时间：2023-05-29 18:25:03
电子业务系统安全审计体系的研究与建设
结合山东局综合管理体系建设要求，首先，对各业务系统从管理者和使用者两个层面明确职责，规定相应的口令管理制度、授权管理制度、系统操作规程（作业指导书）等业务系统运行规章制度及有关记录表格。二是，针对各业务系统制定安全审计规范，利用内部审计及外部审计来评估业务系统安全漏洞，规划审计策略，明确审计目标，确定日常安全审计及集中安全审计任务和手段，并对审计结果进行评估分析，制定纠正措施。三是，结合山东局绩效考核管理办法，将安全审计结果纳入绩效考核，已达到从制度上约束行为的目的。各电子业务系统的开发应按照我们制定的安全审计规范要求建立安全审计模块，每个用户登录系统、进入应用，一直到使用各个应用模块都可以进行访问日志记录，安全审计模块可以调用日志SDK的API，根据应用规则来记录各种日志。日志可以是分为安全日志、系统日志、数据变更日志等等可以由系统安全管理人员随时调阅，以达到安全审计的目的。针对业务系统具体环节分析风险点，根据制定的安全控制规范，应用于各电子业务系统，开发安全审计系统，进行风险布控、监控设定、自动预警与自动核查，对业务系统全过程监控。由于目前业务系统数量众多，数据处理不同，进行安全审计系统开发时需针对各业务系统进行分析归纳，特别是CIQ2000综合业务管理系统作为检验检疫电子业务的主干系统，数据处理过程的质量决定着业务工作的质量，我们首先从CIQ2000业务管理系统入手试点，对CIQ2000综合业务管理系统实施全过程监控，监控账户的合法性、权限的合理性、登录及操作行为的可追溯性、数据修改的安全性等，对用户行为实施有效监督、约束，规范行为，保证工作质量。对CIQ2000综合业务系统进行安全审计主要分以下几方面:1）用户操作行为日志审查常规监测及时收集和分析CIQ2000系统本身提供的系统登录、业务操作、流程控制、权限等信息，通过设定逻辑严密、科学合理的审计规则，根据用户登录时间、状态和业务操作记录等数据，发现异常登录和非法操作，在系统界面进行展示，并形成报表。特殊监测根据业务和系统管理需要，对特殊时间段、特殊业务操作进行特殊监测，通过触发器收集关键业务对象、关键数据的变更情况，记录操作人的登录信息和操作信息。如对关键业务数据的操作及修改过程（如计收费数据的修改、不合格结果登记修改为合格结果登记、未经检务操作擅自添加证书、拦截数据人工干预放行等）进行过程记录。2）用户密码审查根据制订的密码审计规则，自动检查指定机构下的用户及密码，查找密码为空或者密码设置不符合安全规范的用户，在系统界面展示并可形成报表。3）重复用户检查根据同一用户在统一机构下不得同时拥有两个可以同时使用的用户账号原则，自动检查指定机构下的用户，检查是否在同一机构具有同时在岗的重名用户。4）用户权限检查自动检查指定机构下的用户及使用权限，查找具有分配全业务流程的用户，也可查找具有指定权限的用户。5）安全事件警告根据对业务系统各关键环节和关键对象数据的采集和分析，对可能存在信息安全隐患的环节给予相应级别的告警。告警方式包括：界面查看、短信预警、邮件预警。6）系统服务用户管理选项设置安全审计告警策略安全事件确认审计对象配置助手对于以上审计内容，通过布控，可以实现实时监控，发现违规操作及时报警，也可以进行统计查询、数据分析，防患于未然。通过安全审计系统的运行，特别是对CIQ2000综合业务管理系统的安全审计，发现高风险监控点，进一步对体系进行验证完善，通过两方面的互补，保证业务系统的安全合规运行。通过以上步骤，制定我局电子业务系统安全审计规范并正式下发执行，建立检验检疫电子业务系统安全审计体系。并通过CIQ2000综合业务安全审计系统应用实例进行验证优化，并以此成功案例进行推广、全面开展对山东局电子业务安全审计系统的建设与发展。
电子业务系统安全审计体系研究技术方面
电子业务安全审计系统建设技术方面1）使用统一开发平台的UIP-SDP框架开发。该框架提供轻量级的框架，框架遵照MVC的通用设计模式；采用面向服务体系结构(SOA)及组件化的设计思想，便于系统的复用和集成；包含大量公共的、实用性的组件和控件，并且提供了一般业务系统底层的最基本模块，可以轻松集成到业务系统之中。2）框架提供了通用的前后台校验机制、统一的分页处理、基于AJAX的局部刷新功能、多文件上载的功能、基于数字证书的认证方式、灵活、实用的规则引擎、基于配置的任务调度功能、基于配置的事务处理、统一的日志管理、方便快捷的单元测试、子模块基于XML的单独配置3）系统由数据采集层、事件管理层、运行管理层构成。山东检验检疫电子业务系统安全审计体系（图略）。电子业务安全审计系统建设技术规范方面采用标准的Linux、Unix操作系统建立基础平台采用统一的Oracle数据库建立数据中心平台采用先进的软件工程设计方法，满足系统的先进性、可靠性、可伸缩性、可扩展性复杂的商业规则的实现集中由应用服务器实现，可随业务量增长而轻松扩展采用流行的B/S架构，实现零客户端采用先进AJAX、WebService技术采用XML技术，规范信息交换格式和数据交换流程采用统一的消息中间件实现数据交换可以采用CA认证及SSL128位加密技术，确保通讯的安全性4结论通过建设安全审计体系建设，可以从制度上规范行为；审计系统的开发运行可以利用技术手段实现业务监控、工作质量稽查及用户行为审计，自动查找违规现象，及时通知相关单位整改，以查促管，防患于未然；审计的结果反过来促进制度的建设，最终保证检验检疫业务的正常运转。
作者：田建荣 宋琳琳 陈鹏 王宏志 郭曙超 单位：山东出入境检验检疫局
功能设计如下：1)审计信息记录模块。通过提供通用的审计信息记录接口，完成云平台上用户操作的日志信息的标准化处理，并存储到审计数据库的功能，该模块使得系统具有良好的可移植性。2)审计信息签名模块。日志信息处理后存储至审计数据库中时，在审计信息中加入两次签名——元组签名和分片签名，以保护审计数据库自身的安全和审计信息的完整性、完备性。3)审计信息管理模块。实现通过Web管理页面对审计信息进行浏览、删除、导出等操作，为审计人员提供便利的审计信息分析和管理。审计管理员可在审计信息管理平台上下发已制定的审计策略，筛选出可疑事件信息。
2工作流程
2.1审计信息记录流程
审计信息记录是对云平台上用户的操作信息进行获取、分类、存储至审计数据库中的一个过程(见图2)。审计信息记录的流程如下：1)当云平台上的用户使用正确的账号口令登录云平台系统后，便可进行日常的操作行为，例如修改密码、数据的上传和下载、用户之间数据的传递、启动并使用一个远程软件等。云平台通过日志采集引擎采集到日志信息，并向审计信息记录模块发起审计服务请求。2)在众多的用户日常操作行为中，找出审计重点关注的事件及属性，划分平台事件类型，即对审计事件分类。这样的好处是：筛选出重要的平台事件，使得审计更加有效；将来若扩展系统，添加关联分析模块，可直接对审计数据库中的事件分类信息审计事件分析，而不是对冗长杂乱的日志信息分析，提高了关联分析的效率。例如：将平台事件分为以下4类，并确定相关属性如下：①用户事件，表示用户的各种基本操作行为，包括用户登录和注销、密码修改、个人信息修改等事件，需要记录的信息有用户名、登录IP、操作时间、操作是否成功。②数据传输，表示用户对文件等数据的传输行为，包括上传数据开始和结束，下载数据开始和结束、删除数据，重命名数据事件，需要记录的信息有用户名、登录IP、操作(上传、下载、删除、重命名)时间等。③软件使用，表示用户启动了某一个远程软件的行为，需要记录的信息有用户名、操作时间、软件是否启动成功。④工程计算，表示用户提交了一个工程计算作业的行为，需要记录的信息有用户名、作业名、操作时间、提交操作是否成功等。对平台事件的分类和属性确定可以根据云平台的具体用途确定。将4类信息的处理作为4个审计记录接口，这4个接口相互独立，能够并行处理来自云平台的海量日志信息，对用户事件、数据传输、软件使用、工程计算4类事件进行记录。将审计记录接口在WebServices服务上，后，当WebServices收到请求后，就可以完成审计信息接口的功能。3)日志信息经过处理后，发送至数据库访问接口，数据库访问接口会将数据写入审计数据库。至此，审计信息记录的流程完成。
2.2审计信息签名流程
审计信息记录模块使用4个不同的接口分别接收4类用户日志信息数据，并将其发送给数据库访问接口，由其通过数字签名技术完成对日志信息的安全存储，主要包括对日志信息进行元组签名和分片签名。数字签名，简称签名，是一种基于对称密码或非对称密码(公钥密码体制)的算法。大部分签名算法都是基于非对称密码体制实现的，常见的数字签名方法如RSA、DSA等。签名具有以下几个特征：签名是可信的、不可伪造的、不可重用的；签名的文件是不可篡改的；签名是不可抵赖的[8]。(1)元组签名数据库访问接口接收审计数据，对其接收到的每一条数据，将其各记录项合并成一段连续的数据，根据MD5算法计算该段数据的MD5值，作为该条日志信息的唯一元组签名项，具体流程如图3所示。随后将计算出的元组签名项与该条日志信息的各记录项存储到审计信息数据库中，通过数据库访问接口，完成日志信息的存储操作。(2)分片签名每当审计数据库中插入100条数据时，对这100条数据进行签名，将签名保存在一张签名表中，即完成对文件的分片加密(见图4)。将数字签名应用到审计数据库中，原因是审计数据库对数据的安全性有较高的需求。审计数据库中的数据需要保证每个元组都是来自真实的审计日志，数据的完整性正是利用数字签名这些特征来确保查询结果来自真实的原始数据，没有任何篡改。当审计数据库受到安全威胁攻击时，要能够验证该攻击的真实性。审计数据库采用了对元组签名而不是对其加密是因为：加密能够保证数据库的机密性，但是对审计查询工作时进行模糊匹配、多表查询造成了很大的困难，同时，响应时间的加大和解密时间的增多，都影响了系统的可用性。审计数据库签名的粒度有4种：元组属性值、元组、字段、表。为了保证数据完整性，采用对元组签名和分片签名的方法。在审计数据库中的数据以明文形式存储，当怀疑审计数据的有效性时，即可检查审计数据库返回的是不是审计日志的原始数据。通过重新计算该元组MD5的值，如果当前的签名和该元组里的签名对比，若两个MD5的值不相同，则说明该元组已被篡改，是不可信的，用户和管理员可拒绝接受该元组信息。由于对元组的签名只能保证该元组是可信的，没有随意地篡改数据，但是不能保证日志信息的连续性，即数据没有被删除和添加。通过分片签名的方法，可以保证所有数据的完整性。
2.3审计信息管理流程
审计信息管理主要为云平台管理人员以可视化界面的形式提供信息审查的平台，为其进行审计信息的浏览、导出、删除等管理操作提供方便快捷的操作途径。(1)审计信息浏览通过审计信息管理模块与数据库访问模块的交互，能够将存储在安全审计数据库中的审计信息取出并在浏览器中展示，管理人员能够从浏览器中获取云环境下各主机所对应用户的行为操作描述，便于对云平台的安全状况进行审查和评价，及时发现云平台安全性威胁行为。管理员也可根据相应的审计策略给出审计信息的筛选条件，找出可疑信息。(2)审计信息导出对当前用户日志信息记录表以文件形式导出，并加密保存在本地，实现对云平台日志信息的永久性保存，同时保证了其安全性。(3)审计信息删除管理人员能够通过用户界面操作删除用户日志信息，通过审计信息管理模块与数据库访问模块，将存储在安全审计数据库中的该条记录删除。用户界面的设计是为了帮助管理人员或专业机构了解整个云平台上用户日常行为操作的具体内容，及时发现威胁安全的用户操作，实时维护整个云平台的系统安全与数据安全。用户界面不对管理人员提供主动增加用户日志信息及修改用户日志信息的功能。
3性能测试
3.1安全性测试
