時間：2023-06-08 11:27:21
開篇：寫作不僅是一種記錄，更是一種創(chuàng)造，它讓我們能夠捕捉那些稍縱即逝的靈感，將它們永久地定格在紙上。下面是小編精心整理的12篇網(wǎng)絡行為審計，希望這些內(nèi)容能成為您創(chuàng)作過程中的良師益友，陪伴您不斷探索和進步。
【關鍵詞】行為審計 數(shù)據(jù)包抓取 多線程
信息內(nèi)網(wǎng)終端用戶行為是信息網(wǎng)安全的重要組成部分，目前電力公司尤其是地市公司對內(nèi)網(wǎng)終端網(wǎng)絡行為監(jiān)管能力不足，尤其是郵件發(fā)送、網(wǎng)頁訪問等異常行為缺乏可靠實時的檢測工具，為此多數(shù)信息網(wǎng)運維單位開展了內(nèi)網(wǎng)行為審計系統(tǒng)的建設[1]。通常內(nèi)網(wǎng)行為審計系統(tǒng)主要運用“包捕獲”采集技術[2]，在核心交換機上采用端口鏡像技術，將上聯(lián)口的流量鏡像到某個端口并進行數(shù)據(jù)包的抓取、分析，并基于數(shù)據(jù)包分析結果實現(xiàn)內(nèi)網(wǎng)用戶網(wǎng)絡行為的審計，典型審計場景包括用戶數(shù)據(jù)量排名、用戶興趣點分布、網(wǎng)絡實時流量、不同類型數(shù)據(jù)包流量統(tǒng)計等。另外系統(tǒng)建立異常信息告警機制，根據(jù)設定的監(jiān)控關鍵字，對捕捉到的內(nèi)網(wǎng)網(wǎng)頁查看行為和郵件行為進行篩查，對包含關鍵字信息的數(shù)據(jù)進行報警[3]。
在面對地市電力公司，具有較大規(guī)模的信息內(nèi)網(wǎng)時，內(nèi)網(wǎng)行為審計系統(tǒng)建設的建設范圍、關鍵技術成為系統(tǒng)成功應用的基礎，本文就地市電力公司內(nèi)網(wǎng)行為審計系統(tǒng)的建設功能及核心技術進行探討。
1 內(nèi)網(wǎng)行為審計系統(tǒng)實現(xiàn)
1.1 功能設計
如圖1所示，內(nèi)網(wǎng)行為審計系統(tǒng)主要包括數(shù)據(jù)處理、行為審計統(tǒng)計查詢及系統(tǒng)管理三部分，分別實現(xiàn)網(wǎng)絡包抓取、分析，行為審計分析及系統(tǒng)基礎管理工作。
數(shù)據(jù)處理包括網(wǎng)絡流量采集及基于包的網(wǎng)絡流量分析功能，網(wǎng)絡流量主要利用交換機的端口鏡像功能實現(xiàn)，在核心交換機上通過將上聯(lián)口的流量鏡像到某個端口，再通過與該端口連接的主機設備接收鏡像流量。主機設備上通過將網(wǎng)卡設置成混雜模式接收所有的傳輸層數(shù)據(jù)包，并對接收到的數(shù)據(jù)包根據(jù)傳輸層的源地址、目的地址及端口信息進行過濾，保留源地址或目的地址為目標系統(tǒng)或網(wǎng)址IP的數(shù)據(jù)包；再利用應用層的HTTP協(xié)議特征對數(shù)據(jù)包進行二次過濾，保留通過HTTP協(xié)議進行網(wǎng)絡訪問行為；最終針對特定WEB應用利用關鍵字對訪問行為中的發(fā)件人地址、收件人地址、郵件標題等字段進行抓取并存儲。
根據(jù)阜陽公司信息網(wǎng)安全管理要求，開展了內(nèi)網(wǎng)郵件行為審計和內(nèi)網(wǎng)WEB系統(tǒng)訪問行為審計兩種場景的應用，其中郵件審計針對郵件頭的關鍵字段，包括發(fā)件人、收件人等進行審計，對于不合規(guī)的郵件題目或附件標題進行告警；內(nèi)網(wǎng)WEB系統(tǒng)訪問行為主要用于判斷用戶的WEB系統(tǒng)訪問習慣，根據(jù)WEB系統(tǒng)訪問的頁面、訪問頻率及訪問部門進行統(tǒng)計分析，判斷WEB系統(tǒng)的應用情況。
1.2 多線程數(shù)據(jù)包處理方式
高效的數(shù)據(jù)包處理技術是解決地市公司高流量的關鍵技術，如何實現(xiàn)數(shù)據(jù)包的完整抓取、解析可有效避免行為檢測的漏檢、錯檢。本文采用高效的多線程數(shù)據(jù)包處理方式實現(xiàn)數(shù)據(jù)包處理，處理流程見圖2。
數(shù)據(jù)包處理過程為了提高運行速度，防止丟包現(xiàn)象，提高數(shù)據(jù)分析效率，主要創(chuàng)建三個線程分別執(zhí)行任務：
[關鍵詞]學校；網(wǎng)絡安全；審計
doi：10.3969/j.issn.1673 - 0194.2016.04.041
[中圖分類號]F239.1；TP393.18 [文獻標識碼]A [文章編號]1673-0194（2016）04-00-02
隨著我國互聯(lián)網(wǎng)技術的快速發(fā)展，基礎的網(wǎng)絡設施得到進一步完善，互聯(lián)網(wǎng)在各企事業(yè)單位中得到充分利用。近幾年，學校投入大量人力、物力、財力進行信息化建設，利用網(wǎng)絡來管理校園工作、信息，提高了學校的工作效率。在信息系統(tǒng)快速發(fā)展的同時，網(wǎng)絡管理的安全問題日益突出。因為學校的工作人員除了利用網(wǎng)絡辦公外，還有利用網(wǎng)絡購物等一些與辦公無關的行為，這之間可能有意無意地泄露了學校的機密，學校很難追查是誰泄密的。因此，如果對網(wǎng)絡不進行監(jiān)管，網(wǎng)絡安全問題將成為學校的效率的殺手，并給學校帶來很多麻煩。
1 網(wǎng)絡審計功能特性概述
1.1 機器分組管理
網(wǎng)絡審計可以實現(xiàn)對局域網(wǎng)內(nèi)IP地址和機器名的搜索，并對搜索到的機器信息進行分組管理。自動分組功能可實現(xiàn)對指定IP段機器的自動分組，可生成多級樹形結構的組織架構，針對不同級別來進行分組管理。
1.2 上網(wǎng)人員控制
網(wǎng)絡審計支持12種認證和識別方式，包括郵箱認證、AD域認證、本地Web認證等，可以設定部分或全部機器須用賬號上網(wǎng)，通過對賬號的分組管理，可實現(xiàn)在同一機器上不同用戶具有不同的上網(wǎng)活動權限。
1.3 豐富的策略分配機制
網(wǎng)絡審計支持針對組織全局和部分的控制，支持對組織內(nèi)用戶賬號、IP、MAC、分組的策略分配根據(jù)上網(wǎng)人員的賬號或機器及上機范圍來對其網(wǎng)絡活動權限進行控制。
1.4 全系列娛樂應用封堵
網(wǎng)絡審計系統(tǒng)支持對魔獸世界、QQ游戲等近百個市場上主流的網(wǎng)絡游戲，大智慧、指南針等二十幾個財經(jīng)股票軟件，以及MSN、QQ等常用的即時通訊工具進行實時的封堵，保障組織人員的工作學習效率。
1.5 針對關鍵字的封堵控制
網(wǎng)絡審計支持針對內(nèi)容關鍵字的各種應用封堵，包括文件傳輸、遠程登陸、郵件收發(fā)、即時通訊等，支持針對用戶名的關鍵字模糊匹配，支持對文件傳輸?shù)奈募愋鸵约拔募?nèi)容關鍵字進行封堵控制，支持郵件內(nèi)容、標題、附件名、附件內(nèi)容以及發(fā)送、抄送、暗送的地址進行關鍵字封堵，保障組織內(nèi)部的敏感信息不外泄。
1.6 URL地址關鍵字過濾
根據(jù)上網(wǎng)請求，對URL中的關鍵字進行智能模糊匹配過濾，與關鍵字匹配的網(wǎng)址將被限制訪問。
1.7 流量封堵控制
網(wǎng)絡審計支持對用戶的日、周、月流量進行上網(wǎng)控制，支持對上行、下行流量進行分別統(tǒng)計控制，用戶在每日、周、月流量限額用完后將無法正常上網(wǎng)，控制組織內(nèi)用戶的外網(wǎng)訪問流量。
1.8 用戶自定義協(xié)議控制
對于系統(tǒng)未知的協(xié)議類型和網(wǎng)絡應用，用戶可根據(jù)自己的需要，添加相應的協(xié)議特征實現(xiàn)對自定義協(xié)議的審計和控制。
1.9 審計網(wǎng)絡行為
系統(tǒng)的網(wǎng)絡數(shù)據(jù)包通過捕獲來分析，不僅可以還原完整原始信息協(xié)議，還可以準確地記錄關鍵信息的網(wǎng)絡訪問。網(wǎng)絡審計系統(tǒng)支持幾乎所有的網(wǎng)絡行為的審計，能識別所有常用網(wǎng)絡協(xié)議的應用，支持對幾乎所有網(wǎng)絡搜索引擎關鍵字的審計，支持對網(wǎng)頁登錄、聊天工具登錄、網(wǎng)絡游戲登錄等應用登錄的賬號審計。
1.10 深度內(nèi)容審計
網(wǎng)絡審計系統(tǒng)可獲取郵件、論壇發(fā)帖、聊天記錄等所有內(nèi)容，支持所有Web郵件、SMTP/POP3郵件的內(nèi)容和附件審計，支持對熱點論壇、博客、微博的發(fā)帖、留言等的內(nèi)容及附件審計，支持對網(wǎng)頁聊天室、MSN、飛信等聊天工具的聊天內(nèi)容審計。
1.11 敏感信息告警
網(wǎng)絡審計系統(tǒng)可設置行為報警策略和內(nèi)容關鍵字審計策略，對觸發(fā)敏感信息的網(wǎng)絡行為進行行為告警處理，對觸發(fā)敏感內(nèi)容關鍵字的論壇發(fā)帖、網(wǎng)絡聊天、郵件收發(fā)等行為進行相應報警處理，支持郵箱和短信的報警方式。
1.12 報表統(tǒng)計與數(shù)據(jù)分析
網(wǎng)絡審計系統(tǒng)支持對用戶、行為、關鍵字、流量及趨勢等的數(shù)據(jù)統(tǒng)計，生成報表及數(shù)據(jù)分析和展示。通過數(shù)據(jù)的柱形統(tǒng)計圖清晰明了地展現(xiàn)出組織內(nèi)用戶的網(wǎng)絡行為情況，IT決策人員通過圖形情況了解用戶上網(wǎng)行為趨勢、了解組織帶寬利用分布，可以提出整改網(wǎng)絡帶寬方案作為參考之用。
2 網(wǎng)絡審計部署概述
網(wǎng)絡審計系統(tǒng)部署通過分布式部署和串接部署這兩種方式進行靈活的結合，如果在不同的網(wǎng)絡的環(huán)境，可以實現(xiàn)不同的管理模式以及不同的目的控制。下面簡單地介紹3種典型的部署方案及其示意圖。
2.1 單臺旁路銅纖鏡像
第一種部署方案是單臺旁路銅纖鏡像，用戶的交換機必須對端口鏡像進行支持，它們之間的連接必須以銅纜為介質(zhì)，這是它的適用環(huán)境。該方案主要用于簡單的學校和企業(yè)的二層和三層網(wǎng)絡，審計設備主要是從交換機的鏡像端口獲取數(shù)據(jù)，并且該方案旁路部署接入的是最有代表的方案。該方案對原有網(wǎng)絡的性能沒有影響，而且部署簡單、容易維護，如圖1所示。
圖1 單臺旁路銅纖鏡像
2.2 單臺旁路光纖鏡像
第二種部署方案是單臺旁路光纖鏡像，它適用的環(huán)境是用戶的交換機必須支持端口的鏡像，它們之間必須以光纖作為介質(zhì)來連接。該方案是審計設備使用光纖作為介質(zhì)來用于端口鏡像最典型的方案，它主要用在學校及企業(yè)的二層或三層網(wǎng)絡上，和第一種方案一樣都是通過鏡像端口來獲取數(shù)據(jù)，獲取的數(shù)據(jù)要使用相應的協(xié)議對它進行還原分析。該方案部署方便且簡單，維護也非常容易，對原來的網(wǎng)絡沒有影響，如圖2所示。
2.3 光纖網(wǎng)絡雙鏈路分光
第三種部署方案是光纖網(wǎng)絡雙鏈路分光，用戶使用的交換機不能用來做端口鏡像，必須具備2個或以上，并且獨立的物理網(wǎng)絡，還有就是在一個邏輯的網(wǎng)絡中，使用具有核心功能的兩臺交換機建立一個均衡或熱備的網(wǎng)絡，通過上面描述的條件才能使用該方案。該方案是在對千兆線路解決的情況下，交換機不能做端口鏡像的時候采用的分光的方案，該分光器采用雙向的鏈路對兩組分別進行分光，然后使用4個光口捕獲審計數(shù)據(jù)，并對獲得的數(shù)據(jù)進行還原及更深層次地分析。該方案使用一臺審計設備可以同時捕獲一個很冗余或兩個不通的網(wǎng)絡數(shù)據(jù)，此方案是光纖部署最典型的方案，如圖3所示。
圖2 單臺旁路光纖鏡像
圖3 光纖網(wǎng)絡雙鏈路分光
3 結 語
本文介紹了網(wǎng)絡審計系統(tǒng)的功能特性及其部署方式，網(wǎng)絡審計系統(tǒng)主要包括上網(wǎng)人的控制、全面的網(wǎng)絡行為審計、深度內(nèi)容審計、敏感信息告警等功能；部署方式主要介紹了單臺旁路銅纖鏡像、單臺旁路光纖鏡像及光纖網(wǎng)絡雙鏈路分光等三種部署方式。學校安裝審計系統(tǒng)和使用設計系統(tǒng)，能幫助管理人員對學校上網(wǎng)的人員進行審計、記錄及分析，使管理員有針對性地對網(wǎng)絡進行管理。
主要參考文獻
[1]郝占軍.網(wǎng)絡流量分析與預測模型研究[D].蘭州：西北師范大學，2011.
