安全防御体系

安全防御体系（共12篇）

安全防御体系 篇1

0 引言

随着信息化时代的到来以及计算机网络的广泛运用,我国在政治、军事、金融、教育和科研等许多重要领域的安全保障越来越依赖于计算机网络和信息的安全运行。根据CNNIC(中国互联网络中心)调查数据显示,截止2007年6月30日,我国大陆地区上网用户总数达到1.62亿户,上网计算机总数达到5 940万台,网络国际出口带宽总容量达到256 696MB,网站数达到84.3万个。与此同时,电子政务、电子商务、网络游戏、网络博客等互联网正在快速发展,新的操作系统、新的应用软件不断投入使用,这些都导致人为疏忽和网络系统漏洞大量产生。我们一方面面临着黑客入侵、病毒袭击、垃圾邮件、流氓软件等各种计算机网络不安全因素的严重威胁,另一方面越来越多的信息资源又必须通过计算机网络进行存储、处理和传输,再加上众多计算机网络的使用者缺乏最基本的网络安全意识和防护技能,使网络泄密和窃密的问题日趋严重。网络信息安全已成为亟待解决、影响国家大局和长远利益的重大关键问题。

本文首先阐述我国当前网络信息安全面临严峻的威胁;接着进一步分析危及网络信息安全的主要因素;最后提出构筑网络信息安全防线的具体措施。

网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科,其本质就是网络上的信息安全。ISO(国际标准化组织)的定义为:“为数据处理系统建立和采用的技术和管理的安全保护,保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。”

1 网络信息面临的威胁

1.1 涉密信息系统建设、维护和开通存在不规范行为

在网络建设中,普遍存在着急功近利的思想,对网络基础设备投入得多,而对安全保密方面投入得少;对网络应用产品研究投人得多,对网络安全的基础研究投入得少。这就使得信息安全技术的发展滞后。《涉及国家秘密的计算机信息系统集成资质管理办法》已于2005年7月10日正式施行。党政机关及军工科研院所涉密信息系统的规划、设计、施工以及服务、咨询工作应当由经保密工作部门依法审查、批准,具有相应涉密集成资质的单位承担建设,而且资质项目的内容和地域不同,准许承担的建设项目也会有所区别。因此,一些单位选择不具备相应资质单位承担涉密计算机网络的建设任务,导致涉密网络建设达不到国家规定的安全和保密标准,其信息安全就很难得到保证,甚至会从根子上留下泄密的硬伤和窃密的隐患。另外,在维护涉密网络的过程中,由于缺乏有效的监管措施,涉密数据被外人无意下载、恶意拷贝的情况都有发生。境外情报机关甚至有针对性地策反涉密网络的维修人员,伺机窃取计算机网络内的涉密数据。

1.2 信息产业的核心技术被少数国家垄断和封锁

我国信息技术起步较晚,信息系统安全基础薄弱,核心技术受制于人。我国使用的计算机CPU芯片、操作系统主要是国外生产的,网络高端设备几乎全是国外产品,网络技术通用标准性和网络安全协议也是国外制定的,我们并没有掌握信息安全的主动权。一些西方国家为了达到信息制控目的,利用技术优势,在对外出口的信息技术关键产品中设置“后门”集成窃密程序等方法,制造安全隐患,一旦出现异常情况,在国与国之间的信息对抗中,我们必将受制于人。

造成网络安全威胁的原因可能是多方面的,有来自外部,也有可能来自企业网络内部。目前这些攻击越来越普遍,手段也更大胆、更精巧。网络的信息安全已成为现代社会的热门话题。

2 危及网络信息安全的主要因素

2.1 网络和系统特性的缺陷

研究表明,从网络协议到操作系统,从服务器的安全机制到应用平台的各种应用事务,都存在着许多设计缺陷。任何一个操作系统,任何一个应用程序不可能一次就做到完美无缺。像WindowsNT这样的大型网络操作系统,新版本刚推出不久就相继发布一系列修订系统缺陷的补丁程序。因此,操作系统的任何一个缺陷都可能是网络信息安全的隐患。

2.2 网络黑客的恶意攻击

黑客攻击的目的通常有两个:一是获取信息和网络的系统资源;二是干扰和破坏网络系统。黑客攻击的方式虽然千变万化,但概括起来,其最常用的主要手段有两种:窃取合法账号和特洛伊木马术。

a)窃取合法账号:账号是合法用户进行网络登录的钥匙,黑客获取了账号就拥有了合法用户的一切权限。尤其是窃取了网络管理员的账号,对系统操作、控制的权限就更大,这是对网络系统安全的最大威胁。网络黑客通常利用网络传输协议的一些漏洞,进行IP地址的欺骗,获取系统文件破解其保密字。例如,FTP协议可能存在的安全漏洞有:通过匿名用户登录执行系统命令,下载超级用户系统文件,从而窃取超级用户权限。

b)特洛伊木马术:特洛伊木马和病毒、蠕虫之类的恶意程序一样,会删除或修改用户计算机存储的文件、格式化用户的计算机硬盘、上传和下载计算机存储的文件、骚扰用户操作自己的计算机等。特洛伊木马最具特色的性能就是实施远程窃密和远程控制。它们一旦潜入受害的计算机系统,就可以获得对受害计算机系统的控制权,从而随心所欲地对被攻击系统的文件系统、进程控制乃至系统注册表等系统资源进行操作。

2.3 人为因素造成的网络安全隐患

在构建网络安全体系时,人为因素对网络安全的影响非常重要。即使是网络管理员已经制定了相应完善的安全制度,如果操作员不认真履行规范性操作规程或违法执行某些越权的行为,都将对系统安全造成威胁。

人为因素造成的网络安全隐患主要表现在以下几个方面:

a)网络操作人员缺乏信息安全常识。不设防地将网络信息资源共享,轻而易举地将信息泄露出去;网络线路和闲置接口没有采取保护措施,使得不法分子通过便携机就可以很方便地接人到网络系统中,从而进行非法操作。

b)用户为了操作方便,追求简单,往往将保密字设置得过于简单,极易被黑客破解;一个口令长期使用、很少变更,这些都可能给不法分子有可乘之机。

c)安全制度不落实。即使制定了完善的网络管理制度,如果操作人员不能够认真履行,不能按照操作规程去做,甚至执行一些超越权限和明文禁止的操作,从而留下安全隐患。

d)电磁泄漏。重要涉密单位通常上级配发有干扰设备,如果操作人员思想上不重视或忘记了使用干扰器,就有可能造成电磁泄漏现象。这也是造成网络安全隐患的一个因素。

3 构筑网络信息的安全防线

构筑网络信息的安全防线主要指通过操作系统安全使用和部署安全防护软件等,实现信息化网络安全和信息安全。

3.1 完善网络信息安全系统

3.1.1 防病毒系统

常见的计算机病毒主要是针对微软的操作系统,如果使用其他操作系统如UNIX或Linux,基本可以不用担心受感染,但是仍可能成为病毒传播源和感染对象。对企业而言,对付病毒的重要手段是部署网络防病毒系统。网络防病毒系统由防病毒主程序和客户端以及其他辅助应用组成,它可以通过管理平台监测、分发部署防病毒客户端,这种功能意味着可以统一并实施全企业内的反病毒策略,并封锁整个系统内病毒的所有入口点。因为计算机病毒是动态发展的,到目前为止尚未发现“万能”防病毒系统,所以只能及时更新病毒库。目前,国内和国外的防病毒厂商都有能力提供企业级防病毒系统。要有效地对付计算机病毒,除了部署防病毒系统外,还要配合其他手段维护系统安全,做好数据备份是关键,并且要及时升级杀毒软件的病毒库,还要做好灾难恢复。

3.1.2 防火墙

防火墙是目前最重要的信息安全产品,它可以提供实质上的网络安全,承担着对外防御来自互联网的各种攻击,对内辅助企业安全策略实施的重任,是企业保护信息安全的第一道屏障,在信息化安全中应给予高度重视。防火墙从结构上分为软件防火墙和硬件防火墙。硬件防火墙基于专门设计的硬件和系统,自身安全有保证、效率高、稳定性好,但是功能单一,升级困难;软件防火墙基于现有的操作系统如Windows,功能强大,但是自身安全性受限于操作系统。大部分软件防火墙基于Windows平台,也部分基于Linux平台,基于Linux平台的防火墙成本低,但是维护使用要相对困难一些。通过配置安全策略,防火墙主要承担以下作用:禁止外部网络对企业内部网络的访问,保护企业网络安全;满足内部员工访问互联网的需求;对员工访问互联网进行审计和限制。现在的防火墙在功能上不断加强,可以实现流量控制、病毒检测、VPN(虚拟专用网)功能等,但是防火墙的主要功能仍然是通过包过滤来实现访问控制。防火墙的使用通常并不能避免来自内部的攻击,而且由于数据包都要通过防火墙的过滤,增加了网延迟,降低了网络性能,要想充分发挥防火墙的作用,还要与其他安全产品配合使用。

3.1.3 入侵检测

如果对系统的安全性要求较高,如为了保护电子商务网站和企业互联网接口等,有必要采用入侵检测产品,对重点主机或设备加强安全防护。大部分入侵检测系统主要采用基于包特征的检测技术来实现,它们的基本原理是:对网络上的数据包进行复制,与内部的攻击特征数据库进行匹配比较,如果相符即产生报警或响应。检测到入侵事件后,产生报警,并把报警事件计入日志,日后可以通过日志分析确定网络的安全状态,发现系统漏洞等。如果它与防火墙等其他安全产品配合使用,可以在入侵发生时,使防火墙联动,暂时阻断非法连接,保护网络不受侵害。在部署此类产品时要注意进行性能优化,尽量避免屏蔽没有价值的检测规则。

3.1.4 认证加密

应用系统的安全也是不可缺少的。企业内部可通过部署认证加密系统保障办公自动化流程、控制敏感信息的访问,特别是对电子商务,如何确认交易各方的身份,确保交易信息的保密性、完整性和不可否认性是交易正常进行的基本保证。认证加密是保证应用安全的有效手段,它主要通过数字证书来实现。数字证书是一个经证书授权中心数字签名并包含客户的公钥等与客户身份相关的信息数字证书,是网络通信中标志通信各方身份信息的数据,它提供了一种公开承认的在互联网上验证身份的方式,一般由权威机构———CA(认证中心)发行。数字证书可存储在IC卡、硬盘或磁盘等介质中,在基于数字证书的通过过程中,数字证书是合法身份的凭证,是建立保密通信的基础。

3.1.5 操作系统安全使用

在信息化网络中,操作系统的安全使用是保证网络安全的重要环节。操作系统安全使用主要包括以下几方面内容:用户密码管理、系统漏洞检测、信息加密等。用户密码管理无论是对个人还是企业都是很重要的。用户密码管理有许多原则要遵守,最重要的就是不要使用空密码,如当你使用WindowsNT/2000时,如果不幸你使用空密码,局域网中的任何人都可以随意访问你的计算机资源。如果你是系统管理员,制定严谨的用户密码策略是首要任务之一。漏洞检测对关键服务器的操作系统是极为重要的,特别是对电子商务网站。任何操作系统都不可避免地存在安全漏洞,操作系统的漏洞总是不断地被发现并公布在互联网上,争取在黑客没有攻击你的主机之前及时发现并修补漏洞是极为关键的。另外一类漏洞并不是系统固有的,而是由于系统安装配置缺陷造成的,同样应引起足够重视。对服务器而言,关闭不需要的服务或端口也是必要的。即使网络很安全,需要保密的信息在存储介质上的加密仍然是必要的,因为任何网络不能保证百分之百安全。使用WindowsNT/2000等操作系统时,尽量使用NTFS分区,对重要信息启用加密保护功能,这样即使信息意外泄露,也无法破解。操作系统的易用性和安全总是难以兼得,安装操作系统时尽量不要使用默认值,在微软尚未做出策略性调整之前,根据微软现在的理念,系统的易用性仍然是首先考虑的,所以默认安装会自动安装一些你并不熟悉且根本无用的服务和应用,并打开了许多特殊端口,这些服务、应用和端口很可能成为别人入侵的跳板。

3.2 开发和使用自主产品

目前,我国网络信息系统的主要设备(服务器和路由器等)和核心软件(操作系统、数据库管理系统甚至网络管理软件)广泛采用国外的商用产品,这给我国计算机网络安全带来极大隐患。商用产品因带有黑箱操作而不可控,使用者无法了解细节,对于可能带有的“后门”甚至逻辑炸弹和“间谍”束手无策。商用产品的安全性没有保证,必须发展自主的信息产业,采用自己的安全产品,这是网络安全建设的根本性问题。自主产品可以最大限度地控制不安全因素。首先,自主产品可以信赖。因为开发者可信赖和控制,就能排除有意设置恶意逻辑炸弹、“间谍”和后门的可能性,使自主产品的可信赖程度和可控制程度远远高于国外的商用产品。其次,自主产品可以自主更新。既然我们无法设计和实现一个绝对没有漏洞的系统,那么,发现漏洞和堵塞漏洞将是个长期的过程,没有自主的产品,就无法自主地实施堵塞漏洞的工作。第三,随着安全技术的发展,自主产品可以及时丰富安全功能。网络安全体系是一个不断进化、不断完善的体系,利用自主研制的构件来控制安全关键点,就可以达到在攻防技术的消涨平衡中动态地维持系统处在一个相对安全的水平上。因此,要摆脱受制于人的状况,必须加快自主操作系统、路由器和网络计算机平台的开发,并将其尽快部署在我国网络信息应用系统的关键环节上,以把握住网络信息系统安全的控制权。利用国外的高技术产品必须消除技术隐患,如对某些处理器,可以关闭其序列号功能,或禁止联接Internet。引进的设备和产品不经过安全处理而直接使用,无异于把钥匙交给窃贼。

3.3 培养能够胜任网络防御战的人才群体

网络管理人员负责提出随时出现的计算机和网络安全的新问题及解决方案。并制定出内部安全策略和有关安全制度,包括密钥的管理及对用户账号和口令的管理,定期对网络安全做出评估,提出系统安全报告和紧急情况应对方案。网络安全是一项专业性强、知识面广、实现难度大的综合性工作,没有一定的网络安全人才,就谈不上网络安全。因此,必须抓好网络安全人才培养。

3.4 理顺网络安全管理机制

应健全网络安全管理机构。网络安全保密管理工作的领导机构由主管保密的领导和相关业务部门人员组成,负责领导网络安全管理工作。网络安全技术保障组织由计算机网络专业人员组成,负责软硬件安装、维护、操作、用户授权、审计跟踪、应急恢复等网络日常管理事务。选调网络系统安全管理维护人员要严格审查,把好选拔关。

应落实网络安全管理法规。尽快完善和细化计算机网络规划建设、管理使用等安全保密标准和措施,严格安全检查、信息入网审批等规章制度,明确各级主管和监督部门的职责,为网络安全管理提供依据。加大网络安全检查监管力度,不断加强和改进网络安全管理措施。

4 结束语

构建完整的安全防护体系的目的是把企业的网络风险降低到可以接受的程度。这是一项综合的工程,不能简单地依赖一个产品,需要进行整体规划。在企业中,网络信息安全是一个动态的概念,而且没有绝对的安全。为了提高企业的网络信息安全,除采用可适应的、高可靠的安全措施和安全产品外,管理是极其重要的。网络信息安全是“三分技术,七分管理”。正确制定适应本企业的网络信息安全需求和安全策略,便能有效地实现和提高自己企业的网络信息安全。

参考文献

[1]谢希仁.计算机网络[M].大连:大连理工大学出版社,1996.

