JAVA网络安全的管理信息系统-毕业论文.doc

i 摘要摘要 本论文所介绍的信息安全管理系统是一个有关网络安全的管理信息系统。该系 统面向公司的信息安全管理人员，使得他们可以从繁重而分散的操作中解脱出来， 减轻劳动强度，从而有足够的时间和精力和充分的数据对业务系统和资产中的漏洞、 威胁、病毒、安全事件等信息进行收集、整理、分析、处理、保存、传输和发布， 使得信息安全管理人员能有条不紊的开展信息安全管理工作。 该系统的开发采用了软件工程的理论，合理地安排人员和时间对系统进行分析、 设计、编码、测试和维护，项目小组在预定的时间内准确而高效的完成了该项目的 开发。 系统采用面向对象的软件设计方法，模块间松耦合而模块内部又保持高度一致， 系统的可重用性和可维护性水平较高，从而提高了软件设计的质量。采用面向对象 的 java 作为后台编程语言使得系统的代码维护相当方便、可扩展性好、并支持代 码重用，在一定程度上减轻了软件开发人员的工作强度。 本论文在系统实现之后经仔细斟酌而成。 论文的第一部分是引言。第二部分阐述系统需求分析，对现行的系统进行描述， 对其中存在的问题进行了分析，提出了解决方案，进行了系统开发的可行性分析与 决策。第三部分对系统的逻辑方案，数据流图，数据字典进行了描述，编写了系统 说明书，第四部分是系统总体结构设计，包括软件模块结构设计，如模块结构图， ipo 图，数据库设计。第五部分是系统实现，包括：代码设计，主要模块设计。最 后部分是实施概况，实施环境与工具的选择，系统测试，运行与维护概况。 关键词关键词: 信息安全、管理信息系统、面向对象、jdbc、b/s ii abstract this paper introduces an information security management system that is about network security. the system faces to the people who manage the information security in the company, so as to help them escape from the hard and busy work, reduce their laboring intensity. consequently they will have enough time and energy, and can get abundant data to collect, coordinate, analyze, dispose, save, transport and distribute the hole, threaten, virus, security and so on in the operation system and asset, thereby the information security manager can develop the information security management task in an orderly way. the exploitation of the system was adopted the theory of the software engineering, arranged the people and time to analyze, design, code, test and maintenance the system in reason. project group achieve the development of the project in schedule well and truly. the design method of the system was adopted the way of object oriented. the coupling in the module is close and it was kept consistent within the module. the system can be used repeatedly and the maintainability of the system is very strong, so the quality of the software design was enhanced. it is convenient、expansible and sustain the use repeated of the code to use java as the language of the background, in a certain extent reduced the laboring intensity of the software development people. this paper was accomplished by being thought over after the system had been done. the first part of the paper is the foreword. the second part is the expatiation about