11.3.4架构安全的信息网络系统

    监理工程师在审议承建单位的信息系统工程安全架构设计方案时，依据建设单位的建设需求，根据有关信息系统安全的规范或标准对其评估和审计，并向建设单位提出具体的技术分析意见。在实施方案中，架构完整的安全支撑平台主要的关键性技术解决方案由以下几种安全方案或选型的组合而成。

    1.局域网的安全VLAN

    局域网提供特定群体共同使用程序和数据的存储及获取。局域网的软件和操作必须提供这些程序及数据的安全。不幸的是，多数网络软件过于强调系统功能而忽视提供安全功能。

    1)需要关注的风险要点

    在监理工程师审议承建单位的局域网技术方案时需要关注的风险要点有:

    (1)由于未授权的变更导致数据和程序的完整性受损;

    (2)由于无法维护版本控制而缺乏对现有数据的保护;-

    (3)由于缺少对用户有效的访问验证及潜在的威胁(如通过拨号连接非法访问局域网等):

    (4)病毒感染;

    (5)由于没有遵守“需要知道”的授权原则，而导致数据存在不适当的暴露风险;

    (6)侵犯软件版权(如使用盗版或使用超过许可用户数的软件);

(7)非法进入(如模仿或伪装成一个合法的局域网用户):

    (8)内部用户的非法窃取(sniffing ) ;

    (9)内部用户的电子欺骗(spoofing);

    (10)登录的资料被破坏。

    2)有效的网络管理

    对于局域网安全，较多依赖于软件产品、残品的版本及软件的安全实施。有效的网络安全管理有:

    (1)声明程序、文件及储存介质的所有权;

    (2)限制访问时只能执行写保护;

    (3)监理记录及文件锁定以防同时更新;

    (4)强制用户执行账号与密码登录程序，包括密码长度、格式和定期更换的规则等。

    因此，监理必须对局域网的构架有通盘的了解和掌握，具体的要点有:

    (1)局域网的拓扑结构及网络设计;

    (2)确认网络管理员的职责;

    (3)了解网络用户的业务功能与网络安全有无冲突;

    (4)协助建设单位建立网络的用户群;

    (5)协助建设单位建立网络所使用的各种应用系统的整合设计与实施，确认与网络设计、技术支持、命名原则、数据安全等方面有关的工作程序及标准等。

    2. C/S架构安全

    C/S(客户/服务器)架构系统在数据访问和处理上有很大风险。要有效保护C/S架构环境，所有的访问点均需确认。在主机的应用程序中，集中式的处理技巧要求用户采取特定的路径利用所有的资源;而在分布式的环境中，存在多个访问路径，因为应用数据可能在服务器上，也可能在客户端，因此，必须个别检验这些路径以及相互的关系，以确保任何路径都被检查过。

    1)监理工程师审核架构安全的有关方面

    为加强C/S架构环境的安全，监理工程师应从以下几个方面审核架构的安全。

    (1)禁止使用软驱，以保护C/S架构的数据或应用程序的安全。这种方式可以防止访问控制软件被突破，即无法做未经授权的访问。自动开机的批处理文件可以防止未经授权的用户突破登录访问安全管理。

(2)网络监控装置可用以侦查己知或未知用户的活动，这些装置可以辨别客户端的地址，做出相应的选择，如主动结束会话或找出未经授权的访问活动以供调查。然而，保障C/S架构环境安全的方法是否有效主要取决于负责监控的管理者，由于这是一种检测性控制，如果网络管理员并没有负责任地对这些装置进行监控或维护，则完全无法对付未经授权的黑客。

    (3)数据加密技术可帮助保护敏感性或重要数据不会被未经授权访问。

    (4)通过认证系统可以在整个环境及逻辑设施中进行用户鉴别。其他方式如系统智能卡，使用智能型手持设备和解密技术去解开由C/S架构系统所产生的加密。智能卡显示一个由系统产生的临时识别码，用户在登录后若要在C/S架构系统中访问，则必须重新输入该临时识别码。

