时间：2023-05-29 18:25:03
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇安全审计系统，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
1利用网络及安全管理的漏洞窥探用户口令或电子帐号,冒充合法用户作案,篡改磁性介质记录窃取资产。
2利用网络远距离窃取企业的商业秘密以换取钱财,或利用网络传播计算机病毒以破坏企业的信息系统。
3建立在计算机网络基础上的电子商贸使贸易趋向“无纸化”,越来越多的经济业务的原始记录以电子凭证的方式存在和传递。不法之徒通过改变电子货币帐单、银行结算单及其它帐单,就有可能将公私财产的所有权进行转移。
计算机网络带来会计系统的开放与数据共享,而开放与共享的基础则是安全。企业一方面通过网络开放自己,向全世界推销自己的形象和产品,实现电子贸易、电子信息交换,但也需要守住自己的商业秘密、管理秘密和财务秘密,而其中已实现了电子化且具有货币价值的会计秘密、理财秘密是最重要的。我们有必要为它创造一个安全的环境,抵抗来自系统内外的各种干扰和威协,做到该开放的放开共享,该封闭的要让黑客无奈。
一、网络安全审计及基本要素
安全审计是一个新概念,它指由专业审计人员根据有关的法律法规、财产所有者的委托和管理当局的授权,对计算机网络环境下的有关活动或行为进行系统的、独立的检查验证,并作出相应评价。
没有网络安全,就没有网络世界。任何一个建立网络环境计算机会计系统的机构,都会对系统的安全提出要求,在运行和维护中也都会从自己的角度对安全作出安排。那么系统是否安全了呢?这是一般人心中无数也最不放心的问题。应该肯定,一个系统运行的安全与否,不能单从双方当事人的判断作出结论,而必须由第三方的专业审计人员通过审计作出评价。因为安全审计人员不但具有专门的安全知识,而且具有丰富的安全审计经验,只有他们才能作出客观、公正、公平和中立的评价。
安全审计涉及四个基本要素:控制目标、安全漏洞、控制措施和控制测试。其中,控制目标是指企业根据具体的计算机应用,结合单位实际制定出的安全控制要求。安全漏洞是指系统的安全薄弱环节,容易扰或破坏的地方。控制措施是指企业为实现其安全控制目标所制定的安全控制技术、配置方法及各种规范制度。控制测试是将企业的各种安全控制措施与预定的安全标准进行一致性比较,确定各项控制措施是否存在、是否得到执行、对漏洞的防范是否有效,评价企业安全措施的可依赖程度。显然,安全审计作为一个专门的审计项目,要求审计人员必须具有较强的专业技术知识与技能。
安全审计是审计的一个组成部分。由于计算机网络环境的安全将不仅涉及国家安危,更涉及到企业的经济利益。因此,我们认为必须迅速建立起国家、社会、企业三位一体的安全审计体系。其中,国家安全审计机关应依据国家法律,特别是针对计算机网络本身的各种安全技术要求,对广域网上企业的信息安全实施年审制。另外,应该发展社会中介机构,对计算机网络环境的安全提供审计服务,它与会计师事务所、律师事务所一样,是社会对企业的计算机网络系统的安全作出评价的机构。当企业管理当局权衡网络系统所带来的潜在损失时,他们需要通过中介机构对安全性作出检查和评价。此外财政、财务审计也离不开网络安全专家,他们对网络的安全控制作出评价,帮助注册会计师对相应的信息处理系统所披露信息的真实性、可靠性作出正确判断。
二、网络安全审计的程序
安全审计程序是安全监督活动的具体规程,它规定安全审计工作的具体内容、时间安排、具体的审计方法和手段。与其它审计一样,安全审计主要包括三个阶段:审计准备阶段、实施阶段以及终结阶段。
安全审计准备阶段需要了解审计对象的具体情况、安全目标、企业的制度、结构、一般控制和应用控制情况,并对安全审计工作制订出具体的工作计划。在这一阶段,审计人员应重点确定审计对象的安全要求、审计重点、可能的漏洞及减少漏洞的各种控制措施。
1了解企业网络的基本情况。例如,应该了解企业内部网的类型、局域网之间是否设置了单向存取限制、企业网与Internet的联接方式、是否建立了虚拟专用网(VPN)?
2了解企业的安全控制目标。安全控制目标一般包括三个方面:第一,保证系统的运转正常,数据的可靠完整;第二,保障数据的有效备份与系统的恢复能力;第三,对系统资源使用的授权与限制。当然安全控制目标因企业的经营性质、规模的大小以及管理当局的要求而有所差异。
3了解企业现行的安全控制情况及潜在的漏洞。审计人员应充分取得目前企业对网络环境的安全保密计划,了解所有有关的控制对上述的控制目标的实现情况,系统还有哪些潜在的漏洞。
安全审计实施阶段的主要任务是对企业现有的安全控制措施进行测试,以明确企业是否为安全采取了适当的控制措施,这些措施是否发挥着作用。审计人员在实施环节应充分利用各种技术工具产品,如网络安全测试产品、网络监视产品、安全审计分析器。
安全审计终结阶段应对企业现存的安全控制系统作出评价,并提出改进和完善的方法和其他意见。安全审计终结的评价,按系统的完善程度、漏洞的大小和存在问题的性质可以分为三个等级:危险、不安全和基本安全。危险是指系统存在毁灭性数据丢失隐患(如缺乏合理的数据备份机制与有效的病毒防范措施)和系统的盲目开放性(如有意和无意用户经常能闯入系统,对系统数据进行查阅或删改)。不安全是指系统尚存在一些较常见的问题和漏洞,如系统缺乏监控机制和数据检测手段等。基本安全是指各个企业网络应达到的目标,其大漏洞仅限于不可预见或罕预见性、技术极限性以及穷举性等,其他小问题发生时不影响系统运行,也不会造成大的损失,且具有随时发现问题并纠正的能力。
三、网络安全审计的主要测试
测试是安全审计实施阶段的主要任务,一般应包括对数据通讯、硬件系统、软件系统、数据资源以及安全产品的测试。
下面是对网络环境会计信息系统的主要测试。
1数据通讯的控制测试
数据通讯控制的总目标是数据通道的安全与完整。具体说,能发现和纠正设备的失灵,避免数据丢失或失真,能防止和发现来自Internet及内部的非法存取操作。为了达到上述控制目标,审计人员应执行以下控制测试:(1)抽取一组会计数据进行传输,检查由于线路噪声所导致数据失真的可能性。(2)检查有关的数据通讯记录,证实所有的数据接收是有序及正确的。(3)通过假设系统外一个非授权的进入请求,测试通讯回叫技术的运行情况。(4)检查密钥管理和口令控制程序,确认口令文
件是否加密、密钥存放地点是否安全。(5)发送一测试信息测试加密过程,检查信息通道上在各不同点上信息的内容。(6)检查防火墙是否控制有效。防火墙的作用是在Internet与企业内部网之间建立一道屏障,其有效性主要包括灵活性以及过滤、分离、报警等方面的能力。例如,防火墙应具有拒绝任何不准确的申请者的过滤能力,只有授权用户才能通过防火墙访问会计数据。
2硬件系统的控制测试
硬件控制测试的总目标是评价硬件的各项控制的适当性与有效性。测试的重点包括:实体安全、火灾报警防护系统、使用记录、后备电源、操作规程、灾害恢复计划等。审计人员应确定实物安全控制措施是否适当、在处理日常运作及部件失灵中操作员是否作出了适当的记录与定期分析、硬件的灾难恢复计划是否适当、是否制定了相关的操作规程、各硬件的资料归档是否完整。
3软件系统的控制测试
软件系统包括系统软件和应用软件,其中最主要的是操作系统、数据库系统和会计软件系统。总体控制目标应达到防止来自硬件失灵、计算机黑客、病毒感染、具有特权职员的各种破坏行为,保障系统正常运行。对软件系统的测试主要包括:(1)检查软件产品是否从正当途径购买,审计人员应对购买订单进行抽样审查。(2)检查防治病毒措施,是否安装有防治病毒软件、使用外来软盘之前是否检查病毒。(3)证实只有授权的软件才安装到系统里。
4数据资源的控制测试
数据控制目标包括两方面:一是数据备份,为恢复被丢失、损坏或扰的数据,系统应有足够备份;二是个人应当经授权限制性地存取所需的数据,未经授权的个人不能存取数据库。审计测试应检查是否提供了双硬盘备份、动态备份、业务日志备份等功能,以及在日常工作中是否真正实施了这些功能。根据系统的授权表,检查存取控制的有效性。
5系统安全产品的测试
随着网络系统安全的日益重要,各种用于保障网络安全的软、硬件产品应运而生,如VPN、防火墙、身份认证产品、CA产品等等。企业将在不断发展的安全产品市场上购买各种产品以保障系统的安全,安全审计机构应对这些产品是否有效地使用并发挥其应有的作用进行测试与作出评价。例如,检查安全产品是否经过认证机构或公安部部门的认征,产品的销售商是否具有销售许可证产品的安全保护功能是否发挥作用。
四、应该建立内部安全审计制度
电子业务系统安全审计体系的研究与建设