[2]凌波，柳景超，張志祥.基于Windows終端信息過濾的網(wǎng)絡訪問控制研究[J].計算機工程與設計，2011（1）.
[3]鄧小榕，陳龍，王國胤.安全審計數(shù)據(jù)的綜合審計分析方法[J].重慶郵電學院學報：自然科學版，2005（5）.
關鍵詞：網(wǎng)絡；防火墻；黑客；互聯(lián)網(wǎng)
1 信息化現(xiàn)狀
針對企業(yè)網(wǎng)絡的整體構架，把安全產(chǎn)品集中放在安全策略區(qū)。安全產(chǎn)品有：千兆防火墻、入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、數(shù)據(jù)庫審計系統(tǒng)、桌面管理系統(tǒng)、CA身份認證系統(tǒng)。通過這些安全產(chǎn)品將企業(yè)局域網(wǎng)中的服務器群、交換機群、存儲設備保護起來，達到保護數(shù)據(jù)的目的。卷煙生產(chǎn)企業(yè)主要業(yè)務都是圍繞生產(chǎn)進行的，企業(yè)由二線管理部門及生產(chǎn)車間組成，生產(chǎn)車間包括動力車間、制絲車間、卷包車間和物流中心。企業(yè)內(nèi)部主要存在兩類網(wǎng)絡，生產(chǎn)網(wǎng)和辦公網(wǎng)，外部網(wǎng)網(wǎng)包括互聯(lián)網(wǎng)和煙草行業(yè)廣域網(wǎng)。業(yè)務系統(tǒng)方面，行業(yè)層面上初步形成了以財務業(yè)務一體化的ERP為核心，覆蓋生產(chǎn)、營銷、采購、物流、財務、人力資源、電子政務、行業(yè)監(jiān)管等各個條線的管理信息系統(tǒng)架構，工廠層面，已建成包括卷包數(shù)采、制絲中控、能源管控、片煙高架、原料、輔料、成品、五金配件等領域的較完善的生產(chǎn)、物流等底層系統(tǒng)。
2 辦公網(wǎng)、生產(chǎn)網(wǎng)分離及防護
按照《國家煙草專賣局辦公室關于卷煙工業(yè)企業(yè)信息化建設的指導意見》（以下簡稱“指導意見”）中“兩網(wǎng)分離、層次劃分”的要求，將網(wǎng)絡劃分為管理網(wǎng)和生產(chǎn)網(wǎng)兩部分。其中生產(chǎn)網(wǎng)又垂直劃分為生產(chǎn)執(zhí)行層、監(jiān)督控制層、設備控制層，具體如圖1所示。
同時依據(jù)《互聯(lián)安全規(guī)范》規(guī)定，管理網(wǎng)和生產(chǎn)網(wǎng)連接必須通過互聯(lián)接口完成。互聯(lián)接口部署于生產(chǎn)網(wǎng)與管理網(wǎng)之間，其安全功能包括身份鑒別、訪問控制、網(wǎng)絡互連控制、惡意行為防范、安全審計、支撐操作系統(tǒng)安全，安全模型如圖2所示。
3 網(wǎng)絡安全體系的探討
針對生產(chǎn)網(wǎng)和管理網(wǎng)的邊界，按照《互聯(lián)安全規(guī)范》規(guī)定，建議采取部署防火墻進行身份鑒別、訪問控制和網(wǎng)絡互連控制；在生產(chǎn)網(wǎng)和管理網(wǎng)間主要交換機旁路部署工業(yè)異常監(jiān)測引擎，進行惡意行為防范；在操作站、MES系統(tǒng)客戶端、辦公終端、HMI等部署操作站安全系統(tǒng)對主機的進程、軟件、流量、U盤的使用等進行監(jiān)控，防范主機非法訪問網(wǎng)絡其它節(jié)點。
3.1 身份鑒別、訪問控制及網(wǎng)絡互連控制
在生產(chǎn)網(wǎng)和管理網(wǎng)之間部署防火墻進行身份鑒別、訪問控制和網(wǎng)絡互連控制。（1）身份鑒別：生產(chǎn)網(wǎng)和管理網(wǎng)之間進行網(wǎng)絡連接時，基于IP地址和端口號、MAC地址或行業(yè)數(shù)字證書等對請求連接主機身份進行鑒別；生產(chǎn)網(wǎng)與管理網(wǎng)禁止同未通過身份鑒別的主機建立網(wǎng)絡連接。（2）訪問控制：互連接口進行訪問控制措施設置，具體措施結合訪問主客體具體功能確定；進行細粒度主、客體訪問控制，粒度細化到IP地址和端口號、MAC地址及應用協(xié)議；進行協(xié)議格式的鑒別與過濾，支持FTP、SOAP、OPC、HTTP、SSH、SFTP、數(shù)據(jù)庫通訊等常用協(xié)議。（3）網(wǎng)絡互連控制：只開啟必要的數(shù)據(jù)交換通道；支持對FTP、SOAP、OPC、HTTP、SSH、SFTP、數(shù)據(jù)庫通訊等常用協(xié)議的網(wǎng)絡互連控制；能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力；在會話處于非活躍一定時間或會話結束后終止網(wǎng)絡連接。
3.2 惡意行為防范
在生產(chǎn)網(wǎng)和管理網(wǎng)間主要交換機旁路部署工業(yè)異常監(jiān)測引擎，進行惡意行為防范。（1）對生產(chǎn)網(wǎng)與管理網(wǎng)之間的數(shù)據(jù)通信行為進行實時數(shù)據(jù)包抓取和分析，對SQL注入、跨站腳本、惡意指令等異常行為進行監(jiān)測和實時告警。（2）進行流秩序監(jiān)控，包括流分析、流行為、流視圖、流追溯等，對已識別的異常行為進行及時阻斷。
3.3 支撐操作系統(tǒng)防護
在操作站、MES系統(tǒng)客戶端、辦公終端、HMI等部署操作站安全系統(tǒng)對主機的進程、軟件、流量、U盤的使用等進行監(jiān)控，防范主機非法訪問網(wǎng)絡其它節(jié)點。（1）操作站安全審計，包括文件操作審計與控制、打印審計與控制、網(wǎng)站訪問審計與控制、異常路由審計、FTP審計和終端、應用成尋使用審計、刻錄審計、Windows登錄審計等多種審計功能。（2）杜絕非法外聯(lián)，對操作站發(fā)生的任意一個網(wǎng)絡行為進行檢測和識別，并能夠攔截所有存在安全的威脅的網(wǎng)絡訪問。（3）移動存儲管理，對接入操作站的移動存儲設備進行認證、數(shù)據(jù)加密和共享受控管理，確保只有通過認證的移動存儲設備才能夠被授權用戶使用。（4）及時發(fā)現(xiàn)信息是否在操作站中違規(guī)存放和使用，避免信息違規(guī)存放和使用違規(guī)行為，帶來信息外泄。
3.4 利用網(wǎng)絡監(jiān)聽維護子網(wǎng)系統(tǒng)安全
對于網(wǎng)絡外部的入侵可以通過安裝防火墻來解決，但是對于網(wǎng)絡內(nèi)部的侵襲則無能為力。在這種情況下，我們可以采用對各個子網(wǎng)做一個具有一定功能的審計文件，為管理人員分析自己的網(wǎng)絡運作狀態(tài)提供依據(jù)。設計一個子網(wǎng)專用的監(jiān)聽程序。該軟件的主要功能為長期監(jiān)聽子網(wǎng)絡內(nèi)計算機間相互聯(lián)系的情況，為系統(tǒng)中各個服務器的審計文件提供備份。
總之，網(wǎng)絡安全是一個系統(tǒng)的工程，不能僅僅依靠防火墻等單個的系統(tǒng)，而需要仔細考慮系統(tǒng)的安全需求，并將各種安全技術，如密碼技術等結合在一起，才能生成一個高效、通用、安全的網(wǎng)絡系統(tǒng)。
參考文獻
關鍵詞：信息安全；入侵檢測；控制策略；日志系統(tǒng)
隨著氣象業(yè)務的不斷發(fā)展，氣象設備的數(shù)量不斷增加，氣網(wǎng)絡面臨較大的運行壓力，同時由于業(yè)務需求，部分氣象系統(tǒng)連接到互聯(lián)網(wǎng)，通過無線網(wǎng)絡接入到運行網(wǎng)絡中，給運行業(yè)務帶來比較大的安全風險。近年來，網(wǎng)絡安全越來越受到重視，信息系統(tǒng)安全等級三級[1，2]更是對網(wǎng)絡結構安全[3-5]、安全審計、訪問控制[6-8]等方面提出了進一步的要求。在這種背景下，同時結合氣象網(wǎng)絡安全三級等保要求，制定合理的安全策略，使用NAT[9,10]技術，隱藏內(nèi)部真實地址，建立合法登錄用戶檔案，拒絕非法登錄，構建一個具有較強防護能力的防御系統(tǒng)。
1基于信息安全的網(wǎng)絡整體規(guī)劃
1.1防火墻設計
本次設計目標根據(jù)氣象業(yè)務需求，對不同安全等級的網(wǎng)絡進行隔離，在網(wǎng)絡層進行安全防護部署，設置不同安全區(qū)域，每個安全區(qū)域根據(jù)安全等級進行相應的防護設置，提高網(wǎng)絡安全性，設計具體目標如下：（1）對氣象數(shù)據(jù)庫系統(tǒng)進行分層隔離保護，數(shù)據(jù)庫服務器區(qū)域設置為安全級別較高的trust區(qū)域，其他數(shù)據(jù)流根據(jù)等級設置成dmz、untrust區(qū)域。外部終端獲取數(shù)據(jù)庫數(shù)據(jù)是通過防火墻映射地址進行訪問，防火墻安全策略中設置控制策略，禁止非法用戶訪問，網(wǎng)絡拓撲圖如圖1所示：防火墻安全區(qū)域設置，服務器設置區(qū)域為trust區(qū)域，內(nèi)網(wǎng)設置為dmz區(qū)域，互聯(lián)網(wǎng)網(wǎng)段為untrust區(qū)域，根據(jù)氣象網(wǎng)絡不同系統(tǒng)業(yè)務接口規(guī)劃安全區(qū)域，并設置各個區(qū)域間訪問控制策略。訪問控制設置，默認下防火墻所有區(qū)域間的安全策略動作設置為拒絕，僅允許通過策略設置放行的流量，其余均拒絕；根據(jù)業(yè)務運行變化，定期更新訪問控制策略，對控制策略進行調(diào)整優(yōu)化；配置防火墻訪問控制策略，實現(xiàn)流量控制。升級最新的防病毒模塊和入侵檢測模塊，檢測惡意代碼。安全審計模塊，連接審計系統(tǒng)，對訪問服務器的用戶行為進行安全審計和監(jiān)控；日志系統(tǒng)，連接日志系統(tǒng)，對訪問服務器的設備信息、用戶信息進行記錄，具體設計見表1：（2）配置思路及配置命令對防火墻USG6000進行配置，設置接口IP地址和安全區(qū)域，根據(jù)業(yè)務運行配置安全策略，放行可信用戶，禁止非法用戶。配置內(nèi)部服務器，映射服務器訪問地址。配置路由器接口地址和OSPF動態(tài)協(xié)議，配置核心交換機端口鏡像以進行流量審計，配置日志輸出功能，具體配置如下：
1.2日志系統(tǒng)配置
（1）LINUX系統(tǒng)和AIX系統(tǒng)系統(tǒng)對/etc/syslog.conf文件進行編輯，在文件后面添加：@172.25.40.250，則日志發(fā)送到172.25.40.250日志采集服務器，配置完成后需要重啟syslog服務才能生效：#servicesyslogrestart（2）交換機日志開啟#loggon#logg192.168.19.115#loggservice-interfacef0/21（3）開啟端口鏡像#monitorsession1sourceintf0/1-5#monitorsession1destintf0/9（4）規(guī)則配置：通過Web方式登錄日志系統(tǒng)的配置界面，使用系統(tǒng)賬號admin完成相關配置，具體如下：導入許可配置：在系統(tǒng)維護界面點擊導入許可，完成配置；開放端口，用于接收syslog日志和告警信息，添加開放的端口：514,162,443；添加設備：在資產(chǎn)對象組中添加設備，填寫設備的名稱、管理IP地址和子網(wǎng)掩碼；時間統(tǒng)計：點擊事件統(tǒng)計按鈕，對網(wǎng)絡中的安全事件進行設置，屬性設置為嚴重、重要、一般、輕微、信息、總數(shù)。
