序論：好文章的創(chuàng)作是一個不斷探索和完善的過程，我們?yōu)槟扑]十篇安全設(shè)計論文范例，希望它們能助您一臂之力，提升您的閱讀品質(zhì)，帶來更深刻的閱讀感受。

篇（1）

CISP的核心在于將保障貫穿于整個知識體系。保障應(yīng)覆蓋整個信息系統(tǒng)生命周期，通過技術(shù)、管理、工程過程和人員，確保每個階段的安全屬性（保密性、完整性和可用性）得到有效控制，使組織業(yè)務(wù)持續(xù)運(yùn)行。IT作為保障業(yè)務(wù)的重要手段和工具成為傳統(tǒng)保障目的的核心。由于風(fēng)險會影響業(yè)務(wù)的正常運(yùn)行，因此，降低風(fēng)險對業(yè)務(wù)的影響是保障的主要目標(biāo)（如圖）。在建立保障論據(jù)的過程中，首先應(yīng)該考慮的是組織業(yè)務(wù)對IT的依賴程度；其次要考慮風(fēng)險的客觀性；第三要考慮風(fēng)險消減手段的可執(zhí)行度。CISP從體系結(jié)構(gòu)上提供了信息安全規(guī)劃設(shè)計的良好思路和方法論，在整個課程體系中涵蓋了從政策（戰(zhàn)略層）到模型、標(biāo)準(zhǔn)、基線（戰(zhàn)術(shù)層）的縱向線條，同時在兼顧中國國情的情況下，系統(tǒng)介紹國際常用評估標(biāo)準(zhǔn)、管理標(biāo)準(zhǔn)和國家相關(guān)信息安全標(biāo)準(zhǔn)與政策。

根據(jù)CISP知識體系建立安全規(guī)劃設(shè)計

安全規(guī)劃是信息安全生命周期管理的起點(diǎn)和基礎(chǔ)，良好的規(guī)劃設(shè)計可以為組織帶來正確的指導(dǎo)和方向。根據(jù)國家《網(wǎng)絡(luò)安全法》“第三十三條建設(shè)關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)當(dāng)確保其具有支持業(yè)務(wù)穩(wěn)定、持續(xù)運(yùn)行的性能，并保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用。”

1.通過保障的思想建立安全規(guī)劃背景

信息安全規(guī)劃設(shè)計可以根據(jù)美國信息保障技術(shù)框架（IATF）ISSE過程建立需求，本階段可對應(yīng)ISSE中發(fā)掘信息保護(hù)需求階段。根據(jù)“信息安全保障基本內(nèi)容”確定安全需求，安全需求源于業(yè)務(wù)需求，通過風(fēng)險評估，在符合現(xiàn)有政策法規(guī)的情況下，建立基于風(fēng)險與策略的基本方針。因此，安全規(guī)劃首先要熟悉并了解組織的業(yè)務(wù)特性，在信息安全規(guī)劃背景設(shè)計中，應(yīng)描述規(guī)劃對象的業(yè)務(wù)特性、業(yè)務(wù)類型、業(yè)務(wù)范圍以及業(yè)務(wù)狀態(tài)等相關(guān)信息，并根據(jù)組織結(jié)構(gòu)選擇適用的安全標(biāo)準(zhǔn)，例如國家關(guān)鍵基礎(chǔ)設(shè)施的信息安全需要建立在信息安全等級保護(hù)基礎(chǔ)之上、第三方支付機(jī)構(gòu)可選CISP知識域簡圖擇PCI-DSS作為可依據(jù)的準(zhǔn)則等。信息系統(tǒng)保護(hù)輪廓（ISPP）是根據(jù)組織機(jī)構(gòu)使命和所處的運(yùn)行環(huán)境，從組織機(jī)構(gòu)的策略和風(fēng)險的實(shí)際情況出發(fā)，對具體信息系統(tǒng)安全保障需求和能力進(jìn)行具體描述。傳統(tǒng)的風(fēng)險評估可以基于GB/T20984《信息安全風(fēng)險評估規(guī)范》執(zhí)行具體的評估，評估分為技術(shù)評估與管理評估兩部分。從可遵循的標(biāo)準(zhǔn)來看，技術(shù)評估通過GB/T22240—2008《信息安全等級保護(hù)技術(shù)要求》中物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全及數(shù)據(jù)安全五個層面進(jìn)行評估；管理安全可以選擇ISO/IEC27001：2013《信息技術(shù)信息安全管理體系要求》進(jìn)行，該標(biāo)準(zhǔn)所包含的14個控制類113個控制點(diǎn)充分體現(xiàn)組織所涉及的管理風(fēng)險。在工作中，可以根據(jù)信息系統(tǒng)安全目標(biāo)來規(guī)范制定安全方案。信息系統(tǒng)安全目標(biāo)是根據(jù)信息系統(tǒng)保護(hù)輪廓編制、從信息系統(tǒng)安全保障的建設(shè)方（廠商）角度制定的信息系統(tǒng)安全保障方案。根據(jù)組織的安全目標(biāo)設(shè)計建設(shè)目標(biāo)，由于信息技術(shù)的飛速發(fā)展以及組織業(yè)務(wù)的高速變化，一般建議建設(shè)目標(biāo)以1-3年為宜，充分體現(xiàn)信息安全規(guī)劃設(shè)計的可實(shí)施性，包括可接受的成本、合理的進(jìn)度、技術(shù)可實(shí)現(xiàn)性，以及組織管理和文化的可接受性等因素。

2.信息系統(tǒng)安全保障評估框架下的概要設(shè)計

概要設(shè)計的主要任務(wù)是把背景建立階段中所獲得的需求通過頂層設(shè)計進(jìn)行描述。本階段可對應(yīng)ISSE中定義信息保護(hù)系統(tǒng)，通過概要設(shè)計將安全規(guī)劃設(shè)計基于GB/T20274-1：2006《信息安全技術(shù)信息系統(tǒng)安全保障評估框架第一部分：簡介和一般模型》進(jìn)行模塊化劃分，并且描述安全規(guī)劃設(shè)計的組織高層愿景與設(shè)計內(nèi)涵；在概要設(shè)計中，還應(yīng)該描述每個模塊的概要描述與設(shè)計原則。設(shè)計思路是從宏觀上描述信息安全規(guī)劃設(shè)計的目的、意義以及最終目標(biāo)并選擇適用的模型建立設(shè)計原則。本部分主要體現(xiàn)信息安全保障中信息系統(tǒng)安全概念和關(guān)系。根據(jù)《網(wǎng)絡(luò)安全法》相關(guān)規(guī)定，頂層設(shè)計可以建立在信息安全等級保護(hù)的基礎(chǔ)上，綜合考慮諸如建立安全管理組織、完善預(yù)警與應(yīng)急響應(yīng)機(jī)制、確保業(yè)務(wù)連續(xù)性計劃等方面GB/T20274-1：2006《信息安全技術(shù)信息系統(tǒng)安全保障評估框架第一部分：簡介和一般模型》提供了一個優(yōu)秀的保障體系框架。該標(biāo)準(zhǔn)給出了信息系統(tǒng)安全保障的基本概念和模型，并建立了信息系統(tǒng)安全保障框架。該標(biāo)準(zhǔn)詳細(xì)給出了信息系統(tǒng)安全保障的一般模型，包括安全保障上下文、信息系統(tǒng)安全保障評估、信息系統(tǒng)保護(hù)輪廓和信息系統(tǒng)安全目標(biāo)的生成、信息系統(tǒng)安全保障描述材料；信息系統(tǒng)安全保障評估和評估結(jié)果，包括信息系統(tǒng)保護(hù)輪廓和信息系統(tǒng)安全目標(biāo)的要求、評估對象的要求、評估結(jié)果的聲明等。信息系統(tǒng)安全保障是在信息系統(tǒng)的整個生命周期中，通過對信息系統(tǒng)的風(fēng)險分析，制定并執(zhí)行相應(yīng)的安全保障策略，從技術(shù)、管理、工程和人員等方面提出安全保障要求，確保信息系統(tǒng)的保密性、完整性和可用性，降低安全風(fēng)險到可接受的程度，從而保障系統(tǒng)實(shí)現(xiàn)組織機(jī)構(gòu)的使命。策略體現(xiàn)的是組織的高層意旨，模型與措施作為戰(zhàn)術(shù)指標(biāo)分別為中層和執(zhí)行層提供具體的工作思路和方法，以完成設(shè)計的具體實(shí)現(xiàn)。當(dāng)信息安全滿足所定義的基本要素后，為每個層面的設(shè)計提出概要目標(biāo)，并在具體的設(shè)計中將其覆蓋整個安全規(guī)劃中。

