序論：寫作是一種深度的自我表達。它要求我們深入探索自己的思想和情感，挖掘那些隱藏在內心深處的真相，好投稿為您帶來了七篇軟件安全論文范文，愿它們成為您寫作過程中的靈感催化劑，助力您的創作。

篇(1)

隨著互聯網的觸角深入到生產生活中的各個層面，軟件已經不像以前那樣只是支持辦公和家庭娛樂這兩大主題了，而是成為現代商業的靈魂。軟件安全問題主要圍繞著軟件漏洞和易被攻擊脆弱點，它們都來自于軟件的設計和實現。Internet催生了電子商務，移動互聯網使得APP變得如火如荼，未來物聯網也許可以將生活中的一切元素都納入到通信網絡中去。因此軟件安全問題將成為計算機安全的核心，而非防火墻等網絡硬件，或是諸如加密等手段。軟件安全是一切計算機安全性問題的根源，如果軟件行為出現異常，與之相關的可靠性、可用性等方面問題就會隨之暴露。軟件安全問題并不是互聯網出現后才有的，只不過互聯網是目前最容易攻擊軟件的途徑罷了。

2軟件安全的現狀

2.1人們的認知

隨著黑客攻擊的新聞時常見諸媒體，人們對計算機安全問題有了一定認識。但不幸很多計算機安全人員和計算機教育培訓人員都忽視了軟件安全的問題。一味地推崇某種軟件平臺是安全的，單純大力增加對網絡安全硬件和軟件的投入，這些做法是盲目甚至荒謬的。一切安全性都不是靜態特性，也沒有任何軟件是絕對安全的。軟件安全問題的關鍵節點是軟件的設計。

2.2軟件安全設計的先天不足

世界上知名的軟件廠商并不是不了解軟件安全設計安全性的重要性，而是商業模式讓軟件安全方面存在著先天不足。稍縱即逝的商業機會、敏捷的軟件開發過程和短暫的軟件開發周期使得安全性方面的設計在很多時候都是被舍棄的。隨之而來的處理方式則是常見的penetrate-and-pach方法，即不停地補丁。這種做法從長遠來看，其成本與作用遠不及一開始就做好安全性的設計和審計。

3軟件安全設計應引入風險管理

從項目管理的角度看，風險指損失或損害的可能性。軟件項目涉及到的是：項目中可能發生的潛在問題和它們如何妨礙項目成功。風險管理則是對應軟件項目生命周期內的風險的科學和藝術。軟件安全性的設計與軟件設計的其他一些質量性能是互相抵觸的，例如冗余性、高效性。而軟件開發過程中的風險管理與軟件開發的諸如時間、范圍、成本等因素也是相互抵觸的。但是絕不能因為這些可能發生的抵觸行為而放棄對安全性和風險管理的考慮，反而應該將軟件安全性設計納入到風險管理的范疇中去。事實表明，93%的失控項目都忽視了風險管理。

4軟件安全設計風險管理的實施

目前國際上對軟件安全方面的風險管理存在著一個共同的認知，那就是采用高質量的軟件工程的方法論可以在一定程度上解決這方面的問題，歐美一些國家也在試圖制定或修訂相關的一些“通用準則”來指導軟件安全性設計的實踐。但是這只是從科學技術方面做出努力，我們可以學習借鑒。而在管理技術和藝術方面需要做出的努力則應該嘗試本地化做法。完整的風險管理的過程應該包括以下幾個環節：風險管理計劃的編制、風險識別、風險定性分析、風險定量分析、風險應對計劃編制和風險監督控制。將整個流程都走完的項目和企業都不多，一般來自于所謂的學院派。而時下大多數國內外企業的做法是將這個7個流程簡化為誰來識別風險、誰來對風險負責這兩個環節。原因則是上文所提到的先天不足所致。從技術上講，風險管理的效益來自于潛在風險最小化和潛在回報的最大化。而這個技術的應用則一定需要經歷風險定量分析的過程。在這個過程中，可以使用的主要技術是決策樹分析、蒙特卡羅分析、PERT分析等等。這些技術都是建立在一定的數學和會計基礎之上。而令人遺憾的是，很多決策者本身對這些技術的認知或理解欠缺，以至于會抵觸這種方法。大多數做法是采用小團隊開發小軟件的做法，即采用訪談和敏感性分析來幫助風險定量分析。然而我們并不是要反對這種簡化做法，只是一定不能在簡化的做法之上再次簡化或敷衍了事。首先要做的工作是做好需求管理，在建立一組需求輸入的時候，一定要將安全性作為一個重要需求考慮進去。有一個比較好的方法是，在軟件設計時采用螺旋模型，需求的輸入可以在螺旋模型的各個生命周期中進行，而有關安全性的需求輸入則最好是在最初的一個螺旋中進行。之后要做的工作是確定最大風險。不可避免的要使用風險定性和風險定量分析的各種技術和方法。這個工作一定要有軟件設計師、項目決策者和用戶的參與，采用頭腦風暴和專家訪談是不錯的選擇。而這個工作恰恰是現實生活中中小企業乃至客戶最容易忽略的。企業要考慮成本問題，而客戶的參與往往難以落實，認為軟件的設計和開發應該由軟件公司負責，客戶付款只關心最后軟件是否可以使用。而一旦由于軟件安全性問題造成了一定后果后將演變成各種糾纏不清的官司，這是企業和客戶都不想看到的結果。

5結語

篇(2)

屆時，大會將設立 “信息系統整體安全保護的有效途徑”和“電子認證服務的解決之道” 兩個分論壇，并集納各界經典名篇、學術成果、研究課題、應用經驗，編輯出版《2012中國信息安全技術展望學術論文集》，其中優秀論文將擇優在《信息安全與技術》雜志（國家級刊物）上刊登，并全文收錄于《中國學術期刊網絡出版總庫》及CNKI系列數據庫、《中文核心期刊（遴選）數據庫》、《中文科技期刊數據庫》。

征文內容如下：

1.計算機安全、下一代網絡安全技術；

2.網絡安全與網絡管理、密碼學、軟件安全；

3.信息系統等級安全保護、重要信息系統安全；

4.云計算與云安全、物聯網的安全；

5.移動互聯網的安全信息安全保障體系、移動計算平臺安全性研究；

6.信息內容安全、通信安全、網絡攻防滲透測試技術；

7.可信計算；

8.關鍵基礎設施安全；

9.系統與網絡協議安全分析；

10.系統架構安全分析；

11.面向業務應用的整體安全保護方案；

12.信息安全漏洞態勢研究；

13.新技術新應用信息安全態勢研究；

14.Web應用安全；

15.計算機系統安全等級保護標準的實施與發展現狀；

16.國內外電子認證服務相關政策與標準研究；

17.電子認證服務最新技術和產品；

18.電子認證服務應用創新；

19.電子認證服務行業研究和熱點事件解析；

20.可靠電子簽名與數據電文的認定程序/技術規范/應用規范/應用案例分析；

21.數字證書交叉認證技術規范/應用規范/應用案例分析；

篇(3)

