（管理科学与工程专业论文）技术侦察信息管理系统的安全防护技术研究.pdf

摘要 摘要 飞速发展的计算机和网络技术使国家政府部门的能力大幅提升， 但与此同时， 也 给信息安全带来了新的威胁。 如何在开发和利用信息资源的过程中， 建立全方位的信 息安全体系，已经成为摆在国家各政府部门面前的紧迫课题。 技术侦察信息管理系 统 ( 以下简称 系统) 是对各种业务进行信息化管理的专用系统， 系统数据库存储 了大量的核心数据， 密级高， 信息量大， 其信息安全直接关系到系统的可信性和侦察 的有效性。 本论文正是基于这一实际需求， 从技术角度对 系统的信息安全问题进 行了较为全面和深入的探讨，提出了一些设想和解决方案。 本文首先介绍了信息系统的安全模型及信息系统安全的主要研究内容， 在此基础 上， 提出了本系统的安全框架， 并对其进行了设计与实现。 在系统安全框架的设计中， 从操作系统安全、身份验证、 访问控制、 数据库加密、 数据库审计等几个方面进行综 合考虑，以期为系统提供全方位的防护保障: 在操作系统安全方面， 主要研究了基于 w i n d o w s 2 0 0 0 s e r v e r 系统的访问 控制以 及对操作系统的 配置和管理; 在身份验证方 面， 通过比较几种身份验证方式， 采用了基于指纹识别的身份验证; 在访问 控制方面， 对现在比较常用的基于角色的访问控制模型进行了改进， 按照强制访问控制策略的要 求，为用户和信息设定安全属性，实现了 “ 基于角色的多级安全访问控制” ，并通过 建立安全信息库与使用o r a c l e 数据库的存储过程，实现应用程序与数据库授权分配 的一致性; 在数据库加密方面， 采用了一种转换表的方案对数据库加密密钥进行分配 与管理; 在数据库审计方面， 主要是对服务器的日 志和数据库的日志等进行安全管理 与分析。 摘要 关 键 词 :信息系统安全 访 问控制 应用 研究 o r a c l e 数据库加密 身份验 证 论 文 类 型 : 人b s t r a c t abs tract t h e q u i c k d e v e l o p i n g t e c h n i q u e o f c o m p u t e r a n d i n t e rn e t b r i n g s g r e a t i m p r o v e m e n t i n t h e n a t i o n a l g o v e r n m e n t d e p a r t m e n t c a p a b i l i t y , w h i c h a l s o b r i n g s n e w t h r e a d t o t h e s e c u r i t y o f t h e in f o r m a t i o n . i t h a s b e e n b e i n g a c r u c i a l t a s k f o r e v e r y n a t i o n a l g o v e rn m e n t d e p a r t m e n t t o b u i l d a f u l l i n f o r m a t i o n s e c u r it y s y s t e m i n t h e p r o c e s s o f d e v e l o p i n g a n d u t i l i z i n g t h e in f o r m a t i o n r e s o u r c e . ( s h o r te d f o r ) i s a s p e c i a l s y s t e m m a n a g i n g t h e t a s k i n f o r m a t i o n , a n d t h e d a t a b a s e o f t h i s s y s t e m s t o r e s a l o t o f k e y d a t a w h i c h i s in h i g h s e c r e t c l a s s a n d h a s a g r e a t q u a n t i t y . s i n c e o f t h i s , t h e in f o r m a t i o n s e c u r i ty i s r e l a t e d d i r e c t l y t o t h e o v e r a w e d e p e n d a b i l i ty a n d t h e v a l i d i ty o f t h e s y s t e m. b a s e d o n t h e a c t u a l r e q u i r e m e n t , t h i s p a p e r m a k e s d e e p - g o i n g d i s c u s s i o n a n d i n t r o d u c e s s o m e a s s u m p t i o n s a n d s o l u t i o n s f o r