云計算服務安全評估方法精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的云計算服務安全評估方法主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：云計算服務安全評估方法范文

關鍵詞：云計算技術；網絡安全；評估

1引言

筆者通過分析云計算技術在網絡安全評估中的具體應用，確保網絡安全評估工作的順利進行。

2云計算技術基本介紹

所謂云計算技術，指的是借助互聯網設備提供相關服務、創新使用及交付模式，以此來實現易拓展虛擬化資源的動態供應。云計算技術參與網絡安全評估活動，即預測網絡安全態勢，根據預測結果調整網絡操作行為，便于更好的應對網絡攻擊。對于網絡管理員，能夠在短時間內獲取網絡安全問題，探索網絡安全處理對策，這對網絡安全環境創設具有重要意義，以此來實現數據挖掘技術的有效應用[1]。

3網絡安全評估常見問題

網絡信息時代悄然而至，在這一時代背景，云計算技術推廣遇到較多阻力，導致網絡安全評估工作的效果得不到完善，筆者通過總結網絡安全評估常見問題，為相關措施制定提供依據。

3.1數據存儲方面的問題

用戶借助網絡下載數據資料，并將其存儲于云端，這樣不僅能夠節省處理步驟，而且還能提高網絡資源利用率，避免數據資料丟失。若云端設備完整性受到破壞，那么數據資料容易丟失，并影響用戶決策。

3.2數據傳輸方面的問題

一般來講，重要的數據資料存儲于互聯網數據中心，這類資料包括客戶基本信息、未來發展規劃及財務報表等內容，但這類數據在傳輸的過程中存在安全風險。首先，重要數據資料傳輸存在數據資料被竊取的風險。再者，云計算服務商可能成為數據資料外泄的主體。最后，非法用戶通過數據訪問進行數據竊取。

3.3數據審計方面的問題

云計算技術在網絡安全評估活動中具體應用，不僅要提供相應的數據服務，而且做好風險預防和控制工作，確保數據資料高效利用，以此滿足企業管理需要。如果企業所選云計算服務商，忽視客戶利益及安全風險，那么合作風險會大大增加，最終影響網絡安全評估效果，大大降低網絡安全評估準確性。

4云計算技術為基礎的網絡安全評估措施

當前網絡安全評估工作推進的必要性較強，為獲取客觀、準確的網絡安全評估結果，應用云計算技術是極為必要的，下面筆者從三方面分析網絡安全評估的有效措施。

4.1提高云計算系統設計合理性

一方面，合理設計認證模型。利用身份認證技術獲取相關信息后，用戶需要輸入正確的賬號和密碼，來順利完成身份認證。對于單點登錄用戶，往往會為網絡攻擊者留下重要信息，進而會降低網絡用戶驗證的安全性。因此，設計動態身份認證系統，避免為網絡攻擊者提供可乘之機，大大提高用戶認證的安全性，盡最大可能減少設備使用過程中的資金投入量。另一方面，優化云計算服務設計效果。用戶在了解云計算服務的過程中，需要自行下載認證程序，并完成認證程序綁定，通過驗證碼輸入的方式成功登錄。需要注意的是，如果驗證時間過長，導致登錄超時，需要用戶及時更換新的身份驗證代碼，這一過程即動態驗證碼生成的過程[2]。

4.2掌握網絡安全態勢評估方法

為確保網絡安全態勢評估工作具體落實，需對原始數據進行預處理，以便為信息系統安全性提供可靠的數據支持，隊安全事件處理的過程中，通過數據模型建立的方式獲取概率值及參考值。在對網絡安全評估工作順利推進的過程中，針對情境信息進行適當轉換，以便為安全態勢預測制定合理的處理方法。針對網絡安全態勢用數值來表示，根據數值大小分析網絡操作的穩定性，預測網絡風險，數據預處理過后對其有序組合，實現網絡安全態勢的客觀判斷，據此分析網絡安全值，對比了解網絡安全差異。在網絡安全受到影響后，根據變化數據掌握網絡安全的情況，并進行總結和記錄。

4.3有序推進網絡安全防御技術

第一，進行數據加密。應用數據加密技術保證網絡數據安全性，以免網絡數據信息的丟失，這對網絡安全維護具有重要意義，數據加密技術的巧妙應用，為數據傳輸、數據轉換提供安全保障，并盡可能降低數據丟失風險。云計算技術具有數據共享的服務優勢，它允許數據資源高效共享，但前提是用戶合法訪問，從另一個角度來講，非法訪問操作的數據分享行為不被支持。在這一過程中，提高數據加密技術利用率，實現數據信息的及時隔離，避免個別數據丟失導致整體網絡安全性受到威脅，進而使企業遭受嚴重的經濟損失。第二，安全認證具體推進。安全認證方式多樣，用戶根據網絡使用需要選擇適合的驗證方式，對于網絡安全意識較差的用戶，通過認證的方式完成安全認證。云技術服務商進行安全認證時，應結合認證方式，避免重要數據資料丟失。第三，無邊界安全防護。以往數據安全防護模式較單一，但現在，新型數據安全防護模式具有多樣化特點，應用云服務完成邊界防護任務，能夠提高數據信息整合效率，按照邏輯程序實現數據資料的隔離。在了解用戶需求的基礎上，針對數據資料進行合理分類，這不僅對獨立安全系統建立有重要意義，而且有利于擴大安全范圍，加快安全服務中心建設速度。

4.4運營商在網絡安全評估中的表現

當前網絡信息技術時展步伐逐漸加快，互聯網行業在發展的過程中，掌握云安全問題的處理對策，同時，運營商探索轉型的有效途徑，為云計算技術應用提供廣闊空間，具體措施為：針對網絡安全風險客觀評估，建立不同類型的云組織模式，同時，設置安全服務等級，使用戶能夠參照已有服務等級進行風險評估，在一定程度上能夠減少評估資金的投入。數據加密技術集成處理，在此期間，建立健全云計算安全防御體系，完善云計算服務設施，同時，創新云計算安全技術手段，來保證用戶信息的安全性，這對云計算系統穩定使用有重要意義；通過可信云建立的方式加強安全認證，在這此過程中，可借助新算法構建信任關系，并通過結合方法強化對云端信任度，不僅對用戶信息安全性保證有重要意義而且能夠避免數據信息泄露[3]。

5結語

綜上所述，云計算技術在應用的過程中，網絡安全防護方式應不斷進行創新，對云計算技術大范圍推廣有重要意義。由于我國實踐云計算技術的時間較短，現有云計算技術應用經驗不足，進而網絡安全評估工作只能片面推進，最終得到的評估結果缺乏真實性。當前網絡信息時代不斷發展，人們對網絡安全防護工作提出了更高的要求，不僅要對網絡安全評估方式不斷創新，而且研究學者應探索云計算技術應用的最佳途徑，建立健全網絡安全評價標準，并提供用戶用網滿意度。筆者在理論內容的基礎上，總結當前網絡安全評估常見問題，提高云計算系統設計合理性、掌握網絡安全態勢評估方法、有序推進網絡安全防御技術和了解運營商在網絡安全評估中的表現等措施進行問題處理，這樣不僅提高網絡安全評估準確性和客觀性，而且對網絡安全系統獨立發展具有重要意義。

參考文獻

[1]魏斯超,張永萍.基于云計算技術的網絡安全評估技術研究及應用[J].數字技術與應用,2016(5):211.

第2篇：云計算服務安全評估方法范文

【關鍵詞】智慧城市；安全風險；風險識別；風險評估

1.引言

自IBM于2009提出“智慧地球”理念以來，國內外已經有眾多城市以網絡為基礎，打造數字化、泛在互聯的新型智慧型城市。在智慧城市的建設和研究過程中，將新興的物聯網、云計算、超級計算，以及基礎通信網絡、軟件服務化、數據共享、整合、挖掘與分析等技術全面應用。同時也對信息安全帶來了全角度的沖擊。

建設智慧城市必將面臨各種風險，本文主要研究和討論智慧城市工程信息系統的風險和評估方法。并且為建設智慧城市信息安全提供設計思路。

目前信息安全風險評估的方法主要有層次分析法[1]、神經網絡方法[2]和模糊理論[3]等；信息安全要求是通過對安全風險的系統評估予以識別的[4]。風險評估是依據有關信息安全技術與管理標準，對信息系統及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行評價的過程。

2.建設智慧城市面臨的信息安全風險

2.1 智慧城市信息系統的基本結構

智慧城市主要由三部分組成，底層為基礎設施平臺，主要包括互聯網絡和感知網絡；數據共享平臺主要包括基礎信息資源庫，例如人口信息、地理信息等；應用服務平臺是面向公眾、企業及政府的綜合服務門戶平臺。

2.2 智慧城市面臨的信息安全風險

信息安全風險是認為或自然的威脅利用信息系統及其管理體系中存在的脆弱性導致安全事件的發生及其對組織造成的影響[5]。如表1所示，智慧城市面臨的信息安全風險主要有物理破壞、人為破壞、設備故障、內部與外部攻擊、數據誤用、數據丟失以及應用程序錯誤等風險。智慧城市服務面廣、影響廣泛，面對大眾，其持續服務能力和流暢服務能力直接關系到智慧城市建設的成敗。而這兩個服務能力又取決于管理者和建設者對以上風險的認知和處理程度。

3.信息安全風險識別

信息安全風險識別的基本依據就是客觀世界的因果關聯性和可認識性[5]。在建設智慧城市的過程中，信息系統必將面臨各種安全風險。明確識別風險，評估風險，并合理的管理風險，是參與智慧城市項目建設中每個人的責任和義務。

風險識別主要有兩種方法，一種是從主觀信息源出發的識別方法。主要利用頭腦風暴法，德爾菲方法（Delphi method）和情景分析法（Scenarios analysis）。前兩種方法在我國使用的較多，情景分析法是一種定性預測方法，對預測對象可能出現的情況或引起的后果做出預測的方法，操作過程復雜，目前在我國的具體應用較少。另外一種風險識別的方法是從客觀信息源出發的識別方法。主要利用核對表法、流程圖法、數據或結果實驗法、工作結構分解分析法和財務報表法等。

信息安全風險管理是識別并評估風險、將風險降低至可接受級別、執行適當機制來維護這種級別的過程。沒有絕對安全的環境，每種環境都會存在某種程度的脆弱性，都會面臨一定的威脅。問題的關鍵在于識別威脅，估計它們實際發生的可能性以及可能造成的破壞，并采取恰當的措施將系統環境的總體風險降低至組織機構認為可以接受的級別。

4.終端面臨安全風險

用戶訪問智慧城市信息數據的終端雖然不屬于智能城市建設的范疇，但面對大量的用戶終端，智慧城市工程相關管理和技術人員必須要考慮智慧城市系統對用戶終端的影響。

根據CATR 2013年3月4日的研究數據顯示，預計2013年中國3G用戶將增長1.5-1.8億戶，用戶規模突破3億戶。也就是說會有很大量用戶通過3G智能終端獲取信息。智慧城市的信息數據，也將通過3G移動互聯網送至用戶的智能手機上。會存在黑客利用智慧城市信息服務平臺攻擊用戶智能終端的情況。

