安全可控范文（精选12篇）
安全可控 第1篇
随着靶场信息化建设的推进和各类信息系统的广泛应用,靶场的信息环境面临着越来越严峻的网络安全形势,受国产软硬件信息产品的技术发展水平所限,靶场大量使用国外软硬件产品,尤其是核心芯片、操作系统和数据库等,而这些产品中可能存在内置的后门和漏洞,给靶场的信息环境带来了严重的安全隐患。
可信计算的概念来源于1999年的TCG(Trusted Computing Group),主要思路是在PC机硬件平台上引入安全芯片架构,通过芯片提供的安全特性来提高终端系统的安全性[1]。
基于可信计算技术,采用国产自主可控的信息产品来构建安全可控的信息环境可以从根本上解决信息系统现有的后门、漏洞等问题,克服传统的采用国外软硬件产品易受控制、易被攻击的缺陷,有效地提升靶场信息系统的防御能力,整体提升靶场网络的安全性。
2 可信计算定义及相关技术理论
可信计算技术被认为是最有可能从根本上解决计算机系统安全问题的一种方案,它从终端设备入手,采取主动防御的方式解决安全问题,其核心思想是[2]:以信任根为核心,从信任根模块(Core Root Of Trust Module,CRTM)出发,采用基于可信模块的可信链传递技术,并依靠其提供的完整性度量和验证服务,遵照计算机系统的启动运行过程,通过逐级验证和逐级级信任的方式实现可信链的传递,从而保证整个系统处于安全状态,从根本上实现整个信息系统的安全性。
2.1 可信计算定义
TCG(Trusted Computing Group,可信计算组织)对“可信”(Trust)的定义是:“为了达到某一具体的目标,以特定的方式所采取的预期行为”(Trust expectation that a device will behave in a particular manner for a specific purpose):ISO/IEC 15408对“可信”定义是:“参与计算的组件、操作或过程在任意条件下是可预测的,并能够抵御恶意代码和物理的干扰”。沈昌祥院士定义可信为:一个实体在实现给定目标时其行为总是如同预期一样的结果,强调行为结果的可预测和可控制[3]。
通用的可信计算体系结构如图1所示,可信计算首先需构造信任根,依据信任根通过信息系统的体系结构、各类软硬件产品及网络进行可信链的传递,同时通过可信认证和可信评测等验证手段来保证可信链的完整和准确,直到将信任关系扩展到整个信息系统,最终实现整个信息环境的可信。可信计算实现了不同于防火墙、入侵检测和杀毒软件等信息安全手段,是一种主动防御的安全解决方案。
2.2 可信计算环境架构
安全可控的信息环境主要包括基于可信计算平台的硬件结构和软件结构,如个人计算机、服务器、移动终端的软件硬结构、网络设备的软硬件结构以及安全可信的网络体系等。
可信计算主要思想是在计算终端(包括PC、服务器等)嵌入可信平台模块(Trusted Platform Module,TPM),将其作为信任根(Roots of Trust)[3]。如图2所示,可信计算环境的构成主要有两部分:一部分为基于信任根构建的可信硬件平台及基于可信操作系统形成的可信应用系统;另一部分为基于可信硬件产品(如交换机、路由器、网络安全设备等)构建的可信网络,这两部分相辅相成,通过可信认证等手段形成可信的信息环境。
可信硬件平台的核心是基于TPM的安全芯片,主要包括TPM的硬件结构、芯片测试技术、嵌入式软件等,还包括我国的可信计算平台规范TCM(Trusted Cryptography Module)芯片等[3]。
可信应用系统主要是在可信操作系统、可信数据库等可信软件生态环境下,可实现可信编译的自研应用软件及系统。
可信网络主要包括可信网络体系结构、可信网络设备和网络环境下可信认证等要素,可信网络建立在基于主机的可信计算基础之上,对TPM内部对象的访问接口和访问方式进行严格限制,在接入网络前需对终端的身份进行认证,对其完整性状态进行验证并与系统的安全策略进行比较,如果一致,则允许终端访问网络;如果不一致,则拒绝访问或对该终端进行隔离,达到访问控制的目的。
2.3 可信传递技术
可信链研究的对象是基于可信计算的信任传递、可信计算平台的完整性度量、安全存储、可信计算平台状态报告等[3]。
我国可信计算机以TCM模块为可信根,TCM模块与BIOS相互认证后,进一步对操作系统启动内核、操作系统内核应用等进行完整性度量[3],以TCM为核心通过逐级验证的方式构建一条完整的可信链,为各类应用提供安全的运行环境,当某一级程序的完整性状态遭到破坏时,可由上一级程序对其进行可信恢复。基于TCM的可信应用系统构成若干个可信实体,基于可信网络技术将这些可信实体连接成一个可信网络,这样在网络中传递的信息和应用系统就处于一个相对安全可控的环境中,可信链技术发挥其重要作用。
2.4 可信度量
可信度量是可信链的传递过程中必要的技术之一,它主要负责验证系统的完整性,可信度量大致可分为对主机的可信度量和对网络的可信度量。
对主机的可信度量就是对其启动的可执行程序进行可信度量[3]。对主机可信度量的时机可选择在操作系统及应用程序启动前或加载、更新系统库文件(例如升级、打补丁)时,从而避免计算机病毒、木马或蠕虫程序的入侵,并可有效度量常驻内存的操作系统的系统调用、服务器进程等程序,以达到度量、检测和保护程序指令完整性的目的,保证程序指令按照预期、可控的方式在计算平台上运行。
网络的可信度量则关注数据流和程序指令是否遭到攻击[3]。只要用户数据能够按照预期的方式被使用,同时在数据所有者许可的权限范围内可以访问相应数据,则可认为数据的使用者及其运行环境是安全可控的。计算机软件的程序指令通常是相对固定的,除了软件升级、打补丁等更新操作以外,程序指令处于相对固定的状态,因此可以通过安全散列函数来度量程序指令的完整性[3]。
3 自主可控技术
“自主可控”是由我国专家学者和决策机构提出的概念,指依靠我国自有技术和产业,实现信息产品从硬件到软件的自主研发,使核心技术、关键零部件和各类软件全部国产化,并依托自主建立的网络体系支撑系统的运行和信息的交互,从而实现信息系统从硬件到软件乃至整个系统的研发、生产、使用、维护、升级的全程安全可控。在国家“核高基”重大专项的推动和支持下,我国已自主研发了一系列软硬件信息产品,如国民技术、兆日等TCM芯片,龙芯、飞腾、申威等CPU,银河麒麟、中标麒麟等操作系统,武汉达梦、人大金仓等数据库,金媒、东方通等中间件,WPS、360杀毒等应用软件,并在各方共同配合下进行了一系列的软硬件适配,形成了各种支持不同指令集的单机、服务器、工控机等国产信息系统软硬件生态环境。
在靶场实现“自主可控”,并不是简单地以国产产品替换国外产品,而是在自主规划设计的基础上,探讨采用国产软硬件平台、具有自主知识产权的CPU及基于自主CPU的整机和网络设备以及基于自主CPU的其他基础平台在靶场使用的可行性,将现有的非国产的各类信息系统产品进行替换的可操作性,在此基础上,掌握技术的主动权,从靶场实际需求出发,在自主平台上研制靶场适用的各类应用软件系统,实现“自主可控”在靶场的落地。
4 可信计算与自主可控技术的融合
可信计算和“自主可控”两项技术之间有着极为密切的联系,但同时又存在区别。
“自主可控”的目的是保证所使用的系统没有硬件(核心元器件)或软件(基础软件)漏洞和后门,可信计算则是保证整个系统运行过程中没有可供入侵的环节缺陷,同时杜绝不可信的代码。二者一定是相辅相成,共同作用方可达到保证信息系统安全的目的。
可信计算最为核心的贡献就是通过硬件的基础支撑,解决了原来软件手段无法解决的问题,是一个从芯片到主机、再到网络,随着可信链的传递实现整个信息系统实现可信可控的过程,但是它不能解决所有的安全问题,例如无法应对拒绝服务攻击(DOS,Deny of Service)和大多数的恶意攻击;因此可信计算必然应当以自主可控作为其基础,但同时也应看到,自主可控也并不能解决所有问题,自主生产的产品可能隐含着不为我们所知的漏洞和后门,如果被利用会形成极大的安全隐患。
构建一个安全可靠的信息环境,可信的“根”应该立足于我们国家自主可控的产品和技术,如果一台入网设备的操作系统留有漏洞和后门,那么再先进的防护手段也难以保证整个系统的安全,为此我们需要采用国内自己的可信计算标准,以及配套的自主可控的算法和安全体系,实现基础软件,如操作系统的自主可控,并通过自主研发CPU、芯片、数据库等基础软硬件产品,辅以可信计算技术,规范软件设计和开发,才能打造出本质安全的整机产品和相应的安全软件,提升关键部门、关键业务的计算机终端、网络乃至整个信息系统的安全性。在国产自主平台下,设计可信执行环境,不仅能解决传统信息安全技术安全防护滞后的问题,而且能增强国产自主平台下对应用程序的安全保护。
同时自主可控也必须依赖可信计算才能得到长足的发展,在可信标准下设计开发出的自主可控产品,才能最大限度地杜绝漏洞和后门,基于可信软硬件度量功能,可以有效地防止恶意代码对平台和应用系统的攻击和破坏,在自主可控的基础上构造出安全的系统运行环境,实现整个系统安全性能的改善和提升。
在国内,有多家著名的厂商已实现了可信计算产品的研发,由此可见,可信计算技术和自主可控的紧密结合必将深刻地改变我国信息安全的现状。
5 自主可控条件下靶场安全可控信息环境构建设想
可信计算和自主可控技术的结合应用可以产生信息安全倍增器的作用,借助于可信计算的相关理论,采用自主可控的软硬件设备,建立信任根并从底层硬件开始由底向上逐级传递信任,建立可信、可控、安全可靠的信息环境,为靶场各类应用提供安全可靠的运行环境是靶场信息系统安全建设需要重视的一个重要途径。
靶场的信息系统由计算机终端、服务器、网络设备(包括路由器、交换机、防火墙等),各类工控机及其运行的系统软件,应用软件等基本单元组成。这些基本单元通过光电缆等有线信道及卫星、微波等无线信道,按照一定的设计架构进行连接,采用相应的协议通过系统软件的支撑,构成一个完整的有机整体,形成靶场信息平台,通过这个平台可以接入各类软硬件产品,完成不同功能,实现各类信息的传递和存储,从而形成一个完整的信息环境。
信息环境的构建过程是一个累加的过程,而每次累加都可能引入不安全因素,带来新的安全问题。解决这些安全问题的一个有效方法就是在尽量采用国产自主可控产品的前提下,借鉴可信计算的思想,增加相应的可信模块,通过可信启动,介由可信网络连接构建靶场主动防御体系,从而实现靶场各种装备的应用可信、各种数据的存储可信、各类系统和应用的网络接入可信,为靶场作战试验任务的顺利进行构建安全的信息环境。
5.1 自主可控的可信软硬件系统
可信软硬件系统是指通过安全可信技术手段改造了的信息化装备,在靶场主要包括可信服务器、工控机、各类维护操作终端、可信应用软件以及包含上述元件的可信通信装备、可信测发测控装备等。就靶场目前的状况来看,这些系统、装备和产品大多实现了国产化,但并不是完全国产化,某些产品即使是标明是国产的,但其最底层的芯片和系统依然不是纯国产的,实际上是无法实现完全自主可控的,我们可以通过采用可信加固技术来增强其安全可控性,具体来讲,主要有两种方法:一种是增加硬件可信模块TCM,可采用三种模式建立信任根[2]:一是在专用主板上重构可信密码模块;二是在通用主板上配插PCI接口的可信密码模块;三是在通用主板上配接USB接口的可信密码模块。另外一种就是通过在自主可控的操作系统中引入软的TCM模拟器,将其作为可信根,来构建自主可控的可信系统。这两种方法构建信任根的起点不同,可信保障的程度也有所不同,实践中可根据需要灵活选择。
