管理信息系统安全模型的分析

《管理信息系统安全模型的分析》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、第一章绪论(3)为了防止系统的重要信息受到恶意攻击，本文选择综合性能比较好的3DES算法结合子密钥技术对数据库中敏感信息进行加密，采用二级密钥工作方式，主密钥用于生成工作密钥，用工作密钥对数据进行加密，而且各个数据元素所用的工作密钥是不同的，这样有利于密钥的管理。为了进一步保障系统的安全，数据的加密解密都在客户端进行，在网络上传输的是加密后的密文，即使数据在传输中被截获，攻击者也只能看到不可识的数据。最后通过一个实际的应用系统——基于B／S的高校信息统计管理系统，验证了本安全模型的实用性和通用性。第二章信息安全模型的研究现状2．1信息安全概述信息安全是指防止信息财产被故意

2、的或偶然的泄露、更改、破坏或使信息不可用的系统辨识、控制、策略和过程嘲。其要旨应当是向合法的服务对象提供准确、正确、及时、可靠的信息服务；而对其它任何人员和组织包括内部、外部乃至于敌对方，都要保持最大限度的信息的不透明性、不可获取性、不可接触性、不可干扰性、不可破坏性，而且不论信息所处的状态是静态的、动态的，还是传输过程中的。因此，信息安全的目的是保护在信息系统中存储、处理的信息的安全。信息安全具有以下三个方面的特点【飞(1)完整性，即信息在存储或传输过程中保持不被修改、破坏和丢失的特性；(2)可用性，指信息可被合法用户访问并按要求的特性使用，即当需要时能否存取所需信息；

3、(3)保密性，即信息不泄密给非授权的个人和实体或者供其利用的特性；(4)可控性，指可以控制授权范围内的信息流向及行为方式，对信息的传播及内容具有控制能力。(5)不可否认性，指信息的行为人要对自己的信息行为负责，不能抵赖自己曾有过的行为，也不能否认曾经接受到对方的信息。为了对信息系统的安全进行评估，需要用一些系统的方法定义一些安全的需求以及描述如何满足这些要求，可以从信息安全的以下三个方面去考虑：安全攻击、安全机制和安全服务。1．安全攻击网络面临的安全威胁多种多样，网络中的主机可能会受到非法入侵者的攻击，网络中的敏感数据有可能泄露或被修改，从内部网向公网传送的信息可能被他人

4、窃听或篡改等等，造成网络安全的攻击的原因是多方面的，有来自外部，也有可能来自企业网络内部。归纳起来，系统的安全攻击常表现为以下几种方式嘲：(1)窃听：攻击者通过监视网络数据获得敏感信息；(2)重放：攻击者事先获得部分或全部信息，以后将此信息发送给接收者；(3)伪装；攻击者将假装别的实体；(4)篡改：攻击者对合法用户问的通讯信息进行修改、删除、插入，再发给接收者；(5)拒绝服务攻击：攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务；4第二章信息安全模型的研究现状(6)行为否认：通讯实体否认已经发生的行为；(7)非授权访问：没有预先经过同意，就使用信息资源被看作

5、非授权访问。2．安全服务在网络通信中，主要的安全防护措施被称作安全服务。国际标准化组织ISO在网络安全体系设计标准(Is07498．2)中，提出了层次型的安全体系结构，并定义了五大安全服务功能：身份认证服务，访问控制服务，数据保密性服务，数据完整性服务，不可否认性服判-101。(1)身份认证服务身份认证就是让主体安全的向系统证明自己的标志。主体主要是指个人、公司、或消息发送者。标志在安全系统中提供了唯一区分主体的方法。一(2)访问控制服务‘访问控制实质上是对资源使用的限制，决定主体是否被授权对客体执行某种操作。它依赖于鉴别使主体合法化，只有经授权的用户，才允许访问特定的系

6、统资源。(3)数据保密性服务保护信息不被泄漏或暴露给非授权的实体。关于数据传输，可以有几层保护。保密。性的另一个方面是防止流量分析。这就要求攻击者不能观察到消息的源和宿、频率、长度或通信设旖上的其他流量特征。(4)数据完整性服务，数据完整性服务用来防止非法实体的主动攻击，以保证数据收到的信息与发送方发送的信息完全一致。攻击者可能从3个方面破坏信息的完整性：篡改、删除、插入。数据完整性服务一般是结合信息摘要算法和加密技术实现。．(5)不可否认服务防止参与某次通信交换的发送方或接收方否认传输或接收过某条消息。3．安全机制安全机制是实现安全服务的技术手段，表现为操作系统、软硬件

7、功能部件、管理程序以及他们的任意组合。网络信息系统的安全是一个系统的概念，为了保障整个系统的安全可以采用多种机制。IS07498．2中定义了8类安全机制。(1)加密机制加密机制既能为数据提供机密性，也能为通信业务流信息提供机密性。(2)数字签名机制数字签名机制确定两个过程：对数据单元签名和验证签过名的数据单元。签名机制的本质特征为该签名只有使用签名者的私有信息才能产生出来。(3)访问控制机制为了决定和实施一个实体的访问权，访问控制机制可以使用该实体己鉴别的身份，或使用有关该实体的信息或权力。第二章信息安全模型的研究现状(4)数