另外一部分用戶將使用個人計算機機通過互聯網訪問智慧城市信息數據。同樣黑客也有機會利用智慧城市信息服務平臺攻擊用戶的個人計算機。

最后，由于智能電視、網絡機頂盒的出現，還將會有部分用戶通過電視機訪問智慧城市的信息數據，黑客也有攻擊智能電視機網絡機頂盒等電視機接入設備。

智慧城市工程的建設，要應對網絡犯罪和黑客攻擊，維護移動互聯網安全，需要將移動網絡、后臺服務以及個體終端結合起來，從全局角度提出一個完整的綜合性解決方案，這就對普通用戶、移動運營商、網絡安全供應商、手機制造商、第三方軟件開發商以及網絡信息提供商都提出了更高的要求。同時，還需要政府監管部門完善響應的監管體系，加強相關法律法規的建設。

5.信息安全風險評估

信息安全風險評估是依據有關信息安全技術與管理標準，對信息系統及其由處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行評價的過程。要評估資產面臨的威脅以及威脅利用脆弱性導致安全事件的可能性，并結合安全事件所涉及的資產價值來判斷安全事件一旦發生對組織造成的影響，并提出有針對性的抵御威脅的防護對策和整改措施。進行信息安全風險評估，就是要防范和化解信息安全風險，或者將風險控制在可接受的水平，從而為最大限度的保障網絡和信息安全提供科學依據。[6]

通過風險評估后，就可以針對信息系統中的高危風險進行風險管理。風險評估目前主要有定量風險分析方法和定性風險分析方法。國內外研究人員又在此基礎上提出了層次分析法（AHP），故障樹分析法和基于模糊數學的分析方法。另外就是基于科研機構頒布的標準或指南的信息安全風險評估方法，比較傳統的方法有BS7799標準、CC標準、ISO13335信息和通信技術安全管理指南和NIST相關標準等。這些標準或指南對信息安全風險評估具有很好的指導作用，且大多數是基于定性的風險評估，對評估者的能力要求高，評估具有很大的主觀性。

對于智慧城市工程的信息系統，可以采用多種不同的方法對信息系統進行綜合風險評估，將不同風險評估方法得出的結果系統分析，實施全方位、多角度的風險管理。只有通過對信息系統的安全風險評估才能對智慧城市工程存在的風險進行合理、科學和有效的管理。

6.結束語

在建設智慧城市工程的過程中，信息安全風險評估以及風險管理勢在必行。在規劃設計階段根據實際投資和項目情況，以國家相關標準為基礎進行規劃設計，并參照《信息系統安全等級保護基本要求》（GB/T22239-2008）對信息系統進行安全保護。正確識別和評估安全風險要始終貫穿到工程項目建設的每一個環節中。在項目建設初期從多角度、全方位識別風險，不留風險盲區；在項目建設過程中，通過風險評估的結論，將風險降低到可以接受的程度；在后期的使用維護過程中，始終使用PDCA方法，不斷的去識別、評估和降低安全風險。動態將風險識別和風險評估方法貫徹到智慧城市工程的每一個階段，確保實現安全可靠的智慧型政府、智慧型民生和智慧型產業。

參考文獻

[1]王奕，費洪曉，蔣蘋.FAHP方法在信息安全風險評估中的研究[J].計算機工程與科學，2006，28（9）：4-6.

[2]趙冬梅，劉海峰，劉晨光.基于BP神經網絡的信息安全風險評估[J].計算機工程與應用，2007，43（1）：139-141.

[3]陳光，匡光華.信息安全風險評估的模糊多準則決策方法[J].信息安全域通信保密，2006，7：23-25.

[4]信息安全管理實施指南（ISO17799：2005C）.

[5]信息安全風險評估規范（GB/T20984-2007）.

第3篇：云計算服務安全評估方法范文

關鍵詞：軟件體系結構；場景；質量屬性

中圖分類號：TP311

軟件質量是指在軟件開發過程中形成的軟件滿足明確規定的需求的程度，也是衡量軟件好壞的一個重要指標。隨著軟件規模和復雜性的不斷增大，如何控制和保證軟件的質量已成為一個亟需解決的問題。為了提高軟件的質量，需要在整個軟件開發周期中進行有計劃的活動，包括對軟件的評價。研究表明，越早對質量進行評價越有利于對軟件質量的控制以及降低開發成本。對軟件體系結構進行深入的研究，是保證軟件質量的重要措施之一。隨著軟件體系結構的發展，對軟件體系結構系統進行深入研究將會成為提高軟件生產率和解決軟件維護問題的新的最有效的途徑。

1 概述

1.1 軟件體系結構。軟件體系結構是國際上軟件工程研究的一個新興領域，它的研究目前還處于初始階段，對什么是軟件體系結構還沒有一個標準的、為大家所普遍接受的定義。一般認為，一個軟件系統的體系結構定義了組成系統的計算構件和構件之間的相互作用關系，在體系結構層次的構件如：客戶、服務器、數據庫、過濾器等；構件之間的交互可以是非常簡單的。

1.2 質量屬性。[1]軟件質量是指軟件滿足明確規定或隱含定義的需求的程度。通常從六個方面進行衡量。分別是功能性、可靠性、易使用性、效率、可維護性和可移植性。

1.3 軟件體系結構評估的重要性。軟件質量是在整個軟件生命周期中形成的，與周期中的各個階段都息息相關，而軟件體系結構作為軟件質量的功能性指標的一個重要要素，同時也是生命周期中的關鍵一步，它發揮著重要作用。因此，對軟件體系結構的分析也顯得尤為重要。我們可以通過對軟件體系結構的分析評估，及早的發現軟件的問題，盡可能早的修改軟件，并預測未來系統的質量屬性。預測修改十分有效，可以從總體降低軟件的開發成本，提高軟件的質量。

2 主要的軟件體系結構評估方法

目前的軟件體系結構評估方法大多采用基于場景的技術。場景是從風險承擔者的角度對于與系統的交互的簡短描述，其中風險承擔著包括系統體系結構設計中所涉及到的架構設計師、開發人員、維護人員等。這種評估方法通過研究軟件體系結構對場景的支持程度來判斷軟件質量，評估結果較準確。

2.1 SAAM。基于場景的體系結構分析方法SAAM是最早形成文檔并得到廣泛運用的一種非功能質量屬性的體系結構分析方法，是最早形成文檔并得到廣泛使用的軟件體系結構分析方法[2]，可用來分析軟件質量，如軟件體系結構的可修改性、可移植性、可擴充性等。是一種較為成熟的方法，運用廣泛，并成為許多其他的軟件體系結構評價方法的基礎。

SAAM方法采用基于場景的功能性和變化分析的評估技術，適用于體系結構設計的最終版本，主要是對可修改性的考察，需要所有風險承擔者參與。

2.2 SAAMCS。基于復雜場景的體系結構分析方法SAAMCS是對SAAM的擴展，主要針對場景的復雜度，主要目標是對系統進行風險評估。

SAAMCS適用于有充分細節描述的體系結構的最終版本，需要主要風險承擔者參與。

2.3 SAAMER。針對演化和復用體系結構分析方法SAAMER也是對SAAM的擴展的一種方法。

SAAMER通過對視圖（靜態視圖、映射視圖、動態視圖和資源視圖）、信息模型和場景來分析系統的演化和復用屬性，需要設計者、管理者和最終用戶參與。

2.4 ATAM。體系結構權衡分析方法ATAM是在SAAM的基礎上發展起來的，目標在于對系統敏感點和權衡點分析，主要針對性能、實用性、安全性和可修改性。使用ATAM不僅能夠明確軟件體系結構對于特定軟件質量目標的滿足度，還能提供軟件目標之間的交互方式。

ATAM方法采用問卷和度量結合使用的評估技術，適用于體系結構設計的重復改進或最終版本，需要所有風險承擔者參與。

2.5 SBAR。基于場景的體系結構在工程SBAR目的是按照需求的質量屬性評估體系結構。

SBAR關注多個軟件質量屬性的均衡性，用于評估所設計的軟件體系結構是否具有達到所要求的軟件質量的潛力，采用多種技術相結合的評估技術，針對多個屬性（可修改性、性能、實用性、安全性）的考察，僅僅需要設計者參與，不需其他的風險承擔者。

2.6 ALPSM。體系結構層次的軟件可維護性預測ALPSM是在體系結構層次上考查場景的影響來分析軟件體系的可維護性[3]。

ALPSM方法適用于體系結構設計過程中，采用場景評估技術，僅僅需要體系結構設計人員、分析者、評估者參與，不需其他的風險承擔者。

2.7 ALMA。體系結構層次的可維護性分析ALMA目標是變化沖突分析和預測維護工作，采用依賴于分析目標的獨立的體系結構描述符號使用來評估系統，主要針對可維護性。

ALMA方法中風險承擔者由具體的活動決定。

3 存在問題及未來發展趨勢

體系結構是決定軟件質量好壞的重要因素之一，隨著研究的深入，在軟件體系結構質量評價方面取得了一定的成功，但是仍然存在一些問題。

3.1 存在的問題。目前，在軟件體系結構質量分析和評價方法中，主要存在這樣的一些問題：首先，基于場景的分析評估技術，對于體系結構的描述沒有統一的標準、框架和定義，不同的描述方法給體系之間的選擇、比較增加了困難；其次，基于場景的分析評估技術，只能用于特定領域，運用范圍較其他評估技術稍窄；第三，基于場景的分析評估技術，要求評估者對被評估體系結構比較熟悉；最后，基于場景的分析評估技術有很多不確定性，造成了該技術的評估結果較為主觀。

3.2 未來的發展趨勢。通過對以上幾種基于場景的分析評估技術進行比較和分析，未來的基于場景的分析評估技術的發展趨勢有以下幾點：對于體系結構的描述建立統一的標準和定義，降低體系結構之間比較、選擇的難度。結合兩種或兩種以上的不同的體系結構評估方法，吸取其中的缺點避免不足，從而獲得更好的評估效果。針對基于場景的分析評估技術中的不確定性，使用已有的度量技術或定義新的度量標準，更精確地評估體系結構。對適用性的高要求。作為體系結構質量特征的一個方面，適應性與軟件的可擴展性、可修改性、動態特性有密切關系。目前對適應性體系結構分析與評價的研究還很不完善，但是它有很大的研究價值，是未來評估方法的發展趨勢。

4 結束語

本文就幾種主要的軟件體系結構質量評價方法進行了討論，這些方法基本上是基于場景的評價方法，并提出了一些目前軟件體系結構分析和評價技術中遇到的難點和困難，對未來的發展趨勢進行了展望。

參考文獻：

[1]陸惠恩，張成姝.實用軟件工程[M].北京：清華大學出版社，2009.

[2]萬建成，盧雷.軟件體系結構的原理、組成與應用[M].北京：科學出版社，2002.

[3]胡紅雷，毋國慶.軟件體系結構評估方法的研究[J].計算機應用研究，2004.