1.3數(shù)據(jù)庫審計配置
（1）基本配置，使用系統(tǒng)用戶sysadmin進行基本配置。管理口配置：設置IP地址、子網(wǎng)掩碼、網(wǎng)關等，配置完成后測試ip是否可用，網(wǎng)關是否連通。部署方式配置：配置默認旁路鏡像，確定部署方式，點擊下方保存按鈕。旁路鏡像用于端口鏡像，agent引流用于云上審計環(huán)境或者沒有做端口鏡像。（2）功能配置，使用系統(tǒng)賬號sysadmin進行配置，配置審計對象：設置數(shù)據(jù)庫服務器IP、詳細版本及端口號，配置對應審計對象。策略管理：默認按規(guī)則審計，界面中依次點擊：策略管理，審計策略，默認策略。全部審計表示所有訪問數(shù)據(jù)庫服務器的數(shù)據(jù)均審計入庫，在前臺可以查看所有操作的審計記錄。按規(guī)則審計：只審計匹配規(guī)則的訪問數(shù)據(jù)庫服務器信息，未匹配規(guī)則的數(shù)據(jù)不審計入庫，前臺查詢記錄中只有匹配規(guī)則的數(shù)據(jù)。（3）規(guī)則設置，使用secadmin帳號設置規(guī)則，制定風險的級別、何種操作類型以及針對的對象如操作系統(tǒng)主機名、子對象、客戶端地址集、客戶端進程集、關鍵字等。針對數(shù)據(jù)庫的操作：選擇操作命令，如查詢、插入、刪除、更新等，在審計結果中出現(xiàn)對應的操作時，出現(xiàn)告警信息。風險級別：設置訪問行為高風險、中風險、低風險、關注行為、一般行為、不審計。
2網(wǎng)絡配置與驗證
2.1trunk技術
trunk技術用于在交換機之間互連，使不同VLAN通過共享鏈路與其它交換機中的相同VLAN通信。交換機之間互連的端口就稱為trunk端口，trunk是基于OSI第二層數(shù)據(jù)鏈路層（DataLinkLayer)的技術。將互連的交換機兩個端口mode設置為trunk模式，實現(xiàn)交換機上所有VLAN共享這條線路，不同交換機相同vlan相互通信，配置命令：[LSW]group-membere0/0/1toe0/0/4[LSW]portlinktrunk[LSW]porttrunkallowvlanall
2.2單臂路由技術
默認情況下，不同網(wǎng)段之間是不能相互通信的。但是在實際中，不同網(wǎng)段之間又要相互通信，這種情況下可以使用單臂路由技術，單臂路由（router-on-a-stick）是指在路由器的一個接口上通過配置子接口（或“邏輯接口”，并不存在真正物理接口）的方式，實現(xiàn)原來相互隔離的不同VLAN（虛擬局域網(wǎng)）之間的互聯(lián)互通，配置命令：[R1-G0/0/0.10]ipaddr172.25.32.25424[R1-G0/0/0.10]dot1qterminationvid10[R1-G0/0/0.10]arpbroadcastenable
2.3訪問控制和NAT映射技術
訪問控制是網(wǎng)絡安全防范和保護的主要策略，保證網(wǎng)絡資源不被非法使用和訪問，它是保證網(wǎng)絡安全重要的核心策略之一。NAT（NetAddressTranslation），它是負責網(wǎng)絡地址轉(zhuǎn)換的一個協(xié)議，負責把私網(wǎng)內(nèi)的的IP和端口轉(zhuǎn)換成公網(wǎng)的IP和端口，即IP地址映射,外部網(wǎng)絡通過映射的IP地址訪問內(nèi)部服務器，起到保護內(nèi)部設備的作用，配置命令：[USG]natserverprotocoltcpglobal192.5.202.2501521inside172.25.32.11521[USG]source-zoneuntrust[USG]destination-zonetrust[USG]actionpermit其他網(wǎng)段設備通過NAT映射地址訪問氣象數(shù)據(jù)庫系統(tǒng)，如綜合顯示系統(tǒng)終端若訪問氣象數(shù)據(jù)庫服務器，在華為USG6000防火墻中進行地址映射和訪問控制，對服務器進行保護，通過映射地址192.5.202.250訪問氣象數(shù)據(jù)庫系統(tǒng)服務器允許的sql檢索服務。
3結束語
【關鍵詞】 云計算 網(wǎng)絡安全 威脅 防御措施
隨著網(wǎng)絡技術的不斷深入發(fā)展，其應用領域不斷擴大，在各行各業(yè)都發(fā)揮了巨大的作用。不論是電子商務、金融通信還是電子政務等工作，都會產(chǎn)生大量數(shù)據(jù)，為了應對這些數(shù)據(jù)，提高信息化服務能力，云計算技術就應運而生。當前時期正處于云計算時代的興盛時期，如何應對網(wǎng)絡安全問題，提高網(wǎng)絡的安全性成為人們必須思考的問題。
一、云計算時代網(wǎng)絡安全現(xiàn)狀分析
1、云計算的信任問題。一般來說，云計算服務中的數(shù)據(jù)與軟件應用管理和維護主要依托于外包機構，采用這種形式后云計算服務商將不能對外包機構進行調(diào)查與控制，這在一定程度上導致云計算的信任問題。這種信任問題主要出現(xiàn)在云計算的部署和構架上。從傳統(tǒng)云計算的部署與構架來說，主要采用強制措施_保云數(shù)據(jù)的安全，這種依托于相關安全法則的方法信任度較高。但是對于現(xiàn)階段的云計算來說，誰控制了計算機基礎設施，誰就有話語權。對于公有云來說，只有盡可能降低基礎設施持有者的權限，才能有效降低風險系數(shù)；而私有云因為計算機基礎設施主要存在于私有者手中，所以難免存在額外的風險。
2、云計算時代網(wǎng)絡攻擊形式多樣化。在傳統(tǒng)的互聯(lián)網(wǎng)時代，網(wǎng)絡攻擊的主要形式無非黑客、木馬以及病毒三種，但是在云計算時代，伴隨著信息技術的進步，互聯(lián)網(wǎng)與光纖的逐步升級，服務形式多樣化導致網(wǎng)絡攻擊的形式也呈現(xiàn)出多樣化的局面。當前時期，用戶終端登錄的方式變得多種多樣，不論在電腦端還是移動端，都給網(wǎng)絡病毒的傳播提供了更加寬廣與多樣的渠道，其所造成的影響也日趨嚴重。
3、云計算時代的網(wǎng)絡安全威脅智能化。隨著分布式移動網(wǎng)絡、云計算技術以及移動終端設備的不斷深入發(fā)展，潛伏于網(wǎng)絡中的木馬、黑客和病毒等威脅、攻擊性進一步提高。隨著技術的提升，現(xiàn)階段的網(wǎng)絡威脅智能化的程度逐步加深，潛伏時間長、危害更深、破壞更加嚴重等，嚴重影響了網(wǎng)絡信息、數(shù)據(jù)等內(nèi)容的存儲與保護。
4、數(shù)據(jù)審計環(huán)境更加復雜。在云計算時代，數(shù)據(jù)審計所面臨的環(huán)境更加復雜，許多企業(yè)員工因為非專業(yè)出身，可能存在操作不當?shù)膯栴}，這就給網(wǎng)絡攻擊帶來了可能性。當前時期的數(shù)據(jù)審計所面臨的威脅也比較多，諸如網(wǎng)絡數(shù)據(jù)丟失、設備損壞、網(wǎng)絡日志篡改乃至拒絕服務等，給數(shù)據(jù)審計帶來不便。
二、云計算時代網(wǎng)絡安全防御措施探討
1、打造安全域。所謂安全域，就是以云計算中的各個實體為基礎建立起來的一個較為安全的信任關系，通過這個關系利用PKI與LDAP進行病毒防御。在這個安全域系統(tǒng)中，通常存在一個結構合法的框架，其作用就是確保系統(tǒng)與組織間存在的關系獲得授權與保證。安全域的存在可以有效避免病毒攻擊的威脅，域中的各個子云之間存在獨立性，在獲得允許后利用標準接口就可以實現(xiàn)聯(lián)合。
2、完善網(wǎng)絡安全預警機制。主要包括網(wǎng)絡行為預警以及網(wǎng)絡攻擊趨勢預警、網(wǎng)絡漏洞預警等形式，可以極大提高網(wǎng)絡數(shù)據(jù)抵御攻擊、威脅的系數(shù)。網(wǎng)絡行為預警可以明確、清晰地看到網(wǎng)絡數(shù)據(jù)流，便于查找出潛伏的網(wǎng)絡攻擊和危險行為，便于及時報警；網(wǎng)絡漏洞預警可以及時將網(wǎng)絡操作中不當行為篩選出來，便于進行系統(tǒng)的升級與修復。總而言之，網(wǎng)絡安全預警機制的建立與完善可以極大的提高云計算時代整個網(wǎng)絡系統(tǒng)的安全性，以更加主動的方式保障網(wǎng)絡安全。
3、強化網(wǎng)絡安全監(jiān)測與保護。網(wǎng)絡安全監(jiān)測是對病毒與風險進行主動防御的措施，主要技術有網(wǎng)絡實時監(jiān)控技術、掃描技術、木馬入侵檢測技術等。網(wǎng)絡安全保護措施主要有安裝殺毒軟件、安裝網(wǎng)絡防火墻以及建立虛擬專用網(wǎng)絡等方式。前者可以有效避免網(wǎng)絡漏洞的存在，并能及時對攻擊數(shù)據(jù)流進行分析，實現(xiàn)主動防御；后者可以有效減少網(wǎng)絡攻擊行為的發(fā)生，保障網(wǎng)絡數(shù)據(jù)的安全與機密。除此之外，像是網(wǎng)絡安全響應、網(wǎng)絡恢復等技術也是其中較為常見的技術。
4、通過數(shù)據(jù)挖掘技術強化數(shù)據(jù)審計。云計算時代下，要想強化安全審計，就可以引入數(shù)據(jù)挖掘技術，分析數(shù)據(jù)中可能存在的異常、非法行為乃至攻擊數(shù)據(jù)等。這樣一來就能夠提高數(shù)據(jù)審計的精細度與安全性，保障數(shù)據(jù)審計的順利進行。
結語：綜上所述，在云計算時代，網(wǎng)絡安全更容易受到攻擊與威脅，攻擊方式與手段也日趨多樣化與智能化。如果不加以重視，那么具有高集成性的云計算服務系統(tǒng)則將遭受重大破壞。為此，我們必須分析當前網(wǎng)絡安全所面臨的威脅，有針對性地找到解決措施，只有這樣才能保障網(wǎng)絡安全，推動云計算的進一步發(fā)展。
參 考 文 獻
[1] 杜蕓.當前云計算安全關鍵問題及防范措施探討[J].電子技術與軟件工程，2016（03）.
摘要：從系統(tǒng)的、整體的、動態(tài)的角度，參照國家對主機審計產(chǎn)品的技術要求和對部分主機審計軟件的了解，結合實際的終端信息安全管理需求，從體系架構、安全策略管理、審計主機范圍、主機行為監(jiān)控、綜合審計及處理措施等方面提出主機審計系統(tǒng)的設計思想，達到對終端用戶的有效管理和控制。
關鍵詞：網(wǎng)絡；安全審計；主機審計；系統(tǒng)設計
1引言
隨著網(wǎng)絡與信息系統(tǒng)的廣泛使用，網(wǎng)絡與信息系統(tǒng)安全問題逐漸成為人們關注的焦點。
網(wǎng)與因特網(wǎng)之間一般采取了物理隔離的安全措施，在一定程度上保證了內(nèi)部網(wǎng)絡的安全性。然而，網(wǎng)絡安全管理人員仍然會對所管理網(wǎng)絡的安全狀況感到擔憂，因為整個網(wǎng)絡安全的薄弱環(huán)節(jié)往往出現(xiàn)在終端用戶。網(wǎng)絡安全存在著“木桶”效應，單個用戶計算機的安全性不足時刻威脅著整個網(wǎng)絡的安全[1]。如何加強對終端用戶計算機的安全管理成為一個急待解決的問題。
本文從系統(tǒng)的、整體的、動態(tài)的角度，參照國家對安全審計產(chǎn)品的技術要求和對部分主機審計軟件的了解，結合實際的信息安全管理需求，討論主機審計系統(tǒng)的設計，達到對終端用戶的有效管理和控制。
2安全審計概念。