the systems requirement analyse, the description of the system, the problem in existence, and provide the solution, the feasibility and decision-making of the system development. the third part is the description of the logic scheme, the data stream map and the data dictionary about the system and the system explanation. the fourth part is the collectivity framework design about the system, including the software module framework design, for example, the module fabric map, the ipo map and the database design. the fifth part is the implement of the system, such as the code design, the main module design. the final part iii is the implement circumstances, the implement environment and the choice of the tool, the system test, the survey about the running and maintenance of the system. keyword: information security, management information system, object oriented, jdbc, b/s iv 目 录 摘要摘要i abstractii 第第 1 章章前前 言言- 1 - 1.1 背景分析- 1 - 1.2 国内外现状- 1 - 1.3 本系统研究(设计)内容.- 2 - 第第 2 章章 系统需求分析系统需求分析 - 5 - 2.1 现行业务系统描述- 5 - 2.2 业务流程图- 5 - 2.3 现行系统存在的主要问题分析- 7 - 2.4 关键技术及难点.- 7 - 2.5 解决方案.- 7 - 2.6 可行性分析和决策- 8 - 第第 3 章章 系统逻辑方案系统逻辑方案 - 10 - 3.1 数据流图描述- 10 - 3.1.1 信息安全管理系统数据流图的符号说明.- 10 - 3.1.2 信息安全管理系统关联图.- 10 - 3.1.3 信息安全管理系统 dfd 总体图.- 12 - 3.1.4 信息安全管理系统 dfd 零级图.- 13 - 3.1.5 信息安全管理系统 dfd 细节图.- 14 - 3.2 数据字典描述- 16 - 3.3 基本加工小说明书- 18 - 第第 4 章章 系统总体结构设计系统总体结构设计 - 20 - 4.1 软件模块结构设计- 20 - 4.1.1 模块结构图- 20 - 4.1.2 ipo 图.- 22 - 4.2 数据库设计.- 25 - 4.2.1 实体描述.- 25 - 4.2.2 实体之间的联系.- 29 - 4.2.3 e-r 图.- 30 - 4.2.4 基本表的设计- 30 - 4.3 计算机系统方案的选择- 31 - 4.4 系统总体安全性，可靠性方案与设计- 32 - 第五章第五章 系统实现系统实现 - 33 - v 5.1 数据库中表的详细描述.- 33 - 5.2 代码设计- 36 - 5.3 主要模块的设计.- 36 - 5.3.1 登陆界面的实现- 36 - 5.3.2 资产管理模块的实现- 38 - 5.3.3 漏洞库管理模块的实现- 40 - 第六章第六章 实施概况实施概况 - 42 - 6.1 实施环境和工具的选择- 42 - 6.2 编码- 42 - 6.3 系统测试- 42 - 6.4 系统运行与维护概况- 43 - 结束语结束语 - 44 - 鸣谢鸣谢 - 44 - 参考文献参考文献 - 45 - 英文翻译英文翻译 - 46 - 英文原文.- 46 - 中文翻译.- 52 - - 1 - 第第 1 1 章章前前 言言 1.11.1 背景分析背景分析 上海宝信软件股份有限公司是上海宝钢股份有限公司控股注资 2.6 亿的全资子 公司,在全国范围内都有分公司,主营业务是工程项目的软件开发和系统集成,公司 拥有千人以上的开发队伍,其内部网络非常的复杂,网络上的计算机也是非常的多, 公司的各项工作对计算机和网络的依赖程度很强，比如：公司拥有自己的 erp 系统， oa 系统，公司网站，技术支持网站等，公司的财务管理，人事管理，工资管理， 图书管理都离不开计算机和网络，公司的内部网络同时又连通因特网来与外部进行 信息交互。 如今的计算机系统中存在着众多的漏洞，有已经发现的，有还未发现的，互连 网上也经常有不法分子散播病毒、木马等有害程序，从而对计算机系统造成危害， 企业面临着各种各样的信息安全的风险，计算机系统一旦遭受侵袭，企业将会受到 无法估计的损失。