    (5)使用应用系统访问控制程序，并将最终用户分为各个功能群组，限制用户只能执行其职责所需的功能，这将有利于访问控制管理。

    2 ) C/S的风险及相关问题

    传统的信息系统大多采用大型的中央主机系统，最近十多年C/S架构技术逐渐成为中小型甚至大型组织的首选，C/S架构技术的优势表现在可以让企业以更快的速度开发并制造产品和服务，但随之而来的问题是比传统的大型主机系统差得多的安全控制。因此，若不能有效预防或控制在安全控制上的缺陷，则企业有可能将面临更大的风险。

    监理工程师还应该提醒建设单位C/S架构环境的风险及问题要从如下的方面予以考虑:

    (1)如果网络管理员未设定密码定期更新规则，则C/S架构环境本身存在访问控制弱点。

    (2)无论是自动或手动的变更控制和变更管理程序都可能会是弱点，主要原因是C/S架构环境的变更控制工具复杂，而经验不足的人员不愿意使用这些工具以免自曝短处。

    (3)网络服务中断可能会对企业有严重的影响。

    (4)网络组件(硬件、软件、通信设备)过时。

    (5)未经授权地使用调制解调器(同步或非同步)连接到其他网络。

    (6)网络连接到公共电话交换网。

    (7)不正确、未经授权或未经核准的改变系统或数据。

    (8)未经授权访问机密数据、未经授权修改数据、业务中断及数据不完整或不正确的风险。

    (9)在开发C/S架构系统时往往不考虑应急计划。对于十分重要的系统，缺乏详尽的灾难备份和恢复计划。

    (10)应急计划可能会对企业造成重大冲击。应用程序代码及数据不像主机系统那样会锁在安全的主机室中的一台机器上，信息系统工程监理工程师必须评估C/S架构系统中所有部件的安全性。

    在将一个重要的应用程序由主机移到C/S架构平台时，管理层必须清楚以上这些问

题所预示的风险。

    3.互联网的威胁和安全

    互联网的本质特征导致它极容易受到攻击。互联网可以使公共的或私人的各种不同网络与其他网络进行连接。互联网最初的设计目的是提供自由快速交换信息、数据文档的途径。然而，这种自由的代价就是黑客和病毒制造者企图可以攻击互联网及和互联网相连接的计算机，破坏者想侵犯他人的隐私，企图窃取含有敏感信息数据等等。因此对于信息系统监理来说，了解必要的风险及安全因素并进行相关控制就变得尤为重要。信息系统工程监理工程师必须评估以下几项以决定是否存在足够互联网安全控制:

   ·组织的互联网安全策略和程序;

   ·防火墙的安全控制;

   ·入侵检测系统的安全控制。

    1)数据安全控制

    将数据加密可以减少数据在储存和传输时的风险。加密后，公司数据在互联网或其他网络上传输时是安全的。即使黑客窃取数据或数据落入未经授权者手中，但因为无法解密，没有任何意义。

    2)攻击类型

    来自互联网上的安全问题主要分成两大类:主动式攻击(active attacks )和被动式攻击(passive attacks )。

    主动式攻击是指攻击者通过有选择的修改、删除、延迟、乱序、复制、插入数据等以达到其非法目的。主动式攻击可以归纳为中断、篡改、伪造三种。被动式攻击主要是指攻击者监听网络上传递的信息流，从而获取信息的内容，或仅仅希望得到信息流的长度、传输频率等数据。这两种攻击方式是各有所长，被动式攻击往往很难检测出来但很容易预防，而主动式攻击很难预防但却很容易检测出来，所以攻击者攻击时一般同时采取两种方式。

