時間：2022-08-30 13:30:25
序論：速發(fā)表網(wǎng)結(jié)合其深厚的文秘經(jīng)驗，特別為您篩選了11篇軟件安全論文范文。如果您需要更多原創(chuàng)資料，歡迎隨時與我們的客服老師聯(lián)系，希望您能從中汲取靈感和知識！
通常計算機(jī)軟件安全檢測的過程中只要有以下幾個流程，首先是為了徹底全面的對計算機(jī)軟件系統(tǒng)當(dāng)中可能存在的缺陷予以充分的檢測和了解，要對軟件設(shè)計過程中最小的模塊進(jìn)行進(jìn)行全面的測試，之后是要嚴(yán)格按照設(shè)計的標(biāo)準(zhǔn)和要求對組裝的系統(tǒng)進(jìn)行檢測，此外還要對與之相關(guān)的體系機(jī)構(gòu)進(jìn)行全面的檢查。其次就是要在做好了上述各項功能工作之后，還要對軟件自身的有效性和功能性進(jìn)行詳細(xì)科學(xué)的檢測，最后一點就是要對整個系統(tǒng)進(jìn)行全面的檢測，測試整個軟件在各種環(huán)境下運(yùn)行的安全性和可靠性。
1.2當(dāng)前計算機(jī)軟件安全檢測的只要方法
首先是形式化的檢測。形式化的安全監(jiān)測實際上就是根據(jù)具體的要求來建立軟件應(yīng)有的數(shù)學(xué)模型，之后通過對應(yīng)的標(biāo)準(zhǔn)化語言對其進(jìn)行格式化的說明。形式化的安全監(jiān)測通常有兩種檢測方法，一種是模型檢測，一種是定量檢測。其次就是在模型基礎(chǔ)上的靜態(tài)安全檢測。模型安全監(jiān)測一方面是通過軟件行為和結(jié)構(gòu)構(gòu)建的一種方式，這樣也就形成了一個可供測試的模型，這種模型在運(yùn)行的過程中一方面可以在計算機(jī)上實現(xiàn)讀取，在工作的過程中，比較常用的模型安全檢測方法有兩種，一種是有限狀態(tài)機(jī)檢測，一種是馬爾科夫鏈檢測、再次就是語法檢測。語法檢測實際上就是技術(shù)人員通過技術(shù)措施對軟件在不同的輸入條件下所產(chǎn)生的反應(yīng)是否相同。四是基于故障注入的軟件安全檢測。故障注入的安全檢測是應(yīng)用故障分析樹與故障數(shù)的最小割集來檢測的。五是模糊測試和基于屬性的測試?；诎缀械哪：郎y試較傳統(tǒng)的模糊測試技術(shù)有很大進(jìn)步，白盒模糊檢測方法有效地結(jié)合了傳統(tǒng)的模糊測試技術(shù)和動態(tài)測試用例檢測技術(shù)的優(yōu)點。六是混合檢測技術(shù)。能有效地改善靜態(tài)技術(shù)和動態(tài)技術(shù)檢測存在的一些缺陷，從而更好地對計算機(jī)軟件的安全進(jìn)行檢測。七是基于Web服務(wù)的檢測技術(shù)。它是一種基于識別內(nèi)容的分布式Web服務(wù)器技術(shù)。具有語言中立、互動操作性強(qiáng)等優(yōu)點，能夠?qū)?fù)雜的安全檢測分解為子安全類型進(jìn)行處理，以使其可以更有效地應(yīng)對復(fù)雜的安全檢測的需要。
2軟件維護(hù)的主要類型
2.1改正性維護(hù)
改正性維護(hù)是指改正在系統(tǒng)開發(fā)階段已發(fā)生而系統(tǒng)測試階段尚未發(fā)現(xiàn)的錯誤。這方面的維護(hù)工作量要占整個維護(hù)工作量的17%～21%。所發(fā)現(xiàn)的錯誤有的不太重要，不影響系統(tǒng)的正常運(yùn)行，其維護(hù)工作可隨時進(jìn)行：而有的錯誤非常重要，甚至影響整個系統(tǒng)的正常運(yùn)行，其維護(hù)工作必須制定計劃，進(jìn)行修改，并且要進(jìn)行復(fù)查和控制。
2.2適應(yīng)性維護(hù)
適應(yīng)性維護(hù)是指使用軟件適應(yīng)信息技術(shù)變化和管理需求變化而進(jìn)行的修改。這方面的維護(hù)工作量占整個維護(hù)工作量的18%～25%。由于計算機(jī)硬件價格的不斷下降，各類系統(tǒng)軟件屢出不窮，人們常常為改善系統(tǒng)硬件環(huán)境和運(yùn)行環(huán)境而產(chǎn)生系統(tǒng)更新?lián)Q代的需求；企業(yè)的外部市場環(huán)境和管理需求的不斷變化也使得各級管理人員不斷提出新的信息需求。這些因素都將導(dǎo)致適應(yīng)性維護(hù)工作的產(chǎn)生。進(jìn)行這方面的維護(hù)工作也要像系統(tǒng)開發(fā)一樣，有計劃、有步驟地進(jìn)行。
3提高軟件的可維護(hù)性方法
3.1建立明確的軟件質(zhì)量目標(biāo)
如果要一個可維護(hù)性的程序滿足可理解的、可靠的、可測試的、可修改的、可移植的、效率高的和可使用的7個全部的要求，要付出很大的代價，甚至是不顯示的。但是可理解性和可測試性以及可理解性和可修改性是相互促進(jìn)的，而效率和可移植性以及效率和可修改性是相互抵觸的。因此，要明確軟件所追求的質(zhì)量目標(biāo)。
3.2使用先進(jìn)的軟件開發(fā)技術(shù)和工具
利用先進(jìn)的軟件開發(fā)技術(shù)能夠大大提高軟件質(zhì)量和減少軟件費(fèi)用，并且穩(wěn)定性好，容易修改、容易理解，易于測試和調(diào)試，因此可維護(hù)性好。
3.3建立明確的質(zhì)量保證
最有效的方法就是質(zhì)量保證檢查，在軟件開發(fā)的各個階段以及軟件維護(hù)中得到了廣泛的應(yīng)用。
特別值得一提的是，為了滿足用戶和業(yè)務(wù)的需求，時刻保持競爭優(yōu)勢，企業(yè)不得不持續(xù)擴(kuò)張網(wǎng)絡(luò)體系。然而，很多人可能不知道，網(wǎng)絡(luò)的每一次擴(kuò)張，即便是一臺新計算機(jī)、一臺新服務(wù)器以及軟件應(yīng)用平臺，都將給病毒、蠕蟲、黑客留下可乘之機(jī)，為企業(yè)網(wǎng)絡(luò)帶來額外的安全風(fēng)險。同時，純病毒時代已經(jīng)一去不復(fù)返，幾年前占據(jù)著新聞頭條的計算機(jī)病毒事件在今天看來已經(jīng)不是什么新聞，取而代之的是破壞程度呈幾何增長的新型病毒。這種新型病毒被稱為混合型病毒，這種新病毒結(jié)合了傳統(tǒng)電子郵件病毒的破壞性和新型的基于網(wǎng)絡(luò)的能力，能夠快速尋找和發(fā)現(xiàn)整個企業(yè)網(wǎng)絡(luò)內(nèi)存在的安全漏洞，并進(jìn)行進(jìn)一步的破壞，如拒絕服務(wù)攻擊，拖垮服務(wù)器，攻擊計算機(jī)或系統(tǒng)的薄弱環(huán)節(jié)。在這種混合型病毒時代，單一的依靠軟件安全防護(hù)已開始不能滿足客戶的需求。
網(wǎng)絡(luò)安全不只是軟件廠商的事
今年上半年，網(wǎng)絡(luò)安全軟件及服務(wù)廠商——趨勢科技與網(wǎng)絡(luò)業(yè)界領(lǐng)導(dǎo)廠商——思科系統(tǒng)公司在北京共同宣布簽署了為企業(yè)提供綜合性病毒和蠕蟲爆發(fā)防御解決方案的合作協(xié)議。該協(xié)議進(jìn)一步擴(kuò)展了雙方此前針對思科網(wǎng)絡(luò)準(zhǔn)入控制（NAC）計劃建立的合作關(guān)系，并將實現(xiàn)思科網(wǎng)絡(luò)基礎(chǔ)設(shè)施及安全解決方案與趨勢科技防病毒技術(shù)、漏洞評估和病毒爆發(fā)防御能力的結(jié)合。
根據(jù)合作協(xié)議，思科首先將在思科IOS路由器、思科Catalyst交換機(jī)和思科安全設(shè)備中采用的思科入侵檢測系統(tǒng)（IDS）軟件中添加趨勢科技的網(wǎng)絡(luò)蠕蟲和病毒識別碼技術(shù)。此舉將為用戶提供高級的網(wǎng)絡(luò)病毒智能識別功能和附加的實時威脅防御層，以抵御各種已知和未知的網(wǎng)絡(luò)蠕蟲的攻擊。
