信息安全研究论文例1

一、信息化的内涵、信息资源的性质及信息的安全问题

“信息化”一词最早是由日本学者于20世纪六十年代末提出来的。经过40多年的发展，信息化已成为各国社会发展的主题。

信息作为一种特殊资源与其他资源相比具有其特殊的性质，主要表现在知识性、中介性、可转化性、可再生性和无限应用性。由于其特殊性质造成信息资源存在可能被篡改、伪造、窃取以及截取等安全隐患，造成信息的丢失、泄密，甚至造成病毒的传播，从而导致信息系统的不安全性，给国家的信息化建设带来不利影响。因此，如何保证信息安全成为亟须解决的重要问题。

信息安全包括以下内容：真实性，保证信息的来源真实可靠；机密性，信息即使被截获也无法理解其内容；完整性，信息的内容不会被篡改或破坏；可用性，能够按照用户需要提供可用信息；可控性，对信息的传播及内容具有控制能力；不可抵赖性，用户对其行为不能进行否认；可审查性，对出现的网络安全问题提供调查的依据和手段。与传统的安全问题相比，基于网络的信息安全有一些新的特点：

一是由于信息基础设施的固有特点导致的信息安全的脆弱性。由于因特网与生俱来的开放性特点，从网络架到协议以及操作系统等都具有开放性的特点，通过网络主体之间的联系是匿名的、开放的，而不是封闭的、保密的。这种先天的技术弱点导致网络易受攻击。

二是信息安全问题的易扩散性。信息安全问题会随着信息网络基础设施的建设与因特网的普及而迅速扩大。由于因特网的庞大系统，造成了病毒极易滋生和传播，从而导致信息危害。

三是信息安全中的智能性、隐蔽性特点。传统的安全问题更多的是使用物理手段造成的破坏行为，而网络环境下的安全问题常常表现为一种技术对抗，对信息的破坏、窃取等都是通过技术手段实现的。而且这样的破坏甚至攻击也是“无形”的，不受时间和地点的约束，犯罪行为实施后对机器硬件的信息载体可以不受任何损失，甚至不留任何痕迹，给侦破和定罪带来困难。

信息安全威胁主要来源于自然灾害、意外事故；计算机犯罪；人为错误，比如使用不当，安全意识差等；“黑客”行为；内部泄密；外部泄密；信息丢失；电子谍报，比如信息流量分析、信息窃取等；信息战；网络协议自身缺陷，等等。

二、我国信息化中的信息安全问题

近年来，随着国家宏观管理和支持力度的加强、信息安全技术产业化工作的继续进行、对国际信息安全事务的积极参与以及关于信息安全的法律建设环境日益完善等因素，我国在信息安全管理上的进展是迅速的。但是，由于我国的信息化建设起步较晚，相关体系不完善，法律法规不健全等诸多因素，我国的信息化仍然存在不安全问题。

1、信息与网络安全的防护能力较弱。我国的信息化建设发展迅速，各个企业纷纷设立自己的网站，特别是“政府上网工程”全面启动后，各级政府已陆续设立了自己的网站，但是由于许多网站没有防火墙设备、安全审计系统、入侵监测系统等防护设备，整个系统存在着相当大的信息安全隐患。美国互联网安全公司赛门铁克公司2007年发表的报告称，在网络黑客攻击的国家中，中国是最大的受害国。

2、对引进的国外设备和软件缺乏有效的管理和技术改造。由于我国信息技术水平的限制，很多单位和部门直接引进国外的信息设备，并不对其进行必要的监测和改造，从而给他人入侵系统或监听信息等非法操作提供了可乘之机。

3、我国基础信息产业薄弱，核心技术严重依赖国外，缺乏自主创新产品，尤其是信息安全产品。我国信息网络所使用的网管设备和软件基本上来自国外，这使我国的网络安全性能大大减弱，被认为是易窥视和易打击的“玻璃网”。由于缺乏自主技术，我国的网络处于被窃听、干扰、监视和欺诈等多种信息安全威胁中，网络安全处于极脆弱的状态。

4、信息犯罪在我国有快速发展趋势。除了境外黑客对我国信息网络进行攻击，国内也有部分人利用系统漏洞进行网络犯罪，例如传播病毒、窃取他人网络银行账号密码等。

5、在研究开发、产业发展、人才培养、队伍建设等方面与迅速发展的形势极不适应。

造成以上问题的相关因素在于：首先，我国的经济基础薄弱，在信息产业上的投入还是不足，尤其是在核心和关键技术及安全产品的开发生产上缺乏有力的资金支持和自主创新意识。其次，全民信息安全意识淡薄，警惕性不高。大多数计算机用户都曾被病毒感染过，并且病毒的重复感染率相当高。

除此之外，我国目前信息技术领域的不安全局面，也与西方发达国家对我国的技术输出进行控制有关。

三、相关解决措施

针对我国信息安全存在的问题，要实现信息安全不但要靠先进的技术，还要有严格的法律法规和信息安全教育。

1、加强全民信息安全教育，提高警惕性。从小做起，从己做起，有效利用各种信息安全防护设备，保证个人的信息安全，提高整个系统的安全防护能力，从而促进整个系统的信息安全。超级秘书网

2、发展有自主知识产权的信息安全产业，加大信息产业投入。增强自主创新意识，加大核心技术的研发，尤其是信息安全产品，减小对国外产品的依赖程度。

3、创造良好的信息化安全支撑环境。完善我国信息安全的法规体系，制定相关的法律法规，例如信息安全法、数字签名法、电子信息犯罪法、电子信息出版法、电子信息知识产权保护法、电子信息个人隐私法、电子信息进出境法等，加大对网络犯罪和信息犯罪的打击力度，对其进行严厉的惩处。

4、高度重视信息安全基础研究和人才的培养。为了在高技术环境下发展自主知识产权的信息安全产业，应大力培养信息安全专业人才，建立信息安全人才培养体系。

信息安全研究论文例2

市场——“热中看冷”“冷中看热”

