韋 超

（1.廣西大學計算機與電子信息學院，廣西 南寧 530004；

2.南寧市黨員干部現代遠程教育管理辦公室網絡管理科，廣西 南寧 530028）

隨著IT技術的發(fā)展和計算機應用的普及，越來越多的政府部門和企業(yè)建立并使用信息系統來處理工作業(yè)務、提高工作效率。信息系統運行使用的核心是其內部所存儲的大量數據信息，這些信息一般存儲于系統所使用的數據庫中。

信息數據是企業(yè)在競爭日趨激烈的市場環(huán)境中得以生存和立足的生命線[1]，由于這些信息可能是客戶資料、商業(yè)數據或其他機密內容，信息一旦受到威脅并被非法者查看、竊取或修改，將會造成難以想象的嚴重后果。因此，數據的安全性對任何一個信息系統來說都至關重要。

1 信息系統數據訪問安全控制模型

保證信息系統的數據安全，主要是保證信息的可用性、精確性、真實性、機密性、完整性和所有性[2]，為此，需要研究制定保障數據安全的相關措施即安全策略，安全策略是為保證提供一定級別安全保護所必須遵守的規(guī)則。

在一般的計算機信息系統中，數據安全保護措施是逐級層層設置的，其模型如圖1所示。根據安全防護策略，用戶從申請使用應用服務程序開始，直到成功訪問到后臺數據庫中所存儲的數據，應經歷所有已被事先設定的安全防護認證過程。

圖1 數據訪問安全控制模型

2 信息系統的數據安全防護策略

2.1 訪問控制

（1）物理訪問控制

①本地物理訪問控制。從設備管理的觀點看，安全設備是一個物理位置概念，人員需要對運行信息系統的設備進行訪問時，可以首先從物理保護機制實行訪問控制，如設置帶鎖的房門、警衛(wèi)人員、環(huán)境監(jiān)控視頻等。

②遠程網絡訪問控制。若系統提供網絡遠程訪問功能，可通過投資建設與互聯網和無關者完全相隔離的專用網絡、限定充許訪問系統的網絡設備物理地址、要求在互聯網環(huán)境下使用VPN技術等方式，對網絡訪問進行物理上的限制。

（2）身份驗證

身份驗證也可稱為身份識別，它是正確識別合法用戶身份的重要途徑。身份驗證的原理是用戶將個人所持有的認證載體傳送給計算機，計算機將認證載體與原有的登記值的比對計算，以判斷用戶的身份是否合法。身份驗證往往是信息系統數據安全防護的第一道關卡。身份驗證常用的方式有：口令認證、待證認證和生物識別。

口令認證是被最廣泛使用，也是最實用的一種系統訪問身份驗證方法。一般情況下，口令由數字、字母和特殊字符組成。對口令的安全性要求包括：限定口令的復雜性，限制來自同一個終端或接入通道在一定時段內進行口令認證的次數，要求口令被定期更改，取消系安裝或測試時所用的預設口令，采用一次性口令認證方式等。

目前很多組織機構在口令認證環(huán)節(jié)正逐步探索采用一次性口令認證的方式，這種方法的特點是可以使用第三方安全服務器上生成的一次性口令來進行身份驗證，例如可與電信運營商合作，將合法用戶的手機號碼與信息系統及電信運營商綁定，通過隨機生成和短信下發(fā)的形式，向用戶提供一次性口令，并規(guī)定口令的有效時限。

持證認證是利用所持有的實物對用戶進行的身份驗認，持有物的作用類似于鑰匙。當前比較常見的持有物有：寫入特定程序的U盤、嵌有磁條或電子芯片的卡片等。

生物識別主要依據人類自身所固有與生俱來的的生理特征作為個人身份識別的重要依據。生物識別技術的應用現主要包括指紋識別、虹膜識別、臉像識別、手形識別、聲音識別等。其中虹膜和指紋識別是目前被公認為最可靠的生物識別方式。

2.2 操作權限控制

信息系統的業(yè)務活動主要在主體（用戶）和客體（資源、數據）間進行[3]。操作權限控制的核心思想是保證主體對客體活動的合法性，確保主體對客體的活動是授權的，對非授權的活動必須拒絕。

系統操作權限控制主要有基于主體和基于客體兩種方式?；谥黧w的操作權限控制方法是在主體的屬性上附加一個該主體可操作客體的明細列表，主體只能有權限操作已被授權的事項?；诳腕w的操作權限控制方法是對客體附加一個可操作它的主體的明細列表，客體只充許來自列表中主體的操作活動。

系統操作權限的分配和設置方式，基于主體和客體分為等級型和權屬型兩種。權限的等級型方式為一個樹型結構，高等級主體可以對低等級主體的系統控制權限進行設置或修改，信息系統充許擁有一個最高等級權限的主體。權限的權屬型方式是對客體設定一個擁有者，它是唯一有權設置或修改該客體的操作權限主體明細列表的主體，該主體有權分配其所擁有客體的可操作控制權限。

目前，對系統操作權限控制的實施，比較流行的是基于角色管理的權限設置方式。角色是信息系統中具有相同權限的一組用戶，不同的角色被分別賦予不同的系統操作權限。通過定義角色，可實現對系統業(yè)務活動主體的統一管理。

2.3 操作系統的文件操作控制

任何信息系統的運行都離不開操作系統的支撐，對數據的安全防護，在操作系統一級也有自己的保護措施。

文件保護是對安全操作系統的基本要求，操作系統的文件操作控制是為了防止由于誤操作或惡意操作而對文件造成的破壞。

一般可通過操作系統為文件的操作設置兩級控制，第一級為訪問權限識別，即判定哪些用戶或程序進程可以對文件進行操作，第二級為存取權限識別，即規(guī)定用戶或程序進程可對文件執(zhí)行何種操作。