“在抵御網(wǎng)絡(luò)蠕蟲、防止再感染、漏洞和系統(tǒng)破壞的過程中，用戶不斷遭受業(yè)務(wù)中斷的損失，這導(dǎo)致了對更成熟的威脅防御方案需求的增長。”趨勢科技創(chuàng)始人兼首席執(zhí)行官張明正評論說，“傳統(tǒng)的方法已無法滿足雙方客戶的需求?！?/p>
“現(xiàn)在的網(wǎng)絡(luò)安全已不是單一的軟件防護(hù)，而是擴(kuò)充到整個網(wǎng)絡(luò)的防治。”思科全球副總裁杜家濱在接受記者采訪時表示：“路由器和交換機(jī)應(yīng)該是保護(hù)整個網(wǎng)絡(luò)安全的，如果它不安全，那它就不是路由器。從PC集成上來看，網(wǎng)絡(luò)設(shè)備應(yīng)該能自我保護(hù)，甚至實現(xiàn)對整個網(wǎng)絡(luò)安全的保護(hù)。”
業(yè)界專家指出，防病毒與網(wǎng)絡(luò)基礎(chǔ)設(shè)施結(jié)合，甚至融入到網(wǎng)絡(luò)基礎(chǔ)架構(gòu)中，這是網(wǎng)絡(luò)安全的發(fā)展潮流，趨勢科技和思科此次合作引領(lǐng)了這一變革，邁出了安全發(fā)展史上里程碑式的重要一步。
“軟”+“硬”=一步好棋
如果細(xì)細(xì)品味這次合作的話，我們不難發(fā)現(xiàn)這是雙方的一步好棋，兩家公司都需要此次合作。
作為網(wǎng)絡(luò)領(lǐng)域的全球領(lǐng)導(dǎo)者，思科一直致力于推動網(wǎng)絡(luò)安全的發(fā)展并獨具優(yōu)勢。自防御網(wǎng)絡(luò)（Self-DefendingNetwork，SDN）計劃是思科于今年3月推出的全新的安全計劃，它能大大提高網(wǎng)絡(luò)發(fā)現(xiàn)、預(yù)防和對抗安全威脅的能力。思科網(wǎng)絡(luò)準(zhǔn)入控制（NAC）計劃則是SDN計劃的重要組成部分，它和思科的其他安全技術(shù)一起構(gòu)成了SDN的全部內(nèi)涵。
SDN是一個比較全面、系統(tǒng)的計劃，但是它缺乏有效的病毒防護(hù)功能。隨著網(wǎng)絡(luò)病毒的日見猖獗，該計劃防毒功能的欠缺日益凸顯。趨勢科技領(lǐng)先的防毒安全解決方案正是思科安全體系所亟需的。
趨勢科技作為網(wǎng)絡(luò)安全軟件及服務(wù)廠商，以卓越的前瞻和技術(shù)革新能力引領(lǐng)了從桌面防毒到網(wǎng)絡(luò)服務(wù)器和網(wǎng)關(guān)防毒的潮流。趨勢科技的主動防御的解決方案是防毒領(lǐng)域的一大創(chuàng)新，其核心是企業(yè)安全防護(hù)戰(zhàn)略（EPS）。EPS一反過去被動地以防毒軟件守護(hù)的方式，將主動預(yù)防和災(zāi)后重建的兩大階段納入整個防衛(wèi)計劃當(dāng)中，并將企業(yè)安全防護(hù)策略延伸至網(wǎng)絡(luò)的各個層次。
“如果此次與思科合作的不是趨勢科技，我們恐怕連覺都睡不好?！睆埫髡膽蜓詿o不透露出趨勢科技對此次合作的迫切性和重要性。
更讓張明正高興的是，通過此次合作，趨勢科技大大擴(kuò)充了渠道?！拔覀兊那乐丿B性很小。”張明正表示。而此次“1+1<2”的低成本產(chǎn)品集成將使這次合作發(fā)揮更大的空間。
網(wǎng)絡(luò)安全路在何方？
計算機(jī)網(wǎng)絡(luò)安全涉及到計算機(jī)技術(shù)中的各個方面，如網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)等等。計算機(jī)網(wǎng)絡(luò)安全的標(biāo)準(zhǔn)是網(wǎng)絡(luò)中的硬軟件、系統(tǒng)的安全受到保護(hù)，在發(fā)生惡意侵入時不受破壞。在網(wǎng)絡(luò)剛產(chǎn)生時，人們對于網(wǎng)絡(luò)的要求側(cè)重于可用性以及其方便程度，那時對于網(wǎng)絡(luò)安全性的認(rèn)識和重視度都不高。因為最初的網(wǎng)絡(luò)沒有遍布全球，主要是局域網(wǎng)，所以基本不存在網(wǎng)絡(luò)安全的問題，于是人們也沒有做必要的防護(hù)。后來網(wǎng)絡(luò)技術(shù)日漸進(jìn)步，互聯(lián)網(wǎng)遍布全球，將世界聯(lián)系起來，網(wǎng)絡(luò)安全問題便逐漸成為不可忽視的重大問題。網(wǎng)絡(luò)具有關(guān)聯(lián)性的特征，所以在進(jìn)行網(wǎng)絡(luò)上的操作時，很容易在安全方面受到威脅。目前的眾多網(wǎng)絡(luò)產(chǎn)品，也是基于基礎(chǔ)網(wǎng)絡(luò)協(xié)議進(jìn)行發(fā)展開發(fā)的，與互聯(lián)網(wǎng)有著同樣的安全問題。
1.2網(wǎng)絡(luò)開放性
開放性是互聯(lián)網(wǎng)的最基本特征，互聯(lián)網(wǎng)的基本準(zhǔn)則之一就是自由開放。目前我們使用的網(wǎng)絡(luò)，處于互聯(lián)網(wǎng)產(chǎn)生以來開放性最強(qiáng)的狀態(tài)?；ヂ?lián)網(wǎng)從最初的局域網(wǎng)發(fā)展成為今天的世界性的網(wǎng)絡(luò)，為的就是更加方便人與人之間的交流。網(wǎng)絡(luò)的開放性為廣大用戶提供了豐富的資源，但也在同時為黑客提供了可乘之機(jī)。網(wǎng)絡(luò)安全便成了開發(fā)者和用戶共同關(guān)心的核心問題。
1.3網(wǎng)絡(luò)的控制管理性
互聯(lián)網(wǎng)將世界聯(lián)系在一起，每個用戶都是網(wǎng)絡(luò)中的一個元素，個人計算機(jī)以及局域網(wǎng)都連接在公共網(wǎng)絡(luò)中。網(wǎng)絡(luò)具有的關(guān)聯(lián)性使得對網(wǎng)絡(luò)進(jìn)行攻擊時，只需要對網(wǎng)絡(luò)中的關(guān)鍵點進(jìn)行攻擊，就可以對整個安全系統(tǒng)造成影響，就能夠擊潰整個安全系統(tǒng)。互聯(lián)網(wǎng)中的關(guān)鍵點十分重要，若這個關(guān)鍵部位的安全保護(hù)做到位，互聯(lián)網(wǎng)的安全便有了保障。若關(guān)鍵點喪失了安全性，整個互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全就難以維持。安全系統(tǒng)被破壞后，網(wǎng)絡(luò)運(yùn)行環(huán)境就會變得復(fù)雜，缺乏可控性以及安全性。這對每個互聯(lián)網(wǎng)中的用戶都會造成嚴(yán)重的影響，輕則導(dǎo)致文件的丟失，重則造成金錢的損失。
2網(wǎng)絡(luò)安全威脅
網(wǎng)絡(luò)面臨著多方面的威脅，一方面在于網(wǎng)絡(luò)信息的威脅，另一方面在于網(wǎng)絡(luò)設(shè)施的威脅。網(wǎng)絡(luò)安全受到威脅的首要原因是人為的疏忽，在對計算機(jī)進(jìn)行配置時，因為操作人員產(chǎn)生疏忽，產(chǎn)生安全漏洞，這樣便給了不法分子攻擊計算機(jī)的機(jī)會。用戶在對計算機(jī)進(jìn)行設(shè)置時，沒有濃厚的安全意識，例如口令密碼設(shè)置不夠安全以及防火墻不能及時維護(hù)，這些因素都會給電腦帶來安全危害。網(wǎng)絡(luò)安全受到威脅的第二個原因是他人的惡意攻擊，其中包括兩個方面：第一，主動攻擊，這種方式是人為對數(shù)據(jù)流進(jìn)行修改、延遲、刪除、插入以及復(fù)制的操作，通過這種操作讀計算機(jī)安全進(jìn)行攻擊，主要是對信息進(jìn)行篡改和偽造；第二，被動攻擊，這種方式是截獲信息，通過特殊手段監(jiān)視或是偷聽信息，以達(dá)到信息截獲的目的，這種方法比主動攻擊較難發(fā)現(xiàn)。網(wǎng)絡(luò)安全受到威脅的第三個原因在于軟件漏洞，軟件的漏洞通常會成為黑客進(jìn)行攻擊的主要目標(biāo)，通過攻擊漏洞可以摧毀整個安全系統(tǒng)，除了軟件漏洞，開發(fā)人員在研發(fā)軟件時會留有一個“后門”，方便對軟件進(jìn)行升級，這也容易成為黑客攻擊的對象。網(wǎng)絡(luò)安全受到威脅的第四個原因在于管理疏漏。
