网络安全机制

网络安全机制（共12篇）

网络安全机制 篇1

摘要：随着智能移动终端以及移动互联网的飞速发展, 电网企业营销、办公、生产等传统业务范围也在不断向移动终端进行扩展, 如何保证电力企业移动终端远程接入电力信息内网时的信息安全成为电力企业移动信息化过程中亟待解决的问题。本文首先分析企业移动应用的现状, 针对电力企业移动安全接入的业务需求, 以及电力信息安全的特殊要求, 讨论并分析了南方电网移动安全接入平台的安全实现机制。系统从网络传输安全、终端安全、应用安全三个方面入手, 研究并解决移动终端接入过程的信息安全问题;对各种移动终端采取了有针对性的安全策略以提升移动终端安全性, 采用网络隔离和高强度的数据加密/解密接口保证内网的应用的安全。

关键词：移动终端,安全接入,APN,SSL,VPN

引言

目前, 随着移动互联网的发展, 在南方电网公司已经存在一批移动应用, 如移动办公、ITSM、基建作业、营销作业和电力抢修等。但由于各项业务终端和通信网络的不安全性, 为企业内网安全带来了巨大的风险, 主要体现在以下三个方面:

(1) 移动终端自身的安全性问题。由于移动终端接入电力信息内网后可能处于“一机两网”的状态, 即同时连接Internet和电力信息内网, 同时由于移动终端缺乏保护终端数据文件的有效手段, 因此存在电力信息内网敏感信息泄露等安全隐患。

(2) 通信过程中的安全性问题。在移动终端接入电力信息内网的过程中, 以及在接入后数据的传输过程中, 数据传输链路都面临着被攻击干扰、破坏、截获数据、篡改数据等威胁。

(3) 营销终端的访问控制问题。移动终端一经成功接入电力信息内网后就被看作是电力信息内部可信的用户来使用电力信息内网的资源, 一旦终端被挟持, 将会给整个电力信息内网带来不可控制的风险威胁。

因此必须加强企业移动应用的安全保证措施, 才能使个人和企业的数据安全得到保证。

概述

从实践的角度来看, 终端接入企业内网的问题通常涉及三个部分:传输通道的安全、内网应用的安全和终端设备的安全。这三个方面任何一方面出现问题, 都将导致远程接入过程的不安全。而传统的基于APN专网的接入方案都只关注于传输通道的安全, 虽然在某个方面上保证了远程接入的数据传输安全, 但缺乏对整个接入过程的完整保护, 无法保证移动终端在接入内网应用时的安全。

移动安全接入平台从技术的角度出发, 通过对企业应用环境的资产、威胁和脆弱性进行分析, 将整个安全架构在网络传输安全、终端安全、应用安全之上, 以多种技术手段和多重保障机制, 有效地保障企业的网络安全和数据安全。

一、企业移动应用发展现状

4G加速进入生活, 智能手机和平板已经成为我们生活中不可或缺的产品。甚至在工作中, 移动设备也是我们重要的工具和伙伴, 越来越多的人们在工作中使用移动设备。

针对企业员工进行的一项调查数据显示, 62%的员工日常工作中使用智能手机, 56%的员工使用平板电脑。

使用移动设备进行办公已经成为一种全新的工作方式。这种工作方式形式灵活, 不受时间地点限制, 办公效率得到提升, 同时节省了企业的办公成本。

与此同时, 移动设备易携带、易丢失、个人消费应用和企业应用混用等特点, 导致IT支持部门非常担心由此带来的安全风险。这些风险包括:

(1) 数据安全。智能终端易于携带、容易丢失, 会导致敏感商业信息的泄漏, 对数据安全构成极大威胁, 给企业带来法规遵从的风险。此外, 移动终端易被他人非授权使用, 产生拷贝、下载或打印企业内部敏感资料的风险。

(2) 网络安全。由于自携带设备的特殊性, 智能终端经常在不安全网络和企业网络之间来回切换, 因此更容易遭受木马或病毒的侵害, 从而将病毒或木马自动传播至企业网络, 对内部网络安全构成极大威胁。

(3) 应用安全。相当一部分移动设备来自于员工, 而非企业。员工可以任意下载和安装消费类应用, 这极大地降低系统的可靠性, 引入了安全风险, 造成企业数据丢失或设备功能失效。

南方电网为解决移动设备在企业办公中存在的安全问题, 早在2010年就实施了自己的移动安全接入平台, 并建立了《南方电网远程移动安全接入平台技术规范》, 对企业如何进行移动信息化以及移动安全方面做出了积极探索。

二、移动安全接入平台中的安全机制

本文将从网络传输安全、终端安全、应用安全三个方面介绍移动安全接入平台的安全机制。

2.1网络传输安全

网络传输安全通过以下技术手段来保证。

2.1.1 APN技术

APN (Anywhere Private Network) 是解决以动态IP接入Internet的局域网之间的互联, 并以较低成本接入, 以较低通信成本提供较高性能以及可靠的网络专网的计算机网络技术。

在移动安全接入平台中, 移动终端被强制要求通过企业APN来访问系统。终端用户需要经过准入申请和准入审核才可接入网络, 移动终端对企业内网的访问是完全可控的。

2.1.2设备绑定

UDID, 是用于区分设备的GUID唯一编码。由于操作系统厂商的限制, 获取设备物理编码 (IMEI) 变得不可能。因此移动安全接入平台根据一定的编码规则及设备的物理特性为每一台设备生成一个唯一的UDID码, 用于识别移动终端。同时将该编码和特定用户进行绑定。

移动安全平台支持对入网设备的MDN (手机号) 和UDID进行绑定。针对首次入网的设备, 系统将要求用户对该设备进行绑定。绑定是基于向该用户发送认证码短信来进行的, 而用户接收短信的手机号信息来自于平台登录数据库, 而短信的发送完全是由企业管理人员手动操作的。只有经过设备绑定的用户, 才会被系统准入。

一旦设备绑定完成, 该用户的注册账户和该设备的UUID将绑定到一起, 任一信息不符用户都将无法登入平台。从而最大限度地保证设备不被挟持和滥用, 降低资产脆弱性。

此外, 平台可对终端设备进行管理, 如用户的移动终端不慎遗失, 管理人员可通过管理后台的禁止该设备的登录。

2.1.3身份认证

此外, 用户在登录内网应用之前, 需要进行身份认证。平台认证的措施包括用户密码和动态口令。动态口令每次都会随机生成, 客户端不会进行缓存, 并以短信的方式发送到设备所绑定的手机上。

动态口令只在指定时间内有效, 一旦失效只能再次请求新的动态口令。平台管理人员可以指定动态口令的有效时间, 并随时查询动态口令的生成情况及有效状态。

2.1.4信息传输加密

对于在网络中传输的数据, 移动安全接入平台也提供了相应的安全加密措施, 包括客户端与平台之间的各种消息报文、交易信息和表单数据。对于这些高敏感数据, 移动接入平台提供了一种“非对称加密+对称加密”的复合网络传输加密机制。

顾名思义, 对称加密算法, 即加密与解密用的是同一把秘钥;而非对称加密算法, 加密与解密用的是不同的秘钥。

显然, 非对称加密比对称加密有着更高的安全性。因为对于对称加密, 由于加密与解密的秘钥是同一把, 通信的一方必须将秘钥和密文都传递过去, 对方才能解密。而非对称加密则不然, 只需传递密文与用于解密的公钥, 对方即可解密, 用于加密的私钥由己方保留不必传递给对方。目前公认的观点认为:只要钥匙的长度足够长, 使用非对称加密的信息永远不可能被解破。

当然, 由于非对称加密对CPU计算性能的依赖很大, 在使用相同秘钥的情况下, 非对称加密的运算速度比对称密码也要慢许多。此外, 非对称加密长度能够加密的信息的长度往往受限于密钥长度。

因此, 鉴于二者各自的特点, 移动安全接入平台将二者取长补短, 结合起来使用, 极大地保障了移动安全接入平台在网络中的传输的数据安全性和完整性。

2.2终端安全

终端安全技术包括:终端安全检查、代码签名技术、MDM (移动设备管理) 。

2.2.1终端安全检查

终端安全检查是检查终端状态是否合乎安全要求、用户的行为是否合法。移动终端在访问内网资源前, 需要进行安全性检查, 不符合安全检查策略的终端将被禁止访问内网资源。安全检查模块对终端的操作系统版本、系统是否越狱、锁屏密码是否合规、特殊位置的磁盘文件等进行严格检查。

根据检查策略, 系统在处理移动终端接入时会先检查终端是否具备上述一项或者几项特征参数, 依据检查结果判断是否允许该终端与安全接入网关建立连接, 彻底杜绝不健康的移动终端接入内网, 确保移动终端的安全, 从源头杜绝威胁的发生。

2.2.2代码签名技术

代码签名证书为软件开发商提供了一个理想的解决方案, 使得软件开发商能对其软件代码进行数字签名。通过对代码的数字签名来标识软件来源以及软件开发者的真实身份, 保证代码在签名之后不被恶意篡改。使用户在下载已经签名的代码时, 能够有效的验证该代码的可信度。

移动安全接入平台根据不同移动终端所用的平台 (i OS、Android、Windows) 及平台所对应的app商店, 采用不同的技术对app进行代码签名, 从而可让用户确信它来自已知来源, 且自最后一次签名之后未被修改。

2.2.3 MDM移动设备管理

移动安全平台通过MDM进行移动终端的管理。包括:

1) 移动设备访问控制

移动设备本身的访问控制不高, 通常没有安全保护 (如使用简单的滑动锁) 或仅有弱保护 (如使用9点屏幕锁) 。同时, 移动设备很容遗失或被盗。MDM通过锁屏、清除密码、下发策略强制加强密码强度等远程指令来操作设备的访问控制。

2) 数据自毁

通过MDM的“远程擦除”操作, 可以强制销毁移动设备上的所有用户数据。防止用户隐私或企业数据泄露。

3) 应用程序管理

对于“托管”设备, MDM可以检查设备上的应用安装情况, 存储空间大小, 操作系统版本以及是否越狱等状态, 一旦发现设备上安装可疑程序, 即可通过安装在设备上的MDM代理服务终止企业应用程序运行。