第4篇：云計算服務安全評估方法范文

城市公共安全；公共安全評估；智慧城市；大數據

This paper describes the prospect of constructing and improving a public safety assessment system under the concept of smart city. The level of traditional safe city construction can be improved and the traditional city public safe system can realize the entity， modeling and computable relay on the internet of things， cloud computing， and big-data technologies. In this way， city safety system， which is sensible and automatically measured， is constructed.

city public safety； public safety assessment； smart city； big data

當前，智慧城市的建設已經從理論層面落實到中國很多城市的實際建設層面。中興通訊作了不少實踐，并有一些自己的提煉思考。在智慧城市中，城市公共安全的建設作為基礎性需求，不容忽視。為有效預防、減少和降低城市公共安全風險，保護人民生命財產安全，實現經濟社會可持續發展，有必要規范城市公共安全風險評估工作。

本文從智慧城市建設的實際出發，探討基于智慧城市建設理念的城市公共安全建設與評估體系，為具體智慧城市系統建設提供借鑒。

1 智慧城市建設理念

智慧城市理念論述眾多：從城市管理者角度來看，智慧城市意味著一種發展城市的新思維、新策略，是新型城鎮化的必然需要，是一種在新一代信息技術支撐下，實現城市全面數字化后可視、可測量的智能化城市管理和運營模式，可以推動城市服務能力和管理水平的跨越式提升。從信息化專家的角度來看，智慧城市是城市信息化發展到高級階段的一種形態，是城市的信息化經歷數字化、智能化后的必然結果。從市民角度來看，智慧城市意味著生活品質、民生服務、居住環境等得到極大提升，新一代信息技術深入滲透到市民的衣、食、住、行等各個方面，智能、便捷與舒適成為城市生活的典型特征。

智慧城市是借助信息技術，把已有的各種生產要素優化組合，以更加精細和動態的方式管理生產和生活，形成技術集成、綜合應用、高端發展的集約、智能、綠色、低碳的城市。基于此，我們認為智慧城市具有信息（Information）、智能（Intelligence）、創新（Innovation）、市民與城市互動（Interaction）的“4I”特征。

城市作為人類社會高度發展的組織形態，作為眾多個人構成的集體活動實體，實際上在城市整體需求上也體現出了與個人需求相對應的層次需求模型。馬斯洛理論把人的需求分成生理需求（Physiological Needs）、安全需求（Safety Needs）、愛和歸屬感（Love and Belonging，亦稱為社交需求）、尊重（Esteem）和自我實現（Self-actualization）5類，依次由較低層次到較高層次排列。由此，安全需求不論對個人還是一個城市都是僅次于“活著”或者“存在”的基礎性需求。

一個城市的安全需求是眾多個人安全需求的集合，是一種公共安全的需求。城市安全關系到城市中的每個人。在智慧城市建設中，安全是一個基本模塊。進行安全城市建設，必須堅持安全建設與評估兩條腿走路，相互促進，共同發展[1-15]。

2 智慧化的安全城市系統

構建

在智慧化的城市公共安全建設中，物聯網是城市公共安全基礎信息采集、匯集的基礎架構，大數據分析則是對海量基礎數據進行模型分析的基本技術支撐，而云計算架構則為高強度的、成本可接受的柔性計算能力獲取提供了基礎保障。這些新技術的成熟應用是使整體城市公共安全體系構建成為可能的關鍵。

2.1 城市公共安全建設現狀

近些年，城市公共安全的信息化建設主要落地到平安城市建設方面。構建平安城市業已成為政府建設共識。但當前平安城市的建設尚存在如下具體問題：

（1）信息系統缺乏整合

相關信息主要為公安等具體部門服務，缺乏從城市層面的共享與整合，其他城市管理部門建立了大量“煙囪式”的監控系統，缺乏標準互不相通；部門間的信息沒有實現共享，“信息孤島”現象非常普遍。基本上各方各自建設，各自享受自己的建設成果；各城市的電子防控系統多呈現分而治之狀態，一個平安城市系統中有幾種甚至十幾種安防平臺，且大多數之間沒有實現互聯。

（2）信息系統與城市中其他系統聯動較少

缺乏業務的有機整合，視頻監控系統自成一體，覆蓋面小，應用面窄，缺乏與應急聯動、警務指揮、城市管理等業務的高效整合，視頻監控信息與警用地理信息系統（PGIS）及其他公安信息沒有進行關聯。

（3）各城市普遍存在“重建設、輕應用”的現象

智慧城市建設過程，對與智慧城市建設相配套的運作管理機制、服務模式、政策措施，要進行妥善的分析和梳理。建設與管理并重才是實現智慧城市最終目標的重要保障。信息化部署完成了，它只是個系統，是工具。此后，需要相應的城市管理人員和市民一起使用這套系統，并從中汲取“智慧”的價值，這才能達到真正意義上的智慧城市。

2.2 智慧理念下城市公共安全實踐

當前，依托智慧城市理念和物聯網、大數據、云計算技術，從技術角度看，城市公共安全建設可有如下升級方向：

（1）大聯網平臺建設

隨著GB/T28181-2011《安全防范視頻監控聯網系統信息傳輸、交換、控制技術要求》于2012年6月1日正式生效，大聯網平臺建設已經成為未來幾年平安城市建設的首要任務。城市公共安全建設的視頻監控聯網管理平臺，必須開放系統能力，能夠與主流監控廠商前端設備進行信息對接及互操作，可進行不同平臺和設備之間的業務組合和調用，實現不同平臺信息的往來交互。

（2）信息全網可調用

通過視頻監控系統大聯網平臺建設的逐步深化，使得區域內經過授權的監控平臺的操作臺，均能夠在區域范圍內自由調動信息。同時，以上的互聯和共享將完全在權限可控的狀態下進行，以最大限度保證海量數據的有序使用。

（3）業務流程實戰整合

發展應用型的城市公共安全建設專業化系統。城市公共安全系統的核心在于系統與警務的日常工作緊密結合，這樣視頻信息才能成為真正的“大數據”。和警方已經建設或者正在建設眾多數字化的業務信息系統有效關聯，使得平臺系統更加貼近公安部門的實際業務應用，做到“三實”，即實際、實戰、實效，從而貼近公安實戰，促進信息共享，提高工作效率。

（4）高清設備的大量使用

公安對于城市公共安全系統建設從追求數量轉變為追求質量的階段。更高的清晰度成為提升視頻監控質量的首要訴求。高清攝像機和高清編碼器等被平安城市建設大量引入，同時移動高清攝像機也被各方案補充引入。

（5）視頻智能分析深度應用

海量的視頻文件、日志信息的挖掘、分析，可以有效提升治安監控系統的工作效率。通過對視頻內容進行視頻診斷、視頻濃縮、視頻檢索、視頻壓縮等先進視頻處理技術等，使視頻資源從粗放無序的數據真正轉化為精細可用的信息，并最終實現高效應用。

（6）云計算的大量使用

高清視頻的廣泛使用及城市級視頻網絡的完善將會產生大量視頻數據，只有云計算的強大架構擴展能力，高可用性將使海量視頻數據的有效處理成為可能。這對于對城市安全管理意義重大。

基于以上對城市公共安全系統建設的理解，中興通訊提出了自己的平安城市解決方案，總體架構如圖1所示。

3 安全城市的評估和實踐

從實踐中看，無論在之前的平安城市建設還是最新智慧城市架構下的智慧公安系統建設，不少地方都已經構建城市公共安全類相關系統，在不少城市也已經初步形成較完整的體系。但在這些系統建設中，是否有從城市公共安全評估的角度出發，更嚴謹地在事前基于評估數據更合理規劃整體方案，在系統建成后根據實際使用情況評估城市安全水平的提升或變化，從而適度調整相關系統側重或在后續建設中更加科學地、有針對性地對重點地區、重點問題進行安全系統規劃和實施，這是需要考慮的問題。

實際情況中這方面通常被忽略。很多系統的規劃設計，往往是側重在“設計”系統本身，說明系統本身要解決的問題。而對系統所要解決的真正問題缺乏量化。相當于說，事先缺乏定量評估問題，事后缺乏定量評估成效。很多系統上馬了，只能籠統地說“有了提升”，最多總體而言某個指標提升或下降了之類。而這些和城市公共安全評估應達到的“以評估指導規劃，以評估調整布設，以評估安排升級”的要求有很大差距。

3.1 城市公共安全風險識別方法

影響城市公共安全風險評估進展的主要因素包括：評估時間、力度、展開幅度和深度，所有這些因素都應和城市實際安全狀況和城市特性的不同點相符合。對不同的城市而言，應該選擇適合本城市特性和發展水平的風險評估方法。這樣的評估過程與正在進行的平安城市或智慧城市安全建設是一個并行關系，相互吸收經驗，相互促進。

根據對各要素的指標量化及計算方法的不同，城市公共安全風險分析可分為定性分析、半定量分析和定量分析，或這些分析方法的組合。

3.1.1 城市公共安全的定性分析方法

定性分析方法是一種被廣泛應用的風險分析方法，在城市公共安全分析中也同樣如此。定性分析方法對風險產生的可能性和后果可用如“低、中、高”這樣定性表達程度的表示方式。

但在城市公共安全風險的實際定性分析過程中，有時僅僅使用“低、中、高”這樣的程度表達并不能顯著分辨不同風險值間的差別，因此，在實踐中，有時會考慮給這些主觀判斷的值設定一個數據化的結果，比如，設“高”為“3”，“中”為“2”，“低”為“1”。該“3”、“2”、“1”，并非一個客觀的實驗值，相反只是一個相對值。對本意僅用來確定等級的對應等級數據進行過度解讀，可能會導致錯誤的決策。

城市公共安全風險的定性分析常用于：在開始細致風險分析前的最初風險鑒別，以找出可能需要更細致分析的風險；或者相關風險可能不值得花更多資源去進行更充分分析；或者實際具備的數據不足以進行更細致定量分析的場合。

城市公共安全的定性分析是基礎性的分析方法。即使在可采用更進一步評估方法的場合，定性分析依然是非常重要的選擇。

3.1.2 城市公共安全的半定量分析

半定量分析是在定性分析基礎上的提升，同時也是對花費更大的完全定量分析的妥協。在半定量分析中，定性分析的某些定性分析數據可能已是確定數字，但每個子項所確定的數字并不一定與具有非常精確的對應關系。

在應用半定量分析時需要小心，因為半定量分析可能不能正確地區分各種不同風險，尤其是當分析結果或可能性處于極端狀態的時候。因此，在實際分析時可將“可能性”分解成兩個要素“暴露頻率”和“概率”。所謂暴露頻率是風險來源存在的程度，而概率是當相應風險源存在時產生后果的可能性。在上述兩者間關系不是完全獨立時需要審慎對待分析結果，因為相互干涉后的分析結果可能產生偏差。這是半定量分析需要注意避免的問題。

3.1.3 城市公共安全的定量分析

城市公共安全的定量風險分析主要關注兩個基本數據：風險事件發生概率和風險對應可能損失的資產。這兩者相乘的結果稱為年度預期損失（ALE）或年度成本估算（EAC）。理論上可依據ALE計算威脅事件的風險等級并有針對性地做出相應的決策。