3基于軟件工程技術(shù)的網(wǎng)絡(luò)安全防御
3.1防火墻
防火墻可以在硬件上進(jìn)行建設(shè)，它起到了分離器、分析器和限制器的作用。它在兩個網(wǎng)絡(luò)進(jìn)行連接和通信的時候發(fā)揮作用，對信息進(jìn)行過濾和控制。防火墻包括很多類型，應(yīng)用型、檢測型和過濾型是最為常見的。使用防火墻，可以對內(nèi)外網(wǎng)絡(luò)正常運(yùn)行提供保障，但防火墻也存在一定的弱點，它無法阻止LAN內(nèi)部的攻擊。
3.2訪問控制
訪問控制是通過對操作系統(tǒng)中訪問權(quán)限進(jìn)行設(shè)置，限制訪問主體對訪問客體的訪問。訪問控制是通過軟件技術(shù)對網(wǎng)絡(luò)安全進(jìn)行防御的主要手段，它通過對網(wǎng)絡(luò)資源進(jìn)行保護(hù)，使網(wǎng)絡(luò)資源避免非法的訪問。訪問控制技術(shù)主要包括入網(wǎng)訪問控制、網(wǎng)絡(luò)權(quán)限控制、屬性控制以及目錄級控制等。
3.3殺毒軟件
病毒是主要以一個程序的方式存在和傳播的，也有些病毒是以一段代碼的形式。病毒運(yùn)行后，會對計算機(jī)造成破壞，使計算機(jī)無法正常運(yùn)行，嚴(yán)重的則會損傷計算機(jī)的操作系統(tǒng)，使整個系統(tǒng)崩潰，乃至使硬盤遭到損害。計算機(jī)病毒還有自我復(fù)制的功能，他們可以自身進(jìn)行復(fù)制后，通過移動設(shè)備和網(wǎng)絡(luò)大肆傳播出去，感染網(wǎng)絡(luò)內(nèi)開放的其他計算機(jī)，對其他計算機(jī)也造成破壞。對于計算機(jī)病毒的防治，可以分為幾個模塊，分別是病毒檢測、病毒防御和病毒清除。目前市面上有很多種類的殺毒軟件，選擇高質(zhì)量并且及時更新的殺毒軟件，是十分重要的。安裝殺毒軟件后，要及時對電腦進(jìn)行病毒掃描，檢測出病毒的存在后，要及時進(jìn)行處理和清除，保障計算機(jī)不被病毒感染，達(dá)到保護(hù)計算機(jī)安全的目的。安裝好的殺毒軟件，不僅是對于一臺計算機(jī)安全的維護(hù)，也是對網(wǎng)絡(luò)安全的維護(hù)，殺毒軟件及時清除病毒，防止了病毒通過網(wǎng)絡(luò)傳播出去，造成大批計算機(jī)系統(tǒng)遭到破壞。
中圖分類號：F123.1 文獻(xiàn)標(biāo)識碼：A
軟件安全弱點就是可能會帶來安全問題的計算機(jī)軟件中的代碼。軟件安全弱點和軟件安全漏洞不同，只有被證實可以引起攻擊的弱點才是漏洞。弱點不一定都是漏洞，但漏洞一定是弱點。軟件安全弱點信息披露的三個比較著名的地方是： Bugtraq、CERT與RISKS Digest。
每個計算機(jī)系統(tǒng)中都存在著安全脆弱點，而且現(xiàn)在軟件安全性問題比過去更大，更加嚴(yán)重。其中的原因有三:第一個原因就是計算機(jī)網(wǎng)絡(luò)的無所不在，這給攻擊者尋求弱點提供了途徑和方便性；第二個原因是現(xiàn)代信息系統(tǒng)及其相應(yīng)程序的龐大和復(fù)雜，而且廣泛使用的低級語言更加劇了弱點的存在；第三個原因就是軟件的可擴(kuò)展性。軟件安全弱點隨著上述因素的存在而在日益增加，這使得軟件安全性問題比以往任何時候都更緊迫。了解軟件中存在哪些可能的漏洞就顯得很重要了。
一，軟件安全漏洞分類
軟件安全漏洞可以從不同的角度和層次進(jìn)行分類，分類的目的是有助于更好的把握漏洞的共性，使漏洞的檢測效率更高、針對性更強(qiáng)。
操作系統(tǒng)和絕大多數(shù)的協(xié)議通信軟件都是使用C或C++開發(fā)的，該語言擁有簡潔、使用方便、靈活、運(yùn)算能力好、硬件訪問能力強(qiáng)、可移植性好和程序執(zhí)行效率高等諸多的優(yōu)點，所以使用也是最為廣泛的。本論文對漏洞的分類也主要從C或C++語臺一的特點出發(fā)。軟件安全漏洞從語言的角度說就是那些已經(jīng)成功通過了編譯器的編譯，但編譯器發(fā)現(xiàn)不了的，潛藏在程序源代碼中的能引起安全故障的編程錯誤或遺漏。這些軟件安全漏洞主要分為如下的幾類:
（一）緩沖區(qū)溢出
引起緩沖區(qū)溢出漏洞的原因也很簡單。從大的方面說就是使用了不安全的編程語言，比如C語言或C+十語言等，再加上程序員拙劣的編程技巧。從小的方面說就是語言自身沒有邊界檢查，使得數(shù)組或指針的訪問常常越界。
溢出漏洞導(dǎo)致的程序行為有:目標(biāo)程序的執(zhí)行很古怪；目標(biāo)程序的執(zhí)行完全崩潰；目標(biāo)程序可以繼續(xù)，而且沒有任何明顯的不同。其中第三種情況是最棘手的，也是最壞的情況，它掩蓋了可能發(fā)生的攻擊，使得軟件的測試人員也不能發(fā)現(xiàn)問題。
（二）競爭條件
競爭條件,是一種常見的軟件BUG。特別是在多進(jìn)程多任務(wù)的現(xiàn)在操作系統(tǒng)面前情況更是嚴(yán)重。這個問題比起緩沖區(qū)溢出漏洞來說更難解決，一個程序可能幾年來都一直運(yùn)行正常，但是突然間就因為競爭條件BUG而出現(xiàn)異常，而這種異常表現(xiàn)又是不能確定的。即使發(fā)現(xiàn)了競爭條件問題的存在，想修正它也是十分困難，因為它們極少出現(xiàn)。
隨著并行計算和分布式系統(tǒng)的開發(fā)和擴(kuò)展，競爭條件問題近年來愈演愈烈。其中基于文件的競爭條件問題在安全方面一直是最臭名昭著的。大多數(shù)基于文件的競爭條件問題都有一個共同的規(guī)律:在使用文件之前都會對文件的屬性進(jìn)行檢查。但是這個檢查存在缺陷。這個缺陷在安全界被稱為檢查時刻使用時刻，縮寫就是TOCTOU。當(dāng)然了，涉及安全性的競爭條件TOCTOU問題不僅僅在訪問文件的時候發(fā)生，在其他的各式各樣的復(fù)雜系統(tǒng)中也常常出現(xiàn)。比如電子商務(wù)中的多數(shù)據(jù)庫同步就是一個典型的競爭條件問題。
（三）格式化字符串
格式化字符串,漏洞是另一類微妙的程序代碼缺陷。這個漏洞在幾年前就已經(jīng)被了，但是現(xiàn)在的很多軟件產(chǎn)品仍然含有這個漏洞。格式化字符串是程序函數(shù)殊的一類字符串參數(shù)。除了可以利用格式化字符串漏洞顯示重要信息外，最危險的就是它可以向內(nèi)存中寫入指定的數(shù)據(jù)。格式化字符串漏洞只要存在，就可以被用來在進(jìn)程的內(nèi)存空間中任意讀寫，其危害還是非常大的。所以這類漏洞是軟件安全漏洞檢測的一個重要方面。
（四）隨機(jī)數(shù)
從事過安全研究的人都知道隨機(jī)數(shù)在安全性應(yīng)用中是很重要的。隨機(jī)數(shù)可以用來生成序列號，甚至可以生成密鑰。隨機(jī)數(shù)被用在安全應(yīng)用中就是一個安全弱點。所以在軟件安全弱點中要把它也作為重要組成部分。
二、軟件安全漏洞防范方法
（一）防止緩沖區(qū)溢出漏洞
防止緩沖區(qū)溢出的最好辦法就是對程序中的危險函數(shù)進(jìn)行詳細(xì)檢查。使用安全的版本來替換不安全的版本，例如使用Strncat來替換stcrat等等。計算機(jī)軟件中完全沒有BUG，是根本不可能的，除非軟件足夠小。即使上面的程序源碼檢查中沒有發(fā)現(xiàn)緩沖區(qū)溢出問題，還是不能掉以輕心，還是有其它方法可以使用的，比如在Linux操作系統(tǒng)上使用的不可執(zhí)行堆棧補(bǔ)丁程序和stackguard工具等都對緩沖區(qū)溢出有較好的保護(hù)。
（二）防止競爭條件漏洞
防止競爭條件漏洞的方法就是對能產(chǎn)生競爭的代碼實行原子化操作。簡單來說就是代碼的執(zhí)行是最小的單元，執(zhí)行操作的時候，不會有其他的任何事情打斷它的執(zhí)行。原子化體現(xiàn)在代碼上就是采用鎖定的方式。
