JAVA网络安全的管理信息系统.docx

JAVA网络安全的管理信息系统.docx

《JAVA网络安全的管理信息系统.docx》由会员分享，可在线阅读，更多相关《JAVA网络安全的管理信息系统.docx（65页珍藏版）》请在冰点文库上搜索。

JAVA网络安全的管理信息系统

本论文所介绍的信息安全管理系统是一个有关网络安全的管理信息系统。

该系统面向公司的信息安全管理人员，使得他们可以从繁重而分散的操作中解脱出来，减轻劳动强度，从而有足够的时间和精力和充分的数据对业务系统和资产中的漏洞、威胁、病毒、安全事件等信息进行收集、整理、分析、处理、保存、传输和发布，使得信息安全管理人员能有条不紊的开展信息安全管理工作。

该系统的开发采用了软件工程的理论，合理地安排人员和时间对系统进行分析、设计、编码、测试和维护，项目小组在预定的时间内准确而高效的完成了该项目的开发。

系统采用面向对象的软件设计方法，模块间松耦合而模块内部又保持高度一致，系统的可重用性和可维护性水平较高，从而提高了软件设计的质量。

采用面向对象的JAVA作为后台编程语言使得系统的代码维护相当方便、可扩展性好、并支持代码重用，在一定程度上减轻了软件开发人员的工作强度。

本论文在系统实现之后经仔细斟酌而成。

论文的第一部分是引言。

第二部分阐述系统需求分析，对现行的系统进行描述，对其中存在的问题进行了分析，提出了解决方案，进行了系统开发的可行性分析与决策。

第三部分对系统的逻辑方案，数据流图，数据字典进行了描述，编写了系统说明书，第四部分是系统总体结构设计，包括软件模块结构设计，如模块结构图，IPO图，数据库设计。

第五部分是系统实现，包括：

代码设计，主要模块设计。

最后部分是实施概况，实施环境与工具的选择，系统测试，运行与维护概况。

关键词:

信息安全、管理信息系统、面向对象、JDBC、B/S

Abstract

Thispaperintroducesaninformationsecuritymanagementsystemthatisaboutnetworksecurity.Thesystemfacestothepeoplewhomanagetheinformationsecurityinthecompany,soastohelpthemescapefromthehardandbusywork,reducetheirlaboringintensity.Consequentlytheywillhaveenoughtimeandenergy,andcangetabundantdatatocollect,coordinate,analyze,dispose,save,transportanddistributethehole,threaten,virus,securityandsoonintheoperationsystemandasset,therebytheinformationsecuritymanagercandeveloptheinformationsecuritymanagementtaskinanorderlyway.

Theexploitationofthesystemwasadoptedthetheoryofthesoftwareengineering,arrangedthepeopleandtimetoanalyze,design,code,testandmaintenancethesysteminreason.Projectgroupachievethedevelopmentoftheprojectinschedulewellandtruly.

Thedesignmethodofthesystemwasadoptedthewayofobjectoriented.Thecouplinginthemoduleiscloseanditwaskeptconsistentwithinthemodule.Thesystemcanbeusedrepeatedlyandthemaintainabilityofthesystemisverystrong,sothequalityofthesoftwaredesignwasenhanced.Itisconvenient、expansibleandsustaintheuserepeatedofthecodetouseJAVAasthelanguageofthebackground,inacertainextentreducedthelaboringintensityofthesoftwaredevelopmentpeople.

Thispaperwasaccomplishedbybeingthoughtoverafterthesystemhadbeendone.

Thefirstpartofthepaperistheforeword.Thesecondpartistheexpatiationaboutthesystem’srequirementanalyse,thedescriptionofthesystem,theprobleminexistence,andprovidethesolution,thefeasibilityanddecision-makingofthesystemdevelopment.Thethirdpartisthedescriptionofthelogicscheme,thedatastreammapandthedatadictionaryaboutthesystemandthesystemexplanation.Thefourthpartisthecollectivityframeworkdesignaboutthesystem,includingthesoftwaremoduleframeworkdesign,forexample,themodulefabricmap,theIPOmapandthedatabasedesign.Thefifthpartistheimplementofthesystem,suchasthecodedesign,themainmoduledesign.Thefinalpartistheimplementcircumstances,theimplementenvironmentandthechoiceofthetool,thesystemtest,thesurveyabouttherunningandmaintenanceofthesystem.