安全审计系统具有较强的安全保障，具体体现在以下两个方面：1)审计数据库自身的安全保护。对安全审计系统进行访问控制，由专门的审计管理员负责审计数据库的管理、审计策略的下发、审计信息的分析、审计数据库信息的备份和故障恢复等操作，其他人员无权执行上述操作。2)审计数据的完整性安全保护。日志信息在经过审计接口进行存储时，需经过信息分类、格式标准化、签名处理。元组数据的签名确保了单条数据的完整性，分片数据的签名确保了整个审计数据库的审计数据来自连续的审计日志信息。双重签名机制能够确保审计数据完整性的安全保护，同时也能够让平台用户信服于审计结果的准确性。在测试过程中，随机选取审计数据库中1条测试数据，统计其元组签名以及被划分到片(100条数据)后得到的分片签名，然后修改该条测试数据的内容，再次得到以上两组签名，并进行比对，实验结果如表1所示。安全性测试结果表明，当审计数据库中的某一条数据被非法修改时，通过比对分片签名是否改变，可以确定具体被修改的数据在哪一片中，进一步比对元组签名是否改变，便可以确定被修改数据的具置。
3.2算法效率测试
安全审计系统通过双重签名机制保障安全性的同时，也应具备良好的运行速度。而分片签名是基于100条数据进行的签名算法，其执行效率将影响到安全审计系统的整体执行效率。在排除系统其他操作的情况下，针对分片签名计算进行速度估算测试，测试结果如表2所示。算法效率测试结果表明，当同时插入10000条数据时，需要进行100次分片签名算法，签名计算操作仍然耗时较短，考虑到实际运行环境中，同一时间插入的数据均远小于10000条，可以认为签名算法在运行效率上不会影响安全审计系统的整体运行率。
4进一步研究工作
下一步的研究重点将是在本方案的基础上实现以下两点，来提高审计系统的审计能力和审计效率。(1)审计系统中关联分析、报警功能的实现关联分析(AssociationAnalysis)是指在数据记录的数据项之间挖掘关联关系，某些数据项的出现预示着该记录中其他一些数据项出现的可能。进一步研究关联分析方法对审计信息进行关联分析，以发现攻击的规律和趋势，甚至是预测即将发生的攻击。在审计系统中添加报警功能，并可由审计管理员自定义报警策略及响应措施，当发现云平台有严重的侵害事件发生时，即可启动响应措施，对平台进行保护。(2)研究分析审计数据完整性保护措施方案本方案采用了基于简单签名的数据完整性保护措施。这种方法实现比较简单，能够保证数据的完整性。但是签名数量较多时就会给系统带来较大的时间和空间开销。文献[9]提出了完整性审计方法，即通过在需要委托的数据库中插入少量的伪造元组来验证审计数据库的完整性。文献[10]提出了双重加密方法，这种方法是一种低耗费的可证明安全性的双重加密方法，能够保证实现数据元组的完整性认证。因此，可以对不同的审计数据完整性保护措施方案进行对比分析，根据具体云平台的功能总数、用户量选择合适的方案。
5结语
1安全生产行政审批系统的平台组成
各级企业是安全生产行政审批系统的服务对象，通过实际需求分析决定审批系统由两个用户端和一个平台组成，包括企业申报端、政府审批和平台管理端，通过管理平台对两个用户端进行系统模块和用户权限管理。不同的用户由于角色不同，进入系统使用的模块也不同，操作系统的权限也各不相同。整个系统构成一个整体。各系统用户及功能如下:企业用户:①在线申报，填写项目审批申请书，上传所需材料，打印申请书。②申请进度查询，了解许可证审批节点进度。③历史申请记录查询。④注销申请。市、区县安全生产监督管理局用户:①在线受理、承办、审核、审批。②许可证发放。③数据导出(数据统计)。④查询统计图形分析。⑤注销管理。⑥提醒功能(许可到期前，到期日和注销日提醒)。⑦查询功能(了解许可证审批节点进度)。⑧日志管理。系统管理用户:①系统用户管理。②系统权限管理。③内外网数据交换。
2系统设计中的技术难点和关键技术
安全生产行政审批系统的主要功能是各级企业通过行政审批平台提交申请表单和各种相关的电子资料，审批机关通过审批系统完成业务办理。基于系统的功能需求系统采用外网受理、内网审批和外网的方式完成工作。外网受理是指各级企业通过Internet将申报项目所需的材料送入外网数据库;内网审批是指用户的申报资料要通过数据交换，将外网数据交换到内网数据库，再进行行政审批;外网是指审批结果通过内外网数据交换到外网门户数据库，再供企业查询。申报人通过互联网访问审批系统的业务受理服务器，进行网上申报，申报系统将数据存储到外网数据库服务器。通过数据交换的数据库同步、文件同步子系统，由内网主动发出数据同步请求，外网数据交换系统在接受到内网发出的数据请求之后将申报外网中的数据库记录、文件提取出来，安全检查完后，及时将数据同步到内网的数据库、文件服务器。内部人员通过业务处理服务，对申报的数据进行审批、审核后，将数据存储到内网的文件服务器和数据库服务器。通过数据交换的数据库同步、文件同步子系统，由内网主动发出数据同步请求将内网中指定的数据库记录、文件提取出来，安全检查完后，及时将数据同步到外网的数据库、文件服务器，供申报人查询使用。申报人通过互联网访问审批系统的业务受理服务，查询申报审批情况。通过循环执行以上步骤实现“外网申报、内网审批”功能。系统设计中的关键技术有:①系统的内、外网的数据库要实现数据同步。②系统的动态扩展，实现开放数据库的设计。考虑到上述问题，系统平台采用B/S的多层架构体系，以微软．Net框架为系统开发平台，采用ASP．Net和C#作为系统的核心开发技术。在．Net数据存储层提供灵活的多数据库支持，根据业务系统数据的大小，用户可自行选择相应的数据库。在该平台中，考虑到SQLServer和．Net的良好兼容性和集成性，选择SQLServer2008数据库作为数据存储。．Net框架式多层式架构平台，为应用程序提供了很好的支持。
3系统安全控制方法
由于系统采用“外网申报、内网审批”的方式，安全问题在系统的设计中显得尤为重要。为了解决安全和开放的矛盾，对需保密的部分采用了严格有效的安全控制机制。首先系统从架构上采用三层架构，将数据处理和用户操作完全隔离开。第一层为用户表示层，这一层直接面对用户，主要是和用户进行交流。用户层主要设计登录页面，阻止非法用户，读取合法用户的权利配置等信息。第二层为业务逻辑层，这一层主要处理来自用户表示层和数据访问层的数据，是上层和下层之间的桥梁，用户的操作和数据库对数据的处理通过业务逻辑层完全隔离开。第三层为数据访问层，数据访问层主要完成数据库的管理，包括数据库操作类、模块信息类等。该层是系统和数据库交流的关键所在。除了三层构架，系统在数据传输过程中还采用了SSL数据加密技术，保证数据传输的安全性;系统登录时采用用户加密和身份验证技术，保证数据安全，并且系统用户采用分级分角色管理，不同的用户权限不同，以加强对企业身份和安监局工作人员的身份认证;在系统编成过程中，将程序逻辑封装入DDL中，对配置文件和DDL文件进行加密，保证ASP．．Net的代码安全。
4结语
安全生产监督审批系统主要是提供数据在线申报、在线审查和决策支持等功能，以电子监管形式辅助政府机关安全监管人员解决安全生产审批问题。安全生产审批系统的应用实现了监督管理的网络化、数字化和标准化，简化了办公过程，提高了工作效率。
作者：张化勋李俊卿单位：长春大学电子信息工程学院长春轨道客车股份有限公司
关键词：电力系统；网络安全；安全审计；网络监控
中图分类号：TP393.08文献标识码：A文章编号：1009-3044(2008)25-1391-03
The Design and Realization of Network Security Audit and Monitoring System
LIU Chan-juan
(Ludong University Department of Computer Science & Technology, Yantai 264025, China)
Abstract: This paper presents a whole design of network security audit and monitoring system, including the design of monitoring module in Proxy and network capability, etc. And it also proposes the implement flow of these function models including the implement flow of security audit model and network monitoring model, it also gives the design and realization of IP address peculate model and monitoring module in Proxy. This system has greatly improved the level of safety management of network through the practice for an application case and has obtain good actual effect.
Key words: Electrical Power System; Network Security; Audit; Network Monitoring
1 引言
在物理容灾方面, 电力系统目前的防护措施已较为完善, 而在对黑客攻击与网络化病毒的防护方面, 特别是黑客攻击, 虽然已建立了初步的防护体系, 但由于电力系统数据网络在建设和管理中缺乏有效的指导, 同时也因黑客技术的不断发展, 在这方面还远远不能达到应有的效果。因此, 如何优化已有的系统软件和安全产品, 如何建立多层次的安全防护体系, 仍是电力数据网络发展中必须面对的重要问题[1]。保证电力数据网的稳定性、安全性和保密性，需要研究多层次的审计和监控手段，研发高效的网络安全审计与监控技术，研制自己的功能较完备的网络安全监控与审计系统，这是十分有意义的，所以展开对此课题的研究有重要的实用价值。
2 系统的总体设计
在系统开发初期阶段，经过反复调研，分析系统应用的软硬件环境，跟踪相关领域的研究情况，最后本系统确定了基于Unix系统平台，以B/S（Brower/Server）为开发模式，利用SNMP（简单网络管理协议）进行网络监控，运用Unix平台下的C语言的开发监控程序，利用Oracle OCI调用接口进行数据库操纵，结合PHP语言进行数据的网络的整体开发模式和方法[2]。网络安全审计和监控技术有两部分含义：系统安全审计与网络监控。系统的功能需求可归纳为两大部分：即基于日志形式的安全审计部分及基于SNMP的网络监控部分。
3 系统主要模块的设计
3.1 IP地址盗用模块的设计
在本模块开发初始，考虑到由于IP地址盗用只能发生在同一子网（Subnet）中，而网络中以太网卡MAC地址全球唯一不能改变，故通过绑定同一子网中的IP和以太网卡MAC地址便可区分合法用户与非法用户[3]。系统分四步：首先是建立一张IP地址和MAC地址的对应表，对应表中记录了合法用户的IP地址和MAC地址的对应关系。其次运行监测程序，监测子网中的各个IP地址对应的MAC地址是否与先前建立的对应表中的对应情况一致。若相同，说明合法用户正在使用。若发现不一致，说明非法用户正在盗用合法用户的IP地址，此时系统产生报警，记录非法用户的盗用信息。第三步运行阻断程序，对非法用户进行攻击。采用地址分辨协议ARP（Address Resolution Protocol）伪造技术，向非法用户主机发送ARP Spoofing攻击包，断开非法用户主机的网络连接，禁止其继续使用网络。最后是将监测的盗用信息进行网上，这样管理员可以随时通过浏览器查看IP盗用情况。
IP地址盗用监控模块功能结构见图1。数据采集模块利用UCD-SNMP网管软件，通过编写程序，每隔固定时间间隔向路由器等网络设备采集数据，并将采集数据传送给数据处理模块。数据处理模块包括数据分析模块和阻断模块两个子模块。数据分析子模块负责接收来自的数据，分析是否存在IP盗用情况，若存在则产生报警信息，随之调用阻断子模块，对非法用户进行攻击，阻止其继续使用网络。数据模块包括报警信息入库模块和数据浏览模块。入库模块完成盗用信息的存储入库，而浏览模块提供给管理员一个可视界面，用来浏览和管理报警信息，了解网络的使用情况。