    被动式攻击一般采用网络分析(network analysis)和窃听(eavesdropping)来收集信息。

    当收集到足够的信息后，黑客就会对目标系统发起攻击，意欲获取足够的控制权，这包括对数据或程序的未经授权的修改、进行拒绝服务攻击扩大取得的权限或窃取个人的敏感性信息。主动式攻击会影响到信息的真实性、身份的验证及网络安全参数的设定。

通用的主动式攻击方法有暴力破解、假冒、互联网或Web服务的未授权访问、拒绝服务攻击、电子邮件炸弹与垃圾邮件攻击、电子邮件欺骗等。

    3)互联网的安全管理

为了建立一个有效的互联网安全控制，组织必须开发具有可操作性的信息系统安全管理框架。框架详细描述了公司的安全策略，安全程序及遵循的原则。例如，互联网资源的使用原则，它规定只有“业务需要”才有互联网资源使用权;确定哪些信息对外部用户有效;组织内部和外部哪些是可信网络，哪些是不可信网络;另外，还应该定义一些控制的支持过程。

    监理工程师协助建设单位并监督承建单位进行互联网的安全管理包括如下一些原则:

    (1)对基于互联网的Web应用的开发与设计应该定期进行风险评估:

    (2)员工安全意识的养成与培训;

    (3)开发和实施防火墙安全体系架构;

    (4)开发和实施入侵检测系统:

    (5)控制通过内部局域网拨号访问互联网;

    (6)意外事件的发现、响应、遏制和修复;

    (7)当发生变化时，安全控制指南的变更管理;

    (8)员工办公环境的控制;

    (9)监测未授权使用的行为，并通知最终用户事件的发生。

    4.采用加密技术

    1)加密的定义

    加密是把数据(普通文本)变换为不可读形式(加密文本)的过程。这个变换过程按照一定的算法通过各种各样的替换和移位对信息进行加密。数据加密对网络通信或数据存储有很重要的意义，它能起到数据保密、身份验证、保持数据完整性、确认事件发生等作用。

·数据保密的意义是确保只有特定的人员能够得到那些数据。对数据进行加密是        最常见的保密法，只有掌握解密方法的人才能读出加密数据。

    ·身份验证是证明某人与他人所称的身份是否符合的过程，只有在对方提供了足        够证据的情况下，我们才能确认和相信他就是我们要找的人。

    ·数据完整性的含义是数据没有在传输或保存期间被别人修改。常见的数据完整        性检查手段是信息分类法。

    2)加密算法、加密密钥和密钥长度

    加密算法是加密用于进行加密/解密数据的运算规则。加密算法中使用的信息以确保加密或解密过程的惟一。

    与密码相似，用户需要使用正确的密钥访问或解密信息，错误的密钥不能解密信息。

    密钥规定了长度或位数。处理密钥所需要的开销和资源会随密钥长度的增加而迅速加大。

    3)私钥密码机制和公钥密码机制

    (1)对称密钥加密

    对称密钥加密是指发件人和收件人使用其共同拥有的单个密钥。这种密钥既用于加密，也用于解密，叫做机密密钥(也称为对称密钥或会话密钥)。对称密钥是加密大量数据的一种行之有效的方法。

    对称密钥加密有许多种算法，但所有这些算法都有一个共同的目的—以可还原的方式将明文(未加密的数据)转换为密文。密文使用加密密钥编码，对于没有密钥的任何人来说它都是没有意义的。由于对称密钥加密在加密和解密时使用相同的密钥，所以这种加密过程的安全性取决于是否存在未经授权的人获得了对称密钥，也就是它为什么也叫做机密密钥加密的原因。希望使用对称密钥加密通信的双方，在交换加密数据之前必须先安全地交换密钥。

    衡量对称算法优劣的主要尺度是其密钥的长度。密钥越长，在找到解密数据所需正确密钥之前必须测试的密钥数量就越多。需要测试的密钥越多，破解这种算法就越困难。有了好的加密算法和足够长的密钥，如果有人想在一段实际可行的时间内进行逆向转换，并从密文中推导出明文，从计算的角度来讲，这种做法是行不通的。.

