第９卷第６期 ２０１０年６月 软件导刊 Ｓｏｆｔｗａｒｅ Ｇｕｉｄｅ Ｖｏ１．９ ＮＯ．６ Ｊｕｎ．２０ｌＯ 信息安全技术在电子政务系统中的应用 温正卫 （同济大学软件学院，上海２０１８０４） 摘要：应用信息安全技术提高电子政务系统的安全性是一个迫切需要解决的问题。首先剖析了电子政务系统信息 安全方面存在的问题，其次研究了信息安全技术在电子政务系统中的应用，涉及到安全区域的有效划分、重要信息 的有效控制以及系统ＶＰＮ的合理设计等等．在一定程度上保证了电子政务系统的安全。 关键词：信息安全技术；电子政务系统；网络安全 中图分类号：ＴＰ３９３．Ｏ８ 文献标识码：Ａ 文章编号：１６７２—７８００（２０１０）０６－０１５８－０２ 靠ＩＳＰ（Ｉｎｔｅｍｅｔ服务提供商）和其它ＮＳＰ（网络服务提供商），在 ０ 引言 电子政务是提升一个国家或地区特别是城市综合竞争力 的重要因素之一，电子政务系统中有众多的政府公文在流转， 其中不乏重要情报，有的甚至涉及国家安全，这些信息通过网 公用网络中建立专用的数据通信网络的技术。在虚拟专用网 中。任意两个节点之间的连接并没有传统专网所需的端到端的 物理链路．而是利用某种公众网的资源动态组成的。一个典型 ＶＰＮ的组成部分如图１所示。 络传送时不能被窃听、泄密、篡改和伪造。如果电子政务网络安 全得不到保障。电子政务的便利与效率便无从保证，对国家利 、 隧道 益将带来严重威胁。因此，研究信息安全技术及其在电子政务 系统中的应用．具有重要的现实意义。 ｖＰＮ服务器 ＶＰＮ 连接 １信息安全技术 １．１访问控制技术的分析 、、 访问控制是信息安全保障机制的核心内容，它是实现数据 保密性和完整性机制的主要手段。访问控制是为了限制访问 主体（或称为发起者，是一个主动的实体；如用户、进程、服务 图１典型ＶＰＮ的组成示意图 ＶＰＮ客户端 等），对访问客体（需要保护的资源）的访问权限，从而使计算机 系统在合法范围内使用；访问控制机制决定用户及代表一定用 户利益的程序能做什么，以及做到什么程度。而基于角色的访 问控制方法的思想就是把对用户的授权分成两部分，用角色来 充当用户行驶权限的中介。这样，用户与角色之问以及角色与 权限之间就形成了两个多对多的关系。系统提供角色定义工 具，允许用户根据自己的需要（职权、职位以及分担的权利和责 １．３防火墙技术的分析 防火墙（Ｆｉｒｅｗａｌ１）技术是抵抗黑客入侵和防止未授权访问 的最有效手段之一，也是目前网络系统实现网络安全策略应用 最为广泛的丁具之一。在实现防火墙的众多技术中，如下技术 是其实现的关键技术： １．３．１ 包过滤技术 包过滤技术是在网络中适当的位置上对数据包实施有选 择的过滤。包过滤防火墙一般含有一个包检查模块，它可以安 装在网关或路由器上．处于系统的ＴＣＰ层和ＩＰ层之间，以便抢 在操作系统或路由器的ＴＣＰ层之前对ＩＰ包进行处理。通过检 任）定义相应的角色。 １．２虚拟专用网ＶＰＮ技术的分析 虚拟专用网（ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋｉｎｇ，ＶＰＮ）被定义为通 过一个公用网络（通常是因特网）建立一个临时的、安全的连 接．是一条穿过混乱的公用网络的安全、稳定的隧道。ＶＰＮ不 是真的专用网络，却能够实现专用网络的功能。ＶＰＮ指的是依 查模块的处理．防火墙可以对进出站的数据进行检查，验证数 据包是否符合过滤规则 对不符合规则的包进行报警处理。对 需丢弃的数据包，防火墙可根据包过滤策略，决定是否回复。 作者简介：温正卫（１９８３一），男，浙江平阳人，同济大学软件学院助理工程师，研究方向为软件工程 第６期 １．３．２状态检查技术 温正卫：信息安全技术在电子政务系统中的应用 ・１５９・ 状态检查技术是一种在网络层实现防火墙功能的技术。它 采用了一个在网关执行网络安全策略的软件引擎，即检测模 块。模块在不影响网络正常工作的前提下，在网络通信的各层 ３ 电子政务系统中的信息安全技术的应用探讨 ３．１ 安全区域的有效划分 根据安全策略需要，安全域可以包括多级子域，相互关联 抽取状态信息，实施监测。