【关键词】防火墙；入侵检测系统；应用防火墙；流量清洗设备；网页防篡改软件
SecurityDesignofAWebsite
ZengXiao-bin
（ZhaoqingPowerSupplyBureau，GuangdongPowerGridCompanyGuangdongZhaoqing526060）
【Abstract】NowadaysInternethasplayedanimportantpartofourdailylife.AndasInternetgrowsrapidly，peoplemoreandmorerelyonInternet.Butsecuritythreatsalwaysexist，becausetheInternetenvironmentiscomplicate，variedandtheinformationsystemsarefragile，openedandvulnerable.HowtoguardagainstInternetthreatshasbecomeanissuewhichneedstobefacedandsolved.Throughtheexperienceofbuildingawebsite，thisarticlewillexplorehowtoproceedwebsitesecuritydesign.
【Keywords】firewall；intrusiondetectionsystems；webapplicationfirewall；defensepro；websiteanti-distortsystem
1引言
本文是从一个实际的应用出发，对现有的网络安全设备进行比较分析，充分利用设备特性搭建安全稳定的网络环境，同时在软件设计上加强安全控制，希望能为大家提供有益的经验借鉴。
2现有安全设备的特点及不足
目前市面上的安全设备种类不少，它们各有所长能有效防御某一类型的病毒，但都无法做到面面俱到。
防火墙（Firewall）：防火墙是部署在网络边界的安全设备，它能够抵御一部分网络攻击，如端口扫描、恶意代码、IP欺骗等。但防火墙只是网络层设备，它不能够抵御应用层的各种攻击。
入侵检测系统IDS（IntrusionDetectionSystems）：入侵检测是对入侵行为的发觉。它通过从计算机网络或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。如果发现系统正遭受网络攻击，IDS会发出警告。通过更新特征库，入侵检测设备可以有效发现入侵行为，但不足之处在于IDS是一种事后告警。
应用防火墙WAF（WebApplicationFirewall）：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
流量清洗设备DP（DefensePro）：流量清洗工具，通过设定阀值和设备的自我学习，抵御分布式拒绝服务攻击（DDOS）攻击。
网页防篡改软件：通过水印比对技术确保目标文件与备份文件完全一致，达到防止网页被恶意篡改的目的。
3系统建设目标
本文将通过构建一个对外网站，探讨网站安全防护在实践中应该注意的问题。系统的设计目标：要建设一个对外提供新闻资讯、停电计划查询、电费查询、网上缴费、搜索等服务的网站。在系统设计之初，为了确保系统的安全稳定运行，我们专门进行了系统的安全设计，主要从两个方面着手：一方面是网络拓扑的安全；另一方面是软件架构的安全。
4系统网络拓扑的安全设计
如图1所示，外部用户发起访问请求，首先经过城域网，在城域网与接入区的边界有防火墙进行端口控制，抵御端口扫描等网络层攻击。由于单纯的防火墙不具备应用层的防护能力，于是在防火墙的背后我们设置了第二道防线——应用防火墙。应用防火墙可以抵御来自应用层的攻击，如SQL注入、恶意代码、蠕虫病毒、会话劫持等。
为了预防网站遭受DDOS攻击，最后所有的访问请求经过DP设备进行流量清洗，才能抵达Web服务器进行网页访问。
Web服务器部署了Weblogic服务，用于的是一些静态的html页面。如果用户使用网页上的功能产生数据交互——例如查询电费，需要链接营销系统数据库。首先数据交互请求由Web服务器发起，同样经过城域网来到IDC与城域网的边界防火墙进行第一道防线。然后所有数据请求都会被复制经过第二道防线——入侵检测系统（IDS）。接着经过应用防火墙，才抵达系统应用服务器，通过系统间接口进行数据交互。
通过各种安全设备的应用，能有效抵御各种安全威胁，保证系统安全稳定运行。