t h e i n f o r m a t i o n s e c u r i t y o f t h e fr o m t h e t e c h n i q u e p o i n t . t h e p a p e r f i r s t l y i n t r o d u c e s t h e s e c u r i t y m o d e l o f t h e i n f o r m a t i o n s y s t e m a n d t h e m a j o r s t u d y i n g c o n t e n t o f i n f o r m a t i o n s y s t e m s e c u r i ty , b a s e d o n w h i c h i t p r e s e n t s s e c u r i t y fr a m e o f t h i s s y s t e m a n d d e s i g n s a n d e x e c u t e s t h e s e c u r i ty fr a m e . i n t h e p r o c e s s o f d e s ig n i n g s y s t e m s e c u r i t y fr a m e , w e c o n s i d e r t h e o p e r a t i n g s y s t e m s e c u r i t y , i d e n t it y a u t h e n t i c a t i o n , a c c e s s c o n t r o l , d a t a b a s e e n c r y p t i o n , d a t a b a s e a u d i t i o n e t c . in o r d e r t o p r o v i d e f u l l d e f e n s e g u a r a n t e e : i n t h e o p e r a t i n g s y s t e m s e c u r i t y , w e m a i n l y s t u d y t h e a c c e s s c o n t r o l o n wi n d o w s 2 0 0 0 s e r v e r a n d t h e c o n f i g u r a t i o n a n d m a n a g e m e n t o f t h e o p e r a t i n g s y s t e m ; i n t h e i d e n t i ty a u t h e n t i c a t i o n , w e c o m p a r e s e v e r a l a u t h e n t i c a t i o n m e a n s a n d a d o p t t h e i d e n t i t y a u t h e n t i c a t i o n b a s e d o n t h e f in g e r p r i n t i d e n t i f i c a t i o n ; i n t h e a c c e s s c o n tr o l , w e i m p r o v e t h e c o m m o n l y u s e d r b a c , a c c o r d i n g t o t h e d e m a n d o f ma c , w e g i v e s e c u r i t y a t t r i b u t e t o t h e u s e r a n d t h e i n f o r m a t i o n a n d a c t u a l i z e m u l t i l e v e l s e c u r i ty a c c e s s c o n t r o l b a s e d o n t h e r o l e , m o r e o v e r w e b u i ld t h e s e c u r i t y i n f o r m a t i o n d a t a b a s e a n d u s e t h e o r a c le p r o c e d u r e t o a s s u r e t h e a u t h o r i z a t i o n c o h e r e n c e o f t h e d a t a b a s e a n d t h e a p p l i c a t i o n . i n t h e d a t a b a s e e n c r y p t i o n , w e a d o p t a c o n v e r s i o n t a b le s c h e m e t o d i s t r i b u t e a n d m a n a g e t h e e n c r y p t i o n k e y s o f t h e d a t a