論文摘要： 走進新世紀，科學技術發展日新月異，人們迎來一個知識爆炸的信息時代，信息數據的傳輸速度更快更便捷，信息數據傳輸量也隨之增加，傳輸過程更易出現安全隱患。因此，信息數據安全與加密愈加重要，也越來越多的得到人們的重視。首先介紹信息數據安全與加密的必要外部條件，即計算機安全和通信安全，在此基礎上，系統闡述信息數據的安全與加密技術，主要包括：存儲加密技術和傳輸加密技術；密鑰管理加密技術和確認加密技術；消息摘要和完整性鑒別技術。

當前形勢下，人們進行信息數據的傳遞與交流主要面臨著兩個方面的信息安全影響：人為因素和非人為因素。其中人為因素是指：黑客、病毒、木馬、電子欺騙等；非人為因素是指：不可抗力的自然災害如火災、電磁波干擾、或者是計算機硬件故障、部件損壞等。在諸多因素的制約下，如果不對信息數據進行必要的加密處理，我們傳遞的信息數據就可能泄露，被不法分子獲得，損害我們自身以及他人的根本利益，甚至造成國家安全危害。因此，信息數據的安全和加密在當前形勢下對人們的生活來說是必不可少的，通過信息數據加密，信息數據有了安全保障，人們不必再顧忌信息數據的泄露，能夠放心地在網絡上完成便捷的信息數據傳遞與交流。

1 信息數據安全與加密的必要外部條件

1.1 計算機安全。每一個計算機網絡用戶都首先把自己的信息數據存儲在計算機之中，然后，才進行相互之間的信息數據傳遞與交流，有效地保障其信息數據的安全必須以保證計算機的安全為前提，計算機安全主要有兩個方面包括：計算機的硬件安全與計算機軟件安全。1）計算機硬件安全技術。保持計算機正常的運轉，定期檢查是否出現硬件故障，并及時維修處理，在易損器件出現安全問題之前提前更換，保證計算機通電線路安全，提供備用供電系統，實時保持線路暢通。2）計算機軟件安全技術。首先，必須有安全可靠的操作系統。作為計算機工作的平臺，操作系統必須具有訪問控制、安全內核等安全功能，能夠隨時為計算機新加入軟件進行檢測，如提供windows安全警報等等。其次，計算機殺毒軟件，每一臺計算機要正常的上網與其他用戶交流信息，都必須實時防護計算機病毒的危害，一款好的殺毒軟件可以有效地保護計算機不受病毒的侵害。

1.2 通信安全。通信安全是信息數據的傳輸的基本條件，當傳輸信息數據的通信線路存在安全隱患時，信息數據就不可能安全的傳遞到指定地點。盡管隨著科學技術的逐步改進，計算機通信網絡得到了進一步完善和改進，但是，信息數據仍舊要求有一個安全的通信環境。主要通過以下技術實現。1）信息加密技術。這是保障信息安全的最基本、最重要、最核心的技術措施。我們一般通過各種各樣的加密算法來進行具體的信息數據加密，保護信息數據的安全通信。2）信息確認技術。為有效防止信息被非法偽造、篡改和假冒，我們限定信息的共享范圍，就是信息確認技術。通過該技術，發信者無法抵賴自己發出的消息；合法的接收者可以驗證他收到的消息是否真實；除合法發信者外，別人無法偽造消息。3）訪問控制技術。該技術只允許用戶對基本信息庫的訪問，禁止用戶隨意的或者是帶有目的性的刪除、修改或拷貝信息文件。與此同時，系統管理員能夠利用這一技術實時觀察用戶在網絡中的活動，有效的防止黑客的入侵。

2 信息數據的安全與加密技術

隨著計算機網絡化程度逐步提高，人們對信息數據傳遞與交流提出了更高的安全要求，信息數據的安全與加密技術應運而生。然而，傳統的安全理念認為網絡內部是完全可信任，只有網外不可信任，導致了在信息數據安全主要以防火墻、入侵檢測為主，忽視了信息數據加密在網絡內部的重要性。以下介紹信息數據的安全與加密技術。

2.1 存儲加密技術和傳輸加密技術。存儲加密技術分為密文存儲和存取控制兩種，其主要目的是防止在信息數據存儲過程中信息數據泄露。密文存儲主要通過加密算法轉換、加密模塊、附加密碼加密等方法實現；存取控制則通過審查和限制用戶資格、權限，辨別用戶的合法性，預防合法用戶越權存取信息數據以及非法用戶存取信息數據。 轉貼于

傳輸加密技術分為線路加密和端-端加密兩種，其主要目的是對傳輸中的信息數據流進行加密。線路加密主要通過對各線路采用不同的加密密鑰進行線路加密，不考慮信源與信宿的信息安全保護。端-端加密是信息由發送者端自動加密，并進入TCP/IP信息數據包，然后作為不可閱讀和不可識別的信息數據穿過互聯網，這些信息一旦到達目的地，將被自動重組、解密，成為可讀信息數據。

2.2 密鑰管理加密技術和確認加密技術。密鑰管理加密技術是為了信息數據使用的方便，信息數據加密在許多場合集中表現為密鑰的應用，因此密鑰往往是保密與竊密的主要對象。密鑰的媒體有：磁卡、磁帶、磁盤、半導體存儲器等。密鑰的管理技術包括密鑰的產生、分配、保存、更換與銷毀等各環節上的保密措施。網絡信息確認加密技術通過嚴格限定信息的共享范圍來防止信息被非法偽造、篡改和假冒。一個安全的信息確認方案應該能使：合法的接收者能夠驗證他收到的消息是否真實；發信者無法抵賴自己發出的消息；除合法發信者外，別人無法偽造消息；發生爭執時可由第三人仲裁。按照其具體目的，信息確認系統可分為消息確認、身份確認和數字簽名。數字簽名是由于公開密鑰和私有密鑰之間存在的數學關系，使用其中一個密鑰加密的信息數據只能用另一個密鑰解開。發送者用自己的私有密鑰加密信息數據傳給接收者，接收者用發送者的公鑰解開信息數據后，就可確定消息來自誰。這就保證了發送者對所發信息不能抵賴。

2.3 消息摘要和完整性鑒別技術。消息摘要是一個惟一對應一個消息或文本的值，由一個單向Hash加密函數對消息作用而產生。信息發送者使用自己的私有密鑰加密摘要，也叫做消息的數字簽名。消息摘要的接受者能夠通過密鑰解密確定消息發送者，當消息在途中被改變時，接收者通過對比分析消息新產生的摘要與原摘要的不同，就能夠發現消息是否中途被改變。所以說，消息摘要保證了消息的完整性。

完整性鑒別技術一般包括口令、密鑰、身份（介入信息傳輸、存取、處理的人員的身份）、信息數據等項的鑒別。通常情況下，為達到保密的要求，系統通過對比驗證對象輸入的特征值是否符合預先設定的參數，實現對信息數據的安全保護。

3 結束語

綜上所述，信息數據的安全與加密技術，是保障當前形勢下我們安全傳遞與交流信息的基本技術，對信息安全至關重要。希望通過本文的研究，能夠拋磚引玉，引起國內外專家的重視，投入更多的精力以及更多的財力、物力來研究信息數據安全與加密技術，以便更好的保障每一個網絡使用者的信息安全。

參考文獻：

[1]曾莉紅，基于網絡的信息包裝與信息數據加密[J].包裝工程，2007（08）.