3.2 服务器监控模块设计
在具备专线接入的大型局域网中，一般都采取服务器的方式接入Internet。采用服务器形式接入Internet的好处显而易见：可以充分利用现有IP实现更多用户同时访问Internet，但相应的各种各样的问题也随之到来：网络用户增多了，如何对内部用户访问外部网络情况进行统计，如何对网络用户访问的内容进行审计和监察，如何对网络流量进行统计及对数据流向进行监控，以及服务器本身服务情况统计等等。这些问题的出现，直接引出了服务器的监控问题。
在该模块设计时，根据实际需求，设计了该模块的主要功能包括三个部分：
1) 今日访问情况统计：包括最常访问网站统计，用户点击率统计，服务器访问率统计和访问成功和失败情况统计。
2) 客户机监控：包括客户机访问统计，客户机流量统计和客户机访问网站统计。
3) 服务器性能分析：包括服务响应码分析及服务传输时间统计。
为实现上述功能，结合具体的Unix平台，具体设计出了服务器监控模块的功能结构图，如图2所示，主要包含三个方面的功能：日志采集，日志分析及信息三部分。
■
图2 服务器监控功能结构图
4 系统的实现
4.1 系统功能模型的实现流程
本系统设计的主体功能包括两大部分：安全审计模型和网络监控模型。系统的安全审计功能主要基于系统的各种日志信息，如系统日志，用户操作记帐日志，服务器日志等。通过编制数据采集程序采集相关的日志信息，同时利用数据分析程序对审计跟踪文件的信息进行分析处理，经过审计得到计算机系统或网络是否受到攻击或非法访问，并对采集的审计数据进行入库操作，保留安全审计结果，同时利用保存的统计数据绘出各种统计分析图表，最终通过构建Web服务器，将审计结果进行网络，提供给用户直观的浏览界面[4]，方面管理员进行综合分析和审计，提高网络管理水平。系统中安全审计模型图如图3所示。
■
图3 安全审计模型图
在本模块开发过程中，首先要做的就是网络数据的采集，经过采集模块得到的数据经通信模块传送给分析过滤模块，经过分析和过滤得到相应的统计数据，同时将统计数据保存到数据库，以方便做数据的纵向分析比较，最后用Web数据方式将监控结果和统计分析情况到网络。网络监控功能模型如图4所示。
■
图4 网络监控模型图
4.2 IP地址盗用监控模块的实现
本模块的数据采集程序是基于UCD-SNMP软件开发平台开发的。UCD-SNMP开发平台提供了非常多封装好的库函数和链接库，这使得程序的开发得到极大方便。在IP盗用监控过程中，程序的主要任务是采集当前网络中处于活动状态的IP地址信息，包括IP地址和以太网卡MAC地址，并将他们绑定在一起，与登记的合法IP和MAC地址对相比较，作为判定IP是否合法的标准。
程序通过SNMP协议定期访问被管设备，取得当前网络中IP使用情况。通过访问设备的MIB（ManagementInformationBase）中IP接口组的IpNetToMediaPhysAddress对象值，获得当前网络中活动主机的IP地址和MAC地址的对应关系，而后将得到的信息发送到数据处理程序。系统中程序实现数据处理的算法流程图如图5所示。
当程序采集到数据后，就将数据传送给数据分析处理模块。数据分析模块负责接收和分析程序返回的数据，并将数据和合法IP和MAC对应表比较，判断是否存在IP地址盗用，此时存在多种情况。经过分析模块的分析，对于IP盗用情况，系统会自动产生报警信息，包括盗用者的原始IP和注册登记信息（在其完成网络登记的情况下）、盗用者主机网卡MAC地址，被盗用主机的IP地址、MAC地址及主机登记信息。这些数据应该妥善的保存起来，并提供给网络管理员查阅，方便其查找盗用IP者起到威慑作用。数据存储入库程序采用C语言结合Oracle OCI(Oracle Call Interface)接口，在UNIX平成了盗用信息的收集和入库工作，将盗用信息存储在Oracle数据库中，为数据的网络做铺垫[5]。
4.3 服务器监控模块的实现
在模块的实现过程中，主要利用队列技术实现高速缓冲区的设计，同时用FIFO(First In First Out)机制来控制对缓冲区的访问，使得日志写入和入库读取高速缓冲区不发生冲突。对于服务器的监控无外乎两个方面的内容，对用户访问网络的统计和对服务器本身服务的监控。本模块中，对日志的分析过程是通过对数据库的查询分析得到的，通过PHP语言，利用复杂的SQL语句操纵数据库，实现数据的统计与分析，最终将结果返回给管理员。
5 结束语
电力营销管理信息系统的不安全因素是由计算机系统的脆弱性以及人为因素造成的。从系统的结构、系统资源与实施及运行环境来分析，实施一个安全的电力营销管理信息系统，需要通过管理手段将人为破坏因素降到最小，通过技术手段降低自然因素对系统的危害。
参考文献：
[1] 姚小兰, 李保奎, 董宁, 等. 网络安全管理与技术防护[M]. 北京:北京理工大学出版,2002.
[2] Peter Kuo. 最新UNIX开发使用手册[M]. 北京:机械工业出版社,2000.
[3] Hansen, Lesley. Network Infrastructure Security[J]. Network Security,1999,12(6):57-61.
关键词 超大型数据库；性能优化；动态表分区
中图分类号TP392 文献标识码A 文章编号 1674-6708（2013）82-0222-02
0引言
基于内容的网络安全审计系统，为了进行事后统计分析和提供证据，需要将用户指定范围内所有采集到的数据信息存入数据库以及相对应的文件中。能够保存较长时间范围内的历史数据信息对于网络安全审计系统来说是非常重要的，通常情况下需要保存最近三个月的历史数据信息。
经过前期需求和数据测试分析，1G的电信网络中每天大约会增加6 000万个数据文件和数据记录，这样其存储的数据库规模非常大。数据库规模的不断变大，将会导致数据库系统性能的急剧下降，使得数据库维护的成本不断上升，甚至造成周期性的停机。
1表分区
表分区技术就是当数据库中的某个表变得特别大时，可以根据一定的条件或者规则，将一个大表划分为多个包含少量数据的分区，每个分区都是一个逻辑实体，是表的一个子集。通过将一个大表拆分成为多个更小的单个表，使得只访问一小部分数据的查询执行得更快。另外，对于这些小表可以更快地执行维护任务（如重建索引、数据备份或导入导出等）。
在超大型数据库中，通常不使用单个分区中的大数据集，而采用经过优化设计的本地分区和访问策略，能够使查询性能提高一倍以上，甚至几十倍。采用表分区技术的优点：
1）可以极大地缩短查询时间；
2）减少数据加载时间，改善数据库的可维护性；
3）解决从活动数据库中删除历史数据时出现的数据修剪问题。
2动态表分区
表分区按照实现的方式不同可以分为静态和动态两种。所谓静态表分区就是在数据库初始化的时候按照预定格式一次性生成所有分区。而动态表分区则是应用程序根据一定的规则动态创建所需分区，并对这些分区进行动态管理和维护。采用静态表分区技术的应用程序实现比较简单，但是可扩展性较差。采用动态表分区技术的应用程序实现要复杂一些，但是开发出来的应用程序可扩展性较好，能够根据不同的需求进行扩展。
静态表分区是目前超大型数据库系统解决方案中普遍采用的一种技术，到目前为止，还未见一种比较完善的基于动态分区的解决方案。另外，将基于动态分区的超大型数据库系统性能问题的解决方案应用到网络安全领域是一个需要特别研究的问题。
设计开发的网络安全审计系统产品定位于100M~1000M以上的高端网络用户（兼容中低端用户），其数据存储和处理规模非常巨大，为了使得产品具有更好的扩展性能，该系统采用动态表分区技术。
3多表查询
在采用分区视图技术实现多表联合查询之前必须动态创建一个包含多个成员表的分区视图。对于超大型数据库来说，动态创建几个表的分区索引视图需要大量的时间。另外，分区视图技术是通过使用联合查询运算符来实现的，很多个大数据量表的联合查询性能是比较低的，这将在下面的性能测试中进行说明。
采用临时表技术则没有多表联合查询的那些限制，实现也比较简单，性能比执行联合查询要好得多，但是产生的事务日志信息比较多。另外，采用临时表技术的时候还可以利用多表分页查询机制来控制每次数据查询时需要访问的数据范围以及返回的记录数，以提高数据查询的速度。对于性能要求比较高的超大型数据库应用程序来说，建议采用临时表技术来满足动态分区的数据库查询统计的性能要求。
4解决方案
本文采用一种如图2所示的解决方案，来解决基于动态表分区的网络安全审计系统超大型数据库的性能问题，并为开发人员提供独立于数据库设计的基于动态表分区的数据库通用访问接口。
此方案在普通数据库应用程序的基础上增加一个的基于动态表分区的访问接口的模块，并对该模块进行优化。
5结论
由于采取了动态表分区技术并对相关接口进行优化，使得网络安全审计系统的性能得到了很大提高。
在千兆环境压力测试中每秒能提交9000条左右的数据记录，各种数据库查询统计操作都能够得到快速响应，经相同环境下的压力测试其性能比同类产品都要响应迅速。
参考文献
[1]求是科技著.SQL Server 2000数据库管理与开发技术大全[M].北京：人民邮件出版社，2004
关键词： 数据持有性证明； 数据去重； 云存储； 索引
中图分类号： TN915.08?34； TP311.17 文献标识码： A 文章编号： 1004?373X（2017）09?0096?03
Abstract： A provable data possession scheme supporting data deduplication is proposed. The scheme has improved the security issue that the MD5 value in the original data deduplication is used to falsely claim the use right of the original data. A trusted third party is introduced into the scheme to manage the verification secret key of different documents to avoid the repeated calculation of the file label. The additional local storage is adopted to reduce the time consumption and communication cost. For the file?level cloud storage， a dynamic provable data possession scheme based on index was designed. According to the influence of the file I/O existing in the previous schemes on verification time， the B+ tree multi?level index is used to perform the query optimization for the file. The experimental results show that， in comparison with the traditional schemes， the proposed scheme has reduced the storage cost for data deduplication greatly， and lowered the time complexity of the file?level update operation.