b a s e . i n t h e d a t a b a s e a u d i t i o n , w e m a i n l y m a n a g e a n d a n a l y z e t h e l o g o f t h e s e r v e r a n d d a t a b a s e . k e y w o r d s : i n f o r ma t i o n s y s t e m s e c u r i t y i d e n t i t y a u t h e n t i c a t i o n d a t a b ase e n c r y p t i o n a p p l i c a t i o n r e s e a r c h o r a c l e ac c e s s c o n t r o l typ e o f thes i s: 绪论 1 绪论 1 . 1 研究的来源、目的和意义 本课题来源于某部，属于 技术侦察信息管理系统( 以下简称 系统 ) 项目的 研究内容。 本课题研究的目 的是为信息管理系统设计一个安全管理框架，以保障系统 安全、可靠、稳定的运行。 随着信息技术的飞速发展，网络已 经深入到社会的各个领域、各个方面。 特别是 互联网的发展， 引发了社会生产方式的一场革命， 使得人类开始进入网络社会。时至 今日，网络己经成为一个无时不在、无处不有、无所不用的工具，成为人们必须依赖 并生活于其中的 “ 新的环境”、 “ 新的社会”。人类的经济、政治、军事、文化、教 育、 科技和一切社会活动越来越强烈地依赖信息资源和信息网络系统。当然，信息技 术作为现代国 家安全工作的战略资源， 其重要性也在日 益上升。 先进的信息技术作为 一种作战手段运用于各个国家安全领域，极大地提高了作战能力。 然而， 信息资源共享与网络信息安全天生是一对矛盾。 信息共享的普遍性与信息 遭受攻击的广泛性是一体两面的， 特别是以承载和输送信息为天职的信息网络因其固 有的无主管性、 跨国界性、不设防性和缺少法律约束等特点， 在为人们带来利益、价 值和方便的同时，也带来了巨大的风险和隐患，暗藏着极大的危险性甚至毁灭性。这 就引发了 信息社会最敏感、 最具挑战性的核心问题网络信息安全问题。 各种形式 的网络犯罪、 重要情报泄露以及西方国家利用互联网大肆进行意识形态和文化渗透等 使我国的信息安全面临严峻形势，而且还会危及到政治、军事、经济和文化等各方面 的安全。因此，建立各级信息安全系统，是一件十分紧迫、十分重要的任务。 1 . 2国内外信息安全研究现状 国际上信息安全研究起步较早，力度大， 积累多， 应用广，在 7 0年代美国的网 络安全技术基础理论研究成果 “ 计算机保密模型”( b e u ( 2 ) 边 界控制仍然是产品和技术发展的主流; ( 3 )网 络取证，炙手可热; ( 4 ) 授权、 认证、 管理技术发展迅速;( 5 ) 生物识别， 异军突起。随着信息技术的发展与应用， 信息安 全的内涵在不断地延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性 和不可否认性，进而又发为 “ 攻、防、测、控、管、评”等多方面的基础理论和实施 技术， 它与我国的经济安全、 社会安全和国家安全紧密相连， 是信息进程中具有重大 战 略 意 义 的 问 题 。 其 综 合 性 很 强 ， 涉 及 面 很 宽 ， 又 是 高 技 术 领 域 的 一 个 制 高 点 2 1 1 . 3 信息系统安全模型 1 . 3 . 1 广义的信息系统安全分类 信息安全有多种不同的分类。表 1 一1 是其中的一种分类 绪论 指定了“ 可信计算机系统安全评估准则”( t c s e c ) ， 其后又制定了关于网络系统数据 库方面和系列安全解释， 形成了安全信息系统体系结构的准则。 安全协议作为信息安 全的重要内容， 其形式化方法分析始于 8 0年代初，目 前有基于状态机、 模态逻辑和 代数工具的三种分析方法， 但仍有局限性和漏洞， 处于发展的提高阶段。 作为信息安 全关键技术密码学， 近年来空前活跃， 美、欧、亚各洲举行的密码学和信息安全学术 会议频繁。 1 9 7 6 年美国学者提出的公开密钥密码体制， 克服了网络信息系统密钥管理 的困难，同时解决了数字签名问题，它是当前研究的热点。而电子商务的安全性己是 当前人们普遍关注的焦点，目 前正处于研究和发展阶段，它带动了论证理论、密钥管 理等研究，由于计算机运算速度的不断提高， 各种密码算法面临着新的密码体制， 如 量子密码、d n a 密码、混沌理论等密码新技术正处于探索之中。 国内 对信息安全的研究与网 络信息技术的发展基本同 步。 从我国信息安全技术应 用的整体情况看，以下五个方面的进展较为明显:( 1 ) 安全策略趋向合理化;( 2 ) 边 界控制仍然是产品和技术发展的主流; ( 3 )网 络取证，炙手可热; ( 4 ) 授权、 认证、 管理技术发展迅速;( 5 ) 生物识别， 异军突起。