时间：2022-03-12 20:17:34
关键词：无线网络；数据安全；思考
一、无线网络安全问题的表现
1.1插入攻击插入攻击以部署非授权的设备或创建新的无线网络为基础，这种部署或创建往往没有经过安全过程或安全检查。可对接入点进行配置，要求客户端接入时输入口令。如果没有口令，入侵者就可以通过启用一个无线客户端与接入点通信，从而连接到内部网络。但有些接入点要求的所有客户端的访问口令竟然完全相同。这是很危险的。
1.2漫游攻击者攻击者没有必要在物理上位于企业建筑物内部，他们可以使用网络扫描器，如Netstumbler等工具。可以在移动的交通工具上用笔记本电脑或其它移动设备嗅探出无线网络，这种活动称为“wardriving”；走在大街上或通过企业网站执行同样的任务，这称为“warwalking”。
1.3欺诈性接入点所谓欺诈性接入点是指在未获得无线网络所有者的许可或知晓的情况下，就设置或存在的接入点。一些雇员有时安装欺诈性接入点，其目的是为了避开已安装的安全手段，创建隐蔽的无线网络。这种秘密网络虽然基本上无害，但它却可以构造出一个无保护措施的网络，并进而充当了入侵者进入企业网络的开放门户。
1.4双面恶魔攻击这种攻击有时也被称为“无线钓鱼”，双面恶魔其实就是一个以邻近的网络名称隐藏起来的欺诈性接入点。双面恶魔等待着一些盲目信任的用户进入错误的接入点，然后窃取个别网络的数据或攻击计算机。
1.5窃取网络资源有些用户喜欢从邻近的无线网络访问互联网，即使他们没有什么恶意企图，但仍会占用大量的网络带宽，严重影响网络性能。而更多的不速之客会利用这种连接从公司范围内发送邮件，或下载盗版内容，这会产生一些法律问题。
1.6对无线通信的劫持和监视正如在有线网络中一样，劫持和监视通过无线网络的网络通信是完全可能的。它包括两种情况，一是无线数据包分析，即熟练的攻击者用类似于有线网络的技术捕获无线通信。其中有许多工具可以捕获连接会话的最初部分，而其数据一般会包含用户名和口令。攻击者然后就可以用所捕获的信息来冒称一个合法用户，并劫持用户会话和执行一些非授权的命令等。第二种情况是广播包监视，这种监视依赖于集线器，所以很少见。
二、保障无线网络安全的技术方法
2.1隐藏SSIDSSID，即ServiceSetIdentifier的简称，让无线客户端对不同无线网络的识别，类似我们的手机识别不同的移动运营商的机制。参数在设备缺省设定中是被AP无线接入点广播出去的，客户端只有收到这个参数或者手动设定与AP相同的SSID才能连接到无线网络。而我们如果把这个广播禁止，一般的漫游用户在无法找到SSID的情况下是无法连接到网络的。需要注意的是，如果黑客利用其他手段获取相应参数，仍可接入目标网络，因此，隐藏SSID适用于一般SOHO环境当作简单口令安全方式。
2.2MAC地址过滤顾名思义，这种方式就是通过对AP的设定，将指定的无线网卡的物理地址（MAC地址）输入到AP中。而AP对收到的每个数据包都会做出判断，只有符合设定标准的才能被转发，否则将会被丢弃。这种方式比较麻烦，而且不能支持大量的移动客户端。另外，如果黑客盗取合法的MAC地址信息，仍可以通过各种方法适用假冒的MAC地址登陆网络，一般SOHO，小型企业工作室可以采用该安全手段。
2.3WEP加密WEP是WiredEquivalentPrivacy的简称，所有经过WIFI认证的设备都支持该安全协定。采用64位或128位加密密钥的RC4加密算法，保证传输数据不会以明文方式被截获。该方法需要在每套移动设备和AP上配置密码，部署比较麻烦；使用静态非交换式密钥，安全性也受到了业界的质疑，但是它仍然可以阻挡一般的数据截获攻击，一般用于SOHO、中小型企业的安全加密。
2.4AP隔离类似于有线网络的VLAN，将所有的无线客户端设备完全隔离，使之只能访问AP连接的固定网络。该方法用于对酒店和机场等公共热点HotSpot的架设，让接入的无线客户端保持隔离，提供安全的Internet接入。
2.5802.1x协议802.1x协议由IEEE定义，用于以太网和无线局域网中的端口访问与控制。802.1x引入了PPP协议定义的扩展认证协议EAP。作为扩展认证协议，EAP可以采用MD5，一次性口令，智能卡，公共密钥等等更多的认证机制，从而提供更高级别的安全。
2.6WPAWPA即Wi-Fiprotectedaccess的简称，下一代无线规格802.11i之前的过渡方案，也是该标准内的一小部分。WPA率先使用802.11i中的加密技术-TKIP（TemporalKeyIntegrityProtocol），这项技术可大幅解决802.11原先使用WEP所隐藏的安全问题。很多客户端和AP并不支持WPA协议，而且TKIP加密仍不能满足高端企业和政府的加密需求，该方法多用于企业无线网络部署。
2.7WPA2WPA2与WPA后向兼容，支持更高级的AES加密，能够更好地解决无线网络的安全问题。由于部分AP和大多数移动客户端不支持此协议，尽管微软已经提供最新的WPA2补丁，但是仍需要对客户端逐一部署。该方法适用于企业、政府及SOHO用户。
2.802.11iIEEE正在开发的新一代的无线规格，致力于彻底解决无线网络的安全问题，草案中包含加密技术AES（AdvancedEncryptionStandard）与TKIP，以及认证协议IEEE802.1x。尽管理论上讲此协议可以彻底解决无线网络安全问题，适用于所有企业网络的无线部署，但是目前为止尚未有支持此协议的产品问世。
关键词:电子商务安全VPN数据传输
一、概述
随着电子商务的发展，INTERNET已经为众多的用户所认可和使用，越来越多的公司、企业和政府部门、科研单位选择通过INTERNET来传输数据和信息。由于INTERNET是一个基于TCP/IP协议的开放式互连网络，在享受其便利的同时，用户的数据资源便有被暴露的可能。而对于涉及到的国家政府、军事、文教等诸多领域，因为其中存贮、传输和处理的数据有许多是政府宏观调控决策、商业经济信息、银行资金转账、股票证券、能源资源数据、科研数据等重要信息，甚至是国家机密，如果被侵犯，则会在政治、经济等方面带来不可估量的损失。所以，在INTERNET上实现数据的安全传输就显得尤其重要。
二、传统的数据安全传输方法
数据安全传输主要解决的问题包括传输数据的真实性，完整性，机密性。真实性是保证数据接收者能够验证消息发送者的真实身份，以防假冒；完整性是指消息接收者能够判断接收到数据在传输过程中是否被非法篡改，确信收到的是完整的数据；机密性是保证敏感数据通过网络传输不会泄密。要实现数据在网络上的安全传输，有以下几种方案可供选择:
1.建立专用通道
在传统的企业或重点保护单位的组网方案中，要进行本地局域网络到异地局域网络互连互通，通常采用建立、租用DDN专线，建立起物理专用通道的，确保数据点到点的直接、准确传输。DDN网是同步网，整个网络传输是全透明的，既保证了用户数据传输的安全性，又使得传输延时较短，可实现点对点的通信。典型案例如银行系统，军事系统，国家重点科研项目实验室等。这种方法进行数据传输时采用的是数据点到点的直接传输，如果不是该网络内部计算机的非法介入，一般不会有网络黑客非法入侵。这一传输过程最安全，可以很好的保持传输数据的真实性，完整性，机密性。但是要在需要连接的不同局域网间敷设或租用DDN专线，购买相应交换和路由设备，因此，建立专用通道所花的费用也最高。
2.使用加密技术
使用加密技术的目的是对传输中的数据流加密，以防止通信线路上的窃听、泄漏、篡改和破坏。在发送端，通过数学方法，将待发送数据进行转换（加密技术），使那些没有获得密钥的人很难读懂;在接收端，拥有密钥的人将接收到的加密数据转换为原来的数据（解密技术）。利用加密技术，可以认证通信的参与者，确认数据传输的完整性，而且可以保证通信的私有性。
如果以加密实现的通信层次来区分，加密可以在通信的三个不同层次来实现，即链路加密，节点加密，端到端加密。一般常用的是链路加密和端到端加密这两种方式。链路加密侧重在通信链路上而不考虑信源和信宿，是对保密信息通过各链路采用不同的加密密钥提供安全保护。链路加密是面向节点的，对于网络高层主体是透明的，它对高层的协议信息（地址、检错、帧头帧尾）都加密，因此数据在传输中是密文的，但在中央节点必须解密得到路由信息。端到端加密则指信息由发送端自动加密，并进入TCP/IP数据包回封，然后作为不可阅读和不可识别的数据穿过互联网，当这些信息一旦到达目的地，将自动重组、解密，成为可读数据。端到端加密是面向网络高层主体的，它不对下层协议进行信息加密，协议信息以明文形式传输，用户数据在中央节点不需解密。
现在较成熟的加密技术采用Netscape开发的安全套接字层协议SSL(SecureSocketsLayer)。
采用加密技术对物理线路没有特殊要求，数据在传输过程中由于要经过internet路由选择，每一个加密数据包在传输过程中可能会经过不同的路径到达目的地，其传输速率受网络上每一个包所通过的最慢节点的限制，使得真个传输速度受到影响，达不到高速传输的要求。三、利用VPN技术构筑安全的数据传输通道
VPN（VirtualPrivateNetwork虚拟专用网络）是一种集以上两种技术为一体的综合技术，它通过利用internet现有的物理链路，虚拟构建起一条逻辑专用通道（也称为隧道），并且在数据发送服务器端对数据加密，然后通过这条通道将数据快速高效的传输到数据接收端，然后通过数据解密，将数据还原提交给客户。它为用户提供了一种通过internet网络安全地对企业内部专用网络进行远程访问的连接方式。
如图1是一个典型的建立在硬件防火墙之间的VPN。图中虚线部分即为一个VPN隧道。
1.虚拟专用网络VPN主要采用的技术
目前VPN主要采用隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术等安全技术来保证数据的安全传输。
