作，以保障最先发现灾害并及时处置。

（二）预案启动

一旦灾害发生，立即启动应急预案，进入应急预案的处置程序。

（三）应急处置方法

在灾害发生时，首先应区分灾害发生是否为自然灾害与人为破坏两种情况，根据这两种情况把应急处置方法分为两个流程。

流程一：当发生的灾害为自然灾害时，应根据当时的实际情况，在保障人身安全的前提下，首先保障数据的安全，然后是设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

流程二：当人为或病毒破坏的灾害发生时，具体按以下顺序进行：判断破坏的来源与性质，断开影响安全与稳定的信息网络设备，断开与破坏来源的网络物理连接，跟踪并锁定破坏来源的IP或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照灾害发生的性质分别采用以下方案：

1．网络信息系统故障的应急处理流程

（1）报告和简单处理

网络设备、网络应用系统故障应由发现人通知局办公室，局办公室派人立即检查故障，进行初步故障定位。如果网络、应用系统出现比较严重的问题，对网络业务的正常运行造成较大的`影响，需立即向有关领导报告。

（2）故障判断与排除

对简单故障，运维人员应迅速排除故障，解决问题并记录。如果需要更换设备，应上报有关领导,经批准后马上更换故障设备，尽快恢复网络、应用系统运行。运维部门判断无法及时修理时，应立即通知相关的系统运行服务提供商，在最短的时间内安排修理或更换系统。

（3）网络线路故障排除

如发现属外部线路的问题，应与线路服务提供商联系，敦促对方尽快恢复故障线路。

（4）启用备份线路、设备、系统（如果存在的话），迅速恢复相关的应用。

2．网站检测与自动恢复系统应急处理流程

（1）报告和简单处理

当发现网站不能正常打开或网站内容被恶意篡改时，任何人员都有义务向领导小组或局办公室报告。由局办公室应急响应，联合相关部门进行故障排查。

（2）处理和恢复使用

先由网络运维部门查看网络连接情况，若不是网络故障，则由局办公室排查软、硬件故障。待故障处理完成并经过测试后，恢复系统的正常运行和内容的正常应用。

3.黑客入侵的应急处理

（1）报告和简单处理

当发现网络上有黑客攻击行为，任何人员都有义务向领导小组或局办公室报告。局办公室立即启动应急响应，切断受攻击计算机与网络的连接，停止一切操作、保护现场，并上报有关领导。

（2）处理和恢复使用

对于黑客攻击，由局办公室查找入侵踪迹，分析入侵方式和原因。由安全管理员根据对入侵事件的分析，组织相关人员对内部网计算机整改，防止黑客用同样的手段再次入侵其他系统。安全管理员检查确定无安全隐患后，才可将受攻击计算机重新连接网络，或启用备份计算机来恢复应用。

（3）应急响应

安全管理员应做好记录，保护现场，进行日志收集等工作。如果能追查到攻击者的相关信息，可以对其发出警告，必要时可以采取进一步的行动，乃至采取法律手段。根据破坏程度，经有关领导同意后，上报公安部门。

若系统已被黑客破坏，无法恢复，应将受黑客攻击的计算机上的重要数据备份到其他存储介质，确保计算机内重要的数据不丢失。如果数据无法恢复，经有关领导同意后，可与国家指定的部门联系，由他们来协助恢复，为保证数据信息安全，需在安全管理部门做记录。

4.大规模病毒（含恶意软件）攻击的应急处理

（1）报告和简单处理

当发现网络上有大规模病毒攻击的行为，任何人员都有义务向领导小组或局办公室报告。由局办公室组织应急响应，切断受攻击计算机与网络的连接，停止一切操作、保护现场，立即上报有关领导。

（2）已知病毒的处理和恢复

使用最新版本杀毒软件对染毒计算机进行全面杀毒，并对染毒计算机系统进行漏洞修补。安全管理员确定没有病毒和安全漏洞后，再连接网络恢复使用。

（3）未知病毒的处理和恢复

观察网管软件根据监视窗口的链路状态，由此判断感染病毒或恶意程序的客户端、服务器所科的楼层交换机。打开该交换机的端口流量分析窗口，根据流量判断感染病毒或恶意程序的客户端所科交换机端口。关闭该交换机端口，隔离该工作站、服务器，阻断与局域网的连接。根据端口状态功能，查看该感染病毒或恶意程序的工作站的IP地址。根据IP地址信息找到该工作站的具体位置，对该工作站进行病毒或恶意程序清除工作。

