網絡安全漏洞來源如下：

• 網絡安全責任主體不明確。組織中缺少針對網絡安全負責任的機構，或者是網絡安全機構不健全，導致網絡安全措施缺少責任部門落實。

• 網絡安全策略不完備。組織中缺少或者沒有形成一套規范的網絡信息安全策略。例如，缺少筆記本電腦安全接入控制策略，有可能導致外部非安全電腦隨意接入內部網絡中，從而使得內部網絡安全防護機制失去保護效果。

• 網絡安全操作技能不足。組織中缺少對工作人員的網絡安全職責規范要求，沒有制度化的安全意識和技能培訓機制。例如，員工缺少新的網絡信息安全威脅知識和預防能力，不知道如何防范垃圾郵件和設置安全口令。

• 網絡安全監督缺失。組織中缺少強有力的網絡信息安全監督機制，網絡信息安全策略的實施無法落實，無法掌握網絡安全態勢。例如，惡意代碼防護策略缺少更新和維護。

• 網絡安全特權控制不完備。網絡信息系統中存在特權賬號，缺少對超級用戶權限的審計和約束，從而引發內部安全威脅。

• 設計錯誤 (Design Error) 。由于系統或軟件程序設計錯誤而導致的安全漏洞。例如，TCP/IP 協議設計錯誤導致的 IP 地址可以偽造。

• 輸入驗證錯誤 (InputValidation Error) 。由于未對用戶輸入數據的合法性進行驗證，使攻擊者非法進入系統。

• 緩沖區溢出 (Buffer Overflow) 。輸入程序緩沖區的數據超過其規定長度，造成緩沖區溢出，破壞程序正常的堆棧，使程序執行其他代碼。

• 意外情況處置錯誤 (Exceptional Condition Handling Error) 。由千程序在實現邏輯中沒有考慮到一些意外情況，而導致運行出錯。

• 訪問驗證錯誤 (Access Validation Error) 。由于程序的訪問驗證部分存在某些邏輯錯誤，使攻擊者可以繞過訪問控制進入系統。

• 配置錯誤 (Configuration Error) 。由于系統和應用的配置有誤，或配置參數、訪問權限、策略安裝位置有誤。

• 競爭條件 (Race Cond on) 。由于程序處理文件等實體在時序和同步方面存在問題，存在一個短暫的時機使攻擊者能夠施以外來的影響。

• 環境錯誤 (Condition Error) 。由于一些環境變暈的錯誤或惡意設置造成的安全漏洞。

設計和建立堡壘主機的基本原則有以下兩條：

• 最簡化原則：堡壘主機越簡單，對它進行保護就越方便。堡壘主機提供的任何網絡服務都有可能在軟件上存在缺陷或在配置上存在錯誤，而這些差錯就可能使堡壘主機的安全保障出問題。因此，在堡壘主機上設置的服務必須最少，同時對必須設置的服務軟件只能給予盡可能低的權限。

• 預防原則：盡管已對堡壘主機嚴加保護，但還有可能被入侵者破壞。對此應有所準備，只有充分地對最壞的情況加以準備，并設計好對策，才可有備無患。對網絡的其他部分施加保護時，也應考慮到“堡壘主機被攻破怎么辦？”。因為堡壘主機是外部網絡最易接觸到的機器，所以它也是最可能被首先攻擊的機器。由于外部網絡與內部網絡無直接連接，所以建立堡壘主機的目的是阻止入侵者到達內部網絡。 一旦堡壘主機被破壞，我們還必須讓內部網絡處于安全保障中。要做到這一點，必須讓內部網絡只有在堡壘主機正常工作時才信任堡壘主機。我們要仔細觀察堡壘主機提供給內部網絡機器的服務，并依據這些服務的主要內容，確定這些服務的可信度及擁有權限。

網絡病毒具有以下幾個特點:

感染速度極快

單機運行條件下，病毒僅僅會經過軟盤來由一臺計算機感染到另一臺，在整個網絡系統中能夠通過網絡通訊平臺來進行迅速的擴散。結合相關的測定結果，就PC網絡正常運用情況下，若一臺工作站存在病毒，會在短短的十幾分鐘之內感染幾百臺計算機設備。