5.2 可信启动
从技术上讲,当我们的信息系统中某一设备启动时,可信计算技术首先要度量其BIOS是否可信,然后判断其操作系统是否可信,进而判断其启动的软件是否可信,例如其占用CPU是否正常、软件状态是否正常,从而判断出该软件是台感染了病毒,是否被植入了木马;然后判断其是否具备入网的资质,能否接入网络,能与网内的哪些设备传递数据,即在设备启动的过程中,建立起启动过程的可信链,并通过可信链传递机制构建安全可控的信息环境。
目前靶场的设备启动主要依靠三层密码的方式来控制,即BIOS密码、开机密码和登录密码来保证设备使用的安全性,其作用主要集中在从开机到操作系统加载、应用程序启动这段时间内,如果在这期间采用可信启动,即采用基于TCM的度量和验证功能,保证操作系统启动前的BIOS加载、内核加载等各过程的可信度,就能够在不改变计算机原体系结构的前提下,通过在主板上嵌入可信平台控制模块TCM,建立与运算系统并行的可信防护体系,以TCM为可信保障的核心,使其先于CPU加电,对CPU、BIOS、操作系统、应用程序等组件进行逐一验证,保证系统在启动过程中每一步都是可信安全的,即可为系统提供高级别的安全保障。
5.3 可信网络连接
可信网络连接(Trusted Network Connection,TNC)建立在基于各类信息系统设备的可信之上,其主要目的在于通过对请求接入网络的设备进行验证,解决网络可信接入的问题,并需实现对网络的可信性进行评估。
靶场目前的入网设备需要通过验证其身份来决定是否可以接入网络,可将不符合策略需求的设备隔离在网络之外,但对网络安全状态缺乏评定手段。在靶场引入可信网络连接,就可以通过确认网络安全系统,如杀毒软件版本、保密机策略、防火墙和IDS等的状态、升级状况及操作系统补丁等来收集和评估整个网络系统的安全状态,通过增加PKI等为设备终端授权,使之获得在第三方监督下的具有一定限制的网络访问权,从而不仅可将不符合策略需求的设备隔离在可信网络之外,还可保证符合可信策略需求的设备在其访问权限内访问网络,杜绝越级访问的发生,防止不可靠的终端接入网络。
5.4 可信存储
存储安全对靶场这种具有大量武器装备核心数据的单位而言尤为重要,目前靶场采用的原则是限制移动存储设备的使用和加密移动存储介质的方法,采用集中输入输出的方式来实现数据存储的安全。可信存储就是将可信计算的思想运用到存储领域,在靶场的应用可以考虑基于身份认证和加密技术,从信任根出发,配置相应的访问规则和存储策略,建立存储设备和处理器之间的信任通道,使得存储设备能够在指定的接口利用可信指令发送和接收数据,并通过可信度量来判断在系统内流动的数据流是否可信,对系统的访问和存储是否可信,从而最大限度地实现可信存储。
5.5 基于虚拟机的可信计算应用
鉴于靶场目前已经积累了大量软件资源的现状,采用虚拟机技术实现应用跨平台是在国产自主平台上实现软件移植较为有效的方法,可将源资源抽象成另外一种形式,实现封装、与硬件脱离等功能,达到保护资源的目的。
结合虚拟机技术与可信计算技术的优势,实现终端系统与网络的可信,提高整个信息系统的安全也是靶场网络安全可以考虑的方向之一。文章《基于虚拟机的可信计算》通过结合虚拟机和可信计算,研究设计了基于虚拟机环境下的可信计算方法[6]。
可利用可信计算技术及其支撑功能在靶场信息系统中实现信任根在虚拟计算节点上的建立和可信链的传递,在一台设备上创建虚拟机时,动态创建虚拟可信,并使之与虚拟机绑定;当虚拟机迁移时,通过信息环境中可信软件的交互,实现可信链的传递,同时基于虚拟信任根对虚拟机进行可信度量,能够确保虚拟信息环境安全可控,完成不同用户之间的安全隔离,达到增强虚拟计算节点安全性的目的。
6 结束语
经过近几年我国在CPU芯片、核心器件、支撑软件和配套系统等领域的快速发展,自主可控技术得到广泛认可和应用,靶场已经具备建立安全可控计算环境的条件和基础,在完成相关信息产品的国产化完全替代的同时,采用可信计算技术可有效降低基础软硬件设施设备以及各类应用软件(包括自研软件)的安全风险。
靶场在推行国产自主信息产品替代时,通信系统应与测发、测控等部门广泛开展合作,认真分析用户需求,提升用户对于自主可控计算机软硬件产品的认知,引导用户选择自主可控产品,以各类信息化装备为突破口,延伸至云计算、物联网等新兴应用,同时要提供优质平台,真正使自主软硬件技术成为靶场各领域信息化建设的主力军。在此前提下,建议建立可信体系结构,在自主可控的原则指导下依据国家可信计算系列规范制定靶场自己的规范,牢牢把握自主可信的根基,借鉴其优秀的技术思想,发展靶场基于自主可控的可信计算体系,从可信启动到构建安全稳定的可控信息环境,通过可信链的传递,为靶场各类信息系统的安全可靠运行提供保证,推动航天靶场国产软硬件的广泛使用和自研软件的长足发展,在靶场信息化建设领域迎来更广阔的发展空间。
摘要：论文介绍了可信计算及自主可控的相关概念,并基于可信链传递的原理,针对靶场实际,探讨在自主可控条件下,利用可信计算技术和网络安全技术构建航天靶场安全可控信息环境的思路和方法,通过可信计算和自主可控的有效结合,切实推进国家自主可控战略在航天靶场的落地,提升靶场信息系统的安全防御能力。
关键词：可信计算,自主可控,可信链,信息环境
参考文献
[1]韩春林,叶里莎.基于可信计算平台的认证机制的设计[J].通信技术,2010年第07期,p92-94.
[2]李勇,左晓栋.可信计算技术为自主可控保驾护航[J].中国信息安全,2015.02.
[3]刘昌平.可信计算环境安个技术研究[D].电子科技大学博士论文,2011.p3,p97.I4]刘孜文.基于可信计算的安个操作系统研究[D].中国科技大学博士论文,2010,p3-9.
[5]赵辉,万俊伟.自主可控技术在试验任务领域的应用研究[J].飞行器测控学报,2015.02,p110-112.
安全可控 第2篇
河南煤化集团重组后，曾有一位矿长向集团公司要死亡指标，被集团公司董事长质问：“你要死亡指标究竟想给谁？是给你还是给你兄弟？”这件事在广大干部职工中引起了强烈震动。经过广泛深入讨论，“干煤矿可以不死人，管得好就能不死人；真把职工当兄弟，就不该想着给他留着死亡指标；事故是可防可控的，措施落实到位就能保证安全”等理念在大家的思想上形成了共识。从此，没有一个矿长再要死亡指标，公司对所有煤矿一律不再下达死亡指标。xx年当年就实现了零死亡，工伤事故起数降低了87.2%。
以上实例证明：“隐患可控，事故可防”不是可望不可及的事，而是通过全体干部职工的共同努力完全可以达到的事。目前，我国煤炭企业在长期生产实践中，已形成一整套较为科学的安全生产制度，杜绝安全生产责任事故发生，做到公司健康发展，关键在于领导干部抓安全生产的作风扎实不扎实，关键在于科技投入到不到位，关键在于安全制度落实不落实。
安全的源头在于理念，而理念的生命力在于落实。集团公司提出了安全工作目标“十个零”，即：“安全工作零起点；执行制度零距离；生产组织零违章；系统运行零故障；设备状态零缺陷；操作过程零失误；隐患排查零死盲区；隐患治理零搁置；安全生产零事故；安全事故零容忍。”由此我们还可以衍生出很多个零，诸如：设备安装零缺陷；管道架接零泄漏；机电运输零失控；瓦斯治理零突出等等很多很多。这些工作目标的实现，要求干部职工坚定“隐患可控、事故可防”的信念，高标准、严防范、真落实，用心把安全生产工作落到实处，为安全管理注入了强劲的内在动力。
“隐患可控，事故可防”，要求领导干部必须做职工贴心人，不让情绪影响安全。人的不稳定情绪是安全管理的难点和重点，及时发现职工思想隐患，随时随地和职工交心、谈心，可以发现问题，把问题消灭在萌芽状态。要知道，目前煤矿人员构成复杂，技术、学历、年龄参差不齐，现场条件有千变万化。领导干部要深入基层、深入一线，把职工安全意识和行为当成我们安全管理的重中之重，严查细访，对安全不放心人员要重点监控，调整他们的思维方式，解除他们的思想隐患，解决他们的实际问题，从源头杜绝人员的不安全行为。
“隐患可控，事故可防”，要求我们的职工提升业务技能，不让技盲制约安全。随着企业科技投入的不断加大，新工艺，新设备在不断增加，也必然出现职工在实际操作过程中的不安全现象，我们要加大培训力度，不断引导职工接受新技术、新观念，掌握先进设备的操作技能和新工艺。同时，还要组织技术革新，改进生产工艺，加大新装备投入力度，从而降低职工的劳动强度，改善作业环境，不断增大安全生产保障系数。
安全教育从尝试可控危险开始 第3篇
那些整日与宝宝寸步不离，竭力将他与所有危险隔离开来的家长，似乎认为孩子应当生活在一个类似真空的环境里。家长永远紧跟在孩子身边，这个不要碰，那个千万别做！要不然还是抱着你吧，这样比较安全！恨不得如对待《小王子》中的玫瑰花一般，给他罩上个玻璃罩子。
时刻注意孩子安全问题的家长，世界在他们心中或许就是危机四伏。他们把自己面对这个世界的不安全感、无力感，以过度保护的方式表达出来。单是这种不安全感，就有可能让孩子心中也编织出一副偏向于负面的世界图景。而那些对自己与世界相处有信心的家长，则会表现得相对放松，这种态度会通过耳濡目染传递给孩子，他会了解到：这个世界存在危险，就如同夏天会有蚊子一样属自然现象；但我们可以设法规避，甚至还可以转化为积极的东西—— 总体而言，这个世界是美好的，值得多接触。
宝宝通过观察周围人的行为，及周围人对他的行为的反应，来判断什么是可以做的，什么是危险的。所以让宝宝适度地接触危险品，有助于增强他的认识。
家长首先要明确，什么东西是绝对不能碰的——这就是底线，一旦触到就要马上明确地表示：“不行！”语气可以温和，但态度一定要坚决。孩子的“淘气”，在某种程度上其实也是试探边界的过程，家长要相应地为他设立稳定而牢固的边界，这会让他更有安全感。
轻接触不可触碰的东西
举例：烫的茶杯或汤碗、饮水机的热水龙头、带刺的仙人球。
接触方式：浅尝辄止。
对于确实不能碰触的东西，如何让宝宝明白其危险性？一方面，小孩子的好奇心加上逆反心理，越不让碰什么他就越想要去碰；另一方面，倘若完全不知道某类东西是危险的，也很可能在无意间触碰到。避免这两种情况的办法就是让孩子浅尝一下，通过非常直观的体验，真正了解到这些东西的危险。比如烫的茶杯或汤碗、带刺的仙人球等，都可以让孩子轻轻触碰一下，感受下被烫到或被刺痛的感觉。仅仅跟孩子说是没有用的，尤其是小宝宝，只有直接体验，他才会知道那是怎么回事。
特别提醒：界限要分明。
像火、煤气灶、电源插座之类的东西，是小宝宝绝对不可以触碰的，就别让他“体验”或在他面前演示它们的用法，不然他会模仿大人的动作。简单直接地告诉他：这个不可以碰！并将引火物如打火机等，放在他无法接触到的地方，将煤气灶、裸露的电源插座用安全盖盖住。
轻接触危险的工具
举例：剪刀、水果刀、大榔头。
接触方式：循序渐进。
在日本，儿童下厨已蔚然成风，两三岁的宝宝就会跟着妈妈到厨房里做家务，接触到剪刀、水果刀等“高危”工具的时间非常早。家长一般会先给一把适合他抓握的小剪刀，教他正确的使用方法，在实际操作中让他了解到刀刃的锋利，并告诉他不小心就会划伤手、会流血、会痛，因此要谨慎使用。美国家长也主张让宝宝接触这些东西。不过对两三岁的宝宝而言，轻接触仅限于请他将水果刀从厨房拿到餐厅，当他了解到刀具的危险性后，他会懂得小心行事。
特别提醒：不要小瞧孩子的能耐。
