議電子數據安全審計
一、對電子數據安全的基本認識
電子數據安全是建立在計算機網絡安全基礎上的一個子項安全系統，它既是計算機網絡安全概念的一部分，但又和計算機網絡安全緊密相連，從一定意義上講，計算機網絡安全其實質即是電子數據安全。國際標準化組織（iso）對計算機網絡安全的定義爲：“計算機系統有保護計算機系統的硬件、軟件、數據不被偶然或故意地泄露、更改和破壞。”歐洲幾個國家共同提出的“信息技術安全評級準則”，從保密性、完整性和可用性來衡量計算機安全。對電子數據安全的衡量也可借鑑這三個方面的內容，保密性是指計算機系統能防止非法泄露電子數據；完整性是指計算機系統能防止非法修改和刪除電子數據；可用性是指計算機系統能防止非法獨佔電子數據資源，當用戶需要使用計算機資源時能有資源可用。
二、電子數據安全的性質
電子數據安全包括了廣義安全和狹義安全。狹義安全僅僅是計算機系統對外部威脅的防範，而廣義的安全是計算機系統在保證電子數據不受破壞並在給定的時間和資源內提供保證質量和確定的服務。在電子數據運行在電子商務等以計算機系統作爲一個組織業務目標實現的核心部分時，狹義安全固然重要，但需更多地考慮廣義的安全。在廣義安全中，安全問題涉及到更多的方面，安全問題的性質更爲複雜。
（一）電子數據安全的多元性
在計算機網絡系統環境中，風險點和威脅點不是單一的，而存在多元性。這些威脅點包括物理安全、邏輯安全和安全管理三個主要方面。物理安全涉及到關鍵設施、設備的安全和硬件資產存放地點的安全等內容；邏輯安全涉及到訪問控制和電子數據完整性等方面；安全管理包括人員安全管理政策、組織安全管理政策等內容。電子數據安全出現問題可能是其中一個方面出現了漏洞，也可能是其中兩個或是全部出現互相聯繫的安全事故。
（二）電子數據安全的動態性
由於信息技術在不斷地更新，電子數據安全問題就具有動態性。因爲在今天無關緊要的地方，在明天就可能成爲安全系統的隱患；相反，在今天出現問題的地方，在將來就可能已經解決。例如，線路劫持和*的可能性會隨着加密層協議和密鑰技術的廣泛應用大大降低，而客戶機端由於b0這樣的黑客程序存在，同樣出現了安全需要。安全問題的動態性導致不可能存在一勞永逸的解決方案。
（三）電子數據安全的複雜性
安全的多元性使僅僅採用安全產品來防範難以奏效。例如不可能用一個防火牆將所有的安全問題擋在門外，因爲黑客常常利用防火牆的隔離性，持續幾個月在防火牆外試探系統漏洞而未被發覺，並最終攻入系統。另外，攻擊者通常會從不同的方面和角度，例如對物理設施或協議、服務等邏輯方式對系統進行試探，可能繞過系統設置的某些安全措施，尋找到系統漏洞而攻入系統。它涉及到計算機和網絡的硬件、軟件知識，從最底層的計算機物理技術到程序設計內核，可以說無其不包，無所不在，因爲攻擊行爲可能並不是單個人的，而是掌握不同技術的不同人羣在各個方向上展開的行動。同樣道理，在防範這些問題時，也只有掌握了各種入侵技術和手段，纔能有效的將各種侵犯拒之門外，這樣就決定了電子數據安全的複雜性。
（四）電子數據安全的安全悖論
目前，在電子數據安全的實施中，通常主要採用的是安全產品。例如防火牆、加密狗、密鑰等，一個很自然的問題會被提出：安全產品本身的安全性是如何保證的？這個問題可以遞歸地問下去，這便是安全的悖論。安全產品放置點往往是系統結構的關鍵點，如果安全產品自身的安全性差，將會後患無窮。當然在實際中不可能無限層次地進行產品的安全保證，但一般至少需要兩層保證，即產品開發的安全保證和產品認證的安全保證。
（五）電子數據安全的適度性
由以上可以看出，電子數據不存在l00％的安全。首先由於安全的多元性和動態性，難以找到一個方法對安全問題實現百分之百的覆蓋；其次由於安全的複雜性，不可能在所有方面應付來自各個方面的威脅；再次，即使找到這樣的方法，一般從資源和成本考慮也不可能接受。目前，業界普遍遵循的概念是所謂的“適度安全準則”，即根據具體情況提出適度的安全目標並加以實現。
三、電子數據安全審計
電子數據安全審計是對每個用戶在計算機系統上的操作做一個完整的記錄，以備用戶違反安全規則的事件發生後，有效地追查責任。電子數據安全審計過程的'實現可分成三步：第一步，收集審計事件，產生審記記錄；第二步，根據記錄進行安全違反分析；第三步，採取處理措施。
電子數據安全審計工作是保障計算機信息安全的重要手段。凡是用戶在計算機系統上的活動、上機下機時間，與計算機信息系統內敏感的數據、資源、文本等安全有關的事件，可隨時記錄在日誌文件中，便於發現、調查、分析及事後追查責任，還可以爲加強管理措施提供依據。