擴散面極廣

在網絡環境中，病毒的擴散速度很快，且擴散范圍極廣，會在很短時間內感染局域網之內的全部計算機，也可經過遠程工作站來把病毒在短暫時間內快速傳播至千里以外。

傳播形式多元化

對于計算機網絡系統而言，病毒主要是通過“工作站-服務器-工作站”的基本途徑來傳播。然而，病毒傳播形式也呈現出越來越多元化的特點。

無法徹底清除

若病毒存在于單機之上，可采取刪除攜帶病毒的文件或格式化硬盤等方式來徹底清除掉病毒，若在整個網絡環境中一臺工作站無法徹底進行消毒處理，就會感染整個網絡系統中的設備。還有可能一臺工作站剛剛清除，瞬間就被另一臺攜帶病毒的工作站感染。針對此類問題，只是對工作站開展相應的病毒查殺與清除，是無法徹底解決與清除掉病毒對整個網絡系統所造成的危害。

基于網絡設施的基本安全防御系統包括以下設備：

• 防火墻：防火墻的作用是保護內部網絡資源、控制用戶對網絡的訪問權限，認證并過濾外來用戶訪問的請求和信息流。防火墻是一個以隔離為目的的安全網關設備，能安全地監控網絡之間、用戶和網站之間的任何活動，保證了內部網絡的安全。

• 入侵檢測系統：入侵檢測系統它從計算機網絡系統中的關鍵點收集信息，并分析這些信息，檢查網絡中是否有違反安全策略的行為和遭到襲擊的跡象。入侵檢測被認為是防火墻之后的第二道安全閘門。

• 病毒防護：病毒是一種具有自我復制能力，能夠在隱蔽情況下執行編寫者意圖的非法程序。與其他程序相同，病毒只有運行之后才會發揮其功能。由于用戶不會故意運行病毒，因此病毒必須依附于用戶要運行的文件當中。計算機病毒將自己的代碼寫入宿主程序的代碼中（大部分是附加在頭、尾），以感染宿主程序，每當運行受感染的宿主程序時也將運行計算機病毒，病毒就自我復制，執行創造者的意圖并感染其他程序。

• 漏洞掃描：漏洞掃描是一個全面的針對系統與網絡安全性、脆弱性進行分析和評估的技術，主要是利用目前所發現和公布的危害系統和網絡的方法，對待測網絡目標進行掃描分析，檢查并報告系統存在的安全脆弱性和漏洞所在，評價安全脆弱性對網絡系統的危害程度，并且提出相應的安全防護措施和應實施的安全策略，最終達到增強網絡安全性的目的。

• 物理隔離：內外兩個網絡物理隔離，但邏輯上實現數據交換。物理隔離的一個特征，就是內網與外網永不連接，內網和外網在同一時間最多只有一個同隔離設備建立非TCP/IP協議的數據連接。其數據傳輸機制是存儲和轉發。

• 鏈路加密和VPN：采用鏈路加密或網絡VPN使系統內部網絡用戶與其他用戶之間隔離，以提高信息的安全度。

• 入網認證與審計：對系統中一些安全保密度要求高的應用系統的用戶實行入網認證和審計，將用戶名、密碼、IP、MAC、VLAN、PORT等進行捆綁，為用戶頒發入網證書。只有合法用戶才能注冊網絡。而且，系統能對用戶用網情況實施跟蹤，對系統安全狀況進行適時審計。

• 保密性

信息不被透露給非授權用戶、實體或過程。保密性是建立在可靠性和可用性基礎之上，常用保密技術有以下幾點：

① 防偵收（使對手收不到有用的信息）

② 防輻射（防止有用信息以各種途徑輻射出去）

③ 信息加密（在密鑰的控制下，用加密算法對信息進行加密處理，即使對手得到了加密后的信息也會因沒有密鑰而無法讀懂有用信息）

④ 物理保密（使用各種物理方法保證信息不被泄露）

• 完整性

在傳輸、存儲信息或數據的過程中，確保信息或數據不被非法篡改或在篡改后被迅速發現，能夠驗證所發送或傳送的東西的準確性，并且進程或硬件組件不會被以任何方式改變，保證只有得到授權的人才能修改數據。