很多惨痛的事实早已证明了这点。 因此，对企业信息安全的管理就显得十分必要，没有管理或者管理不善将会使 企业的信息系统置于危险的境地，而有效的管理将使企业所面临的风险大大降低， 避免损失等同于为企业带来效益。 1.21.2 国内外现状国内外现状 根据调研，我们发现国内外的很多企业对于其信息的安全十分重视，在管理上 也可谓想尽了办法，事实上，也就是研究如何采取有效的管理手段，使得企业内部 的计算机系统免受攻击或侵袭。他们所采取的方法大同小异，比如安装防火墙来抵 御黑客攻击，安装杀毒软件来抵抗病毒的侵袭，定期地更新其升级包，定期地查阅、 下载最新的漏洞、病毒信息，为计算机软件系统下载并安装相应的补丁，防止计算 机系统受到攻击。他们也制定了标准化作业流程，由专人负责管理。 - 2 - 对于信息安全的管理，国内外绝大部分的企业只是停留在人工管理的层次上， 即人工查阅，下载，更新，而且是定期的，这样，企业越大，网络越复杂，计算机 数量越多，其管理就越复杂，过程就越乱，效果就越差。当然现在也有部分企业采 取了计算机管理，但他们所开发的软件具有很大的局限性，有的只适合特定的企业 使用，有的只能在小型企业的局域网中使用；而有的即使在设计和实现时考虑到软 件的通用性，其功能也有着较大的局限，随着时代的发展，其功能已不能满足现代 企业的需要。 实践证明，信息安全的管理是一项十分繁琐的工作，举一个简单的例子，当公 司的信息安全管理人员得知系统中的漏洞后，要通知企业中各部门，各子公司的安 全管理人员进行补丁的下载，给企业中使用该系统存在该漏洞的所有计算机系统打 上补丁程序。在大企业中，诸如此类的操作，使用电话或书信几乎是不可能的。采 用计算机管理是人们首先想到的方法。 1.31.3 本系统研究本系统研究( (设计设计) )内容内容 设计一个信息安全管理系统，将安全管理的各种信息保存到服务器的数据库中， 各子公司，部门的安全管理人员可以通过网络去浏览和操作这些信息，并能自动发 送电子邮件进行灵活简捷的管理。这样大大减轻了各子公司、部门的安全管理人员 的工作负荷。 本信息安全管理系统适用于大型企业，尤其是在全国各地均有其分公司的大型 企业。根据业务范围和应用对象的不同，系统划分成八大功能模块：资产管理、漏 洞库、风险管理、安全事件、安全专栏、病毒管理、统计分析、系统管理。 系统各功能模块结构如图 1.1： - 3 - 信信息息安安全全管管理理系系统统 资资产产管管理理漏漏洞洞 库库风风险险管管理理安安全全事事件件安安全全专专栏栏病病毒毒管管理理统统计计分分析析系系统统管管理理 查查询询资资产产 修修改改资资产产 删删除除资资产产 新新建建资资产产 设设置置资资产产辅辅管管 理理员员 设设置置资资产产访访问问 权权限限 停停用用资资产产 审审核核漏漏洞洞 上上传传漏漏洞洞信信息息 更更新新数数据据包包 更更新新漏漏洞洞库库 搜搜索索漏漏洞洞 上上传传补补丁丁信信息息 更更新新数数据据包包 审审核核补补丁丁 补补丁丁列列表表 查查看看扫扫描描结结果果 导导入入扫扫描描结结果果 查查看看工工单单 创创建建工工单单 接接受受工工单单 查查看看处处理理历历史史 处处理理工工单单 审审核核文文章章 发发表表文文章章 查查询询安安全全月月刊刊 搜搜索索病病毒毒 导导入入病病毒毒 查查看看病病毒毒详详细细 信信息息 审审核核病病毒毒 资资产产漏漏洞洞统统计计 分分析析 资资产产列列表表统统计计 分分析析 信信息息安安全全风风险险 统统计计分分析析 资资产产所所受受威威胁胁 统统计计 安安全全事事件件统统计计 分分析析 参参数数管管理理 日日志志管管理理 角角色色管管理理 用用户户管管理理 设设置置审审核核策策略略 禁禁忌忌词词管管理理 专专栏栏管管理理 图图 1.11.1 各功能模块结构图各功能模块结构图 fig.1.1 apiece function module fabric map 本信息系统的功能可分八个模块： 资产管理：对资产进行新增、删除、修改、查询、访问权限的设置等。 漏洞库管理：对漏洞库进行更新、查询、审核等操作，对补丁信息进行更新、 审核、查询的操作。 风险管理：对扫描作业和扫描结果的导入，从中抽取威胁信息进行管理。 安全事件：进行工单管理、关键字管理和事件管理。 安全专栏：安全信息的发布，浏览，审核操作。 病毒管理：对病毒信息进行搜索，下载，审核等操作。 统计分析：各种数据的统计，报表的打印。 系统管理：用户管理、角色管理、日志管理、参数管理、专栏管理、禁忌词 管理等。 下图是涉及本系统的组织结构图： - 4 - 集团公司 信息安全管理部门业务管理部门 数据库管理员系统管理员 北 京 分 公 司 浙 江 分 公 司 系统管理员系统管理员 业 务 管 理 部 门 资 产 维 护 部 门 信 息 安 全 管 理 部 门 业 务 管 理 部 门 资 产 维 护 部 门 信 息 安 全 管 理 部 门 图图 1.21.2 组织结构图组织结构图 fig.1.2 organize fabric map - 5 - 第第 2 2 章章 系统需求分析系统需求分析 2.12.1 现行业务系统描述现行业务系统描述 现行的信息安全管理业务主要以电子邮件和电子公告栏 bbs 的形式来进行管理 的，管理的过程和结果以文档的形式保存，业务和人员的管理比较松散，管理上的 漏洞比较多，工作繁重，信息安全很难保证。 