爸爸的高尔夫球杆又长又大，实心金属的头还挺重，怕宝宝玩的时候弄伤自己？那就先让他拿轻便的扫帚来“实习”，很快他就能把长柄的玩意儿抡得很溜。不到两岁的宝宝玩这种在大人眼里看来很“危险”的东西时，其实是完全可以驾驭的，所以家长们别以主观臆断局限孩子。
轻接触需要小心的事物
举例：水池、梯子（高处）。
接触方式：做足防护。
溺水是孩童死亡率很高的事故，如何避免？首先当然是要教会他游泳，让他不怕水，不小心掉入水中时也不会太过惊慌。还要订立明确规则，比如游泳必须在正规游泳场所，旁边要有救生员或水性好的家长等等。爬高也是小孩子很喜欢做的事，一方面可以让他从安全范围内的高处往下跳，感觉下高度，另一方面也要定好爬高的基本规则，比如爬楼梯或梯子时，必须有大人在旁边看护。
特别提醒：信任比帮助更重要。
家长要信任孩子的自我保护意识与能力——这是他生存本能中非常重要的一部分。其实孩子是不会轻易从高处往下跳的，他懂得保护自己，比家长预想得要谨慎得多。与其处处限制他的活动，不如教给他相关的安全技能。学游泳总会呛几次水，不是么？“绝对安全”的环境不安全
分享人：圆圆妈
我的孩子两岁多就开始学习使用剪刀，帮我用剪刀拆包裹。我认为只要大人教会孩子正确的使用方法，这些看起来危险的工具并不会给孩子带来多大危险。正是因为使用方法不当，孩子学习的机会少，才可能会造成孩子轻微受伤。
有的家长担心孩子打碎东西，就不让他碰贵重易坏的物品，只拿给他一些不怕摔不怕坏的东西。请选择适当的贵重物品交给孩子保管或使用，培养他小心翼翼地对待物品的好习惯。当餐具和杯子被打碎，孩子恰好能够完整地学习家长的处理方法和过程，玻璃碎片有多可怕，看家长处理的态度就会感觉出来，所以孩子以后会更加小心。
孩子如果经常被喝止——“别做这个！”或被阻拦——“你不行的，让大人来！”，这样会让他们自信心的建立出现问题。因为自己的判断、自己动手做事的能力常常被父母否定，从而对自己失去信心。生活在过度保护中的孩子，缺少实际生活体验，对于危险的直觉就不能在受到刺激、进而锻炼这样的过程中发展起来，从而显得比较迟钝，这样的孩子处理危险的能力也比较弱。
我们不可能永远把孩子禁锢在“绝对安全”的环境里，只有教给孩子什么是危险，以及在发生危险的时候如何自救以及救人，才真正算得上是保护他的安全。
因“龄”施教
1.不同年龄段的宝宝安全的边界线不同。对一岁宝宝来说是危险的事情，但由三岁宝宝来做可能就没问题。当宝宝要求做某件超过他的年龄所能掌控的事情时，家长不妨告诉他：“好的，不过得等到你三岁时才能做。”
协议可控安全交换机技术 第4篇
1 安全交换机安全策略与体系结构技术
1.1 安全交换机安全策略与体系结构技术
完美的网络安全设备需要出色的体系结构支持, 一般来说, 安全的交换机有三层含义。交换机作为网络的核心设备, 最重要的作用就是转发数据, 理想的安全交换机应具备以下安全功能和策略:防Do S/DDo S攻击功能, 支持数据链路层安全协议, 基于访问控制列表的防火墙功能, 虚拟局域网 (VLAN) 功能, 流量控制功能, 入侵检测功能, 802.1x安全认证功能, L2-L4层过滤功能, Syslog和Watchdog功能, 双映象文件。
具体地说, 安全交换机是数据链路层的重要设备, 我们采用应用于安全交换机上的秘密局域网SLAN协议, 入侵检测系统应具备防范DDo S功能而访问控制列表以前只在核心路由器中才使用, 可以让网络管理者用来制定网络策略。VLAN是安全交换机必不可少的功能, 安全交换机的流量控制功能避免网络堵塞, 入侵检测能根据上报信息和数据流内容进行检测, 为了阻止非法用户对局域网的接入, 需要交换机能够支持认证, 保障网络的安全性。
802.1x协议是符合IEEE 802协议集的局域网接入控制协议, 802.1x协议与LAN是无缝融合的。在802.1x协议中, 必须包括客户端。一般安装在用户的工作站上, 当用户有上网需求时, 激活客户端程序, 输入必要的用户名和口令, 客户端、认证系统和认证服务器, 才能完成基于端口的访问控制用户认证和授权。根据过滤规则来过滤数据包, 交换机的Syslog日志功能可以将各种相关信息传送给日志服务器, 保障网络的运行。
1.2 安全交换机体系结构-PCSS
网络适配器作为内部网的关键设备, 安全交换机运行于传统的基于以太网的计算机内部网络, 安全交换机集成了防火墙功能, 基本都是对数据报文头进行软件加密, IPS或SSE都采用专门的芯片, 成本高。
PCSS是一个带有网络管理功能的高性能安全交换机。安全交换机硬件系统包括:系统管理CPU模块、网络管理CPU模块、网络交换模块、安全控制芯片、网络物理层模块。SCC是一个小型的嵌入式系统, 系统管理配置CPU是整个安全交换机的管理中心, 数据传输通过串行外设接口, 在安全网络适配器上也具有SAC芯片。
PCSS的安全策略及优点为两级安全交换机制, 秘密局域网SLAN协议的动态切换策略, 软硬件结合的数据过滤与安全审计策略, 全字段自主保密传输策略。全字段自主保密传输策略密钥的更新方式完全由网络管理员控制, 网络链路上传输的数据都是经过加密执行特定的安全措施, 更进一步确保了数据传输的安全性。
2 秘密局域网SLAN协议建模
2.1 协议分析技术
在对其建模的和形式化描述的基础上, 秘密局域网SLAN协议是应用于PCSS系统中数据链路层安全协议。协议至少需要两个参与者。在参与者之间呈现为消息处理和消息交换交替, 必须能够完成某项任务。
对协议本身的逻辑正确性进行校验称为验证, 又分为协议分析和协议综合, 安全协议是建立在密码体制基础上的一种高互通协议, 为进一步增强局域网数据传输的安全性, 在SLAN协议下, 要为安全需求的各方提供一系列步骤。
SLAN协议具有以下特点:SLAN协议具有多种实现形式, 安全交换机和安全网络适配器协同配合以切换SLAN, SLAN协议可动态切换和静态配置, 支持加解密、密钥分配等安全技术.
进程是计算机科学与工程中广泛使用的概念, 根据SLAN协议双状态切换的描述和实体图, SLAN协议的发送进程和接收进程可以采用相应公式计算。一个SLAN协议实体由两个独立的进程并行组合而成。
2.2 SLAN协议硬件支持
具体包括帧格式变换模块, CRC校验与生成模块, 高速硬件加解密模块。
SLAN协议的硬件仿真验证首先对帧变换模块进行仿真, 协议切换使数据帧的接收延迟时间增加, 设网络接口接收模块、发送模块、解密模块的延迟为相应值, 根据不同协议状态对帧处理的需求和实验数据, 协议状态切换是由安全交换机发起的。设切换不同步导致切换点的时间间隔, 发现丢包数量和数据帧长度有关, 可通过在网络适配器端设置计时设备, 并注意协议切换带来的安全性增强是需要付出代价, 根据当时协议状态确定具体的时间间隔, 避免切换不同步对丢包数量的影响。
3 安全交换机防火墙及其相关算法
防火墙技术主要分为包过滤防火墙、应用代理防火墙、状态检测防火墙。它作为一种网络安全的增强点, 广泛运用于安全操作系统中。传统意义上的包过滤防火墙是针对数据包的过滤, 包过滤的配置规则决定着包过滤防火墙的安全等级, 包过滤规则的制定要具有源和目的IP地址, IP选项, 高层协议, TCP包的ACK位检查, ICMP的报文类型和TCP和UDP包的源目端口。
硬件包过滤防火墙如果应用于交换机中, 传统的过滤针对以太网报文头的过滤, 基于用户自定义数据字段的硬件过滤策略针对MAC帧的数据报文头过滤和针对IP报文的数据报文头和用户自定义的字段进行过滤。数据接收模块从数据通路上接收数据, 并送给数据接收缓冲。在硬件结构和硬件过滤策略的支持下, 防火墙可实现IP报文的报文头及数据字段的过滤, MAC帧的报文头及数据字段的过滤。
为了克服基本状态包过滤模式所带来的安全问题, 状态检测技术对提高防火墙的效率表现在状态包检测防火墙在网络层拦截输入包, 再有就是必须检查其是否属于某一有效连接, 从而在某种意义上能够可提高防火墙的整体效率;拒绝服务攻击技术是利用合理的服务请求来占用过多的服务资源, 主要有以下几种Do S攻击技术, UDP FLOOD攻击、TCP SYN FLOOD、Crikey CRC Flood。由于安全交换机内嵌了防火墙功能, 如果新的数据包通过防火墙, 网络攻击者有可能通过采用针对状态检测防火墙会话表, 就会在状态表中增加一个会话项, 很多防火墙在流量发生异常时依然不会改变, 解决该问题的方法主要有对初始会话使用分离的Time-out值, 使用动态更改状态表大小。
Priority Aging算法。交换机状态检测防火墙监视状态表的长度, 它是针对UDP-Flood拒绝服务攻击的检测和防御算法。为了验证算法防UDP-Flood攻击的能力, 根据优先级状态调整Timeout的值, 状态项数量得到了合理的控制。
4 协议可控安全交换机系统的设计
PCSS硬件系统由网络交换模块、安全控制模块、系统控制模块及安全网络适配器模块组成。SCC的硬件结构处于交换机MAC层交换芯片和物理层芯片之间的数据通路上, 在数据接收总线之上还有一个总线仲裁器, 接收到的数据送至CPU中, 在每个端口的数据通路之上, 使得数据的传输和交换更加安全, 还有一个对数据进行协议变换的模块。我们使用自定义的CRC校验算法, 来将处理器和周边设备集成到SOPC, 对于由主设备或由从设备发起的操作, 可以有分立的读数据通路和写数据通路, SCC中的控制核心是一个RISC。
MII接口在以太网MAC子层和物理层之间, 在数字系统设计中提供简单的, 易于实现的数据互连, 它具有以下功能:MIIM可对物理层寄存器进行配置, MIIM定期读取物理层寄存器的信息, MIIM提供给系统当前链路的双工模式和工作速率信号, 如果出现链接中断, 则发中断信号给Nios, 提供机制使以上操作无冲突进行。
8位并行CRC校验模块的方案设计。每一种特定的CRC校验方法都对应有一个唯一的CRC码, 即安全交换机安全控制芯片采用CRC, CRC校验需要实现两个多项式的除法, 它是一个32位的寄存器R[31:0]。
全数据字段硬件自主保密传输方案设计。包括并行硬件加解密模块设计, DES算法加密的数据分组宽度为64位, 是一个对称加密算法。DES模块对整个安全交换机系统支持, 是并行DES加密技术, DES模块还包括很多相关子模块;DiffieHellman密钥交换模块, 用户也可以采用手动的方式。DiffieHellman密钥协商过程包括初始密钥协商、交换机一端首先产生一个大素数、客户机网络适配器上的守护进程接收到该密钥协商、交换机ARM芯片接收到MAC帧、交换机立即将对应的Nios管理的端口的网络协议设置为标准协议。
基于硬件的安全审计方案设计。网络数据审计功能包括MAC层和IP层两部分, 安全管理软件根据管理员的配置选项, 在系统管理配置CPU及其软件的控制下, 为了解决网络数据快速审计的全线速瓶颈, 在数据安全审计的过程中, 将所有审计信息还可以被组织起来, 实现PCI接口的有效方案。
摘要：安全交换机技术解决内部网络安全问题, 作为支撑该体系结构的关键技术, 内部网存在的一个显著问题就是网络链路协议不可控, 可以采用基于组帧变换和CRC校验方式变换的秘密局域网SLAN协议, 安全交换机防火墙是该体系结构的安全增强点, 并设计实现了协议可控安全交换机系统的核心部件。
关键词：体系结构,安全增强点,组帧变换
参考文献
[1]徐恪, 徐明伟, 吴建平.分布式拒绝服务攻击研究综述.小型微型计算机系统, 2005Vol25No.3.