2.3应用安全

应用安全包括:应用数据加密、权限控制、企业应用商店。

2.3.1应用数据加密

数据的保密性要求我们对于企业中敏感数据进行必要的加密和访问控制。

移动安全接入对用户敏感数据, 例如用户密码、证书及密钥进行加密处理。此外, 对于缓存在客户端的企业机密数据, 包括移动办公系统中的各种内部文档、组织结构和企业通讯录, 也进行了加密处理。

2.3.2权限控制

对于移动安全接入平台系统来讲, 访问控制主要是基于角色进行访问的控制。基于角色访问控制也是在信息系统中使用比较广泛的访问控制机制。用户在通过了平台的身份认证后, 只能看到相应权限下才能查看数据, 以及使用相应权限才可操作的功能。

2.3.3企业应用商店

南方电网移动安全平台内置企业应用商店, 所有移动应用终端app均在企业应用商店内进行发布, 由企业代替操作系统厂商对应用进行管理。

同时, 对于企业应用商店中的应用, 可通过MDM进行企业应用的无线部署 (OTA) 或直接推送至终端桌面。通过企业应用商店这一有力工具, 无疑将极大地简化应用的安装和升级步骤, 改善用户体验, 并保证了移动应用来源的可靠性和安全性。

三、结论

企业办公移动化必将成为下一轮企业发展的新趋势。于此同时, 企业必将在IT安全和管理方面遭遇新的挑战。南方电网移动安全接入系统是南网信息化建设中的重要组成部分。

南网移动安全平台在分析总结企业移动应用接入现状的基础上, 以保证移动终端接入的安全性为目标, 深入研究了安全接入的关键技术, 从网络传输安全、终端安全、应用安全三个方面入手, 研究并解决移动终端接入过程的信息安全问题, 有效地保障了企业的网络安全和数据安全, 极大地推动南网移动信息化和“六加一”工程的建设, 符合南网“十二五”信息化规划的远景目标, 加快南方电网网内信息资源的整合及信息的规范化、一体化建设。

参考文献

[1钱煜明.BYOD企业移动设备管理技术[J].中兴通讯技术, 2013, 9 (6) .

[2]许丽萍.BYO来袭把握移动安全四大趋势[J].上海信息化, 2013, (6) .

[3]孙强强.BYOD在电力企业中的研究与应用[J].现代计算机, 2013, (4) .

[4]杨宏焱.企业级i OS应用开发实战[M].北京:机械工业出版社, 2013.

[5]杨宏焱.i Phone/i Pad企业移动应用开发秘籍[M].北京:海洋版社, 2013.

网络安全机制 篇2

一、根据国家有关规定，为了降低我司经营风险，提高抵御风险的能力，特建立我司安全风险防范机制。

二、为实现我司安全生产管理目标，促进公司的发展，创造更好的社会效益和经济效益，在大力发展生产的同时，必须坚持“安全第一，预防为主”的安全生产方针，建立和分健全风险防范机制。

三、建立完善安全管理体系

(一)成立“安全生产领导小组”，负责全司的安全生产管理工作。

(二)设置专门安全管理部门，按国家有关规定，配备安全生产管理工作相适应的专职安全管理人员，加强对安全管理人员的教育培训与考核，提高素质和管理水平。

(三)制定安全生产条例和安全生产职责，明确安全生产职责，和各级管理人员签订安全生产责任书，层层落实安全生产责任。

(四)建立完善的船舶管理制度，加强对船舶的管理，建立健全船舶技术档案，严格执行“预防为主，强制维护”的规定，定期对船舶进行各级维护，严格执行管理规定。

(五)建立完善的船员管理制度，加强对船员的安全和技术的教育培训，提高船员的安全意识和技能，加强对船员的安全和业务知识的教育培训，提高船员对应急及突发时间的处理能力。

(六)完善管理，加强与员工之间的沟通和了解，及时掌握员工的动态，收集和反馈各种安全信息，并及时处理，消除安全隐患。

(七)制定安全事故应急处理预案和事故处理规定，保障安全事故处理及时、有序和高效地进行，有效地防各种安全事故的发生，最大限度地降低事故造成的损失。(八)建立事故责任追究制，按照事故“四不放过”的原则，严肃追究相关责任人责任，使相关责任人得到教育，并督促其认真履行职责，共同做好安全工作。(九)制定监督检查制度，对重点部位、人员进行重点检查，并及时纠正不安全因素，限期整改事故隐患。

网络安全机制 篇3

一手抓打假治劣一手抓诚信建设

榆林市药品监督管理局成立于2001年8月，负责对全市药品、医疗器械的研究、生产、流通、使用进行行政监督和技术监督：2006年3月，在原药品监督管理局的基础上又组建成立食品药品监督管理局，负责对食品、保健品、化妆品安全管理的综合监督、组织协调和依法组织对全市重大安全事故进行查处。几年来，榆林市食品药品监管工作坚持以人为本，努力营造尊重知识、崇尚科学的氛围，极大地激发了全市药监工作者的工作积极性。

榆林市食品药品监督管理局成立以来，突出监督执法的中心地位，每年结合工作实际，制定药械市场专项整治实施方案，对整治工作进行全面部署。将日常监管与专项整治相结合，严厉打击各种制售假劣药械违法活动。每年在全系统组织一次交叉执法大检查活动，由市、县稽查人员组成工作组，交叉对各县进行综合执法行动，查源截流，始终保持严查重罚的高压态势，收效明显。在搞好专项整治的同时，市食品药品监督管理局注重长效监管机制建设，在全市所有通过GSP(药品经营企业质量管理规范)认证的零售药店实施安全信用等级评定，建立起包括登记注册信息、许可内容、质量认证、监督检查、企业服务承诺、违法违规行为查处等内容的企业诚信档案；对医疗器械的日常监管中，采取“嵌入式”监督、“零距离”管理理念，在着力提高医疗器械生产、经营、使用单位管理人员守法自律、诚信经营意识的基础上，对涉械单位管理的各个环节“渗入”制度因素和监督措施，形成法律规范、制度防范的监管态势。一手抓打假治劣，一手抓诚信建设，为全市人民用药安全有效提供坚强保障的同时，促进了医药经济的快速发展，全市药品经营企业从2001年的1 36家发展到了现在的594家。8年来，全市累计出动监督检查人员60186人次，检查药品生产、经营、使用单位23491家次，立案查处11357件，捣毁制假售假窝点80多个，取缔非法药品经营户100多家，没收假劣药械7971余种，标值107.11万元，罚款677.13万元。

心系食品药品安全开展各项安全整治

为使占全市80％以上的农村人口吃上放心药，榆林市食品药品监督管理局从2002年初开始，就以佳县为试点，着手构建县、乡、村三级药品监管体系，并以改制后的药材公司为龙头，建立起自上而下的供应网络，自此拉开全省农村药品两网建设的大幕。为推动两网建设向纵深发展，榆林市食品药品监督管理局按照“典型引路、示范促进、分步实施、注重实效”的原则，在全市范围内开展创建“两网”建设示范带工作。目前，各分局在辖区内建立“两网”建设示范带14条，全市农村药品监管网和供应网的村级覆盖率已分别达到100％和95％，药品抽检合格率逐年上升，2008年达到95.5‰为提升两网的监管效能，全系统加强了对“两员”(农村药品协管员、信息员)的培训力度，使“两员”的“哨所”和“耳目”作用得到充分发挥，由药品监管网提供的案件约占农村药品案件总数的12％。

作为食品安全工作的牵头部门，榆林市食品药品监督管理局充分发挥好政府食品安全“抓手”作用，深入开展各项食品安全专项整治，建立健全了食品安全工作制度和机制，初步建立起“全市统一领导，地方政府负责，部门指导协调，各方联合行动”的食品安全工作机制。每年初，市食安委办(设在市食品药品监督管理局)根据全市实际，制订下发《食品安全专项整治方案》，将任务分解到各成员部门，进一步夯实了部门监管责任。食品放心工程实施以来，全市共出动执法检查人员80000人次，检查食品生产、加工、经营企业82273家，查处违法行为7854起，取缔非法经营户2099家。为有效预防、积极应对、及时控制重大食品安全事故，市食安委办建立健全了应对重大食品安全事故的救助体系和运行机制，并在定边县成功举行了榆林市Ⅲ级重大食品安全事故应急救援演习演练，提高了各成员部门在发生重大食品安全事故后的应急处置能力。2003年，榆林市食品药品监督管理局以实施食品放心工程为契机，提出了“农村食品药品监管一体化”工作思路，目前，一张由政府指挥、食药监牵头、部门协作的农村食品安全“三网”初步形成，据统计，全市监管责任网覆盖率达100％，社会监督网覆盖率达99％，现代流通网覆盖率达20.5％。

清醒认识肩负使命全面正确履行职能

过去8年，榆林市食品药品监督管理局经受了各种考验，在复杂的形势面前，始终保持正确的方向，根据党的要求和人民的愿望，树立科学监管理念，团结奋进，积极进取，改革创新；时刻清醒认识肩负的使命，全面正确履行职能，最大限度整顿和规范食品药品市场秩序，坚决打击生产和销售假劣药品违法行为，保障了榆林人民的用药安全，构建了食品安全监管机制，较好完成了各项任务。

网络数据库安全机制研究 篇4

网络数据库应用系统是结合网络技术及数据库技术而开发的一种新型的用于处理各类信息的系统。网络数据库的安全性直接影响了数据传输及处理的结果和效果。网络数据库是一个开放式的信息存储和处理平台, 不管是局域网或是广域网, 其都会因来自自然或人为等方面的威胁而产生安全问题。针对网络数据库的安全问题, 相关业内人士不断深入研究, 制定了一整套的网络数据库存安全机制, 以期提高网络数据库的安全性, 保证信息传输的统一性和完整性, 充分发挥网络数据库应有的作用。

