信息安全審計報告精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的信息安全審計報告主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：信息安全審計報告范文

目前，給企業(yè)造成的嚴(yán)重攻擊中70％是來自于組織中的內(nèi)部人員，只要攻擊者發(fā)現(xiàn)了業(yè)務(wù)系統(tǒng)的漏洞，往往業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)就會被攻破。而隨著攻擊手段的演變，傳統(tǒng)方式對保障業(yè)務(wù)系統(tǒng)的安全越來越力不從心。因此，針對業(yè)務(wù)系統(tǒng)的信息安全治理成為業(yè)務(wù)安全防護的重點。

但是，決策部門如何尋找治理業(yè)務(wù)系統(tǒng)的決策依據(jù)呢？決策部門如何定奪治理業(yè)務(wù)系統(tǒng)的先后順序、重要緊急程度呢？決策部門如何尋找制定內(nèi)部合規(guī)性的依據(jù)呢？針對信息系統(tǒng)的審計報告就承載著這些重要的職能！審計報告正是業(yè)務(wù)審計系統(tǒng)價值的具體體現(xiàn)，它起到為制定決策提供重要依據(jù)的作用。

針對業(yè)務(wù)的審計需要報告的細(xì)粒度

從用戶需求角度看，需要報告細(xì)粒，度事實上，一項針對業(yè)務(wù)系統(tǒng)的審計產(chǎn)品的評價手段有很多。理論上講，有從審計精度入手做評價的，也有從審計行為的廣度入手做評價的。但無論怎樣，我們認(rèn)為用審計行為的結(jié)果――報告來評價是比較科學(xué)的。以銀行的業(yè)務(wù)為例，銀行的業(yè)務(wù)主要有銀行傳統(tǒng)業(yè)務(wù)、銀行中間業(yè)務(wù)、電子銀行業(yè)務(wù)三大類業(yè)務(wù)。第一類業(yè)務(wù)是銀行傳統(tǒng)業(yè)務(wù)，主要包括會計業(yè)務(wù)，即主要受理對公業(yè)務(wù)、面向工商客戶、以轉(zhuǎn)賬業(yè)務(wù)為主(比如各種票證)等; 出納業(yè)務(wù)，包括受理現(xiàn)金業(yè)務(wù)等; 對私業(yè)務(wù)(儲蓄) 業(yè)務(wù)以及授信(信貸)業(yè)務(wù)等，包括工商客戶和個人客戶貸款的發(fā)放和收回，逾期、呆賬、呆滯賬務(wù)的處理和追溯等。第二類是銀行的中間業(yè)務(wù)，包括代收電信公司的各類費用; 代付企業(yè)的工資、基金購買、銀行承兌等; 第三類是電子銀行業(yè)務(wù)，主要包括網(wǎng)上銀行、電話銀行等。他們都是將銀行作為資金結(jié)算的中心，作為電子商務(wù)中資金流的一方。所有的這些業(yè)務(wù)都有大量的后臺IT信息系統(tǒng)作為支撐，需要有強有力的審計報告進行業(yè)務(wù)審計。

再比如，能源行業(yè)主要的業(yè)務(wù)系統(tǒng)包括: 綜合管理信息系統(tǒng)、辦公自動化系統(tǒng)、電力營銷管理系統(tǒng)、生產(chǎn)監(jiān)控管理信息系統(tǒng)、資產(chǎn)管理系統(tǒng)、電力地理信息系統(tǒng)、企業(yè)資源計劃管理系統(tǒng)等。同樣，這些業(yè)務(wù)的IT系統(tǒng)十分復(fù)雜和重要。為此，用戶存在著對這些業(yè)務(wù)系統(tǒng)審計的需求。如果一項針對業(yè)務(wù)的審計系統(tǒng)能夠?qū)@些業(yè)務(wù)有充分的理解，并且通過對這些業(yè)務(wù)的理解，能以科學(xué)合理的方式呈現(xiàn)到審計行為的結(jié)果――報告當(dāng)中來，我們才有理由相信，針對業(yè)務(wù)的審計系統(tǒng)是“值得信賴”的，這樣的報告才能達(dá)到管理業(yè)務(wù)的目的，這個審計系統(tǒng)在紛繁復(fù)雜的業(yè)務(wù)系統(tǒng)才算發(fā)揮了審計的作用。

從技術(shù)角度看，需要報告細(xì)粒度

業(yè)務(wù)網(wǎng)絡(luò)審計系統(tǒng)是基于應(yīng)用層內(nèi)容識別技術(shù)衍生出的一種強化IT風(fēng)險管理的應(yīng)用模式，它需要對應(yīng)用層的協(xié)議、網(wǎng)絡(luò)行為等信息進行解析、識別、判斷、紀(jì)錄和呈現(xiàn)，以達(dá)到監(jiān)控違規(guī)網(wǎng)絡(luò)行為、降低IT操作風(fēng)險的目的。顯然，一個針對業(yè)務(wù)系統(tǒng)的審計必須承擔(dān)鑒證、保護和證明三個方面的作用。從技術(shù)角度看，審計系統(tǒng)需要審計的信息量大，采集的數(shù)據(jù)量多，比如對基本網(wǎng)絡(luò)應(yīng)用協(xié)議審計，如HTTP、POP3、SMTP、FTP、TELNET、NETBIOS、TDS、TNS、DB2、INFORMIX等進行詳細(xì)的實時監(jiān)控、審計，并可以對操作過程進行回放，對各類如Oracle、DB2、Sybase、Informix、MS SQL Server等數(shù)據(jù)庫操作也需要審計; 同時，對一些OA操作進行審計。在這些龐雜的信息量下，如果系統(tǒng)呈現(xiàn)的信息缺失、失真或錯誤，往往會給用戶輕則帶來決策失誤，重則帶來安全事件無法追究的窘境。由于報告成為了取證、追查、建立制度的重要依據(jù)，報告應(yīng)該越細(xì)越好。

從審計政策角度看，需要報告細(xì)粒度

隨著中國國際化程度的日益提高，國內(nèi)許多規(guī)范正在朝著國際化方向發(fā)展。以SOX法案為例，在美上市的中資企業(yè)如中國移動集團公司及其下屬分公司等，就面臨著該法案的合規(guī)性要求; 而商業(yè)銀行同樣也面臨Basel協(xié)議的合規(guī)性要求; 政府的行政事業(yè)單位或者國有企業(yè)則有遵循等級保護的合規(guī)性要求，等等。實際上，從2001年起，政府、電信業(yè)、金融業(yè)、大企業(yè)等都已經(jīng)先后制定了相關(guān)的法律法規(guī)，比如: 國家《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》、《商業(yè)銀行內(nèi)部控制指引 》、《中國移動集團內(nèi)控手冊》、《中國電信股份公司內(nèi)部控制手冊》、《中國網(wǎng)通集團內(nèi)部控制體系建設(shè)指導(dǎo)意見》、《銀行業(yè)金融機構(gòu)信息系統(tǒng)風(fēng)險管理指引》、《商業(yè)銀行合規(guī)風(fēng)險管理指引、《保險公司內(nèi)部審計指引（試行）》、《保險公司風(fēng)險管理指引（試行）》、《深圳證券交易所上市公司內(nèi)部控制指引 》、《上海證券交易所上市公司內(nèi)部控制指引 》等。這些文件的出臺，是IT合規(guī)性建設(shè)的必然發(fā)展趨勢，讓面向業(yè)務(wù)的審計系統(tǒng)也不得不向“合規(guī)性要求”方向發(fā)展，這些也促成了報告在審計系統(tǒng)中扮演著越來越重要的角色。

如何實現(xiàn)

報告細(xì)粒度

好的網(wǎng)絡(luò)安全審計系統(tǒng)應(yīng)該可通過對被授權(quán)人員和系統(tǒng)的網(wǎng)絡(luò)行為進行解析、記錄、匯報，可幫助用戶事前規(guī)劃預(yù)防、事中實時監(jiān)控、對違規(guī)行為響應(yīng)、事后做合規(guī)報告、事故追蹤回放，加強內(nèi)外部網(wǎng)絡(luò)行為監(jiān)管、避免核心資產(chǎn)（數(shù)據(jù)庫、服務(wù)器、網(wǎng)絡(luò)設(shè)備等）損失、保障業(yè)務(wù)系統(tǒng)的正常運營。

此外，一套完善的審計報告查詢、輸出機制――數(shù)據(jù)分析模塊必不可少，應(yīng)該滿足對審計日志查詢、審計事件統(tǒng)計分析、審計報告輸出等各種應(yīng)用的不同使用要求。日志分析與審計報表組件能夠?qū)徲嬍录?、會話日志、流量、用戶操作日志、SOX報表等5類審計事件進行統(tǒng)計和查詢，圍繞審計策略設(shè)定審計輸出報告，使得審計工作人員能迅速精確地獲得自己所關(guān)注的審計事件信息，將管理人員從繁雜、枯燥的IT內(nèi)審中解放出來，最大程度上降低IT內(nèi)審工作的工作量。

以金融機構(gòu)為例，在銀行系統(tǒng)中經(jīng)常需要對一個應(yīng)用系統(tǒng)（如存貸系統(tǒng)）業(yè)務(wù)操作發(fā)生的事件進行后臺數(shù)據(jù)調(diào)整。這時，為了保證調(diào)整過程可以被審計記錄以及事后審核，就引發(fā)了部署審計系統(tǒng)和數(shù)據(jù)分析模塊的需求。

第2篇：信息安全審計報告范文

一、信息系統(tǒng)安全性審計基本概述

20世紀(jì)60年代，由于計算機被應(yīng)用于財務(wù)會計領(lǐng)域，從而產(chǎn)生了電子數(shù)據(jù)處理審計（EDP Auditing）。信息系統(tǒng)審計是在電子數(shù)據(jù)處理審計基礎(chǔ)上逐漸發(fā)展起來的。目前，信息系統(tǒng)審計的定義還在爭論當(dāng)中，羅恩·韋伯（Ron Weber）在《信息系統(tǒng)控制與審計》一書中對信息系統(tǒng)審計概念做出了如下描述：“信息系統(tǒng)審計是一個通過收集和評價審計證據(jù)，對信息系統(tǒng)是否能夠保護資產(chǎn)的安全、維護數(shù)據(jù)的完整、使被審計單位的目標(biāo)得以有效實現(xiàn)、使組織的資源得到高效使用等方面做出判斷的過程。”這一概念包括了信息系統(tǒng)審計的目標(biāo)、內(nèi)容、過程、方法和結(jié)果，是對信息系統(tǒng)審計比較全面的概括。審計署印發(fā)的《信息系統(tǒng)審計指南》（以下簡稱《指南》）則定義為“國家審計機關(guān)依法對被審計單位信息系統(tǒng)的真實性、合法性、效益性和安全性進行檢查監(jiān)督的活動”。

信息系統(tǒng)審計從具體內(nèi)容講，包括信息系統(tǒng)的可信性目標(biāo)審計、系統(tǒng)效益性目標(biāo)審計和安全性目標(biāo)審計。筆者認(rèn)為，信息系統(tǒng)的不真實、不可信也是系統(tǒng)存在安全風(fēng)險的體現(xiàn)，所以信息系統(tǒng)可信性目標(biāo)審計和安全性目標(biāo)審計可歸為維護信息系統(tǒng)安全而進行的信息系統(tǒng)審計，本文主要對該部分審計內(nèi)容展開探討。

同志說過：信息安全是個大問題，必須把信息安全問題放到至關(guān)重要的位置上，認(rèn)真加以考慮和解決。信息已成為社會發(fā)展的重要戰(zhàn)略資源，信息的獲取、處理和信息保障能力成為綜合國力的重要組成部分，信息安全事關(guān)國家安全，事關(guān)社會穩(wěn)定。目前，我國的信息系統(tǒng)安全不容樂觀。全社會的信息安全意識不強，高端和基礎(chǔ)信息技術(shù)受控于國外，感染計算機病毒的比例逐年上升，網(wǎng)絡(luò)和信息系統(tǒng)的防護水平不高，信息安全管理和技術(shù)人才缺乏且流動性大，信息安全管理薄弱，數(shù)據(jù)不準(zhǔn)確、不完整等情況突出。審計工作要發(fā)揮維護經(jīng)濟社會健康發(fā)展的“免疫系統(tǒng)”功能，推動國家治理的完善，就應(yīng)高度關(guān)注信息系統(tǒng)安全性問題，從數(shù)據(jù)、信息系統(tǒng)和系統(tǒng)內(nèi)控等角度，揭示影響信息系統(tǒng)存在的安全隱患。

二、信息系統(tǒng)存在安全風(fēng)險的主要體現(xiàn)

（一）信息系統(tǒng)的控制風(fēng)險。

COSO（全國虛假財務(wù)報告委員會下屬的發(fā)起人委員會，“The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting”的縮寫）內(nèi)部控制框架中提出信息系統(tǒng)控制分為一般控制和應(yīng)用控制。一般控制，指信息系統(tǒng)總體控制，信息安全技術(shù)控制，信息安全管理控制；應(yīng)用控制，指信息系統(tǒng)業(yè)務(wù)流程，數(shù)據(jù)輸入、處理和輸出的控制，信息共享和業(yè)務(wù)協(xié)同。簡單理解，信息系統(tǒng)控制包括對信息系統(tǒng)的控制和信息系統(tǒng)對業(yè)務(wù)的控制?！吨改稀分兴Q的項目管理審計，不屬于信息系統(tǒng)安全性審計范疇，本文不做探討。目前，通過了解、描述和測試三個審計階段，采取資料審查、系統(tǒng)檢查、數(shù)據(jù)測試、數(shù)據(jù)驗證等審計方法，信息系統(tǒng)控制主要揭示的有以下方面風(fēng)險：

一是物理環(huán)境控制風(fēng)險。這類風(fēng)險主要體現(xiàn)為未經(jīng)授權(quán)的人或設(shè)備直接接觸到信息系統(tǒng)相關(guān)硬件設(shè)備，屬于傳統(tǒng)的安全領(lǐng)域。包括信息系統(tǒng)的相關(guān)硬件設(shè)備、設(shè)備所在機房等硬件環(huán)境是否為符合規(guī)范標(biāo)準(zhǔn)的物理場所，是否做到容災(zāi)異地數(shù)據(jù)備份，是否在機房等所有必要區(qū)域內(nèi)安裝監(jiān)控和防盜設(shè)施，以及其它硬件相關(guān)要求。如對某大型國企信息所機房及辦公場所實地查看審計發(fā)現(xiàn)，該企業(yè)機房環(huán)境不符合國有企業(yè)計算機設(shè)備安全管理相關(guān)制度，機房入口安裝了防盜門，但未配備門禁系統(tǒng)，內(nèi)部也未按機房相關(guān)規(guī)范標(biāo)準(zhǔn)設(shè)置有效的物理隔離裝置。

二是軟件環(huán)境控制風(fēng)險。這類風(fēng)險主要存在于軟件層面訪問控制、權(quán)限控制、操作控制等。體現(xiàn)在信息系統(tǒng)程序的無權(quán)限運行，數(shù)據(jù)輸入、輸出的不準(zhǔn)確、不完整，未經(jīng)允許或授權(quán)的訪問、泄漏、修改、刪除數(shù)據(jù)，系統(tǒng)完整性受到的破壞。如某大學(xué)使用的財務(wù)軟件權(quán)限設(shè)置，會計科科長、網(wǎng)絡(luò)管理員、數(shù)據(jù)庫管理員、系統(tǒng)管理員、記賬員等崗位由同一人擔(dān)任。同時，系統(tǒng)管理員在實施數(shù)據(jù)庫數(shù)據(jù)修改、會計人員崗位分工、權(quán)限設(shè)置等具體操作時，缺乏必要的審批和監(jiān)督程序。權(quán)限高度集中，監(jiān)控制約不力，財務(wù)信息系統(tǒng)存在安全隱患。此外，當(dāng)業(yè)務(wù)流程涉及多個信息系統(tǒng)時，還體現(xiàn)為信息系統(tǒng)數(shù)據(jù)流不銜接、各系統(tǒng)整合不科學(xué)、不完善，業(yè)務(wù)數(shù)據(jù)在不同信息系統(tǒng)之間傳遞沒能做到真實、完整和準(zhǔn)確等。如某省財政廳自行開發(fā)的預(yù)算編審系統(tǒng)、指標(biāo)管理系統(tǒng)、國庫集中支付系統(tǒng)等財政核心業(yè)務(wù)系統(tǒng)都是單獨運行，各業(yè)務(wù)系統(tǒng)未實現(xiàn)有效整合，未能實現(xiàn)“形成以預(yù)算編制為源頭，以收支管理為過程、以預(yù)算及執(zhí)行分析為回路接點的財政業(yè)務(wù)管理流程通暢、操作規(guī)范的信息化處理閉環(huán)”的“金財工程”系統(tǒng)設(shè)計要求。

