漏洞频现企业员工安全意识堪忧
众多的信息安全事故，早已经把信息安全防护的焦点指向了企业内部的员工，实际上，信息安全保障的第一道防线就是企业人员的信息安全意识。但现实情况是，为企业带来无法挽回的经济损失的，恰恰是由于企业员工信息安全意识薄弱导致的信息安全事件。
从这次由北京谷安天下科技有限公司的《2010企业员工信息安全意识调查报告》中我们可以看到，很多看起来并不起眼的问题，却隐藏着巨大的安全隐患。
例如，很多员工工作胸卡保管、物品保管存在疏忽，对于出差时物理环境安全、工作区域的陌生访客等较为忽视，个人信息经常会在不经意间在网上，个人密码也没有定期更换，此外，像对数据备份、敏感数据、工作资料的保护，对不明邮件、熟悉发件人发的链接和动画的处理方式，电脑设置屏保和密码以及系统升级等都存在着或大或小的漏洞。
由于受访者普遍信息安全意识的薄弱，平时的办公与生活中较多错误的信息安全操作，导致超过半数（58.8%）的受访者遇到过1~2次或者经常遇到恶意插件和病毒的攻击，并有所损失。
调查结果还显示，在受访者信息安全意识普遍薄弱的情况下，而提高信息安全意识的培训和宣贯等工作却做的很少。接受定期的信息安全培训受访者仅占15.8%。
同时，受访者在信息安全隐患的认知和有效保护信息安全面临的最大障碍的认知方面，42.8%的受访者认为所有的安全隐患中，个人信息安全意识不足是最大的安全隐患，然后依次是没有安全制度或制度未落实、投入或人员不足或缺乏信息安全培训、安全产品功能不足和其他。而对于目前有效保护信息安全面临的最大的障碍，受访者认为最大的障碍是普遍缺乏信息安全意识，其他依次是管理水平落后、技术不过关、法律不健全、信息安全人才不够和其他障碍。
应对风险先建“人力防火墙”
作为一家一直致力于国内IT风险管理咨询的企业，北京谷安天下科技有限公司（以下简称：谷安天下）这次的调查活动以问卷调查和网络在线调查为基本形式，问卷题目范围涉及当前中国企业员工信息安全意识认知及相关应用情况。谷安天下希望统计结果能够为中国各企业提供详实可靠的参考数据，并通过对调查结果的推广，增强企业员工对信息安全意识的重视，提高企业员工信息安全意识水平。
一、信息化条件下计算机网络安全工作存在的问题
一是思想认识不够。部分干部职工对网络安全重视不够，安全意识不强，还存在模糊认识。有的认为，只有写着密级字样的文件才是秘密文件，自己办公上网所涉及到的办公内容和一些数字谈不上秘密，不属于保密信息；少数用户感到，和平时候，赤峰地区贫穷，信息化条件落后，失密、窃密与已无关，也不可能在自己身上发生，不必大惊小怪；一些职工认为，信息化社会，敌特分子窃密技术新、手段高，还存在无密可保，有密难保的畏难情绪；还有个别人员认为，信息交流是个人行为，网上聊天是言论自由，不存在失泄密问题，侥幸心理十分严重。二是防范措施不严。目前，大多数计算机网络系统大多采用软硬件“防火墙”、杀毒软件等一般性物理隔离技术，缺乏非授权用户进入、采用口令破解程序等高技术破坏、窃取手段的特殊防范措施。有的科、室和所干扰器配备不齐，有的损坏后未能及时更换；有的虽然配备了干扰器，但经常处于不开机状态，没有发挥应有的作用。少数用户违反规定在同一台计算机上进行办公和上网；还有的违反规定，使用带内容的移动载体从因特网下载资料，存在失泄密倾向；一些科室对台式计算机、笔记本电脑、移动存储等办公设备上网管理不严格、不科学；还有个别科室对计算机网络安全管理疏于管理、放任自流，检查、督导流于形式，存在比较严重的信息安全隐患。三是防腐能力不强。网络被西方敌对势力称作“虚拟空间的政治生力军”，它们不断冲击我国人员的理想信念，这也是西方敌对势力对我国进行政治瓦解的新手段和新策略，同时负面网络信息也冲击和影响着全办干部职工的思想行为。调查中我们发现，极少数职工在网上聊天随意谈论单位信息、发表言论、友等现象，甚至还有个别人员经不起诱惑，迷失自我，有的甚至会走上歧路，容易发生网络犯罪。
二、做好信息化条件下计算机网络安全工作的对策