ALE的具體計算方法是首先評估城市單項資產的價值V；然后根據客觀數據計算威脅的頻率P；最后計算威脅影響系數μ：

ALE=V×P×μ

顯然的，城市公共安全整體ALE值應該是各單項ALE的總和。

但上述方法存在數據可靠性問題。定量分析依賴準確數據，而準確數據整體上依賴于人類的科學發展水平。對于某些安全威脅，人們確認已可掌握相應數據信息，但對于另一些威脅來說，可能還無法掌握實際數據。這是定量分析當前的局限性。

在定量分析實際應用中，對于這樣定量化的困難，可嘗試使用客觀概率和主觀概率相結合的方法進行。客觀概率用于有人們已經掌握客觀數據的情形；主觀概率則針對尚無法掌握直接根據數據的情況，此時將利用包括經驗數據、主觀判斷等進行替代。舉例來說，在社會穩定度評估中，對于攻擊行為的威脅可考慮如動機、手段和機會等要素。

總體而言，完全定量分析方法的使用是有相當難度的。但從城市公共安全精細化、智能化及未來發展來說，定量分析畢竟是城市公共安全最希望采用的方法。

3.2 “全生命周期”公共安全評估實踐

我們認為，一個真正的智慧城市公共安全系統在城市公共安全評估價值這方面應具備“全生命周期性”。所謂“全生命周期性”，是指應在智慧城市公共安全系統建設的規劃設計、實施部署、使用運維、系統升級4個階段全面引入城市公共安全評估方法，通過評估數據的變化指導上述4個過程形成閉環，不斷提升整體城市安全系統的水平及有效性。

具體來說，在系統規劃設計階段，首先要做的是基于現有信息系統形成的各類數據，有針對性地對待建系統所要解決的公共安全問題現狀進行評估，形成各類輔助決策分析結果，指導規劃設計體現出應有的重點問題的側重性、區域的差異性等。

針對平安城市的高清智能卡口布設問題：

（1）規劃階段進行風險識別和定量分析

利用比如歷史報警數據、案事件區域數據、車流量數據、人口分布數據等計算出整體區域風險度分布圖。將該數據所體現的區域差異性和整體卡口布設其他因素進行疊加，最終確定實際卡口布設位置、區域密度方案。

（2）在實施部署階段多次聯調測試及系統試運行

獲取相關測試數據，進而評估系統整體有效性，發現系統不足，及時調整、改進系統本身及相關部署。

（3）運維階段進行長效的公共安全評估

系統將在這個階段持續給出城市公共安全狀況評估，這不僅是給決策者對城市整體安全管理所用，也是給系統運營維護方面甚至于系統自身進行系統參數調整的必要依據。如果說決策人根據相關評估進行決策和調整是傳統安全系統應做到的，那么系統自身根據自身產生的安全評估在事先系統設計模式下進行相關參數調整才是真正“智慧”城市公共安全系統的智慧體現。

毫無疑問，如果安全評估體系長效機制建立起來的話，系統升級參考相關評估進行就是非常自然的事了。系統的自我調節總是有效有限的，社會狀況的變化、科技水平的提升則是永遠的，所以，在反應現實公共安全狀況的評估持續給出情況下，規劃新的系統升級就是水到渠成的事情。系統升級某種意義上又回到了“規劃設計”階段，在持續評估的機制下，整個城市的公共安全體系將形成這樣一個全生命周期、不斷螺旋式提升的正向軌道。輔助這個全生命周期循環的形成，也正是智慧城市公共安全評估最大價值所在。

4 結束語

當前中國智慧城市建設方興未艾。智慧城市建設投資巨大、影響深遠，而城市公共安全是城市基礎性需求之一，因此非常有必要在智慧城市的規劃階段就將城市公共安全評估體系納入其中。傳統上城市公共安全定量評估分析的方法，可以應用最新的物聯網、大數據、云計算技術，從而降低評估的成本。這正是我們在后續智慧城市建設中需要不斷探索、落實的事情。

參考文獻

[1] GB/T 20000.4-2003. 標準化工作指南第4部分：標準中涉及安全的內容 [S]. 2003.

[2] ISO Guide 73：2009. Risk management - Vocabulary [S]. ISO， 2009.

[3] ISO 31000：2009. Risk management - Principles and guidelines [S]. ISO， 2009.

[4] AS/NZS 4360：2004. Risk management [S]. AS/NZS， 2004.

[5] 劉茂， 王振. 城市公共安全學――原理與分析 [M]. 北京： 北京大學出版社， 2009.

[6] 張繼權. 城市公共安全學――應急與疏散 [M]. 北京： 北京大學出版社， 2009.

[7] 深圳市政府. 深圳市公共安全白皮書 [R]. 深圳市政府， 2013.

[8] 宋明哲. 現代風險管理 [M]. 北京： 中國紡織出版社， 2003.

[9] 劉波等. 災害管理學 [M]. 長沙： 湖南人民出版社， 1998.

[10] 薛瀾等. 危機管理 [M]. 北京： 清華大學出版社， 2003.

[11] 公安部加強和改進公安工作調研小組. 第20次全國公安會議專題研究報告 [R]. 公安部， 2003.

[12] 馬鑫， 黃全義， 疏學明. 物聯網在公共安全領域中的應用研究 [J]. 中國安全科學學報， 2010，19（3）：12-16.

[13] 田依林. 城市公共安全應急管理信息系統建設模型 [J]. 武漢理工大學學報， 2007，47（2）：2-5.

第5篇：云計算服務安全評估方法范文

關鍵詞：云計算；安全技術；數據安全；應用安全；虛擬化安全

中圖分類號：TP391 文獻標識碼：A 文章編號：2095-1302（2014）03-0088-03

0 引 言

所謂云計算，是將大量計算機、服務器和交換機等網絡設備構成一個動態的資源池來統一進行管理，用戶可根據自己的需求從資源池中動態索取所需的服務；該資源池通過虛擬化技術為用戶提供服務，軟件和業務數據都是在云中運行或存儲的，用戶不需要擁有硬件基礎設施。

隨著信息化和物聯網技術的快速發展，海量數據以爆炸式趨勢增長，而云計算使得高效、快速處理海量的信息成為可能，但隨之而來的安全問題不容忽視，并已逐漸成為云計算面臨的最大挑戰，直接影響其后續的發展。本文首先對云計算帶來的安全問題及關鍵技術進行討論，并闡述了在標準化和產品應用中的安全趨勢。

1 云計算的特點與應用

云計算概念[1]由Google于2006年首次提出，可認為是并行計算（Parallel Computing，PC）等計算模式的進一步演進；是多種技術混合演進的結果，成熟度較高；是分布式計算模型的商業實現，具有大規模、多用戶、虛擬化、高可靠性、可伸縮性、按需服務、成本低廉七大特性。其中，可伸縮性和按需服務是區別于傳統IT服務的新特性。

目前，國內外云計算主要提供3種服務模型[2]：IaaS（Infrastructure as a Service，基礎設施即服務），PaaS （Platform as a Service，平臺即服務）和SaaS（Software as a service，軟件及服務）。IaaS是將云處理、存儲、網絡等基礎資源封裝成服務以便用戶使用；用戶可以從供應商那里獲取需要的資源來裝載相關計算或存儲的應用，但必須考慮多臺設備協同工作的策略并為所租用的資源付費；IaaS最具有代表性的產品有：Amazon EC2、IBM Blue Cloud、Cisco UCS和Joyent。PaaS是供給用戶應用程序的運行環境，主要面向開發人員，提供在互聯網上的自定義開發、測試、在線部署應用程序等功能，是對資源更進一步的抽象層次；PaaS比較著名的產品包括、Google App Engine、Windows Azure platform和Heroku。SaaS是將應用軟件封裝成服務，用戶可直接使用無需安裝；最具有代表性的產品是Google Apps、Saleforce CRM、Office Web Apps和Zoho。

2 云計算特有的安全問題

雖然云計算提供了新的計算模式和服務應用來區別于傳統的IT網絡，但傳統信息安全的各種威脅都適用于云計算平臺，而云計算本身的特性又帶來一些新的安全問題[3]。它最初的服務對象是企業內部，對其他人只有部分功能是開放的，例如郵件服務器和網絡服務器等，因此最初對云計算的設計沒有對其安全性做充分的考慮，只設計了防火墻、訪問控制這些簡單的安全措施。但伴隨著云計算的發展，有許多非法分子利用云計算的漏洞進行一些非法操作，因此需要更快地發展云計算安全技術；其次，數據存儲在“云”端，要保障數據的安全以及租戶之間的數據隔離是關鍵；再次，用戶升級服務器時用的是遠程執行，并未采取本地環境安裝，這樣每次操作的同時就很可能帶來一些安全隱患；還有，云計算大量應用虛擬化技術，保障其安全也和傳統的安全有很大區別。相較法律法規都相對完整的傳統安全技術，云計算缺少統一的標準，法律法規也不健全，國家政策上的不同也對云計算的發展有不利影響。

3 云計算安全的關鍵技術

3.1 數據安全

無論應用上述3種服務模型的任何一種，為確保數據不丟失，數據安全[4]都非常重要。

3.1.1 數據傳輸安全

數據傳輸安全即是在數據傳輸過程中避免被篡改、竊聽、監視，從而保證數據的完整性、可用性、保密性。在傳輸過程中可采用VPN和數據加密等相關技術，實現從終端到云存儲的安全，維護人員也可以采用加密通道來保障信息的安全傳輸。

3.1.2 數據隔離

由于云計算采用共享介質的數據存儲技術，不同用戶的數據可能會被存儲在同一物理存儲單元上，因此為防止相鄰用戶對數據的惡意竊取以及云服務提供商以管理員身份獲取用戶數據，采取加密的存儲設備是必要的手段。

3.1.3 數據殘留

數據殘留有兩種，一種是物理數據存儲設備上的數據被擦除后留有的痕跡，另一種是虛擬機遷移、回收和改變大小等行為造成之前在此虛擬機上存儲的數據的泄露，攻擊者有可能捕獲這些痕跡恢復出原始數據，不論信息是存在內存中還是硬盤中，所以在存儲空間再次分配給其他租戶之前要將上一租戶的數據徹底清除。

3.2 應用安全

3.2.1 終端用戶安全

在終端上安裝安全軟件，比如殺毒軟件、防火墻等來確保計算機的安全性。目前用戶獲得云服務的主要接口就是瀏覽器，所以瀏覽器的安全與否極為重要。要實現端到端的安全，就必須采取一些措施來保護瀏覽器的安全。在多種系統同時運行的情況下攻擊者會由虛擬機上的漏洞為入口從而獲取物理機上的數據，所以應加強虛擬機的管理[5]。

3.2.2 SaaS應用安全

SaaS是提供給用戶無視底層云基礎設施的軟件服務，在這種服務模式下，云計算提供商維護管理所有應用，云計算提供商必須保證應用程序和組件的安全性，用戶只需負責最高層面的安全問題，即用戶自己的操作安全、個人密碼等秘密信息的保管。選擇SaaS的提供商要特別慎重，因為會負擔絕大部分的安全責任，提供商要最大限度地確保提供給用戶的服務的安全性。目前對于提供商的評估方法是根據保密協議，要求提供商提供相關的安全實踐信息，該信息應當包括黑盒與白盒安全測試記錄。攻擊者通常收集用戶的信息，視圖破解用戶的密碼，云服務提供商應提供高強度密碼并對密碼進行定期管理。在邏輯層，不同的數據根據用戶唯一的標識符進行隔離，但是在很多情況下，這種隔離可能會被軟件因素打破，例如虛擬機的重新分配等。因此，對于用戶來說，應盡量了解云服務提供商所提供的云服務的虛擬數據存儲架構，對于云服務提供商來說，應加強軟件的安全性管理。