[2]蔡立军.计算机网络安全技术[M].北京:中国水利水电出版社,2002.

[3]肖军模,刘军,周海刚.网络信息安全[M].北京:机械工业出版社,2003.

[4]唐正军.网络入侵检测系统的设计与实现[M].北京:电子工业出版社,2002.

[5]MARCUS J.防火墙技术指南[M].宋书民,等译.北京:机械工业出版社,2000.

安全防御体系 篇2

摘要：对电力系统现有的网络安全防御技术进行了分析，得出当前的安全防御技术虽能够解决绝大部分已知的恶意代码攻击，但却处于对新型的和未知的恶意代码攻击无法识别的被动防御的状态，并提出将现有的安全防御体系提升为主动防御体系，实现差异化、纵深防御的解决方案。

关键词：未知攻击；同质化；被动防御；主动防御；防御体系 solution to upgrade the existing power system network security defense system li yongkang1,zhou junpeng2,chen yunfeng1(1.department of technology information,panzhihua electric power bureau,sichuan electric power corporation,panzhihua 617000,china;2.department of technology,chengdu chinatech huichuang technology co.,ltd,chengdu 610041,china)abstract:analyzed technologies of the existing power system network security defense,it shows the current security and defense technology can solve the vast majority of known malicious code attacks,but it is in a state of passive defense,which can not recognize the new and unknown malicious code,it proposed to upgrade the existing security defense system for the active defense system,to achieve the solution of differentiation and defense in depth.keywords:unknown attack;homogenization;passive defense;active defense;defense system

一、前言

（一）电力行业简介

电力系统是由发电、输电、变电、配电、用电设备及相应的辅助系统组成的电能生产、输送、分配、使用的统一整体。由输电、变电、配电设备及相应的辅助系统组成的联系发电与用电的统一整体称为电力网。

电力工业是国民经济发展中最重要的基础能源产业，是关系国计民生的基础产业。电力行业对促进国民经济的发展和社会进步起到重要作用，与社会经济和社会发展有着十分密切的关系，它不仅是关系国家经济安全的战略大问题，而且与人们的日常生活、社会稳定密切相关。随着我国经济的发展，对电的需求量不断扩大，电力销售市场的扩大又刺激了整个电力生产的发展。

（二）电力行业信息化it系统架构

电力行业it系统按照“sg186”体系部署，整体化分为一体化企业级平台、八大业务应用系统和六个保障系统，形成“纵向贯通、横向集成”的庞大信息网络。八大业务应用分为建设财务（资金）管理、营销管理、安全生产管理、协同办公管理、人力资源管理、物资管理、项目管理、综合管理等。六个保障体系为信息化安全防护体系、标准规范体系、管理调控体系、评价考核体系、技术研究体系和人才队伍体系。

二、当前电力系统网络防御技术分析

（一）电力网络行为与内容的安全情况。电力网络行为与内容的安全主要是指建立在行为可信性、有效性、完整性和对电力资源管理与控制行为方面，面对的威胁应当属于是战略性质的，即电力系统威胁不仅要考虑一般的信息犯罪问题，更主要是要考虑敌对势力与恐怖组织对电力相关信息、通信与调度的攻击，甚至要考虑战争与灾害的威胁。

（二）电力网络系统安全情况。对于电力行业主要考虑以下系统：各类发电企业、输电网、配电网、电力调度系统、电力通信系统（微波、电力载波、有线、电力线含光纤）、电力信息系统等。这里主要考虑到电力调度数据网（spdnet）、电力通信网与电力信息网几个方面的安全问题。电力系统的安全建设以资源可用和资源控制的安全为中心，必须保障电力系统畅通的24小时服务。

目前，大多数规模较大的发电企业和很多省市的电力公司在网络安全建设方面已经做了很多工作，通过防火墙、入侵检测系统、vpn设备等关键的安全产品的部署和实施已经初步地建立起了基础性的网络安全防护系统，并取得一定的效果，应当说是有自主特色的。

（三）电力信息内网安全防护体系。电力信息内网属于电力网络的管理信息大区中，信息内网定位为内部业务应用系统承载网络和内部办公网络，部署了大量的应用服务器和数据库服务器、以及不需要外联的办公主机。

电力信息内网对外连接包括：通过公用信息网与上下级电力公司的信息内网相连接；通过vpn连接互联网，以保障移动办公终端的接入；通过逻辑强隔离设备与信息外网相连接；通过正/反向隔离装置与生产控制大区相连。电力信息内网部署有以下安全防护手段：

防火墙系统。信息内网内部不同安全区域之间部署防火墙，增强区域隔离和访问控制力度，严格防范越权访问、病毒扩散等内部威胁；

信息内网出口处部署防火墙系统，实现网络边界防护，同时保护web服务器域；

vpn系统。信息内网出口处部署vpn系统，为移动办公、营销系统远程访问等提供接入防护，客户端应当采取硬件证书的方式进行接入认证；

为了统一管理和维护，电力的移动办公统一入口设在信息内网的vpn网关处；

入侵检测系统。信息内网核心交换机和重要网段部署入侵检测系统，实现对网络流量的动态监视、记录和管理、对异常事件进行告警等；

日志审计系统。信息内网部署一套日志审计系统，采用分级部署方式，实现全省信息内网安全事件的集中收集和审计问题； 主机管理系统。电力信息内网统一部署主机管理系统，实现主机设备的统一管理和防护；防病毒系统。电力公司信息内网部署一套防病毒系统，采用分级部署方式，控管中心设在电力公司本部，地

市供电公司分别安装二级控管中心和防病毒服务器，接收控管中心的统一管理。安全管理分区。电力信息内网依据业务系统保护等级，分为生产控制区（ⅰ、ⅱ区）、管理信息区（ⅲ区）和外部信息网，各分区进行相应等级的安全防护。

（四）目前防御系统的防御弱点

病毒检测扫描类技术的防御弱点。从病毒到恶意代码（木马、蠕虫、病毒、恶意脚本、shellcode、流氓间谍软件），无论是种类还是数量都是海量增长，来自海量恶意代码的海量攻击使得基于以字符串crc效验、散列函数值等特征码检测为主；采用加密变形的启发式算法、仿真技术检测为辅的病毒检测技术已无法有效检测每天如潮水般增长的恶意代码。以超级病毒特征库、超级白名单库、超级恶意url库、自动化分析流程为主要特点的云安全技术在一定程度上改善互联网用户安全的同时，存在分析时延、病毒特征库更新时延、恶意url搜索时间间隔等问题，同时海量提交的文件带来的极大分析压力使得分析失误的概率大大增加，从而给用户带来极大的风险，对于物理隔离的专网、内网也无法使用云安全技术。该类产品的最大弱点是对未知恶意代码缺乏有效的监控和辨识能力。入侵检测防御类技术的防御弱点。入侵检测技术经过多年发展，ids、ips、utm、应用防火墙、防毒墙等产品能应对大部分已知攻击，对网络安全起到了非常大的作用，但也存在辨识技术上的防御弱点。以基于规则描述的特征组合检查为主，协议异常检测、统计异常检测为辅的入侵检测引擎无法有效识别隐藏在合法应用流量中的攻

击流量、基于未知漏洞的攻击流量、加密变形的攻击流量，更无法截断潜伏在这些流量中的有经验黑客的深度攻击。

由ids（监控报警子系统）+安全工程师（辨识和决策）+防火墙（处理子系统）构成的防御系统，严重依赖安全工程师的经验和分析水平。对未知攻击流量和隐藏在应用流量中的恶意流量缺乏辨识能力，使得试图在网络层完全阻挡入侵攻击、恶意代码的传播是不现实的。其它非防御类安全产品的弱点。加密技术类安全产品可以解决泄密问题，却无法阻御攻击者和恶意代码对加密信息的破坏。行为管理类安全产品能管理用户的行为，却无法阻挡有意者的恶意攻击行为，对恶意代码和黑客攻击的后台行为，更无法察觉和控制。身份认证类安全产品能解决身份可信问题，却无法保证合法者伪造的恶意攻击和对恶意代码的渗透和传播。防火墙类产品的访问控制能力更适合作为处理控制手段，而不是攻击和恶意代码的识别工具，更无法解除流量中的威胁，桌面级的防火墙更是带来网络管理上的不方便。漏洞扫描类安全产品能发现存在的漏洞风险，却没有防御攻击的手段。主机安全产品，偏重于主机使用者的行为控制，它本身不能防御恶意代码的攻击和破坏。以上安全类产品由于解决的主要问题是在安全的其它方面，从防御组成来看，本身缺乏防御能力，更需要安全防御系统来保护这类安全资产。

（五）当前电力防御体系总结分析

当前由防火墙、入侵检测系统、杀毒软件组成的防御体系已经不

能阻挡每天如潮水般增长的恶意代码，其技术壁垒也逐渐显露，其被动性的原因主要有以下几点：1.恶意样本和攻击的海量增长。据国内安全厂商江民科技对近年来恶意代码数量的统计，2011年上半年全年共增加病毒特征代码48万余条。

2010年上半年及2011年上半年新增病毒特征数量示意图[1]图1 2.对抗传统防御体系的特征码免杀技术、网络攻击逃避技术近年来不断持续发展和传播。攻击方由以前那种单一作战已经逐渐演变为一个集团利益团体甚至国家利益的团体，在经济、政治利益的驱使下，免杀、逃逸技术发展迅速。3.对攻击和威胁的识别能力不足，对未知攻击和威胁无法识别。要防御攻击带来的威胁，首先要解决对攻击和威胁的识别，传统的特征码识别技术对未知的攻击和威胁无法识别。4.同质化技术构成的防御体系容易导致技术一点被破、全局皆破。随着电力系统在信息化建设方面的不断加大，信息安全问题也逐渐凸显，病毒、蠕虫、木马等恶意代码在网络中肆意传播，严重威胁着电力系统的正常运行。而现有的防御体系则主要以协议过滤、特征签名包和特征码比对技术为主构建的传统的防御体系，能够有效的防御已知的恶意代码攻击（已有的特征签名包和特征码），但对于多变的未知的恶意代码攻击却显得无能为力。因此，需要一种技术能够实时有效的防止未知的恶意代码攻击，从而提升整个网络的安全防御体系。传统的防御手段所采用的技术是导致其被动性的根源，面对当下如此严峻的安全形势，亟需构建一个实时主动的网络防御体系。

三、构建主动防御体系

（一）防御系统的构成标准

在网络信息对抗中，一个完善防御系统的防御链必须由监控、辨识决策、处理三大子系统。防御系统的抗攻击、反入侵能力高低取决于监控能力强弱、辨识决策是否足够智慧、处理子系统是否完善有效、三个子系统的自动化联动程度四个方面，其中最核心的是辨识决策技术。

目前的安全产品，能有效构建防御系统主要是以病毒检测扫描类技术和入侵检测防御类技术为主，但这两类技术都存在防御弱点。

（二）构建电力系统主动防御体系

在构建主动防御体系之前，不防先回顾一下防御系统产生的原因：有了信任与欺骗的斗争，于是便产生了可信任体系；出现了攻与防的斗争，也就有了防御体系。那如何构建一个防御体系，不防借鉴历史战争，其无非分为三种：事前防御、事中防御和事后防御。于是建立如下的主动防御体系： 主动防御中心图2 从图中可以看出，防御体系的强弱取决于攻击事件正在进行时防御系统的防御能力，也就是事中防御。而从传统的防御体系可以看出，无论是漏洞检测技术、网络准入技术、特征码扫描技术都偏向于事前防御，在事中实时防御上，特别是事中主机防御上存在严重不足。因此，要提升整体网络的防御能力，必须加入主机事中防御的技术。

四、主机主动防御技术的实现

在主机层面要做到事中防御，必须摒弃传统的特征码比对技术，做到“敌动我动”的实时防御。经过业界专家的研究，提出了基于行为检测的主动防御技术。即不依赖于程序的特征，而是根据程序所表现出来的行为来预先判断其合法性。这在理论上是可行的。给出主动防御的概念：在监控、分析、侦测等环节中采用主动感知未知威胁行为识别、行为智能处理、行为防御加固等主动性技术来进行防御。

（一）恶意程序行为的提取

恶意代码一般的行为包括注册表操作、文件操作、进程的行为和网络行为等；在windows操作系统上，可执行文件基本上都是通过api的调用来执行，以上任何行为都要通过导出函数或者系统调用接口[3]。可通过对恶意代码行为进行搜集和数据挖掘，建立如下的行为算法模型： 行为算法模型表1 格式1 行为 行为描述 危险等级

格式2 行为序列 行为描述 危险等级 „ 说

明 1.格式1适用于单个行为的规则建模；

2.格式2适用于由多个行为组成的行为序列的规则建模；

3.m表示函数的参数个数，n表示行为序列包含的行为个数； 4.四个危险等级：低、中、较高、极高，代表不同级别的恶意程序；

5.“参数取值特征”表示对应的函数调用行为表现出恶意性时的参数的具体取值。

6.“参数0”表示只识别函数的调用行为，不对调用参数进行分析； 7.若“参数取值特征”为“null”，表示对应参数的值等于null； 若“参数取值特征值”为“null”与“参数0”配合使用，表示不需要分析对应的实参。

（二）深层监控实现

主机层面的防御又可分为六个方面：内核子系统、服务子系统、应用子系统、通信子系统、文件及资源子系统、账号及认证子系统。每个子系统又按照p2dr（policy、protection、detection and response）模型组成一个完整的、动态的安全威胁相应循环[4]。任何攻击无非是攻击操作系统以上的单个或者多个方面，因此通过对六大子系统实时监控，最终达到对主机威胁行为识别。识别技术是辨识和处理的前提。主动防御引擎模型图3

（三）辨识技术的实现

操作系统向外提供丰富的系统api接口，方便上层应用程序对系统资源的访问，开发各类功能软件，程序行为指程序或代码对操作系统资源如文件系统、注册表、内存、内核、网络、服务、进程等的访问操作。恶意代码行为特点：非授权性和破坏性，主要表现为恶意代码对系统资源的非授权访问或篡改，如信息窃取、建立后门、实施破坏等行为。了解程序行为和恶意代码的行为后，通过对恶意代码的行为分析，并将恶意代码必经的攻击点进行记录和分类，丰富到行为库中，形成一套行为算法库，通过行为算法库来判别程序的合法性。其他子系统的行为引擎，也可建立相应的模型。识别技术是关键。