Keyword:

informationsecurity,managementinformationsystem,objectoriented,JDBC,B/S

第1章前言

1.1背景分析

上海宝信软件股份有限公司是上海宝钢股份有限公司控股注资2.6亿的全资子公司,在全国范围内都有分公司,主营业务是工程项目的软件开发和系统集成,公司拥有千人以上的开发队伍,其内部网络非常的复杂,网络上的计算机也是非常的多,公司的各项工作对计算机和网络的依赖程度很强，比如：

公司拥有自己的ERP系统，OA系统，公司网站，技术支持网站等，公司的财务管理，人事管理，工资管理，图书管理都离不开计算机和网络，公司的内部网络同时又连通因特网来与外部进行信息交互。

如今的计算机系统中存在着众多的漏洞，有已经发现的，有还未发现的，互连网上也经常有不法分子散播病毒、木马等有害程序，从而对计算机系统造成危害，企业面临着各种各样的信息安全的风险，计算机系统一旦遭受侵袭，企业将会受到无法估计的损失。

很多惨痛的事实早已证明了这点。

因此，对企业信息安全的管理就显得十分必要，没有管理或者管理不善将会使企业的信息系统置于危险的境地，而有效的管理将使企业所面临的风险大大降低，避免损失等同于为企业带来效益。

1.2国内外现状

根据调研，我们发现国内外的很多企业对于其信息的安全十分重视，在管理上也可谓想尽了办法，事实上，也就是研究如何采取有效的管理手段，使得企业内部的计算机系统免受攻击或侵袭。

他们所采取的方法大同小异，比如安装防火墙来抵御黑客攻击，安装杀毒软件来抵抗病毒的侵袭，定期地更新其升级包，定期地查阅、下载最新的漏洞、病毒信息，为计算机软件系统下载并安装相应的补丁，防止计算机系统受到攻击。

他们也制定了标准化作业流程，由专人负责管理。

对于信息安全的管理，国内外绝大部分的企业只是停留在人工管理的层次上，即人工查阅，下载，更新，而且是定期的，这样，企业越大，网络越复杂，计算机数量越多，其管理就越复杂，过程就越乱，效果就越差。

当然现在也有部分企业采取了计算机管理，但他们所开发的软件具有很大的局限性，有的只适合特定的企业使用，有的只能在小型企业的局域网中使用；而有的即使在设计和实现时考虑到软件的通用性，其功能也有着较大的局限，随着时代的发展，其功能已不能满足现代企业的需要。

实践证明，信息安全的管理是一项十分繁琐的工作，举一个简单的例子，当公司的信息安全管理人员得知系统中的漏洞后，要通知企业中各部门，各子公司的安全管理人员进行补丁的下载，给企业中使用该系统存在该漏洞的所有计算机系统打上补丁程序。

在大企业中，诸如此类的操作，使用电话或书信几乎是不可能的。

采用计算机管理是人们首先想到的方法。

1.3本系统研究（设计）内容

设计一个信息安全管理系统，将安全管理的各种信息保存到服务器的数据库中，各子公司，部门的安全管理人员可以通过网络去浏览和操作这些信息，并能自动发送电子邮件进行灵活简捷的管理。