    (2)不对称密钥加密

    另一类加密方法叫做公钥加密，或者叫做不对称加密。这类加密方法需要用到两个密钥—一个公钥和一个私钥，这两个密钥在数学上是相关的。为了与对称密钥加密相对照，公钥加密有时也叫做不对称密钥加密。在公钥加密中，公钥可在通信双方之间公开传递，或在公用储备库中发布，但相关的私钥是保密的。只有使用私钥才能解密用公钥加密的数据，同样使用私钥加密的数据也只能用公钥解密。

    与对称密钥加密相似，公钥加密也有许多种算法。然而，对称密钥和公钥算法在设计上并无相似之处。尽管可以在程序内部使用一种对称算法替换另一种，但变化不大，因为它们的工作方式是相同的。而另一方面，不同公钥算法的工作方式却完全不同，因此它们不可互换。

    公钥算法的主要局限在于这种加密形式的速度相对较低。实际上，通常仅在关键时刻才使用公匙算法，如在实体之间用对称密匙时，或者在签署一封邮件时进行散列(散列是通过应用一种单向数学函数获得的一个定长结果)。将公匙加密与其他加密形式(如对称密匙加密)结合使用，可以优化性能。公匙加密提供了一种有效的方法，可用来把为大量数据执行对称加密时使用的机密密钥发送给某人，也可以将公钥加密与散列算法结合使用以生成数字签名。

    公钥算法的算法有多种。

    4)数字签名和证书

在书面文件上签名是确认文件的一种手段。签名的作用有两点，一是因为自己的签名难以否认，从而确认文件已签署这一事实;二是因为签名不易仿冒，从而确定文件是真的这一事实。数字签名与书面文件签名有相同之处，采用数字签名，也能确认以下两点:信息是由签名者发送的;信息自签发到收到为止未曾作过任何修改。这样数字签名就可用来防止电子信息因易被修改而被人伪造，或冒用别人名义发送信息，或发出(收到)信件后又加以否认等情况发生。数字签名并非用“手书签名”的类型图形标志，它采用了双重加密的方法来实现防伪造和防抵赖。

    公钥证书通常简称为证书，用于在互联网(Internet )、外联网(ixtranet)和内联网( intranet)上进行身份验证并确保数据交换的安全。证书的颁发者和签署者就是众所周知的正书颁发机构CA。颁发证书的实体是证书的主体。

    公钥证书是以数字方式签名的声明，它将公钥的值与持有相应私钥的主体(个人、设备和服务)的身份绑定在一起。通过在证书上签名，CA可以核实与证书上公题相应的私题为证书所指定的主体所拥有。

    5.网闸

    网闸，即安全隔离与信息交换系统，是新一代高安全度的企业级信息安全防护设备，它依托安全隔离技术为信息网络提供了更高层次的安全防护能力，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。

    1)网闸技术的发展过程

    网闸技术最早起源于以色列，通常在物理隔离的情况下要在外网和内网之间进行数据交换，一般是通过磁盘或其他存储设备进行人工的数据交换，而通过自动方式来模拟这种数据交换过程，其实就是网闸的雏形。现今，网闸实际的安全交换过程是先提取网络包中的应用数据，经安全审查后再完成数据交换，相对于人工的交换而言，整个过程是由软件自动完成的，并且增加了安全审查的过程，从而大大提高了交换效率。

但是，由于整个交换过程是持续不断进行的，其实质是在网间形成了一个稳定的数据流，也就意味着在网间存在有逻辑上的连接，尽管网闸有了安全审查的过程，但是仍然不能彻底保证交换数据的安全性，因此，网闸无法满足物理隔离的要求，属于非物理隔离设备。