结合山东局综合管理体系建设要求，首先，对各业务系统从管理者和使用者两个层面明确职责，规定相应的口令管理制度、授权管理制度、系统操作规程（作业指导书）等业务系统运行规章制度及有关记录表格。二是，针对各业务系统制定安全审计规范，利用内部审计及外部审计来评估业务系统安全漏洞，规划审计策略，明确审计目标，确定日常安全审计及集中安全审计任务和手段，并对审计结果进行评估分析，制定纠正措施。三是，结合山东局绩效考核管理办法，将安全审计结果纳入绩效考核，已达到从制度上约束行为的目的。各电子业务系统的开发应按照我们制定的安全审计规范要求建立安全审计模块，每个用户登录系统、进入应用，一直到使用各个应用模块都可以进行访问日志记录，安全审计模块可以调用日志SDK的API，根据应用规则来记录各种日志。日志可以是分为安全日志、系统日志、数据变更日志等等可以由系统安全管理人员随时调阅，以达到安全审计的目的。针对业务系统具体环节分析风险点，根据制定的安全控制规范，应用于各电子业务系统，开发安全审计系统，进行风险布控、监控设定、自动预警与自动核查，对业务系统全过程监控。由于目前业务系统数量众多，数据处理不同，进行安全审计系统开发时需针对各业务系统进行分析归纳，特别是CIQ2000综合业务管理系统作为检验检疫电子业务的主干系统，数据处理过程的质量决定着业务工作的质量，我们首先从CIQ2000业务管理系统入手试点，对CIQ2000综合业务管理系统实施全过程监控，监控账户的合法性、权限的合理性、登录及操作行为的可追溯性、数据修改的安全性等，对用户行为实施有效监督、约束，规范行为，保证工作质量。对CIQ2000综合业务系统进行安全审计主要分以下几方面:1）用户操作行为日志审查常规监测及时收集和分析CIQ2000系统本身提供的系统登录、业务操作、流程控制、权限等信息，通过设定逻辑严密、科学合理的审计规则，根据用户登录时间、状态和业务操作记录等数据，发现异常登录和非法操作，在系统界面进行展示，并形成报表。特殊监测根据业务和系统管理需要，对特殊时间段、特殊业务操作进行特殊监测，通过触发器收集关键业务对象、关键数据的变更情况，记录操作人的登录信息和操作信息。如对关键业务数据的操作及修改过程（如计收费数据的修改、不合格结果登记修改为合格结果登记、未经检务操作擅自添加证书、拦截数据人工干预放行等）进行过程记录。2）用户密码审查根据制订的密码审计规则，自动检查指定机构下的用户及密码，查找密码为空或者密码设置不符合安全规范的用户，在系统界面展示并可形成报表。3）重复用户检查根据同一用户在统一机构下不得同时拥有两个可以同时使用的用户账号原则，自动检查指定机构下的用户，检查是否在同一机构具有同时在岗的重名用户。4）用户权限检查自动检查指定机构下的用户及使用权限，查找具有分配全业务流程的用户，也可查找具有指定权限的用户。5）安全事件警告根据对业务系统各关键环节和关键对象数据的采集和分析，对可能存在信息安全隐患的环节给予相应级别的告警。告警方式包括：界面查看、短信预警、邮件预警。6）系统服务用户管理选项设置安全审计告警策略安全事件确认审计对象配置助手对于以上审计内容，通过布控，可以实现实时监控，发现违规操作及时报警，也可以进行统计查询、数据分析，防患于未然。通过安全审计系统的运行，特别是对CIQ2000综合业务管理系统的安全审计，发现高风险监控点，进一步对体系进行验证完善，通过两方面的互补，保证业务系统的安全合规运行。通过以上步骤，制定我局电子业务系统安全审计规范并正式下发执行，建立检验检疫电子业务系统安全审计体系。并通过CIQ2000综合业务安全审计系统应用实例进行验证优化，并以此成功案例进行推广、全面开展对山东局电子业务安全审计系统的建设与发展。
电子业务系统安全审计体系研究技术方面
电子业务安全审计系统建设技术方面1）使用统一开发平台的UIP-SDP框架开发。该框架提供轻量级的框架，框架遵照MVC的通用设计模式；采用面向服务体系结构(SOA)及组件化的设计思想，便于系统的复用和集成；包含大量公共的、实用性的组件和控件，并且提供了一般业务系统底层的最基本模块，可以轻松集成到业务系统之中。2）框架提供了通用的前后台校验机制、统一的分页处理、基于AJAX的局部刷新功能、多文件上载的功能、基于数字证书的认证方式、灵活、实用的规则引擎、基于配置的任务调度功能、基于配置的事务处理、统一的日志管理、方便快捷的单元测试、子模块基于XML的单独配置3）系统由数据采集层、事件管理层、运行管理层构成。山东检验检疫电子业务系统安全审计体系（图略）。电子业务安全审计系统建设技术规范方面采用标准的Linux、Unix操作系统建立基础平台采用统一的Oracle数据库建立数据中心平台采用先进的软件工程设计方法，满足系统的先进性、可靠性、可伸缩性、可扩展性复杂的商业规则的实现集中由应用服务器实现，可随业务量增长而轻松扩展采用流行的B/S架构，实现零客户端采用先进AJAX、WebService技术采用XML技术，规范信息交换格式和数据交换流程采用统一的消息中间件实现数据交换可以采用CA认证及SSL128位加密技术，确保通讯的安全性4结论通过建设安全审计体系建设，可以从制度上规范行为；审计系统的开发运行可以利用技术手段实现业务监控、工作质量稽查及用户行为审计，自动查找违规现象，及时通知相关单位整改，以查促管，防患于未然；审计的结果反过来促进制度的建设，最终保证检验检疫业务的正常运转。
作者：田建荣 宋琳琳 陈鹏 王宏志 郭曙超 单位：山东出入境检验检疫局
关键词 超大型数据库；性能优化；动态表分区
中图分类号TP392 文献标识码A 文章编号 1674-6708（2013）82-0222-02
0引言
基于内容的网络安全审计系统，为了进行事后统计分析和提供证据，需要将用户指定范围内所有采集到的数据信息存入数据库以及相对应的文件中。能够保存较长时间范围内的历史数据信息对于网络安全审计系统来说是非常重要的，通常情况下需要保存最近三个月的历史数据信息。
经过前期需求和数据测试分析，1G的电信网络中每天大约会增加6 000万个数据文件和数据记录，这样其存储的数据库规模非常大。数据库规模的不断变大，将会导致数据库系统性能的急剧下降，使得数据库维护的成本不断上升，甚至造成周期性的停机。
1表分区
表分区技术就是当数据库中的某个表变得特别大时，可以根据一定的条件或者规则，将一个大表划分为多个包含少量数据的分区，每个分区都是一个逻辑实体，是表的一个子集。通过将一个大表拆分成为多个更小的单个表，使得只访问一小部分数据的查询执行得更快。另外，对于这些小表可以更快地执行维护任务（如重建索引、数据备份或导入导出等）。
在超大型数据库中，通常不使用单个分区中的大数据集，而采用经过优化设计的本地分区和访问策略，能够使查询性能提高一倍以上，甚至几十倍。采用表分区技术的优点：
1）可以极大地缩短查询时间；
2）减少数据加载时间，改善数据库的可维护性；
3）解决从活动数据库中删除历史数据时出现的数据修剪问题。
2动态表分区
表分区按照实现的方式不同可以分为静态和动态两种。所谓静态表分区就是在数据库初始化的时候按照预定格式一次性生成所有分区。而动态表分区则是应用程序根据一定的规则动态创建所需分区，并对这些分区进行动态管理和维护。采用静态表分区技术的应用程序实现比较简单，但是可扩展性较差。采用动态表分区技术的应用程序实现要复杂一些，但是开发出来的应用程序可扩展性较好，能够根据不同的需求进行扩展。
静态表分区是目前超大型数据库系统解决方案中普遍采用的一种技术，到目前为止，还未见一种比较完善的基于动态分区的解决方案。另外，将基于动态分区的超大型数据库系统性能问题的解决方案应用到网络安全领域是一个需要特别研究的问题。
设计开发的网络安全审计系统产品定位于100M~1000M以上的高端网络用户（兼容中低端用户），其数据存储和处理规模非常巨大，为了使得产品具有更好的扩展性能，该系统采用动态表分区技术。
3多表查询
在采用分区视图技术实现多表联合查询之前必须动态创建一个包含多个成员表的分区视图。对于超大型数据库来说，动态创建几个表的分区索引视图需要大量的时间。另外，分区视图技术是通过使用联合查询运算符来实现的，很多个大数据量表的联合查询性能是比较低的，这将在下面的性能测试中进行说明。
采用临时表技术则没有多表联合查询的那些限制，实现也比较简单，性能比执行联合查询要好得多，但是产生的事务日志信息比较多。另外，采用临时表技术的时候还可以利用多表分页查询机制来控制每次数据查询时需要访问的数据范围以及返回的记录数，以提高数据查询的速度。对于性能要求比较高的超大型数据库应用程序来说，建议采用临时表技术来满足动态分区的数据库查询统计的性能要求。
4解决方案
本文采用一种如图2所示的解决方案，来解决基于动态表分区的网络安全审计系统超大型数据库的性能问题，并为开发人员提供独立于数据库设计的基于动态表分区的数据库通用访问接口。
此方案在普通数据库应用程序的基础上增加一个的基于动态表分区的访问接口的模块，并对该模块进行优化。
5结论
由于采取了动态表分区技术并对相关接口进行优化，使得网络安全审计系统的性能得到了很大提高。
在千兆环境压力测试中每秒能提交9000条左右的数据记录，各种数据库查询统计操作都能够得到快速响应，经相同环境下的压力测试其性能比同类产品都要响应迅速。
参考文献
[1]求是科技著.SQL Server 2000数据库管理与开发技术大全[M].北京：人民邮件出版社，2004
关键词：数据库；审计；入侵检测；实现
计算机技术和网络技术深入到社会各个层面的同时，也带来了极大的安全隐患，在信息产业迅猛发展的状态下，数据库成为了大量信息存储、开发和应用的重要工具，而为了确保数据库的安全使用，需要关注数据库的安全审计，科学而合理地控制用户的行为，对数据库进行入侵安全检测，并进行跟踪、追查和分析，从而确保国家和社会的安全和稳定。
1 数据库安全隐患及审计的必要性分析
数据库管理系统面临诸多的安全威胁，它来源于多个层面，有外部的安全隐患，也有内部的安全隐患，它应用于各个领域，具有极大的风险性，它处于的环境之中，存在安全机制方面的弱点，因而，需要对数据库进行安全限制，重点有：数据库宿主机的安全、用户认证的限制、访问控制的限制。然而，现有的数据库安全机制不能完全解决数据库的安全问题，由于外来访问用户的不确定性，导致数据库管理系统无法抵御外来的入侵者，如果普遍用户盗取了数据库系统管理员的身份，则可以实现对数据库的非法控制，从而造成系统安全受到威胁。这时，就需要数据库的审计系统，对外来的入侵进行访问审计，在数据库信息数据被盗取、篡改的情况下，对数据信息进行恢复和追查，在科学、先进而全面的审计系统和方案之下，实现对数据库的审计记录。我们可以这样认为，安全审计是数据库安全的有机组成部分，它与数据库系统的知识和网络安全，具有不可分割的重要意义和作用。
2 数据库的安全审计研究
