对计算机安全概述的探讨

对计算机安全概述的探讨

来源：https://www.360docs.net/doc/d23280545.html,/

1．计算机系统面临的威胁和攻击

一类是对实体的威胁和攻击；另一类是对信息的威胁和攻击。

计算机犯罪和计算机病毒则包括了对计算机系统实体和信息两个方面的威胁和攻击。

1．1对实体的威胁和攻击主要指对计算机及其外部设备和网络的威胁和攻击，如各种自然灾害与人为的破坏、设备故障、场地和环境因素的影响、电磁场的干扰或电磁泄漏、战争的破坏、各种媒体的被盗和散失等。

1．2对信息的威胁和攻击一种是信息的泄漏；另一种是信息的破坏。

(1)信息泄漏偶然地或故意地获得目标系统中的信息，特别是敏感信息，造成泄露事件。

(2)信息破坏由于偶然事故或人为破坏，使信息的正确性、完整性和可用性受到破坏，使得系统的信息被修改、删除、添加、伪造或非法复制，造成大量信息的破坏、修改或丢失。

人为破坏有以下几种手段：

① 利用系统本身的脆弱性；②滥用特权身份；③不合法地使用；④修改或非法复制系统中的数据。

偶然事故有以下几种可能：

① 硬、软件的故障引起安全策略失效；②工作人员的误操作使系统出错；③ 自然灾害的破坏；④ 环境因素的突然变化。

对信息的人为故意威胁称之为攻击。就攻击的方法而言，可归纳为被动攻击和主动攻击两类。

(1)被动攻击：是指一切窃密的攻击被动攻击的主要方法有：

① 直接侦听；② 截获信息；③ 合法窃取；④ 破译分析；⑤ 从遗弃的媒体中分析获取信息。

(2)主动攻击：是指篡改信息的攻击。

主动攻击的主要方法有：

① 窃取并干扰通信线中的信息；② 返回渗透：

③ 线问插入；④ 非法冒充；⑤ 系统人员的窃密和毁坏系统数据、信息的活动等。

1．3计算机犯罪利用暴力和非暴力形式，故意泄露或破坏系统中的机密信息，以及危害系统实体和信息安全的不法行为。

暴力形式是对计算机设备和设施进行物理破坏。

而非暴力形式是利用计算机技术知识及其它技术进行犯罪活动，它通常采用下列技术手段：

(1)数据欺骗(2)特洛伊木马术(3)香肠术(4)逻辑炸弹(5)陷阱术 (6)寄生术(7)超级冲杀(8)异步攻击(9)废品利用(10)伪造证件计算机犯罪特征：

(1)犯罪方法新(2)作案时间短(3)不留痕迹(4)内部工作人员犯罪的比例在增加(5)犯罪区域广(6)利用保密制度不健全和存取控制机制不严的漏洞作案。

1．4计算机病毒计算机病毒是利用程序干扰或破坏系统正常工作的一种手段，它的产生和蔓延给信息系统的可靠性和安全性带来严重威胁和巨大的损失。

计算机病毒已成为威胁计算机及信息系统安全的最危险的因素。

计算机病毒的发展和蔓延，使许多用户发生恶性事件，使国家和人民深受其害。

计算机系统是一个复杂的系统，其各个环节都可能存在不安全因素。例如数据输入部分、数据处理部

分、通信线路、软件部分、输出部分、存取控制部分。

不安全因素按其造成的原因可分成三类：

①自然灾害构成的威胁；②偶然无意构成的威胁；③人为攻击的威胁。

2．计算机系统的脆弱性

计算机系统的脆弱性主要表现：

(1)存储密度高(2)数据可访问性(3)信息聚生性(4)保密困难性(5)介质的剩磁效应(6)电磁泄漏性(7)通信网络的弱点计算机系统的这些脆弱性对系统安全构成了潜在的危险。这些脆弱性如果被利用，系统的资源就受到很大损失。

3．影响系统安全的因素

3．1计算机系统安全的重要性① 系统的重要应用成为威胁和攻击的目标；② 系统本身的脆弱性成为不安全的内在因素；③ 系统的复杂性增加了隐患和被攻击的区域及环节；④ 计算机使用的场所变化，其可靠性和安全性便受到影响；⑤ 应用广泛，应用人员队伍不断扩大，各层次的应用人员增多，人为的某些因素，如操作失误的概率增加，会威胁信息系统的安全；⑥ 安全是针对某种威胁而言的，对计算机系统来说，许多威胁和攻击是隐蔽的，防范对象是广泛的、难以明确的，即潜在的；⑦ 计算机系统安全涉及到许多学科，既包含自然科学和技术，又包含社会科学。