（四）强大的处理能力.在判断程序的危害性后，可通过取得操作系统底层权限，对恶意代码进行处理，对无法及时处理的可通过隔离，重启后删除。采用系统级主动防御技术，在异常监控技术上将监控范围扩大到操作系统上的六大子系统，包括内核系统、应用系统、通讯系统、文件及资源系统、账号及权限系统，采用分布式监控技术实现对全系统的监控。在辨识决策技术上是以程序行为算法库分析判定、智能专家系统、程序可信性计算等技术为基础，采用动态行为跟踪技术，依据恶意程序行为特征算法库，判定程序的性质和逻辑，预先判断程序的危害行为和风险，实现对恶意代码和恶意行为的自主识别、判断。在管理上平台可设计灵活的组网方式，实现多级连接、分权管理，也可通过同入侵检测系统ids、访问控制中心等联动，获得全网安全态势，预警和应急处理全网安全事件，组成主动防御控制中心。

五、结论

当前日益严峻的安全形势下，恶意代码泛滥，针对传统的防御方式已形成了一条集生产木马、销售、传播等一体的黑色产业链，其利益集团也由个体利益、团体经济利益逐渐演变成政治利益，甚至于国家之间的利益。因此，在防御手段上必须不断的推陈出新，建立基于差异化的防御技术平台，才能有效的防范已知的和未知的恶意代码攻击。

基于行为分析的主动防御技术的实现，弥补了传统的防御方式无法查杀未知恶意代码的弊端，提升了整个网络安全的防御体系，使原被动滞后的防御体系成得实时主动，是未来主机防御技术的方向。主机主动防御技术采用程序行为分析技术，能主动防御病毒、木马、间谍软件、恶意脚本的攻击及入侵，特别是对未知、新型、变种、加密、加壳等恶意代码的防御效果显著，其应用，将在智能电力网络受信息安全威胁的电力行业带来了一场革命。参考文献：

[1]江民科技.2011年上半年网络安全信息报告[n].江民科技网,2011,8:12;2011,9:23 http://.[2]b51.628-2009.成都中科慧创科技有限公司.网络体系式主动防御系统[s].[3]陈培,高维.恶意代码行为获取的研究与实现[d].计算机科学,2009,1-3

安全防御体系 篇3

关键词：P2P；安全问题；防御体系

中图分类号：TP393.08 文献标识码：A 文章编号：1674-7712 (2012) 10-0099-01

一、P2P的基本原理

P2P是英文Peer-to-Peer（对等）的简称，以分布式资源共享和并行传输的特点，为用户提供了更多的资源以及优质的数据传输。它是近年来互联网新兴的网络资源共享和发布形式，其技术被人们广泛地运用在信息检索、实时通信、协同工作、信息资源共享等各领域中。

在网络连接模式中，传统的网络形式是客户机/服务器网（Client/Server简称：C/S）。在C/S中，服务器是网络的核心，而客户机是网络的基础，客户机通过服务器获得所需要的网络资源，服务器为客户机提供网络必须的资源。然而它具有扩展性差、维护成本高、适应的操作系统有限等缺点。

相比之下，P2P打破了传统的C/S网络。P2P中，网络任何节点的地位都是相同的，具备客户端和服务器双重特性，可以同时作为服务使用者和服务提供者，使P2P具有非中心化基本特点。同时，P2P具有可扩展性、健壮性、高性能、负载均衡等优点。

许多新型的互联网经济业务中，P2P成为首选模式。根据Cachelogic公司的统计数据表明，P2P已经占据了50%以上的网络带宽。全球最热门的P2P文件分发软件“电驴”和BT的流量占了P2P总流量的50%以上。在未来的网络环境中，P2P技术将在互联网以及今后的物联网中占有更大比例。

二、P2P面临的技术上的和网络上安全问题

P2P本身具有开放性特点的体系结构在给互联网用户带来高速资源共享和下载的超常体验，也会产生许多安全问题。

（一）P2P网络存在技术缺陷

P2P在提供优质服务同时，其本身的技术上存在者诸多缺陷，使P2P网络无法保证参与消息传递的中间节点的安全性和可靠性。

（1）容易造成“拒绝服务”。在网络中，大部分P2P系统在网络节点间没有建立信任关系，这在一定程度提高了存取攻击的隐蔽性。可能存在一个恶意的服务器，如果它接受主服务器的文档副本，然后向用户发送其修改后的信息。它也可以在接收了主服务器的副本后拒绝服务。还通过使网络过载来干扰甚至阻断正常的网络通讯。通过向主服务器提交大量请求，使服务器超负荷。阻断其他用户访问服务器，阻断某服务与特定系统或个人的通讯。造成“分布式拒绝服务”（DDoS）。

（2）容易消耗网络带宽。节点在P2P网络中寻找资源，在定位资源和获取邻节点位置时，要先发送查询报文。一般是采用广播式查询，如果有个别不良节点将自己伪装成受害节点发送大量不同的查询报文，则可能使它的数据流占据整个网络而消耗大量带宽。

（二）P2P网络面临的主要安全问题

（1）路由攻击。这是P2P网络的典型的攻击方式。P2P网络有独立的路由定位算法．在应用层的传递过程中，加入网络的节点承担了消息转发的角色。由于网络环境中可能存在恶意节点将查询结果指向不正确或不存在的网络节点。节点无法连接目标节点，P2P网络可用性将下降。在P2P网络的DHT搜索算法中，节点与部分网络节点保持连接．节点很难甄别信息的真伪。恶意节点截获节点查询请求，伪造虚假信息欺骗正常节点，使正常节点与恶意节点连接，造成对服务器和用户的破坏。

（2）新型网络病毒传播。在P2P网络中，其便捷的共享及选路，也为某些新型网络木马病毒提供了入侵机会。因为P2P运行时，网络中存在参与活动的大量的节点，其防火墙的防毒效果良莠不齐。如果有一个节点感染病毒，就可随着共享资源的流动非常隐蔽的传染到下一个节点，以“链式反应”方式传染整个网络，致使网络中的共享信息失真或丢失、机密信息失窃，造成无法挽回的损失。

（3）带宽过载问题。由于P2P传输时，虚假信息、恶意代码与游泳信息的大量存在，会占用大量带宽，影响网络正常运行，严重时可能会造成网络阻塞。另外，许多节点同时起到客户端和服务器的作用。所以P2P节点同时占用上行、下行网络带宽。有很多P2P应用使用的覆盖全网的“洪泛式”文件搜索技术，这就会导致相当数量的广播搜索信息占据整个网络而挤占其他节点的信息流量。

三、P2P网络安全的防御体系建设

为解决P2P网络由于自身技术问题和网络安全问题，必须加强P2P网络安全的防御体系建设。

（一）防范P2P路由攻击，建立对等诚信环境建设

解决P2P网络路由攻击的一种办法就是节点之间信誉度的量化，或者说需要建立一个基于P2P的信誉度模型。它通过预测网络的状态来提高分布式系统的可靠性。在P2P网络中，一个节点A从节点B下载文件时，B的信誉值就会受到影响。如果被下载的数据不可信，则节点A就把本次交易的信誉度降低1，反之，则提高1。通过信誉值的高低，其他节点可以判断这个节点是否可靠。最终，信誉低的节点会被抛弃，是网络更加安全。所以建立对等诚信环境建设，是解决P2P网络安全的首要任务。

（二）建立防火墙及病毒软件的研究病毒攻击

在P2P网络环境中，加强防火墙、杀毒软件的研究，特别是云杀毒的研究。以保证P2P网络及每个节点的安全，以有效防范新型病毒的传播。另外，加强病毒预警机制，完善防火墙和杀毒软件的升级机制。将新型木马、病毒的代码随共享信息流及时传播到每个节点。

（三）防范P2P带宽过载，加强安全隧道建设

若要解决P2P信息传播带宽过载问题，需要完善安全隧道技术，P2P隧道技术是：计算机将准备传输的数据信息加密以及协议封装处理后，将信息嵌套入到另外一种协议的数据包，再传输到网络。主要有网络层、传输层和应用层安全隧道的建设，解决节点通信中信息的机密性、真实性、完整性等问题。

四、结束语

P2P以崭新的形象活跃在网络环境中，任何技术都不是从开始都非常完美、百毒不侵的。它将在广大科技人才和有识之士的共同努力下不断茁壮成长。我们应相信，随着科技的不断发展以及P2P研究的进一步深入和完善，它将为信息网络中更加强大，并成为网络发展的主要力量。

参考文献：

[1]李洋.网络协议本质论[M].电子工业出版社,2011,8

[2]肖军模,周海刚.网络信息对抗[M].机械工业出版社,2005,8

安全防御体系 篇4

随着计算机技术的快速发展以及计算机的普及,社会得以飞速进步,它不但给我们的生活带来了便利,还给我们带来了巨大的财富。特别是互联网的进步,使得信息共享在金融、商业、教育等各大业界得到了广泛的应用。互联网自身拥有分布广、开放性、共享性等显著特点,这些特点也是互联网的优点,但是网络也有自身的弱点,那就是安全工作做得还不到位,存在容易受到攻击的地方。从事计算机行业的人员缺乏安全知识方面的培训和安全常识,没有计算机信息安全意识,也缺乏相关的配套规章制度加以约束和管理。一些设施也不符合国家的安全标准,这些使得许多计算机安全问题一直不能得到解决,造成了很大的隐患。即使比较高级的信息安全管理工作也存在这样的问题,这些都给计算机的进一步发展带来了羁绊。所以说,研究计算机系统的安全技术问题非常有必要。

信息系统的结构描述如图1 所示:

1 计算机信息系统安全

信息系统的安全也就是计算机的硬件及软件、配套设施、设备等这些部件的安全,它可以确保网络运行时周边环境的安全和数据交易的安全,可以使计算机发挥出自身强大的功能。信息安全事关各个方面的安全问题,确保用户的个人隐私、国家和社会的安全、各个领域的正常发展,所以说计算机信息安全技术的应用不可缺失。此外,因为计算机信息系统中保存着很多电脑用户的隐私和信息,如果互联网周边的环境得不到很好的保护,那么这些文件就会受到很大的威胁,甚至整个系统都会受到严重的威胁。

目前,发生了很多关于计算机信息系统安全的案例,网络安全开始得到人们的广泛关注,从事计算机安全的工作人员也开始探索和研究保护信息系统安全的技术,但是,目前来看,这些方面的研究工作不能得到很快的实施,还需要一段时间,面对互联网的进步,要准确地对信息系统安全做出及时的判断,进一步掌握时机情况,再以此制定相应的措施,问题将会得到很好的解决,不过在这个过程中会有很多意想不到的突发情况,这是无法预料的,因此计算机信息系统安全的从业人员必须经过很长一段的时间研究网络安全方面的技术,并进行实践。

信息系统安全就是把系统安全放在所有研究项目的第一位,这是首要的研究目标,必须使每一个细小的环节都得到实践,在开发系统的时候,要依照不同的系统的特征,找出适合其安全的技术实施措施,每一个环节的系统安全技术都要到位,最好在运用计算机系统时,系统与系统之间不要有任何关系,保证新开发系统的每个环节的独立和安全。

2 威胁计算机信息系统安全的因素

关于计算机信息系统安全的定义是储存在系统中的信息不会遭到某些为了利益的人运用先进的科学技术去窃取,而使信息不再完整、真实和具有严密性。现今,影响信息系统安全的因素包括几个方面:一方面是偷盗互联网用户的账号并取得自设的密码,计算机内部的访问控制功能不再起作用,从而实现其偷盗的目的,实现远程控制和操作;一方面是一些人拥有计算机安全的技术,使用一些处理技术对数据进行恢复,最终达到他们窃取的目的;一方面是利用一些相关的技术神不知鬼不觉的将程序定时炸弹安装在计算机用户的程序中,计算机的系统会被破坏;一方面是传播一些具有特性的病毒对目标计算机用户进行感染,使他们的计算机无法正常的工作;另一方面是运用一定的干扰技术使系统的程序受到很大的干扰,让程序的反应速度变得越来越慢,达到最终的破坏目的。

3 计算机信息系统安全技术的研究

保证信息系统的安全也是在保护计算机信息系统中的重要信息不被破坏和偷盗,若是被窃取也无法打开信息、查看里面的内容,即使运用相关的技术查看到信息也不能删改信息。通过层层的保护,计算机用户的信息安全就得到了保护。现今,要想达到这样的效果有两种技术,分别是密码技术和防火墙技术。

3.1 密码技术

所谓的密码技术就是密码的设置、密码的分析、密钥的管理以及密码的验证的总称,它的原理是把计算机信息系统中的信息层层加密,让信息以密文的状态回到通信轨道,计算机用户得到密文后,在利用之前设置的密码将密文解密,使其恢复到原来的数据,达到其使用的作用。

然而数据加密的要求以及解密的密钥的要求是不一样的,不需要必须达到一致,因此将密码技术又划分为对称密钥和非对称密钥两种加密技术。

所谓的对称密钥加密技术就是在对用户信息加密的同时运用加密和解密两种方式设定一致的密钥,这样,知道密钥的情况下就可以随意地查看数据,因为如果使用这种密钥,计算机用户一定要对自己的密钥保密,不能随便告诉别人,否则一旦密钥泄露,那么信息安全就会受到威胁。这种加密方式典型的是DES算法,它是使用56 位的密钥对64 位数据进行加密的方式,在数据加密之前就先把要保护的系统信息分块,使其成为64 个独立的模块体,然后对64 个模块采取16 轮反复无规则的顺序排列转换为关于64 为模块的密文数据,利用计算机用户自己设置的密钥和密文的关系将密文进行再次排列,这样原来的数据就会得到保护,不会轻易被解读。使用DES的同时,如今又出现了三重的DES技术,那就是将密钥延长,然后把密钥破译的难度进一步加大。

至于非对称性密钥加密技术,是指数据加密和解密使用的密钥是各不相同的,只有一种密钥是无法达到对数据进行任意查看和篡改的目的的,一般这种密钥技术中的加密密钥都是公开的,并不是只有用户知道,仅仅是因为独有它是无法读取数据的。这种技术与对称密钥加密技术相比,有能够解决密钥分发时的舍取的优点,但是这种技术也有它的缺点,那就是加密的算法非常复杂,效率与第一种技术相比比较低下。