今年国内的信息安全市场形势，大致可用两句话来概括，那就是:“热中看冷”、“冷中看热”。热中看冷，是针对信息安全问题持续高温而言的，信息安全炙手可热，主要表现在四个方面，首先是各级政府的高度重视，近年来从国家领导到各部委、部门，尤其是执法部门和应用部门对信息安全问题均表现出极大的关注，不仅有大量具体、明确的指示，而且开始有相应的措施来推动;其次是全社会对信息安全的接受程度有较大提高，不象以前空谈信息安全，而是在经历了Y2K、病毒、黑客等安全事件后都有了切身的体会;第三是信息安全事件的频繁发生，尤其是最近的中美黑客大战，更使信息安全成为非常现实的问题。在一个多月的时间里，美国黑客黑了我们一千多个网站，5.1期间中国黑客也黑了美方一千多个网站。这一事件，给政府的网络管理、信息安全行业发展以及信息技术的使用都提出了很多现实的问题，虽然黑一个网站，把页面修改一下，没有多大的实际经济影响，但如拒绝服务等攻击所带来的后续损失可能就相当大，而且一些组织还有可能利用这个机会从事其它活动。所以中美政府都很关注这一事情，从另一个角度看这一事件对信息安全产业而言也是一个推动;第四方面是资本的投人。现在信息安全行业成为资本市场的新宠，强力介入信息安全行业的资本，主要有两类:一是工T界以外的公司，即上市公司想做信息安全行业;二是原IT行业的大公司介人到信息安全行业。据目前掌握的情况，截止今年底，直接介人到信息安全行业的资金预计可达20个亿。其中有一半来自国外，今年秋天将会有较大的信息安全公司在香港创业板挂牌上市，另一半来自国内，原国内上市公司也会采用收购、参股、并购等方式介人该行业。以上四个方面是信息安全“热”的一面。所谓热中看冷。就是指在这么热的形式下，黑客攻击这么多，信息安全企业却不好出来表态，是有其难言之隐。信息安全的防线构成是多方面的，与技术与管理与使用都可能有关，而黑客的攻击是破坏性的，我们不可能为了应付所有攻击而做一个天衣无缝的完善系统。信息安全不能高估也不能低估，这是一个需要强调的观点，尤其是对于业界，近几年，关于信息安全的舆论炒作和市场炒作都比较多，然而回过头来看，真正的安全需求解决了多少？许多时候大家关注的是商业式的安全需求，关注的是美国版的安全需求，而我们国家的政府信息化、金融电子化、企业信息化真正面临的安全需求并没有得到很好解决。所以我们要冷静地看，要解决很多现实的问题。这既是市场上一个良好的商机，也是行业界一个严峻的任务。要有效保证政府、金融、网络文化等方面信息系统的安全，我们现有的产品还远远不够。我们对多个政府网络的测试结果表明，大量现实的安全需求并没有被满足。这说明，我们的信息安全产业不能离开我国的实际去研究单纯的技术和产品，而应使技术和应用结合起来。国外产品所以在我国占有如此大的市场，其中一个重要的因素，就是它和应用结合得非常紧，大量的应用都是国外开发的。而我们的信息化应用如政务系统、商务系统，还找不到一个完整的很好和应用结合起来的解决方案。热中看冷就是要冷静地看待这些问题。否则，在时兴市场炒作的年代，刚刚兴起的信息安全产业就会有“虚热”之虞。

冷中看热，是针对当前网络经济的不景气而言的，当COM公司不再景气，特别是纳斯达克一落千丈时，如何看待信息安全产业?它是否也会一路下跌?我的回答基本上是否定的，因为发展和安全是一对矛盾，信息安全比信息化要略为滞后一些。.COM公司发展很快即信息化进程很快的时候，人们构建了大量的网络，同时也产生了很多的问题。现在网络界反思的时候就是信息安全界该做贡献的时候。网络界的反思不仅是投人的问题，关键是带动了很多新的应用，这些应用暴露出很多问题。客观上需要解决，基于此，信息安全产业不会下跌，反而会因此上涨。据调研，今年信息安全市场形势和去年相比又有很大的不同，最大的特点是国家的各个部门，都做了信息安全的经费计划，今年的财政预算里包含了信息安全设备的采购费用，这是信息安全市场的真正启动。这与过去该行业那种“有行无市”、“行大市小”的形势有很大的区别。去年大家还在说服、在宣传、在做市场，今年市场的购买力加大了，可以做销售了。从目前趋势看，今年的信息安全行业市场保守估计也在50亿左右。信息化尤其是电子商务的启动对信息安全的需求还会更大。在这之中，密码产品、防火墙产品、人侵检测、漏洞扫描、电子商务产品、防病毒产品和安全服务将占据主要地位。去年国外产品占领了我国市场三分之二的份额，今年我们可以高兴的看到国内产品将与国外产品平分秋色，这就是冷风中的热潮。没有这股热潮，瞰瞰待哺的信息安全行业就可能在网络经济的秋风落叶中“感冒”。竞争——“异中求同”“同中存异”

我国的信息安全行业是近10年突然发展起来的，速度之快，令人咋舌，10年前，我国的信息安全企业只有五家，主要为政府和军队服务。五年前包括商密企业也不超过10家，而到去年，信息安全公司就达350多家，到今年夏天，据工商部门统计全国登记注册的公司中与信息安全有哭的已超过1300家。这么多的企业一举进军信息安全这个新兴的行业，犹若千军万马过独木桥。竞争之激烈，前景之悲壮，不难预料。

从去年下半年开始，混乱的竞争局面已现端倪:从产品上看，仅防火墙产品一项，厂家数十，商家过百，仔细分析一下这些产品，一半以上是低水平重复，产品质量不是后来居上，而是每况愈下。政府的有限投人又不可能完全按照市场经济的规律去支持强者，相反国家投人的文化底蕴往往又特别倾情于那些市场上的小子、晚辈，结果市场博杀，最有力的筹码就只剩下了价格一种，而这种武器往往又是后来跟进者和质量难保者的最爱。到今年夏天，防火墙市场、扫描器市场等领域的价格战已近肉博，长此下去，不出半年，至少有三分之一的企业会壮烈牺牲。怎样竞争?已经是事关我国信息安全产业发展的重大问题，对此，我们的看法是:“异中求同、同中求异”。

所谓“异中求同”:是指大家共同营造信息安全产业。各企业经营的是不同的产品。但满足的一定是我们国家共同的需求。从商业上讲，任何企业都需要谋求它的利益。但如何谋利却大有文章可做。国外许多大公司的经验和做法很值得借鉴，这些不同的企业在市场利益上总是团结得很紧，形成市场上的一个联盟、一个团队。各公司尽管产品不一样，但在市场利益上却是一致的。他们不仅推销彼此的产品，而且要分享对方产品的增值。这都是值得国内企业学习的。现在需要不要盲目跟风，一窝蜂上一种产品，做重复劳动。而是整个行业界要向产业分工尤其是水平分工发展，各具特色，优势互补，共同将信息安全市场做大做好。

“同中求异”:指面向快速发展的国家信息化需求开发出不同的产品。我国的信息安全应该是一道长城，然而目前的现状却是一路纵队。政府各部门是这样，行业各厂商更是如此大家追逐同一种工作或产品，其他工作或产品却无人问津。对攻击者而言，就意味着其它方面毫无防卫，是很好的攻击机会。所以，我们产业能否成长得好，关键要看能否形成一道防线。即使我们在某一方面有一两支强军也不行，长城不是有两个碉堡就够了，它必须是一道完整的防线。其中有分工有协作，八仙过海，各显神通，应是我们市场竞争的理想境界。

信息安全研究论文例3

1.1基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。

1.2数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。

1.3网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。

1.4数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。

2电子政务信息安全体系模型设计

完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略

在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题，通常是将基于公钥证书（PKC）的PKI（PublicKeyInfrastructure）与基于属性证书（AC）的PMI（PrivilegeManagementInfrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限，许多用户也可能有相同的权限集，这些权限都必须写入属性证书的属性中，这样就增加了属性证书的复杂性和存储空间，从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP目录服务器等实体组成，在该模型中：

2.1终端用户：向验证服务器发送请求和证书，并与服务器双向验证。

2.2验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。

2.3应用服务器：与资源数据库连接，根据验证通过的用户请求，对资源数据库的数据进行处理，并把处理结果通过验证服务器返回给用户以响应用户请求。

2.4LDAP目录服务器：该模型中采用两个LDAP目录服务器，一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。

安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。

转贴于中国论文下载中心www

3电子政务信息安全管理体系中的风险评估

电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。

3.1信息系统的安全定级信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。

3.2采用全面的风险评估办法风险评估具有不同的方法。在ISO/IECTR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NISTSP800-30、AS/NZS4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。

电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。

在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。

4结语

电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。

参考文献：

[1]范红，冯国登，吴亚非.信息安全风险评估方法与应用.清华大学出版社.2006.