[2]華碩升級光盤加密技術[J].消費電子商訊，2009（11）.

篇(4)

關鍵詞：計算機 網絡 安全 防范措施

隨著計算機技術和Internet建設的發展與完善，計算機網絡安全問題逐步成為人們關注和討論的焦點。計算機網絡技術已經深入到社會的各個領域，比如政府機關、學校、醫院、社區及家庭等，人們對計算機網絡的依賴性越來越大，但隨之而來的是，計算機網絡安全也受到前所未有的威脅，計算機病毒無處不在，黑客的猖獗，都防不勝防。本文分析了影響網絡安全的主要因素及攻擊的主要方式，從管理和技術兩方面就加強計算機網絡安全提出相應的安全防范措施。

1 計算機網絡安全的定義

國際標準化組織（ISO）將“計算機安全”定義為：“為數據處理系統建立和采取的技術和管理的安全保護，保護計算機硬件、軟件數據不因偶然和惡意的原因而遭到破壞、更改和泄漏”。計算機網絡安全包括物理安全、軟件安全、數據安全和運行安全四個方面。物理安全指系統設備及相關設施受到物理保護，免于破壞、丟失等。軟件安全是指網絡軟件以及各主機、服務器、工作站等設備所運行的軟件安全。信息安全是指網絡中所存儲和傳輸的數據的安全。運行安全是指網絡中各個信息系統能正常運行并能正常地通過網絡交流信息。

網絡安全的目的就是為了確保網絡系統的保密性、完整性和可用性。保護計算機、網絡系統的硬件、軟件及其系統中的數據，使之不遭到破壞、更改、泄露，確保系統能連續可靠正常地運行，使網絡服務不中斷。

2 計算機網絡面臨的威脅

計算機網絡所面臨的威脅是多方面的，既包括對網絡內部的威脅，也包括對網絡外部的威脅，同時也與計算機操作系統本身有關。歸結起來，主要有以下幾方面：

2.1 計算機網絡的脆弱性

計算機系統的脆弱性主要來自計算機操作系統的不安全性，在網絡環境下，還來源于網絡通信協議的不安全性，有的操作系統根本就沒有安全防護措施，如dos、windows95等操作系統，它們不能作為安全性要求高的服務器的操作系統。Unix和windows nt/2000server/2003

serve/2005serve操作系統主要用于服務器上，但它們也存在著安全漏洞，都存在著超級用戶，如果入侵者得到了超級用戶口令，那么整個系統將完全受制于人，這樣系統就面臨巨大的危險。

2.2 內部網用戶的安全威脅

來自內部用戶的安全威脅遠大于外部網用戶的安全威脅，這些用戶缺乏安全意識，無意識的操作失誤，使系統或網絡誤操作而崩潰，或安全意識不強，將用戶帳號泄漏，或操作員對系統安全配置不當造成安全漏洞等都會對網絡安全帶來威脅和隱患，給他人帶來可乘之機，對網絡系統造成危害。

2.3 網絡外部的安全威脅

除了受到網絡內部的安全威脅，網絡還受到外界的各種各樣的威脅：

2.3.1 物理威脅：有偷竊、垃圾搜尋和間諜活動。偷竊辦公室電腦是偷竊者的主要目標，計算機中存儲的數據信息的價值遠遠超過設備的價值，因此，必須做好嚴格的防盜措施保證計算機不被偷。有時辦公垃圾也會泄露商業機密。

2.3.2 網絡威脅：如局域網的電子竊聽，如假冒網站電子欺騙，網絡設備的因素也可以構成網絡的安全威脅，如通過電話線入侵網絡用戶等。

2.3.3 身份鑒別：是指計算機判斷用戶是否使用它的一種過程，它普遍存在于計算機系統中，實現的方式各種各樣，有的功能十分強大，有的比較脆弱。其中，口令就是一種比較脆弱的身份鑒別手段，功能不是很強，但實現起來比較簡單，所以被廣泛采用。身份鑒別造成的威脅有口令圈套、口令破解和算法缺陷等。口令圈套是網絡安全的一種詭計，與冒名頂替有關，靠欺騙來獲取口令。比如登錄欺騙，它通過編寫一個代碼模塊，運行起來和登錄屏幕一模一樣，并把它插入到登錄過程之前，這樣用戶就會把用戶名和登錄口令告知程序，這個程序就會把用戶名和口令保存起來，然后告訴用戶登錄失敗，并啟動真正的登錄程序，這樣用戶就不容易發現這個欺騙。口令破解是用密碼字典或其他工具軟件來暴力破解口令。如口令用生日、電話號碼、名字等很容易被破解。口令輸入過程必須滿足一定條件才能正常工作，當條件變化時，口令算法程序就可能工作不正常了，很容易被人破解，并進入系統，這就是算法缺陷帶來的安全隱患。

2.3.4 編程。是指通過編制程序代碼實施對系統的破壞。編程威脅主要有計算機病毒和特洛伊木馬等。病毒是一種能自我復制的程序代碼，具有感染性和破壞性，使系統癱瘓，也能在網絡上不斷傳播，危害Internet的安全。特洛伊木馬程序一旦被安裝到計算機上，便可按編制者的意圖行事。能摧毀數據，創建新用戶和口令等。

2.3.5 系統漏洞。系統漏洞是指應用軟件或操作系統軟件在邏輯設計上的缺陷或錯誤，被不法者利用，通過網絡植入木馬、病毒等方式來攻擊或控制整個電腦，竊取您電腦中的重要資料和信息，甚至破壞您的系統。在不同種類的軟、硬件設備，同種設備的不同版本之間，由不同設備構成的不同系統之間，以及同種系統在不同的設置條件下，都會存在各自不同的安全漏洞問題。產生漏洞的原因可以分成下面三種因素：

①人為因素：編程人員在編寫程序過程中，為了實現一些特殊的目的，有意在程序代碼的隱藏處保留后門。

②能力因素：受編程人員的能力、經驗和當時安全技術所限，在程序中難免會有不足之處，輕則影響程序效率，重則導致非授權用戶的權限提升。

③硬件因素：由于硬件的原因，使編程人員無法彌補硬件的漏洞，從而使硬件的問題通過軟件表現出來，例如軟件的不兼容問題。

3 計算機網絡安全的防范措施

3.1 操作系統安全技術

首先，及時安裝“補丁”程序。當系統后，發現有些程序中有漏洞，能被黑客利用而攻擊用戶，所以相應的措施來對付這些黑客，用一些應用程序來修復這些漏洞，稱為“補丁程序”，安裝這些補丁程序后，黑客就不會利用這些漏洞來攻擊用戶，從而杜絕同類型病毒的入侵。

其次，做好系統安全設置。如停掉guest帳號，限制不必要的用戶數量，創建兩個管理員帳號，將系統默認帳號改名，創建一個陷阱帳號（將默認管理員帳號的權限設置最低，什么事都干不了的那種），使用安全密碼，合理設置瀏覽器的安全屬性，徹底刪除掉缺省共享，停掉不必要的服務等。