3.實(shí)現(xiàn)建立在宏觀角度的合規(guī)性通用設(shè)計

通用設(shè)計可對應(yīng)ISSE中設(shè)計系統(tǒng)體系結(jié)構(gòu)，本階段是整個安全規(guī)劃設(shè)計的核心部分，本階段必須全面覆蓋背景建立階段所獲得的安全需求，滿足概要設(shè)計階段所選擇的模型與方法論，全面、系統(tǒng)的描述安全目標(biāo)的具體實(shí)現(xiàn)。通用安全設(shè)計是建立在宏觀角度上的綜合性設(shè)計，設(shè)計首先將各個系統(tǒng)所產(chǎn)生的共同問題及宏觀問題統(tǒng)一解決，有效降低在安全建設(shè)中的重復(fù)建設(shè)和管理真空問題。在通用設(shè)計中，重點(diǎn)針對組織信息安全管理體系和風(fēng)險管理過程的控制元素，從系統(tǒng)生命周期考慮信息安全問題。（1）管理設(shè)計在信息安全管理體系ISMS過程方法論中，可遵循的過程方法是PDCA四個階段：首先，需要在P階段解決信息系統(tǒng)安全的目標(biāo)、范圍的確認(rèn)，并且獲得高層的支持與承諾。安全管理的實(shí)質(zhì)就是風(fēng)險管理，管理設(shè)計應(yīng)緊緊圍繞風(fēng)險建立，所以，本階段首要的任務(wù)是為組織建立適用的風(fēng)險評估方法論。其次，管理評估中所識別的不可接受風(fēng)險是本階段主要設(shè)計依據(jù)。通過D環(huán)節(jié)，需要解決風(fēng)險評估的具體實(shí)施以及風(fēng)險控制措施落實(shí)，風(fēng)險評估僅能解決當(dāng)前狀態(tài)下的安全風(fēng)險問題，因此，必須建立風(fēng)險管理實(shí)施規(guī)范，當(dāng)組織在一定周期（例如1年）或者組織發(fā)生重大變更時重新執(zhí)行風(fēng)險評估，風(fēng)險評估可以是自評估，也可以委托第三方進(jìn)行。本環(huán)節(jié)的設(shè)計必須涵蓋管理風(fēng)險中所有不可接受風(fēng)險的具體處置，從實(shí)現(xiàn)而言，重點(diǎn)關(guān)注管理機(jī)構(gòu)的設(shè)置與體系文件的建立和落實(shí)。第三個環(huán)節(jié)是建立有效的內(nèi)審機(jī)制和監(jiān)測機(jī)制，沒有檢測就沒有改進(jìn)，通過設(shè)計審計體系完成對信息安全管理體系的動態(tài)運(yùn)行。第四個環(huán)節(jié)，即A環(huán)節(jié)，是在完成審計之后針對組織是否有效執(zhí)行糾正措施的落實(shí)設(shè)計審計跟蹤和風(fēng)險再評估過程。A環(huán)節(jié)既是信息安全管理體系的最后一個環(huán)節(jié)，也是新的PDCA過程的推動力。（2）技術(shù)設(shè)計技術(shù)設(shè)計主要是建立在組織平均安全水平基礎(chǔ)上，應(yīng)可適用于組織所有的系統(tǒng)和通用的技術(shù)風(fēng)險。設(shè)計可遵循多種技術(shù)標(biāo)準(zhǔn)體系，首先建立基于信息安全等級保護(hù)的五個層面技術(shù)設(shè)計要求。通過美國信息保障技術(shù)框架建立“縱深防御”原則，其具體涉及在訪問控制技術(shù)和密碼學(xué)技術(shù)支撐下的物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全。技術(shù)設(shè)計可在原有的技術(shù)框架下建立云安全、大數(shù)據(jù)安全等專項(xiàng)技術(shù)安全設(shè)計，也可在網(wǎng)絡(luò)安全中增加虛擬網(wǎng)絡(luò)安全設(shè)計等方式，應(yīng)對新技術(shù)領(lǐng)域的安全設(shè)計。技術(shù)設(shè)計可以包括兩個主要手段：第一，技術(shù)配置。技術(shù)配置是在現(xiàn)有的技術(shù)能力下通過基于業(yè)務(wù)的安全策略和合規(guī)性基線進(jìn)行安全配置。常見的手段包括補(bǔ)丁的修訂、安全域的劃分與ACL的設(shè)計、基于基線的系統(tǒng)配置等手段；第二，技術(shù)產(chǎn)品。技術(shù)產(chǎn)品是在現(xiàn)有產(chǎn)品不能滿足控制能力時通過添加新的安全產(chǎn)品結(jié)合原有的控制措施和產(chǎn)品統(tǒng)一部署、統(tǒng)一管理。在技術(shù)設(shè)計中，必須明確的原則是產(chǎn)品不是安全的唯一，產(chǎn)品也不是解決安全問題的靈丹妙藥，有效的安全控制是通過對產(chǎn)品的綜合使用和與管理、流程、人員能力相互結(jié)合，最終形成最佳的使用效果。（3）工程過程設(shè)計工程過程設(shè)計重點(diǎn)考慮基于生命周期每個階段的基于安全工程考慮的流程問題，在信息系統(tǒng)生命周期的五個層面。信息安全問題應(yīng)該從計劃組織階段開始重視，在信息系統(tǒng)生命周期每個階段建立有效的安全控制和管理。工程過程包括計劃組織、開發(fā)采購、實(shí)施交付、運(yùn)行維護(hù)和廢棄五個階段，本階段的設(shè)計主要通過在每個階段建立相應(yīng)的流程，通過流程設(shè)計控制生命周期各個階段的安全風(fēng)險。在計劃組織（需求分析）階段，體現(xiàn)信息安全工程中明確指出的系統(tǒng)建設(shè)與安全建設(shè)應(yīng)“同步規(guī)劃、同步實(shí)施”，體現(xiàn)《網(wǎng)絡(luò)安全法》中“三同步”的要求。在開發(fā)采購階段，通過流程設(shè)計實(shí)現(xiàn)軟件安全開發(fā)的實(shí)現(xiàn)和實(shí)現(xiàn)供應(yīng)鏈管理。實(shí)施交付階段，關(guān)注安全交付問題，應(yīng)設(shè)計安全交付流程和安全驗(yàn)收流程。運(yùn)行維護(hù)階段要體現(xiàn)安全運(yùn)維與傳統(tǒng)運(yùn)維差異化，安全運(yùn)維起于風(fēng)險評估，應(yīng)更多關(guān)注預(yù)防事件的發(fā)生，事前安全檢查的基線設(shè)計、檢查手段及工具的選擇和使用根據(jù)設(shè)備的不同重要程度建立不同的檢查周期；當(dāng)系統(tǒng)產(chǎn)生缺陷或者漏洞時，設(shè)計合理的配置管理、變更管理及補(bǔ)丁管理等流程解決事中問題；當(dāng)事件已經(jīng)產(chǎn)生影響時，可以通過預(yù)定義的應(yīng)急響應(yīng)機(jī)制抑制事件并處置事件；當(dāng)事件造成系統(tǒng)中斷、數(shù)據(jù)丟失以及其他影響業(yè)務(wù)連續(xù)性后果時，能夠通過規(guī)劃中的災(zāi)難恢復(fù)及時恢復(fù)業(yè)務(wù)。廢棄階段通過流程控制用戶系統(tǒng)在下線、遷移、更新過程中對包含有組織敏感信息的存儲介質(zhì)建立保護(hù)流程和方法，明確廢棄過程中形成的信息保護(hù)責(zé)任制，并根據(jù)不同的敏感采取不同的管理手段和技術(shù)手段對剩余信息進(jìn)行有效處置。（4）人員設(shè)計人員安全是信息安全領(lǐng)域不可或缺的層面，長期以來，過于關(guān)注IT技術(shù)的規(guī)劃設(shè)計而忽略了人的安全問題，內(nèi)部人員安全問題構(gòu)成了組織安全的重要隱患，人為的無意失誤造成的損害往往遠(yuǎn)大于人為的惡意行為。人員設(shè)計重點(diǎn)關(guān)注人員崗位、技術(shù)要求、背景以及培訓(xùn)與教育，充分體現(xiàn)最小特權(quán)、職責(zé)分離及問責(zé)制等原則。根據(jù)《網(wǎng)絡(luò)安全法》第四章要求，關(guān)鍵基礎(chǔ)設(shè)施應(yīng)建立信息安全管理機(jī)構(gòu)，并設(shè)置信息安全專職人員。在人員設(shè)計中還應(yīng)充分考慮到第三方代維人員的管理及供應(yīng)商管理等新問題的產(chǎn)生。

篇（2）

二、兒童家具設(shè)計中存在的安全性問題

盡管父母在為孩子選擇家具時會考慮很多因素，但是市場上存在的許多兒童家具在設(shè)計之初就沒有充分考慮兒童的身心健康需要，使得設(shè)計出的家具存在一定程度的安全隱患，對兒童的健康成長埋下了隱患。

1．缺少安全防護(hù)設(shè)計

在發(fā)生過的許多家具傷害兒童事件中，許多都是因?yàn)榧揖咴O(shè)計不合理、沒有采用合適的安全防護(hù)設(shè)計導(dǎo)致的。例如在一些案例中，設(shè)計者在設(shè)計兒童上下雙人床這一家具時，沒有充分考慮兒童好動、喜歡攀爬的特點(diǎn)，將頂層床的防護(hù)欄設(shè)計過低，使得兒童受傷害的幾率大大增加。

2．復(fù)雜結(jié)構(gòu)中的安全隱患

一些設(shè)計復(fù)雜、功能繁多的兒童家具成功地吸引了兒童的注意力，但與此同時也帶來了極大的隱患。例如有的設(shè)計者將兒童用的椅子設(shè)計成帶有腳輪的結(jié)構(gòu)，這樣的設(shè)計使得椅子的功能性和趣味性都有所增加，但是設(shè)計者可能忽略了孩子們好動的天性，如果有孩子站到椅子上面，很有可能造成椅子滑動、孩子摔下的情況發(fā)生。

3．家具材料可能帶來的傷害

隨著科學(xué)技術(shù)的不斷進(jìn)步，許多新材料被運(yùn)用到家具制作中來，它們可能具有良好的性能、可能具有亮麗的外表，但也可能存在能夠使兒童受到傷害的危險。例如使用金屬材料對家具進(jìn)行封邊處理、使用玻璃材質(zhì)作為學(xué)習(xí)桌的桌面，這樣做使得家具更加堅(jiān)固與美觀，但是金屬邊有可能造成兒童被劃傷、玻璃桌面破損后有可能造成兒童受到傷害。另外一些可以散發(fā)有害氣體的材料也可能被用于兒童家具的制作中，例如刨花板、三合板等合成板材在家具中的使用，這些板材使用含有甲醛的膠水黏合而成，不斷釋放的有毒氣體會導(dǎo)致兒童的身體受到傷害。

4．色彩造成的視覺污染

兒童具有天真活潑的性格特點(diǎn)，他們對于色彩的敏感程度非常高，喜歡讓鮮艷的顏色充滿自己生活的環(huán)境。因此一些兒童家具的設(shè)計師抓住兒童這樣的心理特點(diǎn)，將兒童家具設(shè)計成具有鮮艷色彩的樣式，采用此種設(shè)計成功的案例很多，但也有許多設(shè)計師濫用色彩，造成了視覺污染，成為危害兒童健康成長的家具色彩污染。一方面是家具自身顏色的不協(xié)調(diào)，家具本身從整體看給人以非常難受的感覺，另一方面家具與周圍環(huán)境之間的不協(xié)調(diào)，使得家具雖然擺放在某處，但是給人以非常突兀的感覺。長期處于這種環(huán)境中的兒童會形成心理上的陰影，不利于今后身心的健康成長。

三、兒童家具的安全性設(shè)計

兒童的身心特點(diǎn)使得他們更容易受到來自外界的傷害，因此兒童每天都在使用的家具有必要對其進(jìn)行相關(guān)的安全性研究。兒童家具的安全主要包括物理安全與化學(xué)安全兩種，物理安全指的是家具的硬度、棱角等物理方面是否符合兒童安全的需要，化學(xué)安全指的是家具材料中含有的化學(xué)成分是否符合兒童使用安全的需要。在對兒童家具成功設(shè)計案例總結(jié)的基礎(chǔ)上，筆者將兒童家具設(shè)計安全性需要考慮的因素總結(jié)如下：

1．兒童家具設(shè)計的造型與結(jié)構(gòu)安全性

在造型方面家具的設(shè)計應(yīng)當(dāng)更加多樣化，用美觀的造型贏得兒童的喜愛，但是在關(guān)注造型美觀的同時更應(yīng)當(dāng)重視兒童家具的實(shí)用性，家具的設(shè)計應(yīng)當(dāng)滿足兒童生活學(xué)習(xí)的客觀需求，這是兒童家具設(shè)計的根本要求。另外還要考慮家具的舒適性，兒童正處于身體發(fā)育的關(guān)鍵時期，不舒適的家具有可能造成身體的發(fā)育受到傷害，影響孩子的成長。例如對于兒童課桌椅的設(shè)計，既要注重桌椅美觀，在設(shè)計中加入卡通等兒童喜歡的元素，又要確保兒童在使用過程中有利于其視力、骨骼發(fā)育的保護(hù)。在設(shè)計結(jié)構(gòu)安全性方面，應(yīng)當(dāng)充分考慮以下三個方面要素：一是要保證兒童家具的牢固與穩(wěn)定，兒童家具的設(shè)計盡量避免使用可拆卸、折疊式的結(jié)構(gòu)，防止兒童在接觸家具時被夾傷，另外設(shè)計的家具應(yīng)當(dāng)具備一定的抗壓、抗摔的強(qiáng)度，以免因?yàn)榧揖叩钠茡p對兒童造成的傷害。二是對于可抽拉、開關(guān)門式的家具在設(shè)計時要使用緩沖設(shè)備，防止兒童在抽拉抽屜或者開門時擠傷身體。三是注意小配件的安全性，小配件的安裝應(yīng)當(dāng)非常牢固，不易于被孩子拆卸，另外在體積方面也可以考慮將小配件的體積設(shè)計得大一點(diǎn)，以免被孩子獲得導(dǎo)致誤食的危險。