（1）加大网络安全教育力度，进一步强化网络安全意识。抓好信息化条件下网络安全，首要的是加强教育，强化安全保密意识，筑牢全办干部职工的思想防线，确保网络使用安全。一是要提高思想认识，克服模糊观念。各级要进一步端正指导思想，进一步提高安全保密意识。要定期组织全办干部职工学习保密规定、网络安全、反敌渗透窃密等有关保密知识，教育引导大家进一步认清信息化条件下网络安全工作的重要性，走出“有密难保、无密可保”的认识误区，真正从思想上重视起来，树立正确的安全保密观念。二是要搞好疏堵结合，增强抵御能力。网络已经成为社会生活的重要内容，成为全办干部职工了解和认识社会的重要途径。三是要抓好教育培训，提高网络技能。办党组在搞好网络安全教育的同时，要对全办干部职工进行网络安全保密技术培训；采取外请专家、内请行家等方式对使用互联网、局域网、政府网和军网的人员进行网络安全保密知识教育，要把手机泄密、网络泄密等新知识作为学习的重点，提高网络安全技能。不断增强全办干部职工做好网络安全保密工作的责任感和使命感。
（2）加大网络安全管理力度，严防失泄密事件发生。严格管理、科学管理是确保信息化条件下网络安全的重要手段，也是防止网络失泄密的主要途径。要结合办实际，针对当前网络安全管理存在的问题，不断加大管控力度，提高网络管理水平，防止失泄密事件的发生。一是要加强台式计算机的管理。每台计算机管理要责任到人，要签定网络安全保密责任书，落实“谁主管、谁负责，谁使用、谁负责，谁签字、谁负责”的责任制，形成一级抓一级、一级对一级负责的网络安全责任意识。二是要加强对移动媒体管理。进一步加大对办公使用的笔记本电脑、移动硬盘、U盘、光盘和磁盘等移动媒体的使用和管理，要按照类别、级别、等级进行编号、登记、使用等，严禁带秘密载体进入公共场所、公私混用、私自上网等，严防因移动媒体管理使用不当而引发失泄密事件。三是要加强检查督导。要不定期、经常对网络安全进行了突击检查，对查找出来的问题，要当面教育，现场整改；对不遵守网络安全使用管理规定的人员，要采取办学习班、考试等到形式进行培训和补课，不断搞高网络安全意识和技能；要加强对办公时间使用网络的管理，倡导安全上网，上健康网、上文明网，进一步提高广大干部职工遵守网络安全安全的纪律性和自觉性。
（3）加大网络安全制度建设力度，增强网络安全的实效。没有规矩不能成方圆，加强网络安全管理也是同样的道理。严格安全管理规章制度是实现网络安全的重要保证。一是要树立链网计算机审批制度。二是要建立上网信息审批制度。严格明确信息收集整理和信息的审批权限。三是要建立信息技术安全制度。在网络建设上，要采取互联网、军网物理隔离等先进技术手段，建立两套独立的网络系统，从硬件的物理链接上保障信息传输安全；对网络终端机要通过网络安全隔离卡实现单机终端分时、分域对互联网、军网、政府网和局域网的访问控制；在互联网、军网、局域网防火墙上，要设立非法侵入报警系统，设置网络访问权限等，防止非法侵入。四是要建立信息网络“引导员”制度。全办干部职工要把互联网、局域网、政府网和军网作为学习工具，在通过上网不断提高快速获取信息、科学鉴别信息、综合运用信息、驾驭管控信息，以及引导和监督全办干部职工遵循网络道德的能力的同时，要在各科、室和所上网人员中选拔专门的有计算机基础的人员担任“网络引导员”，搞好专题网络信息培训、思想考查和技术认证等，发挥其网上监督管理和维护保障作用，确保信息化条件下网络安全。
参考文献：
[1]黄华磊，施建市.信息化人才队伍建设应培养三种人才[J].中国人民防空，2008
【关键词】电力系统；信息网络安全；安全隐患
中图分类号：F406文献标识码：A文章编号：
引言
我国虽然已经建立了相对完善的电力系统信息网络，也具备了一定程度的电力系统信息网络安全体系。电力系统信息网络安全体系不仅可以将电力系统信息网络与电力运行实时控制网络隔离开来，而且本身所具有的网络防病毒软件和网络防火墙可以保障电力系统的运行安全。但是由于自然因素以及电力企业对信息网络安全的认识不足，导致多个地区的电力系统出现故障，造成了大面积的断电，严重影响到人们的正常生活和工作，也会对电网系统的安全运行造成危害。因此，电力企业要提高对电力系统信息网络安全的重要性的认识，并了解其所存在的安全隐患以及危害方式。电力企业要采取全面的防护措施来实现对电力系统信息网络的安全构造策略。
1.电力系统信息网络安全隐患及其危害方式