它支持多种协议和应用程序。并可以 很容易地实现应用和服务功能的扩充。它还能监测ＲＰＣ和 的安全域也可以组成逻辑域 、 电子政务网络域：网络基础设施层及其 层的安全保护功 ＵＤＰ之类的端口信息。而包过滤和代理技术都不支持此类端 口。 能的实现，应由接入政务々网的用户系统负责实现。 １．３．３地址转换技术 电子政务业务处理域：电子政务业务处理域（简称“业务处 理域”）包括那些在政务部门管理控制之下，用来承载电子政务 地址转换技术是将一个ｌＰ地址用另一个ＩＰ地址代替。它 主要应用于两个方面，其一是网络管理员希望隐藏内部网的ＩＰ 地址；其二是内部网的ｌＰ地址是无效的。在此情况下，外部网 不能访问内部网，而内部网之间主机可以互助访问。 ２ 电子政务系统信息安全存在的问题剖析 ２．１观念上对信息安全缺乏实际的重视 虽然相当一部分的政府部门越来越重视网络系统建设，看 重网络带来的便利与高效，但是并没有同步充分考虑安全问 题，网络安全建设严重滞后。电子政务网络的应用程度还不高， 一些机密信息目前还没有上网，再加之信息安全涉及面广，难 以用指标量化，具有间接性、非可见性，使得公务员和普通大众 对信息安全问题关注不够，信息安全意识淡薄；或表面重视、实 际上被忽视等淡薄的安全意识导致脆弱的安全管理，加之不够 健全的安全管理制度，显著增加了安全漏洞，是信息安全最大 的威胁。 ２．２技术上存在安全缺陷 政府单位内部计算机系统本身的脆弱性，网络系统本身存 在缺陷。首先，软件本身缺乏安全性。操作系统主要使用 ＷｉｎｄｏＷＳ ２０００、ＮＴ、ＸＰ等．这些系统本身就有漏洞或缺陷。其 次，通信与网络设备本身有弱点。政务内网、政务外网、公共服 务网的网络环境，都是采用ＴＣＰ／ＩＰ协议而建立的，该协议以开 放和自由为基础，在协议规划、服务模式、网络管理等方面均缺 乏安全性设计，所以电子政务信息系统就存在着先天的安全隐 患。在设备、系统安全和安全协议的研究和应用方面缺乏必要 的技术改造。 ２．３信息安全管理体系不够完善 有些政府单位存在只重技术，不重管理的现象，没有认 识到人是信息安全的关键，管理正是把人和技术结合起来， 充分发挥安全技术保障能力的纽带。总体上说，我国网络安 全管理与保卫工作是滞后的。许多部门内部没有从管理制 度、人员和技术上建立相应的安全防范机制，缺乏行之有效 的安全检查保护措施。内部人员拥有系统的一定的访问权 限，可以轻易地绕过许多访问控制机制；不少网络维护使用 人员缺乏必要的网络安全意识和知识．有的不遵守安全保密 规定 将内网直接或间接地与因特网连接，有的安全设施设 备的配置不合理，访问控制不够严格，这些问题的存在直接 带米了安全隐患 业务系统的本地计算环境及其边界，以及电子政务信息系统的 内部用户。业务处理域内主要包含相应政务部门的政务内网 域、政务外网域和公众服务域，有些政务部门还有内部自成体 系的独立业务域。每个子域都对应本地计算环境和边界。政务 内网域与政务外网域物理隔离，政务外网域与公众服务域逻辑 隔离。 电子政务基础服务域：电子政务基础服务域主要包括为电 子政务系统提供眼务的信息安全基础设施。信息安全基础设施 有：电子政务数字证书中心、信息安全测评中心、信息安全应急 响应中心以及远程灾备中心等。 ３．２重要信息的有效控制 电子政务系统的数据控制主要目的是阻止攻击者利用政 务系统的管理主机作为跳板去攻击别的机器，但是只是尽量地 减少，而不是杜绝这种行为。当然，针对政务内部网络任何的扫 描、探测和连接管理主机是允许的，但是对从主机出去的扫描、 探测、连接。网络安全系统却必须有条件地放行，如果发现出去 的数据包有异常，那系统管理员必须加以制止。数据控制示意 图如图２所示： 图２数据控制示意图 本文研究的政务系统的数据控制使用两层来进行数据控 制：防火墙和信息检测系统（ＩＤＳ）。 防火墙为了防止政务系统的管理主机被作为跳板攻击其 它正常系统，我们必须对管理主机的外连接数进行控制，如只 允许在一定的时间内发送一定数量的数据包。