基于安全應(yīng)用系統(tǒng)軟件綜合設(shè)計方法分析

1、基于安全應(yīng)用系統(tǒng)軟件綜合設(shè)計方法分析計算機(jī)走進(jìn)了千家萬戶為人們的生活帶來了很多便捷， 為公司信息 管理帶來效率，信息的管理深入到個人、集體和國家，然而，軟件系 統(tǒng)安全缺陷給井然有序的社會帶來了巨大的安全隱患。 要保護(hù)已知軟 件模式不被攻擊就要對安全應(yīng)用系統(tǒng)軟件進(jìn)行綜合性設(shè)計。橫向來看,首先要加強(qiáng)應(yīng)用系統(tǒng)的系統(tǒng)管理，包括賬戶安全、權(quán)限管理，其次是 應(yīng)用系統(tǒng)中數(shù)據(jù)庫的安全，以及系統(tǒng)數(shù)據(jù)存儲、數(shù)據(jù)傳輸?shù)募用芎蛿?shù) 據(jù)完整性驗證；縱向分析，要加固應(yīng)用軟件薄弱環(huán)節(jié)，做好功能防御， 還要加強(qiáng)安全排查，做好系統(tǒng)防御，最后是故障修復(fù)，堅持最小特權(quán) 以及分隔原則。一、系統(tǒng)自身安全管理設(shè)計最薄弱的環(huán)節(jié)是需要最佳設(shè)計

2、的環(huán)節(jié)，加固應(yīng)用系統(tǒng)需要有一套穩(wěn) 定的管理體系相配合。 眾所周知， 應(yīng)用系統(tǒng)是依賴超級管理員加以保 護(hù)和維修，那么這套管理系統(tǒng)是否存在漏洞，是否有不足之處，答案 是肯定的。管理員掌控整個應(yīng)用系統(tǒng)卻不受監(jiān)督，操作的隨意性很大，直接就會導(dǎo)致系統(tǒng)安全性能的不穩(wěn)定和系統(tǒng)數(shù)據(jù)的不安全。因而，應(yīng)用系統(tǒng)軟件的安全性可以追溯到對管理員的功能任務(wù)的分配和管理。在此提出安全應(yīng)用系統(tǒng)軟件綜合設(shè)計的第一步，實行管理員的分類，系統(tǒng)管理員，系統(tǒng)安全管理員，系統(tǒng)審計管理員。分工要合乎事宜， 系統(tǒng)管理員的工作是負(fù)責(zé)計算機(jī)系統(tǒng)的升級更新和數(shù)據(jù)的恢復(fù)維修，職責(zé)權(quán)限是對計算機(jī)的日常運行進(jìn)行跟進(jìn)；系統(tǒng)安全管理員的工作是 要賬戶的信息

3、保護(hù)，賬號信息的管理包括刪除撤銷和恢復(fù)； 審計員的 工作是對系統(tǒng)管理員和系統(tǒng)安全管理員的工作進(jìn)行合理的監(jiān)督和監(jiān) 管，對計算機(jī)的日常異常情況進(jìn)行登記和記錄， 同時需要注意工作的 保密性，不能隨意篡改 1 。對于計算機(jī)管理員的分配管理是對應(yīng)用 系統(tǒng)軟件的內(nèi)部隱患的管理措施， 規(guī)范了系統(tǒng)管理員的操作， 就能在 很大程度保護(hù)好系統(tǒng)自身的安全， 在這一基礎(chǔ)上， 進(jìn)一步完善其他安 全應(yīng)用系統(tǒng)軟件。二、抵御風(fēng)險的多重防御設(shè)計 安全應(yīng)用系統(tǒng)軟件的綜合設(shè)計不僅僅是關(guān)于系統(tǒng)自身的完善還涉及 外部系統(tǒng)防御的多層安置。 下面以數(shù)據(jù)文檔為例進(jìn)行論證， 首先是數(shù) 據(jù)文檔的存儲，一些外行人士通常就將文檔資料以明文的方式存儲

4、，一部分有操作軟件訪問權(quán)限的人就能夠隨意的查看和更改軟件信息 和內(nèi)容，如果這些人有壞的心思， 很有可能信息安全就無法得到保障 2 。在這一危險信息下，用戶信息的安全性作為一個涉及面廣泛而 又復(fù)雜的課題，需要多重防御抵御風(fēng)險設(shè)計，只有如此，系統(tǒng)軟件安 全才可以得到保障， 至于提高系統(tǒng)安全性的設(shè)計首先是對文檔資料進(jìn)行分類， 公共文檔或者私人文件， 第二步是對分類的文檔進(jìn)行逐級的 加密，并進(jìn)行完整性的檢驗， 最后是針對不同安全系數(shù)的文件選擇不 同的算法， 用算法的不同復(fù)雜度對文件進(jìn)行不同等級的加密， 避免數(shù) 據(jù)的泄露以及后續(xù)事件的麻煩和損失。三、賬戶身份鑒別和操作安全的審計工作 安全的應(yīng)用系統(tǒng)保護(hù)用

