信息系統(tǒng)網(wǎng)絡(luò)安全措施硬件設(shè)施方面1.1使用異地備份網(wǎng)絡(luò)存儲(chǔ)設(shè)備。針對不同信息系統(tǒng)，定期將線上服務(wù)器上備份出來的文件、數(shù)據(jù)庫轉(zhuǎn)存?zhèn)浞莸疆惖鼐W(wǎng)絡(luò)存儲(chǔ)設(shè)備上。即使線上服務(wù)器遭到攻擊、或機(jī)房遭遇火災(zāi)等極端情況下，保障系統(tǒng)數(shù)據(jù)不丟失。1.2、使用硬件防火墻。針對不同信息系統(tǒng)，只對外打開所需的特定端口，最大程度減少被攻擊的入口。代碼級防護(hù)2.1參數(shù)過濾針對用戶惡意提交的特殊字符進(jìn)行過濾,達(dá)到防止sql注入的目的。以網(wǎng)站為例，在網(wǎng)站Global.asax文件（ASP.NET應(yīng)用程序文件，提供了一種在一個(gè)中心位置響應(yīng)應(yīng)用程序級或模塊級事件的方法）中加入如下過濾代碼：//<summary>//當(dāng)有數(shù)據(jù)時(shí)交時(shí)，觸發(fā)事件//</summary>//<paramname="sender"></param>//<paramname="e"></param>protectedvoidApplication_BeginRequest(Objectsender,EventArgse){〃遍歷Get參數(shù)。foreach(stringiinthis.Request.QueryString){this.SqlFilter(this.Request.QueryString[i].ToString());}}///<summary>IIISQL注入過濾///</summary>///vparamname="InText”>要過濾的字符串v/param>IIIvreturns>如果參數(shù)存在不安全字符，則返回truev/returns>publicvoidSqlFilter(stringInText){stringword=@"=|'|and|or|exec|insert|select|delete|drop|update|count|master|truncate|declare|char(|mid(|chr(|v|>|[-|;|,|\I|(|)|[|]|}|{|%|@|*|!|\']|script";boolflag=false;foreach(stringiinword.Split('|')){if(InText.ToLower().IndexOf(i)>-1){flag=true;break;}}if(flag)Response.Redirect("~IindexIerror.html");}在該文件中加入以上代碼后，會(huì)在每次傳遞參數(shù)時(shí)進(jìn)行篩選如遇到sql關(guān)鍵字、特殊字符時(shí)，將其過濾掉并跳轉(zhuǎn)至錯(cuò)誤頁面Java及其他編程語言，有對應(yīng)的類庫，代碼編寫方式類似。2.2傳參數(shù)的方法：在sql語句中使用SqlCommand(以為例)給參數(shù)賦值，而不是直接在sql語句中把參數(shù)值引入。stringstrSQL="SELECT*FROM[user]WHEREuser_id=@id";SqlCommandcmd=newSqlCommand();cmd.CommandText=strSQL;cmd.Parameters.Add("@id",SqlDbType.VarChar,20).Value=Request["id"].ToString();java語言有相應(yīng)的類庫，實(shí)現(xiàn)方式類似。2.3對上傳文件類型進(jìn)行限制不允許上傳asp、php、jsp等可執(zhí)行代碼類型文件。2.4站點(diǎn)錯(cuò)誤頁面配置對網(wǎng)站配置指定錯(cuò)誤輸出頁面，不允許直接輸出服務(wù)器端錯(cuò)誤信息。以網(wǎng)站為例，在網(wǎng)站根目錄的web.config文件中加入：<customErrorsmode="On"defaultRedirect="index/error.html"></customErrors>2.5后臺(tái)驗(yàn)證后臺(tái)所有頁面的進(jìn)入和頁面操作均需要進(jìn)行登錄后標(biāo)識(shí)驗(yàn)證，確保都是登錄系統(tǒng)的用戶在操作。可通過session保留用戶登陸后的狀態(tài)信息，在需要驗(yàn)證的地方進(jìn)行判斷。應(yīng)用軟件安全設(shè)置3.1執(zhí)行權(quán)限設(shè)置以IIS應(yīng)用服務(wù)器為例,把站點(diǎn)的執(zhí)行權(quán)限改為純腳本，不包含程序的文件夾權(quán)限改為“無”。使入侵者不能執(zhí)行除腳本文件外的可執(zhí)行的文件。例如：index、images文件夾等靜態(tài)文件夾。3.23.2網(wǎng)站后臺(tái)對外不開放，只允許本單位內(nèi)網(wǎng)IP用戶訪問，外網(wǎng)用戶將不授權(quán)對后臺(tái)文件進(jìn)行訪問。以iis應(yīng)用服務(wù)器為例。3.3數(shù)據(jù)庫設(shè)置對數(shù)據(jù)庫軟件（SQLServer、MySQL等）進(jìn)行配置。包括升級軟件補(bǔ)丁、刪除危險(xiǎn)的存儲(chǔ)過程、關(guān)閉執(zhí)行操作系統(tǒng)命令等數(shù)據(jù)庫額外功能、不使用系統(tǒng)管理員最高權(quán)限賬號(hào)、分配合適的權(quán)限范圍等。3.4殺毒軟件信息系統(tǒng)部署的服務(wù)器定期進(jìn)行殺毒軟件升級、定期進(jìn)行掃描。對用戶訪問日志進(jìn)行定期排查。文件權(quán)限將網(wǎng)站對外訪問的文件夾權(quán)限設(shè)置為只讀，沒有權(quán)限的用戶

不能進(jìn)行文件修改等操作。制度方面5.1