防范TOCTOU問題應(yīng)該做到的是:避免直接使用文件名的系統(tǒng)調(diào)用，而是要使用文件句柄或者文件描述字。這樣使用，可以保證處理文件時不會在背后被改變。而且不需要自己對文件進(jìn)行訪問檢查，應(yīng)該留給操作系統(tǒng)的底層文件系統(tǒng)函數(shù)處理。也就是說要避免使用access等函數(shù)調(diào)用。
（三）防止格式化字符串漏洞
防止格式化字符串漏洞的方法就是不要給攻擊者任意構(gòu)造格式串的機(jī)會。在代碼中直接使用格式常量能有效防止這個漏洞。能產(chǎn)生格式化字符串漏洞的函數(shù)都是不定參數(shù)個數(shù)的函數(shù)，而且它們都不會對參數(shù)進(jìn)行類型和個數(shù)檢驗。所以在使用這些函數(shù)時要確保參數(shù)的個數(shù)和類型是一一對應(yīng)的。另外，還可以通過不可執(zhí)行堆棧程序等在一定程度上防止該漏洞的利用;在Windows下使用窗口來輸入輸出數(shù)據(jù)在一定程度上可以避免該漏洞。
（四）防止隨機(jī)數(shù)漏洞
防范隨機(jī)數(shù)漏洞的一個好方法就是使用好的隨機(jī)數(shù)發(fā)生器，一個好的隨機(jī)數(shù)發(fā)生器本身就是一個密碼算法，它提供了安全的隨機(jī)數(shù)流，有足夠的嫡，即使攻擊者知道了全部算法的細(xì)節(jié)，也不能猜出生成的數(shù)據(jù)流。
信息技術(shù)快速發(fā)展，尤其Internet的廣泛應(yīng)用，在如今大數(shù)據(jù)時代，軟件是計算機(jī)技術(shù)一種，在其軟件開發(fā)過程中，計算機(jī)軟件存在一定漏洞，要保障計算機(jī)軟件的安全性，必須提高計算機(jī)軟件的檢測技術(shù)，提升計算機(jī)軟件性能，是提高計算機(jī)網(wǎng)絡(luò)安全的有效途徑。
1計算機(jī)軟件安全漏洞目前的狀況
計算機(jī)軟件在開發(fā)的時候有的就存在一定漏洞，當(dāng)時可能沒有技術(shù)解決軟件漏洞問題，但在軟件使用的過程中，會出現(xiàn)一系列問題，必須加強(qiáng)軟件安全漏洞的檢測技術(shù)，檢測軟件是否合格，不合格的軟件必須加強(qiáng)軟件補(bǔ)丁，促使軟件達(dá)到合格標(biāo)準(zhǔn)，經(jīng)過測試后，才能投入市場使用。還有的軟件開發(fā)時候沒有任何漏洞，但隨著時間的推移，軟件會出現(xiàn)一定漏洞，軟件必須是在使用的過程中，逐步進(jìn)行軟件完善，提升軟件性能，讓其達(dá)標(biāo)，減少軟件的漏洞，出現(xiàn)漏洞以后要及時修復(fù)，提高軟件的生命周期，在一個友好的界面下，充分發(fā)揮軟件的功能，讓其在使用過程中，起到一定的作用，提升性能，減少漏洞。軟件在使用的過程中，根據(jù)技術(shù)的發(fā)展與變化，計算機(jī)軟件的漏洞必須技術(shù)檢測，延長軟件的生命周期，提高軟件性能，滿足其需要。
2計算機(jī)軟件安全漏洞檢測技術(shù)解讀
2.1靜態(tài)程序解析
靜態(tài)程序解析是軟件安全常用的檢測技術(shù)，這種檢測技術(shù)是通過程序代碼，通過利用機(jī)器語言、匯編語言等進(jìn)行編譯，利用反代碼形式，對檢測出來的軟件漏洞，及時進(jìn)行修復(fù)，提高軟件性能，在實際應(yīng)用過程中，涉及到程序設(shè)計中的語言、函數(shù)、數(shù)組、過程、集合、文件等。利用軟件技術(shù)解決軟件漏洞問題，靜態(tài)程序解析對程序設(shè)計起到保護(hù)作用，檢測軟件漏洞，提升計算機(jī)軟件性能，這是一種常用的計算機(jī)軟件安全漏洞檢測技術(shù)，通過該技術(shù)對軟件漏洞進(jìn)行合理檢測，提高軟件性能，延長軟件的生命周期。
2.2利用邏輯公式對程序性質(zhì)進(jìn)行表達(dá)
根據(jù)程序的性質(zhì)，對計算機(jī)軟件漏洞進(jìn)行檢測，判斷其中的應(yīng)用能力，邏輯公式能對計算機(jī)軟件的性能進(jìn)行檢測，檢測其的合法性，是否存在軟件漏洞，有的軟件漏洞是需要升級與更新軟件就可以解決的，有的是出現(xiàn)軟件錯誤，必須合理采用措施，解決軟件漏洞問題。其中的公理化方法的邏輯是完整的體系，其中的每個公式都是由單個程序語句和其前后置斷言共同構(gòu)成，具體理論當(dāng)中只有一條賦值公理，形式演算系統(tǒng)以一階謂詞邏輯為基礎(chǔ)，各自為順序、分支以及循環(huán)指令增加了相應(yīng)的演算法則。公理化方法已經(jīng)被證明具有較強(qiáng)的可靠性和完整性，但匹配的形式演算系統(tǒng)存在半可判定的情況。程序的正確性涉及程序設(shè)計人員利用邏輯公式對程序?qū)?yīng)的功能規(guī)約展開描述，另外一個問題就是要為循環(huán)體確定循環(huán)不變式。邏輯公式的應(yīng)用提高了邏輯判斷能力，在利用語句進(jìn)行科學(xué)判斷，檢測計算機(jī)軟件是否存在漏洞，根據(jù)邏輯公式的判斷能力，檢測軟件是否存在漏洞，如果存在漏洞，對其合理的進(jìn)行修補(bǔ)，解決軟件漏洞問題，提升軟件性能，完善軟件功能。
2.3測試庫技術(shù)
測試庫技術(shù)是計算機(jī)軟件檢測中常用技術(shù)，對解決計算機(jī)軟件漏洞起到幫助作用。測試庫技術(shù)是檢測計算機(jī)軟件中的核心部件，判斷計算機(jī)軟件是否存在漏洞。利用測試庫技術(shù)只能對動態(tài)內(nèi)存操作函數(shù)導(dǎo)致的錯誤進(jìn)行判定。而且其主要對運(yùn)行過程中輸入數(shù)據(jù)進(jìn)行監(jiān)控，發(fā)現(xiàn)其中的弱點。這種檢測并不是從整體上進(jìn)行判定。這也表明檢測過程只是驗證BUG是否被發(fā)現(xiàn)，但是無法證實BUG的存在。使用這項技術(shù)對于普通應(yīng)用程序而言，并不會存在任何兼容問題。使用測試庫技術(shù)的主要優(yōu)勢不存在誤報。從性能上對這個技術(shù)展開分析，其性能消耗較大，從其工作原理很容易能推導(dǎo)出這個結(jié)論。利用測試庫技術(shù)檢測計算機(jī)軟件是否存在漏洞，是所有檢測技術(shù)中最科學(xué)的，也是最準(zhǔn)確的，但其測試有一定難度，對計算機(jī)軟件本身也是一種傷害，提高計算機(jī)軟件性能，必須合理的利用軟件的檢測技術(shù)，科學(xué)的選擇檢測技術(shù)，有目的的進(jìn)行檢測軟件是否存在漏洞，科學(xué)的解決軟件漏洞問題，提高軟件性能。
2.4源碼改編
利用軟件漏洞檢測技術(shù)，檢測出計算機(jī)軟件存在一定漏洞，沒有合理方法進(jìn)行漏洞修復(fù)，就有必要根據(jù)軟件漏洞的階段，去修改程序的源代碼，這種源碼改編技術(shù)，是徹底解決計算機(jī)軟件漏洞的最根本方法，該檢測技術(shù)對人員的要求很高，能利用其它技術(shù)檢測出軟件漏洞，能利用源碼改編技術(shù)進(jìn)行修改，這是計算機(jī)軟件檢測技術(shù)的高級階段，是計算機(jī)軟件發(fā)展到一定程度的需要，也是社會發(fā)展對計算機(jī)軟件技術(shù)提出的新要求?？傊嬎銠C(jī)軟件技術(shù)存在一定漏洞，要解決計算機(jī)軟件漏洞，必須利用軟件檢測技術(shù)，及時檢測，發(fā)現(xiàn)問題要及時解決，但在計算機(jī)軟件發(fā)展的過程中，計算機(jī)軟件肯定存在一定問題，必須科學(xué)的合理解決計算機(jī)軟件的安全問題，提高對軟件安全認(rèn)識，增加計算機(jī)軟件的應(yīng)用性，符合現(xiàn)代計算機(jī)軟件技術(shù)發(fā)展需要。
參考文獻(xiàn)
[1]許躍穎.計算機(jī)軟件中安全漏洞檢測技術(shù)及其應(yīng)用[J].電子制作,2016(02).