完整性服務的目標是保護數據免受未授權的修改，包括數據的未授權創建和刪除。通過如下行為，完成完整性服務：

① 屏蔽，從數據生成受完整性保護的數據。

② 證實，對受完整性保護的數據進行檢查，以檢測完整性故障。

③ 去屏蔽，從受完整性保護的數據中重新生成數據。

• 可用性

讓得到授權的實體在有效時間內能夠訪問和使用到所要求的數據和數據服務，提供數據可用性保證的方式有如下幾種：

① 性能、質量可靠的軟件和硬件。

② 正確、可靠的參數配置。

③ 配備專業的系統安裝和維護人員。

④ 網絡安全能得到保證，發現系統異常情況時能阻止入侵者對系統的攻擊。

• 可控性

指網絡系統和信息在傳輸范圍和存放空間內的可控程度。是對網絡系統和信息傳輸的控制能力特性。使用授權機制，控制信息傳播范圍、內容，必要時能恢復密鑰，實現對網絡資源及信息的可控性。

• 不可否認性

對出現的安全問題提供調查，是參與者（攻擊者、破壞者等）不可否認或抵賴自己所做的行為，實現信息安全的審查性。

常見的大數據隱私安全保護技術如下：

• 數據失真技術:在原始數據里加入適量“噪聲”數據，讓敏感數據不易被識別或者難以被攻擊者還原出真實數據，由此保護用戶的原始數據。

• 數據溯源技術:通過追蹤數據的來演、重現數據的傳輸記錄，用以幫助用戶縮短辨別信息真偽的時間，確定數據運算以及檢驗結果是否正確等，其中使用最多的就是多位標記法。

• 匿名發布技術:通過匿名發布信息、有選擇地發布原始數據、不發布敏感數據等方法，來躲避不法分子的攻擊行為，以此來保護大數據信息安全與個人隱私。目前，這一技術還尚未成熟，需要不斷地發展與完善，以提高大數據的安全性。

• 角色挖掘技術:通過整合、分配用戶角色的方式，實現用戶相關權限的科學管理，為用戶提供個性化服務并監控某些用戶行為，進而使大數據信息與個人隱私更安全。

• 身份認證技術:通過采集、分析用戶的行為以及設備運行的參數等，總結用戶的行為特征，并基于此對用戶身份進行驗證，以此盡量避免駭客盜取個人信息的行為，進而保護信息安全和個人隱私。

• 存儲完整性審計技術:確保重要信息（如個人隱私數據）在存入大數據服務器后，如何完整地取出且不消耗大量帶寬。該技術也正在研究中，一種可行的方法就是利用群組有效用戶的方法對大數據進行完整性審計，以提高重要信息安全與隱私保護的審計效率。

等級保護以下企業要做：

• 政府機關：各大部委、各省級政府機關、各地市級政府機關、各事業單位等。

• 金融行業：金融監管機構、各大銀行、證券、保險公司等。

• 電信行業：各大電信運營商、各省電信公司、各地市電信公司、各類電信服務商等。

• 能源行業：電力公司、石油公司、煙草公司。

• 企業單位：大中型企業、央企、上市公司等。

• 其它有信息系統定級需求的行業與單位。

幾種常用的加密算法比較：

• DES加密算法

  DES加密算法是一種分組密碼，以64位為分組對數據加密，它的密鑰長度是56位，加密解密用同一算法。DES加密算法是對密鑰進行保密，而公開算法，包括加密和解密算法。這樣，只有掌握了和發送方相同密鑰的人才能解讀由DES加密算法加密的密文數據。因此，破譯DES加密算法實際上就是搜索密鑰的編碼。對于56位長度的密鑰來說，如果用窮舉法來進行搜索的話，其運算次數為256。

• AES加密算法

  AES加密算法是密碼學中的高級加密標準，該加密算法采用對稱分組密碼體制，密鑰長度的最少支持為128、192、256，分組長度128位，算法應易于各種硬件和軟件實現。這種加密算法是美國聯邦政府采用的區塊加密標準，這個標準用來替代原先的DES，已經被多方分析且廣為全世界所使用。

  AES加密算法被設計為支持128／192／256位（/32=nb)數據塊大小（即分組長度）；支持128／192／256位（/32=nk)密碼長度，，在10進制里，對應34×1038、62×1057、1.1×1077個密鑰。

• RSA加密算法

  RSA加密算法是目前最有影響力的公鑰加密算法，并且被普遍認為是目前最優秀的公鑰方案之一。RSA是第一個能同時用于加密和數宇簽名的算法，它能夠抵抗到目前為止已知的所有密碼攻擊，已被ISO推薦為公鑰數據加密標準。RSA加密算法基于一個十分簡單的數論事實：將兩個大素數相乘十分容易，但那時想要，但那時想要對其乘積進行因式分解卻極其困難，因此可以將乘積公開作為加密密鑰。