随着信息技术的发展与应用， 信息安 全的内涵在不断地延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性 和不可否认性，进而又发为 “ 攻、防、测、控、管、评”等多方面的基础理论和实施 技术， 它与我国的经济安全、 社会安全和国家安全紧密相连， 是信息进程中具有重大 战 略 意 义 的 问 题 。 其 综 合 性 很 强 ， 涉 及 面 很 宽 ， 又 是 高 技 术 领 域 的 一 个 制 高 点 2 1 1 . 3 信息系统安全模型 1 . 3 . 1 广义的信息系统安全分类 信息安全有多种不同的分类。表 1 一1 是其中的一种分类 绪论 指定了“ 可信计算机系统安全评估准则”( t c s e c ) ， 其后又制定了关于网络系统数据 库方面和系列安全解释， 形成了安全信息系统体系结构的准则。 安全协议作为信息安 全的重要内容， 其形式化方法分析始于 8 0年代初，目 前有基于状态机、 模态逻辑和 代数工具的三种分析方法， 但仍有局限性和漏洞， 处于发展的提高阶段。 作为信息安 全关键技术密码学， 近年来空前活跃， 美、欧、亚各洲举行的密码学和信息安全学术 会议频繁。 1 9 7 6 年美国学者提出的公开密钥密码体制， 克服了网络信息系统密钥管理 的困难，同时解决了数字签名问题，它是当前研究的热点。而电子商务的安全性己是 当前人们普遍关注的焦点，目 前正处于研究和发展阶段，它带动了论证理论、密钥管 理等研究，由于计算机运算速度的不断提高， 各种密码算法面临着新的密码体制， 如 量子密码、d n a 密码、混沌理论等密码新技术正处于探索之中。 国内 对信息安全的研究与网 络信息技术的发展基本同 步。 从我国信息安全技术应 用的整体情况看，以下五个方面的进展较为明显:( 1 ) 安全策略趋向合理化;( 2 ) 边 界控制仍然是产品和技术发展的主流; ( 3 )网 络取证，炙手可热; ( 4 ) 授权、 认证、 管理技术发展迅速;( 5 ) 生物识别， 异军突起。随着信息技术的发展与应用， 信息安 全的内涵在不断地延伸，从最初的信息保密性发展到信息的完整性、可用性、可控性 和不可否认性，进而又发为 “ 攻、防、测、控、管、评”等多方面的基础理论和实施 技术， 它与我国的经济安全、 社会安全和国家安全紧密相连， 是信息进程中具有重大 战 略 意 义 的 问 题 。 其 综 合 性 很 强 ， 涉 及 面 很 宽 ， 又 是 高 技 术 领 域 的 一 个 制 高 点 2 1 1 . 3 信息系统安全模型 1 . 3 . 1 广义的信息系统安全分类 信息安全有多种不同的分类。表 1 一1 是其中的一种分类 绪论 表 1 - 1 信息系统安全分类 技术分类说明 信息安全 监察安全 监控查验 发现违规 确定入侵 定位损害 监控威胁 犯罪起诉 起诉 量刑 管理安全 技术管理安全 多级安全用户鉴别术的管理 多级安全加密术的管理 密钥管理术的管理 行政管理安全 人员管理 系统 应急管理安全 应急的措施组织 入侵的自 卫与反击 技术安全 实体安全 环境安全 ( 温度、湿度、气压等) 建筑安全 ( 防雷、防水、防鼠 等) 网络与设备安全 软件安全 软件的安全开发与安装 软件的安全复制与升级 软件加密 软件性能测试 数据安全 数据加密 数据存储安全 数据备份 运行安全 访问控制 审计跟踪 入侵告警与系统恢复等 立法安全有关1洁 息安全的政策、法令、法规 i 绪论 1 . 3 . 2 狭义的信息系统安全模型 如图1 - 1 为狭义信息系统的安全模型图。 审计与监控 加 密 授 权 增强的用户认证 政策、法律、法规 图1 - 1信息系统安全模型图 在该模型中， 政策、 法律、 法规是安全的基石，是建立安全管理的标准和方法。 第二部分是增强的用户认证， 它是安全系统中技术措施的第一道防线， 用户认证 的 主要日 的是提供访问 控制。 授权主要为合法用户提供合适的访问权限，并监控用户的活动，使其不可越权使 用。 加密是信息安全中最早使用的一种行之有效的手段。数据通过加密可以保证在存 取和传送的过程中不被非法查看、篡改、窃取等。 在模型的顶部是审计和监控， 这是系统安全的最后一道防线， 它包括数据的备份。 当系统一旦出 现了问 题， 审计和监控就可以 提供问 题的再现、 责任追查、 重要数据恢 复等保障。 信息系统安全模型中的上述五部分是相辅相成， 缺一不可的。 其中下层是上层保 障的基础。 1 . 4 信息系统安全的主要方法和技术 当前信息系统安全的主要方法和技术有:身份认证、访问控制机制、密码技术、 i 绪论 1 . 3 . 2 狭义的信息系统安全模型 如图1 - 1 为狭义信息系统的安全模型图。 审计与监控 加 密 授 权 增强的用户认证 政策、法律、法规 图1 - 1信息系统安全模型图 在该模型中， 政策、 法律、 法规是安全的基石，是建立安全管理的标准和方法。 第二部分是增强的用户认证， 它是安全系统中技术措施的第一道防线， 用户认证 的 主要日 的是提供访问 控制。 授权主要为合法用户提供合适的访问权限，并监控用户的活动，使其不可越权使 用。 加密是信息安全中最早使用的一种行之有效的手段。数据通过加密可以保证在存 取和传送的过程中不被非法查看、篡改、窃取等。 在模型的顶部是审计和监控， 这是系统安全的最后一道防线， 它包括数据的备份。 