在我国的《计算机信息系统安全保护等级划分准则》之中，鉴于这一安全性的考虑，我国的信息安全国家标准对于数据库系统的安全保护划分了五个等级，它们对于数据库系统使用用户的身份进行鉴别，并将使用客体导入到用户地址空间之中，安全审计机制可以实现对数据库的安全审计记录，并对身份鉴别事件进行审计删除等操作。它是对数据库系统进行安全活动的收集和记录，并进行分析、评估和审查，监测一切非正常的可疑事件记录，从而对数据库信息系统实现安全审计。同时，在等级逐步提高的安全审计中，增添了对存储型隐蔽通道的安全审计内容，添加了对安全审计事件的积累及限定预警功能等。
2.1 安全审计概念
数据库信息系统的安全审计方法主要通过数据库审计系统和审计方案加以实现，在这个审计系统之中，主要由两部分构成，即：审计数据采集器和审计数据分析器，它们分别负责对数据库系统的数据进行采集和分析，并加以存储为日志。
具体安全审计流程为：
①收集数据库用户的所有事件，包括引擎搜索、查询、逻辑操作等；
②以审计条件为依据，对用户的事件进行安全审计判定；
③将安全审计事件以日志的形式加以存储和记录；
④如果安全审计事件符合报警预定条件，则发送报警信息并自动记录；
⑤一旦审计事件重复连续出现，将被剔出数据库系统，并生成安全审计报告。
2.2 安全审计模块设计
2.2.1 安全审计模块总框架
在数据库的安全审计模块之中，主要框架由日志模块、安全事件模块、安全分析模块和安全通知模块构成。其模块框架由下图所示：
这些不同的模块负责各自不同的职能，其中：日志模块重点采集数据库用户的运作信息，加以全面的采集、独立审计和记录。安全审计分析模块则是一个数据库入侵检测系统，来源于数据库的安全事件，对这些安全事件进行阈值分析和数据库应用规则匹配，以检测数据库系统的入侵状态和安全性能。安全审计通知模块是基于报警性能的通知模块，它对于数据库操作的各种动作进行报警。
在安全审计模块之中，审计开关控制是关键基础，它分为三种：
①审计总开关。重点控制数据库安全审计的开闭，它的操作权限仅限定于安全审计管理员；
②审计分析总开关。这一开关仅是对日志信息进行采集，而不对其进行处理。是基于事后的分析功能，它的性能较实时分析强，但是丧失了即时响应的功能。
③配置开关。这是在不同开关选项的配置之下，节省了安全审计配置的工作量，用简便的开关操作替代了复杂的配置操作。
2.2.2 日志模块架构及功能
日志模块的构造由日志配置表和日志踪迹表组成，这两者是相互关联、互为因果的关系，在日志配置表的运作中，可以对数据库的各种操作进行记录，并根据日志配置表所显现的信息，写入对应的日志踪迹表之中。在日志配置表信息之中，有三种日志信息，即：用户操作日志信息、用户登陆退出日志信息、强制访问控制日志信息，对应这三种不同的日志信息，也生成了相应的日志踪迹视图，它们对于不同安全事件的时间、主客体、错误等信息都进行了追踪。
2.2.3 安全事件模块架构及功能
由于日志记录是一个信息浩瀚的海洋，因而，需要有一个模块对这些海量的信息进行过滤，针对这些原始日志信息，可以进行安全事件模块应用之下的信息过滤和“清扫处理”，在这一流程之中，可以较大地减少审计分析的噪音，清理与安全无关的事件信息，从而生成系统安全事件和用户级别的安全事件。
2.2.4 安全分析与入侵检测模块架构与功能
安全入侵检测以安全事件为数据源，在对安全事件进行响应的过程中，进行违背用户定义的规则分析，并对此做出响应。为了提升数据库系统的审计能力，需要将审计追踪与实时预警相结合，实施实时的入侵检测和跟踪，在对日志信息进行审计分析的过程也即是入侵检测的过程，对于安全审计追踪日志的分析需要借助于审计分析工具，并采用三种不同的分析方法加以实现，它们包括：
①统计分析方法。这是对合法用户的行为的统计和检验；
②数据库使用规则状态下的专家系统分析法。这是进行预定的设计之下，依照一定的规则进行“滥用检测”，它与“异常检测”相区别；
③数据库系统自动学习。这是基于数据库系统自身的主动审计分析，这是一种新型的分析方法，可以实现对访问用户的监视和学习。
2.2.5 响应模块框架及其功能
这是安全审计模型中的最末层，它对于潜在的入侵可以发出安全警报，并在监测的条件下做出对入侵事件的不同响应。例如：将对数据库系统进行攻击的用户踢出系统；对疑似的攻击用户加以锁定控制；对于异常入侵的用户禁止其登陆系统等。
3 数据库安全审计中的入侵检测实现研究
3.1 数据库入侵检测结构及分类
随着计算机数据库攻击技术的不断发展，数据库信息系统的安全受到入侵威胁，为了实现对数据库的安全审计，还需要对数据库的入侵进行检测，数据库入侵检测的体系结构主要分为集中式结构、分布式结构和分层结构三种，他们各有其特点。其中，集中式结构可以集中分析和处理数据库的入侵行为，但是面对这样的集中处理，检测主机便成为了安全“瓶颈”。分布式结构可以较好地对数据库信息数据进行监控，对于内外部入侵行为进行检测，然而，这种结构要以处于同一层次为前提，如果层次太低或太高，则无法实现对网络的入侵检测。
分层结构可以应用于日益复杂的入侵行为，它呈树形分层状态，如下图所示：
这种树状的分层结构可以处理大数据量，效率较高，同时，它还可以动态调整节点层次关系，完成数据库信息系统的动态最佳配置。
数据库入侵检测系统包涵信息数据提取、入侵分析和响应处置三大部分，其中：数据提取是检测基础和前提，它对系统运行状态下的数据进行过滤和预处理；入侵分析是关键核心内容，它对运行数据进行安全攻击分析，并将结果传递给响应模块。响应处置的功能则是对安全攻击用户进行报警与处置反应。入侵检测系统可以按照数据源的不同分为主机的入侵检测系统和网络的入侵检测系统；可以按照数据分析方法的不同分为滥用检测和异常检测；按照数据分析发生的时间可以分为离线分析和在线分析，相比较而言，在线分析对于数据库系统的资源配置要求较高，精准度和即时性较为良好。
3.2 数据库系统常用的入侵检测技术
数据库系统的入侵检测技术主要包括以下几种：
3.2.1 专家系统分析技术
这一检测技术应用于滥用检测方案，它无须用户理解或干预，是将问题推理与解决方案相分离的应用方式。但是，存在对环境的适用能力较差的问题，对于具有时序特征的入侵行为也无法实现检测。
3.2.2 模式匹配检测技术
它是将入侵特征编码与审计安全记录事件相匹配，一旦有新的审计事件，则要寻求与之相匹配的入侵模式，它的可扩展性较好，误报率较低，然而在匹配性能方面还需要进一步完善。
3.2.3 状态转移检测技术
它是一种图形化的描述方式，是以入侵渗透为对象，用节点表示系统状态，“弧”表示状态转移。这一技术是高层次的、与审计记录无关联的方式，可以检测不同状态下的相同入侵模式。
3.2.4 统计检测技术
这一技术应用于异常检测，是一种较为成熟的入侵检测方法，它无需更新规则库，操作简便。但是，这种方法无法反映审计事件的时间先后关联性。
3.2.5 数据挖掘技术
数据挖掘技术以全新的理念应用于入侵检测，是一项未来信息检测处理的骨干技术，它可以从大量模糊、随机的数据中提取隐含的有用信息，并根据各数据之间的潜在关联，做出高层次的分析和决策。常用的数据挖掘技术包括有：关联分析、序列分析、分类分析、聚类分析，它们应用于入侵检测系统之中，可以提取数据库中有效的信息，构建入侵模型库，在进行数据采集、预处理、挖掘、特征提取、入侵检测的流程之下，完成对入侵行为的检测分析。它可以有效地解决手工分析和编码入侵模型的问题，极大地提升了入侵检测的精确度。
3.3 异常检测分析
对于数据库系统的异常检测是误用检测的补充方式，它可以及时发现安全审计未定义的误用状况，在异常检测分析中，可以建立相关的异常检测模型，其模型构成由规则库、安全审计事件向量采集模块、监控模块组成，在正常状态下进行安全审计事件的采集；在监控状态下对安全审计事件进行匹配，可以实现正常匹配的即为安全，不能匹配正常的误报状况则为异常。其具体监测过程为：当安全审计事件踪迹至规定条数之后，即按序列加以分析，按照向后看的匹配规则进行配置，这种匹配规则高效而简便。
3.4 误用检测分析
在数据库入侵检测系统之中，采用阈值误用检测分析法，它的入侵误警率非常低，可以在建立误用入侵检测模型的条件下，由预警模块直接进行处置。这种入侵检测方法也即基于知识的入侵检测法，它并非使用系统统计度量，而是基于内在规则或时间上的序列关联进行检测，它更注重对安全审计事件的“必然的约束”关系，它的检测分析方法核心的问题是规则的提取，由于它牵涉到数据库系统的用户登陆、访问控制、可信通道等多方面因素，因而，在误用检测系统中只需要对特定的入侵知识进行界定，便可以实现对入侵用户的操作控制。这种检测方法主要采用两种：
①状态迁移误用检测分析技术。
这种方法可以对系统的初始状态加以迁移，根据系统某一特定时刻的应用特征进行描述，在中间的迁移状态下辨识出危及系统安全的入侵状态，并对初始状态和入侵状态之间的关键性活动进行描述，它适用于步骤相连性的全序列关系下的入侵用户操作行为检测与监控。如：数据库中的临时用户。
②模式匹配分析技术。
这种方法将入侵用户的行为检测与监控转换成操作模式匹配的方式，数据库系统对入侵用户的行为检测器进行模型匹配，这种模式识别技术较为成熟而实用，其检测模型如下图所示：
在上述检测模型之中，包含有三种阈值，即：动作类阈值、序列类阈值、整合类阈值。其中：动作类阈值指在一定时间段内的安全事件超过定义次数；序列类阈值是指一定时间段内满足系统某一全序关联的安全事件；整合类阈值与序列类阈值类似，然而区别在于它无须满足全序关联，而只要发生了相应的事件即可。
4 结束语
综上所述，在网络信息数据要求日益提升的条件下，数据库要存储海量的信息，必须以安全为前提加以利用，为此，数据库的安全审计要对日志信息进行分析，构建数据库安全审计模型，并针对入侵行为进行异常检测和处理，进一步提高实时入侵检测系统的性能，实现入侵规则的合理配置，从而确保数据库信息系统的安全。
参考文献：
[1]赵雪.基于云端的移动智能终端入侵检测机制研究[D].辽宁大学，2015.
[2]葛佳.P2P网络信誉数据存储与恢复方法的研究与实现[D].昆明理工大学，2015.
