計算機管理信息系統(tǒng)安全分析及應對機制

1、計算機管理信息系統(tǒng)安全分析及應對機制1 引言計算機管理信息系統(tǒng)由于網(wǎng)絡的開放性、系統(tǒng)存儲數(shù)據(jù)的敏感性以及用戶對系統(tǒng)開發(fā)和使用安全性不夠重視等原因，使得系統(tǒng)的安全性問題日益突出，有的甚至危害到國家政治、經(jīng)濟的安全，為此有必要加強系統(tǒng)安全的研究與設計，盡可能防范各種潛在的威脅。2 計算機管理信息系統(tǒng)存在的安全問題2.1 用戶身份認證用戶身份認證是整個系統(tǒng)安全的第一道關口，如何有效地控制非法用戶登錄和使用是非常重要的安全問題。如果控制不當，可能會造成嚴重的信息泄密問題。2.2 合法用戶權限分配計算機管理信息系統(tǒng)應該為合法用戶根據(jù)不同的身份、職務、崗位設置不同的安全級別角色，使其具有不同的權限。通過權

2、限設置控制其對系統(tǒng)的操作。如果權限設置不當，極可能出現(xiàn)合法用戶超越自身權限訪問、修改敏感數(shù)據(jù)的現(xiàn)象，對數(shù)據(jù)和系統(tǒng)安全構成威脅。2.3 黑客攻擊計算機管理信息系統(tǒng)中存放大量敏感文件和數(shù)據(jù)，非常容易成為別有用心的人的攻擊目標，尤其是政府機構性質的辦公網(wǎng)絡，甚至會成為國際黑客的攻擊目標。黑客可能利用網(wǎng)絡掃描、網(wǎng)絡嗅探、特洛伊木馬、SQL注入等方式進行攻擊。為此必須要加強身份認證和加密技術的研究與應用，增大黑客攻擊和竊取數(shù)據(jù)的難度，增大其破解成本，讓其知難而退，達到防范目的。2.4 內部人員使用不當或故意破壞由于培訓不徹底或工作人員對安全問題重視程度不夠，往往會造成工作人員在使用過程中操作不當，不僅無

3、法充分發(fā)揮系統(tǒng)效用，也會對系統(tǒng)造成損害，甚至敏感數(shù)據(jù)泄露，從而對系統(tǒng)安全構成威脅。3 典型安全問題解決策略及實現(xiàn)3.1 智能身份卡認證用戶名+密碼;的方式是進行身份認證最常用的方法，但易受到字典猜測攻擊、網(wǎng)絡竊聽、重放攻擊、盜用用戶數(shù)據(jù)等攻擊。所以應用智能身份卡認證的方式，增強用戶認證方面的安全性。用戶登錄系統(tǒng)時，首先需要通過智能卡認證。驗證過程如圖1所示。具體步驟：（1）用戶提出訪問請求；（2）首先要求輸入PIN并核對，如果核對不成功，則認為是非法用戶；如何核對成功，則改變智能卡的安全狀態(tài)，可以使用卡內的私有秘鑰；（3）從智能卡中讀出用戶的數(shù)字證書，使用公開秘鑰驗證數(shù)字證書的合法性；（4）系

4、統(tǒng)產(chǎn)生一個隨機數(shù)r1，在智能卡內部使用用戶私有秘鑰Key1對隨機數(shù)進行加密（得到d1）并反饋給系統(tǒng)；（5）系統(tǒng)使用公開秘鑰Key2和之前產(chǎn)生的隨機數(shù)r1對反饋結果進行驗證。如果相同則為合法用戶。3.2 MD5加密認證由于用戶密碼強度有限，如果在網(wǎng)絡中直接傳輸明碼，存在著明顯的安全漏洞。由于MD5加密在計算機加密廣泛使用，故使用MD5算法對密碼進行加密，具體步驟：（1）將用戶輸入密碼pw用MD5方法加密，得到str1=md5（pw）；（2）得到從服務器傳給客戶端的一個隨機數(shù)rand1，將str1和rand1組合成一個字符串（str=md5（str1）+rand1）后，返回服務器；（3）將str反

5、饋給服務器。服務器端將數(shù)據(jù)庫中存儲的已經(jīng)用MD5方法加密過的用戶密碼yhpw，與服務器之前生成的隨機數(shù)rand1，最終得到str0=md5（pw+rand1）；（5）將str與str0進行比較，如果相同，則為合法用戶，此時登錄系統(tǒng)才算驗證完畢。用C#實現(xiàn)的MD5函數(shù)（方法）：首先將要加密的字符串編碼為一個字節(jié)序列；其次使用加密服務提供程序將該字節(jié)序列變?yōu)镸D5的哈希值；最后將outPut字節(jié)數(shù)組轉換成字符串并加以替換后返回結果。具體代碼如下：private string GetMd5Hash（string strInput） /將一組字符編碼為一個字節(jié)序列byte result = Encod

6、ing.Default.GetBytes（strInput）；/使用加密服務提供程序計算輸入數(shù)據(jù)的MD5哈希值MD5 md5 = new MD5CryptoServiceProvider（）；byte outPut = md5.ComputeHash（result）；/將字節(jié)數(shù)組轉換為字符串，替換后并返回結果return BitConverter.ToString（outPut）.Replace（-， ）；3.3 系統(tǒng)權限控制計算機管理信息系統(tǒng)用戶權限管理是系統(tǒng)安全的重要組成部分，也是重要的系統(tǒng)資源的訪問控制方法，其目的是為了更好地保護和利用系統(tǒng)的信息資源，提高信息系統(tǒng)的安全性，控制用戶訪問各

7、種信息資源。將工作人員按照職能和崗位不同劃分成不同的角色，每種角色具有不同的系統(tǒng)權限，根據(jù)權限動態(tài)生成功能菜單，從而限制和控制人員訪問和使用系統(tǒng)資源。這種權限管理的缺點是只能控制用戶在系統(tǒng)中對應的操作功能，不能控制用戶對一個具體公文的訪問，因此控制粒度較粗，無法實現(xiàn)細粒度的訪問控制。4 結束語要在管理信息系統(tǒng)的設計、開發(fā)、應用等環(huán)節(jié)中貫徹始終，按照系統(tǒng)的實際需求，選擇合適的安全防護策略和相關技術，在性能、安全、成本等各方面尋求平衡點。參考文獻【1】 紀兆輝，胡孔法.基于ADO.NET和XML實現(xiàn)數(shù)據(jù)交換.微計算機信息，2009（ 6）：265-266.【2】 廣東數(shù)據(jù)通信網(wǎng)絡有限公司.廣東公誠監(jiān)理公司計算機管理信息系統(tǒng)一項目需求調研.2