• Base64加密算法

  Base64加密算法是網絡上最常見的用于傳輸8bit字節代碼的編碼方式之一，Base64編碼可用于在HTTP環境下傳遞較長的標識信息。例如，在JAVAPERSISTENCE系統HIBEMATE中，采用了Base64來將一個較長的唯一標識符編碼為一個字符串，用作HTTP表單和HTTPGETURL中的參數。在其他應用程序中，也常常需要把二進制數據編碼為適合放在URL（包括隱藏表單域）中的形式。此時，采用Base64編碼不僅比較簡短，同時也具有不可讀性，即所編碼的數據不會被人用肉眼所直接看到。

• MD5加密算法

  MD5為計算機安全領域廣泛使用的一種散列函數，用以提供消息的完整性保護。對MD5加密算法簡要的敘述可以為：MD5以512位分組來處理輸入的信息，且每一分組又被劃分為16個32位子分組，經過了一系列的處理后，算法的輸出由四個32位分組組成，將這四個32位分組級聯后將生成—個128位散列值。

  MD5被廣泛用于各種軟件的密碼認證和鑰匙識別上。MD5用的是哈希函數，它的典型應用是對一段信息產生信息摘要，以防止被篡改。MD5的典型應用是對一段Message產生fingerprin指紋，以防止被“篡改”。如果再有—個第三方的認證機構，用MD5還可以防止文件作者的“抵賴”，這就是所謂的數字簽名應用。MD5還廣泛用于操作系統的登陸認證上，如UNIX、各類BSD系統登錄密碼、數字簽名等諸多方。

• SHA1加密算法

  SHA1是和MD5一樣流行的消息摘要算法。SHA加密算法模仿MD4加密算法。SHA1設計為和數字簽名算法（ＤＳＡ）一起使用。

  SHA1主要適用于數字簽名標準里面定義的數字簽名算法。對于長度小于2“64位的消息，SHA1會產生一個160位的消息摘要。當接收到消息的時候，這個消息摘要可以用來驗證數據的完整性。在傳輸的過程中，數據很可能會發生變化，那么這時候就會產生不同的消息摘要。SHA1不可以從消息摘要中復原信息，而兩個不同的消息不會產生同樣的消息摘要。這樣，SHA1就可以驗證數據的完整性，所以說SHA1是為了保證文件完整性的技術。

  SHA1加密算法可以采用不超過264位的數據輸入，并產生一個160位的摘要。輸入被劃分為512位的塊，并單獨處理。160位緩沖器用來保存散列函數的中間和最后結果。緩沖器可以由5個32位寄存器（A、B、C、D和E）來表示。SHA1是一種比MD5的安全性強的算法，理論上，凡是采取“消息摘要”方式的數字驗證算法都是有“碰撞”的——也就是兩個不同的東西算出的消息摘要相同，互通作弊圖就是如此。但是安全性高的算法要找到指定數據的“碰撞”很困難，而利用公式來計算“碰撞”就更困難一目前為止通用安全算法中僅有MD5被破解。

在企業內部對這些重要數據進行防護：

• 文檔備份：公司重要數據并不一定都存儲在內部的文件服務器，有相當一部分數據是零散的存儲在員工計算機，并且一般員工沒有文件備份的習慣，這樣一來，病毒入侵，誤刪，都有可能導致重要數據的丟失，所以要對企業內部所有重要數據進行備份，市面上文檔備份軟件有很多，企業可以根據自身需求選擇適合自己的。在這里推薦Ping32文檔備份系統，Ping32可以對企業散落在各處的文件、數據進行集中備份管理，Ping32支持全盤掃描備份、增量備份，并支持多達1024個歷史版本。還有一個重要原因Ping32文檔備份系統是免費的。

• 文檔加密：文檔加密是防止數據泄露有效的途徑之一，企業使用加密軟件對所有的機密文件進行加密，即使數據泄露，在企業外部這些被加密的文檔也是無法正常使用，并且對不同人員設置不同的文檔權限，防止內部泄密。

• 加強終端密碼的管理：員工計算機的登陸密碼建議使用高強度密碼，這樣能夠降低黑客入侵的風險，以及被內部人員非法進入不屬于自己的設備導致數據泄露。

• 計算機終端定期維護更新：一般企業員工沒有定期更新系統補丁，或者是軟件版本升級的習慣，一旦漏洞被惡意利用，企業數據將面臨嚴重威脅，所以企業內部應該統一對員工電腦進行軟件版本更新的推送，以及操作系統補丁的統一安裝，確保員工電腦能夠安全穩定的運行。