信息安全研究论文例4

1引言

近年来，伴随着互联网技术在全球迅猛发展，人们在提供了极大的方便，然而，信息化在给人们带来种种物质和文化享受的同时，我们也正受到日益严重的来自网络的安全威胁，诸如网络的数据窃贼、黑客的侵袭、病毒者，甚至系统内部的泄密者。尽管我们正在广泛地使用各种复杂的软件技术，如防火墙、服务器、侵袭探测器、通道控制机制，但是，无论在发达国家，还是在发展中国家（包括我国），黑客活动越来越猖狂，他们无孔不入，对社会造成了严重的危害。与此同时，更让人不安的是，互联网上黑客网站还在不断增加，学习黑客技术、获得黑客攻击工具变得轻而易举。这样，使原本就十分脆弱的互联网越发显得不安全。针对各种来自网上的安全威胁，怎样才能确保网络信息的安全性，尤其是网络上重要的数据的安全性。本文通过对几起典型的网络安全事件的分析，以及对威胁网络安全的几种典型方法研究的结果，提出实现防护网络安全的具体策略。

2计算机网络信息安全面临的威胁

近年来，威胁网络安全的事件不断发生，特别是计算机和网络技术发展迅速的国家和部门发生的网络安全事件越来越频繁和严重。一些国家和部门不断遭到入侵攻击，本文列举以下事例以供分析和研究之用。

2.1事件一：

2005年7月14日国际报道英国一名可能被引渡到美国的黑客McKinnon表示，安全性差是他能够入侵美国国防部网站的主要原因。他面临“与计算机有关的欺诈”的指控，控方称，他的活动涉及了美国陆军、海军、空军以及美国航空航天局。

可以看出，一方面尽管这位黑客的主动入侵没有恶意，但是事实上对美国国防部的网络信息在安全方面造成威胁，假如这位黑客出于某种目的，那么后果将无法估量；另一方面网络技术很高的国家和部门也会被黑客成功入侵。

2.2事件二：

2005年6月17日报道万事达信用卡公司称，大约4000万名信用卡用户的账户被一名黑客利用电脑病毒侵入，遭到入侵的数据包括信用卡用户的姓名、银行和账号，这都能够被用来盗用资金。如果该黑客真的用这些信息来盗用资金的话，不但将给这些信用卡用户带来巨大的经济损失，而且侵犯了这些信用卡用户的个人隐私。

2.3事件三：

日本3家银行eBank、网络银行和瑞穗银行近日声称，有客户在不知情的情况下，存款被转账、盗领，在向银行查询后，才知道是遭黑客入侵。瑞穗银行已发生两件类似案件，遭到500万日元的损失。日本警视厅高科技犯罪对策中心接到报案后已展开调查，并从被害人的计算机中查到间谍软件，这种软件可自动记录输入计算机的资料，并透过网络传送给第三者。

入侵的黑客通常扮演以下脚色：

(1)充当政治工具。非法入侵到国防、政府等一些机密信息系统，盗取国家的军事和政治情报，危害国家安全。

(2)用于战争。通过网络，利用黑客手段侵入敌方信息系统，获取军事信息、假信息、病毒，扰乱对方系统等等。

(3)非法入侵金融、商业系统，盗取商业信息；在电子商务、金融证券系统中进行诈骗、盗窃等违法犯罪活动；破坏正常的经济秩序。我国证券系统接二连三发生的盗用他人密码进行诈骗的案件，已经引起了网民的不安。

(4)非法侵入他人的系统，获取个人隐私，以便利用其进行敲诈、勒索或损害他人的名誉，炸毁电子邮箱，使系统瘫痪等。

基于以上事件的分析，一方面可以看到网络安全不仅影响到一个国家的政治、军事、经济及文化的发展，而且会影响到国际局势的变化和发展；另一方面网络自身存在安全隐患才会影响到网络的安全。目前，威胁网络安全的技术主要有病毒、入侵和攻击；而对网络信息失窃造成威胁的主要是黑客的入侵，只有入侵到主机内部才有可能窃取到有价值的信息。

3计算机网络存在的安全问题

导致计算机网络信息安全受到威胁的根本原因在于网络存在安全问题，归纳为以下几点：

3.1固有的安全漏洞

现在，新的操作系统或应用软件刚一上市，漏洞就已被找出。没有任何一个系统可以排除漏洞的存在，想要修补所有的漏洞简直比登天还难。从CERT（CarnegieMellon大学计算机紧急事件响应队）那里，可以找到相当全面的程序错误列表。另一个消息的来源就是诸如BugNet或NTBugtraq一类的新闻组。

(1)缓冲区溢出。这是攻击中最容易被利用的系统漏洞。很多系统在不检查程序与缓冲区间的变化的情况下，就接收任何长度的数据输入，把溢出部分放在堆栈内，系统还照常执行命令。这样破坏者便有机可乘。他只要发送超出缓冲区所能处理的长度的指令，系统便进入不稳定状态。假如破坏者特别配置一串他准备用作攻击的字符，他甚至可以访问系统根目录。

(2)拒绝服务。拒绝服务(DenialofService，DoS)攻击的原理是搅乱TCP/IP连接的次序。典型的DoS攻击会耗尽或是损坏一个或多个系统的资源（CPU周期、内存和磁盘空间），直至系统无法处理合法的程序。这类攻击的例子是Synflood攻击。发动Synflood攻击的破坏者发送大量的不合法请求要求连接，目的是使系统不胜负荷。其结果是系统拒绝所有合法的请求，直至等待回答的请求超时。

3.2合法工具的滥用

大部分系统都配备了用以改进系统管理及服务质量的工具软件，但遗憾的是，这些工具同时也会被破坏者利用去收集非法信息及加强攻击力度：

例如：NBTSTAT命令是用来给系统管理员提供远程节点的信息的。但是破坏者也用这一命令收集对系统有威胁性的信息，例如区域控制软件的身份信息、NetBIOS的名字、IIS名甚至是用户名。这些信息足以被黑客用来破译口令。

另一个最常被利用的工具是网包嗅探器（PacketSniffer）。系统管理员用此工具来监控及分发网包，以便找出网络的潜在问题。黑客如要攻击网络，则先把网卡变成功能混杂的设备，截取经过网络的包（包括所有未加密的口令和其他敏感信息），然后短时间运行网包嗅探器就可以有足够的信息去攻击网络。

3.3不正确的系统维护措施

系统固有的漏洞及一大堆随处可见的破坏工具大大方便了黑客的攻击，但无效的安全管理也是造成安全隐患的一个重要因素。当发现新的漏洞时，管理人员应仔细分析危险程度，并马上采取补救措施。

有时候，虽然我们已经对系统进行了维护，对软件进行了更新或升级，但由于路由器及防火墙的过滤规则过于复杂，系统又可能会出现新的漏洞。所以，及时、有效地改变管理可以大大降低系统所承受的风险。

3.4低效的系统设计和检测能力

在不重视信息保护的情况下设计出来的安全系统会非常"不安全"，而且不能抵御复杂的攻击。建立安全的架构一定要从底层着手。这个架构应能提供实效性的安全服务，并且需要妥善的管理。

服务器的代码设计及执行也要进行有效管理。最近,有很多公开的漏洞报告指出：在输入检查不完全时，cgibin是非常脆弱的。黑客可以利用这一漏洞发动拒绝服务攻击，非法访问敏感信息或是篡改Web服务器的内容。低效的设计最后会产生漏洞百出的入侵检测系统。这样的系统非常危险，它不能提供足够的信息，就连已提供的信息都可能是不真实、不准确的。4计算机网络信息安全的防护策略