3.2.3 PaaS應用安全

在PaaS模式下，云計算提供商不提供基礎設施，而是提供基于基礎設施的服務平臺，用戶可以在此平臺上用相應的編程語言、操作系統來進行應用開發并在該平臺上運行應用。PaaS應用安全由兩個層次組成，包括PaaS自身安全還有客戶不屬于PaaS上的應用安全。由于SSL是大部分云安全應用的基礎，很多黑客都在研究SSL，在以后SSL將成為病毒傳播的主要媒介。所以提供商應該針對當前的問題采取有效的辦法來解決此安全問題，從而避免不必要的損失。在PaaS模式下，云計算提供商負責其提供的平臺的安全性，如果平臺中用到了第三方的應用，則第三方對此應用的安全性負責，所以，用戶在使用應用、組件或Web服務時要知道所使用的是誰提供的應用，若是第三方提供，則用戶應對該第三方服務提供商進行風險評估。目前，部分云服務提供商拒絕對其所提供平臺中涉及到的第三方應用信息進行公開，用戶應該盡可能獲悉第三方信息從而進行風險評估，提高自己數據的安全性。在云服務中，共享是比較重要的服務模式，因此，對于多用戶共享PaaS模式下，分離不同用戶至關重要。PaaS提供商在多用戶模式下必須提供“沙盒”結構，保證PaaS中應用的安全性。

3.2.4 IaaS基礎設施安全

IaaS云提供商將虛擬機租賃出去，云提供商完全不管理用戶的應用和運維，只是將用戶部署在虛擬機上的應用當成一個黑盒子而已，用戶在虛擬機上的應用程序無論執行何種任務，都由用戶自己管理和支配，所以對于應用的安全，用戶負全部責任，而對于云提供商而言其在將設備租賃出之后便對客戶的應用安全不提供任何幫助。

3.3 虛擬化安全

資源池通過虛擬化技術向客戶提供服務，在應用虛擬化技術的時候主要有兩方面風險，虛擬化軟件安全和虛擬服務器安全[7]。

3.3.1 虛擬化軟件安全

軟件具有創建、運行和銷毀虛擬服務器的能力，它直接安裝在裸機上。有很多方法可用來實現不同級別的虛擬化，例如操作系統級虛擬化、服務器級虛擬化、硬盤級虛擬化。在IaaS云平臺中，軟件完全由云服務商來管理，用戶不用訪問此軟件層。必須嚴格控制虛擬化軟件層的訪問權限，這樣才能保障計算機同時運行多個操作系統的安全性，對于云服務提供商來說必須建立健全的訪問控制策略來保障虛擬化層次的用戶數據安全。

3.3.2 虛擬服務器安全[8]

在兼顧虛擬服務器特點的前提下，物理服務器的安全原理可以移植到虛擬服務器上應用，當虛擬服務器啟動時TPM安全模塊會去檢驗用戶密碼，若此時輸入的用戶名和密碼的Hash序列不對則虛擬服務器終止啟動。最好使用可支持虛擬技術的多核處理器，這樣可以做到CPU之間的物理隔離，這樣可以避免許多不必要的問題。

4 云計算組織及標準

近來來，各國政府紛紛開展云計算標準化工作來促進云計算技術的發展，從收集案例、場景以及分析標準化需求到最后進行標準制定，其中涵蓋了云計算基礎標準、互操作和可移植、數據中心和設備、云計算安全及服務等方面。下面簡要列舉一下云計算的組織及標準[9]：

4.1 CSA（Cloud Security Alliance）

云計算安全聯盟成立于2009年，致力于為云計算環境提供最佳的安全方案，在2013年，CSA[10]確認了云計算2013年9大核心安全問題，分別為：Data Breaches；Data Loss ；Account Hijacking ；Insecure APIs ；Denial of Service；Malicious Insiders；Abuse of Cloud Services；Insufficient Due Diligence ；Shared Technology Issues。CSA也了云安全矩陣，對云計算環境的安全問題及解決方案提供了指導。

4.2 EU（EUROPEAN COMMISSION）

EU于 2012年了《Unleashing the Potential of Cloud Computing in Europe》對云計算核心技術、云計算安全問題等方面進行了研究。對于云計算的應用及安全問題具有指導性意義。

4.3 Open Cloud Manifesto（開放云計算宣言）

“開放云計算宣言”已經正式，闡述了是云計算的概念和優勢、云計算的安全問題以及共有云、私有云、開放云的目標和原則等。

4.4 Distributed Management Task Force（分布式管理任務）

此組織的主要工作是提高共有云、私有云、混合云平臺之間的互操作性。另外，云計算的安全管理標準是ITIL、ISO/IEC27001和ISO/IEC27002。

5 結 語

隨著互聯網的快速發展，云計算的發展前景無可限量，它的規模很大，其中承載著用戶的許多隱私文件，與此同時也面臨的嚴峻的安全技術問題，如何解決這些問題是云計算發展的關鍵，因此需要完善云計算的技術，制定相應的法律法規等手段來不斷完善云計算的安全技術，為云計算今后的發展營造健康的環境。

參 考 文 獻

[1]馮登國，張敏，張妍，等. 云計算安全研究[J]. 軟件學報，2011（1）：71-83.

[2]房晶，吳昊，白松林. 云計算安全研究綜述[J]. 電信科學，2011（4）：37-42.

[3]李連，朱愛紅. 云計算安全技術研究綜述[J]. 信息安全與技術，2013（5）：42-45.

[4]王新磊. 云計算數據安全技術研究[D].鄭州：河南工業大學，2012.

[5]薛凱. 云計算安全問題的研究[D].青島：青島科技大學，2011.

[6]裴小燕，張尼. 淺析云計算安全[J]. 信息通信技術，2012（1）：24-28.

[7]房晶.云計算的虛擬化安全和單點登錄研究[D].北京：北京交通大學，2012.

[8]張云勇，陳清金，潘松柏，等. 云計算安全關鍵技術分析[J]. 電信科學，2010（9）：64-69.

[9]王惠蒞，楊晨，楊建軍. 云計算安全和標準研究[J]. 信息技術與標準化，2012（5）：16-19.

[10]顏斌. 云計算安全相關標準研究現狀初探[J]. 信息安全與通信保密，2012（11）：66-68.

Network control recognition of intelligent power distribution cloud based on fuzzy cloud theory model

ZHENG Xiao-fa， YANG Li

（Chongqing Electromechanical Vocational Insititute， Chongqing 402760， China）

第6篇：云計算服務安全評估方法范文

關鍵詞：金融生態；層次分析法（AHP）；網絡層次分析法（ANP）

一、引言

縣域金融是縣域經濟的核心，金融生態的建設對于改善經濟運行環境，吸引信貸等經濟資源，打造資金“洼地效應”，促進縣域經濟的發展至關重要。縣域金融生態評估可以直觀地闡明金融生態主體和金融生態現狀及發展趨勢，對當地金融生態的加速建設具有指導意義，同時為農村金融發展、農村經濟建設、“三農”戰略目標的實現等提供理論支持和政策參考。從某種意義上來說，由金融監管缺位、金融政策不當、金融發展失衡等釀成的全球金融危機，也是由于金融生態出現了問題。因此，科學合理地評估金融生態對增強金融機構抗風險能力、穩定金融秩序、改善金融生態環境有重要戰略意義。

二、文獻綜述

金融生態這一概念由我國首先引入，具有較強的中國特色。2004年中國人民銀行行長周小川指出應通過改進金融生態的途徑來促進整個金融系統的改革和發展后，掀起一股研究金融生態的熱潮。從理論角度來說，廣義上的金融生態是指與金融業生存、發展具有互動關系的社會、自然因素的總和，包括政治、經濟、文化等一切與金融業相互影響、相互作用的諸多方面，是金融業生存、發展的基礎；狹義而言，則是指微觀層面的金融環境，包括法律、社會信用體系、會計與審計準則、中介服務體系、企業改革及銀企關系等方面的內容。

金融生態是側重“生物群落”或“生物成分”而構成的具有相對獨立秩序結構、要素邏輯條理等特性的、互動式動態平衡系統。其重點是如何確保金融生態長期處于良好穩定狀態，并促進金融業的健康發展乃至經濟發展和社會進步。經過白欽先（2001）、周小川（2004）、徐諾金（2005）、李揚（2005）、劉煜輝（2007）等從不同角度界定、研究后，逐步構建了趨于完善的金融生態理論。目前而言，國外直接涉及金融生態領域的相關研究尚未展開，類似研究大多是從金融安全的角度出發，圍繞金融危機與風險理論和實踐展開的。

在金融生態的實證研究方面，相關學者從金融生態指標、資源配置、區域金融生態、縣域金融制度建設、新制度經濟學等不同的角度研究金融生態。如：徐小林（2005）在對山東三地市的金融生態環境研究中，通過對區域金融生態評價指標的設計，從實證分析的角度探討了區域金融生態環境的現狀。周志平等（2005）從金融生態的層次機構和資源配置的角度，在對欠發達地區市、縣域和鄉村三層金融生態的結構性比較研究的基礎上，結合個案得到了改善金融生態的一些結論。程亞男（2006）以區域金融生態為研究對象，通過構建定性指標和定量指標相結合的金融生態評價的指標體系，闡述了一種健康金融生態的理想狀態模式。皮天雷（2006）從新制度經濟學的角度出發，分析了法治在金融生態的完善和發展中有至關重要的作用。

與此同時，對金融生態評估方法的研究正經歷著大膽嘗試、不斷探索創新的過程。中國社科院金融研究所繼2005年首次對50個大中城市的評估報告之后又于2007年推出了全國31個省市、90個中心城市的評估報告，首次將Saaty教授的層次分析方法運用到評估研究中，較為妥善地解決了多屬性、多層次難以完全定量化的復雜問題。一石激起千層浪，金融生態的理念立即引起社會各界的高度關注，對金融生態評估方法論的研究亦成為學術界研究的一大熱點。研究成果亦如雨后春筍：謝慶健（2006）對安徽、江西、河南、江蘇、浙江、山東六省1995-2004年期間的縣域金融生態狀況進行了一次專題調研；雷永健等（2006）運用DEA模型對成都市所轄13個區市縣2005年的金融生態環境進行測評；人民銀行廣州分行課題組（2006）將因子分析與層次分析相結合，實現了方法上的突破與創新等等。在不斷的嘗試與創新中，金融生態評估的理論體系不斷豐富，評估方法日臻成熟。

三、研究設計

金融生態評估結果的科學合理性在很大程度上依賴于科學系統的評估方法以及合理的指標體系。本文選取某省縣域金融生態評估中所采用的指標體系，在其基礎上提出一套更為科學、客觀的評估模型。