    第一代网闸的技术原理是利用单刀双掷开关使得内外网的处理单元分时存取共享存储设备来完成数据交换的，实现了在空气缝隙隔离(air gap)情况下的数据交换，安全原理是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全的效果。

    第二代网闸正是在吸取了第一代网闸优点的基础上，创造性地利用全新理念的专用交换通道PET (Private Exchange Tunnel)技术，在不降低安全性的前提下能够完成内外网之间高速的数据交换，有效地克服了第一代网闸的弊端。第二代网闸的安全数据交换过程是通过专用硬件通信卡、私有通信协议和加密签名机制来实现的。虽然仍是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全效果的，但却提供了比第一代网闸更多的网络应用支持，并且由于其采用的是专用高速硬件通信卡，使得处理能力大大提高，达到第一代网闸的几十倍之多，而私有通信协议和加密签名机制保证了内外处理单元之间数据交换的机密性、完整性和可信性，从而在保证安全性的同时，提供更好的处理性能，能够适应复杂网络对隔离应用的需求。

    2)实现安全的信息交换

    目前国内市场上的网络隔离设备大多是基于主机的，基于主机的网络隔离产品符合国家对内、外网物理隔离的要求，其不同网络之间的信息交换将完全依赖手工操作的方式，以磁盘等为中间介质进行。这种信息交换方式实时性差、效率很低，往往会造成信息传递的阻塞。同时，这种方式对所传递的数据的合法性、安全性没有可靠的技术措施保障，人为因素造成失误的可能性极大，仍然存在网络安全隐患。

    采用协议转换方式的隔离网闸产品，没有从理论上解释其安全性，以及如何实现物理隔离和网络断开，并且这些产品在实际使用中也出现了一些安全问题。

    目前，国内外已有非常成熟的网闸产品，如由中网公司研制开发的安全隔离和信息交换系统(X-Gap)，能够较好地解决隔离断开和数据交换的难题。X-Gap中断了两个网络之间的链路连接、通信连接、网络连接和应用连接，在保证两个网络完全断开和协议中止的情况下，以非网络方式实现了数据交换。没有任何包、命令和TCPIIP协议(包括UDP和ICMP )可以穿透X-Gap，它具有高安全、高带宽、高速度、高可用性的优点。

此外，由于采用了SCSI ( Small Computer System Interface，小型计算机系统接口)技术，背板速率高达5Gb/s，开关效率达到纳秒级，彻底解决了速度慢、效率低的问题。除此之外，SCSI控制系统本身具有不可编程的特性和冲突机制，形成简单的开关原理，从而彻底解决了网闸开关的安全性问题。

    隔离系统被认为是安全性最高的安全设备。它是在保证安全的情况下，尽可能支持信息交换，如果不安全就断开隔离。隔离技术被广泛地应用于专网和公网之间、内网和外网之间，在用户要求进行物理隔离，同时又需要实时地交换数据，解决物理隔离和信息交流的问题时，采用中网X-GAP系列产品则可以实现两网之间必要的“摆渡”，又保证不会有相互入侵的安全问题。

    3)网闸的应用领域

安全网闸适用于政府、军队、公安、银行、工商、航空、电力和电子商务等有高安全级别需求的网络，在电子政务中的典型应用是安装在政务外网和Internet之间或者是在政务内网划分不同的安全域，或者是安装在政务内网和其他不与Internet相连的网络之间。当然网闸也可用来隔离保护主机服务器或专门隔离保护数据库服务器。

    6.防火墙

    防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的惟一出入口，能根据建设单位的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。

    防火墙在物理上基本上是一台具有网关或路由功能的计算机或服务器。在逻辑上，防火墙完成了网络通信的限制、分离和分析功能，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。