2．兒童家具設(shè)計中的色彩

色彩是兒童家具設(shè)計中的重要元素，色彩的不同會使人產(chǎn)生不同的情緒和聯(lián)想，兒童正處于自身個性形成的關(guān)鍵時期，他們的成長性與變化性決定了他們的心情與性格會因周圍的環(huán)境與色彩的變化而變化。因此為了更好地利用色彩這一元素，促進(jìn)兒童身心健康成長，兒童家具的設(shè)計師們應(yīng)當(dāng)詳細(xì)了解兒童的心理需要與顏色所代表的含義及對人的影響。色彩鮮明、帶有兒童趣味的家具是兒童喜歡的家具類型，設(shè)計師要充分利用色彩的對比與協(xié)調(diào)性將產(chǎn)品的設(shè)計理念表達(dá)出來，力求使家具實(shí)現(xiàn)開發(fā)兒童智力、增長兒童見識的目的。色彩的使用應(yīng)當(dāng)遵循兩個原則，一是要確保家具本身色彩的協(xié)調(diào)性與一致性，二是要確保家具色彩與兒童學(xué)習(xí)、生活環(huán)境的協(xié)調(diào)性，避免在設(shè)計中濫用色彩，污染了兒童成長的環(huán)境。

3．兒童家具設(shè)計中材料的選用

兒童家具的制作材料非常豐富，每種材料都有不同的特點(diǎn)，可以用于制作不同類型的家具或者制作家具的某個部件。材料的選用應(yīng)當(dāng)充分考慮環(huán)保、安全因素，目前市場上兒童家具甲醛超標(biāo)是常見的現(xiàn)象，這種類型的家具會對兒童的身體發(fā)育造成不良的影響，不利于保證兒童的健康，因此在選用家具材料時要盡量避免使用含有大量膠黏合劑的材料，應(yīng)使用如實(shí)木、塑料、太空鋁等不含有膠黏合劑的材料。另外為了減輕某些兒童家具的重量，確保兒童不會受到家具有可能帶來的的傷害，中低密度的板材、中空的合金材料可能會是比較理想的選擇，但需要注意的是使用這些輕質(zhì)材料也要充分考慮家具的穩(wěn)定性，確保兒童在使用過程中不會出現(xiàn)因?yàn)榧揖卟环€(wěn)定，翻到砸傷孩子的情況。另外在使用金屬材料時要防止出現(xiàn)金屬切割時出現(xiàn)的鋒利邊緣，盡量將金屬材質(zhì)的棱角處打磨圓滑，以免割傷孩子們的身體。

篇（3）

目前，網(wǎng)絡(luò)安全管理技術(shù)越來越受到人們的重視，而網(wǎng)絡(luò)安全管理系統(tǒng)也逐漸地應(yīng)用到企事業(yè)單位、政府機(jī)關(guān)和高等院校的各種計算機(jī)網(wǎng)絡(luò)中。隨著網(wǎng)絡(luò)安全管理系統(tǒng)建設(shè)的規(guī)模不斷發(fā)展和擴(kuò)大，網(wǎng)絡(luò)安全防范技術(shù)也得到了迅猛發(fā)展，同時出現(xiàn)了若干問題，例如網(wǎng)絡(luò)安全管理和設(shè)備配置的協(xié)調(diào)問題、網(wǎng)絡(luò)安全風(fēng)險監(jiān)控問題、網(wǎng)絡(luò)安全預(yù)警響應(yīng)問題，以及網(wǎng)絡(luò)中大量數(shù)據(jù)的安全存儲和使用問題等等。網(wǎng)絡(luò)安全管理在企業(yè)管理中最初是被作為一個關(guān)鍵的組成部分，從信息安全管理的方向來看，網(wǎng)絡(luò)安全管理涉及到整個企業(yè)的策略規(guī)劃和流程、保護(hù)數(shù)據(jù)需要的密碼加密、防火墻設(shè)置、授權(quán)訪問、系統(tǒng)認(rèn)證、數(shù)據(jù)傳輸安全和外界攻擊保護(hù)等等。在實(shí)際應(yīng)用中，網(wǎng)絡(luò)安全管理并不僅僅是一個軟件系統(tǒng)，它涵蓋了多種內(nèi)容，包括網(wǎng)絡(luò)安全策略管理、網(wǎng)絡(luò)設(shè)備安全管理、網(wǎng)絡(luò)安全風(fēng)險監(jiān)控等多個方面。

防火墻技術(shù)

互聯(lián)網(wǎng)防火墻結(jié)合了硬件和軟件技術(shù)來防止未授權(quán)的訪問進(jìn)行出入，是一個控制經(jīng)過防火墻進(jìn)行網(wǎng)絡(luò)活動行為和數(shù)據(jù)信息交換的軟件防護(hù)系統(tǒng)，目的是為了保證整個網(wǎng)絡(luò)系統(tǒng)不受到任何侵犯。防火墻是根據(jù)企業(yè)的網(wǎng)絡(luò)安全管理策略來控制進(jìn)入和流出網(wǎng)絡(luò)的數(shù)據(jù)信息，而且其具有一定程度的抗外界攻擊能力，所以可以作為企業(yè)不同網(wǎng)絡(luò)之間，或者多個局域網(wǎng)之間進(jìn)行數(shù)據(jù)信息交換的出入接口。防火墻是保證網(wǎng)絡(luò)信息安全、提供安全服務(wù)的基礎(chǔ)設(shè)施，它不僅是一個限制器，更是一個分離器和分析器，能夠有效控制企業(yè)內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的數(shù)據(jù)信息交換，從而保證整個網(wǎng)絡(luò)系統(tǒng)的安全。將防火墻技術(shù)引入到網(wǎng)絡(luò)安全管理系統(tǒng)之中是因?yàn)閭鹘y(tǒng)的子網(wǎng)系統(tǒng)并不十分安全，很容易將信息暴露給網(wǎng)絡(luò)文件系統(tǒng)和網(wǎng)絡(luò)信息服務(wù)等這類不安全的網(wǎng)絡(luò)服務(wù)，更容易受到網(wǎng)絡(luò)的攻擊和竊聽。目前，互聯(lián)網(wǎng)中較為常用的協(xié)議就是TCP/IP協(xié)議，而TCP/IP的制定并沒有考慮到安全因素，防火墻的設(shè)置從很大程度上解決了子網(wǎng)系統(tǒng)的安全問題。

1入侵檢測技術(shù)入侵檢測是一種增強(qiáng)系統(tǒng)安全的有效方法。其目的就是檢測出系統(tǒng)中違背系統(tǒng)安全性規(guī)則或者威脅到系統(tǒng)安全的活動。通過對系統(tǒng)中用戶行為或系統(tǒng)行為的可疑程度進(jìn)行評估，并根據(jù)評價結(jié)果來判斷行為的正常性，從而幫助系統(tǒng)管理人員采取相應(yīng)的對策措施。入侵檢測可分為：異常檢測、行為檢測、分布式免疫檢測等。

2系統(tǒng)設(shè)計目標(biāo)該文的企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)的設(shè)計目的是需要克服原有網(wǎng)絡(luò)安全技術(shù)的不足，提出一種通用的、可擴(kuò)展的、模塊化的網(wǎng)絡(luò)安全管理系統(tǒng)，以多層網(wǎng)絡(luò)架構(gòu)的安全防護(hù)方式，將身份認(rèn)證、入侵檢測、訪問控制等一系列網(wǎng)絡(luò)安全防護(hù)技術(shù)應(yīng)用到網(wǎng)絡(luò)系統(tǒng)之中，使得這些網(wǎng)絡(luò)安全防護(hù)技術(shù)能夠相互彌補(bǔ)、彼此配合，在統(tǒng)一的控制策略下對網(wǎng)絡(luò)系統(tǒng)進(jìn)行檢測和監(jiān)控，從而形成一個分布式網(wǎng)絡(luò)安全防護(hù)體系，從而有效提高網(wǎng)絡(luò)安全管理系統(tǒng)的功能性、實(shí)用性和開放性。

系統(tǒng)原理框圖

該文設(shè)計了一種通用的企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)。

1系統(tǒng)總體架構(gòu)網(wǎng)絡(luò)安全管理中心作為整個企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)的核心部分，能夠在同一時間與多個網(wǎng)絡(luò)安全終端連接，并通過其對多個網(wǎng)絡(luò)設(shè)備進(jìn)行管理，還能夠提供處理網(wǎng)絡(luò)安全事件、提供網(wǎng)絡(luò)配置探測器、查詢網(wǎng)絡(luò)安全事件，以及在網(wǎng)絡(luò)中發(fā)生響應(yīng)命令等功能。網(wǎng)絡(luò)安全是以分布式的方式，布置在受保護(hù)和監(jiān)控的企業(yè)網(wǎng)絡(luò)中，網(wǎng)絡(luò)安全是提供網(wǎng)絡(luò)安全事件采集，以及網(wǎng)絡(luò)安全設(shè)備管理等服務(wù)的，并且與網(wǎng)絡(luò)安全管理中心相互連接。網(wǎng)絡(luò)設(shè)備管理包括了對企業(yè)整個網(wǎng)絡(luò)系統(tǒng)中的各種網(wǎng)絡(luò)基礎(chǔ)設(shè)備、設(shè)施的管理。網(wǎng)絡(luò)安全管理專業(yè)人員能夠通過終端管理設(shè)備，對企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)進(jìn)行有效的安全管理。