[2]魏传瑾, 李清宝, 白燕.网络终端信息交换安全机制研究与实现.微计算机信息, 2005, 21 (5) .
四项可控费用 (培训稿) 第5篇
一、费用控制的意义。
大家工作了一天很辛苦，说是培训，也是探讨和交流。在一个月前就写完了这篇稿子，得到了余经理、蒲总、朱总的支持，让我与人事部、行政部沟通，转发给大家交流。由于年终都很忙，未能及时讨论学习。第一，现在正赶上董事长年会报告发表，也迎合了董事长的报告精神，结合本公司的实际情况，与大家交流探讨有一定的意义。第二，本次学习讨论还有一层意义，从现在开始倡导上上下下节约成本费用、人人讲节约成本费用，在整个公司形成一个良好的勤俭节约的风气。第三，国家对房地产调控的形势非常严峻，不是暂时的，而是要经过相当一段时间。提高企业抗风险能力，降低成本费用，提高行业竞争力，是摆在全体员工面前一项艰巨而复杂的任务。
二、费用控制的目的。
根据董事长年会报告中对2012年总体工作思路是“抓品质、降成本、促服务“的指示精神。董事长在新形势下对项目公司提出更高的要求，抓品质就是在降低成本情况下，还要提高中南地产的品质；“降成本”就是品质不能下降、服务质量不能下降，还要把成本降下来；“促服务”服务是为品质、品牌服务的，在降低成本的情况下，服务质量不能下降。我在董事长这三句话的基础上再加一名句话，“增效益”，品牌提高了，成本降低了，服务质量上去了，企业没有效益怎么生存？公司提高经济效益是硬道理，提高经济效益需要做两方面的工作，一是扩大生产规模、提高销售量和销售规模；二是降低成本费用。两方面都做到位了，效益一定会提高。
三、阐述一下对四项可控费用的看法和观点
在集团公司全面预算里面有个词，叫做“四项可控费用”，包括业务招待费、办公费、机票和差旅交通费。我的理解是不太好控制的费用。其实，绝大部分成本费用都可以控制，不在于费用好不好控制，而是在于人好不好控制。今天就说这四项费用，以后有机会再说其他费用的控制。
此文章不是从网上抄来的，得益于长期在企业工作取得一点经验的积累，我下面讲只是对事，不针对任何人。在我讲课时为了大家记忆深刻，缓解疲劳，增加培训的效果，要穿插互动，我可以提问题让大家答，你们也可以向我提出问题。
浅谈四项可控费用关键控制点
费用从广义上讲，是企业生产经营过程中发生的各项耗费，从狭义上讲，是公司管理人员组织生产经营所发生的工资、办公、差旅、交通、招待、法务、咨询、保险等费用。费用无处不存在，大到国家发生的各项费用，小到企业发生的费用，再小到每个人发生的费用。各类企业，各种行业对费用控制的方法、力度各不相同，有的企业费用控制的非常到位，有的企业费用控制的一般，有的企业费用控制的非常差。费用开支控制的好与不好原因很多，也很复杂。公司四项可控费用是指业务招待费、办公费、机票和差旅交通费，我个人观点一切费用都可以控制，只不过费用控制的空间有大有小，控制的好与不好之分。下面浅谈四项可控费用关键控制点。
四项可控费用最不好控制的一项就是业务招待费，费用项目多、发生额大、管控难度大。据不完全统计集团公司平均每天业务招待费约20万元，一年下来要花掉7-8千万元，这是指普通的招待费，还不算特殊招待费，控制不好就很容易造成直接损失浪费。
业务招待费有几个对应关系必须要认识上去，才能达到控制费用开支的目的。
第一，职业道德与招待知识的关系。有的人很会招待客人，有的人缺乏这方面的知识，我们把这项工作看作是一种艺术工作。
有的员工思路比较清晰，办事知道找什么人、怎样节省费用、怎样招待好客人；有的员工出发点是好的，动了不少脑筋想把事情办好，费用还花了很多，事情还是没有办好。有的人虽然办事能力很强，但是不注意节省费用开支；也不能排除有个别人思想不端正，假公济私，花公司的钱办自己的事，甚至出现贪污腐败现象。还有人存在一种不正确的思想，说公司家大业大，浪费点没啥，家业大也不能浪费，你浪费一点，他浪费一点，就是有一座金山也会把它耗费掉。对相关人员加强职业道德教育和对业务招待知识进行培训是非常必要的。
第二，办事效果与费用开支大小的关系。作为管理者希望招待费用越少越好，办事成功率越高越好。当今办企业没有一家不发生业务招待费的，不招待客人就沟通不了感情，甚至办不成事情。凡是需要招待客人的，一定要招待，凡是不需要招待客人的就不应该招待，怎样让客人满意，这就要求招待者对客人的理性判断。从招待的形式上进行判断，当初次招待某个客人时，要事先了解客人从事什么职业、职务、人品、文化程度、社会背景、兴趣爱好；第一次招待客人比较重要，在费用开支大小上要把握好，对有的客人来说，钱花多了他内心会轻视你，笑话你花大头钱，他说你这家公司就是有钱，不讲节约，不注重招待质量；钱花多了对有的客人来说他很高兴，对我很尊重，很有面子，这个公司很讲究场面。招待人应把握好尺度，招待什么客人，办什么事，采取什么方式招待客人，有人喜欢吃吃喝喝，有人喜欢娱乐，有人喜欢纪念品，大部分人都喜欢钞票，但是大部分人不敢接受钞票，不到一定程度他是不会接受钞票的。希望招待人认真研究招待艺术，投其所好、用其所需、压缩费用、注重效果。
第三，业务招待费批准人与报销人的关系。员工招待客人要向部门经理申请，要经总经理批准，作为部门经理要把好第一关，因为，部门经理最知道请什么人、办什么事、标准多少、由谁来招待、谁来坐陪，所以，部门经理要安排招待事项，掌握费用标准，达到预期目的。对于招待费用总经理要全面把关，应该掌握业务内容，对部门上报的招待费该砍的要砍，该加的要加。经过两道审批流程基本上把费用标准控制了，招待客人的质量好坏就看招待人的水平了。部门经理和特殊招待人（专项公关人员）申请招待费，这一块所占的比重很大，总经理是第一责任人，也是直接控制人，财务负责人结合全面预算对业务招待费进行动态分析，及时为总经理提供招待费信息，相互配合控制到最佳程度。
四项可控费用其中办公费如何控制。办公费用与业务招待费相比好控制一些，无论什么费用开支不加强控制都会造成浪费。公司人员多、业务多，办公用品消耗量也多，应该从小到一张纸，一支笔，大到办公室装修都要严格控制开支。
办公费用大体分房租及装修费用、网络及通信费用和日常办公用品。无论是某项费用支出都有节支的空间。
房租及装修在办公费用中所占的比率较高，主要是在项目没有开工之前要租办公场所、员工宿舍，这时候办公人员比较少，五、六个人，十多个人，住小型宾馆可以说得过去。有的公司项目开发一年多了员工宿舍仍然没有建好，一百来号人还住在宾馆里面，这是一种浪费现象，一年要花掉房租费约200万元。这也是项目开工前综合计划不到位，我们搞房地产开发和搞建筑施工是不怕吃苦的，员工宿舍没建好可以住民房，也可以住在工地临时搭建的房屋。几个月应该把员工宿舍建好了，员工宿舍和办公室应该与三点一线同步建设，或者还要提前，提前解决了办公和住宿问题即省了钱，员工工作也安心了。项目公司的办公室装修费用也有控制的空间，招投标程序要走，装修要简约化，符合办公条件、符合环保条件、简装得体即可。有的项目公司租房办公，办公室需要装修，花几万元钱把房子装修好了，等第二年房东要涨房租费了，在这种情况下租还是不租，不租装修费已投进去了、办公设备都安装好了，很被动地还得租，当初谈房租费时就没有把装修作为一个谈价条件，租期也没有把握定下来。这也是一种浪费，事先考虑和安排的不周到。
办公费用中的网络与通信费用，主要指宽带使用费用、信号发射装置、监控设备及电话费。宽带设备服务费也算是垄断行业，只有几家公司经营，选择哪家通信公司要根据本公司的实际情况和对方公司收费标准、服务质量而定。
办公设备品种比较多，包括电脑、复印机、打印机、办公桌椅柜、沙发、床及床上用品等等。一般小型办公设备不通过采购招标形式，由项目公司自行采购。公司制度都是好的，购买任何
物品都要询价、比价，有时候形式走了，效果不见得好。主要原因是年轻的员工没有购物经验，年纪大的有经验，但有的人很油滑，询价、比价、考察、定价有时走过场。领导者关注大宗材料、物资采购招投标工作，小采购往往被忽略，应该大小费用支出都要严格监控。可采用双重询价、比价机制，物资部和行政部作为第一组团进行询价、比价，招标部、财务部、成本部作为第二组团进行询价、比价，把两个组团结果上会，由总经理组织相关人员评审决定。
办公用品消耗与以上费用相比发生额较少，但也要严格控制，第一，对办公用品的采购、保管和使用要从思想上高度重视，有的公司浪费比较严重，有的人思想上也不够重视，认为浪费一张纸算什么，丢掉一支笔也没啥，假如按每人每年10张A4纸浪费，全集团公司4万人计算：4万人*10张纸*0.2元＝8万元，可想而知，低值易耗品一项每年浪费8万元，对于价值高的办公耗材如果浪费严重对于大公司而言，要浪费多少钱，有很多人可能没有感觉到这种浪费现象。大算盘要打，小算盘也要敲，每个人都养成勤俭节约的优良作风，从一点一滴节约费用开支。我们多耗费一分钱就是从利润中减少一分钱，节约一分钱，就是利润增加一分钱。第二，从办公用品采购抓起，仍然采取询价、比价和谈价方法，采用定量、集中采购，杜绝零库存的管理方法，做好领用台帐记录工作，年终对部门进行考核。也可以采取按部门定额定量管理，消耗标准要定的合理，奖罚尺度要合适。
通信费用，员工手机费报销有控制的空间。公司为员工报销通信费是一种福利待遇，应该因公事报销话费，非公事不应该报销话费。现在只是对员工阶层定报销标准，有的话费用不完，有的不够用；需要认真核定业务话费量，当然不是绝对准确的，应该趋于合理。及时对员工工作调动、岗位变动进行话费报销标准调整，员工如有话费不够用的情况下，要凭因公通话记录，说明理由，申请增加额度。
四项可控费用当中机票和差旅交通费用比较好管理，买机票要和售机票公司或售票处签订购票协议，我们购票要给最低折扣价，因为我们是大客户，每年小的项目公司要消费几万元，大的项目公司要耗费几十万元，所以他们会帮助我们节省费用的。要建立消费监督机制，每个月成本部、财务部对所购机票抽查两次，验证是否最低价。差旅交通费可控点在住宿费上，现在我们出差一般住宿在协议旅馆里面，我们叫协议旅馆，他们还按照市场价格对待，人少的时候房价下浮，人多的时候上浮，与其他客人一样待遇，只是有优先住宿权。全国各地宾馆住宿费确实不一样，要分城市类别、职务级别确定报销标准。
以上只是对四项可控费用浅谈一下控制点，其他费用都有控制的空间。公司制订全面预算是对的，怎样制订的科学、合理、有效，应该加深研究落实。要把费用细化到部门，拿招待费为例，一个公司十几个部门，哪个部门招待费最多，可以简单地排一下，前期部最多，拿地报建找政府领导、土地局、住建局、房管局、镇政府、村委会、农民等等。总经理办公室，主要总经理的业务招待费比较多，通常是招待政府和企业高层领导。销售部、设计部、财务部、行政部、法务部也有少量的业务招待费。每个部门在一年之内办什么事、办多少事要有个预计，对于有经验的部门经理能估计费用八九成，对于没有经验的人来说预计的肯定不准。财务负责人把好预算关，各部门上报的预算数是否接近实际，有经验的财务负责人是能看出来，财务经理对各部门的业务内容要了解，要和副总经理、总经理沟通，定出各部门费用标准，与绩效考核挂钩。加强对员工节省费用开支的培训教育十分必要，每年可举办两次。对员工的费用开支采取奖罚措施。
公司产业多，业务量大，该花的钱要花好，该节约的地方一分钱也不要浪费。为了避免经营风险，铸造百年基业，要建立费用控制长效机制，公司总经理是第一责任人，部门负责人要配合总经理完成费用控制目标，力争把公司各项费用控制到最合理程度。
韩景春
安全可控 第6篇
关键词：检察机关；信息网络安全；完善措施
中图分类号：TP309.2 文献标识码：A 文章编号：1674-7712 (2012) 10-0127-01
检察机关的信息化建设于2000年，发展至今，经历了一系列的发展与改变才初步的形成了较为系统的信息一体化网络。但是随着检察机关信息网络化建设步伐的日益加快，信息网络安全越来越被人们所重视，检察机关信息网络安全自主可控的管理模式也就应运而生。
一、检察机关信息网络安全存在哪些问题
（一）病毒的入侵与黑客的攻击。网络的普及使病毒肆意的入侵，严重影响和破坏了检察机关信息网络的安全。到目前为止，全球发现的病毒数目数以万计，并且还在迅速的增长着，可见网络每时每刻都要受到病毒不同程度的冲击。相对于网络而言，在网络系统中黑客的攻击更是让人防不胜防。并且还有大量的黑客网站专门提供技术资料、攻击方法以及攻击软件等，使网络立法十分匮乏的信息网络不断地遭到黑客隐蔽性的强烈攻击。