2 网络数据库安全机制概述

2.1 网络数据库安全机制的概念

网络数据库是基于后台数据库, 结合前台程序的访问控制功能, 利用浏览器实现数据的存储、查询等功能的信息集合。在网络的基础上, 数据库最大的特征便是可实现大量数据信息的共享, 同时使数据的统一性和完整性得以保持, 以控制数据冗余度及访问量[1]。网络数据安全机制即指对网络数据库所做的安全系统, 以保证网络数据库的安全及系统流畅运行。

2.2 网络数据库的模式

网络数据库的模式主要有两种:B/S模式和C/S模式。C/S模式主要包括客户端应用程序 (Client) 、服务器管理程序 (Server) 及网络 (Network) 三层结构。客户端应用程序主要用于实现数据在系统与用户间的交互, 其主要负责事务的处理及显示逻辑;服务器管理程序主要用于管理资源, 当多个用户同时请求使用同一资源时, 对资源实现最优化管理。网络是用于连接客户端应用程序与服务器管理程序的, 起中间桥梁作用, 协同完成数据查询、数据处理、数据管理等任务, 以满足用户需求。结合WWW技术, 将客户/服务器模式进一步演化后便得到B/S模式。B/S模式主要包括Web服务器、浏览器及数据库服务器三层结构。通过浏览器的交互功能连接系统与用户, 用户输入信息之后交由Web服务器进行处理并将处理结果返回给浏览器, 供用户使用。若用户有数据存储需求, 则Web服务器还需结合数据库服务实施数据存储操作。数据库服务器通过对不同Web服务器发出各种数据处理请求进行协调以实现对数据库的管理。

2.3 网络数据库的安全机制模型

B/S与C/S存在很多共同点, 如都为网络模式, 都涉及到系统软件及应用软件等。为使整个网络数据库安全机制更加清晰, 通过分析B/S及C/S模式的共同点及特点之后, 可得到一个完整的网络数据库安全机制模型, 如图1所示。从图中可以看出, 每一层结构都对应着一套独立的安全机制, 且每一层结构都有对别层结构产生制约的机制, 这使得每一层结构在完成自身任务的同时又可对别层的机制产生制约作用, 层与层之间存在着密切的联系, 从而构成一套完整的网络数据库安全机制。此外, 分层式的安全机制模式使得系统的安全结构非常清晰, 在实际应用当中可根据不同的需求来选择不同的工程, 以提高系统任务处理的针对性和目的性。

3 网络数据库各层的安全机制

3.1 网络系统的安全机制

网络数据库安全机制的最主要机制是网络系统安全机制。网络系统安全是网络数据库安全的第一道屏障, 外部入侵的首要攻击对象就是网络系统。网络入侵的主要目的是破坏网络数据库信息系统的完整性、机密性及任何可信任的网络活动, 现网络安全存在的主要威胁有身份窃取、数据窃取、错误路由、数据流分析等[2]。防止网络系统被侵入的安全技术有很多, 其主要包括防火墙技术、入侵检测技术及协作式入侵监测技术等。

防火墙技术是为保护网络安全而使用的一种最为广泛的防范技术。防火墙是网络系统的第一道防线, 其主要用于对可信任网络及不可信任网络之间的访问通道进行监督和控制, 在内部网和外部网之间构建一道保护屏障, 以拦截外部网的非法访问, 同时防止内部信息泄露, 但是其无法拦截自内部网产生的非法操作。

入侵检测是近些年来迅速发展的一种新型安全技术, 入侵检测综合使用了各类先进的技术和方法, 包括统计技术、网络通信技术、人工智能、推理、规则方法、密码学等, 其主要用于对网络系统是否存在被滥用或被入侵的征兆进行监督和控制。检测入侵思想于1987年由Derothy Denning提出, 在多年的发展过程当中, 入侵检测技术不断完善, 并被列为对攻击进行监督和识别的标准解决方案, 现入侵检测已成为网络安全防御的重要组成部分。

协作式入侵监测技术有效弥补了单独使用入侵监测系统的不足, 协作式入侵监测技术是一个具完整性和统一性的入侵监测体系, 参与协作的各入侵监测组件之间有着很好的互动性, 其会自动交换入侵信息, 通过信息的交换可有效监测网络入侵行为, 且这种技术可广泛应用于各网络安全环境当中。

3.2 服务器操作系统的安全机制

服务器操作系统为网络数据库系统的运行提供了平台, 也为网络数据库提供了一定的安全保障。现使用较多的服务器操作系统主要有Windows NT、Unix, 其安全级别通常为C1、C2。服务器操作系统的安全技术主要包括安全策略、安全管理策略及数据安全等。安全策略主要用于对本地计算机的安全设置进行配置, 包括账户安全、密码安全、IP地址安全、审核安全、加密数据安全及用户权限安全等方面, 具体来说就是用户的账户、口令、访问权限、审计等。

安全管理策略主要是指网络管理员为维护网络系统安全而采取的一系列安全管理方法和策略。网络环境和操作系统的不同, 网络管理员会采取不同的安全管理方法和策略。但总体而言, 安全管理策略的目的主要还是保护服务器的安全并做好各类用户权限的分配工作。服务器操作系统的数据安全具体体现在数据备份、数据加密、数据传输安全及数据存储安全等方面。用于保护服务器操作系统数据安全的技术有很多, 如Kerberos认证、TLS、VPN (PPTP、L2TP) 、SSL、IPSec等。

3.3 数据库管理系统的安全机制

基于网络操作系统, 网络数据库系统通常是以文件形式来管理网络的, 因此, 网络操作系统的安全直接影响了网络数据库的管理, 入侵者可从网络操作系统着手, 利用网络操作系统的漏洞来窃取网络数据库文件, 或是对数据库文件内容进行篡改或伪造[3]。一般网络数据库用户很难发现这类网络安全隐患, 因为此类安全隐患的分析和解决通常会被归为B2级数据安全技术措施。数据库管理系统的安全机制则主要是为了解决这类安全隐患而设立的。在解决这类安全隐患的过程当中, 系统会先寻找安全隐患的入侵途径, 若前两个层次的安全机制已被突破, 数据库管理系统的安全机制则会发挥其作用保护数据库的数据安全。这就要求数据库管理系统必须拥有一套完整而强有力的安全管理机制。数据库管理系统的安全技术主要包括视图、审计跟踪、存储权限、触发器、数据加密、数据备份和恢复等。

视图机制主要用于隐藏用户的私密数据, 防止数据外泄, 这在一定程度上为数据库的数据安全提供了保障;存储权限是指不同的用户针对其隐私数据拥有一定的公开及隐藏权限, 此外还有操作权限;数据加密主要是用于保护数据在被使用或是进行传递的过程当中不被修改或窃取, 从而达到保护数据完整性和统一性的目的;数据备份和恢复是指在数据库系统出现故障时, 其能将数据库系统还原至故障前状态;审计跟踪简单来说就是给数据库做一本日志, 数据的修改、删除、更新等都可通过审计跟踪进行查询, 使数据的各种活动状态都有证可循。

3.4 客户端应用程序的安全机制

客户端应用程序的安全机制是整个网络数据库安全机制当中最简单也最实用的安全机制。相比于其他层次的数据库, 客户端数据库具很强的独立性, 其可在不受外界干扰与支配的前提下发挥数据库安全机制的作用, 并且其还可随时进行更改。客户端应用程序可控制用户登录的合法性、身份验证等, 其还可直接设置和管理自身数据库的数据。加强控制和管理客户端应用程序可有效保障客户端应用程序的安全。此外, 客户端应用程序具很强的灵活性, 其可自行更改数据库数据, 同时可使用多种技术对客户端安全进行灵活管理, 同时结合在COM+组件基础上开发的用户身份鉴定技术可使客户端安全得到有效的控制和管理[4]。

4 利用DBMS安全机制防范网络攻击

4.1 认证与授权

认证是对请求服务的人或应用程序进行验证的过程;授权是指将已通过身份认证的人或应用程序映射至已授予许可的数据库用户的过程, 此过程限制了用户行为需在数据库允许内发生。认证主要是解决身份问题;而授权主要是解决行为问题。认证和授权技术主要有用户标志与鉴别、存储控制等。

4.2 备份与恢复

当系统出现故障时, 通过数据备份及恢复, 网络管理员可迅速恢复数据库的原有状态, 保证数据的完整和统一。数据库备份方法主要有静态备份、动态备份及逻辑备份等;数据库恢复方法主要有磁盘镜像、数据库备份文件、数据库在线日志等。

4.3 审计

利用审计可将用户数据库的所有活动记录下来并存放至审计日志当中, 如此一来, 数据库系统就可根据审计跟踪来查询数据库的现有状况及各数据的活动状况等, 从而将从事非法存取数据的人、时间及内容等找出来, 这样一方面方便网络管理员追查非法存取数据的相关责任, 另一方面也有助于网络管理员及时发现系统安全漏洞及弱点, 并及时修正, 以进一步提高网络数据库的安全性, 保证数据的统一性和完整性。

5 结语

网络数据库安全问题是一个具强综合性和系统性的问题, 在设计网络数据库安全机制的过程中, 不仅要考虑每一个结构层的安全机制, 而且还要注意层与层之间的紧密联系, 做到层层设防且保证设防不矛盾。随着计算机技术及网络技术的不断发展, 网络数据库的安全问题也会成为一个不断发展的问题, 而且伴随入侵者入侵手段及技术的不断提高, 相关的安全技术也应不断提高。只有不断对新问题、新情况进行研究和处理, 网络数据库的安全性才能得到不断提高。

摘要：随着计算机技术及互联网技术的快速发展, 人们逐渐进入现代化信息时代。利用各种现代化信息手段, 人们的工作及生活都变得更加便利。但同时, 也有不法分子利用网络的便利性不断进行网络安全攻击, 使网络数据库安全受到威胁, 信息的传输及处理受到影响, 为此就需制定一套完善的网络数据库安全机制以保证网络数据库的安全性。文章简单概述了网络数据库安全机制的基本概念、网络数据库的模式及其安全机制模型, 分析了网络数据库各层的安全机制, 并讨论了利用DBMS安全机制来防范网络攻击问题, 旨在为提高网络数据库的安全性提供若干建议。

关键词：网络数据库存,安全机制,操作系统

参考文献

[1]孙宏志, 任丽妍.网络数据库安全机制研究[J].信息系统工程, 2015 (06) :58.