3.2 防火墻應用技術。防火墻是目前最為流行、使用最廣泛的一種安全技術，它的核心思想是在不安全的網絡環境中構造一個相對安全的子網環境。它將內部網和外部網分開，限制被保護的網絡與互聯網及其他網絡之間進行信息存取、傳輸等操作。它一方面對經過他的網絡通信進行掃描，過濾掉一些可能攻擊內部網絡的數據。另一方面可以關閉不使用的端口，禁止特定端口監聽通信，封鎖特洛伊木馬。可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。

3.3 網絡病毒的防范。與傳統類型的病毒相比，網絡類型病毒有其特殊性，在網絡環境下，網絡病毒可以按指數增長模式進行傳播。病毒侵入計算機網絡，可以導致計算機效率急劇下降、系統資源遭到嚴重破壞，短時間內造成網絡系統癱瘓。因此網絡環境下的病毒防治已經成為計算機防毒領域的研究重點。我們除了安裝全方位的網絡反病毒軟件，養成定期升級軟件和掃描文件系統的好習慣外，還應該對移動存儲設備，在使用前進行查毒，對從網上下載的文件和電子郵件中的附件打開前也要殺毒，不使用或下載來源不明的軟件，不上不正規的網站。一旦在網上發現病毒，立即通知所有用戶下網，關掉文件服務，設法立即清除，確信病毒被徹底清除后，重新啟動網絡和工作站。

3.4 數據加密技術。數據加密技術是對信息進行重新編碼，從而隱藏信息內容，使非法用戶無法獲取信息的真實內容的一種技術手段。數據加密技術是為提高信息系統及數據的安全性和保密性，防止秘密數據被外部破析所采取的主要手段之一。數據加密技術按作用不同可分為數據存儲，數據傳輸、數據完整性的鑒別，以及密鑰的管理技術。數據存儲加密技術是防止在存儲環節上的數據丟失為目的，可分為秘文存儲和存取兩種，數據傳輸加密技術的目的是對傳輸中的數據流加密。數據完整性鑒別是對介入信息的傳送、存取，處理人的身份和相關數據內容進行驗證，達到保密的要求，系統通過對比驗證對輸入的特征值是否符合預先設定的參數，實現對數據的安全保護。

3.5 網絡訪問控制。訪問控制室網絡安全防范和保護的主要策略。它的主要任務是保證網絡資源不被非法使用和訪問。它是保證網絡安全最重要的核心策略之一。訪問控制涉及的技術比較廣，包括入網訪問控制、網絡權限控制、目錄級控制以及屬性控制等多種手段。

3.6 數據庫的備份和恢復。數據庫的備份和恢復是數據庫管理員維護數據安全性和完整性的重要操作。備份是恢復數據庫最容易和最能防止意外的保證方法。恢復是在意外發生后利用備份來恢復數據的操作。有三種主要備份策略：只備份數據庫、備份數據庫和事務日志、增量備份。

3.7 防止黑客攻擊的措施。在網絡環境下，由于種種原因，網絡被入侵和攻擊是難免的，可謂是防不勝防，為了避免可能因入侵和攻擊而造成的各種損失，我們最好是防止其入侵，防患于未然，如果我們經常注意下面這些情況，我們就可以大大降低被木馬攻擊的幾率：不要執行任何來歷不明的軟件；不輕信他人；不要隨便下載軟件；不要隨便留下自己的個人資料；謹慎使用自己的郵箱；最好使用第三方郵件程序；始終顯示文件的擴展名；運用反木馬實時監控程序；給電子郵件加密；隱藏ip地址；不共享文件。當我們發現有黑客入侵后，我們一般采取的措施是：首先要殺死這個進程，切斷黑客與系統的聯系。必要時切斷網絡，同時注意保存現場，以便事后調查原因，或進行分析。其次，使用安全工具跟蹤這個鏈接，找出黑客的來路和身份，詢問其要做什么，并發出警示，如果破壞嚴重時，可向公安部門和信息安全部門報告，通過司法手段解決問題。再次，管理員也可以使用一些工具來監視黑客，觀察他們在做什么。還有就是修復安全漏洞并恢復系統，不給黑客可乘之機。

4 結束語

網絡安全問題是一個綜合性的問題，它涉及到技術、管理和使用等多方面的因素，因此網絡安全問題的解決方案也應該綜合多方面來考慮實施，不但有物理方面的措施，還要有邏輯技術方面的措施，當然還有系統本身的安全問題。只有完備的系統開發過程、嚴密的網絡安全風險分析、嚴謹的系統測試、綜合的防御技術實施、嚴格的保密政策、明晰的安全策略以及高素質的網絡管理人才等各方面的綜合應用，才能保證信息的完整性和正確性，為網絡提供強大的安全服務，這也是網絡安全領域的迫切需要。

參考文獻：

[1]高永強等.網絡安全應用技術大典.北京：人民郵電出版社，2007.

[2]龍冬陽.網絡安全技術及應用[M].廣州：華南理工大學出版社，2006.

篇(5)

【 關鍵詞 】 軟件保護；二進制程序的安全加固；PE文件

【 Abstract 】 As the development of software reinforcement technology， how to minimize the cost in exchange of the most secure protection gradually becomes a hot topic in binary security reinforcement researches. In this paper， we analyze various security reinforcement technologies and propose a novel binaries’ security reinforcement system， which could increase the difficulty of static analysis attack and effectively impede dynamic analysis attack. Experiment results show that the reinforcement system performs satisfactory in versatility， stability and effectiveness.

【 Keywords 】 software protection；binaries’ security reinforcement；pe file

1 引言

近年來，隨著反匯編、反編譯和逆向分析等技術的發展，針對軟件的破解、篡改和盜版等現象也層出不窮。為了保障軟件的安全，對二進制程序安全加固技術的研究已經成為軟件安全領域的一個重要分支。

在實際應用中，軟件廠商們往往會采用多種加固技術進行軟件保護，如PE文件壓縮技術、PE文件代碼段加密技術、PE文件代碼段反匯編后的代碼混淆技術以及Shellcode多態變形技術等。這些技術具有較高的通用性，但由此產生的代價也不容忽視，如何以最小的開銷換來最安全的保護，成為二進制程序安全加固技術的研究重點。

本文通過分析各種安全加固技術，提出一種新的二進制程序安全加固系統，能夠把任意PE文件轉換為Shellcode，并代替Windows系統對PE文件進行加載，同時保證不增大PE文件的體積。最后通過實驗證明，經本系統加固后的二進制程序體積沒有大的變化，并且加固后惡意代碼能夠逃過主流殺毒軟件的查殺，以此證明加固后的二進制程序不但能加大靜態分析的難度，還能有效地阻礙對程序的動態分析。

2 常見的軟件安全加固技術

軟件安全加固技術是隨著軟件逆向分析技術的發展而發展的。根據軟件攻擊者的攻擊目的和方法不同，軟件加固技術也有不同的側重點和目標。需要指出的是，我們不能將所有的加固技術全都一起應用于軟件保護中，這是因為使用不同的安全加固技術一般都會帶來額外的開銷。簡要分析常見的六種加固技術。