隧道技术是VPN的基本技术，类似于点对点连接技术，它在公用网internet上建立一条数据通道(隧道)，让数据包通过这条隧道传输。隧道是由隧道协议形成的，分为第二、三层隧道协议。它们的本质区别在于用户的数据包是被封装在哪种数据包中在隧道中传输的。第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第二层协议进行传输。第三层隧道协议是网络层协议。是把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输;加解密技术是数据通信中一项较成熟的技术，VPN可直接利用现有技术;密钥管理技术的主要任务是如何在公用数据网上安全地传递密钥而不被窃取;身份认证技术最常用的是使用者名称与密码或卡片式认证等方式。后三种技术可由SSL协议一起实现。其握手过程可由图2表示。
2.虚拟专用网络VPN主要采用的协议
IPSec协议集是虚拟专用网络VPN主要采用的协议，它由三个主要部分构成:
(1)Internet密钥交换协议，这个协议在初始协商阶段使用，用以确定加密方法、密钥和其它用于建立安全会话的数据。
(2)认证头部，在每个IP包插入安全头部，这个安全头部用来检验数据包在传输过程中是否被改动，并且认证数据的发送者。认证头部不加密IP包的内容，只是确保其内容是有效的。
(3)封装安全载荷，为了确保私有通信，封装安全载荷加密IP包的内容以及其他头部信息。
3.VPN的解决方案
要实际应用先进的VPN技术，主要有四种类型的解决方案：
(1)基于硬件的VPN。具有专门实现诸如认证、封装、加密和滤通功能的处理器的产品，可提供最高的性能。这类产品通常包括虚拟接人服务器和具备VPN能力的路由器。
(2)基于软件的VPN。服务器平台提供与现存远程接入或路由器选择模块配套的VPN软件模块，在提供VPN功能时,其性能很受影响。
(3)基于防火墙的VPN。将软件模块增加到防火墙包中。
(4)ISP的VPN服务。ISP利用操作自己拥有的基于硬件或防火墙的VPN产品提供可管理的VPN服务。
四、结论
经过VPN的一系列安全技术处理，用户可以在不建立物理链路的基础上，通过现有的internet网络构建一条能满足实际需求的专用通道，在保证数据安全传输的同时，提高传输效率。随着网络技术的不断发展，以及用户对数据传输安全的强烈要求，VPN将会成为网络的主要组成部分，VPN技术也将更趋完善，在电子商务应用中起着决定性的作用。
参考文献:
关键词：大数据；文化安全；挑战；对策
中图分类号：G122 文献标识码：A 文章编号：1003-1502（2017）03-0087-05
一、大数据时代与我国文化发展环境的变化
自进入21世纪特别是其第二个十年以来，在计算机与互联网技术的加速发展和应用的推动下，人类社会开启了一个大规模生产、分配和应用海量数据的时代，即大数据时代。不言而喻，大数据时代的信息风暴给每个国家、社会及个人带来了巨大变革。对于我国文化及其发展环境而言，大数据时代的到来，也使其传播方式、生成路径和影响效应等发生了巨大变革，呈现出与以往不尽相同的时代印记与现实表征。
第一，大数据推动了我国文化传播方式的变革。近现代社会以来的文化传播主要表现为精英化、中心化、单向性和价值主导性等特征。而到了大数据时代，传统的文化传播方式、方法和路径被相当程度地颠覆和变革，表现出与众不同的时代特征。特征之一是文化传播的去精英化和去中心化。以往，文化交流和传播的主导权主要掌握在党宣机构、政府部门、新闻媒体以及专家学者手中，他们在文化传播的议程设置方面有着绝对的主导权；然而，到了大数据时代，由于媒体技术可获得性与便捷性大幅度提高，这就使得普通大众也能够轻松掌握和运用媒体技术。在这种情况下，文化传播的主导权开始下移，借助于微博、微信、博客等自媒体平台，普通大众在文化交流和传播方面的主动性和积极性得到极大提高，从而呈现出去精英化和去中心化的发展趋势。特征之二是文化传播的互动性和价值多元性。进入大数据时代，随着互联网技术的快速发展和文化传播主导权的不断下移，文化传播主体之间的互动性大大增强；而在此影响下，以往那种带有明显价值导向性的文化传播模式的发展空间越来越受到挤压，文化传播过程中呈现出来的价值多元化和多样性也愈发明显和突出。
第二，大数据推动了我国文化生成路径的变革。从一定意义上讲，自文化产生以来，其本身就是一种精英文化。因为文化是一种高度凝结人类智慧和知识的精神产品，只有具有较高知识素养的人或由他们所建立的机构才能够进行生产。进入现代社会以来，由于教育的普及，虽然这种状况得以改观，但文化生产的精英化仍然占据主导地位。步入大数据时代，文化生产的精英化状况从根本上得以改观，文化生产的既有范式发生革命性变革，由过去的撒网式、跟风式、标准化生产变为如今的定制化、差异化、个性化生产。在前大数据时代，文化生产者往往很难对大众的文化需求类型、关注点进行精确化的分析和把握；而到了大数据时代，受众在网络上的每一次点击、每一个评论等数据都可以通过相应的渠道和途径进行全面、系统的收集、整理和分析，从而精确找到普罗大众文化需求的聚焦点、汇聚面。在这方面，腾讯视频可谓是作出了比较成功的探索和尝试。如腾讯视频制作的新闻视频节目《事实说》借鉴了美国Netflix《纸牌屋》的生产模式，将对大数据的分析和应用贯穿于《事实说》的选题、制作、传播、营销的生产全流程，精确地找准受众的关注点和兴趣点，进而在竞争激烈的娱乐视频领域收获不错的市场份额。据统计，自播出以来，《事实说》以其言论的深度和逻辑性、内容的知识含量受到关注，特别在70后、80后、90后群体中形成了一定的影响力，目前第一季共计12期已播完，总播放量达8千万、评论量达19万、大数据调查的参与量达3千万[1]。
第三，大数据推动了我国文化影响效应的变革。过去，受制于通信条件、地域阻隔等因素的影响，文化的扩散和传播往往只能局限于一时一隅，文化的影响力受到很大限制。到了大数据时代，在网络通信技术的推动下，一种新的流行文化往往在很短时间内就能传播到全球范围，在不同地域、不同种族的人群中产生巨大影响。就我国的情况而言，以往，受文化生产力发展水平等因素的限制，我国文化在国际文化交流和传播中的影响力比较微弱。然而，近十年来，在大数据时代信息技术的助推下，我国文化与相关文化产业的国际竞争力得到很大提升，正在一步步走出国门，成为传播国家形象与提升国家竞争力的一张亮丽名片。仅以依赖网络通信技术程度较高的网络游戏这一文化产业为例，根据《中国游戏产业报告》统计的数据显示：从2006年开始，中国网游海外出口就开始呈现爆发式增长，近十年来，中国网络游戏出口规模已经涨了30倍之多。2015年，中国自主研发网络游戏海外出口实际销售收入达到53.1亿美元，同比增长72.4%。可以说，网络游戏已经超越其他文化形式，成为中国文化出口的主力军。
二、大数据时代背景下我国文化安全面临的挑战
（一）信息安全风险剧增
步入大数据时代，计算机与互联网已是日常工作和生活中的必备工具，给整个社会带来了极大的便利。但是，我们也应看到，正是由于计算机与互联网的大面积使用，也使得信息安全所面临的风险和挑战与日俱增。如果那些记录着个人和组织的海量信息被泄露或被盗取，将会给用户、企业乃至整个国家的安全和利益带来极大的损害。如有媒体就曾报道，2015年4月22日，重庆、上海、山西、沈阳、贵州、河南等超30个省市卫生和社保系统出现大量高危漏洞，数千万用户的社保信息可能因此被泄露。从补天漏洞响应平台获得的数据显示，绕社保系统、户籍查询系统、疾控中心、医院等曝出高危漏洞的省市已经超过30个。据统计，仅社保类安全漏洞所导致的信息泄露就超过5279.4万条，涉及人员数量达数千万，其中包括个人身份证、社保参保信息、财务、薪酬、房屋等敏感信息。2015年的10月19日，乌云漏洞报告平台接到一起惊人的数据泄密报告后新漏洞，漏洞显示网易用户数据库疑似泄露，影响到网易163、126邮箱过亿数据，泄露信息包括用户名、密码、密码密保信息、登录IP以及用户生日等[2]。
（二）西方文化入侵和渗透日益加剧
在经济全球化的助推下，以美国为代表的西方文化席卷全球，向世界各个角落辐射和传播。对于广大发展中国家来说，这种西方文化的传入虽然在一定程度上有利于本国文化与外国文化的交流与融合，但同时也使得许多发展中国家的文化安全面临着极大的风险和挑战。在这一过程中，中国也未能幸免。正是基于这一现实，中国政府一直以来高度重视国家文化安全，在保障正常的国际文化交流与合作的同时，也采取了多种措施防范西方文化的过度入侵和B透，并取得了积极的进展和成效。然而，进入新世纪以来，特别是近十年来，随着大数据时代的来临，在新的信息技术推动下，以美国为代表的西方文化入侵和渗透比以往更甚，几乎是无孔不入，并呈现出新的特征和趋势。一是方式更加多样。在大数据时代环境下，政治、经济、文化、军事、外交等领域和途径都是西方国家经常使用到的文化入侵和渗透方式。二是手段更加隐蔽。手段的隐蔽性是大数据时代条件下西方文化入侵和渗透的又一个重要特征。因为大数据环境下的文化入侵和渗透只需要网络终端就可以进行，而无需人与人之间的直接接触，这就使得防范文化入侵和渗透变得更加困难。三是影响更加深入和广泛。大数据时代西方文化入侵和渗透所造成的影响程度既是深入的，也是广泛的。这一方面体现为西方文化的入侵和渗透对每一个人的日常生活都构成了深刻的影响，另一方面也体现为西方文化的入侵和渗透对国家的政治、经济和文化等各方面都构成深刻的影响。
（三）文化产业市场遭受蚕食