根据对于未知病毒，应首先尝试手工杀毒处理，若系统已被病毒破坏，无法恢复，应将感染病毒的计算机上的硬盘加挂到其他机器上处理，将重要数据备份到其他存储介质，尽最大努力保护、保留感染计算机内重要的数据，同时防止病毒感染其他计算机。如果数据无法恢复，经有关领导同意后，可与国家指定的反病毒部门联系，由他们来协助恢复，为保证数据信息安全，需在安全管理部门作做记录。如为涉及国家秘密的数据，不允许由其他机构来恢复数据。

5．其他没有列出的不确定因素造成的灾害，可根据总的安全原则，结合具体的情况，做出相应的处理。不能处理的可以请示相关的专业人员。

（四）情况报告

灾害发生时，一方面按照应急处置方法进行处置，同时需要判定灾害的级别，首先向网络与信息安全应急处置领导小组汇报。在大型灾害发生时或上级领导通知的特殊时间内发生的灾害，可以直接向局领导报告，也可向相应的公安机关计算机信息系统安全监察部门汇报。中、小型级别的灾害，可以只向网络与信息安全应急处置领导小组汇报，并及时报告处置工作进展情况，直至处置工作结束。情况报告内容包括：灾害发生的时间、地点，灾害的级别，灾害造成的后果，应急处置的过程、结果，灾害结束的时间，以后如何防范类似灾害发生的建议与方案等。

（五）发布预警

灾害发生时，可根据灾害的危害程度适当地发布预警，特别是一些在其他地方已经出现，或在安全相关网站发布了预警而信息网络还没有出现相应的灾害，除了在技术上进行防范以外，还应当向网络信息用户发布预警，直至灾害警报解除。

（六）预案终止

经检测，灾害险情或灾情已消除，或者得到有效控制后，由网络与信息安全领导小组宣布险情或灾情应急期结束，并予以公告，同时预案终止。

第四章 保障措施

灾害应急防治是一项长期的、持续的、跟踪式的、深层次的和各阶段相互联系的工作，是有组织的科学与社会行为，而不是随每次灾害的发生而开始和结束的活动。因此，必须做好应急保障工作。

第八条 人员保障

重视人员保障，确保在灾害发生前的人员值班，灾害处置过程和灾后重建中的人员在岗与战斗力。

第九条 技术保障

重视网络信息技术的建设和升级换代，在灾害发生前确保网络信息系统的强劲与安全，灾害处置过程中和灾后重建中的相关技术支撑。

第十条 物资保障

根据近二年网络信息系统安全防治工作所需经费情况，相应购买应急设施。同时，建立应急物资储备制度，保证应急抢险救灾队伍技术装备的及时更新，以确保灾害应急工作的顺利进行。

第十一条 训练和演练

加强网络信息的防灾、减灾知识的宣传普及与培训，增强审计人员防灾意识和自救互救能力。有针对性地开展应急抢险救灾演练，确保发灾后应急救助手段及时到位和有效。

第五章 附则

第十二条 本预案由局办公室负责解释。

第十三条 本预案自发布之日起施行。

通信企业信息系统安全审计 篇7

一、信息安全管理审计

风险1:缺乏企业管理层的信息安全指导, 企业无法统一管理信息安全问题。

审计方法:1) 获取并查看公司文件, 查看管理层在安全治理上的职责、承诺等内容。2) 访谈公司管理层, 确认公司主要领导是否是信息安全的第一责任人, 了解公司是否成立了独立的信息安全部门, 公司在信息安全治理方面的执行情况, 并获取相关证明材料。

风险2:缺乏业务导向的信息安全风险评估, 公司管理层无法进行有效的信息安全决策的风险。

审计方法:1) 获取并查看公司在业务导向的风险评估、信息安全规划和预算方面的制度和文件。2) 访谈公司领导, 了解风险评估、信息安全规划和预算方面的执行情况, 检查管理层是否对信息安全规划执行情况进行定期审阅, 并取得相关证明材料。

