精华内容
下载资源
问答
  • 信息系统审计特点
    千次阅读
    2019-10-15 15:13:41

    写在最前:
    安全产品系列目录:目录&总述

    审计系统

    审计系统分类:

    1. 网络审计:针对于网络协议进行审计,如http、smtp、pop3、vnc、RDP、Rlogin、SSH、Telnet等;
    2. 数据库审计:专门用于数据库操作审计,详细记录用户操作数据库的操作,并支持回放
    3. 综合审计:则将网络审计和数据库审计功能进行综合,进行综合审计。

    审计的意思大概就是审查和记录?资料收集和分析?

    一、网络审计

    产品简介

    通过网络数据的采集、分析、识别,实时动态监测通信内容、网络行为和网络流量,发现和捕获各种敏感信息、违规行为,实时报警响应

    产品特点

    1. 内容审计
    2. 行为审计
    3. 流量审计

    用户价值

    1. 全面细粒度记录网络访问行为,识别违规网络操作行为。
    2. 方便取证定责
    3. 更加符合法规

    二、数据库审计

    产品简介

    针对数据库操作行为进行细粒度审计和防护的管理与监控系统

    产品特点

    1. 审计日志信息全面
    2. 精细的过滤条件
    3. 判断操作是否存在异常

    用户价值

    1. 降低了数据泄露、篡改等风险
    2. 对于内部人员权限进行了有效的监督和管理

    1.功能

    一.网络安全审计系统
    针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供互联网的有效监督,预防、制止数据泄密。满足用户对互联网行为审计备案及安全保护措施的要求,提供完整的上网记录,便于信息追踪、系统安全管理和风险防范。

    1. 贴近网监业务模式,提高网络破案成功率
      系统功能依照公安网监的业务流程设置:从日常例行的网络行为巡察、到有目的地行为线索搜索;从发现嫌疑人虚拟身份线索后进行的虚拟身份分析,到依据发现的行为或身份线索进行监视布控;从系统实时监控网络行为并在策略条件满足时触发报警,到以布控策略组为单位查看布控告警结果等。上述功能体现了网监的真实业务内涵,并且操作非常便利,能够帮助警员最大限度地利用网络线索来侦破疑难案件。
    2. 全面内容安全审计,满足所有合规性要求系统
      支持从网页访问、email、迅文件下载到即时通讯等数十种主要网络应用协议的识别还原,帮助用户最大限度地不遗漏有潜在安全风险的网络行为。从而完善了用户单位的IT内控与审计体系,满足各种合规性要求,并帮助企业顺利通过IT审计(例如:行政事业单位或国有企业有遵循等级保护的合规性要求)。
    3. 智能虚拟身份分析,提高账号识别准确度
      越简单虚拟身份库功能局限的智能虚拟身份分析功能,能够将网络中的虚拟身份(网络帐号)与现实中的真实身份智能关联,有效地解决了网络行为角色的虚拟性所带来的种种问题。通过“虚拟身份关联中介算法”,能够最大限度地提高虚拟身份识别的准确度,为网监部门利用网络行为线索信息办案,提供了全新的技术手段。
    4. 硬件高速抓包处理,不漏过任何网络线索
      场所端网络安全审计机采用了专门定制的高性能网络数据包处理卡,结合软件底层优化(linux硬件直通访问)技术,大幅度提高网络数据包的采集速度,避免数据包丢失。从而避免在出现突发大网络流量情形时,因处理不及时而漏掉了重要的网络行为信息。
    5. 网络言论信息搜集,及时反馈网民
      系统采用了最新的数据挖掘技术,能够针对聊天、论坛和博客的发表/回复帖子、邮件内容及附件等载有文字内容的网络数据进行深度分析,以便及时识别网络行为热点和异常点,帮助相关部门随时掌握网民行为动态与发展趋势。

    二.数据库审计(简称DBAudit)
    能够实时记录网络上的数据库活动,对数据库操作进行细粒度审计的合规性管理,对数据库遭受到的风险行为进行告警,对攻击行为进行阻断。它通过对用户访问数据库行为的记录、分析和汇报,用来帮助用户事后生成合规报告、事故追根溯源,同时加强内外部数据库网络行为记录,提高数据资产安全。

    1. 多层业务关联审计:
      通过应用层访问和数据库操作请求进行多层业务关联审计,实现访问者信息的完全追溯,包括:操作发生的URL、客户端的IP、请求报文等信息,通过多层业务关联审计更精确地定位事件发生前后所有层面的访问及操作请求,使管理人员对用户的行为一目了然,真正做到数据库操作行为可监控,违规操作可追溯。
    2. 细粒度数据库审计:
      通过对不同数据库的SQL语义分析,提取出SQL中相关的要素(用户、SQL操作、表、字段、视图、索引、过程、函数、包…) 实时监控来自各个层面的所有数据库活动,包括来自应用系统发起的数据库操作请求、来自数据库客户端工具的操作请求以及通过远程登录服务器后的操作请求等 通过远程命令行执行的SQL命令也能够被审计与分析,并对违规的操作进行阻断 系统不仅对数据库操作请求进行实时审计,而且还可对数据库返回结果进行完整的还原和审计,同时可以根据返回结果设置审计规则。
    3. 精准化行为回溯:
      一旦发生安全事件,提供基于数据库对象的完全自定义审计查询及审计数据展现,彻底摆脱数据库的黑盒状态。
    4. 全方位风险控制:
      灵活的策略定制:根据登录用户、源IP地址、数据库对象(分为数据库用户、表、字段)、操作时间、SQL操作命令、返回的记录数或受影响的行数、关联表数量、SQL执行结果、SQL执行时长、报文内容的灵活组合来定义客户所关心的重要事件和风险事件 多形式的实时告警:当检测到可疑操作或违反审计规则的操作时,系统可以通过监控中心告警、短信告警、邮件告警、Syslog告警等方式通知数据库管理员。
    5. 职权分离:
      《计算机信息系统安全等级保护数据库管理技术要求》、《企业内部控制规范》、SOX法案或PCI中明确提出对工作人员进行职责分离,系统设置了权限角色分离。
    6. 友好真实的操作过程回放:
      对于客户关心的操作可以回放整个相关过程,让客户可以看到真实输入及屏幕显示内容。 对于远程操作实现对精细内容的检索,如执行删除表、文件命令、数据搜索等。

    2.部署模式

    旁路模式

    生产厂商

    网络安全审计:
    天融信、莱克斯、启明星辰、交大捷普、绿盟科技、蓝盾、广州国迈、软云神州、任子行、雨人、上海观安、上海纽盾、奇安信、恒安嘉新、盛世光明、海峡信息、博智软件、杭州迪普、中科新业、重庆智多、网博科技、华域数安、思维世纪、exands兴容信息、天懋信息、锐捷、东软、众人科技

    数据库审计:
    安恒信息、安华金和、思福迪、启明星辰、网御星云、天融信、极地银河、山东中创、蓝盾、北信源、莱克斯、软云神州、绿盟科技、上讯信息、中安比特/中安威士、交大捷普、金盾软件、昂楷科技、帕拉迪/汉领信息、上海纽盾、东软、杭州美创、优炫、海峡信息、安信华、博智软件、中安星云、东华软件、六壬网安、思为同飞、706所、杭州闪捷、华清信安、瑞宁公司、中新网安、信诺瑞得、安数云、奇安信、网御科技、锐捷、世平信息、时代新威

    代码审计

    检查源代码中的安全缺陷,检查程序源代码是否存在安全隐患,或者有编码不规范的地方,通过自动化工具或者人工审查的方式,对程序源代码逐条进行检查和分析,发现这些源代码缺陷引发的安全漏洞,并提供代码修订措施和建议

    产品简介

    提供一套源代码缺陷分析、源代码审计、源代码缺陷修复跟踪的完整解决方案,帮助发现源代码中的安全缺陷、性能缺陷、代码质量等问题。
    有人工审计,现在也有一些自动化审计工具

    产品特点

    1. 丰富的源代码检测规则
    2. 多种语言支持
    3. 多种编译器支持

    用户价值

    1. 帮助发现,修改代码中的漏洞
    2. 检查内容
      前后台分离的运行架构
      WEB服务的目录权限分类
      认证会话与应用平台的结合
      数据库的配置规范
      SQL语句的编写规范
      WEB服务的权限配置
      对抗爬虫引擎的处理措施

    生产厂商

    自动化的代码检测工具
    代码审计:
    奇安信、匠迪技术、SECZONE(开源网安)、三零卫士、能信安(能士we)、Testin云测、酷德啄木鸟、时代新威

    更多相关内容
  • 鉴于信息系统内部安全的特点,作者提出了建立系统内部人员的个人诚信信息,并将其作为入侵检测的匹配条件之一。针对入侵检测系统,采用了误用检测技术和异常检测技术相结合的方式,将事后审计数据作为训练数据建立入侵...
  • 文中在分析电力工程审计特点、流程的基础上,设计了基于人工智能技术的电力工程审计系统。通过人工智能的专家系统、神经网络、模糊逻辑等方法,建立了dialing工程审计平台。在该平台通过人工智能技术对项目人员的...
  • 审计内容的影响 在信息化的会计系统中,各项会计事项都是由计算机按照程序进行自动处理的,信息 系统特点及固有风险决定了信息化环境下审计的内容包括对信息系统的处理和相关 控制功能的审查,信息技术对审计...
  • 代码审计一直是企业白盒测试的重要一环,面对市场上众多商业与开源的审计工具,汽车之家想集众家之所长来搭建一套自动化的扫描系统。 他们认为应该具有以下几个特点: 自动化识别项目依赖组件 自动化识别组件已知...
  • 2.操作系统管理用户是否具有不易被冒用的特点,口令是否有复杂度要求并定期更换;3.是否启用登陆失败处理功能,可结束会话、限制非法登录次数和自动退出登措施;4.当对服务器远程管理时,是否采取必要的措施,防止...
  • 综合日志审计系统

    2020-12-24 13:40:09
    综合日志审计系统产品简介中安威士综合日志审计系统(简称VS-LS),该系统 能够通过主被动结合的手段,实时不间断地采集用户网络中各种不同厂商的安全设备、网络设备、主机、操作系统、以及各种应用系统产生的海量日志...

    原标题:综合日志审计系统

    产品简介

    中安威士综合日志审计系统(简称VS-LS),该系统 能够通过主被动结合的手段,实时不间断地采集用户网络中各种不同厂商的安全设备、网络设备、主机、操作系统、以及各种应用系统产生的海量日志信息,网络流量的信息,并将这些信息汇集到审计中心,进行集中化存储、备份、查询、审计、告警、响应,并出具丰富的报表报告,获悉全网的整体安全运行态势,实现全生命周期的审计管理。

