基于WEB信息系统的安全架构研究
时间：2022-11-03 来源：博通范文网 本文已影响 人 
摘 要：随着信息技术的快速发展，信息安全越来越引起广泛关注，基于Web信息系统的安全架构与策略研究也越来越深入。该文讨论了不同类型信息系统安全体系结构的特征，并研究了信息系统安全体系结构的构成要素，提出了基于Web信息系统安全架构的模型。
关键词：Web信息系统；信息安全；安全架构
中图分类号：TP393.02
伴随着互联网的快速发展和经济的全球化，软件已经深入并广泛地渗透到人类社会的各个方面。与此同时如何构建一个基于WEB信息系统的安全架构就显得尤为迫切。基于WEB的信息系统采用B/S（Browser/Server）架构，具体指运行服务器系统架构。在软件程序更新频率加快的情况下，B/S架构将逐步替代C/S架构，而且B/S架构能够提高Web软件系统编译与智能数据库系统兼容性，加快软件程序技术的发展速度。本文在分析基于web的信息系统体系结构的基础上， 对基于Web 的信息系统安全架构所涉及的安全性问题进行了探讨， 并给出了建议和意见.
1 基于Web的信息系统的体系架构研究概述
B/S结构是对C/S结构的改进型，在B/S架构的逻辑运算主要通过云服务器完成，这种方式实现了原来需要复杂专用软件才能实现的强大功能，并节约了开发成本，是一种全新的软件系统构造技术。随着Windows图形操作系统将浏览器技术植入操作系统内部，这种结构更成为当今应用软件普遍使用的体系结构。
在B/S架构中，用户电脑与主服务器采用HTTP通信协议，用户可以通过Web浏览器访问云端数据库，各组成部分通过网络实现物理连接。B/S体系结构的核心是动态Web服务器，在这种结构下，应用程序的安装和部署是在Web服务器上进行的，基于服务器的架构设计模式使B/S架构功能呈分布状态。用户通过浏览器向服务器数据库发送特定指令，服务器通过复杂运算将用户所需界面以HTML文本的格式发送给用户计算机，用户可以随时随地进行业务处理，开发者通过增加网页即可增加服务功能；B/S结构易于维护，开发简单，共享性强，随着安全和标准问题正在被快速解决，基于WEB信息系统安全架构越来越成熟，基于WEB信息系统安全架构产品将成为未来发展的主流。
2 基于WEB信息系统安全架构概念层次分析
2.1 信息系统安全保密规范
信息安全保密规范是保证计算机网络通信服务，实现智能化服务的安全标准，它强调网络通信的安全与保密性质。信息安全保密规范包括下列几个方面：
描述安全框架的组织结构；
定义安全框架各部分要求的安全概念；
描述框架其他部门确定的业务与机制之间的关系。
2.2 信息安全机制及其标准
2.2.1 保密机制。保密机制是计算机安全系统的核心，它能够实现信息存储、传输的加密，加密方式是将明文经过特定的逻辑运算变成密文。
2.2.2 访问控制机制。访问控制能够对数据库信息针对不同用户设定访问权限，具体方法是登陆密码、通信授权、设定访问时间等。
2.2.3 数据完整性机制。数据完整机制保证了数据传输前后的高度一致性，即没有经过篡改或非法读取。数据完整性机制包括数据加密、监测等，数据完整性机制标准包含分部加密运算、密保监测机制等。
2.3 网络通信安全标准
网络通信安全主要利用互联网通信系统中特定的安全加密程序如网络防火墙、加密程序、网关限制等安全服务保证信息传输的安全。
2.4 信息安全管理标准
信息安全要求信息传输过程中保密性、完整性与实效性，因此需要建立信息安全法制体系，通过法律强制性营造安全健康的网络信息环境，并鼓励信息安全加密技术发展，确保信息安全。
2.5 系统证书管理机制设计
为了实现上述系统的安全运行，需要科学数字证书管理系统，证书管理系统包含证书服务器设置、数字证书申请与认证、证书安装等。
2.5.1 证书服务器的设置。证书服务器即CA（Certificate Authority，认证中心），采用特定服务器系统申请并设置独立的认证密保CA即可。服务器申请建立的独立根CA即可。
2.5.2 数字证书申请。用户利用浏览器通过通过IIS提供数字证书申请的证书申请功能（http：//servername/certsrv，其中server nanle数字证书服务器的名称）来实施数字证书的申请操作，用户输入证书服务器网址后可以根据申请到的证书设置登陆与使用权限的密钥。
2.5.3 颁发证书。微软Windows系统数字证书设置操作过程所采用的证书文本格式为标准的X.509v3证书格式。X.509证书系统包含申请证书用户的个人电脑与云端数据库信息、证书使用权限与密钥格式、颁发证书的权威机构信息等。一般证书申请后都包括公用密保与私人密保两部分证书，证书格式大多为pfx。如果用户用传输保密数据或者将云端数据进行加密操作，可以将公共密保的证书部分发送给数据加密的第三方服务器，数字证书内容除以pfx格式存储于系统程序中，还可以存储于证书系统的加密程序存储器中。
2.5.4 证书安装。用户经申请获得认证的数字证书后，还需要将含有个人密保设定的证书安装在用户个人计算机中，以确认证书的可用性与保密的唯一性，并利用证书安全检验程序验证个人设定的安全密钥。将含有公钥的证书安装在需要发信息的客户端，用其签名和加密消息，以保证数据信息传输的完整性、可靠性和唯一性。
2.6 数据访问控制
用户使用互联网进行加密数据的数据通信时，亦可以对加密数据设定特定的访问权限，即对其他互联网用户进行访问控制，访问控制可以通过物理方式或者计算机安全保密系统实施特定的设置。因此计算机访问控制功能能够对特定用户或者服务器中的特定信息设定访问权限。就基于角色访问控制而言，访问控制针对的是访问的特定角色，私人使用者是某个网络团体的一部分，针对每一部分进行设定，更能够体现访问控制的智能化、人性化。用户具有指派的角色定义角色的过程应该基于对组织运转的彻底分析，应该包括来自一个组织中更广范围用户的输入。
3 结束语
基于WEB信息系统安全架构研究是信息系统安全研究领域的一个重要内容，目前在此方面还缺乏对一些基本问题的共同认识和理解，因此，该文讨论了基于WEB信息系统安全架构的类型和构成要素，并提出了基于WEB信息系统安全架构的构建步骤，目的在于从整体上理顺和发展信息系统安全架构的基本概念，以实现基于WEB信息系统安全架构的构建和应用。
参考文献：
[1]王立新，周元.计算机网络安全技术的问题及解决办法[J].中国科技信息，2008（06）.
[2]莫瑞·加瑟.计算机安全的技术与方法[M].吴亚非，译.北京：电子工业出版社，1992.
[3]段海新，吴建平.计算机网络安全体系的一种框架结构及其应用[J].计算机工程与应用，2000.
[4]张英朝等，基于智能协作技术的信息系统安全体系结构研究[J].计算机学报，2002.
作者单位：北京天航信民航通信网络发展有限公司，北京 100222