风险3:员工未签署保密协议, 无法在信息安全方面对员工要求和考核的风险。

审计方法:1) 获取并查看公司在员工保密方面的制度和措施。2) 访谈公司管理层并了解是否与员工签订保密条款, 获取并查看公司在安全意识教育方面的计划、执行情况, 并取得相关证明资料。3) 检查离职员工系统账号的清理情况。

二、数据泄露保护审计

风险1:CRM、计费、经营分析、网上营业厅等应用系统在开发环境、测试环境、生产环境方面的控制风险。具体包括:外包人员在不受限或未授权的状态下访问生产测试环境, 进行数据修改或拷贝;测试环境、生产环境信息保护不足, 增加了数据泄漏的风险等。

审计方法:1) 获取并查看开发上线流程授权管理制度和流程;查看公司在应用系统开发环境、测试环境、生产环境方面的管理制度;访谈系统管理员, 了解服务器功能和工作流程。2) 访谈开发环境、测试环境、生产环境负责人, 了解对用户授权、密码策略、日志的管理情况;查看是否包含对开发人员权限管理的控制、开发上线流程所涉及服务器的现有账号的授权审批、密码策略、日志 (登录日志、操作日志) 的管理情况;如开发人员中包括外包人员, 须特别标出并查看;了解日志审阅情况, 并获取相关证明资料。3) 访谈测试环境、生产环境应用负责人, 获取并查看公司的数据安全性分级标准、了解数据导出和查询功能授权标准;了解数据导出和查询功能是否有安全风险评估、上线前是否有功能测试、上线后权限授予审批情况, 并取得相关资料;

风险2:业务支撑系统的测试数据库、生产数据库方面的控制风险。具体包括:环境保护不足, 存在数据库环境未授权修改、数据泄露、数据库停机的风险;关键业务数据未加密存储, 存在数据泄露的风险;操作系统和数据库有漏洞, 存在数据泄露和停止服务的风险等。

审计方法:1) 获取并查看测试数据库、生产数据库管理制度;访谈数据库管理员, 了解数据库的用户访问控制、密码策略、数据库日志 (登录日志、操作日志) 审阅情况;了解数据库用户密码的保存方式是否为明文、是否已修改默认密码。2) 获取并查看公司对业务数据加密的管理规定和要求;访谈应用管理员, 了解业务数据加密情况, 并获取相关证明资料;3) 获取并查看公司在安全性扫描方面的管理制度;访谈相关人员, 了解安全性扫描执行情况;通过扫描生产环境、开发环境和测试环境操作系统和数据库的方式, 测试生产环境、开发环境和测试环境的操作系统和数据库是否存在漏洞;访谈相关人员, 确认未打补丁的漏洞的合理性;

风险3:网络架构及防火墙设置不当等方面的控制风险。包括:网络保护和划分不当, 存在计算机环境被攻击的风险;防火墙控制不当, 存在未授权访问、关键设备保护不当的风险;服务器间传输未加密, 存在数据泄露的风险等。

审计方法:1) 获取并查看公司网络管理制度流程、网络拓扑图;访谈网络管理员, 了解生产服务器是否在独立网段, 此网段是否存在非生产服务器;了解外包人员所在网段是否为独立网段。2) 获取并查看公司防火墙管理制度流程, 获取生产服务器所在网段防火墙访问控制列表;通过在非生产网段个人计算机扫描生产网段IP地址的方式, 测试生产网段向非生产网段开放了那些IP地址和端口, 确认已开放IP地址和端口的合理性。3) 获取并查看公司对应用服务器与数据库服务器间加密传输的管理规定和要求;了解应用服务器与数据库服务器间传输是否加密, 并获取相关证明资料。

三、IP外包管理审计

风险1:软件开发上线流程风险。检查是否存在不规范的软件开发和上线流程, 是否存在代码被恶意更改的风险。

审计方法:1) 获取并查看软件开发和上线相关制度流程。2) 对软件开发和上线流程进行穿行测试, 了解软件开发和上线流程中现有账号是否经过授权审批 (如:源代码服务器、编译服务器、版本服务器等环境中的账号是否经过授权审批) , 并获取相关证明资料。

