摘要：隨著信息產(chǎn)業(yè)的高速發(fā)展，眾多企業(yè)、單位都利用互聯(lián)網(wǎng)建立了自己的信息系統(tǒng)，以充分利用各類(lèi)信息資源。但是我們?cè)谙硎苄畔a(chǎn)業(yè)發(fā)展帶給我們便利的同時(shí)，也面臨著巨大的風(fēng)險(xiǎn)。我們的系統(tǒng)隨時(shí)可能遭受病毒的感染、黑客的入侵，這都可以給我們?cè)斐删薮蟮膿p失。本文主要介紹了信息系統(tǒng)所面臨的技術(shù)安全隱患，并提出了行之有效的解決方案。
??????? 關(guān)鍵字：信息系統(tǒng) 信息安全
??????? 目錄
???????
??????? 目錄?2
??????? 一、目前信息系統(tǒng)技術(shù)安全的研究?3
??????? 1.信息安全現(xiàn)狀分析?3
??????? 2.企業(yè)信息安全防范的任務(wù)?3
??????? 二、信息系統(tǒng)常見(jiàn)技術(shù)安全漏洞與技術(shù)安全隱患?3
??????? 1、權(quán)限攻擊?3
??????? 2、讀取受限文件?3
??????? 3、拒絕服務(wù)?4
??????? 4、口令恢復(fù)?4
??????? 5、服務(wù)器信息泄露?4
??????? 三、信息系統(tǒng)的安全防范措施?4
??????? 1.防火墻技術(shù)?4
??????? 2.入侵檢測(cè)技術(shù)?4
??????? 3.認(rèn)證中心（CA）與數(shù)字證書(shū)?5
??????? 4.身份認(rèn)證?5
??????? 四、結(jié)束語(yǔ)?5
??????? 五、參考文獻(xiàn)?6
????????
??????? 一、目前信息系統(tǒng)技術(shù)安全的研究
??????? 1.信息安全現(xiàn)狀分析
??????? 隨著信息化進(jìn)程的深入，信息安全己經(jīng)引起人們的重視，但依然存在不少問(wèn)題。一是安全技術(shù)保障體系尚不完善，許多企業(yè)、單位花了大量的金錢(qián)購(gòu)買(mǎi)了信息安全設(shè)備，但是技術(shù)保障不成體系，達(dá)不到預(yù)想的目標(biāo)；二是應(yīng)急反應(yīng)體系沒(méi)有經(jīng)?；⒅贫然蝗瞧髽I(yè)、單位信息安全的標(biāo)準(zhǔn)、制度建設(shè)滯后。
??????? 2003年5月至2004年5月，在7072家被調(diào)查單位中有4057家單位發(fā)生過(guò)信息網(wǎng)絡(luò)安全事件，占被調(diào)查總數(shù)的58%。其中，發(fā)生過(guò)1次的占總數(shù)的22%,2次的占13%,3次以上的占23%，此外，有7%的調(diào)查對(duì)象不清楚是否發(fā)生過(guò)網(wǎng)絡(luò)安全事件。從發(fā)生安全事件的類(lèi)型分析，遭受計(jì)算機(jī)病毒、蠕蟲(chóng) 和木馬 程序破壞的情況最為突出，占安全事件總數(shù)的79%，其次是垃圾郵件，占36%，拒絕服務(wù)、端口掃描和篡改網(wǎng)頁(yè)等網(wǎng)絡(luò)攻擊情況也比較突出，共占到總數(shù)的43%。
??????? 調(diào)查結(jié)果表明，造成網(wǎng)絡(luò)安全事件發(fā)生的主要原因是安全管理制度不落實(shí)和安全防范意識(shí)薄弱。其中，由于未修補(bǔ)或防范軟件漏洞導(dǎo)致發(fā)生安全事件的占安全事件總數(shù)的25%，登錄密碼過(guò)于簡(jiǎn)單或未修改密碼導(dǎo)致發(fā)生安全事件的占19%。