    产品介绍

    体系结构

    综合日志审计系统产品主要有三大模块:日志审计、流量审计。每个模块由三部分组成,一部分是数据采集,一部分是对采集的数据进行在线格式化分析处理、过滤、规则验证,同时产生告警;一部分是数据存储系统,把采集分析的内容和规则生成的告警信息存入数据存储系统;最后部分是web服务器,管理员可以通过http方式对日志信息告警等进行查看、管理。

    l 采集器

    采集器主要是对日志、网络流量进行采集,然后对采集的数据进行在线格式化分析处理,把数据分解成不同的维度,然后对格式化后的数据进行告警分析,产生告警,同时存储原始数据和格式化后的数据。采集器可以分布式部署,每个采集节点可以采集数据,同时可以存储数据,这样就形成了一个采集集群,可以横向无限扩展,支持海量数据。

    l 数据存储系统

    对采集器采集的数据(格式化、原始)、生成的告警进行存储,同时存储这些告警所对应的数据源,系统通过集群算法可以关联到采集集群,同时存储系统还存储了账号,基础数据等信息。

    l Web服务器

    Web服务器主要是给管理员操作的入口,主要包括首页门户,审计搜索,告警配置,工单管理,资产管理,系统管理几部分。

    系统架构

    采用组件式平台架构,实现了分层的逻辑架构,包括:审计数据源层、数据采集层、业务层和应用层。如下图所示:

    l 审计数据源层

    审计对象层是指审计数据源对象,数据源包括各类型的网络设备、安全设备、应用系统、主机等能产生相关日志的设备和信息系统;网络数据流中的原始数据包。日志审计对象须开放接口才可以收集到日志;网络流量审计数据源包括网络流量镜像、数据转发等,如果审计对象开放的接口是私有协议,系统可以通过定制开发协议的方式进行支持。

    l 采集层

    在该层日志采集利用Syslog、SnmpTrap、Jdbc、本地文件、Sftp/Ftp远程采集文件、Sniffer、Agent方式进行采集,从审计对象获取日志,并对原始日志信息进行范式化、分类、过滤、归并,统一推送到业务层进行分析、存储;网络流量采集利用ntopng抓包网络镜像流量方式进行采集,并对原始数据包进行解析、分类、过滤、归并统一推送到业务层进行存储。

    l 业务层

    业务层有日志审计、网络流量审计,目前日志审计是具备最完善、业务场景最多的模块,日志审计利用关联分析引擎对采集的日志进行分析,触发规则,生成告警记录;通过高性能海量数据存储代理将日志进行快速存储;通过分布式查询引擎实现日志查询;通过日志聚合引擎实现日志抽取。

    l 应用层

    面向系统的使用者,提供一个图形化的显示界面,展现安全审计系统的各功能模块,提供综合展示、日志审计、告警规则、工单管理、报表组件、资产管理、系统设置等功能。

    产品功能

    1、综合展示

    用户登录即可进入综合展示仪表盘(首页)。通过盘,能够快速的导航到各个功能。用户能够通过仪表盘从不同的方面对日志进行审计,可以在一个屏幕中看到不同设备类型、不同安全区域的实时日志流曲线、统计图,以及网络整体运行态势、待处理告警信息等。用户可以自定义仪表盘,按需设计仪表板显示的内容和布局,可以为不同角色的用户建立不同维度的仪表板。

    2、 日志审计

    系统提供日志审计(搜索)功能,可以对解析、过滤后的日志审计数据进行搜索查看。并支持保存搜索、自定义时间以及表格导出。

    3、 网络流量审计

    系统提供网络流量审计功能,对原始数据流中的数据包解析、过滤、统一存储。并将解析后的五元组数据以报表形式展示。

    4、告警规则

    系统具备日志关联分析功能。通过关联分析规则,系统能够对符合关联规则条件的日志产生告警。系统提供了可视化的规则编辑器,用户可以定义基于逻辑表达式的关联规则,所有日志字段都可参与关联。规则支持统计计数功能,可以对达到一定统计数量的日志进行告警。

    5、工单管理

    系统携带工单管理模块,批量分配用户告警信息的处理、归类等。

    6、报表组件

    系统内置了丰富的报表模板,包括统计报表、明细报表、综合审计报告,审计人员可以根据需要生成不同的报表。系统内置报表生成调度器,可以定时自动生成日报、周报、月报、季报、年报,并支持以邮件等方式自动投递,支持以PDF、Excel、Word等格式导出,支持打印。系统还内置了一套报表编辑器,用户可以自行设计报表,包括报表的页面版式、统计内容、显示风格等。

    7、资产管理

    系统提供资产管理功能,可以对网络中的审计数据源资产进行管理。除基本资产信息外,系统提供灵活的资产分类功能,实现对资产的分类管理。系统提供基于拓扑的资产视图,可以按图形化拓扑模式显示资产,并可编辑资产之间的网络连接关系,通过资产视图可直接查看该资产的日志及告警信息。系统能够根据收到的日志的设备地址自动发现新的资产。

    8、搜索查询

    系统提供日志的查询功能,便于从海量数据中获取有用的日志信息。用户可自定义查询策略,基于日志时间、名称、地址、端口、类型等各种条件进行组合查询,并可导出查询结果。系统还提供快速查询和模糊查询功能。用户在检索历史日志记录时,系统可以通过多条件相结合的方式进行日志查询,根据日志的类型、发生时间、不同字段内容等进行精细匹配,如:日志源IP、日志发生时间、登录账号、信息字段内容等,从而实现日志的快速准确定位。

    9、参考知识管理

    系统内置日志字典表,记录了主流设备和系统的日志ID的原始含义和描述信息,方便审计人员在进行日志审计的时候进行参考。

    10、用户管理

    系统提供三权分立设计,内置系统管理员、用户管理员和审计管理员。

    系统提供用户集中管理的功能,对用户可以访问的资源进行细致的权限划分,具备安全可靠的分级及分类用户管理功能,支持用户的身份认证、授权、用户口令修改等功能。不同的操作员具有功能操作权限。

    11、系统管理

    系统具有丰富的自身配置管理功能,包括自身安全配置、系统运行参数配置、审计资源配置等。系统具有系统自身运行监控与告警、系统日志记录等功能。

    界面展示

    首页

    网络流量审计

    日志查看

    告警查看

    工单管理

    报表组件

    资产

    产品特点

    综合日志审计系统不需要在机器上安装软件,只要支持标准syslog、snmp、sftp/ftp、jdbc等标准协议即可采集分析日志,不改变过客户的原有方式,部署便捷,不会破坏本身的网络结构,不会影响到原主机性能。采集器支持横向扩展集群功能,在不改变现有环境的情况下,非常方便的增加采集节点,并整合到系统中进行协同工作,通过这种横向集群方式可以支持海量日志的收集,存储,分析展示的能力。

    综合志审计系统具有强大的日志分析、网络流量分析能力,可以支持单条日志的分析,多条日志的组合分析,定时场景的分析,先后条件满足的分析。通过这些分析能力,能满足绝大多数用户分析场景的需求。

    综合日志审计系统整合了全文搜索Elasticsearch,我们对Elasticsearch进行了优化,并有源码级的支持能力。Elasticsearch是一个灵活、功能强大的开源、分布式、实时搜索和分析引擎。从设计之初就考虑了分布式环境,所以它具有天然的可靠性和可扩展性,Elasticsearch使您能够轻松地的使用全文检索的功能。通过其强大的、健壮的RESTfulAPI和查询DSL,支持多种客户端,如Java、Python、Clojure等。

    部署方式

    产品部署分4部分内容,数据源部分,采集器采集部分,数据库部分和web服务器部分,第一部分是数据源,支持syslog、snmp、jdbc、sftp/ftp等协议,其余三部分是本产品的主要部分,这四部分内容可以根据规模大小部署在一台机器或者多台机器上面。

    中安威士十余年来专注于数据安全,提供专业的数据安全落地方案,对数据的全生命周期、数据的存、管、用、销(存储、管理、使用、回收销毁)的全路径实现安全防护。符合网络安全法、数据安全法、等保2.0等法律法规要求,可有效减少核心数据资产被侵犯的可能性,保障正常的业务连续性。返回搜狐,查看更多

    责任编辑:

    展开全文
  • 阐述了综合审计与责任分析系统的关键技术与设计原理,分析了网络行为审计、主机审计、数据库审计、堡垒主机审计、行为举证、责任分析相关技术,并介绍了系统特点、优势、网络部署拓扑结构,提高了信息系统业务和数据...
  • 财务与审计 销售 质量:GSP\GMP 行政 HR 决策分析 对内—— 以企业资源优化为核心的运营平台 商务 生产 物流 采购 BD& 注册 医药集团特点:营销型公司、轻资产,管理和经营外部渠道、终端、代理商 医药集团信息系统...
  • 数据库安全审计系统

    2019-08-05 20:06:34
    观安信息提醒您:您需要一位称职的数据库“管家” 您的数据安全,它来守护 伴随着数次的技术革命,人类经历了机械化、电气化和自动化时代后,进入了信息化时代,无论在哪个时代人们在保护重要资产方面做出了巨大的...

    观安信息提醒您:您需要一位称职的数据库“管家”
    您的数据安全,它来守护
    伴随着数次的技术革命,人类经历了机械化、电气化和自动化时代后,进入了信息化时代,无论在哪个时代人们在保护重要资产方面做出了巨大的努力。信息化时代中,政府、企事业单位的核心资产除了固定资产、无形资产外,还有极为重要的数据资产,而数据资产也被黑客、别有用心之人长期觊觎,数据资产的安全状况岌岌可危,为此国家在2019年5月13日正式发布了“等保2.0”,指导和要求政府、企事业单位提高对抗网络安全风险的能力。即便如此,由于种种因素,有关数据资产遭窃的报道仍然屡见不鲜,我们来看看这些数字:
     590:2018年9月21日 , 因工程师对数据库进行了误操作,导致顺丰OMCS 运营监控管控系统发生故障,该系统上临时车险发车功能无法使用并持续了约 590 分钟,对业务运营产生了严重的负面影响。
     2,500:2019年07月30日,LAPD数据泄露致2500名警官以及17,500名候选申请人个人信息被盗;
     9,400,000:2018年10月24日,国内某知名航空公司发布公告称,公司及子公司共有940万名乘客信息遭泄露,包括乘客姓名、出生日期、电话号码、护照及身份证号码、过往飞行记录等资料;
     106,000,000:2019年7月29美国“支付宝”Capital One宣布数据泄露,大约一亿美国人和600万加拿大人的个人信息被窃取。
     500,000,000:2018年8月28日,国内知名酒店集团旗下酒店近五亿条个人信息用户信息在“暗网”售卖,这五亿条信息涵盖内容涉及姓名、身份证号、家庭住址、开房记录等众多敏感信息。
    一个个触目惊心的数字无不反映出了数据安全所面对的严峻挑战,而又是哪些安全隐患会导致这些数据泄露出去的呢?观安在安全领域深耕多年,通过大量安全数据分析将数据泄露的隐患归为以下几类:
    1、 最高权限滥用;
    2、 第三方维护人员的非授权操作行为;
    3、 系统日志无法发现的安全隐患;
    4、 内部人员的违规操作。
    解决之道
    随着“等保2.0”的推出,政府、企事业单位都在严格执行等保要求,其中数据库审计是数据安全保护的重要组成部分。观安数据库安全审计系统完全符合“等保2.0”对数据安全保护部分的要求,并具有完整的审计要素,采用4WH2R机制来应对上述的数据库泄露隐患,4WH2R可以概况为:
     WHO:完整审计出数据库用户名、应用用户、主机名称、操作系统账号、操作人员账号,能溯源第三方应用最终用户的请求、会话和账号,解决了数据库系统日志无法发现的安全隐患;
     What:完整审计出表、字段、包、储存过程、函数、视图等所有数据库操作,通过语义解析和丰富的策略集,精准的分析出风险操作、内部人员违规操作、第三方维护人员非授权操作、最高权限滥用风险并及时通过短信、邮件、大数据安全平台等多种方式进行告警,做到提早发现及时阻断;
     Where:完整审计出访问者的IP地址、用户名、端口号、数据库类型
     When:完整审计出访问者的数据操作时间、登录时间等
     How:完整审计访问者所使用的客户端工具、应用程序等
     Range:完整记录修改、删除或查询的行数
     ResultSet:完整记录返回结果集
    产品特点
    在这里插入图片描述
    “快、稳、准、全、高、源”六个字准确的概况出了观安数据库安全审计系统的特点:
     快:采用先进的大数据分析技术,实现快速响应检索,单机部署时亿级数据秒级返回结果,集群部署可实现百亿级数据秒级返回的超强性能;
     稳:支持双电源、支持RAID1,极限压测稳定运行超15000小时;
     准:专利技术实现精准的协议解析、采用语义解析,漏报误报率趋于0;
     全:全面审计,主流数据库全覆盖,支持Oracle、SQLServer、DB2、Informix、Sybase、Cache、MySQL、PostgreSQL、达梦、GBase、金仓、Oscar、MongoDB、Hbase、Hive等;
     高:采用流水线高效处理数据,充分利用多核CPU强大算力,单机部署时SQL入库性能超25,000条/秒,SQL处理能力80000条/秒,1亿条记录模糊查询小于1分钟、精确查询小于0.5分钟;集群部署可实现弹性扩展,实现数倍于单机的性能;
     源:绑定应用,关联审计应用层的原始访问信息,基于风险、语句、会话、客户端、应用端、响应时长、应答结果等形成数据库的全量行为记录,进行有效的追溯和定责;
    部署简单
    观安数据库安全审计系统支持旁路和DRagent代理两种方式部署,采用旁路方式部署时,通过交换机将数据库流量镜像到DS-A系列审计设备上,既不会改变原有网络的拓扑结构,又不会影响原有数据库的性能,部署简单、实施迅捷。旁路方式部署示意图如下:
    在这里插入图片描述
    旁路部署示意图
    在云部署环境、虚拟化环境、应用与数据库同服务器部署等场景中,采用DRagent代理方式部署,对数据库性能几乎没有影响。

    DRagent代理方式部署示意图
    在这里插入图片描述
    产品价值
    通过全量的业务审计、实时的风险告警、高效的行为检索、丰富的报表系统,实现了风险预警、有效的追溯和定责,及时预警违规操作、高风险操作,威慑恶意行为,为您的数字资产提供满足“等保2.0”相关要求的有效保护,做您数据资产的称职“管家”。
    关于观安
    观安信息凭借近20年的安全攻防经验、完整的安全攻防实验室、数百名安全研发人员、分布全国多个省份的安全事件应急处理团队和丰富的国家级省级安全重保经验,持续为您提供数据安全产品和安全服务,为您的网络安全保驾护航。

    展开全文
  • 1、信息化。 是一场比工业化更加深刻和更加广泛的社会变革,它要求在产品或服务的生产过程中实现管理流程、 组织机构、生产技能和生产工具的变革。 2、信息 ...信息论与控制论和系统论并称为现代科...