[2]嵇可可.认证技术下网络数据库安全机制研究应用分析[J].硅谷, 2012 (16) :106-107.

[3]张萍.计算机网络数据库的安全机制问题初探[J].信息与电脑 (理论版) , 2014 (06) :99-100.

三级安全预警机制 篇5

三级安全预警机制

为了提高一线执法工作的预警能力，增强执法工作的主动性、前瞻性，有效避免执法过错，政府红、黄牌警告，媒体曝光和恶性暴力抗法及群体性抗法事件的发生，及时处置各类突发事件，最大限度地减少财产损失和保障人民生命安全，确保地铁优质、高效、安全运营，深圳市地铁三号线运营管理执法大队（以下简称执法大队）结合地铁运管执法工作实际，构建预警信息平台，制定三级安全预警机制。

第一章

预警的概念、信号及模式 一、三级安全预警机制的概念

三级安全预警机制是执法大队根据地铁运管执法工作的实际设定若干项考核指标，针对各部门的工作状态以及地铁安保区、车站及各出入口等现场情况以及公司内保、安检等各项工作进行考评，并根据考评结果对各部门发布相应的三级预警信号，有效指导各部门及时调整工作重点，进一步强化执法工作的动态管理。

二、预警信号

预警信号分为绿色、黄色和红色三个等级。绿色表示工作形势平稳，工作状态正常，工作不需作大的调整，完成各项工作任务压力不大；黄色表示工作形势趋于严峻，完成各项工作任务有一定困难，地铁安保区、车站及各出入口以及

公司内保、安检等各项工作存在安全隐患，有关工作措施和重点应作相应调整。红色表示工作形势严峻，完成各项工作任务困难较大，地铁安保区、车站及各出入口以安全等级低，需要进一步调整工作重点，加大工作力度，集中力量解决工作中存在的突出问题，该部门要给予高度的关注和重视。

三、预警模式

执法大队三级安全预警机制分为先预警后考核、先考核后预警两种模式。

1、先预警后考核模式。先预警后考核是根据自然灾害、大客流冲击、大型公共事件等不可抗力因素引起的预警模式。执法大队先根据气象指标、大客流冲击及大型公共事件等具体情况实时发布黄色或红色预警信号，再依据《三级安全预警月度考核量化标准》的各项指标对各部门进行综合考评。

（1）自然灾害预警信号的发布

气象灾害预警信号分为台风、暴雨、高温、寒冷、大雾、灰霾、大风、冰雹、雷电、干旱、火险等十一类。按照灾害的严重性和紧急程度，预警信号总体上分为四级，分别代表一般、较重、严重和特别严重，依次用蓝色、黄色、橙色和红色标识。气象台发布红色和橙色预警信号时，执法大队发布红色预警信号；气象台发布黄色和蓝色预警信号时，执法大队发布黄色预警信号。

（2）大客流冲击及大型公共事件预警信号的发布 遇春节、国庆等国家法定节假日的大客流冲击以及辖区内举办如大运会、广交会等大型公共活动时，执法大队根据具体的情况，直接将大队或者某部门、中队在一定时间内的预警信号定为黄色或红色；发生地震、火灾、爆炸、塌方、大面积停电等严重影响地铁运营的事件或者恐怖袭击等大型公共事件时，大队直接发布红色预警信号。中队辖区内发生一般暴力抗法事件的，发布黄色预警信号；发生恶性暴力抗法事件的，发布红色预警信号；发生集体上访、聚众闹事等事件的，发布红色预警信号。

2、先考核后预警模式。先考核后预警适用于先预警后考核模式以外的其他所有情况，一般每月进行一次。该模式主要是针对地铁安保区、车站及各出入口的管理、公司内保、安检等各项日常工作，由执法大队根据《三级安全预警月度考核量化标准》（详见附件1）对各部门进行综合考评，并通过发布绿色、黄色、和红色三级信号来预警，及时警示各部门调整工作重心，解决存在问题，有效指导其下一步工作。

第二章 预警实施

一、信息汇总

案审督察部负责收集各部门月度工作信息。信息来源主要有上级委托机关及大队领导检查的情况、督察部门督察的情况、通过视频监控系统抽查的情况以及其他信息来源。案

审督察部根据收集的信息完成《三级安全预警月度考核评估表》（附件2），并于每月最后一周的周五提交大队领导。

二、考核评分

三级安全预警的考评总分为100分，依据考核指标进行评分，得分在85-100分（含85分）的为最低级别的预警，信号色是绿色；得分在85分-70分（含70分）的为第二个等级的预警，信号色是黄色；得分在70分以下的为最高级别的预警信号，信号色为红色。

三、结果审定

大队领导审定评估报告并签署意见确定预警信号，下发《预警通知书》（附件3）至各部门。

四、结果公示

在各部门的办公室或值班室的指定位置悬挂代表三级预警的信号牌，同时将《三级安全预警月度考核评估表》在综合楼6楼执法大队政务公示栏进行公示。

第三章 预警执行

受到黄色预警的部门必须召开专题工作会议，深刻分析原因，研究对策，采取有效措施，重点解决工作中存在的问题，并书面向大队领导汇报。

受到红色预警的部门，除执行以上措施外，部门需制定切实可行的整改方案，同时由督察人员进行督办并加强检查，直至整改完毕。

第四章 奖惩办法

为切实贯彻落实三级安全预警机制的相关要求，实行三级安全预警与公司绩效考核挂钩的奖惩办法。

连续三个月受到绿色预警的部门，季度绩效考核每人加2分；连续六个月受到绿色预警的部门，绩效考核每人加3分，并以执法大队名义颁发“先进集体”奖牌作为奖励。在先预警后考核模式下，本月受到黄色或者红色预警的部门，次月考核受到同等级别或者更高级别预警的部门，季度和绩效考核每次每人扣3分。在先考核后预警模式下，连续两个月受到黄色或者更高级别预警的部门，季度绩效考核每人扣3分，绩效考核每人扣2分；受到红色预警的部门，季度绩效考核每人扣3分，绩效考核每人扣2分。

附件1：《执法大队三级安全预警月度考核量化标准》 附件2: 《三级安全预警月度考核评估表》 附件3：《预警通知书》

附件3

预 警 通 知 书

部：

根据《三级安全预警机制》的规定，依据相关考核指标综合评估，本月考核得分为 分，预警信号为 色。

请依据考核指标及得分情况，深刻分析原因，采取有效措施，做好车站、安保区的安全预防工作，切实保障地铁优质、高效、安全运营。

网络安全机制 篇6

摘要：国家电网公司作为世界500强企业之一，在我国国民经济和社会发展中具有举足轻重的作用，在实现“一强三优”企业战略目标过程中，安全生产是国家电网企业各项工作的基石，也是国家电网公司的生命线。如何将各项安全规程制度落到实处也成为公司上下努力思考和探索的工作重心。在这一背景下，国网威远县供电分公司安全巡查大队于2013年3月份便应运而生，成为确保威远公司生产安全的关键保障力量。

关键词：安全;监督;保障;机制建设

中图分类号：F2733 文献标识码：A 文章编号：1007-0079（2014）32-0181-02

一、安全巡查大队组建背景

1.2013年公司面临的生产任务相当繁重，生产安全面临重大风险

（1）国网威远县供电分公司（以下简称“威远公司”）基本情况。威远公司位于四川南部，为国网内江供电公司所属分公司，紧临自贡和眉山市，供区面积1289平方公里，山区面积占比达78%，供区日最大负荷为36万kW，年售电量达21.93亿千瓦时。拥有变电站14座，35kV及以上输电线路27条/318.9km;城市配电线路12条/48.416km;配电变压器381台139.82MVA;10kV农网线路36条/1327.53km;0.4kV及以下农村低压线路11605.988km，农网变压器2217台容量261.954MVA。因此，威远公司配网及设备安全运行维护检修工作任务繁重，仅农网47条线路而言，已经多年未进行过彻底的检修工作，2012年跳闸次数多达365次之多，个别线路高达36次。

（2）各项工程项目工程量情况。2013年，威远公司需要实施的大修技改及农网工程资金量达8500余万元，涉及项目254个;集体企业每年承接的工程项目达几十项。

（3）施工检修力量多，日开工计划点多，不安全的因素复杂，安全风险大。2013年，威远公司辖区内实施农网工程和外委工程项目的劳务分包队伍达4支12个施工组共180余人，供电所和检修队从事线路登检工作员工和临时工多达150余人，加上主业大修和集体企业外委工程项目，日计划开工项目极值达20个之多。

2.威远公司安全巡查大队组建前安全生产状况

毫不讳言，2012年威远公司安全状况可以用“如走钢丝般惊险连连”来形容，让人寝食难安，一路跌跌撞撞走过来。全公司生产班组、供电所及检修队、工程施工队施工和检修现场点多面广，施工作业人员素质技能水平参差不齐。现场作业人员安全意识淡薄，视制度如束缚，安全侥幸心理极强;习惯性违章不断，屡禁不止，未遂或轻伤偶有发生;安全学习动力不足，现场作业人员参加公司组织的安全培训积极性较差，常常是人到心不到，现场“三措一案”和“兩票一书”也常常是针对性不强，执行较差。劳务承包队伍为实现利益最大化，在安全施工工器具方面投入不足，不按规定期限试验，在这方面安全管理常常显得束手无策。

3.“三集五大”后安全保障机制运行情况

事实上，按照“三集五大”后现有安全监督保障体系，公司领导、安全运维部安全质量管理专责、集体企业安全管理员和农电科安全管理专责分别作为公司主业、农电工程检修运维及集体企业工程安全监督保障力量。客观而言，“三集五大”后监督力量分散，监督力量无法进行有效整合，每天到岗到位率有限，在监督过程中对发现的违章问题往往也是“下不为例”现象居多。