（1）加殼與脫殼：加殼的目的是加密或壓縮EXE文件的代碼段，在程序運行時，先由解密或者解壓程序對代碼段進行處理，然后程序正常運行。這些加密或壓縮功能的機制稱為加殼，對應的解密和解壓機制稱為脫殼。加殼后的代碼段能夠有效防止反匯編，但攻擊者可以通過對脫殼程序的逆向分析，從而破解軟件的殼。

（2）多態變形技術：多態變形是由多態和變形兩種技術的結合，主要是對解密代碼進行變形，使每次生成的解密程序呈現不同狀態特征，同時也能對源程序進行簡單的變換。顯然，多態變形也是加密技術的一種，按照殼的定義，多態變形技術應屬于殼的范疇。這種加密技術使得經過變形的解密程序都具有不同特征，所以是一種特殊的殼。常用的多態變形引擎有BPE32 Clet、ADMmuate、Jempiscodes、Tapion等。

（3）代碼混淆技術：指在保持源程序語義不變的情況下，通過對源程序中的數據、布局和控制流程等進行變換，使得變換后的程序在功能上與源程序相同或相近。代碼混淆對代碼的變形除了上述多態變形技術所采用的變形方法外，還對程序的控制流程進行了變換，讓程序變得的更加難懂，進而加大逆向分析的難度。

（4）防篡改技術：通過軟件或硬件措施防止程序被非法修改的軟件保護技術的統稱，屬于軟件保護領域中的主動防御范疇。防篡改技術有兩項任務：一是檢測軟件采用的安全加固技術是否被破解，軟件本身是否被修改，通常采用計算校驗的方法以及檢驗一些變量值是否改變來確認程序是否被正常執行；二是當發現程序被篡改或者被調試時制定應對措施。

（5）虛擬機保護技術：指將代碼翻譯為機器和人都無法識別的一串偽代碼字節流，即本地代碼虛擬化，在具體執行時再對這些偽代碼進行翻譯，逐步還原為原始代碼并執行的技術。虛擬機用作軟件保護的時候，把軟件的底層指令（例如匯編指令）翻譯成另外一種虛擬機指令，軟件執行的時候部分運算在虛擬機中執行。由于虛擬機的復雜度可以很高，指令集可以自定義也可以利用或參考現有的各種成熟指令集，逆向工程需要先看懂虛擬機的大體結構以及虛擬指令集，才有可能弄明白被虛擬化后代碼行為。在復雜的虛擬機和軟件之間緊耦合的情況下，逆向工程會變得非常困難。

（6）軟件水印：軟件水印（Software WaterMarking）是數字水印技術在軟件保護領域的應用和發展，是數字水印技術的分支。軟件水印可分為靜態水印和動態水印。靜態水印被嵌入在程序代碼或者數據當中，一般放在安裝模塊部分或者指令代碼和調試信息的符號中。動態水印技術把水印存放在程序執行狀態中，可用于證明程序是否經過了混淆變形處理。

3 基于二進制程序的加固系統方案

3.1 加固原理

PE 文件是Microsoft Portable Executable File Format的簡稱，即可移植可執行文件格式，是Windows系統下最常用的文件組織形式。Windows下的可執行文件EXE以及動態鏈接庫文件dll都屬于PE文件。PE文件經過Windows系統的正常加載，通過反匯編代碼很容易逆向分析出PE文件的行為。若仿照Windows的加載程序，將源文件轉化成機器碼直接在內存中執行，可以增大逆向分析的難度。為了保證加固后源文件的體積不發生較大變化，必須對源文件進行壓縮；壓縮后的PE文件在加載時，首先進行解壓；將壓縮后的PE文件和PE文件的加載函數進行封裝成Shellcode，再對Shellcode進行多態變形，保證每次生成的解密函數具有不同特征，最后生成新的PE文件。

3.2 框架構成

根據二進制程序加固系統的工作原理，我們將系統的總體結構劃分為兩部分，系統組成結構如圖1所示。第一部分執行PE文件的加載功能，即PE文件執行模塊，主要負責解壓PE文件和動態加載PE文件等工作，是新的PE文件的主要組成部分。第二部分執行PE文件的壓縮、多態變形和組裝功能，并生成新的PE文件，進而實現PE文件的加固。主要包含壓縮模塊、Shellcode組裝模塊、Shellcode多態變形模塊以及PE文件生成模塊。壓縮模塊的對PE文件進行壓縮；Shellcode組裝模塊將經過壓縮的PE文件、PE文件執行模塊、以及標識符等字符串進行組裝，形成Shellcode；多態變形模塊對Shellcode進行變形加密，并將解密代碼整合到Shellcode中，設置入口點；最后，PE文件生成模塊根據變形后Shellcode生成新的PE文件。

第一部分在加固后的PE文件運行時執行，不依賴于第二部分。第二部分將第一部分作為數據進行封裝，對PE文件進行加固。 本系統由壓縮模塊、多態變形模塊、Shellcode組裝模塊、PE文件生成模塊、和PE文件執行模塊組成。目的是對源PE文件進行壓縮變形，并構造成新的PE文件，流程分級步驟：（1）壓縮模塊負責對原始PE文件進行壓縮，目的是減小原始PE文件的體積，同時也起到一定的混淆作用；壓縮后的源PE文件和PE文件執行模塊（如API初始化模塊、解壓縮模塊等）通過Shellcode組裝模塊，成可直接在內存中執行的Shellcode代碼；（2）多態變形模塊主要對生成的Shellcode進行多態變形，本系統的多態變形模塊主要采用了Tapion多態變形引擎；（3）PE文件生成模塊主要功能是把變形后的Shellcode和解密代碼進行封裝，生成新的PE文件。

3.3 模塊功能

系統一共包含五個模塊，PE文件壓縮模塊、Shellcode組裝模塊、多態變形模塊、PE文件生成模塊和PE文件執行模塊。系統各模塊的數據流圖如圖3所示。

（1）PE文件壓縮模塊：采用了微軟的FCI/FDI庫對EXE文件進行壓縮。FCI（File Compression Interface）和FDI（File Decompression Interface）是由微軟提供的用于對文件進行壓縮和解壓縮的通用庫和接口，其在Windows 7、WinNT、Win2000、WinXP等各Windows版本的操作系統下都提供了接口，具有通用性，性能上可以滿足我們對文件壓縮的要求。

（2）Shellcode組裝模塊：將經過壓縮的源PE文件（.cab文件）、PE文件執行模塊代碼、以及各標識符（主要用于PE加載時的函數定位）等字符串按照一定的規則進行組裝，形成Shellcode。

（3）多態變形模塊：采用tapion作為多態變形引擎，對Shellcode進行多態變形。經過多態變形引擎的變形，能讓每次生成的解密程序都具有不同的特征。首先，對原始Shellcode進行加密，加密采用多態異或的方法，即每次生成不同的隨機數對Shellcode主體部分進行異或。其次，對解密代碼進行多態變形保護，讓每次生成的解密代碼具有不同的特征；最后，是把這解密代碼和加密后的shellcode進行整合，設置入口點，生成新的Shellcode。

（4）PE文件生成模塊：系統目標是對PE文件進行安全加固，所以最終還要把變形后的Shellcode，重新生成PE文件。采用編譯器進行組裝，將Shellcode寫入C或C++源文件中字符串變量中，然后采用獨立的編譯器對此C或C++源文件進行編譯鏈接，最后生成新的PE文件。