    1、信息化。

            是一场比工业化更加深刻和更加广泛的社会变革,它要求在产品或服务的生产过程中实现管理流程、 组织机构、生产技能和生产工具的变革。

    2、信息

            是一种客观事物,它与材料、能源一样,都是社会的基础资源。

    3、香农提出信息的概念。

            1948年,美国科学家香农(Claude E. Shannon) 在对通信理论深入研究的基础上,提出了信息的概念,创立了信息理论。人们对信息的研究迅速增,形成了一个新的学科一一信息论信息论控制论系统论并称为现代科学的“三论”。

    4、信息的基本概念:

            信息就是能够用来消除不确定性的东西。信息量的单位为比特(bit)。香农将热力学中的熵(shang)引入信息论。计算公式:

     5、信息的特证:


            1、客观性(信息分为主观、客观)
            2、普遍性(普遍存在)
            3、无限性(事物产生的信息是无限的)
            4、动态性(信息随时间变化)
            5、相对性(每个主体的认知可能不同)
            6、依附性(信息不能完全脱离物质而独立存在)
            7、变换性(信息通过处理可以实现变换或转换)
            8、传递性(信息在时间上的传递就是存储,在空间上的传递就是转移或扩散)
            9、层次性(客观世界是分层次的)
            10、系统性(可以形成与现实世界相对应的信息系统)
            11、转化性(可以将信息转化为物质或能量)

    6、信息满足一定的质量属性,包括:


    (1)精确性:对事物状态描述的精准程度。
    (2)完整性:对事物状态描述的全面程度,完整信息应包括所有重要事实。
    (3)可靠性: 指信息的来源、采集方法、传输过程是可以信任的,符合预期。
    (4)及时性:指获得信息的时刻与事件发生时刻的问隔长短。
    (5)经济性:指信患获取、传输带来的成本在可以接受的范围之内。
    (6)可验证:指信息的主要质量属性可以被证实或者证伪的程度。
    (7)安全性:指在信息的生命周期中,信息可以被非授权访问的可能性。可能性越低,安全性越高。

    7、信息的功能:


            1、为认识世界提供依据
            2、为改造世界提供指导
            3、为有序的建立提供保证
            4、为资源开发提供条件
            5、为知识生产提供材料

    8、信息的传输模型


    信息的传输技术(通常指通信、 网络等)是信息技术的核心

    信息的传输模型图如下: 

    信源:产生信息的实体
    信宿:信息的归宿或接收者
    信道:传送信息的通道,如 TCP/IP 网络
    编码器:在信息论中是泛指所有变换信号的设备,实际上就是终端机的发送部分。
    译码器:译码器是编码器的逆变换设备
    噪声:噪声可以理解为干扰,干扰可以来自于信息系统分层结构的任何一层。

    9、决定信息系统性能就在于编码器和译码器


    当信源和信宿己给定、信道也已选定后决定信息系统性能就在于编码器和译码器,,一般情况下,信息系统的主要性能指标是它的有效性可靠性。有效性就是在系统中传送尽可能多的信息;而可靠性是要求信宿收到的信息尽可能地与信源发出的信息
    一致,或者说失真尽可能小。

    10、信息系统的基本规律

    概括起来,信息系统的基本规律应包括信息的度量、信源源特性和信源编码、信道特性和信道编码、检测理论、估计理论以及密码学。

    11、系统的特性


            1、目的性(目标性决定了系统的功能)
            2、整体性(系统是一个整体)
            3、层次性(系统是由多个元素组成的)
            4、稳定性:系统的内部结构和秩序应是可以预见的,状态以及演化路径有限并能被预测,导致的后果也是可以预估。
            5、突变性:突变性是指系统通过失稳,从一种状态进入另一种状态的一种剧烈变化过程,它是系统质变的一种基本形式。
            6、自组织性
            7、相似性:系统具有两构和同态的性质,体现在系统结构、存在方式和演化过程具有共同性。系统具有相似性,根本原因在于世界的物质统一性。
            8、相关性:元素是可分的和相互联系的, 组成系统的元素必须有明确的边界,可以与别的元素区分开来。
            9、环境适应性:系统总处在一定环境中,与环境发生相互作用。系统和环境之间总是在发生着一定的物质和能量交换。(开放性、脆弱性、健壮性)

    12、信息系统分类

    从用途类型来划分,信息系统一般包括电子商务系统、 事务处理系统、管理信息系统、 生产制造系统、 电子政务系统、 决策支持系统等。

    13、信息系统集成概念

    采用现代管理理论作为计划、 设计、控制的方法论,将硬件、 软件、 数据库、 网络等部件按照规划的结构和秩序,有机地整合到一个有清晰边界的信息系统中,以到达既定系统的目标,这个过程称为信息系统集成。

    14、信息化的5个层次

    信息化从“小”到“大”分为5个层次:(产品 -> 企业 -> 产业 -> 国民经济 -> 社会生活
    1、产品信息化
    2、企业信息化
    3、产业信息化
    4、国民经济信息化
    5、社会生活信息化

    15、我过信息系统“两网、 一站、 四库、 十二金

    二十多年来,我国陆续建成了以“两网、 一站、 四库、 十二金” 工程为代表的国家级信息系统。
    【两网】是指政务内网和政务外网
    【一站】指政府门户网站
    【四库】即建立人口、 法人单位、 空间地理和自然资源、宏观经济等四个基础数据库。
    【十二金】以金字冠名的12个重点业务系统。分为三类。

    第一类是对加强监管、 提高效率和推进公共服务起到核心作用的办公业务资源系统、 宏观经济管理系统建设(金宏);
    第二类是增强政府收入能力、 保证公共支出合理性的金税、金关、 金财、 金融监管(含金卡)、 金审5个业务系统建设;
    第三类是保障社会秩序、 为国民经济和社会发展打下坚实基础的金盾、 金保、 金农、 金水、 金质5个业务系统建设。

    16、国家信息化体系

    国家信息化体系包括信息技术应用、 信息资源、 信息网络、 信息技术和产业、 信息化人才、 信息化政策法规和标准规范6个要素:

            1、信息资源 信息资源的开发和利用是国家信息化的核心任务, 是国家信息化建设取得实效的关键, 也是我国信息化的薄弱环节。 信息资源开发和利用的程度是衡量国家信息化水平的一个重要标志。

            2、信息网络。 信息网络是信息资源开发和利用的基础设施, 包括电信网、广播电视网计算机网络。最终做到三网合一。

            3、信息技术应用是信息化体系六要素中的龙头,是国家信息化建设的主阵地, 集中体现了国家信息化建设的需求和效益。

            4、信息技术和产业信息产业是信息化的物质基础,包括微电子、计算机、 电信等产品和技术的开发 、生产、销售以及软件 、信息系统开发 和电子商务等。

            5、信息化人才。 人才是信息化的成功之本

            6、信息化政策法规和标准规范。 信息化政策和法规、标准 、规范用于规市和协调
    信息化体系各要素之间的关系是国家信息化快速、有序、健康和持续发展的保障

    17、信息系统的生命周期

    可以简化为系统规划(可行性分析与项目开发计划)、 系统分析(需求分析)、系统设计(概要设计、详细设计)、系统实施(编码、 测试)、运行维护等阶段。

            1、系统规划阶段

            系统规划阶段的任务是对组织的环境、目标及现行系统的状况进行初步调查,根据组织目标和发展战略,确定信息系统的发展战略,对建设新系统的需求做出分析和预测。
    同时考虑建设新系统所受的各种约束。研究建设新系统的必要性和可能性。 根据需要与
    可能,给出拟建系统的备选方案。对这些方案进行可行性研究,写出可行性研究报告
    可行性研究报告审议通过后, 将新系统建设方案及实施计划编写成系统设计任务书

            2、系统分析阶段

            系统分析阶段的任务是根据系统设计任务书所确定的范围,对现行系统进行详细调查,描述现行系统的业务流程,指出现行系统的局限性和不足之处,确定新系统的基本目标和应辑功能要求,即提出新系统的逻辑模型

            系统分析阶段又称为逻辑设计阶段。 这个阶段是整个系统建设的关键阶段, 也是信
    息系统建设与一般工程项目的重要区别所在。 系统分析阶段的工作成果体现在系统说明
    书中, 这是系统建设的必备文件。 它既是给用户看的,也是下一个阶段的工作依据。 因
    此, 系统说明书既要通俗,又要准确。 用户通过系统说明书可以了解未来系统的功能,
    判断是不是所要求的系统。 系统说明书一旦讨论通过,就是系统设计的依据,也是将来
    验收系统的依据

            3、系统设计

            简单地说,系统分析阶段的任务是回答系统叫“做什么”的问题,而系统设计阶段要回答的问题是“怎么做”。该阶段的任务是根据系统说明书中规定的功能要求,考虑实际条件,具体设计实现逻辑模型的技术方案, 也就是设计新系统的物理模型。 这个阶段又称为物理设计阶段,可分为总体设计(概要设计)和详细设计两个子阶段。 这个阶段的技术文档是系统设计说明书。

            4、系统实施

            系统实施阶段是将设计的系统付诸实施的阶段。 这一阶段的任务包括计算机等设备的购置、 安装和调试、 程序的编写和调试、 人员培训、 数据文件转换、 系统调试与转换等。 这个阶段的特点是几个互相联系、 互相制约的任务同时展开罗 必须精心安排、 合理组织。系统实施是按实施计划分阶段完成的,每个阶段应写出实施进展报告。 系统测试之后写出系统测试分析报告。

            5、运行维护

            系统投入运行后, 需要经常进行维护和评价,记录系统运行的情况。根据一定的规则对系统进行必要的修改, 评价系统的工作质量和经济效益。

    18、信息系统开发方法

            常用的开发方法包括结构化方法、 面向对象方法、原型化方法、 面向服务的方法等。

            1、结构化方法

            结构化方法也称为生命周期法,是一种传统的信息系统开发方法, 由结构化分析(Structured Analysis, SA)、结构化设计(Structured Design, SD) 和结构化程序设计(Structured Programming SP)三部分有机组合而成,其精髓是自顶向下逐步求精模块化设计。其基本思想是将系统的生命周期划分为系统规划分为系统分析、系统设计、系统实施、系统维护等阶段。这种方法遵循系统工程原理,按照事先设计好的程序和步骤,使用一定的开发工具,完成规定的文档,在结构化和模块化的基础上进行信息系统的开发工作。结构化方法的开发过程一般是先把系统功能视为一个大的模块,再根据系统分析与设计的要求对其进行进一步的模块分解或组合。