当系统一旦出 现了问 题， 审计和监控就可以 提供问 题的再现、 责任追查、 重要数据恢 复等保障。 信息系统安全模型中的上述五部分是相辅相成， 缺一不可的。 其中下层是上层保 障的基础。 1 . 4 信息系统安全的主要方法和技术 当前信息系统安全的主要方法和技术有:身份认证、访问控制机制、密码技术、 1 绪论 密钥分配与管理技术、审计机制等。 1 )身份认证 用户身份认证是安全系统的第一道防线，目的是防止非法用户访问系统。除口令 控制外， 用户身份认证还可以 采用比 较复杂的计算过程和函数来完成。 而智能卡技术、 数字签名技术和生理特征 ( 如指纹、体温、声纹、视网膜纹等) 认证技术的迅速发展 也为具有更高安全要求的用户身份认证提供了实用可行的技术基础。 2 )访问控制机制 访问 控制机制是在身份认证的基础上， 根据身份提出资源访问的请求加以 控制。 通常把提出访问 请求的对象称为主体， 一般指用户或代表用户的进程: 而被访问的资 源称为客体，一般指文件等数据资源。 访问控制机制要确实保证只授权给有资格的用 户以访问系统中资源的权限:同时要保证所有未正常授权的人员均无法接近资源， 即 防止和杜绝非授权的访问。 3 ) 密码技术 密码技术是通信传输信息和存储信息保护的重要手段，可大大加强信息保密性、 完整性、 可认证性等。密码技术可以实现信息加密、数字签名等安全服务。从古代军 事密码技术到现代密码技术，加密算法分类很多，根据密钥性质的不同，可以分为对 称密钥体制和非对称密钥体制。 4 )密钥分配与管理技术 密钥是由数字、 字母或特殊符号组成的字符串， 它可以 控制加密解密的过程。密 码算法的安全强度， 在很大程度上依赖于密钥的安全保护， 这就是密钥分配与管理的 研究内容。密钥分配与管理技术是一门综合性技术，它涉及到密钥的产生、分配、存 储、修改及销毁的全部过程。 5 )审计机制 在一个计算机系统中，审计对使用何种系统资源、使用时间、如何使用以 及由哪 个用户使用等问 题提供一个完备的记录， 以 备非法事件发生后能够有效地追查。 它是 对系统安全实施有效监控的一种手段。 审计机制要求系统保留一个日志文件， 与安全相关的事件根据系统要求在日志文 件中记录下来。 审计对于事后的检查十分有效，能有效地增强对数据物理完整性的保 证。审计机制要考虑的主要问 题是审计粒度，要综合考虑安全与效率。 绪论 1 . 5 信息系统安全标准 可信计算机系统概念的产生与应用是对计算机安全、 信息安全的不断深入认识的 结果。 通过对各种计算机及其相关产品、信息系统的评测，认定其可信级别并确认该 产品或系统的安全性能。 只有建立了很完善的可信或安全标准， 才能规范和指导安全 信息系统的建立、安全计算机系统部件的生产、较准确地测定产品的安全性能指标， 从而满足民用和国防的需要。 美国国防部于1 9 8 3 年颁布了 ( 可 信计算机系统评价准则， t e s e c ) ，又称桔皮书。它将计算机系统的可信程度划分为七 个层次， 如表 1 - 2 ，其中包括从最简单的系统安全特性到最高级的计算机安全模型技 术。 表1 - 2 t e s e c 的等级 类别名称主要特征 a l 验证设计形式化的最高级描述利验证，形式化的隐密通道分析， 非形式化的代码一致性证明 b 3安全区域 存取监督器 ( 安全内 核) ，高抗渗透能力 b 2结构化保护 形式化模型， 隐密通道约束， 面向安全的体系结构， 较 好的抗渗透能力 b 1 有标识的安全保护强制存取控制，安全标识， 删去安全相关的缺陷 c 2 受控存取保护单独的 可说明 性， 广泛的审核， 附 加软件包 c1 任意安全保护任意存取控制， 在共同工作的用户中防止事故 d低级保护 不分等级 由欧美多个国家联合开发并由国际标准化组织 ( i s o )于 1 9 9 9 年 1 2月颁布为国 际 标准的 信息技术安全评价通用准则 ( c c ) ，它为信息安全产品的安全性评价提供了 一个新的框架。c c 源于t c s e c ， 但已经完全改进了t c s e c . t c s e c主要是针对操作系 统的评估， 提出的是安全功能要求，目前仍然可以用于对操作系统的评估。随着信息 技术的发展， c c 全面地考虑了与信息技术安全性有关的所有因素， 并以“ 安全功能要 求” 和 “ 安全保证要求”的形式予以提出，这些要求也可以用来构建t c s e c 的各级要 绪论 求。 c c 标准包括三个主要部分: 1 )简介和一般模型。介绍了c c中的有关术语、基本概念和一般模型以及与评枯 有关的一些框架。 2 )安全功能要求。按 “ 类一一子类一一组件”的方式提出安全功能要求，每一 个类除正文外，还有对应的提示性附录作进一步的解释。 3 )安全保证要求。定义了评估保证级别，介绍了 p p ( p r o t e c t i n p r o f i l e s ) 和 s t ( s e c u r i t y t a r g e t s ) 的评估， 并按 “ 类一一子类一一 组件”的方式提出安全保证要 求。 我国由公安部组织制定、国家质量技术监督局发布的强制性国家标准 计算 机信息系统安全保护等级划分准则规定从2 0 0 1 年 1 月1日 起对计算机信息系统安 全保护实行等级划分，它标志着我国计算机信息系统安全保护纳入了等级管理的轨 道。 