Keywords： provable data possession； data deduplication； cloud storage； index
0 引 言
随着信息技术的发展，越来越多的企业或者用户选择在云存储服务提供商的服务器中存储数据，但是被存储数据的安全性和完整性在一定程度上不能得到很好的保障。虽然云存储服务提供商会有相应的技术来备份和恢复用户锁存的数据，但是一部分用户的数据依然会因为一些恶意篡改或者物理损坏等因素而造成变更甚至丢失。虽然数据能够带来的价值均会被大型企业关注，但政府却没有出台管辖数据安全问题的相关法律法规，所以，用户和服务商遇到最大的问题之一就是用户的数据出现问题[1]。提供云存储服务的供应商在提供云存储服务的过程中，需要为用户提供随时查验数据完整，一旦检测到数据方面的错误时，能够在第一时间对数据进行恢复和保存，只有实现了这一功能，用户才能将云存储服务使用的更加安心[2]。
1 可支持数据去重数据持有性证明方案
1.1 初始化模块
如果用户是首次登录数据客户端，那么首先需要注册账号，账号里包含了惟一的用户名、ID以及口令，与此同时，这个账号中所有的信息也将同时被云服务商以及可信第三方拥有。
此时，验证文件所用的密钥将在本地客户端通过计算生成，具体步骤为：寻找大素数当且同时满足这一条件，生成元需要在正整数循环子群的范畴里寻找，再寻找出大于安全参数的大素数以及大素数使得大素数和大素数满足之后一个位的二进制数将由系统随机生成。其中，使得私钥sk用来体现，公钥pk用来体现。上述步骤与传统PDP方案相同。
在生成了公钥与私钥之后，需要输入pw这个新口令，用AES对私钥加密之后再进行存储，之后将公钥公开存储在数据库中[3]。Android平台上的sqlite是实现上述步骤时所采用的数据库。
1.2 数据去重模块
针对需求，本文设计了以下方案：
（1） 用户需要上传文件客户端首先计算该文件的MD5值[4]计算完成后将结果向云服务端发送，云服务端对接收到的的验证过程如下：
if （searchHash（HashTable，m） == true）：
sendClient（randomKey， FID）；
else requestFileTag（）；
在服务器查找哈希表的过程中，如果能验证的存在，系统在返回客户端之后会生成一个随机的randomKey密钥，密钥生成完成系统将继续运行步骤（2）；但是如果不能验证到的存在，则系统会请求客户端上传文件标签和相应文件。
（2） 当服务端在运行过程中发现了的存在，则系统返回客户端之后生成一个文件序号FID和随机的密钥，客户端通过对该文件值以及FID的计算，将结果向云服务端发送，云服务端对接收到的二次验证过程如下：
F=getFile（FID）；
temp = MAC（F， randomKey）；
if （m′== temp）：
addFileUser（FID，user）；
sendThirdParty（FID）；
else requestFileTag（）；
在云服务端进行二次验证时，若MAC值和第一次计算的结果一致，服务端把FID发送给可信第三方，可信第三方在接收到FID之后把验证密钥发送给客户端。如果MAC值在两次计算中结果不同，则系统发送请求给客户端，命令客户端将文件标签以及相应文件继续上传。
1.3 数据上传模块
文件预处理模块原理如图1所示。
在完成数据去重之后，需要从两方面考虑问题：第一种情况，若验证到文件在云服务端已经存在，则可信第三方会向用户提供影响文件的验证密钥；第二种情况，若在云客户端验证不到该文件的存在，则云客户端会将即将上传的文件的FID发送回客户端，客户端再根据FID计算标签TF。
1.4 完整性验证模块
用户需要通过对文件发送挑战、计算证明、验证证明三个步骤来验证单文件的数据。
（1） 发送挑战
在进行验证之前，提前与服务端寻找出伪随机文件，问卷之后对置换函数进行定义：之后再寻找出伪随机函数进行定义[5]：首先，两个位随机二进制数被系统随机生成；其次，随机数被系统生成；最后，将数据块总数以及的计算结果发送给服务端。
（2） 计算证明
在将的二进制串转换为用所表示的另一个二进制串的过程中，可以根据情况运用伪随机置换函数结果用表示。用表示通过伪随机函数生成的系数。
然后生成证明和与都拥有1 024位数，在实际操作过程中，伪随机置换函数用AES表示，伪随机函数用HMAC进行表示，函数用SHA1进行表示，同时，需要将云服务器端和客户端函数的一致性进行约定。
（3） 验证证明
验证证明的过程同计算证明基本相同，在的每一个数字中，二进制串将运用伪随机置换函数来计算，系数运用伪随机函数来计算。与此同时，计算并且使如果则说明该单文件完整性验证成功；若不相等，则失败。
2 基于索引的动态数据持有性证明系统模型
2.1 初始化模块
通过RSA的密钥生成来设计初始化模块，之后再在本地数据库中通过用户的口令加密存储。在设计本模块的过程中，要尽量满足简便操作的原则，还要尽可能使方案的安全性有所保障。
2.2 数据上传模块
在客户端计算文件标签的过程中，数据上传模块可参考完整性验证方案，在将文件以及相关数据上传服务端之后，服务端需要根据文件的标签构建B+的树索引。在验证源码PDP之前，发现当文件逐渐增大时，服务端生成证明所消耗的时间一方面运用在了指数运算上，而更大一部分则运用在了文件块I/O上[6]。
2.3 完整性挑战模块
验证模式分为全盘验证和单文件验证两种，验证模式不同，则系统发送的挑战也各不相同[7]。如果是全盘性的验证模式，那么需要挑选随机文件，在文件中选取数据块，整个过程一共需要工作460次。但是在单文件验证模式中，则将密钥挑战中随机的文件块进行发送。同台验证标签仍然是本方案的验证依据。
3 系统设计与实现
3.1 系统架构
（1） 系统客户端
系统的客户端中包含了用户与文件管理、可视化验证与完整性验证等，其结构设计见图2。客户端中用户管理业务通过用户管理模块进行实现，主要包含用户登录逻辑以及用户注册两项业务。文件管理模块实现了与云存储中文件存储相关的所有业务逻辑。客户端界面的可视化通过可视化模块进行实现，同时，该模块支持用户对文件的读写和管理操作在客舳私行，能够给予用户更好的实用体现。利用客户端验证文件完整性，能够提升业务逻辑条理性，进而有效完成验证模块。
（2） 系统服务端
服务端的系统主要包含用户管理、存储管理、索引以及完整性验证模块，安全云存储服务端平台结构图如图3所示。
3.2 测试与结果分析
3.2.1 测试方案
系统详细功能测试包括文件上传测试、文件更新测试、文件删除测试三方面的内容。在文件上传到服务期之后，用户可以发出文件指令，云服务器能够将文件上传至云存储器，url?tag地址表项在标签哈希表中进行补充新增[8]，这一操作实现了在对文件完整性验证的过程中查找文件中tag链表，提升查找的准确性，提升文件的验证有效性。对于云存储中需要删除的部分文件，需要重视文件的删除测试，利用文件删除测试实现具体的功能测试。
系统运行效率测试包括文件上传效率测试、更新效率、删除效率等测试。
3.2.2 测试结果分析
（1） 数据更新时间
假设文件块大小均为4 Kb，且通信的代价相同，本文方案和DPDP中的搜索添加删除三项操作时间的结果对比如表1所示。
（2） 证明效率测试
当存储文件所占内存为10 GB时，DPDP，Flex?DPDP的验证速度均比UT?DPDP慢了2.5倍。在验证过程中发现Flex?DPDP与DPDP验证速度和文件线性大小之间具有非常密切的关联，UT?DPDP的验证速度是固定的，随着文件占用内存率不断增加而愈发明显。
（3） 文件上传、更改、删除操作效率测试
本文方案在文件块数量很大这一情况下，在文件上传、更新、删除等方面的优越性表现显著，因此，针对理论时间复杂度来说，这三项操作都是但是变量是DPDP理论时间复杂度。
4 结 语
本文提出可支持数据去重的数据持有性证明方案和基于索引支持动态数据持有性证明的文件级云存储模型。可支持的数据去重数据持有性方案在一定程度上更新了数据自身去重环境下能够进行压缩，但是无法压缩完整性验证所需要的文件标签这一问题；基于索引支持动态数据持有性证明的文件级云存储模型设计并实现了一种新型的数据持有性证明技术，主要解决了动态验证中数据更新操作时间复杂度高且更新量庞大的问题。和同类其他方案相比，本文所提出的方案针对理论时间复杂度这一指标来说，三项操作都是满足了用户实际需求。
参考文献
[1] 刘雪琼，武刚，邓厚平.Web信息整合中的数据去重方法[J].计算机应用，2013，33（9）：2493?2496.
[2] 张晓，秦志光，罗亚东，等.一种低代价的云计算存储权限管理机制[J].西南师范大学学报（自然科学版），2015（7）：33?40.
[3] WU J， PING L， GE X， et al. Cloud storage as the infrastructure of cloud computing [C]// Proceedings of 2010 IEEE International Conference on Intelligent Computing and Cognitive Informatics. [S.l.]： IEEE， 2010： 380?383.
[4] HE Q， LI Z， ZHANG X. Data deduplication techniques [C]// Proceedings of 2010 IEEE International Conference on Future Information Technology and Management Engineering. [S.l.]： IEEE， 2010： 430?433.
[5] 冯泓渊，赵逢禹.云存储服务中支持动态数据完整性检测研究[J].小型微型计算机系统，2014，35（2）：239?243.
[6] CHEN B， CURTMOLA R. Robust dynamic provable data possession [C]// Proceedings of 2012 the 32nd IEEE International Conference on Distributed Computing Systems Workshops. Macau， China： IEEE， 2012： 515?525.
关键词：审计；信息化，安全保障体系；主机审计
审计是客观评价个人，组织、制度、程序、项目或产品。审计执行是以确定有效性和可靠性的信息，还提供了一个可内控的评估系统。审计的目标是表达人、组织、系统等的评估意见，审计人员在测试环境中进行评估工作。审计必须出示合理并基本无误的报表，通常是利用统计抽样来完成。审计也是用来考察和防止虚假数据及欺骗行为，检查、考证目标的完整性、准确性，以及检查目标是否符合既定的标准、尺度和其它审计准则。实现审计的信息化，有利于管理层迅速准确的做出决定，对于政企业发展、社会经济的进步都具有重要作用。目前，我国的审计工作尚存在性质认定模糊、工作范围过于狭窄等问题，有待进一步加强和改进。
审计的基础工作是内部审计，内审是审计监督体系中不可或缺的重要组成部分，是全面经济管理必不可少的手段，是加强任何机构内部管理的必要，推动经济管理向科学化方向发展的重要环节也是审计。因此说审计部门是其他监督部门不能代替的，促进党风廉政建设、加强对党政领导干部及管理人员的监督都可以通过审计来完成。审计应用与高新技术机构中，在防范风险中发挥着重要作用，也有助于领导层做出正确决策。
一、审计工作的现状及存在的问题
随着我国经济迅猛发展，审计监督力度不断增强，审计范围也不断扩大。当前，审计方式已由财政财务审计向效益审计发展，由账项基础审计向制度基础审计、风险基础审计发展，由事后审计向事中、事前审计发展。审计管理上建立审计质量控制体系，要求审计机关把审计管理工作前移，把质量控制体系贯穿与审计工作中。在此趋势下，传统的审计方法暴露出其效率低、审计范围小等劣势，使得完成审计任务，达到审计目标越发缺乏及时性。
(一)内部审计性质认定较为模糊。内部审计是市场经济条件下，基于加强经营管理的内在需要，也是内部审计赖以存在的客观基础。但是，现代内部审计的产生却是一个行政命令产物，强调外向。这种审计模式使人们对内部审计在性质认定上产生模糊，阻碍了内部审计的发展。内部审计很难融入经营管理中，审计工作很难正常开展，很难履行监督评价职能和开展保证咨询活动，因此就不能充分发挥其应有的内向的作用。
(二)内部审计工作范围过于狭窄。内部审计的目的在于为组织增加价值并提高组织的运作效率，其职能是监督和服务。但是，我国内部审计工作的重心局限在财务收支的真实性及合规性审计。长久以来内部审计突出了监督职能，而忽视了服务职能。内部审计认识水平、思想观念的束缚以及管理体制等诸多因素，影响和阻碍着内审作用的有效发挥。原因有会计人员知识水平、业务素质不高，也有不重视法律、法规的因素，还有监管不力、查处不严的原因。目前内部审计尚处在查错阶段，停留在调账、纠正错误上，还不能多角度、深层次分析问题，没有较国际先进的审计理念，我国内部审计的作用尚待开发。审计人员的计算机知识匮乏，不适应电算化、信息化的迅速发展。目前多数审计人员硬件知识掌握不熟练，软件知识了解也不足，因此不能有效地评估信息系统的安全性、效益性。由于计算机审计软件开发标准不同，功能也不完整，因此全面推广计算机辅助审计就有一定难度，导致审计人员的知识和审计手段滞后于信息化的发展。
二、信息化审计体系的健全
当前国家审计信息化发展的趋势是建立审计信息资源的标准化、共享化、公开化，逐步达到向现代审计方式的转变。这一趋势是随着当前科学发展、和谐社会的推进，国家确立的公共财政建设、公共服务的实施、公共产品的提供应运而生的，三个“公共”的主旨是：国家财政资金的使用更注重民生；使用重点更注重服务；使用效益更注重民意。