电力系统信息网络存在的安全隐患主要是：病毒、网络黑客、网络内部用户的恶意和非恶意的不正当操作。而这些安全隐患的形成原因是由于电力企业对信息网络的安全意识不强，缺乏完善的信息安全管理制度和防攻击的安全措施，电力企业也没有对用户进行严格的用户认证，缺乏足够的资金投入来提高信息网络安全体系。更为重要的是电力企业没有对数据进行备份。正是因为这些原因，导致电力系统信息网络存在着病毒、网络黑客、网络内部用户的恶意和非恶意的不正当操作等安全隐患。病毒主要是由于用户使用了一些带有病毒的移动存储设备，从而导致传播了病毒到网络中。而有些用户则是利用自己的合法认证身份对信息网络中的数据进行破坏，进行不正当的操作。但是相对而言，黑客的入侵行为对信息网络安全造成的危害更加显著，所产生的损失也是巨大的，因此，黑客是电力系统信息网络安全体系最主要的防范对象。病毒对信息网络的危害，轻者会使网络速度下降，重者会导致网络崩溃，使网络信息流失。用户的不正当操作则会使电力企业的信息数据流失，需要进行断网杀毒，严重影响电力企业工作进程[1]。而黑客的危害方式有3种，①直接穿越局域网和电力应用系统对电力系统中的所有的基层实施系统进行控制，最普遍的是数字控制系统（DCS）。②黑客也可以通过网络之间的联系，通过其中某个实时系统来对另外的实施系统进行控制和破坏。③是从电力信息网络的外部进行攻击，具体来说就是通过Internet对电力系统信息网络进行破坏。
2.电力信息网络的安全构造策略
要想加强电力系统信息网络的安全性，就必须从两个方面进行安全构造，一是电力企业提高自身对网络安全的认识和防护措施，二是提高信息网络安全技术。
2.1电力企业对电力系统信息网络安全的认识和防护措施
首先，电力企业要加强对电力系统信息网络安全的认识，建立完善的信息网络安全防护体系，采取分层、分区管理，其中又可以将区域管理分成生产管理区、实时控制区、非控制生产区和管理信息区，并将区域之间的网络物理隔离设备进行隔离。其次，加强对信息人员的管理，对其进行网络安全教育，保持网络信息管理人员和安全管理人员的稳定性。最后，加强对信息网络体系的密码、技术、数据管理，提高信息网络的安全系数。
2.2提高信息网络安全技术
2.2.1采取漏洞缺陷检查技术，对电力系统信息网络安全体系中的重要网络设备进行检查，并对其进行风险评估，让所有的设备在最佳的状况下运行。
2.2.2采取针对性的安全技术
①防火墙技术：防火墙作为网络与网络安全域之间的唯一出入口，可以按照电力企业所制定的政策，对网络中出入的信息进行严格的检查、控制，对于危险信息进行防御、攻击。防火墙近年来已经被广泛应用局域网与Internet中。电力企业可以根据事先制定的安全策略和自身的安全需求，在防火墙配置中设置相应的访问规则，让其自动地对网络信息数据进行检查，对于非授权的链接给予强力的防护[2]。
②网络地址转换技术：使用网络地址转换技术可以限制访问的IP地址，让用户通过有限的IP地址对网络进行访问。电力企业也可以通过地址转换，将网络中合法的IP地址进行隐藏，提高网络的安全系数。
③防病毒系统：电力企业可以采用最新的防病毒产品对网络PC机、Internet网关和服务器进行保护。防病毒系统都带有管理功能，可以对文件进行更新、控制企业的反病毒安全机制，并对网络系统性能进行优化，对病毒进行预防和处理，提高网络的安全性。
2.2.3采取科学的软件配置
①数据加密技术：“加密”是指一种可以对网络传输数据的访问权进行限制的技术，还可以对原始数据进行加密使之成为密文的技术。“加密”功能是防止恶意客户对机密数据文件进行查看、破坏，防止数据泄露。
②指纹认证技术：加强对用户身份的认证，是提高信息网络安全性的重要措施。电力企业可以在安装硬件防火墙的基础上，采取更先进的身份认定技术如指纹认证技术。将合法用户的指纹输入到网络中的指纹数据库中，对访问用户进行身份认证，提高电力系统信息网络的安全性[3]。
③虚拟网技术：虚拟网（VPN）就是指建立在网络上的专用网络技术电力企业可以通过防火墙和VPN系统建立安全隧道，实现用户与信息服务之间的点对点的安全交流，而且该安全隧道是需要经过高度加密和认证的，可以保证数据的安全性。
3结语
电力系统信息网络安全关系到整个电力系统的顺利运行，因此，电力企业要加强对信息网络的安全管理，并采取先进的网络技术提高电力系统信息网络安全防护能力，形成电力系统信息网络安全的构造策略，以此来保障电力系统信息网络安全应用。
【参考文献】
[1]杨建东,马永.浅析电力系统信息网络安全[J].电脑知识与技术,2011,5
(5):1074-1076.
[2]陈悦.浅谈电力系统信息网络安全防护及措施[J].广东科技,2012,5(9):32.