一、开展基层央行信息安全审计的难点
1.信息系统运行环境复杂。一是随着央行电子化业务快速发展，基层央行科技工作量越来越大，目前绝大多数行人均已超过了一台电脑，所使用的各种业务信息系统达三、四十个以上，且软件系统频繁升级，各种“补丁”不断。二是目前基层央行使用的各业务系统有总行统一开发，也有自主开发的，由于各业务系统开发环境不一致，涉及操作系统、数据库多，增加了运行维护难度，并且部分设备老化严重，存在一定风险隐患。基层行科技人员除要办理自身业务工作外，还负责各部门系统安装和升级、日常管理及维护、网络安全、病毒防范、安全培训等，使得信息安全检查、系统风险评估工作较难有效开展，客观上就给基层央行信息安全内部审计带来了一定的难点。
2.部门业务系统难以适应信息安全审计需要。基层央行所使用的业务系统几乎都没有预置审计接口和审计用户，连简单的数据查询都需要通过被审计对象提取，同时由于信息量大，再加上内审部门缺乏相应的技术审计手段与审计力量，用有限的人工方法查找海量的电子化信息，不仅效率低，而且要想筛选出有价值的线索如同“大海捞针”。
3.信息安全审计技术落后。央行内部审计在信息安全审计方面除合规性审计外，还对信息系统、网络安全、机房环境开展风险导向性的事前审计，但由于基层央行现有审计技术的局限性，大多数内审人员对信息安全管理知识了解较少，开展审计时边学边审，导致审计证据较难获取，难以充分发挥信息系统审计的真正作用，大大影响了审计效果。另外，由于内审部门和人员不能及时介入系统的研发、推广、培训，导致对系统了解较少，再加上大部分系统都由总行开发，基层央行难以独立开展高质量的信息系统审计项目，从而制约了信息安全审计开展的深度和广度。
4.信息安全审计力量薄弱。目前基层央行审计人员数量和知识结构远远不能满足信息安全审计的要求，能熟练掌握计算机专业知识及业务知识的人员偏少，仅停留在简单的机械式的运用层面，更深层次的数据筛选、数据分析、函数计算、数据统计和图形分析应用不多，大多内审人员对信息安全审计的特点、方法和存在的风险缺乏深入了解和掌握，无法有效地开展相关审计工作。
二、加强基层央行信息安全审计的对策
1.建立央行信息系统审计标准与规范。结合央行实际，确立央行信息系统审计标准与规范，进一步明确信息安全审计的技术角色，强化信息系统审计的技术特色。同时，推广先进的审计技术，建立科学的信息安全审计模式。
2.提高计算机辅助审计软件的实用性、针对性。一是各业务部门在业务系统建设开发中要针对不同的审计需求，预留审计访问接口，注意把握好数据转出分析模块的设计思路，使审计中获取的电子数据可以作为审计证据使用，以降低审计风险。二是内审部门要介入业务处理系统开发、应用及相关制约机制设立的全过程，对系统业务处理的合法合规性、安全可靠性、可维护性、可审计性及制约机制的完善性进行分析、评价，尽可能地提高系统效率，降低风险。
3.强化科技管理。一是以针对性和时效性、便于操作为出发点，建立健全各项科技管理制度，做到有章可循。二是重视科技实体建设，科学合理投入资金，保证硬件设施安全。三是加强科技力量，充实科技人员，将科技管理与维护岗位分离，实现岗位互相约束、监督，强化信息安全检查、系统风险评估等工作。四是加大信息安全培训力度。通过组织开展岗位业务技能训练和业务达标活动，提升全员的整体科技素质、计算机安全意识和业务技术操作水平，逐步消除对科技人员的过分依赖。
4.改变传统审计方法。由上级行集中研发、业务及审计部门力量，统一制定资源管理、软件程序、数据完整性及系统维护等审计模型，开发信息安全审计系统，对网络安全、运行环境审计等各类风险因素进行评估，量化确定各类风险的大小，提高审计效率。
5.培养信息安全审计专业人才。一是整合人力资源，将审计业务、央行业务和计算机专业知识娴熟的复合型人才充实到内审队伍，调整知识和专业结构。二是加大对现有审计人员信息技术的培训力度，利用互联网的便利性实施网上培训，辅之以岗位练兵、以查代训、自学等方式，让内审人员及时掌握央行各类信息系统发展的趋势和信息风险的一般规律，使信息技术真正成为基层央行实施业务监督和风险控制的有力工具。三是做好现有审计系统的普及工作，使内审人员人人会操作，个个会应用，提高内审工作效率。
（作者单位：人民银行赣州市中心支行）
关键词：审计；信息化，安全保障体系；主机审计
审计是客观评价个人，组织、制度、程序、项目或产品。审计执行是以确定有效性和可靠性的信息，还提供了一个可内控的评估系统。审计的目标是表达人、组织、系统等的评估意见，审计人员在测试环境中进行评估工作。审计必须出示合理并基本无误的报表，通常是利用统计抽样来完成。审计也是用来考察和防止虚假数据及欺骗行为，检查、考证目标的完整性、准确性，以及检查目标是否符合既定的标准、尺度和其它审计准则。实现审计的信息化，有利于管理层迅速准确的做出决定，对于政企业发展、社会经济的进步都具有重要作用。目前，我国的审计工作尚存在性质认定模糊、工作范围过于狭窄等问题，有待进一步加强和改进。
审计的基础工作是内部审计，内审是审计监督体系中不可或缺的重要组成部分，是全面经济管理必不可少的手段，是加强任何机构内部管理的必要，推动经济管理向科学化方向发展的重要环节也是审计。因此说审计部门是其他监督部门不能代替的，促进党风廉政建设、加强对党政领导干部及管理人员的监督都可以通过审计来完成。审计应用与高新技术机构中，在防范风险中发挥着重要作用，也有助于领导层做出正确决策。
一、审计工作的现状及存在的问题
随着我国经济迅猛发展，审计监督力度不断增强，审计范围也不断扩大。当前，审计方式已由财政财务审计向效益审计发展，由账项基础审计向制度基础审计、风险基础审计发展，由事后审计向事中、事前审计发展。审计管理上建立审计质量控制体系，要求审计机关把审计管理工作前移，把质量控制体系贯穿与审计工作中。在此趋势下，传统的审计方法暴露出其效率低、审计范围小等劣势，使得完成审计任务，达到审计目标越发缺乏及时性。
(一)内部审计性质认定较为模糊。内部审计是市场经济条件下，基于加强经营管理的内在需要，也是内部审计赖以存在的客观基础。但是，现代内部审计的产生却是一个行政命令产物，强调外向。这种审计模式使人们对内部审计在性质认定上产生模糊，阻碍了内部审计的发展。内部审计很难融入经营管理中，审计工作很难正常开展，很难履行监督评价职能和开展保证咨询活动，因此就不能充分发挥其应有的内向的作用。
(二)内部审计工作范围过于狭窄。内部审计的目的在于为组织增加价值并提高组织的运作效率，其职能是监督和服务。但是，我国内部审计工作的重心局限在财务收支的真实性及合规性审计。长久以来内部审计突出了监督职能，而忽视了服务职能。内部审计认识水平、思想观念的束缚以及管理体制等诸多因素，影响和阻碍着内审作用的有效发挥。原因有会计人员知识水平、业务素质不高，也有不重视法律、法规的因素，还有监管不力、查处不严的原因。目前内部审计尚处在查错阶段，停留在调账、纠正错误上，还不能多角度、深层次分析问题，没有较国际先进的审计理念，我国内部审计的作用尚待开发。审计人员的计算机知识匮乏，不适应电算化、信息化的迅速发展。目前多数审计人员硬件知识掌握不熟练，软件知识了解也不足，因此不能有效地评估信息系统的安全性、效益性。由于计算机审计软件开发标准不同，功能也不完整，因此全面推广计算机辅助审计就有一定难度，导致审计人员的知识和审计手段滞后于信息化的发展。
二、信息化审计体系的健全
当前国家审计信息化发展的趋势是建立审计信息资源的标准化、共享化、公开化，逐步达到向现代审计方式的转变。这一趋势是随着当前科学发展、和谐社会的推进，国家确立的公共财政建设、公共服务的实施、公共产品的提供应运而生的，三个“公共”的主旨是：国家财政资金的使用更注重民生；使用重点更注重服务；使用效益更注重民意。
信息安全审计是任何机构内控、信息系统治理、安全风险控制等不可或缺的关键手段。收集并评估证据以决定一个计算机系统是否有效地做到保护资产、维护数据完整、完成目标，同时能更经济的使用资源。信息安全审计与信息安全管理密切相关，信息安全审计的主要依据是出于不同的角度提出的控制体系的信息安全管理相关的标准。这些控制体系下的信息化审计可以有效地控制信息安全，从而达到安全审计的目的，提高信息系统的安全性。由此，国际组织也制定了相关文件规范填补信息系统审计方面的某些空白。例如《信息安全管理业务规范》通过了国际标准化组织ISO的认可，正式成为国际标准。我国法律也针对信息安全审计制定出了《中华人民共和国审计法》、《国务院办公厅关利用计算机信息系统开展审计工作有关的通知》等文件，基本规范了内部审计机制，健全了内部审计机构；强调机构应加强内审工作，机构内部要形成有权就有责、用权受监督的最佳氛围；审计委员会直接对领导班子负责，其成员需具有相应的独立性，委员会成员具良好的职业操守和能力，内审人员应当具备内审人员从业资格，其工作范围不应受到人为限制。内部审计机构对审计过程中发现的重大问题，视具体情况，可以直接向审计委员会或者领导层报告。
三、主机系统安全审计
信息技术审计，或信息系统审计，是一个信息技术基础设施控制范围内的检查。信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面做出判断的过程。
以技术划分，信息化安全审计主要分为主机审计、网络审计、应用审计、数据库审计，综合审计。简单的说获取、记录被审计主机的状态信息和敏感操作就是主机审计，主机审计可以从已有的系统审计记录中提取相关信息，并以审计规则为标准来分析判断被审计主机是否存在违规行为。总之，为了在最大限度保障安全的基础上找到最佳途径使得业务正常工作的一切行为及手段，而对计算机信息系统的薄弱环节进行检测、评估及分析，都可称作安全审计。
主机安全审计系统中事件产生器、分析器和响应单元已经分别以智能审计主机、系统中心、管理与报警处置控制台来替代。实现主机安全系统的审计包括系统安全审计、主机应用安全审计及用户行为审计。智能审计替代主机安装在网络计算机用户上，并按照设计思路监视用户操作行为，同时智能分析事件安全。从面向防护的对象可将主机安全审计系统分为系统安全审计、主机应用安全审计、用户行为审计、移动数据防护审计等方面。
四、待解决的若干问题
计算机与信息系统广泛使用，如何加强对终端用户计算机的安全管理成为一个急需解决的问题。这就需要建立一个信息安全体系，也就是建立安全策略体系、安全管理体系和安全技术体系。
保护网络设备、设施、介质，对操作系统、数据库及服务系统进行漏洞修补和安全加固，对服务器建立严格审核。在安全管理上完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理，形成一套比较完备的信息系统安全管理保障体系。