（一）審計技術
電子數據安全審計技術可分三種：瞭解系統，驗證處理和處理結果的驗證。
1.瞭解系統技術
審計人員通過查閱各種文件如程序表、控制流程等來審計。
2.驗證處理技術
這是保證事務能正確執行，控制能在該系統中起作用。該技術一般分爲實際測試和性能測試，實現方法主要有：
（1）事務選擇
審計人員根據制訂的審計標準，可以選擇事務的樣板來仔細分析。樣板可以是隨機的，選擇軟件可以掃描一批輸入事務，也可以由操作系統的事務管理部件引用。
（2）測試數據
這種技術是程序測試的擴展，審計人員通過系統動作準備處理的事務。通過某些獨立的方法，可以預見正確的結果，並與實際結果相比較。用此方法，審計人員必須通過程序檢驗被處理的測試數據。另外，還有綜合測試、事務標誌、跟蹤和映射等方法。
（3）並行仿真。審計人員要通過一應用程序來仿真操作系統的主要功能。當給出實際的和仿真的系統相同數據後，來比較它們的結果。仿真代價較高，藉助特定的高級語音可使仿真類似於實際的應用。
（4）驗證處理結果技術
這種技術，審計人員把重點放在數據上，而不是對數據的處理上。這裏主要考慮兩個問題：
一是如何選擇和選取數據。將審計數據收集技術插入應用程序審計模塊（此模塊根據指定的標準收集數據，監視意外事件）；擴展記錄技術爲事務（包括面向應用的工具）建立全部的審計跟蹤；借用於日誌恢復的備份庫（如當審計跟蹤時，用兩個可比較的備份去檢驗賬目是否相同）；通過審計庫的記錄抽取設施（它允許結合屬性值隨機選擇文件記錄並放在工作文件中，以備以後分析），利用數據庫管理系統的查詢設施抽取用戶數據。
二是從數據中尋找什麼？一旦抽取數據後，審計人員可以檢查控制信息（含檢驗控制總數、故障總數和其他控制信息）；檢查語義完整性約束；檢查與無關源點的數據。
（二）審計範圍
在系統中，審計通常作爲一個相對獨立的子系統來實現。審計範圍包括操作系統和各種應用程序。
操作系統審計子系統的主要目標是檢測和判定對系統的滲透及識別誤操作。其基本功能爲：審計對象（如用戶、文件操作、操作命令等）的選擇；審計文件的定義與自動轉換；文件系統完整性的定時檢測；審計信息的格式和輸出媒體；逐出系統、報警閥值的設置與選擇；審計日態記錄及其數據的安全保護等。
應用程序審計子系統的重點是針對應用程序的某些操作作爲審計對象進行監視和實時記錄並據記錄結果判斷此應用程序是否被修改和安全控制，是否在發揮正確作用；判斷程序和數據是否完整；依靠使用者身份、口令驗證終端保護等辦法控制應用程序的運行。
（三）審計跟蹤
通常審計跟蹤與日誌恢復可結合起來使用，但在概念上它們之間是有區別的。主要區別是日誌恢復通常不記錄讀操作；但根據需要，日記恢復處理可以很容易地爲審計跟蹤提供審計信息。如果將審計功能與告警功能結合起來，就可以在違反安全規則的事件發生時，或在威脅安全的重要操作進行時，及時向安檢員發出告警信息，以便迅速採取相應對策，避免損失擴大。審計記錄應包括以下信息：事件發生的時間和地點；引發事件的用戶；事件的類型；事件成功與否。
審計跟蹤的特點是：對被審計的系統是透明的；支持所有的應用；允許構造事件實際順序；可以有選擇地、動態地開始或停止記錄；記錄的事件一般應包括以下內容：被審訊的進程、時間、日期、數據庫的操作、事務類型、用戶名、終端號等；可以對單個事件的記錄進行指定。
按照訪問控制類型，審計跟蹤描述一個特定的執行請求，然而，數據庫不限制審計跟蹤的請求。獨立的審計跟蹤更保密，因爲審計人員可以限制時間，但代價比較昂貴。
（四）審計的流程
電子數據安全審計工作的流程是：收集來自內核和核外的事件，根據相應的審計條件，判斷是否是審計事件。對審計事件的內容按日誌的模式記錄到審計日誌中。當審計事件滿足報警閥的報警值時，則向審計人員發送報警信息並記錄其內容。當事件在一定時間內連續發生，滿足逐出系統閥值，則將引起該事件的用戶逐出系統並記錄其內容。
常用的報警類型有：用於實時報告用戶試探進入系統的登錄失敗報警以及用於實時報告系統中病毒活動情況的病毒報警等。
審計人員可以查詢、檢查審計日誌以形成審計報告。檢查的內容包括：審計事件類型；事件安全級；引用事件的用戶；報警；指定時間內的事件以及惡意用戶表等，上述內容可結合使用。
審計有人工審計，計算機手動分析、處理審計記錄並與審計人員最後決策相結合的半自動審計，依靠專家系統作出判斷結果的自動化的智能審計等。爲了支持審計工作，要求數據庫管理系統具有高可靠性和高完整性。數據庫管理系統要爲審計的需要設置相應的特性。