5系统软件安全设计
5.1采用网站静态化技术
系统设计要尽量避免网页篡改、SQL注入等入侵攻击，所以系统使用的是网站静态化的设计。由IDC内部的应用服务器生成静态页面，同步到接入区的Web服务器，用户浏览网页只访问静态网页的内容。
目前网站的HTML静态化是利用动态技术生成HTML静态页面，生成HTML静态网页是有好处的。静态网页中没有调用数据库链接的代码，所以运行速度较快，页面的响应速度也大幅提高。采用静态网页可以令网站更安全，因为网页不直接访问数据库，可以防止SQL注入。另外即使数据库出错也不会影响网站正常访问。
5.2部署网页防篡改软件
由于网站是以静态网页的形式的，因此保护所的文件不被恶意更改显得尤为重要。网页防篡改软件就能很好发挥作用，通过在防篡改服务器上面保存网站服务器的全部内容备份。网站内容管理系统需要将网站的变更内容传输到防篡改服务器中的监控目录上，由防篡改服务器，自动把文件传到Web服务器上相应的目录上去。在这些自动上传过程中，文件都经过水印值的计算，并在Web服务器上安装防篡改模块，在访问时通过水印对比技术，确保网页的完整性和准确性，如图2所示。
部署完网页防篡改系统之后，网站应用中的文件是被防篡改软件保护着的，所以任何方式直接修改、变更Web服务器中的文件是徒劳的（会被系统自动恢复）。合法的网站文件变更都需要通过防篡改服务器来完成，即将需要更新的文件直接放到防篡改服务器的监控目录中，由防篡改软件计算各文件水印，并自动同步到Web服务器。
6结束语
通过建设一个对外网站的实践，对现有的各种安全设备组合运用，构建了一个安全的网络环境。同时检验了各种设备的性能及它们组网后协同工作的效果。网站在软件设计开发阶段，采用了动态生成HTML静态页面技术，极大地提高了响应速度及安全性。这些得益于系统良好的安全设计，网站自2013年10月上线以来，一直安全稳定运行。
参考文献
[1]胡道元，闵京华.网络安全（第2版）.清华大学出版社，2008.
[2]陈波，于冷.防火墙技术与应用.机械工业出版社，2013.
作者简介：
关键词：工业4.0；智能工厂；CPS；中国；产业升级
一、工业4.0计划
工业4.0是德国政府和德国技术科学院等机构联合提出的高科技生产战略计划，工业4.0主要是信息物理融合系统为技术核心，实现端到端集成、横向集成和纵向集成的新工业价值生态，目的是确保德国制造业产品的领先地位和经济发展。德国工业4.0计划的提出受内外两个因素的影响。其中，内部因素是德国的人口构成日趋老龄化以及劳动力价格的上升，相对于其他劳动力价格低廉且存在人口红利的发展中国家是一种劣势；外部因素则可划分为两点，一是以中国等发展中国家制造业的高速发展；二是有些发达国家提出的工业复兴计划，例如美国的先进制造业，日本的再复兴计划和新机器人战略。
二、工业4.0对中国的启示
在第四次工业革命刚刚开始的大背景下，中国制造业必须抓住此次机会。
（一）教育和培训体制僵化，思想理念滞后。工业4.0时代的教育培训体系需要员工更加专业化，掌握的技术更加多元化。互联网应该被充分利用到教育体系中来。新时代更加注重学生、工作人员的创新能力和综合素质。国家应加大对于高级技工培养的投入力度。
（二）网络安全问题突出。信息和网络的安全防护能力差，基础网络安全产业严重依靠国外，信息安全管理机构权威性不够，社会的信息安全意识底下。这些状况导致我国网络的信息安全和运营安全都存在着大量隐患。而对于以CPS技术为核心的工业4.0来说，没有安全的网络环境，就相当于汽车在凹凸不平的路面高速行驶，时刻都有倾覆的危险。
（四）工业结构问题。我国的制造业产量虽然在世界上排名第一，但我国却不是制造业强国，我国的工业结构总体上还处于中低端的水平，大多数企业的生产活动仍属于低附加值产业。现有的工业基础和德国工业4.0的标准存在断层现象，在制造业转向工业4.0的过程中，会伴有持续阵痛，不积极参与转型参与创新的企业终将受到淘汰。
参考文献：
[1]裴长洪，于燕.德国“工业4.0”与中德制造业合作新发展[J].财经问题研究，2014（10）：27-33.
[2]芮祥麟.大数据时代的智慧数据[J].软件和信息服务，2014（7）：66-67.
[3]何懿文.工业4.0：中国的机遇与挑战――工业4.0在中国的现状及发展路径调研报告[J].计算机世界，2015（18）：1-12.
[4]黎作鹏，张天驰，张菁.信息物理融合系统（CPS）研究综述[J].计算机科学，2011（9）：25-31.