防火墙是保证网络安全的重要屏障，也是降低网络安全风险的重要因素。VPN可以通过一个公用网络建立一个临时的、安垒的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。借助专业的防DDos系统，可以有效的阻止恶意攻击。信息系统的安全需求是全方位的、系统的、整体的，需要从技术、管理等方面进行全面的安全设计和建设，有效提高信息系统的防护、检侧、响应、恢复能力，以抵御不断出现的安全威胁与风险，保证系统长期稳定可靠的运行。严格的安全管理制度，明确的安全职责划分，合理的人员角色定义，都可以在很大程度上减少网络的安全隐患。
从战略高度充分认识信息安全的重要性和紧迫性。健全安全管理组织体系，明确安全管理的相关组织、机构和职责，建立集中统一、分工协作、各司其职的安全管理责任机制。为了确保突发重大安全事件时，能得到及时的响应和支援，信息系统必须建立和逐步完善应急响应支援体系，确保整个信息系统的安全稳定运行。
参考文献：
[1]宋新月，内部审计在经济管理中的重要作用浅析[J]，知识经济，2009
【关键词】校园网 安全管理 网络安全审计
在计算机与网络迅速发展的当代，互联网已经为人类做出了不可小觑的贡献，尤其是在教学方面，教师已经习惯运用信息化手段来教学，但是就在互联网盛行的时代，出现了很多负面的非法信息，这使学生的人生观以及价值观都受到了影响，更有甚者非法站点介入了校园内部的网站，窃取了某些信息，将其泄漏出去，使学生的学习以及教师的工作受到了严重的影响。由此看来，规范校园网络使用行为，保证校园网络能够健康、稳定地运行是目前我国大多数学校应该重视的问题。
1 校园网网络管理现状
从我国大部分校园网络使用情况来看，校园网络中出现了以下几种状况：
（1）首先校园内部网络使用者没有经过严格的用前培训，因此有很多校园内部使用者都会对校园网络产生供给威胁；
（2）校园外部互联网接入内部，校园内部网络出现了很多的病毒，同时也受到了攻击性的威胁；
（3）很多来自外部的移动终端以及计算机带来了很大的隐患；
（4）网络上不良信息以及垃圾邮件对校园网络产生的威胁。
2 校园网网络安全审计的功能及内容
2.1 网络安全审计
其指的是依照制定的策略，使用审计工具，来对用户以及系统活动进行记录，并分析数据等，以此来审查网络的安全，避免出现一些人为错误，这样就能够掌握系统是否有漏洞，对资源进行科学、合理地调配，保证系统能够健康、稳定地运行。
2.2 网络安全审计的要点
在管理校园网的过程中，对网络的审计内容主要包括以下这么几点：
2.2.1 实时审计
也就是说对正在发生的网络行为进行监督，争取能够在第一时间内将非法操作以及不良网站进行封堵，或者报警，监督的内容不仅包括上网时间、下载文件的类型，还有上网流量等。
2.2.2 日志审计
将网络运行的日志记录下来，全面管理操作系统的运行日志和数据访问日志，并对其进行分析和处理。
2.2.3 内容审计
此审计也可以在实时审计以及日志审计当中使用，审计聊天、发帖以及电子邮件中的信息。实时审计主要是对信息的出入口进行严密的监测，分析和对比信息中的关键字，对非法文字或者敏感字段进行报警，在这些工作进行的过程中，将整个过程记录在日志当中，以此作为审查的原始材料。
2.2.4 实时跟踪
这是对那些进发生并且有追溯、挽回可能的活动信息进行实时跟踪，将之后的活动信息记录下来，以便追溯非法行为或者犯罪行为。
3 网络安全审计在校园网安全管理中的作用
网络安全管理中最为重要的一部分就是网络安全审计，这可以帮助校园维护网络安全稳定运行，师生上网行为得以规范等工作更加顺利地进行。
（1）网络安全审计在过滤URL地址等关键字之后，既能阻止不良网站中的不良信息接入校园网络，与此同时能够使网络得以很大程度的保护，保护其不受外来网络中病毒的侵害，使系统中最基本的安全能够达到相应的标准。除此之外，因为日志审计能够保存系统运行过程当中的相关信息和日志，因此就能够在事后进行查询，将内部攻击的可能性降到最低，并且能够使潜在的隐患得以震慑。
（2）实时审计能够有效规范校内师生上网过程中的审计内容，监督并阻止教职工利用职务之便或者上班时间滥用网络资源，阻止学生不规范上网的行为，将校园网的有效资源的价值发挥到最大限度。
（3）内容审计能够将关键词与敏感词有效地阻止在外，避免了垃圾邮件，以及不良信息在校园网络中扩散，这样一来就能够对校园网络中的犯罪行为实施有效监控，使学校的名誉不被破坏。
（4）系统分析哪些有价值的日志信息，能够使系统管理员及时发现并修复系统中隐藏的漏洞，除此之外，系统运行统计日志能够将系统性能中存在的问题反应出来，使系统管理员有了观察、处理网络系统的工具。如此一来，对网络性能实施及时调整，为关键应用提供充足的资源，还能使系统管理员具有针对性地进行系统维护，这对提高工作效率有很大的帮助。
（5）有效追查已经发生，但还有可能挽回的行为，不仅能够追溯违法犯罪的行为，还能够追溯系统性能的好与坏，这对追查已发生行为具有非常重要的意义。
4 结语
近年来，互联网的飞度发展，使校园有了更加丰富的教学资源，给教师带来了便利的办公方式和多种多样的教学手段，让学生们的课余生活更加精彩，但是却也给校园网络带来了很大隐患。因为校园网用户多、规模大、使用者的活跃度较高等特点，所以非常难管理，但是因为其涉及到教师与学生的日常工作与学习中，所以对其进行严格管理也是极其重要的一项工作。使用校园网络安全系统，能够使网络监控效率得以提高，所以说在学校具体的使用中，应该根据校园网的实际情况，对其设计科学的审计计策，让审计内容变得多样化，争取使校园网的有效资源的价值发挥到最大限度。
参考文献
[1]杨克领.IDS技术及其在校园安全管理中的应用[J].商丘师范学院学报，2014（09）.
摘要：从系统的、整体的、动态的角度，参照国家对主机审计产品的技术要求和对部分主机审计软件的了解，结合实际的终端信息安全管理需求，从体系架构、安全策略管理、审计主机范围、主机行为监控、综合审计及处理措施等方面提出主机审计系统的设计思想，达到对终端用户的有效管理和控制。
关键词：网络；安全审计；主机审计；系统设计
1引言
随着网络与信息系统的广泛使用，网络与信息系统安全问题逐渐成为人们关注的焦点。
网与因特网之间一般采取了物理隔离的安全措施，在一定程度上保证了内部网络的安全性。然而，网络安全管理人员仍然会对所管理网络的安全状况感到担忧，因为整个网络安全的薄弱环节往往出现在终端用户。网络安全存在着“木桶”效应，单个用户计算机的安全性不足时刻威胁着整个网络的安全[1]。如何加强对终端用户计算机的安全管理成为一个急待解决的问题。
本文从系统的、整体的、动态的角度，参照国家对安全审计产品的技术要求和对部分主机审计软件的了解，结合实际的信息安全管理需求，讨论主机审计系统的设计，达到对终端用户的有效管理和控制。
2安全审计概念。
计算机网络信息系统中信息的机密性、完整性、可控性、可用性和不可否认性，简称“五性”，安全审计是这“五性”的重要保障之一[2]。
凡是对于网络信息系统的薄弱环节进行测试、评估和分析，以找到极佳途径在最大限度保障安全的基础上使得业务正常运行的一切行为和手段，都可以叫做安全审计[3]。
传统的安全审计多为“日志记录”，注重事后的审计，强调审计的威慑作用和安全事件的可核查性。随着国家信息安全政策的改变，美国首先在信息保障技术框架（IATF）中提出在信息基础设置中进行所谓“深层防御策略（Defense2in2DepthStrategy）”，对安全审计系统提出了参与主动保护和主动响应的要求[4]。这就是现代网络安全审计的雏形，突破了以往“日志记录”
等浅层次的安全审计概念，是全方位、分布式、多层次的强审计概念，符合信息保障技术框架提出的保护、检测、反应和恢复（PDRR）动态过程的要求，在提高审计广度和深度的基础上，做到对信息的主动保护和主动响应。
3主机审计系统设计。
安全审计从技术上分为网络审计、数据库审计、主机审计、应用审计和综合审计。主机审计就是获取、记录被审计主机的状态信息和敏感操作，并从已有的主机系统审计记录中提取信息，依据审计规则分析判断是否有违规行为。
一般网络系统的主机审计多采用传统的审计，系统的主机审计应采用现代综合审计，做到对信息的主动保护和主动响应。因此，网络的主机审计在设计时就应该全方位进行考虑。
3.1体系架构。
主机审计系统由控制中心、受控端、管理端等三部分组成。管理端和控制中心间为B/S架构，管理端通过浏览器访问控制中心。对于管理端，其操作系统应不限于Windows,浏览器也不是只有IE。管理端地位重要，应有一定保护措施，同时管理端和控制中心的通讯应有安全保障，可考虑隔离措施和SHTTP协议。
主机审计能够分不同的角色来使用，至少划分安全策略管理员、审计管理员、系统管理员。
安全策略管理员按照制定的监控审计策略进行实施；审计管理员负责定期审计收集的信息，根据策略判断用户行为（包括三个管理员的行为）是否违规，出审计报告；系统管理员负责分配安全策略管理员和审计管理员的权限。三员的任何操作系统有相应记录，对系统的操作互相配合，同时互相监督，既方便管理，又保证整个监控体系和系统本身的安全。控制中心是审计系统的核心，所有信息都保存在控制中心。因此，控制中心的操作系统和数据库最好是国内自己研发的。控制中心的存储空间到一定限额时报警，提醒管理员及时备份并删除信息，保证审计系统能够采集新的信息。
3.2安全策略管理。
不同的安全策略得到的审计信息不同。安全策略与管理策略紧密挂钩，体现安全管理意志。在审计系统上实施安全策略前，应根据安全管理思想，结合审计系统能够实现的技术途径，制定详细的安全策略，由安全员按照安全策略具体实施。如安全策略可以分部门、分小组制定并执行。安全策略越完善，审计越彻底，越能反映主机的安全状态。
主机审计的安全策略由控制中心统一管理，策略发放采取推拉结合的方式，即由控制中心向受控端推送策略和受控端向控制中心拉策略的方式。当安全策略发生更改时，控制中心可以及时将策略发给受控端。但是，当受控端安装了防火墙时，推送方式将受阻，安全策略发送不到受控端。由受控端向控制中心定期拉策略，可以保证受控端和控制中心的通讯不会因为安装个人防火墙或其他认证保护措施而中断。联网主机（服务器、联网PC机）通过网络接收控制中心的管理策略向控制中心传递审计信息。单机（桌面PC或笔记本）通过外置磁介质（如U盘、移动硬盘）接收控制中心管理策略。审计信息存放在主机内，由管理员定期通过外置磁介质将审计信息传递给控制中心。所有通讯采用SSL加密方式传输，确保数据在传输过程中不会被篡改或欺骗。
为了防止受控端脱离控制中心管理，受控端程序应由安全员统一安装在受控主机，并与受控主机的网卡地址、IP地址绑定。该程序做到不可随意卸载，不能随意关闭审计服务，且不影响受控端的运行性能。受控端一旦安装受控程序，只有重装操作系统或由安全员卸载，才能脱离控制中心的管理。联网时自动将信息传到控制中心，以保证审计服务不会被绕过。
