JAVA网络安全的管理信息系统.docx

1、JAVA网络安全的管理信息系统本论文所介绍的信息安全管理系统是一个有关网络安全的管理信息系统。该系统面向公司的信息安全管理人员，使得他们可以从繁重而分散的操作中解脱出来，减轻劳动强度，从而有足够的时间和精力和充分的数据对业务系统和资产中的漏洞、威胁、病毒、安全事件等信息进行收集、整理、分析、处理、保存、传输和发布，使得信息安全管理人员能有条不紊的开展信息安全管理工作。该系统的开发采用了软件工程的理论，合理地安排人员和时间对系统进行分析、设计、编码、测试和维护，项目小组在预定的时间内准确而高效的完成了该项目的开发。系统采用面向对象的软件设计方法，模块间松耦合而模块内部又保持高度一致，系统的可重用

2、性和可维护性水平较高，从而提高了软件设计的质量。采用面向对象的JAVA作为后台编程语言使得系统的代码维护相当方便、可扩展性好、并支持代码重用，在一定程度上减轻了软件开发人员的工作强度。本论文在系统实现之后经仔细斟酌而成。论文的第一部分是引言。第二部分阐述系统需求分析，对现行的系统进行描述，对其中存在的问题进行了分析，提出了解决方案，进行了系统开发的可行性分析与决策。第三部分对系统的逻辑方案，数据流图，数据字典进行了描述，编写了系统说明书，第四部分是系统总体结构设计，包括软件模块结构设计，如模块结构图，IPO图，数据库设计。第五部分是系统实现，包括：代码设计，主要模块设计。最后部分是实施概况，实

3、施环境与工具的选择，系统测试，运行与维护概况。关键词: 信息安全、管理信息系统、面向对象、JDBC、B/SAbstractThis paper introduces an information security management system that is about network security. The system faces to the people who manage the information security in the company, so as to help them escape from the hard and busy work, reduc

4、e their laboring intensity. Consequently they will have enough time and energy, and can get abundant data to collect, coordinate, analyze, dispose, save, transport and distribute the hole, threaten, virus, security and so on in the operation system and asset, thereby the information security manager

5、 can develop the information security management task in an orderly way.The exploitation of the system was adopted the theory of the software engineering, arranged the people and time to analyze, design, code, test and maintenance the system in reason. Project group achieve the development of the pr

6、oject in schedule well and truly.The design method of the system was adopted the way of object oriented. The coupling in the module is close and it was kept consistent within the module. The system can be used repeatedly and the maintainability of the system is very strong, so the quality of the sof

7、tware design was enhanced. It is convenient、expansible and sustain the use repeated of the code to use JAVA as the language of the background, in a certain extent reduced the laboring intensity of the software development people.This paper was accomplished by being thought over after the system had

8、been done.The first part of the paper is the foreword. The second part is the expatiation about the systems requirement analyse, the description of the system, the problem in existence, and provide the solution, the feasibility and decision-making of the system development. The third part is the des

9、cription of the logic scheme, the data stream map and the data dictionary about the system and the system explanation. The fourth part is the collectivity framework design about the system, including the software module framework design, for example, the module fabric map, the IPO map and the databa

10、se design. The fifth part is the implement of the system, such as the code design, the main module design. The final part is the implement circumstances, the implement environment and the choice of the tool, the system test, the survey about the running and maintenance of the system. Keyword: inform

11、ation security, management information system, object oriented, JDBC, B/S第1章前 言1.1背景分析上海宝信软件股份有限公司是上海宝钢股份有限公司控股注资2.6亿的全资子公司,在全国范围内都有分公司,主营业务是工程项目的软件开发和系统集成,公司拥有千人以上的开发队伍,其内部网络非常的复杂,网络上的计算机也是非常的多,公司的各项工作对计算机和网络的依赖程度很强，比如：公司拥有自己的ERP系统，OA系统，公司网站，技术支持网站等，公司的财务管理，人事管理，工资管理，图书管理都离不开计算机和网络，公司的内部网络同时又连通因特网来

12、与外部进行信息交互。如今的计算机系统中存在着众多的漏洞，有已经发现的，有还未发现的，互连网上也经常有不法分子散播病毒、木马等有害程序，从而对计算机系统造成危害，企业面临着各种各样的信息安全的风险，计算机系统一旦遭受侵袭，企业将会受到无法估计的损失。很多惨痛的事实早已证明了这点。因此，对企业信息安全的管理就显得十分必要，没有管理或者管理不善将会使企业的信息系统置于危险的境地，而有效的管理将使企业所面临的风险大大降低，避免损失等同于为企业带来效益。1.2国内外现状根据调研，我们发现国内外的很多企业对于其信息的安全十分重视，在管理上也可谓想尽了办法，事实上，也就是研究如何采取有效的管理手段，使得企业