            结构化方法的主要特点:
            1、开发目标清晰化。结构化方法的系统开发遵循“用户第一”的原则,开发中要保持与用户的沟通,开发人员应该始终与用户保持联系。
            2、开发工作阶段化。结构化万法每个阶段的工作内容明确,注重对开发过程的控制。每个阶段工作完成后,要根据阶段工作目标和要求进行审查,这使各阶段工作有条不紊地进行,便于项目管理与控制。
            3、开发文档规范化。结构化方法每个阶段工作完成后,要按照要求完成相应的文挡。
            4、设计方法结构化。在系统分析与设计时,从整体和全局考虑,自顶向下地分解;在系统实现时,根据设计的要求,先编写各个具体的功能模块,然后自底向上逐步实现整个系统。

            结构化方法是目前最成熟、应用较广泛的一种工程化方法,它特别适合于数据处理领域的问题,但不适应于规模较大、比较复杂的系统开发,这是因为结构化方法具有以下不足和局限性:

            (1)开发周期长。按照顺序历经各个阶段,直到系统实施阶段结束后,用户才能使用系统。一方面使用户在较长的时间内不能得到(甚至无法感觉到)一个可实际运行的物理系统; 另一方面,由于开发周期长,系统的环境(例如市场环境、业务结构等)必定会有变化, 这就使得最后开发出来的系统在投入使用之前就已经面临淘汰,这种系统难以适应环境变化。

            (2)难以适应需求变化。在信息系统集成项目中,用户需求的变化是不可避免的,然而,结构化方法要求分析师在系统分析阶段充分掌握和理解用户需求。否则, 如果在系统分析阶段需求不明确, 或者需求经常变更, 就会导致后续的开发过程返工甚至无法进行。

            (3)很少考虑数据结构。结构化方法是一种面向数据流的开发方法,比较注重系统功能的分解与抽象,兼顾数据结构方面不多。以模块为系统开发的核心环节,从 SA 阶段的数据流回到 SD 阶段的模块结构图的转变也比较困难。

                 

            2、面向对象方法

            面向对象( Object-Oriented, OO)方法认为客观世界是由各种对象组成的,任何事物都是对象,每一个对象都有自己的运动规律和内部状态,都属于某个对象类 ,是该
    对象类的一个元素。复杂的对象可由相对简单的各种对象以某种方式而构成,不同对象的组合及相互作用就构成了系统。

            OMT、OOSE和Booch 已经统一为 UML(United Model Language,统一建模语言)

             OO方法使系统的描述及信息模型的表示与客观实体相对应,符合人们的思维习惯,有利于系统开发过程中用户与开发人员的交流和沟通,缩短开发周期

    一些大型信息系统的开发,通常是将结构化方法和OO方法结合起来,结构化方法和OO方法仍是两种在系统开发领域中相互依存的、不可替代的方法

            3、原型化方法

            原型化方法也称为快速原型法,或者简称为原型法。它是一种根据用户初步需求,利用系统开发工具,快速地建立一个系统模型展示给用户,在此基础上与用户交流,最终实现用户需求的信息系统快速开发的方法。

            通常,原型是指模拟某种产品的原始模型。 在系统开发中,原型是系统的一个早期可运行的版本,它反映最终系统的部分重要特性。如果在获得一组基本需求说明后,通过快速分析构造出一个小型的系统,满足用户的基本要求,使得用户可在试用原型系统的过程中得到亲身感受和受到启发,做出反应和评价,然后开发者根据用户的意见对原型加以改进。 随着不断试验、 纠错、 使用、 评价和修改,获得新的原型版本,如此周而复始,逐步减少分析和通信中的误解,弥补不足之处,进一步确定各种需求细节,适应需求的变更,从而提高了最终产品的质量。

    分为水平原型垂直原型两种。 水平原型也称为行为原型,用来探索预期系统的一些特定行为,并达到细化需求的目的。 水平原型通常只是功能的导航,但并未真实实现功能。 水平原型主要用在界面上: 垂直原型也称为结构化原型,实现了一部分功能。 垂直原型主要用在复杂的算法实现上。

             1、确定用户基本需求。 在需求分析师和用户的紧密配合下,快速确定系统的基本需求。 这些需求可能是不完全的、 粗略的,但却是最基本的、 易于描述和定义的。这个阶段一般不产生对外的正式文档,但对于大型系统而言,应该形成一个初步需求文档。

            2、设计系统初始原型。 在快速分析的基础上, 根据基本需求, 尽快实现一个可运行的系统。 构造原型时要注意两个基本原则, 即集成原则(尽可能用现有系统和模型来构成, 这需要相应的原型工具) 和最小系统原则(耗资一般不超过总投资的10%)。

            3、试用和评价原型。 用户在开发人员的协助下试用原型,根据实际运行情况,评价系统的优点和不足,指出存在的问题,进一步明确用户需求,提出修改意见。

            4、修改和完善原型。 根据修改意见和新的需求进行修改。 如果用修改原型的过程代替快速分析, 就形成了原型开发的选代过程。 开发人员和用户在一次次的迭代过程中不断将原型完善,以接近系统的最终要求。

            5、整理原型、 提供文档。 如果经过修改成改进的原型,得到参与者一致认可,则原型开发的迭代过程可以结束。

            从原型法的开发过程可以看出, 原型法从原理到流程都是十分简单的, 并无任何高深的理论和技术, 所以得到了广泛应用。 原型法的特点主要体现在以下几个方面。

            原型法可以便系统开发的周期缩短、 成本和风险降低、 速度加快,获得较高的综合开发效益。

            原型法是以用户为中心来开发系统的,用户参与的程度大大提高,开发的系统符合用户的需求, 因而增加了用户的满意度, 提高了系统开发的成功率。

            由于用户参与了系统开发的全过程,对系统的功能和结构容易理解和接受,有利于系统的移交,有利于系统的运行与维护。

            作为一种开发方法,原型法也不是万能的,它也有不足之处,主要体现在以下两个方面。

            开发的环境要求高。例如,开发人员和用户的素质、 系统开发工具、软愤件设备等,特别是原型法需要快速开发工具的支持, 开发工具的水平是原型法能否顺利实酶的第一要素。

            管理水平要求高。 系统的开发缺乏统一的规划和开发标准,难以对系统的开发过程进行控制。

            从直观上来看,原型法适用于那些需求不明确的系统开发。事实上,对于分析层面难度大技术层面难度不大的系统,适合于原型法开发;而对于技术层面的困难远大于其分析层面的系统,则不宜用原型法。

            从严格意义上来说,目前的原型法不是一种独立的系统开发方法,而只是一种开发思想。因此,它不是完整意义上的方法论体系。 这就注定了原型法必须与其他信息系统开发方法结合使,用原型法进行需求获取和分析,以经过修改、 确定的原型系统作为系统开发的依据,在此基础上完善用户需求规格说明书。

            4、面向服务的方法

            将接口的定义与实现进行解耦,则催生了服务和面向服务(Service-Oriented SO)的开发方法。使信息系统快速响应需求与环境变化,提高系统可复用性、信息资源共享和系统之间的互操作性。目前,SO方法是一个较新的领域,许多研究和实践还有待进一步深入。

    19、网络标准与网络协议

            网络协议是为计算机网络中进行数据交换而建立的规则、 标准或约定的集合。 网络
    协议由三个要素组成,分别是语义、语法和时序。语义是解释控制信息每个部分的含义,
    它规定了需要发出何种控制信息,以及完成的动作与做出什么样的响应;语法是用户数
    据与控制信息的结构与格式,以及数据出现的顺序;时序是对事件发生顺序的详细说明。
    人们形象地将这三个要素描述为:语义表示要做什么,语法表示要怎么做,时序表示做
    的顺序。

            19.1 OSI协议:

    国际标准化组织(ISO)和国际电报电话咨询委员会(CCITT)联合制定的开放系
    统互连参考模型(Open System Interconnect, OSI),七层:
    (1)物理层:该层包括物理连网媒介, 如电缆连线连接器。
    (2)数据链路层:它控制网络层与物理层之间的通信。
    (3)网络层:其主要功能是将网络地址(例如 IP地址)翻译成对应的物理地址,并决定如何将数据从发送方路由到接收方。在TCP/IP协议中,网络层具体协议有IP、ICMP、IGMP、IPX、ARP等
    (4)传输层:主要负责确保数据可靠、顺序、无错地从A点传输到B点。
    (5)会话层:负责在网络中的两节点之间建立和维持通信,以及提供交互会话的管理功能。
    (6)表示层:如同应用程序和网络之间的翻译官,在表示层,数据将按照网络能理解的方案进行格式化。
    (7)应用层:负责对软件提供接口以便程序能使用网络服务,如事务处理程序、文件传送协议和网络管理等。在 TCP/IP 协议中,应用层常见的协议有 HTTP、Telnet、FTP、SMTP

            传输层协议,传输层主要有两个传输协议,分别是TCP和UDP(用户数据报协议),
    TCP是整个TCP/IP协议族中最重要的协议之一,为应用程序提供了一个可靠的、 面向连接的、
    全双工的数据传输服务。TCP协议一般用于传输数据量比较少,且对可靠性要求高的场合。
    UDP是一种不可靠的、无连接的协议。UDP协议一般用于传输数据量大,对可靠性要求不是很高,但要求速度快的场合。

    19.2 网络存储技术主要有三种

            直接附加存储、网络附加存储、和存储区域网络。

    直接附加存储:存储设备通过 SCSI 电缆直接连到服务器,其本身是硬件的堆叠,存储操作依赖于服务器,不带有任何存储操作系统。

    网络附加存储:NAS 存储设备类似于一个专用的文件服务器,它去掉了通用服务器的大多数计算功能,而仅仅提供文件系统功能, 从而降低了设备的成本 。它允许客户机与存储设备之间进行直接的数据访问,所以不仅响应速度快,而且数据传输速率也很高。(类似于我们的 FastDFS 文件服务器。)

    存储区域网络:SAN 是通过专用交换机将磁盘阵列与服务器连接起来的高速专用子网。SAN 是通过专用高速网将一个或多个网络存储设备和服务器连接起来的专用存储系统,其最大特点是将存储设备从传统的以太网中分离了出来,成为独立的存储区域网络 SAN 的系统结构。FC SAN 有两个较大的缺陷,分别是成本和复杂性

    19.3 网络接入技术


    接入Internet的主要方式可分两个大的类别,即有线接入无线接入
    有线接入方式包括PSTN、ISDN、ADSL、FTTx十LAN在HFC等
    无线接入方式包括 GPRS、3G 和 4G 接入等。

    PSTN (Public Switching Telephone Network,公用交换电话网络 )是指利用电话线拨
    号接入Internet,通常计算机需要安装一个Modem(调制解调器)。

    ISDN (Integrated Services Digital Network,综合业务数字网)俗称“一线通”,是在电话网络的基础上构造的纯数字方式的综合业务数字网,能为用户提供包括语音、数据、图像和传真等在内的各类综合业务。

    ADSL ( Asymmetrical Digital Subscriber Loop,非对称数字用户线路)的服务端设备和用户端设备之间通过普通的电话线连接,无需对入户线缆进行改造,就可以为现有的大量电话用户提供 ADSL 宽带接入。目前,比较成熟的ADSL标准主要有两种,分别是G.DMT和G.Lite。

    FTTx+LAN 接入 光纤通信是指利用光导纤维(简称为光纤)传输光被信号的一种通信方法,相对于以电为媒介的通信方式而言,光纤通信的主要优点有传输频带宽,通信容量大、传输损小,抗电磁干扰能力强、 线径细、重量轻、资源丰富等。

    同轴光纤技术(Hybrid Fiber-Coaxial, HFC)是将光缆敷设到小区,然后通过光
    转换节点,利用有线电视(Comrnunity Antenna Television, CATV)的总线式同轴电缆连
    接到用户,提供综合电信业务的技术。

    无线网络是指以无线电波作为信息传输媒介 。目前最常用的无线网络接入技术主要有 WiFi 和移动互联接入(4G)。

    19.4 网络规划与设计

    网络工程的建设是一个极其复杂的系统工程, 是对计算机网络、 信息系统建设和项目管理等领域知识的综合利用的过程。

    网络工程可分为网络规划、网络设计和网络实施三个阶段。

    网络规划:

            是网络建设过程中非常重要的环节,同时也是一个系统性的过程。 网络规
    划应该以需求为基础,同时考虑技术和工程的可行性。 具体来说,网络规划包括网络需
    求分析、 可行性分析和对现有网络的分析与描述。