3.3审计主机范围。
信息系统中的主机有联网主机、单机等。常用操作系统包括Windows98,Windows2000,WindowsXP,Linux,Unix等。主机审计系统的受控端支持装有不同操作系统的联网主机、单机等，实现使用同一软件解决联网机、单机、笔记本的审计问题。
根据国家有关规定，信息系统划分为不同安全域。安全域可通过划分虚拟网实现，也可通过设置安全隔离设备（如防火墙）实现。主机审计系统应考虑不同安全域中主机的管理和控制，即能够对不同网段的受控端和安装了防火墙的受控端进行控制并将信息收集到控制中心，以便统一进行审计。同时能给出简单网络拓扑，为管理人员提供方便。
3.4主机行为监控。
一般计算机使用人员对计算机软硬件尤其是信息安全知识了解不多，不清楚计算机的安全状态。主机审计系统的受控端软件应具有主机安全状态自检功能，主要用于检查终端的安全策略执行情况，包括补丁安装、弱口令、软件安装、杀毒软件安装等，形成检查报告，让使用人员对本机的安全状况有一个清楚的认识，从而有针对性地采取措施。自检功能可由使用人员自行开启或关闭。检查报告上传给控制中心。
主机审计系统对使用受控端主机人员的行为进行限制、监控和记录，包括对文档的修改、拷贝、打印的监控和记录，拨号上网行为的监控和记录，各种外置接口的禁止或启用（并口、串口、USB接口等）,对USB设备进行分类管理，如USB存储设备（U盘，活动硬盘）、USB输入设备（USB键盘、鼠标）、USB2KEY以及自定义设备。通过分类和灵活设置，增强实用性，对受控主机添加和删除设备进行监控和记录，对未安装受控端的主机接入网络拒绝并报警，防止非法主机的接入。
主机审计系统对接入计算机的存储介质进行认证、控制和报警。做到经过认证的合法介质可以从主机拷贝信息；未通过认证的非法介质只能将信息拷入主机内，不能从主机拷出信息到介质内，否则产生报警信息，防止信息被有意或者无意从存储设备（尤其是移动存储设备）泄漏出去。在认证时，把介质分类标识为非密、秘密、机密。当合法介质从主机拷贝信息时，判断信息密级（国家有关部门规定，信息必须有密级标识）,拒绝低密级介质拷贝高密级信息。
在认证时，把移动介质编号，编号与使用人员对应。移动介质接入主机操作时记录下移动介质编号，以便审计时介质与人对应。信息被拷贝时会自动加密存储在移动介质上，加密存储在移动介质上的信息也只能在装有受控端的主机上读写，读写时自动解密。认证信息只有在移动介质被格式化时才能清除，否则无法删除。有防止系统自动读取介质内文档的功能，避免移动介质接在计算机上（无论是合法还是非法计算机）被系统自动将所有文档读到计算机上。
3.5综合审计及处理措施。
要达到综合审计，主机审计系统需要通过标准接口对多种类型、多个品牌的安全产品进行管理，如主机IDS、主机防火墙、防病毒软件等，将这些安全产品的日志、安全事件集中收集管理，实现日志的集中分析、审计与报告。同时，通过对安全事件的关联分析，发现潜在的攻击征兆和安全趋势，确保任何安全事件、事故得到及时的响应和处理。把主机上一个个原本分离的网络安全产品联结成一个有机协作的整体，实现主机安全管理过程实时状态监测、动态策略调整、综合安全审计、数据关联处理以及恰当及时的威胁响应，从而有效提升用户主机的可管理性和安全水平，为整体安全策略制定和实施提供可靠依据。
系统的安全隐患可以从审计报告反映出来，因此审计系统的审计报告是很重要的。审计报告应将收集到的所有信息综合审计，按要求显示并打印出来，能用图形说明问题，能按标准格式（WORD、HTML、文本文件等）输出。但是，审计信息数据多，直接将收集的信息分类整理形成的报告不能很好的说明问题，还应配合审计员的人工分析。这些信息可以由审计员定期从控制中心数据库备份恢复。备份的数据自动加密，恢复时自动解密。审计信息也可以删除，但是删除操作只能由审计员发起，经安全员确认后才执行，以保证审计信息的安全性、完整性。
审计系统发现问题的修复措施一般有打补丁、停止服务、升级或更换程序、去除特洛伊等后门程序、修改配置和权限、专门的解决方案等。为了保证所有主机都能得到有效地处理，通过控制中心统一向受控端发送软件升级包、软件补丁。发送时针对不同版本操作系统，由受控端自行选择是否自动执行。因为有些软件升级包、软件补丁与应用程序有冲突，会影响终端用户的工作。针对这种情况，只能采取专门的解决方案。
在复杂的网络环境中，一个网往往由不同的操作系统、服务器，防火墙和入侵检测等众多的安全产品组成。网络一旦遭受攻击后，专业人员会把不同日志系统里的日志提取出来进行分析。不同系统的时间没有经过任何校准，会不必要地增加日志分析人员的工作量。系统应提供全网统一的时钟服务，将控制中心设置为标准时间，受控端在接收管理的同时，与控制中心保持时间同步，实现审计系统的时间一致性，从而提供有效的入侵检测和事后追查机制。
4结束语
系统的终端安全管理是一个非常重要的问题，也是一个复杂的问题，涉及到多方面的因素。本文从体系架构、安全策略管理、审计主机范围、主机行为监控、综合审计及处理措施等方面提出主机审计系统的设计思想，旨在与广大同行交流，共同推进主机审计系统的开发和研究，最终开发出一个全方位的符合系统终端安全管理需求的系统。
参考文献：
[1]网络安全监控平台技术白皮书。北京理工大学信息安全与对抗技术研究中心，2005.
摘要：随着信息技术的迅速发展，经济、文化、军事和社会生活等很多方面越来越多的依赖计算机网络，此时的网络已经成为一个无处不在、无所不用的工具。与此同时，网络安全问题也越来越突出，由于多种因素的影响，计算机网络容易遭受病毒、黑客、恶意软件和其它不轨行为的攻击。计算机网络是信息社会发展的基础，网络安全技术是确保信息的安全与畅通的重要手段。
关键词：网络安全技术防火墙安全审计系统
1 引言
21世纪全世界的计算机都将通过Internet联到一起,信息安全的内涵也就发生了根本的变化.它不仅从一般性的防卫变成了一种非常普通的防范,而且还从一种专门的领域变成了无处不在。要想真正解决网络安全问题,就得要从系统的规划上去考虑它,从技术、产业、政策等方面来发展它。网络安全是一个系统的概念,有效的安全策略或方案的制定,是网络信息安全的首要目标。运用多种网络安全技术来实现信息传递的安全与可靠是维护网络安全的主要措施。
2 影响网络安全的主要因素
2.1 计算机病毒
计算机病毒的含义是，编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。它主要有程序性、传染性、潜伏性、可触发性这四个特点。
2.2 网络资源共享性因素
资源共享是计算机网络应用的最主要的目的，但这又为系统安全的攻击者利用共享的资源进行破坏提供了机会。随着联网需求的日益增长，外部服务请求不可能做到完全的隔离，所以攻击者就利用服务请求的机会很容易获取网络数据包。
2.3 网络开放性因素
网上的任何一个用户很方便访问互联网上的信息资源，从而很容易获取到一个企业、单位以及个人的敏感性信息。
3 网络安全的主要技术
网络安全的技术是指致力于解决诸如如何有效进行介入控制，以及何如保证数据传输的安全性的技术手段。本论文主要介绍两种网络安全技术：防火墙技术和安全审计系统。
3.1 防火墙技术
网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互连设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。目前的防火墙产品主要有包过滤路由器、应用层网关（服务器）以及电路层网关、屏蔽主机防火墙等类型。
包过滤型防火墙是建立在路由器上,在服务器或计算机上也可以安装包过滤防火墙软件。包过滤型产品是防火墙的初级产品,网络上的数据都是以“包”为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点,与网络管理员预先设定的访问控制表进行比较,确定是否符合预定义好的安全策略并决定数据包的放行或丢弃。封包过滤型控制方式最大的好处是效率高，但却有几个严重缺点：管理复杂，无法对连线作完全的控制，规则设置的先后顺序会严重影响结果，不易维护以及记录功能少。
3.2 安全审计系统
安全审计系统是在一个特定的企事业单位的网络环境下,为了保障业务系统和网络信息数据不受来自用户的破坏、泄密、窃取,而运用各种技术手段实时监控网络环境中的网络行为、通信内容,以便集中收集、分析、报警、处理的一种技术手段。
3.2.1 安全审计系统的必要性
防火墙这种网络安全技术,可实现对网络异常行为的管理和监测,如网络连接和访问的合法性进行控制、监测网络攻击事件等,但是不能监控网络内容和已经授权的正常内部网络访问行为,因此对正常网络访问行为导致的信息泄密事件、网络资源滥用行为（即时通讯、论坛、在线视频、P2P下载、网络游戏等）也无能为力,也难以实现针对内容、行为的监控管理及安全事件的追查取证。
3.2.2 安全审计系统的特点
1.细粒度的网络内容审计 安全审计系统可对系统访问及操作、网站访问、邮件收发、远程终端访问、数据库访问、论坛发帖等进行关键信息监测、还原。
2.全面的网络行为审计 安全审计系统可对网络行为,如网站访问、邮件收发、数据库访问、远程终端访问、即时通讯、论坛、在线视频、P2P下载、网络游戏等,提供全面的行为监控,方便事后追查取证。
3.综合流量分析 安全审计系统可对网络流量进行综合分析,为网络带宽资源的管理提供可靠的策略支持。
【关键词】网络安全 审计 态势预测
目前网络已经在各行业中被广泛地普及，人们对网络的依赖日益增加。然而网络攻击事件却也是愈发频繁。面对大量的病毒入侵，传统的防火墙、入侵检测等技术逐渐呈现出疲态，已满足不了现阶段的网络安全防御需求。
1 网络安全审计技术
1.1 网络安全审计系统的问题
1.1.1 日志格式无法兼容
不同厂商的系统产生的日志格式一般是无法兼容的，这就对集中网络安全事件进行分析，增加了难度。
1.1.2 日志数据管理困难
日志的数据会随着时间不断地增加，但日志容量有限，一旦超出容量，数据不能轻易地处理掉。
1.1.3 日志数据集中分析困难
如果攻击者针对多个网络进行攻击，由于日志不能兼容，就只能单个进行分析，这样不仅工作量大，而且很难发现攻击者的踪迹。
1.1.4 缺少数据分析和统计报表自动生成机制
日志数据每天都会有所增加，工作内容过多，管理者就只能一个个查看下去，所以数据分析和统计报表的自动生成机制是必要的，能够最大程度减少管理者的工作量。
1.2 网络安全审计系统的主要功能
1.2.1 采集日志数据类型多样化
如入侵检测日志、防火墙系统日志、操作系统日志、应用和服务系统日志等。
1.2.2 多种日志统一管理
便于将采集的各种复杂的日志格式转化为统一日志格式，实现多种日志信息的统一管理目标。
1.2.3 日志查询