5、戶信息安全的時候需要對用戶的賬戶身份進(jìn) 行鑒別，在用戶訪問計算機(jī)的時候通常是需要用戶登錄賬號和密碼， 應(yīng)用系統(tǒng)軟件需要對用戶信息進(jìn)行審計， 并對管理的用戶進(jìn)行安全配 置策略。這一策略包括兩個方面，一是鎖定地點，時間和密碼，利用 對用戶底層信息在不同軟件間的交互進(jìn)行對用戶信用度的審核， 通過 一系列對于賬戶的安全設(shè)定對用戶的安全進(jìn)行保護(hù)和規(guī)范； 二是對審 計功能的發(fā)揮，將審計的功能與系統(tǒng)內(nèi)比較脆弱的地方進(jìn)行時常的比 較檢查，以便對安全事件的核查， 為安全事件的追查提供完整的信息 和可進(jìn)行的方向。四、利用軟件測試提升安全性 安全應(yīng)用系統(tǒng)軟件的綜合設(shè)計離不開軟件測試， 據(jù)統(tǒng)計在多類型的 軟件設(shè)計中，

6、 軟件設(shè)計導(dǎo)致的錯誤比例高達(dá) 64%，很多的應(yīng)用系統(tǒng)軟 件中程序編寫錯誤會輾轉(zhuǎn)到另一項系統(tǒng)運行中去，放大每一個環(huán)節(jié)， 重視測試，了解測試目標(biāo)， 安排測試，驗證應(yīng)用系統(tǒng)軟件的功能這一 切對于系統(tǒng)的安全都有著重要的作用。 將對于軟件的測試歸于主動是 非常有幫助的，避免一部分程序錯誤沒有在復(fù)審過程中發(fā)現(xiàn)而影響到 下一階段的任務(wù)。而在實際的工作中，編譯程序是浩大繁重的工作，不可能完全沒有錯誤， 正是因為如此， 需要針對軟件錯誤進(jìn)行相應(yīng)的 軟件測試， 保證軟件安全性， 保證系統(tǒng)的安全。 主要的測試方法有功 能測試，在動態(tài)測試時，加強(qiáng)網(wǎng)絡(luò)信息系統(tǒng)的自身安全建設(shè)，增加設(shè) 計開發(fā)的安全防護(hù)功能， 減少安全疏漏

7、； 還有源程序的結(jié)構(gòu)檢查和流 圖分析，這是靜態(tài)分析技術(shù)的一種， 在工作人員進(jìn)行代碼審查時會發(fā) 揮很大的功用， 一方面是有效的查出前期的軟件錯誤， 另一方面是排 查運行中的代碼邏輯錯誤， 規(guī)范編程行為， 同時提高測試的準(zhǔn)確度和 效率。五、對用戶權(quán)限的劃分 在應(yīng)用系統(tǒng)軟件的綜合設(shè)計中始終需要堅持的是最小特權(quán)原則，網(wǎng) 絡(luò)中的每一個主體都需要減少其出現(xiàn)故障的風(fēng)險， 減少其必要訪問權(quán) 限意外的權(quán)限。 應(yīng)用系統(tǒng)常見的訪問權(quán)限是用戶到角色到權(quán)限， 每個 權(quán)限對應(yīng)的有所屬部門，秘密等級，以及所對應(yīng)的用戶權(quán)限 3 。事 實上，對用戶權(quán)限的劃分也是一種系統(tǒng)的保護(hù)， 在一些程序員想要訪 問數(shù)據(jù)對象時， 規(guī)定的權(quán)限已經(jīng)足夠使用， 但是想要進(jìn)一步進(jìn)行編程 和修改往往會弄巧成拙， 并不必要的特權(quán)給系統(tǒng)帶來危險。 常見計算 機(jī)安全性問題的原因都是未知類型的攻擊， 這與權(quán)限劃分不清也有相 當(dāng)大的聯(lián)系。六、保護(hù)數(shù)據(jù)庫的安全 數(shù)據(jù)庫安全是信息系統(tǒng)的核心，也是大家關(guān)注的重中之重。作為應(yīng) 用系統(tǒng)信息交互的核心， 數(shù)據(jù)的安全是首要的， 整個的安全應(yīng)用系統(tǒng) 保護(hù)都與之休戚相關(guān)。 設(shè)計相應(yīng)的安全配置保護(hù)數(shù)據(jù)庫是必不可少的。在安全應(yīng)用系統(tǒng)軟件綜合設(shè)計方法分析時，數(shù)據(jù)庫應(yīng)當(dāng)置于第一位 4 。首先是針對用戶的訪問權(quán)限，保證用戶的安全，對用戶的安全 賬號進(jìn)