[3]游威荣.电力系统信息网络安全的重要性及其管理[J].科技信息,2010,14
关键词：计算机；信息安全；安全技术完善
中图分类号：TP309文献标识码：A文章编号：1009-3044(2015)34-0033-02
时代在发展，科技在进步，计算机的出现使人们的生活发生了前所未有的巨大变化，人们通过计算机网络，每天都能获得大量资讯，人们对外面世界的了解更为深刻、与外界的联系更为密切，信息技术已经悄无声息地、快速地深入到了我们生活的方方面面。但是，随之而来的是诸如信息泄露、黑客入侵一系列的信息安全问题，如何提升信息系统的安全性，这是人们普遍关心的一个问题，也是业内人士一直在探讨、研究的问题。
1什么是计算机信息安全
所谓的计算机信息安全，指的是借助多种安全监测方式方法以及安全防护措施对计算机中的相关信息进行有效监控和保护，以防止信息泄露。随着网络的普及以及国民综合素质的提升，人们对于计算机信息安全越来越重视，人们的隐私保护意识也越来越强，因此计算机信息安全问题也被当成重点来抓，计算机信息安全普及程度也是至关重要。一般说来，数据库安全技术、软件保护技术、密码应用技术等都属于计算机信息安全技术范畴，那么计算机信息安全又有着哪些基本的属性呢？概括下来总共有五点：1)保密性。是指信息安全中至关重要的一项内容，这就规定了信息的获取者只能是拥有相关授权的特定人员，那些未被授权的人是无法获得信息的。2)完整性。是指为确保计算机信息的原始性和准确性，那些未被授权的人员是没有权利修改相关的信息内容的。3)可用性。是指得到了授权的用户，可以自由访问相关信息。4)可控性。是指那些已经获得了使用授权的用户，可以按照自己的意愿来设置计算机信息的密级。5)不可否认性。是指计算机信息的实际行为人，对于其所进行的计算机信息行为，不能予以否认。
2信息安全问题
2.1无意人为因素目前出现的很多信息安全问题是由于人工操作过程中一些无意行为导致的。例如有些人在登陆时，没有信息安全意识，导致自己的登陆密码等被窃取；还有一些网络信息相关工作人员，由于网络安全防范意识不够，导致出现网络安全配置不到位问题。2.2恶意人为因素这主要是指那些有目的性、指向性的恶意的网络攻击行为，其中黑客攻击是最大的隐患所在，恶意的人为行为是网络信息安全最大的隐患所在。2.3应用软件出现漏洞目前，多数的应用软件都存在软件漏洞，黑客也正是掌握了这一特点才将软件漏洞作为自己的下手目标，所以说软件漏洞是信息安全问题出现的一个原因。
3完善计算机信息安全的几点建议
鉴于现在信息安全问题层出不穷，我们可以通过加强网络信息安全管理、制定并完善相关的制度准则、加密数据库等方式提升计算机信息的安全等级，从而有效防止网络安全事故的发生。1)提高用户的信息安全防护意识信息安全防护意识增强了才能有效提高信息安全保护工作的效率，才能促进网络安全体系的迅速建立。对于网络信息安全，用户也应该自觉承担起保护信息安全的义务，自觉树立信息安全意识，养成良好的行为习惯，将可能的信息安全问题杜绝在源头上，为信息安全防护工作尽自己的一份力量。2)强化身份认证技术所谓的身份认证是指通过对使用计算机用户的身份进行识别，确认该用户是否获得数据访问权限、能否继续进行数据访问的过程。对于计算机信息系统来说，身份认证体系是确保计算机信息安全的一道重要防线，因为认证过程能够将一些没有数据访问权限的用户直接过滤掉，进而保证信息不被无权限的人窃取，使信息不被窃用、破坏甚至消除。为确保信息安全，一些公司在电脑中安装了相关软件，以此来对计算机使用者的身份进行确认，身份认证方法的使用很重要的一点就是要限制信息使用人是使用者本人，也就是只有使用者自己才能使用相关数据，这也就是为什么说身份认证是信息安全防护最为重要的。身份认证方式很多，例如利用生理特征、利用外界条件等，而最常见的就是动态密码登录和静态密码登录，指纹登录识别也较为常见。3)提升防火墙安全性能防火墙安全保护是每台计算机所必备的，因为如果没有防火墙的保护，那么计算机网络将无法开展正常的工作。作为计算机安全操作中最为重要的一项技术，其本质是什么呢？防火墙技术实质是一种计算机内置的防护程序，在用户请求访问计算机数据时起到信息识别作用，是一种有效的计算机信息控制方法。防火墙的开启能够有效保护信息不被窃取、篡改或是破坏，是对个人隐私的有力保障。4)应用网关技术的运用应用网关是将一个网络与另一个网络进行相互连通，提供特定应用的网际间设备，应用网关必须能实现相应的应用协议。应用网关可以看成是运行于要求特定业务的客户机与提供所需业务的服务器之间的中间过程。应用网关能够对网络信息展开严密监控、保障信息安全。5)数据包过滤技术的应用数据包过滤是一个用软件或硬件设备对向网络上传或从网络下载的数据流进行有选择的控制过程。