對第一級控制的實施，一般將文件的訪問對象分為三類：文件創(chuàng)建者（文件主）、文件合作者、其他用戶，根據用戶類別設定對文件的訪問權限。為實施第二級控制，可在設定文件訪問權限的基礎上，設置訪問對象對文件的存取權限：R（只讀），W（可寫），E（可執(zhí)行），N（不允許任何操作）。

此外，為保證文件安全，防止人為技術性的對文件進行破壞，操作系統通常都會利用轉儲操作來提供文件的備份功能，以保持文件的多個副本，一旦原文件受到破壞，可能通過備份還原措施來進行恢復。

2.4 數據加密

數據保密是信息安全的重要方面，為保密而進行的數據加密，是防止非法用戶輕易從信息系統中獲取機密信息的技術手段。加密的基本思想是偽裝明文以隱藏其真實內容，即將明文X偽裝成密文Y。將X偽裝成Y的過程稱為加密，將Y還原為X的過程稱為解密。

加密和解密的過程是一般是通過加密/解密算法來實現的，加密/解密算法是對明文加密和密文解密時所采用的一組規(guī)則。而加密算法和解密算法的操作通常都是在一組密鑰控制下進行的，密鑰可以視為在加密/解密算法中的可變參數。

對數據進行加密，所運用的主要手段是對數據內容進行換位或置換[2]。現有的加密體制可分為兩種：一種是對稱密碼體制，其使用相同的密鑰對數據進行加密和解密，典型的加密算法有凱撒密碼、單表置換、Vigenere密碼和現今流行的DES算法、RC4算法等；另一種是非對稱密碼體制，其對信息的加密和解密使用不同的密鑰，并且難以從其中一個密鑰推斷出另一個，典型的加密算法有RSA算法、DSA算法、PKCS算法和PGP算法等。

在信息系統中，數據一般都按照一定的模式要求存儲在數據庫中。對數據庫中的數據進行加密存儲，是保護信息系統數據安全的重要手段。加密其實就是將數據庫中的明文存儲成密文的過程，使得用戶直接打開數據庫時，看到數據庫中的信息為亂碼，這樣即使數據庫被非法者直接盜取，沒有特定的解密程序也無法知道數據庫中的真實信息[4]。

使用加密方式對數據庫中存儲的數據進行保護，需要注意以下兩點：

（1）選擇高效的加密算法會提高數據庫運行的性能[5]。一般對稱密碼體制算法比非對稱密碼體制算法要快得多，但使用非對稱密碼體制可以得到更好的系統開放性。

（2）合理確定所需要進行加密的數據范圍。在日常工作中，經常會對數據庫中的數據進行修改、刪除等操作，如果對每個數據庫字段都加密的話，會影響數據庫的性能，所以合理的選擇比較敏感的數據字段進行加密，可以有效降低數據庫負重[5]。對數據庫中字段進行加解密的主要流程如圖 2所示[4]。

圖2 數據庫中字段加解密流程

2.5 入侵檢測和安全審計

信息系統入侵檢測的思路是基于這樣的假定：入侵者的行為一般不同于合法用戶的行為，并通過可以量化的方式表現出來。安全審計是入侵檢測的重要手段，通過對系統中用戶活動的收集與審計，以判斷用戶行為的合理與合法性。

入侵檢測技術主要分為以下兩種：模式匹配和統計分析。

模式匹配是將審計觀察到的情況與已知的網絡入侵和誤用模式進行比對，從而判斷是否發(fā)生違背安全行為的入侵活動。該方法的特點是對行為判斷的準確率較高，但難以應付不斷更新和從未出現過的黑客攻擊手段。

統計分析則是通過對信息系統中過去的事件進行梳理、統計與分析，創(chuàng)建一個判斷當前活動是否可疑的規(guī)則或屬性集來檢測入侵行為。例如將某事件與一個時段內對該事件類型出現的次數相比較，如果次數遠遠超出了被認為是合理的數值，那么就假定出現了入侵活動。該方法的特點是可檢測未知的入侵行為，但誤報率較高。

3 結束語

信息系統的數據安全防護策略可以為我們提供有效的數據安全保障。但一個信息系統的安全性并不是孤立的，它還與整個系統的高效性、適用性密切相關。在系統管理人員認為花在身份驗認和數據加密上的時間很有必要時，系統用戶此時也許正在抱怨為什么需要如此頻繁地更改登錄密碼并要求得到更快的系統響應速度。

我們應該有這樣的一種意識，絕對的不受任何約束的隨意訪問所帶來的高效性和便捷性將會使業(yè)務運行危機四伏，但絕對的安全性將導致系統運行效率低下或最終可能根本無法訪問[2]。因此，選擇采用怎樣的安全策略來保護信息系統的數據安全，使系統在安全性能和訪問性能上得到一個適當、合理的平衡，是信息系統設計和維護人員需要認真考慮的重要問題。

[1] 張君生.淺談用信息化手段保護企業(yè)核心數據[J].中國管理信息化,2013-01,(1):41-42.

[2] Michael E.Whitman，Herbert J.Mattord.信息安全原理[M].徐焱,譯.北京:清華大學出版社,2004.

[3] 中國信息安全產品測評認證中心.信息安全理論與技術[M].北京:人民郵電出版社,2003.

[4] 張占孝.數據庫加密系統的設計與實現[J].信息安全與技術,2012-04:15-17.

[5] 田彬.基于數據庫加密技術的研究[J].遼寧大學學報,2012(1):73-75.