1、 信息安全管理人员使用 internet scanner、database scanner、system scanner 等扫描工具来扫描业务系统中的主机、网络设备和数据库，并以一定的形 式（如数据库表的形式）在计算机中将扫描结果保存下来；从互连网上指定的 url 下载最新发生的病毒信息。 2、 逐一查看数据库表中的内容，对每一个扫描作业中的漏洞和补丁的信息 进行审核，将必要的信息以电子公告栏告知或电子邮件的形式发送给每一个资产管 理员。 3、 审核每一个病毒的信息，将必要的信息以电子公告栏告知或电子邮件的 形式发送给每一个资产管理员。 4、 每一个资产管理员及时地查看电子公告栏并接收电子邮件，按照电子公 告栏和电子邮件中的指示给计算机以适当的处理，以消除信息安全隐患。 2.22.2 业务流程图业务流程图 信息安全管理系统业务流程图的符号说明如下： - 6 - 图图 2.12.1 业务流程图的符号说明业务流程图的符号说明 fig.2.1 the explain for the symbol of the operation flow chart 信息安全管理系统业务流程图如图 2.2： 信息安全 管理人员 扫描、下载发布 漏洞、补丁、 病毒信息 信息的导入 安全专栏信息 漏洞列表 补丁列表 病毒列表 报表 资产管理 人员 创建工单 处理结果 接受、处理工单 资产维护 人员 图图 2.22.2 业务流程图业务流程图 fig.2.2 operation flow chart 外部环境 物或单据 物流或数据流 数据存储处理 - 7 - 2.32.3 现行系统存在的主要问题分析现行系统存在的主要问题分析 目前信息安全的管理主要依靠电子公告栏和电子邮件，其内容均需要管理人员 录入，由于信息量大，并且有大量的重复信息，录入的工作量也就可想而知，另外， 工单须选择适当的人选来处理，因资产众多，某资产的维护人员需查清单才可知道， 操作比较复杂。这样造成了工作量大却信息提供不及时，准确性差，由于现行的管 理方式的种种不便和局限，考虑开发一个信息安全管理系统将整个业务流程管理起 来，使得管理信息准确及时，杜绝因信息管理不善的原因而造成不必要的损失。 2.42.4 关键技术及难点关键技术及难点 鉴于目前的企业对信息安全管理系统的需求与实际情况，本系统方案的重点放 在系统的设计上，本信息安全管理系统实现以下几项功能：系统登录后，用户、角 色、业务系统、资产等情况的输入、修改和查询；漏洞、补丁和病毒信息的导入、 审核；专栏的创建，文章的输入；工单的创建，查看，接受，处理；各类数据的统 计以及报表的打印，等等。同时系统还要具备以下几方面的要求： （1）对每个用户的权限进行有效的管理，不同角色的用户具有不同的操作权限， 可以进行何种操作，不可以进行何种操作都有明确的规定。 （2）考虑大型企业的需求，企业在全国各地都有其分公司或办公场所，每个分 公司都有其管理员进行信息安全的管理，他受总公司管理员的管理，系统支持在广 域范围的网络上进行管理。 （3）考虑系统的跨平台性，对各种数据库的支持。 2.52.5 解决方案解决方案 （1）开发权限管理模块，考虑到各公司的组织机构的不同，系统对用户、角色、 及对任一资源的访问权限均可定制，从而实现不同用户具有指定的权限。 （2）本系统采用 b/s 的架构，在服务器端使用 java 语言编制功能模块，实现 访问数据库以及与前台的 jsp+struts 进行交互；在客户端只需要网络浏览器即可 - 8 - 实现管理的操作。这样只要有网络连通的条件，在广域范围内均可实现信息安全管 理。 （3）本系统使用 java 语言作为开发工具，实现其跨平台性，系统可以方便地 从 windows 操作系统移植到 unix/linux 操作系统；采用 jdbc（java database connectivity）数据库连接的方法，支持 jdbc 的数据库管理系统都可以作为其后 台数据库，由于 jdbc 的数据库连接技术屏蔽掉了后台数据库的差异，当数据处理 要求提高时，我们可以相对容易地将数据库升级为处理能力更强的数据库管理系统， 如 oracle 数据库等。程序中使用 sql 语言，用来执行各种操作，语句数目比较少， 由系统来进行查询优化，效率相对较高，而且不易出错。 2.62.6 可行性分析和决策可行性分析和决策 （1）技术可行性 公司在全国范围内已具备办公大楼，有良好的网络布线系统以及专线接入互连 网的优越条件，各分公司办公大楼的内部局域网也已比较完善；本信息管理系统选 用 ms-sqlserver2000 作为后台数据库存放数据，位于后台的 java 程序使用 jdbc 数据库连接技术来访问数据库，前台的 jsp 配合 struts tag 可以方便地 与后台的 java 程序进行数据的交互，且使得用户可以在页面上浏览和操作。 （2）经济可行性 开办费用：项目咨询费用、设备费用、安装费用、操作系统软件费用、开办人 员费用，管理费用。 项目费用：软件购置费用，准备文档费用，开发管理费用，开发人员工资费用， 用户培训费用。 运行费用：系统维护费用，硬件折旧费用，信息系统管理费用，操作及管理人 员费用，电费，软盘及打印纸等费用。 