数据包过滤器通常是在将数据包从一个网站向另一个网络传送的过程中允许或阻止它们的通过(更为常见的是在从英特网向内部网络传输数据时，或从内部网络向英特网传输)。通过设置规则，可将想要的数据包设置为允许通过，将可能对计算机产生危害的信息设置为阻止通过，这样就能有效保护计算机信息的安全。6)服务技术的使用作为一种应用于防火墙的代码，服务功能较多，可根据不同的运行需要做出相应的调整，以此来确保计算机不被木马或是病毒攻击。7)提升物理保护对计算机信息系统开展物理保护的目的就在于对信息网络数据链路层的保护，以使网络安全不受自然或人为因素的威胁。开展物理保护能够有效检验用户身份、界定其使用权限、有效保护网络安全、加强对数据的管理，进而有效提升网络信息的安全效能。8)加强密保措施对于提升网络信息的安全性，加强密保措施是必不可少的，而且是非常有效的。加密技术的运用不但能够提升网络数据信息的安全性，还能提升信息准确性，在计算机安全防护中的运用十分广泛，较为常见的加密保护措施有非对称加密法和对称加密法两种。加密保护措施最大的优点就在于，安全防护效果好、所付代价小。9)反病毒技术的应用计算机病毒，这是一种最为常见的计算机信息安全威胁来源，其本身所具有的破坏力是极强的；计算机病毒的传播媒介除了网络还有硬盘等，被病毒感染了的计算机一般会出现运行迟缓、文件被破坏、操作系统被破坏等一系列后果，直接影响用户的使用。那么针对计算机病毒，我们还是要以预防为主，具体实施方法就是给计算机安装杀毒软件并不断更新病毒库、完善补丁提升杀毒效果；对于一些未知邮件要及时予以删除，防止病毒入侵；平时下载软件的时候要去正规网站下载，防止在软件下载过程中病毒捆绑；对移动硬盘等存储设备要在使用前进行彻底杀毒，防止病毒入侵计算机。10)安全扫描和安全审计技术的运用由于安全漏洞的存在的普遍性，以及其作为黑客攻击对象的目标性，加强计算机以及网络设备安全防护措施势在必行。如何才能检测出网络安全漏洞呢？这就需要借助安全扫描技术，通过对计算机系统以及设备的检测，排查出可能存在的安全隐患，相关工作人员就能依据扫描结果对系统漏洞做出及时处理，防止黑客乘虚而入。作为保护信息安全的又一种方法，安全设计技术主要是通过对数据库、操作系统以及邮件等进行审查，判断信息是否安全、用户是否合法，从而决定是否要阻止相关操作，将保护信息安全和计算机安全。
4结束语
随着信息化的加速，计算机在人们生活中越来越重要，人们对于计算机信息安全的关注、关心程度也越来越高，如何才能最大限度的保护个人信息安全、保障个人利益不受威胁，这是长期以来一直被探讨的一个话题。随着科技的发展，计算机网络不断被完善，但是新的问题也在不断随之产生，对于信息安全领域的探索我们要秉持坚持探究、不断改进的理念，努力完善信息系统，提升计算机安全性能，同时还要加强自身关于计算机安全的防护意识，要努力将计算机信息安全问题杜绝在源头上。
参考文献：
[1]王宏.浅谈计算机信息安全技术与完善建议[J].电脑知识与技术,2015,11(3):66-67.
[2]孔颖丽.论青少年网络犯罪的治理[D].重庆:西南政法大学,2014.
[3]王东晓,秦娜.浅谈高职计算机信息安全技术[J].计算机光盘软件与应用,2014(2):177-178.
[4]孙淑颖.浅谈计算机信息安全技术与应用[J].中国新技术新产品,2014(24):16-16.
关键词:J2EE;安全模型;JAAS;设计方案
中图分类号:TN713.1文献标识码:B
文章编号:1004-373X(2010)13-0107-03
ResearchandDesignofSecurityServerBasedonJ2EE
YINFeng-she,JIAOLei
(Sh
nxiPolytechnicInstitute,Xianyang712000,China)
Abstract:ThearchitectureandsecuritydemandsofanapplicationserverbasedonJ2EEareintroducd.ThesecuritymodelofJ2EEapplicationserverispresented.Themainpartsofthesecuritymodelisdiscussedindetail.AdesignschemeofthescalableJ2EEsecurityserverbasedonJavaauthenticationandauthorizationservice(JAAS)isproposed.ThemajorsecurityissuesofJ2EEapplicationserverweresolvedtomeetthesecurityrequirementsofJ2EE.