（5）PE文件執行模塊：能夠在內存中直接執行，主要負責PE文件的解壓縮和動態加載。其包含三個子模塊，API初始化模塊、PE文件解壓模塊和PE文件加載模塊。

API初始化模塊：為了編寫具有通用性的Shellcode，Shellcode在其進程空間中調用某些API函數， 所以需要動態定位這些Windows系統自帶的API函數。API函數存放在一些動態鏈接庫中，而定位API函數主要用到GetProcAddress和LoadLibraryA這兩個函數。其中，LoadLibrary函數用于動態裝載dll文件，GetProcAddress函數用于從被裝載的dll文件中獲取API函數的地址。GetProcAddress和LoadLibraryA這兩個函數的地址都存放在kernel32.dll模塊的導出表中。所以在查找這兩個函數的地址之前，必須先定位kernel32.dll的地址。定位kernel32.dll，進而獲取GetProcAddress和LoadLibraryA地址。

PE文件解壓模塊：EXE殼運行之后，先對被壓縮的PE文件進行解壓，解壓程序必須先于PE文件的動態加載模塊獲得控制權，待解壓完成后將控制權交回PE文件加載模塊，由模塊內的加載程序對解壓后的源PE文件進行加載。采用Windows提供的FDI接口對EXE文件進行解壓。

PE文件加載模塊：源PE文件被壓縮后，作為一部分存放在Shellcode中，Shellcode經過多態變形之后，被存放到新的PE文件里，即新的PE文件的代碼段中嵌套著源PE文件。為了加載代碼段中的源PE文件，需要在Shellcode中添加PE文件加載模塊，代替操作系統動態加載源PE文件。

4 性能分析

本安全加固系統應具備幾種功能：（1）能對二進制可執行程序進行安全加固，要求經過安全加固后的二進制可執行程序能夠在各操作系統下正常運行，體積沒有大的變化，且能加大逆向分析的難度；（2）能實現對以二進制可執行程序進行壓縮和解壓，經過壓縮和解壓之后程序能正常運行；（3）PE文件加載模塊能夠實現對PE文件進行動態加載，且此PE文件加載模塊能在不同的宿主程序中對宿主程序進行加載，應該有較好的通用性；（4）采用的多態變形模塊能夠對Shellcode進行多態變形，使重新生成的PE文件具備多種不同的形態。

4.1 測試過程

為了驗證本安全加固系統的性能，實驗環境如表1所示。

系統操作步驟：（1）選擇需要具有代表性的軟件（包括常用軟件和惡意軟件），記錄下軟件的體積大小；（2）用本安全加固系統對各軟件進行變形，記錄下變形后的體積大小，并檢查這些變形后的軟件的能否正常運行。

選擇變形配置，其中garbage_size表示垃圾指令系數，取值范圍為0～5或者R。0～5表示插入的垃圾指令的規模，0表示無垃圾指令插入，R表示垃圾指令系數隨機產生。do_jumps選項表示插入垃圾指令時是否夾帶指令跳轉；選擇需要安全加固的PE文件和需要生成的新的PE文件名；點擊開始按鈕，變形完成后會彈出提示消息框，在當前目錄即可看到最終生成的Shellcode文件和.c文件；調用vs2010自帶的編譯器對.c文件進行編譯，最終生成新的PE文件。

（3）用系統中安裝的殺毒軟件對變形后的惡意軟件進行主動檢測查殺，記錄檢測結果。

4.2 測試結果

對本安全加固系統的測試主要分為兩項，第一項主要針對系統性能上的驗證，主要包括加固前后程序體積變化對比，以及加固后的程序在各操作系統下是否能正常運行。測試結果如表2所示。

通常情況下，殺毒軟件采用靜態和動態分析結合的方法對惡意軟件進行分析，為了驗證此加固系統的有效性，將一些容易被殺毒軟件查殺的惡意代碼進行加固，若加固后殺毒軟件不再提示為惡意軟件，即殺毒軟件無法分析出惡意軟件的行為，則說明加固是有效的。測試結果如表3所示。

表2說明，經過本系統加固后的二進制程序，在各操作系統下軟件都能正常運行，且其體積沒有較大變化，說明此安全加固系統有較好的通用性和穩定性。表3說明，加固后惡意代碼可以逃過主流殺毒軟件的查殺，加固后的二進制程序不但能加大靜態分析的難度，還能有效地阻礙對程序的動態分析，說明本系統能有效的對軟件進行安全加固。

5 結束語

針對現有安全加固技術存在的不足，本文設計并實現了一種新的二進制程序的安全加固系統。隨后選取目前流行的操作系統和殺毒軟件，對本系統的通用性、穩定性和有效性進行驗證。結果表明，本系統能有效地隱藏二進制程序靜態特征，阻礙對程序的動態分析，以及加固前后體積沒有較大變化。所以，本系統所采用的技術、設計思路和實現方法為后續二進制程序安全加固技術提供了理論基礎。隨著技術的發展，一些更智能的主動防御系統對程序進行動態分析時，仍有可能判斷出解密后程序的入口點，進而分析程序行為。所以，在后續工作中，需要進一步研究解密程序的變形技術和對抗調試器的技術。

參考文獻

[1] 田碩，梁洪亮.二進制程序安全缺陷靜態分析方法的研究綜述[J].計算機科學，2009（7）.

[2] 黃暉，陸余良，夏陽.基于動態符號執行的二進制程序缺陷發現系統[J].計算機應用研究， 2013（9）.

[3] 吳慶波， 顏躍進， 張亞軍， 吳泉源.一種基于虛擬機的驅動程序加固技術[J].計算機工程與科學， 2010（11）.

[4] 楊明，黃劉生.一種采用嵌套虛擬機的軟件保護方案[J].小型微型計算機系統，2011（2）.

作者簡介：

韓煜（1982-），男，遼寧海城人，北京郵電大學，碩士，公安部第一研究所，工程師；主要研究方向和關注領域：信息安全技術。

張濟國（1980-），男，北京人，英國貝爾法斯特女王大學，碩士，公安部第一研究所，工程師；主要研究方向和關注領域：通信技術。

篇(6)

“2009年，我上任后第一次訪問深圳工廠，當時工廠還只能生產小功率UPS。”伊頓電氣集團亞太區高級副總裁、電能質量業務總經理羅世光回憶說，“但是現在，10kW~1000kW的UPS都已經可以在中國本地進行生產。”

中國和亞太地區是伊頓在全球范圍內具有戰略意義的市場。羅世光相信，中國數據中心市場的快速增長將給伊頓的電能質量業務帶來更大的增長機會。因此，在2014年，伊頓將加強與商的合作，拓展分銷渠道，進一步推進與本土市場的全面融合，同時加大對本土產品研發和檢測的能力，提供更多符合中國客戶需求的高效節能的電能質量解決方案。

深圳是伊頓面向全球的研發和生產基地。三家位于深圳的工廠擁有5000多名員工、29條先進的自動化生產線，年產UPS達到800萬臺。伊頓在深圳設立的研發中心也是其全球三大電氣研發基地之一，產品研發和測試工程師超過1000人。