系统产生效益： 信息安全管理工作变得简单而灵活而获得的管理上的效益。 - 9 - 信息安全风险所带来的危害减少所获得的效益。 工作量减轻，节省人力资源所带来的效益。 数据保存改善所带来的效益。 避免了群发电子邮件而造成网络堵塞所带来的效益。 （3）操作可行性 该系统为 b/s 结构，操作在浏览器中进行，用户界面友好，只要具备基本的计 算机知识的人，略加培训即可熟练使用。 公司的工作人员熟悉 windows 操作系统，尤其是对 ie 浏览器的操作更是熟练 有加。这样使得基于 b/s 的本系统的营运成为可能。 （4）社会可行性 该系统为自主开发，不盗用任何已有的系统，无侵权现象。 综上所述，本系统的开发是可行的。 - 10 - 第第 3 3 章章 系统逻辑方案系统逻辑方案 3.13.1 数据流图描述数据流图描述 3.1.13.1.1 信息安全管理系统数据流图的符号说明信息安全管理系统数据流图的符号说明 图图 3.13.1 数据流图的符号说明数据流图的符号说明 fig.3.1 the explain for the symbol of the operation flow chart 3.1.23.1.2 信息安全管理系统关联图信息安全管理系统关联图 图 3.2 是信息安全管理系统的系统关联图，描述了系统与资产维护部门、信息安 全管理部门、业务管理部门之间的关系。 外部项数据加工 数据流数据存储 - 11 - 信 息 安 全 管 理 信 息 安 全 管 理 部 门 f7审核结果 f1威胁信息 f4病毒信息 f3补丁信息 f5专栏信息 f6审核信息 f8原始数据 查询条件 f2漏洞信息 f11统计数据 查询结果 f9原始数据 查询结果 f10统计数据 查询条件 业 务 管 理 部 门 f12资产信息 f13工单信息 f15工单查询结果 f14工单查询条件 f16原始数据 查询条件 f17原始数据 查询结果 资 产 维 护 部 门 f18工单处理结果 f19工单查询条件 f20工单查询结果 f21原始数据 查询条件 f22原始数据 查询结果 图图 3.23.2 信息安全管理系统关联图信息安全管理系统关联图 fig.3.2 information security management system associate map - 12 - 3.1.33.1.3 信息安全管理系统信息安全管理系统 dfddfd 总体图总体图 信息安全管理系统 信息安全管理部门 业务管理部门 资产维护部门 f 8 原 始 数 据 查 询 条 件 f 9 原 始 数 据 查 询 结 果 f 10 统 计 数 据 查 询 条 件 f 11 统 计 数 据 查 询 结 果 f3 补 丁 信 息 f6 审 核 信 息 f4 病 毒 信 息 f7 审 核 结 果 f5 专 栏 信 息 f19 工单 查询 结果 f20 工单 查询 条件 f18 工单 处理 结果 f21 原始 数据 查询 条件 f22 原始 数据 查询 结果 f 12 资 产 信 息 f 17 原 始 数 据 查 询 结 果 f 16 原 始 数 据 查 询 条 件 f 13 工 单 信 息 f 15 工 单 查 询 结 果 f 14 工 单 查 询 条 件 f2 漏 洞 信 息 f1 威 胁 信 息 图图 3.33.3 信息安全管理系统信息安全管理系统 dfddfd 总体图总体图 fig.3.3 information security management system dfd collectivity map - 13 - 3.1.43.1.4 信息安全管理系统信息安全管理系统 dfddfd 零级图零级图 原始数据管理 信息安全管理部门 业务管理部门 资产维护部门 数据统计 工单管理 威胁d2 资产d1 漏洞d3 补丁d4 病毒d5 专栏d6 f 8 原 始 数 据 查 询 条 件 f 9 原 始 数 据 查 询 结 果 f 10 统 计 数 据 查 询 条 件 f 11 统 计 数 据 查 询 结 果 f2 漏 洞 信 息 f3 补 丁 信 息 f1 威 胁 信 息 f6 审 核 信 息 f4 病 毒 信 息 f7 审 核 结 果 f5 专 栏 信 息 报表d8 工单d7 f19 工单 查询 结果 f20 工单 查询 条件 f18 工单 处理 结果 f14工单查询条件 f15工单查询结果 f13工单信息 f22 原始 数据 查询 结果 f21 原始 数据 查询 条件 f 12 资 产 信 息 f 17 原 始 数 据 查 询 结 果 f 16 原 始 数 据 查 询 条 件 图图 3.43.4 信息安全管理系统信息安全管理系统 dfddfd 零级图零级图 fig.3.4 information security management system dfd zero level map - 14 - 3.1.53.1.5 信息安全管理系统信息安全管理系统 dfddfd 细节图细节图 威胁导入 处理 查询处理 信息安全管理部门f1威胁信息 f8.0威胁查询条件 f9.0威胁查询结果 威胁d2 业务管理部门资产维护部门 f16.0威胁查询条件 f17.0威胁查询结果 f21.0 威 胁 查 询 条 件 f22.0 威 胁 查 询 结 果 图图 3.53.5 信息安全管理系统信息安全管理系统 