13、内部的计算机系统免受攻击或侵袭。他们所采取的方法大同小异，比如安装防火墙来抵御黑客攻击，安装杀毒软件来抵抗病毒的侵袭，定期地更新其升级包，定期地查阅、下载最新的漏洞、病毒信息，为计算机软件系统下载并安装相应的补丁，防止计算机系统受到攻击。他们也制定了标准化作业流程，由专人负责管理。对于信息安全的管理，国内外绝大部分的企业只是停留在人工管理的层次上，即人工查阅，下载，更新，而且是定期的，这样，企业越大，网络越复杂，计算机数量越多，其管理就越复杂，过程就越乱，效果就越差。当然现在也有部分企业采取了计算机管理，但他们所开发的软件具有很大的局限性，有的只适合特定的企业使用，有的只能在小型企业的局域网中

14、使用；而有的即使在设计和实现时考虑到软件的通用性，其功能也有着较大的局限，随着时代的发展，其功能已不能满足现代企业的需要。实践证明，信息安全的管理是一项十分繁琐的工作，举一个简单的例子，当公司的信息安全管理人员得知系统中的漏洞后，要通知企业中各部门，各子公司的安全管理人员进行补丁的下载，给企业中使用该系统存在该漏洞的所有计算机系统打上补丁程序。在大企业中，诸如此类的操作，使用电话或书信几乎是不可能的。采用计算机管理是人们首先想到的方法。1.3 本系统研究(设计)内容设计一个信息安全管理系统，将安全管理的各种信息保存到服务器的数据库中，各子公司，部门的安全管理人员可以通过网络去浏览和操作这些信息

15、，并能自动发送电子邮件进行灵活简捷的管理。这样大大减轻了各子公司、部门的安全管理人员的工作负荷。本信息安全管理系统适用于大型企业，尤其是在全国各地均有其分公司的大型企业。根据业务范围和应用对象的不同，系统划分成八大功能模块：资产管理、漏洞库、风险管理、安全事件、安全专栏、病毒管理、统计分析、系统管理。系统各功能模块结构如图1.1：图1.1 各功能模块结构图Fig.1.1 Apiece function module fabric map本信息系统的功能可分八个模块：资产管理：对资产进行新增、删除、修改、查询、访问权限的设置等。漏洞库管理：对漏洞库进行更新、查询、审核等操作，对补丁信息进行更新、

16、审核、查询的操作。风险管理：对扫描作业和扫描结果的导入，从中抽取威胁信息进行管理。安全事件：进行工单管理、关键字管理和事件管理。安全专栏：安全信息的发布，浏览，审核操作。病毒管理：对病毒信息进行搜索，下载，审核等操作。统计分析：各种数据的统计，报表的打印。系统管理：用户管理、角色管理、日志管理、参数管理、专栏管理、禁忌词管理等。下图是涉及本系统的组织结构图：图1.2 组织结构图Fig.1.2 Organize fabric map第2章 系统需求分析2.1现行业务系统描述现行的信息安全管理业务主要以电子邮件和电子公告栏BBS的形式来进行管理的，管理的过程和结果以文档的形式保存，业务和人员的管理

17、比较松散，管理上的漏洞比较多，工作繁重，信息安全很难保证。1、信息安全管理人员使用Internet scanner、Database scanner、System scanner等扫描工具来扫描业务系统中的主机、网络设备和数据库，并以一定的形式（如数据库表的形式）在计算机中将扫描结果保存下来；从互连网上指定的URL下载最新发生的病毒信息。2、逐一查看数据库表中的内容，对每一个扫描作业中的漏洞和补丁的信息进行审核，将必要的信息以电子公告栏告知或电子邮件的形式发送给每一个资产管理员。3、审核每一个病毒的信息，将必要的信息以电子公告栏告知或电子邮件的形式发送给每一个资产管理员。4、每一个资产管理员及

18、时地查看电子公告栏并接收电子邮件，按照电子公告栏和电子邮件中的指示给计算机以适当的处理，以消除信息安全隐患。2.2业务流程图信息安全管理系统业务流程图的符号说明如下：图2.1 业务流程图的符号说明Fig.2.1 The explain for the symbol of the operation flow chart信息安全管理系统业务流程图如图2.2：图2.2 业务流程图Fig.2.2 Operation flow chart2.3现行系统存在的主要问题分析目前信息安全的管理主要依靠电子公告栏和电子邮件，其内容均需要管理人员录入，由于信息量大，并且有大量的重复信息，录入的工作量也就可想而知