在现代经济体系中，文化产业已经成为国民经济的支柱之一，在推动经济增长和满足人们精神需求方面发挥着越来越重要的作用。在西方发达国家，尤其是在美国，文化产业对经济的贡献值越来越突出和重要。改革开放以来，我们对文化产业重要性的认识越来越深入，也采取了多种措施推动国家文化产业发展。然而，作为一个文化资源大国，我国文化产业发展相对薄弱，许多方面尚处于未开发或未充分开发的状态，这就使得具有巨大比较优势的西方文化产业能够不断入侵和蚕食中国市场，从而对我国文化产业市场构成严重冲击。文化部前部长孙家正就不无警醒地指出：“近几年来，随着经济全球化和我国加入WTO，我们面临着激烈的国际文化竞争。少数西方发达国家凭借其雄厚的资本实力、强大的文化传播优势和丰富的市场运作经验，借助现代市场机制和高新科技手段，将大量的精神文化产品输入中国，在获得巨大的商业利润的同时，对我进行文化的扩张和渗透，抢占、争夺我国的文化市场、文化资源和文化阵地，严重威胁了我国的文化和文化安全。”[3]进入大数据时代以来，由于西方发达国家在信息技术方面有着天然的优势，西方文化产业入侵更为便利，这就使得我国文化产业市场面临着更为严峻的挑战。
（四）主导意识形态和主流价值观面临被边缘化的危险
在大数据时代背景下，西方文化在通过各种途径进入中国蚕食中国文化市场的同时，还使我们的主导意识形态和主流价值观面临着被边缘化的危险。这是因为，那些在大众中颇受热捧的西方流行文化、快餐文化表面上看只是占领和蚕食了我们的文化市场，但是，如果我们深入其中就会发现，这些文化消费品同时在传递着西方的价值观念、政治理念和意识形态。一直以来，以美国为代表的西方发达国家正是注意到了这一点，不间断地利用文化贸易、文化产品输出等方式向我们或公开或隐蔽地推销其政治制度、价值观念、意识形态和生活方式。况且，由于我国目前经济发展阶段、技术发展水平同西方发达国家还有很大差距，文化产业不够发达，不能完全满足人们特别是青少年对高水平文化的消费需求，从而使他们对西方文化产生向往和依赖。可以肯定，长期浸染于西方文化，其价值观就很容易被西化，而我们所倡导的主流意识形态和主流价值观则很容易被淡忘。以弘扬爱国和孝道的中国传统故事花木兰为例，这个故事本来讲述的是一个女孩代父从军、保家卫国的英勇故事，在被美国迪士尼公司改编为动画片后，其主题已经变为女性对自我价值的追求，爱国和孝道的主题被“实现自我”的主题所取代。此片被引进后，在青少年中比较受欢迎。在文化输入过程中像这样的例子还有很多，很显然，如果这一状况持续下去，我们的主导意识形态和主流价值观就很容易被边缘化。
三、大数据时代背景下维护我国文化安全的对策
（一）建构文化安全预测和预警机制
常言道：凡事预则立不预则废。从这个意义上看，要有效维护我国文化安全，就必须首先从现实国家长治久安的战略高度认识到建立文化安全预测和预警机制的重要性和必要性。而且，在大数据时代背景下，得益于信息网络技术的便捷性、可追踪性和互联互通性，也使得建立文化安全预测和预警机制具备了可能性和现实性。具体来说，在充分利用大数据的技术优势建立文化安全预测和预警机制上，我们可以从以下两方面来着手：一是要着力构建一个系统化的文化安全预测和预警平台。这一平台要把负有维护文化安全责任的各个政府职能部门有效地联合和吸纳进来，建立统一、高效的合作机制和工作体系，要通过对文化安全信息及时准确地收集、分析和判断，从而发现危险因素和信号，及时做出预警，以供决策部门制定相应对策。二是要制定一个具备科学性、标准化和可操作性的文化安全预测和预警指标体系。这一预测和预警体系要能够“通过对国内文化遗产保护状况的随机检测和国际文化市场文化商品的流动趋势及其以各种渠道影响和进入我国文化市场所可能导致对我国文化生态、文化产业、文化市场发展构成威胁，特别是可能引发对我国文化生态和文化产业发展构成灾难性后果的不良趋势的分析，能够及时而准确地作出预告性和警示性反映”[4]。
信息安全体系模型由基础安全设施、信息安全管理、安全技术支撑和安全保障服务四个层面构成，为事后数据处理系统提供全面的安全体系保障。•基础安全设施：基础安全设施为数据处理系统信息安全体系建立一个可相互信任的环境，是其他安全技术实施的基础。基础安全设施以PKI（公钥基础设施）／PMI（特权管理基础设施）／KMI（密钥基础设施）技术为核心，实现证书认证、权限管理、密钥管理、可信时间戳、密码服务等功能。•信息安全管理：在数据处理系统信息安全体系中，管理占有相当大的比重。信息安全管理包括策略管理、组织管理、制度管理、网络管理、设备管理、系统管理、病毒管理、介质管理、安全审计管理等功能。•安全技术支撑：利用各类安全产品和技术建立起事后数据处理安全技术支撑平台。安全技术支撑包括物理安全、运行安全和信息安全。物理安全包括环境安全、设备安全和介质安全；运行安全采用防病毒、入侵检测和代码防护等成熟技术对网络进行防护；信息安全包括访问控制、信息加密、电磁泄漏发射防护、安全审计、数据库安全等功能。•安全保障服务：安全保障服务确保在出现自然灾害、系统崩溃、网络攻击或硬件故障下，事后数据处理系统得以快速响应和恢复，并定期进行安全培训服务，建立安全可靠的服务保障机制。
2体系划分
2.1基础安全设施
事后数据处理系统基础安全设施是以PKI／PMI／KMI技术为基础而构建的证书认证、权限管理、密钥管理和密码服务等基础设施。基础安全设施提供的技术支撑适用于整个事后数据处理系统，具有通用性。基础安全设施的技术运行和管理具有相对的独立性。1）证书认证证书认证是对数字证书进行全过程的安全管理。由证书签发、密钥管理、证书管理、本地注册、证书／证书撤销列表查询、远程注册等部分构成。2）权限管理权限管理是信息安全体系基础安全设施的重要组成部分。它采用基于角色的访问控制技术，通过分级的、自上而下的权限管理职能的划分和委派，建立统一的特权管理基础设施，在统一的授权管理策略的指导下实现分布式的权限管理。权限管理能够按照统一的策略实现层次化的信息资源结构和关系的描述和管理，提供统一的、基于角色和用户组的授权管理，对授权管理和访问控制决策策略进行统一的描述、管理和实施。建立统一的权限管理，不仅能够解决面向单独业务系统或软件平台设计的权限管理机制带来的权限定义和划分不统一、各访问控制点安全策略不一致、管理操作冗余、管理复杂等问题，还能够提高授权的可管理性，降低授权管理的复杂度和管理成本，方便应用系统的开发，提高整个系统的安全性和可用性。3）密钥管理密钥管理是指密钥管理基础设施，为基础安全设施提供支持，并提供证书密钥的生成、存储、认证、分发、查询、注销、归档及恢复等管理服务。密钥管理与证书认证服务按照“统一规划、同步建设、独立设置、分别管理、有机结合”的原则进行建设和管理，由指定专人维护管理。密钥管理与证书认证是分别设立，各自管理，紧密联系，共同组成一个完整的数字证书认证系统。密钥管理主要为证书认证提供用户需要的加密用的公／私密钥对，并为用户提供密钥恢复服务。4）密码服务密码服务要构建一个相对独立的、可信的计算环境，进行安全密码算法处理。根据系统规模，可采用集中式或分布式计算技术，系统性能动态可扩展。事后数据处理系统采用集中式计算技术。
2.2安全技术支撑
安全技术支撑是利用各类安全产品和技术建立起安全技术支撑平台。安全技术支撑包括物理安全、运行安全和信息安全。物理安全包括环境安全、设备安全和介质安全；运行安全包括防病毒、入侵检测和代码防护等；信息安全包括访问控制、信息加密、电磁泄漏发射防护、安全审计、数据库安全等功能。
2.2.1物理安全
物理安全的目标是保护计算机信息系统的设备、设施、媒体和信息免遭自然灾害、环境事故、人为物理操作失误、各种以物理手段进行的违法犯罪行为导致的破坏、丢失。物理安全主要包括环境安全、设备安全和介质安全三方面。对事后数据处理中心的各种计算机、外设设备、数据处理系统等物理设备的安全保护尤其重要。对携带进入数据处理中心的U盘、移动硬盘、可携带笔记本等移动介质进行单独安全处理。
2.2.2运行安全
运行安全采用防火墙、入侵检测、入侵防护、病毒防治、传输加密、安全虚拟专网等成熟技术，利用物理环境保护、边界保护、系统加固、节点数据保护、数据传输保护等手段，通过对网络和系统安全防护的统一设计和统一配置，实现全系统高效、可靠的运行安全防护。系统安全域划分为事后数据处理中心专网安全域、靶场专网安全域、外联网安全域。事后数据处理中心专网与靶场专网安全域逻辑隔离，靶场专网与外联网安全域逻辑隔离。1）防火墙防火墙技术以包过滤防火墙为主，对系统划分的各个安全域进行边界保护。在事后数据处理中心出入口、网络节点出入口、外网出入口等节点安装配置防火墙设备，保证数据传输安全。2）入侵检测入侵检测对事后数据处理系统的关键安全域进行动态风险监控，使用成熟的入侵检测技术对整个系统网络的入侵进行防控。3）病毒防治在各网络节点保证出入站的电子邮件、数据及文件安全，保证网络协议的使用安全，防止引入外部病毒。在事后数据处理系统的重要系统服务器（包括专业处理服务器、数据服务器等）配置服务器防病毒产品。在所有桌面系统配置防病毒防护产品，提供全面的跨平台病毒扫描及清除保护，阻止病毒通过软盘、光盘等进入事后数据处理系统网络，同时控制病毒从工作站向服务器或网络传播。在事后数据处理中心配置防病毒管理控制中心，通过安全管理平台管理控制服务器、控制台和程序，进行各个防病毒安全域的防病毒系统的管理和配置。
2.2.3信息安全
信息安全包括访问控制、信息加密、电磁泄漏发射防护、安全审计、数据库安全等功能。信息安全技术是保证事后数据处理中心的原始测量数据、计算结果数据、图像数据等各类数据的安全技术，使用成熟的安全信息技术产品完成全面的信息安全保障。1）访问控制访问控制主要包括防止非法的人员或计算机进入数据处理中心的系统，允许合法用户访问受保护的系统，防止合法的用户对权限较高的网络资源进行非授权的访问。访问控制根据方式可分为自主访问控制和强制访问控制。自主访问控制是事后数据处理中心各级用户自身创建的对象进行访问，并授予指定的访问权限；强制访问控制是由系统或指定安全员对特定的数据、对象进行统一的强制性控制，即使是对象的创建者，也无权访问。2）安全审计事后数据处理中心运用安全审计技术对系统的软件系统、设备使用、网络资源、安全事件等进行全面的审计。可建立安全保密检测控制中心，负责对系统安全的监测、控制、处理和审计，所有的安全保密服务功能、网络中的所有层次都与审计跟踪系统有关。3）数据库安全数据库系统的安全特性主要是针对数据而言的，包括数据独立性、数据安全性、数据完整性、并发控制、故障恢复等几个方面。