尽管计算机网络信息安全受到威胁，但是采取恰当的防护措施也能有效的保护网络信息的安全。本文总结了以下几种方法并加以说明以确保在策略上保护网络信息的安全：

4.1隐藏IP地址

黑客经常利用一些网络探测技术来查看我们的主机信息，主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念，如果攻击者知道了你的IP地址，等于为他的攻击准备好了目标，他可以向这个IP发动各种进攻，如DoS(拒绝服务)攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用服务器。使用服务器后，其它用户只能探测到服务器的IP地址而不是用户的IP地址，这就实现了隐藏用户IP地址的目的，保障了用户上网安全。

4.2关闭不必要的端口

黑客在入侵时常常会扫描你的计算机端口，如果安装了端口监视程序（比如Netwatch），该监视程序则会有警告提示。如果遇到这种入侵，可用工具软件关闭用不到的端口，比如，用“NortonInternetSecurity”关闭用来提供网页服务的80和443端口，其他一些不常用的端口也可关闭。

4.3更换管理员帐户

Administrator帐户拥有最高的系统权限，一旦该帐户被人利用，后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码，所以我们要重新配置Administrator帐号。首先是为Administrator帐户设置一个强大复杂的密码，然后我们重命名Administrator帐户，再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来，入侵者就很难搞清哪个帐户真正拥有管理员权限，也就在一定程度上减少了危险性。

4.4杜绝Guest帐户的入侵

Guest帐户即所谓的来宾帐户，它可以访问计算机，但受到限制。不幸的是，Guest也为黑客入侵打开了方便之门！禁用或彻底删除Guest帐户是最好的办法，但在某些必须使用到Guest帐户的情况下，就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码，然后详细设置Guest帐户对物理路径的访问权限。

4.5封死黑客的"后门"

俗话说“无风不起浪”，既然黑客能进入，那我们的系统一定存在为他们打开的"后门"，我们只要将此堵死，让黑客无处下手，岂不美哉！

(1)删掉不必要的协议

对于服务器和主机来说，一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”，选择“属性”，再鼠标右击“本地连接”，选择“属性”，卸载不必要的协议。其中NetBIOS是很多安全缺陷的源泉，对于不需要提供文件和打印共享的主机，可以将绑定在TCP/IP协议的NetBIOS给关闭，避免针对NetBIOS的攻击。

(2)关闭“文件和打印共享”

文件和打印共享应该是一个非常有用的功能，但在我们不需要它的时候，它也是引发黑客入侵的安全漏洞。所以在没有必要"文件和打印共享"的情况下，我们可以将其关闭。即便确实需要共享，也应该为共享资源设置访问密码。

(3)禁止建立空连接

在默认的情况下，任何用户都可以通过空连接连上服务器，枚举帐号并猜测密码。因此我们必须禁止建立空连接。

(4)关闭不必要的服务

服务开得多可以给管理带来方便，但也会给黑客留下可乘之机，因此对于一些确实用不到的服务，最好关掉。比如在不需要远程管理计算机时，我都会将有关远程网络登录的服务关掉。去掉不必要的服务停止之后，不仅能保证系统的安全，同时还可以提高系统运行速度。

4.6做好IE的安全设置

ActiveX控件和JavaApplets有较强的功能，但也存在被人利用的隐患，网页中的恶意代码往往就是利用这些控件编写的小程序，只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。IE对此提供了多种选择，具体设置步骤是：“工具”“Internet选项”“安全”“自定义级别”。另外，在IE的安全性设定中我们只能设定Internet、本地Intranet、受信任的站点、受限制的站点。

4.7安装必要的安全软件

我们还应在电脑中安装并使用必要的防黑软件，杀毒软件和防火墙都是必备的。在上网时打开它们，这样即使有黑客进攻我们的安全也是有保证的。

4.8防范木马程序

木马程序会窃取所植入电脑中的有用信息，因此我们也要防止被黑客植入木马程序，常用的办法有：

(1)在下载文件时先放到自己新建的文件夹里，再用杀毒软件来检测，起到提前预防的作用。

(2)在“开始”“程序”“启动”或“开始”“程序”“Startup”选项里看是否有不明的运行项目，如果有，删除即可。

(3)将注册表里KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。

4.9不要回陌生人的邮件

有些黑客可能会冒充某些正规网站的名义，然后编个冠冕堂皇的理由寄一封信给你要求你输入上网的用户名称与密码，如果按下“确定”，你的帐号和密码就进了黑客的邮箱。所以不要随便回陌生人的邮件，即使他说得再动听再诱人也不上当。

4.10防范间谍软件

如果想彻底把Spyware拒之门外，请按照这几个步骤来做：

(1)断开网络连接并备份注册表和重要用户数据。

(2)下载反间谍工具。

(3)扫描并清除。

(4)安装防火墙。

(5)安装反病毒软件。

4.11及时给系统打补丁

最后，建议大家到微软的站点下载自己的操作系统对应的补丁程序，微软不断推出的补丁尽管让人厌烦，但却是我们网络安全的基础。

5结束语

尽管现在用于网络安全的产品有很多，比如有防火墙、杀毒软件、入侵检测系统，但是仍然有很多黑客的非法入侵。根本原因是网络自身的安全隐患无法根除，这就使得黑客进行入侵有机可乘。虽然如此，安全防护仍然必须是慎之又慎，尽最大可能降低黑客入侵的可能，从而保护我们的网络信息安全。

参考文献

1.（译）吴世忠,马芳.网络信息安全的真相.机械工业出版社，2001-9-1。

信息安全研究论文例5

Abstract:Inthethesispaper,theauthorfirstgivesabriefintroductiontothetraditionalcasktheoryanditsapplicationininformationsecurity.Thenbasedontheunderstandingofinformationsecurityinpracticalwork,theauthorputforwardseveralviewsandsomethoughtsonthetraditionalcasktheory.Intheend,theauthorpointsoutthathowtoapplythecasktheorybetterintheinformationsecurityworkbyillustratingtheviewswhichhavementionedbefore.

Keywords:Casktheoryinformationsecurityapply

引言

说到木桶理论,可谓众所周知:一个由若干块长短不同的木板箍成的木桶,决定其容水量大小的并非是其中最长的那块木板或全部木板长度的平均值,而是取决于其中最短的那块木板。要想提高木桶的整体效应,不是增加最长的那块木板的长度,而是要下功夫补齐最短的那块木板的长度。这个理论由谁提出,目前已经无从考究了,但这个理论的应用范围却十分广泛,从经济学、单位管理到人力资源,到个人发展。这个理论也被引进了安全领域,在信息安全中,认为信息安全的防护强度取决于安全体系最为薄弱的一环,因此出现的一个状况是发现哪个安全问题严重就买什么样的产品。这个理论的意义在于使我们认识到整个安全防护中最短木块的巨大威胁,并针对最短木块进行改进。

根据这个理论,我们会发现有些单位找出安全防护中的最短木块,并买了很多安全产品进行防护:发现病毒对单位影响很大,就买了最好的反病毒软件;发现边界不安全,就用了最强的防火墙;发现有黑客入侵,就部署了最先进的入侵检测系统。这其实只是一种头痛医头,脚痛医脚的做法,是治标不治本的方法。