信息安全审计是任何机构内控、信息系统治理、安全风险控制等不可或缺的关键手段。收集并评估证据以决定一个计算机系统是否有效地做到保护资产、维护数据完整、完成目标，同时能更经济的使用资源。信息安全审计与信息安全管理密切相关，信息安全审计的主要依据是出于不同的角度提出的控制体系的信息安全管理相关的标准。这些控制体系下的信息化审计可以有效地控制信息安全，从而达到安全审计的目的，提高信息系统的安全性。由此，国际组织也制定了相关文件规范填补信息系统审计方面的某些空白。例如《信息安全管理业务规范》通过了国际标准化组织ISO的认可，正式成为国际标准。我国法律也针对信息安全审计制定出了《中华人民共和国审计法》、《国务院办公厅关利用计算机信息系统开展审计工作有关的通知》等文件，基本规范了内部审计机制，健全了内部审计机构；强调机构应加强内审工作，机构内部要形成有权就有责、用权受监督的最佳氛围；审计委员会直接对领导班子负责，其成员需具有相应的独立性，委员会成员具良好的职业操守和能力，内审人员应当具备内审人员从业资格，其工作范围不应受到人为限制。内部审计机构对审计过程中发现的重大问题，视具体情况，可以直接向审计委员会或者领导层报告。
三、主机系统安全审计
信息技术审计，或信息系统审计，是一个信息技术基础设施控制范围内的检查。信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面做出判断的过程。
以技术划分，信息化安全审计主要分为主机审计、网络审计、应用审计、数据库审计，综合审计。简单的说获取、记录被审计主机的状态信息和敏感操作就是主机审计，主机审计可以从已有的系统审计记录中提取相关信息，并以审计规则为标准来分析判断被审计主机是否存在违规行为。总之，为了在最大限度保障安全的基础上找到最佳途径使得业务正常工作的一切行为及手段，而对计算机信息系统的薄弱环节进行检测、评估及分析，都可称作安全审计。
主机安全审计系统中事件产生器、分析器和响应单元已经分别以智能审计主机、系统中心、管理与报警处置控制台来替代。实现主机安全系统的审计包括系统安全审计、主机应用安全审计及用户行为审计。智能审计替代主机安装在网络计算机用户上，并按照设计思路监视用户操作行为，同时智能分析事件安全。从面向防护的对象可将主机安全审计系统分为系统安全审计、主机应用安全审计、用户行为审计、移动数据防护审计等方面。
四、待解决的若干问题
计算机与信息系统广泛使用，如何加强对终端用户计算机的安全管理成为一个急需解决的问题。这就需要建立一个信息安全体系，也就是建立安全策略体系、安全管理体系和安全技术体系。
保护网络设备、设施、介质，对操作系统、数据库及服务系统进行漏洞修补和安全加固，对服务器建立严格审核。在安全管理上完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理，形成一套比较完备的信息系统安全管理保障体系。
防火墙是保证网络安全的重要屏障，也是降低网络安全风险的重要因素。VPN可以通过一个公用网络建立一个临时的、安垒的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。借助专业的防DDos系统，可以有效的阻止恶意攻击。信息系统的安全需求是全方位的、系统的、整体的，需要从技术、管理等方面进行全面的安全设计和建设，有效提高信息系统的防护、检侧、响应、恢复能力，以抵御不断出现的安全威胁与风险，保证系统长期稳定可靠的运行。严格的安全管理制度，明确的安全职责划分，合理的人员角色定义，都可以在很大程度上减少网络的安全隐患。
从战略高度充分认识信息安全的重要性和紧迫性。健全安全管理组织体系，明确安全管理的相关组织、机构和职责，建立集中统一、分工协作、各司其职的安全管理责任机制。为了确保突发重大安全事件时，能得到及时的响应和支援，信息系统必须建立和逐步完善应急响应支援体系，确保整个信息系统的安全稳定运行。
参考文献：
[1]宋新月，内部审计在经济管理中的重要作用浅析[J]，知识经济，2009
关键词： 涉密网络；安全审计；主机审计；系统设计
1 引 言
随着网络与信息系统的广泛使用，网络与信息系统安全问题逐渐成为人们关注的焦点。
涉密网与因特网之间一般采取了物理隔离的安全措施，在一定程度上保证了内部网络的安全性。然而，网络安全管理人员仍然会对所管理网络的安全状况感到担忧，因为整个网络安全的薄弱环节往往出现在终端用户。网络安全存在着“木桶”效应，单个用户计算机的安全性不足时刻威胁着整个网络的安全[ 1 ] 。如何加强对终端用户计算机的安全管理成为一个急待解决的问题。
本文从系统的、整体的、动态的角度，参照国家对安全审计产品的技术要求和对部分主机审计软件的了解，结合实际的信息安全管理需求，讨论主机审计系统的设计，达到对终端用户的有效管理和控制。
2 安全审计概念。
计算机网络信息系统中信息的机密性、完整性、可控性、可用性和不可否认性，简称“五性”，安全审计是这“五性”的重要保障之一[2 ] 。
凡是对于网络信息系统的薄弱环节进行测试、评估和分析，以找到极佳途径在最大限度保障安全的基础上使得业务正常运行的一切行为和手段，都可以叫做安全审计[3 ] 。
传统的安全审计多为“日志记录”，注重事后的审计，强调审计的威慑作用和安全事件的可核查性。随着国家信息安全政策的改变，美国首先在信息保障技术框架（ IA TF） 中提出在信息基础设置中进行所谓“深层防御策略（Defense2in2Dept h St rategy） ”，对安全审计系统提出了参与主动保护和主动响应的要求[4 ] 。这就是现代网络安全审计的雏形，突破了以往“日志记录”
等浅层次的安全审计概念，是全方位、分布式、多层次的强审计概念，符合信息保障技术框架提出的保护、检测、反应和恢复（ PDRR） 动态过程的要求，在提高审计广度和深度的基础上，做到对信息的主动保护和主动响应。
3 主机审计系统设计。
安全审计从技术上分为网络审计、数据库审计、主机审计、应用审计和综合审计。主机审计就是获取、记录被审计主机的状态信息和敏感操作，并从已有的主机系统审计记录中提取信息，依据审计规则分析判断是否有违规行为。
一般网络系统的主机审计多采用传统的审计，涉密系统的主机审计应采用现代综合审计，做到对信息的主动保护和主动响应。因此，涉密网络的主机审计在设计时就应该全方位进行考虑。
3. 1 体系架构。
主机审计系统由控制中心、受控端、管理端等三部分组成。管理端和控制中心间为B/ S架构，管理端通过浏览器访问控制中心。对于管理端，其操作系统应不限于Windows ，浏览器也不是只有IE。管理端地位重要，应有一定保护措施，同时管理端和控制中心的通讯应有安全保障，可考虑隔离措施和SHTTP 协议。
主机审计能够分不同的角色来使用，至少划分安全策略管理员、审计管理员、系统管理员。
安全策略管理员按照制定的监控审计策略进行实施；审计管理员负责定期审计收集的信息，根据策略判断用户行为（包括三个管理员的行为） 是否违规，出审计报告；系统管理员负责分配安全策略管理员和审计管理员的权限。三员的任何操作系统有相应记录，对系统的操作互相配合，同时互相监督，既方便管理，又保证整个监控体系和系统本身的安全。控制中心是审计系统的核心，所有信息都保存在控制中心。因此，控制中心的操作系统和数据库最好是国内自己研发的。控制中心的存储空间到一定限额时报警，提醒管理员及时备份并删除信息，保证审计系统能够采集新的信息。
3. 2 安全策略管理。
不同的安全策略得到的审计信息不同。安全策略与管理策略紧密挂钩，体现安全管理意志。在审计系统上实施安全策略前，应根据安全管理思想，结合审计系统能够实现的技术途径，制定详细的安全策略，由安全员按照安全策略具体实施。如安全策略可以分部门、分小组制定并执行。安全策略越完善，审计越彻底，越能反映主机的安全状态。
主机审计的安全策略由控制中心统一管理，策略发放采取推拉结合的方式，即由控制中心向受控端推送策略和受控端向控制中心拉策略的方式。当安全策略发生更改时，控制中心可以及时将策略发给受控端。但是，当受控端安装了防火墙时，推送方式将受阻，安全策略发送不到受控端。由受控端向控制中心定期拉策略，可以保证受控端和控制中心的通讯不会因为安装个人防火墙或其他认证保护措施而中断。联网主机（服务器、联网PC 机） 通过网络接收控制中心的管理策略向控制中心传递审计信息。单机（桌面PC 或笔记本） 通过外置磁介质（如U 盘、移动硬盘） 接收控制中心管理策略。审计信息存放在主机内，由管理员定期通过外置磁介质将审计信息传递给控制中心。所有通讯采用SSL 加密方式传输，确保数据在传输过程中不会被篡改或欺骗。
为了防止受控端脱离控制中心管理，受控端程序应由安全员统一安装在受控主机，并与受控主机的网卡地址、IP 地址绑定。该程序做到不可随意卸载，不能随意关闭审计服务，且不影响受控端的运行性能。受控端一旦安装受控程序，只有重装操作系统或由安全员卸载，才能脱离控制中心的管理。联网时自动将信息传到控制中心，以保证审计服务不会被绕过。[ hi138\Com]
3. 3 审计主机范围。
涉密信息系统中的主机有联网主机、单机等。常用操作系统包括Windows 98 ，Windows2000 ，Windows XP ，Linux ，Unix 等。主机审计系统的受控端支持装有不同操作系统的联网主机、单机等，实现使用同一软件解决联网机、单机、笔记本的审计问题。
根据国家有关规定，涉密信息系统划分为不同安全域。安全域可通过划分虚拟网实现，也可通过设置安全隔离设备（如防火墙） 实现。主机审计系统应考虑不同安全域中主机的管理和控制，即能够对不同网段的受控端和安装了防火墙的受控端进行控制并将信息收集到控制中心，以便统一进行审计。同时能给出简单网络拓扑，为管理人员提供方便。
3. 4 主机行为监控。
一般计算机使用人员对计算机软硬件尤其是信息安全知识了解不多，不清楚计算机的安全状态。主机审计系统的受控端软件应具有主机安全状态自检功能，主要用于检查终端的安全策略执行情况，包括补丁安装、弱口令、软件安装、杀毒软件安装等，形成检查报告，让使用人员对本机的安全状况有一个清楚的认识，从而有针对性地采取措施。自检功能可由使用人员自行开启或关闭。检查报告上传给控制中心。
主机审计系统对使用受控端主机人员的行为进行限制、监控和记录，包括对文档的修改、拷贝、打印的监控和记录，拨号上网行为的监控和记录，各种外置接口的禁止或启用（并口、串口、USB 接口等） ，对USB 设备进行分类管理，如USB 存储设备（U 盘，活动硬盘） 、USB 输入设备（USB 键盘、鼠标） 、USB2KEY以及自定义设备。通过分类和灵活设置，增强实用性，对受控主机添加和删除设备进行监控和记录，对未安装受控端的主机接入网络拒绝并报警，防止非法主机的接入。
主机审计系统对接入计算机的存储介质进行认证、控制和报警。做到经过认证的合法介质可以从主机拷贝信息；未通过认证的非法介质只能将信息拷入主机内，不能从主机拷出信息到介质内，否则产生报警信息，防止信息被有意或者无意从存储设备（尤其是移动存储设备） 泄漏出去。在认证时，把介质分类标识为非密、秘密、机密。当合法介质从主机拷贝信息时，判断信息密级（国家有关部门规定，涉密信息必须有密级标识） ，拒绝低密级介质拷贝高密级信息。
在认证时，把移动介质编号，编号与使用人员对应。移动介质接入主机操作时记录下移动介质编号，以便审计时介质与人对应。涉密信息被拷贝时会自动加密存储在移动介质上，加密存储在移动介质上的信息也只能在装有受控端的主机上读写，读写时自动解密。认证信息只有在移动介质被格式化时才能清除，否则无法删除。有防止系统自动读取介质内文档的功能，避免移动介质接在计算机上（无论是合法还是非法计算机） 被系统自动将所有文档读到计算机上。
3. 5 综合审计及处理措施。
要达到综合审计，主机审计系统需要通过标准接口对多种类型、多个品牌的安全产品进行管理，如主机IDS、主机防火墙、防病毒软件等，将这些安全产品的日志、安全事件集中收集管理，实现日志的集中分析、审计与报告。同时，通过对安全事件的关联分析，发现潜在的攻击征兆和安全趋势，确保任何安全事件、事故得到及时的响应和处理。把主机上一个个原本分离的网络安全产品联结成一个有机协作的整体，实现主机安全管理过程实时状态监测、动态策略调整、综合安全审计、数据关联处理以及恰当及时的威胁响应，从而有效提升用户主机的可管理性和安全水平，为整体安全策略制定和实施提供可靠依据。
系统的安全隐患可以从审计报告反映出来，因此审计系统的审计报告是很重要的。审计报告应将收集到的所有信息综合审计，按要求显示并打印出来，能用图形说明问题，能按标准格式（WORD、HTML 、文本文件等） 输出。但是，审计信息数据多，直接将收集的信息分类整理形成的报告不能很好的说明问题，还应配合审计员的人工分析。这些信息可以由审计员定期从控制中心数据库备份恢复。备份的数据自动加密，恢复时自动解密。审计信息也可以删除，但是删除操作只能由审计员发起，经安全员确认后才执行，以保证审计信息的安全性、完整性。
审计系统发现问题的修复措施一般有打补丁、停止服务、升级或更换程序、去除特洛伊等后门程序、修改配置和权限、专门的解决方案等。为了保证所有主机都能得到有效地处理，通过控制中心统一向受控端发送软件升级包、软件补丁。发送时针对不同版本操作系统，由受控端自行选择是否自动执行。因为有些软件升级包、软件补丁与应用程序有冲突，会影响终端用户的工作。针对这种情况，只能采取专门的解决方案。
在复杂的网络环境中，一个涉密网往往由不同的操作系统、服务器，防火墙和入侵检测等众多的安全产品组成。网络一旦遭受攻击后，专业人员会把不同日志系统里的日志提取出来进行分析。不同系统的时间没有经过任何校准，会不必要地增加日志分析人员的工作量。系统应提供全网统一的时钟服务，将控制中心设置为标准时间，受控端在接收管理的同时，与控制中心保持时间同步，实现审计系统的时间一致性，从而提供有效的入侵检测和事后追查机制。
4 结束语
涉密系统的终端安全管理是一个非常重要的问题，也是一个复杂的问题，涉及到多方面的因素。本文从体系架构、安全策略管理、审计主机范围、主机行为监控、综合审计及处理措施等方面提出主机审计系统的设计思想，旨在与广大同行交流，共同推进主机审计系统的开发和研究，最终开发出一个全方位的符合涉密系统终端安全管理需求的系统。
参考文献
[1 ] 网络安全监控平台技术白皮书。 北京理工大学信息安全与对抗技术研究中心，2005.