这样大大减轻了各子公司、部门的安全管理人员的工作负荷。

本信息安全管理系统适用于大型企业，尤其是在全国各地均有其分公司的大型企业。

根据业务范围和应用对象的不同，系统划分成八大功能模块：

资产管理、漏洞库、风险管理、安全事件、安全专栏、病毒管理、统计分析、系统管理。

系统各功能模块结构如图1.1：

图1.1各功能模块结构图

Fig.1.1Apiecefunctionmodulefabricmap

本信息系统的功能可分八个模块：

资产管理：

对资产进行新增、删除、修改、查询、访问权限的设置等。

漏洞库管理：

对漏洞库进行更新、查询、审核等操作，对补丁信息进行更新、审核、查询的操作。

风险管理：

对扫描作业和扫描结果的导入，从中抽取威胁信息进行管理。

安全事件：

进行工单管理、关键字管理和事件管理。

安全专栏：

安全信息的发布，浏览，审核操作。

病毒管理：

对病毒信息进行搜索，下载，审核等操作。

统计分析：

各种数据的统计，报表的打印。

系统管理：

用户管理、角色管理、日志管理、参数管理、专栏管理、禁忌词管理等。

下图是涉及本系统的组织结构图：

图1.2组织结构图

Fig.1.2Organizefabricmap

第2章系统需求分析

2.1现行业务系统描述

现行的信息安全管理业务主要以电子邮件和电子公告栏BBS的形式来进行管理的，管理的过程和结果以文档的形式保存，业务和人员的管理比较松散，管理上的漏洞比较多，工作繁重，信息安全很难保证。

1、信息安全管理人员使用Internetscanner、Databasescanner、Systemscanner等扫描工具来扫描业务系统中的主机、网络设备和数据库，并以一定的形式（如数据库表的形式）在计算机中将扫描结果保存下来；从互连网上指定的URL下载最新发生的病毒信息。

2、逐一查看数据库表中的内容，对每一个扫描作业中的漏洞和补丁的信息进行审核，将必要的信息以电子公告栏告知或电子邮件的形式发送给每一个资产管理员。

3、审核每一个病毒的信息，将必要的信息以电子公告栏告知或电子邮件的形式发送给每一个资产管理员。

4、每一个资产管理员及时地查看电子公告栏并接收电子邮件，按照电子公告栏和电子邮件中的指示给计算机以适当的处理，以消除信息安全隐患。

2.2业务流程图

信息安全管理系统业务流程图的符号说明如下：

图2.1业务流程图的符号说明

Fig.2.1Theexplainforthesymboloftheoperationflowchart

信息安全管理系统业务流程图如图2.2：

图2.2业务流程图

Fig.2.2Operationflowchart

2.3现行系统存在的主要问题分析

目前信息安全的管理主要依靠电子公告栏和电子邮件，其内容均需要管理人员录入，由于信息量大，并且有大量的重复信息，录入的工作量也就可想而知，另外，工单须选择适当的人选来处理，因资产众多，某资产的维护人员需查清单才可知道，操作比较复杂。

这样造成了工作量大却信息提供不及时，准确性差，由于现行的管理方式的种种不便和局限，考虑开发一个信息安全管理系统将整个业务流程管理起来，使得管理信息准确及时，杜绝因信息管理不善的原因而造成不必要的损失。

2.4关键技术及难点

鉴于目前的企业对信息安全管理系统的需求与实际情况，本系统方案的重点放在系统的设计上，本信息安全管理系统实现以下几项功能：

系统登录后，用户、角色、业务系统、资产等情况的输入、修改和查询；漏洞、补丁和病毒信息的导入、审核；专栏的创建，文章的输入；工单的创建，查看，接受，处理；各类数据的统计以及报表的打印，等等。

同时系统还要具备以下几方面的要求：

（1）对每个用户的权限进行有效的管理，不同角色的用户具有不同的操作权限，可以进行何种操作，不可以进行何种操作都有明确的规定。

（2）考虑大型企业的需求，企业在全国各地都有其分公司或办公场所，每个分公司都有其管理员进行信息安全的管理，他受总公司管理员的管理，系统支持在广域范围的网络上进行管理。

（3）考虑系统的跨平台性，对各种数据库的支持。

2.5解决方案

（1）开发权限管理模块，考虑到各公司的组织机构的不同，系统对用户、角色、及对任一资源的访问权限均可定制，从而实现不同用户具有指定的权限。

（2）本系统采用B/S的架构，在服务器端使用JAVA语言编制功能模块，实现访问数据库以及与前台的JSP+STRUTS进行交互；在客户端只需要网络浏览器即可实现管理的操作。