Keywords:J2EE;securitymodel;JAAS;designplan
J2EE应用服务器安全模型的核心是安全服务,安全服务为容器和组件提供安全认证、授权和审计服务,本文讨论了安全服务的架构,并给出了安全服务的主要部分:认证服务、授权服务、安全会话管理器和审计服务的设计。
1安全服务架构
安全服务由以下几个主要部件构成:认证服务、访问控制服务、用户信息目录、安全策略库、审计服务、会话管理器、安全服务管理接口、安全服务管理控制台和安全服务客户。J2EE安全服务通过认证器、访问控制器和审计器3个接口向外界提供安全服务,而安全服务的安全元信息保存在用户信息目录和安全策略库中[1]。
为了让安全服务成为一个通用的客户无关的服务,安全服务独立于J2EE环境运行,这样可以为不同类型的应用服务器和应用程序提供访问控制机制。
2认证器和用户信息目录
认证器[2]的目的是将外界提供认证信息的用户映射为系统平台内部的用户,通过认证信息标识用户的身份。为了保证认证机制的可扩展性和灵活性,认证器在设计时有以下原则:
(1)认证器需要具备对不同类型认证机制的潜在支持,如密码认证、证书认证。
(2)认证器对同一种认证机制必须能够支持多种不同类型的用户信息目录。
(3)必须提供对一个用户多种认证方式的支持。
(4)必须支持现存遗留的用户信息目录和认证机制。
由于JAAS[3]实现了标准PlugableAuthenticationModule(PAM)框架的可插拨认证机制,采用JAAS作为认证服务的实现机制,将JAAS的不同认证域映射为认证服务的不同认证机制,而将JAAS认证域中的LoginModule映射为不同的用户信息目录认证支持。
认证器对不同认证机制的支持可以采用对象模型方式建模[4],对象模型如图1所示。
认证器Authenticator的接口定义如下:
publicinterfaceAuthenticator{publicSessionTokenauthenticate(Principalprincipal,Credentialcredential)throwsAuthenticationException;}
认证器的Authenticate()方法完成用户认证功能,不同的认证机制传入不同类型的Principal和Credential值,认证器根据传入Principal和Credential的类型,自动选择适合的认证方式,映射到JAAS认证域,并使用JAAS进行认证。同时通过将LoginModule的标志设置为sufficient,保证必须至少有一个用户信息目录认证通过才能通过系统认证。系统应该提供一个基础的LoginModule基类,用于收集所有必须的用户信息,从而提供构造适合的令牌需要的用户信息。
图1支持多种认证机制的对象模型
用户信息目录中的用户信息包含用户认证需要的特定认证的信息以及其他的信息,这些信息和一个特定的系统用户关联,系统用户通过一个全局惟一的用户标识符ID来标识。用户认证完成之后,访问系统的用户被映射为系统中惟一标识的用户,该用户标识和用户认证信息在建立安全会话过程中与安全会话建立关联。
3安全会话和安全会话管理器
当用户认证之后,用户认证状态的安全持久保持和验证通过安全会话进行,认证器认证用户后会使用会话管理器建立一个安全会话,将所有用户的安全信息和会话绑定。会话管理器[5]负责统一管理所有用户认证之后的安全会话,会话管理功能可分为两类:操作型和管理型。会话管理对象模型如图2所示。
图2安全会话管理对象模型
用户认证完之后,安全会话管理器给用户建立一个安全会话,安全会话通过返回给用户的会话令牌标识,会话令牌包括的信息有:认证方式、认证方式相关信息、用户标识符、认证Principal和Credential等,安全会话上下文由用户获得的安全令牌表示。
在用户退出系统时,会话管理器撤销用户会话,并删除所有用户登录后生成的信息。在用户访问控制过程中,用户相关的安全信息可以通过用户会话的会话令牌获得。
4访问控制器和访问控制策略
访问控制器的目的是提供对多种不同类型资源各种级别的访问控制,它使用认证之后用户的标识和安全策略库中的安全访问控制策略元信息来判断登录系统的用户有无对特定资源的特定的访问权限,它所采用的是声明式访问控制机制。
为了提供访问控制服务的可扩展性和灵活性,访问控制器的设计必须遵循以下原则[6]:
(1)能够扩展支持多种不同类型的访问控制策略,如基于角色的访问控制、基于规则的访问控制;
(2)必须能够提供对不同类型策略库的支持,如基于XML文件的策略库和基于LDAP的策略库;
(3)必须能够提供对各种不同类型的资源进行访问控制,提供对各种定制权限和定制资源的管理;
(4)访问控制机制必须独立于认证器所采用的认证机制,即与用户的认证方式无关。
访问控制机制的核心是访问控制策略,参考文件系统的访问控制策略[7],将资源使用目录结构按名字空间以层次型结构组织,并对层次结构中的所有的节点配置各种类型的安全访问控制策略,这样,安全访问控制策略按照资源的层次组织方式为基础进行组织。可以将资源或者按资源的类型,或者按资源所属的应用程序包划分为多个名字空间。