    (1)需求分析。 需求分析的基本任务是深入调查用户网络建设的背景、 必要性、 上
    网的人数和信息量等, 然后进行纵向的、 更加深入细致的需求分析和调研,在确定地理
    布局、 设备类型、 网络服务、 通信类型和通信量、 网络容量和性能, 以及网络现状等与
    网络建设目标相关的几个主要方面情况的基础上形成分析报告,为网络设计提供依据。
    需求分析通常采用自顶向下的结构化方法, 从功能需求、 通信需求、 性能需求、 可靠性
    需求、 安全需求、 运行与维护需求和管理需求等方面着于,逐一深入, 在调研的基础上
    进行充分的分解, 从而为网络设计提供基础。
    (2)可行性分析。 通常从技术可行性、 经济可行性、 操作可行性等方面进行论证。
    (3)对现有网络的分析与描述。 如果是在现有网络系统的基础上进行升级, 那么,
    网络规划阶段的一一项重要工作就是对现有网络进行分析。 对现有网络系统进行调研,
    要从服务器的数量和位置、 客户机的数量和位置、 同时访问的数量、 每天的用户数,每
    次使用的时间、 每次数据传输的数据量、 网络拥塞的时间段、 采用的协议和通信模式等
    方面进行。

    网络设计

    完成网络规划之后,将进入网络系统的设计阶殷,这个阶段通常包括确定网络总体目标和设计原则,进行网络总体设计和拓扑结构设计, 确定网络选型和进行网络安全设计等方面的内容。

    网络设计工作包括:
    (l)网络拓扑结构设。 确立网络的物理拓扑结构是整个网络方案规娟的基础,物理拓扑结构的选择往往和地理环境分布、 传输介质与距离、 网络传输可靠性等因素紧密相关。
    (2)主干网络(核心层)设计。 主干网技术的选择,要根据以上需求分析中用户方网络规模大小、 网上传输信息的种类和用户方可投入的资金等因素来考虑 。
    (3)汇聚层和接入层设计。 汇聚层的存在与否,取决于网络规模的大小。
    (4)的广域网连接与远程访问设计。 根据网络规模的大小、 网络用户的数量,来选择对外连接通道的技术和带宽。
    (5)无线网络设计 。无线网络的出现就是为了解决有线网络无法克服的困难。
    (6)网络安全设计。 网络安全是指网络系统的硬件飞 软件及其系统中的数据受到保护。安全要素如下:
            @ 机密性:确保信息不暴露给未授权的实体或进程。
            @ 完整性:只有得到允许的人才能修改数据,并且能够判别出数据是否已被篡改。
            @ 可用性:得到授权的实体在需要时可访问数据,即攻击者不能占用所有的资源而阻碍授权者的工作。
            @ 可控性: 可以控制授权范围内的信息流向及行为方式。
            @ 可审查性: 对出现的网络安全问题提供调查的依据和手段

    (7)设备选型。网络通信设备选型包括核心交换机选型、汇聚层/接入层交换机选型、远程接入与访问设备选型;网络安全设备选型包括防火墙选型、 入侵检测设备选型、信息加密设备选型、身份认证设施选型等。

    20、数据库系统


            常见的数据库管理系统主要有:Oracle、MySQL、SQL Server、MongoDB等。前三者均为关系型数据库。MongoDB是非关系型数据库。
    SQL Server 是微软公司的数据库产品。运行在基于 Windows 的服务器之上。
    MongoDB 是一个基于分布式文件存储的数据库。由C++语言编写。 旨在为Web应用提供可扩展的高性能数据存储解决方案。最大的特点是它支持的查询语言非常强大,其语法有点类似于面向对象的查询语言。

    21、中间件技术


    在一个分布式系统环境中处于操作系统和应用程序之间的软件。
    中间件作为一大类系统软件与操作系统数据库管理系统并称“三套车”
    可分为底层型中间件、通用型中间件和集成型中间件三个大的层次。
    1、底层型中间件的主流技术有:JVM(Java虚拟机)、CLR(Common Language Runtime 公共语言运行库)、ACE、JDBC、ODBC等。
    2、通用型中间件的主流技术有:CORBA(公共对象请求代理体系结构)、J2EE、MOM、COM等
    3、集成型中间件的主流技术有WorkFlow、EAI(企业应用集成)。

    中间件还可以细化为通信处理(消息)中间件、事务处理(交易)中间件、数据存储管理中间件、Web服务中间件、安全中间件、 跨平台和构架的中间件 、专用平台中间件、数据流中间件、 门户中间件、工作流中间件等。

    22、高可用性和高可靠性的规划与设计


    可用性(availability)是系统能够正常远行的时间比例。
    可靠性(reliability)是软件系统在应用或系统错误面前,在意外或错误使用的情况下维持软件系统的功能特性的基本能力。
    计算机系统的可用性定义为:MTTF / (MTTF + MTTR) * 100%,其中,MTTF 指平均无故障时间,MTTR 指平均维修时间。
    常见的可用性战术如下:
    错误检测: 用于错误检测的战术包括命令/响应、心跳和异常。
    错误恢复: 用于错误恢复的战术包括表决、 主动冗余、 被动冗余。
    错误预防: 用于错误预防的战术包括把可能出惜的组件从服务中删除、 引入进程监视器。

    23、软件工程

    定义是: 将系统的、 规范的、 可度量的工程化方法应用于软件开发、 运行和维护的全过程及上述方法的研究。

    软件工程由方法工具过程三个部分组成。

    23.1 需求分析

    软件需求是指用户对新系统在功能、行为、性能、设计约束等方面的期望。

    需求是多层次的,包括业务需求、用户需求和系统需求, 这三个不同层次从目标到具体,从整体到局部,从概念到细节。

    1、需求的层次

    (1)业务需求。 业务需求是指反映企业或客户对系统高层次的目标要求, 通常来自项目投资人、购买产品的客户、客户单位的管理人员、市场营销部门或产品策划部门等。

    (2)用户需求。用户需求描述的是用户的具体目标,或用户要求系统必须能完成的任务。

    (3)系统需求。 系统需求是从系统的角度来说明软件的需求,包括功能需求、 非功能需求和设计约束等。

    2、质量功能部署

    质量功能部署(Quality Function Deployment,QFD)是一种将用户要求转化成软件需求的技术,其目的是最大限度地提升软件工程过程中用户的满意度。 为了达到这个目标,QFD 将软件需求分为三类,分别是常规需求、期望需求和意外需求

    常规需求: 用户认为系统应该做到的功能或性能,实现越多用户会越满意。

    期望需求: 用户想当然认为系统应具备的功能或性能,但并不能正确描述自己想要得到的这些功能或性能需求。

    意外需求:实现这些需求用户会更高兴,但不实现也不影响其购买的决策。意外需求是控制在开发人员手中的,开发人员可以选择实现更多的意外需求,以使得到高满意、高忠诚度的用户,也可以(出于成本或项目周期的考虑)选择不实现任何意外需求。

    3、需求获取

    需求获取是一个确定和理解不同的项目干系人的需求和约束的过程。需求获取是一件看上去很简单,做起来却很难的事情。需求获取是否科学、准备充分、对获取出来的结果影响很大,这是因为大部分用户无法完整地描述需求,而且也不可能看到系统的全貌。 因此,需求获取只有与用户的有效合作才能成功。

    常见的需求获取方法包括用户访谈、 问卷调查、 采样、情节串联板、 联合需求计划等。

    4、需求分析

     一个好的需求应该具有无二义性、 完整性、一致性、可测试性、 确定性、 可跟踪性、 正确性必要性等特性,因此,需要分析人员把杂乱无章的用户要求和期望转化为用户需求,这就是需求分析的工作。

    现代软件工程方法所推荐的做法是对问题域胜行抽象,将其分解为若干个基本元素,然后对元素之间的关系进行建模。

    使用 SA 方法进行需求分析,其建立的模型的核心是数据字典,围绕这个核心,有三个层次的模型,分别是数据模型、功能模型和行为模型(也称为状态模型)。

    一般使用实体联系图(E-R图)表示数据模型,用数据流程图(Data Flow Diagram DFD)表示功能模型,用状态转换图(State Transform Diagram STD)表示行为模型

    E-R图主要描述实体、属性,以及实体之间的关系;

    DFD从数据传递和加工的角度,利用图形符号通过逐层细分描述系统内各个部件的功能和数据在它们之间传递的情况,来说明系统所完成的功能;

    STD通过描述系统的状态和引起系统状态转换的事件,来表示系统的行为,指出作为特定事件的结果将执行哪些动作(例如处理数据等)。

    5、软件需求规格说明书

    软件需求规格说明书( Software Requirement Specification SRS)是需求开发活动的产物, 编制该文档的目的是使项目干系人与开发团队对系统的初始规定有一个共同的理解,使之成为整个开发工作的基础。SRS是软件开发过程中最重要的文档之一,对于任何规模和性质的软件项目都不应该缺少。Specification 读作:[ˌspesɪfɪˈkeɪʃən] 

    SRS应该包括以下内容:

    (1)范围。本部分包括SRS适用的系统和软件的完整标识, (若适用)包括标识号、标题、缩略词语、版本号和发行号:简述 SRS 适用的系统和软件的用途,描述系统和软件的一般特性;概述系统开发、运行和维护的历史;标识项目的投资方、需方、用户、承建方和支持机构:标识当前和计划的运行现场;列出其他有关的文档;概述SRS的用途和内容,并描述与其使用有关的保密性和私密性的要求;说明编写SRS所依据的基线。
    (2)引用文件。列出SRS中引用的所有文档的编号、标题、修订版本和日期,还应标识不能通过正常的供货渠道获得的所有文档的来源。
    (3)需求。这一部分是SRS的主体部分,详细描述软件需求,可以分为以下项目:所需的状态和方式、需求概述、需求规格、软件配置项能力需求、软件配置项夕阳日接口需求、软件配置项内部接口需求、适应性需求、保密性和私密性需求、软件配置项环境需求、计算机资源需求(包括硬件需求、硬件资源利用需求、软件需求和通信需求)、软件质量因素、设计和实现约束、数据、操作、 故障处理、算法说明、有关人员需求、有关培训需求、有关后勤需求、包装需求和其他需求, 以及需求的优先次序和关键程度。
    (4)合格性规定。 这一部分定义一组合格性的方法,对于第(3)部分中的每个需求,指定所使用的方法,以确保需求得到满足。合格性方法包括演示、测试、分析、 审查和特殊的合格性方法(例如,专用工具、技术、过程、设施和验收限制等)。
    (5)需求可追踪性。这一部分包括从SRS中每个软件配置项的需求到其涉及的系统(或子系统)需求的双向可追踪性 。
    (6)尚未解决的问题。如果有必要, 可以在这一部分说明软件需求中的尚未解决的留问题。
    (7)注解。包含有助于理解SRS的一般信息,例如,背景信息 、词汇表、原理等 。 这一部分应包含为理解 SRS需要的术语和定义? 所有缩略语和它们在SRS中的含义的字母序列表 。
    (8)附录 。提供那些为便于维护SRS而单独编排的信息(例如,图表、分类数据等)。
    为便于处理,附录可以单独装订成册,按字母顺序编排。

    6、需求验证

    在实际工作中, 一般通过需求评审需求测试工作来对需求进行验证。

    其活动是为了确定以下几个方面的内容:

    (1) SRS 正确地描述了预期的、 满足项目干系人需求的系统行为和特征。
    (2) SRS中的软件需求是从系统需求 、 业务规格和其他来源中正确推导而来的。
    (3)需求是完整的和高质量的。
    (4)需求的表示在所有地方都是一致的。
    (5)需求为继续进行 系统设计、 实现和测试提供了足够的基础。

    7、UML

    UML 是一种定义良好、 易于表达、 功能强大且普遍适用的建模语言。它融入了软
    件工程领域的新思想、新方法和新技术,它的作用域不限于支持OOA和OOD, 还支持
    从需求分析开始的软件开发的全过程。
    从总体上来看, UML的结构包括构造块 规则公共机制三个部分。
    构造块。UML有三种基本的构造块,分别是事物 (thing)、 关系(relationship)和(diagram)。事物是UML 的革要组成部分,关系把事物紧密联系在一起,图是多个相互关联的事物的集合。
    规则。 规则是构造块如何放在一起的规定。
    公共机制。公共机制是指达到特定目标的公共UML方法,主要包括规格说明(详细说明)、 修饰、 公共分类〈通用划分) 和扩展机制四种。