三是制度控制風(fēng)險。這類風(fēng)險主要存在于制度層面，體現(xiàn)在保證信息系統(tǒng)軟件、硬件良好運行相關(guān)制度規(guī)范不健全。如某大型國企未制定信息安全教育及技能培訓(xùn)和考核管理辦法；某省財政廳委托軟件公司開發(fā)的信息系統(tǒng)“數(shù)據(jù)字典”不完整，并且軟件開發(fā)公司技術(shù)人員大量流失，未建立信息系統(tǒng)軟件開發(fā)文檔等基礎(chǔ)資料，信息系統(tǒng)中部分功能已經(jīng)無法進行升級、維護。這些都是制度層面不完善給信息系統(tǒng)帶來的安全隱患。

（二）系統(tǒng)設(shè)計完整性風(fēng)險。

這種風(fēng)險主要體現(xiàn)在信息系統(tǒng)功能設(shè)計缺陷，信息系統(tǒng)不能保證真實、完整、準(zhǔn)確地反映業(yè)務(wù)情況。如對某市新型農(nóng)村合作醫(yī)療（以下簡稱“新農(nóng)合”）信息系統(tǒng)的軟件設(shè)計審計發(fā)現(xiàn)，雖然該信息系統(tǒng)軟件基本具備國家規(guī)范要求的八個基本功能模塊，但參合管理模塊對不規(guī)范、錯誤、重復(fù)錄入?yún)⒑先藛T信息的情況缺乏差錯、重復(fù)數(shù)據(jù)提醒功能，導(dǎo)致系統(tǒng)內(nèi)大量不準(zhǔn)確、不真實參合人員數(shù)據(jù)存在，影響各級財政以此數(shù)據(jù)撥付至縣級新農(nóng)合的補貼款的準(zhǔn)確性。

（三）系統(tǒng)外包服務(wù)安全風(fēng)險。

這種風(fēng)險主要體現(xiàn)在信息系統(tǒng)開發(fā)維護等相關(guān)服務(wù)外包過程中，由于相應(yīng)的控制機制不健全，導(dǎo)致信息系統(tǒng)數(shù)據(jù)存在安全風(fēng)險。如對某市新農(nóng)合信息系統(tǒng)審計，發(fā)現(xiàn)該市新農(nóng)合應(yīng)用軟件主要由某軟件工程有限公司以軟件免費、服務(wù)有償?shù)姆绞教峁Ｑ由煸撥浖景l(fā)現(xiàn)，該公司人員在系統(tǒng)維護中可不受權(quán)限限制，遠(yuǎn)程登錄并操作由其提供技術(shù)服務(wù)的新農(nóng)合信息系統(tǒng)服務(wù)器，系統(tǒng)數(shù)據(jù)存在未經(jīng)授權(quán)就被修改或刪除風(fēng)險。

（四）網(wǎng)絡(luò)和信息傳輸風(fēng)險。

這種風(fēng)險主要體現(xiàn)在傳輸信息數(shù)據(jù)的介質(zhì)環(huán)境不符合相應(yīng)規(guī)范標(biāo)準(zhǔn)，數(shù)據(jù)傳輸中存在出錯、被竊取、被篡改等隱患。如對某市新農(nóng)合信息系統(tǒng)審計發(fā)現(xiàn)，管理單位從運營費用角度考慮，降低數(shù)據(jù)傳輸介質(zhì)安全要求，選擇網(wǎng)絡(luò)運營商提供的普通線路，而不是價格較高的專線。普通線路是新農(nóng)合數(shù)據(jù)與互聯(lián)網(wǎng)信息數(shù)據(jù)共同的傳輸介質(zhì)，在虛擬專用網(wǎng)絡(luò)（VPN）、數(shù)字證書認(rèn)證、電子簽名、電子印章等信息安全措施方面幾乎沒有投入，安全性差，在此環(huán)境下傳輸?shù)男罗r(nóng)合數(shù)據(jù)，在傳輸過程中存在較大安全隱患。

三、信息系統(tǒng)安全性審計存在的突出問題及應(yīng)對策略

一是審計內(nèi)容凌亂。目前所出具的信息系統(tǒng)審計報告內(nèi)容有的以保證系統(tǒng)數(shù)據(jù)輸入、輸出的準(zhǔn)確性為主，有些以信息系統(tǒng)物理環(huán)境控制的審計內(nèi)容為主，有些以信息系統(tǒng)設(shè)計完整性的相關(guān)內(nèi)容為主，有些則涉及了信息系統(tǒng)數(shù)據(jù)文檔健全、系統(tǒng)開發(fā)公司的技術(shù)力量、系統(tǒng)維護穩(wěn)定性等多方面內(nèi)容，等等，總之，如何保證信息系統(tǒng)安全，關(guān)注什么，重點揭示什么，建議什么，報告規(guī)范的寫法怎么還沒規(guī)范。

出現(xiàn)上述情況，這與我國信息系統(tǒng)審計的發(fā)展階段有關(guān)。信息系統(tǒng)審計還處于探索發(fā)展的階段，相應(yīng)的信息系統(tǒng)審計法律依據(jù)還不充分，審計署出臺的《指南》內(nèi)容龐雜，針對性不強，還沒有真正起到指導(dǎo)審計人員實務(wù)工作的效果。此外，信息系統(tǒng)審計人才隊伍還不能完全滿足審計需要，審計規(guī)范性要求還未成型，等等。

這就要求我們在信息系統(tǒng)數(shù)據(jù)安全審計的探索中，以一種科學(xué)的態(tài)度，不斷總結(jié)經(jīng)驗，不斷積累，按照計劃、實施、報告三個階段實施信息系統(tǒng)審計，逐步形成信息系統(tǒng)數(shù)據(jù)安全審計操作規(guī)范。按照《指南》總的流程規(guī)范，有針對性地對不同的信息系統(tǒng)的特點，如按行政事業(yè)單位、企業(yè)等分類，明確不同系統(tǒng)必要的審計內(nèi)容和常規(guī)的審計流程是什么，以什么標(biāo)準(zhǔn)進行。逐步將成熟、有效的信息系統(tǒng)審計方法，固化到現(xiàn)場審計實施系統(tǒng)當(dāng)中或開發(fā)成標(biāo)準(zhǔn)的審計模塊，來規(guī)范信息系統(tǒng)審計。

二是審計數(shù)據(jù)分割。基于被審計單位信息系統(tǒng)數(shù)據(jù)安全考慮，審計人員一般不會在被審計單位原始信息系統(tǒng)中直接進行審計分析，而是將被審計單位信息系統(tǒng)部分?jǐn)?shù)據(jù)提取后，導(dǎo)入SQL等其它數(shù)據(jù)庫分析軟件進行審計。有目的地提取數(shù)據(jù)庫并進行分析，可以提高工作效率，但脫離了被審計單位的網(wǎng)絡(luò)環(huán)境和系統(tǒng)平臺，部分?jǐn)?shù)據(jù)則無法實現(xiàn)模擬流轉(zhuǎn)，一些在數(shù)據(jù)流轉(zhuǎn)中才能發(fā)現(xiàn)的舞弊行為則較難發(fā)現(xiàn)。如基于ERP（Enterprise Resource Planning企業(yè)資源計劃）管理理念所開發(fā)出的大型企業(yè)管理軟件，是按照有關(guān)規(guī)定、財務(wù)準(zhǔn)則開發(fā)的，具有嚴(yán)謹(jǐn)?shù)牧鞒?，購、產(chǎn)、銷、存相關(guān)程度很高。一些企業(yè)為了做假，會在ERP軟件中錄入虛假數(shù)據(jù)，導(dǎo)致賬實不符。企業(yè)為了讓虛假數(shù)據(jù)通過軟件驗證功能，會人為打斷ERP軟件一些業(yè)務(wù)流程設(shè)計。如果審計人員對個別數(shù)據(jù)庫進行分析，舞弊行為一般較難發(fā)現(xiàn)。但如果在模擬業(yè)務(wù)平臺中按流程測試，執(zhí)行到某一環(huán)節(jié)，軟件某一模塊缺乏或參數(shù)設(shè)置異常，則應(yīng)作為審計重點。

這就要求面對較為復(fù)雜的信息系統(tǒng)，審計人員應(yīng)當(dāng)盡可能恢復(fù)被審計的信息系統(tǒng)環(huán)境，通過符合性測試和實質(zhì)性測試審計方法，順著數(shù)據(jù)流檢驗信息系統(tǒng)的完整性，查找可能存在的舞弊行為。

三是對信息系統(tǒng)前瞻評價困難。審計實務(wù)中常常遇到某部門或單位投巨資開發(fā)的信息系統(tǒng)因不能滿足業(yè)務(wù)需要或者不符行業(yè)設(shè)計規(guī)范而停止使用，新舊信息系統(tǒng)間數(shù)據(jù)進行大量遷移，甚至原信息系統(tǒng)數(shù)據(jù)則無法再進行查詢、利用，這對信息數(shù)據(jù)安全也產(chǎn)生很大影響。而與之相對照，審計人員對信息系統(tǒng)功能和數(shù)據(jù)關(guān)注較多，對該信息系統(tǒng)發(fā)展前瞻性評價較少。

這就要求審計人員在充分熟悉被審計單位信息系統(tǒng)的基礎(chǔ)上，結(jié)合被審計單位業(yè)務(wù)特點、行業(yè)的信息系統(tǒng)開發(fā)設(shè)計規(guī)范要求，對被審計單位信息系統(tǒng)建設(shè)提出戰(zhàn)略性的發(fā)展建議。

四是整改困難。信息系統(tǒng)審計中發(fā)現(xiàn)的一些安全隱患，有些是可以讓被審計單位加強管理或以技術(shù)手段彌補漏洞的，但有些問題可能會影響到整個信息系統(tǒng)的架構(gòu)，整改成本高，被審計單位接受難度大。加上審計目前還沒有對信息系統(tǒng)定性的規(guī)范，也沒有強制手段讓其對信息系統(tǒng)進行完善，這就使整改難度大。這就要求審計人員更加深入了解被審計的信息系統(tǒng)，提出針對性強、科學(xué)的整改建議，推動被審計單位以最小的成本進行審計整改。

第3篇：信息安全審計報告范文

電子數(shù)據(jù)安全是建立在計算機網(wǎng)絡(luò)安全基礎(chǔ)上的一個子項安全系統(tǒng)，它既是計算機網(wǎng)絡(luò)安全概念的一部分，但又和計算機網(wǎng)絡(luò)安全緊密相連，從一定意義上講，計算機網(wǎng)絡(luò)安全其實質(zhì)即是電子數(shù)據(jù)安全。國際標(biāo)準(zhǔn)化組織(ISO)對計算機網(wǎng)絡(luò)安全的定義為：“計算機系統(tǒng)有保護計算機系統(tǒng)的硬件、軟件、數(shù)據(jù)不被偶然或故意地泄露、更改和破壞。”歐洲幾個國家共同提出的“信息技術(shù)安全評級準(zhǔn)則”，從保密性、完整性和可用性來衡量計算機安全。對電子數(shù)據(jù)安全的衡量也可借鑒這三個方面的內(nèi)容，保密性是指計算機系統(tǒng)能防止非法泄露電子數(shù)據(jù)；完整性是指計算機系統(tǒng)能防止非法修改和刪除電子數(shù)據(jù)；可用性是指計算機系統(tǒng)能防止非法獨占電子數(shù)據(jù)資源，當(dāng)用戶需要使用計算機資源時能有資源可用。

二、電子數(shù)據(jù)安全的性質(zhì)

電子數(shù)據(jù)安全包括了廣義安全和狹義安全。狹義安全僅僅是計算機系統(tǒng)對外部威脅的防范，而廣義的安全是計算機系統(tǒng)在保證電子數(shù)據(jù)不受破壞并在給定的時間和資源內(nèi)提供保證質(zhì)量和確定的服務(wù)。在電子數(shù)據(jù)運行在電子商務(wù)等以計算機系統(tǒng)作為一個組織業(yè)務(wù)目標(biāo)實現(xiàn)的核心部分時，狹義安全固然重要，但需更多地考慮廣義的安全。在廣義安全中，安全問題涉及到更多的方面，安全問題的性質(zhì)更為復(fù)雜。

(一)電子數(shù)據(jù)安全的多元性

在計算機網(wǎng)絡(luò)系統(tǒng)環(huán)境中，風(fēng)險點和威脅點不是單一的，而存在多元性。這些威脅點包括物理安全、邏輯安全和安全管理三個主要方面。物理安全涉及到關(guān)鍵設(shè)施、設(shè)備的安全和硬件資產(chǎn)存放地點的安全等內(nèi)容；邏輯安全涉及到訪問控制和電子數(shù)據(jù)完整性等方面；安全管理包括人員安全管理政策、組織安全管理政策等內(nèi)容。電子數(shù)據(jù)安全出現(xiàn)問題可能是其中一個方面出現(xiàn)了漏洞，也可能是其中兩個或是全部出現(xiàn)互相聯(lián)系的安全事故。

(二)電子數(shù)據(jù)安全的動態(tài)性

由于信息技術(shù)在不斷地更新，電子數(shù)據(jù)安全問題就具有動態(tài)性。因為在今天無關(guān)緊要的地方，在明天就可能成為安全系統(tǒng)的隱患；相反，在今天出現(xiàn)問題的地方，在將來就可能已經(jīng)解決。例如，線路劫持和竊聽的可能性會隨著加密層協(xié)議和密鑰技術(shù)的廣泛應(yīng)用大大降低，而客戶機端由于B0這樣的黑客程序存在，同樣出現(xiàn)了安全需要。安全問題的動態(tài)性導(dǎo)致不可能存在一勞永逸的解決方案。

(三)電子數(shù)據(jù)安全的復(fù)雜性

安全的多元性使僅僅采用安全產(chǎn)品來防范難以奏效。例如不可能用一個防火墻將所有的安全問題擋在門外，因為黑客常常利用防火墻的隔離性，持續(xù)幾個月在防火墻外試探系統(tǒng)漏洞而未被發(fā)覺，并最終攻入系統(tǒng)。另外，攻擊者通常會從不同的方面和角度，例如對物理設(shè)施或協(xié)議、服務(wù)等邏輯方式對系統(tǒng)進行試探，可能繞過系統(tǒng)設(shè)置的某些安全措施，尋找到系統(tǒng)漏洞而攻入系統(tǒng)。它涉及到計算機和網(wǎng)絡(luò)的硬件、軟件知識，從最底層的計算機物理技術(shù)到程序設(shè)計內(nèi)核，可以說無其不包，無所不在，因為攻擊行為可能并不是單個人的，而是掌握不同技術(shù)的不同人群在各個方向上展開的行動。同樣道理，在防范這些問題時，也只有掌握了各種入侵技術(shù)和手段，才能有效的將各種侵犯拒之門外，這樣就決定了電子數(shù)據(jù)安全的復(fù)雜性。

(四)電子數(shù)據(jù)安全的安全悖論

目前，在電子數(shù)據(jù)安全的實施中，通常主要采用的是安全產(chǎn)品。例如防火墻、加密狗、密鑰等，一個很自然的問題會被提出：安全產(chǎn)品本身的安全性是如何保證的?這個問題可以遞歸地問下去，這便是安全的悖論。安全產(chǎn)品放置點往往是系統(tǒng)結(jié)構(gòu)的關(guān)鍵點，如果安全產(chǎn)品自身的安全性差，將會后患無窮。當(dāng)然在實際中不可能無限層次地進行產(chǎn)品的安全保證，但一般至少需要兩層保證，即產(chǎn)品開發(fā)的安全保證和產(chǎn)品認(rèn)證的安全保證。

(五)電子數(shù)據(jù)安全的適度性

由以上可以看出，電子數(shù)據(jù)不存在l00％的安全。首先由于安全的多元性和動態(tài)性，難以找到一個方法對安全問題實現(xiàn)百分之百的覆蓋；其次由于安全的復(fù)雜性，不可能在所有方面應(yīng)付來自各個方面的威脅；再次，即使找到這樣的方法，一般從資源和成本考慮也不可能接受。目前，業(yè)界普遍遵循的概念是所謂的“適度安全準(zhǔn)則”，即根據(jù)具體情況提出適度的安全目標(biāo)并加以實現(xiàn)。

三、電子數(shù)據(jù)安全審計

電子數(shù)據(jù)安全審計是對每個用戶在計算機系統(tǒng)上的操作做一個完整的記錄，以備用戶違反安全規(guī)則的事件發(fā)生后，有效地追查責(zé)任。電子數(shù)據(jù)安全審計過程的實現(xiàn)可分成三步：第一步，收集審計事件，產(chǎn)生審記記錄；第二步，根據(jù)記錄進行安全違反分析；第三步，采取處理措施。

電子數(shù)據(jù)安全審計工作是保障計算機信息安全的重要手段。凡是用戶在計算機系統(tǒng)上的活動、上機下機時間，與計算機信息系統(tǒng)內(nèi)敏感的數(shù)據(jù)、資源、文本等安全有關(guān)的事件，可隨時記錄在日志文件中，便于發(fā)現(xiàn)、調(diào)查、分析及事后追查責(zé)任，還可以為加強管理措施提供依據(jù)。

（一）審計技術(shù)

電子數(shù)據(jù)安全審計技術(shù)可分三種：了解系統(tǒng)，驗證處理和處理結(jié)果的驗證。

1．了解系統(tǒng)技術(shù)