资源通过系统惟一的统一资源标识符URI标识,URI的名字组织方式采用资源层次结构中的资源层次名字统一组织,这样在安全策略库中每一个资源都有特定的标识符来惟一表示。
与资源相关的还有权限问题,不同的资源其可访问的权限是不一致的。对于Web资源,可访问的权限限于几种标准的HTTP方法,但是对于EJB资源[8],不同的EJB组件可以被外界调用的方法是不一致的。为了使安全访问控制系统支持不同类型的权限,提供权限的扩充,图3给出针对不同类型资源的权限模型。
图3权限的抽象模型
Right抽象了所有的权限,各种不同类型资源的特定权限通过扩展Right插入安全服务系统中。所有与特定资源类型相关的权限信息被封装在特定类型的Right扩展类中。
访问控制器AccessController完成对资源访问的授权检查,它通过使用当前的安全会话、需要访问的资源对象和需要的权限对访问策略检查完成。访问控制器的接口定义如下:
publicinterfaceAccessController{publicvoidcheck(SessionTokentoken,Resourceresource,Rightright)throwsAuthorizationException;}
5安全审计
安全审计[9]的目的是对用户的认证过程、认证之后的安全活动、对资源访问控制的安全授权过程以及管理员对安全策略库的管理过程等所有涉及到安全的活动进行记录。
安全服务支持各种类型的审计策略,通过标准的接口,可以按照访问的用户、被访问的资源或者进行的操作进行审计的控制,审计器使用安全服务上的审计策略来控制和实施审计过程。审计日志记录了所有的审计信息,通过安全管理接口,可以浏览系统所有安全相关的审计记录。通过一个标准的接口,安全服务支持各种类型的审计日志实现。审计机制的对象模型如图4所示。
图4可扩展的审计模型
6安全管理接口和安全管理控制台
安全管理的目的是提供对认证机制、授权机制和审计机制的相关信息进行配置和管理。对认证机制的配置和管理主要涉及JAAS域认证映射、用户信息目录配置、用户信息管理,其目的是提供针对不同应用需求为用户定制认证机制和用户信息目录。
为了提供上面提到的对认证、授权和审计机制的管理目标,安全服务管理应该能够提供如下的功能:
(1)获得某资源相关的所有安全访问控制策略;
(2)添加和删除安全访问控制策略;
(3)获得某资源的所有可能的权限;
(4)对被管理资源添加和删除权限;
(5)添加新的资源类型;
(6)添加、删除用户;
(7)添加、删除审计策略。
由于所有的认证策略、访问控制策略和审计策略都存储在安全策略库中,安全管理的过程实际上就是对安全策略库的管理。安全管理接口通过安全策略库接口对各种遵循标准接口的安全策略库进行统一管理。安全管理对象模型[10]如图5所示。
图5安全管理对象模型
PolicyManager包装了所有的安全管理相关的操作,通过PolicyManager接口可以对策略库进行操作完成上面提到的功能。
把对安全策略库及其他安全信息的管理功能包装成一个API接口,其优点是可以对这些API的访问设置安全策略,如授权策略、审计策略。这样系统的安全控制机制就可以控制和跟踪管理员对系统的安全管理过程。
7结语
安全访问控制是中间层应用服务器提供给运行时组件的重要功能,这里提出的J2EE应用服务器安全机制的架构解决了J2EE应用服务器的主要安全问题,满足了J2EE的安全需求。同时,该安全架构从设计上具有可移植、通用性、可扩展性和灵活性。
参考文献
[1]TaligentInc..Buildingobject-orientedframeworks[M].[S.l.]:TaligentInc.,2005.
[2]PERRONEPaulJ.J2EE构建企业系统专家级解决方案[M].张志伟,谭郁松,张明杰,译.北京:清华大学出版社,2001.
[3]LIGong.Java2平台安全技术――结构、API设计和实现[M].王韵凯,石磊,译.北京:机械工业出版社,2000.
[4]JamieJaworski.Java安全手册[M].邱仲潘,译.北京:电子工业出版社,2007.
[5]LAICharlie,LIGong,KOVEDLarry,etal.UserauthenticationandauthorizationintheJava(TM)platform[C]//CSAC.Processingsofthe15thAnnualComputerSecurityApplicationsConference.AZ:CSAC,2008:51-59.
[6]WOLFGANGPree.Designpatternsforobject-orientedsoftwaredevelopment[M].[S.l.]:Addison-WesleyPublishing,2008.
[7]VOGELAndreas.EnterpriseapplicationforthenetwithEJB,CORBAandXML[M].[S.l.]:InpriseCorporation,2005.
[8]TanenbaumAS.分布式操作系统[M].陆丽娜,伍卫国,刘隆国,等译.北京:电子工业出版社,1999.