    事物:UML 中的事物也称为建模元素,包括结构事物 (structur things)、 行为事物(behavioral things,也称动作事物)、分组事物(grouping things)和注释事物(annotational 也称注解事物)。 这些事物是UML模型中最基本的OO构造块。

    (1)结构事物:结构事物在模型中属于最静态的部分,代表概念上或物理上的元素。
    UML有七种结构事物,分别是类、 接口、 协作 、 用例、 活动类、 构件和节点。

    (2)行为事物:行为事物是UML 模型中的动态部分,代表时间和空间上的动作。

    (3)分组事物 :分组事物是UML 模型中组织的部分,可以把它们看成是个盒子,模型可以在其中进行分解。UML只有一种分组事物,称为

    (4)注释事物: 注释事物是UML模型的解释部分。

    UML中的关系

    1、依赖(dependency)
    2、关联(association)
    3、泛化(generalization)
    4、实现(realization)

    UML中的图
    类图(class diagram)
    对象图(object diagram)
    构件图(component diagram)
    组合结构图(composite structure diagram)
    用例图(use case diagram)
    顺序图(sequence diagram, 也称序列图)
    通信图(communication diagram)

    此外还有,定时图、状态图、活动图、部署图、制品图、包图、交互概览图。

    UML 视图

    (1)逻辑视图
    (2)进程视图
    (3)实现视图
    (4)部署视图
    (5)用例视图

    8、面向对象分析

    面向对象分析阶段的核心工作是建立系统的用例模型分析模型

    用例模型:SA (结构化分析)方法采用功能分解的方式来描述系统功能,在这种表达方式中,系统功能被分解到各个功能模块中, 通过描述细分的系统模块的功能来达到描述整个系统功能的目的。

    在 OOA方法中,构建用例模型一般需要经历四个阶段,分别是识别参与者 合并需求获得用例细化用例描述和调整用例模型,其中前三个阶段是必需的。

    (l)识别参与者:参与者是与系统交互的所有事物,该角色不仅可以由人承担,还可以是其他系统和硬件设备,甚至是系统时钟。

    (2)合并需求获得用例: 将参与者都找到之后,接下来就是仔细地检查参与者,为每一个参与者确定用例。

    (3)细化用例描述: 用例建模的主要工作是书写用例规约(use case specification),

    (4) 调整用例模型:在建立了初步的用例模型后,还可以利用用例之间的关系来调整用例模型。

    为了使模型独立于具体的开发语言,系统分析师需要把注意力集中在概念性问题上而不是软件技术问题上,这些技术的起点就是领域模型。

     关联关系:一根直线。关联提供了不同类的对象之间的结构关系,它在一段时间内将多个类的实例连接在一起。

    依赖关系:一根波浪线加黑色箭头。两个类A和B, 如果B 的变化可能会引起A的变化, 则称类A依赖于类B。

    泛化关系:一根带箭头实线。泛化关系描述了一般事物与该事物中的特殊种类之间的关系,继承关系是泛化关系的反关系,也就是说,子类继承了父类,而父类则是子类的泛化。

    聚合关系:一根带白色菱形箭头实线。它表示类之间的整体与部分的关系。

    组合关系:一根带黑色菱形箭头实线。组合聚集关系通常简称为组合关系,它也是表示类之间的整体与部分的关系。

    实现关系:一根带白色箭头虚线。实现关系将说明和实现联系起来。接口是对行为而非实现的说明,而类中则包含了实现的结构。一个或多个类可以实现一个接口,而每个类分别实现接口中的操作。

    24、软件架构设计

    软件架构设计的一个核心问题是能否达到架构级的软件复用。将软件架构分为数据流风格、调用/返回风格、 独立构件风格、虚拟机风格和仓库风格。

    软件架构评估:

    敏感点是一个或多个构件(和/或构件之间的关系) 的特性,权衡点是影响多个质量属性的特性,是多个质量属性的敏感点。  例如,改变加密级别可能会对安全性和性能产生非常重要的影响。提高加密级别可以提高安全性,但可能要耗费更多的处理时间, 影响系统性能。 如果某个机密消息的处理有严格的时间延迟要求, 则加密级别可能就会成为一个权衡点。

    评估方式主要有3类:基于调查问卷(或检查表 )的方式、基于场景的方式(常用和基于度量的方式。

    从方法上来说,软件设计分为结构化设计面向对象设计

    1、结构化设计

    SD是一种面向数据流的方法,它以SRS和SA阶段所产生的 DFD和数据字典等文档为基础,是一个自顶向下、 逐步求精和模块化的过程。

    在SD中,需要遵循一个基本的原则: 高内聚,低搞合。

    2、面向对象设计

    OOD是OOA方法的延续,其基本思想包括抽象、封装和可扩展性,其中可扩展性主要通过继承和多态来实现。
    由于现实世界中的事物都可以抽象出对象的集合,所以OOD方法是一种更接近现实世界、更自然的软件设计方法

    常用的OOD原则如下:

    (1)单一职责原则: 设计功能单一的类。 本原则与结构化方法的高内聚原则是一致的。
    (2)开放封闭原则: 对扩展开放,对修改封闭。
    (3)李氏(Liskov)替换原则: 子类可以替换父类。
    (4)依赖倒置原则: 要依赖于抽象,而不是具体实现;针对接口编程,不要针对实现编程。
    (5)接口隔离原则: 使用多个专门的接口比使用单一的总接口要好。
    (6)组合重用原则: 要思量使用组合,而不是继承关系达到重用目的。
    (7)迪米特(Demeter)原则(最少知识沽则): 一个对象应当对其他对象有尽可能少的了解。 本原则与结构化方法的低耦合原则是一致的。

    3、设计模式

    设计模式是前人经验的总结, 它使人们可以方便地复用成功的软件设计。 当人们在
    特定的环境下遇到特定类型的问题,采用他人已使用过的一些成功的解决方案,一方面
    可以降低分析、设计和实现的难度,另一方面可以便系统具有更好的可复用性和灵活性
    设计模式包含模式名称、 问题、目的、解决方案、效果、 实例代码和相关设计模式等基
    本要素。

    根据处理范围不同,设计模式可分为类模式对象模式。 类模式处理类和子类之间的关系, 这些关系通过继承建立, 在编译时刻就被确定下来, 属于静态关系;对象模式处理对象之间的关系, 这些关系在运行时刻变化, 更具动态性。

    根据目的和用途不同,设计模式可分为创建型(Creational)模式、结构型(Structural)模式和行为型(Behavioral)模式三种。

    创建型模式主要用于创建对象,包括工厂方法模式、抽象工厂模式、原型模式、单例模式和建造者模式等;

    结构型模式主要用于处理类或对象的组合,包括适配器模式、桥接模式、组合模式飞 装饰模式、外观模式、享元模式和代理模式等;

    行为型模式主要用于描述类或对象的交互以及职责的分配,包括职责链模式、命令模式、解释器模式、迭代器模式、中介者模式、备忘录模式、 观察者模式、状态模式、策略模式、模板方法模式、访问者模式等。

    4、软件工程的过程管理

    软件过程是软件生命周期中的一系列相关活动,软件产品的质量取决于软件过程。在软件过程管理方面,最著名的是能力成熟度模型集成(Capability Maturity Model Integration, CMMI

     

     5、软件测试管理

    测试用例设计的原则有基于测试需求的原则、基于测试方法的原则、兼顾则试充分性和效率的原则,测试执行的可再现性原则;每个测试用例应包括名称和标识、 测试追踪、 用例说明、 测试的初始化要求、 测试的输入、 期望的测试结果、 评价测试结果的准则、 操作过程、 前提和约束、 试终止条件。

    软件测试方法可分为静态测试动态测试

    静态测试是指被测试程序不在机器上运行,而采用人工检测和计算机辅助静态分析的手段对程序进行检测。

    动态测试是指在计算机上实际运行程序进行软件测试, 一般采用白盒测试黑盒测试方法。

    白盒测试也称为结构测试,主要用于软件单元测试中。 它的主要思想是, 将程序看作是一个透明的白盒, 测试人员完全清楚程序的结构和处理算法, 按照程序内部逻辑结掏设计测试用例, 检测程序中的主要执行通路是否都能按预定要求正确工作。白盒测试方法主要有控制流测试、 数据流测试程序变异测试等。静态测试的方法也可以实现白盒测试。

    黑盒测试也称为功能测试, 主要用于集成测试、 确认测试和系统测试中。 黑盒测试将程序看作是一个不透明的黑盒,完全不考虑(或不了解)程序的内部结构和处理算法,而只检查程序功能是否能按照 SRS 的要求正常使用,程序是否能适当地接收输入数据并产生正确的输出信息,程序运行过程中能否保持外部信息(例如, 文件和数据库等) 的完整性等。黑盒测试根据SRS所规定的功能来设计测试用例, 一般包括等价类划分、 边界值分析、 判定表、 因果图、 状态图、 随机测试、 猜错法和正交试验法等。

    根据国家标准 GB/T15532 2008,软件测试可分为单元测试集成测试确认测试系统测试配置项测试回归测试等类别。

    (1)单元测试。单元测试也称为模块测试,测试的对象是可独立编译或汇编的程序模块、 软件构件或OO软件中的类(统称为模块)其目的是检查每个模块能否正确地实现设计说明中的功能、 性能、 接口和其他设计约束等条件,发现模块内可能存在的各种差错。

    (2)集成测试。集成测试的目的是检查模块之间,以及模块和已集成的软件之间的接口关系。

    (3)确认测试。确认测试主要用于验证软件的功能、 性能和其他特性是否与用户需求一致。

            ①内部确认测试

            ②Alpha 测试和 Beta 测试。
            Alpha测试是指由用户在开发环境下进行测试。
            Beta 测试是指由用户在实际使用环境下进行测试

            ③验收测试
            验收测试的目的是,在真实的用户工作环境下,检验软件系统是否满足开发技术合同或SRS。

    ( 4)系统测试。系统测试的主要内容包括功能测试健壮性测试性能测试用户界面测试安全性测试、安装与反安装测试等。

    (5)配置测试。配置测试的对象是软件配置项,配置项测试的目的是检验软件配置项与SRS的一致性。

    (6)回归测试。回归测试的目的是测试软件变更之后,变更部分的正确性和对变更需求的符合性,以及软件原有的、正确的功能、性能和其他规定的要求的不损害性。

    回归测试的对象主要包括以下四个方面:

            ①未通过软件单元测试的软件,在变更之后,应对其进行单元测试。

            ②未通过自己置项测试的软件,在变更之后,首先应对变更的软件单元进行测试,然后再进行相关的集成测试和配置项测试。
            ③未通过系统测试的软件,在变更之后,首先应对变更的软件单元进行测成,然后再进行相关的集成测试、配置项测试和系统则试。
            ④因其他原因进行变更之后的软件单元,也首先应对变更的软件单元进行测试,后再进行相关的软件测试。

    5.1 面向对象测试

    与传统的结构化系统相比,OO系统具有三个明显特征, 即封装性、继承性与多态性

    封装性决定了 OO 系统的测试必须考虑到信息隐蔽原则对测试的影响,以及对象状态与类的测试序列;
    继承性决定了 OO 系统的测试必须考虑到继承对测试充分性的影响,以及误用引起的 错误;
    多态性决定了 OO 系统的测试必须考虑到动态绑定对测试充分性的影响、抽象 类的测试,以及误用对测试的影响。

    5.2 软件测试管理

    软件测试的管理包括 过程管理 配置管理评审工作

    (1)过程管理。过程管理包括测试活动管理和测试资源管理。

    (2)配置管理。应按照软件配置管理的要求,将测试过程中产生的各种工作产品纳入配置管理。

    (3)评审。测试过程中的评审包括测试就绪评审和测试评审。

            测试就绪评审是指在测试执行前对测试计划和测试说明等进行评审。
            测试评审是指在测试完成后,评审测试过程和测试结果的有效性,确定是否达到测试目的,主要对测试记录和测试报告进行评审。

            