[2]顏漢權(quán).基于模糊測試的軟件漏洞檢測方法[J].求知導(dǎo)刊,2015(11).
[3]高妍.計算機(jī)軟件安全漏洞檢測技術(shù)與應(yīng)用[J].計算機(jī)光盤軟件與應(yīng)用,2014(04).
一、征文范圍
1. 新技術(shù)應(yīng)用環(huán)境下信息安全等級保護(hù)技術(shù)：物聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、工控系統(tǒng)、移動接入網(wǎng)、下一代互聯(lián)網(wǎng)（IPv6）等新技術(shù)、環(huán)境下的等級保護(hù)支撐技術(shù)，等級保護(hù)技術(shù)體系在新環(huán)境下的應(yīng)用方法；
2. 關(guān)鍵基礎(chǔ)設(shè)施信息安全保護(hù)技術(shù)：政府部門及金融、交通、電力、能源、通信、制造等重要行業(yè)網(wǎng)站、核心業(yè)務(wù)信息系統(tǒng)等安全威脅、隱患分析及防范措施；
3. 國內(nèi)外信息安全管理政策與策略：信息安全管理政策和策略研究，信息安全管理體制和機(jī)制特點，信息安全管理標(biāo)準(zhǔn)發(fā)展對策，網(wǎng)絡(luò)恐怖的特點、趨勢、危害研究；
4. 信息安全預(yù)警與突發(fā)事件應(yīng)急處置技術(shù)：攻擊監(jiān)測技術(shù)，態(tài)勢感知預(yù)警技術(shù)，安全監(jiān)測技術(shù)，安全事件響應(yīng)技術(shù)，應(yīng)急處置技術(shù)，災(zāi)難備份技術(shù)，恢復(fù)和跟蹤技術(shù)，風(fēng)險評估技術(shù)；
5. 信息安全等級保護(hù)建設(shè)技術(shù)：密碼技術(shù)，可信計算技術(shù)，網(wǎng)絡(luò)實名制等體系模型與構(gòu)建技術(shù)，漏洞檢測技術(shù)，網(wǎng)絡(luò)監(jiān)測與監(jiān)管技術(shù)，網(wǎng)絡(luò)身份認(rèn)證技術(shù)，網(wǎng)絡(luò)攻防技術(shù)，軟件安全技術(shù)，信任體系研究；
6. 信息安全等級保護(hù)監(jiān)管技術(shù)：用于支撐安全監(jiān)測的數(shù)據(jù)采集、挖掘與分析技術(shù)，用于支撐安全監(jiān)管的敏感數(shù)據(jù)發(fā)現(xiàn)與保護(hù)技術(shù)，安全態(tài)勢評估技術(shù)，安全事件關(guān)聯(lián)分析技術(shù)、安全績效評估技術(shù)，電子數(shù)據(jù)取證和鑒定技術(shù)；
7. 信息安全等級保護(hù)測評技術(shù)：標(biāo)準(zhǔn)符合性檢驗技術(shù)，安全基準(zhǔn)驗證技術(shù)，源代碼安全分析技術(shù)，逆向工程剖析技術(shù)，滲透測試技術(shù)，測評工具和測評方法；
8. 信息安全等級保護(hù)策略與機(jī)制：網(wǎng)絡(luò)安全綜合防控體系建設(shè)，重要信息系統(tǒng)的安全威脅與脆弱性分析，縱深防御策略，大數(shù)據(jù)安全保護(hù)策略，信息安全保障工作評價機(jī)制、應(yīng)急響應(yīng)機(jī)制、安全監(jiān)測預(yù)警機(jī)制。
二、投稿要求
1. 來稿內(nèi)容應(yīng)屬于作者的科研成果，數(shù)據(jù)真實、可靠，未公開發(fā)表過，引用他人成果已注明出處，署名無爭議，論文摘要及全文不涉及保密內(nèi)容；
2. 會議只接受以Word排版的電子稿件，稿件一般不超過5000字；
3. 稿件以Email方式發(fā)送到征稿郵箱；
4. 凡投稿文章被錄用且未作特殊聲明者，視為已同意授權(quán)出版；
5. 提交截止日期： 2014年5月25日。
三、聯(lián)系方式
通信地址：北京市海淀區(qū)首都體育館南路1號
郵編：100048
Email：.cn
聯(lián)系人： 范博、王晨
聯(lián)系電話：010-68773930，
隨著互聯(lián)網(wǎng)技術(shù)的蓬勃發(fā)展，基于網(wǎng)絡(luò)和多媒體技術(shù)的電子商務(wù)應(yīng)運(yùn)而生并迅速發(fā)展。所謂電子商務(wù)通常是指是在全球各地廣泛的商業(yè)貿(mào)易活動中，在因特網(wǎng)開放的網(wǎng)絡(luò)環(huán)境下，基于瀏覽器／服務(wù)器應(yīng)用方式，買賣雙方不謀面地進(jìn)行各種商貿(mào)活動，實現(xiàn)消費(fèi)者的網(wǎng)購物、商戶之間的網(wǎng)上交易和在線電子支付以及各種商務(wù)活動和相關(guān)的綜合眼務(wù)活動的一種新型的商業(yè)運(yùn)營模式。信息技術(shù)和計算機(jī)網(wǎng)絡(luò)的迅猛發(fā)展使電子商務(wù)得到了極大的推廣，然而由于互聯(lián)網(wǎng)的開放性，網(wǎng)絡(luò)安全問題日益成為制約電予商務(wù)發(fā)展的一個關(guān)鍵性問題。
一、電子商務(wù)網(wǎng)絡(luò)信息安全存在的問題
電子商務(wù)的前提是信息的安全性保障，信息安全性的含義主要是信息的完整性、可用性、保密和可靠。因此電商務(wù)活動中的信息安全問題豐要體現(xiàn)在以下兩個方面：
1 網(wǎng)絡(luò)信息安全方面
(1)安全協(xié)議問題。目前安全協(xié)議還沒有全球性的標(biāo)準(zhǔn)和規(guī)范，相對制約了國際性的商務(wù)活動。此外，在安全管理方面還存在很大隱患，普遍難以抵御黑客的攻擊。
(3)防病毒問題?；ヂ?lián)網(wǎng)的出現(xiàn)為電腦病毒的傳播提供了最好的媒介，不少新病毒直接以網(wǎng)絡(luò)作為自己的傳播途徑，在電子商務(wù)領(lǐng)域如何有效防范病毒也是一個十分緊迫的問題。
(4)服務(wù)器的安全問題。裝有大量與電子商務(wù)有關(guān)的軟件和商戶信息的系統(tǒng)服務(wù)器是電予商務(wù)的核心，所以服務(wù)器特別容易受到安全的威脅，并且一旦出現(xiàn)安全問題，造成的后果會非常嚴(yán)重。
2．電子商務(wù)交易方面
(1)身份的不確定問題。由于電子商務(wù)的實現(xiàn)需要借助于虛擬的網(wǎng)絡(luò)平臺，在這個平臺上交易雙方是不需要見面的，因此帶來了交易雙方身份的不確定性。攻擊者可以通過非法的手段盜竊合法用戶的身份信息，仿冒合法用戶的身份與他人進(jìn)行交易。
(2)交易的抵賴問題。電子商務(wù)的交易應(yīng)該同傳統(tǒng)的交易一樣具有不可抵賴。有些用戶可能對自己發(fā)出的信息進(jìn)行惡意的否認(rèn)，以推卸自己應(yīng)承擔(dān)的責(zé)任。
(3)交易的修改問題。交易文件是不可修改的，否則必然會影響到另一方的商業(yè)利益。電子商務(wù)中的交易文件同樣也不能修改，以保證商務(wù)交易的嚴(yán)肅和公正。
二 電子商務(wù)中的網(wǎng)絡(luò)信息安全對策
1 電子商務(wù)網(wǎng)絡(luò)安全的技術(shù)對策
(1)應(yīng)用數(shù)字簽名。數(shù)字簽名是用來保證信息傳輸過程中信皂的完整和提供信包發(fā)送者身份的認(rèn)證，應(yīng)用數(shù)字簽名可在電子商務(wù)中安全、方便地實現(xiàn)在線支付，而數(shù)據(jù)傳輸?shù)陌踩?、完整，身份驗證機(jī)制以及交易的不可抵賴性等均可通過電子簽名的安全認(rèn)證手段加以解決。
(2)配置防火墻。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度，它能阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息。它能控制網(wǎng)絡(luò)內(nèi)外的信息交流，提供接入控制和審查跟蹤，是一一種訪問控制機(jī)制。在邏輯，防火墻是一個分離器、限制器，能有效監(jiān)控內(nèi)部網(wǎng)和intemet之間的任何活動，保證內(nèi)部網(wǎng)絡(luò)的安全。