（二）网络软件与硬件方面的缺陷。检察信息网络是依照各各不同的检察机关构成的一个个的局域网。从软件上来说，由于网络本身就缺少安全机制，使其它在此基础上存在的网络相应的安全也得不到安全保障。
（三）网络管理与制度的欠缺。严格的管理与完善的制度是检察机关信息系统安全的最主要手段。但目前的各级检察机关信息网络系统的管理制度并不健全，标准也不够严格，对网络管理缺少领导机制和重视程度，仍然采用比较粗犷的管理模式，以及网络管理缺少程序性规则，而且制度也不够完善，许多方面都存在着缺陷和执行上的不严格不彻底。因此，对于网络管理人员来说责任感还有待加强。
（四）使用人员的不良习惯与非法操作。现在的检察机关工作人员对于网络的操作水平比较低，而且在网络使用者中大量的存在着操作不规范以及软件的盲目使用。使得信息网络安全得不到最初的保障。
二、检察机关信息网络安全自主可控的策略分析
（一）完善检察机关信息网络安全自主可控的规范化。检察机关的信息技术具有保密的特点，检察信息化管理中许多管理都应在安全有序的状态下进行信息网络安全自主可控的运作。应将信息网络安全的的自主化管理模式纳入到整个管理的格局之中，如果不及时的使用自主化管理模式，就会使总体的检察机关信息网络在运行时出现紧张的局面，必将会导致检察机关总体管理工作的堵塞。当网络信息化技术发展到一定阶段的时候，就会暴露出许多信息网络安全管理的问题。与此同时，与其相互配合使用的许多信息管理软件也会出现相应的操作上的问题。建立检察信息网络安全自主保障系统是解决问题的最有效的方法，它使原本由静态的管理模式向动态的信息安全管理模式转变。由此可见，完善的检察信息网络安全自主保障系统通过规范信息安全管理机制，改进检察信息网络安全自主保障系统，促进了队伍更好地建设与发展。而且对信息网络安全自主可控机制的健康运行起到了很好的促进作用，使检察机关信息网络安全自主可控的管理机制能够快速的、科学的发展。为加强制度的管理和落实，有必要完善检察机关信息系统运行的操作规范，并且定期的总结规章制度的执行落实情况，及时发现漏洞并进行整改。还有必要规范电子论坛、挂网内容等的制度，既鼓励了干警学习网络安全知识，又提升了检察机关的整体素质，还保证了检察机关信息网络运行的畅通和安全。网络信息化建设的基础性工作是检察机关网络信息技术的开发，而最关键的则是对网络信息的具体运行和安全管理。检察机关网络信息化建设中存在着很多的问题，对网络信息安全自主可控机制多少都会有一些影响。对此，规范网络信息管理是非常有必要的，检察机关对于各类案件、各种工作以及信息安排都必须在网络信息系统上进行传达，使各个部门都能准时、安全的接受。
（二）完善检察机关信息网络安全自主可控的科学化。检察工作的开展与检察机关掌握信息量的多少、优劣和信息技术程度的高低有着直接的关系。随着信息时代的快速发展，大部分的干警对信息化了解越来越少，连最基本的打字、上网都不精通就别说利用信息技术了。这些问题严重的阻碍了信息网络安全建设的步伐。要想建立新型的工作机制，必须先从思想观念开始更新，将现代化的信息管理理论融入到检察工作之中。必须大力引进精通网络知识的技术型人才，以促进检察干警更新观念，主动学习钻研。如过有必要可以实行全员培训。例如：在各科室开设小的学习环境，发挥本部门骨干的作用，边做边学；或者是在全体部门开设学习环境，定期的邀请专业技术人员来讲解在操作过程中所遇到的疑难问题。在此基础上，还要组织本院的技术骨干走出去，才能引进来更好的创新观念。在检察机关干警信息网络安全自主可控的工作能力不断提高的基础上，检察机关还必须加大完善基础设施的建设，才能更好地适应信息网络安全工作快速发展的需要。检察机关对信息网络安全的技术投入不能松懈，而且为了满足检察机关自主可控的需求，还应对信息网络安全保障的各项设备进行改造与升级。只有配置先进的局域网设备，才能有效的防止非法技术的入侵。应用了高标准的信息系统以后，使新型的信息管理模式的安全含量更高、更强。
（三）完善检察机关信息网络安全自主可控的高效化。为保证检察工作能够高效的发展，就必须不断的更新办案系统以及信息安全建设。提高信息安全监督，变结果监督为过程监督，变静态监督为动态监督。为有效地预防办案人员在办案过程中不规范的使用信息网络，可以通过局域网进行信息安全自动监督。办公行政管理部门可以在内网上公开信息网络安全督察事项，并对落实、执行不彻底的个人或部门给予相应的告诫或处罚，这样既提高了信息的质量与安全系数，又使检察机关信息网络安全内部监督机制向着良性的方向发展。为了确保检察业务信息的安全，必须研发新的办案软件，使局域网内部也实现联网办公。与此同时，还要对侦查指挥、讯问监控系统进行开发和升级，以防止秘密的泄露。还应该实现对举报自动受理，探索出一条新的、快速的、安全的、保密的举报受理系统，防止举报信息被外部的非法网络技术入侵、窃取。
三、总结：
信息网络的安全建设关系到了检察机关的未来走势，面对飞速发展的科学技术，只有不断地完善检察机关信息网络安全自主可控的规范化、科学化和高效化，才能使检察事业在新形势下更快的朝着目标迈进。
参考文献：
[1]季辉.通过信息安全服务实现信息系统风险可控[J].信息网络安全,2010,5
智能可控式校园安全路障系统设计 第7篇
随着社会的发展,家用轿车越来越成为人们上班和出行的代步工具。家用轿车的普及一方面给人们带来了很多便利,同时在安全问题上也产生了越来越多的困扰。作为学生云集的校园,随着车辆的普及校园行车的安全也越来越得不到保障。每年有很多学校因为车辆行驶管理不善造成或大或小的事故,给家庭、学生、校园带来了损失。
本课题主要针对上述问题,在校园行车路线限制方面和行车速度限制方面提出一套新的解决方案,设计出智能式可控式校园安全路障系统,通过机械创新和电路设计实现安全可控的目的。
1 设计思想和系统整体方案
1.1 设计思想
目前,一般校园车辆控制主要通过校门匝道或电动门栏放行,车辆一旦进入校园就没有任何控制,车辆在校园速度得不到有效管理,从而容易发生事故。针对上述情况,设计提出在校园内部集中的路段设立路障检测站、电控路障装置以及通讯系统,总体构成一套电子路障智能系统。路障检测站任何时候都不断电工作,在无车辆通行时处于待发状态;一旦有车辆到来就获取车辆信息(包括车辆类别、速度等),判定信息的合法性,根据情况来控制路障的开启,即决定车辆是否通行,同时可以将车辆信息上传到上位机或控制终端。
1.2 系统设计方案
智能电子路障系统是集通讯技术、自动控制技术、数据传输技术为一体的综合智能控制系统[1]。该系统的示意图如图1所示:
系统可以根据校园环境在道路上设置路障检测装置,每个装置上均装有电控和通信以及识别系统,一套系统可有多个路障检测装置。为了能检测到车辆信息和实现数据的交换和控制,需在车辆上(校车和教工车辆)安装车载器,车载器可以通过无线射频技术和路障检测装置通信,路障检测装置上的GPRS模块与图中左上方的控制系统GPRS模块相通,来实现信息的实时交换以及人工管理路障等功能。如果是外来车辆没有车载器,系统还可以触发与路障检测装置相连的感应线来检测车辆速度从而控制路障开闭。
由此示意图和设计思路知,该系统主要由车载器、路障检查站以及上位机控制系统、通信接口和电控路障等组成,其整体框图见图2。
车载器是一个发送车辆简易信息的无线装置。该装置将车辆信息(包括车牌号、车载器编号等)存储在可擦除可编程的ROM内;一旦到达路障检测站的监控范围就被激活,根据车辆需要发送自己的信息。
路障检测站是处于路障所在处的检测装置,它与车载器、上位机管理系统实现双向通信。在正常情况下,它一直处于发送巡检信息的状态,激发车载器并获取车辆信息,根据上位机事先授权的信息来判定接收信息的合法性,进而决定路障的开启状态;同时暂存车辆信息及通行时间,记录达到10条时上传上位机存储。上位机管理系统主要由PC机、通信接口和GPRS模块组成。用VC++6.0研制开发了一套实时多功能检测软件,在Windows操作系统下完成实时数据接收功能,并将收到数据与己建立的数据库中数据进行验证,同时通过界面不断显示更新各路障检测站信息,主要显示功能有:显示各路障检测站的编码及区域位置;显示各路障检测站车辆信息,如车牌号、车型、车辆类型(内部或外部车)、车主等;显示各路障的开启状态;显示路障点事故状态。
2 通信方案的确定
本系统的通信有两部分,1) 车载器与路障检测站之间的通信,2) 路障检测站与上位机PC(即数据终端)之间的通信。
2.1 车载器与路障检测站的通信
车载器与路障检测站的通信采用了在微波频段进行信号的无线传输。因为系统并不要求无线信号可靠的传输很远的距离,只要求在路障检测站的有效检测范围30～50m内能进行可靠的数据传输,就可满足系统的需要。因此在一个空旷的范围内,使用微波频段是完全可以实现的。对于开发设计高频的无线通信产品来说,首先要有必需的高频通信试验设备,而这些设备是比较昂贵的;其次需要开发设计人员具有较丰富的设计高频电路的实践经验,再次需要提供足够的开发设计时间。由于缺乏足够的资金、经验和时间,再加上目前市场上有很丰富的无线收发品模块,而且都是比较成熟的产品。因此综合上述原因利用市场现有产品缩短开发周期,所以选择了FC一201/PS无线数传模块。FC一201/PS采用单片射频集成电路,是一种短距离、微功率无线数传单片无线收发芯片,只需少量外围器件,便可完成无线通信模块的设计。
2.2 路障检测站与上位机之间的通信
为了保证路障巡检站与上位机之间通信的实时性,选择了GPRS无线通信方式。通用分组无线业务GPRS是在现有GSM系统上发展出来的一种新的承载业务,能提供端到端的、广域的无线PI连接,目的是为GSM用户提供分组形式的数据业务。它具有实时性强、建设成本低、集抄范围广、系统容量大、数据传输速率高、通信费用低、远程控制等特点。特别适用于间断、突发性或频繁、少量的数据传输,也适用于偶尔的大数据量传输。
3 路障装置设计
路障装置(图3)是埋在地下的可控机械结构,它是路障检测站的一个重要组成部分。工作时可由上位机发送信号传递到路障检测站控制,也可由路障检测站检测来往车辆信息实时控制,亦可分时、分段控制,如学生下课集中时间段可以控制路障升起,禁止车辆通行。为了防止设备间通信不畅或通信故障,路障装置还设有手控开关。
3.1 路障机械结构设计
1—座体;2—路障;3—定向轮;4—导向槽; 5—丝杠;6—丝母;7—传动导管;8—锥齿轮Ⅰ;9—锥齿轮Ⅱ; 10—皮带;11—直流电动机;12—手动、电动转接销; 13—手动摇把;14—手动、电动转接销卡槽
如图3所示,路障机械结构由座体1、路障2、丝杠5和螺母6构成的升降机构,锥齿轮Ⅰ、锥齿轮Ⅱ、皮带10和直流减速电动机11或四缸顶部的手动电动转接销12和手动摇把构成的动力机构组成。在座体1内套接由路障2 ,路障2下端的定向轮3卡在座体1的导向槽4中,升降机构的丝杠5穿透在路障2的顶端,丝杠5的下端穿套在升降机构丝母6内,丝母6通过传动导管7与锥齿轮8、锥齿轮9组成的减速传动机构相连接,锥齿轮8和锥齿轮9组成的减速传动机构通过皮带10与直流减速电动机11相连接。穿套在路障2的丝杠5顶部设有手动、电动转接销12,手动时转接销12与丝杠5同相而立直,转动摇把13,丝杠5随之转动使路障2得以升降;电动时,转接销12卡在路障2顶端的卡槽14内,电动机带动丝母6转动,使丝杠5得以升降的旋力,路障达到升降的目的。
3.2 路障控制单元设计
路障控制单元主要由主回路和控制回路组成。可以接受外部信号触发也可以通过外设控制按钮箱控制,其电路结构如图4。
工作时当接近开关VT1接到信号路障升起,到达设定的位置,碰到SQ1停止。当接近开关VT2接到信号开关降下,到达射进的位置,碰到SQ2停止。手动控制:按下SB1路障升起,到达设定的位置,碰到SQ1停止。按下SB2路障降下,到达设定的位置,碰到SQ2停止
主回路:当SQ3按下,切断电动机电源,然后切换到机械手动部分升起或降下路障!当由于断电等特殊情况出现时,可直接使用机械手动部分升起或降下路障!