審計人員通過查閱各種文件如程序表、控制流程等來審計。

2．驗證處理技術(shù)

這是保證事務(wù)能正確執(zhí)行，控制能在該系統(tǒng)中起作用。該技術(shù)一般分為實際測試和性能測試，實現(xiàn)方法主要有：

（1）事務(wù)選擇

審計人員根據(jù)制訂的審計標(biāo)準(zhǔn)，可以選擇事務(wù)的樣板來仔細(xì)分析。樣板可以是隨機的，選擇軟件可以掃描一批輸入事務(wù)，也可以由操作系統(tǒng)的事務(wù)管理部件引用。

（2）測試數(shù)據(jù)

這種技術(shù)是程序測試的擴展，審計人員通過系統(tǒng)動作準(zhǔn)備處理的事務(wù)。通過某些獨立的方法，可以預(yù)見正確的結(jié)果，并與實際結(jié)果相比較。用此方法，審計人員必須通過程序檢驗被處理的測試數(shù)據(jù)。另外，還有綜合測試、事務(wù)標(biāo)志、跟蹤和映射等方法。

（3）并行仿真。審計人員要通過一應(yīng)用程序來仿真操作系統(tǒng)的主要功能。當(dāng)給出實際的和仿真的系統(tǒng)相同數(shù)據(jù)后，來比較它們的結(jié)果。仿真代價較高，借助特定的高級語音可使仿真類似于實際的應(yīng)用。

（4）驗證處理結(jié)果技術(shù)

這種技術(shù)，審計人員把重點放在數(shù)據(jù)上，而不是對數(shù)據(jù)的處理上。這里主要考慮兩個問題：

一是如何選擇和選取數(shù)據(jù)。將審計數(shù)據(jù)收集技術(shù)插入應(yīng)用程序?qū)徲嬆K（此模塊根據(jù)指定的標(biāo)準(zhǔn)收集數(shù)據(jù)，監(jiān)視意外事件）；擴展記錄技術(shù)為事務(wù)（包括面向應(yīng)用的工具）建立全部的審計跟蹤；借用于日志恢復(fù)的備份庫（如當(dāng)審計跟蹤時，用兩個可比較的備份去檢驗賬目是否相同）；通過審計庫的記錄抽取設(shè)施（它允許結(jié)合屬性值隨機選擇文件記錄并放在工作文件中，以備以后分析），利用數(shù)據(jù)庫管理系統(tǒng)的查詢設(shè)施抽取用戶數(shù)據(jù)。

二是從數(shù)據(jù)中尋找什么？一旦抽取數(shù)據(jù)后，審計人員可以檢查控制信息（含檢驗控制總數(shù)、故障總數(shù)和其他控制信息）；檢查語義完整性約束；檢查與無關(guān)源點的數(shù)據(jù)。

（二）審計范圍

在系統(tǒng)中，審計通常作為一個相對獨立的子系統(tǒng)來實現(xiàn)。審計范圍包括操作系統(tǒng)和各種應(yīng)用程序。

操作系統(tǒng)審計子系統(tǒng)的主要目標(biāo)是檢測和判定對系統(tǒng)的滲透及識別誤操作。其基本功能為：審計對象（如用戶、文件操作、操作命令等）的選擇；審計文件的定義與自動轉(zhuǎn)換；文件系統(tǒng)完整性的定時檢測；審計信息的格式和輸出媒體；逐出系統(tǒng)、報警閥值的設(shè)置與選擇；審計日態(tài)記錄及其數(shù)據(jù)的安全保護等。

應(yīng)用程序?qū)徲嬜酉到y(tǒng)的重點是針對應(yīng)用程序的某些操作作為審計對象進行監(jiān)視和實時記錄并據(jù)記錄結(jié)果判斷此應(yīng)用程序是否被修改和安全控制，是否在發(fā)揮正確作用；判斷程序和數(shù)據(jù)是否完整；依靠使用者身份、口令驗證終端保護等辦法控制應(yīng)用程序的運行。

（三）審計跟蹤

通常審計跟蹤與日志恢復(fù)可結(jié)合起來使用，但在概念上它們之間是有區(qū)別的。主要區(qū)別是日志恢復(fù)通常不記錄讀操作；但根據(jù)需要，日記恢復(fù)處理可以很容易地為審計跟蹤提供審計信息。如果將審計功能與告警功能結(jié)合起來，就可以在違反安全規(guī)則的事件發(fā)生時，或在威脅安全的重要操作進行時，及時向安檢員發(fā)出告警信息，以便迅速采取相應(yīng)對策，避免損失擴大。審計記錄應(yīng)包括以下信息：事件發(fā)生的時間和地點；引發(fā)事件的用戶；事件的類型；事件成功與否。

審計跟蹤的特點是：對被審計的系統(tǒng)是透明的；支持所有的應(yīng)用；允許構(gòu)造事件實際順序；可以有選擇地、動態(tài)地開始或停止記錄；記錄的事件一般應(yīng)包括以下內(nèi)容：被審訊的進程、時間、日期、數(shù)據(jù)庫的操作、事務(wù)類型、用戶名、終端號等；可以對單個事件的記錄進行指定。

按照訪問控制類型，審計跟蹤描述一個特定的執(zhí)行請求，然而，數(shù)據(jù)庫不限制審計跟蹤的請求。獨立的審計跟蹤更保密，因為審計人員可以限制時間，但代價比較昂貴。

（四）審計的流程

電子數(shù)據(jù)安全審計工作的流程是：收集來自內(nèi)核和核外的事件，根據(jù)相應(yīng)的審計條件，判斷是否是審計事件。對審計事件的內(nèi)容按日志的模式記錄到審計日志中。當(dāng)審計事件滿足報警閥的報警值時，則向?qū)徲嬋藛T發(fā)送報警信息并記錄其內(nèi)容。當(dāng)事件在一定時間內(nèi)連續(xù)發(fā)生，滿足逐出系統(tǒng)閥值，則將引起該事件的用戶逐出系統(tǒng)并記錄其內(nèi)容。

常用的報警類型有：用于實時報告用戶試探進入系統(tǒng)的登錄失敗報警以及用于實時報告系統(tǒng)中病毒活動情況的病毒報警等。

第4篇：信息安全審計報告范文

【關(guān)鍵詞】電力監(jiān)控系統(tǒng) 內(nèi)網(wǎng)安全監(jiān)視 閉環(huán)管控

1 引言

隨著電力監(jiān)控系統(tǒng)安全防護工作和信息系統(tǒng)安全等級保護工作的深入開展，各級電力公司部署了大量監(jiān)控系統(tǒng)安全防護設(shè)備（系統(tǒng)）。上述安全防護設(shè)備的運行和管理一直處于松散狀態(tài)，產(chǎn)生海量的運行數(shù)據(jù)及安全事件使管理人員疲于應(yīng)對，無法做到對電力監(jiān)控系統(tǒng)安全狀態(tài)的全面掌控，同時缺乏集中監(jiān)控和統(tǒng)計分析手段，難以及時發(fā)現(xiàn)安全隱患。為解決安全防護設(shè)備缺乏有效集中監(jiān)管的現(xiàn)狀，本文對電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉關(guān)管控技術(shù)進行研究，實現(xiàn)了全省電力監(jiān)控系統(tǒng)安防設(shè)備（系統(tǒng)）實時在線監(jiān)控及量化管理。

本文根據(jù)閉環(huán)管理相關(guān)理論為基礎(chǔ)，結(jié)合電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全事件的特點，在電力系統(tǒng)內(nèi)率先提出了“監(jiān)視分析管理解決總結(jié)”的安全事件閉環(huán)管控機制，有效地解決了內(nèi)網(wǎng)安全事件分析結(jié)果不直觀、處理過程無監(jiān)控、處理結(jié)果無歸檔等問題。該系統(tǒng)將安全事件按照七個基本程序進行管理，即事件發(fā)現(xiàn)、事件分析、事件處理、事件變更、事件管控、事件關(guān)閉、事件總結(jié)。七個環(huán)節(jié)環(huán)環(huán)緊扣，缺一不可。

為實現(xiàn)對安全事件的科學(xué)分類和有效管理，湖北省電力調(diào)控中心針對安全告警事件開展了深入研究，同時也借鑒了一些先進的理論和模型。

2 閉環(huán)管控系統(tǒng)

2.1 閉環(huán)管控相關(guān)理論及模型

2.1.1 PDCA循環(huán)

PDCA循環(huán)又名戴明環(huán)，是管理學(xué)中的一個通用模型[1]。最早由休哈特（Walter A. Shewhart）于1930年構(gòu)想，后來被美國質(zhì)量管理專家戴明（Edwards Deming）博士在1950年再度挖掘出來，并加以廣泛宣傳和運用于持續(xù)改善產(chǎn)品質(zhì)量的過程中。它是全面質(zhì)量管理所應(yīng)遵循的科學(xué)程序，包括質(zhì)量管理活動的全部過程，這個過程按照PDCA循環(huán)，不停頓地運轉(zhuǎn)。它不僅在質(zhì)量管理體系中運用，也適用于一切循序漸進的管理工作，可以使管理工作能夠不斷創(chuàng)新發(fā)展，理順管理者的工作思路。在管理的過程中，注重檢查及反饋，以達(dá)到不斷改進策略，提升管理水平的目的[2]。PDCA循環(huán)，如圖1所示。

其中P （Plan） 計劃，包括方針和目標(biāo)的確定，以及活動規(guī)劃的制定；D （Do） 執(zhí)行，根據(jù)已知的信息，設(shè)計具體的方法、方案和計劃布局；再根據(jù)設(shè)計和布局，進行具體運作，實現(xiàn)計劃中的內(nèi)容；C （Check） 檢查，總結(jié)執(zhí)行計劃的結(jié)果，分清哪些對了，哪些錯了，明確效果，找出問題；A （Action） 處理，對檢查的結(jié)果進行處理，對成功的經(jīng)驗加以肯定，并予以標(biāo)準(zhǔn)化；對于失敗的教訓(xùn)也要總結(jié)，引起重視。對于沒有解決的問題，應(yīng)提交給下一個PDCA循環(huán)中去解決。

2.1.2 IDEAL模型

IDEALSM是SEI推出的過程改進模型。該模型將過程改進分為五個階段來完成，形成一個螺旋推進、循環(huán)往復(fù)的改進策略。而且該模型還強調(diào)每個改進周期內(nèi)的閉環(huán)機制，即：改進問題有被識別、具體的改進措施有被納入計劃，且被執(zhí)行、被驗證和總結(jié)。IDEAL[3]模型結(jié)構(gòu)，如圖2所示。

其中I代表Initiating（初始化），確定改進的目標(biāo)并獲得改進的基礎(chǔ)結(jié)構(gòu)；D代表Diagnosing（診斷），確定現(xiàn)狀與改進目標(biāo)之間的差異；E代表Establishing（建設(shè)），計劃如何達(dá)成目標(biāo)；A代表Acting（行動），根據(jù)計劃開展工作；L代表Learning（學(xué)習(xí)），從經(jīng)驗中學(xué)習(xí)，以提高未來過程的效能。

上V理論及模型廣泛應(yīng)用于各行各業(yè)，得到了充分的驗證，以及普遍的認(rèn)可。本文提出的電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)充分繼承了PDCA循環(huán)和IDEAL模型的精髓，實現(xiàn)了從事件發(fā)現(xiàn)、事件分析、事件定位、事件處理、事件控制、事件提升的閉環(huán)管理。

2.2 閉環(huán)管控系統(tǒng)架構(gòu)

電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)是集安全監(jiān)視、安全分析、安全運維、安全執(zhí)行、安全審計于一體的管理中心[4，5]，其系統(tǒng)架構(gòu)如圖3所示。

2.2.1 數(shù)據(jù)采集

數(shù)據(jù)采集是閉環(huán)管控的基礎(chǔ)，其實現(xiàn)了對電力專用安全防護設(shè)備（橫向物理隔離設(shè)備、縱向加密認(rèn)證裝置）、防火墻、入侵監(jiān)測系統(tǒng)（IDS/IPS）、防病毒系統(tǒng)，以及電力調(diào)度系統(tǒng)內(nèi)部關(guān)鍵應(yīng)用的數(shù)據(jù)采集。

其中，事件獲取是采用Syslog方式獲取各種安全防護設(shè)備的事件內(nèi)容；事件過濾是將大量無需關(guān)注、不重要的安全事件過濾掉；事件歸并和聚合是對重復(fù)事件進行歸并，所有重復(fù)事件只記錄其第一次發(fā)生時間、最后一次發(fā)生時間和發(fā)生的次數(shù)；事件轉(zhuǎn)發(fā)是將初步處理后得到的安全事件提交分析引擎。

2.2.2 通信管理

通信管理是整個系統(tǒng)架構(gòu)中的重要組成部分，主要實現(xiàn)對原始信息的監(jiān)聽以及上下級協(xié)同告警信息的。

其中原始信息監(jiān)聽主要通過標(biāo)準(zhǔn)的514端口對各類安全防護裝置（系統(tǒng)）的syslog告警信息進行監(jiān)聽，為數(shù)據(jù)采集功能提供重要支撐；同時，閉環(huán)管理系統(tǒng)可以采用多級部署，利用信息加密隧道實現(xiàn)對于上下級事件的同步感知，使全網(wǎng)的安全防護及閉環(huán)管理工作形成有機的整體，避免安全防護工作出現(xiàn)短板導(dǎo)致安全事件的發(fā)生。

2.2.3 分析引擎

該系統(tǒng)實現(xiàn)了事件類型關(guān)聯(lián)、事件內(nèi)容關(guān)聯(lián)、資產(chǎn)信息關(guān)聯(lián)，能夠通過特定算法從大量安全事件數(shù)據(jù)中挖掘當(dāng)前的安全趨勢和規(guī)律[6，7]。關(guān)聯(lián)分析類型如下：

①基本關(guān)聯(lián)，根據(jù)事件的基本屬性信息關(guān)聯(lián)分析結(jié)果；

②攻擊關(guān)聯(lián)，根據(jù)安全設(shè)備發(fā)出的告警事件，結(jié)合目標(biāo)資產(chǎn)的類型生成關(guān)聯(lián)分析結(jié)果；

③位置關(guān)聯(lián)，根據(jù)事件來源的位置或者目標(biāo)資產(chǎn)的物理位置，生成關(guān)聯(lián)分析結(jié)果；

④角色關(guān)聯(lián)，根據(jù)事件相關(guān)用戶名結(jié)合事件基本屬性，生成關(guān)聯(lián)分析結(jié)果；

⑤因果關(guān)聯(lián)，根據(jù)事件類型結(jié)合事件行為結(jié)果，生成關(guān)聯(lián)分析結(jié)果。

2.2.4 閉環(huán)管控

該系統(tǒng)通過安全監(jiān)視發(fā)現(xiàn)問題，通過事件統(tǒng)計分析問題，通過策略執(zhí)行處理問題，通過權(quán)限管理和安全審計控制問題處理過程，通過知識管理總結(jié)問題，提升安全事件處理能力。

其中，安全監(jiān)視主要是指內(nèi)網(wǎng)安全監(jiān)視平臺，主要實現(xiàn)對安全事件的采集、分析及告警；問題跟蹤是對安全事件進行管理，使安全事件管理的質(zhì)量評定與工作績效相結(jié)合，提高維護人員的主動性；權(quán)限管理對事件處理的人員、權(quán)限、時限、內(nèi)容及步驟進行嚴(yán)格控制，加強在操作過程中的安全防護，減少因非法操作和誤操作而帶來的系統(tǒng)性風(fēng)險；執(zhí)行管控是對解決問題過程進行全程監(jiān)督和審計，形成事中、事后的審查機制，從而提高運維人員的自律性；知識管理是建立內(nèi)網(wǎng)安全事件的專家知識庫，實現(xiàn)知識的統(tǒng)一搜集、整理、管理[8，9]。

2.3 閉環(huán)管控流程

電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)將安全事件的發(fā)現(xiàn)、分析、處理、控制、提升形成管理閉環(huán)，整個過程可分為7個階段，分別是“事件監(jiān)視與告警”、“事件分析與診斷”、“事件處理”、“變更管理”、“配置管控”、“恢復(fù)與確認(rèn)”、“總結(jié)與改進”[10，11]。如圖4所示。

第1階段-事件監(jiān)視與報警。

值班人員通過內(nèi)網(wǎng)安全監(jiān)視應(yīng)用對電力監(jiān)控系統(tǒng)安全情況進行監(jiān)視，及時發(fā)現(xiàn)安全事件，并通知相關(guān)人員進行處理。值班人員采用二種方式（即內(nèi)網(wǎng)安全監(jiān)視的事件告警和值班電話）集中發(fā)現(xiàn)和記錄內(nèi)網(wǎng)安全事件，通過創(chuàng)建安全事件工單對事件進行集中流程化處理。

閉環(huán)管控系統(tǒng)會對收集上來的事件之間相關(guān)性采用過濾、合并、關(guān)聯(lián)的技術(shù)手段分析出有效的事件處理切入點，將多個相關(guān)事件合并生成一個流程工單處理解決，簡化值班人員處理安全事件流程，提高其工作效率。在生成事件工單后，值班人員將工單轉(zhuǎn)給相關(guān)系統(tǒng)管理員，由系統(tǒng)管理員對事件信息進行核實后進行進一步處理。