1.木桶理论新解

经分析,传统的木桶理论存在一定的缺陷,实际上一个木桶能不能容水,容多少水,除了看最短木板之外,还要看一些关键信息:这个木桶是否有坚实的底板、木板之间是否有缝隙。

1.1木桶底板是木桶能否容水的基础

一个完整的木桶,除了木桶中长板、短板,木桶还有底板。正是这谁也不太重视的底板,决定了这只木桶能不能容水,能容多大重量的水。这只底板正是信息安全的基础,即单位的信息安全架构、安全管理制度和安全流程。对于多数单位而言,目前还没有整体的信息安全规划和建设,也没有完善的制度和流程。信息安全还没有从整体上进行考虑,随意性相当强。这就需要对单位进行一次比较全面的安全评估,然后结合单位的业务需求和安全现状来做安全信息架构和安全建设框架,制订符合单位的安全制度和流程。而在另外一些单位里,信息安全制度不是没有,也不是不完备,最大的问题在于执行不力。目前在大型单位和运营商中,安全的最大问题是无法贯彻执行单位的安全政策和流程。所以可以说:“安全是一把手工程,只有得到领导的强有力支持,才可能把安全策略进行推广;安全是全民工程,只有全民参与,才能有效地贯彻安全策略和制度。”同时需要注意的是,由于单位不断发展,安全是动态变化的,因此也就需要我们不定期的检查信息安全这个“木桶”的桶底是否坚实,一个迅速长大的单位,正如一只容纳了相当水量的木桶,越来越大的水容量将构成木桶底板的巨大挑战,如果不时关注底板,最后可能因为不能承受之重而导致所有的蓄水都丢失。

1.2木桶是否有缝隙是木桶能否容水的关键。

木桶能否有效地容水,除了需要坚实的底板外,还取决于木板之间的缝隙,这个是大多数人不易看见的。对于一个安全防护体系而言,其不同产品之间的协作和联动有如木板之间的缝隙,通常为我们所忽视,但其危害却最深。安全产品之间的不协同工作有如木板之间的缝隙,将致使木桶不能容纳一滴水!如果此时,单位还把注意力放在最短的木板上,岂非缘木求鱼?

在信息安全中,目前攻击手法已经是融合了多种技术,比如蠕虫就融合了缓冲区溢出技术、网络扫描技术和病毒感染技术,这时候,如果我们的产品还却还是孤军作战,防病毒软件只能查杀病毒,却不能有效地组织病毒地传播;IDS可以检查出蠕虫在网络上的播,却不能清除蠕虫;补丁管理可以防止蠕虫的感染,却不能查杀蠕虫。各个安全产品单独工作,无法有效地查杀病毒、无法组织病毒的传播。而且更为严重的是,每个系统都会记录这些安全日志,这些日志之间没有合并和关联,大量的日志将冲垮管理员,导致无法看到真正关心的日志。

目前出现的SOC产品可以说是木桶的桶箍,它能把各种安全技术、安全产品、安全策略、安全措施等各种目标等箍在一起,共同形成一个坚实的木桶,保护里面的水资源。SOC包含安全事件收集、事件分析、状态监视、资产管理、配置管理、策略管理以及长期形成的知识中心,并通过流程优化、系统联动、事件管理等方式减少木板与木板之间的缝隙,协调各方面资源,最高效率地处理安全问题,保护整体安全。

2.木桶理论与信息安全的几点阐述

2.1如何处理木桶中的最短木板

通过上面的分析,我们可以知道木桶的底板是基础,桶箍是关键,而最短木板决定了能容水的最大容量。但是如何处理这块最短木板,通常做法是看准了单位的最短木板,并且花大力气去提高,但效果往往不明显。其实这陷入了一种惯性思维,如果要提高木桶的容量,有时候不一定非要提高最短木板不可,只要那块最短木板的范围不是很宽,我们只要干脆去掉那个最短木板,然后重新用桶箍围成桶,这个新桶的容量就有可能大于原来的旧桶。

这种做法其实在单位运作中经常会使用,对于一些非核心业务,一些单位领导往往会采用外包的方式来处理,自己做最擅长的事情。但是在信息安全领域,这块目前做的并不够,这其中的原因一部分可能是由于信息安全比较重要,要找一个可靠的外包供应商才可以,另外的原因也可能是还没有意识到这个问题。目前越来越多的单位开始重视安全,都在建立自己的政策体系和人员队伍,但是由于信息安全具有专业性强,知识面广的特点,要建立一个完善的体系和队伍是比较困难的。

2.2木桶理论与安全等级保护法

《国家信息化领导小组关于加强信息安全保障工作的意见》中认为,不同的信息系统有着不同的安全需求,必须从实际出发,综合平衡安全成本和风险,优化信息安全资源的配置,确保重点,要重点保护基础信息网络和关系信息安全、经济命脉、社会稳定等方面的重要信息系统,抓紧建立信息安全等级保护制度,制定信息安全等级保护的管理办法和技术指南。

信息安全领域中,密级分类、等级保护就是把信息资产分为不同等级,根据信息资产不同的重要等级,采取不同的措施进行防护。它的出发点就是要突出重点,要突出重点要害部位,分级负责,分层实施。在单位的安全建设过程中,我们可以根据等级保护法,把系统分成几个等级,不同等级采用不同的“木桶”来管理,然后对每一个木桶再进行安全评估和安全防护,这样就可以在投入有限的情况下,确保重要信息的安全性。

2.3木桶理论与内核加固

如何在木桶有缝隙的情况下,还能保护桶里面的水吗?有一个一个思路:把水降温变成冰块,这样即使有缝隙,水也不会马上流走,可以为我们进一步修复木桶提供时间。对于系统来说,加固操作系统内核就是这个作用,比如在某个系统上发现了一个很严重的漏洞,但是如果内核是进行了加固的,那么就不容易被利用进行攻击。

3.总结

传统的木桶理论在信息安全中的运用,让我们了解了什么是当前最为严重的问题,但是如果只着眼于最短木板,而忽视了木桶的底板这个基础,忘记了使木块能成为木桶的桶箍的作用,那么信息安全这个木桶还是很不成熟、不完善的。

信息安全研究论文例6

一、网络信息安全概述

信息安全是指为建立信息处理系统而采取的技术上和管理上的安全保护，以实现电子信息的保密性、完整性、可用性和可控性。当今信息时代，计算机网络已经成为一种不可缺少的信息交换工具。然而，由于计算机网络具有开放性、互联性、连接方式的多样性及终端分布的不均匀性，再加上本身存在的技术弱点和人为的疏忽，致使网络易受计算机病毒、黑客或恶意软件的侵害。面对侵袭网络安全的种种威胁，必须考虑信息的安全这个至关重要的问题。

网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全，即硬件平台、操作系统、应用软件;运行服务安全，即保证服务的连续性、高效率。信息安全则主要是指数据安全，包括数据加密、备份、程序等。

（一）网络信息安全的内容

1．硬件安全。即网络硬件和存储媒体的安全。要保护这些硬设施不受损害，能够正常工作。

2.软件安全。即计算机及其网络中各种软件不被篡改或破坏，不被非法操作或误操作，功能不会失效，不被非法复制。

3.运行服务安全。即网络中的各个信息系统能够正常运行并能正常地通过网络交流信息。通过对网络系统中的各种设备运行状况的监测，发现不安全因素能及时报警并采取措施改变不安全状态，保障网络系统正常运行。