3事后处理系统解决方案
事后数据处理系统主要用于完成遥测和外测的事后数据处理任务，提供目标内外弹道参数，并存储和管理各类测量数据，为各种武器试验的故障分析和性能评定提供支撑和依据。该系统必须具备的主要功能如下：•海量的数据输入输出和存储管理功能；•快速的各类试验测量数据处理功能；•可靠的数据质量评估和精度分析功能；•有效的信息安全防护功能；•强大的数据、图像、曲线显示分析以及报告自动生成功能。建立事后数据处理系统信息安全运行与管理的基础平台，构建整个系统信息安全的安全支撑体系，保证事后数据处理系统各种业务应用的安全运行，通过技术手段实现事后数据处理系统安全可管理、安全可控制的目标，使安全保护策略贯穿到系统的物理环境、网络环境、系统环境、应用环境、灾备环境和管理环境的各个层面。•实现事后数据处理任务信息、型号信息、处理模型、模型参数、原始数据、计算结果、图像数据的安全保护；•建立起认证快捷安全、权限／密钥管理完备、密码服务安全的安全设施；•建立起功能齐全、协调高效、信息共享、监控严密、安全稳定的安全技术支撑平台；•建立事后数据处理系统信息安全体系的技术标准、规范和规章制度。
4结语
1.1计算机病毒计算机病毒是威胁计算机数据安全的关键因素，计算机感染性强、传播速度快、蔓延范围广，同时具有较强的隐蔽性。一旦计算机病毒进入程序，带有计算机病毒的数据文件如果在计算机网络环境中共享或者传输，在浏览或者打开其他计算机时，这些计算机也会感染病毒，从而发生连锁式的病毒传播，如果计算机病毒过度，会严重损坏计算机操作系统，造成系统死机，丢失大量的重要数据信息。
1.2服务器信息泄露由于计算机操作系统的程序存在一定自身缺陷，在计算机操作系统不能正确处理相关错误时，非法入侵者会利用这些系统漏洞进入系统内部，发起对操作系统的恶意攻击，严重影响数据的安全性和保密性。
1.3非法入侵由于计算机网络环境具有开放性和互联性的特点，非法入侵者往往利用监视、窃取等非法手段，获取计算机网络用户的IP包、口令和用户名信息，利用这些信息进入计算机局域网，非法入侵者通过冒充系统客户或者合法主机用户，用合法用户的IP地质代替自己的IP地址，窃取和篡改计算机网络数据。
2数据加密技术分析
2.1确定加密目标在计算机网络系统中应用数据加密技术，首先要明确系统中那些数据需要加密，明确数据加密目标：其一，笔记本、工作站、服务器等手持智能设备和可移动存储设备中有那些重要数据信息；其二，重要数据信息在这些存储设备的什么文件或者什么位置保存；其三，这些重要数据信息在计算机网络环境中进行传输是否具有保密性和安全性；其四，在网络通信过程中WEB浏览是否涉及重要数据信息，从而确定加密目标。
2.2数据机密技术类型
1）对称数据加密技术。对称数据加密技术采用相同密码体制的解密密钥和加密密钥。在计算机网络系统中使用对称数据加密技术，通信双方使用相同的一个密钥对数据进行解密和加密，通信双方在信息交换和传输过程中只要确保密钥不泄露，就可以保障数据信息的完整性和机密性。对称数据加密技术采用DES算法以及其变形算法，DES算法主要是将计算机系统的数据转换为二元数据，然后对这些数据进行加密，数据信息划分为64位，采用56位的密钥，其他8位作为奇偶校验码。数据信息的每一个分组采用不同的组合形式，对数据进行异或运算、替换以及变位组合，最后构成64位的加密数据。
2）非对称数据加密技术。非对称数据加密技术采用不用的密钥对计算机系统数据进行解密和加密，即包含私钥和公钥，公钥在计算机系统中是公开的，用户通过公钥可以对系统中公共信息进行解密，而接收者使用私钥来解密接收文件，这样可以有效提高数据信息在计算机系统中传输的安全性。
3）公开密钥加密技术。公开密钥加密技术有一个解密密钥，还有一个加密密钥，并且解密密钥和加密密钥是成对的，在加密数据信息使用加密密钥，在解密时使用解密密钥，虽然加密密钥和解密密钥两者之间是一种数学关系，但是加密密钥无法由解密密钥推算出来，解密密钥也无法由加密密钥推算出来。计算机网络系统用户使用加密密钥对数据信息加密之后，接收者只有首先获得解密密钥才能将接收的数据进行解密，这种公开密钥加密技术具有较强的安全性，在计算机网络系统中发挥着非常重要的作用。
3数据加密技术在计算机安全中的应用数据
加密技术是一种重要的计算机网络安全技术，有效地防止非法入侵者篡改、查看网络中的重要信息和文件。数据加密技术通过对网络系统中的信息数据进行加密，来确保计算机网络系统的安全性，能够主动的防御网络安全隐患。数据加密技术在不同领域、不同行业的应用形式和应用方式有很大的不同，例如，数据加密技术在无线网络系统中的应用，主要是基于网络协议将AES加密算法和计算机网络系统安全机制进行有效结合，同时在一些保障计算机数据传输安全技术中也加入了AES加密算法，从而保障计算机网络系统中的数据传输安全；数据加密技术在电子商务平台上的应用，充分发挥了AES算法安全性高的优势，保障了在SSL协议环境下用户的个人信息和密码等重要的数据信息；在硬件设备中应用数据加密技术，在现实生活中我们的身份证、门禁卡以及公交卡中都含有IC芯片，如果在IC芯片中融入AES加密算法，将会极大地提高用户个人信息的安全性。数据加密将具有识别性的明文密码转变为难以识别的密码形式，对不同的密钥使用加密算法进行加密，从而形成不同类型的密文，加强数据安全。通常情况下，数据加密主要有端到加密、链路加密和节点加密三种形式。当前流行的网上银行，主要采用的是链路加密形式，有效地保障了计算机和网络系统的安全。密钥是数据加密技术的重要创新，具有很高的安全性，公用和私人两种密钥被广泛的应用在多个领域。在计算机网络交易环境中，人们在使用信用卡进行网络购物时，商家会拥有公用密钥，可以解读用户信用卡的交易信息和个人信息，而利用密钥对信用卡信息数据进行加密，从而保障数据信息的安全，限制信用卡的权限。
4结束语
关键词：安全审计系统，地址映射方法
1 背景及目的
近年来，随着网络应用的普及，几乎所有的政府机关、企事业单位都将接入了互联网。互联网让人们快速地了解世界各地的最新资讯，通过各种通讯手段准确迅捷地传递信息，在各种论坛、博客、空间畅所欲言，给单位和个人带来了极大的方便。
但是，伴随着人们对互联网的依赖网络安全论文，由于缺乏有效的网络管理手段新的风险也随之而来。主要表现在以下几个方面：一是内部计算机被外部人员非法侵入，窃取国家涉密信息和企业商业秘密；二是内部人员向外部泄漏国家涉密信息和企业商业秘密；三是工作人员利用办公计算机在互联网发布、传播违法信息。以上情形都可能给单位带来了不可估量的法律纠纷和经济损失，给单位和单位相关负责人造成极其严重的不良影响中国论文网。此时网络安全日益得到人们的重视，安全审计系统也应运而生。它通过实时审计网络数据流，根据用户设定的安全控制策略，对受控对象的活动进行审计。
目前的安全审计系统网络接入方式一般有两种方式：在互联网出口处利用TAP设备分流一路数据给安全审计系统，如图1所示；在局域网核心交换机上通过端口镜像方式将上网数据“复制”给安全审计系统，如图2所示。这两种方式都能获得完整的互联网上网信息，然后系统按照已设定的各项安全策略进行信息审计，及时反映结果。不过此类解决方式还是存在一定的局限性，因为这种数据的采集方式决定了它所截获的用户上行数据包的源IP/Port和下行数据包的目的IP/Port职能是局域网内网IP/Port，不能掌握该用户计算机在经过路由器或防火墙之后的公网IP/Port，在某些情况下如国家安全部门或公安机关对某些互联网违法犯罪的源头追查时跟踪到属于某单位的互联网接入地址，但在进一步确定相关具体实施人员时由于经过了NAT地址转换无法核实内部行为人，而此时安全审计系统也无能为力。
本方法的目的在于解决现有安全审计系统不能提供摘要增加很高的硬件软件成本网络安全论文，升级较为方便。
2 技术原理
安全审计系统本身没有参与NAT地址转换，它无法主动获得内外网地址映射关系，需要模拟发现实际映射关系。技术原理为：主动发送数据包探测NAT转换前后的地址映射关系，包括：映射关系探测的触发，探测数据包的构建，探测数据包的发送，经NAT转换后的探测数据包的截获与分析，最后建立地址映射关系并保存。
地址关系映射表是以源IP，源Port，目的地址为索引的映射关系表，并随时探测系统，在发现映射关系表中没有的或者已经过期的条目时，触发探测活动；截获经NAT转换后的探测数据包后，更新地址映射关系表并保存。
探测数据包IP报头中的源IP、目的IP与内网用户计算机实际发送数据包源IP、目的IP相同；探测数据包TCP/UDP头中的源Port、目的Port与内网用户计算机实际发送数据包源Port、目的Port相同；探测数据包Ethernet层的源MAC地址应为一个内部网络中不存在的MAC地址，以保证探测数据包不会对内部网络硬件设备的ARP地址表造成混乱；探测数据包IP报头中的TTL字段设置为安全审计系统发送探测数据包的物理接入点和探测数据包的截获物理接入点之间路由器数目基础上再加1网络安全论文，以保证探测数据包在进入因特网到达第一跳路由器即被丢弃，对因特网不造成任何负担。
3 技术实现
下面介绍技术实现方法的步骤：
（1）安全审计系统截获内外网交互的全部数据包，通过“匹配上行数据包X源MAC地址是否为Y”过滤上行数据包，Y为探测数据包Ethernet层的源MAC地址，例如10-10-10-10-10-10中国论文网。匹配成功则不做任何处理继续处理下一个数据包，匹配失败则进入下一步骤.