第2階段-事件分析與診斷。

系統(tǒng)管理員在分析事件的過程中可以與相關(guān)的運維人員一起協(xié)同分析，并由系統(tǒng)管理員根據(jù)事件緊急度、優(yōu)先級、及影響范圍再次確定事件級別合理性。系統(tǒng)管理員可以使用內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控提供的事件分析工具，通過過濾、合并、匯總、分析等規(guī)則，采用圖形化分析手段，直觀解析事件關(guān)系，幫助運維人員理清思路、找到解決方法。在事件原因和解決思路明確后，系統(tǒng)管理員將事件工單指派給相應(yīng)的運維人員處理。（如圖4）

第3階段-事件處理。

在運維人員明確解決方案后，將開展事件的處理工作。據(jù)事件具體情況進一步由二線、三線運維人員介入處理。

運維人員處理過程中，可以借助知識庫管理系統(tǒng)直接提供類似關(guān)聯(lián)事件處理經(jīng)驗以供參考。如果處理事件不涉及到資產(chǎn)配置的變更，則直接處理并將處理完的結(jié)果提交值班人員確認(rèn)；如果處理事件涉及到資產(chǎn)配置的變更時，則要提出變更申請，執(zhí)行相關(guān)變更流程，完成變更后再提交處理結(jié)果由值班人員確認(rèn)。

第4階段-變更管理。

在事件處理的過程中，如果涉及到資產(chǎn)配置的變更，則需要啟動變更管理流程。由運維人員提出變更方案，方案中包括涉及資產(chǎn)、變更內(nèi)容、風(fēng)險評估、應(yīng)急預(yù)案、回退措施等子項，變更方案提交給系統(tǒng)管理員審批，經(jīng)審批后指派相關(guān)運維人員進行處理，如果變更方案不通過則重新由運維人員提交新的變更方案。在系統(tǒng)管理員審核通過后，系統(tǒng)將自動關(guān)聯(lián)管控機策略，開啟相關(guān)資源的“操作通道”，授權(quán)相關(guān)運維人員完成配置變更操作。

第5階段-配置變更操作管控。

運維人員在獲得資產(chǎn)配置變更操作授權(quán)之后，將使用運維專用機對相關(guān)資產(chǎn)進行配置修改，同時系統(tǒng)管理員可以實時監(jiān)視運維人員操作行為，并對不合規(guī)操作強制阻斷。在強制阻斷后，運維人員需要重新考慮變更方案，重新開始新的變更流程。對于運維人員操作全過程采用內(nèi)容錄像方式保存，提高操作全程記錄審計能力。

運維專用機對資源帳號密a采用統(tǒng)一記錄與管理，運維人員無法獲取系統(tǒng)資源帳號及密碼，只有“系統(tǒng)管理員”根據(jù)具體事件工單涉及的相關(guān)設(shè)備進行“動態(tài)式”授權(quán)，后臺自動建立訪問控制策略后，運維人員才能操作和修改資源配置。這樣能夠有效的防止密碼外泄，加強相關(guān)人員操作訪問的權(quán)限、時限控制，減少因非法操作和誤操作而帶來的系統(tǒng)性風(fēng)險。

第6階段-恢復(fù)與確認(rèn)。

在運維人員事件處理完畢，系統(tǒng)恢復(fù)正常工作后，運維人員將事件工單提交給發(fā)現(xiàn)事件的值班人員，由值班人員對事件處理結(jié)果進行確認(rèn)，采用檢查資源狀態(tài)、電話回訪等方式確認(rèn)事件是否解決。同時，值班人員將進行事件處理的滿意度調(diào)查，由值班人員填寫事件處理滿意度調(diào)查結(jié)果和評價。

第7階段-總結(jié)與改進。

在事件恢復(fù)后，運維人員對處理內(nèi)容、方法進行總結(jié)，系統(tǒng)自動將處理經(jīng)驗生成事件處理報告并提交系統(tǒng)管理員，系統(tǒng)管理員對事件處理報告進行審核，對滿足經(jīng)典經(jīng)驗的知識進行標(biāo)注，將經(jīng)驗納入知識庫中。通過對搜集、整理的內(nèi)網(wǎng)安全事件處理經(jīng)驗進行專家評審，提高知識專業(yè)性，形成專家知識庫。

3 應(yīng)用效果

本文提出的閉環(huán)管理模式進一步規(guī)范了事件管理的程序和標(biāo)準(zhǔn)，豐富和發(fā)展了適用于電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全事件的管理方法，使安全管理工作邁上規(guī)范化、程序化的運行軌道。湖北省電力調(diào)控中心通過內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)的建設(shè)，使系統(tǒng)管理員可以跟蹤事件處理流程，能夠及時了解事件處理進度；另外，每周定期查看事件處理操作記錄，也可以審計處理操作的合規(guī)性。同時，通過建立健全良性的激勵約束機制，發(fā)揮系統(tǒng)管理人員在工作中的主觀能動性，促進了執(zhí)行效果和執(zhí)行效率的同步提升。以內(nèi)網(wǎng)安全監(jiān)視的閉環(huán)管控為例，2015年安全事件數(shù)量與去年相比下降較為明顯，湖北電網(wǎng)每日安全事件數(shù)量基本控制在10個以內(nèi)。安全事件曲線，如圖5所示。

另外，系統(tǒng)管理員生成運維人員績效報告和事件全程審計報告?？冃蟾鎸\維人員績效進行統(tǒng)計，包括對事件請求量、事件解決量、事件解決率、事件平均解決時間、事件滿意度平均值、事件處理及時率等指標(biāo)，通過統(tǒng)計分析對安全狀態(tài)、安全工作進行全面的評估分析，為進一步提高業(yè)務(wù)能力，進一步改進監(jiān)視策略提供依據(jù)。事件全程審計報告記錄事件整個處理過程，對從事件發(fā)生、到流程處理、到操作過程、到解決完畢進行全程監(jiān)督和審計，提高對問題在事中、事后的掌控力度。

4 結(jié)語

通過理論和實踐證明，電力監(jiān)控系統(tǒng)內(nèi)網(wǎng)安全監(jiān)視閉環(huán)管控系統(tǒng)有助于電力監(jiān)控系統(tǒng)安全防護體系由邊界防護向縱深防御發(fā)展，解決了電網(wǎng)調(diào)度系統(tǒng)對關(guān)鍵安全設(shè)備、服務(wù)器的日志集中采集和統(tǒng)一管理問題，實現(xiàn)了對安全設(shè)備的實時告警與運行狀態(tài)監(jiān)測，為電網(wǎng)調(diào)度系統(tǒng)提供全面的安全基礎(chǔ)支撐，能夠及時掌握電力監(jiān)控系統(tǒng)存在的安全隱患，采取有效措施阻止惡意攻擊行為，保障電網(wǎng)的內(nèi)網(wǎng)運行安全。

參考文獻(xiàn)：

[1]宋華明，韓玉啟.PDCA模式下的一體化管理體系.南京理工大學(xué)[J]，2002（2）：10-12.

[2]陳建亞.現(xiàn)代通信網(wǎng)監(jiān)控與管理[M].北京郵電大學(xué)出版社，2000.

[3]McFeeley Bob. IDEAL： A User's Guide for Software Process Improvement[M] Software Engineering Institute， CMU/SEI-96-HB-001， February 1996.

[4]胡炎，董名垂，n英鐸.電力工業(yè)信息安全的思考[J].電力系統(tǒng)自動化，2002（7）：1-4.

[5]高雷，肖政，韋衛(wèi).安全關(guān)聯(lián)分析相關(guān)技術(shù)的研究.計算機應(yīng)用，2002（7）：1526-1528.

[6]劉雪飛，馬恒太，張秉權(quán).NIDS報警信息關(guān)聯(lián)分析進展研究.計算機科學(xué)，2004，3（12）：61-64.

[7]李亞琴.網(wǎng)絡(luò)安全事件關(guān)聯(lián)分析方法的研究與實現(xiàn)[D].華中科技大學(xué)，2006.

[8]王保義，張少敏.電力企業(yè)信息網(wǎng)絡(luò)系統(tǒng)的綜合安全策略[J].華北電力技術(shù)， 2003（4）：19-22.

[9]劉康平，李增智.網(wǎng)絡(luò)告警序列中的頻繁情景規(guī)則挖掘算法閉[J].小型微型計算機系統(tǒng)，2003，24（5）：891-894.

第5篇：信息安全審計報告范文

【關(guān)鍵詞】 信息系統(tǒng)審計 審計內(nèi)容 審計方法

一、引言

相比于傳統(tǒng)審計，信息系統(tǒng)審計（Information System Auditing）是審計領(lǐng)域中的一個新概念。目前，關(guān)于信息系統(tǒng)審計，學(xué)術(shù)界和業(yè)界均無通用的定義。美國信息系統(tǒng)審計權(quán)威專家Ron.A.Weber提出：信息系統(tǒng)審計可定義為通過一定的技術(shù)手段收集、分析證據(jù)，以對計算機系統(tǒng)是否能夠保證資產(chǎn)安全、維護數(shù)據(jù)完整、實現(xiàn)組織目標(biāo)以及高效利用資源進行評價的過程。日本通產(chǎn)情報協(xié)會作了如下定義：信息系統(tǒng)審計是指，為了信息系統(tǒng)的安全、可靠與有效，由獨立于審計對象的信息系統(tǒng)審計師以第三方的立場對以計算機為核心的信息系統(tǒng)進行綜合檢查和評價，并向信息系統(tǒng)審計對象的最高領(lǐng)導(dǎo)者提出問題與建議的一連串活動。國際信息系統(tǒng)審計和控制協(xié)會（ISACA）將其定義為：信息系統(tǒng)審計是一個獲取并評價證據(jù)，以判斷計算機系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整以及有效率地利用組織的資源并有效果地實現(xiàn)組織目標(biāo)的過程。

針對以上觀點，我們將其要點歸納如下：信息系統(tǒng)審計是審計師對以計算機為核心的信息系統(tǒng)，通過專業(yè)判斷和評價，合理保證信息系統(tǒng)安全、穩(wěn)定、有效，并向信息系統(tǒng)的高層管理者及使用者提供問題解決方案，以達(dá)到改善經(jīng)營和為組織增加價值目的的一個過程。

二、信息系統(tǒng)審計的發(fā)展與現(xiàn)狀

20世紀(jì)60年代，隨著計算機技術(shù)開始運用于企業(yè)的信息收集和整理中，會計信息處理逐漸無紙化，促使審計人員在執(zhí)行傳統(tǒng)審計業(yè)務(wù)時，必須關(guān)注以電子數(shù)據(jù)為載體的電子數(shù)據(jù)處理審計（EDP Electronic Data Processing）。20世紀(jì)70年代中期至80年代，電子數(shù)據(jù)處理和管理系統(tǒng)等在企業(yè)中逐漸普及，同時，計算機犯罪和計算機系統(tǒng)失效的事件頻頻發(fā)生，使得信息系統(tǒng)審計日益得到重視并迅速發(fā)展。美國、日本先后成立了IT審計方面的協(xié)會組織，從事對IT審計規(guī)則的制定和實施指導(dǎo)。20世紀(jì)90年代，信息和信息系統(tǒng)已成為企業(yè)的重要資產(chǎn)，企業(yè)和社會對信息系統(tǒng)控制和審計的需求愈發(fā)強烈。發(fā)達(dá)國家的信息系統(tǒng)審計進入普及期，許多國家的審計機關(guān)、學(xué)者和組織對計算機環(huán)境下的信息系統(tǒng)審計進行了有益的探索。同時，東南亞各國也逐漸認(rèn)識到信息系統(tǒng)審計的重要性，開始著手研究信息系統(tǒng)審計理論和實務(wù)。

目前，我國信息系統(tǒng)審計僅有十幾年的歷史，尚處于探索階段，既缺乏開展信息系統(tǒng)審計業(yè)務(wù)的人才隊伍，也沒有形成專業(yè)規(guī)范體系，所進行的一些計算機審計方面的探索和嘗試以及計算機審計軟件的開發(fā)和應(yīng)用還大都停留在對被審計單位電子數(shù)據(jù)進行處理的階段。存在的主要問題有：信息系統(tǒng)審計觀念落后；信息系統(tǒng)審計相關(guān)的準(zhǔn)則、標(biāo)準(zhǔn)和規(guī)范尚不完善；信息系統(tǒng)審計專業(yè)人才匱乏；信息系統(tǒng)審計軟件開發(fā)工作滯后。

1997年，廣州地鐵開始公司“信息化”建設(shè)。最初，廣州地鐵經(jīng)營審計采用“繞過計算機審計”的方法，即對導(dǎo)出數(shù)據(jù)進行審計。審計過程中，其逐漸意識到了運用這種“黑箱原理”審計方法的風(fēng)險。因此，2006年公司組建了專門的IT審計模塊，探索“如何利用計算機審計”和“通過計算機審計”。其后，廣州地鐵信息系統(tǒng)審計發(fā)展經(jīng)歷了借力、助力和自立三個階段。

一是借力期：IT審計模塊成立初期，公司與外部顧問共同開展IT審計項目，通過外部專業(yè)人員向?qū)徲嬋藛T傳輸IT審計技能，同時制定《IT審計實施細(xì)則》，在人員技能儲備和制度上為IT審計模塊的發(fā)展奠定了基礎(chǔ)。二是助力期：審計人員參照審計手冊，利用從外部顧問處學(xué)習(xí)到的審計技能，逐步開展信息系統(tǒng)審計工作，將IT審計工作模式調(diào)整為以自身力量為主，外部咨詢服務(wù)為輔的模式。三是自立期：2009年，廣州地鐵IT審計已基本實現(xiàn)自主化，且IT審計模塊逐步走向成熟，同時其還建立了具有自身特色的信息系統(tǒng)審計框架。

目前，IT審計已經(jīng)發(fā)展成為廣州地鐵內(nèi)部審計的一根“支柱”，連同“內(nèi)控審計”，作為基本的審計手段貫穿于各類專業(yè)審計工作中，支持審計體系的鞏固與發(fā)展。

三、信息系統(tǒng)審計內(nèi)容

1、國內(nèi)外關(guān)于信息系統(tǒng)審計內(nèi)容的研究

開展信息系統(tǒng)審計首先要明確審計內(nèi)容。國際信息系統(tǒng)審計協(xié)會規(guī)定，信息系統(tǒng)審計的主要內(nèi)容包括信息系統(tǒng)程序?qū)徲?、信息技術(shù)（IT）治理、系統(tǒng)生命周期管理、IT服務(wù)的交付與支持、信息資產(chǎn)的保護、災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性計劃。

近十幾年來，國內(nèi)的學(xué)者和組織也對信息系統(tǒng)審計的內(nèi)容進行了探索和研究。審計署在2012年頒布的《信息系統(tǒng)審計指南――計算機審計實務(wù)公告第34號》中明確提出了：信息系統(tǒng)審計包括對應(yīng)用控制、一般控制和項目管理的審計。其中，應(yīng)用控制包括信息系統(tǒng)業(yè)務(wù)流程，數(shù)據(jù)輸入、處理和輸出的控制，信息共享和業(yè)務(wù)協(xié)同；一般控制包括信息系統(tǒng)總體控制、信息安全技術(shù)控制、信息安全管理控制；項目管理包括信息系統(tǒng)建設(shè)的經(jīng)濟性、信息系統(tǒng)建設(shè)管理、信息系統(tǒng)績效。

上述具有代表性的規(guī)定和研究成果對信息系統(tǒng)審計內(nèi)容的劃分，均是以對信息系統(tǒng)邏輯結(jié)構(gòu)的分析為基礎(chǔ)。全面分析信息系統(tǒng)的邏輯結(jié)構(gòu)，可從信息系統(tǒng)的構(gòu)成要素、信息系統(tǒng)生命周期和信息系統(tǒng)管理三個維度進行描述：從構(gòu)成要素來看，信息系統(tǒng)由人員、應(yīng)用（包括軟件平臺和應(yīng)用系統(tǒng)）、所采用的技術(shù)、硬件設(shè)備、數(shù)據(jù)文件運行規(guī)則組成；信息系統(tǒng)生命周期可劃分為信息系統(tǒng)的規(guī)劃階段、開發(fā)階段、運行維護階段和更新階段；從信息系統(tǒng)管理的維度來看，對系統(tǒng)的管理與控制活動貫穿于信息系統(tǒng)生命周期的始終，主要是通過有效執(zhí)行一系列健全有效的規(guī)章制度和管理規(guī)程來實現(xiàn)。