来自250多年前的这一警句可能还会适用于当前业界所热议的BYOD（BringYourOwnDevice，自带设备）趋势：一方面BYOD思想所倡导的是“让移动终端在办公室里更自由”，另一方面企业需要尽可能消除由此带来的安全威胁，IT部门是否能够“鱼与熊掌兼得”？
当前IT消费化的潮流越来越明显，这意味着，没有受到企业管理的设备正在被员工带入到企业环境，用于访问业务数据。IT消费化是一种新的模式；而且与大多数新模式一样，无论我们喜不喜欢，这股潮流已不可逆转。
这种认可来自于一些不同因素的推动作用。首先，企业需要提高生产效率，加速客户、部署以及销售流程之间的衔接；其次，越来越多的企业开始在海外开展业务，全球化的趋势使得企业需要更加简便、快捷的沟通方式；最后，企业在移动应用方面的努力也会改善其与客户之间的关系。ZKResearch2012年所进行的一项调查显示，有82%的受访企业已经允许员工自带设备上班，并允许员工将消费级的产品应用于工作之中。其中有23%的企业不会为员工的自带设备提供技术支持，有39%的企业会提供有限的技术支持，而会为员工自带的设备提供技术支持的企业占据了整个调查的39%。在这一报告所调查的所有样本中，只有18%的企业表示在办公室中不允许自带消费类设备。
无独有偶，来自思科的调研报告同样反映了这种趋势。这一调查显示，大多数企业目前正在采用BYOD模式，其中95%的受访者表示他们的企业允许在工作场所中以某种方式使用员工自有的设备。调查还得出结论称，截至2014年，每名员工的连接设备数量将有望从2012年的平均值2.8台增长到3.3台。调查同时表示，BYOD趋势很可能带来显著的成本和生产效益。超过3/4（76%）的受访IT主管认为：BYOD虽然给IT部门带来了巨大挑战，但是对他们的公司却产生了比较积极甚至是非常积极的影响。这些调查结果彰显了BYOD存在的意义。IT主管们认为，我们需要一个更加全面的方案，这种方案具有伸缩性，可用于解决移动性、安全性、虚拟化以及网络政策管理，进而在提供最佳体验的同时有效控制管理成本，实现最大程度的节约。同事，IT主管们也表示，企业需要解决BYOD所带来的安全和系统支持方面的隐患，并在企业效益和安全之间进行平衡。
企业业务正在开始对移动应用产生一些依赖。由于业务的需要，使得企业员工也可以更加“光明正大”地将自己的设备带入办公室，获得更多的“自由”。同样是在业务的推动下，企业也不得不需要解决更多BYOD所带来的安全问题。
尽管都是自由与安全的话题，不过实际上，BYOD如今所面临的挑战要比富兰克林当初面临的挑战来得更加直接。对我们来说，重要的不是道德层面的自由与否，而是如何最大限度地使企业及其员工提高效率。然而，要知道，加强BYOD安全方面的任何工作一定要掌握一个“度”，过犹不及只会适得其反。
BYOD的前提不容忽视
要想实施BYOD，我们首先要对系统访问密码的使用订下规则。这并不是个老生常谈的问题。首先，提高密码安全性的措施之一是将其设计得长而复杂，而且含有组合使用的大小写字母外加数字和标点符号。
从信息安全的角度来看，第三条常识性的小贴士是，不要把密码写在纸上，以免安全信息遭到泄露。
为什么我们要在这里重新拿出“做好密码保护”这个谈了多年的问题进行讨论呢？因为很多公司限制员工使用新技术的理由就是：安全和合规考虑。其实，这并不是一个理由，做好密码保护就已经在很大程度上确保了安全。
因此，如果企业对BYOD感兴趣并打算向公司内部推广的话，先向员工普及一些密码知识吧。
信息安全
不能因噎废食
BYOD概念的热议引申出了这样一个观点：尽管IT部门百般不情愿，但BYOD潮流还是在不断“水涨船高”，我们应该积极支持BYOD潮流。其实，实施BYOD对大多数公司来说并非难事。
另有一种观点认为，BYOD会加大数据盗窃以及泄漏的风险，而且有可能会触动“合规”这个敏感的神经。
然而，我们不能为了实现信息安全和法规遵从就“因噎废食”。实际上，想完美地保护数据，最省事的办法就是断开互联网，禁用USB端口，以及采取其他各种可能的措施，禁止数据从一台计算机传输到另一台计算机，显然如今这是不可能的。