3.2 防火墙技术

防火墙技术可以降低数据信息被恶意破坏、无故丢失或者被窃取的可能。这种技术实施的时候,利用两个技术来预防除了计算机网络个人用户以外的窃取信息者来窃取用户信息或者计算机密码,这两个种保护技术就是身份识别以及数据加密,它们可以很好的保护网络环境。而所谓的防火墙技术就是本地电脑连接外来的网络满足某种需要时,自动运行并进行操作的一种控制访问程序,它保证本地计算机用户不同意公开的信息不受到攻击,允许用户同意的信息公开,这在一定程度上加大了对计算机网络信息安全的保护力度,同时还对外来窃取计算机用户信息和密码的不正当行为进行记录和跟踪,有效地预防了黑客的入侵,阻止了他们恶意的破坏,从而很好的保护了用户的信息安全。现今又出现了智能防火墙,能够为计算机自动设置防御系统,监控本地和外界所有信息之间的访问并获取。

4 计算机信息系统安全技术的应用

4.1 数据备份

现今社会步入了大数据时代,数据在人们的网络生活中扮演越来越重要的角色。数据备份也是一种保护用户信息数据不被窃取和破坏的技术,也可以达到保护数据安全的效果。若只是简单的复制备份,无法达到保护数据安全的目的。所以在备份数据的同时,要遵守一定的原则,依照需求进行备份。此外还要制定完善的数据备份方案,尽量显示出数据的重点,尽量对数据进行定期的清理,很好的对数据安全进行备份和保护。

4.2 构建安全防护体系

合理有序的对信息系统实施必要的计划和规划,这是建设完善的安全防护体系的第一步,也是最重要的一步。从整体角度来看,想要对系统的特征和性能进行正确的分析,可以引入一些比较先进和合适的信息安全技术针。

4.3 重视对工作人员的管理与约束

运用各种安全技术的同时,我们还需要加强工作人员的管理和培训,对他们进行适当的监督,这也是重要的一个部分。近几年出现的很多关于信息安全泄露方面的案例,很大程度上与事件内部的工作人员的玩忽职守和懈怠有着密切的关系。有的工作人员是不知情,而有的工作人员则是抵挡不住外界金钱的诱惑,因此做出了泄露用户信息安全的行为,这些都给用户将造成很大的损害,包括财务甚至是人身安全,所以要重视工作人员信息安全技术方面的知识培训,加强他们的管理以及监督,并制定完善和全新的管理制度,增强工作人员的安全意识,减少此类事件的发生。

4.4 访问控制、漏洞扫描

漏洞扫描就是定期对计算机进行安全检查,从而找到潜在的网络威胁和系统的漏洞,及时进行修复的一种技术,这种技术可以保证在网络运行时周边环境的安全,它是网络信息安全使用中不可缺少的技术,所以我们还要对这种技术进行研究和完善,然后将其运用到网络信息安全的工作中去,这是保障信息安全的一项重要技术。

访问控制则是指应用在非法访问网络信息方面的一种技术,它利用防火墙来保护网路安全不受威胁。当系统的内部与外界进行信息交流的时,通过验证工具、防火墙过滤等手段可以很大程度上防止非法访问,从而达到保护信息系统的安全的目的。

5 构建完善的计算机信息系统安全技术体系结构

5.1 建立智能化的信息安全系统

引入人工智能、专家系统、知识库系统等比较先进的技术建立一个智能综合的信息系统是很有必要的,这也可以满足因为计算机的快速发展从而加大管理的需要。

5.2 开放式的信息系统

在宏观层面,有效运用信息资源共享,网络环境优化、开放式的系统达到管理系统信息的目的,让信息资源发挥出的共享的优点,并让信息交流发挥出其导向的特点,不断地融合和引入,让信息系统安全技术的模式得以转换。

6 结语

综上所述,对计算机信息系统的安全技术进行深入研究和探讨,将有助于计算机信息系统的保护工作顺利进行。要分析威胁计算机信息系统安全的因素并对计算机信息系统安全技术进行深入研究,构建完善的计算机信息系统安全技术体系结构,确保计算机信息系统安全技术的应用,以期达到使计算机技术健康发展的目的。

参考文献

[1]金琳.浅谈计算机信息系统安全技术的研究及其应用[J].计算机光盘软件与应用,2014.

[2]罗晓婷.浅析计算机信息系统安全技术的研究与应用[J].无线互联科技,2014.

[3]孙方玲,仲伟俊,梅姝娥.基于威胁的信息系统安全技术选择策略研究[J].武汉理工大学学报(信息与管理工程版),2014.

[4]胡玲莉.计算机信息系统应用安全探析[J].电子技术与软件工程,2015.

防御性驾驶安全知识 篇5

前言

交通安全是我们人类目前面临的最大风险，我国每年死于交通事故的人数接近10万。为了减少交通事故，车辆越来越安全，从ABS防抱死刹车系统到防侧翻控制系统、从气囊到气帘、从倒车雷达到自动倒车系统、从大灯转向到夜视系统，新的安全系统目不暇接。但是，据世界卫生组织（WHO）统计，全球每年仍然有高达120万人死于交通事故。

1、交通安全五大杀手

超速、超载、酒后驾驶、疲劳驾驶、开车打手机。

2、八大防御性驾驶安全技巧

技巧一：放眼远方；技巧二：洞悉四周；技巧三：视线灵活；技巧四：留有余地；技巧五：引人注意；技巧六：众醉独醒；技巧七：轻车熟路；技巧八：有备无患。

技巧一：放眼远望

*驾驶人员的视野是安全行驶的重要保障。*一般驾驶员只有3---6秒的观望距离。*要延伸你的观望距离达到15秒以上。*变道和倒车的时候要确保视野开阔。技巧二：洞悉四周

*每5—8秒扫视侧、后视镜以洞悉四周情况。*辨别车辆四周相关和不相关的物体。*改变车辆的位臵以增大视野。

*任何时候都保持合适的跟车距离。

*倒车时：注意观测潜在的危险，当有疑惑时，应下车察看；如有可能，请人指挥。

技巧三：视线灵活

*避免发呆凝视和专注凝视。*避免紧盯同一目标超过2秒。

*避免分心：景物分心（风景、美女、车祸）；车内分心（小孩、音乐、手机忽然响起）；身体分心（肩背痛、饥饿、尿急）；精神分心（斗气、想家、琢磨某事）。

技巧四：留有余地 *避免在车群中行驶。

*预估他人的行为，如超车、变道、刹车等。*保持四周合适空间。

*倒车时，为您的车辆留出足够的空间。

技巧五：引人注意 *争取利用目光接触。

*使用警告装臵，如指示灯、喇叭。

*合适时机是关键，如果没把握，就不要突然改变车速、车道等。*倒车时，争取视野接触并且使用警报装臵，当您还不能确信的时候，就先不要动。

技巧六：众醉独醒

*路上观察其他车辆和司机的状态。*识别疲劳症状。

*选择解除疲劳的方法。

*选择避让线路或停车地点。*保持充足睡眠并制定行车计划。技巧七：轻车熟路 *选择路线。

*道口操作三要素（提前减速、提前换挡、适当位臵）。

*转弯、边线与观察（转弯或调头时三个危险方向、环型交叉道口不要随意变线、事先受阻时的观察技巧）。

*注意观察视线死角区域的行人和车辆。*避免鬼探头，即行人或非机动车辆突然出现在视线障碍物之前。技巧八：有备无患

*不要依赖自己对他人行为的判断。

*调整跟车距离，在任何时候，车的前后、左右距离保持正常。*避免并排行驶和视线盲点，留有逃生通道。

*随着外界环境的改变来调整驾驶，减速或保持空间。比如天气变化、上下坡、弯道、视线不清的道口、天色变暗或路边的停车，任何时候一旦觉到有潜在的危险，脚应立即放在刹车上，这个简单的动作意义重大。

3、驾驶安全黄金准则

准则1：检查与维护；准则2：安全带；准则3：数据记录仪；准则4：乘客定员；准则5：培训；准则6：手机；准则7：饮酒与药品；准则8：疲劳；准则9：道路分析评估。

准则1：检查与维护

*认真检查燃料油、润滑油和冷却水是否充足。

*灯光、喇叭、刹车、传动、转向、轮胎气压是否正常。*行车证件、附件及随车工具是否齐全。*发动车后观察各种仪表是否正常。

*低速运转三至五分钟后，视四周无障碍，方可起步。准则2：安全带

*安全是人们出行的最基本的需求。但是有些人在购车时也非常注重车辆的安全性能，可是对于保护驾驶人和乘客生命的安全带却重视不够。当高速行驶的汽车发生碰撞或遇到意外紧急制动时，将产生巨大的惯性力，这个惯性力可能超过驾驶人体重的20倍，使驾驶人及乘客与车内的方向盘、挡风玻璃、座椅靠背、车门等物体发生碰撞，极易造成对驾乘人员的伤害，甚至将驾乘者抛离座位或抛出车外。研究表明，在我国有90%的驾乘人员没有自觉系安全带意识和习惯。安全带失灵时导致道路交通死亡事故发生的

*开车前确保得到了适当的休息，禁止疲劳驾驶。在感到疲劳时必须停止驾驶，并采取适当的调整或经过一段时间的休息或睡眠后再驾驶。

*疲劳驾驶的危害：驾驶员体力下降、注意力不集中、视觉敏锐度降低、反应迟钝、判断力下降、操作失误增加。

*据统计，因疲劳驾驶造成交通事故的占总数的20%左右，占特大交通事故的40%以上。

*一天当中三个时间段最容易出现疲劳驾驶。一是11:00—13:00，经过一个上午的工作，人的大脑神经已进入疲劳状态，反应可能会“慢半拍”，加上有的司机急于赶路不吃午饭，腹中空空，自然手脚疲软，极易出现意外。而午餐后人体内大量血液作用于胃肠等消化器官，脑部供血相对减少，因此会出现短暂的困倦感和注意力分散；二是17:00—19:00，这个时间段车主容易出现眼干、喉燥、头晕目眩、耳鸣、打嗑欠等一系列疲倦症状；三是凌晨1:00—3:00，在这段时间由于极度疲劳，车主一不留神就会进入睡眠状态，有些心脏不好的人还容易诱发疾病。

4、如果您的车辆发生故障，应该如何处理？ *不要惊慌；

*立即打开危险信号灯；

*为进一步确保其他驾驶员可以看到您，请使用危险三角标志物，如无此物，可用其他鲜艳物品如红布等显示您的的车出了故障；

*不要逗留在车内；

*给您当地的拖车打电话，说明您的地点、车牌号、车型、颜色及联系电话。

*对于接近您并要向您提供帮助的人要谨慎，以防乘机打劫； *当拖车到达时，确认的确是您电话通知的那一辆； *弄清楚您的车会被拖至何处，费用多少； *记下拖车号码；

*向您的家人或目的地接待人员通知您可能晚到，避免不必要的担心。

5、防御性驾驶中的安全距离

*为自己和其他道路使用者预留失误空间，开车时，观察四周环境，目测逃生路线，想象您可能用到的出口，并留出躲避空间。想象自己如何躲避一名突然冲到面前的儿童，或者从建筑物大门疾驶而出的汽车，或在您车道上摇摆前行的自行车。

*简而言之，控制车速，给自己时间反应并作出预防措施。重大事故的发生往往只在转念瞬间。

6、安全距离四秒钟口诀

*随着车速的提高，您与前方车辆的距离也应相应增加，因为刹车距离将会延长。

*路边通常有许多标志：树木、路灯、地名牌等。

*当您前方的车辆经过其中之一时，开始以正常速度数“千分之

一、千分之

二、千分之

三、千分之四”。完成这一口诀恰好需要4秒钟的时间。如果您在念完之前驶过相同的路标，则表明您没有保持安全的车距。

*在恶劣环境下，要保持更长的车距。

7、夜间行驶的安全预防措施 *减速；

*增加休息次数；

*保持车灯干净不结霜起雾，同时保持挡风玻璃里外清洁，将仪表灯光调低以提高外部可见度。

*计划好行程。沿最安全的路线行驶，尽可能利用白天赶路。

8、夜间行驶的安全注意事项

*行车前检查灯光是否齐全、车辆是否有故障； *驾者必须掌握照明和信号装臵的正确使用方法； *严格控制车速；

*不要直视对面车灯；

*不要在无路灯的路上停车；

*尽量避免夜间超车，必须超车时，应事先连续变换远、近灯光告知前车，在确实判定前车让路允许超越后，再进行超车；

*注意行人和非机动车，注意道路中的障碍、施工指示信号灯等； *严禁疲劳驾驶，尤其在黄昏或黎明时分，是驾者最容易感觉身体疲劳阶段。黄昏要及早开灯，黎明可推迟闭灯，慎防瞌睡，加倍谨惕。

9、雨中安全驾驶的几项技巧

*放慢速度行驶，因为在雨中减速需很长时间；

*大多数道路中央区较密实，雨水往往会聚集在外车道； *尽可能沿中间车道行驶；

*不可过于跟近公共汽车或卡车，其溅起的水花会遮住您的视线； *光线昏暗时打开车前灯，可使您在道路上更容易被别人看到； *保持挡风玻璃冲洗液始终处于加满状态； *使用防雾剂或空调给挡风玻璃除雾。

10、雾天行驶的安全预防措施

*大雾中，如果您能看到前方车辆的尾灯，您很可能已距其太近，紧急情况时将难以刹车；

*在雾气相对较薄的地段，不要试图加速；

*检查雾灯是否正常；

*能见度差将使人心情烦躁，眼睛可能疲劳。11、1、雾天行驶的安全注意事项

*出车前检查、擦净挡风玻璃、灯具、后视镜、车窗； *减速慢行，保持安全的行车距离；

*利用喇叭与其他车辆交换信息，并有效地使用车前灯、雾灯、车后灯；

*路面湿滑，停车时要提前平稳制动； *严格遵守交通信号机标志，禁止超车。

12、冰雪天气驾驶的安全经验技巧

*尽量沿着有车辙的路线走，避免在被冰雪封盖、高低不平、情况不明的路面上行驶；

*减速慢行，减速应利用发动机刹车，切忌紧急刹车，以免侧滑导致危险；

*路面上禁忌急打方向盘，当需要转向时，应先减速，适当加大转弯半径并慢打方向盘；

*在安全的情况下，定期作刹车距离实验，不要过高估计您的防滑刹车系统；

*如果您需要靠边停车或直接停车，请慢慢地、有掌握地把车驶入安全区域；

*会车前应充分减速，并保证两车间有足够的横向安全间距； *冰雪道路上跟车行驶，一般与前车的安全距离应是平时在干燥路面的两倍以上。

13、大风天气行驶的安全经验技巧

*集中精力，严密注意前方车流及行人的动态； *坚持中低速度行驶，随时准备制动停车；

*双手握稳方向盘，汽车产生横向偏移时，切勿慌乱急转方向盘来拨正，而应少量、缓慢地转动。

14、高速公路驾驶技巧

○正确进入行车道

*车辆从匝道入口进入高速路，必须在加速车道提高车速，并打开左转向灯，在不影响行车道上车辆正常行驶时，从加速车道进入行车道，然后关闭转向灯。

○保持安全距离

*车辆高速行驶中，同一车道内的后车必须与前车保持足够的安全距离，经验做法是：安全距离约等于车速，当车速为100km/h时，安全

距离为

100米，车速为70km/h时，安全距离为70米，若遇雨、雪、雾等不良天气，更需加大行车间隙，同时也要适当降低车速。

○谨慎超越车辆

*需超车时，首先应注意观察前、后车状态，同时打开左转向灯，确认安全后，再慢慢向左转动方向盘，使车辆平顺地进入超车道，超越被超车辆后，打开右转向灯，待被超车辆全部进入后视镜后，再平滑地操作方向盘，进入右侧行车道，关闭转向灯，严禁在超车过程中急打方向盘。

