这些都造成了系统安全的脆弱性。
2.4 应用层的安全风险分析
电子政务专用网络应用系统中主要存在以下安全风险：对政务系统的非法访问；用户提交的业务信息被监听或修改；用户对成功提交的业务进行事后抵赖；服务系统伪装，骗取用户口令。
由于电子政务专用网络对外提供WWW服务、E-MAIL服务、DNS服务等，因此存在外网非法用户对服务器攻击。下面从身份认证、DNS、WWW、邮件、文件服务等几方面分别加以详细说明：
2.4.1 身份认证漏洞
服务系统登录和主机登录使用的是静态口令，口令在一定时间内是不变的，且在数据库中有存储记录，可重复使用。这样非法用户通过网络窃听，非法数据库访问，穷举攻击，重放攻击等手段很容易得到这种静态口令，然后，利用口令，可对资源非法访问和越权操作。
2.4.2 DNS服务威胁
Internet域名服务为Internet/Intranet应用提供了极大的灵活性。几乎所有的网络应用均利用域名服务。但是，域名服务通常为hacker提供了入侵网络的有用信 息，如服务器的IP、操作系统信息、推导出可能的网络结构等。
同时，新发现的针对BIND-NDS实现的安全漏洞也开始发现，而绝大多数的域名系统均存在类似的问题。如由于DNS查询使用无连接的UDP协议，利用可预测的查询ID可欺骗域名服务器给出错误的主机名-IP对应关系。
4
2.4.3 WWW服务漏洞
Web Server是政府对外宣传、开展业务的重要基地，也是国家政府上网工程的重要组成部分。由于其重要性，理所当然的成为Hacker攻击的首选目标之一。
Web Server经常成为Internet用户访问政府内部资源的通道之一，如Web server通过中间件访问主机系统，通过数据库连接部件访问数据库，利用CGI访问本地文件系统或网络系统中其它资源。但Web服务器越来越复杂，其被发现的安全漏洞越来越多。
2.4.4 电子邮件系统漏洞
电子邮件为网系统用户提供电子邮件应用。内部网用户可够通过拔号或其它方式进行电子邮件发送和接收这就存在被黑客跟踪或收到一些恶意程序（如，特洛伊木 马、蠕虫等）、病毒程序等，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，给系统带来不安全因素。
2.5 管理层的安全风险分析
再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。因此我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。
电子政务应按照国家关于计算机和网络的一些安全管理条例，如《计算站场地安全要求》、《中华人民共和国计算机信息系统安全保护条例》等，制订安全管理制度。
责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。责权不明，管理混乱，使得一些员工或管理员随便
5
让一些非本地员工甚至外来人员进入机房重地，或者员工有意无意泄漏他们所知道的一些重要信息，而管理上却没有相应制度来约束。
当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作 等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是管理制度和管理解决方案的结合。
3 电子政务网络安全方案设计
3.1 网络安全方案设计原则
网络安全建设是一个系统工程，电子政务专用网络系统安全体系建设应按照“统一规划、统筹安排、统一标准、相互配套”的原则进行，采用先进的“平台化”建设思想，避免重复投入、重复建设，充分考虑整体和局部的利益，坚持近期目标与远期目标相结合。
在进行网络系统安全方案设计、规划时，应遵循以下原则：需求、风险、代价平衡的原则，综合性、整体性原则、一致性原则，易操作性原则，适应性、灵活性原则，多重保护原则，可评价性原则。
3.2网络信息安全技术
随着信息技术的不断发展与应用，网络信息人员对网络信息安全技术的考究也日趋深入，如今网络信息安全技术已日趋成熟并仍不断地向前发展，保障了政府机关及企事业单位等电子政务安全性的需求，以下介绍几种常见的网络信息安全技术。
6
3.2.1防火墙技术
防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。
常见的防火墙可以归为三类，即包过滤防火墙、双宿网关防火墙和屏蔽子网防火墙。包过滤型防火墙就是通过包过滤技术实现对进出数据的控制。包过滤防火墙在网络层对进出内部网络的所有信息进行分析，并按照一定的安全策略(信息过滤规则)进行筛选，允许授权信息通过，拒绝非授权信息。双宿网关是一种拥有两个连接到不同网络上的网络接口的防火墙。双宿网关防火墙又称为双重宿主主机防火墙。屏蔽子网防火墙是在内网和外网之间建立一个子网以进行隔离，这个屏蔽子网区域称为边界网络(Perimeter Network)．也称为非军事区DMZ(De—Militarized Zone)。
3.2.3入侵检测技术
入侵检测(Intrusion Detection)，便是对入侵行为的发觉。它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象，进行人侵检测的软件与硬件的组合便是入侵检测系统(IDS)，入侵检测技术是发现攻击者企图渗透和入侵行为的技术．入侵检测技术根据入侵者的攻击行为与合法用户的正常行为明显的不同，实现对入侵行为的检测和告警，以
7
及对入侵者的跟踪定位和行为取证。
3.2.4 CA身份认证及访问管理
CA的eTrust Identity and Access Management Suite提供了可靠的尖端技术，为企业实现自身的身份管理需求提供了关键的解决方案。eTrust Identity and Access Management Suite是最全面的集成化解决方案，它可解决旧系统、分布式计算环境以及新兴的 Web 服务的安全问题。这组开放式套件利用工业标准实现了简化的、更易管理的集成、支持与部署。
此外，eTrust Identity and Access Management Suite 还提供了必要工具，使身份与访问管理成为公司的核心技能。eTrust解决方案可主动保护公司的跨平台异构IT基础架构的安全。功能强大的综合解决方案可解决各种安全问题，并提供来自IT业界领先的安全厂商的整体安全基础架构管理功能。
网络信息安全技术在电子政务平台中的应用，保障了电子政务信息系统信息安全。如：通过防火墙技术对网络进行限制，保障恶意不安全数据的传输；通过VPN技术搭建专门的电子政务网络环境不仅加速网络访问效率而且专网通信保障网络信息的安全稳定传输；通过入侵检测技术和CA认证保障了网络非法访问的入侵，保障电子政务系统信息的安全、稳定的传输。
8