二、工作思路和方法

在深入分析威远公司2012年安全风险点的基础上，发现威远公司安全风险主要集中以下几个方面：一是现场分散，点多面广;二是监督力量分散，无法形成合力;三是监督力度不够，监督效果差;四是制度大而全，具体落实差;五是安全培训针对性不强，培训片面追求面面俱到;六是安全工器具配置更新补充不及时，对施工队伍安全工器具安全状况无能为力，从而导致威远公司安全生产面临极大风险。威远公司领导班子经过认真分析后，认为只有坚定决心组建自己的安全巡查大队，整合安全监督力量，才能真正实现从“被动局面”到“主动局面”，将安全监督保证体系和安全制度真正落到实处。

三、具体实践过程

由于“三集五大”县级机构体系中无专门的安监部门，只在安全运维部设立了安全质量管理专责，因此，仅依靠一个专责要完成如此众多的生产检修施工现场的安全监督保障工作，绝对无法将公司安全监督工作落到实处。

1.组建安全巡查大队

2013年3月，威远公司正式组建县公司安全巡查大队，机构挂靠集体企业，班组建制，隶属安全运维部管辖，选拔了5名责任心强、技术素质过硬的员工担任巡查队员，负责全公司主业、农电、集体企业的生产检修施工现场安全巡查工作。

2.组织针对性安全培训工作

在2013年全面实施检修和施工工作前，由安全巡查大队配合公司安全运维部、农电科、集体企业安全专责对生产班组、供电所检修队、施工队伍分别进行了技术资质审核、安全规程、两票一书等针对性专题培训，提高施工作业人员安全意识，增进了员工对规程制度的了解。

3.制订反违章处罚实施细则

公司根据日常常见的违章细节，重新制订了反违章处罚实施细则，对最易出现最易导致安全事故的违章现象进行分级处罚。同时，除对违章个人进行直接处罚外，还将处罚金额折分后对公司各部门及集体企业班组进行绩效考核，对公司、集体企业、施工单位和个人折分累计达12分者，进行安全警示学习;对施工单位累计达40分者纳入安装市场准入黑名单。

4.定期下发安全巡查通报

安全巡查大队每周对巡查情况进行通报，并对公司主业各部门、农电及集体企业、施工队伍作业计划数、实际开工数、现场巡查数和项目巡查率进行统计通报，既有利于对现场违章及处罚情况进行掌握，又对安全巡查大队巡查到位情况进行监督。

5.设立公司安全警示室

公司专门设立安全警示室，安全巡查大队根据巡查中发现的共性违章问题组织专题培训，对累计扣分达12 分的个人和施工单位进行警示培训。

四、实践效果及建议

自3月9日安全巡查大队组建以來，威远公司安全风险基本处于可控范围，总体感觉心里更加有底气。实践效果主要表现在以下几个方面：

1.安全监督巡查到位率大幅提高，安全巡查工作常态化

从3月9日到12月22日，公司安全巡查大队已巡查现场857处，查处违章208起，处罚金额达40700元，安全巡查到位率达75%，下发安全巡查通报36期，安全巡查工作已实现常态化。

2.现场违章次数大幅减少，严重违章现象明显降低

从下图可以看出，威远公司现场违章密度为62%，到近期违章密度为3.60%（见下图），违章次数和违章现象明显减少。安全巡查大队通过铁面无私的监督，加大作业人员现场违章的成本，促使其“不敢”违章，从而使遵章守纪逐步成为一种“习惯”。

3.外委施工队伍安全工器具配置和参加安全培训的主动性大大增强

过去，外委施工队伍为追求利益最大化，根本不重视安全工器具的配置补充与更新，不合格工器具和试验过期工器具照常使用，原安全监督人员在督促施工队伍配置合格工器具方面常常无能为力。2013年，经过安全巡查大队强化安全巡查、加大监督处罚力度后，过去处于观望的施工队伍主动更新补充试验安全施工工器具，主动要求安全巡查大队为其施工管理技术和作业人员进行安全培训，主动组织施工作业人员参加安全巡查大队的安全警示教育。

4.截止目前公司实现安全生产零事故目标

威远公司自2013年3月19日开始完成31条10kV线路设备的全面检修工作，完成农网工程项目共254个（价值8500万元）、主业变电站大修技改项目和集体企业外委工程，累计实施检修施工项目达78个，没有发生一次安全事故，实现了公司全年安全生产零事故目标。

从前期安全巡查大队的运行来看，尽管取得了非常明显的效果，但也出现了诸如监督疲劳、队员技术不全面等问题。因此，建议采取以下措施加强安全巡查工作：一是建立安全巡查大队巡查到位评价考核机制，进一步提高巡查到位率;二是落实安全巡查专项经费，加强对巡查队员的激励机制;三是完善“三集五大”体系建设中安全巡查监督体系，增设专门的安全巡查机构，凸显安全巡查工作的重要性;四是加大对安全巡查队员自身的安全培训，提高其履职能力。

网络安全机制 篇7

1 无线网络的安全隐患

1.1 不易管理

无线网络安全保护面临两个主要问题。第一, 市面上无线安全保护标准和方案太多, 无法进行优劣选择;第二, 如何避免网络遭到入侵。无线网络具有接入方便的特点, 因此不能采用部署防火墙硬件安全设备来构建安全机制。

1.2 易被发现, 易受攻击

无线网络非常容易被发现, 更容易受到攻击。入侵者可以通过高灵敏度天线对网络发起攻击, 不需要任何物理方式, 因为任何人的计算机都可以通过购买AP连入网络。很多部门没有通过IT公司授权就建立无线局域网, 用户通过非法AP接入, 给无线局域网安全带来很大隐患。另外, 大部分无线都没有采取安全措施。

2 无线网络安全的基本技术分析

2.1 扩频技术

扩频是将低能量在频率中发送, 常用的扩频传输是跳频扩频和直序扩频。无线电波将无线信号按顺序发到每一个通道, 停留固定时间, 并且覆盖所有通道。使用不同跳频图案、通道数量和驻留时间可以保护无线网络的数据安全。

2.2 MAC过滤

每个无线网卡都有一个独特的地址, 也就是物理地址 (MAC地址) , 该地址是出厂设置, 无法修改, 因此可以在AP内部建立“MAC地址控制表”, 只有在表中的MAC才是可以合法接入的无线网卡, 手工维护一组允许访问的介质访问控制 (MAC) 地址列表, 不在其中的将会被拒绝连接, 从而实现物理地址过滤。这要求AP中MAC地址列表随时更新, 因此可扩展性较差, 无法实现不同AP之间的漫游。另外, MAC地址可以伪造, 因此, 这种方法是较低级别的授权认证。在链路层采用RC4对称加密技术, 保证用户密钥和AP密钥相同, 从而防止非授权用户监听和访问。虽然WEP (无线应用协议) 提供了64位和128位长度的密钥机制, 但是, 一个服务区的所有用户共享一个密钥, 只要一个用户丢失密钥, 则整个网络都变得不安全。另外WEP被发现有安全缺陷, 能在几个小时被破解。

2.3 VPN技术 (虚拟专用网络)

VPN是目前最安全的解决方案, 指在一个公共IP网络平台上, 通过加密技术和隧道保证专用数据的安全, 阻止黑客截取信息。VPN不属于802.11标准, 用户可以借助VPN抵抗无线网络的不安全因素, 同时提供基于Radius用户认证、计费。

2.4 DSL技术 (动态安全链路)

该技术采取128密钥, 且动态分配。采用动态安全链路技术时, DSL针对每一个会话都会自动生成一把钥匙, 用户请求访问网络时, 需要进行口令认证, 只有认证通过, 才能连接到无线网络。需要注意的是DSL与WEP2不同, WEP2的钥匙是手工输入, DSL则是动态分配, 即使在一个会话期间, 每256个数据包, 就会自动改变一次。

3 无线网络安全技术的改进措施

随着笔记本电脑的普及, 无线网卡成了标准配置, 通过组建无线网络来进行网络访问成为一个趋势, 无线网络的安全越来越受到关注。通常情况下, 保护无线网络安全可以通过身份认证与访问控制、安全内核和入侵检测技术两方面来进行改进。

3.1 身份认证与访问控制

无线网络的认证可以是基于设备的, 也可以是基于用户的。无线网中常采用的认证方式有:PPPo E (最早、最成熟) 、802 1X认证和WEB认证 (无需安装客户端认证软件) 、WEP、EAP。在无线网络中, 为了最大限度确保网络安全, 设备认证和用户认证两种形式都应实施。

3.2 安全内核与入侵检测

这主要是指在操作系统的层次上增强安全性。通过对操作系统内核改造、裁剪、加固, 删除内核中可能影响安全性的部分, 大大增强系统内部抗攻击能力和安全性。计算机的系统安全取决于软硬件设置, 实际系统安全取决于设备使用, 在用户操作过程中, 最能影响系统安全性的是系统或用户的工作参数设置。对系统特性的错误使用是系统遭受入侵的主要原因, 这也是无线网络最容易发生安全问题的原因。利用安全漏洞扫描对系统进行分析扫描, 找出异常系统配置进行改进。入侵检测是机器 (检测工具) 与人 (入侵人员) 对抗的分析过程。入侵检测是基于用户当前操作, 根据用户历史行为, 完成攻击并留下证据, 根据知识的智能推理, 为数据回复和事故处理提供依据, 分为实时入侵检测和事后入侵检测。

3.3 通过SSID和MAC进行地址双重过滤

SSID是目前无线访问点采用的识别字符串, 标志符由设备制造商设定, 采用如101代表3COM设备的默认短语。当黑客得知该口令短语时, 很容易在不经授权的情况下进入该无线服务。设置无线访问点应该选一个独特的很难被猜中的SSID, 并且禁止向外界广播该SSID。由于无线工作站的网卡有唯一的物理地址, 用户可以设置访问点, 同时限制MAC地址, 实现双重过滤。

3.4 关闭DHCP服务器

DHCP服务器自动配给计算机IP地址。对于规模不大的网络, 保护信息安全可以采用关闭无线AP或者DHCP功能, 采用静态IP地址, 以此保护无线网络的安全。

2结论

Photoshop拥有多种色彩模式, 各自有各自的特点, 在不同的场合下能够发挥不同的作用。了解Photoshop中的各种色彩模式, 以及他们的原理, 对于在处理图片时如何选择正确的色彩模式, 更好地完成美术编辑的工作具有十分重要的意义。

参考文献

[1]杨光.无线网络安全性的研究和探讨[J].机械管理开发, 2011, 3.