2、廣州地鐵信息系統(tǒng)審計實施框架

結(jié)合廣州地鐵信息化項目多、系統(tǒng)更新快、數(shù)據(jù)集成度高、系統(tǒng)控制與手工控制并重等特點，圍繞信息系統(tǒng)構(gòu)成要素、信息系統(tǒng)生命周期和信息系統(tǒng)管理三個維度，廣州地鐵將信息系統(tǒng)審計的內(nèi)容劃分為整體計算機控制審計、應(yīng)用控制審計和系統(tǒng)建設(shè)效能評價三個方面。其中，整體計算機控制審計是對信息系統(tǒng)運行中的控制活動進行審計，目的是合理保證由信息系統(tǒng)支持的業(yè)務(wù)流程控制是可靠的、生成的數(shù)據(jù)和報告是可信的。應(yīng)用系統(tǒng)控制審計是對業(yè)務(wù)流程中的自動化控制活動進行審計，以合理保證交易的有效性、經(jīng)適當(dāng)授權(quán)和記錄、完成的完整性、準(zhǔn)確性和及時性。項目及系統(tǒng)績效審計是對信息化項目的過程及成果對企業(yè)和業(yè)務(wù)產(chǎn)生的效益進行審計，用來合理保證信息化項目的投資/產(chǎn)出比例符合建設(shè)的目標(biāo)，以及信息系統(tǒng)對企業(yè)戰(zhàn)略起到的預(yù)期的支撐作用。圍繞上述三個方面，廣州地鐵內(nèi)部審計確立了以下的實施框架。

（1）確立整體計算機控制安全、操作、變更的三個評價維度，圍繞“信息系統(tǒng)全生命周期”，明確整體計算機控制十個流程。廣州地鐵通過學(xué)習(xí)和借鑒國際信息系統(tǒng)技術(shù)管理和控制標(biāo)準(zhǔn)COBIT，建立起了一套自己的整體計算機控制審計框架?？蚣芸砂戳鞒毯涂刂祁愋蛢煞N方式進行劃分，兩種劃分方式在本質(zhì)上是一致的。在按流程劃分出的每個子流程中，信息系統(tǒng)審計人員需要從變更、安全、操作的角度去確認(rèn)和評估具體的控制點；在按控制職能所作的劃分中，審計人員需要圍繞信息系統(tǒng)的策略與計劃、信息系統(tǒng)操作、與外部供應(yīng)商關(guān)系、業(yè)務(wù)可持續(xù)計劃、應(yīng)用系統(tǒng)開發(fā)、數(shù)據(jù)庫、軟件支持、網(wǎng)絡(luò)、硬件等十個子流程進行審計。

圍繞安全、變更、操作三個角度及十個子流程，廣州地鐵共梳理出有關(guān)整體計算機控制的41項審計內(nèi)容，并針對每一項內(nèi)容明確了控制目標(biāo)和風(fēng)險，建立起了一套完整的整體計算機控制矩陣。例如，信息系統(tǒng)策略和計劃子流程中，廣州地鐵明確了整體計算機控制的三大目標(biāo)――信息系統(tǒng)戰(zhàn)略、規(guī)劃和預(yù)算應(yīng)與實際業(yè)務(wù)和戰(zhàn)略目標(biāo)保持一致，計算機處理環(huán)境應(yīng)得到具有適當(dāng)技能和經(jīng)驗的人員的充分支持和保證，以及計算機處理環(huán)境中的人員應(yīng)接受適當(dāng)?shù)呐嘤?xùn)，審計人員在此基礎(chǔ)上針對各控制目標(biāo)，識別并歸納出廣州地鐵現(xiàn)行的9個控制活動。在具體開展信息系統(tǒng)整體計算機控制審計時，信息系統(tǒng)審計人員根據(jù)審計項目的特點和要求，選擇需要評價的子流程，再對照子流程的控制活動進行評估及測試即可。

（2）從內(nèi)部控制目標(biāo)出發(fā)，將信息系統(tǒng)應(yīng)用控制劃分為訪問控制、完整性控制及數(shù)據(jù)質(zhì)量控制三大方面。廣州地鐵將信息系統(tǒng)的應(yīng)用控制劃分為應(yīng)用系統(tǒng)訪問控制、流程和系統(tǒng)完整性控制以及數(shù)據(jù)質(zhì)量控制三大類，并針對各類控制分別設(shè)計了不同的審計內(nèi)容。

一是應(yīng)用系統(tǒng)授權(quán)訪問控制審計包括對系統(tǒng)的認(rèn)證方式、授權(quán)機制、權(quán)限的分配管理以及不相容職責(zé)分離在系統(tǒng)中的實現(xiàn)情況的審計，目的在于保證經(jīng)過允許的人才能訪問和操作系統(tǒng)。二是流程和系統(tǒng)完整性控制審計是對系統(tǒng)輸入、處理、輸出以及接口等各種系統(tǒng)運行規(guī)則的審計，用以保證所有經(jīng)允許處理的數(shù)據(jù)均轉(zhuǎn)換到介質(zhì)上并被處理，且處理的結(jié)果可通過適當(dāng)?shù)姆绞郊右暂敵?，所有輸入、轉(zhuǎn)換、處理和輸出均在正常的時間內(nèi)準(zhǔn)確地進行。三是數(shù)據(jù)質(zhì)量控制審計則是指對信息系統(tǒng)中的數(shù)據(jù)的完整性、規(guī)范性和有效性所進行的審計，旨在保證所有系統(tǒng)的輸出均反映為經(jīng)批準(zhǔn)的有效的經(jīng)濟業(yè)務(wù)，所有經(jīng)過系統(tǒng)的數(shù)據(jù)真實、有效，且能滿足企業(yè)各項業(yè)務(wù)的使用要求。

（3）圍繞“信息化項目”和“信息系統(tǒng)”，綜合評價信息化建設(shè)的效益。在開展整體計算機控制審計和應(yīng)用控制審計的基礎(chǔ)上，廣州地鐵從企業(yè)經(jīng)營和投資效益的視角出發(fā)，在信息系統(tǒng)審計中引入了3E審計的概念，嘗試對信息系統(tǒng)建設(shè)項目的成效、建成后系統(tǒng)的應(yīng)用效能以及信息化對戰(zhàn)略的支撐效果進行審計。為了全面評價項目，廣州地鐵通常將對單個信息系統(tǒng)建設(shè)項目的合規(guī)性審計與項目效能審計結(jié)合在一起開展。

一是信息系統(tǒng)建設(shè)成效審計旨在通過對系統(tǒng)建設(shè)全過程的審計，促進信息系統(tǒng)的建設(shè)規(guī)范性，提高信息系統(tǒng)建設(shè)的質(zhì)量。二是信息系統(tǒng)應(yīng)用效能審計包括對業(yè)務(wù)需求的實現(xiàn)情況、建成功能的使用情況的審計分析，以及對系統(tǒng)應(yīng)用對業(yè)務(wù)管理規(guī)范化、標(biāo)準(zhǔn)化和精細(xì)化提升作用的綜合評價，目的在于促進系統(tǒng)使用價值的最大化，減少系統(tǒng)建設(shè)的投資浪費。三是戰(zhàn)略支撐效果審計是從支持戰(zhàn)略實現(xiàn)的角度，評價信息系統(tǒng)的建設(shè)效益，保證信息化建設(shè)在符合業(yè)務(wù)管理要求的同時，符合公司戰(zhàn)略的需要，支持公司戰(zhàn)略的實現(xiàn)。

四、信息系統(tǒng)審計實施步驟

信息系統(tǒng)審計步驟（或流程），是審計工作從開始到結(jié)束的整個過程。信息系統(tǒng)審計流程一般可劃分為四個階段：計劃階段、實施階段、報告階段和后續(xù)階段。計劃階段是信息系統(tǒng)審計流程的起點，此階段的主要工作包括了解被審計系統(tǒng)的基本情況，初步評價被審計單位信息系統(tǒng)的內(nèi)部控制和外部控制，識別重要性和編制審計計劃。實施階段是根據(jù)計劃階段確定的審計范圍、重點、步驟和方法進行有針對性的取證、評價，并形成審計結(jié)論的過程。實施階段是信息系統(tǒng)審計工作的核心，主要由符合性測試和實質(zhì)性測試兩個部分構(gòu)成。在報告階段，信息系統(tǒng)審計人員需運用專業(yè)判斷，整理、評價收集到的審計證據(jù)，以經(jīng)過核實的審計證據(jù)為依據(jù)，形成審計意見，出具審計報告。審計報告的出具并不意味著信息系統(tǒng)審計工作的終結(jié)。根據(jù)國際信息系統(tǒng)審計標(biāo)準(zhǔn)，信息系統(tǒng)審計人員對于系統(tǒng)中發(fā)現(xiàn)的重大問題和漏洞，需要對被審計單位所采取的糾正措施及其效果進行后續(xù)審計。審計人員需要將后續(xù)審計納入計劃，并安排必要的人員和時間進行后續(xù)審計。

廣州地鐵IT審計模塊成立之初，即明確了IT審計“對公司的系統(tǒng)流程與控制、項目進行審計”和“提供有益于增加公司價值的咨詢服務(wù)”兩項核心職責(zé)，并圍繞公司戰(zhàn)略，以“風(fēng)險導(dǎo)向”、“服務(wù)戰(zhàn)略”理念為指導(dǎo)，從信息系統(tǒng)審計戰(zhàn)略規(guī)劃和具體項目執(zhí)行兩個層面分別制定信息系統(tǒng)審計的流程。

1、以公司戰(zhàn)略為導(dǎo)向，制定信息系統(tǒng)審計的戰(zhàn)略規(guī)劃

一直以來，廣州地鐵奉行“源于戰(zhàn)略、服務(wù)于戰(zhàn)略”的現(xiàn)代審計理念。這一理念主要體現(xiàn)在兩個方面：一是在制定內(nèi)審工作計劃時，從公司戰(zhàn)略出發(fā)，制定各個內(nèi)審業(yè)務(wù)及各專業(yè)審計模塊的戰(zhàn)略，并以業(yè)務(wù)戰(zhàn)略為指導(dǎo)，開展具體的審計工作；二是在開展審計項目的過程中，始終從保障公司戰(zhàn)略執(zhí)行的角度去發(fā)現(xiàn)問題、評價問題，提出整改意見和落實整改。信息系統(tǒng)審計的戰(zhàn)略規(guī)劃來源于公司的戰(zhàn)略，以及以公司戰(zhàn)略指導(dǎo)制定的公司信息系統(tǒng)戰(zhàn)略規(guī)劃和內(nèi)部審計業(yè)務(wù)戰(zhàn)略規(guī)劃；同時還須結(jié)合公司信息化現(xiàn)狀和IT審計模塊定位，明確廣州地鐵IT審計發(fā)展戰(zhàn)略目標(biāo)。

2、通過風(fēng)險評估，確定各信息系統(tǒng)風(fēng)險等級，制定層次分明、重點突出的信息系統(tǒng)循環(huán)審計計劃

為利用有限的審計資源掌握公司主要信息系統(tǒng)的建設(shè)、運營情況，保障信息資源的有效利用，降低公司信息系統(tǒng)的整體風(fēng)險，廣州地鐵建立了一套“根據(jù)信息系統(tǒng)風(fēng)險評級制定差異化的審計策略”。

（1）梳理信息系統(tǒng)脈絡(luò)，全面掌握信息系統(tǒng)現(xiàn)狀。廣州地鐵結(jié)合信息系統(tǒng)規(guī)劃、建設(shè)和運營的情況及系統(tǒng)分類梳理出被審計信息系統(tǒng)清單，并從系統(tǒng)構(gòu)成要素的角度收集系統(tǒng)相關(guān)的信息。這些信息包括系統(tǒng)名稱、功能模塊、采用產(chǎn)品等基本信息，以及項目的建設(shè)信息、系統(tǒng)的使用狀況和運維的基本情況。這些信息是風(fēng)險評分的依據(jù)，也為后續(xù)開展具體審計工作時確定審計方案提供了指引。

（2）開展信息系統(tǒng)風(fēng)險評級，制定風(fēng)險導(dǎo)向型審計計劃。內(nèi)審人員從通用風(fēng)險、業(yè)務(wù)風(fēng)險、項目風(fēng)險、系統(tǒng)風(fēng)險、數(shù)據(jù)風(fēng)險和人員風(fēng)險六大風(fēng)險類別出發(fā)，全面識別信息系統(tǒng)各類構(gòu)成要素中存在的風(fēng)險；對信息系統(tǒng)進行風(fēng)險評價，根據(jù)風(fēng)險得分將信息系統(tǒng)按優(yōu)先級分別劃分為高、中、低三類。結(jié)合公司IT審計資源的情況，對優(yōu)先等級高的系統(tǒng)采用三年一審策略，中等級系統(tǒng)5―6年一個審計周期，風(fēng)險等級低的系統(tǒng)則根據(jù)需要安排審計。在此審計策略的基礎(chǔ)上，再綜合考慮公司業(yè)務(wù)的十大風(fēng)險、領(lǐng)導(dǎo)關(guān)注事項、上一年度內(nèi)控評價結(jié)果和審計項目成果、公司新一年的工作重點、公司信息系統(tǒng)的變動情況，并制定出本年度的信息系統(tǒng)審計計劃。

3、以風(fēng)險為導(dǎo)向，開展信息系統(tǒng)審計

在項目實施階段，審計人員必須從公司整體信息系統(tǒng)控制環(huán)境和被審計系統(tǒng)的狀況、流程與內(nèi)部控制兩個方面進一步收集被審計系統(tǒng)的相關(guān)資料，了解和確認(rèn)被審計單位已建立的內(nèi)部控制措施，并對這些控制措施的設(shè)計是否達(dá)到控制目標(biāo)進行評估。

（1）以“輪流循環(huán)+以點帶面”的方式開展整體計算機控制審計。公司的信息化業(yè)務(wù)采用統(tǒng)一集中管理的模式，整體計算機控制對各個系統(tǒng)具有一定的通用性。因此，在實務(wù)操作中，廣州地鐵采用“以點帶面”的策略，以單個信息系統(tǒng)整體計算機控制為切入點對整體計算機控制進行審計，評價整體信息系統(tǒng)的安全性；同時，考慮到信息系統(tǒng)在一定時間內(nèi)相對穩(wěn)定，因此在實施整體計算機控制審計時可采取輪流測試的方式，即每年從十個子流程中選取幾個進行測試，經(jīng)過一定周期后，完成對整體計算機控制的全面審計。例如，在2011年開展的信息安全審計項目中，審計人員就圍繞信息安全這個審計主題，從十個子流程中選取了與信息安全直接相關(guān)的信息系統(tǒng)操作、信息系統(tǒng)安全、業(yè)務(wù)可持續(xù)計劃、應(yīng)用系統(tǒng)開發(fā)與實施、數(shù)據(jù)庫開發(fā)與實施和系統(tǒng)軟件支持等六個流程進行審計。分步、循環(huán)開展整體計算機審計，在審計風(fēng)險可控的情況下，大大節(jié)省了審計資源，也使得審計人員能夠更加深入地挖掘和分析整體計算機控制方面所存在問題以及問題的成因，提出更為切實可行、同時又符合公司信息化業(yè)務(wù)發(fā)展現(xiàn)狀和要求的整改措施。

（2）以風(fēng)險為著眼點，確定應(yīng)用控制審計重點。應(yīng)用控制是各個信息系統(tǒng)內(nèi)部所建立的控制機制，應(yīng)用控制審計必須針對某個具體信息系統(tǒng)開展。在開展應(yīng)用控制審計的過程中，審計人員應(yīng)緊緊圍繞“風(fēng)險”這個著眼點，通過對原有業(yè)務(wù)成熟度和系統(tǒng)建設(shè)過程中風(fēng)險的評估，選擇不同的審計側(cè)重點開展應(yīng)用控制審計。例如，在合同管理系統(tǒng)審計項目中，由于合同管理系統(tǒng)是全新開發(fā)的系統(tǒng)，審計人員經(jīng)分析，判定系統(tǒng)在應(yīng)用系統(tǒng)訪問控制方面的風(fēng)險較高。而在進行控制評估和測試后，審計人員發(fā)現(xiàn)業(yè)務(wù)人員在創(chuàng)建系統(tǒng)權(quán)限設(shè)置機制時完全套用了公司辦公自動化系統(tǒng)的權(quán)限機制，而未針對合同業(yè)務(wù)流程中不同于公司組織架構(gòu)下的角色設(shè)立相應(yīng)的用戶組，導(dǎo)致系統(tǒng)無法實現(xiàn)合同經(jīng)辦人與審批人職責(zé)的分離，存在重大的內(nèi)控風(fēng)險。

五、信息系統(tǒng)審計方法

在信息系統(tǒng)審計中，可因地制宜，綜合運用多種學(xué)科的技術(shù)方法，包括：傳統(tǒng)審計中內(nèi)部控制測評的基本方法和審計取證的基本方法（包括審閱、核對、監(jiān)盤、觀察、查詢、函證、計算、分析性復(fù)核）；計算機科學(xué)的技術(shù)方法，如數(shù)據(jù)測試法、程序編碼審查法、受控處理法、受控再處理法、整體測試法、平行模擬法、程序比較法、漏洞掃描、入侵檢測、嵌入審計程序法等等；行為科學(xué)的技術(shù)方法，如運用組織發(fā)展的理論與方法、個體行為一般規(guī)律的理論和方法。這些方法與技術(shù)并不是孤立的，而是互相聯(lián)系的。