4 结语
本智能可控式校园安全路障系统基于南京信息职业技术学院校园环境架设和研究,实现了通信技术,自动控制技术数据、传输技术的完美结合。能够和现有学院车辆射频识别技术融合,可有效降低成本提高效益,并实现了校园安全实时互动检测,可大大提高校园学生的安全指数,必将为和谐校园建设做出积极贡献[2]。
摘要：随着车辆的普及,校园行车伤亡事故日益增多,造成生命财产损失,影响校园正常教学和安全秩序。针对这类问题做了相应研究,设计了一套基于无线射频技术和GPRS技术结合的路障检测与管理系统。在学校教学和生活集中地段安放路障检测与控制系统,配合设计的路障硬件装置,通过合理调控,分时、分段进行管理和放行,避免校园事故的发生,保障校园安全。
关键词：无线射频技术,路障检测,安全
参考文献
[1]朱庆豪.不停车电子路障系统[D].山东:山东科技大学2006:6-16.
龙芯:安全芯片需要真正的自主可控 第8篇
2015年8月, 龙芯中科技术有限公司在京发布了新一代处理器架构产品, 包括正式推出了龙芯自主指令系统“Loong ISA”, 龙芯新一代高性能处理器微结构“GS464E”, 新一代处理器“龙芯3A2000”“龙芯3B2000”以及龙芯基础软硬件标准及社区版操作系统“LOONGNIX”。“龙芯”作为国产CPU的代表, 其最大特色是体现在了产品的自主研发。
靠买技术, 安全不靠谱
2013年IBM组建了Open POWER基金会, 推广开放的POWER架构, 在国内已经有一些产品落地, 看起来国内也有自主、安全、可控的芯片了。龙芯如何理解安全芯片?
中国工程院院士、龙芯中科技术有限公司董事长李国杰认为, 实际上, 前几年我国支持研发自己的CPU, 不仅龙芯, 还有威盛 (兆芯) 、申威、飞腾 (ARM架构) 、众志等多家在国家的支持下做CPU, 取得了一些成果。IBM把POWER系列开放给中国, 原因之一是中国发展CPU已经有一定的实力了, 开不开放中国已经能做了, 因此开放了以后对IBM也没有太大的影响。而在过去, 高端芯片连卖给中国都不行, 更别说技术了。
另外, IBM开放POWER联盟是为了自己更强, 因为英特尔现在在服务器里占95%以上。所以IBM是想让其他POWER芯片抢中低端服务器市场, 但IBM并不希望中国做了一个芯片去抢其高端市场, 但是中国人能不能抢得着?这就是我们的战略了。我国现在有句话, 讲引进是可以的, 但是引进的目的应该是我拿这项技术以后抢了一部分市场回来, 这样你就成功了。就像联想买IBM的笔记本电脑业务, IBM经营笔记本不赚钱, 联想买下来就可以赚钱, 这个市场战略是可以的。
但是国内有些人喜欢什么都拿安全说事, 例如为什么要引进参与P O W E R的芯片?因为我要自主可控, 原来是在IBM的, 现在我做了, 是中国的POWER了, 所以我是安全的, 我就要打安全市场, “这就有点不太着调”。因为首先要解决你自己的定位, 例如定位成自己是联想卖IBM笔记本模式的, 是这种定位, 那你就要去市场上拼, 拼完以后再消化。因为自主可控需要好几步的战略, 第一步基本上是贴牌, 第二步可能做点改进, 这样逐步地掌握, 掌握了以后再讲我来做安全服务。贴牌不叫安全服务, 消化要有个过程。
另外据了解, IBM对中国引进这项技术并不是完全敞开的, 比如其最有价值的浮点是不给的, 另外我们希望把它做成集群, 扩大, IBM也不同意。“IBM实际上就给你做一个像两核、四核那种小的处理器, 抢英特尔服务器市场, 当然这也是很大一个市场, 但并不能解决我们想做的所有东西都能做的问题。”
李国杰认为, 所谓引进、消化、吸收可以做, 但是首先做是为了在市场上能够争取更多的主动, 等到你一边做一边逐步理解, 把它的技术全掌握了, 芯片全是自己设计了, 那时候再讲可以解决安全问题。
安全的关键是看它自己团队是不是能力那么强?是否真的提高?我们一定要走引进、消化、再创新的道路。
但是这里面有一个问题, 信息技术和高铁还是有差别的, 信息技术有个摩尔定律, 发展特别快, 正常情况下一般五年就要增长十倍, 十年就要一百倍, 所以靠买技术来把自己提升起来, 这种情况现在并不太多了, 因为信息技术总是不断创新的, 所以关键还是个能力问题。
国产化的关键看知识产权
谈到国产化, 其实每家企业都在讲自主可控、国产化, 所以国家首先要确定国产化的采购清单, 你可以看到几乎外国的品牌全部都在里面, 包括微软操作系统都是国产的。原因是, 以前的标准是微软的光盘在中国大陆刻的, 就属于国产的, 因为刻录过程本身交了一道税。后来财政部是按照成本, 就是有一半以上的成本发生在中国, 就认为是国产的, 但是对于先进的技术来讲这个定义是有问题的。
所以关键还是要看知识产权, 主要的知识产权应当是由国内的人在国内做出来。我们现在有些企业, 拿了国外一个授权, 或是买了一个核, 但一个关键的问题没解决, 即你要分析别人里面有没有安全问题, 这是件很难的事情。因为一个指令系统里的源码至少一两千万行。再一个关键是以后你想发展的时候, 发展权不在你这儿, 你想根据需要加点什么、干点什么, 人家说“不行, 你必须按照我的路线图来走, 我给你的你就不能改了, 你只能做。”所以中国现在是几条路都在尝试, 龙芯和申威是一条路, 还有一种是采用ARM授权的方式, 例如手机大家都这么做, 但要想解决所有跟安全有关的领域可能就需要一个过程, 关键是你得自己真正掌握才行, 还有第三条是干脆跟英特尔、IBM合作。李院士对跟IBM合作也是支持的, 但关键的一条, 最终你要有能力掌握它。
所以最终你要有发言权, 即在技术上你有技术的选择权和发展权, 在市场上有定价权, 做到这两点那就可以讲基本上是国产了。
当然, 有的企业说国产的东西一定比别人差, 非要国家强硬地来进行保护, 把别人的都赶掉去掉, 这种做法也是不行的。
商业市场已占龙芯业务的1/3
在商业市场上, 龙芯已逐渐成熟。龙芯总设计师、龙芯中科技术有限公司总裁胡伟武称, 龙芯产业2001年开始做研发, 2010年开始做市场化的运营, 主要是把中科院计算所当时的研究成果产品化, 今天发布的是龙芯中科根据市场学定义的成果产品。
龙芯的产业链分三大块, 一是安全/安全应用, 二是通用, 即电脑, 三是嵌入式, 嵌入式就是行业应用, 像防火墙、水表等。总体来看, 龙芯下游已有两三百家合作伙伴企业, 下游里仅仅是围绕龙芯做研发的技术人员已有上万人 (注:2014年底统计) 。尤其这几年出现了一种利好趋势, 过去是央企和科学院为主, 现在逐渐扩展到体制外的用户了, 例如从2 0 1 4年开始有大量的民企, 像神州数码、研华, 唯一上市的水表企业——三川水表等。所以现在从结构上看, 国家安全市场占2/3, 纯商业行为已经从原来的0升到约1/3。
发展思路:Tick-Tock
胡伟武认为, 英特尔的Tick-Tock (钟表声:滴答) 是非常好的战略。龙芯2015年的这次发布是Tock, 是微结构的提高, 龙芯微结构已跟国外差不多。明年龙芯要走Tick, 就是用更先进的工艺, 水平提高一倍。Tick之后再用Tock, 二者可以交替进行, 二支设计队伍都不忙, 效率还挺高。
与龙芯合作的利润点
1.关系很重要
作为同属于中科院的兄弟单位, 曙光信息产业 (北京) 有限公司和龙芯合作15年了, “至今仍是一如既往、心无旁骛的支持龙芯”。曙光总裁邵宗有称, 首先是曙光跟龙芯的关系, “不要小看这个关系, 这很重要”。曙光在龙芯处理器研发的时候就有介入的机会, 样机出来之后的验证, 曙光首先得到这个机会。曙光在研发过程当中, 可能获得更好的技术支持, 等等。这在国产处理器的整机系统研发中是极其关键的。例如曙光也想做基于别的处理器的服务器, 样机做出来了, 需要定700片。客户说我抽屉有20多片你拿走, 其他的得过一年, 甚至不确定。
另外, 龙芯未来的路线图清晰可见, 这是特别关键的。做计算机的从业人员就看三大系统 (笔者理解:硬件、软件、操作系统) 全不全, 未来的市场大还是小, 未来的技术路线清晰不清晰。不能开发过两天没了、换了。那我过去生产的怎么办?用户怎么办呢?