(3)應(yīng)用加密技術(shù)。密鑰加密技術(shù)的密碼體制分為對稱密鑰體制和公用密鑰體制兩種。相應(yīng)地，對數(shù)據(jù)加密的技術(shù)分為對稱加密和非對稱加密兩類。根據(jù)電子商務(wù)系統(tǒng)的特點，全面加密保護(hù)應(yīng)包括對遠(yuǎn)程通信過程中和網(wǎng)內(nèi)通信過程中傳輸?shù)臄?shù)據(jù)實施加密保護(hù)。一般來說，應(yīng)根據(jù)管理級別所對應(yīng)的數(shù)據(jù)保密要求進(jìn)行部分加密而非全程加密。
2、電子商務(wù)網(wǎng)絡(luò)安全的管理策略
(1)建立保密制度。涉及信息保密、口令或密碼保密、通信地址保密、日常管理和系統(tǒng)運(yùn)行狀況保密、工作日記保密等各個方面。對各類保密都需要慎重考慮，根據(jù)輕重程度劃分好不同的保密級別，并制定出相應(yīng)的保密措施。
(2)建立系統(tǒng)維護(hù)制度。該制度是電子商務(wù)網(wǎng)絡(luò)系統(tǒng)能否保持長期安全、穩(wěn)定運(yùn)行的基本保證，應(yīng)由專職網(wǎng)絡(luò)管理技術(shù)人員承擔(dān)，為安全起見，其他任何人不得介入，主要做好硬件系統(tǒng)日常管理維護(hù)和軟件系統(tǒng)日常管理維護(hù)兩方面的工作。
(3)建立病毒防范制度。病毒在網(wǎng)絡(luò)環(huán)境下具有極大的傳染性和危害性，除了安裝防病毒軟件之外，還要及時升級防病毒軟件版本、及時通報病毒入侵信息等工作。此外，還可將剛絡(luò)系統(tǒng)中易感染病毒的文什屬性、權(quán)限加以限制，斷絕病毒入侵的渠道，從而達(dá)到預(yù)防的目的。
(4)建立數(shù)據(jù)備份和恢復(fù)的保障制度。作為一個成功的電子商務(wù)系統(tǒng)，應(yīng)引對信息安全至少提供三個層而的安全保護(hù)措施：一是數(shù)據(jù)存操作系統(tǒng)內(nèi)部或者盤陣中實現(xiàn)快照、鏡像；二是對數(shù)據(jù)庫及郵件服務(wù)器等重要數(shù)據(jù)做到在電子交易中心內(nèi)的自動備份；三是對重要的數(shù)據(jù)做到通過廣域網(wǎng)專線等途徑做好數(shù)據(jù)的克隆備份，通過以上保護(hù)措施可為系統(tǒng)數(shù)據(jù)安全提供雙保險。
三 電子商務(wù)的網(wǎng)絡(luò)安全體系結(jié)構(gòu)
隨著互聯(lián)網(wǎng)技術(shù)的蓬勃發(fā)展,基于網(wǎng)絡(luò)和多媒體技術(shù)的電子商務(wù)應(yīng)運(yùn)而生并迅速發(fā)展。所謂電子商務(wù)通常是指是在全球各地廣泛的商業(yè)貿(mào)易活動中,在因特網(wǎng)開放的網(wǎng)絡(luò)環(huán)境下,基于瀏覽器/服務(wù)器應(yīng)用方式,買賣雙方不謀面地進(jìn)行各種商貿(mào)活動,實現(xiàn)消費(fèi)者的網(wǎng)購物、商戶之間的網(wǎng)上交易和在線電子支付以及各種商務(wù)活動和相關(guān)的綜合眼務(wù)活動的一種新型的商業(yè)運(yùn)營模式。信息技術(shù)和計算機(jī)網(wǎng)絡(luò)的迅猛發(fā)展使電子商務(wù)得到了極大的推廣,然而由于互聯(lián)網(wǎng)的開放性,網(wǎng)絡(luò)安全問題日益成為制約電予商務(wù)發(fā)展的一個關(guān)鍵性問題。
一、電子商務(wù)網(wǎng)絡(luò)信息安全存在的問題
電子商務(wù)的前提是信息的安全性保障,信息安全性的含義主要是信息的完整性、可用性、保密和可靠。因此電商務(wù)活動中的信息安全問題豐要體現(xiàn)在以下兩個方面:
1 網(wǎng)絡(luò)信息安全方面
(1)安全協(xié)議問題。目前安全協(xié)議還沒有全球性的標(biāo)準(zhǔn)和規(guī)范,相對制約了國際性的商務(wù)活動。此外,在安全管理方面還存在很大隱患,普遍難以抵御黑客的攻擊。
(3)防病毒問題?；ヂ?lián)網(wǎng)的出現(xiàn)為電腦病毒的傳播提供了最好的媒介,不少新病毒直接以網(wǎng)絡(luò)作為自己的傳播途徑,在電子商務(wù)領(lǐng)域如何有效防范病毒也是一個十分緊迫的問題。
(4)服務(wù)器的安全問題。裝有大量與電子商務(wù)有關(guān)的軟件和商戶信息的系統(tǒng)服務(wù)器是電予商務(wù)的核心,所以服務(wù)器特別容易受到安全的威脅,并且一旦出現(xiàn)安全問題,造成的后果會非常嚴(yán)重。
2.電子商務(wù)交易方面
(1)身份的不確定問題。由于電子商務(wù)的實現(xiàn)需要借助于虛擬的網(wǎng)絡(luò)平臺,在這個平臺上交易雙方是不需要見面的,因此帶來了交易雙方身份的不確定性。攻擊者可以通過非法的手段盜竊合法用戶的身份信息,仿冒合法用戶的身份與他人進(jìn)行交易。
(2)交易的抵賴問題。電子商務(wù)的交易應(yīng)該同傳統(tǒng)的交易一樣具有不可抵賴。有些用戶可能對自己發(fā)出的信息進(jìn)行惡意的否認(rèn),以推卸自己應(yīng)承擔(dān)的責(zé)任。
(3)交易的修改問題。交易文件是不可修改的,否則必然會影響到另一方的商業(yè)利益。電子商務(wù)中的交易文件同樣也不能修改,以保證商務(wù)交易的嚴(yán)肅和公正。
二 電子商務(wù)中的網(wǎng)絡(luò)信息安全對策
1 電子商務(wù)網(wǎng)絡(luò)安全的技術(shù)對策
(1)應(yīng)用數(shù)字簽名。數(shù)字簽名是用來保證信息傳輸過程中信皂的完整和提供信包發(fā)送者身份的認(rèn)證,應(yīng)用數(shù)字簽名可在電子商務(wù)中安全、方便地實現(xiàn)在線支付,而數(shù)據(jù)傳輸?shù)陌踩?、完?身份驗證機(jī)制以及交易的不可抵賴性等均可通過電子簽名的安全認(rèn)證手段加以解決。
(2)配置防火墻。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度,它能阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò),防止他們更改、拷貝、毀壞你的重要信息。它能控制網(wǎng)絡(luò)內(nèi)外的信息交流,提供接入控制和審查跟蹤,是一一種訪問控制機(jī)制。在邏輯,防火墻是一個分離器、限制器,能有效監(jiān)控內(nèi)部網(wǎng)和Intemet之間的任何活動,保證內(nèi)部網(wǎng)絡(luò)的安全。
(3)應(yīng)用加密技術(shù)。密鑰加密技術(shù)的密碼體制分為對稱密鑰體制和公用密鑰體制兩種。相應(yīng)地,對數(shù)據(jù)加密的技術(shù)分為對稱加密和非對稱加密兩類。根據(jù)電子商務(wù)系統(tǒng)的特點,全面加密保護(hù)應(yīng)包括對遠(yuǎn)程通信過程中和網(wǎng)內(nèi)通信過程中傳輸?shù)臄?shù)據(jù)實施加密保護(hù)。一般來說,應(yīng)根據(jù)管理級別所對應(yīng)的數(shù)據(jù)保密要求進(jìn)行部分加密而非全程加密。
2、電子商務(wù)網(wǎng)絡(luò)安全的管理策略
(1)建立保密制度。涉及信息保密、口令或密碼保密、通信地址保密、日常管理和系統(tǒng)運(yùn)行狀況保密、工作日記保密等各個方面。對各類保密都需要慎重考慮,根據(jù)輕重程度劃分好不同的保密級別,并制定出相應(yīng)的保密措施。
(2)建立系統(tǒng)維護(hù)制度。該制度是電子商務(wù)網(wǎng)絡(luò)系統(tǒng)能否保持長期安全、穩(wěn)定運(yùn)行的基本保證,應(yīng)由專職網(wǎng)絡(luò)管理技術(shù)人員承擔(dān),為安全起見,其他任何人不得介入,主要做好硬件系統(tǒng)日常管理維護(hù)和軟件系統(tǒng)日常管理維護(hù)兩方面的工作。
(3)建立病毒防范制度。病毒在網(wǎng)絡(luò)環(huán)境下具有極大的傳染性和危害性,除了安裝防病毒軟件之外,還要及時升級防病毒軟件版本、及時通報病毒入侵信息等工作。此外,還可將剛絡(luò)系統(tǒng)中易感染病毒的文什屬性、權(quán)限加以限制,斷絕病毒入侵的渠道,從而達(dá)到預(yù)防的目的。