4.数据安全。即网络中存储及流通数据的女全。要保护网络中的数据不被篡改、非法增删、复制、解密、显示、使用等。它是保障网络安全最根本的目的。

（二）网络信忽安全的目标

1.保密性。保密性是指信息不泄露给非授权人、实休和过程，或供其使用的特性。

2.完整性。完整性是指信息未经授权不能被修改、不被破坏、不人、不迟延、不乱序和不丢失的特性。对网络信息安全进行攻击的最终目的就是破坏信息的完整性。

3.可用性。可用性是指合法用户访问并能按要求顺序使用信息的特性，即保证合法用户在需要时可以访问到信息

4.可控性。可控性是指授权机构对信息的内容及传播具有控制的能力的特性，可以控制授权范围内的信息流向以及方式。

5.可审查性。在信息交流过程结束后，通信双方不能抵赖曾经做出的行为，也不能否认曾经接收到对方的信息。

二、网络信息安全面临的问题

1.网络协议和软件的安全缺陷

因特网的基石是TCP/IP协议簇，该协议簇在实现上力求效率，而没有考虑安全因素，因为那样无疑增大代码量，从而降低了TCP/IP的运行效率，所以说TCP/IP本身在设计上就是不安全的。很容易被窃听和欺骗：大多数因特网上的流量是没有加密的，电子邮件口令、文件传输很容易被监听和劫持。很多基于TCP/IP的应用服务都在不同程度上存在着安全问题，这很容易被一些对TCP/IP十分了解的人所利用，一些新的处于测试阶级的服务有更多的安全缺陷。缺乏安全策略：许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被内部人员滥用，黑客从一些服务中可以获得有用的信息，而网络维护人员却不知道应该禁止这种服务。配置的复杂性：访问控制的配置一般十分复杂，所以很容易被错误配置，从而给黑客以可乘之机。TCP/IP是被公布于世的，了解它的人越多被人破坏的可能性越大。现在，银行之间在专用网上传输数据所用的协议都是保密的，这样就可以有效地防止入侵。当然，人们不能把TCP/IP和其实现代码保密，这样不利于TCP/IP网络的发展。

2.黑客攻击手段多样

进人2006年以来，网络罪犯采用翻新分散式阻断服务(DDOS)攻击的手法，用形同互联网黄页的域名系统服务器来发动攻击，扰乱在线商务。宽带网络条件下，常见的拒绝服务攻击方式主要有两种，一是网络黑客蓄意发动的针对服务和网络设备的DDOS攻击;二是用蠕虫病毒等新的攻击方式，造成网络流量急速提高，导致网络设备崩溃，或者造成网络链路的不堪负重。

调查资料显示，2006年初发现企业的系统承受的攻击规模甚于以往，而且来源不是被绑架的“僵尸”电脑，而是出自于域名系统(DNS)服务器。一旦成为DDOS攻击的目标，目标系统不论是网页服务器、域名服务器，还是电子邮件服务器，都会被网络上四面八方的系统传来的巨量信息给淹没。黑客的用意是借人量垃圾信息妨碍系统正常的信息处理，借以切断攻击目标对外的连线。黑客常用“僵尸”电脑连成网络，把大量的查询要求传至开放的DNS服务器，这些查询信息会假装成被巨量信息攻击的目标所传出的，因此DNS服务器会把回应信息传到那个网址。

美国司法部的一项调查资料显示，1998年3月到2005年2月期间，82%的人侵者掌握授权用户或设备的数据。在传统的用户身份认证环境下，外来攻击者仅凭盗取的相关用户身份凭证就能以任何台设备进人网络，即使最严密的用户认证保护系统也很难保护网络安全。另外，由于企业员工可以通过任何一台未经确认和处理的设备，以有效合法的个人身份凭证进入网络，使间谍软件、广告软件、木马程序及其它恶意程序有机可乘，严重威胁网络系统的安全。

有资料显示，最近拉美国家的网络诈骗活动增多，作案手段先进。犯罪活动已经从“现实生活转入虚拟世界”，网上诈骗活动日益增多。

3.计算机病毒

计算机病毒是专门用来破坏计算机正常工作，具有高级技巧的程序。它并不独立存在，而是寄生在其他程序之中，它具有隐蔽性、潜伏性、传染性和极大的破坏性。随着网络技术的不断发展、网络空间的广泛运用，病毒的种类急剧增加。目前全世界的计算机活体病毒达14万多种，其传播途径不仅通过软盘、硬盘传播，还可以通过网络的电子邮件和下载软件传播。从国家计算机病毒应急处理中日常监测结果来看，计算机病毒呈现出异常活跃的态势。据2001年调查，我国约73%的计算机用户曾感染病毒,2003年上半年升至83%。其中，感染3次以上的用户高达59%，而且病毒的破坏性较大。被病毒破坏全部数据的占14%，破坏部分数据的占57%。只要带病毒的电脑在运行过程中满足设计者所预定的条件，计算机病毒便会发作，轻者造成速度减慢、显示异常、丢失文件，重者损坏硬件、造成系统瘫痪。

三、保障网络信息安全的对策

1.安全通信协议和有关标准。

在网络安全技术应用领域，安全通信协议提供了一种标准，基于这些标准，企业可以很方便地建立自己的安全应用系统。目前主要的安全通信协议有SSL（TLS）、IPsec和S/MIME

SSL提供基于客户/服务器模式的安全标准，SSL（TLS）在传输层和应用层之间嵌入一个子层，主要用于实现两个应用程序之间安全通讯机制，提供面向连接的保护；IP安全协议（IPsec）提供网关到网关的安全通信标准，在网络层实现，IPsec能够保护整个网络；S/MIME在应用层提供对信息的安全保护，主要用于信息的安全存储、信息认证、传输和信息转发。三种安全通信协议虽然均提供了类似的安全服务，但是他们的具体应用范围是不同的，在实际应用中，应根据具体情况选择相应的安全通信协议。

2.防火墙技术

防火墙技术是为了保证网络路由安全性而在内部网和外部网之间的界面上构造一个保护层。所有的内外连接都强制性地经过这一保护层接受检查过滤，只有被授权的通信才允许通过。防火墙的安全意义是双向的，一方面可以限制外部网对内部网的访问，另一方面也可以限制内部网对外部网中不健康或敏感信息的访问。同时，防火墙还可以对网络存取访问进行记录和统计，对可疑动作告警，以及提供网络是否受到监视和攻击的详细信息。防火墙系统的实现技术一般分为两种，一

种是分组过滤技术，一种是服务技术。分组过滤基于路由器技术，其机理是由分组过滤路由器对IP分组进行选择，根据特定组织机构的网络安全准则过滤掉某些IP地址分组，从而保护内部网络。服务技术是由一个高层应用网关作为服务器，对于任何外部网的应用连接请求首先进行安全检查，然后再与被保护网络应用服务器连接。服务技术可使内、外网络信息流动受到双向监控。

3.访问拉制技术

访问控制根据用户的身份赋予其相应的权限，即按事先确定的规则决定主体对客体的访问是否合法，当一主体试图非法使用一个未经授权使用的客体时，该机制将拒绝这一企图，其主要通过注册口令、用户分组控制、文件权限控制三个层次完成。此外，审计、日志、入侵侦察及报警等对保护网络安全起一定的辅助作用，只有将上述各项技术很好地配合起来，才能为网络建立一道安全的屏障。

4.PKI技术

PKI是在公开密钥理论和技术基础上发展起来的一种综合安全平台，能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理，从而达到保证网上传递信息的安全、真实、完整和不可抵赖的目的。利用PKI可以方便地建立和维护一个可信的网络计算环境，从而使得人们在这个无法直接相互面对的环境里，能够确认彼此的身份和所交换的信息，能够安全地从事商务活动。目前，PKI技术己趋于成熟，其应用已覆盖了从安全电子邮件、虚拟专用网络(VPN),Web交互安全到电子商务、电子政务、电子事务安全的众多领域，许多企业和个人已经从PKI技术的使用中获得了巨大的收益。