2系統(tǒng)網(wǎng)絡(luò)安全管理中心組件功能系統(tǒng)網(wǎng)絡(luò)安全管理中心核心功能組件：包括了網(wǎng)絡(luò)安全事件采集組件、網(wǎng)絡(luò)安全事件查詢組件、網(wǎng)絡(luò)探測器管理組件和網(wǎng)絡(luò)管理策略生成組件。網(wǎng)絡(luò)探測器管理組件是根據(jù)網(wǎng)絡(luò)的安全狀況實(shí)現(xiàn)對模塊進(jìn)行添加、刪除的功能，它是到系統(tǒng)探測器模塊數(shù)據(jù)庫中進(jìn)行選擇，找出與功能相互匹配的模塊，將它們添加到網(wǎng)絡(luò)安全探測器上。網(wǎng)絡(luò)安全事件采集組件是將對網(wǎng)絡(luò)安全事件進(jìn)行分析和過濾的結(jié)構(gòu)添加到數(shù)據(jù)庫中。網(wǎng)絡(luò)安全事件查詢組件是為企業(yè)網(wǎng)絡(luò)安全專業(yè)管理人員提供對網(wǎng)絡(luò)安全數(shù)據(jù)庫進(jìn)行一系列操作的主要結(jié)構(gòu)。而網(wǎng)絡(luò)管理策略生產(chǎn)組件則是對輸入的網(wǎng)絡(luò)安全事件分析結(jié)果進(jìn)行自動查詢，并將管理策略發(fā)送給網(wǎng)絡(luò)安全。系統(tǒng)網(wǎng)絡(luò)安全管理中心數(shù)據(jù)庫模塊組件：包括了網(wǎng)絡(luò)安全事件數(shù)據(jù)庫、網(wǎng)絡(luò)探測器模塊數(shù)據(jù)庫，以及網(wǎng)絡(luò)響應(yīng)策略數(shù)據(jù)庫。網(wǎng)絡(luò)探測器模塊數(shù)據(jù)庫是由核心功能組件進(jìn)行添加和刪除的，它主要是對安裝在網(wǎng)絡(luò)探測器上的功能模塊進(jìn)行存儲。網(wǎng)絡(luò)安全事件數(shù)據(jù)庫是對輸入的網(wǎng)絡(luò)安全事件進(jìn)行分析和統(tǒng)計，主要用于對各種網(wǎng)絡(luò)安全事件的存儲。網(wǎng)絡(luò)相應(yīng)策略數(shù)據(jù)庫是對輸入網(wǎng)絡(luò)安全事件的分析結(jié)果反饋相應(yīng)的處理策略，并且對各種策略進(jìn)行存儲。

系統(tǒng)架構(gòu)特點(diǎn)

1統(tǒng)一管理，分布部署該文設(shè)計的企業(yè)網(wǎng)絡(luò)安全管理系統(tǒng)是采用網(wǎng)絡(luò)安全管理中心對系統(tǒng)進(jìn)行部署和管理，并且根據(jù)網(wǎng)絡(luò)管理人員提出的需求，將網(wǎng)絡(luò)安全分布地布置在整個網(wǎng)絡(luò)系統(tǒng)之中，然后將選取出的網(wǎng)絡(luò)功能模塊和網(wǎng)絡(luò)響應(yīng)命令添加到網(wǎng)絡(luò)安全上，網(wǎng)絡(luò)安全管理中心可以自動管理網(wǎng)絡(luò)安全對各種網(wǎng)絡(luò)安全事件進(jìn)行處理。

2模塊化開發(fā)方式本系統(tǒng)的網(wǎng)絡(luò)安全管理中心和網(wǎng)絡(luò)安全采用的都是模塊化的設(shè)計方式，如果需要在企業(yè)網(wǎng)絡(luò)管理系統(tǒng)中增加新的網(wǎng)絡(luò)設(shè)備或管理策略時，只需要對相應(yīng)的新模塊和響應(yīng)策略進(jìn)行開發(fā)實(shí)現(xiàn)，最后將其加載到網(wǎng)絡(luò)安全中，而不必對網(wǎng)絡(luò)安全管理中心、網(wǎng)絡(luò)安全進(jìn)行系統(tǒng)升級和更新。

篇（4）

二、影響公路交通安全的第三個因素是：公路構(gòu)造物、公路設(shè)施

從美國TRB的一份調(diào)查分析數(shù)據(jù)中顯示，公路交叉口所受的影響是多方面的，其中最主要的因素包括:相交道路車道數(shù)、公路交叉口處公路中線相交的角度、通視距離行車視距、道路中線的立體形狀、公路路面摩擦與阻力系數(shù)、道路照明還有主車道之外設(shè)置的輔助車道。正是因?yàn)檫@些制約因素所在，公路的施工建設(shè)策劃中把對公路平面交叉口作為了一個重點(diǎn)來抓。從交通事故總量來看，發(fā)生在公路交叉口的事故量是比較低的。雖然發(fā)生事故量低，但是卻有一部分事故量與之相關(guān)。數(shù)據(jù)顯示，占總事故量16%的交通傷亡事故都與之密不可分。綜上所述，平面交叉口的設(shè)計必須在考察當(dāng)路段的實(shí)際情況下，了解當(dāng)?shù)卦敿?xì)的運(yùn)輸境況，結(jié)合運(yùn)輸?shù)牧鲃臃较蚺c流動的數(shù)量，因地制宜，對不同的路況采用不同的平面交叉口設(shè)計，或者結(jié)合取用采取渠化、采用燈控、分隔等控制方法。以便更徹底地協(xié)調(diào)各方面沖突和矛盾，從而更有效地提高公路交通運(yùn)輸?shù)陌踩禂?shù)。

篇（5）

從CNCERT/CC掌握的半年情況來看，攻擊者的攻擊目標(biāo)明確，針對不同網(wǎng)站和用戶采用不同的攻擊手段，且攻擊行為趨利化特點(diǎn)表現(xiàn)明顯。對政府類和安全管理相關(guān)類網(wǎng)站主要采用篡改網(wǎng)頁的攻擊形式，也不排除放置惡意代碼的可能。對中小企業(yè)，尤其是以網(wǎng)絡(luò)為核心業(yè)務(wù)的企業(yè)，采用有組織的分布式拒絕服務(wù)攻擊(DDoS)等手段進(jìn)行勒索，影響企業(yè)正常業(yè)務(wù)的開展。對于個人用戶，攻擊者更多的是通過用戶身份竊取等手段，偷取該用戶游戲賬號、銀行賬號、密碼等，竊取用戶的私有財產(chǎn)。

2用IIS+ASP建網(wǎng)站的安全性分析

微軟推出的IIS+ASP的解決方案作為一種典型的服務(wù)器端網(wǎng)頁設(shè)計技術(shù)，被廣泛應(yīng)用在網(wǎng)上銀行、電子商務(wù)、網(wǎng)上調(diào)查、網(wǎng)上查詢、BBS、搜索引擎等各種互聯(lián)網(wǎng)應(yīng)用中。但是，該解決方案在為我們帶來便捷的同時，也帶來了嚴(yán)峻的安全問題。本文從ASP程序設(shè)計角度對WEB信息安全及防范進(jìn)行分析討論。

3SP安全漏洞和防范

3.1程序設(shè)計與腳本信息泄漏隱患

bak文件。攻擊原理：在有些編輯ASP程序的工具中，當(dāng)創(chuàng)建或者修改一個ASP文件時，編輯器自動創(chuàng)建一個備份文件，如果你沒有刪除這個bak文件，攻擊者可以直接下載，這樣源程序就會被下載。

防范技巧：上傳程序之前要仔細(xì)檢查，刪除不必要的文檔。對以BAK為后綴的文件要特別小心。

inc文件泄露問題。攻擊原理：當(dāng)存在ASP的主頁正在制作且沒有進(jìn)行最后調(diào)試完成以前，可以被某些搜索引擎機(jī)動追加為搜索對象。如果這時候有人利用搜索引擎對這些網(wǎng)頁進(jìn)行查找，會得到有關(guān)文件的定位，并能在瀏覽器中查看到數(shù)據(jù)庫地點(diǎn)和結(jié)構(gòu)的細(xì)節(jié)，并以此揭示完整的源代碼。

防范技巧：程序員應(yīng)該在網(wǎng)頁前對它進(jìn)行徹底的調(diào)試。首先對.inc文件內(nèi)容進(jìn)行加密，其次也可以使用.asp文件代替.inc文件，使用戶無法從瀏覽器直接觀看文件的源代碼。

3.2對ASP頁面進(jìn)行加密。為有效地防止ASP源代碼泄露，可以對ASP頁面進(jìn)行加密。我們曾采用兩種方法對ASP頁面進(jìn)行加密。一是使用組件技術(shù)將編程邏輯封裝入DLL之中；二是使用微軟的ScriptEncoder對ASP頁面進(jìn)行加密。3.3程序設(shè)計與驗(yàn)證不全漏洞

驗(yàn)證碼。普遍的客戶端交互如留言本、會員注冊等僅是按照要求輸入內(nèi)容，但網(wǎng)上有很多攻擊軟件，如注冊機(jī)，可以通過瀏覽WEB，掃描表單，然后在系統(tǒng)上頻繁注冊，頻繁發(fā)送不良信息，造成不良的影響，或者通過軟件不斷的嘗試，盜取你的密碼。而我們使用通過使用驗(yàn)證碼技術(shù)，使客戶端輸入的信息都必須經(jīng)過驗(yàn)證，從而可以解決這個問題。

登陸驗(yàn)證。對于很多網(wǎng)頁，特別是網(wǎng)站后臺管理部分，是要求有相應(yīng)權(quán)限的用戶才能進(jìn)入操作的。但是，如果這些頁面沒有對用戶身份進(jìn)行驗(yàn)證，黑客就可以直接在地址欄輸入收集到的相應(yīng)的URL路徑，避開用戶登錄驗(yàn)證頁面，從而獲得合法用戶的權(quán)限。所以，登陸驗(yàn)證是非常必要的。

SQL注入。SQL注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什么區(qū)別，所以目前市面的防火墻都不會對SQL注入發(fā)出警報，如果管理員沒查看IIS日志的習(xí)慣，可能被入侵很長時間都不會發(fā)覺。

SQL注入攻擊是最為常見的程序漏洞攻擊方式，引起攻擊的根本原因就是盲目信任用戶，將用戶輸入用來直接構(gòu)造SQL語句或存儲過程的參數(shù)。以下列出三種攻擊的形式：

A．用戶登錄：假設(shè)登錄頁面有兩個文本框，分別用來供用戶輸入帳號和密碼，利用執(zhí)行SQL語句來判斷用戶是否為合法用戶。試想，如果黑客在密碼文本框中輸入''''OR0=0，即不管前面輸入的用戶帳號和密碼是什么，OR后面的0=0總是成立的，最后結(jié)果就是該黑客成為了合法的用戶。

B．用戶輸入：假設(shè)網(wǎng)頁中有個搜索功能，只要用戶輸入搜索關(guān)鍵字，系統(tǒng)就列出符合條件的所有記錄，可是，如果黑客在關(guān)鍵字文本框中輸入''''GODROPTABLE用戶表，后果是用戶表被徹底刪除。

C．參數(shù)傳遞：假設(shè)我們有個網(wǎng)頁鏈接地址是HTTP：//……asp?id=22，然后ASP在頁面中利用Request.QueryString[''''id'''']取得該id值，構(gòu)成某SQL語句，這種情況很常見?？墒牵绻诳蛯⒌刂纷?yōu)镠TTP：//……asp?id=22anduser=0，結(jié)果會怎樣?如果程序員有沒有對系統(tǒng)的出錯提示進(jìn)行屏蔽處理的話，黑客就獲得了數(shù)據(jù)庫的用戶名，這為他們的進(jìn)一步攻擊提供了很好的條件。

解決方法：以上幾個例子只是為了起到拋磚引玉的作用，其實(shí)，黑客利用“猜測+精通的sql語言+反復(fù)嘗試”的方式，可以構(gòu)造出各種各樣的sql入侵。作為程序員，如何來防御或者降低受攻擊的幾率呢?作者在實(shí)際中是按以下方法做的：

第一：在用戶輸入頁面加以友好備注，告知用戶只能輸入哪些字符；

第二：在客戶端利用ASP自帶的校驗(yàn)控件和正則表達(dá)式對用戶輸入進(jìn)行校驗(yàn)，發(fā)現(xiàn)非法字符，提示用戶且終止程序進(jìn)行；