（2）将上行数据包X的源IP、目的IP、源Port和目的Port作为四元组在安全审计系统中的映射关系表中查询，如查询已存在映射关系，重置该映射关系失效定时器，并回到步骤1中继续处理下一个数据包，否则进入下一步骤；
（3）安全审计系统构建探测数据包A，A中目的MAC地址与X中目的MAC地址相同，源MAC地址为步骤1中Y；A中源IP/Port，目的IP/Port与X中对应字段相同；A中应用层为X中源MAC地址、源IP/Port以及当前的日期时间信息；A中IP报头TTL字段设置为安全审计系统发送探测数据包的物理接入点和截获探测数据包物理接入点之间路由器的个数再加1。
（4）安全审计系统使用适当的发送机制将上述探测数据包A发送到内部网络。
（5）安全审计系统使用适当的数据包截获机制在外部网络中，以“TTL字段值为1”作为包过滤条件，接收A经过NAT转换后的数据包B。
（6）安全审计系统通过解析B网络安全论文，获取经NAT转换后的IP/Port以及应用层中NAT转换前的IP/Port和时间戳信息，即可获得内部用户计算机MAC、IP、Port与NAT转换后的外网IP、Port之间的地址映射关系及产生该关系的具体时间。
（7）安全审计系统将该条映射关系保存在系统内并为其设置合适的定时器，将该映射关系以及产生时间同时记录到长期存储介质。定期器过期后，安全审计系统在映射关系表中删除该条记录，同时将长期存储介质中该条映射关系设置为过期状态，并记录具体过期时间。
4 结论
本方法解决了当前安全审计系统存在的不足之处，提出一种获取内外网地址映射关系的方法，包括映射关系的发现和映射表的维护、保存方法，并能够避免对被审计网络和因特网产生不良影响，为进一步完善安全审计系统功能和加强网络安全提供了更好的保障。
参考文献
[1]W.RichardStevens. TCP/IP详解，卷1：协议.人民邮电出版社，2010.4
[2]吴功宜.计算机网络高级教程.清华大学出版社，2007.3
[3]宋西军.计算机网络安全技术.北京大学出版社，2009.8
[4]胡道元.计算机局域网.清华大学出版社，2001
[5]刘占全.网络管理与防火墙.人民邮电出版社，1999
关键词：高校；信息安全；监控系统；开发
一、当前校园网信息安全面临的困境
当前高校网络建设深入到教学、科研、社会服务等各个领域，成为高校师生获取信息、丰富知识、学习交流的重要渠道。网络在推动教育改革发展、促进思想文化交流、丰富师生精神生活等方面起到积极作用，但也带来了负面影响。各种敌对势力把校园网作为渗透、煽动和破坏的重要工具，借助网站论坛、聊天室、虚拟社区、新闻跟帖等多种方式，散布资产阶级自由化言论，攻击党的路线方针政策：利用热点和敏感问题，蓄意制造谣言，煽动师生不满情绪，破坏正常教学秩序；传播色情、凶杀暴力和封建迷信等不良信息，对大学生健康成长带来了不可估量的负面影响，高校网络信息安全管理面临新挑战。
公安部、网络监察处、教育部门等越来越重视信息安全管理，三申五令地要求各级单位做好信息安全工作。校园网信息安全已经成为校园安全工作的重点之一。但校园网本身存在“重技术、轻安全、轻管理”的倾向，高校网络与生俱来的开放性、自由性和脆弱性使各类违法信息容易趁虚而入。校内各单位都建有自己的网站，几乎每个网站都有论坛和留言系统。据统计，各所重点高校论坛及留言板平均超过150个，网站管理难度极大。要找出校园网内所有非法信息，实非人力所能及。为了规范校园网安全管理，众多高校采用以下校园网整改措施：
(一)统一使用由校固网主管部门提供的MSSQLServer数据库，以便校园网信息监督部门快捷检查；
(二)论坛或留言板只允许IP发表文章；
(三)用户发表的文章必须由论坛管理员审核，通过审核后才能在页面显示：
(四)在服务器端对校园网内新的文章进行数据过滤，滤掉非法敏感内容，过滤的准确率达到80％以上。
以上措施存在一定的弊端，统一使用一种MsSQLServer数据库在一定程度上限定死了网站建设的技术架构，没有给网站建设者足够的发挥空间：另外从技术角度上分析，使用同一个数据库并不能给搜索非法信息带来方便；如果论坛或留言板仅允许校内IP发表文章的话，那么校外人士、居住在校外的教师甚至放假回家的学生通过公网浏览校内网站时想发表文章，即使文章中没有非法关键字，也不能在校内网站发表成功。这样做会使校园网固步自封，大大降低校内网站的人气，不利于扩大高校在社会上的影响力和知名度，不利于学校与外界的交流：而用户发表的文章必须由论坛管理员审核，通过审核后才能在页面显示，会加大网站管理人员的工作强度和压力，同时会影响网友发表文章的积极性。因此开发专用于校园网信息网络安全的自动监控系统显得十分必要。
二、高校自行行开发信息安全监控系统的可行性
公安部、网监处、教育部门和各高校对校园网信息安全的重视使之成为市场热点，众多IT公司都开发出互联网的信息安全监控审计系统，其中比较完善的系统综合采用数据挖掘技术、数据报文捕获技术、协议解码还原技术、内容匹配技术、插件技术等各种先进开发和管理技术，支持绝大多数主流网络协议的监控审计。虽然此类系统功能强大，但功能繁杂，部署起来耗时费力，还要购买厂商指定的硬件设备，致使其价格非常昂贵，动辄上十万几十万。厂商针对互联网的普遍情况开发出来的产品未必适合高校网络的特定需要，造成设备功能浪费。在高校科研经费紧张的情况下购买这些系统不符合许多高校构建节约型校园的发展战略。
高校信息安全的特殊性决定了要由自身来主导，目前高校购买IT厂商开发的网络监控产品的并不多。未来发展趋势是各高校根据实际校情，充分发掘自身技术潜力，自主开发或协同IT厂商共同研发，做出具备安全监控审计系统，并适合高校实际情况的校园网信息安全产品，并结合行政和法律手段，净化校园网空间。各高校可以利用现有服务器，无需再对软硬件进行投资，只需采用Java开源软件做为开发工具，可节省大笔资金。
三、信息监控系统的特点
许多高校管理部门指定专人浏览校内留言板及论坛，对于非法信息发现一条删除一条，并做详细记录，效率低、消耗大；尽管管理人员疲于奔命，但仍常收到公安网监处警告，校园网存在需要立即删除的有害信息。
针对以上情况，新系统采用高效搜索引擎，提高信息搜索自动化程度。对校园网数据包进行过滤，自动搜索非法关键字信息，对校内众多网站论坛及留言系统、FTP站点等出现的各种不良信息、高校突发事件时产生的大量过激言论，系统将立即自动报警，快速定位此类信息的源头，争取在造成恶劣影响之前及时封堵，并追究有关当事人的责任。从而弥补人工监控容易遗漏和公共搜索引擎不能查找敏感数据的缺点，切实减轻管理部门工作强度与工作压力，提高信息安全整体水平。
整个监控系统以较少的经费开发，省去购买IT厂商大型监控审计系统的资金。只针对相对少数的非法敏感信息，对校园网信息查而不禁，疏而不堵，保留师生在网络上发表文章的权利，坚持校园网开放和自由的原则，同时该监控系统的部分功能可向全校师生开放使用，师生可以非常方便地检索所需的校内数据和信息，提高对全校数据信息的共享。
采用网络平台流行的Java语言开发高效搜索引擎，利用Java线程技术实现定时搜索，利用Java用户界面技术开发系统使用界面。采用MSSQLServer数据库作为数据存储系统，系统搜索到的资料记录和系统运行中产生日志信息将被存储在骼SQLServer数据库中。
安装一台专用的服务器对数据包进行过滤，过滤只针对校园网新产生的信息，对网络上新产生的特定类型数据进行拆包，分析其中的内容，如果带有非法关键词字眼，则将其禁止。
系统基本功能模块：
(一)基于Java的高效搜索引擎：负责搜索全校园网内的非法敏感信息。
(二)定时搜索功能：采用Java线程技术，可以设置每分钟或者更长时间自动搜索。
(三)非法敏感关键词记录：一个非法敏感信息词库，可以自动记忆或者手工添加关键词，如“枪支”、“”、“”等等。
(四)自动报警功能：凡是搜索到校内网站上有包含非法关键词的内容都被视为非法信息，系统自动声音报警。提示操作者分析处理。
(五)日志记录：系统将每次搜索到非法信息及其资料记录形成日志文件存入数据库中，方便以后备查。
关键词：高校；信息安全；监控系统；开发
一、当前校园网信息安全面临的困境
当前高校网络建设深入到教学、科研、社会服务等各个领域，成为高校师生获取信息、丰富知识、学习交流的重要渠道。网络在推动教育改革发展、促进思想文化交流、丰富师生精神生活等方面起到积极作用，但也带来了负面影响。各种敌对势力把校园网作为渗透、煽动和破坏的重要工具，借助网站论坛、聊天室、虚拟社区、新闻跟帖等多种方式，散布资产阶级自由化言论，攻击党的路线方针政策：利用热点和敏感问题，蓄意制造谣言，煽动师生不满情绪，破坏正常教学秩序；传播色情、凶杀暴力和封建迷信等不良信息，对大学生健康成长带来了不可估量的负面影响，高校网络信息安全管理面临新挑战。
公安部、网络监察处、教育部门等越来越重视信息安全管理，三申五令地要求各级单位做好信息安全工作。校园网信息安全已经成为校园安全工作的重点之一。但校园网本身存在“重技术、轻安全、轻管理”的倾向，高校网络与生俱来的开放性、自由性和脆弱性使各类违法信息容易趁虚而入。校内各单位都建有自己的网站，几乎每个网站都有论坛和留言系统。据统计，各所重点高校论坛及留言板平均超过150个，网站管理难度极大。要找出校园网内所有非法信息，实非人力所能及。为了规范校园网安全管理，众多高校采用以下校园网整改措施：
(一)统一使用由校固网主管部门提供的MSSQLServer数据库，以便校园网信息监督部门快捷检查；
(二)论坛或留言板只允许IP发表文章；
(三)用户发表的文章必须由论坛管理员审核，通过审核后才能在页面显示：
(四)在服务器端对校园网内新的文章进行数据过滤，滤掉非法敏感内容，过滤的准确率达到80％以上。