??????? 對(duì)于網(wǎng)絡(luò)安全管理情況的調(diào)查表明，近年來(lái)，使用單位對(duì)信息網(wǎng)絡(luò)安全管理工作的重視程度普遍提高，80%的被調(diào)查單位有專(zhuān)職或兼職的安全管理人員，12%的單位建立了安全組織，有2%的單位請(qǐng)信息安全服務(wù)企業(yè)提供專(zhuān)業(yè)化的安全服務(wù)。調(diào)查表明，認(rèn)為單位信息網(wǎng)絡(luò)安全防護(hù)能力“較高”和“一般”的比較多，分別占44%。但是，被調(diào)查單位也普遍反映用戶(hù)安全觀念薄弱、安全管理員缺乏培訓(xùn)、安全經(jīng)費(fèi)投入不足和安全產(chǎn)品不能滿(mǎn)足要求等問(wèn)題，也說(shuō)明目前安全管理水平和社會(huì)化服務(wù)的程度還比較低。
??????? 2.企業(yè)信息安全防范的任務(wù)
??????? 信息安全的任務(wù)是多方面的，根據(jù)當(dāng)前信息安全的現(xiàn)狀，制定信息安全防范的任務(wù)主要是：
??????? 從安全技術(shù)上，進(jìn)行全面的安全漏洞檢測(cè)和分析，針對(duì)檢測(cè)和分析的結(jié)果制定防范措施和完整的解決方案；正確配置防火墻、網(wǎng)絡(luò)防病毒軟件、入侵檢測(cè)系統(tǒng)、建立安全認(rèn)證系統(tǒng)等安全系統(tǒng)。
??????? 從安全管理上，建立和完善安全管理規(guī)范和機(jī)制，切實(shí)加強(qiáng)和落實(shí)安全管理制度，增強(qiáng)安全防范意識(shí)。
??????? 信息安全防范要確保以下幾方面的安全：網(wǎng)絡(luò)安全：保障各種網(wǎng)絡(luò)資源(資源、實(shí)體、載體)穩(wěn)定可靠地運(yùn)行、受控合法地使用。信息安全:保障存儲(chǔ)、傳輸、應(yīng)用的機(jī)密性(Confidentiality)、完整性(Integrity)、抗否認(rèn)性(non-Repudiation),可用性(Availability)。其他安全：病毒防治、預(yù)防內(nèi)部犯罪。
??????? 二、信息系統(tǒng)常見(jiàn)技術(shù)安全漏洞與技術(shù)安全隱患
??????? 每個(gè)系統(tǒng)都有漏洞，不論你在系統(tǒng)安全性上投入多少財(cái)力，攻擊者仍然可以發(fā)現(xiàn)一些可利用的特征和配置缺陷。發(fā)現(xiàn)一個(gè)已知的漏洞，遠(yuǎn)比發(fā)現(xiàn)一個(gè)未知漏洞要容易的多，這就意味著多數(shù)攻擊者所利用的都是常見(jiàn)的漏洞。這樣的話(huà)，采用適當(dāng)?shù)墓ぞ撸湍茉诤诳屠眠@些常見(jiàn)漏洞之前，查出網(wǎng)絡(luò)的薄弱之處。漏洞大體上分為以下幾大類(lèi)：
??????? 1、權(quán)限攻擊
??????? 攻擊者無(wú)須一個(gè)賬號(hào)登錄到本地直接獲得遠(yuǎn)程系統(tǒng)的管理員權(quán)限，通常通過(guò)攻擊以root身份執(zhí)行的有缺陷的系統(tǒng)守護(hù)進(jìn)程來(lái)完成。漏洞的絕大部分來(lái)源于緩沖區(qū)溢出，少部分來(lái)自守護(hù)進(jìn)程本身的邏輯缺陷。
??????? 2、讀取受限文件
??????? 攻擊者通過(guò)利用某些漏洞，讀取系統(tǒng)中他應(yīng)該沒(méi)有權(quán)限的文件，這些文件通常是安全相關(guān)的。這些漏洞的存在可能是文件設(shè)置權(quán)限不正確，或者是特權(quán)進(jìn)程對(duì)文件的不正確處理和意外dumpcore使受限文件的一部份dump到了core文件中.
??????? 3、拒絕服務(wù)
??????? 攻擊者利用這類(lèi)漏洞，無(wú)須登錄即可對(duì)系統(tǒng)發(fā)起拒絕服務(wù)攻擊，使系統(tǒng)或相關(guān)的應(yīng)用程序崩潰或失去響應(yīng)能力。這類(lèi)漏洞通常是系統(tǒng)本身或其守護(hù)進(jìn)程有缺陷或設(shè)置不正確造成的。