电子政务安全问题与防护

阅读：评论：0

2024年2月6日发(作者：)

电子政务安全问题与防护

2022年11月第25卷第21期中国管理信息化China Management Informationization

Nov.,2022Vol.25,No.21电子政务安全问题与防护赵永鹏（盛博汇达国际企业管理顾问（北京）有限公司，北京　100085）［摘要］电子政务是政府机构应用现代信息和通信技术，将管理和服务通过网络技术进行集成，在网络上实现政府组织结构和工作流程的优化重组，突破时间、空间与部门分隔的限制，全方位地为政务人员的日常工作提供了便利，也成为政府信息化建设重要的领域之一。但是电子政务也面临着内外部网络和信息安全的严峻挑战。本文就电子政务系统安全方面的问题及应对措施做出简单的阐述。［关键词］电子政务；安全威胁；防护技术doi：10.3969/.1673-0194.2022.21.053［中图分类号］D035；TP311　　　［文献标识码］A　　［文章编号］1673-0194（2022）21-0182-040 引　言党的十九大以来党对“十四五”期间电子政务的持续发展提出了要求，要深入贯彻总体国家安全观，以切实有效的措施和技术保护好国家机密、商业秘密和个人隐私，落实国家网络安全法，维护信息安全。电子政务安全是指保护电子政务网络及其服务不受未经授权的修改、破坏和泄露，防止电子政务系统资源和［收稿日期］2022-04-19［作者简介］赵永鹏（1990—　），男，甘肃武威人，工程师，

主要研究方向：计算机安全。信息资源受自然或人为有害因素的威胁和危害。电子政务系统安全主要包括计算机设备安全、网络安全、操作系统安全、数据库安全和应用系统安全［1］。1 计算机设备安全保证计算机设备的运行安全，是政务办公系统安全最重要的内容之一。计算机设备安全包括计算机实体及其信息的完整性、机密性、抗否认性、可用性、可审计性、可靠性等几个关键因素。1.1 物理安全物理安全是保护计算机网络设备、设施以及其他一个网络三层上部署的网关设备一样，通过所有终端通信实现，但极易产生较多的广播数据流；第四，外带TAC，该技术主要借助现有的网络系统架构应用来提升安全性，该形式设备部署多采用分布式，以实现终端将数据传输回中央总控设备，实现安全防御管理。3 结　语网络安全运维管理一直是互联网络时代背景下，社会各行各业发展所关注的重点问题。企业为了切实提升自身的网络安全运维管理水平，提升自身计算机网络信息系统的安全防护等级，往往会应用大量先进的网络安全技术，构建全方位的网络安全防护体系，采用技术与管理并重的构建理念，打造符合企业信息安全防御需求的网络安全运维体系，提升安全防护能力，降低网络攻击风险，以期实现企业网络信息182

CHINA MANAGEMENT INFORMATIONIZATION系统的安全稳定运行。主要参考文献［1］王志刚，王辰阳，胡楠.计算机网络安全技术在网络安全维护中的应用探析［J］.数字通信世界，2020（9）：199-200.［2］鲁霞，何欢，胡仲殊，等.网络安全风险分析及运维防范措

电子政务

媒体免遭地震、水灾、火灾等环境事故（如电磁污染等）及人为操作失误或错误，以及各种计算机犯罪行为导电子政务系统针对物理安全应做好对网络线路和重要设备设施的保护，如对网络机房的防火、防潮、防电磁干扰、防鼠害、防水灾等。1.2 设备安全设备安全包括设备的防毁防盗，防电磁信息泄露，防止线路截获，抗电磁干扰及电源的保护。计算机及其外部设备在工作时能够通过地线、电源线、信号线寄生电磁信号或者谐波将重要信息辐射出来，所以针对这种情况，应对机房采取电磁屏蔽防护，对设备供电线路加装红黑电源隔离插座等。1.3 存储介质安全存储介质安全是指介质本身和介质上存储的数据安全。存储介质和存储数据的安全包括介质的防毁防盗和数据的防毁防盗，针对此情况，日常做好存储介质的存放、备案、借用登记等管理，对数据进行分类管理，根据数据的重要性设置对其进行操作的权限，针对［2］存放重要信息的介质应采取专人负责管理的制度。部网络（互联网），内部网络又有不同的层级要求，所以要做好安全保密管理，必须做到层层把关，滴水不2.1 软件漏洞每一个操作系统或软件的出现都不可能是无缺陷和漏洞的。我们的计算机处于危险的境地，一旦接入网络，将成为众矢之的。以现今世界使用排名第一的Web服务器软件阿帕奇（Apache）来讲，自1996年4月推广应用以来，经历过大大小小的安全修复，其运行防护方面做到近乎完善的状态，但就在2021年阿里云员工在漏洞检测中却发现log4j2组件存在严重安全漏洞，这就提醒我们任何一款软件或操作系统都不能做到完美，或多或少都存在一定的缺陷。为了尽量避免这些问题，我们应该及时更新软件或系统，或使用成熟度高的安全防护软件。2.2 配置不当安全配置不当造成安全漏洞。例如，防火墙软件的配置不正确，那么它根本不起作用。对特定的网络应用程序，当它启动时，就打开了一系列的安全缺口，许多与该软件捆绑在一起的应用也会被启动。除非用户禁止该程序或对其进行正确配置，否则，安全隐患始终存在。2.3 安全意识不够强用户口令选择不慎，或将自己的账号随意转借他人，或与别人共享等都会对网络安全带来威胁。在日常工作中要加强对办公人员安全意识的提升，定期开展安全保密教育，做好个人资料个人保管，工作资料分级保管，定期开展安全检查工作。2.4 病　毒目前数据安全的头号大敌是计算机病毒，它是编制者在计算机程序中插入的破坏计算机功能或数据，影响计算机软件、硬件的正常发挥并且能够自我复制的一组计算机指令或程序代码。政务系统网络结构复杂，包括内部网络和外部网络。针对内部网络的病毒防护应及时添加系统补丁，随时进行病毒查杀，在关键节点设置网络病毒防护平台，对网络进行实时监控，并制定相应的应对措施。人员在外部网络的使用上，应养成良好的上网习惯，不浏CHINA MANAGEMENT INFORMATIONIZATION

