基于ASP的信息管理系统网络安全探讨

摘要：本文首先介绍了asp技术的基本原理，然后论述了基于asp的信息系统常见技术安全漏洞与技术安全隐患，最后从网络层、服务器断、数据库层这三个方面详细讲解了基于asp的信息系统的安全防范措施。

关键字：asp 网络安全 服务器 措施

the network security of the information system based on the asp

abstract：this article first introduced the basic principle of the asp technology, then elaborated the common security loophole and the technical security hidden danger of information system based on the asp technology. finally，explained the safe guard measure of the information system based on the asp from the network level, the server broke, the database level these three aspects in detail .

keywords：asp network security server measures

随着信息技术的高速发展，企业通过网络建立了自己的信息管理系统，但是大多数企业的信息管理系统却另人担忧。因此，了解并学习关于信息管理系统网络安全方面的知识是非常有必要的。

一、asp技术的基本原理

对各种事件进行分析，从中发现违反安全策略的行为是入侵检测系统的核心功能。从技术上，入侵检测分为两类：一种基于标志(c signature-based )，另一种基于异常情况(abnormally-based )。

（二）服务器端安全措施 只有正确的安装和设置操作系统，才能使其在安全方面发挥应有的作用。下面以win2000 server 为例。

①正确地分区和分配逻辑盘。

微软的iis经常有泄漏源码/溢出的漏洞，如果把系统和iis放在同一个驱动器会导致系统文件的泄漏甚至入侵者远程获取admin。本系统的配置是建立三个逻辑驱动器，c盘20g，用来装系统和重要的日志文件，d盘20g放iis, e盘20g放ftp，这样无论iis或ftp出了安全漏洞都不会直接影响到系统目录和系统文件。因为，iis和ftp是对外服务的，比较容易出问题。而把iis和ftp分开主要是为了防止入侵者上传程序并从iis中运行。

②正确地选择安装顺序。

一般的人可能对安装顺序不太重视，认为只要安装好了，怎么装都可以的。很多时候正是因为管理员思想上的松懈才给不法分子以可乘之机。win2000在安装中有几个顺序是一定要注意的：

首先，何时接入网络：win2000在安装时有一个漏洞，在你输入administrator密码后，系统就建立了admin$的共享，但是并没有用你刚刚输入的密码来保护它这种情况一直持续到你再次启动后，在此期间，任何人都可以通过admin$进入你的机器；同时，只要安装一完成，各种服务就会自动运行，而这时的服务器是满身漏洞，非常容易进入的，因此，在完全安装并配置好win2000 server之前，一定不要把主机接入网络。

其次，补丁的安装：补丁的安装应该在所有应用程序安装完之后，因为补丁程序往往要替换/修改某些系统文件，如果先安装补丁再安装应用程序有可能导致补丁不能起到应有的效果，例如： iis的hotfix就要求每次更改iis的配置都需要安装，尽管很麻烦，却很必要。

（三）安全配置

①端口：：端口是计算机和外部网络相连的逻辑接口，从安全的角度来看，仅打开你需要使用的端口会比较安全，配置的方法是在网卡属性——tcp/ip——高级——选项——tcp/ip筛选中启用tcp/ip筛选，不过对于win2000的端口过滤来说，有一个不好的特性：只能规定开哪些端口，不能规定关闭哪些端口;这样对于需要开大量端口的用户就比较麻烦。 论文网在线

②iis： iis是微软的组件中漏洞最多的一个，平均两三个月就要出一个漏洞，而微软的iis默认安装又实在不敢恭维，所以iis的配置是我们的重点，所以在本系统的/imgindex.aspx" target="_blank" title="">图的使用

通过视图可以指定用户使用数据的范围，将用户限定在表中的特定字段或表中的特定记录，并且视图和基础表一样也可以作为授权的单位。针对不同用户的视图，在授权给一用户的视图中不包括那些不允许访问的机密数据，从而提高了系统的安全性。

③数据验证码dac

对后台数据库中的一些关键性数据表，在表中设置数据验证码dac字段，它是由银行密钥和有关的关键性字段值生成。不同记录的dac字段值也不相同。如果用户非法修改了数据库中的数据，则dac效验将出错，从而提高了数据的安全性。

虽然基于asp技术的信息管理系统安全性措施目前已经比较成熟，但我们切不可马虎大意，只有不断学习新的网络安全知识、采取日新月异的网络安全措施，才能保证我们的网络安全防御真正金汤。

参考文献：

[1]刘海平，朱仲英.一个基于asp的在线会员管理信息系统.微型电脑应用.2002 （10）

[2]东软集团有限公司，neteye防火墙使用指南3.0，1-3

[3]贾晶，陈元，王丽娜编著，信息系统的安全与保密，第一版，1999.01，清华大学出版社

[4] eric maiwald， 论文网在wi1lieducation, security planning & disaster recovery,2003,posts & telecommunications press,

pp. 86-94

[5]杨兵.网络系统安全技术研究及其在宝钢设备采购管理系统中的应用：（学位论文）.辽宁：东北大学，2002

[6]刘广良.建设银行计算机网络信息系统安全管理策略研究：（学位论文）.湖南：湖南大学.2001

[7] celeste robinson, alan simpson. mastering access2000.电子工业出版社，2002

[8]丁霞军.基于asp的管理信息系统开发及其安全性研究.（学位论文）.安徽：安徽理工大学.2005