信息系统安全审计机制之研究

《信息系统安全审计机制之研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据第17卷总第52期2002年3月统计与信息论坛Statistics&InformationTribuneMarch，2002V01．17No．2【研究生论坛】信息系统安全审计机制之研究叶文王君，胡震宇，曹渠江(上海理工大学计算机学院，上海200093)摘要：信息系统的安全性是近年来信息领域比较关注的话题。文章阐述了信息系统安全的重要性，提供了一种信息系统安全审计机制及具体的实现方法。关键词：信息系统；数据库；用户；权限；角色；安全中图分类号：TP391文献标识码：A文章编号：1007—3116(2002)02—0046～05一、前言信息系统

2、的安全控制包括数据库的安全性控制和用户权限控制两部分，数据库的安全性一般由数据库管理系统(DBMS)和操作系统平台(如WindowsNT、UNIX等)提供，而用户权限控制功能必须由应用系统来提供。随着信息系统的应用规模越来越大，信息系统的用户越来越多，如何有效控制每个用户权限、防止用户非法操作数据的问题变得日益突出。以前很多信息系统采用的方法是给每个程序加上一段标识用户和权限的程序段。这种方法具有很大的局限性，权限控制与程序不相互独立，最终用户(如系统管理员)不能根据实际情况改变用户的权限分配。针对这种情况，我们经过潜心研究，在这里提供一种信息系统

3、安全审计机制及其具体的实现方法。本系统针对应用系统的权限控制问题，提出一种相对独立于应用系统的用户功能项和用户权限控制系统的设计思想，对系统用户、系统功能项、用户权限等系统资源进行统一管理，并提出一种用户非法操作发生后的审计机制。二、数据安全的主要防卫措施每个完整的安全的信息系统，至少应当包括身份认证(包括标识和鉴别)、存取访问控制、审计等功能，严密的安全系统还应当包括攻击检测、攻击对抗等能力。J、用户管理：标识和鉴别用户需要访问的信息系统、数据库管理系统、操作系统、文件系统以及网络系统等在用户管理方面非常类似，采用的方法和措施也十分近似：识别授权

4、用户永远是安全控制机制中最重要的一个环节，也是安全防线的第一个环节。一般采用的方法是输入用户标志和用户密码，然后系统验证用户的身份证明是否合法。收稿日期：2∞O～lo一17作者简介：叶文碍(1966一)，女，浙江丽水人，讲师，硕士研究生。主要研究方向：数据库技术。胡震宇(1977一)，男，江苏常州人，硕士研究生。主要研究方向：数据库技术。---——46·--——万方数据[研究生论坛]叶文磕，胡震宇，曹渠江：信息系统安全审计机制之研究2、存取控制问题存取控制机制定义和控制一个对象对另一个对象的存取访问权限。信息系统安全的最首要的课题就是确保只授权给有

5、资格的用户以访问信息系统中数据的权限，杜绝非授权用户的数据访问。在面向对象的安全系统中，所有资源、程序、甚至用户都是对象。安全系统必须有一组规划，当一个对象要访问另一个对象时，系统可根据这些规划确定是否允许这一访问。3、审计和日志为了保证数据库中数据的安全，一般要求信息系统能够将所有的数据操作(包括“读”和“写”)都记录下来，这要求系统保留一个日志文件，与安全相关的事件均可以根据系统要求设置在Et志文件中记录下来，以便于事后调查分析，追查有关责任者，发现系统安全的弱点。日志记录和审计对于事后的检查十分有效，也有效地增强了对数据的物理完整性的保证。但

6、是问题在于粒度。尽管这一技术很有效，但从时间和费用上考虑，粒度过细(例如记录每个记录值的改变)，实际上是很难实现的，特别是在大型分布的数据复制环境下的大批量、短事物处理的应用系统中。三、一种信息系统的安全审计机制的实现基于上述层次结构的安全体系，信息系统提供了四种基本策略进行安全性控制。1、选择性访问控制：用来决定用户是否有权访问信息系统的数据系统设置一个享有最高权限的用户角色：系统管理员(SystemAdministrator，SA)。系统管理员享有应用系统内的所有功能项的许可权。系统初始化时，系统将所有功能项的权限都分配给系统管理员，系统管理员

7、可以为应用系统增加用户并将相应的功能权限赋予该用户(只有系统管理员有此权限)。2、验证：保证只有授权的合法用户才能注册和访问在用户登录后，系统要通过口令进行验证，以防止非法用户盗用他人的用户名进行登录。这一验证步骤在登录时的注册对话框中出现，注册与验证同时进行，用户名与口令有一个不符，登录请求就会被拒绝。3、授权：对不同的用户访问信息系统授予不同的权限(1)kg权机制为了能够有效的管理信息系统的用户和权限，系统采用了基于角色的存取控制方法来实现系统功能权限的管理及分配。该存取控制方法主要包括三种对象：用户、角色和权限。用户(User)：系统的使用者

8、。可以是人，计算机等，一般是指操作人员。角色(Role)：是已命名的权限的集合，它是一个有序对(Name，Psel)，其中