基于Ｗｅｂ的企業信息管理系統安全方案

摘要：分析了傳統企業信息管理系統存在的安全問題，應用SSL協議、網絡型人侵檢測系統、虛擬專用網等技術，提出了一種新的企業信息管理系統安全設計方案。理論分析和實驗結果表明，新方案是保證企業信息管理系統安全運行的一種有效方案。

關鍵詞：企業信息管理系統；SSL協議；虛擬專用網；入侵檢測系統

中圖分類號：TP393文獻標識碼：A 文章編號：1009-3044(2008)25-1388-03

Web-based Security Solution for Enterprise Information Management System

CHEN Li-xia1， YANG Chao2

(1.School of Vocational Education， Xidian University， Xi'an 710071， China;2.School of Computer， Xidian University， Xi'an 710071， China)

Abstract: The security problem of traditional enterprise information management system is analyzed and a novel solution is proposed to improve the system security. SSL protocol， network intrusion detection system， and virtual private network are used to solve security problems of the system. Analysis and the experimental results show that this method is more effective than traditional one.

Key words: enterprise information management system; SSL; VPN; NIDS

隨著企業網站及管理信息系統被入侵等惡性事件不斷出現，網絡與信息安全問題日益突出，現有的企業信息管理系統在安全保障方面的不足逐漸暴露出來。因此，本文提出了一種基于Web的企業信息管理系統的安全設計方案，采用SSL(Secure Socket Layer)協議為系統提供用戶認證提供128位高強度的數據加密能力。采用網絡型人侵檢測系統(Network Intrusion Detection System)，提供對內部、外部攻擊和錯誤操作的實時檢測，彌補傳統被動防御技術的不足。同時，利用數據庫建立權限表嚴格劃分用戶權限的類別和級別，利用虛擬專用網(Virtual Private Network)技術，通過對網絡數據的封包和加密傳輸，在公用網絡中建立一條達到私有網絡安全級別的安全專用通道，從而實現在公網上傳輸私有數據。

1 系統技術架構和功能模塊

1.1 技術架構

由于C/S架構的開發成本較高、升級維護復雜、不能跨越異質異構網絡進行訪問，而B/S架構的安全性、交互性、響應速度及數據傳輸速率等方面較差，所以采用單一架構都必然存在一定的缺陷。針對上述問題，本系統設計時采用了C/S和B/S相結合的多層架構設計：對需要較高的安全性、較強的交互性且同時需要處理大量數據的子系統采用C/S架構，對地理位置分散、數據流量小、安全性交互性要求不高的子系統采用B/S架構。

相比傳統的架構，本系統還增加了中間層應用服務器，如圖1所示。它封裝了所有的業務邏輯，便于維護和擴展，同時避免了Web服務器和C/S架構下用戶對數據庫服務器的直接訪問，進一步提高了系統的安全性。

■

圖1 系統技術架構

1.2 功能模塊

企業信息管理系統主要由管理系統、物資系統、財務系統、倉庫系統、物流系統、人員管理系統、銷售系統及系統管理與設置模塊組成，如圖2所示。

2 系統安全方案

2.1 SSL協議

SSL協議是目前Internet上使用最廣泛的安全協議，它有效地防止了在客戶端和服務器之間傳輸的數據被竊聽、篡改和偽造，從而保證網絡通信的保密性和可靠性。它可以為企業信息管理系統提供3方面的安全服務：客戶端及服務器的身份認證、加密傳輸數據和保證數據的完整性.

SSL協議實現的主要過程分為如下6個步驟：

1) 配置工作環境。在Linux系統下，安裝OpenSSL開源工具包openssl0.9.8b和Apache服務器httpd2.0.58，設置相關參數，并安裝所要的模塊。然后在openssl.cnf中設置證書保存目錄、文本型證書數據庫、CA證書和私鑰目錄等;再根據配置文件創建相關目錄和文件。

2) 利用OpenSSL命令建立CA證書。首先生成CA證書的1024位RSA密鑰對，然后根據這個密鑰對創建一個CA證書，命令如下：openssl genrsa-des3 out cakey.pem 1024， openssl req -new -x509 –days 365 –keyout cakey.pem –out cacert.pem -configopenssl.cnf，該過程中需要輸人相關證書信息。