风险2:应用系统源代码审阅风险, 检查源代码中是否插入了恶意代码等。

审计方法:1) 获取并查看公司对源代码安全性的审阅制度, 如:源代码安全标准, 审阅内容、频度、人员、范围等。2) 访谈相关负责人, 了解源代码审阅情况, 并获取相关资料。

风险3:数据脱敏处理风险, 主要是客户信息通过测试数据泄露的风险。

审计方法:1) 获取并查看公司在非生产环境敏感信息清理方面的制度、敏感信息的定义。2) 对数据脱敏情况进行穿行测试, 实地查看非生产环境的应用系统, 检查非生产环境是否存在未脱敏信息, 尤其需要验证高保密性信息, 如党政军客户信息等。

四、信息系统监控审计

风险1:应用系统、操作系统和数据库监控、网络监控等方面的风险。包括缺少应用和用户行为监控, 无法对用户的恶意行为进行有效监控的风险;缺乏服务器和数据库监控, 无法及时发现服务器和数据库的安全故障, 存在数据泄露和业务系统停止服务的风险;缺乏网络监控, 无法及时发现潜在或实际存在的恶意入侵或网络攻击, 存在数据泄露风险。

审计方法:1) 获取并查看公司对用户行为监控、设备监控、网络监控等方面的制度;访谈监控管理员, 了解监控执行情况、监控日志定期审阅情况;访谈网络管理员, 了解网络检测设备的使用。2) 访谈应用系统管理员, 了解应用系统日志 (登录日志、操作日志) 审阅情况;访谈设备管理员, 了解操作系统和数据库日志 (登录日志、操作日志) 的审阅情况;访谈网络管理员, 了解对网络操作日志的审阅情况。

除以上常见风险点外, 还可以关注未加密的个人计算机、未加密的移动存储介质等, 这些都可能存在数据泄露的风险。还可以对IT外包合同进行检查, 防范外包人员在服务过程中, 发生损害企业信息安全的行为。H

参考文献

[1]中国电信信息系统审计操作指引[M], 2009.

安全审计论文 篇8

【关键词】煤矿；安全生产；责任；审计

为落实安全生产责任制、完善安全生产管理的体制，将安全生产管理落到实处，必要引入安全生产责任审计机制，定期对煤炭企业各种制度措施的落实情况进行规范的审计，以发现和彻底消除安全管理工作中的漏洞和问题，保障煤矿生产的安全运行。

安全生产责任审计是为查明安全生产的状况，与规定标准之间的一致程度，而客观收集和评价相关证据，并把其结果传达给有利害关系的使用者的有组织的过程。煤矿引入安全生产责任审计机制，可以及时发现安全管理中的薄弱环节、遗漏或忽视之处，及时堵塞漏洞，防患于未然，在安全管理中具有预防性、前瞻性的特点，体现了“安全第一，预防为主”的安全生产方针。

一、开展安全生产责任审计

（1）有利于安全法律法规、规章制度的贯彻落实。规范煤炭企业的安全管理，使煤矿安全管理工作有法可依，发现煤矿安全生产中存在堵塞漏洞，促进企业安全生产工作。

（2）有利于安全投入的及时到位和有效实施。为促进企业加大安全投入，可以通过安全生产责任审计，督查企业是否按照国家有关规定，足额提取安全费用；督查安全费用是否真正用于安全投入，是否挪作他用；通过审计，评估安全投入的实效性；通过安全审计，可以统一安全投入统计口径，避免安全投入统计的随意性，保证安全投入的真实性。

（3）有利于激发煤矿企业加强基层安全管理的积极性。通过安全生产责任审计，增强煤矿企业依法办矿、依法治矿的意识；有利于规范煤矿企业安全生产行为；有利于贯彻落实国家安全生产方针。

二、煤矿安全生产責任审计的基本要求

安全生产责任审计是一个新课题，还没有一个标准的模式以及规定的内容，还在实践中探讨。主要有以下几方面的基本要求：

（1）煤矿安全生产责任审计工作的主要内容。要依据《中华人民共和国安全生产法》、《矿山安全法》中关于企业主要负责人必须履行的职责开展审计，如各级管理人员和各岗位的安全生产责任制的制定及贯彻落实情况；安全生产规章制度的建立和实施情况以及实施效果；安全资金是否按国家有关规定足额提取，专款专用；安全配套项目、设施是否按规定计划得到有效落实。