目前，廣州地鐵在信息系統(tǒng)審計中所運用的方法仍主要集中在傳統(tǒng)的內(nèi)控審計方法和信息系統(tǒng)管理的技術(shù)方法兩個領(lǐng)域，具體包括詢問、觀察、文件復(fù)核、抽樣、重新執(zhí)行、使用計算機輔助軟件等。在部分項目中，也采用了一些計算機科學(xué)的技術(shù)方法。受限于審計資源不足，廣州地鐵較少采用程序比較法、平行模擬法、程序編碼審查法等高成本的審計方法，而傾向于選用一些較為高效的測試方法。但這些高效方法的運用不能完全消除審計風(fēng)險，這就需要審計人員根據(jù)自身的經(jīng)驗盡量避免。

1、傳統(tǒng)審計方法的運用

廣州地鐵在開展信息系統(tǒng)審計過程中較多運用傳統(tǒng)審計的方法。例如，在對信息系統(tǒng)整體計算機控制進行審計時，通過對系統(tǒng)使用人員的訪談、調(diào)研和對系統(tǒng)各項操作的觀察，梳理出整體計算機控制相關(guān)的各種控制活動。在沒有測試環(huán)境的情況下對生產(chǎn)在用信息系統(tǒng)的人機交互界面和功能進行調(diào)查和確認(rèn)時，審計人員大量運用了觀察的方法。在對固定資產(chǎn)信息系統(tǒng)模塊進行審計中，審計人員通過觀察物資采購人員、資產(chǎn)管理人員、會計核算人員在系統(tǒng)中的操作界面、系統(tǒng)實現(xiàn)效果以及業(yè)務(wù)操作流程來了解系統(tǒng)功能的構(gòu)造。發(fā)現(xiàn)采購中的供應(yīng)商信息在跨系統(tǒng)流程過程中丟失，導(dǎo)致財務(wù)系統(tǒng)和實物管理的MAXIMO系統(tǒng)的資產(chǎn)臺賬中均缺少供應(yīng)商信息，致使日后采購?fù)愇镔Y時，采購人員無法獲取歷史采購信息作為參考，增加了市場調(diào)研成本。除內(nèi)控矩陣和訪談、觀察等方法之外，編制流程圖、數(shù)據(jù)流圖和報表流圖也是信息系統(tǒng)審計經(jīng)常使用的方法。

2、計算機科學(xué)技術(shù)方法的運用

計算機科學(xué)技術(shù)方法是信息系統(tǒng)審計特有的方法，來源于IT行業(yè)的信息技術(shù)的轉(zhuǎn)換應(yīng)用，主要包括基于數(shù)據(jù)分析的方法和基于程序分析的方法，這些方法的綜合使用使得對信息系統(tǒng)的審計更加有效。具體方法的選用需視被審計系統(tǒng)的實際情況而定。在一個審計項目中，廣州地鐵審計人員經(jīng)常將多種方法結(jié)合使用。例如，在票務(wù)收入系統(tǒng)審計項目中，審計人員首先采用數(shù)據(jù)測試法，使用正常及非正常的測試地鐵票搭乘地鐵，在系統(tǒng)中跟蹤測試票的處理情況，以驗證系統(tǒng)處理與控制功能是否均有效；在對系統(tǒng)中后期內(nèi)部開發(fā)的車站單程票售賣功能進行審計時，審計人員采用了程序編碼審查法，對系統(tǒng)的源程序編碼進行審查，審查后發(fā)現(xiàn)單程票售賣金額統(tǒng)計報表在進行數(shù)據(jù)處理時省略了小數(shù)點后的尾數(shù)，導(dǎo)致報表金額存在偏差；在對票務(wù)系統(tǒng)的清分報表進行驗證時，審計人員又采用了平行模擬法，抽取系統(tǒng)中一段時間內(nèi)的正式交易記錄，在系統(tǒng)外模擬系統(tǒng)的處理規(guī)則對交易記錄進行處理，并將處理結(jié)果與系統(tǒng)的報表數(shù)據(jù)進行核對，結(jié)果發(fā)現(xiàn)系統(tǒng)在數(shù)據(jù)傳遞和處理過程中，由于系統(tǒng)對于異常數(shù)據(jù)的審核過于嚴(yán)格，導(dǎo)致部分正常數(shù)據(jù)被當(dāng)作垃圾數(shù)據(jù)丟進異常庫，給公司造成票務(wù)損失。

3、計算機輔助審計軟件的應(yīng)用

計算機輔助審計軟件的應(yīng)用是信息系統(tǒng)審計的一個顯著特點，也是審計人員準(zhǔn)備階段需要重點關(guān)注的問題之一。目前，廣州地鐵對計算機輔助審計軟件的應(yīng)用主要體現(xiàn)在以下兩個方面。

（1）對系統(tǒng)中數(shù)據(jù)的準(zhǔn)確性、完整性和一致性的檢查。例如，在合同管理系統(tǒng)審計項目中，為核對系統(tǒng)接口程序的可靠性，審計人員利用審計輔助軟件快速完成了對合同系統(tǒng)和財務(wù)系統(tǒng)數(shù)據(jù)一致性的核對，迅速查找出兩個系統(tǒng)中不一致的數(shù)據(jù)。經(jīng)過深入分析，審計人員發(fā)現(xiàn)由于財務(wù)核算人員在財務(wù)系統(tǒng)中復(fù)核合同支付數(shù)據(jù)時發(fā)現(xiàn)錯誤，將支付申請退回給合同系統(tǒng)再由合同經(jīng)辦人重新填報時，合同系統(tǒng)未對已生成的支付信息進行更新，導(dǎo)致上述問題的出現(xiàn)。針對海量數(shù)據(jù)處理系統(tǒng)，數(shù)據(jù)驗證是審計的重點，計算機輔助軟件是“不可或缺”的審計工具。在地鐵票務(wù)收入保障審計項目中，審計人需要通過數(shù)據(jù)驗證的方式對業(yè)務(wù)處理的核心系統(tǒng)――自動售檢票（AFC）系統(tǒng)中的系統(tǒng)傳輸和處理機制進行驗證。為此，審計人員共設(shè)計了8大類29子類47個數(shù)據(jù)驗證主題。審計時，審計人員運用計算機輔助審計技術(shù)，在兩個月內(nèi)完成了對AFC系統(tǒng)中10天總計超過3億條運營數(shù)據(jù)的驗證工作。

（2）利用計算機輔助軟件進行對比測試。即審計人員從信息系統(tǒng)中抽取某部門樣本數(shù)據(jù)，將樣本數(shù)據(jù)輸入到與計算機輔助軟件中進行處理，把審計軟件輸出的結(jié)果與業(yè)務(wù)系統(tǒng)產(chǎn)生的結(jié)果進行對比分析，以判定業(yè)務(wù)系統(tǒng)的可靠性與準(zhǔn)確性。廣州地鐵在已開展的運營票務(wù)收入保障審計項目中大量地使用了此種方式。審計人員將各車站站務(wù)人員在票務(wù)系統(tǒng)中錄入的售票數(shù)據(jù)導(dǎo)入到計算機輔助軟件中，按照業(yè)務(wù)規(guī)則對數(shù)據(jù)進行處理，將處理結(jié)果和系統(tǒng)輸出的結(jié)果進行對比。經(jīng)對比，審計人員發(fā)現(xiàn)票務(wù)系統(tǒng)在處理異常數(shù)據(jù)時過于嚴(yán)格，導(dǎo)致部分非異常數(shù)據(jù)被系統(tǒng)當(dāng)作異常數(shù)據(jù)丟入異常庫中，給公司造成票務(wù)損失。

4、信息系統(tǒng)審計與業(yè)務(wù)內(nèi)控審計相結(jié)合

企業(yè)管理流程信息化的過程中，會對原有的業(yè)務(wù)流程進行優(yōu)化甚至重構(gòu)。對原有手工流程的內(nèi)控評價在信息化環(huán)境中可能不再適用。因此，廣州地鐵在信息系統(tǒng)審計中添加了對業(yè)務(wù)流程的內(nèi)控評價――先對業(yè)務(wù)的內(nèi)部控制情況進行評估，梳理并確定業(yè)務(wù)流程風(fēng)險和關(guān)鍵控制點，再對照業(yè)務(wù)流程對系統(tǒng)的處理流程進行評價，確保信息系統(tǒng)審計評價的準(zhǔn)確性。信息系統(tǒng)審計與業(yè)務(wù)內(nèi)控審計相結(jié)合的方法還體現(xiàn)在對一個流程中未在信息系統(tǒng)實現(xiàn)的控制環(huán)節(jié)可以通過內(nèi)控審計進行補充。實踐表明，信息系統(tǒng)審計與業(yè)務(wù)內(nèi)控審計相結(jié)合的方法在很大程度上提高了審計的全面性。

由于信息技術(shù)自身的特點，例如電子數(shù)據(jù)的不可視性，加之被審計單位信息系統(tǒng)內(nèi)部控制方面可能存在缺陷以及信息系統(tǒng)審計人員在專業(yè)技術(shù)和職業(yè)道德方面亦不完美，信息系統(tǒng)審計風(fēng)險客觀存在。面對信息系統(tǒng)審計風(fēng)險，需要審計人員通過深入調(diào)研，全面了解被審計系統(tǒng)的情況；需要培養(yǎng)專業(yè)人才，“以點帶面”提升團隊能力；結(jié)合企業(yè)發(fā)展情況，制定內(nèi)部信息系統(tǒng)審計標(biāo)準(zhǔn)；利用審計軟件，降低抽樣風(fēng)險，提高審計效率等多種措施，不斷降低審計過程中的檢查風(fēng)險，提高審計質(zhì)量。

【參考文獻(xiàn)】

[1] Ron A.Weber，Information Systems Control and Audit，1st ed，NJ：Prentice Hall，1998.

[2] S. Anantha Sayana：The IS Audit Process[J].The ISACA Journal，2002（1）.

[3] Craig S. Wright：The IT Regulatory and Standards Compliance Handbook：How to Survive Information Systems Audit and Assessments，1st ed，MA：Syngress， 2008.

[4] Robert E. Davis：Information Systems Auditing：The IS Audit Planning Process，3rd ed，2010.

[5] Jack J. Champlain：Auditing Information Systems[J].2nd ed，NJ：John Wiley&Sons，2003.

[6] 盧紅柱：計算機信息系統(tǒng)審計的探索之路[J].審計研究，2006（增刊）.

[7] 王進波、常衛(wèi)：信息系統(tǒng)審計的發(fā)展與現(xiàn)狀[J].財政監(jiān)督，2008（4）.

[8] 陳繼初：信息系統(tǒng)審計在我國的現(xiàn)狀及存在的問題[J].消費導(dǎo)刊，2008（12）.

[9] 吳沁紅：信息系統(tǒng)審計內(nèi)容分析[J].財會研究，2008（10）.

[10] 胡曉明：信息系統(tǒng)審計理論體系的構(gòu)建[J].中國注冊會計師，2006（6）.

[11] 王艷、周劍：信息系統(tǒng)審計辨析[J].圖書情報工作，2004（48）.

[12] 田佳林：信息系統(tǒng)審計簡述[J].財政監(jiān)督，2008（4）.

[13] 陳婉玲、楊文杰：COBIT及其在信息系統(tǒng)控制與審計中的應(yīng)用[J].審計研究，2006（增刊）.

[14] 趙靜：COBIT框架在IT審計中的應(yīng)用[J].中國內(nèi)部審計，2009（12）.

[15] 張妍：信息系統(tǒng)審計方法研究[J].審計月刊，2010（11）.

[16] 劉杰、羅繼榮：信息系統(tǒng)審計質(zhì)量控制準(zhǔn)則研究[J].財會通訊，2011（5）.

[17] 王振武、張子瑾：信息系統(tǒng)審計理論結(jié)構(gòu)框架研究[J].會計之友，2011（7）.

第6篇：信息安全審計報告范文

論文摘要:隨著計算機的飛速發(fā)展以及網(wǎng)絡(luò)技術(shù)的普遍應(yīng)用，隨著信息時代的來臨，信息作為一種重要的資源正得到了人們的重視與應(yīng)用。因特網(wǎng)是一個發(fā)展非?；钴S的領(lǐng)域，可能會受到黑客的非法攻擊，所以在任何情況下，對于各種事故，無意或有意的破壞，保護數(shù)據(jù)及其傳送、處理都是非常必要的。計劃如何保護你的局域網(wǎng)免受因特網(wǎng)攻擊帶來的危害時，首先要考慮的是防火墻。防火墻的核心思想是在不安全的網(wǎng)際網(wǎng)環(huán)境中構(gòu)造一個相對安全的子網(wǎng)環(huán)境。本文介紹了防火墻技術(shù)的基本概念、系統(tǒng)結(jié)構(gòu)、原理、構(gòu)架、入侵檢測技術(shù)及VPN等相關(guān)問題。

Abstract:Alongwiththefastcomputerdevelopmentandtheuniversalapplicationofthenetworktechnology,alongwithinformationtimescomingupon,Informationisattractingtheworld’sattentionandemployedasakindofimportantresources.Internetisaveryactivelydevelopedfield.Becauseitmaybeillegallyattackedbyhackers,Itisverynecessaryfordata’sprotection,deliveryandprotectionagainstvariousaccidents,intentionalorwantdestroyunderanycondition.FirewallisthefirstconsiderationwhenplanhowtoprotectyourlocalareanetworkagainstendangersbroughtbyInternetattack.Thecorecontentoffirewalltechnologyistoconstructarelativelysafeenvironmentofsubnetinthenot-so-safenetworkenvironment.Thispaperintroducesthebasicconceptionandsystemstructureoffire-walltechnologyandalsodiscussestwomaintechnologymeanstorealizefire-wall:Oneisbasedonpacketfiltering,whichistorealizefire-wallfunctionthroughScreeningRouter;andtheotherisProxyandthetypicalrepresentationisthegatewayonapplicationlevel.....

第一章緒論

§1.1概述

隨著以Internet為代表的全球信息化浪潮的來臨，信息網(wǎng)絡(luò)技術(shù)的應(yīng)用正日益廣泛，應(yīng)用層次正在深入，應(yīng)用領(lǐng)域也從傳統(tǒng)的、小型業(yè)務(wù)系統(tǒng)逐漸向大型、關(guān)鍵業(yè)務(wù)系統(tǒng)擴展，其中以黨政系統(tǒng)、大中院校網(wǎng)絡(luò)系統(tǒng)、銀行系統(tǒng)、商業(yè)系統(tǒng)、管理部門、政府或軍事領(lǐng)域等為典型。伴隨網(wǎng)絡(luò)的普及，公共通信網(wǎng)絡(luò)傳輸中的數(shù)據(jù)安全問題日益成為關(guān)注的焦點。一方面，網(wǎng)絡(luò)化的信息系統(tǒng)提供了資源的共享性、用戶使用的方便性，通過分布式處理提高了系統(tǒng)效率和可靠性，并且還具備可擴充性。另一方面，也正是由于具有這些特點增加了網(wǎng)絡(luò)信息系統(tǒng)的不安全性。

開放性的網(wǎng)絡(luò)，導(dǎo)致網(wǎng)絡(luò)所面臨的破壞和攻擊可能是多方面的，例如:可能來自物理傳輸線路的攻擊，也可以對網(wǎng)絡(luò)通信協(xié)議和實現(xiàn)實施攻擊，可以是對軟件實施攻擊，也可以對硬件實施攻擊。國際性的網(wǎng)絡(luò)，意味著網(wǎng)絡(luò)的攻擊不僅僅來自本地網(wǎng)絡(luò)的用戶，也可以來自linternet上的任何一臺機器，也就是說，網(wǎng)絡(luò)安全所面臨的是一個國際化的挑戰(zhàn)。開放的、國際化的Internet的發(fā)展給政府機構(gòu)、企事業(yè)單位的工作帶來了革命性的變革和開放，使得他們能夠利用Internet提高辦事效率、市場反應(yīng)能力和競爭力。通過Internet，他們可以從異地取回重要數(shù)據(jù)，同時也面臨Internet開放所帶來的數(shù)據(jù)安全的挑戰(zhàn)與危險。如何保護企業(yè)的機密信息不受黑客和工業(yè)間諜的入侵，己成為政府機構(gòu)、企事業(yè)單位信息化建設(shè)健康發(fā)展所要考慮的重要因素之一。廣泛分布的企業(yè)內(nèi)部網(wǎng)絡(luò)由公共網(wǎng)絡(luò)互聯(lián)起來，這種互聯(lián)方式面臨多種安全威脅，極易受到外界的攻擊，導(dǎo)致對網(wǎng)絡(luò)的非法訪問和信息泄露。防火墻是安全防范的最有效也是最基本的手段之一。

雖然國內(nèi)己有許多成熟的防火墻及其他相關(guān)安全產(chǎn)品，并且這些產(chǎn)品早已打入市場，但是對于安全產(chǎn)品來說，要想進入我軍部隊。我們必須自己掌握安全測試技術(shù)，使進入部隊的安全產(chǎn)品不出現(xiàn)問題，所以對網(wǎng)絡(luò)安全測試的研究非常重要，具有深遠(yuǎn)的意義。