3) 建立服務器證書。首先生成服務器的證書請求，命令如下：openssl req –new –key serverkey.pem –out serverreq.pem -days365.然后利用CA證書對其簽發，命令如下:openssl ca –config openssl.cnf –policy policy_anything -out severcert.pem -in serverreq.pem，輸人以證書私鑰口令，簽發成功后生成服務器證書。由于瀏覽器需要的證書格式為PKCS12，因此還需要進行格式轉換，命令如下，openssl pkcsl2 -export- out servercert.pfx –in servercert.pem。

4) 建立客戶端證書。該過程類似服務器證書的建立過程。

5) 服務器端和客戶端的配置。在服務器端ssl.conf中設置證書和私鑰的相關內容，并建立相應目錄和文件。由于客戶端需要CA證書和客戶端證書，因此將服務器端以證書復制一份，并和客戶端證書一起在客戶端進行安裝，導人瀏覽器。

6) 啟動Apache服務。命令如下：apachectlstartssl，在輸人服務器證書私鑰口令后，具有SSL功能的Web服務器就實現了。

7) 在客戶端瀏覽器中輸人服務器地址，根據提示選擇證書，身份認證通過之后，就可以通過SSL協議安全的訪問實驗室管理系統.在瀏覽器的狀態欄中顯示為128位高強度的SSL連接。

2.2 網絡型入侵檢測系統

本系統的入侵檢測部分由3個核心功能模塊構成：基于特征匹配的網絡人侵檢測系統、人侵日志數據庫和基于Web的日志分析顯示控制臺。網絡人侵檢測系統放置在需要監控入侵行為的網段上，主要采用旁路偵聽的方式，動態監視網絡上流過的所有數據包，根據用戶定義的策略進行檢測，識別出網絡中的各種事件，并給出報警數據和定位顯示。入侵日志數據庫主要是從入侵檢測系統中收集報警數據，并將它存人到關系數據庫中，以便用戶可以進行復雜的查詢和管理。日志分析控制臺是數據顯示平臺，網絡管理員可通過瀏覽器本地或異地訪問主機上的Web服務器，把它作為分析控制臺，對報警日志信息進行查詢與管理。

入侵檢測系統的工作流程分為如下4個步驟：

1) 數據包截獲和解碼。利用數據包截取函數庫Libpcap采集數據，對抓取的數據包進行協議的解析，并提供給檢測引擎進行規則匹配。數據包解碼運行在各協議棧之上，從數據鏈路層開始逐層解碼到應用層，分別解析出相應的包頭、包數據，并填充相應的數據結構。

2) 數據包分析。首先讀取規則特征文件，然后依次讀取每一條特征信息，并對其進行解析，用相應的規則語法表示，在內存中對規則進行組織，建立規則語法樹。檢測引擎根據該規則語法樹，依次對網絡數據包進行檢測，并采用遞歸的方法進行匹配.當該數據包與某條規則匹配成功時，就會觸發響應，給出報警。

3) 入侵報警。對檢測到的異常數據包提供不同的處理方式，如報警方式、日志方式、丟棄方式、阻斷方式等。對于不同的規則特征文件，可以選擇特定的處理方式，為了實現基于Web的日志搜索、管理功能，將報警日志記錄存人數據庫中。

4) 日志顯示。通過數據庫接口，提取出報警日志數據，對其進行分類、統計，顯示在Web控制臺上。最后，網絡管理員對檢索出的報警日志數據做相應的處理。

本系統采用Snort作為人侵檢測模塊的內核，日志數據庫服務器利用MYSQL建立，日志分析顯示控制臺采用B/S系統架構，支持遠程的訪問操作。

2.3 身份認證方案

為確保信息發送者身份的真實性，我們將SHA-1算法加入到上述方案中。SHA-1是一種散列算法，在本系統的運用步驟如下：

1) 用SHA-1處理明文得到摘要；

2) 用發送方私鑰加密摘要得到A；

3) 用接受方公鑰加密摘要得到B；

4) B隨密文和數字信封一起發送；

5) 接受方用私鑰解密B得到A；

6) 接受方用發送方公鑰解密A得到摘要；

7) 將解密得到的明文用SHA-1處理再得到一份摘要，兩份摘要加以比較，如完全相同，則發送者身份真實，同時數據的真實性也得到保證，如圖3所示。

3 數據庫系統安全

數據庫系統的安全性在很大程度上依賴于數據庫管理系統。目前普遍使用的關系數據庫管理系統安全性功能較弱。本系統從以下幾個方面對數據庫的安全方案進行考慮。

3.1用戶角色及權限管理

建立不同用戶組和用戶口令用于驗證，防止非法用戶進入數據庫系統；另外，通過授權限制用戶權限，即允許一些用戶對服務器進行訪問，也就是說對整個數據庫具有讀寫的權利，而大多數用戶只能在同組內進行讀寫或對整個數據庫只具有讀取權限。為加強數據庫在網絡中的安全性，遠程用戶必須通過密碼訪問數據庫，加強網絡DBA權限控制，如拒絕遠程DBA訪問等。

