在線禮品商店安全策略報(bào)告.doc

在線禮品商店安全策略報(bào)告 在線禮品商店作為一種新型電子商務(wù)模式正在得以發(fā)展。而計(jì)算機(jī)網(wǎng)絡(luò)作為信息社會(huì)的基礎(chǔ)設(shè)施已經(jīng)滲透到社會(huì)的各個(gè)方面，與此同時(shí)，網(wǎng)絡(luò)安全問題也日益突出。如何提高在線商店的安全性，由計(jì)算機(jī)威脅的來源入手提出應(yīng)對(duì)計(jì)劃策略如下：l 盡量關(guān)閉不需要的組件和服務(wù)程序：在默認(rèn)設(shè)置下，系統(tǒng)往往允許使用很多不必要而且很可能暴露安全漏洞的端口、服務(wù)和協(xié)議；l 建立防火墻、入侵檢測(cè)、安全掃描和防病毒系統(tǒng)等安全設(shè)備；l 用戶授權(quán)管理：以最小權(quán)限原則對(duì)網(wǎng)絡(luò)用戶劃分?jǐn)?shù)據(jù)庫等應(yīng)用系統(tǒng)操作權(quán)限，并做記錄；l 安全防護(hù)記錄：記錄重大網(wǎng)絡(luò)安全事件，對(duì)網(wǎng)絡(luò)設(shè)備和安全系統(tǒng)進(jìn)行日志分析，并提出修復(fù)意見；定期對(duì)系統(tǒng)運(yùn)行、用戶操作等進(jìn)行安全評(píng)估，提交網(wǎng)絡(luò)安全報(bào)告。l 安全策略的集中化管理：任何企業(yè)都要確保在涉及到IT安全問題時(shí)，必須使用一個(gè)獨(dú)立的稱職的團(tuán)隊(duì)。企業(yè)內(nèi)部的安全漏洞通常都是由于操作失誤造成的，比如系統(tǒng)維護(hù)人員的臨時(shí)管理權(quán)限過大，甚至可以為Exchange服務(wù)器添加對(duì)外開放的端口。或者密碼策略過于簡單，只是部門間的電腦密碼不同，而同一部門中所有電腦的登陸密碼都是一樣的，并且再也不會(huì)修改。l 采用虛擬終端管理系統(tǒng)，實(shí)現(xiàn)高效運(yùn)維管理：使用戶不僅僅依靠服務(wù)器端進(jìn)行計(jì)算，同時(shí)也利用終端自身的運(yùn)算能力，將數(shù)據(jù)計(jì)算壓力分散以達(dá)到最優(yōu)的效果。而在數(shù)據(jù)存儲(chǔ)方面，是存儲(chǔ)于服務(wù)器端還是存儲(chǔ)于個(gè)人終端都完全可控。l 網(wǎng)店信息安全，加強(qiáng)信息的保密性、完整性、有效性。網(wǎng)店信息安全是一個(gè)系統(tǒng)性的工作，通過網(wǎng)站安全認(rèn)證不僅可以打消顧客疑慮，建立顧客信任，保護(hù)顧客信息資料，同時(shí)也可以對(duì)網(wǎng)店信息漏洞進(jìn)行掃描，避免黑客入侵，全方位對(duì)網(wǎng)店安全進(jìn)行可靠的監(jiān)控和保護(hù)。l 將企業(yè)的網(wǎng)站進(jìn)行SSL加密，使用戶確信自己訪問的是官方網(wǎng)站而不是懷疑為釣魚網(wǎng)站。l 做好機(jī)密數(shù)據(jù)管理工作，使用訪問控制機(jī)制，控制內(nèi)部員工對(duì)于機(jī)密數(shù)據(jù)的訪問權(quán)限，減少機(jī)密的擴(kuò)散風(fēng)險(xiǎn)。