关键词：信息安全；网络；科研单位防范
1信息安全的理论概述
信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。
信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。
2科研单位网络信息安全存在的问题分析
2.1科研单位网络信息安全现状分析
在科研信息化基础设施建设方面，受国家“863计划”重大专项等支持建设的中国国家网格，聚合了高性能计算和事务处理能力，共集成11种应用网格，通过资源共享，服务于科学实验研究，中国科学院“十一五”统筹规划建设的超级计算中心，支持基础研究模拟仿真等高性能计算。科研信息化是我国在信息化时代科研活动的必然发展方向，也是增强我国创新力、立足世界科技发展前沿的重要途径。
2.2科研单位网络信息安全存在的问题
2.2.1科研人员安全保密意识薄弱
我们可以看到信息安全事故发生的主要因素是认为因素，另外内部人员作案也占10%，这是一组非常惊人的数据，由于科研人员缺乏基本的信息安全保密知识，在具体工作中，违规操作、有章不循、监管不力等现象频繁发生，更没有意识到信息安全问题不仅仅是职能部门的事，更是每个人必须遵守和维护的重要工作；也不了解信息化过程中对应的安全风险，如内部口令互串。
2.2.2网络信息管理秩序混乱，缺乏统一标准
当前科研单位信息管理缺乏宏观的全面规划，存在盲目地追求设备的先进性，从而导致管理秩序混乱，缺乏统一标准。主要表现在：对移动存储介质，移动计算机设备的使用上缺乏有效的监控手段，普遍存在随意处理各类密级文件、随意使用私人存储介质、随意拷贝文件的现象；数据库标准不统一，致使网络信息数据资源无法流通、汇总，影响了信息资源的利用率等等。
2.2.3缺乏针对性的网络信息安全防范制度
科研单位的网络信息安全责任体系尚不健全，存在不同部门职责划分不清，多头指导、建设和监督未能有效分离，检查监督不到位，出现问题难以落实到人等问题。这些问题造成科研单位内部管理混乱，责任不明确，技术措施不能到位，出现问题互相推诿等现象，严重影响科研单位整体的信息安全防范能力。
2.3科研单位网络信息安全存在问题的原因分析
2.3.1人员素质及安全意识亟待提高
科研工作性质决定了对科研人员有很高的保密要求，但是在日常工作中科研人员对信息安全问题还存在不少认知盲区，对网络信息不安全的事实认识不足，没有形成一个合理的信息安全管理系统来指导组织的信息安全管理工作，更缺乏对员工进行必要的安全法律法规和防范安全风险的教育与培训，现有的安全规章组织未必能严格实施等，科研人员的安全意识淡薄将导致了很大的安全隐患。
2.3.2信息加密技术及措施不能满足实际需要
随着科研单位网络信息化建设正在不断深化，科研单位现有信息安全产品种类逐渐增多，由于安全产品种类多样，其保密要求高，越来越多的数据信息通过网络和计算机完成处理和交换任务，社会上通用的技术手段远远不能满足其安全需求；急需与之相适应的各类专用安全保密技术措施。虽然目前科研单位已经对加密问题采取了一些措施，但加密仍是科研单位信息安全保密工作亟待解决的问题之一。
2.3.3科研单位信息安全责任体系尚不健全
科研单位信息安全管理仍处于初级阶段，由于存在很多不确定因素，导致政府在该方面的立法尚不完善，加之科研单位组织结构的调整和职能转变仍不到位，当前仍存在组织机构设置不合理，部门职能交叉、重叠严重；研究程序比较落后，缺乏严格的信息安全责任体系等问题。相关立法体系及安全责任体系的滞后与空缺在很大程度上制约着科研单位的信息安全管理建设。
3加强科研单位网络信息安全保障的措施
3.1提高科研人员素质，强化信息安全培训
加强科研单位网络信息安全建设，需要实现安全保密意识统一规划、规范指导、有效监管的目标。信息安全是人、管理、技术的有机结合，其中人是根本，管理是关键，技术是保证。通过普及教育、专业培训等方式，对不同类型的人员进行相关的安全教育，提高科研人员的素质，越是对授予较高权限的人员，越要增强其安全意识。
3.2强化信息安全技术，规范信息安全管理
规范信息安全管理的重要途径是强化信息安全技术，主要有：
（1）采取指纹、智能卡、网络身份认证（PKI/CA）等多种强认证方式实现身份认证和授权管理；
（2）采用内部安全监控和审计技术，控制信息出入口，以保证信息的受控使用；
（3）使用国家密码管理局批准装备使用的密码设备；
（4）采用网络与数据库审计系统，记录用户的使用行为；
（5）采用防火墙、入侵检测、防病毒等多种技术手段，以保证基础网络系统的安全；
（6）采取标识和鉴别技术，保证工作用移动介质的授权使用，统一编码，统一管理；
3.3完善科研单位信息安全管理规章制度
针对当前科研单位信息安全管理不完善的情况，政府应当加快相关的法律、法规的立法进程，制定具有前瞻性，能够与现有的相关国际法律、规则相兼容的法律法规，通过建章立制，严明制度，完善科研信息安全管理的信息维护、数据录入、文件归档等方面的一系列制度，做到具体工作责任量化，落实到人，为科研工作建设创造良好的法制氛围。
4结语
信息技术已渗透到科研单位的各个领域，正在发挥着越来越重要的作用。但是，信息技术也是一把“双刃剑”，它在提高科研工作效率的同时，也引入了更多的信息安全隐患。这些问题严重阻碍科研单位的正常工作，甚至还会造成科研工作系统的瘫痪，直接危害科研单位的信息安全。因此，通过提高科研人员素质，强化信息安全培训、强化信息安全技术，规范信息安全管理、完善科研信息管理体系，加大问责力度、完善科研单位信息安全管理规章制度等方法，做到正确规避信息安全问题，为科研单位发展提供有效的解决办法。
参考文献
[1]李建华.信息安全技术发展与信息安全保密管理[J].保密科学技术，2013，（3），6-7
[2]徐玮晟，张保稳，李生红.网络安全评估方法研究进展[J].专家新论，2009（10），50-52