dfddfd 细节图细节图(a)(a) fig.3.5 information security management system dfd detail map(a) 漏洞导入 处理 查询处理 信息安全管理部门f2漏洞信息 f8.1漏洞查询条件 f9.1漏洞查询结果 漏洞d3 业务管理部门资产维护部门 f16.1漏洞查询条件 f17.1漏洞查询结果 f21.1 漏 洞 查 询 条 件 f22.1 漏 洞 查 询 结 果 图图 3.63.6 信息安全管理系统信息安全管理系统 dfddfd 细节图细节图(b)(b) fig.3.6 information security management system dfd detail map(b) - 15 - 补丁导入 处理 查询处理 信息安全管理部门f3补丁信息 f8.2补丁查询条件 f9.2补丁查询结果 补丁d4 业务管理部门资产维护部门 f16.2补丁查询条件 f17.2补丁查询结果 f21.2 补 丁 查 询 条 件 f22.2 补 丁 查 询 结 果 图图 3.73.7 信息安全管理系统信息安全管理系统 dfddfd 细节图（细节图（c c） fig.3.7 information security management system dfd detail map(c) 病毒导入 处理 查询处理 信息安全管理部门f4病毒信息 f8.3病毒查询条件 f9.3病毒查询结果 病毒d5 业务管理部门资产维护部门 f16.3病毒查询条件 f17.3病毒查询结果 f21.3 病 毒 查 询 条 件 f22.3 病 毒 查 询 结 果 图图 3.83.8 信息安全管理系统信息安全管理系统 dfddfd 细节图（细节图（d d） fig.3.8 information security management system dfd detail map(d) - 16 - 专栏导入 处理 查询处理 信息安全管理部门f5专栏信息 f8.4专栏查询条件 f9.4专栏查询结果 专栏d6 业务管理部门资产维护部门 f16.4专栏查询条件 f17.4专栏查询结果 f21.4 专 栏 查 询 条 件 f22.4 专 栏 查 询 结 果 图图 3.93.9 信息安全管理系统信息安全管理系统 dfddfd 细节图（细节图（e e） fig.3.9 information security management system dfd detail map(e) 3.23.2 数据字典描述数据字典描述 本系统数据流图中，数据项“资产代码”的数据元素如表 3.1： 3.13.1 数据项数据项 “资产代码资产代码”数据元素数据元素 tab.3.1 the table for data itemasset codedata element 数据元素 系统名：信息安全管理系统编号： 条目名：资产代码别名：资产编码 属于数据流：f12存储处：资产表 数据元素值： 代码类型：字符型取值范围：字母、数字、下划线 长度：4意义： 简要说明：每个资产都有一个唯一的资产代码。 编写：叶花日期：2004/11/01修改记录： 审核：叶花日期 ：2004/11/01 - 17 - 本系统数据流图中，数据项“资产信息”的数据流卡片如表 3.2： 表表 3.23.2 数据项数据项 “资产信息资产信息”数据流数据流 tab.3.2 the table for data itemasset informationdata stream 数据流 系统名：信息安全管理系统编号：f12 条目名：资产信息别名：资产 来源：业务管理部门去向：原始数据管理 数据流结构： 资产代码+资产名称+资产描述+完整性赋值+可用性赋值+机密性赋值+资产价值 流量：20/天。 简要说明：一个资产条目。 编写：叶花日期：2004/11/01修改记录： 审核：叶花日期 ：2004/11/01 本系统数据流图中， “资产”的数据存储卡如表 3.3： 表表 3.33.3 数据项数据项 “资产资产”数据存储数据存储 tab.3.3 the table for data itemasset data storage 数据存储 系统名：信息安全管理系统编号：d1 条目名：资产别名： 存储组织：记录数：约 8200主关键字：资产代码 二维表数据量：约 900kb辅关键字： 记录组成： 资产代码+资产名称+资产描述+完整性赋值+可用性赋值+机密性赋值+资产价值 简要说明：存放一个资产信息。 编写：叶花日期：2004/11/01修改记录： 审核：叶花日期 ：2004/11/01 - 18 - 本系统数据流图中， “漏洞导入处理”的数据流数据加工处理卡片如表 3.4： 表表 3.43.4 数据项数据项 “漏洞导入处理漏洞导入处理”数据加工数据加工 tab.3.4 the table for data itemhole lead in manage data process 数据加工 系统名：信息安全管理系统编号： 条目名：漏洞导入处理别名： 输入：漏洞信息输出：漏洞 简要说明：将漏洞信息从已经生成的 xml 文件中导入数据库中。 