19、，另外，工单须选择适当的人选来处理，因资产众多，某资产的维护人员需查清单才可知道，操作比较复杂。这样造成了工作量大却信息提供不及时，准确性差，由于现行的管理方式的种种不便和局限，考虑开发一个信息安全管理系统将整个业务流程管理起来，使得管理信息准确及时，杜绝因信息管理不善的原因而造成不必要的损失。2.4 关键技术及难点鉴于目前的企业对信息安全管理系统的需求与实际情况，本系统方案的重点放在系统的设计上，本信息安全管理系统实现以下几项功能：系统登录后，用户、角色、业务系统、资产等情况的输入、修改和查询；漏洞、补丁和病毒信息的导入、审核；专栏的创建，文章的输入；工单的创建，查看，接受，处理；各类数据的

20、统计以及报表的打印，等等。同时系统还要具备以下几方面的要求：（1）对每个用户的权限进行有效的管理，不同角色的用户具有不同的操作权限，可以进行何种操作，不可以进行何种操作都有明确的规定。（2）考虑大型企业的需求，企业在全国各地都有其分公司或办公场所，每个分公司都有其管理员进行信息安全的管理，他受总公司管理员的管理，系统支持在广域范围的网络上进行管理。（3）考虑系统的跨平台性，对各种数据库的支持。2.5 解决方案（1）开发权限管理模块，考虑到各公司的组织机构的不同，系统对用户、角色、及对任一资源的访问权限均可定制，从而实现不同用户具有指定的权限。（2）本系统采用B/S的架构，在服务器端使用JAVA

21、语言编制功能模块，实现访问数据库以及与前台的JSP+STRUTS进行交互；在客户端只需要网络浏览器即可实现管理的操作。这样只要有网络连通的条件，在广域范围内均可实现信息安全管理。（3）本系统使用JAVA语言作为开发工具，实现其跨平台性，系统可以方便地从WINDOWS操作系统移植到UNIX/LINUX操作系统；采用JDBC（Java DataBase Connectivity）数据库连接的方法，支持JDBC的数据库管理系统都可以作为其后台数据库，由于JDBC的数据库连接技术屏蔽掉了后台数据库的差异，当数据处理要求提高时，我们可以相对容易地将数据库升级为处理能力更强的数据库管理系统，如oracle

22、数据库等。程序中使用SQL语言，用来执行各种操作，语句数目比较少，由系统来进行查询优化，效率相对较高，而且不易出错。2.6可行性分析和决策（1）技术可行性公司在全国范围内已具备办公大楼，有良好的网络布线系统以及专线接入互连网的优越条件，各分公司办公大楼的内部局域网也已比较完善；本信息管理系统选用MS-SQLServer2000作为后台数据库存放数据，位于后台的JAVA程序使用JDBC数据库连接技术来访问数据库，前台的JSP配合STRUTS TAG可以方便地与后台的JAVA程序进行数据的交互，且使得用户可以在页面上浏览和操作。（2）经济可行性开办费用：项目咨询费用、设备费用、安装费用、操作系统软

23、件费用、开办人员费用，管理费用。项目费用：软件购置费用，准备文档费用，开发管理费用，开发人员工资费用，用户培训费用。运行费用：系统维护费用，硬件折旧费用，信息系统管理费用，操作及管理人员费用，电费，软盘及打印纸等费用。系统产生效益：信息安全管理工作变得简单而灵活而获得的管理上的效益。信息安全风险所带来的危害减少所获得的效益。工作量减轻，节省人力资源所带来的效益。数据保存改善所带来的效益。避免了群发电子邮件而造成网络堵塞所带来的效益。（3）操作可行性该系统为B/S结构，操作在浏览器中进行，用户界面友好，只要具备基本的计算机知识的人，略加培训即可熟练使用。公司的工作人员熟悉windows操作系统，

24、尤其是对IE浏览器的操作更是熟练有加。这样使得基于B/S的本系统的营运成为可能。（4）社会可行性该系统为自主开发，不盗用任何已有的系统，无侵权现象。综上所述，本系统的开发是可行的。第3章 系统逻辑方案3.1数据流图描述3.1.1信息安全管理系统数据流图的符号说明图3.1 数据流图的符号说明Fig.3.1 The explain for the symbol of the operation flow chart3.1.2信息安全管理系统关联图图3.2是信息安全管理系统的系统关联图，描述了系统与资产维护部门、信息安全管理部门、业务管理部门之间的关系。图3.2 信息安全管理系统关联图Fig.3.2