可以支持大部分查询方式对网络的日志记录信息进行查询，并将信息以报表的形式显示。
1.2.4 入侵检测
利用多种相关规则对网络产生的日志和报警信息进行分析，能够有效地检测出较为隐蔽的安全事件。
1.2.5 集中管理
审计系统建立统一的集中管理平台，将日志数据库、日志、安全审计中心集中起来进行管理。
1.2.6 安全事件响应机制
根据事件类型，可以选择相应的报警响应方式。
1.2.7 实时监控网络动态
对有的特定设备可以实施监控到日志内容、网络行为等。
1.2.8 安全分析报告自动生成
通过分析数据库中的日志数据、网络安全性，自动输出分析报告。
2 网络安全态势预测技术
2.1 网络安全态势预测技术的作用
大数据时代互联网可以利用光纤、无线网络接入终端、服务器设备，实现信息化系统共享数据、传输的目的。但随着科技不断发展，网络面临的攻击力度和方式愈发强了，以致网络随时面临着病毒的侵入。然而网络安全事件发生动态不明，所以需要采用态势预测措施，其通过分析过去以及现在网络安全事件的走势，预测未来网络安全事件的走势，以此协助安全管理人员作出正确的判断。目前，态势预测技术属于网络安全防御手段中最有效的技术之一，其采用了先进的分析技术，能够随时对不确定的信息进行统计，建立科学、高效的网络安全态势预测趋势图，进而彰显安全态势预测的实用性。
2.2 网络安全态势预测技术的研究
态势预测技术的效果获得了国内外许多学者的认可，目前已经在很多领域中广泛的应用和研究，从而延伸出许多态势预测技术，其中最为关键的技术有自回归移动平均模型、神经网络预测模型。
2.2.1 自回归移动平均模型
自回归移动平均模型体现方式是非常常用的随机序列构建而成的模型，其建模过程包括序列检验、序列处理、模型识别、参数估计以及模型检验。识别序列中存在的相关性以及只通过数学模型详细记录序列的连续性是自回归移动平均模型的主要目标。在执行自回归移动平均模型中，序列检验主要针对数据的随机性和平稳性进行检测；序列处理通常采用差分运算法、函数变换方法、周期差分法等对序列进行处理；常用的参数估计方法有矩估计、最小二乘估计等；模型检验的目的是为了检验参数的序列类型，若是属于白噪声序列，则可以通过检验。自回归移动平均模型在应用过程中，需要存在态势序列满足平稳性假设的条件，但要完成这个条件极为困难，所以限制了该模型的使用范围。
2.2.2 神经网络预测模型
神经网络采用学习算法模仿正常的网络数据行为，能够利用模仿数据提取查询相关正常数据，并储存在网络数据库里，方便识别不正常的数据行为，所以神经网络预测模型是一种网络安全态势预测算法，且非常具有有效性。神经网络能够训练数据学习的自主性、自适应性，且能够区分正常数据以及掌握最流行的网络攻击行为特征，进而掌握正常的安全事件行为模式。完成训练后，神经网络可以对网络事件行为特征进行分析和识别，并记录行为特征的变化，从而检验出可能存在的异常行为。由此可见，神经网络可以在训练时通过调整神经网络参数权值实现分布式存储、并行处理和容错的能力，其还具有较强的适应能力和非常强的抗干扰能力。神经网络在网络安全审计系统应用过程中，存在一些问题，如样本数据获取困难、检验精度对神经网络训练次数的依赖性强等。
3 结语
态势预测技术作为新兴的网络安全防御技术，可以通过分析过去以及现在安全事件走势，进而预测未来一定时期网络安全事件的走势。而安全审计系统虽然存在一些需要考虑的问题，但其具有很好的兼容性，能与其他防御系统联合运用，以此配合态势预测技术，必定能够协助安全管理员解决问题，从而降低网络攻击次数。
参考文献
[1]薛丽敏，李忠，蓝湾湾.基于在线学习RBFNN的网络安全态势预测技术研究[J].信息网络安全，2016（04）：23-30.
[2]郑士芹.大数据时代网络安全态势预测关键技术探讨[J].黑龙江科技信息，2015（32）：204.
作者简介
黄瑜帅（1982-），男，广东省惠州市人。硕士研究生学历。现供职于惠州市公安局网络警察支队（惠州市电子数据检验鉴定中心）。
关键词：等级保护；网络安全；信息安全；安全防范
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）19-4433-03
随着我国国际地位的不断提高和经济的持续发展，我国的网络信息和重要信息系统面临越来越多的威胁，网络违法犯罪持续大幅上升，计算机病毒传播和网络非法入侵十分猖獗，犯罪分子利用一些安全漏洞，使用木马间谍程序、网络钓鱼技术、黑客病毒技术等技术进行网络诈骗、网络盗窃、网络赌博等违法犯罪，给用户造成严重损失，因此，维护网络信息安全的任务非常艰巨、繁重，加强网络信息安全等级保护建设刻不容缓。
1 网络信息安全等级保护
信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。网络信息安全等级保护体系包括技术和管理两大部分，如图1所示，其中技术要求分为数据安全、应用安全、网络安全、主机安全、物理安全五个方面进行建设。
图1 等级保护基本安全要求
1） 物理安全
物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。
2） 主机安全
主机系统安全是计算机设备（包括服务器、终端/工作站等）在操作系统及数据库系统层面的安全；通过部署终端安全管理系统（TSM），准入认证网关（SACG），以及专业主机安全加固服务，可以实现等级保护对主机安全防护要求。
3） 网络安全
网络是保障信息系统互联互通基础，网络安全防护重点是确保网络之间合法访问，检测，阻止内部，外部恶意攻击；通过部署统一威胁管理网关USG系列，入侵检测/防御系统NIP，Anti-DDoS等网络安全产品，为合法的用户提供合法网络访问，及时发现网络内部恶意攻击安全威胁。
4） 应用安全
应用安全就是保护系统的各种应用程序安全运行，包括各种基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等；部署的文档安全管理系统（DSM），数据库审计UMA-DB，防病毒网关AVE等产品。并且通过安全网关USG实现数据链路传输IPSec VPN加密，数据灾备实现企业信息系统数据防护，降低数据因意外事故，或者丢失给造成危害。
5） 数据安全
数据安全主要是保护用户数据、系统数据、业务数据的保护；通过对所有信息系统，网络设备，安全设备，服务器，终端机的安全事件日志统一采集，分析，输出各类法规要求安全事件审计报告，制定标准安全事件应急响应工单流程。
2 应用实例
近年来卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，某医院的核心系统按照等级保护三级标准建设信息系统安全体系，全面保护医院内网系统与外网系统的信息安全。
医院网络的安全建设核心内容是将网络进行全方位的安全防护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护；通过安全域划分，实现对不同系统的差异防护，并防止安全问题扩散。业务应用以及基础网络服务、日常办公终端之间都存在一定差异，各自可能具有不同的安全防护需求，因此需要将不同特性的系统进行归类划分安全域，并明确各域边界，分别考虑防护措施。经过梳理后的医院网络信息系统安全区域划分如图2所示，外网是一个星型的快速以太交换网，核心为一台高性能三层交换机，下联内网核心交换机，上联外网服务器区域交换机和DMZ隔离区，外联互联网出口路由器，内网交换机向下连接信息点（终端计算机），外网核心交换机与内网核心交换机之间采用千兆光纤链路，内网交换机采用百兆双绞线链路下联终端计算机，外网的网络安全设计至关重要，直接影响到等级保护系统的安全性能。
图 2 医院网络信息系统安全区域划分图
2.1外网网络安全要求
系统定级为3级，且等级保护要求选择为S3A2G3，查找《信息系统安全等级保护基本要求》得到该系统的具体技术要求选择，外网网络安全要求必须满足如下要求：边界完整性检查（S3） 、入侵防范（G3） 、结构安全（G3） 、访问控制（G3） 、安全审计（G3） 、恶意代码防范（G3） 和网络设备防护（G3） 。
2.2网络安全策略
根据对医院外网机房区域安全保护等级达到安全等级保护3级的基本要求，制定相应的网络安全策略
1） 网络拓扑结构策略
要合理划分网段，利用网络中间设备的安全机制控制各网络间的访问。要采取一定的技术措施，监控网络中存在的安全隐患、脆弱点。并利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。
2） 访问控制策略
访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够连入内部网络，那些用户能够通过哪种方式登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。
3） 网络入侵检测策略
系统中应该设置入侵检测策略，动态地监测网络内部活动并做出及时的响应。
4） 网络安全审计策略
系统中应该设置安全审计策略，收集并分析网络中的访问数据，从而发现违反安全策略的行为。
5） 运行安全策略
运行安全策略包括：建立全网的运行安全评估流程，定期评估和加固网络设备及安全设备。
2.3网络安全设计
根据对医院外网安全保护等级达到安全等级保护3级的基本要求，外网的网络安全设计包括网络访问控制，网络入侵防护，网络安全审计和其他安全设计。
1） 网络访问控制
实现以上等级保护的最有效方法就是在外网中关键网络位置部署防火墙类网关设备，采用一台天融信网络卫士猎豹防火墙、一台CISCO公司的PIX515和一台网络卫士入侵防御系统TopIDP。
①外网互联网边界防火墙：在局域网与互联网边界之间部署CISCO公司的PIX515百兆防火墙，该防火墙通过双绞线连接核心交换区域和互联网接入区域，对外网的互联网接入提供边界防护和访问控制。
②对外服务区域边界防火墙：对外服务区域与安全管理区域边界部署一台千兆防火墙（天融信NGFW4000-UF），该防火墙通过光纤连接核心交换机和对外服务区域交换机，通过双绞线连接区域内服务器，对其他区域向对外服务区域及安全管理区域的访问行为进行控制，同时控制两个区域内部各服务器之间的访问行为。
③网络入侵防御系统：在托管机房区域边界部署一台网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，为托管机房区域提供边界防护和访问控制。
2） 网络入侵防护
外网局域网的对外服务区域，防护级别为S2A2G2，重点要实现区域边界处入侵和攻击行为的检测，因此在局域网的内部区域边界部署网络入侵检测系统（天融信网络入侵防御系统TopIDP）；对于外网托管机房的网站系统，防护级别为S3A2G3，由于其直接与互联网相连，不仅要实现区域边界处入侵和攻击行为的检测，还要能够有效防护互联网进来的攻击行为，因此在托管机房区域边界部署网络入侵防御系统（启明星辰天阗NS2200）。