3．2影响计算机系统安全的因素一类是自然因素，一类是人为因素。

① 自然因素因自然力造成的地震、水灾、火灾、风暴、雷击等，破坏计算机系统的实体或信息。分为自然灾害、自然损坏、环境干扰等因素；②人为因素无意损坏和有意破坏两种。

4．计算机系统的安全对策

4．1安全对策的一般原则① 需求、风险、代价综合平衡原则；②综合性、整体性原则；③易操作性原则；④适应性和灵活性原则；⑤ 可评估性原则。

4．2安全策略的职能计算机系统安全的实质就是安全法规、安全管理和安全技术的实施。安全策略的职能可以概括成三个方面：限制、监视和保障。

4．3安全策略和措施计算机系统的安全包含安全、保密两方面含义。采取的对策：法律保护、行政管理、人员教育和技术措施。

(1)法律保护一类是社会规范；另一类是技术规范。

(2)行政管理依据系统的实践活动，维护系统安全而建立和制定的规章制度和职能机构。

行政管理制度主要有：

①组织及人员制度；②运行维护和管理制度；③计算机处理的控制与管理制度；④ 机房保卫制度；⑤ 凭证、帐表、资料妥善保管，严格控制；⑥ 记账的交叉复核，各类人员所掌握资料与其身分相适应；⑦信息处理用机要专机专用，不允许兼作其它用机。

(3)人员教育对计算机系统工作人员，如终端操作员、系统管理员、系统设计人员，进行全面的安全、保密教育，进行职业道德和法制教育。

(4)技术措施涉及计算机和外部设备及其通信和网络等实体，还涉及到数据安全、软件安全、网络安全、运行安全和防病毒以及结构、工艺和保密技术。安全技术措施应贯彻于系统分析、设计、运行和维护及管

理的各个阶段。

计算机系统的安全就是为保证系统资源的完整性、可靠性、保密性、安全性、有效性和合法性，维护正当的信息活动，以及与应用发展相适应的社会道德和权力，而建立和采取的技术措施和方法的总和，以保证系统的硬件、软件和数据不因偶然的或人为的因素而遭受破坏、泄漏、修改或复制，保护国家和集体财产免受严重损失。

5．计算机系统的安全技术

5．1计算机系统的安全需求主要包括：保密性、安全性、完整性、可靠性和可用性以及信息的有效性和合法性。

(1)保密性保密性是利用密码技术对信息进行加密处理，以防止信息泄漏。

(2)安全性安全性标志着一个信息系统的程序和数据的安全程度。分为内部安全和外部安全。外部安全包括物理安全、人事安全、过程安全。

(3)完整性信息的完整程度。它是防止信息系统内程序和数据不被非法删改、复制和破坏，并保证其真实性和有效性的一种技术手段。完整性分为软件完整性和数据完整性两个方面。

(4)可靠性和可用性可靠性即保证系统硬件和软件无故障或差错，以便在规定条件下执行预定算法的能力。可用性即保证合法用户能正确使用而不出现拒绝访问或使用，并且要防止非法用户进入系统访问、窃取系统资源和破坏系统，也要防止合法用户对系统的非法操作或使用。

(5)信息有效性和合法性5-2安全系统的设计原则美国著名信息系统安全顾问沃得23条设计原则：(1)成本效率原则 (2)简易性原则(3)超越控制原则 (4)公开设计与操作原则(5)最小特权原则 (6)分工独立性原则(7)设置陷阱原则(9)接受能力原则(11)检查能力原则(13)记账能力原则(15)环状结构原则(17)规范化原则(19)参数化原则(21)人为干预原则(23)安全印象原则(8)环境控制原则(1O)承受能力原则(12)防御层次原则(14)分割原则(16)外围控制原则(18)错误拒绝原则(20)敌对环境原则(22)隐蔽性原则5．3计算机系统的安全技术计算机系统的安全技术，主要包括以下7个方面：

(1)实体安全计算机系统实体安全主要是指为保证计算机设备和通信线路及设施(建筑物等)的安全，满足设备正常运行环境的要求而采用的技术和方法。

(2)数据安全为保证计算机系统中数据库(或数据文件)免遭破坏、修改、显露和窃取等威胁和攻击而采用的技术方法。

(3)软件安全为保证计算机系统中的软件(如操作系统、数据库系统或应用程序)免遭破坏、非法拷贝、非法使用而采用的技术和方法。

(4)网络安全为保证网络及其结点安全而采用的技术和方法。

(5)运行安全运行安全包括安全运行与管理技术；系统的使用与维护技术；随机故障维修技术；软件可靠性与可维护性保证技术；操作系统的故障分析与处理技术；机房环境的监测与维护技术；实测系统及其设备运行状态、记录及统计分析技术等。

(6)防病毒用各种病毒扫描和消除工具及其技术，定期地检测、诊断和消除系统中的病毒，并采取一整套预防方法，防止病毒再入侵。

(7)安全评价计算机系统的安全是相对的，很难得到绝对安全的系统，而且计算机系统的安全是效果与代价、威胁与风险等多种因素的平衡结果。不同的系统、不同的任务和功能、不同的规模和不同的工作方式对信息系统的安全要求是不同的，因此就需要一个安全评价标准，作为系统安全的检验依据。