防火墙的主要功 能是：设定单向地址拦截或双向地址拦截，在单向地址拦截时， 一方到另～方的资料访问被禁止，但反向的数据访问依然能正 常进行，不会受到影响；采用先进的状态监测数据包过滤技术， 不仅仅是依靠单个的ＩＰ包来过滤，而是对每一个对话和连接 进行分析和监控，在系统中自动维护其当前状态，根据连接的 状态来对ＩＰ包进行高效快速安全过滤；对管理主机的外出连 接进行控制。当外出连接达到一定数量时，阻断以后的连接，防 第９卷第６期 ２０１０年６月 软件导刊 Ｓｏｆｔｗａｒｅ Ｇｕｉｄｅ Ｖ０ｌＪ９ Ｎｏ．６ Ｊｕｎ．２０１０ 网络入侵检测技术综述 丽娟 （长江水利委员会网络与信息中心，湖北武汉４３００１０） 摘 要：随着网络技术飞速发展和网络规模的不断扩大，网络安全已经成为全球性的重要问题之一。概述了网络入 侵检测技术的发展历史及其通用模型，对入侵检测系统的分类和入侵检测的方法进行了分析，讨论了该领域尚存在 的问题。 关键词：网络攻击；入侵检测；网络安全 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ 文章编号：１６７２—７８００（２０１０）０６—０１６０－０３ 系统中的若干关键点收集信息并对其进行分析，从中发现网络 １入侵检测的概念、原理和模型 “入侵”是个广义的概念，不仅包括发起攻击的人取得超出 或系统中是否有违反安全策略的行为和遭到袭击迹象的一种 安全技术。 从系统构成上看．人侵检测系统至少包括数据提取、人侵 合法范围的系统控制权，也包括收集漏洞信息，造成拒绝服务 访问（ＤｏＳ）等对计算机造成危害的行为。早在上世纪８Ｏ年代 分析、响应处理３部分。数据提取是入侵检测系统的数据采集 初期，Ａｎｄｅｒｓｏｎ将入侵定义为：未经授权蓄意尝试访问信息、篡 改信息、使系统不可靠或不能使用。美国国际计算机安全协会 对入侵检测的定义是：人侵检测是通过从计算机网络或计算机 器。负责提取反映受保护系统运行状态的运行数据，并完成数 据的过滤和预处理。人侵分析是核心模块，负责对原始数据进 行同步、整理、组织、分类、特征提取以及各种细致分析。 最早的入侵检测模型是由Ｄｅｎｎｉｎｇ给出的，该模型主要根 ３。４其他信息安全技术的使用 止管理主机被攻击者攻破后用来作为发起攻击的“跳板”；对所 有出入系统的连接进行日志记录。 ３．３系统ＶＰＮ的合理设计 此外．电子政务系统的安全性可以采用如下的措施加以保 证：控制对网络设备的ＳＮＭＰ和ｔｅｌｎｅｔ．在所有的骨干路由器上 建立ａｃｃｅｓｓ—ｌｉｓｔ只对网管中心的地址段做ｐｅｒｍｉｔ，即通过网管 中心的主机才能远程维护各骨干路由设备；路由协议在不安全 使用ＶＰＮ，可以在电子政务系统所连接不同的政府部门 之间建虚拟隧道．使得两个政务网之间的相互访问就像在一个 专用网络中一样。使用ＶＰＮ，可以使政务网用户在外网就象在 内网一样地访问政务专用网的资源。使用ＶＰＮ，也可以实现政 务网内特殊管理的需要。ＶＰＮ的建立有３种方式：一种是 的端口上进行Ｐａｓｓｉｖｅ防止不必要的路由泄露；将所有重要事 件进行纪录通过日志输出；采用防火墙设备对政务局域网进行 保护。 参考文献 Ｉｎｔｅｍｅｔ服务商（ＩＳＰ）建设，对企业透明；第二种是政府部门自 身建设，对ＩＳＰ透明；第三种是ＩＳＰ和政府部门共同建设。 在政务网的基础上建立ＶＰＮ，第二种方案比较合适，即政 府部门自身建设，对ＩＳＰ透明。因为政务网是地理范围在政务 网内的计算机网络，它有运行于Ｉｎｔｅｍｅｔ的公网ＩＰ地址，有自 己的路由设备，有自己的网络管理和维护机构，对政务网络有 很强的自主管理权和技术支持。所以，在政务网基础上建立 ＶＰＮ。完全可以不依赖于ＩＳＰ，政府部门自身进行建设。这样可 以有更大的自主性．也可以节省经费。 ［１］ 陈昊潭．试论黄委基层电子政务建设中存在的ｆ＊－Ｉ题及对策［Ｊ］．办 公自动化，２００９（１０）． ［２］张艳．电子政务系统中的数据安全技术研究［Ｊ］．现代计算机（专 业版），２００９（８）． ［３］ 江琴．浅谈电子政务信息的安全管理［Ｊ］．科技资讯，２００９（２５）． （责任编辑：卓光） 作者简介：姚丽娟（１９８３一），女，湖北武汉人，长江水利委员会网络与信息中心助理工程师，研究方向为网络通讯。