[2 ] 王雪来。 涉密计算机信息系统的安全审计。 见：中国计算机学会信息保密专业委员会论文集，13 :67 - 72.
电子数据安全是建立在计算机网络安全基础上的一个子项安全系统，它既是计算机网络安全概念的一部分，但又和计算机网络安全紧密相连，从一定意义上讲，计算机网络安全其实质即是电子数据安全。国际标准化组织(ISO)对计算机网络安全的定义为：“计算机系统有保护计算机系统的硬件、软件、数据不被偶然或故意地泄露、更改和破坏。”欧洲几个国家共同提出的“信息技术安全评级准则”，从保密性、完整性和可用性来衡量计算机安全。对电子数据安全的衡量也可借鉴这三个方面的内容，保密性是指计算机系统能防止非法泄露电子数据；完整性是指计算机系统能防止非法修改和删除电子数据；可用性是指计算机系统能防止非法独占电子数据资源，当用户需要使用计算机资源时能有资源可用。
二、电子数据安全的性质
电子数据安全包括了广义安全和狭义安全。狭义安全仅仅是计算机系统对外部威胁的防范，而广义的安全是计算机系统在保证电子数据不受破坏并在给定的时间和资源内提供保证质量和确定的服务。在电子数据运行在电子商务等以计算机系统作为一个组织业务目标实现的核心部分时，狭义安全固然重要，但需更多地考虑广义的安全。在广义安全中，安全问题涉及到更多的方面，安全问题的性质更为复杂。
(一)电子数据安全的多元性
在计算机网络系统环境中，风险点和威胁点不是单一的，而存在多元性。这些威胁点包括物理安全、逻辑安全和安全管理三个主要方面。物理安全涉及到关键设施、设备的安全和硬件资产存放地点的安全等内容；逻辑安全涉及到访问控制和电子数据完整性等方面；安全管理包括人员安全管理政策、组织安全管理政策等内容。电子数据安全出现问题可能是其中一个方面出现了漏洞，也可能是其中两个或是全部出现互相联系的安全事故。
(二)电子数据安全的动态性
由于信息技术在不断地更新，电子数据安全问题就具有动态性。因为在今天无关紧要的地方，在明天就可能成为安全系统的隐患；相反，在今天出现问题的地方，在将来就可能已经解决。例如，线路劫持和窃听的可能性会随着加密层协议和密钥技术的广泛应用大大降低，而客户机端由于B0这样的黑客程序存在，同样出现了安全需要。安全问题的动态性导致不可能存在一劳永逸的解决方案。
(三)电子数据安全的复杂性
安全的多元性使仅仅采用安全产品来防范难以奏效。例如不可能用一个防火墙将所有的安全问题挡在门外，因为黑客常常利用防火墙的隔离性，持续几个月在防火墙外试探系统漏洞而未被发觉，并最终攻入系统。另外，攻击者通常会从不同的方面和角度，例如对物理设施或协议、服务等逻辑方式对系统进行试探，可能绕过系统设置的某些安全措施，寻找到系统漏洞而攻入系统。它涉及到计算机和网络的硬件、软件知识，从最底层的计算机物理技术到程序设计内核，可以说无其不包，无所不在，因为攻击行为可能并不是单个人的，而是掌握不同技术的不同人群在各个方向上展开的行动。同样道理，在防范这些问题时，也只有掌握了各种入侵技术和手段，才能有效的将各种侵犯拒之门外，这样就决定了电子数据安全的复杂性。
(四)电子数据安全的安全悖论
目前，在电子数据安全的实施中，通常主要采用的是安全产品。例如防火墙、加密狗、密钥等，一个很自然的问题会被提出：安全产品本身的安全性是如何保证的?这个问题可以递归地问下去，这便是安全的悖论。安全产品放置点往往是系统结构的关键点，如果安全产品自身的安全性差，将会后患无穷。当然在实际中不可能无限层次地进行产品的安全保证，但一般至少需要两层保证，即产品开发的安全保证和产品认证的安全保证。
(五)电子数据安全的适度性
由以上可以看出，电子数据不存在l00％的安全。首先由于安全的多元性和动态性，难以找到一个方法对安全问题实现百分之百的覆盖；其次由于安全的复杂性，不可能在所有方面应付来自各个方面的威胁；再次，即使找到这样的方法，一般从资源和成本考虑也不可能接受。目前，业界普遍遵循的概念是所谓的“适度安全准则”，即根据具体情况提出适度的安全目标并加以实现。
三、电子数据安全审计
电子数据安全审计是对每个用户在计算机系统上的操作做一个完整的记录，以备用户违反安全规则的事件发生后，有效地追查责任。电子数据安全审计过程的实现可分成三步：第一步，收集审计事件，产生审记记录；第二步，根据记录进行安全违反分析；第三步，采取处理措施。
电子数据安全审计工作是保障计算机信息安全的重要手段。凡是用户在计算机系统上的活动、上机下机时间，与计算机信息系统内敏感的数据、资源、文本等安全有关的事件，可随时记录在日志文件中，便于发现、调查、分析及事后追查责任，还可以为加强管理措施提供依据。
（一）审计技术
电子数据安全审计技术可分三种：了解系统，验证处理和处理结果的验证。
1．了解系统技术
审计人员通过查阅各种文件如程序表、控制流程等来审计。
2．验证处理技术
这是保证事务能正确执行，控制能在该系统中起作用。该技术一般分为实际测试和性能测试，实现方法主要有：
（1）事务选择
审计人员根据制订的审计标准，可以选择事务的样板来仔细分析。样板可以是随机的，选择软件可以扫描一批输入事务，也可以由操作系统的事务管理部件引用。
（2）测试数据
这种技术是程序测试的扩展，审计人员通过系统动作准备处理的事务。通过某些独立的方法，可以预见正确的结果，并与实际结果相比较。用此方法，审计人员必须通过程序检验被处理的测试数据。另外，还有综合测试、事务标志、跟踪和映射等方法。
（3）并行仿真。审计人员要通过一应用程序来仿真操作系统的主要功能。当给出实际的和仿真的系统相同数据后，来比较它们的结果。仿真代价较高，借助特定的高级语音可使仿真类似于实际的应用。
（4）验证处理结果技术
这种技术，审计人员把重点放在数据上，而不是对数据的处理上。这里主要考虑两个问题：
一是如何选择和选取数据。将审计数据收集技术插入应用程序审计模块（此模块根据指定的标准收集数据，监视意外事件）；扩展记录技术为事务（包括面向应用的工具）建立全部的审计跟踪；借用于日志恢复的备份库（如当审计跟踪时，用两个可比较的备份去检验账目是否相同）；通过审计库的记录抽取设施（它允许结合属性值随机选择文件记录并放在工作文件中，以备以后分析），利用数据库管理系统的查询设施抽取用户数据。
二是从数据中寻找什么？一旦抽取数据后，审计人员可以检查控制信息（含检验控制总数、故障总数和其他控制信息）；检查语义完整性约束；检查与无关源点的数据。
（二）审计范围
在系统中，审计通常作为一个相对独立的子系统来实现。审计范围包括操作系统和各种应用程序。
操作系统审计子系统的主要目标是检测和判定对系统的渗透及识别误操作。其基本功能为：审计对象（如用户、文件操作、操作命令等）的选择；审计文件的定义与自动转换；文件系统完整性的定时检测；审计信息的格式和输出媒体；逐出系统、报警阀值的设置与选择；审计日态记录及其数据的安全保护等。
应用程序审计子系统的重点是针对应用程序的某些操作作为审计对象进行监视和实时记录并据记录结果判断此应用程序是否被修改和安全控制，是否在发挥正确作用；判断程序和数据是否完整；依靠使用者身份、口令验证终端保护等办法控制应用程序的运行。
（三）审计跟踪
通常审计跟踪与日志恢复可结合起来使用，但在概念上它们之间是有区别的。主要区别是日志恢复通常不记录读操作；但根据需要，日记恢复处理可以很容易地为审计跟踪提供审计信息。如果将审计功能与告警功能结合起来，就可以在违反安全规则的事件发生时，或在威胁安全的重要操作进行时，及时向安检员发出告警信息，以便迅速采取相应对策，避免损失扩大。审计记录应包括以下信息：事件发生的时间和地点；引发事件的用户；事件的类型；事件成功与否。
审计跟踪的特点是：对被审计的系统是透明的；支持所有的应用；允许构造事件实际顺序；可以有选择地、动态地开始或停止记录；记录的事件一般应包括以下内容：被审讯的进程、时间、日期、数据库的操作、事务类型、用户名、终端号等；可以对单个事件的记录进行指定。
按照访问控制类型，审计跟踪描述一个特定的执行请求，然而，数据库不限制审计跟踪的请求。独立的审计跟踪更保密，因为审计人员可以限制时间，但代价比较昂贵。
（四）审计的流程
电子数据安全审计工作的流程是：收集来自内核和核外的事件，根据相应的审计条件，判断是否是审计事件。对审计事件的内容按日志的模式记录到审计日志中。当审计事件满足报警阀的报警值时，则向审计人员发送报警信息并记录其内容。当事件在一定时间内连续发生，满足逐出系统阀值，则将引起该事件的用户逐出系统并记录其内容。
常用的报警类型有：用于实时报告用户试探进入系统的登录失败报警以及用于实时报告系统中病毒活动情况的病毒报警等。
[关键词]信息安全审计；审计应用；审计实现 ；APP
doi：10.3969/j.issn.1673 - 0194.2015.08.012
[中图分类号]TP393.08 [文献标识码]A [文章编号]1673-0194（2015）08-0019-01
近年来，随着办公业务对手机软件相关信息系统的依赖越来越高，APP应用软件信息系统存在的风险对业务的潜在影响也越来越大。解决针对业务信息内容的篡改操作行为的监控管理的问题，必须要有一种有效的安全技术手段对内部员工、运行维护人员以及第三方人员的上网行为、内网行为、操作行为等进行有效的监控和管理，并对其行为趋势进行分析和总结。
1 APP应用信息安全审计定义
为了APP应用信息系统的安全、可靠与有效，由独立于审计对象的IT审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向IT审计对象的最高领导，提出问题与建议的一连串的活动称为IT审计。IT审计就是信息系统审计，也称IT监查。
2 APP应用信息安全审计的实现
要实现APP应用信息安全审计，保障计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性（抗抵赖），需要对计算机信息系统中的所有网络资源（包括数据库、主机、操作系统、网络设备、安全设备等）进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。
2.1 合规性审计
做到有效控制IT风险，尤其是操作风险，对业务的安全运营至关重要。因此，合规性审计成为被行业推崇的有效方法。安全合规性审计指在建设与运行IT系统中的过程是否符合相关的法律、标准、规范、文件精神的要求一种检测方法。这作为风险控制的主要内容之一，是检查安全策略落实情况的一种手段。
2.2 日志审计
基于日志的安全审计技术是通过SNMP、SYSLOG或者其他的日志接口从网络设备、主机服务器、用户终端、数据库、应用系统和网络安全设备中收集日志，对收集的日志进行格式标准化、统一分析和报警，并形成多种格式和类型的审计报表。
2.3 网络行为审计
基于网络技术的安全审计是通过旁路和串接的方式实现对网络数据包的捕获，进行协议分析和还原，可达到审计服务器、用户终端、数据库、应用系统的安全漏洞，审计合法、非法或入侵操作，监控上网行为和内容，监控用户非工作行为等目的。网络行为审计更偏重于网络行为，具备部署简单等优点。
2.4 主机审计
主机安全审计是通过在主机服务器、用户终端、数据库或其他审计对象中安装客户端的方式来进行审计，可达到审计安全漏洞、审计合法和非法或入侵操作、监控上网行为和内容以及向外拷贝文件行为、监控用户非法行为等目的。主机审计包括主机的漏洞扫描产品、主机防火墙和主机IDS/IPS的安全审计功能、主机上网和上机行为监控、终端管理等类型的产品。
2.5 应用系统审计
应用系统安全审计是对用户在业务应用过程中的登录、操作、退出的一切行为通过内部截取和跟踪等相关方式进行监控和详细记录，并对这些记录按时间段、地址段、用户、操作命令、操作内容等分别进行审计。
2.6 集中操作运维审计
集中操作运维审计侧重于对网络设备、服务器、安全设备、数据库的运行维护过程中的风险审计。
运维审计的方式不同于其他审计，尤其是维护人员为了安全的要求，开始大量采用加密方式，如远程桌面协议（Remote Desktop Protocol，RDP）、SSL等，加密口令在连接建立的时候动态生成，一般的针对网络行为进行审计的技术是无法实现的。
3 审计系统的实现
通过对6类审计产品的综合应用，可以形成较完备的APP应用信息系统安全审计应用系统，对整个网络与信息系统中的网络、主机、应用系统、数据库及安全设备等进行安全审计，且可以支持分布式跨网审计，并进行集中统一管理，达到对审计数据综合的统计与分析，更有效地防御外部的入侵和内部的非法违规操作，最终起到保护信息和资源的作用。
参考网络与信息系统安全审计应用模型，企业既可以采取单项逐一建设方式，也可以采用多项综合建设方式建立内部审计应用系统。对于拥有分（子）公司且不在同一地区的企业，也可以通过城域网络把多个分（子）公司统一起来，进行集中建设，统一管理。
4 结 论
通过整合市面上多种不同类型的审计产品，按照网络与信息系统安全审计应用模型，采用“统一规划、分步实施”的方式，可以在企业内部建立起严格监控的网络与信息系统安全审计应用平台，提升企业信息化日常运维及操作的安全性。
主要参考文献
[1]胡克瑾.IT审计[M].北京：电子工业出版社，2002.