这样只要有网络连通的条件，在广域范围内均可实现信息安全管理。

（3）本系统使用JAVA语言作为开发工具，实现其跨平台性，系统可以方便地从WINDOWS操作系统移植到UNIX/LINUX操作系统；采用JDBC（JavaDataBaseConnectivity）数据库连接的方法，支持JDBC的数据库管理系统都可以作为其后台数据库，由于JDBC的数据库连接技术屏蔽掉了后台数据库的差异，当数据处理要求提高时，我们可以相对容易地将数据库升级为处理能力更强的数据库管理系统，如oracle数据库等。

程序中使用SQL语言，用来执行各种操作，语句数目比较少，由系统来进行查询优化，效率相对较高，而且不易出错。

2.6可行性分析和决策

（1）技术可行性

公司在全国范围内已具备办公大楼，有良好的网络布线系统以及专线接入互连网的优越条件，各分公司办公大楼的内部局域网也已比较完善；本信息管理系统选用MS-SQLServer2000作为后台数据库存放数据，位于后台的JAVA程序使用JDBC数据库连接技术来访问数据库，前台的JSP配合STRUTSTAG可以方便地与后台的JAVA程序进行数据的交互，且使得用户可以在页面上浏览和操作。

（2）经济可行性

开办费用：

项目咨询费用、设备费用、安装费用、操作系统软件费用、开办人员费用，管理费用。

项目费用：

软件购置费用，准备文档费用，开发管理费用，开发人员工资费用，用户培训费用。

运行费用：

系统维护费用，硬件折旧费用，信息系统管理费用，操作及管理人员费用，电费，软盘及打印纸等费用。

系统产生效益：

信息安全管理工作变得简单而灵活而获得的管理上的效益。

信息安全风险所带来的危害减少所获得的效益。

工作量减轻，节省人力资源所带来的效益。

数据保存改善所带来的效益。

避免了群发电子邮件而造成网络堵塞所带来的效益。

（3）操作可行性

该系统为B/S结构，操作在浏览器中进行，用户界面友好，只要具备基本的计算机知识的人，略加培训即可熟练使用。

公司的工作人员熟悉windows操作系统，尤其是对IE浏览器的操作更是熟练有加。

这样使得基于B/S的本系统的营运成为可能。

（4）社会可行性

该系统为自主开发，不盗用任何已有的系统，无侵权现象。

综上所述，本系统的开发是可行的。

第3章系统逻辑方案

3.1数据流图描述

3.1.1信息安全管理系统数据流图的符号说明

图3.1数据流图的符号说明

Fig.3.1Theexplainforthesymboloftheoperationflowchart

3.1.2信息安全管理系统关联图

图3.2是信息安全管理系统的系统关联图，描述了系统与资产维护部门、信息安全管理部门、业务管理部门之间的关系。

图3.2信息安全管理系统关联图

Fig.3.2Informationsecuritymanagementsystemassociatemap

3.1.3信息安全管理系统DFD总体图

图3.3信息安全管理系统DFD总体图

Fig.3.3InformationsecuritymanagementsystemDFDcollectivitymap

3.1.4信息安全管理系统DFD零级图

图3.4信息安全管理系统DFD零级图

Fig.3.4InformationsecuritymanagementsystemDFDzerolevelmap

3.1.5信息安全管理系统DFD细节图

图3.5信息安全管理系统DFD细节图（A）

Fig.3.5InformationsecuritymanagementsystemDFDdetailmap（A）

图3.6信息安全管理系统DFD细节图（B）

Fig.3.6InformationsecuritymanagementsystemDFDdetailmap（B）

图3.7信息安全管理系统DFD细节图（C）

Fig.3.7InformationsecuritymanagementsystemDFDdetailmap（C）

图3.8信息安全管理系统DFD细节图（D）

Fig.3.8InformationsecuritymanagementsystemDFDdetailmap（D）

图3.9信息安全管理系统DFD细节图（E）