第三：為了防止黑客避開客戶端校驗(yàn)直接進(jìn)入后臺，在后臺程序中利用一個公用函數(shù)再次對用戶輸入進(jìn)行檢查，一旦發(fā)現(xiàn)可疑輸入，立即終止程序，但不進(jìn)行提示，同時，將黑客IP、動作、日期等信息保存到日志數(shù)據(jù)表中以備核查。

第四：對于參數(shù)的情況，頁面利用QueryString或者Quest取得參數(shù)后，要對每個參數(shù)進(jìn)行判斷處理，發(fā)現(xiàn)異常字符，要利用replace函數(shù)將異常字符過濾掉，然后再做下一步操作。

第五：只給出一種錯誤提示信息，服務(wù)器都只提示HTTP500錯誤。

第六：在IIS中為每個網(wǎng)站設(shè)置好執(zhí)行權(quán)限。千萬別給靜態(tài)網(wǎng)站以“腳本和可執(zhí)行”權(quán)限。一般情況下給個“純腳本”權(quán)限就夠了，對于那些通過網(wǎng)站后臺管理中心上傳的文件存放的目錄，就更吝嗇一點(diǎn)吧，執(zhí)行權(quán)限設(shè)為“無”好了。

第七：數(shù)據(jù)庫用戶的權(quán)限配置。對于MS＿SQL，如果PUBLIC權(quán)限足夠使用的絕不給再高的權(quán)限，千萬不要SA級別的權(quán)限隨隨便便地給。

3.4傳漏洞

諸如論壇，同學(xué)錄等網(wǎng)站系統(tǒng)都提供了文件上傳功能，但在網(wǎng)頁設(shè)計時如果缺少對用戶提交參數(shù)的過濾，將使得攻擊者可以上傳網(wǎng)頁木馬等惡意文件，導(dǎo)致攻擊事件的發(fā)生。

防文件上傳漏洞

在文件上傳之前，加入文件類型判斷模塊，進(jìn)行過濾，防止ASP、ASA、CER等類型的文件上傳。

暴庫。暴庫，就是通過一些技術(shù)手段或者程序漏洞得到數(shù)據(jù)庫的地址，并將數(shù)據(jù)非法下載到本地。

數(shù)據(jù)庫可能被下載。在IIS+ASP網(wǎng)站中，如果有人通過各種方法獲得或者猜到數(shù)據(jù)庫的存儲路徑和文件名，則該數(shù)據(jù)庫就可以被下載到本地。

數(shù)據(jù)庫可能被解密

由于Access數(shù)據(jù)庫的加密機(jī)制比較簡單，即使設(shè)置了密碼，解密也很容易。因此，只要數(shù)據(jù)庫被下載，其信息就沒有任何安全性可言了。

防止數(shù)據(jù)庫被下載。由于Access數(shù)據(jù)庫加密機(jī)制過于簡單，有效地防止數(shù)據(jù)庫被下載，就成了提高ASP+Access解決方案安全性的重中之重。以下兩種方法簡單、有效。

非常規(guī)命名法。為Access數(shù)據(jù)庫文件起一個復(fù)雜的非常規(guī)名字，并把它放在幾個目錄下。

使用ODBC數(shù)據(jù)源。在ASP程序設(shè)計中，如果有條件，應(yīng)盡量使用ODBC數(shù)據(jù)源，不要把數(shù)據(jù)庫名寫在程序中，否則，數(shù)據(jù)庫名將隨ASP源代碼的失密而一同失密。

使用密碼加密。經(jīng)過MD5加密，再結(jié)合生成圖片驗(yàn)證碼技術(shù)，暴力破解的難度會大大增強(qiáng)。

使用數(shù)據(jù)備份。當(dāng)網(wǎng)站被黑客攻擊或者其它原因丟失了數(shù)據(jù)，可以將備份的數(shù)據(jù)恢復(fù)到原始的數(shù)據(jù)，保證了網(wǎng)站在一些人為的、自然的不可避免的條件下的相對安全性。

3.5SP木馬

由于ASP它本身是服務(wù)器提供的一項(xiàng)服務(wù)功能，所以這種ASP腳本的木馬后門，不會被殺毒軟件查殺。被黑客們稱為“永遠(yuǎn)不會被查殺的后門”。我在這里講講如何有效的發(fā)現(xiàn)web空間中的asp木馬并清除。

技巧1：殺毒軟件查殺

一些非常有名的asp木馬已經(jīng)被殺毒軟件列入了黑名單，所以利用殺毒軟件對web空間中的文件進(jìn)行掃描，可以有效的發(fā)現(xiàn)并清除這些有名的asp木馬。

技巧2：FTP客戶端對比

asp木馬若進(jìn)行偽裝，加密，躲藏殺毒軟件，怎么辦？

我們可以利用一些FTP客戶端軟件（例如cuteftp，F(xiàn)lashFXP）提供的文件對比功能，通過對比FTP的中的web文件和本地的備份文件，發(fā)現(xiàn)是否多出可疑文件。

技巧3：用BeyondCompare2進(jìn)行對比

滲透性asp木馬，可以將代碼插入到指定web文件中，平常情況下不會顯示，只有使用觸發(fā)語句才能打開asp木馬，其隱蔽性非常高。BeyondCompare2這時候就會作用比較明顯了。

技巧4：利用組件性能找asp木馬

如：思易asp木馬追捕。

大家在查找web空間的asp木馬時，最好幾種方法結(jié)合起來，這樣就能有效的查殺被隱藏起來的asp木馬。

結(jié)束語

總結(jié)了ASP木馬防范的十大原則供大家參考：

建議用戶通過FTP來上傳、維護(hù)網(wǎng)頁，盡量不安裝asp的上傳程序。

對asp上傳程序的調(diào)用一定要進(jìn)行身份認(rèn)證，并只允許信任的人使用上傳程序。

asp程序管理員的用戶名和密碼要有一定復(fù)雜性，不能過于簡單，還要注意定期更換。

到正規(guī)網(wǎng)站下載asp程序，下載后要對其數(shù)據(jù)庫名稱和存放路徑進(jìn)行修改，數(shù)據(jù)庫文件名稱也要有一定復(fù)雜性。

要盡量保持程序是最新版本。

不要在網(wǎng)頁上加注后臺管理程序登陸頁面的鏈接。

為防止程序有未知漏洞，可以在維護(hù)后刪除后臺管理程序的登陸頁面，下次維護(hù)時再通過上傳即可。

要時常備份數(shù)據(jù)庫等重要文件。

日常要多維護(hù)，并注意空間中是否有來歷不明的asp文件。

一旦發(fā)現(xiàn)被人侵，除非自己能識別出所有木馬文件，否則要刪除所有文件。重新上傳文件前，所有asp程序用戶名和密碼都要重置，并要重新修改程序數(shù)據(jù)庫名稱和存放路徑以及后臺管理程序的路徑。

做好以上防范措施，您的網(wǎng)站只能說是相對安全了，決不能因此疏忽大意，因?yàn)槿肭峙c反入侵是一場永恒的戰(zhàn)爭！網(wǎng)站安全是一個較為復(fù)雜的問題，嚴(yán)格的說，沒有絕對安全的網(wǎng)絡(luò)系統(tǒng)，我們只有通過不斷的改進(jìn)程序，將各種可能出現(xiàn)的問題考慮周全，對潛在的異常情況進(jìn)行處理，才能減少被黑客入侵的機(jī)會。

參考文獻(xiàn)

[1]袁志芳田曉芳李桂寶《ASP程序設(shè)計與WEB信息安全》中國教育信息化2007年21期.

篇（6）

引言

結(jié)構(gòu)安全性是結(jié)構(gòu)防止破壞倒塌的能力，是結(jié)構(gòu)工程最重要的質(zhì)量指標(biāo)。結(jié)構(gòu)工程的安全性主要決定于結(jié)構(gòu)的設(shè)計與施工水準(zhǔn)，也與結(jié)構(gòu)的正確使用（維護(hù)、檢測）有關(guān)，而這些又與土建工程法規(guī)和技術(shù)標(biāo)準(zhǔn)（規(guī)范、規(guī)程、條例等）的合理設(shè)置及運(yùn)用相關(guān)聯(lián)。

一、我國結(jié)構(gòu)設(shè)計規(guī)范的安全設(shè)置水準(zhǔn)

對結(jié)構(gòu)工程的設(shè)計來說，結(jié)構(gòu)的安全性主要體現(xiàn)在結(jié)構(gòu)構(gòu)件承載能力的安全性、結(jié)構(gòu)的整體牢固性與結(jié)構(gòu)的耐久性等幾個方面。我國建筑物和橋梁等土建結(jié)構(gòu)的設(shè)計規(guī)范在這些方面的安全設(shè)置水準(zhǔn)，總體上要比國外同類規(guī)范低得多。

1.1構(gòu)件承載能力的安全設(shè)置水準(zhǔn)與結(jié)構(gòu)構(gòu)件安全水準(zhǔn)關(guān)系最大的二個因素是：①規(guī)范規(guī)定結(jié)構(gòu)需要承受多大的荷載（荷載標(biāo)準(zhǔn)值）。②規(guī)范規(guī)定的荷載分項(xiàng)系數(shù)與材料強(qiáng)度分項(xiàng)系數(shù)的大小，前者是計算確定荷載對結(jié)構(gòu)構(gòu)件的作用時，將荷載標(biāo)準(zhǔn)值加以放大的一個系數(shù)，后者是計算確定結(jié)構(gòu)構(gòu)件固有的承載能力時，將構(gòu)件材料的強(qiáng)度標(biāo)準(zhǔn)值加以縮小的一個系數(shù)。這些用量值表示的系數(shù)體現(xiàn)了結(jié)構(gòu)構(gòu)件在給定標(biāo)準(zhǔn)荷載作用下的安全度，在安全系數(shù)設(shè)計方法(如我國的公路橋涵結(jié)構(gòu)設(shè)計規(guī)范)中稱為安全系數(shù)，體現(xiàn)了安全儲備的需要；而在可靠度設(shè)計方法(如我國的建筑結(jié)構(gòu)設(shè)計規(guī)范)中稱為分項(xiàng)系數(shù)，體現(xiàn)了一定的名義失效概率或可靠指標(biāo)。安全系數(shù)或分項(xiàng)系數(shù)越大，表明安全度越高。

公路橋梁結(jié)構(gòu)的情況也與房屋建筑結(jié)構(gòu)類似，除車載標(biāo)準(zhǔn)外，荷載分項(xiàng)安全系數(shù)（我國規(guī)范對車載取1.4，比國際著名的美國AASHTO規(guī)范的1.75約低25%）與材料強(qiáng)度分項(xiàng)安全系數(shù)均規(guī)定較低。

盡管我國設(shè)計規(guī)范所設(shè)定的安全貯備較低，但是某些工程的材料用量反而有高于國外同類工程的，這里的問題主要在于設(shè)計墨守陳規(guī)，在結(jié)構(gòu)方案、材料選用、分析計算、結(jié)構(gòu)構(gòu)造上缺乏創(chuàng)新。

