网络信息系统安全风险分析与防范对策

《网络信息系统安全风险分析与防范对策》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、解决方案网络信息系统安全风险分析与防范对策□王培国范炯（成都军区，四川成都610011）摘要：随着网络信息日益普及，网络信息的安全性显得尤为重要。本文通过对网络信息系统访问（特别是逻辑访问）的安全风险分析，在应用系统编程、数据库系统设置、操作系统设置三个层次提出了相应的防范对策。关键词：网络信息系统安全风险防范对策随着网络信息系统的迅猛发展，网络信息已成为人们□常工作和生活的重要载体，但网络信息系统是一把“双刃剑”，在给人们带来方便、人幅度提高生产力水平的同时，也给个人、单位乃至整个国家的信息安全带來了较大冲击，因此，进行网络信息安全风险分析与对策研究十分重要。1网络信息安全的定义网

2、络信息安全的定义是确保以电磁信号为主要形式的、在信息网络系统进行通信、处理和使用的信息内容，在各个物理位置、逻辑区域、存储和传输介质屮，处于动态和静态过程中的保密性、完整性和町用性，以及少人、网络、环境有关的技术安全、结构安全和管理安全。简言之，网络信息安全就是保证网络信息系统的合法用户在允许的时间内、从允许的地点、通过允许的方法，对允许范围内的信息进行所允许的处理，同吋能有效防范非法用户访问与攻击网络信息系统。2网络信息安全管理的重要性信息时代，政治、经济、军事、科技和文化等信息成为国家的重耍战略资源，冃前世界各国都不惜巨资，招集最优秀人才，利用最先进技术，打造最可靠的网络。信息时

3、代，强国推行信息强权和信息垄断，依仗信息优势控制弱国的信息技术。一旦信息弱国却步，又缺乏白主创新的网络安全策略和手段，国家的信息主权就有对能被葬送。因此，网络信息安全成为左右国家政治命脉、经济发展、军事强弱和文化复兴的关键因索。近年來，网络攻击在政治、经济、军事领域造成严垂后果的事件层出不穷，如1996年8月17H,美国司法部的网络服务器遭到黑客入侵，并将“美国司法部”的主页改为“美国不公正部”，令美国上下-•片哗然；2005年6月，美国最大信用卡公司之一的万事达公司众多用户的银行资料被黑客窃取，酿成美国最大规模信用卡用户信息泄密案；2007年4刀，爱沙尼亚互联网遭俄青年运动组织纳什

4、（Nashi）人规模网络袭击，攻击者仅川大规模重复访问使服务器瘫痪这一简单手法，就掌握了爱沙尼亚互联网的制网权，此次事件被视为首次针对国家的网络战；2008年8月的俄格冲突中，俄罗斯在军事行动前攻击了格鲁吉亚的互联网，致使格政府、交通、通讯、媒体和金融服务业处于瘫痪状态，此事件被定义为全球第一次针对制网权的、与传统军事行动同步的网络攻击，也是第一次大规模网络战争。因此网络信息安全不仅影响着政治、经汛军事、科技、文化的发展走势，更与家国的安全紧密和连。3信息系统安全风险分析与对策3.1物理访问的安全管理物理访问安全主要指对网络信息系统直接或近距离访问而造成的安全问题，包括如下因素：非法

5、使用、辐射、硬件故障、搭线窃听、盗用、偷窃等等。如线路窃听就是网上“黑客”们经常采用且很难被发现的手段。除光缆外的各种通信介质都不同程度的存在着电磁辐射。Modem.Terminal.电缆接口等亦都存在电磁辐射，有些甚至可在较远距离内将信号还原。“黑客”们便经常利用这些电磁辐射，使用各种高性能的协议分析仪和信道监测器进行搭线窃听，对信息流进行分析，将信号还原，从而得到II令、TD及账号、涉密信息等敏感数据。物理访问的风险大多來自恶意或具冇犯罪倾向的人员(：如：离职人员、竞争者、盗窃者、犯罪集团、黑客等)，因此应制定対策，保证硬件设施在合理的范围内能防止非法访问与入侵，如：主要设备是否

6、有安全保护措施(防辐射、防盗窃、访非法使用等)。只要措丿施得力、制度完善、严格执行，物理访问的风险是可以事先得到控制的。3.2逻辑访问的安全管理由于现代信息系统都是处在网络环境中，因此存在非法用户通过网络进行非法访问的风险，非法用户的非法访问有可能造成敏感数据泄露、系统瘫痪、业务屮断等严重后果。非法逻辑访问往往通过假冒主机或用户进行非授权访问，达到对信息完整性攻击和对服务干扰的目的。非法逻辑访问的手段和方法很多，如：SQL注入攻击、特洛伊木马、计算机病毒、妬虫、逻辑炸弹、口令入侵、拒绝服务攻击(DOS)等，下面就以一种“黑客”们常用的且危害极人的攻击方法——SQL注入攻击作具体分析，

7、找出具体对策。3.2.1SQL注入攻击的原理与危害SQL是结构化查询语言(StructuredQueryLanguage)的缩写，是标准的数据库操作语言，当今的信息系统都离不开数据库，因此也离不开SQL。SQL注入攻击(SQLInjectionAttack)是攻击者应用http(HypertextTransferProtocol,超文本传输协议)的请求向B/S模式的信息系统发送恶意的SQL脚本，探测出信息系统开发者编程过程中的漏洞，然后利用这些漏洞，对信息