(4)建立數(shù)據(jù)備份和恢復(fù)的保障制度。作為一個成功的電子商務(wù)系統(tǒng),應(yīng)引對信息安全至少提供三個層而的安全保護(hù)措施:一是數(shù)據(jù)存操作系統(tǒng)內(nèi)部或者盤陣中實現(xiàn)快照、鏡像;二是對數(shù)據(jù)庫及郵件服務(wù)器等重要數(shù)據(jù)做到在電子交易中心內(nèi)的自動備份;三是對重要的數(shù)據(jù)做到通過廣域網(wǎng)專線等途徑做好數(shù)據(jù)的克隆備份,通過以上保護(hù)措施可為系統(tǒng)數(shù)據(jù)安全提供雙保險。
三 電子商務(wù)的網(wǎng)絡(luò)安全體系結(jié)構(gòu)
一、電子商務(wù)網(wǎng)絡(luò)信息安全存在的問題
電子商務(wù)的前提是信息的安全性保障，信息安全，勝的含義主要是信息的完整性、可用性、保密險和可靠性。因此電子商務(wù)活動中的信安全問題主要體現(xiàn)在以兩個方面:
1、網(wǎng)絡(luò)信息安全方面
(l)安全協(xié)議問題。目前安全協(xié)議還沒有全球性的標(biāo)準(zhǔn)和規(guī)范，相對制約了國際性的商務(wù)活動。此外，在安全管理方面還存在很大隱患，普遍難以抵御黑客的攻擊。
(3)防病毒問題。互聯(lián)網(wǎng)的出現(xiàn)為電腦病毒的傳播提供了最好的媒介，不少新病毒直接以網(wǎng)絡(luò)作為自己的傳播途徑，在電子商務(wù)領(lǐng)域如何有效防范病毒也是一個十分緊迫的問題。
(4)服務(wù)器的安全問題。裝有大量與電子商務(wù)有關(guān)的軟件和商戶信息的系統(tǒng)服務(wù)器是電子商務(wù)的核心，所以服務(wù)器特別容易受到安全的威脅，并且一旦出現(xiàn)安全問題，造成的后果會非常嚴(yán)重。
2、電子商務(wù)交易方面
(1)身份的不確定問題。由于電子商務(wù)的實現(xiàn)需要借助于虛擬的網(wǎng)絡(luò)平臺，在這個平臺上交易雙方是不需要見面的，因此帶來了交易雙方身份的不確定性。攻擊者可以通過非法的手段盜竊合法用戶的身份信息，仿冒合法用戶的身份與他人進(jìn)行交易。
(2)交易的抵賴問題。電子商務(wù)的交易應(yīng)該同傳統(tǒng)的交易一樣具有不可抵賴性。有些用戶可能對自己發(fā)出的信息進(jìn)行惡意的否認(rèn)，以推卸自己應(yīng)承擔(dān)的責(zé)任。
(3)交易的修改問題。交易文件是不可修改的，否則必然會影響到另一方的商業(yè)利益。電子商務(wù)中的交易文件同樣也不能修改，以保證商務(wù)交易的嚴(yán)肅和公正。
二、電子商務(wù)中的網(wǎng)絡(luò)信息安全對策
1、電子商務(wù)網(wǎng)絡(luò)安全的技術(shù)對策
(1)應(yīng)用數(shù)字簽名。數(shù)字簽名是用來保證信息傳輸過程中信息的完整和提供信息發(fā)送者身份的認(rèn)證，應(yīng)用數(shù)字簽名可在電子商務(wù)中安全，方便地實現(xiàn)在線支付，而數(shù)據(jù)傳輸?shù)陌踩?、完整性，身份驗證機(jī)制以及交易的不可抵賴性等均可通過電子簽名的安全認(rèn)證手段加以解決。(2)配置防火墻。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度，它能阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息。它能控制網(wǎng)絡(luò)內(nèi)外的信息交流，提供接人控制和審查跟蹤，是一種訪問控制機(jī)制。在邏輯，防火墻是一個分離器、限制器，能有效監(jiān)控內(nèi)部網(wǎng)和工nternet之間的任何活動，保證內(nèi)部網(wǎng)絡(luò)的安全。
(3)應(yīng)用加密技術(shù)。密鑰加密技術(shù)的密碼體制分為對稱密鑰體制和公用密鑰體制兩。相應(yīng)地，對數(shù)據(jù)加密的技術(shù)分為對稱加密和非討稱力日密兩類。根據(jù)電子商務(wù)系統(tǒng)的特點，全面加密保護(hù)應(yīng)包括對遠(yuǎn)程通信過程中和網(wǎng)內(nèi)通信過程中傳輸?shù)臄?shù)據(jù)實施加密保護(hù)。一般來說，應(yīng)根據(jù)管理級別所對應(yīng)的數(shù)據(jù)保密要求進(jìn)行部分加密而非全程加密。
2、電子商務(wù)網(wǎng)絡(luò)安全的管理策略
(1)建立保密制度。涉及信息保密、口令或密碼保密、通信地址保密、日常管理和系統(tǒng)運(yùn)行狀況保密、工作日記保密等各個方面。對各類保密都需要慎重考慮，根據(jù)輕重程度劃分好不同的保密級別，并制定出相應(yīng)的保密措施。
(2)建立系統(tǒng)維護(hù)制度。該制度是電子商務(wù)網(wǎng)絡(luò)系統(tǒng)能否保持長期安全、穩(wěn)定運(yùn)行的基本保證，應(yīng)由專職網(wǎng)絡(luò)管理技術(shù)人員承擔(dān)，為安全起見，其他任何人不得介人，主要做好硬件系統(tǒng)日常借理維護(hù)和軟件系統(tǒng)日常管理維護(hù)兩方面的工作。
(3)建立病毒防范制度。病毒在網(wǎng)絡(luò)環(huán)境下具有極大的傳染性和危害性，除了安裝防病毒軟件之外，還要及時升級防病毒軟件版本、及時通報病毒人侵信息等工作。此外，還可將網(wǎng)絡(luò)系統(tǒng)中易感染病毒的文件屬性、權(quán)限加以限制，斷絕病毒人侵的渠道，從而達(dá)預(yù)防的目的。
(4)建立數(shù)據(jù)備份和恢復(fù)的保障制度。作為一個成功的電子商務(wù)系統(tǒng)，應(yīng)針對信息安全至少提供三個層面的安全保護(hù)措施:一是數(shù)據(jù)在操作系統(tǒng)內(nèi)部或者盤陣中實現(xiàn)快照、鏡像;二是對數(shù)據(jù)庫及郵件服務(wù)器等重要數(shù)據(jù)做到在電子交易中心內(nèi)的自動備份;三是對重要的數(shù)據(jù)做到通過廣域網(wǎng)專線等途徑做好數(shù)據(jù)的克隆備份，通過以土保護(hù)措施可為系統(tǒng)數(shù)據(jù)安全提供雙保險。
三、電子商務(wù)的網(wǎng)絡(luò)安全體系結(jié)構(gòu)
電子商務(wù)的網(wǎng)絡(luò)信息安全不僅與技術(shù)有關(guān)，更與社會因素、法制環(huán)境等多方面因素有關(guān)。故應(yīng)對電子商務(wù)的網(wǎng)絡(luò)安全體系結(jié)構(gòu)劃分如下:
1.電子商務(wù)系統(tǒng)硬件安全。主要是指保護(hù)電子商務(wù)系統(tǒng)所涉及計算機(jī)硬件的安全性，保證其可靠哇和為系統(tǒng)提供基礎(chǔ)性作用的安全機(jī)制。
2.電子商務(wù)系統(tǒng)軟件安全。主要是指保證交易記錄及相關(guān)數(shù)據(jù)不被篡改、破壞與非法復(fù)制，系統(tǒng)軟件安全的目標(biāo)是使系統(tǒng)中信息的處理和傳輸滿足整個系統(tǒng)安全策略需求。
3.電子商務(wù)系統(tǒng)運(yùn)行安全。主要指滿足系統(tǒng)能夠可靠、穩(wěn)定、持續(xù)和正常的運(yùn)行。
一、電子商務(wù)網(wǎng)絡(luò)信息安全存在的問題
電子商務(wù)的前提是信息的安全性保障，信息安全，勝的含義主要是信息的完整性、可用性、保密險和可靠性。因此電子商務(wù)活動中的信安全問題主要體現(xiàn)在以兩個方面:
1、網(wǎng)絡(luò)信息安全方面
(l)安全協(xié)議問題。目前安全協(xié)議還沒有全球性的標(biāo)準(zhǔn)和規(guī)范，相對制約了國際性的商務(wù)活動。此外，在安全管理方面還存在很大隱患，普遍難以抵御黑客的攻擊。
(3)防病毒問題。互聯(lián)網(wǎng)的出現(xiàn)為電腦病毒的傳播提供了最好的媒介，不少新病毒直接以網(wǎng)絡(luò)作為自己的傳播途徑，在電子商務(wù)領(lǐng)域如何有效防范病毒也是一個十分緊迫的問題。