計算機網(wǎng)絡信息系統(tǒng)中信息的機密性、完整性、可控性、可用性和不可否認性，簡稱“五性”，安全審計是這“五性”的重要保障之一[2]。
凡是對于網(wǎng)絡信息系統(tǒng)的薄弱環(huán)節(jié)進行測試、評估和分析，以找到極佳途徑在最大限度保障安全的基礎上使得業(yè)務正常運行的一切行為和手段，都可以叫做安全審計[3]。
傳統(tǒng)的安全審計多為“日志記錄”，注重事后的審計，強調(diào)審計的威懾作用和安全事件的可核查性。隨著國家信息安全政策的改變，美國首先在信息保障技術框架（IATF）中提出在信息基礎設置中進行所謂“深層防御策略（Defense2in2DepthStrategy）”，對安全審計系統(tǒng)提出了參與主動保護和主動響應的要求[4]。這就是現(xiàn)代網(wǎng)絡安全審計的雛形，突破了以往“日志記錄”
等淺層次的安全審計概念，是全方位、分布式、多層次的強審計概念，符合信息保障技術框架提出的保護、檢測、反應和恢復（PDRR）動態(tài)過程的要求，在提高審計廣度和深度的基礎上，做到對信息的主動保護和主動響應。
3主機審計系統(tǒng)設計。
安全審計從技術上分為網(wǎng)絡審計、數(shù)據(jù)庫審計、主機審計、應用審計和綜合審計。主機審計就是獲取、記錄被審計主機的狀態(tài)信息和敏感操作，并從已有的主機系統(tǒng)審計記錄中提取信息，依據(jù)審計規(guī)則分析判斷是否有違規(guī)行為。
一般網(wǎng)絡系統(tǒng)的主機審計多采用傳統(tǒng)的審計，系統(tǒng)的主機審計應采用現(xiàn)代綜合審計，做到對信息的主動保護和主動響應。因此，網(wǎng)絡的主機審計在設計時就應該全方位進行考慮。
3.1體系架構。
主機審計系統(tǒng)由控制中心、受控端、管理端等三部分組成。管理端和控制中心間為B/S架構，管理端通過瀏覽器訪問控制中心。對于管理端，其操作系統(tǒng)應不限于Windows,瀏覽器也不是只有IE。管理端地位重要，應有一定保護措施，同時管理端和控制中心的通訊應有安全保障，可考慮隔離措施和SHTTP協(xié)議。
主機審計能夠分不同的角色來使用，至少劃分安全策略管理員、審計管理員、系統(tǒng)管理員。
安全策略管理員按照制定的監(jiān)控審計策略進行實施；審計管理員負責定期審計收集的信息，根據(jù)策略判斷用戶行為（包括三個管理員的行為）是否違規(guī)，出審計報告；系統(tǒng)管理員負責分配安全策略管理員和審計管理員的權限。三員的任何操作系統(tǒng)有相應記錄，對系統(tǒng)的操作互相配合，同時互相監(jiān)督，既方便管理，又保證整個監(jiān)控體系和系統(tǒng)本身的安全。控制中心是審計系統(tǒng)的核心，所有信息都保存在控制中心。因此，控制中心的操作系統(tǒng)和數(shù)據(jù)庫最好是國內(nèi)自己研發(fā)的。控制中心的存儲空間到一定限額時報警，提醒管理員及時備份并刪除信息，保證審計系統(tǒng)能夠采集新的信息。
3.2安全策略管理。
不同的安全策略得到的審計信息不同。安全策略與管理策略緊密掛鉤，體現(xiàn)安全管理意志。在審計系統(tǒng)上實施安全策略前，應根據(jù)安全管理思想，結合審計系統(tǒng)能夠?qū)崿F(xiàn)的技術途徑，制定詳細的安全策略，由安全員按照安全策略具體實施。如安全策略可以分部門、分小組制定并執(zhí)行。安全策略越完善，審計越徹底，越能反映主機的安全狀態(tài)。
主機審計的安全策略由控制中心統(tǒng)一管理，策略發(fā)放采取推拉結合的方式，即由控制中心向受控端推送策略和受控端向控制中心拉策略的方式。當安全策略發(fā)生更改時，控制中心可以及時將策略發(fā)給受控端。但是，當受控端安裝了防火墻時，推送方式將受阻，安全策略發(fā)送不到受控端。由受控端向控制中心定期拉策略，可以保證受控端和控制中心的通訊不會因為安裝個人防火墻或其他認證保護措施而中斷。聯(lián)網(wǎng)主機（服務器、聯(lián)網(wǎng)PC機）通過網(wǎng)絡接收控制中心的管理策略向控制中心傳遞審計信息。單機（桌面PC或筆記本）通過外置磁介質(zhì)（如U盤、移動硬盤）接收控制中心管理策略。審計信息存放在主機內(nèi)，由管理員定期通過外置磁介質(zhì)將審計信息傳遞給控制中心。所有通訊采用SSL加密方式傳輸，確保數(shù)據(jù)在傳輸過程中不會被篡改或欺騙。
為了防止受控端脫離控制中心管理，受控端程序應由安全員統(tǒng)一安裝在受控主機，并與受控主機的網(wǎng)卡地址、IP地址綁定。該程序做到不可隨意卸載，不能隨意關閉審計服務，且不影響受控端的運行性能。受控端一旦安裝受控程序，只有重裝操作系統(tǒng)或由安全員卸載，才能脫離控制中心的管理。聯(lián)網(wǎng)時自動將信息傳到控制中心，以保證審計服務不會被繞過。
3.3審計主機范圍。
信息系統(tǒng)中的主機有聯(lián)網(wǎng)主機、單機等。常用操作系統(tǒng)包括Windows98,Windows2000,WindowsXP,Linux,Unix等。主機審計系統(tǒng)的受控端支持裝有不同操作系統(tǒng)的聯(lián)網(wǎng)主機、單機等，實現(xiàn)使用同一軟件解決聯(lián)網(wǎng)機、單機、筆記本的審計問題。
根據(jù)國家有關規(guī)定，信息系統(tǒng)劃分為不同安全域。安全域可通過劃分虛擬網(wǎng)實現(xiàn)，也可通過設置安全隔離設備（如防火墻）實現(xiàn)。主機審計系統(tǒng)應考慮不同安全域中主機的管理和控制，即能夠?qū)Σ煌W(wǎng)段的受控端和安裝了防火墻的受控端進行控制并將信息收集到控制中心，以便統(tǒng)一進行審計。同時能給出簡單網(wǎng)絡拓撲，為管理人員提供方便。
3.4主機行為監(jiān)控。
一般計算機使用人員對計算機軟硬件尤其是信息安全知識了解不多，不清楚計算機的安全狀態(tài)。主機審計系統(tǒng)的受控端軟件應具有主機安全狀態(tài)自檢功能，主要用于檢查終端的安全策略執(zhí)行情況，包括補丁安裝、弱口令、軟件安裝、殺毒軟件安裝等，形成檢查報告，讓使用人員對本機的安全狀況有一個清楚的認識，從而有針對性地采取措施。自檢功能可由使用人員自行開啟或關閉。檢查報告上傳給控制中心。
主機審計系統(tǒng)對使用受控端主機人員的行為進行限制、監(jiān)控和記錄，包括對文檔的修改、拷貝、打印的監(jiān)控和記錄，撥號上網(wǎng)行為的監(jiān)控和記錄，各種外置接口的禁止或啟用（并口、串口、USB接口等）,對USB設備進行分類管理，如USB存儲設備（U盤，活動硬盤）、USB輸入設備（USB鍵盤、鼠標）、USB2KEY以及自定義設備。通過分類和靈活設置，增強實用性，對受控主機添加和刪除設備進行監(jiān)控和記錄，對未安裝受控端的主機接入網(wǎng)絡拒絕并報警，防止非法主機的接入。
主機審計系統(tǒng)對接入計算機的存儲介質(zhì)進行認證、控制和報警。做到經(jīng)過認證的合法介質(zhì)可以從主機拷貝信息；未通過認證的非法介質(zhì)只能將信息拷入主機內(nèi)，不能從主機拷出信息到介質(zhì)內(nèi)，否則產(chǎn)生報警信息，防止信息被有意或者無意從存儲設備（尤其是移動存儲設備）泄漏出去。在認證時，把介質(zhì)分類標識為非密、秘密、機密。當合法介質(zhì)從主機拷貝信息時，判斷信息密級（國家有關部門規(guī)定，信息必須有密級標識）,拒絕低密級介質(zhì)拷貝高密級信息。
在認證時，把移動介質(zhì)編號，編號與使用人員對應。移動介質(zhì)接入主機操作時記錄下移動介質(zhì)編號，以便審計時介質(zhì)與人對應。信息被拷貝時會自動加密存儲在移動介質(zhì)上，加密存儲在移動介質(zhì)上的信息也只能在裝有受控端的主機上讀寫，讀寫時自動解密。認證信息只有在移動介質(zhì)被格式化時才能清除，否則無法刪除。有防止系統(tǒng)自動讀取介質(zhì)內(nèi)文檔的功能，避免移動介質(zhì)接在計算機上（無論是合法還是非法計算機）被系統(tǒng)自動將所有文檔讀到計算機上。
3.5綜合審計及處理措施。
要達到綜合審計，主機審計系統(tǒng)需要通過標準接口對多種類型、多個品牌的安全產(chǎn)品進行管理，如主機IDS、主機防火墻、防病毒軟件等，將這些安全產(chǎn)品的日志、安全事件集中收集管理，實現(xiàn)日志的集中分析、審計與報告。同時，通過對安全事件的關聯(lián)分析，發(fā)現(xiàn)潛在的攻擊征兆和安全趨勢，確保任何安全事件、事故得到及時的響應和處理。把主機上一個個原本分離的網(wǎng)絡安全產(chǎn)品聯(lián)結成一個有機協(xié)作的整體，實現(xiàn)主機安全管理過程實時狀態(tài)監(jiān)測、動態(tài)策略調(diào)整、綜合安全審計、數(shù)據(jù)關聯(lián)處理以及恰當及時的威脅響應，從而有效提升用戶主機的可管理性和安全水平，為整體安全策略制定和實施提供可靠依據(jù)。
系統(tǒng)的安全隱患可以從審計報告反映出來，因此審計系統(tǒng)的審計報告是很重要的。審計報告應將收集到的所有信息綜合審計，按要求顯示并打印出來，能用圖形說明問題，能按標準格式（WORD、HTML、文本文件等）輸出。但是，審計信息數(shù)據(jù)多，直接將收集的信息分類整理形成的報告不能很好的說明問題，還應配合審計員的人工分析。這些信息可以由審計員定期從控制中心數(shù)據(jù)庫備份恢復。備份的數(shù)據(jù)自動加密，恢復時自動解密。審計信息也可以刪除，但是刪除操作只能由審計員發(fā)起，經(jīng)安全員確認后才執(zhí)行，以保證審計信息的安全性、完整性。
審計系統(tǒng)發(fā)現(xiàn)問題的修復措施一般有打補丁、停止服務、升級或更換程序、去除特洛伊等后門程序、修改配置和權限、專門的解決方案等。為了保證所有主機都能得到有效地處理，通過控制中心統(tǒng)一向受控端發(fā)送軟件升級包、軟件補丁。發(fā)送時針對不同版本操作系統(tǒng)，由受控端自行選擇是否自動執(zhí)行。因為有些軟件升級包、軟件補丁與應用程序有沖突，會影響終端用戶的工作。針對這種情況，只能采取專門的解決方案。
在復雜的網(wǎng)絡環(huán)境中，一個網(wǎng)往往由不同的操作系統(tǒng)、服務器，防火墻和入侵檢測等眾多的安全產(chǎn)品組成。網(wǎng)絡一旦遭受攻擊后，專業(yè)人員會把不同日志系統(tǒng)里的日志提取出來進行分析。不同系統(tǒng)的時間沒有經(jīng)過任何校準，會不必要地增加日志分析人員的工作量。系統(tǒng)應提供全網(wǎng)統(tǒng)一的時鐘服務，將控制中心設置為標準時間，受控端在接收管理的同時，與控制中心保持時間同步，實現(xiàn)審計系統(tǒng)的時間一致性，從而提供有效的入侵檢測和事后追查機制。
4結束語
系統(tǒng)的終端安全管理是一個非常重要的問題，也是一個復雜的問題，涉及到多方面的因素。本文從體系架構、安全策略管理、審計主機范圍、主機行為監(jiān)控、綜合審計及處理措施等方面提出主機審計系統(tǒng)的設計思想，旨在與廣大同行交流，共同推進主機審計系統(tǒng)的開發(fā)和研究，最終開發(fā)出一個全方位的符合系統(tǒng)終端安全管理需求的系統(tǒng)。
參考文獻：
[1]網(wǎng)絡安全監(jiān)控平臺技術白皮書。北京理工大學信息安全與對抗技術研究中心，2005.