一、信息系统审计简介
“审计”一词起源于财务审计，人们比较熟悉的审计是对财务报表或会计账册的监督，好像和信息系统没有必然联系。但随着经济管理和科学技术的不断结合以及日益渗透，现代审计已经远远超出了仅对财务会计进行审查的狭窄范围，不断向管理领域和技术领域渗透。
信息技术的广泛应用使信息系统实际上已经成为企业及社会的中枢，在一定程度上左右着企业的命运。美国、日本等发达国家在信息化过程中率先意识到信息系统审计的必要性并对此进行了研究，目前已得到普及。在我国，虽然也早就提出了“计算机审计”的概念，但这种审计更多的是偏向于“利用计算机进行审计”。实际上我国的信息系统审计工作还处在摸索阶段。
信息系统审计是技术审计的一个典型，它实质上是对计算机软件、硬件及整个信息系统的审计，是指遵照普遍接受的信息系统审计标准和指南对信息系统及其应用的安全性、稳定性和有效性进行监测、评估和控制的过程，以确保预定的业务目标得以实现。
按国际上通行的规范，信息系统审计主要有6个方面的内容：评估信息系统的管理、计划与组织方面的策略、政策、标准、程序和相关实务；评估技术基础设施的管理和运行实践方面的有效性及效率，以确保其充分支持组织的业务目标；评估信息资源在逻辑访问、运行环境与信息技术基础设施的安全性，以确保其满足组织的业务需要，防止信息资产在未经授权的情况下被使用、披露、修改、损坏或丢失；评估系统灾难恢复与保证业务连续性的能力，以确保组织能持续进行业务营运；评估应用系统开发、实施与维护的方式、方法及过程，以确保其满足组织的业务需求；评估业务处理流程的风险管理水平，确保根据组织的业务目标对相应风险实施管理。
二、国税信息系统面临的风险
国税部门作为行政执法部门，信息系统的安全与否直接关系到为纳税人提供服务的质量和效率，社会的和谐与稳定，因此国税信息系统的安全保护显得越来越重要。近年来，以数据省级集中为标志的新一轮国税信息化建设已成效凸显，为国税系统优化纳税服务，加强科学管理提供了广阔的技术平台，直接带来了税收理念的更新，征管机制的创新、管理手段的提高，但在数据由分散到集中的同时，原来分散的风险也随之集中。在这种模式下，虽然安全性事故、灾难的发生频率可能大大降低，但其潜在的风险不容忽视。
1、运行环境方面的风险。数据集中后，通过采用更高端的设备、技术等措施提高了系统的安全系数，故障概率大大低于分散式数据管理模式。但是应清醒地认识到数据集中后，其安全影响的范围也呈几何级数增长，一旦发生故障，可能影响全局。因此，必须建设、保障一流的运行环境，不仅要考虑供电、温湿度、洁净度、抗电磁干扰、火灾等常规因素，还要考虑到地震、洪水等自然灾害的影响。
2、数据备份中心及应急恢复机制方面的风险。电子化程度越高的行业，其对数据完整性和可用性的要求也越高。据美国的有关调查显示，如果公司在灾难过后两个星期内无法完全恢复信息系统的使用，75％的公司业务将会完全停顿，43％的公司将再也无法开业。对于依赖信息系统进行日常运作的国税部门而言，纳税人对于系统停机的可忍受时间甚至不能超过1天，而税收数据的丢失和破坏可能会导致税收秩序的混乱，影响社会的稳定与和谐。
3、软件开发及应用方面的风险。由于我国税收政策变动比较频繁，加之软件开发者水平参差不齐，软件开发的时间较紧，一些税收征管系统往往没有进行缜密的测试，因此有可能存在一定的缺陷和漏洞，让不法之徒有机可乘。
4、网络安全方面的风险。internet的迅猛发展为电子商务、电子政务提供了运作平台，但也带来了许多不安全隐患。各种迹象表明，网上申报、手机申报等信息系统已成为日益猖獗的网络攻击和计算机犯罪活动的主要目标。
三、国税信息系统审计的重点
国税信息化经过多年的建设，已初具规模，各种系统十分复杂、庞大，如对全部信息系统进行审计的话，工作量巨大，且目前信息系统审计的人员缺乏，因此，应先从部分重点系统、重要环节着手进行审计，审计的重点应该考虑以下内容：
（一）运行管理审计
作为一种人机交互系统，信息系统的服务质量和安全是建立在“三分技术，七分管理”的基础之上的，系统运行中的操作管理是否科学、规范直接影响到信息系统的服务质量和安全性。运行管理审计的重点包括：
1、机房管理审计。包括机房、设备间等重要运行环境选址、布局是否合理；是否设置了门禁、监控、气体灭火、防水、防雷、报警等安全设施；机房内部的温度、湿度、洁净度、电磁干扰等技术指标是否合格；机房的进出是否有切实有效的管理制度、是否有防止非正常行为的对策等。
2、操作管理审计。包括是否有详尽的操作规范；是否对系统操作人员进行上岗前培训；操作人员是否严格按规范进行操作；系统的登录代码及密码是否具备一定的安全防护对策、是否按规定更新；是否记录操作日志并保存一定期限；操作人员的交接是否按规定进行；是否及时发现、记录、报告事故及故障；是否及时采取措施排除故障，防止再次发生等。
3、硬件管理审计。包括是否制定并遵守硬件管理规范；硬件的运行环境是否达到相应的技术要求；是否定期对硬件进行检修、维护；对硬件故障的维修对策是否合理；是否有硬件维护日志；检查业务设备送出修理时是否对设备所存业务数据进行删除。
4、软件管理审计。包括是否制定并遵守软件管理规范；软件的拷贝是否有严格的控制措施和技术防范对策；软件的保管和废止是否按机密资料予以保护；是否有完善的软件版本管理规范；对软件源程序的控制是否严格，生产环境与测试环境是否严格分开。
（二）系统开发审计
信息系统的开发审计通常应该包括系统规划审计、系统分析审计、系统设计审计、系统编码审计、系统测试审计和系统试运行审计等部分。当前国税信息系统开发审计的重点包括：
1、预期效益审计。主要包括是否提供了新的服务；是否实现了新的功能；是否提高了纳税服务的质量；是否提高了本单位的工作效率等社会效益方面的评估；是否通过流程整合减少了人员、降低了税收成本。
2、编码及文档管理审计。编码审计主要包括编程语言、编程工具的选择是否合理；是否制定了统一的编程规则；是否对数据的类型、结构、长度作统一的说明；程序逻辑是否清晰、易懂；是否按照结构化的方法进行编程等。文档管理审计主要包括是否制定、遵守文档管理规范并按规范编制文档；文档的数量是否齐全；文档的编制内容是否完整、齐全；文档的质量是否符合要求；文档的版本管理是否严格；是否有文档的保密管理对策等。
3、控制措施审计。包括将业务流程进行整合后，新系统是否重新设置了与之相适应的内部控制措施；是否遵循“职责分离”的原则，对人员的职责权限和变动进行合理的控制；信息系统是否具备一定的识别和防御攻击的能力（如登录控制、加密、拒绝访问等手段）；是否具备一定的自适应能力（如根据攻击方的意图调整控制措施，隔离破坏范围的能力）和恢复能力；是否专门设计了系统审计功能或预留了系统审计接口等。
4、系统测试审计。包括有无完整的系统测试计划；测试案例的编写是否合理、全面；参与测试人员的选择是否符合公正、客观的要求；测试方法是否合理；测试结果是否得到参与人员的认可；测试文档是否齐备等。
5、试运行审计。包括有无切实可行的试运行方案；针对新系统的人员培训是否落实；新系统的运行环境（包括软件、硬件、网络等）是否符合实际运行要求；新系统的实际运行效率、功能是否达到预期设想等。
（三）网络安全审计
网络安全审计的根本目的就是防止通过计算机网络传输的信息被非法占用。网络安全审计应重点针对网络安全管理、网络安全技术、网络安全策略等内容。
1、网络安全管理审计。包括是否建立有效的网络安全防御体系；安全及密码产品是否具有合法性、是否经过国家有关管理部门的认可或认证；是否建立了有关网络安全的规章制度、在实际工作中是否严格执行；是否进行了网络安全教育、安全培训；对网络安全工作是否进行动态管理等。
2、网络安全技术审计。包括是否使用了严格的身份验证技术控制系统用户；是否使用了访问控制技术并配置访问控制策略；是否利用密码技术对数据进行安全加密；与外部单位连接时是否安装了防火墙进行有效隔离以确保安全；是否使用了系统漏洞扫描技术来检测系统的脆弱性；是否使用入侵检测技术对网络系统进行实时监测；是否制定了有效的防病毒策略，如不使用不明来历的软盘、光盘；是否安装了有效的防、杀病毒软件；是否及时更新最新的病毒码以保证防病毒软件的有效性；是否采用网络安全审计措施等。
（四）灾难对策审计
为保证信息系统的正常运行，开发人员在系统设计上已经采取了各种措施来防止信息系统被破坏，但这并不能完全杜绝系统的各种故障和一些不可抗力的灾难，而灾难一旦发生，往往导致信息系统完全瘫痪，造成巨大损失。所以，必须对信息系统的灾难对策进行审计。国税信息系统的灾难对策审计应抓住以下重点：
1、灾难应急对策审计。包括是否事先制定了灾难应急对策；灾难应急对策是否切实可行；灾难应急对策是否定期进行演练；灾难应急对策是否根据实际情况及时调整。
2、数据备份审计。包括是否制定信息系统及数据的备份策略；数据备份策略是否切实可行；数据备份的强度是否足够；数据备份的范围是否全面；数据备份的恢复方法及恢复效果是否经过验证；使用备份数据进行恢复的时间是否可以控制在可以忍受的范围之内；数据备份的存储介质管理是否按要求执行等。
3、设备冗余审计。包括是否为信息系统提供冗余运行环境（灾难备份中心，包括电力、通讯线路等设施）；是否为信息系统的核心设备（生产机）提供冗余设备（备机）；生产机和备机上的信息系统和数据是否同步；生产机和备机之间的切换方案是否可靠并经过验证等。
四、开展信息系统审计需要解决的几个问题
（一）组织问题
虽然，目前部分国内企业已经意识到利用信息系统审计可以有效地管理信息及与信息相关的技术，保障企业信息系统可靠运行，并开始关注信息系统审计，但整个社会对信息系统审计的认识还不够，信息系统审计远未达到普及的程度。国内还没有专门的信息系统（技术）审计机构，在各单位内部目前也没有设置相关的信息系统（技术）审计部门。国税系统目前主要采取各级信息中心进行自查、互查的方式来解决信息系统的安全性问题，往往是就某一专项内容进行检查，带有一定的局限性，且一般情况下检查的深度不够，因此迫切需要具有专门知识和技术的、与系统没有直接关系的信息系统审计专业机构和专职人员介入。
（二）标准化问题