183致的破坏。物理安全是整个政务办公系统安全的前提。漏。常见的网络威胁如下。存储数据安全包括防止介质数据的非法拷贝。针对此情况应采取以下措施：第一，对介质内部数据进行加注水印等加密手段，防止数据非法外流；第二，对存有重要数据的U盘、移动硬盘、光盘等应集中管理；第三，对存有重要数据的办公主机、工作站、服务器等设备的USB口、光驱等进行必要的封闭；安装相关安防软件实时监测非法操作行为。1.4 可靠性安全计算机的可靠性工作，一般采用容错系统实现。容错主要依靠冗余设计来实现，冗余设计又称为余度设计技术，是指在系统或设备完成任务时起关键作用的地方，增加一套相同功能的功能通道、工作原件或部件，以保证该部分出现故障时，系统或设备能正常工作，减少系统或者设备的故障率，提高系统可靠性。2 网络安全

电子政务

览不常见或有不良内容的网站，不打开转发不明邮件。2.5 黑　客对计算机数据安全构成威胁的另一个方面来自黑客。黑客利用系统中的安全漏洞非法进入他人计算机系统，其危害性非常大。从某种意义上讲，黑客对信息安全的危害甚至比一般电脑病毒更为严重。应对黑客入侵可采用防火墙、入侵检测与防护技术，实时地对网络中出现违反安全策略的行为或攻击迹象进行检测并发出告警。也可应用网络蜜罐技术，延缓对真正目标的攻击，同时由于蜜罐技术的特性和原理，我们可以对入侵的取证提供重要的信息和有用的线索，便于研究入侵者的攻击行为，来制定相应的应对措施。值得注意的是，随着无线网络和移动互联网的广泛应用，无线网络安全防护越发重要，由于无线网络使用的是开放性媒介，通信双方没有线缆连接，加上现今对无线网络传输链路的加密保护较为落后，无线网络防的防护范围和力度更为庞大，所有常规有线网络的安全威胁和隐患都依然存在于无线网络中，因此无线网络面临的威胁更加严重。3 操作系统安全操作系统位于硬件之上，其他软件之下，是计算机系统最为基础的软件，是资源管理系统，管理计算机系统的各种资源，用户通过它获得对资源的访问权限。操作系统安全是指操作系统无错误配置、无漏洞、无后门、无特洛伊木马等，能防止非法用户对计算机资源的非法存取。操作系统的安全性是指操作系统具有或在具有的安全功能，比如存储保护、运行保护、表示与鉴别、安全审计等［3］。操作系统面临的安全威胁有以下几种：·计算机病毒·黑客攻击·逻辑炸弹·木马程序或特洛伊木马·后门（或称天窗）·隐蔽通道操作系统安全的主要目标是标识系统中的用户，对用户进行身份认证、访问控制［1］，防止恶意用184