• 提高員工數據安全意識：企業內部經常對員工進行數據安全培訓，讓員工了解保護數據安全的重要性，并且如何保護企業的數據安全。

• 拒絕服務攻擊

拒絕服務(dos)是指攻擊者通過禁用或破壞網絡.系統或服務來拒絕為特定用戶提供服務的一種攻擊方式。

• 利用型攻擊

利用型攻擊是一類通過網絡技術手段直接對主機或服務器進行控制的攻擊。常見的有緩沖區溢出攻擊、漏洞攻擊、木馬攻擊等等。

• 信息收集型攻擊

信息收集型攻擊并不對目標本身造成危害，如名所示這類攻擊被用來為進一步入侵提供有用的信息。主要包括：掃描技術、體系結構刺探、利用信息服務。

• 假消息攻擊

假消息攻擊是指利用網絡協議設計中的安全缺陷，通過發送偽裝的數據包達到欺騙目標、從中獲利的目的。

勒索軟件PYSA的主要特點包括：

• 人為操作：PYSA是一種人為操作的勒索軟件，不具備自我傳播能力。作為全面攻擊行動的一部分，威脅行為者手動部署PYSA勒索軟件。PYSA勒索軟件運營商通常通過泄露憑據或通過網絡釣魚電子郵件獲得對目標系統的初始訪問權限。在部署勒索軟件之前，惡意行為者使用公開可用和/或開源工具進行憑證盜竊、隱蔽、特權升級、橫向移動等；

• 混合加密方法：PYSA勒索軟件以C++ 編程語言實現，并使用開源CryptoPP C++庫進行數據加密。該勒索軟件通過結合使用高級加密標準密碼塊鏈(AES-CBC)和RSA加密算法來加密數據。這是為了最大限度地提高加密性能和安全性；

• 雙重勒索：PYSA勒索軟件運營商使用雙重勒索策略——如果受害者拒絕支付數據解密費用，惡意行為者就會威脅泄露數據或出售數據以獲取利潤。

金融從業人員對數據安全要作以下防護：

• 應提供金融信息數據資料的分類存儲、恢復、調用、加密和銷毀等技術措施；

• 檢測金融信息和數據在采集、加工、處理、存儲、傳輸和使用過程中完整性，并在檢測到完整性錯誤時采取必要的恢復措施；

• 提供本地數據備份與恢復功能，采用實時備份與異步備份或增量備份與完全備份的方式，確定數據備份的范圍、時間間隔等內容；

• 金融信息數據在存儲介質上的數據恢復服務應符合規定；

• 具備數據安全傳輸解決方案，以安全的網絡、會話管理和恢復特性等來確保數據安全和數據傳輸安全。

等級保護工作中具體包含以下內容：

• 信息系統定級

定級流程：確定定級對象→初步確定等級→專家評審→主管部門審批→公安機構備案審查→最終確定的級別。

根據等級保護相關管理文件，等級保護對象的安全保護等級一共分五個級別，從一到五級別逐漸升高。等級保護對象的級別由兩個定級要素決定：①受侵害的客體；②對客體的侵害程度。對于關鍵信息基礎設施，“定級原則上不低于三級”，且第三級及以上信息系統每年或每半年就要進行一次測評。

• 信息系統備案

企業最終確定網站的級別以后，就可以到公安機關進行備案。備案所需材料主要是《信息安全等級保護備案表》，不同級別的信息系統需要的備案材料有所差異。

第三級以上信息系統需提供以下材料：

（一）系統拓撲結構及說明；

（二）系統安全組織機構和管理制度；

（三）系統安全保護設施設計實施方案或者改建實施方案；

（四）系統使用的信息安全產品清單及其認證、銷售許可證明；

（五）測評后符合系統安全保護等級的技術檢測評估報告；

（六）信息系統安全保護等級專家評審意見；

（七）主管部門審核批準信息系統安全保護等級的意見。

• 信息系統安全整改建設

信息系統安全保護等級確定后，運營使用單位按照管理規范和技術標準，選擇管理辦法要求的信息安全產品，建設符合等級要求的信息安全設施，建立安全組織，制定并落實安全管理制度。