（一）ANP基于AHP的改進

1996年Saaty教授在AHP基礎上提出的ANP方法，它能更好的適應復雜結構的決策問題，并能將元素間錯綜復雜的關聯與反饋關系納入到模型的分析中。雖然AHP是從定性和定量相結合的角度出發，具有深刻的數理背景、邏輯的分析方法，并在決策科學、管理科學、系統工程領域得到廣泛應用，然而其缺陷也不容忽視。

通過大量理論和實證分析，ANP相對于AHP的優勢在于：1.ANP是將復雜的問題分解成各個組成因素，按支配關系聚類形成有序的遞階層次結構；而ANP的網絡層次結構更為復雜，既存在遞階層次結構，又存在內部循環相互關聯的網絡結構，且層次結構內部各元素之間還存在依賴性和反饋性。2.由于AHP假設內部元素相對獨立，使其應用范圍受到了一定限制。在實際決策問題中，系統元素更多的不是呈遞階層次結構形式，而是網絡結構形式，而這恰恰是ANP更實用所在。如圖1所示:

圖1 網絡層次結構圖

ANP方法經過國內外學者的不斷改進，已經成為一種較為成熟、系統的決策評估理論。自此，國內外基于ANP原理的評估方法被廣泛運用到社會的諸多領域：AHP與ANP在供應商選擇領域的運用比較（凌云等）、網絡層次分析法在城市競爭力評價方面（趙國杰等）、物流滿意度評價（許國兵等）、橋梁設計方案（孫宏才等）、Graph Model與ANP模型在中美電視傾銷中的比較研究（Keith W.HIPEL等）、MCDM工具與ANP在市政選址的決策運用（Mufide Banar等）、ANP在復雜環境中的決策運用（Thomas?L?Saaty）等等。

（二）運用ANP構建金融生態評估體系

以往的金融生態評估方法存在諸多不足，其一，以往的評價方法以定性研究見多，缺乏強有力的說服力和充分的科學性論證；其二，即使采取定量的研究方法，所選取的評價方法沒有考慮指標體系內各指標之間的相關性，從而對指標優度產生影響，進而使最終評估結果發生偏差；其三，雖有復雜的數理支撐，卻缺少系統、科學的評價體系。

針對以上三點，借鑒前人已有成果，重點運用ANP方法對某市縣域金融生態環境進行評估。相較于AHP方法，ANP方法更能把握金融生態環境指標體系之間存在的內在關系，評估結果更為科學合理。

1.指標體系構造

本文在湖南大學金融管理研究中心所提出的指標體系基礎上，對指標之間的關聯與反饋進行下述分析：從概念內涵上，例如司法力度（X11）指標包含的經濟案件結案率（X111）、金融案件結案率（X112）與金融債權保護（X12）內的金融勝訴案件執結率（X121）、金融案件執結資產回收率（X11）之間以及X11與X12之間都存在明顯的關聯；從數理上，運用SPSS進行線型相關檢驗，證明元素間存在顯著的相關性。例如：X111與X112，X121，X122之間的相關系數很大，說明X11與X12之間具有較強的關聯度；進而說明法治環境（X1）元素集內部存在依存。

基于以上的分析，金融生態系統中，不是簡單的遞階層次結構，而是一種復雜的網絡結構，當網絡中的層次之間和層次的內部元素之間存在依賴和反饋時，簡單地運用AHP方法將影響評估結果的真實性和科學性。然而ANP方法能很好的解決這個問題，因此本文從指標體系的層次結構出發，運用ANP原理對該指標體系進行重新構建。

該指標體系的結構主要由以下兩部分組成：第一部分稱為控制層，包括評估目標；第二部分為網絡層是由X1、X2、X3、X4四個相互關聯的元素集，以及其內部的X11、X12、X21…X31、X32…X45等組成。如圖2：

圖2 基于ANP的金融生態評估模型圖

2.ANP評估過程

構造多指標綜合評估指標體系的核心是確定權數，權數是綜合評估模型中的重要因素，它直接影響到綜合評估的結果。權重的確定主要有兩類方法：一類是主觀賦權法，根據人們主觀上對各評估指標的重視程度來確定其權重的方法；一類是客觀賦權法，根據各指標所提供信息量的大小來決定相應指標權重的方法。兩種方法各有利弊，主觀賦權法依賴專家經驗，考慮全面，但難免有主觀臆斷性；客觀賦權法相對客觀，但數據分析結果可能不穩定。

本文基于以上指標體系的網絡結構，采取了變異系數法與網絡層次法相結合的權重確定方法（以下簡稱為ANP方法）。指標權重具體計算過程如下：對于項目層與子項目層，因為指標數目較少，且之間存在相互關聯和反饋，先構造出網絡結構，然后確定網絡元素集的關聯性，再采用ANP的方法對其賦權，用德爾菲法與專家組打分結合得到判斷矩陣收斂值，代入Super Decision 1.6.0軟件通過超矩陣、極限矩陣的計算得到穩定的項目層與子項目層各指標的局部權重；對于指標層，用極差標準化將指標數據歸一化后，用變異系數來確定其權重。最后將局部權重與指標層的權重相乘，便可得到歸一化的綜合權重。如表1所示：

表1 各層權重的計算方法

層次項目層子項目層指標層

方法網絡層次分析法網絡層次分析法變異系數法

3.ANP與AHP評估結果比較

基于上述ANP評估模型，選取某省19縣為樣本，運用極差法對指標數據進行處理，將標準化值乘綜合權重得到2007年各縣綜合得分。本文將最終得分、排名與湖南大學金融管理研究中心運用AHP方法所得結果分別進行比較，如圖3-1、圖3-2所示：

圖3-1

圖3-2

采用ANP方法和AHP方法進行縣域金融生態評估的最后結果在排名上基本一致，然而得分卻有一定的差別。前者在得分上整體性地高于后者，主要由指標數值標準化的方法不同引起的，不影響最終相對排序。兩者差異主要體現在前兩層元素的權重上，雖然兩種方法下四要素權重大小排名相同，但ANP方法賦予了法治環境和經濟基礎更高的權重，其主要原因在于：1.AHP方法假設金融生態四要素是相互獨立的，而ANP方法則認為金融生態各層次是相互影響的；2.AHP方法假設元素集內的因素相互獨立，下層元素只受上一層元素的控制，而ANP方法認為指標體系中的任何一個指標可能和其他指標相互影響，并對上一層指標產生反饋。

四、結論

本文基于國內外金融生態相關理論及評估方法，在考慮金融生態各因素間的相互依賴與反饋的基礎上建立了ANP評估模型，該模型在理論上更能表征金融生態內部相互關聯的特征。將ANP方法創新性地運用到金融生態評估中，不僅是對科學合理評價方法的嘗試，更是對該領域評估理論體系的補充與完善。通過與AHP實例比較分析，兩者結果的一致性驗證了ANP在復雜系統評估中的正確性和合理性。然而ANP方法指標內部元素之間的關聯性很大程度上依賴專家意見，判斷矩陣較多，用德爾菲法得到的收斂性值需要進行多次反復調整，增加了評估工作的計算量。相較而言，在只需要得到評估對象相對排序時，AHP方法操作更簡單可行。因此，在不同評估目標下，兩種方法各有所長。

參考文獻：

［1］ Saaty,T.L. Decisions with the Analytic Network Process （ANP）. University of Pittsburg: Springer Verlag, 2006.

［2］Saaty,T.L. The Analytic Hierarchy Process［M］. Mc Graw Hill, 1980.

［3］Honohan,Patrick. How interest rates changed under financial liberalization a cross-eountry review.Policy Research Working Paper series 2313.The World Bank.2000.

［4］Gurley,J.G..and Shaw,E.S. Financial Structure and Economic Development［J］, Economic Development and Cultural Change, 1967,15（3）:257-268.

［5］Detragiache, Enrica, Demirguc-Kunt, Asli. Monitoring banking sector fragility：a multivariate logit approach with an application to the 1996-97 banking crises［J］.World Bank Economic Review，2000,14（2）:287-307.

［6］劉煜輝. 中國地區金融生態環境評估（2006-2007）［M］. 第1版. 中國金融出版社,2007.

［7］湖南大學金融管理研究中心. 2007年度株洲市縣域金融生態評估報告［N］. 株洲日報. 2008,09.

［8］周小川. 完善法律制度，改進金融生態［N］. 金融時報, 2004,12.

［9］徐諾金. 論我國金融生態若干問題［N］. 金融時報,2005,01.

［10］許樹柏. 層次分析原理［M］. 天津:天津大學出版社, 1988.

［11］王蓮芬,許樹柏. 層次分析法引論［M］. 北京中國人民大學出版杜, 1990.

［12］孫宏才,田平. 網絡層次分析法淺析［N］. 中國系統工程學會第12屆學術年會 ,2002.

［13］徐諾金. 論我國的金融生態問題［J］. 金融研究, 2005,11.

［14］趙國杰,趙紅梅. 基于網絡層次分析法的城市競爭力評估指標體系研究［J］. 科技進步與對策, 2006,11.

［15］趙國杰,關長海,劉翠娥. 基于ANP的產業集群社會資本評估［J］. 現代財經, 2007,12.

［16］高小瓊. 關于加強區域金融生態環境建設的幾點思考［J］. 中國金融, 2005,14.

［17］蕭安富，徐彥斐. 金融生態與資金配置效率的一個微觀解釋：自貢案例研究［J］. 金融研究,2005,6.

［18］路易絲普特曼. 企業的經濟性質［M］. 上海財經大學出版社, 2000.

［19］納爾遜,溫特. 經濟變遷的演化理論［M］. 北京：商務印書館, 1997.

［20］韓平. 改善金融生態環境是系統工程［J］. 金融時報,2005,5.

［21］徐諾金. 運用生態學方法分析考察金融的幾點思考［J］. 中國金融, 2006,19.