[2]刘强.无线网络安全的机制与技术措施探究[J].无线互联科技, 2010, 11.

[3]郑宇洲.无线网络安全的机制与技术措施[J].信息系统工程, 2011, 6.

路由器的网络安全机制的研究 篇8

随着计算机与通信技术的高速发展，Internet本身的缺陷和漏洞也被无情地显露出来，非法入侵、计算机病毒、恶意攻击等现象在互连网上非常普遍。而路由器是互联网的主要节点设备，构成了Internet的骨架。路由器的网络安全性直接影响着网络互连的质量，因此有效的路由器安全机制的设置可以显著提高网络的安全性。

2 网络安全面临的威胁

目前网络安全存在的威胁[1]主要表现在：

(1)非授权访问：没有预先经过同意，就使用网络或计算机资源被看作非授权访问，例如，有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。

(2)信息泄漏或丢失：指敏感数据在有意或无意中被泄漏出去或丢失，它通常包括信息在传输中丢失或泄漏，如“黑客”们利用电磁泄漏或搭线窃听等方式可截获机密信息，或通过对信息流向、流量、通信频度和长度等参数的分析，推出有用信息。

(3)破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应：恶意添加、修改数据，以干扰用户的正常使用。

(4)拒绝服务攻击：它不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。

下面针对上文提出的几个方面的安全威胁，采用路由器上的相关安全机制来解决这些问题。

3 路由器网络安全访问策略

3.1 访问控制列表

访问控制列表(Access Control List,ACL)是应用到路由器接口或线路的指令列表，这些指令列表用来告诉路由器哪些数据包可以接收，哪些数据包需要拒绝。至于数据包是被接收还是被拒绝，可以由特定指示条件，如源地址、目的地址和端口号等来决定。

(1)ACL工作原理

一个ACL是一组判断语句的集合，它可以应用于路由器的某个接口或线路，从而可以对出入路由器的数据包进行控制。当一个数据包到达一个接口时，如果该接口应用了某一个访问控制列表，则需要与访问控制列表中的条件判断语句进行匹配。访问控制列表中的条件判断语句按照逻辑次序顺序执行。如果一个数据包的报头与某个条件判断语句相匹配，该数据包就忽略剩下的判断语句，至此比较过程结束。

(2）动态访问控制列表

动态访问控制列表是一般访问控制列表的增强类型，其主要思想是：当用户希望访问内部网络资源时，首先通过Telnet远程登录到路由器，如果用户的身份经过成功认证，路由器便关闭Telnet会话，并在接口向内的方向增加一个动态表项，该动态表项授予用户的源IP地址临时通过路由器进行访问的权限，从而达到访问内部网络资源的目的。在达到了一个预先设置好的超时限制或网络管理员手工清除后，路由器将删除该访问控制列表的临时性动态条目，此时外部用户需要重新认证才能访问内部网络资源。

3.2 Radius服务器

路由器收到用户的认证请求，可以通过本地认证，即在路由器上建立一个用户名和口令数据库，但是如果需要管理的路由器很多，这种方法比较烦琐。为了避免管理开销，可以将路由器配置为参考一台安全服务器而不是一个本地数据库来执行用户认证，这些安全服务器可以将网络中所有的用户名和口令集中保存在一个中央数据库里。网络管理员一般都为实现该目的而选用一台TACACS+或RADIUS服务器。

RADIUS采用客户端/服务器结构，它已经被广泛实施在各种各样的需要高级别安全且需要远程访问的网络环境。RADIUS可以提供AAA服务，包含Authentication(认证)、Authorization(授权)、Accounting(计账)三个方面。它解决了哪些用户可以访问网络服务器，具有访问权的用户可以得到哪些服务，如何对用户计费这些问题。RADIUS认证机制灵活，可以采用PAP、CHAP等认证方式。

3.3 实施过程

如何把ACL与Radius服务器结合使用，这里通过如图3所示的网络拓扑来说明具体的实施过程。各设备的配置信息如表1所示，其中交换机S1、S2不需要进行配置。

(1）配置基本网络环境

1)按照表1所示内容，正确填写计算机(PC1、PC2、PC3、PC4)及服务器(RS)的网络连接参数。

2)通过Console端口，分别设置路由器(R)的端口f0/1)、f()/1。

此时，通过路由器R连接的两个网络之间可以相互访问，可以通过ping命令验证。另外，网络中的各台主机都可以在不经过Radius服务器验证的情况下，通过Telnet方式登录到路由器上。

(2）设置ACL

1)对路由器R的VTY线路设置ACL

上述的ACL定义了哪些主机可以连接到VTY线路上，“line vty 0 4”命令指定了5条VTY线路。命令“access-class5 in”用于将ACL施用至VTY线路，而不是路由器的某个接口，其中关键字“in”几乎总被用于该命令，与之相反的关键字“out”用于限制该路由器通过Telnet方式访问外部目的地，该命令中很少使用。

此时，只有网络10.0.0.0(子网掩码为：255.0.0.0)中的主机才可以通过Telnet方式登录到路由器上。

2)对路由器R的端口f0/1设置ACL

(3）配置Radius服务器

Radius服务器可以利用Windows 2000 Server系统中的IAS(Internet Authentication Service)组件来实现。IAS可以对连接进行集中的身份认证、授权以及记账，使网络管理员可以集中管理远程访问权限和连接属性。

1)Radius服务器配置

(1)添加客户端

在“管理工具”中打开“Internet验证服务”控制台，在其中新建客户端，可以取名为“myClient”。客户端地址为：192.168.0.10，共享密钥可以设置为：123456。

(2)设置远程访问策略

在IAS控制台中，设置远程访问策略“如果启用拨人许可，就允许访问”的属性。在属性对话框中针对“如果用户符合上面的条件”选择“授予远程访问权限”单选框;单击“编辑配置文件”按钮，在弹出对话框中选择“身份认证”选项卡;选中“加密身份认证(CHAP)”和“未加密的身份认证(PAP、SPAP)”复选框，设置身份验证方法。

2）客户端配置

在路由器上通过Console端口配置AAA客户端，步骤如下：

4 结语

介绍基于路由器的主要安全技术，它们往往是配合使用的，各种安全机制只有协调工作，系统的安全性才会牢固。在信息化高速发展的今天，为了保证高效的网络安全，加强推进路由器安全机制、安全协议与算法的研究是至关重要的。

参考文献

[1]戴英侠.计算机网络安全[M].北京:清华大学出版社,2005.

[2]魏亮.路由器原理与应用[M].北京:人民邮电出版社,2005.

网络安全机制 篇9

信息技术当前在各行各业都发挥着重要作用,尤其是随着电力系统的逐步市场化,建立庞大的数据调度网和综合信息网络服务于电网管理成为了必然要求。虽然信息技术有着多种优势,但是同时也带来了安全方面的一系列问题,比如威胁电力生产、传输与运营的各个领域,所以加强网络与信息安全管理,建立完善的安全机制服务于电网运营成为了关键。

2 网络与信息安全影响分析

电力系统因自身的特殊性质在信息技术应用方面十分复杂,所涵盖的信息源十分庞大,因此无论是操作系统还是应用软件需求都较高, 致使风险漏洞隐患较多。网络与信息安全对电力系统的最大影响来自于安全方面,安全措施不到位会带来诸多负面影响,比如病毒的传播、木马恶意入侵、网页破坏和代码控制隐患等,带来诸多弊端。

计算机本身防御能力较差,作为通信设备其存在着严重潜在恶意入侵可能性,这对于系统安全和信息安全而言都十分不利,尤其是现在系统网络中存在着大量的保密数据,一旦发生恶意入侵现象,可能会造成信息丢失、盗窃或者破坏等,威胁电网运营管理。

网络和信息安全的一个典型特征就是来自于网络病毒的安全威胁,不仅对软硬件造成破坏,甚至还通过自我复制导致系统崩溃,引发危机连锁反应。信息网络的开放性和共享性使得电力系统内各种各样的信息都可能流入到网络世界,不少违法分子通过故意编写恶意程度木马植入浏览器漏洞形成网页病毒,轻者造成崩溃严重者导致格式化,致使信息丢失或者被盗窃。

对于电力部门而言,其办公所使用的众多系统和服务器,商业性质较为突出,源代码不公开意味着自身不能对软件源代码进行独立控制,无形中就给自身的信息安全带来了众多隐患。电力系统作为自成一系的系统,一般只有内部员工使用或者访问,在权限管理不严格的情况下有时会因为操作失误、缺乏保密意识等因素带来网络安全威胁,针对内部管理和访问情况,做好授权等级授予工作,将是保护网络内部信息安全的硬性举措。

3 网络信息安全机制建设探讨

对当前电力企业网络安全建设而言,安全措施不到位,安全机制建设不完善,已经成为了信息安全的最大问题。面对这些安全隐患和问题,通过加强安全机制建设防范信息犯罪,消除安全隐患,全面走上信息化建设的道路,促使电力系统完成转型是关键。

加强对电力系统内部职工的网络安全信息教育,从客观上根本深化信息安全意识是电力企业内部建设的首要举措。促使员工从自身做起,自觉维护企业网络安全和信息安全,定期举行学习培训,加强技术锻炼学习,提高安全技术水平,可有效为安全机制的完善建设和贯彻实践提供保障。完善网络信息安全管理制度建设是促使信息安全到位的有效措施, 从制度建设上予以完善,做到权责明晰,对需保密的信息进行登记审批实施地址绑定策略,对信息访问、应用做出严格管理,将会从制度领域为信息安全保驾护航。

对电力系统而言,对自身网络和信息安全面临风险做出正确评估确保安全机制完善并落实的必要举措。面对这么一个技术要求高、内容庞大复杂的系统,以多种手段来消弭脆弱性造成的隐患,是把风险控制在最低限度的必然要求,所以,加强风险分析和评估,分析系统面临的多种风险,将其降低到可控的程度,是迫切要求和客观需要。