3.2數據保護

數據保護包括數據庫備份、日志保護和控制文件備份三個部分。

1) 數據庫備份。當計算機的軟硬件發生故障時，利用備份進行數據庫恢復，以恢復破壞的數據庫文件、控制文件或其他文件。

2) 日志保護。Oracle數據庫提供所有作業的完整日志，用以記錄數據庫中所進行的各種操作，包括修改、調整參數等。

3) 控制文件備份。一般用于存儲數據庫物理結構狀態，控制文件中的某些狀態信息在實例恢復和介質恢復期間用于引導Oracle數據庫。

3.3 數據庫加密

數據庫加密是數據庫安全的核心問題，加密技術的應用能很好地解決數據庫安全問題。

數據庫管理系統采用分層安全加密方法解決加密問題，以保證上層加密被突破的情況下仍能保障數據庫數據的安全。具體可在以下3個不同層次實現加密：OS層、DBMS內核層和DBMS外層。

1) OS層加密。由于在此層無法辨認數據庫文件中的數據關系，所以很難推算出合理的密鑰，密鑰的合理使用和管理也很難。

2) DBMS內核層實現加密。在物理存取數據之前完成加密、解密。加密功能強，且幾乎不影響DBMS的功能，可與DBMS無縫禍合。但加密過程在服務器端，加重了服務器的負荷，而且DBMS和加密系統的匹配需要DBMS開發者的技術支持。

3) DBMS外層實現加密。將加密系統設計成DBMS的外層工具，根據加密要求自動完成對數據庫的加密、解密。采用這種加密方式進行加密，加密、解運算可在客戶端進行，不會加重數據庫服務器的負荷，同時可以實現網絡傳輸加密;缺點是加密功能會受到一些限制，與數據庫管理系統之間的禍合性稍差。

經過以上分析，結合本系統數據庫安全性要求、開發的可行性和開發代價，最終決定采用DBMS外層加密。

4 實驗與對比分析

為了驗證基于Web的企業信息管理系統的實際效果，我們進行了實驗驗證，對系統的功能和安全保障進行了測試，并與傳統的管理系統進行了對比分析。分析結果表明：本系統不僅能夠完成預定的各項功能，而且在安全保障方面提供了更好的保護和加強，如表1所示。

5 結束語

本文所提出的企業信息系統，利用了SSL協議、人侵檢測系統、身份認證系統、數據庫安全管理系統和VPN網關一起構成了企業信息管理系統的信息安全保障體系。該體系既能防止非法用戶的人侵及合法用戶的越權訪問，又能保證重要數據在存儲、使用和傳輸過程中的機密、完整、可用和不可抵賴性，使得整個實驗室管理系統在安全保護之內，為企業信息管理信息系統安全的設計與實施提供了較好的參考價值。

參考文獻：

[1] 李頻，唐家益，陳丹偉，等. 虛擬專用網分類和比較研[J]. 計算機工程，2006，32(22):133-135.

[2] 彭月平，張娟子，衷濤. 基于C/S和B/S結合模式的實驗室信息管理系統的設計[J]. 微電子學與計算機，2006，23(8):187-189.

[3] 李國俊，蘇銳丹，周利華. 基于OpenSSL的Web安全訪問拉制設計與實現[J]. 微電子學與計算機，2006，23(S1):69-74.

[4] 于順治，王春霉，薛一波，等. 一個基于Web的入侵檢測系統設計與實現[J]. 計算機工程與設計，2006，27(21):4060-4063.

[5] 黃益檢，盧建朱. 一種基于身份的認證加密新方案[J]. 計算機工程，2007(7):149-150.

[6] 徐江峰，莊海燕，楊有. Oracle數據庫加密技術分析[J]. 計算機科學，2006(1):134-136.