（2）审计的组织实施。煤矿安全生产责任审计要由政府审计机关、安全监督部门和企业内部审计部门负责组织实施。每年组织审计一至两次。

（3）审计结果的分类、管理和奖惩。把被审矿井划分为A、B、C、D4个类别，A类为安全矿井，B类为基本安全矿井，C类为安全较差的矿井，D类为安全不合格的矿井。煤矿安全监察机构按照煤矿安全生产审计报告审定煤矿安全程度的类别，并开展安全监察工作，对存在的问题督促煤矿整改。同时，要对煤矿安全生产责任审计类别实施动态管理。发现煤矿安全生产隐患严重，达不到审计评定类别标准或发生重大事故的，由煤矿安全监察机构予以降级处理。

按照安全生产责任审计结果，国家要制定相应的奖惩政策，设计专项资金，对煤矿企业实施奖惩。通过审计，被评定为A类矿井的建议由地区煤矿安全监察机构，对煤矿及责任者予以重奖；被评定为D类矿井的予以重罚，并责令其停产整顿。

三、煤矿安全生产责任审计工作经常遇到的问题与解决对策措施

（1）煤矿安全生产责任审计，目前还没有统一的标准和规定，操作困难，无章可循。应通过试点，探讨行之有效的办法。安全责任审计具体标准和办法要由国家安全监察机构组织统一制定，安全责任审计应从经济责任审计中脱离出来，形成有独立地位的安全审计部门，保证这项工作具有强制性和可操作性。

（2）在实施中容易发生部分煤炭企业、安全监察人员和审计机构对煤矿安全生产责任审计工作的重要性缺乏认识。一些煤矿对安全生产责任审计工作可能出现不同程度的抵触情绪。所以，要加大对煤炭安全生产责任审计工作重要意义的宣传，各相关部门要从思想上重视安全生产责任审计。对在审计工作中发现的事故隐患和违法违规行为，必须及时下达执法文书。对拒绝接受安全审计的煤矿，必须依法查处。

（3）审计标准把握不严，审计结果失真，就会失去了审计工作的指导作用。因此，必须要严格审计标准，确保煤矿安全生产责任审计的质量。这项工作具有较复杂的技术性和较强的政策性，参加审计的工作人员，一定要以严肃的科学态度，认真负责的精神，强烈的责任感，把握审计工作的权威性、科学性、公正性和针对性；按照审计标准，确保审计质量，对企业及其主要负责人履行安全生产责任的情况做出客观、公正的评价。

开展煤矿安全生产责任审计工作要建立煤炭企业自律机制，合理设置安全生产责任审计的组织机构，正确运用安全生产责任审计的程序和方法，提高安全责任审计人员的素质，建立安全责任审计质量考评机制，确保煤炭企业经济效益的提高，推进企业可持续发展。

参考文献

[1]赵铁锤.建立煤矿安全程度评估制度推进煤矿安全监察工作创新.中国煤炭，2003年

[2]康钟琦.现代审计学原理.上海：立信会计出版社，2004.8

[3]管锦康.现代审计学原理.上海：立信会计出版社，1994.5

[4]中国煤炭经济研究文选编委会：中国煤炭经济研究文选，北京：煤炭工业出版社，2010.5

安全审计论文 篇9

一、背景分析：

随着电信运营商信息网络规模不断地扩大,网络内控安全管理日益成为电信运营商信息建设的重点。它是电信运营商内部信息化应用管理系统的基本保证，只有计算机网络畅通并确保网络安全，才能保障电信运营商利用先进的信息化管理系统来改善内部管理，从而提高了电影运营商的效率、管理水平及竞争力。然而，随着内部信息系统和操作这些系统人员的复杂化，如何实现运营商维护人员安全接入维护网络和内部网络，如何更好保障维护人员对网络内部服务器的权限管理、操作过程的监控及行为审计，成为各大运营商不得不面对的问题。