剛啟用的伊頓在深圳的亞太區電能質量產品和系統檢測中心，是除美國、芬蘭之外，伊頓在全球擁有的第三個產品和系統檢測中心。“該檢測中心同時也是客戶體驗中心，配備了全球領先的檢測設備和技術，不僅能夠檢測單體設備，還能對包括UPS、電源分配單元（PDU）、AMS監測系統和第三方設備的整個電能系統解決方案進行測試，其最大測試能力是可對兩臺并聯的1100kW的UPS進行測試。”羅世光介紹說，“客戶在選擇一款定制的電能解決方案后，即可在檢測中心看到其運行的全過程，通過親身體驗增進對產品的了解和信心。”

“過去3~4年中，我們在中國市場的總投入已經超過1200萬美元。我們仍在持續加強中國本地化，并從去年底開始進一步提升了針對中國用戶的售前和售后服務能力。”羅世光告訴記者，“目前，我們90%的UPS都在深圳研發和生產。最近，深圳研發中心剛剛研制出一款新的UPS產品。與許多跨國企業采取的遠程遙控式的本地研發策略相比，我們是實實在在地將研發部門落戶在深圳，為亞太和中國市場提供本地化服務的同時也面向全球客戶。”

云計算與大數據的發展推動了大型數據中心的快速發展，用戶對數據中心整體解決方案和定制化解決方案的需求也與日俱增。“從2010年開始，伊頓增加了為中國客戶定制數據中心解決方案的服務。在今年的商大會上，我看到了商和用戶的積極反饋。”羅世光表示。

針對小型數據中心，伊頓可以提供模塊化、標準化的解決方案；針對中型數據中心，伊頓可以針對不同行業客戶的需求，提供有差異化的解決方案；針對大型數據中心，伊頓可以提供按需擴展的高能效、低整體擁有成本的解決方案。從產品到系統再到整體解決方案，這不僅對伊頓是一個新的挑戰，對其商來說也要經歷一個大的轉變。

為了迅速提升商銷售解決方案的能力，伊頓一方面不斷更新其數據中心整體解決方案，另一方面加強對商的銷售培訓，實現信息共享。羅世光表示：“我們提供的定制化解決方案一方面要滿足用戶的個性化需求，另一方面還要保持開放性。我們將為用戶提供解決方案與服務打包的一體化解決方案。”

第三屆全國等級保護技術大會征文通知

為深入貫徹落實國家關于大力推進信息化發展和切實保障信息安全的文件精神，進一步推進信息安全等級保護技術交流，經公安主管部門同意，公安部第一研究所擬于2014年7月舉辦第三屆全國信息安全等級保護技術大會（ICSP’2014）。

會議擬請公安、工業和信息化、國家保密、國家密碼管理主管部門、中國科學院、國家網絡與信息安全信息通報中心等部門擔任指導單位，同時將出版論文集，經專家評選的部分優秀論文，將推薦至國家核心期刊發表。現就會議征文的有關情況通知如下：

一、征文范圍

1. 新技術應用環境下信息安全等級保護技術：物聯網、云計算、大數據、工控系統、移動接入網、下一代互聯網（IPv6）等新技術、環境下的等級保護支撐技術，等級保護技術體系在新環境下的應用方法；

2. 關鍵基礎設施信息安全保護技術：政府部門及金融、交通、電力、能源、通信、制造等重要行業網站、核心業務信息系統等安全威脅、隱患分析及防范措施；

3. 國內外信息安全管理政策與策略：信息安全管理政策和策略研究，信息安全管理體制和機制特點，信息安全管理標準發展對策，網絡恐怖的特點、趨勢、危害研究；

4. 信息安全預警與突發事件應急處置技術：攻擊監測技術，態勢感知預警技術，安全監測技術，安全事件響應技術，應急處置技術，災難備份技術，恢復和跟蹤技術，風險評估技術；

5. 信息安全等級保護建設技術：密碼技術，可信計算技術，網絡實名制等體系模型與構建技術，漏洞檢測技術，網絡監測與監管技術，網絡身份認證技術，網絡攻防技術，軟件安全技術，信任體系研究；

6. 信息安全等級保護監管技術：用于支撐安全監測的數據采集、挖掘與分析技術，用于支撐安全監管的敏感數據發現與保護技術，安全態勢評估技術，安全事件關聯分析技術、安全績效評估技術，電子數據取證和鑒定技術；

7. 信息安全等級保護測評技術：標準符合性檢驗技術，安全基準驗證技術，源代碼安全分析技術，逆向工程剖析技術，滲透測試技術，測評工具和測評方法；

8. 信息安全等級保護策略與機制：網絡安全綜合防控體系建設，重要信息系統的安全威脅與脆弱性分析，縱深防御策略，大數據安全保護策略，信息安全保障工作評價機制、應急響應機制、安全監測預警機制。

二、投稿要求

1. 來稿內容應屬于作者的科研成果，數據真實、可靠，未公開發表過，引用他人成果已注明出處，署名無爭議，論文摘要及全文不涉及保密內容；

2. 會議只接受以Word排版的電子稿件，稿件一般不超過5000字；

3. 稿件以Email方式發送到征稿郵箱；

4. 凡投稿文章被錄用且未作特殊聲明者，視為已同意授權出版；

5. 提交截止日期： 2014年5月25日。

三、聯系方式

通信地址：北京市海淀區首都體育館南路1號

郵編：100048

Email：.cn

聯系人： 范博、王晨

聯系電話：010-68773930，

13717905088，13581879819

篇(7)

【論文關鍵詞】 信息系統　內部控制　方法

【論文摘要】 會計電算化是運用計算機進行會計數據處理，以計算機及數據傳輸和通訊設備作為數據處理系統的核心，完成從原始數據的搜集、記錄、分類、登記、計算、匯總、報告等一系列會計工作。會計從手工處理到電算化處理，不僅是會計數據處理方法的變化，更是影響了企業傳統的內部控制制度，使企業在內部控制上發生了根本性的變化。

一、會計信息系統內部控制

為了保護國家和企業的資金安全，確保會計信息及其他相關數據的可靠，確保國家和企業的各項方針政策的貫徹與執行，提高經濟效益所采取的一切制度、方法措施和管理程序，都屬于會計內部控制的范圍。任何一家企業、事業單位或其他經濟組織，不論其規模大小、業務性質，也不論其采取何種會計工作組織程序和信息處理方式，在其會計業務處理系統中，都會不同程度、不同方面地存在著一定的系統內部控制問題。

二、電算化會計信息系統對內部控制的影響

1、內部控制形式的變化。手工記賬中的一些內部控制措施在電算化后不需要存在。如編制科目匯總表、憑證匯總表，試算平衡的檢查、總賬和明細賬的核對。在電算化環境下，人是執行控制的主體，但更多的內部控制方法是通過會計軟件來實現。因此，信息系統的內部控制也由人工控制轉為人工和程序去共同控制。電算化系統許多應用程序中包含了內部控制功能，這些程序化的內部控制的有效性取決于應用程序，如程序發生錯誤或不起作用，由于人們的依賴性以及程序運動的重復性，使得控制失效不被及時發現，從而使系統發生錯誤或違規行為的可能性大。