【關鍵詞】安全管理 財務結算 建設 網(wǎng)絡
【中圖分類號】TP311【文獻標識碼】A【文章編號】1672-5158（2013）02-0057-02
一、單位網(wǎng)絡信息安全現(xiàn)狀
經(jīng)過多年的信息化建設，財務結算中心已建成千兆互聯(lián)到終端桌面，所使用的主要財務軟件如下：
（1）中原油田財務結算系統(tǒng)（安裝該系統(tǒng)僅為查詢歷史財務數(shù)據(jù)）。
（2）中國石化資金集中管理信息系統(tǒng)。
（3）中國石化會計集中管理信息系統(tǒng)。
（4）中原油田關聯(lián)交易系統(tǒng)。
在網(wǎng)絡應用方面，與日常工作密切相關的財務應用系統(tǒng)相繼投入使用，網(wǎng)絡信息安全系統(tǒng)的建設卻相對薄弱。
1、網(wǎng)絡系統(tǒng)安全現(xiàn)狀
近幾年，隨著局域網(wǎng)規(guī)模的日益擴大，網(wǎng)絡結構及設備日趨復雜，網(wǎng)絡病毒、黑客攻擊、網(wǎng)絡欺騙、IP盜用、非法接入等現(xiàn)象，給中心網(wǎng)絡的管理、維護帶來了前所未有的挑戰(zhàn)。中心網(wǎng)絡、員工微機經(jīng)常受到油田局域網(wǎng)以及來自大網(wǎng)非法連接的攻擊，IP地址沖突時有發(fā)生。ARP攻擊導致網(wǎng)絡中斷、甚至癱瘓；病毒、蠕蟲、木馬、惡意代碼等則可能通過網(wǎng)絡傳遞進來，造成操作系統(tǒng)崩潰、財務數(shù)據(jù)丟失、泄漏。而各類財務軟件的日常應用，必然要進行各種外連和數(shù)據(jù)傳遞。如何進行安全地連接網(wǎng)絡、傳輸數(shù)據(jù)，日益成為中心亟待解決的問題。
2、網(wǎng)絡信息監(jiān)控狀況
對于互聯(lián)網(wǎng)出口的外發(fā)信息無法進行記錄和查詢，缺乏有效的信息審計和日志保存手段，從而不能有效貫徹和滿足油田以及國家關于企業(yè)網(wǎng)絡安全管理制度的落實。
來自網(wǎng)絡的安全威脅日益增多，很多威脅并不是以網(wǎng)絡入侵的形式進行的，這些威脅事件多數(shù)是來自于油田局域網(wǎng)內(nèi)部合法用戶的誤操作或惡意操作，僅靠系統(tǒng)自身的日志功能并不能滿足對這些網(wǎng)絡安全事件的審計要求，網(wǎng)絡安全審計通常要求專門細致的協(xié)議分析技術，完整的跟蹤能力和數(shù)據(jù)查詢過程回放等功能實現(xiàn)。
3、上網(wǎng)行為管理能力
中心網(wǎng)絡資源能否合理使用，帶寬是否會被非工作需要的網(wǎng)絡應用占用，日常工作所需的網(wǎng)絡流量和穩(wěn)定性能否得到保障，當網(wǎng)絡出現(xiàn)擁堵，或者異常流量、異常攻擊爆發(fā)時，是否能及時分析、排查流量使用情況并幾時進行有效控制，這些狀況主要表現(xiàn)為：網(wǎng)絡用戶非工作范疇（用于娛樂）的網(wǎng)絡應用流量極大，如：各類多線程P2P軟件下載、大型網(wǎng)絡游戲、P2P類的音視頻、網(wǎng)絡電視等應用。
二、中心網(wǎng)絡信息安全建設目標
為了確保信息資產(chǎn)的價值不受侵犯，保證信息資產(chǎn)擁有者面臨最小的安全風險和獲取最大的安全利益，使包含物理環(huán)境、網(wǎng)絡通訊、操作系統(tǒng)、應用平臺和信息數(shù)據(jù)等各個層面在內(nèi)的整體網(wǎng)絡信息系統(tǒng)具有抵御各種安全威脅的能力，我們制訂了如下的安全目標：
1、保密性
確保各類財務數(shù)據(jù)不會泄漏給任何未經(jīng)授權的個人和實體，或供其使用。
2、可用性
確保財務信息系統(tǒng)正常運轉(zhuǎn)，并保證合法用戶對財務信息的使用不會被不正當?shù)鼐芙^。
3、完整性
防止財務信息被未經(jīng)授權的篡改，保證真實的信息從真實的信源無失真地到達真實的信宿。
4、真實性
應能對通訊實體所宣稱身份的真實性進行準確鑒別。
5、可控性
保證財務數(shù)據(jù)不被非法訪問及非授權訪問，并能夠控制使用資源的人或?qū)嶓w對資源的使用方式。
6、不可抵賴性
應建立有效的責任機制，防止實體否認其行為。
7、可審查性
應能記錄一個實體的全部行為，為出現(xiàn)的網(wǎng)絡安全問題提供有效的調(diào)查依據(jù)和手段。
8、可管理性
應提供統(tǒng)一有效的安全管理機制和管理規(guī)章制度，這是確保信息系統(tǒng)各項安全性能有效實現(xiàn)的根本保障，同時合理有效的安全管理可以在一定程度上彌補技術上無法實現(xiàn)的安全目標。
三、中心網(wǎng)絡信息安全建設方案
通過上述對中心網(wǎng)絡的現(xiàn)狀及安全需求分析，并結合油田網(wǎng)絡安全與信息安全的具體要求，我們建議實施部署網(wǎng)絡出口防火墻系統(tǒng)、網(wǎng)絡日志審計系統(tǒng)、網(wǎng)絡訪問內(nèi)容和行為審計系統(tǒng)。
1、網(wǎng)絡出口防火墻系統(tǒng)
防火墻是基于網(wǎng)絡處理器技術（NP）的硬件高速狀態(tài)防火墻，不僅支持豐富的協(xié)議狀態(tài)檢測及地址轉(zhuǎn)換功能，而且具備強大的攻擊防范能力，提供靜態(tài)和動態(tài)黑名單過濾等特性，可提供豐富的統(tǒng)計分析功能和日志。能有效實現(xiàn)過濾垃圾殘包、攔截惡意代碼，保護網(wǎng)絡數(shù)據(jù)和資源的安全。
將防火墻透明接入到原有網(wǎng)絡中的出口處，采用應用層透明的方式對用戶對外網(wǎng)的訪問進行應用層解析控制。在防火墻上劃分兩個區(qū)域：外網(wǎng)區(qū)域、內(nèi)網(wǎng)區(qū)域，防火墻可以橋接入到原有的用戶網(wǎng)絡中，或者接到核心交換機上。保證所有的數(shù)據(jù)流經(jīng)過防火墻以便完成應用層的過濾。
2、部署網(wǎng)絡訪問內(nèi)容和行為審計系統(tǒng)
安全審計系統(tǒng)是一個安全的網(wǎng)絡必須支持的功能特性，審計是記錄用戶使用計算機網(wǎng)絡系統(tǒng)所訪問的全部資源及訪問的過程，它是提高網(wǎng)絡安全的重要工具，對于確定是否有網(wǎng)絡攻擊的情況，確定問題和攻擊源很重要。而行為審計系統(tǒng)通過對網(wǎng)絡信息內(nèi)容的完全監(jiān)控和記錄，為網(wǎng)絡管理員或安全審計員提供對網(wǎng)絡信息泄密事件進行有效的監(jiān)控和取證；也可以完全掌握員工上網(wǎng)情況，比如是否在工作時間上網(wǎng)沖浪、網(wǎng)上聊天、是否訪問內(nèi)容不健康的網(wǎng)站、是否通過網(wǎng)絡泄漏了機密信息等等，對于不符合安全策略的網(wǎng)上行為進行記錄，并可對這些行為進行回放，進行跟蹤和審計。
3、部署網(wǎng)絡日志審計系統(tǒng)
日志審計系統(tǒng)為不同的網(wǎng)絡設備提供了統(tǒng)一的日志管理分析平臺，打破了企業(yè)中不同網(wǎng)絡設備之間存在的信息鴻溝。系統(tǒng)提供了強大監(jiān)控能力，實現(xiàn)了從網(wǎng)絡到設備直至應用系統(tǒng)的監(jiān)控。在對日志信息的集中、關聯(lián)分析的基礎上，有效地實現(xiàn)了全網(wǎng)的安全預警、入侵行為的實時發(fā)現(xiàn)、入侵事件動態(tài)響應，通過與其它安全設備的聯(lián)動來真正實現(xiàn)動態(tài)防御。
部署日志審計系統(tǒng)主要功能：1）海量的數(shù)據(jù)日志：系統(tǒng)全面支持安全設備 （如防火墻，IDS、AV）、網(wǎng)絡設備 （如Router、Switch）、應用系統(tǒng) （如WEB、Mail、Ftp、Database）、操作系統(tǒng) （如Windows、Linux、Unix） 等多種產(chǎn)品及系統(tǒng)的日志數(shù)據(jù)的采集和分析。2）安全狀況的全面解析：幫助管理員對網(wǎng)絡事件進行深度的挖掘分析，從不同角度進行網(wǎng)絡事件的可視化分析。
四、結束語
經(jīng)過多方論證，上述的網(wǎng)絡信息安全建設方案架構齊全，是合理的、先進并且可靠的。該安全系統(tǒng)能夠針對我單位出現(xiàn)的突發(fā)網(wǎng)絡問題，迅速地進行故障定位并實施故障處理。使網(wǎng)絡安全管理變被動為主動，能夠極大地提高網(wǎng)管人員的工作效率；同時通過及時監(jiān)控審計，大幅度減少系統(tǒng)網(wǎng)絡故障和安全隱患，從而使我單位的信息化建設邁上一個新的臺階。相信通過以上三套系統(tǒng)的部署，能夠極大地完善網(wǎng)絡安全體系，更好地為中心財務信息網(wǎng)絡系統(tǒng)保駕護航。
近日，衛(wèi)士通公司結合網(wǎng)絡安全技術發(fā)展現(xiàn)狀及市場需求，提出了開發(fā)新一代安全網(wǎng)關(New-qeneration seCur5ty GateWay，NGsG)的指導思想：采用內(nèi)容加速硬件，在保證網(wǎng)絡通信質(zhì)量的前提下，增加內(nèi)容安全功能，提升安全的控制粒度和廣度，保證內(nèi)容安全和網(wǎng)絡安全，同時提供靈活的管理和網(wǎng)絡部署特性。
新一代安全網(wǎng)關在內(nèi)容安全方面以內(nèi)容過濾、行為監(jiān)控功能為主，提供Web頁面的內(nèi)容過濾、郵件內(nèi)容過濾、URL地址過濾、病毒過濾、垃圾郵件過濾、行為識別與控制(對QQ、MSN、SKYPE、BT、edonkey、迅雷等常用的IM工具和P2P工具的監(jiān)控等)、行為記錄與審計等功能；在網(wǎng)絡安全方面提供訪問控制、流量控制、NAT、IPSECVPN、SSL VPN、IP MAC綁定、身份認證功能等。在管理方面采用靈活多樣的方式，支持集中和分布式相結合的部署方式，可以通過安全管理平臺進行統(tǒng)一管理，也可以通過B/S方式進行無客戶端的管理。
新一代安全網(wǎng)關(NGsG)的處理機制
NGSG包含了如圖1所示的組成部分。整個系統(tǒng)采用層次結構，在通用的安全架構基礎上增加了內(nèi)容過濾加速模塊和密碼加速模塊。
采用通用X86硬件平臺架構，當添加大量內(nèi)容過濾規(guī)則、開啟網(wǎng)絡行為識別與記錄后，系統(tǒng)的處理能力就會急劇下降，會嚴重影響網(wǎng)絡的通信質(zhì)量，但不啟用這些功能又會形成嚴重的安全隱患。解決方法就是采用基于全包多任務并行內(nèi)容查詢與過濾的加速模塊，其簡單結構如圖2。它不僅能夠?qū)崿F(xiàn)常用的基于協(xié)議、IP地址、服務端口的訪問控制功能，還能夠?qū)崿F(xiàn)基于報文特征和內(nèi)容字段的全包查詢功能，將CPU從繁忙的規(guī)則匹配、內(nèi)容匹配中釋放出來，更好地為復雜的分析、處理和調(diào)度功能服務。網(wǎng)絡報文在該系統(tǒng)中的處理過程如下：CPU將收到的報文通過Memory和SCFC(special ContentFilter Channels)發(fā)送給CFC(ContentFilter Core)，CFC將查詢的結果信息通過SCFC返回給CPU，根據(jù)結果信息，CPU對報文作后續(xù)的處理(狀態(tài)刷新、地址轉(zhuǎn)換、記錄日志等)，高速地完成報文轉(zhuǎn)發(fā)。
強大的加解密功能也是這款設備的亮點之一。結合IP加密處理技術，實現(xiàn)了內(nèi)容過濾模塊與IP加密模塊的有機融合，達到內(nèi)容過濾與IP加密雙加速的目的，在充分保證內(nèi)容安全和通信安全的前提下提供了高質(zhì)量的通信帶寬保障。為了保證處理的效率，內(nèi)容過濾加速模塊只對加密前和解密后的報文作內(nèi)容安全處理。
如圖3是一個NGSG的典型應用場景。Intranetl和Intranet2是分布于不同地域的有上下級關系的內(nèi)部網(wǎng)絡，分別部署了NGSGl和NGSG2，都安裝了統(tǒng)一安全管理平臺和行為記錄與審計服務器。NGSGl與NGSG2之間通過建立高速的VPN通信通道，保證兩個內(nèi)網(wǎng)間的業(yè)務通信過程安全(機密、完整、有效)；配合高速內(nèi)容過濾模塊，保證內(nèi)網(wǎng)與內(nèi)網(wǎng)間、內(nèi)網(wǎng)與外網(wǎng)間的內(nèi)容安全，同時保證內(nèi)部的重要內(nèi)容通過網(wǎng)絡可控傳送。NGSG2行為記錄信息可發(fā)送給上級行為記錄與審計服務器NGSGl，同時本地保留相同記錄信息，保證上級對下級的上網(wǎng)行為進行監(jiān)視、審計和管理。同時，上級通過安全管理平臺，可以對下級NGSG2進行配置管理或狀態(tài)查詢等操作，保證了上級可對下級上網(wǎng)行為進行控制。
NGSG提供了完善而快速的網(wǎng)絡安全、內(nèi)容安全功能，還提供詳細的內(nèi)容、行為記錄與審計功能，不但能保障網(wǎng)絡安全和內(nèi)容安全，而其還能遵從相關的法規(guī)要求。NGSG將網(wǎng)絡安全與內(nèi)容安全高性能的有機地融合，為客戶提供了高附加值的信息安全產(chǎn)品和解決方案，對于日趨復雜的信息安全需求具有重大意義。
論文摘要：如何有效的收集網(wǎng)絡應用服務的基本信息，是服務審計系統(tǒng)的一個難點．采用接人控制的方式，在每臺服務器上強制安裝信息采集控件，用于對各種網(wǎng)絡應用服務信息進行采集并上報給審計服務器進行審計，用戶接入網(wǎng)絡前必須經(jīng)過應用服務的審計，從而對眾多的應用服務進行有效的管理．
隨著Internet的發(fā)展，各種各樣的網(wǎng)絡應用服務也層出不窮，傳統(tǒng)的如DNS、 Email、 Web和FTP等，時髦的如P2P、網(wǎng)絡證書、網(wǎng)絡電話和軟件倉庫等.面對如此眾多的網(wǎng)絡服務，怎樣進行有效、規(guī)范的管理?怎么確保網(wǎng)絡應用服務的健康、有序的發(fā)展?這就是擺在各個網(wǎng)絡信息管理員面前迫切的問題.網(wǎng)絡信息服務審計系統(tǒng)可以解決這個難題，同時也是網(wǎng)絡安全研究的一個熱點.
本文結合高校的特色和網(wǎng)絡應用的實際情況，對網(wǎng)絡應用服務管理進行了研究，提出了采用接人控制的網(wǎng)絡應用服務審計系統(tǒng)的解決方案，通過實踐證明，該系統(tǒng)對高校的應用服務系統(tǒng)是一種切實有效的管理方式.
1網(wǎng)絡服務審計
1. 1什么是網(wǎng)絡服務審計
“審計”的英文單詞為“Audit"，可解釋為“查賬”，兼有“旁聽”的涵義.由此可見，早期的審計就是審查會計賬目，與會計賬目密切相關.審計發(fā)展至今，早已超越了查賬的范疇，涉及到對各項工作的經(jīng)濟性、效率性、合法性和效果性的查核，其基本目是確定被審查對象與所建立的標準之間的一致或不一致的地方.
網(wǎng)絡服務審計是指對網(wǎng)絡服務提供者所提供的服務是否遵守有關的法律和規(guī)章制度、是否登記備案、其服務內(nèi)容是否超越所登記備案的范圍、其是否已有效地達到了預期的結果等進行的檢查與核查行為.
1. 2網(wǎng)絡服務審計的必要性
傳統(tǒng)的網(wǎng)絡服務審計可能非常耗費時間，通過對計算機逐個進行端口掃描、漏洞掃描或者鏡像監(jiān)聽，獲得所需要的信息后進行審計和核查.但如果計算機更改服務提供的端口號、用戶防火墻屏蔽了端口掃描或者采用動態(tài)端口提供服務，那么就無法及時獲得這些必要的信息了.