    6、软件集成技术

    在企业信息化建设的过程中,由于缺乏统一规划和总体布局,往往形成多个信息孤岛
    信息孤岛使数据的一致性无法得到保证,信息无法共享和反馈,需要重复多次的采集和输入。
    信息孤岛是企业信息化一个重要的负面因素。

    软件集成技术:企业应用集成(Enterprise Application Integration,EAI)

    EAI 所连接的应用包括各种电子商务系统、ERP、CRM、SCM(供应链管理 Supply chain management,SCM)、OA、 数据库系和数据仓库等。

    EAI 可以包括表示集成数据集成控制集成业务流程集成等多个层次和方面

    ①表示集成也称为界面集成,这是比较原始和最浅层次的集成,但又是常用的集成。

    ②为了完成控制集成和业务流程集成, 必须首先解决数据和数据库的集成问题,

    通常在以下情况下,将会使用数据集成:

    (1)需要对多种信息源产生的数据进行综合分析和决策。
    (2)要处理一些多个应用喜人需要访问的公用信息库。
    (3)当需要从某数据源获得数据来更新另一个数据源时,特别是它们之间的数据格式不相同时

    ③控制集成也称为功能集成或应用集成,是在业务逻辑层上对应用系统进行集成的。

    控制集成的集成点存于程序代码中,集成处可能只需简单使用公开的API(应用程序编程接口)就可以访问

    ④业务流程集成也称为过程集成,这种集成超越了数据和系统,它由一系列基于标准的、统一数据格式的工作流组成。

    7、新一代信息技术

    大数据、云计算、互联网十、物联网、智慧城市等是新一代信息技术与信息资源充分利用的全新业态, 是信息化发展的主要趋势, 也是信息系统集成行业今后面临的主要
    业务范畴。

    7.1 物联网

    物联网(The Internet of Things,IOT)是指通过信息传感设备,按约定的协议,将任何物品与互联网相连接,进行信息交换和通信,以实现智能化识别定位、 跟踪、 监控和管理的一种网络。

    物联网主要解决物品与物品(thing to thing,T2T)、 人与物品(human to thing,H2T)、 人与人(Human to Human,H2H)之间的互连。

    在物联网应用中有两项关键技术,分别是传感器技术嵌入式技术

    传感器( Sensor)是一种检测装置,能感受到被测量的信息,并能将检测感受到的信息按一定规律变换成为电信号或其他所需形式的信息输出,以满足信息的传输、 处理、 存储、 显示、 记录和控制等要求。

    RFID(Radio Frequency IDentification, 射频识别)是物联网中使用的一种传感器技术,可通过无线电信号识别特定目标并读写相关数据。

    嵌入式技术是综合了计算机软硬件、 传感器技术、 集成电路技术、 电子应用技术为一体的复杂技术。

    物联网架构可分为三层,分别是感知层网络层应用层。 
    感知层由各种传感器构成,包括温温度传感器、 二维码标签、RFID标签和i卖写器、 摄像头、PS等感知终端。感知层是物联网识别物体、采集信息的来源;传感器将是整个链条需求总量最大和最基础的环节。
    网络层由各种网络,包括互联网、广电网、网络管理系统和云计算平台等组成,是整个物联网的中枢,负责传递和处理感知层获取的信息。
    应用层是物联网和用户的接口,它与行业需求结合,实现物联网的智能应用。

    7.2 云计算(Cloud Computing)

    是一种基于互联网的计算方式, 通过这种方式,在网络上配置为共辜的软件资源、计算资源、存储资源和信息资源可以按需求提供给网上终端设备和终端用户。

    所谓“云”是一种抽象的比喻,表示用网络包裹服务或者资源而隐蔽服务或资源共享的实现细节以及资源位置的一种状态。

    按照云计算服务提供的资源层次,可以分为 IaaS(基础设施即服务)、 PaaS(平台即服务)和SaaS(软件即服务)三种服务类型。
    IaaS 这种服务模式需要较大的基础设施投入和长期运营管理经验。
    PaaS服务的重点不在于直接的经济效益,而更注重构建和形成紧密的产业生态。
    SaaS一般采用Web技术和SOA架构,通过Internet向用户提供多租户、可定制的应用能力,大大缩短了软件产业的渠道链条,减少了软件升级、定制和运行维护的复杂程度。

    7.3 大数据

    大数据(big data), 指无法在一定时间范围内用常规软件工具进行捕捉、 管理和处理的数据集合,是需要新处理模式才能具有更强的决策力、 洞察发现力和流程优化能力的海量 、 高增长率和多样化的信息资产。

    业界通常用5个 V一一一Volume(大量 )、Variety(多样)、Value (价值〉、Velocity(告诉)和Veracity (真实性) 来概括大数据的特征。

    列举一些大数据应用实例:
    大数据征信(如阿里的芝麻信用)、大数据风控、大数据消费金融、大数据财富管理、大数据疾病预测。

    大数据发展应用的目标:
    (1)打造精准治理、 多方协作的社会治理新模式。
    (2)建立运行平稳、安全高效的经济运行新机制。
    (3)构建以人为本、 惠及全民的民生服务新体系。
    (4)开启大众创业、 万众创新的创新驱动新格局。
    (5)培育高端智能、新兴繁荣的产业发展新生态。

    7.4  移动互联

    移动互联是移动互联网的简称,一般认为移动互联网是桌面互联网的补充和延伸 。应用和内容仍是移动互联网的根本

    移动互联网有以下特点:
    1、终端移动性
    2、业务使用的私密性
    3、终端和网络的局限性
    4、业务与终端、网络的强关联性。
     

    7.5 信息安全
    较为常见的信息安全问题主要表现为:计算机病毒泛滥、 恶意软件的入侵、黑客攻击飞利用计算机犯罪、网络有害信息泛滥、个人隐私泄露。钓鱼网站、电信诈骗、社交软件诈骗等犯罪活动。

    安全可以划分为以下四个层次: 设备安全、数据安全、 内容安全、 行为安全。

    设备安全:设备稳定可靠可用。
    数据安全:秘密性、完整性和可用性。(是传统的信息安全
    内容安全:在政治、 法律、 道德层次上的要求
    行为安全:秘密性、完整性和可控性。

    签名是证明当事者的身份和数据真实性的一种信息。
    在以信息化环境下,以网络为信息传输基础的事物处理中,事物处理各方应采用电子形式的签名,即数字签名(Digital Signature)
    完善的数字签名体系应满足以下3个条件:
    1、签名者事后不能抵赖自己的签名。
    2、 任何其他人不能伪造签名。
    3、如果当事的双方关于签名的真伪发生争执,能够在公正的仲裁者面前通过验证签名来确认其真伪。

    7.6 信息系统安全

    信息系统安全主要包括计算机设备安全、 网络安全、 操作系统安全、 数据库系统安全和应用系统安全等。

    常见的网络威胁包括:
    (1)网络监听。
    (2)口令攻击。
    (3)拒绝服务攻击(Dos)。
    (4)漏洞攻击,例如利用WEP安全漏洞和安全漏洞实施攻击。
    ( 5)僵尸网络 (Botnet)。 
    (6)网络钓鱼(Phishing)。
    (7)网络欺骗, 主要有ARP欺骗、DNS欺骗、IP欺骗、Web欺骗、Email欺骗等
    (8)网站安全戚肋,主要有 SQL ( Strnctured Query Language)注入攻击,跨站攻击、旁注攻击等。
    为了抵御上述网络威胁,可采取以下网络安全防御技术:
    1、防火墙
    防火墙是一种较早使用、 实用性很强的网络安全防御技术,主要用于逻辑隔离外部网络 与受保护的内部网络。
    2、入侵检测与防护
    入侵检测与防护的技术主要有两种:入侵检测系统(Intmsion Detection System, IDS)和入侵防护系统 (Intmsion Prevention System, IPS)。
    3、VPN
    VPN (Virtual Private Network,虚拟专用网络)它是依靠ISP (Internet 服务提供商) 和其他NSP(网络服务提供商)在公用网络中建立专用的、 安全的数据通信通道的技术。VPN可以认为是加密和认证技术在网络传输中的应用。
    VPN网络连接由客户机 、 传输介质和服务器三部分组成。
    4、安全扫描
    安全扫描包括漏洞扫描、 端口扫描、 密码类扫描(发现弱口令密码)等。
    5、网络蜜罐技术
    蜜罐技术是一种主动防御技术,是入侵检测技术的一个重要发展方向,也是一个“诱捕”攻击者的陷阱。
     

    针对操作系统的安全威胁按照行为方式划分,通常有下面四种:
    1、切断,这是对可用性的威胁
    2、截取, 这是对机密性的威胁。
    3、篡改, 这是对完整性的攻击。
    4、伪造, 这是对合法性的威胁。

    一般而言, 数据库安全涉及以下这些问题:
    1、物理数据库的完整性
    2、逻辑数据库的完整性
    3、元素安全性
    4、可审计性
    5、访问控制
    6、身份认证
    7、可用性
    8、推理控制
    9、多级保护
     

    Web威胁防护技术主要包括:
    1、Web访问控制技术
    2、单点登录(Single Sign-On SSO)技术
    3、网页防篡改技术
    4、Web 内容安全

    25、信息技术和产业

    25.1 信息技术发展趋势和新技术应用主要特点

    1、高速度、大容量
    2、集成化、平台化
    3、智能化
    4、虚拟计算
    5、通信技术
    6、遥感、传感技术
    7、移动智能终端
    8、以人为本
    9、信息安全

    25.2 我国信息化发展目标

    1、促进经济增长方式的根本转变
    2、实现信息技术自主创新、 信息产业发展的跨越。
    3、提升网络普及水平、 信息资源开发利用水平和信息安全保障水平。
    4、增强政府公共服务能力、 社会主义先进文化传播能力、 中国特色的军事变革能力和国民信息技术应用能力。
     

    25.3 电子政务

    电子政务是政府机构应用现代信息和通信技术,将管理和服务通过网络技术进行集成,在网络上实现政府组织结构和工作流程的优化重组,超越时间、 空间与部门分隔的限制,全方位地向社会提供优质、 规范、透明、 符合国际水准的管理和服务。

    25.4 电子商务

    电子商务(Electronic Commerce, EC)是利用计算机技术、网络技术和远程通信技术,实现整个商务过程的电子化、数字化和网络化。 要实现完整的电子商务会涉及到很多方面,除了买家、卖家外,还要有银行或金融机构、政府机构、认证机构、配送中心等机构的加入才行。

    电子商务具有特性:

    普遍性
    便利性
    整体性
    安全性
    协调性

    电子商务的类型:
    按照交易对象,电子商务模式包括:企业与企业之间的电子商务(B2B),商业企业与消费者之间的电子商务(B2C)、消费者与消费者之间的电子商务(C2C)。

    其中,B为:Business, C为:Consumer

    (1) B2B 模式即Business To Business, 就是企业和 企业之间通过 互联网进行产品、服务及信息的交换,其发展经过了电子数据交换(EDI)、基本的电子商务、电子交易集市和协同商务个阶段。阿里巴巴(alibaba.com )是典型的B2B电子商务企业。
    (2) B2C 即Business To Consumer, 就是企业和消费者个人之间的电子离务, 一般以零售业为主,企业向消费者提供网上购物环境,消费者通过 Internet访问相关网站进行咨询、购买活动。京东、当当、苏宁等是典型的B2C电子商务企业。
    (3) C2C即Consumer To Consumer,就是油费者和消费者之间通过电子商务交易平台进仔交易的一种商务模式,由于是个人与个人的交易, 大众化成了C2C的最大特点。

    O2O 即 Online To Offline,含义是线上购买线下的商品和服务,实体店提货或者享受服务。

    25.5 我国企业信息化发展的战略要点
    1、以信息化带动工业化
    2、信息化与企业业务全过程的融合、渗透
    3、信息产业发展与企业信息化良性互动
    4、充分发挥政府的引导作用
    5、高度重视信息安全
    6、企业信息化与企业的改组改造和形成现代企业制度有机结合
    7、"因地制宜 ” 推进企业信息化