1.2結(jié)構(gòu)的整體牢固性除了結(jié)構(gòu)構(gòu)件要有足夠承載能力外，結(jié)構(gòu)物還要有整體牢固性。結(jié)構(gòu)的整體牢固性是結(jié)構(gòu)出現(xiàn)某處的局部破壞不至于導(dǎo)致大范圍連續(xù)破壞倒塌的能力，或者說是結(jié)構(gòu)不應(yīng)出現(xiàn)與其原因不相稱的破壞后果。結(jié)構(gòu)的整體牢固性主要依靠結(jié)構(gòu)能有良好的延性和必要的冗余度，用來對付地震、爆炸等災(zāi)害荷載或因人為差錯導(dǎo)致的災(zāi)難后果，可以減輕災(zāi)害損失。唐山地震造成的巨大傷亡與當(dāng)?shù)胤课萁Y(jié)構(gòu)缺乏整體牢固性有很大關(guān)系。

1.3結(jié)構(gòu)的耐久安全性我國土建結(jié)構(gòu)的設(shè)計與施工規(guī)范，重點(diǎn)放在各種荷載作用下的結(jié)構(gòu)強(qiáng)度要求，而對環(huán)境因素作用（如干濕、凍融等大氣侵蝕以及工程周圍水、土中有害化學(xué)介質(zhì)侵蝕）下的耐久性要求則相對考慮較少?；炷两Y(jié)構(gòu)因鋼筋銹蝕或混凝土腐蝕導(dǎo)致的結(jié)構(gòu)安全事故，其嚴(yán)重程度已遠(yuǎn)過于因結(jié)構(gòu)構(gòu)件承載力安全水準(zhǔn)設(shè)置偏低所帶來的危害，所以這個問題必須引起格外重視。我國規(guī)范規(guī)定的與耐久性有關(guān)的一些要求，如保護(hù)鋼筋免遭銹蝕的混凝土保護(hù)層最小厚度和混凝土的最低強(qiáng)度等級，都顯著低于國外規(guī)范。損害結(jié)構(gòu)承載力的安全性只是耐久性不足的后果之一；提高結(jié)構(gòu)構(gòu)件承載能力的安全設(shè)置水準(zhǔn)，在一些情況下也有利于結(jié)構(gòu)的耐久性與結(jié)構(gòu)使用壽命。

二、調(diào)整結(jié)構(gòu)安全設(shè)置水準(zhǔn)的不同見解

國內(nèi)近幾年來已對建筑結(jié)構(gòu)安全度的設(shè)置水準(zhǔn)組織過幾次討論，在如何調(diào)整的問題上存在較大的意見分歧，這次科技論壇上同樣反映了這些不同的見解：

2.1認(rèn)為我國現(xiàn)行規(guī)范的安全設(shè)置水準(zhǔn)是足夠的，并已為長期實(shí)踐所證明，而國外就沒有這種經(jīng)驗(yàn)。我國取得的這一成功經(jīng)驗(yàn)決不能輕易丟掉，在安全度上不能跟著英美的高標(biāo)準(zhǔn)走；安全度高了是浪費(fèi)，除個別需調(diào)整外，總體上不必變動。

2.2認(rèn)為我國規(guī)范的安全度設(shè)置水準(zhǔn)盡管不高，但在全面遵守標(biāo)準(zhǔn)規(guī)范有關(guān)規(guī)定，即在正常設(shè)計、正常施工和正常使用的“三正?！睏l件下，據(jù)此建成的上百億平米的建筑物絕大多數(shù)至今仍在安全使用，表明這些規(guī)范規(guī)定的水準(zhǔn)仍然適用；但是理想的“三正常”很難做到，同時為了縮小與先進(jìn)國際標(biāo)準(zhǔn)的差距以及鑒于可持續(xù)發(fā)展和提高耐久性的需要，在物質(zhì)供應(yīng)條件業(yè)已改善的市場經(jīng)濟(jì)條件下，結(jié)構(gòu)的安全設(shè)置水準(zhǔn)應(yīng)適當(dāng)提高。這種提高只能適度，因?yàn)槲覈壳吧袑侔l(fā)展中國家。

2.3認(rèn)為我國規(guī)范的安全設(shè)置水準(zhǔn)應(yīng)該大體與國際水準(zhǔn)接近，需要大幅度提高。這是由于隨著我國經(jīng)濟(jì)發(fā)展和生活水平不斷提高，土建工程特別是重大基礎(chǔ)設(shè)施工程出現(xiàn)事故所造成的風(fēng)險損失后果將愈益嚴(yán)重，而為了提高工程安全程度所需要的經(jīng)費(fèi)投入在整個工程（特別是建筑工程）造價中所占的比重現(xiàn)在已愈來愈低，材料供應(yīng)也十分充裕。過去的低安全水準(zhǔn)只是適應(yīng)了以往短缺型計劃經(jīng)濟(jì)年代的需要，但決不是沒有風(fēng)險，如果規(guī)范的安全水準(zhǔn)較高，曾經(jīng)發(fā)生過的有些安全事故本來是可以避免的，而規(guī)范的這一缺陷在一定程度上為“三正?！钡奶岱ㄋ谏w。在建的工程要為將來的現(xiàn)代化社會服務(wù)，安全性上一定要有高標(biāo)準(zhǔn)。低的安全質(zhì)量標(biāo)準(zhǔn)在參與將來的國際競爭中也難以被承認(rèn)，即使結(jié)構(gòu)設(shè)計的安全設(shè)置水準(zhǔn)能夠提高到與發(fā)達(dá)國家一樣，由于我們的施工質(zhì)量總體較差，結(jié)構(gòu)的安全性依然會有差距。:

篇（7）

即計劃、設(shè)計和實(shí)施三個階段，先從相關(guān)的學(xué)科理論上分析設(shè)計是否可行，再經(jīng)過逐步的工程試驗(yàn)，最后把設(shè)計落實(shí)到工程中去，應(yīng)用于實(shí)際的生產(chǎn)，化工工程設(shè)計與其他的工程有著不同的特點(diǎn)，化工工程的技術(shù)含量在工程行業(yè)位居前列，且工藝流程與其他工程大不相同。化工工程的內(nèi)容包含了設(shè)備的遴選、設(shè)計工藝線路、繪制成圖以及對周圍環(huán)境進(jìn)行可行性評估，這些設(shè)計最重要的是落實(shí)到圖紙上形成規(guī)范性的圖件，即化學(xué)工程工藝流程圖、化工預(yù)算、化工工程設(shè)備布局圖等?；すこ淘O(shè)計是化工工程進(jìn)行的首要也是重要的環(huán)節(jié)，要考慮到諸多方面的因素，解決安全問題也要由此開始，在設(shè)計時，設(shè)計人員要考慮到化學(xué)工程的安全性，諸如化學(xué)設(shè)備的選用，設(shè)備如何布局才能避免安全事故發(fā)生等等。

2)化工工程設(shè)計中的安全問題。

化工工程的設(shè)計也比傳統(tǒng)的工程設(shè)計復(fù)雜許多，其中需要進(jìn)行大量的運(yùn)算，包括數(shù)學(xué)、力學(xué)、化學(xué)反應(yīng)方程式等等，需要多學(xué)科綜合?；ぴO(shè)計中需要用到很多參數(shù)，參數(shù)的難把握性和可靠性又是設(shè)計人員面臨的又一大挑戰(zhàn)。在工程的設(shè)計完成階段，設(shè)計人員必須對完成的設(shè)計圖紙進(jìn)行反復(fù)的實(shí)驗(yàn)并進(jìn)行修改優(yōu)化，以防止安全事故的發(fā)生，其中需要耗費(fèi)工作人員大量的精力。在化工工程設(shè)計階段，安全問題是設(shè)計的重點(diǎn)，應(yīng)該把化工安全設(shè)計擺在一個十分重要的位置，我國化工行業(yè)主要存在以下幾點(diǎn)問題:

a．設(shè)備的安全隱患。

前文提到，化工工程需要的設(shè)備往往是與眾不同的，有的設(shè)備甚至需要定做才能滿足需求，一個工藝流程中需要數(shù)個，甚至數(shù)十個設(shè)備彼此連接，所需要的設(shè)備型號也是各不相同，由此帶來的型號不相互匹配，造成化工工程安全隱患。

b．設(shè)計所用資料不詳實(shí)。

我國現(xiàn)階段的化工工程不發(fā)達(dá)，在設(shè)計階段所用的基本資料也并未進(jìn)行嚴(yán)格的實(shí)驗(yàn)，其來自于一些中小型企業(yè)，可靠性不強(qiáng)，數(shù)據(jù)權(quán)威性不強(qiáng)，未經(jīng)過大規(guī)模生產(chǎn)，因而在設(shè)計中使用這些數(shù)據(jù)會給安全生產(chǎn)埋下隱患。

c．設(shè)計中安全因素考慮不到位。

化學(xué)工程需要的化工設(shè)備紛繁多樣，管道彼此交織，資金投入較大。安全因素考慮不到位分為兩個方面:其一是設(shè)備過多，又限于設(shè)計人員水平有限，許多安全因素考慮不到位;其二是由于化工企業(yè)感覺投入已經(jīng)過高，再花費(fèi)過多進(jìn)行安全設(shè)計會降低企業(yè)的收益，因而放棄了工程的質(zhì)量。有些企業(yè)過于追求工程進(jìn)度，導(dǎo)致工程粗糙，安全隱患層出不窮。

2化工工程設(shè)計安全觀

工程安全在如今階段已經(jīng)備受重視，這是近年來安全事故頻發(fā)以后總結(jié)的經(jīng)驗(yàn)教訓(xùn)，工程事故給企業(yè)帶來了嚴(yán)重的損失，給人們的生命安全帶來了極大的威脅，近些年經(jīng)濟(jì)發(fā)展使工廠如春筍般涌現(xiàn)，但是頻發(fā)的安全事故給人們心中留下了一道不可抹去的傷疤。化工工程的事故率較之其他工程更高，因而在設(shè)計階段必須做好事故防范工作。在設(shè)計階段要滿足安全要求，重視每個生產(chǎn)環(huán)節(jié)的安全生產(chǎn)設(shè)計，嚴(yán)格遵守相關(guān)部門的安全標(biāo)準(zhǔn)，把安全的理念深入到設(shè)計中的每個細(xì)節(jié)中去，以主動的姿態(tài)防范安全事故的發(fā)生，設(shè)計人員嚴(yán)格遵守安全設(shè)計的制度，把制度作為安全的保障。根據(jù)化工工程不同階段和不同部分的要求，注入安全運(yùn)行的新元素，把安全設(shè)計深入到每個環(huán)節(jié)和每一個部分。同時對于化工工程的安全設(shè)計要有針對性，抓重點(diǎn)，有區(qū)別的對待不同的工藝流程。在工程設(shè)計完畢以后，要對設(shè)計完成的方案進(jìn)行復(fù)議，對每個環(huán)節(jié)進(jìn)行模擬實(shí)驗(yàn)，逐個排除其中的不安全因素，對設(shè)計好的圖紙進(jìn)行修改和優(yōu)化，力求做到萬無一失。