第7篇：云計算服務安全評估方法范文

【關鍵詞】電力設備 數字化 智能化 智能電網

1 前言

在堅強智能電網的架構下，輸變電設備的智能化將逐步成為未來電網建設中必不可少的環節。輸變電設備智能化的目的是使電網能實時掌控關鍵設備的運行狀態，在盡量少的人工干預下，及時發現、快速診斷和消除故障隱患，快速隔離故障、自我恢復，使電網具有自適應和自愈能力；同時，進一步提高設備的可靠性和利用率，是實現智能電網的重要技術基礎。我國已在特高壓技術、高級調度中心、數字化變電站等方面進行了嘗試并取得積極進展，但目前總體還處于初級階段，輸變電設備的智能化程度仍然較低。

智能變電站技術，自20世紀90年代以來一直是我國電力行業中的熱點之一，是集遠動、監控、測量為一體，并與微機繼電保護裝置相配合，由監控主機統一進行各種信息的處理，可把變電站采集的實時數據進行處理向調度中心傳遞。這可以減少人員依賴，給電網在線監測、最佳運行方式選擇、事故處理等提供了有利條件。近10多年來，我國變電站智能化，在技術和數量上都有顯著的發展，但比例仍然偏低。

智能配電網，是提高分布式發電的重要基礎，我國目前仍處于摸索和試點的階段。國外現代化大城市的配電管理系統和配電自動化，是在一次網絡規劃合理，變電設備本身可靠并具有遙控和智能功能，信息系統的普及和消費者需求多樣化的基礎上建立起來的。日本在20世紀70年代就開始以高壓、大容量的配電方式解決大城市配電問題，并著手開發配電網絡智能運行的方法，80年代到現在完成了計算機系統與配電設備配合的配電自動化系統，在主要城市的配電網絡上投入運行。美國在80年代就實現了一定程度的配電自動化。韓國和我國臺灣地區也于90年代完成了局部配電系統的自動化，并建立了自己的配網自動化網絡。由于我國配電設備的技術性能跟不上發展的需要，保護開關的技術參數及可靠性差，再加之配電線路長，變壓器和分支多，常常是一點故障導致全線路的停電，并且故障點難以快速發現，降低了供電的可靠性和工作效率。

所以，我國電網的智能化發展還有較長的路要走，而設備的智能化不足是重要制約，是未來我國堅強智能電網建設需要重點解決的前提和基礎。

2 設備智能化發展關鍵技術趨勢

提高輸變電設備智能化發展，涉及到規劃、設計、建設、運行、電網調度和生產管理等多個環節，必須綜合具備智能運營、智能診斷、智能決策、智能控制、智能分析等能力，重點提升七個方面的技術水平。

2.1 設備信息的感知和一體化融合技術

研究適于現場運行要求的傳感器是設備智能化的關鍵技術之一。一方面，傳感器的小型化、與高壓設備的一體化、集成化，實現一次設備與二次設備高度集成，支持可測、可知、可控的高安全電網設計理念是未來重要的研究發展方向。另一方面，提高傳感器的靈敏度、長期穩定性和選擇性，其發展趨勢是從新材料、新工藝入手，探索新型傳感結構與測量原理，利用光、化學等多種物理效應研究開發具有高靈敏度、高穩定性及超高帶寬的新型傳感器，準確可靠地現場提取和識別重要運行狀態特征量。

2.2 基于多源信息融合分析的智能狀態評估與診斷技術

根據監測種類和參量的不同（ 如局部放電、介損、油中溶解氣體含量等） ，研究軟件模塊化組合和硬件集成化、小型化，提高運行的穩定性、可靠性，實現監測、診斷系統與輸變電設備一體化。利用輸變電設備的各類狀態信息，實現多功能、多參數的綜合監測與診斷，重點研究不同類型（ 聲、光、電、熱、力等） 多物理量的傳感信息及其關聯關系，建立基于多特征參量和多維判據的輸變電設備狀態自評估診斷模型，其中一些智能分析方法特別是信息融合、數據挖掘、神經網絡、專家系統、數字影像分析等技術可以在輸變電設備評估診斷中得到更好的應用。綜合利用SCADA、WAMS 等運行工況數據與在線監測數據、帶電檢測、試驗數據、設備臺賬等實現基于多源信息融合的輸變電設備綜合狀態評估、故障診斷和壽命預估也是需要研究的關鍵技術。

2.3 運行風險控制和安全預警的智能決策技術

提高輸變電設備的故障防御能力以及故障的自愈能力（ 如惡劣氣象條件、外部雷電閃絡故障等） ，需要根據獲得的設備狀態信息、變化發展過程以及設備本身的特性，采用智能方法預測故障發生的可能性，達到提前預警和故障控制的目的。研究內容包括輸變電設備運行安全分析理論和技術； 輸變電設備運行風險水平評價指標體系和評價理論； 輸變電設備運行風險源辨識、安全預警方法； 輸變電設備預想事故推演方法與仿真技術等。另外，需要研究多參量綜合診斷的電力裝備壽命評估方法及剩余壽命預測理論，結合可靠性和經濟性分析，研究設備的維修策略，實現設備的壽命預測及全壽命周期管理。

2.4 設備輸送容量提高及其安全控制技術

智能輸變電設備主要研究基于運行狀態和實時環境參數實現動態增容的技術，未來關注的研究內容包括： 變壓器、斷路器、輸電線路動態負荷能力評估理論和方法； 基于SCADA 和WAMS 數據的輸電線路運行參數辨識原理和技術； 考慮輸變電設備實際運行狀態以及負荷預測的調度輔助決策等。在此基礎上，需研究輸變電設備負載實時安全控制技術，提高短時高峰或故障時設備過負載運行的能力。

2.5 高壓開關電器的智能操作和控制技術

不同運行工況下（ 空載變壓器、空載線路、故障電流特性不同等） 開關電器需要采用不同的操作特性，要實現絕緣介質恢復的綜合調控，也需要考慮開關電器運動對電弧形態以及弧后介質恢復過程的影響，以滿足快速限流分斷、低操作過電壓等要求。因此，未來需關注不同介質中開關電弧發生和熄滅機理、弧后介質恢復過程，開關電器智能操作的控制理論與方法及新型操作機構，開關電器操作過程中的電磁兼容特性等。另外，智能開關設備的選相控制技術也是降低電網事故風險的有效手段。

2.6 設備智能化互動分析技術

智能輸變電設備的信息化系統的發展趨勢是與生產管理系統、運行維護系統、數字化設計系統以及SCADA、WAMS 系統等進行數據交互，需要研究各類不同信息的融合分析和輔助決策技術，包括基于風險評估和全壽命周期管理的設備狀態檢修優化決策、設備運行狀態對大電網安全穩定影響的輔助分析等。

2.7 物聯網技術和云計算及其應用

輸變電設備狀態、運行和故障等信息的網絡化共享是實現電力網中各設備之間的信息交互、遠程控制、遠程診斷等的必然要求。物聯網利用智能傳感器、RFID 技術、無線傳感網絡、GPS 等技術實現物體之間的信息交互，作為“智能信息感知末梢”，將推動設備智能化的發展。通過輸變電設備物聯網感知層傳感器的共享，網絡層的融合，應用層系統的安全互訪，實現設備各種監測狀態信息的共享互通，提高設備狀態評估和智能診斷水平，為周期成本最優提供輔助決策。其中，輸變電設備信息模型、網絡架構、感知體系、通訊模型與接口規范、網絡與信息安全、設備間的信息共享與交互策略等問題都是需要深入研究。

云計算利用網絡將各種廣域異構計算資源整合，以形成一個抽象的、虛擬的和可動態擴展的計算資源池，再通過網絡向用戶按需提供計算能力、存儲能力、軟件平臺和應用軟件等服務。通過建立云計算平臺，有效整合系統中現有的計算資源，為各種分析計算任務提供強大的計算與存儲能力支持，有助于實現輸變電設備的大范圍實時監控和信息采集，提高實時分析和智能處理能力。需要研究與云計算相適應的輸變電設備數據融合、智能分析以及評估診斷的并行算法等。

3 輸變電智能化設備發展對策及建議

改變我國輸變電設備智能化方面的落后狀態，加強相關技術突破和應用，需要國家、行業和企業的共同努力。

3.1 國家層面

加大技術進步和技術改造投資力度，支持使用國產首臺（套）重大技術裝備，支持目錄內裝備的自主化、節能節材減排改造等。重視示范工程和產業培育，通過投資和技術輻射帶動產業的技術創新和發展，打造一批具有國際競爭力的科技型企業。調整稅收優惠政策，研究制定新的稅收扶持政策，鼓勵開展引進消化吸收再創新，引導發展高技術產品。

3.2 行業層面

進一步加強輸變電設備制造產業的技術研究。鼓勵企業與具有較強研究基礎的高校、科研機構以及電網合作，推進產學研一體化，加快技術升級。增強企業間合作，通過具有不同比較優勢的企業之間建立合作關系，互相借鑒外部先進技術與管理經驗，提高技術與管理水平。

加強產業重組整合，提高資源配置效率。我國輸變電設備產業已形成部分具有優勢領域，但在影響行業發展的重大技術領域不能聯合攻關，行業資源總體配置效率較低。需要制定合理的產業政策，適度提高產業集中度，通過產業縱向與橫向的聯合，實現不同企業間的優勢互補。同時，充分發揮大型企業示范引領作用，促進產業技術融合，推進技術創新中的作用。

3.3 企業層面

加強基礎研究。在開展產品研制與工藝技術升級的同時，還要根據科技縱深發展需要，合理安排基礎研究和應用研究。加強對關鍵材料服役特性的研究，包括絕緣、電磁、熱場和多物理場耦合模擬等基礎技術的研發。加強實驗研究基地、設施和科研梯隊建設。

加強科研投入。建立完善的科研投入機制，持續增強科研投入力度，確保科研資金落實到位。瞄準行業發展的技術前沿，以自主創新和引進消化吸收再創新結合，搶占行業技術制高點。

加強人才隊伍建設，造就一支門類齊全、梯次合理、素質優良、規模適度的科技創新人才隊伍。采用靈活多樣的吸引人才政策，吸引國內外一流科技人才到企業創業。鼓勵競爭，敢為人先，爭創一流，努力營造人盡其才、人才輩出的創新環境。

4 結語

隨著計算機技術、通信技術、功率電子技術和控制技術的發展，電力設備數字化、智能化技術逐步成熟，這也是解決電網智能化運作的前提和基礎，未來會越來越多的在電力生產、傳輸、分配和應用領域不斷被加以推廣應用。有理由相信，隨著電力設備智能化發展，電網的運行將帶來巨大的革命性變化，將更好的推進電網服務社會發展，服務國民經濟發展的需要。

參考文獻

[1] 許婧，王晶，高峰，束洪春.電力設備狀態檢修技術研究綜述[J].電網技術，2000（8）.

[2] 趙文清，朱永利.電力變壓器狀態評估綜述[J].變壓器，2007（11）.

[3] 麻秀范，鮑海，張粒子，劉曉明.智能化供電設備狀態檢修決策支持系統設計[J].東北電力學院學報，2002（2）.

[4] 馬飛.數字化變電站設備狀態監測系統[J].電工技術，2010（5）.

[5] 吳立增.變壓器狀態評估方法的研究[D].華北電力大學（河北），2005.

[6] 黃弦超.配電網檢修計劃優化問題的研究[D].華北電力大學（北京），2007.

[7] 丁旭峰.輸電線路狀態檢修研究[D].鄭州大學，2010.

[8] 趙強.基于物聯網技術的電力設備狀態檢修[D].華北電力大學（北京），2011.

[9] 楊卓.淺析電力系統及其自動化的現狀與發展趨勢[J].城市建設理論研究，2012（18）.