编写：叶花日期：2004/11/01修改记录： 审核：叶花日期 ：2004/11/01 本系统数据流图中， “业务管理部门”的外部项存储卡如表 3.5： 表表 3.53.5 数据项数据项 “业务管理部门业务管理部门”外部项存储卡外部项存储卡 tab.3.5 the table for data itemoperation manage department exterior item storage card 外部项 系统名：信息安全管理系统编号：d1 条目名：业务管理部门别名： 输入数据流：输出数据流： 查询结果资产信息、查询信息 主要特征： 用户的号、标识、真实姓名等。 简要说明：该部门的用户负责资产的录入、工单的创建等。 编写：叶花日期：2004/11/01修改记录： 审核：叶花日期： 2004/11/01 3.33.3 基本加工小说明书基本加工小说明书 对于数据流图中的基本加工模块，在此作简要说明。 1、 漏洞的导入 获取漏洞代码；获取漏洞名称；获取漏洞严重性；获取影响平台；获取简要 描述；获取详细描述；获取是否审核；获取审核日期；将漏洞信息存入数据库。 - 19 - 2、 漏洞的查询 获取查询条件：在页面上选择根据漏洞编号或漏洞名称来查询，在页面上输 入匹配字符串；将查询结果显示在页面上。 - 20 - 第第 4 4 章章 系统总体结构设计系统总体结构设计 4.14.1 软件模块结构设计软件模块结构设计 4.1.14.1.1 模块结构图模块结构图 根据系统分析的结果，按照结构化的系统设计方法，信息安全管理系统从功能 上可分成：资产管理子系统、漏洞库子系统、风险管理子系统、安全事件子系统、 安全专栏子系统、病毒管理子系统、统计分析子系统、系统管理子系统。各子系统 的简要功能说明如表 4.1： 表表 4.14.1 各子系统功能简要说明表各子系统功能简要说明表 tab.4.1 the table for apiece subsystem function brief narrate 模块名称功能简介 资产管理对资产信息进行新增、删除、修改、查看、搜索 的操作，设置访问权限，手工建立资产与漏洞， 威胁之间的关系，查看资产的相关信息。 漏洞库对漏洞信息进行导入、查看、搜索、列表、审核 操作，对补丁信息进行导入、查看、列表、审核 的操作。 风险管理对扫描结果进行导入、查询、查看详细信息的操 作 安全事件创建工单、分配工单、接受工单、处理工单、关 键字增加、删除、修改，事件管理 安全专栏发表文章、审核文章、查询安全月刊等 病毒管理对病毒信息进行导入，审核和查询 统计分析资产信息、漏洞信息、威胁信息、风险信息、安 全事件信息的统计分析，报表的打印 系统管理用户管理、角色管理、日志管理、参数管理、专 栏管理、禁忌词管理、设置审核策略 - 21 - 信息安全管理系统模块结构图如图 4.1： 漏 洞 库 资 产 管 理 安 全 管 理 风 险 管 理 病 毒 管 理 安 全 专 栏 统 计 分 析 系 统 管 理 新 建 资 产 删 除 资 产 修 改 资 产 查 询 资 产 停 用 资 产 设 置 资 产 设 置 资 产 访 问 权 限 设 置 资 产 管 理 员 搜 索 漏 洞 更 新 漏 洞 库 上 传 漏 洞 信 息 更 新 数 据 包 审 核 漏 洞 补 丁 列 表 审 核 补 丁 上 传 补 丁 信 息 更 新 数 据 包 导 入 扫 描 结 果 查 看 扫 描 结 果 创 建 工 单 查 看 工 单 查 看 处 理 历 史 接 受 工 单 处 理 工 单 发 表 文 章 审 核 文 章 查 询 安 全 月 刊 导 入 病 毒 搜 索 病 毒 审 核 病 毒 查 看 病 毒 详 细 信 息 资 产 列 表 统 计 分 析 资 产 漏 洞 统 计 分 析 资 产 所 受 威 胁 统 计 信 息 安 全 风 险 统 计 分 析 安 全 事 件 统 计 用 户 管 理 角 色 管 理 日 志 管 理 参 数 管 理 专 栏 管 理 禁 忌 词 管 理 设 置 审 核 策 略 信息安全管理系统 图图 4.14.1 信息安全管理系统模块结构图信息安全管理系统模块结构图 fig.4.1 information security management system module fabric map - 22 - 4.1.24.1.2 ipoipo 图图 资产管理模块的功能是对资产和业务系统的信息进行输入、修改、删除和查询 访问权限设置等操作。 表表 4.24.2 资产管理模块资产管理模块 ipoipo 图图 tab.4.2 the table for asset management module ipo map ipo 图 系统名：信息安全管理系统制图者：叶花 模块图：资产管理日期：2004.11 由下列模块调用： 调用下列模块： 主模块 新建资产、删除资产、修改资产、查询资产、停用资产、设 置资产访问权限、设置资产辅管理员 输入： 输出： 资产信息、资产查询条件、库中的用户、 角色、权限信息 资产查询结果、权限设置信息 处理内容： 如要新建资产信息，调用新建资产模块；如要删除资产信息，调用删除资产模块； 如要修改资产信息，调用修改资产模块；如要查询资产信息，调用查询资产模块； 如要停用资产信息，调用停用资产模块；如要设置资产访问权限信息，调用设置资产访问权限模块 - 23 - 漏洞库模块的功能是对漏洞、补丁信息进行导入、查询、审核等操作。 