消防工程企業(yè)管理系統(tǒng)

申請免費(fèi)試用、咨詢電話：400-8352-114

　  消防工程企業(yè)項(xiàng)目管理系統(tǒng)主要面臨的安全問題有哪些 

      1、消防工程企業(yè)項(xiàng)目管理系統(tǒng)網(wǎng)絡(luò)安全的脆弱性

　　由于Internet/Intmnet的出現(xiàn)，網(wǎng)絡(luò)安全問題更加嚴(yán)重。可以說，使用TCP/IP協(xié)議的網(wǎng)絡(luò)所提供的FTP、E-Mail、RPC和NFS都包含許多不安全的因素，存在許多漏洞。

　　同時，網(wǎng)絡(luò)的普及使信息共享達(dá)到了一個新的層次，信息被暴露的機(jī)會大大增多。Intemet網(wǎng)絡(luò)就是一個不設(shè)防的開放大系統(tǒng)，誰都可以通過未受保護(hù)的外部環(huán)境和線路訪問系統(tǒng)內(nèi)部，隨時可能發(fā)生搭線竊聽、遠(yuǎn)程監(jiān)控、攻擊破壞。

　　2、數(shù)據(jù)庫管理系統(tǒng)安全的脆弱性

　　當(dāng)前，大量的信息存儲在各種各樣的數(shù)據(jù)庫中，而這些數(shù)據(jù)庫系統(tǒng)在安全方面的考慮卻很少。而且，數(shù)據(jù)庫管理系統(tǒng)安全必須與操作系統(tǒng)的安全相配套。

　　3、防火墻的局限性

　　盡管利用防火墻可以保護(hù)安全網(wǎng)免受外部黑客的攻擊，但它只能提高網(wǎng)絡(luò)的安全性，不可能保證網(wǎng)絡(luò)絕對安全。

　　3、1基于消防通信網(wǎng)絡(luò)進(jìn)行入侵的常用手段分析

　　由于消防工作的社會性，消防信息化建設(shè)很重要的一方面就是利用信息化手段強(qiáng)化為社會服務(wù)的功能，積極通過網(wǎng)絡(luò)媒體為社會提供各類消防信息，如消防法律法規(guī)、消防知識等，促進(jìn)消防工作社會化;在網(wǎng)上受理消防業(yè)務(wù)，公布依法行政的有關(guān)信息，為社會提供服務(wù)，增強(qiáng)群眾對消防工作的滿意度。在利用網(wǎng)絡(luò)提高工作效率和簡化日常工作流程的同時，也面臨許多信息安全方面的問題，主要表現(xiàn)在：

　　3、2消防工程企業(yè)管理系統(tǒng)內(nèi)部的資料被竊取

　　現(xiàn)在消防機(jī)關(guān)上傳下達(dá)的各種資料基本上都要先經(jīng)過電腦錄入并打印后再送發(fā)出去，電腦內(nèi)一般都留有電子版的備份，若此電腦直接接入局域網(wǎng)或Intemet，就有可能受到來自內(nèi)部或外部人員的威脅，其主要方式有：

　　(1)利用系統(tǒng)漏洞入侵，瀏覽、拷貝甚至刪除重要文件。前段時間在安全界流行一個名為DCOM RPC的漏洞，其涉及范圍非常之廣，從Windows NT4.0、Windows 2000、Windows XP到WindowsServer 2003。由于Microsoft RPC的DCOM(分布式組件對象模塊)接口存在緩沖區(qū)溢出缺陷，如果攻擊者成功利用了該漏洞，將會獲得本地系統(tǒng)權(quán)限，并可以在系統(tǒng)上運(yùn)行任何命令，如安裝程序，查看或更改、刪除數(shù)據(jù)或是建立系統(tǒng)管理員權(quán)限的帳戶等。目前關(guān)于該漏洞的攻擊代碼已經(jīng)涉及到的相應(yīng)操作系統(tǒng)和版本已有48種之多，其危害性可見一斑;

　　(2)電腦操作人員安全意識差，系統(tǒng)配置疏忽大意，隨意共享目錄;系統(tǒng)用戶使用空口令，或?qū)⑾到y(tǒng)帳號隨意轉(zhuǎn)借他人，都會導(dǎo)致重要內(nèi)容被非法訪問，甚至丟失系統(tǒng)控制權(quán)。

　　3、3Web服務(wù)被非法利用

　　據(jù)統(tǒng)計(jì)，目前全國各級公安消防部門在因特網(wǎng)上已建立近100個網(wǎng)站，提供消防法規(guī)、危險物品基礎(chǔ)數(shù)據(jù)、產(chǎn)品質(zhì)量信息、消防技術(shù)標(biāo)準(zhǔn)等重要信息，部分支隊(duì)還對轄區(qū)內(nèi)重點(diǎn)單位開辟網(wǎng)上受理業(yè)務(wù)服務(wù)，極大地提高了工作效率，但基于網(wǎng)頁的入侵及欺詐行為也在威脅著網(wǎng)站數(shù)據(jù)的安全性及可信性。

　　(1)Web頁面欺詐

　　許多提供各種法律法規(guī)及相關(guān)專業(yè)數(shù)據(jù)查詢的站點(diǎn)都提供了會員服務(wù)，這些會員一般需要繳納一定的費(fèi)用才能正式注冊成為會員，站點(diǎn)允許通過信用卡在線付費(fèi)的形式注冊會員。攻擊者可以通過一種被稱為Man-In-the-Middle的方式得到會員注冊中的敏感信息。

　　攻擊者可通過攻擊站點(diǎn)的外部路由器，使進(jìn)出方的所有流量都經(jīng)過他。在此過程中，攻擊者扮演了一個代理人的角色，在通信的受害方和接收方之間傳遞信息。代理人是位于正在同心的兩臺計(jì)算機(jī)之間的一個系統(tǒng)，而且在大多數(shù)情況下，它能在每個系統(tǒng)之間建立單獨(dú)的連接。在此過程中，攻擊者記錄下用戶和服務(wù)器之間通信的所有流量，從中挑選自己感興趣的或有價值的信息，對用戶造成威脅。

　　(2)CGI欺騙

　　CGI(Common Gateway Interface)即通用網(wǎng)關(guān)接口，許多Web頁面允許用戶輸入信息，進(jìn)行一定程度的交互。還有一些搜索引擎允許用戶查找特定信息的站點(diǎn)，這些一般都通過執(zhí)行CGI程序來完成。一些配置不當(dāng)或本身存在漏洞的CGI程序，能被攻擊者利用并執(zhí)行一些系統(tǒng)命令，如創(chuàng)建具有管理員權(quán)限的用戶，開啟共享、系統(tǒng)服務(wù)，上傳并運(yùn)行木馬等。在奪取系統(tǒng)管理權(quán)限后，攻擊者還可在系統(tǒng)內(nèi)安裝嗅探器，記錄用戶敏感數(shù)據(jù)，或隨意更改頁面內(nèi)容，對站點(diǎn)信息的真實(shí)性及可信性造成威脅。