(4)服務(wù)器的安全問題。裝有大量與電子商務(wù)有關(guān)的軟件和商戶信息的系統(tǒng)服務(wù)器是電子商務(wù)的核心，所以服務(wù)器特別容易受到安全的威脅，并且一旦出現(xiàn)安全問題，造成的后果會非常嚴(yán)重。
2、電子商務(wù)交易方面
(1)身份的不確定問題。由于電子商務(wù)的實現(xiàn)需要借助于虛擬的網(wǎng)絡(luò)平臺，在這個平臺上交易雙方是不需要見面的，因此帶來了交易雙方身份的不確定性。攻擊者可以通過非法的手段盜竊合法用戶的身份信息，仿冒合法用戶的身份與他人進(jìn)行交易。
(2)交易的抵賴問題。電子商務(wù)的交易應(yīng)該同傳統(tǒng)的交易一樣具有不可抵賴性。有些用戶可能對自己發(fā)出的信息進(jìn)行惡意的否認(rèn)，以推卸自己應(yīng)承擔(dān)的責(zé)任。
(3)交易的修改問題。交易文件是不可修改的，否則必然會影響到另一方的商業(yè)利益。電子商務(wù)中的交易文件同樣也不能修改，以保證商務(wù)交易的嚴(yán)肅和公正。
二、電子商務(wù)中的網(wǎng)絡(luò)信息安全對策
1、電子商務(wù)網(wǎng)絡(luò)安全的技術(shù)對策
(1)應(yīng)用數(shù)字簽名。數(shù)字簽名是用來保證信息傳輸過程中信息的完整和提供信息發(fā)送者身份的認(rèn)證，應(yīng)用數(shù)字簽名可在電子商務(wù)中安全，方便地實現(xiàn)在線支付，而數(shù)據(jù)傳輸?shù)陌踩浴⑼暾?，身份驗證機(jī)制以及交易的不可抵賴性等均可通過電子簽名的安全認(rèn)證手段加以解決。
(2)配置防火墻。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度，它能阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息。它能控制網(wǎng)絡(luò)內(nèi)外的信息交流，提供接人控制和審查跟蹤，是一種訪問控制機(jī)制。在邏輯，防火墻是一個分離器、限制器，能有效監(jiān)控內(nèi)部網(wǎng)和工nternet之間的任何活動，保證內(nèi)部網(wǎng)絡(luò)的安全。
(3)應(yīng)用加密技術(shù)。密鑰加密技術(shù)的密碼體制分為對稱密鑰體制和公用密鑰體制兩。相應(yīng)地，對數(shù)據(jù)加密的技術(shù)分為對稱加密和非討稱力日密兩類。根據(jù)電子商務(wù)系統(tǒng)的特點，全面加密保護(hù)應(yīng)包括對遠(yuǎn)程通信過程中和網(wǎng)內(nèi)通信過程中傳輸?shù)臄?shù)據(jù)實施加密保護(hù)。一般來說，應(yīng)根據(jù)管理級別所對應(yīng)的數(shù)據(jù)保密要求進(jìn)行部分加密而非全程加密。
2、電子商務(wù)網(wǎng)絡(luò)安全的管理策略
(1)建立保密制度。涉及信息保密、口令或密碼保密、通信地址保密、日常管理和系統(tǒng)運(yùn)行狀況保密、工作日記保密等各個方面。對各類保密都需要慎重考慮，根據(jù)輕重程度劃分好不同的保密級別，并制定出相應(yīng)的保密措施。
(2)建立系統(tǒng)維護(hù)制度。該制度是電子商務(wù)網(wǎng)絡(luò)系統(tǒng)能否保持長期安全、穩(wěn)定運(yùn)行的基本保證，應(yīng)由專職網(wǎng)絡(luò)管理技術(shù)人員承擔(dān)，為安全起見，其他任何人不得介人，主要做好硬件系統(tǒng)日常借理維護(hù)和軟件系統(tǒng)日常管理維護(hù)兩方面的工作。
(3)建立病毒防范制度。病毒在網(wǎng)絡(luò)環(huán)境下具有極大的傳染性和危害性，除了安裝防病毒軟件之外，還要及時升級防病毒軟件版本、及時通報病毒人侵信息等工作。此外，還可將網(wǎng)絡(luò)系統(tǒng)中易感染病毒的文件屬性、權(quán)限加以限制，斷絕病毒人侵的渠道，從而達(dá)預(yù)防的目的。
(4)建立數(shù)據(jù)備份和恢復(fù)的保障制度。作為一個成功的電子商務(wù)系統(tǒng)，應(yīng)針對信息安全至少提供三個層面的安全保護(hù)措施:一是數(shù)據(jù)在操作系統(tǒng)內(nèi)部或者盤陣中實現(xiàn)快照、鏡像;二是對數(shù)據(jù)庫及郵件服務(wù)器等重要數(shù)據(jù)做到在電子交易中心內(nèi)的自動備份;三是對重要的數(shù)據(jù)做到通過廣域網(wǎng)專線等途徑做好數(shù)據(jù)的克隆備份，通過以土保護(hù)措施可為系統(tǒng)數(shù)據(jù)安全提供雙保險。
三、電子商務(wù)的網(wǎng)絡(luò)安全體系結(jié)構(gòu)
征文內(nèi)容如下：
1.計算機(jī)安全、下一代網(wǎng)絡(luò)安全技術(shù)；
2.網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理、密碼學(xué)、軟件安全；
3.信息系統(tǒng)等級安全保護(hù)、重要信息系統(tǒng)安全；
4.云計算與云安全、物聯(lián)網(wǎng)的安全；
5.移動互聯(lián)網(wǎng)的安全信息安全保障體系、移動計算平臺安全性研究；
6.信息內(nèi)容安全、通信安全、網(wǎng)絡(luò)攻防滲透測試技術(shù)；
7.可信計算；
8.關(guān)鍵基礎(chǔ)設(shè)施安全；
9.系統(tǒng)與網(wǎng)絡(luò)協(xié)議安全分析；
10.系統(tǒng)架構(gòu)安全分析；
11.面向業(yè)務(wù)應(yīng)用的整體安全保護(hù)方案；
12.信息安全漏洞態(tài)勢研究；
13.新技術(shù)新應(yīng)用信息安全態(tài)勢研究；
14.Web應(yīng)用安全；
15.計算機(jī)系統(tǒng)安全等級保護(hù)標(biāo)準(zhǔn)的實施與發(fā)展現(xiàn)狀；
16.國內(nèi)外電子認(rèn)證服務(wù)相關(guān)政策與標(biāo)準(zhǔn)研究；
17.電子認(rèn)證服務(wù)最新技術(shù)和產(chǎn)品；
18.電子認(rèn)證服務(wù)應(yīng)用創(chuàng)新；
19.電子認(rèn)證服務(wù)行業(yè)研究和熱點事件解析；
20.可靠電子簽名與數(shù)據(jù)電文的認(rèn)定程序/技術(shù)規(guī)范/應(yīng)用規(guī)范/應(yīng)用案例分析；
21.數(shù)字證書交叉認(rèn)證技術(shù)規(guī)范/應(yīng)用規(guī)范/應(yīng)用案例分析；
22.電子認(rèn)證服務(wù)與云計算、物聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)等新技術(shù)、新應(yīng)用融合的相關(guān)技術(shù)、標(biāo)準(zhǔn)規(guī)范和應(yīng)用發(fā)展情況；
23.工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)；
24.信息安全和功能安全標(biāo)準(zhǔn)化；
25.信息安全和功能安全集成技術(shù)；
26.工業(yè)控制系統(tǒng)安全性的技術(shù)指標(biāo)與經(jīng)濟(jì)成本；
27.信息安全產(chǎn)品設(shè)計和系統(tǒng)集成；
28.工業(yè)控制系統(tǒng)安全的評估與認(rèn)證；
29.工業(yè)控制系統(tǒng)的信息安全解決方案；
30.工業(yè)自動化安全面臨的風(fēng)險；
31.國外工業(yè)控制系統(tǒng)安全的做法；
32.工業(yè)控制系統(tǒng)信息安全現(xiàn)狀及其發(fā)展趨勢；
33.工業(yè)控制系統(tǒng)安全性的建議；
34.工控系統(tǒng)與信息系統(tǒng)對信息安全的不同需求；
35.工業(yè)控制系統(tǒng)的安全性與可用性之間的矛盾與平衡；
36.應(yīng)用行業(yè)工業(yè)控制系統(tǒng)的信息安全防護(hù)體系；
37.工業(yè)控制系統(tǒng)安全測評體系；
