政府财政管理信息系统安全性分析

《政府财政管理信息系统安全性分析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、政府财政管理信息系统安全性分析GFMIs是利用先进的信息技术.支持以预算编制、国库集中收付和宏观经济预测为核心应用的政府财政管理信息综合系统覆盖各级政府财政管理部门和财政资金使用部门全面支持部门预算管理、国库单一账户集中收付、宏观经济预测和办公自动化等方面的应用需求。为了支撑部门预算管理和国库集中收付制度改革,按照建立我国公共财政系统框架的总体要求建设先进的政府财政管理信息系统有利于预算管理的规范化提高国库资金的使用效率提高政府财政管理决策的科学性增大财政管理的透明度有利于加强廉政建设。GFMI

2、s的重要性使得其信息价值倍增,但它本身存在着管理和技术实现的脆弱性。因此GFMls容易受到攻击造成政府财政管理信息的泄露、篡改和删节造成政府财政管理信息需要使用时不可用等对我国的国家安全造成严重威胁。系统概述政府财政管理信息系统的网络结构一般都是分级分层次建设的。比如某省级政府财政管理信息系统的网络结构.它分为省、地市和县级三层并且省与地市级网络链接线路有备份。系统资源分析系统资源分析政府财政管理信息系统中的主要资源包括1)物理资源(1)计算机系统:系统硬件、群件、操作系统、软件、数据库(2)通

3、信系统:通信系统设备及部件、传输系统(有线、无线传输);(3)网络系统:网络设备、网络互联设备、网络管理设备及软件、网络应用;(4)环境设施:运行环境的建筑物、机房等。2)信息资源(1)数据和记录(2)软件;(3)其他任何形式的信息。应用系统描述政府财政管理信息系统(GFMIS)的应用主要以数据交换和信息共享为主要业务内容网络信道采用丁C尸/lP协议集。应用系统根据具体业务安全需求,采取一定的安全技术手段进行安全设计以保护政府财政管理信息系统中各级财政信息防止外界侵入。安全需求分析安全需求包括用

4、户提出的非专业以及从专业角度为系统进行的安全需求分析,在最后确定安全需求时将充分考虑用户要求。为了更准确地确定系统的安全需求,将对系统遇到的攻击进行分析,它包括主动攻击、被动攻击、物理临近攻击、内部人员攻击以及软硬件装配和分发攻击。与此同时也要对系统的安全漏洞和安全管理进行分析。风险分析被动攻击威胁1)网络和基础设施的被动攻击威胁。线路窃听局域网线路的窃听监视没被保护的通信线路破译弱保护的通信线路信息信息流量分析利用被动攻击为主动攻击创造条件以便对网络基础设施设备进行破坏;机房和处理信息的终端的

5、电磁泄露。2)区域边界/外部连接的被动攻击威胁。机房和处理信息终端的电磁泄露;截取末受保护的网络信息;流量分析攻击;远程接入连接。3)计算环境的被动攻击威胁。机房和处理信息的终端的电磁泄露;获取鉴别信息和控制信息:获取明文或解密弱密文实施重放攻击。4)支持性基础设施的被动攻击威胁。机房和处理信息终端的信息电磁泄露;获取鉴别信息和控制信息。主动攻击威胁1)网络和基础设施的主动攻击威胁。一是可用带宽的损失攻击.如网络阻塞攻击、扩散攻击等。二是网络管理通讯混乱使网络基础设施失去控制的攻击。最严重的网络

6、攻击是使网络基础设施运行控制失灵。三是网络管理通信的中断攻击.它是通过攻击网络底层设备控制信号来干扰网络传输的用户信息;引入病毒攻击引入恶意代码攻击。2)区域边界连接的主动攻击威胁。试图阻断或攻破保护机制(内网或外网)偷窃或篡改信息利用‘’社会工程”攻击欺骗合法用户伪装成合法用户对服务器进行攻击lP地址欺骗攻击;拒绝服务攻击;利用协议和基础设施的安全漏洞进行攻击;利用远程接入用户帐号对内网进行攻击;建立非授权的网络连接;监测远程用户链路、修改传输数据;解读末加密或弱加密的传输信息恶意代码和病毒攻

7、击。3)计算环境的主动攻击威胁。引入病毒攻击;引入恶意代码攻击;冒充超级用户或其他合法用户;拒绝服务和数据的篡改;伪装成合法用户和服务器进行攻击;利用配置漏洞进行攻击利用系统脆弱性(操作系统安全脆弱性、数据库安全脆弱性)实施攻击;利用服务器的安全脆弱性进行攻击利用应用系统安全脆弱性进行攻击。4)对基础设施的主动攻击威胁。对未加密或弱加密通信线路的搭线窃听:用获取包含错误信息的证书进行伪装攻击;拒绝服务攻击攻击曰N获取对用户私钥的访问、在支持性基础设施的组件中引入恶意代码攻击、在密钥分发期间对密钥

8、实施攻击、对尸Kl私钥实施密码攻击、对密钥恢复后的密钥进行末授权访问、在用户认证期间使用户不能生成失效信息;利用备份信息进行攻击。内音阵攻击1)网络和基础设施的内部人员攻击威胁。网管中,合内部人员恶意攻击(他们有能力向网络提供错误的信息实现不容易发觉的攻击)远程操作人员的恶意攻击(他们是网络专家,可以和内部人员一样对网络实施攻击):内部人员误操作攻击。2)区域边界连接的内部人员攻击威胁。远程内部操作人员的恶意攻击;内部人员的错误操作、恶意攻击。3)支持性基础设施的内部人员攻击威胁。内部人员的错误