    防火墙作为主要的安全产品来说，技术比较成熟，产品较多，对于防火墙的分类方式比较烦杂。基本上有以下几种分类方式。

    ·按照采用的防御技术方式分类，可以分为包过滤防火墙、应用网关防火墙和复        合防火墙。

    ·按照防火墙存在形式分类，可以分为硬件防火墙、软件防火墙和软硬结合防火墙。

    ·按照应用对象分类，可以分为企业级防火墙和个人防火墙。

    ·按照支持网络吞吐能力分类，可以分为百兆防火墙和千兆防火墙。

    7.入侵检测系统

    入侵行为主要是指对系统资源的非授权使用，可以造成系统数据的丢失和破坏、系统拒绝服务等危害。

    入侵检测通过对计算机网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。进行入侵检测的软件与硬件的组合就是入侵检测系统。

    入侵检测系统执行的主要任务包括:

    (1)监视、分析用户及系统活动;审计系统构造和弱点;

    (2)识别、反映已知进攻的活动模式，向相关人士报警;

    (3)统计分析异常行为模式;

    (4)评估重要系统和数据文件的完整性;

    (5)审计、跟踪管理操作系统，识别用户违反安全策略的行为。

    1)入侵检测步骤

    入侵检测一般分为三个步骤:信息收集、数据分析和响应。

信息收集的内容包括系统、网络、数据及用户活动的状态和行为。入侵检测利用的信息一般来自系统日志、目录以及文件中的异常改变、程序执行中的异常行为及物理形式的入侵信息。

    数据分析是入侵检测的核心。它首先构建分析器，把收集到的信息经过预处理，建立一个行为分析引擎或模型，然后向模型中植入时间数据，在知识库中保存植入数据的模型。数据分析一般通过模式匹配、统计分析和完整性分析三种手段进行。前两种方法用于实时入侵检测，而完整性分析则用于事后分析。可用五种统计模型进行数据分析:

操作模型、方差、多元模型、马尔柯夫过程模型和时间序列分析。统计分析的最大优点是可以学习用户的使用习惯。

    入侵检测系统在发现入侵后会及时做出响应，包括切断网络连接、记录事件和报警等。响应一般分为主动响应(阻止攻击或影响进而改变攻击的进程)和被动响应(报告和记录所检测出的问题)两种类型。主动响应由用户驱动或系统本身自动执行，可对入侵者采取行动(如断开连接)、修正系统环境或收集有用信息;被动响应则包括告警和通知、简单网络管理协议(SNMP )陷阱和插件等。另外，还可以按策略配置响应，可分别采取立即、紧急、适时、本地的长期和全局的长期等行动。

    2)入侵检测系统的分类

    基于主机的入侵检测系统，其输入数据来源于系统的审计日志一般只能检测该主机上发生的入侵。

    基于网络的入侵检测系统，其输入数据来源于网络的信息流，能够检测该网段上发生的网络入侵。

    分布式入侵检测系统，能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统，系统由多个部件组成，采用分布式结构。

    另外，入侵检测系统还有其他一些分类方法。如根据布控物理位置可分为基于网络边界(防火墙、路由器)的监控系统、基于网络的流量监控系统以及基于主机的审计追踪监控系统;根据建模方法可分为基于异常检测的系统、基于行为检测的系统、基于分布式免疫的系统;根据时间分析可分为实时入侵检测系统、离线入侵检测系统。

    3)入侵检测系统的检测方法

    静态配置分析通过检查系统的当前系统配置，诸如系统文件的内容或者系统表，来检查系统是否己经或者可能会遭到破坏。静态是指检查系统的静态特征(系统配置信息)，而不是系统中的活动。

    异常性检测技术是一种在不需要操作系统及其防范安全性缺陷专门知识的情况下，就可以检测入侵者的方法，同时它也是检测冒充合法用户的入侵者的有效方法。但是，在许多环境中，为用户建立正常行为模式的特征轮廓以及对用户活动的异常性进行报警的门限值的确定都是比较困难的事，所以仅使用异常性检测技术不可能检测出所有的入侵行为。