运营商整体运营网络有三大“网”组成，包括通信网、业务支持网、增值业务网。随着运营商各种业务和经营支撑系统的不断增加，网络规模迅速扩大，原有的由各个系统分散管理用户和访问授权的管理方式造成了在业务管理和安全之间的失衡，已经成为业务发展的瓶颈之一，不能满足企业目前及未来业务发展的要求。目前数据中心安全运维管理的限制和问题如下：

运维管理现状：

1.目前业务支持网、增值业务网是运营商业务运营的重要支撑，运维管理人员日常要对业务支持网中的综合结算系统、计费账务系统、经营分析系统、客户关系管理系统、合作伙伴关系管理系统；增值业务网的系统有智能网系统、短信系统、彩信系统进行运维管理，系统种类多，业务逻辑复杂，运维人员要同时负责多个业务系统的运维管理。2.核心业务系统的关键的核心业务上，应用系统及数据库的密码管理和权限管理工作复杂，部分合规性要求定期修改设备管理密码给运维人员带来不可想象的工作负荷。3.核心业务系统应用的复杂度决定了多角色（系统/数据库/安全/审计管理员/代维厂商等）交叉管理

4.运维人员误配置、误操作无法得到合理的规避和追朔。

运维管理问题：

1.多对多交叉管理，账号共享；

2.多点登陆，分散管理，无法准确的身份认证和授权控制； 3.人为操作风险，责任无法追溯； 4.黑客的攻击和木马的导入等；

5.各种系统和应用的联动互动性不够。

以上问题可以总结为—“操作步骤繁琐，操作行为不可控，操作内容不可知”

运维操作风险：

1.操作行为不可控，加之运维人员的操作不当 2.误操作，可导致关键应用服务 3.违规/恶意操作。导致系统上敏感数据信息泄露或破坏

4.操作内容不可知。当操作事故发生时,无法快速定位操作事故原因,无法对操作事故有效取证和举证

相关安全规范：

1.电信网与互联网安全等级保护

国家公安部和保密局颁布的等级保护技术要求，在确定为第二级指定保护级别（含）以上的信息系统中必须建立并保存个子操作日志，包括网络、主机、数据库、应用。

2.移动通信网安全防护要求

根据电信网和互联网安全防护体系的要求，将移动通信网安全防护内容分为安全风险评估、安全等级保护、灾难备份及恢复等三个部分。

3.萨班斯法案（SOX）

按照该法案404节的规定，在美上市的国外企业必须保证公司管理层建立和维护内部控制系统及相应控制程序充分有效的责任体系，同时提供管理层最近财年对内部控制体系及控制程序有效性的证明及内控机制评价报告，强调企业的信息技术策略和系统中的内部控制，以及对审计过程存档的要求，即企业的内控活动(不论是人还是机器)的操作流程都必须明白地定义并保存相关记录，而后才能实施。

二、帕拉迪解决方案

如何对操作者以及操作行为进行有效和规范管理，是数据中心运维管理的核心。帕拉迪统一安全管理与综合审计系统解决方案通过“事前防范、事中控制、事后审计”的管理思路。从如何降低操作风险的角度出发，以人、操作、技术做为管理核心。

通过帕拉迪统一安全管理与综合审计系统的建设，达到以下效果：

1.为用户提供统一的操作和维护的入口和平台

2.实现对业务支撑系统、DCN网运营管理系统以及操作系统、数据库、网络设备等各种IT资源的帐号、认证、授权和审计的集中控制和管理

3.实现集中化、基于角色的的主从帐号管理，实现角色属性级别的细粒度权限分配和管理

4.实现集中化的身份认证和访问入口

5.实现集中访问授权，基于集中管控安全策略的访问控制和角色的授权管理

6.实现集中安全审计管理，收集、记录用户对业务支撑系统关键重要资源的使用情 7.满足合规性审计及运维管理的要求

三、帕拉迪典型部署

 采用双机热备，保证配置和数据备份，防止单点故障；  不影响任何业务数据流；

 设备的部署采用物理旁路，逻辑网关方式，不更改现有的网络拓扑；  不增加系统和网络性能的负载；  部署方式灵活多样，部署周期短；