• 信息系統測評

根據規定，對信息系統安全等級保護狀況進行的測試應包括兩個方面的內容：一是安全控制測評，主要測評信息安全等級保護要求的基本安全控制在信息系統中的實施配置情況；二是系統整體測評，主要測評分析信息系統的整體安全性。其中，安全控制測評是信息系統整體安全測評的基礎。

• 主管單位定期開展監督檢查

企業要接受公安機關不定期的監督和檢查，對公安機關提出的問題予以改進。

進行網絡系統安全方案規劃設計時應遵循以下原則：

• 需求、風險、代價平衡分析的原則：對任一網絡，絕對安全不一定必要，也難以達到。對一個網絡的投入與產出要相匹配，所以要對網絡系統進行實際的研究（包括任務、性能、結構、可靠性、可維護性等），并對網絡面臨的威脅及可能承擔的風險進行定性與定量相結合的分析，然后制定規范和措施，確定系統的安全策略。

• 一致性原則：一致性原則是指網絡系統的安全問題與整個網絡的工作周期要同時存在，制定的安全體系結構也必須與網絡的安全需求相一致。在網絡建設的開始，比如網絡系統設計及實施計劃時，就要考慮網絡安全對策，這樣與在網絡建設好后再考慮安全措施相比，既容易，花費也少。

• 綜合性、整體性原則：要用系統工程的觀點與方法分析網絡的安全，制定具體措施。安全措施主要包括行政法律手段、各種管理制度及專業技術措施。多種方法適當綜合的安全措施才會是比較好的措施。不同網絡會有不同的安全措施，但任何網絡安全都應遵循整體安全性原則，要根據確定的安全策略制定出合理的網絡安全體系結構。

• 操作性、方便用戶原則：安全措施如果過于復雜，對人的要求過高，本身就降低了安全性；再有，措施的實施不能影響系統的正常運行。

• 適應性及靈活性原則：隨著網絡性能及安全需求的變化，安全措施必須能靈活適應，而且要容易修改和升級。

• 動態化原則：用戶的增加，網絡技術的快速發展，使得安全防護也需不斷發展，所以制定安全措施要盡可能引入更多的可變因素，使之具有良好的擴展性。

• 有效性和實用性原則實用性即要能最大限度地滿足實際工作要求，它是任何信息系統在建設過程中所必須考慮的一種系統性能，有效性則是必須要保證系統安全。所以設計的系統要在保證安全的基礎上，使安全處理的運算量、存儲量盡可能少。

• 木桶原則：“木桶的最大容積取決于最短的一塊木板”，所以安全系統的設計首先要防止最常用的攻擊手段。

• 多重保護原則：因為任何安全措施都不能保證絕對安全，所以應建立一個多重保護系統，當一層保護被攻破時，其他層仍可保護信息的安全。

• 可評價性原則：如何預先評價一個安全設計并驗證其網絡的安全性，這需要通過國家有關網絡信息安全測評認證機構的評估來實現。網絡安全的設計，應用以上的原則，先對整個網絡進行整體的安全規劃，然后根據實際狀況建立安全防護體系，保證應用系統的安全性。

針對權限的管理有以下四項基本原則：

• 拒絕優于允許原則：拒絕優于允許原則是指當同一用戶分屬于不同組時，如果在不同組中為該用戶設置了不同的權限，則拒絕權限優先于允許權限。例如，用戶wangqun同時屬于jspi和njust兩個不同的組。針對某一資源，在jspi組中為用戶wangqun分配了“寫入”權限；而在njust組為用戶wangqun分配了“拒絕寫入”權限。根據拒絕優于允許原則，用戶wangqun對該資源實際擁有的權限是“拒絕寫入”。

• 權限最小化原則：出于安全考慮，盡量讓用戶不能訪問或不必要訪問與自己無關的資源，或者不能對指定的資源進行越權操作。

• 權限累加原則：針對某一資源，假設用戶wangqun在jspi組中擁有“讀取”權限；而在njust中擁有“寫入”權限。根據“權限累加原則”，用戶wangqun實際對該資源擁有的權限是“讀取＋寫入”。

• 權限繼承性原則：假設在Data目錄下同時存在Data1、Data2、Data3……多個子目錄，現在需要對Data目錄及其下的子目錄均設置wangqun用戶擁有“寫入”權限，根據權限繼承性原則，只需要對Data目錄設置即可，其下所有子目錄自動繼承了這個權限的設置。