准则将计算机信息系统安全保护等级划分为用户自主保护级、系统审计保护级、 安全标记保护级、结构化保护级、访问验证保护级等五个等级。表 1 - 3 给出了按 准 则 所 描 述 的 每 一 个 安 全 等 级 对 安 全 要 素 的 不 同 要 求 a l i 绪论 表1 - 3每个安全级的安全功能要求 认 默、 用户自主 保护级 系统审计 保护级 安全标记 保护级 结构化 保护级 访问验证 保护级 自 主访问控制 + 十 + + +十 + 强制访问控制+十十 +十 标记+ 十 + + 身 份 鉴 别 + + + + 十+十 十十+ 客 体 重 用十+十 + + + 审计十+ +十+ +十+ 数据完整性+ 十十 + + 可 信 恢 复+ 隐蔽通道分析十+ 可 信 路 径十+ 推 理 控 制十十 注:+ 有要求 十十 有进一步要求 + 有更进一步要求 十+ 有更高要求 系统概述 2 系统概述 2 . 1 系统概况 系统是为部、省、市三级机关开发使用的，管理某部各部门的信息系统。图2 - 1 为该系统的总体结构图。从图中可以看出，该系统采用分布式的网络结构。部、省、 市三级机关通过网络连接在一起， 其中某部建立中心数据库，各省、 市分部建立分数 据库， 各市分部定期向该省分部上传该分数据库的数据， 各省分部定期向总部上传该 分数据库的数据更新并更新中心数据库。 系统概述 2 系统概述 2 . 1 系统概况 系统是为部、省、市三级机关开发使用的，管理某部各部门的信息系统。图2 - 1 为该系统的总体结构图。从图中可以看出，该系统采用分布式的网络结构。部、省、 市三级机关通过网络连接在一起， 其中某部建立中心数据库，各省、 市分部建立分数 据库， 各市分部定期向该省分部上传该分数据库的数据， 各省分部定期向总部上传该 分数据库的数据更新并更新中心数据库。 砷串缓珠呻 拟羁舅 辐久仲宾久钵宾久砷 团髯织耸镇绷嗬丫囚困 洲鬓懈暖n 宾久砷宾久砷宾久砷 最恢格砷 日琴姿珠毗 2 系统概述 系统包括a , b , c 、 装备管理、决策指挥、 文件档案、 人事政工、 安全信息管理 八个子系统，其中安全信息管理子系统是本文设计的重点。图2 .2 是该系统的结构框 架图。 图2 - 2系统框架图 系统开发的软件环境: ( 1 )服务器端操作系统:wi n d o w s 2 0 0 0 s e r v e r ( 2 )客户端操作系统:wi n d o w s 9 8 / wi n d o w s 2 0 0 0 p r o f e s s i o n a l ( 3 )数据库:o r a c l e 8 i ( 4 )开发工具:c + + b u i l d e r 6 . 0 2 . 2系统安全性需求 系统存储着大量保密信息，所以系统要求必须稳定、安全、可靠。下面提出本系 统的安全需求: 1 ) 防止用户身份的假冒。 用户身份的 假冒 包括外部用户身份的假冒 和内 部用户身 份的 假冒， 它是指用户对未获得访问 许可的信息的访问企图。 这些用户可能试图 通过 采用各种手段非法获取被授权用户的口令、密钥等，假冒成该用户，从而获得信息的 2 系统概述 系统包括a , b , c 、 装备管理、决策指挥、 文件档案、 人事政工、 安全信息管理 八个子系统，其中安全信息管理子系统是本文设计的重点。图2 .2 是该系统的结构框 架图。 图2 - 2系统框架图 系统开发的软件环境: ( 1 )服务器端操作系统:wi n d o w s 2 0 0 0 s e r v e r ( 2 )客户端操作系统:wi n d o w s 9 8 / wi n d o w s 2 0 0 0 p r o f e s s i o n a l ( 3 )数据库:o r a c l e 8 i ( 4 )开发工具:c + + b u i l d e r 6 . 0 2 . 2系统安全性需求 系统存储着大量保密信息，所以系统要求必须稳定、安全、可靠。下面提出本系 统的安全需求: 1 ) 防止用户身份的假冒。 用户身份的 假冒 包括外部用户身份的假冒 和内 部用户身 份的 假冒， 它是指用户对未获得访问 许可的信息的访问企图。 这些用户可能试图 通过 采用各种手段非法获取被授权用户的口令、密钥等，假冒成该用户，从而获得信息的 2 系统概述 访问许可。 2 ) 严禁用户的非授权使用。 某些用户可能会使用被授访问权限的账号来达到未授 权目的的可能性，也就是合法用户的越权行为。 3 ) 动态的权限管理。 随着技术侦察的发展， 装备管理的业务在不断地变化， 各管 理部门的人员、 业务和职权也在不断地变化，这就要求系统的安全管理具有很强的灵 活性，能够实现动态的权限管理，适应不断变化的安全需求。 4 ) 信息分级保护。 依据数据敏感级别分多级进行保护， 严格控制对敏感数据的访 问 请求，只能是经过授权的用户有权进行某些操作，并且不允许其权利传播或转让。 5 ) 数据库的完整性。该需求涉及到防止更改数据内 容的非授权访问，以 及病毒， 蓄意破坏， 或是系统级错误及故障等。 这主要通过系统控制以 及备份、恢复机制执行 并完成保护工作。 6 ) 保证系统的高可用性。 影响计算机系统可用性的最常见的问题是系统崩溃。 