以上措施存在一定的弊端，统一使用一种MsSQLServer数据库在一定程度上限定死了网站建设的技术架构，没有给网站建设者足够的发挥空间：另外从技术角度上分析，使用同一个数据库并不能给搜索非法信息带来方便；如果论坛或留言板仅允许校内IP发表文章的话，那么校外人士、居住在校外的教师甚至放假回家的学生通过公网浏览校内网站时想发表文章，即使文章中没有非法关键字，也不能在校内网站发表成功。这样做会使校园网固步自封，大大降低校内网站的人气，不利于扩大高校在社会上的影响力和知名度，不利于学校与外界的交流：而用户发表的文章必须由论坛管理员审核，通过审核后才能在页面显示，会加大网站管理人员的工作强度和压力，同时会影响网友发表文章的积极性。因此开发专用于校园网信息网络安全的自动监控系统显得十分必要。
二、高校自行行开发信息安全监控系统的可行性
公安部、网监处、教育部门和各高校对校园网信息安全的重视使之成为市场热点，众多IT公司都开发出互联网的信息安全监控审计系统，其中比较完善的系统综合采用数据挖掘技术、数据报文捕获技术、协议解码还原技术、内容匹配技术、插件技术等各种先进开发和管理技术，支持绝大多数主流网络协议的监控审计。虽然此类系统功能强大，但功能繁杂，部署起来耗时费力，还要购买厂商指定的硬件设备，致使其价格非常昂贵，动辄上十万几十万。厂商针对互联网的普遍情况开发出来的产品未必适合高校网络的特定需要，造成设备功能浪费。在高校科研经费紧张的情况下购买这些系统不符合许多高校构建节约型校园的发展战略。
高校信息安全的特殊性决定了要由自身来主导，目前高校购买IT厂商开发的网络监控产品的并不多。未来发展趋势是各高校根据实际校情，充分发掘自身技术潜力，自主开发或协同IT厂商共同研发，做出具备安全监控审计系统，并适合高校实际情况的校园网信息安全产品，并结合行政和法律手段，净化校园网空间。各高校可以利用现有服务器，无需再对软硬件进行投资，只需采用Java开源软件做为开发工具，可节省大笔资金。
三、信息监控系统的特点
许多高校管理部门指定专人浏览校内留言板及论坛，对于非法信息发现一条删除一条，并做详细记录，效率低、消耗大；尽管管理人员疲于奔命，但仍常收到公安网监处警告，校园网存在需要立即删除的有害信息。
针对以上情况，新系统采用高效搜索引擎，提高信息搜索自动化程度。对校园网数据包进行过滤，自动搜索非法关键字信息，对校内众多网站论坛及留言系统、FTP站点等出现的各种不良信息、高校突发事件时产生的大量过激言论，系统将立即自动报警，快速定位此类信息的源头，争取在造成恶劣影响之前及时封堵，并追究有关当事人的责任。从而弥补人工监控容易遗漏和公共搜索引擎不能查找敏感数据的缺点，切实减轻管理部门工作强度与工作压力，提高信息安全整体水平。
整个监控系统以较少的经费开发，省去购买IT厂商大型监控审计系统的资金。只针对相对少数的非法敏感信息，对校园网信息查而不禁，疏而不堵，保留师生在网络上发表文章的权利，坚持校园网开放和自由的原则，同时该监控系统的部分功能可向全校师生开放使用，师生可以非常方便地检索所需的校内数据和信息，提高对全校数据信息的共享。
四、新系统模块功能
采用网络平台流行的Java语言开发高效搜索引擎，利用Java线程技术实现定时搜索，利用Java用户界面技术开发系统使用界面。采用MSSQLServer数据库作为数据存储系统，系统搜索到的资料记录和系统运行中产生日志信息将被存储在骼SQLServer数据库中。
安装一台专用的服务器对数据包进行过滤，过滤只针对校园网新产生的信息，对网络上新产生的特定类型数据进行拆包，分析其中的内容，如果带有非法关键词字眼，则将其禁止。
系统基本功能模块：
(一)基于Java的高效搜索引擎：负责搜索全校园网内的非法敏感信息。
(二)定时搜索功能：采用Java线程技术，可以设置每分钟或者更长时间自动搜索。
(三)非法敏感关键词记录：一个非法敏感信息词库，可以自动记忆或者手工添加关键词，如“枪支”、“*”、“”等等。
(四)自动报警功能：凡是搜索到校内网站上有包含非法关键词的内容都被视为非法信息，系统自动声音报警。提示操作者分析处理。
(五)日志记录：系统将每次搜索到非法信息及其资料记录形成日志文件存入数据库中，方便以后备查。
关键词：电子阅览室，络安全，LAN，维护要点
高校电子阅览室作为读者可以检索和查询传统文献；也可以检索、浏览、复制和打印数字化的文献；还可以在Internet上查询、浏览。收发邮件、交流信息等；除此之外，还可以在电子阅览室里听音乐、看电影、网上聊天，达到休闲娱乐的目的和发挥图书馆服务的功能。论文大全，维护要点。目前，几乎所有高校都建设了电子阅览室，电子阅览室快捷方便的检索条件，提高了师生获取文献信息资源的效率，在教学和科研中，起到了举足轻重的作用。但电子阅览室的网络安全也成为网络管理人员需要解决的问题，本文以西铁职院临潼校区电子阅览室面临的网络安全问题，讨论了相关的解决办法和措施。
一、电子阅览室存在网络安全问题
我院电子阅览室在2008年建成，由60台计算机、若干普通交换机组成。为全院师生提供了光盘检索、超星数据库、万方数据库等学术论文检索与阅览。当时建设电子阅览时，由于各种原因，并没有把电子阅室设为一个独立网络，而是把它直接连到校园网里，这对电子阅览室的络安全带来了各种影响。目前，电子阅览室常见的网络安全问题有：
1．非法访问。非法访问是指对网络设备及信息资源进行非正常使或越权使用等，利用各种假冒或欺骗的手段获得合法用户的使用权限，达到占用合法用户资源的目的。
2．破坏数据的完整性，用非法手段，删除、修改、重发某些重要息，以干扰用用户的正常使用。
3．干扰系统的正常运行，随意破坏、改变正常运行的系统，减慢系统响应时间，为数据的访问带来不便。
4．病毒与恶意攻击，对服务器发送大量垃圾包，使网络陷入瘫痪，通过客户机传播病毒。恶意代码等。
5．随意安装、使用可移动的存储设备，利用移动存储介质优盘、光盘等间接与外网进行数据交换，导致病毒的传入或者敏感机密数据的传播、泄密。
6．安装、使用非法软件或黑客软件。某些教师或学生在计算机上安装使用非法、盗版软件，这无法保障计算机的正常运行，有的还装上黑客软件，有可能对电子阅览室的其它计算机构成重大的安全威胁，有导致整个电子阅览室崩溃的危险。
7．恶意或非恶意地更改TP地址。某些师生出于某种目的。在进行一些非法活动之前，将自己机器的IP地址或用户名更改成他人的IP地址或用户名．这不止影响了其它计算机的正常使用，也会导致网络设备运行异常或一些监控记录不准。无法对当事人进行追查和处罚．
二、应对策略
针对电子阅览室以上所面临的网络安全问题，我们提出了如下的应对策略：
1．添置防火墙。防火墙是位于两个信任程度不同的网络之间的软件或硬件的结合，它使得内部网络和外部网络直接相隔离并控制网络互访，防止对重要信息资源的非法存取和访问，以保护内部网络的安全。我们购置了硬件防火墙，通过对防火墙的配置，将电子阅览室和校园网络隔离开来，使电子阅览室作为一个单独的内网，相对独立，自成体系。最大限度的保证了电子阅览室内部网络的安全。
2．用VLAN技术对网络进行划分。VLAN是一种通过将局域网内的设备逻辑地而不是物理地划分成一个网段，从而实现虚拟工作组的新兴技术。由于不同的VALN有着各自独立的广播域，而广播域只能在本地VLAN内进行，从而大大减少了广播对网络带宽的占用，提高了带宽传输效率，并可以有效地将广播风暴所带来的危害拄制在最小的范围内。在交换机划分VLAN后，不同VIAN之间将不能直接通信。VLAN的通信必须通过三层交换设备(路由设备)，我们可以通过路由访问列表和MAC地址分配等VLAN划分原则，控制用户访问权限和逻辑网段大小，将不同用户群划分在不同VLAN中。我们将电子阅览室划分为一个VLAN。论文大全，维护要点。师生共同使用，而减少了维护难度。
3．对设备、系统漏洞检测。定期对包括操作系统，数据库管理系统等系统软件进行系统漏洞扫描、端口扫描，对系统打补丁，关闭非必须开放的端口，对防火墙，路由器、交换机配置进行检测等，发现漏洞马上修正。
4．对数据进行备份。根据实际需要利用磁盘阵列异地数据备份。论文大全，维护要点。利用光盘刻录设备等系统和数据(如服务器操作系统、系统日志、各类应用系统和数据等)的定期备份。备份数据采取的策略一般是：对超星、万方等数据库，由于其数据量大，需要备份的时间长，可以考虑一次完全备份后存档；对于安装维护比较麻烦的服务器，可对系统进行备份，便于快速恢复；对于客户机等计算机，系统维护量大，我校采用方正硬盘保护系统进行日常维护，但在此同时一些顽固病毒仍无删除，就需要我们对一些特殊计算机进行处理。论文大全，维护要点。
5．常进行日志审核。日志是指操作系统的日志、应用程序的日志和防火墙的日志。论文大全，维护要点。对这些日志进行常规的日志备份和分析，如果有异常活动，能及时发现，从而作出补救措施，这是对网络安全监控的一个补充。论文大全，维护要点。
三、读者教育
引导和教育学生，增强他们的安全意识。在新生入学时，即对所有新生进行入馆教育．教导学生正确使用阅览室内电子设备，向学生说明发生火灾的各项必要的应急措施及安全逃生路线。严禁在图书馆内吸烟或违规使用电子设备。
四、结束语
电子阅览室的网络安全是一项复杂的工程，不可能只依靠一种措施来保证安全，必须把各种安全措施有机的结合起来，加之合理的运用，才能达到保障电子阅览室网络安全的目的。在采取安全防范措施的同时，还必须完善电子阅览室的管理规章制度，加强工作人员的网络安全意识，才能有效地实现电子阅览室安全、可靠、稳定地运行．
参考文献：
1、吴少华，局域同中的数据安全问题研究．中国民航飞行学院学报，2005．8．
2、茂，论高校图书馆电子阅览室的安全管理与充分利用．内蒙古科技与经济．2008．6．
3、国编著．网络安全原理与技术．北京：科学出版社。2003．
4、石勇.高校电子阅览室的安全工作探讨.农业网络信息。2009年第5期。