§1.2本文主要工作

了解防火墻的原理、架構(gòu)、技術(shù)實現(xiàn)

了解防火墻的部署和使用配置

熟悉防火墻測試的相關(guān)標(biāo)準(zhǔn)

掌握防火墻產(chǎn)品的功能、性能、安全性和可用性的測試方法

掌握入侵檢測與VPN的概念及相關(guān)測試方法

第二章防火墻的原理、架構(gòu)、技術(shù)實現(xiàn)

§2.1什么是防火墻？

防火墻是指設(shè)置在不同網(wǎng)絡(luò)（如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測）出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。

§2.2防火墻的原理

隨著網(wǎng)絡(luò)規(guī)模的擴大和開放性的增強，網(wǎng)絡(luò)上的很多敏感信息和保密數(shù)據(jù)將受到很多主動和被動的人為攻擊。一種解決辦法是為需要保護的網(wǎng)絡(luò)上的每個工作站和服務(wù)器裝備上強大的安全特征(例如入侵檢測)，但這幾乎是一種不切合實際的方法，因為對具有幾百個甚至上千個節(jié)點的網(wǎng)絡(luò)，它們可能運行著不同的操作系統(tǒng)，當(dāng)發(fā)現(xiàn)了安全缺陷時，每個可能被影響的節(jié)點都必須加以改進以修復(fù)這個缺陷。另一種選擇就是防火墻(Firewall)，防火墻是用來在安全私有網(wǎng)絡(luò)(可信任網(wǎng)絡(luò))和外部不可信任網(wǎng)絡(luò)之間安全連接的一個設(shè)備或一組設(shè)備，作為私有網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間連接的單點存在。防火墻是設(shè)置在可信任的內(nèi)部網(wǎng)絡(luò)和不可信任的外部網(wǎng)絡(luò)之間的一道屏障，它可以實施比較廣泛的安全策略來控制信息流，防止不可預(yù)料的潛在的入侵破壞.DMZ外網(wǎng)和內(nèi)部局域網(wǎng)的防火墻系統(tǒng)。

§2.3防火墻的架構(gòu)

防火墻產(chǎn)品的三代體系架構(gòu)主要為：

第一代架構(gòu)：主要是以單一cpu作為整個系統(tǒng)業(yè)務(wù)和管理的核心，cpu有x86、powerpc、mips等多類型，產(chǎn)品主要表現(xiàn)形式是pc機、工控機、pc-box或risc-box等；

第二代架構(gòu)：以np或asic作為業(yè)務(wù)處理的主要核心，對一般安全業(yè)務(wù)進行加速，嵌入式cpu為管理核心，產(chǎn)品主要表現(xiàn)形式為box等；

第三代架構(gòu)：iss（integratedsecuritysystem）集成安全體系架構(gòu)，以高速安全處理芯片作為業(yè)務(wù)處理的主要核心，采用高性能cpu發(fā)揮多種安全業(yè)務(wù)的高層應(yīng)用，產(chǎn)品主要表現(xiàn)形式為基于電信級的高可靠、背板交換式的機架式設(shè)備，容量大性能高，各單元及系統(tǒng)更為靈活。

§2.4防火墻的技術(shù)實現(xiàn)

從Windows軟件防火墻的誕生開始，這種安全防護產(chǎn)品就在跟隨著不斷深入的黑客病毒與反黑反毒之爭，不斷的進化與升級。從最早期的只能分析來源地址，端口號以及未經(jīng)處理的報文原文的封包過濾防火墻，后來出現(xiàn)了能對不同的應(yīng)用程序設(shè)置不同的訪問網(wǎng)絡(luò)權(quán)限的技術(shù)；近年來由ZoneAlarm等國外知名品牌牽頭，還開始流行了具有未知攻擊攔截能力的智能行為監(jiān)控防火墻；最后，由于近來垃圾插件和流氓軟件的盛行，很多防火墻都在考慮給自己加上攔截流氓軟件的功能。綜上，Windows軟件防火墻從開始的時候單純的一個截包丟包，堵截IP和端口的工具，發(fā)展到了今天功能強大的整體性的安全套件。

第三章防火墻的部署和使用配置

§3.1防火墻的部署

雖然監(jiān)測型防火墻安全性上已超越了包過濾型和服務(wù)器型防火墻，但由于監(jiān)測型防火墻技術(shù)的實現(xiàn)成本較高，也不易管理，所以目前在實用中的防火墻產(chǎn)品仍然以第二代型產(chǎn)品為主，但在某些方面也已經(jīng)開始使用監(jiān)測型防火墻。基于對系統(tǒng)成本與安全技術(shù)成本的綜合考慮，用戶可以選擇性地使用某些監(jiān)測型技術(shù)。這樣既能夠保證網(wǎng)絡(luò)系統(tǒng)的安全性需求，同時也能有效地控制安全系統(tǒng)的總擁有成本。

實際上，作為當(dāng)前防火墻產(chǎn)品的主流趨勢，大多數(shù)服務(wù)器（也稱應(yīng)用網(wǎng)關(guān)）也集成了包過濾技術(shù)，這兩種技術(shù)的混合應(yīng)用顯然比單獨使用具有更大的優(yōu)勢。由于這種產(chǎn)品是基于應(yīng)用的，應(yīng)用網(wǎng)關(guān)能提供對協(xié)議的過濾。例如，它可以過濾掉FTP連接中的PUT命令，而且通過應(yīng)用，應(yīng)用網(wǎng)關(guān)能夠有效地避免內(nèi)部網(wǎng)絡(luò)的信息外泄。正是由于應(yīng)用網(wǎng)關(guān)的這些特點，使得應(yīng)用過程中的矛盾主要集中在對多種網(wǎng)絡(luò)應(yīng)用協(xié)議的有效支持和對網(wǎng)絡(luò)整體性能的影響上。

----那么我們究竟應(yīng)該在哪些地方部署防火墻呢？

----首先,應(yīng)該安裝防火墻的位置是公司內(nèi)部網(wǎng)絡(luò)與外部Internet的接口處，以阻擋來自外部網(wǎng)絡(luò)的入侵；其次，如果公司內(nèi)部網(wǎng)絡(luò)規(guī)模較大，并且設(shè)置有虛擬局域網(wǎng)(VLAN)，則應(yīng)該在各個VLAN之間設(shè)置防火墻；第三，通過公網(wǎng)連接的總部與各分支機構(gòu)之間也應(yīng)該設(shè)置防火墻，如果有條件，還應(yīng)該同時將總部與各分支機構(gòu)組成虛擬專用網(wǎng)(VPN)。

----安裝防火墻的基本原則是：只要有惡意侵入的可能，無論是內(nèi)部網(wǎng)絡(luò)還是與外部公網(wǎng)的連接處，都應(yīng)該安裝防火墻。

§3.2防火墻的使用配置

一、防火墻的配置規(guī)則：

沒有連接的狀態(tài)(沒有握手或握手不成功或非法的數(shù)據(jù)包)，任何數(shù)據(jù)包無法穿過防火墻。(內(nèi)部發(fā)起的連接可以回包。通過ACL開放的服務(wù)器允許外部發(fā)起連接)

inside可以訪問任何outside和dmz區(qū)域。

dmz可以訪問outside區(qū)域。

inside訪問dmz需要配合static(靜態(tài)地址轉(zhuǎn)換)。

outside訪問dmz需要配合acl(訪問控制列表)。

二、防火墻設(shè)備的設(shè)置步驟：

1、確定設(shè)置防火墻的部署模式；

2、設(shè)置防火墻設(shè)備的IP地址信息（接口地址或管理地址（設(shè)置在VLAN1上））；

3、設(shè)置防火墻設(shè)備的路由信息；

4、確定經(jīng)過防火墻設(shè)備的IP地址信息（基于策略的源、目標(biāo)地址）；

5、確定網(wǎng)絡(luò)應(yīng)用（如FTP、EMAIL等應(yīng)用）；

6、配置訪問控制策略。

第四章防火墻測試的相關(guān)標(biāo)準(zhǔn)

防火墻作為信息安全產(chǎn)品的一種，它的產(chǎn)生源于信息安全的需求。所以防火墻的測試不僅有利于提高防火墻的工作效率，更是為了保證國家信息的安全。依照中華人民共和國國家標(biāo)準(zhǔn)GB/T18019-1999《信息技術(shù)包過濾防火墻安全技術(shù)要求》、GB/T18020-1999《信息技術(shù)應(yīng)用級防火墻安全技術(shù)要求》和GB/T17900-1999《網(wǎng)絡(luò)服務(wù)器的安全技術(shù)要求》以及多款防火墻隨機提供的說明文檔，中國軟件評測中心軟件產(chǎn)品測試部根據(jù)有關(guān)方面的標(biāo)準(zhǔn)和不同防火墻的特點整理出以下軟件防火墻的測試標(biāo)準(zhǔn)：

4.1規(guī)則配置方面

要使防火墻軟件更好的服務(wù)于用戶，除了其默認(rèn)的安全規(guī)則外，還需要用戶在使用過程中不斷的完善其規(guī)則；而規(guī)則的設(shè)置是否靈活方便、實際效果是否理想等方面，也是判斷一款防火墻軟件整體安全性是否合格的重要標(biāo)準(zhǔn)。簡單快捷的規(guī)則配置過程讓防火墻軟件具備更好的親和力，一款防火墻軟件如果能實施在線檢測所有對本機的訪問并控制它們、分別對應(yīng)用程序、文件或注冊表鍵值實施單獨的規(guī)則添加等等，這將成為此款軟件防火墻規(guī)則配置的一個特色。

§4.2防御能力方面

對于防火墻防御能力的表現(xiàn)，由于偶然因素太多，因此無法從一個固定平等的測試環(huán)境中來得出結(jié)果。但是可以使用了X-Scan等安全掃描工具來測試。雖然得出的結(jié)果可能仍然有一定的出入，但大致可以做為一個性能參考。

§4.3主動防御提示方面

對于網(wǎng)絡(luò)訪問、系統(tǒng)進程訪問、程序運行等本機狀態(tài)發(fā)生改變時，防火墻軟件一般都會有主動防御提示出現(xiàn)。這方面主要測試軟件攔截或過濾時是否提示用戶做出相應(yīng)的操作選擇。

§4.4自定義安全級別方面

用戶是否可以參照已有安全級別的安全性描述來設(shè)置符合自身特殊需要的規(guī)則。防火墻可設(shè)置系統(tǒng)防火墻的安全等級、安全規(guī)則，以防止電腦被外界入侵。一般的防火墻共有四個級別：

高級：預(yù)設(shè)的防火墻安全等級，用戶可以上網(wǎng)，收發(fā)郵件；l

中級：預(yù)設(shè)的防火墻安全等級，用戶可以上網(wǎng)，收發(fā)郵件，網(wǎng)絡(luò)聊天，F(xiàn)TP、Telnet等；l

低級：預(yù)設(shè)的防火墻安全等級，只對已知的木馬進行攔截，對于其它的訪問，只是給于提示用戶及記錄；l

自定義：用戶可自定義防火墻的安全規(guī)則，可以根據(jù)需要自行進行配置。l

§4.5其他功能方面

這主要是從軟件的擴展功能表現(xiàn)、操作設(shè)置的易用性、軟件的兼容性和安全可靠性方面來綜合判定。比如是否具有過濾網(wǎng)址、實施木馬掃描、阻止彈出廣告窗口、將未受保護的無線網(wǎng)絡(luò)“學(xué)習(xí)”為規(guī)則、惡意軟件檢測、個人隱私保護等豐富的功能項，是否可以滿足用戶各方面的需要。

§4.6資源占用方面

這方面的測試包括空閑時和瀏覽網(wǎng)頁時的CPU占用率、內(nèi)存占有率以及屏蔽大量攻擊時的資源占用和相應(yīng)速度?？偟膩硎蔷褪琴Y源占用率越低越好，啟動的速度越快越好。

§4.7軟件安裝方面

這方面主要測試軟件的安裝使用是否需要重啟系統(tǒng)、安裝過程是不是方便、安裝完成后是否提示升級本地數(shù)據(jù)庫的信息等等。

§4.8軟件界面方面

軟件是否可切換界面皮膚和語言、界面是否簡潔等等。簡潔的界面并不代表其功能就不完善，相反地，簡化了用戶的操作設(shè)置項也就帶來了更智能的安全防護功能。比如有的防護墻安裝完成后會在桌面生成簡單模式和高級模式兩個啟動項，這方便用戶根據(jù)不同的安全級別啟動相應(yīng)的防護

第五章防火墻的入侵檢測

§5.1什么是入侵檢測系統(tǒng)？

入侵檢測可被定義為對計算機和網(wǎng)絡(luò)資源上的惡意使用行為進行識別和響應(yīng)的處理過程，它不僅檢測來自外部的入侵行為，同時也檢測內(nèi)部用戶的未授權(quán)活動。

入侵檢測系統(tǒng)(IDS)是從計算機網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵點收集信息，并分析這些信息，檢查網(wǎng)絡(luò)中是否有違反安全策略的行為和遭到襲擊的跡象。IDS被公認(rèn)為是防火墻之后的第二道安全閘門，它作為一種積極主動的安全防護技術(shù)，從網(wǎng)絡(luò)安全立體縱深、多層次防御的角度出發(fā)，對防范網(wǎng)絡(luò)惡意攻擊及誤操作提供了主動的實時保護，從而能夠在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵

§5.2入侵檢測技術(shù)及發(fā)展

自1980年產(chǎn)生IDS概念以來，已經(jīng)出現(xiàn)了基于主機和基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)，出現(xiàn)了基于知識的模型識別、異常識別和協(xié)議分析等入侵檢測技術(shù)，并能夠?qū)Π僬?、千兆甚至更高流量的網(wǎng)絡(luò)系統(tǒng)執(zhí)行入侵檢測。

入侵檢測技術(shù)的發(fā)展已經(jīng)歷了四個主要階段：

第一階段是以基于協(xié)議解碼和模式匹配為主的技術(shù)，其優(yōu)點是對于已知的攻擊行為非常有效，各種已知的攻擊行為可以對號入座，誤報率低;缺點是高超的黑客采用變形手法或者新技術(shù)可以輕易躲避檢測，漏報率高。

第二階段是以基于模式匹配+簡單協(xié)議分析+異常統(tǒng)計為主的技術(shù)，其優(yōu)點是能夠分析處理一部分協(xié)議，可以進行重組;缺點是匹配效率較低，管理功能較弱。這種檢測技術(shù)實際上是在第一階段技術(shù)的基礎(chǔ)上增加了部分對異常行為分析的功能。

第三階段是以基于完全協(xié)議分析+模式匹配+異常統(tǒng)計為主的技術(shù)，其優(yōu)點是誤報率、漏報率和濫報率較低，效率高，可管理性強，并在此基礎(chǔ)上實現(xiàn)了多級分布式的檢測管理;缺點是可視化程度不夠，防范及管理功能較弱。

第四階段是以基于安全管理+協(xié)議分析+模式匹配+異常統(tǒng)計為主的技術(shù)，其優(yōu)點是入侵管理和多項技術(shù)協(xié)同工作，建立全局的主動保障體系，具有良好的可視化、可控性和可管理性。以該技術(shù)為核心，可構(gòu)造一個積極的動態(tài)防御體系，即IMS——入侵管理系統(tǒng)。

新一代的入侵檢測系統(tǒng)應(yīng)該是具有集成HIDS和NIDS的優(yōu)點、部署方便、應(yīng)用靈活、功能強大、并提供攻擊簽名、檢測、報告和事件關(guān)聯(lián)等配套服務(wù)功能的智能化系統(tǒng)§5.3入侵檢測技術(shù)分類

從技術(shù)上講，入侵檢測技術(shù)大致分為基于知識的模式識別、基于知識的異常識別和協(xié)議分析三類。而主要的入侵檢測方法有特征檢測法、概率統(tǒng)計分析法和專家知識庫系統(tǒng)。

(1)基于知識的模式識別

這種技術(shù)是通過事先定義好的模式數(shù)據(jù)庫實現(xiàn)的，其基本思想是：首先把各種可能的入侵活動均用某種模式表示出來，并建立模式數(shù)據(jù)庫，然后監(jiān)視主體的一舉一動，當(dāng)檢測到主體活動違反了事先定義的模式規(guī)則時，根據(jù)模式匹配原則判別是否發(fā)生了攻擊行為。

模式識別的關(guān)鍵是建立入侵模式的表示形式，同時，要能夠區(qū)分入侵行為和正常行為。這種檢測技術(shù)僅限于檢測出已建立模式的入侵行為，屬已知類型，對新類型的入侵是無能為力的，仍需改進。

(2)基于知識的異常識別

這種技術(shù)是通過事先建立正常行為檔案庫實現(xiàn)的，其基本思想是：首先把主體的各種正常活動用某種形式描述出來，并建立“正?；顒訖n案”，當(dāng)某種活動與所描述的正?；顒哟嬖诓町悤r，就認(rèn)為是“入侵”行為，進而被檢測識別。