對網(wǎng)絡信息管理員而言，如何有效的控制網(wǎng)絡中的信息服務、如何掌握信息服務提供者所提供的服務類型是否超越所登記備案的范圍、如何及時掌握統(tǒng)計和分析網(wǎng)絡中信息流的動態(tài)情況等都是一個很繁瑣和復雜的事情.
通過對網(wǎng)絡應用服務的審計，能夠及時獲取服務提供者所提供的網(wǎng)絡應用服務，能夠及時掌握用戶對信息服務的訪問行為，能夠及時發(fā)現(xiàn)有無違規(guī)的信息與訪問，能夠及時發(fā)現(xiàn)涉密信息的泄露和敏感信息的訪問等.
2網(wǎng)絡應用服務審計系統(tǒng)架構
結合高校的特色和網(wǎng)絡應用的實際情況，采用接人控制的網(wǎng)絡應用服務審計系統(tǒng)由三部分組成:
2. 1 IEEE 802. 1 x網(wǎng)絡訪問控制
IEEE 802. I x協(xié)議是基于端口的訪問控制協(xié)議(port based network access control protocol)，主要解決以太網(wǎng)認證和訪問控制方面的問題.目前很多高校校園網(wǎng)都采用802. ix用于對用戶接入校園網(wǎng)的行為進行控制.
在802. 1 x初始狀態(tài)下，以太網(wǎng)交換機上的所有端口處于關閉狀態(tài)，只有802. 1 x數(shù)據(jù)包才能通過，或者只能訪問Guest VLAN內(nèi)的特定網(wǎng)絡資源(如網(wǎng)絡應用服務審計服務器)，而另外的網(wǎng)絡數(shù)據(jù)流都被禁止.當用戶進行802. lx認證時，以太網(wǎng)交換機將用戶名和密碼傳送到后臺的認證服務器上進行驗證.如果用戶名和密碼通過了驗證，則相應的以太網(wǎng)端口打開，允許用戶對網(wǎng)絡的訪問，并部署AAA服務器下發(fā)的訪問控制策略.
802. 1 x主要是解決網(wǎng)絡接人的問題，未通過認證的用戶將無法使用網(wǎng)絡，這樣可以確保接入用戶的合法性.同時，當用戶認證通過后，由服務審計服務器判定該用戶是否安裝Java數(shù)據(jù)采集控件，配合AAA服務器決定用戶是否能夠訪問網(wǎng)絡.
2. 2 Java數(shù)據(jù)采集控件
數(shù)據(jù)采集控件的實現(xiàn)有兩種方式:一是集成到802. lx客戶端中，二是單獨的控件.Java由于其跨平臺、跨操作系統(tǒng)的特性而成為首選.這樣不管用戶使用的是什么操作系統(tǒng)、使用什么軟件提供服務，都能很方便的進行數(shù)據(jù)采集.
Java數(shù)據(jù)采集控件主要完成數(shù)據(jù)采集的工作，當用戶第一次連接網(wǎng)絡時，強制安裝該控件.如果用戶重新安裝操作系統(tǒng)，當用戶再次連接網(wǎng)絡時，也將被強制安裝該控件.
未安裝數(shù)據(jù)采集控件的計算機，即使通過802. 1 x認證，也將只能訪問服務審計服務器，而不能訪問其他的網(wǎng)絡資源.
數(shù)據(jù)采集控件負責采集計算機操作系統(tǒng)類型及版本、開放的端口、提供的服務和流量等信息，并上報給服務審計系統(tǒng).
2. 3服務審計服務器
服務審計服務器是整個系統(tǒng)的核心，主要有三個功能:一是和AAA服務器配合，確保所有接人網(wǎng)絡的計算機合法性，并已安裝數(shù)據(jù)采集控件.二是和Java數(shù)據(jù)采集控件通信，將數(shù)據(jù)采集控件報送的信息存儲到數(shù)據(jù)庫中.三是實現(xiàn)信息服務備案、查詢管理、審計分析、實時審計和統(tǒng)計報表等功能.其中審計分析采用MPMF(multi-priority memory feedback)流水線處理算法}3J，其處理能力可以承載高速網(wǎng)絡的審計處理.
2. 4后臺數(shù)據(jù)庫服務器
數(shù)據(jù)庫服務器可以采用市面上主流的大型數(shù)據(jù)庫管理系統(tǒng)，如()racle， SQL Server， Sybase等，服務審計服務器通過ODBC/JDBC等數(shù)據(jù)訪問接口來無縫地連接這些數(shù)據(jù)庫系統(tǒng).
同時，通過數(shù)據(jù)庫復制來實現(xiàn)數(shù)據(jù)庫的分布和同步，以使網(wǎng)絡應用服務審計系統(tǒng)具備可擴展的數(shù)據(jù)處理能力，保證在網(wǎng)絡流量日益增大的情況下系統(tǒng)可以可靠地運行.
3工作流程
3. 1計算機接入網(wǎng)絡
3. 1. 1 802. lx認證
當計算機發(fā)起802. 1 x認證時，交換機將用戶名和密碼傳送到后臺的AAA服務器，由AAA服務器進行合法性判定.當用戶未通過802. 1 x認證時，對網(wǎng)絡的訪問受限;當用戶通過802. 1 x認證時，還需要由審計服務器進一步確認計算機上是否安裝Java數(shù)據(jù)采集控件.
3. 1. 2 Java數(shù)據(jù)采集控件確認
計算機通過802. 1 x認證后，AAA服務器通知交換機打開端口并部署相應的訪問控制策略，將所有網(wǎng)絡訪問重定向到服務審計服務器.
如果計算機上已經(jīng)安裝Java數(shù)據(jù)采集控件，當檢測到計算機網(wǎng)絡狀態(tài)已連接時，自動向服務審計服務器發(fā)出通知，告知該計算機已接入網(wǎng)絡.服務審計服務器接到通知后，將信息記錄到后臺數(shù)據(jù)庫服務器中，并通知AAA服務器下發(fā)新的訪問控制策略，允許計算機訪問其他的網(wǎng)絡服務.
如果計算機沒有安裝Java數(shù)據(jù)采集控件，服務審計服務器不會收到通知，這時用戶所有的訪問都被重定向到服務審計服務器，而不能訪問其他的網(wǎng)絡服務川.
3. 2網(wǎng)絡應用服務審計數(shù)據(jù)采集
數(shù)據(jù)采集控件定時和服務審計服務器進行通信，將采集的信息上報服務審計服務器.服務審計服務器將這些信息記錄到后臺數(shù)據(jù)庫服務器中，用于后續(xù)的查詢、統(tǒng)計和審計等.
如果服務審計服務器在一定時間內(nèi)未收到數(shù)據(jù)采集控件的通信信息(單次通信超時為60秒，如果連續(xù)5次通信未成功，則視為通信中斷)，服務審計服務器通知AAA服務器斷開該用戶的網(wǎng)絡連接.
采集的審計數(shù)據(jù)一般包括下邊的三個部分:
1)主機識別:連接到網(wǎng)絡上的活動計算機的IP地址、MAC地址、802. 1 x用戶名、交換機管理IP地址和交換機端口等數(shù)據(jù)，這些數(shù)據(jù)可以由802. 1 x服務提供.
2)主機描述:連接到網(wǎng)絡上的活動計算機的操作系統(tǒng)、運行的網(wǎng)絡服務及其版本信息、計算機開放的端口等數(shù)據(jù)，這些數(shù)據(jù)由Java數(shù)據(jù)采集控件提供.
3)服務描述:連接到網(wǎng)絡上的活動計算機的哪些網(wǎng)絡服務處于激活狀態(tài)、流量是多少等數(shù)據(jù)，這些數(shù)據(jù)由Java數(shù)據(jù)采集控件和AAA服務器聯(lián)合提供.
3. 3網(wǎng)絡應用服務審計
網(wǎng)絡應用服務審計系統(tǒng)負責對采集到的信息進行審計，并根據(jù)預定設置，采取相應的措施.
審計可分為三個級別:高優(yōu)先級、中優(yōu)先級和低優(yōu)先級。
高優(yōu)先級審計主要用于網(wǎng)絡中重要服務的審計，包括兩個方面:一是所允許的服務運行是否正常，二是是否有未允許的服務在運行.高敏感度審計發(fā)現(xiàn)網(wǎng)絡中的重要服務出現(xiàn)問題時，會立即以短信方式通知管理員進行處理，從而確保重要服務的正常運行.
中優(yōu)先級審計主要用于網(wǎng)絡中非重要服務的審計，也包括上述兩個方面，但發(fā)現(xiàn)問題時，只是以告警信息或者郵件的方式提示管理員進行處理.
低優(yōu)先級審計則用于網(wǎng)絡中的大部分用戶，著重于信息的收集和保存，以備非實時審計、統(tǒng)計分析用.
為滿足高速網(wǎng)絡中服務審計的需要，采用了MPMF流水線處理算法.MPMF算法根據(jù)審計系統(tǒng)的過程模型以及各個部分的特點，合理劃分各個部分的層次以及優(yōu)先級順序。
3. 4計算機從網(wǎng)絡中退出
當計算機正常從網(wǎng)絡中退出時，數(shù)據(jù)采集插件停止工作，交換機端口恢復到關閉狀態(tài).
當計算機非正常退出時(如突然斷電、計算機死機等)，服務審計服務器在一定時間內(nèi)未收到數(shù)據(jù)采集控件的通信信息(單次通信超時為60秒，如果連續(xù)5次通信未成功，則視為通信中斷)，服務審計服務器通知AAA服務器斷開該用戶的網(wǎng)絡連接，交換機端口恢復到關閉狀態(tài).
關鍵詞：電信集團；運維管理信息系統(tǒng)；設計實現(xiàn)
中圖分類號：TP311 文獻標識碼：A 文章編號：1009-2374（2013）21-0048-03
1 網(wǎng)絡運維管理信息系統(tǒng)的發(fā)展現(xiàn)狀
隨著互聯(lián)網(wǎng)技術的不斷進步，網(wǎng)絡建設的規(guī)模日益擴大，電信集團對于網(wǎng)絡運維的需求也逐漸增多，不止局限于網(wǎng)絡運行的正常穩(wěn)定，還需要增強網(wǎng)絡運行的安全性和可靠性。據(jù)相關調(diào)查研究表明，在企業(yè)網(wǎng)絡安全事故中，75%都是由于企業(yè)內(nèi)部人員對網(wǎng)絡進行了不當操作造成的，包括企業(yè)內(nèi)部人員對網(wǎng)絡的錯誤操作、越權訪問、惡意破壞等等。電信集團作為網(wǎng)絡運營商，需要保證IP承載網(wǎng)運行的安全穩(wěn)定，防止企業(yè)內(nèi)部人員由于錯誤操作給企業(yè)帶來巨大的經(jīng)濟損失，因此，電信集團需要建立起完善的網(wǎng)絡安全審計體系，當企業(yè)內(nèi)部人員對網(wǎng)絡發(fā)起訪問時能夠執(zhí)行嚴格的審計命令。
各大通信集團企業(yè)的網(wǎng)絡運維管理方式主要采用的是SSH管理方式、VNC管理方式和RDP管理方式等等，對網(wǎng)絡核心設備進行相關維護。目前，如何能夠?qū)⑾到y(tǒng)管理員在維護網(wǎng)絡過程中將操作進行記錄，為審計提供明確的依據(jù)，真正提高企業(yè)網(wǎng)絡運維管理的安全性和可靠性，是目前網(wǎng)絡內(nèi)部控制體系建設的重點工作。
無論是電信集團企業(yè)內(nèi)部網(wǎng)絡運維管理人員，還是與第三方合作的網(wǎng)絡運維代管人員，對于網(wǎng)絡的維護大多數(shù)采取的是通過個人賬號登錄到系統(tǒng)內(nèi)部，通過認證之后對網(wǎng)絡進行維護操作。經(jīng)常一個系統(tǒng)賬號由多個網(wǎng)絡運維管理人員共同使用，系統(tǒng)賬號和密碼也不再具有唯一性，制定的賬號密碼策略也很難得到有效執(zhí)行。如果需要對密碼進行修改，必須通知到每個使用該賬號密碼的工作人員，當某個網(wǎng)絡運維管理人員辭職或者調(diào)離部門，系統(tǒng)賬號和密碼就非常容易遭到泄露，增加了企業(yè)內(nèi)部人員的錯誤操作和惡意破壞的可能性，同時也很難追查到責任人。
2 電信集團網(wǎng)絡運維管理信息系統(tǒng)存在的問題
2.1 系統(tǒng)運維管理人員維護困難
由于電信集團網(wǎng)絡系統(tǒng)中包含了大量的網(wǎng)絡設備、主機終端和應用程序等等，分別支持著電信集團的不同業(yè)務，由企業(yè)不同部門人員使用。
2.2 賬號共享存在安全問題
網(wǎng)絡系統(tǒng)中的不同應用程序都有其獨立唯一的賬號密碼體系，但是，企業(yè)為了方便對系統(tǒng)的操作使用，經(jīng)常是由多名員工共同使用一套賬號密碼。
2.3 密碼策略得不到有效執(zhí)行
當企業(yè)員工分配了系統(tǒng)賬號和密碼之后，大多數(shù)員工為了方便使用都將賬號密碼設置成為安全級數(shù)較低的簡單密碼，甚至不對密碼進行任何修改直接使用初始密碼。同時，企業(yè)也沒有采取有效地技術手段來支持密碼策略的執(zhí)行，密碼策略的應用只是一種形式而已。
2.4 系統(tǒng)賬號流程管理薄弱
電信集團的業(yè)務系統(tǒng)非常龐大，用戶的身份與企業(yè)業(yè)務系統(tǒng)的賬號是相互交叉的，用戶與業(yè)務系統(tǒng)之間屬于短連接的方式，經(jīng)常以用戶的姓名作為登陸系統(tǒng)的賬號，這種流程管理使得用戶身份非常混亂，這種多重交叉、錯綜復雜的關系對業(yè)務系統(tǒng)的正常運行帶來了極大影響。