户对计算机资源进行窃取、篡改、伪造、破坏等非法存取，防止正当用户操作不当危害系统安全，从而保证系统运行的安全性，又保证系统自身的安全性。对操作系统的安全防护可应用以下技术。3.1 身份验证机制实施强制认证方法，比如口令、数字证书、电子密钥等。3.2 访问控制机制实施不同层级细粒度的用户访问控制，细化访问权限等。3.3 数据加密数据加密方法有很多，有使用密码工具对文件加密，有文件系统加密，有对整个磁盘的加密。对不同级别的数据信息进行加密处理，防止信息被窃取利用。3.4 做好边界防御不是所有的安全问题都发生在桌面系统上，也可能在接入的网络中，预防网络攻击可在关键网络节点上加装防火墙或者使用预先封装的防火墙（用路由器安装程序来自行组建防火墙），比如M0n0wall和IPCoP。代理服务器、防病毒网关和垃圾邮件过滤网关也有助于提高边界的安全性。3.5 使用不间断电源（UPS）UPS的作用不仅仅是停电时可以避免丢失文件。使用UPS还有更重要的原因，比如功率调节、避免文件系统受到破坏。3.6 使用国产操作系统使用国产操作系统来替代Windows等国外操作系统，可以防止不法分子利用预留的后门等漏洞，对政务系统进行攻击和窃取重要数据等。4 数据库系统安全数据库系统安全是指为数据库系统采取的安全保护措施，防止系统软件和数据遭到破坏、更改和泄漏。数据系统的重要指标之一是确保系统安全，以各种防范措施防止非授权使用数据库，主要通过DBMS（数据库管理系统）实现。数据库系统中一般采用用户标识和鉴别、存取控制、视图以及密码存储等技术进行安全控制。从系统与数据的关系上，可将数据库安全分为数据库的系统安全和数据安全。数据库系统安全和数据

电子政务

安全主要利用在系统级控制数据库的存取和使用机制，包含：第一，系统的安全设置及管理，包括法律法规、政策制度、实体安全等。第二，数据库的访问控制和权限管理。确保只有授权的用户或授权程序可以访问被允许的数据元素，同时保证不同用户限制使用不同的控制策略并允许灵活设置。第三，用户的资源限制，包括访问、使用、存取、维护与管理。第四，数据库审计有效性。记录数据库中所有事务和操作，保留详细的审计和日志记录，提供事后追查、分析和取证的工具。第五，多级保护。根据应用的要求，可将数据划分为不同密级的集合，也可以将同一记录中的不同字段划分为不同的保密等级，还可以将同一字段的不同值划分为不同的安全等级，从而实现数据的等级划分以及用户依据相应等级安全策略要求的等级访问。5 应用系统安全互联网环境下，电子政务的主要应用模式是B/S和C/S，基本都是基于TCP/IP网络协议和数据库系统的，因此应用系统安全是以计算机设备安全、网络安全和数据库安全为基础。同时采取有效的防病毒、防篡改和版本检查审计，确保应用系统自身执行程序和配置文件的合法性、完整性，是极其重要的安全保障措施。其中Web的业务平台在电子政务中的应用最为广泛，网络攻击者已经逐渐将关注点从传统网络服务逐步转移到了对Web业务，他们利用网站操作系统的漏洞和对Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，带来严重的安全事故。当前Web面临的主要威胁包括：可信任站点的漏洞、浏览器和浏览器插件的漏洞、终端用户的安全策略不健全、携带恶意软件的移动存储设备、网络钓鱼、带有键盘记录程序木马等。Web威胁防护技术主要有以下4种。5.1 Web客户端的安全防护Web客户端的防护措施，重点对Web程序组件的安全进行防护，严格限制从网络上任意下载程序并在本地执行。可以对浏览器进行设置，如在IE浏览器中Internet选项的高级窗口中将Java相关选线关闭。在隐私窗口中选择Cookie的级别，也可根据需要将C:windowscookie中的所有相关文件删除。5.2 Web访问控制技术访问控制是Web站点安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法访问者访问。访问Web站点要进行用户名、口令的识别与验证、用户号的缺省限制检查。只要其中任何一关未通过，该用户便不能进行Web访问［4］。5.3 单点登录技术（SSO）单点登录为应用系统提供集中统一的身份认证，实现“一点登录，多点访问”。单点登录系统采用基于数字证书的加密和数字签名技术，基于统一策略的用户身份认证和授权控制功能，对用户实行集中统一的管理和身份认证。5.4 网页防篡改技术网页防篡改技术有外挂轮询技术、核心内嵌技术、事件触发技术。6 总　结电子政务是国家实施政府职能转变，提高政府管理、公共服务和应急能力的重要举措，有利于带动国民经济和社会信息化的发展。同时电子政务的工作内容和工作流程涉及国家秘密与核心利益，它的安全关系到国家的主权、安全和公共利益，所以应加强电子政务的安全保障。主要参考文献［1］［美］Micheal E Whitman，Herbert J Mattord. 信息安全原理

［M］. 第5版.北京：清华大学出版社，2015.［2］谭志彬，柳纯录. 信息系统项目管理师教程［M］.第3版.

北京：清华大学出版社，2016.［3］张焕国，杜瑞颖，傅建明. 信息安全工程师教程［M］.北京：清华大学出版社，2016.［4］张国祥. 基于Apache的Web安全技术的应用研究［J］.武汉理工大学学报，2004（3）： MANAGEMENT INFORMATIONIZATION