意 外的存储介质故障、软件操作错误和操作系统进程失败通常会引起系统崩溃。例如， 计算机操作系统中的一个缺陷或许会引起一个 o r a c l e后台进程的突然失败， 进而引 起o r a c l e 数据库服务器崩溃，通常也叫做数据库实例崩溃。 7 ) 采用多种安全控制策略。 系统的安全不能只考虑一个或几个方面， 要从操作系 统的安全性、 数据库的安全性、 应用程序的安全性、 业务管理的安全性、 数据传输的 安全性等方面提供完备的系统应用安全性。 8 ) 适应网 络结构。系统是一个分布式的网 络结构，其安全管理要适应网 络结构。 如要防止通信信道的侦听等。 2 . 3 系统安全框架 为了 使应用程序的安全管理简便、 有效 过数据库访问接口进行系统安全管理。图2 . 系统采用三层结构的系统安全框架，通 3 是系统安全框架图。 2 系统概述 访问许可。 2 ) 严禁用户的非授权使用。 某些用户可能会使用被授访问权限的账号来达到未授 权目的的可能性，也就是合法用户的越权行为。 3 ) 动态的权限管理。 随着技术侦察的发展， 装备管理的业务在不断地变化， 各管 理部门的人员、 业务和职权也在不断地变化，这就要求系统的安全管理具有很强的灵 活性，能够实现动态的权限管理，适应不断变化的安全需求。 4 ) 信息分级保护。 依据数据敏感级别分多级进行保护， 严格控制对敏感数据的访 问 请求，只能是经过授权的用户有权进行某些操作，并且不允许其权利传播或转让。 5 ) 数据库的完整性。该需求涉及到防止更改数据内 容的非授权访问，以 及病毒， 蓄意破坏， 或是系统级错误及故障等。 这主要通过系统控制以 及备份、恢复机制执行 并完成保护工作。 6 ) 保证系统的高可用性。 影响计算机系统可用性的最常见的问题是系统崩溃。 意 外的存储介质故障、软件操作错误和操作系统进程失败通常会引起系统崩溃。例如， 计算机操作系统中的一个缺陷或许会引起一个 o r a c l e后台进程的突然失败， 进而引 起o r a c l e 数据库服务器崩溃，通常也叫做数据库实例崩溃。 7 ) 采用多种安全控制策略。 系统的安全不能只考虑一个或几个方面， 要从操作系 统的安全性、 数据库的安全性、 应用程序的安全性、 业务管理的安全性、 数据传输的 安全性等方面提供完备的系统应用安全性。 8 ) 适应网 络结构。系统是一个分布式的网 络结构，其安全管理要适应网 络结构。 如要防止通信信道的侦听等。 2 . 3 系统安全框架 为了 使应用程序的安全管理简便、 有效 过数据库访问接口进行系统安全管理。图2 . 系统采用三层结构的系统安全框架，通 3 是系统安全框架图。 2 系统概述 用户登录界面 身份验证模块 数据访问模块安全管理模块 *数 据 库 访问 接口审计模块 安全管理信息库业务信息库 图2 . 3系统安全框架图 安全管理信息库。安全管理信息库是本系统安全管理的基础。它存储了系统的功 能模块信息、角色的定义信息、用户的注册信息、数据库加密信息及数据库的日 志记录等。 数据库访问接口。数据库访问接口 作为中间层对数据库进行访问，它主要由应用 程序与数据库的接口 ( 如a d o ) 、操作安全信息库的存储过程和数据的加解密引擎 组成。安全管理模块通过调用数据库访问接口中定义的存储过程访问和操作安全 管理信息库，实现了系统的安全访问控制;数据访问 模块部分通过调用数据的加 解密引擎实现对敏感数据的加解密。数据库访问 接口的操作记录在日 志记录中， 用于审计模块进行日 志审计。 安全管理模块。该模块提供系统安全管理员对系统的安全信息进行管理。它通过 数据访问接口中的存储过程，操作安全管理信息库中的相关数据，提供对系统功 能增删、角色的定义、用户的增删、用户信息的修改、数据加解密的信息修改以 z 系统概述 及系统的日志分析等系统安全管理功能。 数据访问模块。数据访问模块通过数据访问接口访问业务信息库，完成用户对数 据的查询、维护等功能，敏感信息通过数据访问接口中的加解密引擎进行加解密 处理。 审计模块。它主要完成系统的审计功能，对系统日志进行分析。 身份验证模块。它响应用户登陆组件发来的 请求，调用相应的方法，通过数据访 问接口操作相关的数据，提供身份验证，验证合法的用户赋予相应的权限。 用户登录界面。它有一个可视化的登录界面，用来收集用户标识与口 令，对外只 提供简洁的接口，把与身份验证模块的交互过程隐藏起来。 3 系统安全框架设计 3 系统安全框架设计 从应用的角度来看，信息系统的安全性包含三个方面的含义:操作系统级安全 性、 应用级安全性、数据库级安全性。为达到信息系统的高安全性，应在这三层间合 理分配安全职责，使得操作系统安全、应用层安全与数据库安全之间达到无缝结合。 下面我们就从这三个方面综合考虑，来实现对系统安全框架的设计。 3 . 1 操作系统安全防护 操作系统是对软件、 硬件资源进行调度控制和信息产生、传递、处理的平台，它 为文件、目 录、网络和群体系统等提供底层的安全保障平台，所以操作系统中的安全 缺陷和安全漏洞， 往往会造成严重的后果。 许多网络遭到的攻击，很多都是针对其服 务器所使用的操作系统的漏洞而进行的， 所以信息系统安全机制中操作系统的安全是 重要组成部分。