Fig.3.9InformationsecuritymanagementsystemDFDdetailmap（E）

3.2数据字典描述

本系统数据流图中，数据项“资产代码”的数据元素如表3.1：

3.1数据项“资产代码”数据元素

Tab.3.1Thetablefordataitem‘assetcode’dataelement

数据元素

系统名：

信息安全管理系统

编号：

条目名：

资产代码

别名：

资产编码

属于数据流：

F12

存储处：

资产表

数据元素值：

代码类型：

字符型

取值范围：

字母、数字、下划线

长度：

4

意义：

简要说明：

每个资产都有一个唯一的资产代码。

修改记录：

编写：

叶花

日期：

2004/11/01

审核：

叶花

日期：

2004/11/01

本系统数据流图中，数据项“资产信息”的数据流卡片如表3.2：

表3.2数据项“资产信息”数据流

Tab.3.2Thetablefordataitem‘assetinformation’datastream

数据流

系统名：

信息安全管理系统

编号：

F12

条目名：

资产信息

别名：

资产

来源：

业务管理部门

去向：

原始数据管理

数据流结构：

资产代码+资产名称+资产描述+完整性赋值+可用性赋值+机密性赋值+资产价值

流量：

20/天。

简要说明：

一个资产条目。

修改记录：

编写：

叶花

日期：

2004/11/01

审核：

叶花

日期：

2004/11/01

本系统数据流图中，“资产”的数据存储卡如表3.3：

表3.3数据项“资产”数据存储

Tab.3.3Thetablefordataitem‘asset’datastorage

数据存储

系统名：

信息安全管理系统

编号：

D1

条目名：

资产

别名：

存储组织：

记录数：

约8200

主关键字：

资产代码

二维表

数据量：

约900KB

辅关键字：

记录组成：

资产代码+资产名称+资产描述+完整性赋值+可用性赋值+机密性赋值+资产价值

简要说明：

存放一个资产信息。

修改记录：

编写：

叶花

日期：

2004/11/01

审核：

叶花

日期：

2004/11/01

本系统数据流图中，“漏洞导入处理”的数据流数据加工处理卡片如表3.4：

表3.4数据项“漏洞导入处理”数据加工

Tab.3.4Thetablefordataitem‘holeleadinmanage’dataprocess

数据加工

系统名：

信息安全管理系统

编号：

条目名：

漏洞导入处理

别名：

输入：

漏洞信息

输出：

漏洞

简要说明：

将漏洞信息从已经生成的XML文件中导入数据库中。

修改记录：

编写：

叶花

日期：

2004/11/01

审核：

叶花

日期：

2004/11/01

本系统数据流图中，“业务管理部门”的外部项存储卡如表3.5：

表3.5数据项“业务管理部门”外部项存储卡

Tab.3.5Thetablefordataitem‘operationmanagedepartment’exterioritemstoragecard

外部项

系统名：

信息安全管理系统

编号：

D1

条目名：

业务管理部门

别名：

输入数据流：

输出数据流：

查询结果

资产信息、查询信息

主要特征：

用户的号、标识、真实姓名等。

简要说明：

该部门的用户负责资产的录入、工单的创建等。

修改记录：

编写：

叶花

日期：

2004/11/01

审核：

叶花

日期：

2004/11/01

3.3基本加工小说明书

对于数据流图中的基本加工模块，在此作简要说明。

1、漏洞的导入

获取漏洞代码；获取漏洞名称；获取漏洞严重性；获取影响平台；获取简要描述；获取详细描述；获取是否审核；获取审核日期；将漏洞信息存入数据库。

2、漏洞的查询

获取查询条件：

在页面上选择根据漏洞编号或漏洞名称来查询，在页面上输入匹配字符串；将查询结果显示在页面上。

第4章系统总体结构设计

4.1软件模块结构设计

4.1.1模块结构图

根据系统分析的结果，按照结构化的系统设计方法，信息安全管理系统从功能