2.所有利润点应该是自己的
做龙芯将来有什么样的利润点?现在整个IT圈就是Wintel、AA (Android+ARM) 这两大体系。两个体系里, 除了老大之外, 其他都是马仔。例如, 把CPU做出来就能挣钱吗?好像也不尽然, 例如我国有很多A R M手机和平板电脑, 一年出货量也很大。但是为什么90%以上的钱还是被苹果一家公司挣走了[2]?原因很简单, 只有一个老大, 其他都是马仔。所以我们整个IT体系的利润从哪儿来?利润绝不是集成商多拿一点、整机厂商就少拿一点这么简单, 或者元首多挣一点、手下少挣一点。是我们需要重塑一个两大体系之外的第三个体系, 即宁为鸡首, 不为牛后, 哪怕这个体系将来的市场较小, 但是在这个体系里, 我们可以把利润控制在整条产业链里面。所以我们主要致力于这方面的建设, “我们希望这个产业体系建成之后, 所有的点都是利润点。”
研华:用龙芯没有想象的那么难
研华作为世界上最大的工控板卡厂商, 三年前也引入了龙芯。研华 (中国) 嵌入式事业群总监何建伟解释道, 研华看中几个重点:第一是芯片本身的成熟度, 当然这里包含固件等。第二是芯片跟操作系统的适配性, 尤其是对于很多不同行业的应用。第三是芯片本身跟周边所有I/O、扩展的桥片、外围的扩展电路的配套。“这是我们目前做国产自主可控产品时遇到的很大挑战。因为我们过去也参与了很多型号项目, 具体的型号项目都是要求国产化率, 有的要求85%、95%。这里面包括内存、应用芯片、桥片、I/O等, 龙芯需要跟这些芯片整合。第四就是作为板级厂商, 研华关注芯片厂商的技术支持和响应。
“三年来, 总的来说, 做国产自主可控不容易、很难, 但是好像没有想像得那么难。”因为过去的几个型号项目研华几乎做到了, 有些是在一版, 有些是在第二版就可以成功, 就可以顺利地开机。相比之下, 研发做CPU开发板已有三十几年历史, 一般从研发到产品的量产要做两版到三版, 是很难的。“因此用龙芯没有想像得的那么难。”
参考文献
[1]王莹.龙芯转型:摘掉红帽子, 要建生态系统.电子产品世界2014 (3) :19
[2]叶钟灵.手机改变世界 (终) .电子产品世界, 2015 (7) :6
[3]魏少军.中国集成电路产业的差距在哪儿.电子产品世界2014 (9) :19
[4]孙俊杰.本土企业挖掘潜在机会.电子产品世界2014 (10) :23
一物一码全程追溯食品安全有序可控 第9篇
爱创科技是专门从事食品药品追踪追溯的企业, 经营15年来获得国家和政府机构多项资质认证, 拥有12项知识产权专利和77项专业软件著作权, 承担了很多国家重大计划和项目。
通过为商品附码将产品的不同包装建立为成组的关联数据, 使成型的包装产品能够查到包装内部具体情况并便于追踪追溯。从贴码、扫码到装箱、收货入库, 同时实现产品溯源和流向追踪。未来有望通过ERP系统进行信息集成。
安全可控 第10篇
关键词：信息安全,自主可控
1 引言
2013 年 6 月 , 美 国电脑专家 、中央情报局前分析师和国家安全局承包商的雇员斯诺登曝光了美国情报机构的“棱镜” (PRISM) 计划项目”。 通过该项目, 美国的情报机构可以在没有授权的情况下对任何在美国境外人士 或 涉 外 通 信 的 美 国 人 进 行 秘 密 监 听 , 其 中 包 括Google、微软 、雅虎和苹果 、思科等在内的 9 家 国际顶尖的科技公司为美国政府提供服务器接入许可。 随着“棱镜门”事件的发酵, 美国情报机构其他各种信息窃取计划也渐次曝光, 给中国的信息安全敲响了警钟。 2014 年2 月 27 日 , 中共中央决定成立 中央网络安全与信息化领导小组, 由习近平任组长, 李克强、刘云山任副组长。习近平主席在小组成立时的讲话中指出:“没有网络安全, 就没有国家安全”, 说明了信息安全事关国家战略全局。 而信息安全的基石一定要落实在“自主可控”上。 从某种意义上来说, 没有自主可控的信息化基础设施, 中国的信息安全仍会受制于人, 因此如何提升我国信息化的自主可控能力, 对提高我国的信息安全整体水平具有重要的意义。 本文结合国家政策、法规和参与实施的实例, 谈一谈对目前如何提升信息安全的自主可控能力的思索。
2 三点思索
一是加强顶层设计, 从立法层面推进自主可控产品在电子政务信息系统中应用, 从而带动国内厂商自主可控产品研发的能力, 并对其他行业的信息化自主可控产品的推广应用起到带头示范作用, 从而真正提高我国的信息安全水平。
随着信息技术的飞速发展, 信息化已经走进了各行各业, 并起着重要作用。 信息化在带来高效率和高性能的同时也同时由于一些因素的存在, 带来安全方面的诸多问题, 这对矛盾必须采取有效措施予以化解。 针对信息安全方面采取的措施有时候也是双刃剑, 所以需要统筹考虑, 使安全达标, 同时保证系统的综合性能。尤其是在政府领域, 其信息安全紧密联系着民生 、经济、军事等各个方面的安全。 由于我国在信息行业里起步较晚, IT 行业和互联网行业所存在的 “先入为主”效应和倍增效应, 造成了当前我国在信息化进程中因使用习惯和兼容性及对某些信息设备性能的片面追求等方面的问题, 仍大量使用着国外的硬件和软件。 当然, 国外的产品固然有其特定优势, 但是我们对其没有主导权, 通过“棱镜门事件”, 我们看到了国外政府可以通过这些国际领先的 IT 厂商的产品和技术随心所欲的窃取信息, 甚至在两国交战等特殊情况下, 瘫痪对方的信息系统。 因此, 在政府信息化领域当我们把自己的主机CPU、操作系统 、核心交换 、数据库等重要产品全部向国外厂商和产品倾斜时, 其实也是在把我们的信息安全拱手相让。
因此建议国家通过立法手段, 修改《政府采购法》, 强制政务信息系统采用自主可控的国产化软硬件设备。通过政策引导等方式, 如在相关招投标采购中提高使用国产化产品的得分值等措施, 将自主可控产品推广到军工、能源、医疗、教育、金融等事关国计民生的重要领域。自 2009 年以来, 国家加速启动 “核高基” (核心电子器件、高端通用芯片和基础软件领域) 重大科技专项, 旨在集中优势资源掌握一批核心技术, 拥有一批自主知识产权, 造就一批具有国际竞争力的企业, 并在若干行业建立了一批自主可控产品的应用示范工程。 但目前这些示范工程还不属于行业的核心应用, 示范带动效应并不显著。 而要想得到好的示范推广效果, 还是需要在立法、政策引导方面加大对自主可控产品的支持力度。 尤其在政府行业可先行示范, 根据当前系统应用对社会的影响程度对政务信息系统逐步替换为自主可控的软硬件设备。同时软件开发与系统集成服务也必须选择国内企业, 通过政府带头, 充分发扬社会主义集中力量干大事的优越性, 带动“自主可控”的真正落地。
二是制定标准, 积极捕捉、引领 IT 产业的发展趋势, 鼓励企业自主创新, 激发企业活力, 培育扶持一批在信息化某一领域具有领先技术、独到能力的专业公司, 最终能够形成合力, 提升我国整体的信息产业水平和竞争力。
由于我国信息化起步较晚, 目前许多业内相关标准都是参照外国的标准制定的, 导致我们的信息化工作只能是亦步亦趋的跟随在先进国家后面, 处处受制于人。因此建议国家对信息技术相关标准和知识产权政策要实施统一的设计, 开辟突破国外标准制定、知识产权垄断的路径, 选择部分核心技术, 找准几个关键点进行攻关, 如云计算、物联网、信息安全、移动互联网、IT 公共服务等方面的技术和标准。 逐步地由点到面, 发展一大批能够在各领域掌握核心技术的国产 IT 企业。 同时支持国内有实力的企业掌握核心专利, 从专利优势、标准优势真正转化为市场竞争优势。
另外, 随着移动互联网、物联网、下一代移动通信、大数据等新技术的发展应用, 社会信息、个人信息面临着极大的安全风险, 必须未雨绸缪, 制定新技术的安全标准, 推广应用自主可控产品, 以确保信息安全。 在某些案例中, 黑客通过窃取的手机号、联系人等用户隐私内容, 就可以进而深入分析用户身份和社交圈, 以便定向投放精准广告, 如短信、电话营销、手机通知栏广告等;或直接出售给广告商和游戏、 应用程序和网站的开发商, 用户的隐私与信息就成为他们的产品内容。 国外的安全机构则通过获取个人隐私信息构建相互参考的数据链。 更进一步, 随着窃听技术的扩散, 这些新技术反过来有可能强化少数不怀好意的人对多数人从精神到行为控制的可能, 从而造成社会动荡, 影响到国家安全。 对此类问题必须加大管控力度。
三是支持若干国内 领 先 的 IT 服 务 提 供 商 做 大 做强, 使之成为牵引我国整体信息化自主可控能力建设的核心力量。
在国家层面, 国务院曾在 2011 年的 18 号文件指出, 将助推软件和集成行业未来几年快速发展, 进一步鼓励软件产业的发展, 促进中国的软件产业迅速发展。2013 年工信部又启动开展了信息系统集成特一级企业资质认定工作, 企业能力评定指标将分为安全可靠系统建设能力、承担重大项目能力、信誉和荣誉等三个方面, 并公布了第一批 4 家获得认定的企业 (太极、 中软、东软、浪潮) 。 这些企业应当努力成为带动我国信息化自主可控能力建设的中坚力量。
中国工程院院士倪光南先生表示, 进口产品安全不可控, 存在潜在安全威胁, 国内用户应该尽可能选择自主可控的国产安全产品, 特别是政府的信息系统应该采用自主可控的国产软件产品。 经过近几年国家“核高基”专项的推动, 部分国产软硬件已经具有了与国际同类产品竞争的实力, 甚至有些国产产品在很多方面都超过了国际同类产品。 但目前这些产品都是单兵作战, 在许多重要的大型的信息化系统中处于一个细枝末节的地位, 无法形成合力, 因此信息安全形势仍然面临很大的风险。 究其原因, 就是没有一家类似 IBM、埃森哲、源讯这类的综合信息技术服务商, 能够整合各家国内厂商的优势产品, 形成一个整体的解决方案进行推广。 面对国内信息化的巨大市场, 面对当前严峻的信息安全形势, 作为国内的“特一级”系统集成商应该主动对接国内厂商, 熟悉各家产品的性能、应用场景, 根据各行业的不同应用需求, 推出一些全自主产品的综合解决方案。 同时国家也应出台一些优惠政策, 鼓励大型的系统集成商推广自主可控产品和解决方案, 逐步使这些系统集成商做大做强, 成为我国信息化建设的主力军, 并且能够在国际竞争中与国外的先进厂商抗衡。
在这三点思考中, 国家的顶层设计是基础, 制定行业标准及加强自主创新是推动自主可控的前提, 支持国内大型的综合系统集成商做大做强是推广自主可控的必由之路。
3 行业示范情况
2012 年我们承担了国家 “核高基 ”2012 年 课题 1-6“基于国产 CPU/OS 的数字档案信息系统应用研究及示范工程” (地方分课题) 的应用研究和示范工程的工作。 本项目所有的软硬件设备均为国产自主可控设备, 具体配置是浪潮服务器 (飞腾 CPU) 、中标麒麟操作系统、达梦数据库、东方通中间件;浪潮 PC 终端 (龙芯 CPU) 、中科方德桌面操作系统、永中 Office。 同时, 基于上述纯国产化软硬件设备, 开发了长春市数字档案远程利用系统, 系统目前已正式投入使用。 该系统的总体构架如图 1 所示。
该系统在遵循国家各项安全法规的基础上对系统涉及安全管控的标准进行了重点扩充和完善, 建立的部分标准:1) 信息格式及存储标准规范;2) 档案基础数据元和代码集标准规范;3) 数据传输标准规范;4) 云平台数据接口标准规范;5) 云平台数据交换格式标准规范;6) 云平台开发技术标准规范 ;7) 云计算安全技术标准规范;8) 中央云中心运行管理标准条例;9) 云计算安全管理标准规范。
该示范工程的在安全管控的技术方案实施中综合体现了上面的分析结果。 如利用长春市电子政务内网资源, 服务器集中部署在长春市档案馆机房, 长春市及10 个县市区档案 馆档案利用接待处部署国产 PC 终 端 , 上传 127 万档案目录数据和 100 余万页 (国产 OFD 格式) 开放的历史档案全文, 公民到辖区内任何一个档案馆国产终端上都可以在线查阅共享的档案信息资源 , 达到了不仅远程可用, 又同时对安全有效管控的预期目标。
通过该示范工程证明了完全国产化的设备可以胜任部分政府行业信息化的需要, 并且具有很好的推广价值, 可带动一批国内厂商、系统集成商的发展, 形成良性循环, 逐步推动我国的整体信息安全水平。
4 结束语
在国内外信息安全形势越来越严峻的今天, 我们必须大力发展具有自主知识产权的各类信息技术和产品, 依靠自主创新, 努力做到自主可控, 实现我国重要信息安全系统技术和装备的国产化。 同时, 要大力支持自主可控信息技术和产品的推广和使用, 不仅在事关国家信息安全的要害部门推广, 还更应促进在百姓的日常生活中的应用。尽可能使这些技术和产品取代进口。 在政府、军工等重要领域甚至应采取强制性措施, 以确保关键信息不落入敌对势力之手。 通过政府、企业、行业用户、人民群众等社会各方的努力, 真正增强我国信息安全的自主控制权, 确保我国的信息化能够长治久安。
参考文献
[1]倪光南.信息安全“本质”是自主可控[J].中国经济和信息化, 2013年05期.