①网络入侵防御系统：在托管机房区域边界部署一台采用通明模式的网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，其主要用来防御来自互联网的攻击流量。
②网络入侵检测系统：在外网的核心交换机上部署一台千兆IDS系统，IDS监听端口类型需要和核心交换机对端的端口类型保持一致；在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至IDS监听端口；IDS用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行检测。
3） 网络安全审计
信息安全审计管理应该管理最重要的核心网络边界，在外网被审计对象不仅仅包括对外服务区域中的应用服务器和安全管理区域的服务器等的访问流量，还要对终端的互联网访问行为进行审计；此外重要网络设备和安全设备也需要列为审计和保护的对象。
由于终端的业务访问和互联网访问都需要在网络设备产生访问流量，因此在外网的核心交换机上部署网络行为审计系统（天融信网络行为审计TopAudit），交换机必需映射一个多对一抓包端口，网络审计引擎通过抓取网络中的数据包，并对抓到的包进行分析、匹配、统计，从而实现网络安全审计功能。
①在外网的核心交换机上部署一台千兆网络安全审计系统，监听端口类型需要和核心交换机对端的端口类型保持一致，使用光纤接口；
②在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至网络安全审计系统的监听端口；
③网络安全审计系统用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行安全审计；
④开启各区域服务器系统、网络设备和安全设备的日志审计功能。
4） 其他网络安全设计
其他网络安全设计包括边界完整性检查，恶意代码防范，网络设备防护，边界完整性检查等。
①边界完整性检查：在托管机房的网络设备上为托管区域服务器划分独立VLAN，并制定严格的策略，禁止其他VLAN的访问，只允许来自网络入侵防御系统外部接口的访问行为；对服务器系统进行安全加固，提升系统自身的安全访问控制能力；
②恶意代码防范：通过互联网边界的入侵防御系统对木马类、拒绝服务类、系统漏洞类、webcgi类、蠕虫类等恶意代码进行检测和清除；部署服务器防病毒系统，定期进行病毒库升级和全面杀毒，确保服务器具有良好的防病毒能力。
③网络设备防护：网络设备为托管机房单位提供，由其提供网络设备安全加固服务，应进行以下的安全加固：开启楼层接入交换机的接口安全特性，并作MAC绑定； 关闭不必要的服务（如：禁止CDP（Cisco Discovery Protocol），禁止TCP、UDP Small服务等）， 登录要求和帐号管理， 其它安全要求（如：禁止从网络启动和自动从网络下载初始配置文件，禁止未使用或空闲的端口等）。
3 结束语
信息安全等级保护是实施国家信息安全战略的重大举措，也是我国建立信息安全保障体系的基本制度。作为国家信息安全保障体系建设的重要依据，在实行安全防护系统建设的过程中，应当按照等级保护的思想和基本要求进行建设，根据分级、分域、分系统进行安全建设的思路，针对一个特定的信息系统（医院信息管理系统）为例，提出全面的等级保护技术建设方案，希望能够为用户的等级保护建设提出参考。
参考文献：
[1] 徐宝海.市县级国土资源系统信息网络安全体系建设探讨[J].中国管理信息化，2014（4）.
[2] 李光辉.全台网信息安全保障体系初探[J].电脑知识与技术，2013（33）.
21世纪是信息化的社会，计算机技术不断进步，并在生产领域得到深入应用。特别是会计电算化的推广，把以电子计算机为代表的现代化数据处理工具及以信息论、系统论、数据库、计算机网络等新兴理论和技术应用于会计核算、财务管理工作中以提高财务管理水平和经济效益，实现会计工作的现代化。目前，越来越多的企业开始全业务的采用信息系统，形成了一个网络经济时代，各个企业、事业单位的信息化情况表现出了前所未有的综合性和开放性。这种信息化的高度集中带来了高效益，但同时，也带来了高度的风险，信息系统审计也就在这种历史背景下应运而生。
一、信息系统审计的内涵和外延难以把握
随着信息技术的发展，信息系统在财务、管理领域的应用程度不断提高，功能日趋完善，其软硬件结构的复杂性和涉及领域的广泛性以及信息处理技术更新的频繁性使得审计人员难以同步把握信息系统审计的内涵和外延。从外延上看，信息系统审计主要包括两个部分，一是对信息系统主体的审计，二是对信息系统应用环境的审计，包括网络环境、使用环境、管理使用情况等。一般说来，审计信息系统本身相对容易，但审计信息系统的应用环境却存在较多不确定因素，比如某公司的信息系统通过防火墙连接到互联网，而在防火墙内还存在其它系统，其它系统是不是也在审计范围之内？从内涵上看，信息系统审计主要是对信息系统的安全性和可靠性进行评估、评价。安全性、可靠性是一个比较广泛的概念，以系统安全性为例，它包括：ISO开放系统互连安全体系结构、TCP／IP安全体系、开放系统互连的安全管理、安全服务和功能配置；系统安全涉及的信息安全技术包括：密码技术、访问控制技术、机密性和完整性保护技术、数字签名技术、抗抵赖技术、预（报）警机制、公证技术、防火墙技术、漏洞检测技术、网络隔离技术、计算机病毒防范等。由于信息技术本身的限制性，绝大部分信息系统本身均存在安全性问题（如防护级别最高、防护技术最好的美国国防部也常有被攻击的情况）。
把握不准信息系统审计的外延和内涵，就难以解决以下三个问题：一是难以解决审计力量与审计任务之间的矛盾，难以控制审计风险，即不该审的审了，该审的却未审；二是由于绝大部分信息系统本身均存在安全性问题，信息系统审计很容易演变成“信息系统是否存在问题源自于审计人员的技术水平，而不是系统本身的安全性和可靠性”，即，绝大部分信息系统均存在不安全、不可靠因素，就看审计人员能否发现由于信息系统的安全性问题是绝对的，而审计人员的视角和技术水平是相对的，信息系统审计的成果部分取决于审计人员对信息系统审计内容的把握程度；三是由于审计需要大量的证据支撑，对于未造成损失但信息系统存在不安全隐患的问题难以定性,即便是造成了损失，也难以界定这些损失与信息系统不安全、不可靠因素之间联系。因此，审计部门应根据“全面审计、突出重点”及“先易后难”、“先系统本身后系统环境”的原则，参照国家信息技术部的有关标准，界定信息系统工作的外延和内涵，将信息系统审计的主要方向定在：被审计单位的信息系统的安全性、可靠性是否达到应有的水平或标准，而不是系统是否有安全性和可靠性问题。
二、信息系统审计评价标准很难确定
信息系统安全审计，涉及会计信息处理自动化、表示代码化、信息处理与存储集中化、内部控制程序化等诸多广泛、复杂的计算机专业技术环节，其技术性较高。而我国信息系统审计正处于起步阶段，对审计机关如何开展信息系统审计尚在积极探索中，因此，目前尚没有一个完整的、成熟的具有示范作用的审计案例，也缺少具备实际指导意义的相关信息系统审计准则和操作指南。
近年来，国家安全部门相继出台了多个安全标准，例如公安部出台的《计算机信息系统安全保护等级划分准则》（GB17859－1999）、《信息安全等级保护管理办法》，还有相应的安全技术规范《信息安全技术信息系统通用安全技术要求》（GB／T20271－2006）、《信息安全技术网络基础安全技术要求》（GB／T20270－2006）、《信息安全技术操作系统安全技术要求》（GB／T20272－2006）、《信息安全技术数据库管理系统安全技术要求》（GB／T20273－2006）、《信息安全技术服务器技术要求》、《信息安全技术终端计算机系统安全等级技术要求》（GA／T671－2006）等技术标准。但在实际操作中，这些标准在可操作性上还有待提高，一是信息系统安全等级的确定，缺乏一个等级认定的部门，目前是由各个单位自己定级报送，会存在低报等级风险；二是等级要求没有量化和详细解释，等级认定存在困难。这些都给具体的审计实务工作带来极大的困难。因此建议审计部门及时组织总结实践经验，规范信息系统安全审计的有关概念、审计内容、工作流程和技术方法、形成信息系统安全审计准则、操作指南或实务公告的准则体系，这是信息系统安全审计得以健康发展的基础。
三、信息系统审计缺乏相应的人才
我国目前尚缺乏既熟悉审计业务又掌握计算机技术同时了解国内标准信息系统流程的复合型人才，进行信息系统审计所涉及的知识面非常广，涉及会计、审计、管理和计算机等知识，而进行信息系统安全性审计主要从系统总体安全、系统运行安全、数据中心安全、硬件设备安全和网络安全情况五个方面来进行，每个方面都涉及不同的知识点。当对系统总体安全进行审计时，则要求审计人员具有系统总体分析、系统设计和系统安全分析的知识；当对系统运行进行审计时，则要求审计人员具有系统运行管理、系统维护和系统安全管理的知识；当对数据中心安全进行审计时，则要求审计人员具有工程建设、数据中心安全维护和灾备等知识；当对硬件设备安全进行审计时，则要求审计人员具有设备采购、设备维护和设备安全分析等知识；当对网络安全情况进行审计时，则要求审计人员具有网络安全分析和网络防范等知识。但在当前情况下，审计人员能够掌握上述某一方面的知识都已经难能可贵，更不用说要掌握所有的知识面。建议审计部门加强对审计人员理论培训，并组织审计人员进行实践，通过实践经验来巩固理论知识，培养出更多的信息系统审计复合型人才和相应的专业性人才。
四、信息系统审计需要相应的法规支持和成果考核标准
我们通常依据《中华人民共和国审计法》、《中华人民共和国审计法实施条例》及《国务院办公厅关于利用计算机信息系统开展审计工作有关问题的通知》（〔2001〕88号）的规定：“被审计单位应当按照审计机关的要求，提供与财政收支、财务收支有关的电子数据和必要的计算机技术文档等资料”，要求被审计单位提供电子数据，开展电子数据式审计工作。但开展信息系统安全审计的方法、步骤要求我们必须获取被审计单位信息系统底层数据库的数据字典、程序开发文档、甚至程序源代码等核心文档已经高级管理用户的权限。但事实上大多数被审计单位也不掌握这些核心文档，软件开发公司又以知识产权应收保护为由拒绝提供文档。特别是要求SAP、Oracle等国外软件开发商提供开发文档非常困难。因此，应出台更为明确的法规以支持信息系统安全审计工作。其次，信息系统审计的实施需要耗费大量的人力物力，在目前审计机关工作繁重的背景下，开展此项工作需要审计工作方案以及考评指标的支撑。因此，审计相关部门应该考虑把信息系统审计纳入年初审计工作计划，并出台相应的考评标准。