目前，国内开展信息系统审计主要是参考信息系统审计与控制协会isaca（information system audit and control association）这个国际上唯一的信息系统审计师专业组织制定和颁布的信息系统审计标准。该标准是一套以管理为核心、以法律法规为保障、以技术为支撑的框架体系，为实施信息系统审计提供了一套执业规范和操作指南。但由于国内系统集成业发展的不成熟以及客观应用环境的差异、法律法规上不完善等原因，处在起步阶段的国内信息系统审计工作不能完全照搬此标准，必须尽快形成适合国税系统的信息系统审计标准体系。
[关键词] 计算机审计；电子数据；数据安全；保护；对策
doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2013 . 15. 020
[中图分类号] F239.1 [文献标识码] A [文章编号] 1673 - 0194（2013）15-0026-03
随着企业信息化建设应用工作的不断推进，企业内部审计计算机审计工作持续开展，并产生了大量的计算机审计电子数据，这些数据涉及企业生产经营管理活动的重要内容，也是企业重要的信息资源，因此，企业计算机审计电子数据安全保护工作十分重要。加强企业计算机审计电子数据安全保护能力、降低审计人员个人携带计算机审计电子数据的安全风险，不仅是企业信息安全保护的要求，而且是企业计算机审计自身的内在要求。与此同时，随着信息化技术的不断更新换代和计算机审计环境的越发复杂，要做好计算机审计电子数据安全保护工作，就要与时俱进、不断探索研究。
1 企业计算机审计电子数据的主要内容
企业计算机审计电子数据的主要内容包括审计人员个人计算机存储的由被审计单位提供的本单位生产运营管理报告、业务数据、财务报表等与审计项目相关的电子数据，以及参加审计项目实施过程中涉及的审计工作方案、审计实施方案、审计工作记录、审计工作底稿、审计报告等审计工作数据。
2 企业计算机审计电子数据安全保护方面存在的突出问题
企业在计算机审计电子数据安全保护方面采取了一些措施，一方面在管理上要求审计人员提高信息安全保密意识，另一方面在技术上为审计人员个人计算机安装防病毒软件等，虽然取得了一定成效，但在企业计算机审计电子数据安全保护方面尚未形成有效的体系，仍然存在以下几个方面的突出问题。
2.1 管理方面
一是数据整理与挖掘利用困难。审计数据是审计人员多年工作经验、审计知识的积累与沉淀，利用现有手段难以从数据挖掘利用的角度进一步梳理数据，无法实现数据的多维分类，无法充分进行数据价值挖掘利用。二是数据权限管理困难。数据访问与使用权限控制缺乏平台支持，难以实现更深入的权限控制，增加了管理与操作的难度和工作量。三是桌面标准化管理困难。审计工作依赖于终端设备，使用的软件不统一，给信息交流与利用带来困难，同时管理上也存在很大难度。
2.2 技术方面
一是安全性不足。现有技术手段的安全水平与审计电子数据的重要性尚有差距，不能满足审计业务对信息安全与保密的需要。其一，数据以明文传输，数据在传输过程中一旦被截获，信息容易泄露；其二，服务器上数据以明文存储，一旦服务器被入侵，入侵者可以很轻易地获取所有未加密文件；其三，终端上数据以明文方式存放，特别是正在开展的审计项目数据以明文方式存在审计人员的终端设备中，如果设备丢失或系统感染病毒，就会造成重大损失。二是权限配置与备份困难。企业邮件账号域认证初步实现访问控制，但其控制粒度尚不能满足使用需要，且配置比较繁琐。数据手工备份、同步与恢复不能满足需要。
2.3 使用方面
一是审计人员难以找到需要的信息。各单位审计人员只能查看本单位的部分共享审计资料，缺乏按关键字、审计对象、审计类型等多种方式的全面数据搜索，审计人员难以找到最适合的可参考与可借鉴的资料信息。二是尚不能完全实现审计工作与外网分离。通过上网本为审计人员提供从外网搜索资料等功能，满足了审计人员对外网大部分的需求；但审计人员出差期间，订购火车票时，需用笔记本电脑付费，而且审计人员习惯于使用终端设备，日常办公和其他方面依然和审计工作共用终端设备，未完全实现审计工作与外网的分离。
2.4 保障方面
一是终端数据清理工作量大。现阶段审计人员的终端设备数据清理工作，耗时长，工作量大，信息处负责数据清理工作的同志工作负荷重，急需通过其他手段，提高工作效率和清理效果。二是IT运维工作压力大。信息处负责企业IT设备的维护工作，各电脑终端存在操作系统不统一、审计软件与办公软件不统一、审计人员出差远程维护难等问题，造成IT运维难度大，信息处承担了很大的工作压力。终端设备容易因电脑病毒、系统漏洞、恶意网站等各种原因，造成审计数据的泄露。亟需通过新的IT手段，提高审计IT桌面安全性，降低IT维护难度，提高IT维护效率和效果。
3 目标与思路
企业计算机审计电子数据安全保护是一项系统化工作，只有明确计算机审计电子数据安全保护的主要目标，理清计算机审计电子数据安全保护的整体思路，并不断探索研究，才能持续提高计算机审计电子数据安全保护能力。
3.1 主要目标
企业计算机审计电子数据安全保护的主要目标是实行计算机审计电子数据集中统一管理、按需授权访问，降低个人携带审计电子数据意外风险；计算机审计电子数据集中管理的服务器环境，要遵照企业统一安全策略，采用相应的物理安全、网络安全、主机安全、应用安全、备份与恢复安全等技术措施，以及安全管理职责、安全管理制度、人员安全管理、系统建设管理、系统运维管理等管理措施，整体确保计算机审计电子数据安全受控。
3.2 整体思路
企业计算机审计电子数据安全保护的整体思路是依托企业信息技术统一安全保护策略，通过建立计算机审计电子数据集中管理平台，实现审计工作办公内网与外部公网分离、审计工作环境与个人计算机终端分离，逐步实现审计人员个人计算机审计电子数据按需携带向零携带转变，最终实现计算机审计电子数据实时在线与安全受控。
4 实施步骤
企业计算机审计电子数据安全保护工作是一项长期而艰巨的任务，不可能一蹴而就。在管理上，需要企业高度重视计算机审计电子数据安全保护工作，一方面要给予这项工作统一领导和各种资源的支持，另一方面审计人员要不断提高信息安全保护意识；在技术上，要与时俱进，采用先进的信息技术手段，有步骤、有计划地逐步开展。
4.1 审计数据集中管理，个人历史数据清零
利用企业现有软件硬件资源，创建审计数据集中统一管理存储空间，采用企业邮件域认证方式，按照单位审计人员授权访问；审计人员自行整理个人计算机审计电子数据，按照个人权限上传至统一管理存储区域；利用专用存储介质数据清除工具对审计人员个人计算机硬盘逐一进行清理；实现审计人员个人计算机审计电子数据集中管理，个人计算机历史审计数据清零。
4.2 审计网络环境分离，审计数据按需携带
针对审计工作以企业办公内网环境为主，需要借助企业外网查找资料的特点，为审计人员公网应用配发个人上网本；实行审计人员个人计算机在办公内网专用，个人上网本在公网环境专用；在审计项目开展前，为审计人员个人计算机装载系统软件，并按照审计项目需要装载相关审计数据；在审计项目结束后，利用专用存储介质数据检查工具对审计人员个人计算机和上网本使用情况进行检查，确保按照要求使用；实现审计工作内网应用和外网应用分离，审计数据按需携带。
4.3 审计工作环境分离，审计数据实时在线
借鉴先进技术应用实践经验，建立企业审计电子数据管理平台，采用统一的信息技术安全保护策略，通过企业邮件域认证登录个人移动办公桌面；采用云技术为审计人员呈现个人办公系统软件环境，所有审计工作将在审计电子数据管理平成，审计人员个人计算机将不再存储任何审计相关数据；利用专用存储介质数据检查工具对审计人员个人计算机和上网本定期进行数据存储检查，确保介质审计数据零存储；实现审计工作环境与个人计算机终端分离，审计数据实时在线。
5 主要成效
结合企业计算机审计工作实际，通过虚拟化等技术手段，建设审计电子数据管理平台，采取计算机审计电子数据集中管理、审计办公桌面集中管理、审计应用软件统一管理和信息安全策略集中管理等具体措施，最终实现审计工作环境分离、审计数据实时在线，从而实时有效地进行计算机审计电子数据安全保护。
5.1 实现电子数据集中管理
集中管理审计电子数据，提供数据多种分类和检索方式，审计人员根据分配的权限、关键字、文档类型、提交时间等快速定位所需文档，为深入发掘审计电子数据价值提供支撑，为审计管理和审计项目工作提供丰富有效的数据资源。审计电子数据管理平台，采用经国家相关安全部门认证的数据加密技术和手段，通过数据加密存储、加密传输、加密备份和数据访问控制机制，全面保障数据的安全性，实现数据的全生命周期管理。
5.2 实现办公桌面集中管理
采用云计算和虚拟化技术，提供标准的、灵活的、可扩展的办公桌面环境，通过集中配置和统一分配审计办公桌面，提高审计办公资源申请、配制、获取、维护与收回清理的工作效率，同时服务器、存储、网络等资源能得到更加充分的利用。审计人员可以快速获得所需办公桌面，系统严格控制，实现审计工作数据与个人本地终端完全分离，且工作状态自动保存，可从任何地点重新接入和恢复。
5.3 实现应用软件统一管理
集中管理OA系统、Office等办公软件，审计管理系统、财务辅助审计系统等审计软件，以及FMIS、ERP等其他专业软件，统一配置到审计人员办公桌面。审计人员还可以根据需要，申请所需的其他应用软件，经审批通过后集中配置、统一分配到办公桌面，满足审计人员工作需要，提高审计人员的工作效率，提升信息人员的运维水平。
5.4 实现安全策略集中部署
在虚拟桌面、办公应用、审计数据3个层级，集中部署管理防病毒软件、办公应用软件和数据加密管理软件等，通过一次性集中配置，到所有审计办公桌面，实现桌面安全、应用安全和数据安全，建立全面的审计办公和电子数据三级安全防护体系，提升审计办公和审计电子数据的安全保护能力。
6 总 结
企业计算机审计电子数据安全保护工作是一项系统工程，需要技术和管理并重，在将计算机审计电子数据安全保护纳入企业保密管理工作范畴的同时，要建立企业个人计算机审计电子数据集中管理制和个人计算机存储介质安全清理检查制，定期开展计算机审计电子数据安全检查工作，将检查结果定期予以公布，并将计算机审计电子数据安全保护工作情况纳入绩效考核，全面提高计算机审计电子数据安全保护能力，为企业内部审计计算机审计工作提供有力保障。
主要参考文献
[1]审计署企业审计司.企业计算机审计论文集[C].北京：中国时代经济出版社，2012.