第8篇：云計算服務安全評估方法范文

中國社會目前正處在一個信息化飛速發展的階段，但是仍然不能滿足快速的經濟發展速度，存在著諸如信息化發展不平衡，信息安全漏洞等問題。“十二五”規劃將信息技術作為國家重點培育和發展戰略性新興產業之一，提出加快建設寬帶、融合、安全、泛在的國家信息技術設施，推動信息化和工業化深度融合，推進經濟社會各領域信息化，全面提高信息化水平。對信息建設領域的企業來說，能否抓住全球信息化發展趨勢以及中國信息技術產業的發展契機，機遇與挑戰并存。

NEC所做的是，不斷加強技術的發展、產品的制定，以及服務的提供，能夠針對本地市場企業各方面的需求，提供具有競爭能力的技術，提供可持續發展的技術支援，幫助本地各種各樣的企業進一步縮小存在的差距，提升企業管理的質量。

新平臺新目標

NEC中國希望通過該項目達成對各個層面的發展目標：在國家層面，能夠支撐“十二五”規劃制定的對信息技術產業的發展要求；在社會層面，通過物聯網、云計算等新技術三網融合、3C融合，打造更好的支撐網絡；行業層面，通過信息技術促進產業調整和升級；在企業層面，希望通過信息、技術改造幫助企業提高生產效率，增強企業競爭力；在個人方面，利用全方位的信息透明便利每個個體的工作和生活。

項目的具體發展指標是：自發起整個的倡議和規劃起，在第一年有50家企業加盟；第三年進一步建立交流平臺，征集加盟企業1000家企業，并挖掘不同行業的成功案例，帶動各行業利益相關方參與；而到2020年，通過有效的平臺，征集加盟10000家企業一起促進國家信息化的發展。

未來行動

構建網絡交流平臺。通過企業社會責任中國網(http：///)建立“促進信息化社會”主題倡議專頁，搭建信息交流平臺并提供網上實踐路徑。

第9篇：云計算服務安全評估方法范文

【 關鍵詞 】 Web安全;滲透測試;Kali Linux

Study of Kali Linux Web based on Penetration Testing

Xu Guang

（Fuzhou Central Branch of People's Bank of China FujianFuzhou 350003）

【 Abstract 】 With the widespread of Internet applications， the Internet is playing an increasingly important role in all aspects of social life; at the same time， the application of Web system security is facing a severe test， Web penetration testing technology has become an important means to ensure the security of Web. In this paper，based on the research of the weak in Web system security and the common vulnerability ， by the analysis of the basic steps of Web attack， proposes a method of Web based on penetration test Kali Linux， in order to achieve the purpose to evaluate and improve the security of Web application system.

【 Keywords 】 web security; penetration testing; kali linux

1 引言

隨著Web技術的日益成熟，Web應用系統已被廣泛應用于電子政務、電子商務等領域，不斷向公眾提供各種信息和服務。Web 技術極大地改變了人們工作和生活方式，網上購物已成為人們日常生活非常重要的一部分。根據中國互聯網絡信息中心的數據，截至2014年6月，中國網民已經達到6.32億，網站273萬家，國內域名數1915萬個，2013年，我國網絡購物用戶超過了3億，交易金額達到了1.85萬億元人民幣。然而，在Web 應用技術迅猛發展的同時，由于Web應用及其運行環境先天的脆弱性，Web 應用系統容易出現安全問題。

據《2014中國網絡空間安全發展分析報告》顯示，2014年上半年，我國大約有2.5萬余個網站遭黑客入侵和篡改。近年來，網站信息泄露事件頻發，包括國內最大的程序員網站CSDN、天涯社區、12306等知名網站的用戶信息外泄，在網上曝光的用戶信息條數過億。曝光的網站攻擊事件，僅是冰山一角，更令人不安的是，有33%的組織不知道自己的網站是否受到入侵。Web應用系統的安全面臨著嚴峻的現實考驗，如何保證Web網站安全已成為一個重要的研究熱點。Web 滲透測試因此成為評估Web 網站安全的一個重要的手段。

2 滲透測試相關概念

滲透測試（Penetration Testing）作為網絡安全防范的一種新技術，就是在實際網絡環境下，由高素質的安全人員發起的，經過客戶授權的高級安全檢測行為，通過模擬惡意黑客的攻擊方法，來評估計系統安全的一種評估方法。評估方法包括對系統的任何弱點、技術缺陷或漏洞的主動分析，這個分析是從一個攻擊者可能存在的位置來進行的，并且從這個位置有條件主動利用安全漏洞。滲透測試可以高度仿真地反映客戶系統面臨的風險，在滲透測試的過程中，充分暴露和發掘潛在的漏洞，揭示目標系統中存在的安全缺陷。

Kali Linux（前身是 Back Track）是一個基于Debian的高級滲透測試和安全審計Linux發行版。它集成了精心挑選的滲透測試和安全審計的工具，供滲透測試和安全設計人員使用。其預裝了許多滲透測試軟件，包括如Nmap （端口掃描器）、Wireshark （數據包分析器）、John the Ripper （密碼破解器），以及Aircrack-ng （一套用于對無線局域網進行滲透測試的軟件）。

3 Web安全脆弱性分析及常見漏洞

在Web應用程序出現之前，主要在網絡邊界上抵御外部攻擊，主要通過防火墻、IDS、SSL 加密、防篡改系統以及安全審計等手段保障網絡和系統的安全。Web應用程序的廣泛應用使得系統安全邊界發生了變化。用戶要訪問應用程序，邊界防火墻必須允許其通過HTTP/HTTPS連接內部服務器;應用程序要實現其功能，必須允許其連接服務器之后數據庫、大型主機等核心系統。如果Web應用程序存在漏洞，那么互聯網上攻擊者只需從Web瀏覽器提交專門設計的數據就可以攻破其核心后端系統。這些數據會像傳送至Web應用程序的正常、良性數據流一樣，穿透組織的所有網絡防御。由于應用程序無法控制客戶端，用戶幾乎可向服務器端應用程序提交任意輸入。如果應用程序沒有對輸入進行合法性確認，攻擊者可以使用專門設計的輸入破壞應用程序，干擾其邏輯結構和行為，并最終達到非法訪問其數據和功能的目的。系統與攻擊者的數據交換仍屬于正常訪問，利用的只是應用系統的一些潛在漏洞，在這類情況下，大部分傳統的安防手段就形同虛設了。

2013 年，OWASP（開放式Web應用程序安全項目，一個非盈利組織，旨在提高軟件安全）組織公布了Web 系統十大安全漏洞。1）注入：包括SQL注入、操作系統注入和LDAP注入;2）失效的身份認證和會話管理;3）跨站腳本（XSS）;4）不安全的直接對象引用;5）安全配置錯誤;6）敏感信息泄露;7）功能級訪問控制缺失;8）跨站請求偽造（CSRF）;9）使用含有已知漏洞的組件;10）未驗證的重定向和轉發。

4 Web攻擊的基本步驟

所謂“知己知彼，百戰不殆”。想要有效發現風險并保護網站的安全，首先我們要了解攻擊者是如何進行Web攻擊，才能做到有針對性的防御。Web攻擊一般分為三個階段。1）預攻擊階段：通過踩點及掃描進行信息收集;2）攻擊階段：漏洞分析與驗證;3）后攻擊階段：嗅探，提權以及刪除日志處理等。

預攻擊階段：采用各種方法收集攻擊目標的信息，包括Whois、媒體網絡、Google Hacking、社工庫等來進行目標系統踩點。這個階段，黑客需要對目標系統進行探查，了解其組織結構、運行模式、掌握目標系統所屬的安全控制措施。如通過Whois了解目標的網段，注冊信息等;通過DNS查詢，獲取域名信息，了解可能提供的服務;通過Nmap掃描，了解服務器端口信息，提供的服務信息。

攻擊階段：在獲取目標系統信息之后，需要分析可能攻破的路徑，配合漏洞掃描信息，定位最佳攻擊路線，確定系統的最薄弱的受攻擊面。“攻”與“防”是不對等的，“防”則意味著需要防護盡可能全的漏洞，而“攻”則往往只需要找到一個未防備好的弱點，就可以惡意利用，擴大戰果了。攻擊過程可能不會像預想的那么順利，這個階段需要做大量的嘗試，可能會采用多種攻擊方式，很容易留下痕跡，如果最終沒取得目標系統權限，很容易在目標系統留下日志。所以攻擊過程中，事先應要明確目標系統的漏洞，不能漫無目的的掃描攻擊。

后攻擊階段：在獲取了目標系統部分訪問控制權限，比如一臺服務器權限，就可以開始以特定業務系統為目標，識別出關鍵的基礎設施，尋找目標系統最具有價值的資產，通過提權、建立后門等手段保持后續的入侵。同時為了掩蓋攻擊痕跡，攻擊者還應該進行刪除日志等處理。后攻擊階段是Web攻擊過程中的關鍵環節，是最能體現高手和平庸小黑客區別的地方。

5 基于Kali Linux的Web滲透測試

結合Patrick Engebretson在《The Basics of Hacking and Penetration Testing》中對滲透測試過程的定義，基于Kali Linux的滲透測試包括：偵查、掃描、滲透、維持訪問、報告等五個階段，在滲透測試過程中可以利用Kali Linux預裝的滲透工具提高滲透測試效率。

偵查：這個階段的重點在于了解關于滲透目標信息系統的一切網絡信息和組織信息。可以通過互聯網進行搜素和對目標網絡的可用連接進行主動掃描來完成。在這一階段，滲透測試人員并不真正滲透進入網絡防御中，而是識別并收集相關目標盡可能多的信息。這個階段中除了利用Google搜索、Google Hacking、社工庫、社交媒體、招聘網站等手段外，還可以使用Wget、Nslookup、DIG程序（Domain Internet Gopher）等Kali Linux預裝滲透工具。

掃描：測試人員利用第一階段獲取的信息，對目標的網絡和信息系統進行實際掃描。在這一階段通過利用工具，一個更加清晰的網絡和信息系統基礎設施將成為接下來的滲透目標。可以用Kali Linux預裝的Nmap、Hping3、Nessus等工具完成這一階段的任務。

滲透：這對應著黑客在滲透階段所做的工作。這個階段的目標是在不被發覺的情況下通過運用系統的漏洞和成熟的技術入侵目標系統，并帶出相關信息。Metasploit是這一階段滲透人員最有力的工具之一。

維持訪問：一旦系統被滲透后，可以通過留下后門和Rootkit（一種特殊的惡意軟件，在安裝目標上隱藏自身及指定的文件、進程和網絡鏈接等信息）以便將來進行持續的滲透。使用Metasploit可以輕松創建特洛伊木馬和后門程序以維持訪問被入侵的系統。

報告：滲透人員向目標信息系統的主管和技術人員提交一份描述滲透過程的詳盡報告，包括入侵過程中的每個步驟、漏洞利用方式以及系統的缺陷。

6 結束語

Web應用系統安全是一項動態的、整體的系統工程，其防護手段主要包括了防病毒、防火墻、入侵檢測、漏洞掃描、數據備份與恢復等方面，但由于用戶端輸入的不可控，仍然存在來自應用層方面的種種不安全因素。因此，在做好常規安防措施的基礎之上，應定期對Web系統開展滲透測試，利用Kali Linux這類自動化工具發現可能Web應用系統漏洞，并做好相應的安全加固和系統完善，以避免給企業造成嚴重的業務及虛擬資產上的損失。

參考文獻

[1] James Broad，Andrew Bindner.Kali滲透測試技術實戰.

[2] Dafydd Stuttard，Marcus Pinto.黑客攻防技術寶典：Web實戰篇（第2版）.

[3] 王宜陽，宋苑.淺談滲透測試在Web系統防護中的應用[J].網絡信息安全，2010年第9期.