说到数据，IT部门要明白，员工所接触的每一个数据字节都有可能包含恶意代码，而且很难筛选剔除出来。
因此，IT部门更需要打起十二万分的注意力。特别是，针对内网信息系统的访问请求，开始越来越多地来自身处企业外部的远程工作人员、业务合作伙伴和客户，因此，我们必须要知道，保护资产方面的重心绝不仅限于加固企业网络边界就可以了，这一点极其重要。也就是说，企业加密数据库和笔记本电脑硬盘所获得的安全性比升级防火墙要强得多。
离线VDI：
兼顾自由和安全
BYOD的大潮将其同另一种技术紧密结合在了一起。这项技术现已很成熟，迎来了黄金时期，那就是：VirtualDesktopInfrastructure（VDI，虚拟桌面基础架构），与BYOD关系尤其“亲近”的是其中一个分支——离线VDI。
离线VDI正如其名，用户可以离线使用远程数据。同普通VDI一样，离线VDI同样在服务器上保管着每个用户虚拟机的中央镜像（centralimage），但该镜像可以下载到用户的个人计算机上，并在本地运行。当用户重新连接到企业网络时，用户计算机会与服务器重新同步数据，上传用户所做的任何变更，同时下载任何集中管理的改动内容，如软件补丁和反恶意软件更新版。
就算没有出现BYOD潮流，大多数打算部署VDI的企业也应该把离线VDI作为默认方法，原因很简单：我们使用服务器只是为了管理虚拟机镜像，而不是运行镜像。离线VDI所需的服务器容量只是普通VDI的一小部分。这意味着用户可以购买容量更小的服务器和存储，同时耗用比较少的电力。
即使你不在乎数据中心是否绿色节能这个话题，离线VDI也可以实实在在地节省费用，又几乎没有什么缺点，这不正是每个CIO想要的吗？
如果我们再将BYOD加入讨论话题，离线VDI就会变得更加诱人了，因为其消除了信息安全部门最担心的问题：员工将个人设备用于工作，由此带来安全威胁。这样一来，你可以竖起一堵干净的围墙，将直接在硬件上运行的个人环境与在虚拟机上运行的企业环境隔离开来。
同时，这使得员工能够在自己的环境中随心所欲地进行创新和实验，而IT部门能够控制员工使用企业信息资产的程度。当员工外出时，他们只需带上一个计算设备，就可以用来回复个人邮件和工作邮件，而且不会将二者的使用环境混淆。如果员工一心忙于工作或者赶着完工，甚至可以在坐飞机时办公，而且不必支付飞机上无线网络高昂的服务费。
数据安全要以人为本
不过，导致收入减少的风险更应该引起人们的注意。这类风险可能具体表现为：顾客不满意、创新能力减退、员工之间的合作以及企业与业务合作伙伴和客户的合作不畅，以及员工工作热情减退。
这里要传达的观点是，在施行BYOD策略时，IT部门要做的是，在兼顾自由和安全时至少要多考虑一点自由。正如本杰明·富兰克林早在250多年前认识到的那样，这是一场艰苦卓绝的战斗，必须每天为之努力。
链接
让BYOD搭上虚拟化的快车
在BYOD的浪潮下，企业如何保护数据？首先，CIO们需要问自己一个问题：企业是否在意没有受到管控的设备连入公司网络？如果答案是肯定的话，IT部门就要利用企业的资源来保护数据安全，降低业务数据被恶意访问的风险。
我们之所以要管理设备，是因为我们想要减小发生恶意事件的可能性。BYOD看上去却阻挠了这些美好的想法。在大多数情况下，未受到管理的设备要比受到集中管理的设备泄漏数据的风险更高。那么，在不进行设备管理的情况下，又该如何确保数据安全？
最简单的解决办法就是拒绝未受到管理的设备访问受保护的数据，这也是近几年来最常见的对策。但是在很多企业环境中，就算落实了“拒绝未受到管理的设备访问受保护的数据”这条规则，未受到管理的设备照样在访问公司数据。这很明显是一个数据保护方面的漏洞。
如果未受到管理的设备无论如何都要访问企业数据，那么怎样才能最有效地保护数据呢？简单的办法就是，禁止在未受到管理的设备上存储数据，无论是暂时存储还是长期存储。那样一来，攻击者想窃取远程数据的难度会大得多。
我们可以采取的一个办法是，使用传统的客户机/服务器模式。所有数据都保留在服务器端，只有结果才发送到用户端——如今通常使用浏览器。这是个好办法。唯一的问题是，其仍然让未受到管理的计算机直接访问前端系统，而前端系统一般都会连接中间件和后端服务器。一旦未受到管理的设备被攻击者控制，攻击者就可以钻这个安全漏洞的空子，访问并且危及整个内网的所有计算机。