2.5 訪問控制策略過于簡單
電信集團在日常運維管理過程中，沒有設置一個明確的用戶訪問控制策略，當用戶對網(wǎng)絡系統(tǒng)中的某個設備發(fā)起訪問時，運維管理系統(tǒng)不能立刻對其進行鑒別，也沒有完善的技術手段來支持用戶訪問控制策略的有效實施。
2.6 用戶操作缺乏有效審計
如果要保證電信集團各個業(yè)務系統(tǒng)的獨立運行和維護管理，對于每個業(yè)務系統(tǒng)的審計也要使其相互獨立。要保證網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備單獨審計、主機終端單獨審計。當網(wǎng)絡系統(tǒng)發(fā)生安全事故之后，要認真審計每個系統(tǒng)的日志記錄，但是，大多數(shù)情況下雖然能夠定位到具體事故發(fā)生日期，也很難找到具體是哪個賬號實施的破壞行為。而且，由于不同操作系統(tǒng)的日志記錄內(nèi)容和詳細程度并不相同，因此仍然存在較多的漏洞和問題。
3 電信集團網(wǎng)絡運維管理信息系統(tǒng)功能需求分析
電信集團網(wǎng)絡運維管理信息系統(tǒng)集中管理示意圖如圖1所示：
3.1 統(tǒng)一管理和維護系統(tǒng)用戶賬號
在對電信集團實施用戶賬號統(tǒng)一管理之前，對于每個新建立的信息系統(tǒng)都要為其配置一套用戶賬號管理系統(tǒng)，分別由專門的系統(tǒng)管理人員對其進行管理維護。但是，用戶賬號管理系統(tǒng)的建設成本較高，后期維護成本開銷也相對較大，如果能夠建立一套統(tǒng)一的系統(tǒng)賬號管理系統(tǒng)，實現(xiàn)對整個網(wǎng)絡系統(tǒng)中的各種業(yè)務系統(tǒng)賬號進行有效管理，包括對用戶身份的管理、部門信息的管理、合作單位的管理等等，同時為網(wǎng)絡系統(tǒng)中的各種業(yè)務應用系統(tǒng)提供最為基礎的用戶信息。對用戶的維護和管理由專門的入口進行操作，才能真正保證用戶賬戶信息的更新同步和信息可靠。
3.2 對用戶賬號進行定期審查
網(wǎng)絡系統(tǒng)超級管理人員的賬號具有級別較高的權限，因此，需要對超級管理人員的系統(tǒng)賬號進行定期審查，對于不再使用的賬號立刻進行清理。由于網(wǎng)絡系統(tǒng)中的主機終端、數(shù)據(jù)庫服務器、應用程序的賬號是由專門管理人員分散管理的，難以對其進行全面的審查和清理。運維管理信息系統(tǒng)中的審計系統(tǒng)能夠?qū)崿F(xiàn)用戶賬號的統(tǒng)一注冊、定期管理。
3.3 用戶賬號共享使用問題
目前，電信集團網(wǎng)絡系統(tǒng)中的數(shù)據(jù)庫服務器、主機設備和各種應用系統(tǒng)都存在用戶賬號共享使用的問題，一旦發(fā)生網(wǎng)絡安全事故，很難定位到賬號的使用人員。運維管理信息系統(tǒng)的審計系統(tǒng)能夠為每個用戶建立唯一的賬號，不再受制于賬號共享的弊端。
4 電信集團網(wǎng)絡運維管理信息系統(tǒng)的設計與實現(xiàn)
4.1 電信集團網(wǎng)絡運維管理信息系統(tǒng)結構設計
根據(jù)電信集團網(wǎng)絡系統(tǒng)運維安全的需求，本文設計了網(wǎng)絡運維管理信息系統(tǒng)的結構框架，系統(tǒng)設計原則要滿足操作靈活、使用簡單、認證可靠、審計嚴格的特點，同時建立一套統(tǒng)一的審計機制，使用戶對網(wǎng)絡系統(tǒng)中的相關設備的操作和控制能夠更加規(guī)范，控制網(wǎng)絡內(nèi)部的風險以及與其他單位合作開發(fā)應用的風險發(fā)生，對任何用戶進行的操作行為進行完全真實的記錄。
電信集團網(wǎng)絡運維管理信息系統(tǒng)采用的是B/S架構模式，由數(shù)據(jù)層、管理層和外部接口層三個部分共同組成。電信集團網(wǎng)絡運維管理信息系統(tǒng)的總體架構如圖2所示：
數(shù)據(jù)呈現(xiàn)層：為電信集團網(wǎng)絡系統(tǒng)提供統(tǒng)一簡介、操作方便的Web界面，運維管理人員只需要通過Web頁面登陸到系統(tǒng)中，就能夠?qū)崿F(xiàn)對目標設備的管理維護以及審計用戶行為操作等。
數(shù)據(jù)管理層：數(shù)據(jù)管理層是將操作審計作為核心，實現(xiàn)用戶賬戶管理、相關數(shù)據(jù)報表統(tǒng)計以及資產(chǎn)清查管理等功能，操作審計包括圖形圖片審計、字符信息審計和數(shù)據(jù)信息傳輸審計。
外部接口層：外部接口層負責支撐電信集團網(wǎng)絡運維管理信息系統(tǒng)的全部外部接口，包括SNMP接口、SYSLOG接口等等。
4.2 電信集團網(wǎng)絡運維管理信息系統(tǒng)功能模塊設計
電信集團網(wǎng)絡運維管理信息系統(tǒng)的整體部署如圖3所示：
由圖3可以看出，電信集團網(wǎng)絡運維管理信息系統(tǒng)通過旁路的方式置于整個網(wǎng)絡系統(tǒng)中，其部署只需要一根獨立的網(wǎng)絡地址即可完成。為了能夠?qū)W(wǎng)絡系統(tǒng)進行全面有效地控制審計，需要在電信集團各個業(yè)務服務器的網(wǎng)絡設備和防火墻設備中設置訪問控制列表，使全部運維操作只能通過網(wǎng)絡運維管理信息系統(tǒng)實現(xiàn)，其他的業(yè)務通道不需要進行任何改變，即使運維操作審計過程中出現(xiàn)任何問題，也不會影響到網(wǎng)絡系統(tǒng)中的業(yè)務正常穩(wěn)定運行。
為了能夠保證系統(tǒng)審計操作的有效性，所以增加了一臺時間同步服務器，使所有運維操作審計行為能夠與時間服務器完全同步，也將業(yè)務服務器與時間服務器之間進行同步，從而能夠有效保證系統(tǒng)日志管理、運維審計操作的時間相同，對網(wǎng)絡安全事故的分析奠定良好基礎。
4.2.1 統(tǒng)一認證和鑒別用戶身份。在對網(wǎng)絡系統(tǒng)的各種信息系統(tǒng)進行維護和管理時，經(jīng)常會出現(xiàn)多名系統(tǒng)運維管理人員共同使用一個賬號登陸系統(tǒng)進行維護管理的情況，即使出現(xiàn)了網(wǎng)絡安全事故也很難定位到具體責任人。電信集團網(wǎng)絡運維管理信息系統(tǒng)能夠利用服務器賬號與運維審計賬號相互關聯(lián)的方式，即在運維審計操作中為每個系統(tǒng)運維管理人員單獨創(chuàng)建一個唯一的登陸賬號，系統(tǒng)運維管理人員通過自己的賬號登錄到電信集團網(wǎng)絡運維管理信息系統(tǒng)，之后再登錄到目標服務器中，以便能夠?qū)⒂脩粼L問的身份進行準確記錄。電信集團網(wǎng)絡運維管理信息系統(tǒng)能夠支持單點登錄功能，系統(tǒng)運維管理人員只要登錄到網(wǎng)絡運維管理信息系統(tǒng)中，就可以對已經(jīng)授權的服務器系統(tǒng)發(fā)起正常訪問，而不需要再進行第二次系統(tǒng)登陸和認證。電信集團網(wǎng)絡運維管理信息系統(tǒng)通過一個用戶身份認證中心，使各個業(yè)務系統(tǒng)都能夠利用用戶身份認證中心來驗證登陸用戶的真實信息，這個方法的實現(xiàn)是基于單點登錄技術實現(xiàn)的，但是只能夠保存用戶的信息，用戶權限的認證需要各個業(yè)務系統(tǒng)進行判斷。在不同的業(yè)務系統(tǒng)中，用戶登陸信息的保存是通過Session實現(xiàn)的。
4.2.2 用戶訪問權限控制策略。電信集團網(wǎng)絡運維管理信息系統(tǒng)的運維操作審計能夠?qū)ο到y(tǒng)運維管理人員采用細粒度的形式進行權限控制，系統(tǒng)運維管理人員可根據(jù)用戶賬戶、操作命令等對用戶訪問權限進行控制：一是能夠限制用戶對服務器訪問的范圍；二是對用戶的登陸時間進行限制；三是設置用戶操作的黑白名單，防止用戶違規(guī)操作；四是能夠支持用戶授權訪問機制，對于某些特殊用戶來說，如果需要對特定網(wǎng)絡設備進行訪問，每次都要經(jīng)過系統(tǒng)運維管理人員的授權才能進行，避免訪問過的用戶還擁有臨時系統(tǒng)賬號的訪問權限，在系統(tǒng)運維管理人員不知情的情況下越權訪問；五是用戶登錄系統(tǒng)之后需要保存用戶的信息，根據(jù)用戶角色信息來查詢其擁有的網(wǎng)頁地址訪問權限，再調(diào)用函數(shù)得到該用戶擁有的網(wǎng)頁地址，進行匹配之后允許用戶訪問。
4.2.3 遠程訪問會話同步監(jiān)控。對于用戶對遠程目標服務器發(fā)起訪問的所有會話連接來說，電信集團網(wǎng)絡運維管理信息系統(tǒng)能夠?qū)ζ溥M行實時同步監(jiān)控，用戶的任何操作都會同步顯示到電信集團網(wǎng)絡運維管理信息系統(tǒng)的審計管理畫面中，系統(tǒng)運維管理人員可以根據(jù)實際情況隨時中斷用戶的違規(guī)操作。
4.2.4 用戶異常操作行為告警。電信集團網(wǎng)絡運維管理信息系統(tǒng)內(nèi)部包含的網(wǎng)絡安全事件規(guī)則數(shù)據(jù)庫，能夠?qū)τ脩舻牟僮餍袨檫M行實時檢測，如果發(fā)現(xiàn)用戶存在違規(guī)操作的現(xiàn)象立刻以短消息、E-mail的形式向系統(tǒng)運維管理人員發(fā)出告警信息，并且自動終止該用戶的違規(guī)操作。網(wǎng)絡安全事件規(guī)則數(shù)據(jù)庫能夠支持擴展功能，系統(tǒng)運維管理人員可以根據(jù)實際需求對網(wǎng)絡安全事件規(guī)則數(shù)據(jù)庫的內(nèi)容進行調(diào)整和擴充。
4.3 歷史操作記錄查詢
電信集團網(wǎng)絡運維管理信息系統(tǒng)能夠支持界面查詢功能，可以對電信集團以往的網(wǎng)絡安全事故進行查詢，系統(tǒng)運維管理人員能夠根據(jù)網(wǎng)絡地址、用戶名、發(fā)生時間等條件進行組合查詢，快速找到需要的歷史操作記錄。歷史操作記錄查詢結果可以以表格的形式輸出，方便系統(tǒng)運維管理人員的后續(xù)處理。
5 結語
綜上所述，本文主要分析了電信集團的網(wǎng)絡系統(tǒng)在運維管理過程中存在的問題以及使用的安全技術，提出了一套電信集團網(wǎng)絡運維管理信息系統(tǒng)的操作審計部署方案，建立起一套完善的網(wǎng)絡安全運維管理平臺，通過應用用戶身份訪問控制策略等手段與網(wǎng)絡系統(tǒng)中的服務器設備、主機終端設備進行連接，實現(xiàn)電信集團網(wǎng)絡系統(tǒng)的集中運維管理和審計管控，大大降低了由于企業(yè)內(nèi)部人員操作不當或惡意破壞造成的網(wǎng)絡安全事故，滿足了電信集團的實際應用需求，提高了電信集團的企業(yè)效益。
參考文獻
（一） 審計服務全球化進程加快
一方面客戶要求注冊會計師提供全球。如多貨幣、多國稅收、多國法律法規(guī)、復雜的金融工具等問題。審計中要處理這些問題，對注冊會計師的執(zhí)業(yè)能力、服務水平提出了更高要求。另一方面涉及到國際間會計、審計準則的協(xié)調(diào)。由于各國的政治文化不同，經(jīng)濟發(fā)展的差異，更由于各國不同的利益趨向，會計準則和審計準則的國際協(xié)調(diào)不是一朝一夕能實現(xiàn)的。
（二）審計技術和方法的滯后
在網(wǎng)絡經(jīng)濟下，信息技術通過數(shù)據(jù)處理、網(wǎng)上交易、網(wǎng)上財務報告等方式改變著商業(yè)環(huán)境，對注冊會計師審計產(chǎn)生了深刻影響。一方面，電子商務的出現(xiàn)使無紙成為現(xiàn)實，使交易在瞬間完成，如何加強對這種電子審計線索或無書面記錄經(jīng)濟業(yè)務的審計，是審計工作今后面臨的重大課題。另一方面，“虛擬企業(yè)”大量涌現(xiàn)，其資產(chǎn)主要是人力資源、信息、知識產(chǎn)權等無形資產(chǎn)，如何對這種“虛擬企業(yè)”進行審計，又成為一項重要課題。
（三） 審計人員素質(zhì)有待進一步提高
在網(wǎng)絡環(huán)境下，對審計人員的素質(zhì)要求較高，可以說是“一專多能”。既要掌握會計、審計、經(jīng)濟管理、法律等方面的知識，還要掌握計算機、網(wǎng)絡信息系統(tǒng)、電子商務等方面的知識和技能；審計署提出《信息化建設總體目標和構想》中指出，在注冊會計師的行業(yè)，情況并不樂觀。由于我國注冊會計師資格考試推行較晚，到目前為止在該項考試中還沒有涉及對計算機方面的要求，因此，絕大多數(shù)的注冊會計師運用計算機的水平還比較低。就這方面素質(zhì)而言，目前我國的審計人員尚未完全具備網(wǎng)絡審計的能力。
