基于BS结构MIS系统安全性.docVIP

基于BS结构MIS系统安全性 　　摘要:本文对基于B/S结构MIS系统的安全性问题从操作系统、WEB服务器、数据库和WEB应用程序等方面进行了分析,并给出了相应提高安全性的方法和建议。 　　关键词:B6结构:MIS系统;WEB应用程序 　　中图分类号:TP393.08 　　文献标识码:A 　　文章编号:1002-2422(2010)06-0121-02 　　 　　1　B/S结构信息系统的安全性 　　 　　基于B/S结构的信息系统主要由浏览器,WEB服务器,数据库服务器组成,如图1所示。 　　 　　基于B/S结构信息系统的安全性主要体现在如下几个方面。 　　 　　1.1　操作系统的安全 　　操作系统安全是基础,是基于B/S结构的管理信息系统最基本的,也是最重要的安全保证。试想一下,如果连WEB服务器或数据库服务器的操作系统的安全都出现了问题,那么整个信息系统还有什么安全性可言。采用如下措施,将有助于提高操作系统的安全性。 　　(1)进行合理的域规划。通常,为了便于对网络用户进行管理,将其划分成若干域和组,不同域之间的用户为了进行资源共享需要建立许多相互信任关系,为了资源的安全,要进行合理的域规划。特别要注意系统文件和WEB应用程序所在的目录,即使是对系统管理员,系统文件和WEB应用程序所在目录通常也只能赋予“只读”的权限,且不设共享。另外,要注意经常检查关键目录的权限,以防出现权限赋予得过大的情况,从而降低系统的安全性。 　　(2)使用审计系统检查系统。系统管理员可以使用审计系统检查系统是否正遭受攻击或者有可能遭受攻击。使用审计系统首先要在域用户管理器中设置好审核规则,其次要经常查看事件日志,特别是要重点关注失败的操作和异常的操作。要充分利用系统策略编辑器中的一些设置。例如,设置不允许从身份验证对话框中关机,不显示上次登录的用户名、不成功的身份验证最大数以及身份验证的最大时间限制等。还有就是系统管理员应该注意定时更换系统管理员的口令,以防口令泄露。 　　(3)尽量关闭WEB服务器、数据库服务器上的一些不必要的网络服务,以免给攻击者造成攻击的机会。WEB服务器、数据库服务器和其他文件服务器最好专机专用。 　　 　　1.2　WEB服务器的安全 　　为了提高WEB服务器的安全,应该在WEB服务器上为WEB应用程序设置正确的虚拟路径和访问权限,虚拟路径能有效地隐藏资源所在,正确的权限配置能有效防止非法操作。NTFS权限是WEB服务器安全性的基础,定义了一个或一组用户访问文件和目录的不同级别。系统管理员需要针对不同的资源设置不同的HS权限和NTFS权限以及准确设置HS用户的验证方式,系统管理员可以根据实际情况选择基本验证方式或者客户证书映射验证方式。 　　可以通过配置WEB服务器的权限来限制所有用户查看、运行和操作ASP页的方式。WEB服务器权限应用于所有用户,并且不区分用户帐号的类型。对于要运行ASP程序的用户,在设置WEB服务器权限时,须遵循下列原则: 　　(1)对包含.ASP文件的虚拟目录允许“读”或“脚本”权限。 　　(2)对.ASP文件和其他包含脚本的文件(如.htm文件等)所在的虚目录允许“读”和“脚本”权限。 　　(3)对包含ASP文件和其他需要“执行”权限才能运行的文件(如.EXE和.DLL文件等)的虚目录允许“读”和“执行”权限。 　　 　　1.3　数据库安全 　　数据库系统的安全是管理信息系统安全的核心,为了提高数据库系统安全建议采取如下措施: 　　(1)给数据库用户进行恰当的定义和分类。 　　(2)区别在系统中处于不同层次或不同模块的表。 　　(3)修改内置用户信息。有些数据库在安装时设置了几个内置用户,且这几个内置用户具有很高的权限。比如Oracle,所以在安装好数据库系统后一定要记得将这几个内置用户的口令改掉,否则,有过使用该数据库系统经验的用户从客户端和服务器端都可以进入数据库系统访问相关数据,造成数据泄密或损坏。 　　(4)使用触发器功能自动拒绝某些非法操作和访问。例如,对某些重要数据表设定在休息时间(比如周末,假日或非工作时间)禁止读取,修改等操作。 　　(5)数据库管理员建立一套完整、科学的数据库的各份机制,对数据库进行备份。 　　 　　1.4　WEB应用程序安全 　　WEB应用程序安全是基于B/S结构MIS系统安全的关键部分,WEB应用程序与传统的C/S结构的应用程序不同,传统的c6结构的应用程序只有一个入口,在整个程序入口进行安全控制就可以保障整个应用程序的安全。而在基于B/S结构的MIS系统中,一个一个网页都是独立的,用户可以在浏览器URL中输入不同路径来跳过系统设置的安全控制网页直接访问其它相关网页,因此,如果不进行控制,那么