网络信息安全的防护技术举措有多种,但是主要要从防火墙技术、入侵检测技术、数据库安全建设三方面入手,建立信息安全中心和技术联合服务中心,构建多层次的安全防护体系。防火墙技术要以防御为核心构建多技术层次体系,以提高自身的综合防护能力,在顺利为电力系统服务的同时规避来自网络的各种攻击。入侵检测技术 的具体工 作原理是ITDB (Integrated TestingData Base,综合测试数据库)通过发布命令的形式通过管理系统实现对可疑行为的隔离,并且对疑似攻击的行为进行自我判定收集信息以配置相应部件来规避误操作和攻击命令对系统所产生的负面影响。TDB在数据库的防护中发挥着重要作用,它能对有可能造成破坏的可疑命令或恶意行为进行发现并隔离,通过对攻击行为进行容忍来保障运行的安全。防火墙逻辑位置示意图见图1除此之外, 电力企业本身也要积极加强技术升级改造做好自主研发和技术创新,掌握核心科技,让系统全方位为自己服务,保证电力系统的信息安全和健康发展。

4 结束语

网络身份管控机制研究 篇10

2014 年7 月21 日,中国互联网络信息中心(CNNIC)第34次《中国互联网络发展状况统计报告》显示,截至2014 年6 月,中国网民规模达6.32 亿,其中,手机网民规模5.27 亿,互联网普及率达到46.9%。网民上网设备中,手机使用率达83.4%,首次超越传统PC整体80.9%的使用率,手机作为第一大上网终端的地位更加巩固。2014 上半年,网民对各项网络应用的使用程度更为深入。移动商务类应用在移动支付的拉动下,正历经跨越式发展,在各项网络应用中地位愈发重要。互联网金融类应用第一次纳入调查,互联网理财产品仅在一年时间内,使用率超过10%,成为2014 年上半年表现亮眼的网络应用。互联网发展重心从“广泛”向“深入”转换,各项网络应用深刻改变网民生活。移动金融、移动医疗等新兴领域的移动应用多方位满足了用户上网需求,推动网民生活迈向全面“网络化”。

随着网民数量的剧增,以及近年来互联网犯罪问题不断加剧,现有的互联网监督机制难以应对日益复杂的互联网环境,主要表现在以下几个方面:

(1)真实身份无规可查。在大部分论坛注册时无需填写身份信息,互联网言论难以监督,无法准确核实网民信息。互联网一旦被恶意人员利用散播谣言,或者用来进行互联网犯罪,就难以查证其真实身份。

(2)无法界定恶意攻击。法律法规对各种互联网犯罪界定不明确,有不少概念诸如“恶意”、“人身攻击”、“谣言”、“扰乱社会秩序”、“捏造事实诽谤他人”、“可能危害”等,并没有相对明细的界定。这些概念直接涉及到处罚或处理的内容,如无明细的界定,就等于给相关行政部门极大的自由裁量空间,这不符合现代法治约束政府权力的精神。

(3)网民监督权难以保障。许多网民认为,上网发表言论必须“实名”,这会带来一个很大的负效应——“过滤”方兴未艾的“网络监督”,当前,有关部门更需要研究的是“如何进一步保障网民批评监督的权利”。

(4)隐私保护问题凸显。随着黑客攻击手段的不断提高,以及互联网恶意木马等泛滥,地下产业链的交易,用户信息泄露事件时有发生,个人的隐私信息(如信用卡)不断泄露,身份容易被假冒。2014 年底大量12306 用户的个人信息"裸奔"就引发公众对网络安全的担忧。

网络实名制是指用户在发布信息之前,网站必须验证和记录其身份信息后,才能允许用户在网络空间留言或进行其他活动。全面实行网络实名制是社会稳定发展的需要,有了这样的明文规定,才能规范网络空间活动秩序,打击网络违法犯罪,保护网络用户的合法权利。

1 国内外发展动态

1.1 韩国

韩国是世界上第一个全面实行网络实名制的国家,韩国政府从2002 年起推动实施网络实名制,2007 年7 月开始,每天访问人数超过30 万的35 家主要网站要求网民用真实姓名和身份证号注册并通过验证后,才能在各网站上写帖子和跟帖。韩国政府对违反这一规定的网站收取最高3000 万韩元(约930 韩元兑换1美元)的罚金。随着隐私保护等问题凸显,网民对实名制的反对情绪加剧,2011 年12 月29 日,韩国广播通信委员会向总统李明博提交报告,准备全面限制收集和使用“居民登录证”(身份证)号码。韩国媒体称,韩国将从2012 年起逐步取消网络实名制,以防止个人信息的泄露。

韩国的经验包括以下几点:一是政府主导,强势推行;二是具备相关法律制度的保障;三是政府、网站、网民三方共同行动;四是政府顺势循序渐进推进实名制。

1.2 美国

美国总统奥巴马日前提出拟推动网络身份证计划,计划以后美国网民上网做任何事,如收发电邮、浏览社交网站或购物,都不用再输入账户和密码。为此,奥巴马政府将责成美国商务部,就如何妥善地建立一套“网络身份证”制度尽快出一个解决方案,这套制度将让每个美国人都在网络上有一个独立的身份,一方面增加网络安全,另一方面也减少民众需要记的密码。

2011 年4 月15 日,美国政府在2010 年草案的基础上,发布《网络空间可信身份认证战略》正式版,以加强网电空间的安全性和保密性,提升效率,提供更多选择为目标,通过真实可靠的身份认证,构建一个网络生态系统。网络身份证的推出,可确保用户在进行互联网交易时的安全,避免网络欺诈、身份窃取等恶劣情况的发生。

1.3 中国

2005 年7 月12 日,原信息产业部和文化部联合下发《关于网络游戏发展和管理的若干意见》,其中第十二点中明确规定“PK类练级游戏应当通过身份证登陆,实行实名游戏制度,拒绝未成年人登陆进入”;2005 年7 月,深圳公安局下发了《关于开展网络公共信息服务场所清理整治工作的通知》,腾讯公司随后对所有新QQ群的创建者及管理员实施实名制登记;2006 年,天津、上海等地市在网吧推行身份验证制度;2007 年以来,公安机关在全国推行网吧实名上网制度和网站交互式栏目版主实名制度;2008 年,宁夏、甘肃、吉林、重庆4 省市先后实行网络论坛版主实名制,公安部也于当年表示要在全国推广网络论坛版主实名制。2010 年8 月1 日,文化部发布的《网络游戏管理暂行办法》正式实施,要求网络游戏企业应要求玩家使用有效身份证进行实名注册。

国家互联网信息办公室(国家网信办)表示,2015 年将全面推进网络真实身份信息的管理,以"后台实名、前台自愿"为原则,包括微博、贴吧等均实行实名制,对此将加大监督管理执法的力度。

2 研究目标与体系设计

2.1 目标

参考美国发布的《网络空间可信身份国家战略》,计划用15年左右的时间,通过政府推动和产业界努力,建立一个以用户为中心的实名身份体系。阶段性目标:即5 年内实名身份体系的技术和标准初步具备实施条件,10 年内实名身份体系基本建成,15年内网络空间治权形成能力(见图1)。为了实施该目标,需要完成4 个主要任务:一是开发一个综合的身份认证系统框架;二是建立互通共用的身份认证基础设施;三是通过制定相关法律和建立示范项目,对实名认证系统进行应用推广;四是建立相应机制和配套保障条件,保证身份认证生态系统长期有效地运行。

2.2 体系设计

为了构造一个安全、有效、易于共用的身份认证环境,促进创新、加强隐私保护、提升信任度,需要建立实名身份认证网络生态系统。这个系统由3 个层面组成:管治层建立运行规则,作为权威机构运行;管理层结合这些规则进行应用和维护;实体层保证个人或机构的合法权益,并确保其业务合规(图2)。

具体来讲:

(1)管治层可以让公安机关通过官方使用的身份认证架构,使测评、认证具有法律效力,进而使认证者得以使用可信的认证架构。

(2)管理层可以同时对用户属性和身份进行分别管理,后者还包括证书的注册、签发、吊销等功能。

(3)实体层具有具体的执行功能,参与的实体包括4 个方面:一是以证书为管理核心的信息实体方(如个人、公司);二是以访问为管理核心的用户属性方(如第三方权威机构);三是以可信为管理核心的可信服务提供方(如运营商);四是以身份管理为核心的身份信息管理方(如户籍中心)。

2.3 技术思路

技术思路如图3 所示。技术路线分为两条,一条是借鉴韩国的实名认证思路,在各大门户网站建立实名认证机制,第二条是在各大运营商建立接入认证机制,卡住入网口。在实名认证技术模型方面,包括身份凭证、实名控制、实名身份管理3 个典型的要素,都已形成较多的国际标准。

每个使用网络的个体都有必要保证其真实性明确性,简而言之就是必需要给每个上网的人一个网络身份证,这就是建立“网络身份证”制度,网络身份证的制作方法,是在现实身份证上嵌入一块智能卡,或在手机上插入并绑定一块智能卡。

3 结语

身份管理关系到未来网络基础设施,同时涉及到技术、社会、法律、国家政策等多方面因素。欧美等发达国家对网络空间身份管理高度重视,各国都希望充分发挥自己在此领域的主导作用。中国应尽快建立实名身份体系,加强网络空间的管控。

第一,尽快制定中国网络空间可信身份国家政策。随着中国经济社会活动对网络依赖性增强,各行业对网络空间可信身份都提出了需求,如网上购物、网上银行、网上社保等,身份管理成为确保网络空间繁荣和健康发展的关键。为此,必须将可信身份上升到国家战略高度,出台相关政策措施,整合各类资源,建立政府主导、市场主体的推动机制,促进网络空间身份管理的发展。

第二,积极参与国际标准制定,掌握话语权。身份管理关系到未来网络架构,美国、欧盟等发达国家和地区都在争夺技术、标准方面的话语权,目前有大量组织也在对身份管理标准进行研究,如自由联盟、Open ID、OASIS、W3C、ITU-T、ETSI、3GPP、ATIS和IETF等。建议中国有计划开展身份管理系列标准研究工作,争取设立由中国主导的研究议题,增强中国在身份管理标准化工作中的话语权与主导权。

第三,加强网络用户隐私信息保护。网络空间用户相关信息被收集,会产生一系列问题,包括这些信息应该存储在哪里,所有权应当归属于谁,谁有权利控制、使用这些信息,等等。这些问题直接涉及到广大用户的个人权益。当前,网络上个人信息泄密现象非常严重,用户隐私信息面临威胁。因此,有必要加强网络空间用户隐私保护,出台相关的法律法规和标准规范。

第四,完善网络实名制相关行政法规。当网络实名制以政府为主导推动立法时,在立法思路上要注意以下两点:一是国家权力是人民当家作主的权力,立法者应当认真听取社会公众的立法意见和建议,鼓励和推动社会公众参与立法过程,体现利益相关人,特别是弱势群体的利益需求。二是立法者、专家、利益相关者之间的互动。利益相关人是任何立法过程中都需要认真考虑的一个特殊群体,当这个群体处于弱势地位且要对他们的权利进行限制时,尤其需要认真地进行利益协调与权衡。

参考文献

[1]滕萍.从法学角度谈网络实名制[J].网络安全技术与应用,2011.