3化工工程設(shè)計中相關(guān)問題的解決方案

1)化工廠的選址問題以及場內(nèi)布局。

化工工程的設(shè)計要從化工廠的選址開始，做好化工廠的選址工作并且做好廠內(nèi)布局直接關(guān)系著化工工程的安全。按照以往的設(shè)計理念，化工廠要建在水源充足、原料供應(yīng)充足、交通便捷的位置，這樣的選址有利于產(chǎn)品的銷售使用，減少運(yùn)輸路途，減少不安全因素，產(chǎn)、銷、用區(qū)域化。其次，廠址的選擇應(yīng)該以人為本，化工廠不應(yīng)該選擇人口稠密、風(fēng)景秀麗的地區(qū)，也不應(yīng)該設(shè)立在上風(fēng)向，避免有害氣體擴(kuò)散至人口稠密區(qū)，影響人們的日常生活，廠址的選擇也要符合可持續(xù)發(fā)展的生態(tài)理念，化工廠在建立之前應(yīng)該對周圍進(jìn)行環(huán)境影響評價，盡量少的破壞原有的生態(tài)環(huán)境，做到人與社會和諧共處，做到可持續(xù)發(fā)展。其次是廠內(nèi)的布局，廠內(nèi)的布局是指化工廠內(nèi)部各組件之間的設(shè)置問題，化工廠中的各個設(shè)備要為物資的投入以及人員的工作提供便利，對設(shè)備中的永久性管件進(jìn)行設(shè)計保護(hù)，將危險性較高的設(shè)備和危險性較低的設(shè)備分成不同的區(qū)域，并對危險性較高的設(shè)備進(jìn)行專門的保護(hù)設(shè)計以及應(yīng)急設(shè)計，一些可能接觸發(fā)生反應(yīng)的設(shè)備要隔離開。

2)管道的安全控制。

管道設(shè)計是化工工程設(shè)計中最為重要的一部分，管道擔(dān)負(fù)著運(yùn)送液體的任務(wù)，也是設(shè)備相互連接的通道，在化工生產(chǎn)過程中，管道中的液體一般具有可燃性和較強(qiáng)的腐蝕性，部分液體的毒性還比較強(qiáng)，管道安全是整個化工工程設(shè)計的關(guān)鍵，有的管道使用不久便會腐蝕掉，發(fā)生漏液等，進(jìn)而發(fā)生危險，機(jī)械損壞也是最為常見的問題之一。因而在進(jìn)行管線的設(shè)計過程中，要選用合適的金屬材料，金屬管道的連接處要做相應(yīng)的安全處理。

篇（8）

二、研究意義

本課題主要是研究在虛擬現(xiàn)實(shí)技術(shù)中的交互設(shè)計應(yīng)用。通過對情境認(rèn)知理論的哲學(xué)研究、實(shí)現(xiàn)讓學(xué)生動起來，讓學(xué)生具有主人翁意識，讓學(xué)生成為課堂的主體參與者和主導(dǎo)者是當(dāng)下教育游戲需要重點(diǎn)思考的問題。唯有實(shí)現(xiàn)了這樣的目標(biāo)才可以一改以往的老舊教學(xué)模式，提升學(xué)生的學(xué)習(xí)熱情和提高課堂教學(xué)的實(shí)際效果。并且，借助教育游戲的成功，來不斷地加強(qiáng)學(xué)生的能力建設(shè)，發(fā)掘出學(xué)生的領(lǐng)悟能力、團(tuán)結(jié)協(xié)作能力、溝通能力、解決問題、發(fā)現(xiàn)問題、探究問題等諸多能力，唯有如此，才能真正實(shí)現(xiàn)素質(zhì)教育的目標(biāo)。

三、理論以及技術(shù)運(yùn)用

1.虛擬現(xiàn)實(shí)技術(shù)與游戲設(shè)計

基于虛擬現(xiàn)實(shí)技術(shù)的游戲設(shè)計是一種結(jié)合互聯(lián)網(wǎng)、計算機(jī)及多媒體技術(shù)開發(fā)的電腦游戲。在游戲中可以由計算機(jī)生成多種感覺環(huán)境，使使用者產(chǎn)生身臨其境的感覺。游戲可以真實(shí)再現(xiàn)已經(jīng)消失的場景，且對具有危險性的破壞場面進(jìn)行探究，與現(xiàn)實(shí)生活中難以接觸的生物進(jìn)行交互等等．這些都在傳統(tǒng)教學(xué)中不可實(shí)現(xiàn)。

2.情境認(rèn)知理論以及沉浸感

沉浸感簡單來說就是讓人有一種身臨其境的感覺，也就是說這一技術(shù)可以使人不單單從視覺和聽覺上進(jìn)入虛擬世界，而是讓人以一個整體的形式融入到虛擬現(xiàn)實(shí)系統(tǒng)中去，讓人們從切身實(shí)際出發(fā)，真正用身體去感知知識和思維過程。這一特征使得玩家可以在游戲中獲得最為客觀、真實(shí)的感受。也是這樣的一個特點(diǎn)，使得玩家不僅可以在視聽上獲得對視線的滿足，也幫助玩家進(jìn)入其中，從而獲得最佳的游戲體驗(yàn)。

3.實(shí)現(xiàn)虛擬現(xiàn)實(shí)游戲的關(guān)鍵技術(shù)

首先，虛擬現(xiàn)實(shí)游戲中所需要展示的仿真三維場景和虛擬人物，都需要使用三維建模軟件制作。Maya是目前最優(yōu)秀的三維制作軟件之一。無論是建模、渲染、動作都能達(dá)到優(yōu)秀的視覺效果。其次，繪制貼圖需要使用的軟件是adobe公司的photoshop再次，游戲引擎的選擇也是至為重要的一步：本文選擇的是Unity3D引擎。Unity3D引擎作為一種三維虛擬現(xiàn)實(shí)游戲平臺，可以充分、實(shí)時的處理大量的三維模型。本文討論的模型是利用3DMax完成建模和貼圖后，形成了模型后，就要把FBX文件導(dǎo)入Unity3D平臺中。在這過程中，一定要及時地將3DMax單位計量方式設(shè)定為“m”，然后將Y軸方向定為向上的方向，并將“嵌入媒體”項(xiàng)打鉤。由3Dmax導(dǎo)出的FBX模型文件后，可將其放入創(chuàng)建好的Unity3D工程目錄下的“Assets”文件夾下，此時再打開Unity3D即可發(fā)現(xiàn)該模型已被自動導(dǎo)入到工程中，直接將模型文件拖拽到“Sence”窗口下即可直接使用。4他有幾大優(yōu)點(diǎn):1.綜合編輯，unity3D用戶界面操作簡單，節(jié)省工作時間，提高了工作效率；2.資源導(dǎo)入，unity3D支持幾乎所有主要文件格式，并能同大部分應(yīng)用程序協(xié)同工作；3.Unity3D中整合了豐富的開發(fā)資源，其中包括：地形創(chuàng)建工具、物理引擎、粒子系統(tǒng)，常用腳本等；4.一鍵，unity3D可以讓你的作品在多平臺呈現(xiàn)。

四、安全教育問題與設(shè)計關(guān)系密切

游戲首先一個重要的特征就是娛樂性，作為一種游戲，教育游戲當(dāng)然也要借鑒游戲的娛樂性。聽到游戲會想到輕松；聽到教育會想到嚴(yán)肅。正因如此，才使得教學(xué)難以收到良好的效果，所以越來越多的教育工作者和游戲開發(fā)商開始認(rèn)識到要將教育與游戲相結(jié)合，從而提高學(xué)習(xí)者的學(xué)習(xí)積極性，更好的發(fā)揮資源，達(dá)到寓教于樂的目的。任何一個游戲的設(shè)計缺乏了這個元素，那么這個游戲的吸引力就會被降低，而且一旦玩家在進(jìn)入一個游戲后可以一次性通關(guān)，那么該游戲?qū)ν婕揖筒粫儆腥魏挝α恕?/p>

篇（9）

2對網(wǎng)頁設(shè)計常見安全漏洞的分析及相應(yīng)的解決方案

2.1登陸驗(yàn)證中存在的安全漏洞及解決方案登錄驗(yàn)證是聊天室、信息網(wǎng)會員區(qū)、論壇等交互性網(wǎng)站中必不可少的一部分，雖然在整個網(wǎng)站運(yùn)行中登陸驗(yàn)證只是其中的一小部分，卻對整個網(wǎng)絡(luò)的安全運(yùn)行至關(guān)重要，它是整個網(wǎng)站的安全之口。在網(wǎng)頁設(shè)計過程中，開發(fā)人員常常忽略掉這一環(huán)節(jié)的設(shè)計工作。網(wǎng)站開發(fā)人員編程的不嚴(yán)謹(jǐn)致使當(dāng)前很多企業(yè)網(wǎng)站都存在登陸驗(yàn)證的安全漏洞，安全關(guān)口驗(yàn)證程序的不到位為網(wǎng)絡(luò)安全埋下了巨大隱患，會讓不法分子有機(jī)可趁，為企業(yè)造成不必要的損失。針對登陸驗(yàn)證漏洞問題，我們采取了以下解決方案：通過注冊限制的設(shè)定有效避免非法賬戶密碼的申請，對解決以上問題非常有效；其次，在SQL登陸查詢語句生成之前，先對用戶信息進(jìn)行過濾（用戶名和用戶密碼），避免非法賬號密碼的應(yīng)用；最后，在對用戶進(jìn)行驗(yàn)證之前，先驗(yàn)證用戶的用戶名是否合乎標(biāo)準(zhǔn)，確認(rèn)用戶名屬實(shí)后，在對密碼進(jìn)行驗(yàn)證。

2.2桌面數(shù)據(jù)庫安全漏洞及解決方案在ASP+Access應(yīng)用系統(tǒng)中，網(wǎng)站一般會為用戶提供部分信息的下載權(quán)限，如果用戶知道Access數(shù)據(jù)庫的數(shù)據(jù)庫名和存儲路徑，就可以將其他信息也下載下來，就會造成數(shù)據(jù)的流失。多數(shù)網(wǎng)上圖書館Access數(shù)據(jù)庫的存儲路徑多以根目錄“(URL/”)下或“URL/database”為主，該類數(shù)據(jù)庫通常會被命名為Library.mdb或與之相關(guān)的名稱。用戶了解該信息之后，只需在瀏覽器中輸入“URL/database/Li-brary.mdb”或相關(guān)地址信息，就可以進(jìn)入網(wǎng)上圖書館，并將圖書館中的其他信息下載到用戶本地電腦中。為解決桌面數(shù)據(jù)庫安全漏洞問題，在網(wǎng)站設(shè)計中，ASP程序應(yīng)該采用ODBC數(shù)據(jù)源，通過采用ODBC數(shù)據(jù)源可以有效避免數(shù)據(jù)庫名稱直接出現(xiàn)在運(yùn)行程序中的問題，ASP源代碼即使出現(xiàn)泄漏問題，數(shù)據(jù)庫名稱也不會因此而被竊取或流失，為網(wǎng)站的安全運(yùn)行提供了有力保障。以下一段ASP程序代碼就是利用一般數(shù)據(jù)庫編寫的：DBPath=Server.MapPath“(./akkjj16t/acd/kjhgb661/avccx55/faq19jhsvzbal.mdb”)conn.Open“driver={MicrosoftAccessDriver(*.mdb)};dbq=”&DBPath。如果該段ASP源代碼失密后，數(shù)據(jù)庫相關(guān)信息也會被竊取，用戶可以輕易將數(shù)據(jù)庫信息下載下來。如果ASP程序代碼利用ODBC數(shù)據(jù)庫編寫，則不會存在conn.ope“nODBC-DSN名，ASP源代碼即使出現(xiàn)泄漏問題，數(shù)據(jù)庫名稱也不會因此而被竊取或流失。