基于行为检测方法是通过检测用户行为中那些与己知入侵行为模式类似的行为、那些利用系统中缺陷或间接违背系统安全规则的行为，来判断系统中的入侵活动。

    基于行为的入侵检测系统只是在表示入侵模式(签名)的方式，以及在系统的审计中检查入侵签名的机制上有所区别，主要可以分为基于专家系统、基于状态迁移分析和基于模式匹配等几类。这些方法的主要局限在于，只是根据已知的入侵序列和系统缺陷模式来检测系统中的可疑行为，而不能检测新的入侵攻击行为以及未知的、潜在的系统缺陷。

    8.漏洞扫描

    安全漏洞扫描通常都是借助于特定的漏洞扫描器完成的。漏洞扫描器是一种自动检测远程或本地主机安全性弱点的程序。通过使用漏洞扫描器，系统管理员能够发现所维护信息系统存在的安全漏洞，从而在信息系统网络安全保卫工作中做到“有的放矢”，及时修补漏洞，构筑坚固的安全长城。

    按常规标准，可以将漏洞扫描器分为两种类型:

    主机漏洞扫描器(Host Scanner)，指在系统本地运行检测系统漏洞的程序，如著名的COPS、tripewire、tiger等自由软件。

    网络漏洞扫描器(Network Scanner)，指基于网络远程检测目标网络和主机系统漏洞的程序，如Satan、 ISS Internet Scanner等。

    9.病毒防范

    病毒是一种具有自我复制能力的程序。目前，许多计算机病毒都具有特定的功能，而远非仅仅是自我复制。其功能(常称为PAYLOAD)可能无害，如只是在计算机的监视器中显示消息;也可能有害，如毁坏系统硬盘中所存储的数据，一旦被触发器(如特定的组合键击、特定的日期或预定义操作数)触发，就会引发病毒。

    随着计算机技术的不断发展，病毒也变得越来越复杂和高级。最近几年，病毒的花样层出不穷，如宏病毒和变形病毒。变形病毒每次感染新文件时都会发生变化，因此显得神秘莫测。只要反病毒软件搜索到病毒的“标记”(病毒所特有的代码段)，那么，反病毒软件也能检测到每次感染文件就更改其标记的变形病毒。宏病毒主要感染文档和文档模板。几年前，文档文件都不含可执行代码，因此不会受病毒的感染，现在，应用软件，如Microsoft Word和Microsoft Excel，已经嵌入了宏命令，病毒就可以通过宏语言来感染由这些软件创建的文档。

由于Internet的迅快发展，将文件附加在电子邮件中的能力不断提高，以及世界对计算机的依赖程度不断提高，使得病毒的扩散速度也急骤提高，受感染的范围越来越广，病毒的感染方式也由主要从软盘介质感染转到了从网络服务器或Internet感染。同样据NCSA调查，在1996年只有21%的病毒是通过电子邮件、服务器或Internet下载来感染的，到1997年，这一比例就达到52%，目前已达到了80%以上。

    多层病毒防御体系

    通常情况下，信息网络系统中采取的安全措施主要考虑外部网络安全性，但由于病毒的极大危害及特殊性，网络用户可能会受到来自于多方面的病毒威胁，包括来自Internet网关上、与各级单位连接的网段上，为了免受病毒所造成的损失，在内部网络部署防病毒系统也是必要的，即多层的病毒防卫体系。所谓多层病毒防卫体系，是指在建设单位的每个工作站上，即客户端都要安装反病毒软件，在服务器上要安装基于服务器的反病毒软件，在Internet网关上要安装基于Internet网关的反病毒软件。

    根据统计，50%以上的病毒是通过软盘进入系统，有超过20%是通过网络下载文档感染，另外有26%是经电子邮件的附件所感染。

    病毒防范是一项综合性的防护措施。监理工程师可以根据具体的建设情况和建设单位具体应用要求加以分析和审核，并提出有针对性的具体建议。