（四） 網(wǎng)絡的安全性較為薄弱
目前國際上廣泛采用防火墻技術來防止來自外部的攻擊，但黑客和病毒的入侵扔屢屢得逞。同時，由于電磁信息可以刪改且不留痕跡，企業(yè)在網(wǎng)絡經(jīng)濟時代要面對如何解決以前通過不可篡改的白紙黑字、簽字蓋章實現(xiàn)的交易確認、付款和網(wǎng)上信息傳遞的保密等問題。另外，網(wǎng)絡化經(jīng)濟管理還存在計算機舞弊問題，它具有智能性、隱蔽性和危害嚴重性、易逃避法律責任的特點。
二、 網(wǎng)絡環(huán)境下審計風險的防范
（一）加快我國審計的國際化與通用化步伐
我國審計準則應與國際審計慣例接軌，運用國際審計程序和方法，審計行為符合國際審計準則；住會計與審計領域加強對審計人員業(yè)務和素質(zhì)教育；掌握國際審計信息，學習并運行最新的國際化的審計技術；參與系統(tǒng)開發(fā)和財務軟件評審工作。
（二）大力創(chuàng)新審計方法，發(fā)展審計技術
在審計技術方面，一是發(fā)展函證技術，使傳統(tǒng)的函證工作得到進一步發(fā)展，即由相關通過Internet發(fā)送EMAIL，使注冊會計師及時得到回函。當然，電子回函能否成為有效審計證據(jù)，還需進一步研究與規(guī)范。二是發(fā)展實時跟蹤技術，實現(xiàn)遠程實時審計，即注冊會計師可將自己的計算機與被審計單位的信息系統(tǒng)進行聯(lián)網(wǎng)，通過在被審計單位的信息系統(tǒng)中嵌進執(zhí)行特定審計功能的程序段，收集注冊會計師所需資料，通過聯(lián)機系統(tǒng)將這些資料及時傳遞到注冊會計師的計算機中，這樣注冊會計師就不必到被審計單位現(xiàn)場進行審計，在遠方即可利用網(wǎng)絡進行連續(xù)性的在線遠間隔實時審計，從而可以及時發(fā)現(xiàn)被審計單位的作弊等，彌補事后審計線索不充分的缺陷。三是開發(fā)專用審計技術，進行針對性審計。
（三）培養(yǎng)網(wǎng)絡審計人才
首先，應定期對審計人員進行相關培訓，在CPA資格考試、審計專業(yè)技術職務考試中適當增加有關計算機、網(wǎng)絡理論及操作的測試；其次，各學校對審計、會計專業(yè)的學生，應將網(wǎng)絡理論及操作作為一門主要課程，并加強實踐訓練；再次，審計組織在這方面應加大資金投入，定期對現(xiàn)有審計人員進行網(wǎng)絡知識培訓，使他們迅速適應網(wǎng)絡審計工作的環(huán)境；最后，審計人員應將學習網(wǎng)絡知識作為一項長期任務來對待，不斷更新自身的知識結構以適應網(wǎng)絡審計工作的需要。
關鍵詞：電子商務審計 挑戰(zhàn) 解決對策
一、電子商務審計的基本概念
世界上對電子商務的研究始于20世紀70年代末。電子商務的實施可以分為兩步，其中EDI商務始于20世紀80年代中期，Internet商務始于20世紀90年代初期。我國的電子商務及其研究起步更晚些，但進展還是比較快的。電子商務主要指的是利用計算機網(wǎng)絡技術來實現(xiàn)商務的網(wǎng)絡化、全球化和無紙化等。電子商務審計就是對Internet網(wǎng)上進行的各項經(jīng)濟活動及其信息系統(tǒng)的安全性所進行的評價與監(jiān)督，它具有三個基本特點。
（一）充分運用計算機網(wǎng)絡技術
由于電子商務是在網(wǎng)絡化的環(huán)境下開展的，所以交易數(shù)據(jù)呈現(xiàn)無紙化和電子化特點，審計工作人員想要開展審計業(yè)務，必須充分利用好計算機網(wǎng)絡技術。
（二）對無紙化的數(shù)據(jù)庫審計
越來越多的企業(yè)在無紙化環(huán)境下通過計算機自動化處理相關數(shù)據(jù)，審計工作人員必須開發(fā)一套審計專用的軟件來適應審計工作的基本需要。
（三）內(nèi)部控制制度的地位逐漸突出
在電子商務環(huán)境下，審計師在公司內(nèi)部制度的運轉(zhuǎn)和評價中起著重要的建議作用，審計師能夠?qū)?nèi)部控制狀況提出全面性的評價。
二、電子商務環(huán)境下的審計風險
在電子商務環(huán)境下，傳統(tǒng)企業(yè)紛紛開展電子商務經(jīng)營。電子商務企業(yè)可以沒有辦公、倉房等物理實體，只要能夠在網(wǎng)絡上注冊公司，找到相應的貨源，得到特定機構認證后，然后接收網(wǎng)上訂單就可進行交易，這種交易方式無疑給電子商務審計帶來許多風險。
首先，不健全的相關市場商務法律、不穩(wěn)定的外部環(huán)境逐漸凸顯出企業(yè)外部的經(jīng)營風險，逐漸減弱了原有的內(nèi)控制度效果，增大了電子商務審計的風險。
其次，由于電子商務是基于網(wǎng)絡的商業(yè)模式，具有開放性、共享性等特點，再加上審計目標被重新定位，一旦網(wǎng)絡系統(tǒng)出現(xiàn)故障或者被入侵，勢必會暴露出公司的資金和資源掌握情況，財務風險大大增加。
最后，經(jīng)營的虛擬化、無紙化、支付手段現(xiàn)代化等特點導致電子數(shù)據(jù)審計風險增大。在電子商務環(huán)境下，經(jīng)營的虛擬化、無紙化、支付手段現(xiàn)代化等特點導致電子數(shù)據(jù)審計風險增大。相比起傳統(tǒng)的商務模式，電子商務模式的企業(yè)內(nèi)部控制行為發(fā)生很大變化。部分傳統(tǒng)的會計崗位職責已經(jīng)在悄悄地發(fā)生相關變化，導致內(nèi)部控制范圍大大擴展，此種技術性風險使得審計風險被加大。一是從商務交易的無紙化角度來看，相比起傳統(tǒng)具有痕跡的商務交易，電子商務環(huán)境下的財務數(shù)據(jù)簽字時的確認手段不再出現(xiàn)，因此加大了非法行為入侵網(wǎng)絡的風險，最終導致電子商務審計人員因難以發(fā)現(xiàn)其中紕漏，產(chǎn)生巨大風險。二是從存儲介質(zhì)角度分析，電子商務環(huán)境下，審計完全是以光盤和磁帶等為存儲介質(zhì)的電子數(shù)據(jù)，電子數(shù)據(jù)又具有不易長期保存的特點，繼而增加了數(shù)據(jù)丟失的可能性以及審計難度的加大。三是從支付手段現(xiàn)代化的角度來看，日益現(xiàn)代化和多樣化的審計工作很難對貨幣資金的收付業(yè)務進行控制。電子商務環(huán)境下，交易主要是通過電子現(xiàn)金、電子信用卡和電子支票等進行支付。電子貨幣進行的數(shù)據(jù)交易往來使得審計工作人員無法判斷交易和貨幣的收付行為是否真實存在，因此加大了電子商務審計的風險。四是從經(jīng)營的虛擬化角度來看，此種經(jīng)營模式使得交易商之間的依賴性增強，因此給電子商務審計工作帶來不可控的風險。電子商務環(huán)境下，諸多交易商的數(shù)據(jù)通訊在高度集成的網(wǎng)絡系統(tǒng)中進行交易，使得交易商內(nèi)部電子商務系統(tǒng)的問題出現(xiàn)連鎖反應，影響到了其他系統(tǒng)的正常運行，最終加大了審計風險。
三、電子商務審計面臨的挑戰(zhàn)
（一）對電子商務審計工作人員提出更高的要求
傳統(tǒng)審計工作中 ，賬表核對和賬證核對非常重要，需要具有豐富實踐經(jīng)驗的審計人員來進行。但是，在電子商務審計工作過程中，要想進行審計工作， 首先，審計人員需要充分掌握好會計信息系統(tǒng)的工作方式；其次，掌握好W絡的實時運用情況，如掌握計算機會計系統(tǒng)的關鍵部分；最后，將計算機網(wǎng)絡技術運用到日常審計工作中去，對大量且較為復雜的網(wǎng)絡會計系統(tǒng)進行相應審計行為。
（二）電子商務審計的法律證據(jù)不夠充分
即使電子商務的發(fā)展已經(jīng)有很長一段時間，但是在法律法規(guī)方面仍然存在諸多不足之處。相關研究結果顯示，有30.22%左右的國家尚未出臺成文的法律法規(guī)，在國際上尚沒有權威性的慣例或者公約。國際商會（ International Chamber of Commerce）曾提出過《國際數(shù)字保證商務通則》，希望能夠使得電子商務的發(fā)展趨于標準化和規(guī)范化，但是此種文件是建議性的，不具有法律效應。電子商務審計中涉及的法律問題主要有以下幾個方面：（1）從交易安全角度來看，需要迫切解決的主要問題是制定相關的電子商務法律，對于信息數(shù)據(jù)用戶的保護更為重要，保證用戶的自和個人隱私權，以期解決好電子商務中發(fā)生的各種糾紛，預防詐騙行為，保證消費者的合法權益不受到迫害。（2）從電子支付角度來看 ，需要制定相應的法律，電子支付的當事人與銀行之間的法律關系明確，電子制度采取實名制，確保電子簽名的合法性；對于電子數(shù)據(jù)的偽造和更改等提出針對性的解決辦法。（3）電子商務法律應該根據(jù)現(xiàn)有的法律法規(guī)不斷進行完善和補充。
（三）電子商務審計的發(fā)展不適應電子商務的發(fā)展速度
在利益的驅(qū)使下，電子商務的發(fā)展蒸蒸日上，電子商務人才也層出不窮，此類人才推動了電子商務的快速發(fā)展和進步；但是，從電子商務審計發(fā)展現(xiàn)狀來看，電子商務審計人才卻是屈指可數(shù)。出現(xiàn)上述情況的主要原因：一是電子商務審計的投入與產(chǎn)出不成正比，審計人員需要很大的投入，但不能獲得與此相對應的收入，導致積極性不高；二是電子商務業(yè)務變化非常快，在各項會計業(yè)務發(fā)生相關變化時，電子商務審計流程、審計方法不能及時改變，導致電子商務審計不適應電子商務的發(fā)展，長此以往，勢必影響電子商務的審計質(zhì)量。
四、應對電子商務審計挑戰(zhàn)的對策
（一）不斷完善電子商務審計法律法規(guī)
電子商務的立法應立足于我國的基本國情，同時借鑒其他國家的相關立法，逐漸使得我國的電子商務審計法律法規(guī)能夠不斷完善，最終保證電子商務審計工作能夠有法可依。制定出適合我國電子商務的規(guī)范化文件，主要包括：（1）計算機審計的法律準入規(guī)定。比如數(shù)字管理機構認證規(guī)定。（2）計算機審計準則。（3）各種類型的審計數(shù)據(jù)庫規(guī)范要求。比如制定電子合同存檔和保管規(guī)定、電子信息質(zhì)量標準規(guī)定，保證數(shù)據(jù)的安全性與高效性。（4）輸出數(shù)據(jù)的標準格式規(guī)定等。
（二）不斷提高電子商務審計人員的綜合素質(zhì)
要想發(fā)展好電子商務審計工作，必須要培養(yǎng)高素質(zhì)的審計人才。基于此，應該加大培訓電子商務審計人才的力度。豐富其計算機網(wǎng)絡知識，完善其基礎知識結構，提高其職業(yè)素養(yǎng)，培養(yǎng)好復合型的審計人才，不斷滿足審計業(yè)務范圍擴展的相關需求，為電子商務的審計工作開展提供保障。
（三）加快審計的電子化進程
隨著電子商務的不斷發(fā)展，必須處理好電子商務主體和電子商務客體之間的關系，從而能夠使得電子商務逐漸往電子化發(fā)展。與此同時，建設好電子商務審計系統(tǒng)，要體現(xiàn)電子商務審計進程的先進性和實用性。在電子商務審計工作開展之前，要對電子商務客體的控制系統(tǒng)和網(wǎng)絡系統(tǒng)進行全面審查。審查電子商務系統(tǒng)及電子商務控制功能是電子商務審計的重要內(nèi)容。傳統(tǒng)商務審計沒有對交易事項的相關處理進行核實，因此，利用好計算機網(wǎng)絡技術能夠?qū)Ρ粚徲媶挝坏臅嬓畔⑾到y(tǒng)的一般控制進行有效審查，通過網(wǎng)絡對其財務數(shù)據(jù)進行審核能夠完成大部分審計工作，以保證電子商務各項交易的數(shù)據(jù)能夠既合法又安全。由于傳統(tǒng)審計工作沒有體現(xiàn)出安全性和合法性，故而審計信息的開發(fā)需要遵循全面性、審計性及完整性三個方面的原則。
（四）采取有針對性的措施降低審計風險
審計工作員必須充分了解被審計單位的控制系統(tǒng)結構，全面觀察被審計單位的機構設置是否合理合法，是否能夠適應電子商務發(fā)展模式。軟件開發(fā)工作人員需要不斷開發(fā)配套的審計軟件，通過被審計單位的會計軟件中執(zhí)行特定程序的功能，實現(xiàn)遠程監(jiān)控審計，降低審計風險。
參考文獻：
[1]傅元略.網(wǎng)絡化環(huán)境下的子商務審計[J].江西財經(jīng)大學學報，2002，（03）.
[2]徐光.電子商務審計探析[J].商業(yè)研究，2004，（20）.