可控是什么意思？ 第11篇
3个月的时间里，非洲主要疫区埃博拉病毒的扩散没能得到有效的控制，死亡人数仍在增加，感染的范围也在扩大，这与当地医疗条件、经济条件和民间风俗有很大关系。3个月时间，病毒通过跨洲飞行的旅客，从非洲到达北美和欧洲，但目前这两个地区的死亡和感染人数都极少，还不足以引发大规模的传染。埃博拉也给亚洲带来威胁，中国近些年与非洲大陆之间贸易和人员往来频繁，疫情进入中国的风险一直存在。
但到目前为止，埃博拉疫情在全球范围内还没有“失控”的迹象。中国抗击非典的经验可以说明，如果政府能够足够重视，如果防控的措施能够得到有力的执行，传染病的控制是可以实现的。“可控”所指的并不是在短时间内不出现病人或者不发生死亡，而是说，把感染者人数和死亡人数控制到最低程度，然后等待病毒失去宿主后的自动撤离。
埃博拉的威胁必定还要持续一段时间，准备好适应越来越严格的防控措施吧。
美国唯一死亡病人邓肯
出现症状后，他曾前往居住地得克萨斯州当地的医院就医，尽管已主动提到自己来自埃博拉重灾区利比里亚，但医生仍只是开了点抗生素就打发他回家了。邓肯两天后再次就诊时才被隔离，10月8日死亡。
美国加强边境检查，重疫区旅客从指定机场入境
从10月22日开始，凡是从西非三个重疫区国家到美国的旅客，只能从5个已加强检疫的国际机场入境，分别是纽约、新泽西、亚特兰大、华盛顿及芝加哥。
从10月27日开始，来自上述3个国家的旅客在入境时将必须每天向卫生官员报告体温，连续21天。埃博拉病毒的潜伏期是21天。
美疾控中心还表示，这些旅客必须提供这21天中的电子邮件信箱、电话和地址，这些信息将与地方卫生单位共享。
实际死亡人数可能达1.5万人
截至10月19日，已有至少4877人因感染埃博拉病毒死亡，至少9936个病例记录在案，但实际死亡病例或许要多达3倍。死亡病例总数可能将近15000人。
纽约出现新病人
纽约市10月23日出现首例埃博拉感染者，系33岁的医生克雷格·斯宾塞。斯宾塞目前在纽约市的贝尔维尤医疗中心接受隔离治疗。另外，至少3名近日接触过斯宾塞的潜在患者也被隔离。
日本记者被排除感染埃博拉
日本厚生劳动省10月28日称，从埃博拉疫区回日后发热的加拿大籍男记者的血液中未检测出埃博拉病毒，结果为阴性。该男子现年45岁，职业为记者，是加拿大籍日本人。自8月起在埃博拉流行的利比里亚进行了约2个月的采访活动，之后途经比利时等国进入日本。抵达时的体温为37.8摄氏度。
中国已排除埃博拉出血热留观对象43例粤检验检疫启用专用通道
自8月23日至10月21日，从疫区到广州入境的人员共8672人，其中5437人已解除健康监护。广东省目前已排除埃博拉出血热留观对象43例，经检测全部为阴性。
上海加强重点疫情防控
上海检验检疫局加强节假日口岸重点疫情防控，截至10月7日，上海口岸共完成来自埃博拉疫情发生国家人员入境检疫2346人次，其中发现有症状人员12例，转院留观病例2例，均排除埃博拉出血热，其中一例病例被确诊为恶性疟疾。
宁波外籍男子发烧被排除
浙江省宁波市卫生局20日上午称，16日因发烧在宁波一家医院留观的尼日利亚籍男子，已于20日当天解除留观。
世卫组织宣布埃博拉疫苗有望明年1月面世
世界卫生组织助理总干事基亚尼称，目前有两种埃博拉疫苗正在进行临床试验，预计年底会有初步结果，如果确定人体使用安全，最快可在明年1月份提供西非疫区使用。
美国首位感染埃博拉亚裔女护士康复出院
26岁的范妮娜是越南裔美国人，与美国本土首例埃博拉病患邓肯有过接触而被传染。
13日，范妮娜得到埃博拉康复者布兰特利（Kent Brantly）医生捐献的血清。
第二名感染埃博拉的达拉斯女护士文森（Amber Joy Vinson）15日被转移到设有生物防护控制的亚特兰大艾默里大学医院，目前状况良好。
西班牙 治愈欧洲首例本土感染埃博拉病例
西班牙马德里卡洛斯三世医院21日宣布，他们收治的欧洲首例本土感染埃博拉病例、西班牙女护士特雷莎·罗梅罗已痊愈。
现年44岁的罗梅罗在医院护理一名从塞拉利昂转运来的埃博拉病毒感染者时意外染病。本月6日，她被确认感染埃博拉病毒，入院后病情一度恶化。
西班牙
安全可控 第12篇
目前国内大学校园网建设发展很快,大多数学校已完成教学、科研、图书馆、学生宿舍的网络建设。但作为校园网重要组成部分的学生宿舍网络与校园网其他部分相比,具有一些不同的要求,也是校园网建设中比较难的部分。一所综合性大学的学生公寓宿舍要容纳七八千甚至更多学生,学生公寓宿舍网络建设中需对上万个节点进行管理,这其中存在的监控、认证、计费、安全等各种问题十分复杂,解决起来难度相当大。就实现认证计费的技术实现手段看,802.1x技术是一个不错的选择,它可以很好的阻止非认证用户进入网络。本文即是对802.1x在校园宿舍网中的应用进行探讨。
2 IEEE802.lx协议概述
IEEE802.lx协议是标准化的符合IEEE802协议集的局域网接入控制协议,其全称为基于端口的访问控制协议(Port Bass Network Access Control Protocol),能够在利用IEEE802局域网优势的基础上提供一种对联接到局域网用户的认证和授权手段,达到接受合法用户接入,保护网络安全的目的。在802.lx协议中,必备的三个元素是Supplicant(客户端)、Authenticator(认证系统)、Authentication Server(认证服务器)。IEEE802.lx协议是非常可靠的:1)在客户端与认证服务器交换口令信息的时候,没有将口令明文直接送到网络上进行传输,使在网络上传输的敏感信息有了更高的安全保障;2)802.lx协议中,规定了对于已经通过认证进入网络系统的用户进行重新认证的一个机制,从策略上进一步保证了接入用户的合法性,也避免了由于用户的终端设备死机,长期占用一个开放的端口而导致的一些安全上的漏洞;3)对于可能发生的其它一些异常情况,802.lx协议也进行了相应的定义。如与端口相对应的MAC地址出现故障,用户终端设备故障而未响应交换机发出的重认证信息,用户终端设备与交换机之间的物理联接断开等等,都将导致用户在此后对网络资源进行访问时需要用户自己发起重新进行认证、授权操作。从而保证网络系统的安全、可靠。
与PPPOE和web/Portal认证相比,IEEE802.lx是适合学生宿舍网络使用的认证方式。
3 802.1x在宿舍网的应用
3.1 宿舍网的应用特点及问题
学生是校园网络的主体,网络已成为学生学习、日常生活的一部分,宿舍区成为校园网的重要组成部分。与校园网的其他部分相比,宿舍网的主要特点[1]有:
1)信息点多,网络规模大。一所综合性高校的学生宿舍往往要容纳七八千甚至数万学生,学生宿舍网络建设中需对上万个节点进行管理,这是园区网内部其他部分不会出现的。
2)网络流量峰值流量非常明显,应用丰富,网络负载重,容易造成网络阻塞。
3)网络安全问题非常突出。病毒比较猖獗,对于校园网的重要网段和校园网以外的网络的攻击屡见不鲜。
4)可网管性要求较高。为了给学生提供高质量的网络服务,满足广大学生学习和生活的需要,同时避免滥用网络带来的危害,网络管理的功能要求非常突出。
5)网络交换设备运行环境差,接入设备端口密度高,用户设备质量良莠不齐。
6)由于传统的以太网没有提供相应的安全防范机制,任何用户都能够不受控制地进入网络,访问网络资源,使得学生公寓网的管理难度非常大[2]。对于网络管理者来说,校园网内部学生公寓网是最难管理的,也是管理成本最高的。如果把学生公寓网直接转给一些社会ISP经营,学生宿舍网就完全不在学校的控制掌握之中了,对于学生面对信息化大潮正确使用网络,消除网络的负面影响是有百害而无一利的。在学生公寓区建设计算机网络的目的就是让基于校园网的数字化校园延伸到学生宿舍,如果学生宿舍网外包经营,那么就不能够建设真正的数字化校园,就很难做到基于城域网或者中国教育科研网的资源共享。因此,学生公寓网的建设和管理,必须在校园网的统筹之下进行,必须作为校园网的一部分来建设,必须保证学生宿舍网可以成为数字化校园的基础网络设施平台的一部分。
3.2 利用802.1x技术组建宿舍网
根据校园网和802.1X技术特点,我们采用以下的组网方式,如图2。
该文以H3C公司的E126A交换机为例,说明802.1x认证的相关设置。
1)配置Radius认证策略和域
radius scheme sushe配置Radius域为1
primary authentication 211.83.192.30 1812 Radius认证服务器IP地址及端口
accounting optional Radius计费服务器可选
key authentication xxxxxx认证密钥
user-name-format without-domain用户名格式(无域名)
radius-scheme sushe应用上面配置的Radius认证策略
domain default enable sushe配置sushe域为缺省认证域802.1x
2)配置802.1x认证
dot1x全局启动802.1x认证
dot1x authentication-method eap配置EAP透传模式的认证方式
dot1x interface Ethernet 0/2 to Ethernet 0/24在端口0/2~0/24启动802.1x认证
注:级联端口不用启动802.1x认证
3)Radius服务器配置
接入服务器地址:E126A交换机的IP地址
密码:xxxxxx
4 802.1x应用效果
1)局域网中不少网络威胁来自内部,内部安全防护非常重要,通过802.1X可以做到真正的授权访问。
2)私设DHCP服务器会影响到其所在的二层网络里面的计算机获取正确的IP地址,造成用户无法上网。启用802.1x功能以后,802.1X认证客户端如果发现不是从合法的DHCP服务器处获取的IP地址,就会断开连接并且重新认证,直至从合法的DHCP服务器获取IP地址。同时,802.1X客户端会向认证服务器发出警告信息、私设DHCP SERVER信息,包括IP地址和MAC地址报告给系统管理员。
3)通过802.1X认证,安全有效的验证身份。用户通过用户名、密码验证,才把相应交换机端口打开,并且分配IP地址生效,非法用户则无法登陆校园网络。同时将多次恶意尝试登陆的用户加入到黑名单内。并且记录IP地址及上网记录,可以方便查找用户上网明细行为,对非法用户可以准确定位和进一步的处理。同时限制用户的访问权限,避免学生受不法网站的侵害,防止学生由于好奇或无意中对校内重要服务器资源的破坏,保障正常的教学和科研及办公。
4)同时为提供网络性能和管理的方便,我们利用802.1x结合VLAN技术,把整个认证网络分成多个vlan:(1)用户子网,用于用户上网;(2)管理子网,用于管理设备;(3)互联子网,用于核心层和汇聚层之间设备互联。实现了多种方式的用户接入控制,确保用户安全、合法的接入网络。
5 结束语
IEEE 802.lx这项新标准定义了为LAN实施访问控制的机制,允许授权用户进来,而把非授权用户拒之门外。因此,有了802lx,校园网便不再是一道敞开的门,解决了现阶段所面临的用户身份认证和应用终端的安全性问题,增强了网络安全性。802.lx本身也成为安全架构的一个重要部分,有助于消除来自校园网内部的安全威胁。
参考文献
[1]彭伟.使用802.lx实现校园网认证[J].计算机应用,2003(2):21-23.
[2]蒋海锋,苗放.802.lx标准和Radius协议的扩展应用研究[J].计算机应用,2003(6):41-42.
