没有打最新的数据库系统的补丁；
选择了不安全的默认配置；>>>
五、网络信息安全的内容
5.1 实体安全
是指保护计算机设备、设施（含网络〕以及其它媒体免遭地震、水灾、火灾、有害气体和其它环境事故破坏的措施和过程。它包括三个方面：
环境安全：对计算机信息系统所在环境的安全保护；
设备安全：对计算机信息系统设备的安全保护，如设备的防盗和防毁，防止电磁信息泄漏，防止线路截获，抗电磁干扰以及电源保护等；
媒体安全：对媒体的安全保管，目的是保护存储在媒体上的信息。其安全功能可归纳为两个方面：一是媒体的防盗；二是媒体的防毁，如防霉和防砸等。
5.2 运行安全
为保障系统功能的安全实现，提供一套安全措施（如风险分析，审计跟踪，备份与恢复，应急等）来保护信息处理过程的安全。
风险分析
审计跟踪
备份与恢复
应急
5.2.1 风险分析
对计算机信息系统进行人工或自动的风险分析。它首先是对系统进行静态的分析（尤指系统设计前和系统运行前的风险分析），旨在发现系统的潜在安全隐患；其次是对系统进行动态的分析，即在系统运行过程中测试，跟踪并记录其活动，旨在发现系统运行期的安全漏洞；最后是系统运行后的分析，并提供相应的系统脆弱性分析报告。
5.2.2 审计跟踪
对计算机信息系统进行人工或自动的审计跟踪、保存审计记录和维护详尽的审计日志。其安全功能可归纳为三个方面：记录和跟踪各种系统状态的变化，如提供对系统故意入侵行为的记录和对系统安全功能违反的记录；实现对各种安全事故的定位，如监控和捕捉各种安全事件；保存、维护和管理审计日志。
5.2.3 备份与恢复
对系统设备和系统数据的备份与恢复，对系统数据的备份和恢复可以使用多种介质（如磁介质、纸介质、光碟、缩微载体等）。其安全功能可归纳为三个方面：提供场点内高速度、大容量自动的数据存储，备份和恢复；提供场点外的数据存储，备份和恢复，如通过专用安全记录存储设施对系统内的主要数据进行备份；提供对系统设备的备份。
5.2.4 应急
在紧急事件或安全事故发生时，保障计算机信息系统继续运行或紧急恢复。其安全功能可归纳为三个方面：紧急事件或安全事故发生时的影响分析；应急计划的概要设计或详细制订；应急计划的测试与完善。
5.3 信息安全
防止信息财产被故意的或偶然的非授权泄露、更改、破坏或使信息被非法的系统辨识，控制。即确保信息的完整性、保密性，可用性和可控性。信息安全包括七个方面：
操作系统安全
数据库安全
网络安全
病毒防护
访问控制
加密
鉴别
5.3.1操作系统安全
指对计算机信息系统的硬件和软件资源的有效控制，能够为所管理的资源提供相应的安全保护。它们或是以底层操作系统所提供的安全机制为基础构作安全模块，或者完全取代底层操作系统，目的是为建立安全信息系统提供一个可信的安全平台。
5.3.2数据库安全
对数据库系统所管理的数据和资源提供安全保护。它一般采用多种安全机制与操作系统相结合，实现数据库的安全保护。一种选择是安全数据库系统，即从系统设计、实现、使用和管理等各个阶段都遵循一套完整的系统安全策略的安全数据库系统。二是是以现有数据库系统所提供的功能为基础构作安全模块，旨在增强现有数据库系统的安全性。
5.3.3网络安全
提供访问网络资源或使用网络服务的安全保护。网络安全管理是为网络的使用提供安全管理，如帮助协调网络的使用，预防安全事故的发生；跟踪并记录网络的使用，监测系统状态的变化；实现对各种网络安全事故的定位，探测网络安全事件发生的确切位置；提供某种程度的对紧急事件或安全事故的故障排除能力.
5.3.3.1 防火墙技术
防火墙在被保护网络和因特网之间，或在其他网络之间限制访问的一种或一系列部件。
防火墙的作用：
1、过滤进出网络的数据包
2、管理进出网络的访问行为
3、封堵某些禁止的访问行为
4、记录通过防火墙的信息内容和活动
5、对网络攻击进行检测和告警
5.3.3.2 网络入侵检测系统
入侵者攻击系统的行为称为入侵行为，主要是指对系统资源的非授权使用。
什么是入侵检测
用于检测系统中那些违背了安全策略或危及系统安全的行为或活动。(内部和外部的攻击）
5.3.4病毒防护
提供对计算机病毒的防护。病毒防护包括单机系统的防护和网络系统的防护。单机系统的防护侧重于防护本地计算机资源，而网络系统的防护侧重于防护网络系统资源。计算机病毒防护产品是通过建立系统保护机制，预防、检测和消除病毒。
防病毒系统是用来实时检测病毒、蠕虫及后门的程序，通过不断更新病毒库来清除上述具有危害性的恶意代码。
网络防病毒具有
---全方位、多层次防病毒
---统一安装，集中管理
---自动更新病毒定义库的特点
5.3.5访问控制
保证系统的外部用户或内部用户对系统资源的访问以及对敏感信息的访问方式符合组织安全策略。
主要包括：出入控制和存取控制。出入控制主要是阻止非授权用户进入机构或组织。一般是以电子技术、生物技术或者电子技术与生物技术结合阻止非授权用户进入。存取控制指主体访问客体时的存取控制，如通过对授权用户存取系统敏感信息时进行安全性检查，以实现对授权用户的存取权限的控制。用PKI体系建立CA系统。
身份认证技术是对进入系统或网络的用户身份进行验证，防止非法用户进入。
身份认证技术的实现有
----智能卡
----基于对称密钥体制的Keberos身份认证协议
----基于非对称密钥体制证书机制
访问控制是主体对客体的一种访问授权。
典型的访问控制有：
----用户入网的访问控制
----服务器的安全访问控制
----目录级的访问控制
----操作系统的访问控制
5.3.6加密
加密技术是为保证数据的保密性和完整性通过特定算法完成的明文与密文的转换。
数字签名技术为确保数据不被篡改而做的签名，不能保证数据的保密性。
VPN即虚拟专用网，是实现数据在传输过程中的保密性和完整性而双方建立的唯一安全通道。
5.3.7鉴别
5.4 文化安全
作用点：有害信息的传播对我国的政治制度及传统文化的威胁，主要表现在舆论宣传方面；
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