[2]陶丹.韩国互联网实名制管理的特色与启示[J].中国记者,2012.

[3]田忠钰.略论网络虚拟性在推动人的发展中的作用——基于网络实名制的思考[J].实事求是,2011.

[4]杨志勇.如何推进网络实名制[J].信息网络安全,2011.

[5]常杰菊.基于PKI的网络实名认证体系研究与设计[D].武汉:华中师范大学,2011.

建立安全生产长效机制 篇11

国务院召开全国安全生产工作会议，专门研究部署安全生产工作，在新中国成立以来还是第一次。会议深入贯彻党的十六届三中全会和中央经济工作会议精神，实事求是地总结了近年来的安全生产工作，深刻地分析了当前的形势，提出了今年工作的总体要求和主要任务。会议传达了《国务院关于进一步加强安全生产工作的决定》，进一步明确了安全生产工作的重要地位和作用，提出了相关的政策和措施。这对于统一思想，把握全局，做好安全生产工作具有十分重要的意义。

安全生产事关人民群众生命财产安全，事关改革发展和稳定的大局。做好安全生产工作，是企业生存发展的基本要求，是全面建设小康社会、统筹经济社会全面发展的重要内容，是实施可持续发展战略的组成部分，是政府履行社会管理和市场监管职能的基本任务，是维护人民群众根本利益的具体表现。党和国家历来高度重视安全生产工作。一个时期以来，党中央、国务院针对安全生产领域的主要矛盾和突出问题，从法制建设、管理体制、财政投入等方面相继采取一系列措施，使安全生产工作得到切实有效的加强和改进，促使全国安全生产总体上呈现出相对稳定、趋于好转的发展态势。但是也要看到，由于我国尚处在社会主义初级阶段，生产力发展不平衡，安全生产基础工作薄弱，目前全国的安全生产形势仍然相当严峻。要实现我国安全生产状况的根本好转，必须付出长期艰苦的努力，必须警钟长鸣、常抓不懈。落实会议精神，关键是各级党委、政府和广大干部从贯彻“三个代表”重要思想的高度，从立党为公、执政为民的本质要求上，充分认识安全生产工作的重要意义，树立“责任重于泰山”的思想观念，进一步增强抓好安全生产工作的责任感和紧迫感。从树立和落实以人为本、协调发展的科学发现观上，认识和把握安全生产工作的基本任务，把安全生产纳入地方经济和社会发展的总体布局，做到同步规划，同步实施，同步发展；按照适应完善社会主义市场经济体制的要求，积极推进安全生产理论、监管体制和机制、监管方式和手段、安全科技、安全文化等方面的创新，加快实现安全生产工作的五个转变：一要推进安全生产工作从政治向法治转变，依法规范，依法监管，建立和完善安全生产法制秩序；二要推进安全生产工作从被动防范向源头管理转变，建立安全生产行政许可制度，严格市场准入，管住源头，防止不具备安全生产条件的单位进入生产领域；三要推进安全生产工作从集中开展安全生产专项整治向规范化、经常化、制度化管理转变，建立安全生产长效管理机制；四要推进安全生产工作从事后查处向强化基础转变，在各类企业普遍开展安全质量标准化活动，夯实安全生产工作基础；五要推进安全生产工作从以控制伤亡事故为主向全面做好职业健康工作转变，把职工安全健康放在第一位。我们要通过五个转变，把安全生产工作提高到一个新的阶段。努力构建“政府统一领导、部门依法监管、企业全面负责、群众参与监督、全社会广泛支持”的安全生产工作新格局，建立长效机制，实现安全生产的长治久安。这就要求各级政府把安全生产纳入重要议事日程，形成强有力的安全生产工作组织领导和约束激励机制；要求加快地方各级安全生产监管机构和队伍建设，落实编制、人员和经费，理顺各方面关系，依法履行职责，严格考核奖惩，尽快形成责权明确、行为规范、监督有效、保障有力的安全生产监管体系；要求强化企业安全生产责任主体地位。

各级党委、政府应当迅速行动起来，切实加强对安全生产工作的领导，发扬求真务实的精神，切实转变工作作风，深入安全生产工作第一线，把安全生产工作抓实、抓细、抓出成效，真正做到“为之于未有，治之于未乱，防患于未然”，为全面建设小康社会创造一个安全稳定的环境。

网络开票机中安全机制的研究 篇12

全国目前网络开票机, 大部分只是针对税控收款机的部分改进, 标准的税控收款机业务流程中纳税人必须携带存储了税控数据的IC卡或U盘等媒介, 到税务办税大厅进行操作来完成报税, 一旦丢失, 将造成很大损失, 不仅不方便而且不安全。

二、网络开票机问世

本文将要介绍的网络开票机在技术方面基本满足了目前行业的需求, 弥补了税控收款机传输安全方面的缺陷和不足, 这里主要探讨网络开票机设计开发过程中安全机制方面的创新。

2.1关于加密U盘KEY

在符合国家电子签名法的签名, 验证的基础上, 还确保数据加密存储, 提高了发票数据和开票权限数据的安全性。充分利用PKI体系中数字签名技术, 使得数字签名技术与加密存储技术的完美融合。

2.2安全机制采用的相关技术PKI

PKI的核心执行机构就是认证机构CA (Certificate Authority) , 它是PKI的主要组成部分, 通常被称为CA, 专业术语又叫认证中心。权威性, 可信任性和公正性是它的主要特征, 它属于第三方机构。CA是PKI的主要执行机构, 由CA签发的数字证书是PKI签名的核心元素。它所提供的数据完整性, 数据保密性和不可否认性认证就是PKI服务。CA的主要由证书签发服务器, 秘钥管理中心, 目录服务器, 证书签发服务器顾名思义负责证书的的签发和管理, 包括证书归档, 撤销和更新等;秘钥管理中心是用硬件加密机产生公私密钥对, CA私钥不出卡, 提供CA证书的签发;目录服务器是负责证书和证书撤销列表的发布和查询。

作为认证中心的组成部分的RA (registration authority) 负责数字证书的申请注册, 审批, 校对和管理的机构。

通常所说的证书就是数字证书, 是PKI的主要元素, 主要由认证机构服务者负责签发, 它提供了数字签名技术的基础保障;必须符合X5.09标准, 是用户身份的证明, 证明某一个用户的身份以及其公钥的合法性及该用户与公钥二者之间的匹配关系。身份认证, 签名的验证和有效期的检查是数字证书的主要内容。为了确保所签发证书内容的完整性, 准确性而且负责证明该书的合法性和有效性, 将网上身份与证书绑定, CA签发证书的时候, 要对这些内容进行签名。

2.2.1如何作数字签名

如何对一个电子文件进行数字签名并在网上传输呢?其操作程序是这样的:第一步:在网上进行身份认证, 第二步再进行签名, 最后就是对签名的验证。首先是生成被签名的电子文件, 然后对电子文件用HASH算法做数字摘要, 再对数字摘要用签名私钥做非对称加密, 即做数字签名;之后将以上的签名和电子文件原文以及签名证书的公钥加在一起进行封装, 形成签名结果发送给收方, 等待接收方验证。

2.2.2如何作数字签名的验证

接收方收到发送方的签名消息后必须签名验证, 具体操作如下:接收方收到发送方数字签名的结果, 其中包括数字签名, 电子原文和对方公钥, 验证过程是:接收方首先使用发方公钥解密数字签名, 得出数字摘要, 同时对电子文件原文做同样的HASH算法得出一个新的数字摘要, 并将两个摘要的哈西值比较, 如果相同即签名验证通过, 如果不同表示无效。

2.3基于安全保密的考虑

加密存储USB Key的硬件平台安全芯片是国家密码管理局认证的加密芯片, 其抗功耗分析, 抗差错分析等功能保证了加密存储USB Key的抗物理攻击能力, 这从根本上确保了该产品硬件平台的安全性;另一方面USB主控和KEY CHIP具有高强度的存储单元访问控制, 可以保证不能读出关键数据和隐藏区数据, 从而满足了加密存储USBKey的整体安全性设计需求。

2.4安全机制方面的创新

2.4.1采取了主要数据双备份与恢复方案

在网络开票机上, 主要数据双备份, 同时写FLASH和存储设备, 存储到的数据必须保证安全的, 故而必须对它的写权限做严格的限制。这种双备份方案确保了数据的安全性。确保网络开票机或USBKey在突发情况下仍能快速恢复正常工作状态。

2.4.2加强了网络传输安全与用户身份认证机制

(1) 验证用户身份。主要指PIN码验证, 纳税人识别号验证。机器每次读写, 都必须执行PIN码验证和纳税人识别号验证, 只有通过, 表示与款机相匹配且属于同一个纳税人, 才能进行以后德操作。可以修改PIN码, 身份验证可以有效防止用户KEY被偷窃, 或者用户在拥有多台机器的情况下插KEY等。