它的安全级别是对其性能进行评估的一个重要指标。 3 . 1 . 1 操作系统的访问控制 w i n d o w s 2 0 0 0 安全机制的基础是所有的资源和操作都受到访问 控制的 保护。 ， w i n d o w s 2 0 0 0 系统支持多种文件系统， 其中n t f s 支持文件和目 录访问 权限的设 置， 我们选择n t f s 文件系统。 在系统中文件和目 录被表示成项， 每个项都有所有者， 一个所有者通常是它的创建者。 它可以修改访问控制列表，允许其他人修改访问控制 列表， 或者允许其他用户成为所有者。在a c l 中的每一项可以 是个人的， 也可以是一 个组的。由 于w i n d o w s 2 0 0 0 系统是面向网络管理的， 这里的 个人或组可能是本机的， 也可能是域用户或域组. n t f s 是结构化的， 因而一个文件可以 看作是一组属性， 文件内容可以看作这些属 性中的一个。 a c l 是n t f s 项中的一个属性， 而a c l 本身也是一些u s e r 或g r o u p o f p e r m i s s i o n s 对的 列表。 n t f s 的 权限 更接近于l i n u x 系统中的 扩展权限。 这些权限 提 供了一个丰富的访问可能: 3 系统安全框架设计 3 系统安全框架设计 从应用的角度来看，信息系统的安全性包含三个方面的含义:操作系统级安全 性、 应用级安全性、数据库级安全性。为达到信息系统的高安全性，应在这三层间合 理分配安全职责，使得操作系统安全、应用层安全与数据库安全之间达到无缝结合。 下面我们就从这三个方面综合考虑，来实现对系统安全框架的设计。 3 . 1 操作系统安全防护 操作系统是对软件、 硬件资源进行调度控制和信息产生、传递、处理的平台，它 为文件、目 录、网络和群体系统等提供底层的安全保障平台，所以操作系统中的安全 缺陷和安全漏洞， 往往会造成严重的后果。 许多网络遭到的攻击，很多都是针对其服 务器所使用的操作系统的漏洞而进行的， 所以信息系统安全机制中操作系统的安全是 重要组成部分。它的安全级别是对其性能进行评估的一个重要指标。 3 . 1 . 1 操作系统的访问控制 w i n d o w s 2 0 0 0 安全机制的基础是所有的资源和操作都受到访问 控制的 保护。 ， w i n d o w s 2 0 0 0 系统支持多种文件系统， 其中n t f s 支持文件和目 录访问 权限的设 置， 我们选择n t f s 文件系统。 在系统中文件和目 录被表示成项， 每个项都有所有者， 一个所有者通常是它的创建者。 它可以修改访问控制列表，允许其他人修改访问控制 列表， 或者允许其他用户成为所有者。在a c l 中的每一项可以 是个人的， 也可以是一 个组的。由 于w i n d o w s 2 0 0 0 系统是面向网络管理的， 这里的 个人或组可能是本机的， 也可能是域用户或域组. n t f s 是结构化的， 因而一个文件可以 看作是一组属性， 文件内容可以看作这些属 性中的一个。 a c l 是n t f s 项中的一个属性， 而a c l 本身也是一些u s e r 或g r o u p o f p e r m i s s i o n s 对的 列表。 n t f s 的 权限 更接近于l i n u x 系统中的 扩展权限。 这些权限 提 供了一个丰富的访问可能: 3 系统安全框架设计 r 一 一 读 w 一 一 写 x 执行 d 一删除 1 一 一 修改a c l 0 - 一将帐号任命为新的所有者。 在默认的情况下， 大多数的文件夹对所有用户( e v e r y o n e 这个组) 是完全敞开的。 为了 控制好服务器上用户的权限，同时也为了预防以后可能的入侵和溢出， 我们必须 适当 地设置目 录和文件的访问 权限， 仅给用户真正需要的权限， 权限的最小化原则是 系统安全的重要保障。 为便于对网络用户进行管理， 要合理地划分n t 域和组。 域和域之间的用户为了 进 行资源共享要建立许多的相互信任关系，因此要进行合理的域规划。 3 . 1 . 2 对操作系统进行配置和管理 我们都知道，w i n d o w s 2 0 0 0 系统中存在大量已知和未知的漏洞。一些国际上的安 全组织己 经发布了大量的 w i n d o w s 2 0 0 0系统的安全漏洞，其中一些漏洞可以导致入 侵者获得管理员的权限: 而另一些漏洞则可以被用来实施拒绝服务攻击。 可以 采用一 些基本的措施加强操作系统的安全防护。 1 ) 安装操作系统和服务器软件的最新版本和修补程序。 微软经常会发布新的版本 或补丁程序，以 修补其w i n d o w s 系统中的安全漏洞， 保持使用的版本是最新的可以降 低风险。 2 ) 在服务器上安装强化访问 控制的产品; 分割管理员权限， 实施集中管理的强制 访问 控制。 这种强制的访问控制和对根权限的分割可以 增强对系统中的审计机制的保 护: 而在普通的操作系统中， 获得管理员身份的入侵者可以 任意删除和修改系统的审 计信息。 3 ) 取消不必要的网络服务。一般地， w e b 服务器、数据库服务器和其他文件服务 器最好是分开专用。所以数据库服务器上一些不必要的网