一、大数据时代食品安全数据的特点
数据的活性指的是数据被更新的频次，从食品安全监测数据上看，数据的活性较大，表现在数据获取频繁：如一周一检、一天一检、不少生鲜食品甚至一小时一检，这些频繁获取的数据在很大程度上增强了数据的活性、使得数据实时、可信、可靠。数据的规模指的是数据量的大小，我们就液态牛奶从原奶到上市期间的检验数据为例，来估测其数据量大小：原奶运输到工厂后需进行质量检验，检验指标共计117项，包括感官、滋味、气味、理化特性、微生物含量等多个方面；牛奶在储存之后需进行原奶检验，检验指标包括上述各类，附加对容器、仓储条件的检验；在牛奶经过巴氏消毒后，需进行储存检验，储存检验参照巴氏杀菌乳国家标准，共有10项必检，包括理化标准、微生物指标、感官指标、储藏方式等；储存检验后，进行保温试验，必检的项目包括64项，外加风险监测项目44项。整个牛奶生产过程需要进过4个部分累计达到899项指标的检验。这些检验过程受到农业主管部门和质量监督部门的监管。在流通过程中，需进过工商部门、出入境检验检疫部门的抽检，合格后方能在超市上架或通过海关流通，期间需进过工商部门、出入境检验检疫部门、媒体大众等相关单位的监管和监督。工商部门检验的项目共计12项，出入境检验检疫部门需检验的项目共计60项。笔者粗略估计了一下，单盒液态纯牛奶从生产源头到消费者手中，共需经历检验最少六次抽查，总体971项指标，还不包括对奶牛和饲料的检验指标。我国2012年全年共计生产牛奶3744万吨，按照每1ml牛奶的重量是1.0288，每盒牛奶250ml，每个检测指标的储存占4个字节。计算，一年仅因牛奶检测而产生的数量量达到5.653×1014≈514T。这些数据生产出来后大多数被丢弃。数据的关联度指的是数据之间的相关程度，如上文所述，食品安全数据指标各不相似、表现了食品安全指标的方方面面，然而这些数据之间关联性很差，如：食品添加剂的数据检测值和食品中农药残留值在理论上无相关性，然而基于各类食品的不同特征，挖掘食品安全指标中的潜在规则能为食品安全预警提供数据参考和经验借鉴。上文已介绍了不少文献使用数据挖掘领域中关联规则挖掘数据价值的方法，在此不再赘述。
二、大数据时代食品安全数据的获取方式
按照传统方式可在食品生产、流通过程中收集到大量的、可靠的食品安全数据，按照上文的介绍，这些数据量已经非常庞大。以下介绍几种食品安全预警数据的其他获取方式：媒体大众渠道的食品安全数据获取方式。食品消费的终点是消费者手中，对于食品的安全质量，消费者最具有发言权，传统的食品安全数据仅仅来源于食品生产部门和监督管理部门，来源单一、片面。利用大数据对于数据的收集、处理方法，可以方便快捷地收集到网络媒体、微博、论坛中关于食品安全的消费者反馈。并通过对自然语言的分析判别正面负面信息，对食品安全预警具有非常重要的指导性意义。另外，通过对食品安全言论相关信息分析，可精确判别食品质量问题发生的区域、时间、受害群体，对食品安全问题做出实时、精确、精准的预报。基于食品安全追溯系统的数据获取方式。食品安全追溯系统的建立旨在实现视频“从田间到餐桌”的一条龙式质量监管，以期在食品的生产和销售过程进行无疏漏跟踪,确保食品的质量。现在国内外许多企业、政府部门正在大力加强和促进该系统的建立建设，可预见食品安全追溯系统在未来将被迅速建立、并具有长足的发展。在食品安全追溯的过程中，众多数据被实时监控并记录了下来，其中不仅仅包括食品加工、原材料的数据，还可包括如：食品容器、食品储存环境、食品来源地等许许多多的附加信息，这些信息对于消费者购买流食品提供了非常全面的信息。对于食品安全预警而言，这些实时连贯性的数据可以更方便地进行时间维度上的趋势拟合和预警分析。
三、大数据时代食品安全数据的处理方式。
使用大数据思路和分析方法对食品安全进行检测和预警，首先要充分使用数据科学的处理方法，由于不同的数据和来源渠道，非结构化数据代替结构化数据成为分析和处理的主要对象，常见的数据有以下几类：表格、点集、时间序列、图像、视频、网页以及其他的网络数据。每一种非结构化数据都应当对应相应的处理方式，如，点集可使用概率分布方法进行拟合；时间序列数据可采用随机过程（如隐式马氏过程）方法进行处理；图像可通过随机场（如吉布斯随机场）进行分析；网络数据可通过图模型、贝叶斯模型来处理。进行初步处理后的数据，可通过以下方式判别其价值，如：相关性（若所得数据与其他数据具有弱相关性，则可考虑丢弃）、排序（对数据的重要性进行排序，如食品中重金属含量的重要性要远高于蛋白质含量，可考虑增加其权重或在数据建模中优先考虑）、分类和聚类（使用分类和聚类方法能快速寻找到数据之间的相互关联，找到其相似性。对相似特点的数据进行统一处理，减少后续处理的数据量）。
在上述数据处理的基础上，可考虑对数据价值的进一步提取和分析，如：建立度量空间，讨论数据之间范式距离的远近以及关联性的大小；建立网络拓扑结构，讨论数据之间的空间关联性及分布情况；建立函数结构，讨论数据之间的统计学规律（如相关性、回归系数、主成分分析）等。另外，处理食品安全大数据，需要引进大数据管理系统和技术流程。广泛使用的大数据管理系统有Hadoop/Hive系统，常用的底层支持框架有Core/Avro等，常用的数据存储系统有Hbase/MapReduce等分布式、非关系型数据库，常用的文件系统有HDFS等。值得一提的是，当今大数据技术有大量的开源软件，开源算法，大大丰富和方便了人们在其之上进行编程和应用，为使用大数据思维和方法处理食品安全数据提供了技术支持。
作者：李夏冰凌文婧
【关键词】数据库加密、加密算法、加密技术特性、加密字典、加解密引擎。
随着电子商务逐渐越来越多的应用，数据的安全问题越来越受到重视。一是企业本身需要对自己的关键数据进行有效的保护；二是企业从应用服务提供商（ApplicationServiceProvider，ASP）处获得应用支持和服务，在这种情况下，企业的业务数据存放在ASP处，其安全性无法得到有效的保障。因为传统的数据库保护方式是通过设定口令字和访问权限等方法实现的，数据库管理员可以不加限制地访问和更改数据库中的所有数据。解决这一问题的关键是要对数据本身加密，即使数据不幸泄露或丢失，也难以被人破译，关于这一点现基本数据库产品都支持对数据库中的所有数据加密存储。
-对数据进行加密，主要有三种方式：系统中加密、客户端(DBMS外层)加密、服务器端(DBMS内核层)加密。客户端加密的好处是不会加重数据库服务器的负载，并且可实现网上的传输加密，这种加密方式通常利用数据库外层工具实现。而服务器端的加密需要对数据库管理系统本身进行操作，属核心层加密，如果没有数据库开发商的配合，其实现难度相对较大。此外，对那些希望通过ASP获得服务的企业来说，只有在客户端实现加解密，才能保证其数据的安全可靠。
1.常用数据库加密技术
信息安全主要指三个方面。一是数据安全，二是系统安全，三是电子商务的安全。核心是数据库的安全，将数据库的数据加密就抓住了信息安全的核心问题。
对数据库中数据加密是为增强普通关系数据库管理系统的安全性，提供一个安全适用的数据库加密平台，对数据库存储的内容实施有效保护。它通过数据库存储加密等安全方法实现了数据库数据存储保密和完整性要求，使得数据库以密文方式存储并在密态方式下工作，确保了数据安全。
1.1数据库加密技术的功能和特性
经过近几年的研究，我国数据库加密技术已经比较成熟。
一般而言，一个行之有效的数据库加密技术主要有以下6个方面的功能和特性。
(1)身份认证：
用户除提供用户名、口令外，还必须按照系统安全要求提供其它相关安全凭证。如使用终端密钥。
(2)通信加密与完整性保护：
有关数据库的访问在网络传输中都被加密，通信一次一密的意义在于防重放、防篡改。
(3)数据库数据存储加密与完整性保护：
数据库系统采用数据项级存储加密，即数据库中不同的记录、每条记录的不同字段都采用不同的密钥加密，辅以校验措施来保证数据库数据存储的保密性和完整性，防止数据的非授权访问和修改。
(4)数据库加密设置：
系统中可以选择需要加密的数据库列，以便于用户选择那些敏感信息进行加密而不是全部数据都加密。只对用户的敏感数据加密可以提高数据库访问速度。这样有利于用户在效率与安全性之间进行自主选择。
(5)多级密钥管理模式：
主密钥和主密钥变量保存在安全区域，二级密钥受主密钥变量加密保护，数据加密的密钥存储或传输时利用二级密钥加密保护，使用时受主密钥保护。
(6)安全备份：
系统提供数据库明文备份功能和密钥备份功能。
1.2对数据库加密系统基本要求
(1)字段加密；
(2)密钥动态管理；
(3)合理处理数据；
(4)不影响合法用户的操作；
(5)防止非法拷贝；
1.3数据加密的算法
加密算法是一些公式和法则，它规定了明文和密文之间的变换方法。密钥是控制加密算法和解密算法的关键信息，它的产生、传输、存储等工作是十分重要的。
数据加密的基本过程包括对明文（即可读信息）进行翻译，译成密文或密码的代码形式。该过程的逆过程为解密，即将该编码信息转化为其原来的形式的过程。
DES算法，DES(DataEncryptionStandard)是由IBM公司在1970年以后发展起来的，于1976年11月被美国政府采用，DES随后被美国国家标准局和美国国家标准协会（AmericanNationalStandardInstitute,ANSI）承认,DES算法把64位的明文输入块变为64位的密文输出块，它所使用的密钥也是64位，DES算法中只用到64位密钥中的其中56位。
三重DES，DES的密码学缺点是密钥长度相对比较短，因此，人们又想出了一个解决其长度的方法，即采用三重DES，三重DES是DES的一种变形。这种方法使用两个独立的56位密钥对交换的信息(如EDI数据)进行3次加密,从而使其有效密钥长度达到112位或168位,对安全性有特殊要求时则要采用它。