○正确使用刹车

*高速公路上行车，使用紧急刹车是非常危险的，因为随着车速的提高，轮胎对路面的附着能力下降，刹车跑偏、侧滑的几率增大，使汽车的方向难以控制，行车中需刹车时，首先松开加速踏板，然后小行程、多次轻踩刹车踏板，这样点刹的做法，能够使刹车灯快速闪亮，有利于引起后车的注意。

○超车

*确保自己了解所驾驶车辆的性能，超车时换成抵挡以保最大加速；

*确保自己和要超的车辆及对面车流之间保留较大的距离； *打开车前灯提醒对面驶来的司机，按喇叭提醒您要超的车辆； *超车完全是自愿行为，哪怕有一点点疑虑，也应放弃超车念头。○停车

*请打信号，并以正常交通速度或接近于此的速度驶入停车带，然后减速。如停车带没有地面标志，请打转向灯，减至安全速度，然后停车。

*黄昏后、黑暗中或气候恶劣时请打开停车灯； *夜间请不要在车后站立或工作以免挡住尾灯光线；

*日间或夜间，请在车后摆放反光材料或其他警告材料。在至少300英尺以外（大约120步左右）另外摆放一个警告器材，打开车盖，如果您需要帮助，请在天线或车左门把手上系一条白手帕。

15、车辆事故发生时应该采取的行动 *立即停车；

*打开前灯、信号指示灯或危险警告灯以提醒其他驾驶员，如果太黑，请照亮现场；

*如有可能，派人提醒对面驶来的驾驶员； *救助受伤的人；

*如有人员伤亡或财产损失，请拨打紧急救援号码联系警察或救护车。

16、交通事故应急号码

110—报警、119—火警、120—急救中心、122—交通事故、114——电话号码查询。

17、保险公司报险电话

安全防御体系 篇6

摘 要 通过健全农业气象服务体系和农村气象灾害防御体系，体现“三农”的政策性作用。根据建设发展的要求，分析这两个体系的发展现状，总结发展中存在的，寻求最优解决方案，进而让两个体系呈现出稳步的发展态势。

关键词 农业气象服务；农村气象灾害；防御体系

中图分类号：S165 文献标志码：B DOI：10.19415/j.cnki.1673-890x.2016.21.134

新时期，党和国家都十分重视气象服务体系和农村气象灾害防御体系的建设。特别是在解决“三农”问题的过程中，这两个体系的建设能让气象部门更好地发挥其服务性职能，并依托政府平台做好服务载体。因此，有必要加强两个体系的建设工作，推进“三农”工作上升到一个新的高度。

1 建设现状

目前，建设中要从当前气象防御的实际情况为出发点，将两个体系看成现代化农业的基础性体系，并让气象服务系统服务于农村的公共基础，打牢为农服务的基础，在此期间不但能强化目前的服务能力，建立自动气象站、土壤水分站和农业气象实验站等相关的农业体系。全网络化农村气象预警信息的覆盖，能更好地提升公共服务的满意状况[1]。并通过建立“两个体系”让科学防灾和减灾系统趋利避害，进一步提高农业抗击风险的能力。

2 存在问题

2.1 难以构建长效机制

建立“两个体系”能够让工作呈现长效性，有利于巩固建设的成果。在气象防灾和减灾工作推行中，经常会出现“台子好搭戏难唱”的情况，即很多具体的工作不能在实际工作中真正落实到位，部分气象管理人员在日常管理中不能做好工作细节，一是由于工作责任心不够，二是由于日常工作培训不到位。在检测预警时，由于多部门的参与，经费耗费较大，所以气象设施的使用频率较低。目前，气象灾害防御规划方面的制约性缺失，应急准备和联动机制尚无有效的考核机制，很多部分出现重视硬件，轻视服务的状况，虽然硬件系统比较好，但后期服务跟进不到位，出现很多问题。

2.2 人才技术缺失

目前，比较常见的问题是农业气象观测技术和实验手段比较落后，很多地方都停留在“一把尺子、一个取土钻”的粗糙观测方式上。由于农村气象灾害监测站受站网布局的限制，出现评估水平偏低，雨情等灾害收集不到位的情况，分析手段不够先进的状况。涉农部分由于信息共享不同步，所以服务过程中产品的针对性还有待斟酌，不能较好地与当地支柱性产业相配合，导致发展很局限[2]。在“两个体系”各项建设任务中，对人员素质有着不同的要求，要求参与建设的人员不仅要懂气象更要懂农业，不但懂信息更要懂技术。总之，要求参与人员是综合性人才，做到“知农时、懂农事”。

2.3 难以发挥主体作用

调查相关的农村气象服务结果。目前，西部地区仍然有15%左右的农村人口不能得到及时、准确的气象预警信息，很多乡镇也不能达到“两个体系”的系统化目标建设，不能及时了解气象变化状况。故此，两个体系的规划目标能否实施的关键在于各级政府的政策和措施落实力度。在“两个体系”建设中，为保障城乡公共气象服务更具均等化，要提升政府的主导作用，让政府在主导中作为主体存在，开展创造性较好的活动，因地制宜，理清轻重缓解，寻找落脚点和出发点，想办法攻破难题，并集中财力、人力和物力全面推进两个体系的建设发展要求。

2.4 难以筹措建设资金

农业气象服务和农村气象灾害防御这两个体系的主要资金来源都是政府投资、重点依靠工程支持这两个方向。如果要想让工作更为深入，就要观察到乡，服务到站，这些措施的深入开展需要依托强大的财力支持。尤其是在西部不发达地带，由于主导产业规模偏低，导致农民增收比较缓慢，进而导致财政收入受到限制，以上诸要素都会制约财政建设。

3 应对措施

3.1 分步骤开展统筹规划

在建设农业气象服务体系和农村气象灾害防御体系时，要根据体系建设要求做好指导，并要适应现代气象建设的总体要求。因此，在指导框架下，要合理地规划农村的气象灾害状况，并根据建设的目标和内容做好整体性和集约性的分配。特别在防灾减灾工作推进中，分布开展，能够让气象服务成果获得阶段性进展，继而在下一步工作中，建设体系，搭建工作平台[3]。需要在气象服务站点做好气象服务平台的搭建和维护，并在气象信息服务环境下做好乡镇村的服务规划，需安装视频或者播音等相关预警设施，完成预警互动交流。另外，为加快农村气象服务创新开发，要在农业科技示范的前提下，将种植大户看作服务依托，目的是在构建现代化农业服务方案，创新发展的前提下，做好农作物的观测和质量检查。

3.2 突出政府的主导和社会的参与效果

借助于政府的主导和社会的参与，能够让农业气象服务进入新的发展领域，特别是在实际工作中，为更好地带动带动气象服务信息就要结合农村的气象服务状况，做好领导机制改建，通过组织技术的完善结合地方党委和政府的体系建设，将政府看成活动的主导，并结合体系的发展现状，投入大量的可用资金，保障工作的顺利推行。此外，为保障体系建设的有章可循，就要在做好阶段性的农业气象服务体系和农村气象防御体系的前提下，将规划要点融入到政府组织结构内，这不但可以监督政府部门的工作，参与掌控，也能实现政府部门的责任最小目标，根据体系建设要求，做好后期验收，可以通过“以奖代投”的方式，对应部分体系做好资金建设。

3.3 部门协作，促进资金整合

建设过程中，要安排相关人员对现阶段的状况作详细了解，并考评气象台站的情况。评估的内容包括设备资源、人力资源、技术资源等几个方面，要求体现建设具有针对性特性。需要注意的是，不能仅仅将农业气象服务体系和农村气象灾害防御体系的建设看作政府部门的工作内容，而是要与其他部门相互合作，并将涉农行业或者部门全部纳入其中，包括水利、林业和工业等相关产业和部门[4]。通过综合应用上述涉农行业的资源，将多站合一的方式作为其基本建设原则，并在建设农村气象服务站的前提下，让信息服务与建设工作之间相互协调，促进其发展。宣传气象灾害的防御措施，科普气象宣传教育工作，最大限度地提升整个对外工作的状况和工作人员的素养。

3.4 适应需求，突出重点

从目前的实际要求出发，立足市情、县情和区情，结合农村的实际工作情况，认真调研，全面分析全市“三农”工作对农业气象发展的服务影响要素，并结合发展状况做好分层指导，满足气象灾害的主要防御要求，并切实从农民实际状况出发，将防御和减轻灾害看成服务的重点内容，在提升农村气象灾害监测和服务能力的前提下，做好有针对性的服务，满足准确预警的信息需求，在优化服务系统的同时，做好体系建设工作，让其发挥最大作用。

4 结语

在分析农业气象服务体系的进程中，需做好农业气象灾害防御体系的建设。要明确现阶段存在的各类问题，在突出政府主导地位的前提下，运用合理的方式解决现有体系中存在的不足。开展部门写作的方式，针对建设要求，解决部门协作滞后性的问题，并结合统筹规划，分步骤、分层次地解决各类问题。

参考文献

[1]矫梅燕.健全农业气象服务和农村气象灾害防御体系[J].求是，2010（6）：56-57.

[2]张翘，王焕毅.健全农业气象服务和农村气象灾害防御体系[J].农民致富之友，2015（16）：292-293.

[3]齐军岐，陈卫东.农业气象服务体系和农村气象灾害防御体系建设问题分析[J].农业与技术，2012（2）：8-9.

[4]贺道明.农业气象服务体系和农村气象灾害防御体系建设问题分析[J].科技创新导报，2013（32）：233.

安全防御体系 篇7

人们对信息安全的认识随着信息安全形势的发展、信息安全技术的革新而变化,在不同领域的不同时期,解决信息安全问题时的侧重也各有不同。以往人们对于安全防护体系的关注焦点是以防护技术为主的相对静态的安全体系,而技术的进步导致信息安全问题愈发严峻,信息安全防护要求不断提高,其动态性、过程性的发展要求凸显。P2DR(Policy,Protection,Detection and Response)安全模型和IATF信息保障技术框架是信息安全体系发展的重要里程碑,奠定了信息安全体系逐步动态化、过程化的基础。

P2DR模型源于美国ISS公司提出的自适应网络安全模型(Adaptive Network Security Model,ANSM),其在整体安全策略的控制和指导下,综合利用防护工具和检测工具了解、评估系统的安全状态,将系统调整到“最安全”和“风险最低”的状态。在此过程中,防护、检测和响应形成一个完整、动态的安全威胁响应闭环,在安全策略的整体指导下保证信息系统安全[1]。P2DR安全模型如图1 所示。

IATF是美国国家安全局(NSA)组织编写的一个全面描述信息安全保障体系的框架,它提出了信息保障时代信息基础设施的全套安全需求,其创造性在于:首次提出了信息保障依赖于人、操作和技术共同实现组织职能/ 业务运作的思想,人通过技术支持实施操作过程,最终实现信息保障目标;提出稳健的信息保障状态取决于信息保障的各项策略、过程、技术和机制,在整个组织信息基础设施的所有层面上都能得以实施[2]。IATF安全防护框架如图2所示。

网络攻击技术的不断更新使得网络安全问题日益严峻,特别是高级持续威胁(Advanced Persistent Threat,APT)的出现,对网络安全防护提出了新的挑战。相较于其他攻击形式,APT主要体现在攻击者实施攻击前需精确收集攻击对象的业务流程和目标系统信息。而在信息收集过程中,此攻击会主动挖掘攻击目标信息系统和应用的漏洞,并利用这些漏洞组建起攻击者所需的网络,进一步利用0day漏洞进行攻击,从而达到终极攻击目的。针对APT攻击的防护,Enterasys、Cisco等公司产品都体现了主动防御的理念。在安全防护体系方面,P2DR安全模型侧重技术层面,通过更改安全防护策略防护已发现的安全事件,虽具动态性,但仍局限于被动的事后响应;IATF安全模型侧重人、操作与技术一体,强调人的主动性和流程的主动过程。

综上所述,如何在恶意攻击行为发生前主动检测网络中存在的脆弱点,研究并预测攻击者行为,建立起主动型防护体系是信息安全领域中的一个重要课题。本文基于以上2 种思路,结合情景感知思想,构建了新一代主动安全防护体系,在事前进行威胁防御[3]。

1 基于情景感知的新一代主动防御体系

主动防御是一种前瞻性防御,通过针对性地实施一系列安全防御措施,提前发现安全薄弱点或安全攻击行为,并实施安全防护措施。这种防御理念不同于以往滞后于攻击的防御,能够检测未知攻击,预测未来的安全形势。主动防御具有自学习能力,能自动对网络进行监控,对发现的攻击实时响应,通过分析攻击方法和技术,对网络入侵进行取证,对入侵者进行跟踪甚至进行反击等[4]。

情景感知技术源于普适计算的研究,通过传感器获得关于用户所处环境的相关信息,从而进一步了解用户的行为动机等。该技术适用于信息安全主动防御体系,能在特定功能的网络应用中识别主体、客体以及主体对客体的动机。一方面,基于情景感知技术,能及时识别如地点、时间、漏洞状态等当前情景的信息,提升信息安全决策正确性;另一方面,通过构建特定的感知场景进行分析,可降低攻击的误报率,包括分辨传统安全防护机制无法防护的攻击以及确定有意义的偏离正常行为[5]。

本文提出的主动防御模型是在P2DR安全模型的基础上进行延伸,包括情景感知(Aware)、动态防护(Protect)、深度监测(Detect)与研判处置(Response),即APDR模型。基于情景感知的主动防御模型如图3 所示。

图 3 基于情景感知的主动防御模型Fig.3 Active defense model based on context-aware

1.1 事前情景感知

在攻击发生前,主动搜集外部威胁情景和内部情景信息,转换特定的安全策略应用到防护和监测过程中,对内外部威胁提前预警并制定防护策略,另外通过搜集威胁情报与现有资产属性匹配,实时进行风险预警[6,7]。

1)外部情景信息。针对外部攻击,主要通过获取威胁情报,依靠专业的安全分析团队,综合分析之后形成情报的处置决策,并通过网络安全设备或终端上的安全软件来执行决策,实现针对高级攻击的防范,整个过程可以通过设备自动执行。威胁情报一般包括信誉情报(“坏”的URL、IP地址、域名等)、攻击情报(攻击源、攻击工具、利用的漏洞、采取的方式等)等。通常可以从安全服务厂商、CERT、防病毒厂商、政府机构和安全组织机构得到安全预警通告、漏洞通告、威胁通告等,这些都属于典型的安全威胁情报。