表表 4.34.3 漏洞库模块漏洞库模块 ipoipo 图图 tab.4.3 the table for hole storeroom module ipo map ipo 图 系统名：信息安全管理系统制图者：叶花 模块图：漏洞库日期：2004.11 由下列模块调用： 调用下列模块： 主模块搜索漏洞、更新漏洞库、上传漏洞信息更新数据包、审核漏 洞、补丁列表、审核补丁、上传补丁信息更新数据包。 输入： 输出： 漏洞信息、补丁信息、漏洞查询条件、审 核信息 漏洞查询结果、审核结果 处理内容： 如要搜索漏洞信息，调用搜索漏洞模块；如要更新漏洞库信息，调用更新漏洞库模块；如要上传漏洞信 息更新数据包，调用上传漏洞信息更新数据包模块；如要审核漏洞信息，调用审核漏洞模块；如要审核 补丁信息，调用审核补丁模块；如要上传补丁信息更新数据包，调用上传补丁信息更新数据包模块 安全事件模块的功能是进行工单管理、关键字管理和事件管理。 表表 4.44.4 安全事件模块安全事件模块 ipoipo 图图 tab.4.4 the table for security affair module ipo map ipo 图 系统名：信息安全管理系统制图者：叶花 模块图：安全事件日期：2004.11 由下列模块调用： 调用下列模块： 主模块创建工单、查看工单、查看处理历史、接受工单、处理工单、 关键字管理、事件管理 输入： 输出： 工单信息、关键字信息、安全事件信息 工单查询结果、工单处理历史查询结果 处理内容： 如要创建工单，调用创建工单模块；如要查看工单信息，调用查看工单模块；如要查看处理历史，调用 查看处理历史模块；如要接受工单，调用接受工单模块；如要处理工单，调用处理工单模块；如要进行 关键字管理，调用关键字管理模块；如要进行事件管理，调用事件管理模块 - 24 - 病毒管理模块的功能是对病毒信息进行导入、查询、审核等操作。 表表 4.54.5 病毒管理模块病毒管理模块 ipoipo 图图 tab.4.5 the table for virus management module ipo map ipo 图 系统名：信息安全管理系统制图者：叶花 模块图：病毒管理日期：2004.11 由下列模块调用： 调用下列模块： 主模块导入病毒、搜索病毒、审核病毒、查看病毒详细信息 输入： 输出： 病毒信息、病毒查询条件、审核信息 病毒查询结果、审核结果 处理内容： 如要导入病毒，调用导入病毒模块；如要搜索病毒信息，调用搜索病毒模块； 如要审核病毒，调用审核病毒模块；如要查看病毒详细信息，调用查看病毒详细信息模块； 系统管理模块的功能是对用户管理、角色管理、日志管理、参数管理、专栏管 理、禁忌词管理等。 表表 4.64.6 系统管理模块系统管理模块 ipoipo 图图 tab.4.6 the table for system management module ipo map ipo 图 系统名：信息安全管理系统制图者：叶花 模块图：系统管理日期：2004.11 由下列模块调用： 调用下列模块： 主模块用户管理、角色管理、日志管理、参数管理、专栏管理、禁 忌词管理、设置审核策略 输入： 输出： 各类信息、各类信息的查询条件 各类信息的查询结果 处理内容： 如要进行用户管理，调用用户管理模块；如要进行角色管理，调用角色管理模块； 如要进行日志管理，调用日志管理模块；如要进行参数管理，调用参数管理模块； 如要进行专栏管理，调用专栏管理模块；如要进行禁忌词管理，调用禁忌词管理模块； 如要进行设置审核策略，调用设置审核策略模块 - 25 - 4.24.2 数据库设计数据库设计 4.2.14.2.1 实体描述实体描述 （1） 资产实体 资产代码资产名称资产描述 资产价值 机密性赋值可用性赋值完整性赋值 资产 图图 4.24.2 资产实体图资产实体图 fig.4.2 asset entity map 实体资产，本系统中最重要的实体，存放资产代码、名称、类型、ip 地址等 信息。有属性资产代码、资产名称、资产描述、完整性赋值、可用性赋值、机密性 赋值、资产价值。每个资产都有一个唯一的代码，所以直接使用它作为这个实体的 主键。 （2）漏洞实体 漏洞代码漏洞名称 影响平台 审核日期是否审核详细描述简要描述 漏洞 严重性 图图 4.34.3 漏洞实体图漏洞实体图 fig.4.3 hole entity map - 26 - 实体漏洞，是资产中存在的漏洞，用来存放漏洞代码、名称、严重程度、厂商 标记、影响的平台等信息。有属性漏洞代码、漏洞名称、严重性、影响平台、简要 描述、详细描述、是否审核、审核日期。每个漏洞都有一个唯一的代码，所以直接 使用它作为这个实体的主键。 （3）威胁实体 威胁号 威胁描述 威胁 图图 4.44.4 威胁实体图威胁实体图 fig.4.4 threaten entity map 实体威胁，指漏洞所能引起的风险，用来存放威胁的代码、名称等信息。有属 性威胁号、威胁描述。每个威胁都有一个唯一的号，所以直接使用它作为这个实体 的主键。 （4）补丁实体 补丁代码补丁描述 审核日期是否审核 补丁 补丁明细 图图 4.54.5 补丁实体图补丁实体图 fig.4.5 mend entity map 实体补丁，在资产中打补丁以避免漏洞引起的风险，用来存放补丁代码、描述 信息。有属