RSA算法它是第一个既能用于数据加密也能用于数字签名的算法。它易于理解和操作，也很流行。算法的名字就是发明者的名字：RonRivest,AdiShamir和LeonardAdleman,但RSA的安全性一直未能得到理论上的证明，RSA的安全性依赖于大数的因子分解，但并没有从理论上证明破译RSA的难度与大数分解难度等价。即RSA的重大缺陷是无法从理论上把握它的保密性能如何，而且密码学界多数人士倾向于因子分解不是NPC问题，RSA算法是第一个能同时用于加密和数字签名的算法，也易于理解和操作。RSA是被研究得最广泛的公钥算法，从提出到现在已近二十年，经历了各种攻击的考验，逐渐为人们接受，普遍认为是目前最优秀的公钥方案之一。
AES是美国高级加密标准算法,将在未来几十年里代替DES在各个领域中得到广泛应用，尽管人们对AES还有不同的看法,但总体来说,AES作为新一代的数据加密标准汇聚了强安全性、高性能、高效率、易用和灵活等优点。AES设计有三个密钥长度:128,192,256位，相对而言，AES的128密钥比DES的56密钥强1021倍。AES算法主要包括三个方面：轮变化、圈数和密钥扩展。在理论上，此加密方法需要国家军事量级的破解设备运算10年以上时间才可能破译。
1.4数据库数据加密的实现
使用数据库安全保密中间件对数据库进行加密是最简便直接的方法。主要是通过系统中加密、DBMS内核层（服务器端）加密和DBMS外层（客户端）加密。
在系统中加密，在系统中无法辨认数据库文件中的数据关系，将数据先在内存中进行加密，然后文件系统把每次加密后的内存数据写入到数据库文件中去，读入时再逆方面进行解密就，这种加密方法相对简单，只要妥善管理密钥就可以了。缺点对数据库的读写都比较麻烦，每次都要进行加解密的工作，对程序的编写和读写数据库的速度都会有影响。
在DBMS内核层实现加密需要对数据库管理系统本身进行操作。这种加密是指数据在物理存取之前完成加解密工作。这种加密方式的优点是加密功能强，并且加密功能几乎不会影响DBMS的功能，可以实现加密功能与数据库管理系统之间的无缝耦合。其缺点是加密运算在服务器端进行，加重了服务器的负载，而且DBMS和加密器之间的接口需要DBMS开发商的支持。
在DBMS外层实现加密的好处是不会加重数据库服务器的负载，并且可实现网上的传输，加密比较实际的做法是将数据库加密系统做成DBMS的一个外层工具，根据加密要求自动完成对数据库数据的加解密处理。
采用这种加密方式进行加密，加解密运算可在客户端进行，它的优点是不会加重数据库服务器的负载并且可以实现网上传输的加密，缺点是加密功能会受到一些限制，与数据库管理系统之间的耦合性稍差。
数据库加密系统分成两个功能独立的主要部件：一个是加密字典管理程序，另一个是数据库加解密引擎。数据库加密系统将用户对数据库信息具体的加密要求以及基础信息保存在加密字典中，通过调用数据加解密引擎实现对数据库表的加密、解密及数据转换等功能。数据库信息的加解密处理是在后成的，对数据库服务器是透明的。
按以上方式实现的数据库加密系统具有很多优点：首先，系统对数据库的最终用户是完全透明的，管理员可以根据需要进行明文和密文的转换工作；其次，加密系统完全独立于数据库应用系统，无须改动数据库应用系统就能实现数据加密功能；第三，加解密处理在客户端进行，不会影响数据库服务器的效率。
数据库加解密引擎是数据库加密系统的核心部件，它位于应用程序与数据库服务器之间，负责在后成数据库信息的加解密处理，对应用开发人员和操作人员来说是透明的。数据加解密引擎没有操作界面，在需要时由操作系统自动加载并驻留在内存中，通过内部接口与加密字典管理程序和用户应用程序通讯。数据库加解密引擎由三大模块组成：加解密处理模块、用户接口模块和数据库接口模块。
2.结束语
上面的论述还远远没达到数据库安全需要，比如现在的数据库基本都给与网络架构，网际的安全传输等，也是要重点考虑的方面，等等。一个好的安全系统必须综合考虑核运用这些技术，以保证数据的安全，通过一上论述希望对大家有所帮助，同时也和大家一起讨论一起学习，共同进步。
参考文献：
[1]现代数据库管理（美）JeffreyA.Hoffer，MaryB.Prescott，FredR.McFadden著
关键字 数据安全 数字图书馆 数据库 复制技术
一、论题背景
随着计算机技术和网络技术的不断发展，我国各高校的数字图书馆系统，无论从承载的业务量和数据规模，还是提供服务的质量上，都得到了很大的提高，特别是通过Internet对外提供的很多人性化的服务，例如：馆际互借、网上预约、在线续借、在线查询、推荐订购等等。
然而，Internet作为一个庞大的计算机网络，其通常跨越的物理范围从几十公里到几千公里，它能连接多个城市或国家，或者横跨几个洲，并能提供远距离通信，形成国际性的远程网络。其具有信息资源的共享性、整体的开放性和分布的广域性，而真是这些特点为系统的破坏、信息的盗取以及非法的操作，提供了极为方便和难以预防控制的可乘之机。因此，数字图书馆的数据安全性是现代各高校图书馆必须关注的核心问题，其直接关系到数字图书馆的可用性、安全性、稳定性以及未来的发展。
二、数据安全的因素
影响数字图书馆的数据安全因素较多，包括内部的、外界的、人为的和不可抗因素等等，但主要可以罗列为以下几个因素：
首先，是自然灾害原因，如火灾、地震、水灾、雷击等各种自然灾害导致主机损坏而造成的数据丢失情况。
其次，因服务器突然断电或者主机耗损过度而导致有重要数据的硬盘损坏，从而造成的数据丢失情况。
其次，人为的误操作导致，如误拔电源、误删除重要文件等造成的数据丢失情况。
其次，来自Internet的恶意攻击，如网络黑客恶意攻击数字图书馆服务器，损坏数据和重要文件而造成的数据丢失情况。
最后，软件故障原因，如某些恶意软件或者带有病毒的盗版软件，导致操作系统损坏或者数据丢失情况。
由此可见，怎样妥善处理好以上5个主要因素，是保证数字图书馆的数据安全的根本。
三、提高数据安全性措施
针对以上提到的影响数字图书馆数据安全因素，我们可以从软件安全措施、硬件安全措施和人员素质培养，这三个方面来解决数字图书馆在数据安全性方面存在的问题。
1. 工作人员素质
图书馆管理员的个人素质高低，对于数字图书馆的数据安全有直接的影响。因此，针对图书馆工作人员的安全素质培训是非常重要的。我们可以采用以下措施：
首先，对于图书馆管理人员的选拔，我们应该尽量选择那些做事比较细心、慎重的，最好有计算机知识基础的人，谨慎使用做事比较粗心大意的人。
其次，我们要定期对图书馆工作人员进行安全培训和考核，包括系统安全、软件安全、数据库安全和服务器安全等。只有这样，我们的工作人员的安全素质才会不断地提高，同时图书馆的数据安全也得到了人力的保障。
最后，我们要对以前出现过的故障，以及经常遇到的问题进行总结，这样我们图书馆的工作人员的实战经验会得到很大的提升，工作效率相对的也会提高很多。
2. 硬件安全措施
硬件安全措施主要是指储存数字图书馆数据的服务器安全，其对于数字图书馆的数据安全也有着直接的影响，因为一旦服务器出现故障，例如磁盘损坏，那么其后果可能是无法弥补的。
3.软件安全措施
软件安全措施分为系统软件安全措施和应用软件安全措施。系统软件安全包括操作系统和数据库，其安全是其他软件安全的基础。应用软件安全措施主要是指数字图书馆系统软件安全措施，其安全是保证数字图书馆的数据安全的首要保障。
（1）操作系统安全措施。操作系统安全是其他所有应用软件的安全根本，也是数字图书馆的数据安全的前提。对于windows系列的操作系统，因为其应用最为广泛，因此最容易受到计算机病毒感染，也总容易遭到黑客们的攻击。
（2）数据库安全措施。数据库是存储图书馆系统数据的地方，其安全和稳定性直接关系到整个数字图书馆能否正常运行，是保证数字图书馆数据安全的重中之重！目前比较流行的数据库有甲骨文公司的Oracle和MySQL，IBM公司的db2，SYBASE公司的Sybase数据库，微软公司的SQL Server数据库。各高校目前比较通用的是Oracle和SQL Server两种数据库。那么对于数据库的安全性，我们可以采用以下措施：
首先，依然强调的是选择正版的、稳定性好的数据库产品，这样如果后期数据库出现重大问题，我们可以直接联系相关的数据库厂家，进行修复和完善。
其次，我们需要定期对数据库的数据进行备份，这是最廉价的安全防范措施。我们可以通过手工备份相关数据文件，也可以采用数据库的复制技术来实现。
最后，我们需要定期查看数据库的监控日志，监控日志中一般都记录了数据库的运行情况，以此来核查我们在日常操作中无法觉察到的异常情况，并将异常问题提交到数据库产品厂家，以便及时给数据库存在的漏洞打上补丁。
（3）数字图书馆系统安全措施。数字图书馆系统是直接操作后台数据库的，因此它对数字图书馆数据的安全具有直接的影响。对于数字图书馆系统软件安全，首先，我们应该对其进行严格的账户管理，账户密码的复杂度尽量要高，防止有人盗取账户进行恶意操作；其次，应该要求数据库厂家定期检查或修复系统存在的异常和漏洞，以防止网络黑客进行恶意攻击；最后，要定期对图书馆管理员进行软件操作及安全性培训，防止因图书馆管理员失误而造成数据丢失和异常情况发生。
数字图书馆的数据安全与否，是整个图书馆系统得以正常运行和对外提供服务的根本，其是未来数字图书馆发展的必须关注的一个关键环节。因此，对于图书馆的全体工作人员，应该要有较高的安全意识和丰富的计算机安全知识。只有这样，才能为广大师生提供一个安全的、稳定的和人性化的数字图书馆服务。也只有这样，才能保证数字图书馆的可持续发展。
参考文献：
[1]《信息安全概论》，段云所，2003年9月，高等教育出版社.
[2]《数据库安全》，陈越，2011年7月，国防工业出版社。