2.3繞過驗(yàn)證直接進(jìn)入相關(guān)頁面的漏洞及解決方案在進(jìn)入某些敏感頁面前，系統(tǒng)首先會對用戶進(jìn)行身份驗(yàn)證，如果用戶知道了與敏感頁面相關(guān)的網(wǎng)頁設(shè)計頁面的路徑及文件名，并且該頁面又沒有設(shè)置驗(yàn)證程序，此時用戶只要輸入該設(shè)計頁面的文件名就可以進(jìn)入設(shè)計頁面，成功繞過登陸驗(yàn)證界面的篩選。為提高網(wǎng)站安全性能，開發(fā)設(shè)計人員必須對與之相關(guān)的頁面設(shè)置身份驗(yàn)證程序，對用戶進(jìn)行身份驗(yàn)證。

2.4文件上傳漏洞及解決方案同學(xué)錄、交友網(wǎng)站等類似網(wǎng)站系統(tǒng)都有文件上傳功能，企業(yè)通過網(wǎng)站文件上傳可以進(jìn)一步增進(jìn)與用戶間的交流互動，但網(wǎng)站開發(fā)者對用戶所提交的信息缺乏充分的分析和必要的過濾，很多惡意攻擊者會利用這一漏洞在網(wǎng)站上上傳病毒文件、惡意文件等不良信息，這些有毒文件可能會對系統(tǒng)數(shù)據(jù)庫造成不同程度的損壞，某些網(wǎng)站攻擊者甚至以Web權(quán)限在系統(tǒng)上執(zhí)行任意命令。通過加入文件類型判斷模塊可以有效解決文件上傳漏洞，對用戶上傳文件進(jìn)行充分的分析和必要的過濾。當(dāng)系統(tǒng)要求用戶上傳圖片文件，用戶只能以系統(tǒng)指定的JPG、GIF文件格式才被允許上傳，像*.PHP、*.ASP、*.JSP、*.EXE等格式的程序文件是不被允許上傳的。

2.5源代碼泄露漏洞及解決方案為有效避免源代碼被竊取、遭泄露的威脅，開發(fā)者在網(wǎng)站設(shè)計過程中應(yīng)該對頁面代碼進(jìn)行加密處理，使網(wǎng)站的整體安全性能得到大幅度提高。ASP網(wǎng)頁加密方法一般包括以下兩種：通過采用微軟的ScriptEncoder對ASP網(wǎng)站頁面進(jìn)行加密；通過采用組件技術(shù)將編程邏輯封裝到DLL當(dāng)中，防止信息的丟失。當(dāng)采用組件技術(shù)方案時必須對每段代碼均需組件化，該項(xiàng)方案的工作量較大、操作較為煩瑣，與之相比ScriptEncoder加密方案具有成效佳、操作簡單等顯著優(yōu)點(diǎn)，將其用于解決源代碼泄露漏洞問題可以取得較好的效果，其優(yōu)點(diǎn)主要有：HTML具有較好的可編輯性，系統(tǒng)其他部分無需變化，ScriptEncoder只加密在HTML頁面中嵌入的ASP代碼，通過采用Dreamweaver或FrontPage等常用網(wǎng)頁編輯工具對HTML部分進(jìn)行修改、完善；ScriptEncoder具有制作簡單的優(yōu)點(diǎn)，通過幾個簡單命令行參數(shù)即可完成多功能操作。

篇（10）

2系統(tǒng)功能設(shè)計原則

礦用移動安全管理系統(tǒng)的設(shè)計原則：（1）先進(jìn)性：至少保證3～5a不落后，且運(yùn)行可靠，這就要求系統(tǒng)開發(fā)要采用先進(jìn)、成熟的技術(shù)，具有強(qiáng)大的應(yīng)用數(shù)據(jù)整合能力，可以滿足煤礦企業(yè)信息融合和拓展的需要。（2）實(shí)用性：符合煤礦管理業(yè)務(wù)的工作需要，按照先進(jìn)的運(yùn)作模式，實(shí)現(xiàn)生產(chǎn)監(jiān)控信息收集、處理、查詢、統(tǒng)計、分析等功能及無紙化辦公，綜合管理業(yè)務(wù)模塊可靈活操作，可提高煤礦企業(yè)管理水平。（3）經(jīng)濟(jì)性：盡量有效地利用現(xiàn)有設(shè)備，建立一個盡可能高水平的、完善的煤礦移動信息管理網(wǎng)絡(luò)系統(tǒng)。（4）可操作性：在系統(tǒng)維護(hù)和后期擴(kuò)展上盡量做到操作簡單，甚至不用維護(hù)；應(yīng)用軟件在安裝時能將運(yùn)行環(huán)境和相關(guān)的配置信息自動配置到服務(wù)器中，保證用戶安裝完畢即可投入使用；系統(tǒng)在擴(kuò)展時，用戶只需進(jìn)行簡單配置即可；提供人性化操作界面，簡單易學(xué)；提供網(wǎng)絡(luò)性能及網(wǎng)路故障查詢診斷功能，使用戶及時了解系統(tǒng)的運(yùn)行狀況和網(wǎng)絡(luò)狀況。（1）人員定位系統(tǒng)：通過具有唯一ID號的人員定位標(biāo)志卡，實(shí)時了解生產(chǎn)場所內(nèi)人員的準(zhǔn)確數(shù)量、人員流動情況及各區(qū)域人員的分布情況；查詢?nèi)藛T歷史停留區(qū)域及歷史活動軌跡；統(tǒng)計與考核生產(chǎn)崗位人員的出勤情況，生成生產(chǎn)人員考勤的日報表、月報表；對重要崗位、重要工種的值勤情況進(jìn)行統(tǒng)計，防止缺崗、串崗等情況發(fā)生。（2）設(shè)備維檢管理系統(tǒng)：設(shè)備巡檢功能是充分利用智能移動終端的最好體現(xiàn)。管理人員可根據(jù)生產(chǎn)現(xiàn)場的實(shí)際情況并通過軟件自由地編寫巡檢計劃，編制完成后將計劃發(fā)送至巡檢終端。巡檢人員按照計劃要求，在規(guī)定時間內(nèi)執(zhí)行規(guī)定的任務(wù)，完成任務(wù)后將數(shù)據(jù)上傳到服務(wù)器。管理人員可通過系統(tǒng)對接收到的數(shù)據(jù)進(jìn)行分析處理。（3）視頻監(jiān)控聯(lián)動系統(tǒng)：礦用移動安全管理系統(tǒng)通過調(diào)用視頻服務(wù)器接口集成視頻監(jiān)控系統(tǒng)，可直接查看生產(chǎn)場所的實(shí)時狀況，同時支持調(diào)閱相應(yīng)的歷史視頻。（4）監(jiān)測監(jiān)控系統(tǒng)：通過監(jiān)測監(jiān)控系統(tǒng)提供的接口，可以實(shí)現(xiàn)對生產(chǎn)場所的設(shè)備狀況、危險氣體濃度等的實(shí)時查看，支持用戶查看歷史記錄，當(dāng)生產(chǎn)場所出現(xiàn)異常報警信息時，可實(shí)時將報警短信推送給相應(yīng)的責(zé)任人，保證生產(chǎn)人員和設(shè)備的安全。（5）違章管理系統(tǒng)：通過接入違章管理系統(tǒng)，可在移動終端進(jìn)行違章查詢和錄入，及時發(fā)現(xiàn)并制止違章，有效地改善了職工的工作環(huán)境，實(shí)現(xiàn)了違章管理的無紙化辦公。（6）OA辦公系統(tǒng)：在移動端查看OA辦公系統(tǒng)信息，可及時掌握重要通知，提高了辦公效率。（7）其他系統(tǒng)：可根據(jù)企業(yè)的實(shí)際需求擴(kuò)展系統(tǒng)功能。

3系統(tǒng)數(shù)據(jù)庫設(shè)計

礦用移動安全管理系統(tǒng)數(shù)據(jù)庫使用SQLServer，在設(shè)計時主要考慮用戶權(quán)限的問題，使用角色來判斷用戶權(quán)限。移動終端的權(quán)限控制：用戶登錄移動終端時，客戶端將用戶名和密碼傳遞到后臺，服務(wù)端首先判斷用戶名是否有權(quán)登錄；成功登錄后，再通過父節(jié)點(diǎn)ID判斷用戶有權(quán)使用的一級、二級應(yīng)用，將應(yīng)用App的相關(guān)信息通過JSON數(shù)據(jù)返還給客戶端，解析JSON數(shù)據(jù)就可得到相關(guān)信息。Web頁面的權(quán)限控制：Web頁面權(quán)限控制是通過自定義標(biāo)簽來實(shí)現(xiàn)的。用戶登錄Web頁面時，首先校驗(yàn)用戶名和密碼是否正確，然后根據(jù)提交的用戶名查詢數(shù)據(jù)庫表中該用戶所屬的組ID；根據(jù)組ID查詢出該組所擁有的標(biāo)簽功能權(quán)限，并動態(tài)生成JavaScript語句，通過HTML協(xié)議返回給瀏覽器客戶端；瀏覽器在加載標(biāo)簽時會自動顯示該用戶名所屬組別對應(yīng)的功能標(biāo)簽，這樣就可以控制不同組擁有不同的Web頁面管理權(quán)限。

4系統(tǒng)安裝

礦用移動安全管理系統(tǒng)硬件主要包括數(shù)據(jù)庫服務(wù)器、安全管理系統(tǒng)服務(wù)器和Android系統(tǒng)智能終端。軟件模塊主要包括安全管理系統(tǒng)服務(wù)端軟件、安全管理系統(tǒng)客戶端軟件和采集程序。Tomcat是Apache軟件基金會旗下的一個開源的輕量級服務(wù)器，它最初由Sun公司的軟件架構(gòu)師開發(fā)，并最終被Sun公司貢獻(xiàn)給Apache基金會，因此，Tomcat對最新的Servlet與JSP規(guī)范總能完美支持。因其技術(shù)先進(jìn)、性能穩(wěn)定，運(yùn)行時只需占用較少的系統(tǒng)資源，擴(kuò)展性好而且免費(fèi)，成為目前比較流行的Web應(yīng)用服務(wù)器。Tomacat的安裝包可從ApacheTomcat官網(wǎng)上下載得到，安裝時可以設(shè)置管理員登錄用戶名和密碼以及Http連接端口號（默認(rèn)為8080）。在Tomcat中部署服務(wù)端應(yīng)用程序十分容易，只需要在IDE（IntegratedDevelopmentEnvironment，集成開發(fā)環(huán)境）中將已經(jīng)開發(fā)完畢的服務(wù)端應(yīng)用程序打包成WAR格式并導(dǎo)出，然后將這個WAR文件拷貝到Tomcat的Webapps下即可。