2、存儲介質的改變。在手工會計環境下，企業的經濟業務發生均記錄于紙張之上，并按會計數據處理的不同過程分為原始憑證、記賬憑證、會計賬簿和會計報表。這些紙質原件的數據若被修改，很容易找出修改的線索和痕跡，這是傳統紙質原件的一個優點。但在電算化系統下，原來紙質的會計數據會被直接記錄到磁盤或光盤上，非常容易被刪除或篡改，由于在技術上對電子數據非法修改可做到不留跡象，這就難以辨別哪一筆是業務記錄的原始數據。另外，電磁介質容易受損壞，所以會計信息還存在丟失或毀壞的危險。

3、內部控制的內容變化。計算機技術的引入，給會計工作增加了新的工作內容，同時也增加了新的控制措施，如計算機硬件及軟件分析、編程、維護人員與計算機操作人員內部控制，以及計算機機內及磁盤內會計信息安全保護、計算機病毒防治、計算機操作管理、系統管理員和系統維護人員的崗位責任制度等。

4、財務網絡化帶來的新問題。隨著計算機技術和網絡通訊技術的發展，會計信息系統網絡化漸漸普及。網絡的廣泛應用在很大程度上彌補了單機電算化系統的不足，使電算化會計系統的內部控制更加完善，同時也帶來了新問題。目前財務軟件的網絡功能主要包括遠程報賬、遠程報表、遠程審計、網上支付、網上催賬、網上報稅、網上采購、網上銷售、網上銀行等，實現這些功能就必須有相應的控制，從而加大了會計系統安全控制的難度。

三、完善電算化會計信息系統環境下的內部控制

堅持明確分工、相互獨立、互相牽制、相互制約的安全管理原則，建立并不斷完善人工與機器相結合的控制機制，使會計電算化運行的每一個過程都處于嚴密控制之中是我們完善會計電算化內部控制的基本思路。

1、系統維護控制。系統維護包括軟件修改、代碼結構修改和計算機硬件與通訊設備的維修等，涉及到系統功能的調整、擴充和完善。對財務系統進行維護必須經過周密計劃和嚴格記錄，維護過程的每一環節都應設置必要的控制，維護的原因和性質必須有書面形式的報告，經批準后才能實施修改。軟件修改尤為重要，系統操作員不能參與軟件的修改，所有與系統維護有關的記錄都應打印后存檔。操作環境包括系統操作過程以及系統的維護。操作過程控制主要通過制訂一套完整而嚴格的操作規定來實現。操作規程應明確職責，操作程序和注意事項，并形成一套電算化系統文件。如規定交接班手續和登記運行日志，規定數據備份及機器的使用規范，規定軟盤專用以防病毒感染。

2、信息安全控制。電算化會計信息系統的安全控制，是指采用各種方法保護數據和計算機程序，以防止數據泄密、被更改或破壞，主要包括實體安全控制、數據安全控制、網絡安全控制等。

（1）實體安全控制。實行電算化以后，設立計算機房的主要目的是給計算機設備創造一個良好的運行環境，保護機器設備；防止各種非法人員進入機房，保護機內程序和數據的安全。具體措施包括：對進入機房內的人員進行嚴格審查；保證機房設備安全的措施，如機房防火規定等；保證計算機正常運行措施，如機房防潮、防磁及恒溫等方面的規定等；會計數據和會計軟件安全保密的措施，如數據備份規定及不準在計算機上玩電腦游戲等規定；修改會計核算軟件的審批和監督制度。

（2）數據安全控制。計算機會計系統有關的資料應及時存檔，企業應建立起完善的檔案制度，加強檔案管理。一個合理完善的檔案管理制度一般有合格的檔案管理人員、完善的資料借用和歸還手續、完善的標簽和索引方法、安全可靠的檔案保管設備等。除此之外，還應定期對所有檔案進行備份并保管好這些備份。為防止檔案被破壞，企業應制訂出檔案被破壞的事件發生時的應急措施和恢復手段，企業使用的會計軟件也應具有強制備份的功能和一旦系統崩潰及時恢復到最近狀態的功能。

（3）網絡安全控制。公司應對網絡安全進行控制，設置網絡安全性指標，包括數據保密、訪問控制、身份識別等。一是用戶權限設置，應從業務范圍出發，將整個網絡系統分級管理，設置系統管理員、數據錄入員、數據管理員和專職會計員等崗位，層層負責，對各種數據的讀、寫、修改權限進行嚴格限制，把各項業務的授權、執行、記錄以及資產保管把等職能授予不同崗位的用戶，并賦予不同的操作權限，拒絕其他用戶的訪問。二是密碼設置，用戶應按照自己的用戶身份和密碼進入系統，對密碼進行分組管理，對存儲在網絡上的重要數據進行有效加密，在網絡中傳播數據前對相關數據進行加密，接收到數據后再進行相應的解密處理，并定期更新加密密碼。另因網絡病毒日益猖獗，防范病毒也是安全控制的重點。對不需要本地硬盤和軟盤的工作站，盡量采用無盤工作。

3、電算化會計信息系統的人員職能控制。人員控制是電算化系統管理的根本，會計電算化人才的缺乏是制約我國會計信息化工作發展的關鍵環節。為此，首先要通過各種培訓提高會計人員的計算機業務水平和職業道德水準、增強遵守各項法規的自覺性，實行考核合格才準上崗的制度。其次要通過各類院校培養既懂會計又掌握一定計算機知識及技能的專業人才充實到會計隊伍中。再次，會計人員不僅要具備財會知識和計算機知識，同時還要掌握一定的管理知識。最后，業務主管應當熟悉整個會計電算化處理業務，以便對系統會計工作流程進行監控和指導。

4、信息系統的內部審計。內部審計是單位或企業內部控制系統的重要組成部分，也是強化內部會計監督的制度安排。電算化會計信息系統的運作往往是“人機”對話的特殊形態，對網絡環境下的會計信息審核必須運用更復雜的查核技術，只有精通計算機網絡知識、熟悉審計財務程序的人員才能勝任此項工作，這給內部審計加大了難度。內部審計制度是保障內部控制的重要手段之一，通過內部審計可以了解現有的一些內部控制措施是否能滿足為內部會計系統提供準確、可靠的信息，以及這些控制措施能否有效地運作以達到預期的目的。在電算化系統運行過程中，審計人員對會計業務處理等工作進行評價和檢驗，有利于檢測財務軟件的可靠性，發現存在的問題、提出解決問題的建議，有利于提高會計核算質量和管理水平。

在電算化條件下，關鍵的會計信息處理和業務核算工作已由會計電算化軟件集中代替，會計工作的執行主體演變為人與電算化軟件兩個因素，且電算化軟件是主要的執行因素。這種變化使得會計電算化系統中的內部控制實施主體也演變為人與軟件兩個因素，且電算化軟件導致的系統問題風險將成為會計系統中內部控制的主要風險。完善有效的計算機系統及管理制度是電算化會計信息系統安全之本，提高會計電算化人員素質，規范和完善電算化會計信息系統操作和管理章程，重視內部審計，增強數據安全意識，是當前強化電算化會計信息系統內部控制的關鍵問題。

參考文獻