異常識別的關(guān)鍵是描述正?；顒雍蜆?gòu)建正?；顒訖n案庫。

利用行為進行識別時，存在四種可能：一是入侵且行為正常;二是入侵且行為異常;三是非入侵且行為正常;四是非入侵且行為異常。根據(jù)異常識別思想，把第二種和第四種情況判定為“入侵”行為。這種檢測技術(shù)可以檢測出未知行為，并具有簡單的學(xué)習(xí)功能。

以下是幾種基于知識的異常識別的檢測方法：

1)基于審計的攻擊檢測技術(shù)

這種檢測方法是通過對審計信息的綜合分析實現(xiàn)的，其基本思想是：根據(jù)用戶的歷史行為、先前的證據(jù)或模型，使用統(tǒng)計分析方法對用戶當(dāng)前的行為進行檢測和判別，當(dāng)發(fā)現(xiàn)可疑行為時，保持跟蹤并監(jiān)視其行為，同時向系統(tǒng)安全員提交安全審計報告。

2)基于神經(jīng)網(wǎng)絡(luò)的攻擊檢測技術(shù)

由于用戶的行為十分復(fù)雜，要準(zhǔn)確匹配一個用戶的歷史行為和當(dāng)前的行為是相當(dāng)困難的，這也是基于審計攻擊檢測的主要弱點。

而基于神經(jīng)網(wǎng)絡(luò)的攻擊檢測技術(shù)則是一個對基于傳統(tǒng)統(tǒng)計技術(shù)的攻擊檢測方法的改進方向，它能夠解決傳統(tǒng)的統(tǒng)計分析技術(shù)所面臨的若干問題，例如，建立確切的統(tǒng)計分布、實現(xiàn)方法的普遍性、降低算法實現(xiàn)的成本和系統(tǒng)優(yōu)化等問題。

3)基于專家系統(tǒng)的攻擊檢測技術(shù)

所謂專家系統(tǒng)就是一個依據(jù)專家經(jīng)驗定義的推理系統(tǒng)。這種檢測是建立在專家經(jīng)驗基礎(chǔ)上的，它根據(jù)專家經(jīng)驗進行推理判斷得出結(jié)論。例如，當(dāng)用戶連續(xù)三次登錄失敗時，可以把該用戶的第四次登錄視為攻擊行為。

4)基于模型推理的攻擊檢測技術(shù)

攻擊者在入侵一個系統(tǒng)時往往采用一定的行為程序，如猜測口令的程序，這種行為程序構(gòu)成了某種具有一定行為特征的模型，根據(jù)這種模型所代表的攻擊意圖的行為特征，可以實時地檢測出惡意的攻擊企圖，盡管攻擊者不一定都是惡意的。用基于模型的推理方法人們能夠為某些行為建立特定的模型，從而能夠監(jiān)視具有特定行為特征的某些活動。根據(jù)假設(shè)的攻擊腳本，這種系統(tǒng)就能檢測出非法的用戶行為。一般為了準(zhǔn)確判斷，要為不同的入侵者和不同的系統(tǒng)建立特定的攻擊腳本。

使用基于知識的模式識別和基于知識的異常識別所得出的結(jié)論差異較大，甚至得出相反結(jié)論。這是因為基于知識的模式識別的核心是維護一個入侵模式庫，它對已知攻擊可以詳細(xì)、準(zhǔn)確地報告出攻擊類型，但對未知攻擊卻無能為力，而且入侵模式庫必須不斷更新。而基于知識的異常識別則是通過對入侵活動的檢測得出結(jié)論的，它雖無法準(zhǔn)確判斷出攻擊的手段，但可以發(fā)現(xiàn)更廣泛的、甚至未知的攻擊行為。

§5.4入侵檢測技術(shù)剖析

1）信號分析

對收集到的有關(guān)系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動的狀態(tài)和行為等信息，一般通過三種技術(shù)手段進行分析：模式匹配、統(tǒng)計分析和完整性分析。其中前兩種方法用于實時的入侵檢測，而完整性分析則用于事后分析。

2）模式匹配

模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)已有模式數(shù)據(jù)庫進行比較，從而發(fā)現(xiàn)違背安全策略的行為。該過程可以很簡單（如通過字符串匹配以尋找一個簡單的條目或指令），也可以很復(fù)雜（如利用正規(guī)的數(shù)學(xué)表達(dá)式來表示安全狀態(tài)的變化）。一般來講，一種進攻模式可以用一個過程（如執(zhí)行一條指令）或一個輸出（如獲得權(quán)限）來表示。該方法的一大優(yōu)點是只需收集相關(guān)的數(shù)據(jù)集合，顯著減少系統(tǒng)負(fù)擔(dān)，且技術(shù)已相當(dāng)成熟。它與病毒防火墻采用的方法一樣，檢測準(zhǔn)確率和效率都相當(dāng)高。但是，該方法存在的弱點是需要不斷的升級以對付不斷出現(xiàn)的黑客攻擊手法，不能檢測到從未出現(xiàn)過的黑客攻擊手段。

3）統(tǒng)計分析

統(tǒng)計分析方法首先給系統(tǒng)對象（如用戶、文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。在比較這一點上與模式匹配有些相象之處。測量屬性的平均值將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進行比較，任何觀察值在正常值范圍之外時，就認(rèn)為有入侵發(fā)生。例如，本來都默認(rèn)用GUEST帳號登錄的，突然用ADMINI帳號登錄。這樣做的優(yōu)點是可檢測到未知的入侵和更為復(fù)雜的入侵，缺點是誤報、漏報率高，且不適應(yīng)用戶正常行為的突然改變。具體的統(tǒng)計分析方法如基于專家系統(tǒng)的、基于模型推理的和基于神經(jīng)網(wǎng)絡(luò)的分析方法，目前正處于研究熱點和迅速發(fā)展之中。

4）完整性分析

完整性分析主要關(guān)注某個文件或?qū)ο笫欠癖桓模@經(jīng)常包括文件和目錄的內(nèi)容及屬性，它在發(fā)現(xiàn)被更改的、被特咯伊化的應(yīng)用程序方面特別有效。完整性分析利用強有力的加密機制，稱為消息摘要函數(shù)（例如MD5），它能識別哪怕是微小的變化。其優(yōu)點是不管模式匹配方法和統(tǒng)計分析方法能否發(fā)現(xiàn)入侵，只要是成功的攻擊導(dǎo)致了文件或其它對象的任何改變，它都能夠發(fā)現(xiàn)。缺點是一般以批處理方式實現(xiàn)，用于事后分析而不用于實時響應(yīng)。盡管如此，完整性檢測方法還應(yīng)該是網(wǎng)絡(luò)安全產(chǎn)品的必要手段之一。例如，可以在每一天的某個特定時間內(nèi)開啟完整性分析模塊，對網(wǎng)絡(luò)系統(tǒng)進行全面地掃描檢查。

§5.5防火墻與入侵檢測的聯(lián)動

網(wǎng)絡(luò)安全是一個整體的動態(tài)的系統(tǒng)工程，不能靠幾個產(chǎn)品單獨工作來進行安全防范。理想情況下，整個系統(tǒng)的安全產(chǎn)品應(yīng)該有一個響應(yīng)協(xié)同，相互通信，協(xié)同工作。其中入侵檢測系統(tǒng)和防火墻之間的聯(lián)動就能更好的進行安全防護。圖8所示就是入侵檢測系統(tǒng)和防火墻之間的聯(lián)動，當(dāng)入侵檢測系統(tǒng)檢測到入侵后，通過和防火墻通信，讓防火墻自動增加規(guī)則，以攔截相關(guān)的入侵行為，實現(xiàn)聯(lián)動聯(lián)防。

§5.6什么是VPN?

VPN的英文全稱是“VirtualPrivateNetwork”，翻譯過來就是“虛擬專用網(wǎng)絡(luò)”。顧名思義，虛擬專用網(wǎng)絡(luò)我們可以把它理解成是虛擬出來的企業(yè)內(nèi)部專線。它可以通過特殊的加密的通訊協(xié)議在連接在Internet上的位于不同地方的兩個或多個企業(yè)內(nèi)部網(wǎng)之間建立一條專有的通訊線路，就好比是架設(shè)了一條專線一樣，但是它并不需要真正的去鋪設(shè)光纜之類的物理線路。這就好比去電信局申請專線，但是不用給鋪設(shè)線路的費用，也不用購買路由器等硬件設(shè)備。VPN技術(shù)原是路由器具有的重要技術(shù)之一，目前在交換機，防火墻設(shè)備或Windows2000等軟件里也都支持VPN功能，一句話，VPN的核心就是在利用公共網(wǎng)絡(luò)建立虛擬私有網(wǎng)。

虛擬專用網(wǎng)（VPN）被定義為通過一個公用網(wǎng)絡(luò)（通常是因特網(wǎng)）建立一個臨時的、安全的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。虛擬專用網(wǎng)是對企業(yè)內(nèi)部網(wǎng)的擴展。虛擬專用網(wǎng)可以幫助遠(yuǎn)程用戶、公司分支機構(gòu)、商業(yè)伙伴及供應(yīng)商同公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。虛擬專用網(wǎng)可用于不斷增長的移動用戶的全球因特網(wǎng)接入，以實現(xiàn)安全連接；可用于實現(xiàn)企業(yè)網(wǎng)站之間安全通信的虛擬專用線路，用于經(jīng)濟有效地連接到商業(yè)伙伴和用戶的安全外聯(lián)網(wǎng)虛擬專用網(wǎng)。

§5.7VPN的特點

1.安全保障雖然實現(xiàn)VPN的技術(shù)和方式很多，但所有的VPN均應(yīng)保證通過公用網(wǎng)絡(luò)平臺傳輸數(shù)據(jù)的專用性和安全性。在安全性方面，由于VPN直接構(gòu)建在公用網(wǎng)上，實現(xiàn)簡單、方便、靈活，但同時其安全問題也更為突出。企業(yè)必須確保其VPN上傳送的數(shù)據(jù)不被攻擊者窺視和篡改，并且要防止非法用戶對網(wǎng)絡(luò)資源或私有信息的訪問。

2.服務(wù)質(zhì)量保證（QoS）

VPN網(wǎng)應(yīng)當(dāng)為企業(yè)數(shù)據(jù)提供不同等級的服務(wù)質(zhì)量保證。不同的用戶和業(yè)務(wù)對服務(wù)質(zhì)量保證的要求差別較大。在網(wǎng)絡(luò)優(yōu)化方面，構(gòu)建VPN的另一重要需求是充分有效地利用有限的廣域網(wǎng)資源，為重要數(shù)據(jù)提供可靠的帶寬。廣域網(wǎng)流量的不確定性使其帶寬的利用率很低，在流量高峰時引起網(wǎng)絡(luò)阻塞，使實時性要求高的數(shù)據(jù)得不到及時發(fā)送；而在流量低谷時又造成大量的網(wǎng)絡(luò)帶寬空閑。QoS通過流量預(yù)測與流量控制策略，可以按照優(yōu)先級分實現(xiàn)帶寬管理，使得各類數(shù)據(jù)能夠被合理地先后發(fā)送，并預(yù)防阻塞的發(fā)生。

3.可擴充性和靈活性

VPN必須能夠支持通過Intranet和Extranet的任何類型的數(shù)據(jù)流，方便增加新的節(jié)點，支持多種類型的傳輸媒介，可以滿足同時傳輸語音、圖像和數(shù)據(jù)等新應(yīng)用對高質(zhì)量傳輸以及帶寬增加的需求。

4.可管理性

從用戶角度和運營商角度應(yīng)可方便地進行管理、維護。VPN管理的目標(biāo)為：減小網(wǎng)絡(luò)風(fēng)險、具有高擴展性、經(jīng)濟性、高可靠性等優(yōu)點。事實上，VPN管理主要包括安全管理、設(shè)備管理、配置管理、訪問控制列表管理、QoS管理等內(nèi)容。

§5.8VPN防火墻

VPN防火墻就是一種過濾塞（目前你這么理解不算錯），你可以讓你喜歡的東西通過這個塞子，別的玩意都統(tǒng)統(tǒng)過濾掉。在網(wǎng)絡(luò)的世界里，要由VPN防火墻過濾的就是承載通信數(shù)據(jù)的通信包。

最簡單的VPN防火墻是以太網(wǎng)橋。但幾乎沒有人會認(rèn)為這種原始VPN防火墻能管多大用。大多數(shù)VPN防火墻采用的技術(shù)和標(biāo)準(zhǔn)可謂五花八門。這些VPN防火墻的形式多種多樣：有的取代系統(tǒng)上已經(jīng)裝備的TCP/IP協(xié)議棧；有的在已有的協(xié)議棧上建立自己的軟件模塊；有的干脆就是獨立的一套操作系統(tǒng)。還有一些應(yīng)用型的VPN防火墻只對特定類型的網(wǎng)絡(luò)連接提供保護（比如SMTP或者HTTP協(xié)議等）。還有一些基于硬件的VPN防火墻產(chǎn)品其實應(yīng)該歸入安全路由器一類。以上的產(chǎn)品都可以叫做VPN防火墻，因為他們的工作方式都是一樣的：分析出入VPN防火墻的數(shù)據(jù)包，決定放行還是把他們?nèi)拥揭贿叀?/p>

所有的VPN防火墻都具有IP地址過濾功能。這項任務(wù)要檢查IP包頭，根據(jù)其IP源地址和目標(biāo)地址作出放行/丟棄決定?？纯聪旅孢@張圖，兩個網(wǎng)段之間隔了一個VPN防火墻，VPN防火墻的一端有臺UNIX計算機，另一邊的網(wǎng)段則擺了臺PC客戶機。

當(dāng)PC客戶機向UNIX計算機發(fā)起telnet請求時，PC的telnet客戶程序就產(chǎn)生一個TCP包并把它傳給本地的協(xié)議棧準(zhǔn)備發(fā)送。接下來，協(xié)議棧將這個TCP包“塞”到一個IP包里，然后通過PC機的TCP/IP棧所定義的路徑將它發(fā)送給UNIX計算機。在這個例子里，這個IP包必須經(jīng)過橫在PC和UNIX計算機中的VPN防火墻才能到達(dá)UNIX計算機。

現(xiàn)在我們“命令”（用專業(yè)術(shù)語來說就是配制）VPN防火墻把所有發(fā)給UNIX計算機的數(shù)據(jù)包都給拒了，完成這項工作以后，比較好的VPN防火墻還會通知客戶程序一聲呢！既然發(fā)向目標(biāo)的IP數(shù)據(jù)沒法轉(zhuǎn)發(fā)，那么只有和UNIX計算機同在一個網(wǎng)段的用戶才能訪問UNIX計算機了。

還有一種情況，你可以命令VPN防火墻專給那臺可憐的PC機找茬，別人的數(shù)據(jù)包都讓過就它不行。這正是VPN防火墻最基本的功能：根據(jù)IP地址做轉(zhuǎn)發(fā)判斷。但要上了大場面這種小伎倆就玩不轉(zhuǎn)了，由于黑客們可以采用IP地址欺騙技術(shù)，偽裝成合法地址的計算機就可以穿越信任這個地址的VPN防火墻了。不過根據(jù)地址的轉(zhuǎn)發(fā)決策機制還是最基本和必需的。另外要注意的一點是，不要用DNS主機名建立過濾表，對DNS的偽造比IP地址欺騙要容易多了。

后記：

入侵檢測作為一種積極主動地安全防護技術(shù)，提供了對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵。入侵檢測系統(tǒng)面臨的最主要挑戰(zhàn)有兩個：一個是虛警率太高，一個是檢測速度太慢。現(xiàn)有的入侵檢測系統(tǒng)還有其他技術(shù)上的致命弱點。因此，可以這樣說，入侵檢測產(chǎn)品仍具有較大的發(fā)展空間，從技術(shù)途徑來講，除了完善常規(guī)的、傳統(tǒng)的技術(shù)（模式識別和完整性檢測）外，應(yīng)重點加強統(tǒng)計分析的相關(guān)技術(shù)研究。

但無論如何，入侵檢測不是對所有的入侵都能夠及時發(fā)現(xiàn)的，即使擁有當(dāng)前最強大的入侵檢測系統(tǒng)，如果不及時修補網(wǎng)絡(luò)中的安全漏洞的話，安全也無從談起。

同樣入侵檢測技術(shù)也存在許多缺點，IDS的檢測模型始終落后于攻擊者的新知識和技術(shù)手段。主要表現(xiàn)在以下幾個方面：

1)利用加密技術(shù)欺騙IDS;

2)躲避IDS的安全策略;

3)快速發(fā)動進攻，使IDS無法反應(yīng);

4)發(fā)動大規(guī)模攻擊，使IDS判斷出錯;

5)直接破壞IDS;

6)智能攻擊技術(shù)，邊攻擊邊學(xué)習(xí)，變IDS為攻擊者的工具。

我認(rèn)為在與防火墻技術(shù)結(jié)合中應(yīng)該注意擴大檢測范圍和類別、加強自學(xué)習(xí)和自適應(yīng)的能力方面發(fā)展。

參考文獻(xiàn)：

1..MarcusGoncalves著。宋書民，朱智強等譯。防火墻技術(shù)指南[M]。機械工業(yè)出版社

2.梅杰，許榕生。Internet防火墻技術(shù)新發(fā)展。微電腦世界.