2)内部情景信息。主要是指对内部异常行为进行监控,内部异常行为造成的破坏是导致安全事故的主要因素,外部攻击者发起APT攻击,其中的部分环节需要通过“内部行走”才能接触到敏感数据,从而实现盗取或破坏的目的。企业内部的威胁源包括可能准备离职的有恶意的内部人员、内部人员长期慢速的信息泄露等,内部攻击也可能由具备内部访问权限的合作伙伴或者第三方发起。通过制定不同的情景,获取样本,建立正常行为模型,并分析内部网络流量或终端服务器上的行为,可及早发现异常。内部情景主要指“主体”到“客体”的访问行为情景,主体是人或应用,客体是应用或数据。情景包含的因素有5W(Who、When、Where、What、How),常见的异常情景有:登录异常行为,包括异常时间、频繁登录失败等行为;业务违规行为,包括高频业务访问、业务绕行等。

1.2 事中动态防护与监测

对于事中动态防护与监测,一方面根据已知情景进行威胁行为模式匹配,另一方面能基于网络交互上下文动态学习(自学习)和感知网络特定上下文,建立相应的情景模型,对异常行为进行告警和阻断[8]。

1)威胁模式匹配。对于外部威胁情报中的信誉情报防护设备,直接根据安全事件的某个特征进行模式匹配即可,如检测有外向连接到已知的危险实体,或者检测可作为潜在攻击线索的事件和行为特征的序列等[9,10]。对于攻击情报中攻击源、攻击工具、利用的漏洞、该采取的方式等信息进行威胁情报建模,对安全事件进行特征提取,形成特征序列和威胁情报模型进行关联分析。威胁情报标准及其可机读性是关键,为使计算机能自动识别其表达行为,一般采用XML语言自描述。目前成熟的国外威胁情报标准包括网络可观察表达式(Cybo X)、结构化威胁信息表达式(Structured Threat Information e Xpression,STIX)、可信自动交换指标信息(Trusted Automated eXchange of Indicator Information ,TAXII)等。

2)威胁行为学习。威胁行为是指不符合业务逻辑的行为,包括针对性的威胁行为(黑名单)及违反正常行为(白名单),通常表现为基于时间序列或基于统计的行为。威胁行为学习通过分析事件间的关系,利用过滤、关联、聚合等技术,最终由简单事件产生高级事件。行为的学习可以通过业务专家或者安全专家直接建模,但更多是通过机器学习方式辅以人工知识进行建模。机器建模包括训练和验证过程,一般模型的准确率低于专家建模。

1.3 事后溯源和研判

事后溯源和研判是指对攻击行为进行研判和取证,反馈攻击行为给情景感知模型并修订防护策略,在适当时机通过技术或者法律手段对入侵者进行反制。

1)安全事件研判。采用可视化手段对可疑安全事件或预测性安全事件进行分析,确定攻击的准确性以及造成的损失。事件研判需要专业能力强的安全运维人员来进行,除了具备安全知识外,对应用系统的行为也要非常熟悉。交互可视化可以大幅提高事件研判的效率,但定制化因素较多,也可借用成熟的工具进行事件研判,如安全沙箱、网络分析软件等。事件研判的结果应立即进入处置流程,使安全事件闭环,从而进一步完善主动防御体系。

2)攻击溯源取证。溯源是指在网络攻击发生后,通过已发现的攻击路径追寻攻击者的相关信息。溯源相关的事件包括业务事件和网络事件,业务事件的目的是查找使用者,网络事件的目的是查找网络报文的发送者。溯源通过事件或者日志链层层查找,而取证则需要对系统或网络攻击行为进行还原,涉及的技术比较广,也是目前针对企业合规及司法取证的热点。

2 基于情景感知的主动防御体系实践

建立主动防御系统是一项十分复杂的工程,从IATF安全保障体系来看,涉及人、流程、技术等要素的有机结合。在主动防御体系建设方面,为体现主动防御体系的前瞻性、自学习、实时响应,除了组织流程建设外,还需要在威胁感知基础设施方面不断进行完善,并不断完善防护、监测等技术措施,提升主动防御体系的完整性。基于情景感知的主动防御体系如图4 所示。

在组织方面,需要构建内外部威胁情景信息搜集队伍以及可以编写内外部威胁模型、能对安全事件进行精准研判的人员。另外,对于情报的搜集要建立适当的渠道,以确保情报的准确性、权威性。目前国内各大企业侧重于体系建设、技术与产品的实施,对运维能力和组织建设方面的关注不够,导致很多宣称已经实现的主动防御体系仅仅落实在字面上。

图 4 基于情景感知的主动防御体系Fig.4 Active defense system based on context-aware

与组织对应的是流程体系建设,主动防御体系是基于P2DR动态防御体系之上的,需要不断完善流程,应对不断演进的内外部威胁。建立高效的流程体系,可以确保各种技术、管理手段得以落实,从而更好地满足企业政策合规和生产经营需要。

在技术层面,构建主动防御体系需要企业规划有一个总体的清晰线路,各种技术手段相互关联、补充。主动防御具有前瞻性的前提是对网络及应用环境的资产属性及安全属性有全面的掌握,能实时发现系统的弱点、威胁和风险。在基础设施方面,安全基线系统建设最为关键,由于被防护系统会不停变动、新的系统不断被引入、用户账户不停新建或撤销,新的漏洞不断披露,针对新威胁的适应改造也需一直进行。因此,应持续对终端设备、服务器端系统、漏洞和网络交互接口、业务交互行为进行重定基线以及挖掘发现。主动防御体系关键数据模型如图5所示。

在数据模型方面,需要对主动防御体系的内涵进行诠释,确保该体系建设过程中数据流和信息流能够统一和集成。主动防御体系涉及的关键信息模型包括威胁情报模型(需要对不同攻击源进行统一描述)、防护设备策略模型(不同厂商策略的统一便于威胁情报模型在防护设备中得以动态实施)、防护设备告警模型(需要统一或规范各厂商设备告警内容的一致性)、业务情景模型(需要从系统、网络、业务层面构建统一的业务模型),以及监测层面的事件模型(统一安全事件,便于事件的统计分析和风险计算)、态势感知预测模型(对网络流量、业务交互频率、安全事件发生频率等进行建模)等。但这些模型的核心是防护对象的资产模型,包括拓扑属性、安全属性、运行属性等,是上述模型的纽带和计算基础。

3 结语

从国内信息安全主动防御体系建设来看,电信行业起步较早,以传统的安全信息和事件管理(SIEM)为起点,逐渐发展安全管理平台(SMP),实现了终端、网络、应用防护技术的统一,并且承载安全管理、安全合规、安全处置和安全规划等能力,安全建设更加体系化,为主动防护体系实施奠定了基础。在能源行业,电力二次系统从最早的边界防护到一体化调度支撑系统的建设,再到可信计算的应用,实现了终端、网络、应用的层次化纵深防护,也为主动防御体系建设奠定了基础。如何构建更加智能主动的防御体系,还需要结合具体的业务情景进行不断研究。

随着威胁情报标准的制定以及大数据实时流处理、机器学习技术的应用,实时动态感知威胁情报、实时威胁情景学习与预测将使安全防护措施识别攻击的成功率和精准度进一步提升,促进主动防御体系的进一步成熟。

参考文献

[1]JAJODIA S.网络空间态势感知问题与研究[M].余健,游凌,樊龙飞,等译.北京:国防工业出版社,2014.

[2]王慧强,赖积保,朱亮,等.网络态势感知系统研究综述[J].计算机科学,2006,33(10):5-10.WANG Hui-qiang,LAI Ji-bao,ZHU Liang,et al.Survey of network situation awareness system[J].Computer Science,2006,33(10):5-10.

[3]陈秀真,郑庆华,管晓宏,等.网络化系统安全态势评估的研究[J].西安交通大学学报,2004,38(4):404-408.CHEN Xiu-zhen,ZHENG Qing-hua,GUAN Xiao-hong,et al.Study on evaluation for security situation of networked systems[J].Journal of Xi'an Jiaotong University,2004,38(4):404-408.

[4]李蕊,李仁发.上下文感知计算及系统框架综述[J].计算机研究与发展,2007,44(2):269-276.LI Rui,LI Ren-fa.A survey of context-aware computing and its system infrastructure[J].Journal of Computer Research and Development,2007,44(2):269-276.

[5]张屹,张帆,程明凤,等.泛在学习环境下基于情境感知的学习资源检索模型构建[J].中国电化教育,2010(6):104-107.

[6]贾焰,王晓伟,韩伟红,等.YHSSAS:面向大规模网络的安全态势感知系统[J].计算机科学,2011,38(2):4-8.JIA Yan,WANG Xiao-wei,HAN Wei-hong,et al.YHSSAS:Large-scale network oriented security situational awareness system[J].Computer Science,2011,38(2):4-8.

[7]温辉,徐开勇,赵彬,等.网络安全事件关联分析及主动响应机制的研究[J].计算机应用与软件,2010,27(4):60-63.WEN Hui,XU Kai-yong,ZHAO Bin,et al.On network security event correlation analysis and active response mechanism[J].Computer Applications and Software,2010,27(4):60-63.

[8]韦勇,连一峰,冯登国.基于信息融合的网络安全态势评估模型[J].计算机研究与发展,2009,46(3):353-362.WEI Yong,LIAN Yi-feng,FENG Deng-guo.A network security situational awareness model based on information fusion[J].Journal of Computer Research and Development,2009,46(3):353-362.

[9]CHEN S H,JAKEMAN A J,NORTON J P.Artificial intelligence techniques:anintroduction to the iruseformodelling environmental systems[J].Mathematics and Computers in Simulation,2008,78(3):379-400.

安全防御体系 篇8

现代社会是一个信息化的社会,企业的经营与管理以及人们的生产与生活对于信息的即时性以及安全性要求越来越高。 现阶段,国内外很多企业都着手对内部的计算机网络进行建立,从而使内部的资源得以充分合理的利用,不断提高企业的管理效率与水平。 为了能够使信息得以有效的共享,需要通过计算机网络将各类信息有机的结合在一起,在此过程中由于计算机网络会外延到其他局域网络,这样就会增加企业信息泄露的可能性,对企业信息安全造成极为不利的影响,因此为了能够切实地保护企业信息安全,对计算机信息系统安全防御体系进行构建意义重大。

2 企业计算机信息系统安全防御体系构建的原则

第一,最小特权原则。 实际上就是对于任何的应用对象而言, 都应该仅仅赋予它执行某些任务的那些特权,而不应该给予太多,如此一来,能够在很大程度上避免入侵者的闯入,保护企业计算机信息系统的安全。

第二,事先预警原则。 具备风险预警功能的网络安全防御体系是一种计算机信息系统安全防护系统的一种理想状态。 因此,在对安全防护系统进行建立之前,不仅需要进行风险评估工作,而且还需要在进行网络安全审计的基础上,预警企业可能发生的风险,从而使得企业计算机信息系统中风险发生的可能性得以最大限度地降低。

第三,失效保护状态原则。 “失效”安全型是计算机信息系统安全保护体系的一种失效模式,其工作主要是当计算机信息安全防护系统的防火墙失效、重启或者是崩溃时,对内部网络与外界之间的连接进行阻断。

第四,多层防御原则。 对于计算机信息系统而言,不能仅仅建立一层防御机制对其进行保护,需要建立多层防御机制,从而相互支撑,尽可能地保护计算机信息系统的安全。

第五,普遍参与原则。在众多网络攻击者中,最难防备的当属内部攻击或者是由于内部泄密而造成的攻击,由此看来,所有的相关人员都应该切身参与到计算机信息系统的安全防护中,只有从根本上消除企业内部产生的攻击,才能切实有效地保障计算机信息系统的安全。

3 企业计算机信息系统安全风险分析

3.1 企业计算机信息系统安全风险分析

从各个企业计算机信息系统的基本构成来看,其构架主要是TCP/IP协议的局域网系统,其中链路层、物理层、网络层、传输层与应用层等是其基本的构成部分。 首先,它们不仅是网络中实现通信的路线,而且也是信息安全受到攻击的主要路线;其次,在操作系统上运行的应用层软件,操作系统作为计算机系统的基础,其与风险的发生有着十分密切的关系;最后,企业中相关工作人员缺乏对安全管理机制以及网络安全政策的正确认识,或者是安全防护意识不高等也会给企业计算机信息系统的安全带来隐患。 由此可以看出,企业计算机信息系统的安全风险是不可避免的,但却是可以控制的。

3.2 企业计算机信息系统安全薄弱环节的影响

本文中所论述的信息系统面临的安全风险威胁主要是通过专家评价打分, 并采取模糊综合评判的方法进行的,以此不仅能够分析出薄弱环节重要性程度的排序,而且还能够使企业信息系统的防护重点得以有效地确定。

3.2.1 模糊综合评判方法与指标体系的建立

以某企业计算机信息系统所面临的物理层面安全风险危险为例,将发生安全风险的可能性u1、对信息系统硬件系统的损害u2、对信息系统软件系统的损害u3、对信息系统数据完整性及其可用性损害u4、 信息系统数据保密性的损害u5 以及对企业经济产生的影响u6 视为评价因素,用集合表示,就是U={u1,u2,u3,u4,u5,u6};将评价等级分为高风险、较高风险、中风险与低风险,用字母表示就是v1、v2、v3、v4,用数字集合表示,即V={v1,v2,v3,v4}。

经过初步的评估, 可以将评价因素的权重确定为:A={0.10,0.15,0.10,0.25,0.25,0.15}。 之后,请10 名专家进行打分,其主要情况见表1所示。

模糊关系矩阵的表示,可以将相对人数来作为模糊隶属度对其进行表示,如下:

3.2.2 企业信息系统安全薄弱环节的影响

根据模糊变换,可以将上述得到的结果转变为物理层安全风险综合评判, 其结果可以用数学公式表示为B1={0.27,0.39,0.235,0.105}。 以此结果为根据,并与最大隶属度原则相结合,可以判定该企业的信息系统物理层安全风险级别为“较高风险”。

与此同时,采取同样的方法,可以得到该企业信息系统其他几个方面的安全风险等级,

最后,根据上述结果,可以确定企业信息系统的安全薄弱环节的重要性程度的顺序。 在对该企业的计算机信息系统的安全设计、运行管理等方面进行升级的过程中,可以先从最薄弱的环节入手,并且可以按照不同的风险级别对信息系统的安全防护重点进行有效地确定。

4 企业计算机信息系统安全防御机制的构建

4.1 纵深防御机制

空域技术的应用是纵深防御安全体系模式的重点反映。 首先,可以将安全域划分为三大主要区域,即公用信息域、专有信息域与保密信息域,而对其进行划分主要是根据计算机信息安全级别的差异进行的。 之后,需要对计算机信息系统的安全防护层次进行一定的划分, 在此过程中,主要是以各个安全域相应的物理位置进行的,主要可以分为三个层次,即安全域边界的安全保障、计算环境的安全保障以及基础设施与网络的安全保障。

4.2 动态防御机制

计算机技术人员在对信息系统安全防御体系进行构建的过程中,不仅要重视纵深防御机制的建立与运行,而且还需要对动态防御机制的作用进行充分地思考。其中,最为重要的就是要协调好管理、策略、技术与人员这四方面的因素,从而最大限度地解决企业计算机信息系统的安全问题。

5 结束语

总而言之,科学技术水平的不断提高,促进了计算机技术的发展,也使得计算机信息系统在企业中应用的越来越多。 而高效、快速的计算机网络在给企业经营与管理带来便捷的同时,也使企业面临较大的信息安全风险。 因此,对计算机设备的安全以及企业内部信息数据的保护,成为当今企业需要引起重视的一大问题。

摘要：论文首先对企业信息安全防御体系构建的原则进行简要地概述,同时对企业计算机信息系统安全风险进行了一定地分析,并在此基础上,对建立计算机信息系统安全体系模型防御机制的措施进行了探讨。

关键词：计算机信息系统,安全防御体系,安全风险

参考文献

[1]张希武,陈宇.全面提升企业信息网络整体安全防护水平[J].网络与信息,2011(10).