关键词：互联网+；微商；校园创业
一、互联网+与微商的发展背景分析
2015年3月5日总理在政府工作报告中提出，“制定“互联网+”行动计划，推动移动互联网、云计算、大数据、物联网等与现代制造业结合，促进电子商务、工业互联网和互联网金融（ITFIN）健康发展，引导互联网企业拓展国际市场。”在“大众创业、万众创新”的大环境下，在“互联网+”行动计划的政策支持下，互联网+与微商的结合应该是大势所趋，催发着微商行业的不断完善和发展。
二、大学校园微商现状
微商因其进入门槛低、成本小、操作简单、交易方便灵活等因素，吸引着大批有意愿创业的年轻人，根据非官方统计，在这庞大的微商从业队伍里大学生成为新秀，有近3成的大学生有意愿通过微商创业。然而，由于大学生对于国家倡导的“创新创业”理念理解不深，学校对于大学生的“双创”宣传不到位等因素，广州工商学院的学子在面对微商创业这一机遇时却没有牢牢把握，零基础却盲目跟风的情况屡见不鲜；更甚是扭曲、误解微商创业的含义，打着创业的旗号，做着违纪违规的事情。
（一）被动微商创业，盲目跟从成风
（二）以微商为主，生存艰辛
（三）朋友圈贩卖商品等同微商创业，不良行为充斥校园
三、树大学生正确创业观，抓“互联网+”机遇
（一）以“德学”思想为核心，加强大学生思想政治教育
在互联网大数据时代，网络的高速发展为大学生创新创业提供更大更广的平台，但同时虚拟网络也为大学生带来更大的挑战和更多的诱惑，因此，学校在进行大学生创新创业教育时，必须先做好学生的思想政治教育工作。“以德为行，以学为上”是广州工商学院思想政治教育的核心内容和行动指南，坚持“德学”教育培养广州工商学子们以高尚的道德情操作为自己的行动指南，才能够让学生树立正确的就业创业观，端正自己的创业态度，真正了解到和深刻认识到国家倡导大学生“创新创业”的深层含义。
（二）优化学校教育机制，落实“双创”优惠政策
大学生创新创业政策落实，高校是第一站也是最重要的一站，学校完善的教育体制是该项政策落实的关键。目前来看，广州工商学院的校园创业氛围非常浓厚，不单是学生的自主创业热情高涨，各类型的创业大赛、创业沙龙、众创空间等也为学生搭建非常多的平台，但这远远不够。学生有热情、有想法，却缺少了系统理论学习，这需要学校的教育改革满足社会的需求和学生创新创业的需求，落实国家的“双创”政策，让自主创业的广州工商学子真正享受到各类专业课程和创新创业资源，以及研究方法、学科前沿、创业基础、就业创业指导等方面的课程；并享受到各地区、各高校共享的慕课、视频公开课等在线学习资源，在校园内实现教育教学带动创业。
（三）加强网络监管，净化校园歪风，还微商创业之本质
四、结束语
大学生的微商队伍越来越庞大，高校里的校园微商将不再是个别现象。如何引导大学生树立正确的创业就业观，是各高校贯彻落实“双创”政策的关键，也将会是高校就业指导永恒的话题。（作者单位：广州工商学院计算机科学与工程系）
[1]翁矗哲.基于微商的发展现状管窥微商未来的发展[J].商场现代化，2015年1月.
1农业科研档案的价值和在科技创新中的意义
2现阶段农业科研档案管理不利于服务科技创新的状况
3服务农业科技创新的农业科研档案管理建议
作者:韩千红单位:安徽省农业科学院作物研究所
［1］裴翠娟，王双跃，王兴发．对省级农业科研院所科技档案管理工作的思考:以河北省农林科学院粮油作物研究所为例［J］．农业科技管理，2013，32(3):32－35．
［2］黄钺．农业科研档案信息化构建与问题解析［J］．湖北农业科学，2015，54(19):4921－4924．
［3］国家科委，国家档案局．国家科委、国家档案局关于印发《科学技术研究档案管理暂行规定》的通知［A/OL］．(1987－03－20)［2017－01－21］．www．pkulaw．cn/fulltext_from．aspxGid=10052．
［4］郭秀萍．加强农业科研档案数字化管理的策略探讨［J］．农业科技管理，2012，31(5):49－52．