    25.6 智慧化

    所谓智慧是指感知、 学习、 思考、判断、 决策并指导行动的能力。

    智慧城市建设参考模型包括有依赖关系的五层(功能层)和对建设有约束关系的三个支撑体系:
    1、功能层:物联感知层、通信网络层、计算与存储层、数据及服务支撑层、智慧应用层。
    2、支撑体系:安全保障体系、建设和运营管理体系、标准规范体系。

    25.7 信息系统工程为什么需要监理
            信息系统工程的承建单位(主要是IT企业)一般在技术方面有着较大的优势,并且拥有与众多客户打交道的能力与经验, 对用户心理已经做了很好的分析。 他们往往不顾自身实力而大胆向用户承诺自己根本不可能完成的目标,或者为了自身利益拼命推销用户根本就不需要的功能。于是,用户很容易被IT供应商所描绘的美好前景所动,很快就做出了决策。但绝大多数用户由于其自身技术力量的限制,难以胜任从可行性分析、 规划设计、 招标、 方案评审到工程验收全过程的管理与组织协调工作,只能任由承建单位的"忽悠"

            另一方面,从承建单位的角度来看,用户对信息系统的需求本来就是模糊的,或者无法清楚地表达自己的需求, 在项目执行过程中一再追加(或变更)需求,而不愿遍加相应的经费,造成建设单位与承建单位的纠纷。


    因此,引进监理机制,借助第三方单位的技术和经验来规起项目的实施,保障项目的进度和质量非常必要

    程监理工作的主要内容可以概括为 “ 四控、 三管、 一协调”:
    投资控制,进度控制、质量控制、变更控制合同管理、信息管理安全管理和沟通协调

    (1)投资控制。信息系统工程的投资由软硬件设备购置投资、 项目配套工程投资、项目集成费用和工程建设其他投资组成,主要包括设计阶段的投资控制和实施阶段的投资控制。
    (2)进度控制。在工程实施过程中,监理工程师严格按照招标文件、合同和进度计划的要求, 对工程进度进行跟进步 确保整体施工有序进行。
    (3)质量控制。在监理工作的各个阶段必须严格依照承建合同的要求,审查关键性过程和阶段性结果,检查其是否符合预定的质量要求,而且整个监理工作中应强调对工程贯量的事前控制、事中监管和事后评估。
    (4)变更控制。对变更进行管理,确保变更有序进行。
    (5)合同管理。 有效解决建设单位和承建单位在项目执行过程中的合同争议,保障各方的正当权益。
    (6)信息管理。科学地记录工程建设过程,保证工程文挡的完整性和时效性,为工程建设过程的检查和系统后期维护提供文档保障。
    (7)安全管理。完善安全生产管理体制,建立健全第安全生产管理制度、 安全生产管理机构和安全生产责任制是安全生产管理的重要内容,也是实现安全生产目标管理的组织保证。
    (8)沟通协调。在项目执行过程中,有效协调建设单位、承建单位, 以及各相关单位的关系, 为项目的顺利实施提供组织上的保证。

    25.7 企业实施信息系统规划主要包括以下步骤:

    (l)分析企业信息化现状
    (2)制定企业信息化战略
    (3)信息系统规划方案拟定和总体构架设计

    25.8 企业系统规划

    企业系统规划(Business System Planning,BSP)方法是IBM公司于20世纪70年代提出的一种方法,主要用于大型信息系统的开发。 对大型信息系统而言, BSP采取的是自上而下的系统规划, 而实现是自下而上分步进行。

    项目确定后, 即开始准备工作, 主要包括:①确定系统规划的范围, 成立系统规划组(System Planning Group, SPG);②收集数据, 包括企业的一般情况和现有系统的情况, 收集有关数据后,形成正式的文档并进行分类, 包括业务文档、技术文档和系统文档并对这些文档进行评审;③制订计划,画出系统规划工作的 PERT 图和甘特图, 准备好各种调查表和调查提纲;④开好介绍会,宣布系统规划的业务领导,介绍规划范围、工作进度、 目标系统的设想和关键问题,并介绍准备过程中收集到的资料。

    1、定义企业过程。 企业过程是企业资源管理所需要的、 逻辑相关的一组决策和活动,定义企业过程可以作为识别信息系统的基础。定义企业过程主要涉及到三类资源:战略计划与管理控制、产品和服务以及支持性资源。

    2、分析现有系统的步骤包括考察信息系统对过程的支持,识别当前的数据使用情况

    确定管理部门对系统的要求。一般情况下,这种要求是通过针对高层管理人员进行面谈得到的。

    3、提出判断和结论。在收集情况的工作基本结束后,接下来的任务就是要对得到的事实加以分析,得出必要的结论。

    4、定义企业信息系统总体结构。为了将复杂的大型信息系统分解成便于理解和实现的部分,一般将信崽系统分解为若干个相对独立而又相互联系的子 (分)系统,即信息系统的主要组成部分

    5、确定优先顺序。对于众多的子系统,需要确定优先顺序。

    6、评价信息资源管理工作。信息资源与人力、物力、财力和自然资源一样,都是企业的重要资源。信息资源管理是指企业在业务活动中(例如,生产和经营活动)对信息的产生、获取、处理、存储、传输和使用进行全面的管理。

    7、制订建议书和开发计划。每个开发计划都应该包括项目的范围、主题和目标、预期成果、进度、潜在的效益、人员和职责、工具和技术、人员培训、通信、后勤和控制等。

    8、最后形成成果报告。成果报告一般包括研究的背景、系统目标和范围、研究方法、主要的问题识别、结论及建议、对后续项目的开发计划等。

    25.9 信息系统的规划工具
    1、在制订计划时,可以利用 PERT 图和甘特图
    2、访谈时,可以应用各种调查表和调查提纲。
    3、在确定各部门、各层管理人员的需求,梳理流程时,可以采用会谈和正式会议的方法。
    4、把企业组织结构与企业过程联系起来,说明每个过程与组织的联系,指出过程决策人。
    5、为定义数据类,在调查研究和访谈的基础上,可以采用实体法归纳出数据类。

    6、功能法也称为过程法,它利用所识别的企业过程,分析每个过程的输入数据类和输出数据类,与RD矩阵进行比较并调整,最后归纳出系统的数据类

    7、 cu 矩阵。按照企业过程生成数据类关系填写C (Create), 使用数据类关系填写U (User)。

    25.10 企业首席信息官及其职责

    首席信息官(又称CIO,Chief Information Officer的缩写)。从技术角度来看, CIO 是负责制定企业的信息化政策和标准,实施组织信息系统规划,并对企业的信息资源进行管理和控制的高级管理人员,是企业的一个跨技术、跨部门的高层决策者。

    首席财务官(Chief Finance Officer, CFO)、首席技术官(Chief Technology Officer, CTO)、首席营运宫(Chief Operation Officer, COO)

    简单介绍 CIO 的主要职责:
    1、提供信息,帮助企业决策
    2、帮助企业制定中长期发展战略
    3、有效管理 IT 部门
    4、制定信息系统发展规划
    5、建设积极的 IT 文化

    第一章完结。

    展开全文
  • 面向对象方法使系统的描述及信息模型的表示与客观实体相对应,符合人们的思维习惯,有利于系统开发过程中用户与开发人员的交流和沟通,缩短开发周期
  • 网络信息安全之信息系统安全保障

    千次阅读 2022-04-29 14:17:18
    信息系统安全保障是在信息系统的整个生命周期中,通过对信息系统的风险分析,制定并执行相应的安全保障策略,从技术、管理、工程和人员等方面提出信息安全保障要求,确保信息系统的保密性、完整性和可用性,把安全...
  • 第一章 总 则 第一条 为了规范组织内部审计机构及人员开展信息系统审计活动,保证审计质量,根据《内部审计基本准则》制定本准则。 第二条 本准则所称信息系统审计,是指由组织内部审计机构及人员对信息系统及其...
  • 审计线索的影响,在信息技术环境下,从业务数据的具体处理过程到报表的输出都由计算机按照程序指令完成,数据均保存在磁性介质上,从而会影响到审计线索,如数据存储介质、存取方式以及处理程序等。2.对审计技术...
  • MySQL数据库审计系统

    千次阅读 2018-08-15 11:20:47
    数据库审计 数据库审计(简称DBAudit)能够实时记录网络上的数据库活动,对数据库操作进行细粒度审计的合规性管理,对数据库遭受到的风险行为进行告警,对攻击行为进行阻断。它通过对用户访问数据库行为的记录、...
  • 审计软件

    千次阅读 2021-07-10 02:51:35
    审计软件是指用于审查电算化系统或利用计算机辅助审计而编写的各种计算机程序。中文名审计软件平台桌面介质电子作用会计审计软件概念编辑语音广义上讲,审计软件是指用于帮助完成审计工作的各种软件工具。审计软件...
  • 运维安全管理与审计系统(俗称 “堡垒机”):是采用新一代智能运维技术框架,基于认证、授权、访问、审计的管理流程设计理念,实现对企事业IT中心的网络设备、数据库、安全设备、主机系统、中间件等资源统一运维...
  • 管理信息系统重要知识点整理

    千次阅读 2020-09-05 10:53:07
    目录信息的概念与性质:信息系统的概念系统:信息系统信息系统的发展:需求:管理信息系统的概念管理信息系统与环境:管理信息系统的技术基础数据处理:数据组织:数据库技术计算机网络技术物联网技术区块链管理...
  • 一、信息化 1、信息相关概念 2、国家信息化体系要素 3、信息化的发展与应用 4、新一代信息技术 二、信息系统 1、信息系统的生命周期 2、信息系统的开发方法 3、信息系统集成技术 ...7、信息系统规划
  • 根据政务信息化的运营特点与安全需求,结合强制访问控制、基于角色的访问控制和推理通道的访问控制,为基于云中心的政务信息系统设计了一种安全的混合访问控制模型,提出了事前建立访问控制基线、事中监测与仲裁威胁、...
  • 管理信息系统复习总结(保姆级)

    万次阅读 多人点赞 2021-01-01 14:19:37
    第一章 当今全球商业中的信息系统 管理信息系统的新变化:①技术(云计算、大数据与物联网、移动数字化平台) ②管理(在线合作与社会化网络软件、商务智能、虚拟会议)③组织(社会化商务、远程办公、商业价值的共创...
  • 信息系统安全复习提纲

    万次阅读 2022-01-03 12:48:36
    信息系统安全复习 2021.12月整理 标注了部分2021年12月考察到的知识点 目录信息系统安全复习一、基本概念第一讲 信息系统概论1.什么是信息系统2.信息系统的例子,包括云计算、雾计算、边缘计算等3.信息系统的架构、...
  • IT审计工具和流程

    千次阅读 2022-06-07 16:33:02
    T审计是识别和评估与IT有关的固有风险,只要这个事情与IT有关,它就一定会存在因为IT的信息系统特点而存在的固有风险,这就和IT审计有关系。
  • 信息系统安全技术知识梳理
  • 深入浅出理解操作系统安全

    千次阅读 2021-07-17 06:29:39
    原标题:深入浅出理解操作系统安全引言操作系统安全在计算机信息系统的整体安全性中具有至关重要的作用,没有操作系统提供的安全性,计算机业务系统的安全性是没有基础的。什么是操作系统操作系统(英语:operating ...
  • 1.6 信息系统安全技术

    千次阅读 2020-03-07 23:01:52
    1.6.1 信息安全的有关概念 ...信息必须依赖其存储,传输,处理及应用的载体而存在,因此对信息系统安全可划分为: 1).设备安全 (1) 设备的稳定性: 设备在一定时间内不出故障的概率 (2) 设备的可靠性: 在一定时间内正常...
  • 第一章:信息化和信息系统

    千次阅读 2019-03-05 00:16:30
    融合是这个时期的主要特征 信息信息是一种客观事物,它与材料、能源一样,都是社会的基础资源。...10.系统性 11.转化型 信息的质量属性: 1.精确性 2.完整性 3.可靠性 4.及时性 5.经济性 6.可验证性 7.安全性 ...
  • 目录 镇楼图 十大管理 整体管理 范围管理 时间/进度管理 成本管理 质量管理 人力资源管理 沟通管理 风险管理 采购管理 干系人管理 作文 案例分析 建议先行阅读: 三个月通过软考高级之信息系统项目管理师(2021年11月...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 22,386
精华内容 8,954
热门标签
关键字:

信息系统审计特点