在PKI体系中，CA(CertificateAuthority，认证中心)和数字证书是密不可分的两个部分。认证中心又叫CA中心，它是负责产生、分配并管理数字证书的可信赖的第三方权威机构。认证中心是PKI安全体系的核心环节，因此又称作PKI/CA。认证中心通常采用多层次的分级结构，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。

数字证书，又叫“数字身份证”、“数字ID”，是由认证中心发放并经认证中心数字签名的，包含公开密钥拥有者以及公开密钥相关信息的一种电子文件，可以用来证明数字证书持有者的真实身份。

参考文献：

李俊宇.信息安全技术基础冶金工业出版社.2004.12

信息安全研究论文例7

论文关键词：网络安全；安全策略；雏度思想

1概述

计算机信息安全策略维度思想是将计算机信息安全首先从不同的角度(维度)进行拆分，然后对某一些角度(维度)的信息加以限制(如进行加密)，当这一维度被抽出后，其它的信息即便被人得到，只要该被限制的维度不能被获得，则其他人无法得到真实完整的信息，或者说是得到无用的信息。这种体系发生作用的原因就是前面提过的，为当某一维度被限制后，它的上一层维度将会被限制，这样向上的一层层维度都将被限制直到最顶层。在计算机领域里，我们知道计算机信息需要传输，而传输过程中将涉及到传输的内容(加密内容、非加密内容)、传输使用的方式(电话、网络、卫星信号)、传输的时间等诸多维度。在这些维度中如果我们能将任何—个维度加以限制，就能保证这次传输的信息安全可靠。

2安全策略维度的关联分析

为了加强计算机信息安全，我们往往同时采用多种安全技术，如加密、安全认证、访问控制、安全通道等。这样高强度的安全措施为什么还会出现那么多的安全漏洞，以致于大家普遍认为“网络无安全“呢?经过思考，我们认为计算机信息安全策略存在的缺陷，是造成这一现象的重要原因。主要问题出在几个安全维度之间出现了强关联，使原本三维、四维的安全措施降低了维数，甚至只有一维。这样一来，就使得安全防范技术的效力大打折扣。举例来讲，如果我们采取了加密、安全通道这两种技术措施，则我们可以认为这是—个二维安全策略，但是由于它们都是在WINDOWS操作系统上运行，于是这两种本不相关联的安全技术，通过同一操作系统出现了强关联，使其安全策略维度降至一维甚至更低。因为一旦有人在当事人完全不知道的情况下，通过木马或其他手段操控了WINDOWS操作系统，那么无论是加密还是安全通道都变得毫无意义。因为这时入侵者已经被认为是—个合法的操作者，他可以以原主人的身分自行完成诸如加密、安全通道通信的操作，从而进行破坏。究其原因是加密、安全通道技术都分别与操作系统发生了强关联，而加密与安全通道技术通过操作系统，它们俩之问也发生了强关联，这就使安全强度大打折扣。为了减少各维度间的关联尽量实现各维度的正交，我们必须尽量做到各维度之间相互隔离减少软、硬件的复用、共用。共用硬件往往随之而来的就是软件的共用(通用)，因此实现硬件的独立使用是关键。举例来说，要是我们能把操作系统与加密、安全通道实现隔离，则我们就可以得到真正的二维安全策略。为了实现这种隔离，我们可以作这样的设计：我们设计出用各自分离的加密、通讯硬件设备及软件操作系统这些设施能独立的(且功能单一的)完成加密、通讯任务，这样操作系统、加密、安全通道三者互不依赖，它们之间只通过一个预先设计好的接口传输数据(如：Rs232接口和PKCS#11加密设备接口标准)。这样一来，对于我们所需要保护的信息就有了一个完全意义上的二维安全策略。在电子交易的过程中，即便在操作系统被人完全操控的情况下，攻击者也只能得到—个经过加密的文件无法将其打开。即便攻击者用巨型计算机破解了加密文件，但由于安全通道的独立存在，它仍能发挥其安全保障作用，使攻击者无法与管理电子交易的服务器正常进行网络联接，不能完成不法交易。综上所述，我们在制定安全策略时，要尽量实现各个维度安全技术的正交，从硬件、软件的使用上尽量使各个安全技术不复用操作系统不复用硬件设施，从而减少不同维度安全技术的关联程度。

3安全策略维度的节点安全问题

为了保护节安全，我们可以采取的方法一般有两种：加强对节点的技术保护或是将节点后移。为了加强对节点的技术保护，我们采取的方法很多，如加设防火墙，安装防病毒、防木马软件，以及应用层次防御和主动防御技术等等，这方面已经有很多成熟的技术。这种方法强调的是使用技术手段来防御，但也有其缺点，就是防御手段往往落后于攻击手段，等发现技术问题再填补漏洞时很可能已经造成很大的损失。节点后移则更多是强调一种策略而不强调先进的技术，它不强调用最新的病毒库、最新解码技术来进行节点保护，而是通过现有的成熟技术手段尽可能延长节点并将节点后移，从而实现对节点的保护。

为了理清这俩个方法的区别，可以将保护分成系统自身的保护性构造与外部对系统的保护。

系统自身的保护构造依靠的是节点后移，它讲的是系统自身如何通过没汁的合理来保证系统内操作的安全性。但是如果仅靠系统自身的构造是不足以保证系统安全的，因为如果系统的源代码被攻击者购得，又或者高级节点的维护人员恶意修改系统内容等等安全系统外情况的出现，再完美的系统也会无效。这就如同金库的门再厚，管钥匙的人出了问题金库自身是无能为力的。计算机安全能做的事就如同建—个结实的金库，而如何加强对金库的管理、维护(或者说保护)则是另外一件事。事实上金库本身也需要维护与保护，所以我们按照维度思维构建了计算机信息安全体系本身的同时也需要按维度思维对安全体系自身进行保护。具体来讲比如，越是重要的数据服务器越要加强管理，对重要数据服务器的管理人员审查越要严格，工资待遇相对要高，越重要的工作场所越要加强值班、监控等等。

4安全策略维度的安全技术分布

在所没汁安全策略采用了加密、密码认证、安全通道三种技术，则认为是采用了三维的安全防范策略。有以下技术分布方法。方法1中三个安全技术维度直接与顶点相接，只有两级层次没有实现前文所述的节点后移无法进行层级管理，也没有按照二叉树结构进行组织。所以安全性能最差；