25、 Information security management system associate map3.1.3信息安全管理系统DFD总体图图3.3 信息安全管理系统DFD总体图Fig.3.3 Information security management system DFD collectivity map3.1.4信息安全管理系统DFD零级图图3.4 信息安全管理系统DFD零级图Fig.3.4 Information security management system DFD zero level map3.1.5信息安全管理系统DFD细节图图3.5 信息安全管理系统DFD细节图(

26、A)Fig.3.5 Information security management system DFD detail map(A)图3.6 信息安全管理系统DFD细节图(B)Fig.3.6 Information security management system DFD detail map(B)图3.7 信息安全管理系统DFD细节图（C）Fig.3.7 Information security management system DFD detail map(C)图3.8 信息安全管理系统DFD细节图（D）Fig.3.8 Information security management

27、system DFD detail map(D)图3.9 信息安全管理系统DFD细节图（E）Fig.3.9 Information security management system DFD detail map(E)3.2数据字典描述本系统数据流图中，数据项“资产代码”的数据元素如表3.1：3.1 数据项 “资产代码”数据元素Tab.3.1 The table for data itemasset codedata element数据元素系统名：信息安全管理系统编号：条目名：资产代码别名：资产编码属于数据流：F12存储处：资产表数据元素值：代码类型：字符型取值范围：字母、数字、下划线长度：

28、4意义：简要说明：每个资产都有一个唯一的资产代码。修改记录：编写：叶花日期：2004/11/01审核：叶花日期 ：2004/11/01本系统数据流图中，数据项“资产信息”的数据流卡片如表3.2：表3.2 数据项 “资产信息”数据流Tab.3.2 The table for data itemasset informationdata stream数据流系统名：信息安全管理系统编号：F12条目名：资产信息别名：资产来源：业务管理部门去向：原始数据管理数据流结构：资产代码+资产名称+资产描述+完整性赋值+可用性赋值+机密性赋值+资产价值流量：20/天。简要说明：一个资产条目。修改记录：编写：叶花日

29、期：2004/11/01审核：叶花日期 ：2004/11/01本系统数据流图中，“资产”的数据存储卡如表3.3：表3.3 数据项 “资产”数据存储Tab.3.3 The table for data itemasset data storage数据存储系统名：信息安全管理系统编号：D1条目名：资产别名：存储组织：记录数：约8200主关键字：资产代码二维表数据量：约900KB辅关键字：记录组成：资产代码+资产名称+资产描述+完整性赋值+可用性赋值+机密性赋值+资产价值简要说明：存放一个资产信息。修改记录：编写：叶花日期：2004/11/01审核：叶花日期 ：2004/11/01本系统数据流图中，

30、“漏洞导入处理”的数据流数据加工处理卡片如表3.4：表3.4 数据项 “漏洞导入处理”数据加工Tab.3.4 The table for data itemhole lead in manage data process数据加工系统名：信息安全管理系统编号：条目名：漏洞导入处理别名： 输入：漏洞信息输出：漏洞简要说明：将漏洞信息从已经生成的XML文件中导入数据库中。修改记录：编写：叶花日期：2004/11/01审核：叶花日期 ：2004/11/01本系统数据流图中， “业务管理部门”的外部项存储卡如表3.5：表3.5 数据项 “业务管理部门”外部项存储卡Tab.3.5 The table fo

31、r data itemoperation manage department exterior item storage card外部项系统名：信息安全管理系统编号：D1条目名：业务管理部门别名：输入数据流：输出数据流：查询结果资产信息、查询信息主要特征：用户的号、标识、真实姓名等。简要说明：该部门的用户负责资产的录入、工单的创建等。修改记录：编写：叶花日期：2004/11/01审核：叶花日期： 2004/11/013.3基本加工小说明书对于数据流图中的基本加工模块，在此作简要说明。1、漏洞的导入获取漏洞代码；获取漏洞名称；获取漏洞严重性；获取影响平台；获取简要描述；获取详细描述；获取是否审核；获取审核日期；将漏洞信息存入数据库。2、漏洞的查询获取查询条件：在页面上选择根据漏洞编号或漏洞名称来查询，在页面上输入匹配字符串；将查询结果显示在页面上。第4章 系统总体结构设计4.1软件模块结构设计4.1.1 模块结构图根据系统分析的结果，按照结构化的系统设计方法，信息安全管理系统从功能