l 應(yīng)建立物流信息的安全，加大力度防護(hù)物流信息的安全，大力發(fā)展現(xiàn)代化物流，電子商務(wù)才能得到更好的發(fā)展。l 加強(qiáng)網(wǎng)店安全意識(shí)，盡力辦理安全認(rèn)證證書。如果外貿(mào)商家能早一點(diǎn)認(rèn)識(shí)到網(wǎng)店信息安全的重要性，進(jìn)行網(wǎng)店安全認(rèn)證，由此樹立顧客對(duì)網(wǎng)店的信任，便可獲得更多的銷量。 總之，計(jì)算機(jī)威脅不僅來自外部威脅也來自內(nèi)部威脅，公司只有兩方面同時(shí)進(jìn)行防護(hù)，才能夠保障在線商店的網(wǎng)絡(luò)攻擊達(dá)到最低。其次，對(duì)于這一類電子商務(wù)，計(jì)算機(jī)威脅的主要來源是什么？以各種非法手段企圖入侵計(jì)算機(jī)網(wǎng)絡(luò)的黑客，其惡意攻擊構(gòu)成電子商務(wù)系統(tǒng)中網(wǎng)絡(luò)安全的最大威脅，已經(jīng)成為物流信息安全的最大隱患。l 獲取口令 有三種方法：一是精心偽造一個(gè)登錄頁面，并嵌入到相關(guān)網(wǎng)頁上，當(dāng)商戶鍵入登錄信息(用戶名和密碼等)后，將這些信息傳送到黑客的主機(jī)，然后關(guān)閉頁面給出“系統(tǒng)故障”等提示，要求商戶重新登錄，此后才出現(xiàn)真正的登錄頁面。二是通過網(wǎng)絡(luò)監(jiān)聽得到商戶口令，監(jiān)聽者往往能夠獲得其所在網(wǎng)段的所有用戶賬號(hào)和口令，對(duì)LAN威脅巨大。三是知道商戶賬號(hào)后利用一些專門軟件強(qiáng)行破解商戶口令。 l 郵件炸彈 用偽造的IP地址和電子郵件地址向商戶信箱發(fā)送無數(shù)封內(nèi)容相同的惡意郵件，擠滿郵箱，把正常郵件沖掉。同時(shí)占用大量網(wǎng)絡(luò)資源，導(dǎo)致網(wǎng)路阻塞，甚至使電子郵件服務(wù)器癱瘓。l 特洛伊木馬 在商戶的電腦中隱藏一個(gè)會(huì)在系統(tǒng)啟動(dòng)時(shí)運(yùn)行的程序，采用服務(wù)器/客戶機(jī)的運(yùn)行方式，在上網(wǎng)時(shí)控制商戶電腦，竊取口令、瀏覽商戶的驅(qū)動(dòng)器、修改商戶文件和登錄注冊(cè)表等。最后，如何防御來自內(nèi)部的威脅？l 訪問控制技術(shù)訪問控制是網(wǎng)絡(luò)安全保護(hù)和防范的核心策略之一。訪問控制的主要目的是確保網(wǎng)絡(luò)資源不被非法訪問和非法利用。訪問控制技術(shù)所涉及內(nèi)容較為廣泛，包括網(wǎng)絡(luò)登錄控制、網(wǎng)絡(luò)使用權(quán)限控制、目錄級(jí)安全控制，以及屬性安全控制等多種手段。l 入侵檢測(cè)技術(shù)入侵檢測(cè)技術(shù)是網(wǎng)絡(luò)安全技術(shù)和信息技術(shù)結(jié)合的產(chǎn)物。使用入侵檢測(cè)技術(shù)可以實(shí)時(shí)監(jiān)視網(wǎng)絡(luò)系統(tǒng)的某些區(qū)域，當(dāng)這些區(qū)域受到攻擊時(shí)，能夠及時(shí)檢測(cè)和立即響應(yīng)。入侵檢測(cè)有動(dòng)態(tài)和靜態(tài)之分，動(dòng)態(tài)檢測(cè)用于預(yù)防和審計(jì)，靜態(tài)檢測(cè)用于恢復(fù)和評(píng)估。l 安