[2]张侃.计算机信息系统安全状况及改善对策[J].太原城市职业技术学院学报,2012(09).

构建企业计算机网络安全防御体系 篇9

关键词：企业计算机,不安全因素,防御体系,策略,安全

0引言

随着科学技术的发展,计算机网络在企业的生产和经营活动中,发挥着越来越重要的作用。近年来,许多企业都相继实现了企业内部的信息化。企业的生产和经营都离不开计算机网络系统的支撑,因此,计算机网络的安全稳定对于企业的生存和发展至关重要。构建了一个安全、稳定、可靠的计算机网络系统是企业当前亟待解决的重大问题。

1企业计算机网络中存在的不安全因素

1.1网络内部。在这种情况下,往往是由操作失误造成的,这是比较常见的原因,可以通过严格的管理和个人的技术培训来解决。

1.2硬件故障。计算机是一个系统的整体,设备内部任何一种硬件发生故障都可能导致信息丢失,甚至造成整个系统的瘫痪。网络线路的物理损伤、网络的不规范扩展和网络连接的混乱是目前造成硬件故障的三个最主要的原因。

1.3对于网络的安全防护措施来说,防火墙是必不可少的手段,也是最有效的方法之一,其作用就是对内部网络的结构进行防护和隐藏,防止来自网络外部的攻击和侵害,但是任何措施都是有漏洞的。防火墙的最大问题就是能较好的防止来自外部网络的威胁,但是对于来自网络内部的侵害,防火墙就无能为力了。

1.4安全工具的使用受到人为因素的影响。任何工具都是人发明和使用的,只要是与人有关的,就必然不是完美的。对数据安全来说,有时最严重的威胁通常来自于企业内部,员工的失误可能威胁信息的安全或导致病毒的传播。还有极少数员工基于不同的目的设法窃取超级用户口令,在未经授权的情况下访问机密信息。除了专业技术人员之外,大部分企业员工对信息安全的认识不足,如果没有这种意识和认识,有再多的技术安全措施和屏障,也难以达到预期的目的。一个安全工具保护效果能否实现,不光是看技术设计的是否出色,更重要的取决于管理人员的素质和责任心。

1.5只要有程序,Bug就可能存在,甚至安全的漏洞也可能存在于安全工具本身。现在人们常用的个人计算机操作系统其实并不安全,存在很多的缺陷和漏洞,一些病毒和木马就会利用这些漏洞对网络安全进行大肆攻击。很多操作系统都配备了用以改进系统管理和提高服务质量的工具软件,但这些工具同时也会被黑客利用去收集非法信息及加强攻击力度:如NBTSTA T命令是用来给系统管理员提供远程节点的信息的,但是破坏者也用这一命令收集对系统有威胁性的信息;区域控制软件的身份信息、NetBIOS的名字、IIS名甚至是用户名,这些信息足以被黑客用来破译口令;网包嗅探器(PacketSn iffer),系统管理员用此工具来监控及分发网包,以便找出网络的潜在问题,同时也为黑客攻击网络提供了机会。

1.6黑客的攻击手段虽然种类繁多,但主要利用以下两类漏洞:(1)TCP/IP协议自设设计的问题,这是因为TCP/IP协议一开始设计的时候,是基于互相信任的网络的,故而缺乏对付网络恶意攻击的手段;(2)一些操作系统的设计漏洞,这一点我们在上文中已经提到。现今的社会,互联网技术和计算机技术发展的越来越快,而网络黑客的攻击水平也是水涨船高,各种攻击手段和病毒式层出不穷,并且技术越来越高,越来越难以防范,几乎每天都有新的系统安全问题出现。与之相比,网络安全防护工具的发展明显滞后,究其原因,是因为黑客是一个群体,遍布全世界各地,而负责网络安全防护工具开发的只是一些固定的网络技术公司和开发人员,以有限的安全技术人员对付无限的庞大黑客群体,再加上这种对策都是被动的,总是等到新的木马或病毒出现后才会有相应的防护工具产生,其结果可想而知。

2计算机网络安全防御体系的组成部分

目前,虽然企业计算机网络的生产网和办公网之间有防火墙的隔离,但是二者交换数据时并没有进行IP转换,从本质上来说,二者都属于统一网络,所以我们这里将因此把生产网安全域和办公网安全域都称为内部安全域。每一个内部安全域都配有一套完整的平台,部署在办公网,该平台负责用户管理和办公网与生产网认证授权,外网平台负责对外部用户的身份认证和授权。

2.1路由器架构网络的第一层设备就是路由器,它也是网络入侵者攻击的首要目标,因此路由器有必要设置一定的过滤规则,滤掉被屏蔽的IP地址和服务。

2.2防火墙刚才我们在上文中已经介绍过防火墙了。其执行一种访问控制尺度,可以通过设置,分出可访问的IP地址和数据和不可访问的IP地址和数据,可访问的IP和数据进入防火墙的内部网络,同时将禁止的用户与数据拒绝,它可以最大限度地阻止网络入侵者访问自己的网络,并防止对内网信息和数据进行访问、修改和删除。所以,防火墙是一种得到广泛应用且公认安全高效的的网络安全手段,是保证网络安全的最重要的环节之一。

2.3入侵监测系统在计算机网络的关键部位安装网络入侵检测系统(IDS),可以对网络和信息系统访问的异常行为进行实时监测和报警。IDS可以监测网络上所有的包(packets),捕捉危险或有恶意的动作,并及时发出报警信息。入侵监测系统可以按照用户指定的规则对端口进行监测、扫描。立体安全防御体系中普遍采用入侵监测系统,以识别防火墙不能识别的攻击,如来自企业内部的攻击。目前,入侵检测系统被认为是对防火墙的必要补充,可对网络资源进行实时监测,及时发现入侵者,防治合法用户对资源的错误操作,与其他安全产品一起构筑立体的安全防御体系。

2.4物理隔离与信息交换系统物理隔离与信息交换系统又称网闸,是运用物理隔离网络安全技术设计的安全隔离系统。当企业网内部的生产系统因为信息化建设过程中对外网访问的需求而影响内部网络系统的安全性及可用性时,物理隔离与信息交换系统能够对内部网络与不可信网络进行物理隔断,可以及时阻止各种已知和未知的网络层和操作系统层攻击,它提供的安全性能比防火墙、入侵检测系统等技术更好,既保证了物理的隔离,又实现了在线实时访问不可信网络所必需的数据交换。

2.5交换机局域网通常采用以交换机为中心、路由器为边界的网络格局。交换机是该格局的核心,其最关键的工作是实现访问控制功能和3层交换功能。访问控制对于交换机就是利用访问控制列表ACL来实现用户对数据包按照源和目的地址、协议、源和目的端口等各项的不同要求进行筛选和过滤。

2.6应用系统的认证和授权支持

建立应用系统能够提升支撑平台的安全性,应用系统的保护功能包括以下几个方面:(1)应用系统网络访问漏洞控制。应用系统要求软件按照安全软件标准开发,在输入级、对话路径级和事务处理级做到安全无漏洞;集成的系统必须具有良好的自我恢复能力,避免内部生产网中的系统因受攻击而导致瘫痪、数据破坏或丢失。(2)数字签名与认证。应用系统须利用CA提供的数字证书进行应用级的身份认证,对文件和数据进行数字签名和认证,保证文件和数据的完整性以及防止源发送者抵赖。(3)数据加密。对重要的数据进行加密存储。

2.7操作系统的安全将所有不使用的服务和端口关闭,并将不使用的磁盘文件清除,建立一个内部网操作系统漏洞管理服务器,提供对官方补丁下载,以保证操作系统的安全性。

2.8病毒防护将系统诊断工具(如360)与网络版的杀毒软件(如NOD)相结合,可以构成比较完整的病毒防护体系,能够有效地防控病毒的传播,保证网络运行的安全性和稳定性。

2.9网络隔离度保障对未经过安全过滤和检查就违规接入内部网的移动设备(笔记本电脑等)和新增设备进行监控;对内部网中绕过防火墙的计算机或其他设备,违规接入网络的行为进行监测;对物理隔离的网络内部设备违规接入因特网的行为进行监控;对违反规定将专网专用的计算机带出网络进入到其他网络的行为进行监控;可提供IP和MAC地址绑定功能。

3构建计算机网络防御体系的策略

根据当前企业计算机网络的发展现状、发展趋势、操作系统对网络传输与服务的要求以及安全保密等相关规定,构建一个企业计算机网络安全防御体系应注意以下几点:(1)企业计算机网络结构必须做到实现外部服务网与内部服务网的分离;(2)对信息系统的安全等级要进行划分,以便在进行信息管理时使用不同的安全域;(3)在网络安全上必须充分开展对网络访问控制、防火墙设置、网络动态隔离和病毒网关及日志的管理和维护;(4)对网络的流量要进行充分控制和保护;(5)基于数字证书的用户身份认证、授权管理建立完善的访问控制设施;(6)必须建立日志和审计系统。

要建立企业计算机安全网络防御体系,必须将重要行业的原有的平面结构的计算机网络调整为层次保护结构的网络,形成外部网、办公网和生产网的三层结构。在外层部署与互联网的接口,外层网络屏蔽内层网络,实现外层网络对内层网络的保护。在不同的网络区域边界,通过边界保卫策略实施多点控制,使网络划分为不同级别的保护层次和区域,控制各层次之间的信息流。

4结语

安全防御体系 篇10

我们知道,对于网络数据库的安全要求主要表现在四个方面:一是要求数据库具有保密性;二是要求数据库中的数据具有完整性和一致性;三是要求数据具有可用性;四是要求能够实现对数据库变化的及时跟踪。

1 MySQL数据库简述

My SQL是一种开放源代码的关系型数据库管理系统(RDBMS),My SQL使用最常用的数据库管理语言--结构化查询语言(SQL)进行数据库管理。My SQL是一个特别的项目,其服务器源代码属于瑞典的一家公司,随着这家公司的商业许可证一同发布的还有一个程序包,可以使其他公司将My SQL引擎任意插入到他们的产品中。My SQL数据库是免费的,可以运行在多种环境中,它简单实用,并且容易配置。所以My SQL被称为世界上最受欢迎的开放源数据库。

MyS QL的优势主要包括以下几个方面:

1、MyS QL使用完全多线程核心线程,能够支持多处理器结构;

2、包括多种列的类型:包括字节长度为1、2、3、4、8的自有符号/无符号整数、FLOAT、CHAR、DOUBLE、VARCHAR、BLOB、TIME、TEXT、DATE、TIMESTAMP、DATETIME、YEAR、ENUM类型等。

3、SQL函数库通过高度优化类库实现,且速度相同,进行初始化查询不分配内存,也不会有内存漏洞产生。

4、能够对SQL下的GROUP BY、ORDER BY子句做到全面支持,以及对聚合函数(COUNT()、COUNT(DISTINCT)、AVG()、STD()、SUM()、MAX()、MIN())等做好支持。因此可实现同一查询中查找不同数据库的表。

5、能够对ANSI SQL的LEFT 0UTER JOIN、ODBC做好支持。

6、缺省值在各列都存在。能够使用INSERT对某一表列子集进行插入操作,如果列尚未明确给定值,则可以进行缺省值设置。

7、能够在不同平台上进行工作。支持C、C++、Java、Perl、PHP、Python和TCL API。

2 MySQL数据库安全防御措施

MyS QL数据库配备了一支极度敏感的安全团队,能够将BUG报告以及第三方的信息及时反馈在相应文档中。这些文档使用户收集MyS QL材料的首选。它还会及时发布新版本,既是纠正旧版本中的BUG,并且会产生一个综合的日志,从而详细的记录新版本中增加或者修改的内容。

1、访问控制策略

MyS QL数据库管理员为了保护数据库内容的安全,相关记录只能由通过认证的合法用户访问。

(1)内部安全性防御体系

在这个数据库系统中,如何保护MyS QL数据,避免受到使用其他同级别服务器的及其账号攻击是最核心的问题。

如果文件许可权非常容易获取,那么一些用户就可以将对应的文件进行复制和替换,保证内部安全变成了一句空谈。所以数据库管理员应保护的内容包括数据库文件和日志文件。

(2)外部安全性防御体系

外部安全性防护是研究客户端连接的问题,主要是防止服务器遭受通过互联网与服务器连接请求导致而造成的攻击。MyS QL服务器配备了安全性很高的授权系统,其作用就是设置了用户对某个数据库对象的一些权限。根据特权组成了访问控制,其直接影响到对MyS QL数据的操作使用。其都以布尔型存在,或者允许或者不允许。现将这些特权列表列出如下:

·SELECT

SELECT主要对用户能否利用SELECT进行数据查询进行设定。用户如无此特权的情况下,仅可以执行部分简单SELECT命令,例如表达式的计算(SELECT1+2)、转换日期(SELECT Unix_TIMESTAMP(NOW()))等方面。

·INSERT

·UPDATE

·INDEX

INDEX主要对用户能否进行表索引完成设置。用户如无此权限的情况下,就不能对表中索引进行设置操作。

·ALTER

·CREATE

·GRANT

GRANT主要对用户能否实现把自身权限向其他用户授权情况完成设置。换句话说,就是该用户能否与其他用户实现权限共享功能。

·REFERENCES

REFERENCES主要对用户能否对其他表的某一字段作为另一表的外键约束进行设置。

此外,MySQL拥有的某些权限还能够操作整个MyS QL数据库。例如:

·Reload

该权限能够让用户任意执行各种FLUSH命令等,例如执行FLUSH TABLES或者FLUSH STATUS等命令。

·Shutdown

该权限能够让用户进行关闭MyS QL操作。

·Process

该权限能够让用户执行SHOW PROCESSLIST、KILL命令等。通过这些命令能够对MyS QL数据处理进程进行查看,同时能够对SQL执行细节进行查看。

·File

该权限对于用户能否执行LOAD DATA INFILE命令起决定性作用。因此赋予用户该权限时要谨慎,用户通过该权限能够将任意文件向表中进行装载,因此容易给MyS QL带来危险。

·Super

该权限允许用户终止任何查询(这些查询可能并不是这个用户执行的)。

以上几种权限是非常危险的,在给用户授权限时要非常谨慎。

2、MySQL账户的设置

帐户是确保MyS QL安全的最简单解决措施之一。所有帐户的组成都需要有用户名、密码、位置(通常包括服务器名称、IP地址或者通配符)。例如某用户通过server1登录与其通过server2登录可能拥有不同的权限。

在MyS QL用户结构中,主要包括用户名、密码及位置组成。数据库名并不包涵其中。可以通过以下两条命令对database1、database2进行SELECT用户权限设置:

GRANT SELECT ON database1.*to‘abc’@‘server1’IDENTIFIED BY‘password1’;

GRANT SELECT ON database2.*to‘abc’@‘server1’IDENTIFIED BY‘password2’;

首条命令对用户abc与数据库database1连接时的password1进行设置。二条命令对用户abc与数据库database2连接时的password2进行设置。所以说,用户abc在连接数据库database1和database2的密码是不一样的。可以侧重以下几个方面来阐述:

MyS QL规定账户必须设置一个复杂的口令。目的是为了防止其他用户对MyS QL用户名和口令的brute-force攻击。

删除非法的MyS QL用户。方法就是将这些用户从最核心位置删除,建立所需的合法用户。

将MyS QL的合法root用户重命名为较复杂的名字

为每个Web应用创建一个用户。攻击者如果正在攻击某个应用程序,系统将会自动调整特权,已使攻击者受到权限限制。

使用户能受到IP地址和口令限制。

创建单独的MyS QL账户,使合法账户对系统文件进行应用。

杜绝任何用户进入mysql.user表格。

3、MySQL系统配置

MyS QL文档中“general query log”被认为是调试时的主要特点。它可以告知我们每个用户在数据库上做了什么。其实查询日志在默认情况下是禁用的,必须要使用log来进行激活。

在my.cnf文件中加入set-variable=local-infile=0。并且禁用LOAD DATA LOCAL INFILE命令。该命令允许客户机从本地系统中的文件上传数据至MyS QL表中。

删除任何不需要使用的UDF文件。

在仅仅使用本地连接的情况下,通过设置skip-networking选项来禁用TCP/IP链接。

通过设置skip-ymbolic-links选项禁用symbolic链接。MyS QL的symbolic链接在Windows平台上以受限制的方式得到支持,限制包括创建一个“database.sym”文件以及创建通往数据库表格文件所在目录的路径。

删除默认的测试数据库。

3结语

本文重点介绍了M ySQL网络数据库系统的安全防御体系,尽管在文章中对M ySQL各个防御功能做了比较详尽的阐述,但是由于数据库是个相当复杂的管理数据的体系。随着黑客技术的不断提高,网络数据库的安全防护仍然是个高难度的课题,对于保护网络数据库安全这个领域,我们还有很多工作去做,还需要更深入的研究。

参考文献

[1][美]Ian Gilfillan著,王军等译;MySQL4从入门到精通;电子工业出版社[M];2003年(129-168)

[2]唐汉明,兰丽华,关宝军等;MySQL数据库开发、优化与管理维护[M];北京:人民邮电出版社;2008(25-45).

安全防御体系 篇11

关键词：网络通信；安全分析；安全防御；措施

中图分类号：TP393.08 文献标识码：A 文章编号：1674-7712 (2012) 06-0078-01

随着社会文明进入了电子计算机时代，我国的网络通信工作也取得了空前的发展，特别是我国网络通信安全分析及其防御工作更是取得了不斐的成绩。由于其自身发展的安全分析工作与安全防御措施工作，不仅是保证网络通信信息安全的重要保护措施之一，还是更好为保证用户信息隐私的重要手段之一，因而如何科学合理的提高网络通信安全分析与安全防御工作，就成为了当前网络通信安全防护工作首要关注的焦点之一。

一、网络通讯安全的定义探析

众所周知，随着社会科学技术的不断发展与网络计算机技术的不断发展，我国的网络通讯工作也取得了不斐的成绩。然而，其自身的网络通信安全工作也成为了当前各个国家网络通信工作发展的关键性制约性因素之一。文中所提到的网络通信安全主要是指，安全工作人员或者是用户自身对自己所使用的网络通讯交流的电脑、信息以及其它等等涉及隐私的信息进行合法保护的技术措施。网络通讯安全的不断提高，不仅可以在最大程度上迅速提高自身通信内容的安全性，还能有效的防治外来病毒、木马以及黑客的潜在威胁，使得自身的通讯安全与客户信息安全得以最大程度的保障。

二、网络通信安全影响条件探析

1.政府公开信息交流的影响。该影响因素只要是针对于国家政府的网络通信平台而言，由于其自身存在信息通讯开放性的特征，使得其极易受到其它黑客与普通通信线路的攻击，从而使得政府信息容易遭到一定程度上的损失。

2.计算机系统及网络固有的易损性使其受攻击不可避免。

3.计算机网络通信中的病毒、木马以及蠕虫等不良插件与非法网站的传播，使得网络通信安全系统极易遭到不定期的攻击，从而使得网络通信信息遭到一定的损坏与丢失。

4.由于系统中要使用大量的商用软件与其它不同形式的改进软件，这些软件中很有可能含有大量的插件与病毒，这些插件与病毒很有可能会使得商用软件的源代码，源程序完全或部分公开化，使得这些软件具有众所周知的安全问题。

三、加强网络通信安全分析与安全防御措施探析

1.网络通信安全中的身份鉴别系统的应用。网络通信安全分析与安全防御工作者，可以合理的在计算机上与通信记录中设置只有管理人员所能够进入的身份识别密码，从而使得整个网络通信安全能够具备更强的安全性；除此之外，管理人员一旦发现对方不是权限用户进入，就可以对其进行有效的清除，从而使得网络通信具备更强的安全防御功能。

2.网络通信用户所使用的网络通信技术要最大程度的使用经过授权后的商用软件，通过不断使用正规的官方软件来不断提升自身网络通信的安全性与可靠性，

3.其它网络通信安全技术的应用。虽说当前网络上存在的病毒、木马、蠕虫以及黑客众多，但是我们也可以采取适当的科学技术对其进行科学合理的技术来不断提升网络通信的安全性。

第一，密码技术的应用。所谓的密码技术的基本思想就是通过不断改变网络通信的信息文件的进入密码，从而使得其能够具备更强的保护功能。

第二，防火墙技术的应用。网络通信安全技术的人员可以在自身的通信系统中安装多道计算机防火墙，进而不断提升网络通信技术的安全性。

第三，网络通信安全与防御的工作人员可以在自身的通信系统中安装科学有效的病毒、木马以及蠕虫等方面的防护软件。网络通信安全与防御的工作人员除了要不断增强网络通信中的防火墙技术之外，还要合理的在自身的系统中安装病毒与木马等安全防护软件。如：网络通信安全与防护的工作人员可以在自身的主机电脑中安装《金山安全卫士》、《金山毒霸》、《QQ电脑安全管家》、《贝壳木马专杀》等等。除此之外，网络通信安全与防御的工作人还可以在电脑中采用密钥管理技术，其不但可以最大程度的提高网络通信的安全性，还能在一定的程度上增强通信信息的可靠性。

另外，由于网络通信安全问题还有人员方面和软硬件设施、传输信道、通信网建设与管理等方面的原因，需要做好人员教育培训和软硬件设施建设以及传输信道、通信网管理等工作。针对管理人员安全观念不强、安全防护技术缺乏的问题，需要向管理人员灌输安全第一的认识，明确网络通信安全的地位，保证网络通信的完整、可用、可控制和保密性；针对软硬件设施等方面的安全隐患，需要做好系统规划设计工作，加强安全鉴别、防护力度，严格审批，统一标准，提高网络维护管理水平，避免人为因素干扰。只有做好人员管理和系统管理，才能保证用户识别技术、计算机病毒防范措施等各项安全分析和安全防御措施落到实处，才能切实提高网络通信安全水平，真正保证网络通信安全。

四、结语

综上所述，关于网络通信安全的技术措施很多，包括数字签名、VPN技术等多种安全技术。网络通信信息安全技术保护人员，除了要在自身计算机网络通信中科学合理的安排有效的防火墙之外，还要对用户的信息进行合理适当的密钥管理与访问权控制管理，以此来不断提升自身网络通信安全，使得用户的通信信息得以最大程度的保障。以上仅对网络通信安全分析及其安全防御措施进行了粗浅的探讨，希望能使廣大用户对网络通信安全有一定的了解和认识，以便于人们在网络通信中的安全防范。

参考文献：

[1]陈川.软交换网络通信的安全分析与措施[J].网络安全技术与应用,2011,7

[2]张士兵.对IP网络电话发展趋势的探讨[J].南通工学院学报(自然科学版),2002,2

安全防御体系 篇12

1 建立科学有效的免疫接种程序

1.1 选择优质可靠的疫苗

购买疫苗时一定要选择正规、知名度高的厂家生产的, 疫苗最好选用SPF蛋生产的, 以确保疫苗质量。首次免疫接种, 所用疫苗需用弱毒苗。如用中等毒力或以上的疫苗接种会引起严重的疫苗反应, 甚至导致鸡群发病。

1.2 选择最佳免疫途径

每种疫苗都有最佳的免疫途径, 只有选择最佳的免疫途径才能获得最好的免疫效果。点眼滴鼻稀释疫苗时最好用专用疫苗稀释液, 不要加抗生素, 防止pH值改变导致疫苗失活。油苗颈部注射时, 注射器和针头要严格消毒, 一只鸡换一个针头, 避免传播疾病。油乳灭活苗在室温下预温并摇匀, 注射部位在颈后部1/3处皮下, 避免靠近头部引起肿头。

1.3 减少应激反应, 提高抗体水平

免疫前后3d, 在饮水和饲料中添加多维, 以提高鸡群抗应激能力。免疫前后3天禁用一切消毒药或抗病毒药物以及有抑制的药物, 如庆大霉素、金霉素、磺胺类药物。

2 做好隔离工作

隔离包括场舍的隔离、人员的隔离、设施的隔离和操作的隔离。鸡场内部要分为生产区和生活区, 区与区之间要设消毒设施;鸡舍门口要有车辆消毒池和人员淋浴消毒室, 所有进出人员必须淋浴消毒。鸡场谢绝参观, 禁止外来人员进入, 本场人员饲养期间不得外出;外出人员不得接触禽类及相关制品, 以确保回场后的生物安全;进出场区的车辆及物品必须严格的消毒后方可出入等。

3 制定安全周密的消毒程序

3.1 鸡场周围环境消毒

要求每天清扫、整理鸡舍周围, 要求无杂草、垃圾;场内净道和污道分开, 并在远离鸡场处设有无害化处理区;场区道路每3d喷洒一次消毒剂, 定期喷洒杀虫药消灭昆虫, 定期投放灭鼠药。

3.2 鸡舍外消毒池的管理

保持消毒池清洁, 每天清刷并更换消毒药, 消毒液交叉轮流使用, 以确保消毒效果;冬季结冰时可添加食盐, 防止冻结;人员进出必须更换胶靴, 经过消毒池。

3.3 鸡舍的带鸡消毒

带鸡消毒就是对鸡舍内的一切物品及鸡体、空间用一定浓度的消毒液进行喷洒消毒, 以清除鸡舍内的多种病原微生物, 阻止病原在鸡舍内积累, 并能有效降低空气中浮游的尘埃, 降低鸡群呼吸道病的发生, 在夏天还可以起到防暑降温的作用。带鸡消毒的药物必须慎重选择, 一是必须高效、广谱;二是对金属和塑料制品腐蚀性小;三是对鸡和人的吸入毒性和刺激性、皮肤吸收性小。带鸡消毒时应注意的问题:选用两种以上的消毒药定期更换使用, 以确保消毒效果;疫苗免疫接种前后3d内或在饮水中加入其它配伍禁忌的药物时, 应暂停带鸡消毒, 以防影响免疫或治疗效果。带鸡消毒时间最好固定, 且在暗光下进行以防产生应激。

3.4 人员消毒

饲养人员进入鸡舍必须洗澡消毒, 洗澡时间在20min以上, 并结合使用灭菌香皂, 饲养人员的手经清洗消毒后, 再用75%的酒精涂擦消毒, 戴上手套帽子, 换上鸡舍专用的工作服及鞋经脚踏消毒进入鸡舍工作, 工作服每两天清洗消毒一次并高压灭菌;各舍之间饲养员不得串舍, 不得互相借用饲养工具及设备, 舍内用具及设备固定。

3.5 物品的消毒

一切物品进入鸡舍前必须经过严格的消毒或灭菌处理后方可进入, 根据不同的物品选择不同的消毒方式。为确保生物安全, 各舍使用的饲养工具必须经过严格的消毒方可使用, 非生产物品严禁带入生产区内。

4 采用全进全出的饲养方式

根据实际生产情况, 分别以场、生产区、鸡舍为单位, 选择饲养来源相同、批次统一的鸡群, 便于管理, 有利于生物安全。采用全进全出的饲养方式, 鸡出栏后, 鸡舍经彻底清洗消毒, 至少空置20d后方可进鸡。

5 饲料的控制

饲料必须保证营养成分的充足, 并要防止在使用过程中受到污染。饲料在贮存过程中要防鼠害、防霉变;被老鼠粪便污染的饲料不能使用, 饲料贮存期不得超过15d。

6 水质的控制

饮水应清洁、无污染、无毒、无病原菌, 符合人的饮用水标准。由于鸡群在饲养过程中经常投喂维生素, 水线内管道很容易滋生菌膜, 因此水线必须经常清洗消毒。每周定期清洗消毒3次, 清洗水线在晚上关灯后进行, 消毒药最好选用硫酸氢钾, 计算出管道的总容积, 即水管总的容水量, 消毒药按说明书使用方法进行稀释配比, 将调配好的溶液注入管道, 并将两头堵住。浸泡4h候排放溶液, 并用清水清洗2次后方可供鸡饮用。如果水线污垢特别严重, 可延长水线浸泡时间。在水线浸泡消毒过程中避免鸡只喝到水。

7 病死畜禽及废弃物的无害化处理