方法2中，三个安全技术分成了三个层级，它比方法l要好。但它也有问题它的加密与认证关联于同一个节点，因此如果图中的“二级节点”一旦被攻破则两种安全技术被同时攻破。

方法3中三个安全技术分成四个层级，且加密与认证被分布在不同的节点上，两个三级节点任意—个被攻破仍无法攻破二级节点。因此方法3的安全性能最高。

信息安全研究论文例8

内容论文摘要：“十五”期间，我国电子政务建设取得了重要进展，电子政务总体发展水平迈上了新台阶。但我国电子政务建设过程中还存在不少难点，受到“数字鸿沟”、“信息孤岛”等的影响。有必要借鉴国外的成功经验，结合我国实际，探索我国电子政务建设的有效措施。 论文关键词：电子政务 信息安全 措施 我国电子政务建设中的问题 （一）思想观念滞后，电子政务受到人文环境的约束 从近年的实践来看，对我国电子政务的建设，一方面，认识上还存在一些误区。不少人对电子政务的目的、意义、重要性和发展趋势缺乏足够的认识，他们习惯于传统的办公模式，对电子化给传统政务办公方式带来的革命性变革认识不足又难以适应。把电子政务当作政府部门的计算机化，认为电子政务是一个技术问题，从而加强硬件投入，却不重视软件的开发，也不重视业务流程的重组，更不注重信息的收集，使建立起来的网络没有发挥应有的作用。另一方面，部门利益自我保护根深蒂固。电子政务建设强调政府流程再造，需要对政府机构进行改革，必然会带来政府相关部门利益和部门的消失和权利的削弱，会减少人员等，对发展电子政务的阻力也会增大。 （二）标准化程度低，政务信息资源开发利用滞后 电子政务建设没有完全以政府业务流程为导向，各业务系统共享程度较低，普遍存在着“重建设轻应用，重硬件轻软件”的现象。尽管有“充分利用现有资源和现有网络平台条件，严禁重复建设”的明确要求，但由于电子政务的发展缺乏宏观的规划，政务专网建设存在各自为政、标准不统一的现象，不能支持实现互联互通，信息不能共享，跨部门业务不能协同。“纵强横弱”、“信息孤岛”现象比较严重。政府信息资源管理制度规范尚不完善，政务信息公开的制度性建设刚刚开始，制约了政府信息资源的开发利用的整体水平。 （三）注重“电子”建设，忽视政府业务流程的改进 “电子政务”的关键是“政务”，而不是“电子”。但不少领导者只是把电子政务当成一种新技术，以为只要投资，有了硬件设备和各种软件，政府上网以后，就算建成电子政务。这种错误的认识，导致出现一些问题，一方面，原有的金字塔式的行政组织结构不利于信息的有效传播。信息在行政传播过程中呈现非对称性和层级性，往往造成信息的失真或失效。另一方面，传统的业务流程不适应电子政务。传统的政府机构条块分割，职能包罗万象，政府业务数据流程不得不按地理位置和人力分配被分割在多个部门，使得相同的信息往往在不同的部门都要进行收集、存储、加工和管理，在建立电子政务系统时，各个系统相互独立，技术与规范各不相同，结果是建立起了一个个信息孤岛。这种多层次、低效能的行政机构和业务流程不利于信息的统一收集和整理。 （四）安全存在隐患，制约了电子政务的发展 对于电子政务来说，网络的安全非常重要，它关系到信息时代国家机器的稳定运行和社会秩序的安定团结。总体上看，我国的网络与信息安全防护仍处于初级阶段，尚未形成科学、完整、高效、统一的电子政务安全保障体系。主要表现为我国的政务系统大多分级、分域保护不明确；安全隔离不彻底，内外网承载业务划分与信息安全的要求不对等；密码与信任体系建设不完善；信息安全法律法规和标准不完善；全社会的信息安全意识不强；信息安全的管理和技术人才缺乏；信息安全技术缺乏创新性与自主性，同时对引进的信息技术和设备缺乏有效的管理与合理改造。呈快速上升趋势的病毒传播和网络攻击等犯罪活动使网络泄密事件屡有发生。这些都存在对电子政务系统构成威协的不安全因素。 完善电子政务建设的措施 促进我国电子政务的发展，既是我国各级政府机构自身改革和发展的需要，也是我国经济与社会发展的需要，同时，也是与国际接轨，适应世界经济全球化的需要，我们要借鉴发达国家电子政务发展的成功经验，结合我国信息化和电子政务的现状，针对电子政务发展过程中存在的问题，提出如下对策建议。 （一）健全领导机构，规划统一的电子政务平台 目前，制约我国电子政务应用发展的主要瓶颈是地方之间、部门之间不能协同共享应用系统和信息资源。因此，对电子政务的发展要加强领导、统一规划。一方面，国务院要成立电子政务领导机构，统一领导和组织中央及地方政府的电子政务建设，可以采取“总体统筹、分工负责”的原则，加强政府的指导监督等管理

信息安全研究论文例9

风险管理信息化逐渐成为风险管理应用和实践的平台，采用信息化的管理手段也是安全风险控制的趋势，各地铁建设城市逐步开展施工安全风险信息管理平台，具有代表性的有北京安捷工程咨询有限公司、上海同是工程科技有限公司、南京坤拓土木工程科技有限公司等研发的轨道交通工程施工安全风险监控系统，在国内地铁建设城市均有广泛的应用。解放军理工大学王明洋、戎晓力团队研发了包含三维地理地质信息系统、盾构监控系统、监测预警系统等在内地铁施工安全风险管理监控系统，采用三维地理地质信息平台及盾构远程监控技术，实现对施工全过程的风险分析、风险监控和风险预警。在深长隧道工程施工安全风险管理信息化研究方面，解放军理工大学和山东大学合作，针对复杂地质条件下的铁路隧道施工安全风险展开了风险管理信息化系统的相关研究，建立了基于三维地理地质信息系统的成兰铁路施工安全风险管理信息平台，三维地质地理信息系统作为系统的主要工作平台，实现了基于勘孔数据、地质超前预报数据等多数据融合的三维地质图形显示与查询，实现了施工进度的可视化监控，实现了施工进度剖面的风险源、监测数据、指标体系等的信息查询与自动化预警分析结果查询。    

同济大学朱合华提出基础设施建养一体数字化平台，包括数据采集与处理、数据表达和数据分析三个部分。分别对建设期和养护期所采用的数字化技术进行详细阐述，主要有数据采集、数据标准、三维建模、可视化技术、空间分析和数字与数值一体化等技术，以上海长江隧桥工程为例进行了基础设施建养一体数字化的初步尝试与应用，主要包括搭建上海长江隧桥工程数字化平台、全寿命期数据收集与分析、可能病害及成因分析、动态监测与养护以及结构健康/性能评估，研究结果表明:采用建养一体化成套的数字化技术，全面提升了基础设施的信息化管理水平，改善基础设施的服役性能，提高基础设施的使用寿命。    

同济大学黄宏伟教授研究了风险可视化的监测预警方法，该方法通过传感器获取量测信息，通过微处理器对量测信息进行处理分析，综合评判工程的风险等级，控制LED(Light-Emitting Diode，发光二极管）显示不同颜色，实现及时预警以保证工程安全。上海大学滕丽在盾构始发、到达风险评价模型的基础上，对工程风险管理实现了程序化，建立了盾构始发、到达全过程动态远程监控系统，开发了风险监控知识库和模型库，实现了动态和实时两种风险监控方式。

信息安全研究论文例10

第二章,深入分析信息安全对我国和世界安全的影响。在信息网络广泛渗透于社会生活各个领域的条件下,信息安全成为国家安全的基石。主要体现在:信息安全成为影响政治安全的重要因素,国家的维护更加困难,难以控制的“网上政治总动员”危害社会稳定,颠覆性宣传直接危及国家政权,国家形象更易遭受攻击和歪曲;信息安全是经济安全的重要前提,它关乎国家经济安全的全局,信息产业自身安全令人担忧,网络经济犯罪成为经济安全的顽疾,金融业遭受的安全挑战更加严重;信息安全对文化安全的影响不容忽视,“网络文化帝国主义”威胁我国传统文化的继承和发扬,社会主义意识形态、价值观念和道德规范遭到冲击;信息安全对军事安全的作用更加突出,“制信息权”对战争结局意义重大,信息威慑、网络信息战、黑客攻击与军事泄密严重威胁军事安全。

第三章,中国信息安全面临的挑战与威胁。中国的信息化建设起步较晚,信息安全技术水平也比较滞后,网络安全系数很低,信息安全现状不容乐观,主要从信息流动途径、发达国家的技术遏制及世界信息强国信息战略对我国的威胁和启示等方面进行了分析。在本章中尤其分析了美国、英国、法国、日本、韩国、俄罗斯、印度等国家信息战略,以求对保障中国信息安全提供借鉴与思考。