網(wǎng)絡(luò)信息安全保障方案說明

1、 .wd. .wd. .wd.目錄 TOC o 1-4 h z u HYPERLINK l _Toc2764986911網(wǎng)絡(luò)安全實(shí)施的難點(diǎn)分析 PAGEREF _Toc276498691 h 1HYPERLINK l _Toc2764986921.1IT系統(tǒng)建設(shè)面臨的問題 PAGEREF _Toc276498692 h 1HYPERLINK l _Toc2764986931.2IT 系統(tǒng)運(yùn)維面臨的問題 PAGEREF _Toc276498693 h 2HYPERLINK l _Toc2764986942系統(tǒng)安全 PAGEREF _Toc276498694 h 2HYPERLINK l _Toc

2、2764986952.1網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)分析 PAGEREF _Toc276498695 h 2HYPERLINK l _Toc2764986962.1.1設(shè)備安全風(fēng)險(xiǎn)分析 PAGEREF _Toc276498696 h 2HYPERLINK l _Toc2764986972.1.2網(wǎng)絡(luò)安全系統(tǒng)分析 PAGEREF _Toc276498697 h 3HYPERLINK l _Toc2764986982.1.3系統(tǒng)安全風(fēng)險(xiǎn)分析 PAGEREF _Toc276498698 h 3HYPERLINK l _Toc2764986992.1.4應(yīng)用安全風(fēng)險(xiǎn)分析 PAGEREF _Toc276498699

3、 h 4HYPERLINK l _Toc2764987002.1.5數(shù)據(jù)安全風(fēng)險(xiǎn)分析 PAGEREF _Toc276498700 h 4HYPERLINK l _Toc2764987012.2網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì) PAGEREF _Toc276498701 h 4HYPERLINK l _Toc2764987022.2.1設(shè)備安全 PAGEREF _Toc276498702 h 4HYPERLINK l _Toc2764987032.2.2網(wǎng)絡(luò)安全 PAGEREF _Toc276498703 h 4HYPERLINK l _Toc2764987042.2.3系統(tǒng)安全 PAGEREF _Toc276

4、498704 h 5HYPERLINK l _Toc2764987052.2.4應(yīng)用安全 PAGEREF _Toc276498705 h 6HYPERLINK l _Toc2764987062.2.5數(shù)據(jù)安全 PAGEREF _Toc276498706 h 6HYPERLINK l _Toc2764987072.3系統(tǒng)的網(wǎng)絡(luò)安全設(shè)計(jì) PAGEREF _Toc276498707 h 7HYPERLINK l _Toc2764987082.3.1防火墻系統(tǒng) PAGEREF _Toc276498708 h 7HYPERLINK l _Toc276498709防火墻的 基本類型 PAGEREF _To

5、c276498709 h 7HYPERLINK l _Toc276498710常用攻擊方法 PAGEREF _Toc276498710 h 10HYPERLINK l _Toc276498711常用攻擊對(duì)策 PAGEREF _Toc276498711 h 10HYPERLINK l _Toc2764987122.3.2VPN路由器 PAGEREF _Toc276498712 h 11HYPERLINK l _Toc2764987132.3.3IDS 入侵檢測(cè) PAGEREF _Toc276498713 h 11HYPERLINK l _Toc2764987142.3.4CA認(rèn)證與SSL加密 P

6、AGEREF _Toc276498714 h 13HYPERLINK l _Toc276498715CA的作用 PAGEREF _Toc276498715 h 13HYPERLINK l _Toc276498716CA系統(tǒng)簡(jiǎn)介 PAGEREF _Toc276498716 h 14HYPERLINK l _Toc276498717SSL加密 PAGEREF _Toc276498717 h 17HYPERLINK l _Toc2764987182.3.5防病毒系統(tǒng) PAGEREF _Toc276498718 h 19HYPERLINK l _Toc276498719病毒的類型 PAGEREF _T

7、oc276498719 h 19HYPERLINK l _Toc276498720病毒的檢測(cè) PAGEREF _Toc276498720 h 22HYPERLINK l _Toc276498721防病毒建議方案 PAGEREF _Toc276498721 h 24HYPERLINK l _Toc2764987222.3.6網(wǎng)站監(jiān)控與恢復(fù)系統(tǒng) PAGEREF _Toc276498722 h 24HYPERLINK l _Toc2764987232.3.7SAN網(wǎng)絡(luò)存儲(chǔ)/備份/災(zāi)難恢復(fù)： PAGEREF _Toc276498723 h 24HYPERLINK l _Toc2764987243業(yè)務(wù)網(wǎng)

8、絡(luò)安全設(shè)計(jì) PAGEREF _Toc276498724 h 24HYPERLINK l _Toc2764987253.1網(wǎng)絡(luò)安全設(shè)計(jì)原那么 PAGEREF _Toc276498725 h 24HYPERLINK l _Toc2764987263.2系統(tǒng)的安全設(shè)計(jì) PAGEREF _Toc276498726 h 25HYPERLINK l _Toc2764987273.2.1威脅及漏洞 PAGEREF _Toc276498727 h 25HYPERLINK l _Toc2764987283.2.2計(jì)說明 PAGEREF _Toc276498728 h 26HYPERLINK l _Toc2764

9、987293.3系統(tǒng)的安全設(shè)計(jì) PAGEREF _Toc276498729 h 27HYPERLINK l _Toc2764987303.3.1各業(yè)務(wù)系統(tǒng)的別離 PAGEREF _Toc276498730 h 27HYPERLINK l _Toc2764987313.3.2敏感數(shù)據(jù)區(qū)的保護(hù) PAGEREF _Toc276498731 h 28HYPERLINK l _Toc2764987323.3.3通迅線路數(shù)據(jù)加密 PAGEREF _Toc276498732 h 29HYPERLINK l _Toc2764987333.3.4防火墻自身的保護(hù) PAGEREF _Toc276498733 h

10、30HYPERLINK l _Toc2764987343.3.5網(wǎng)絡(luò)安全設(shè)計(jì) PAGEREF _Toc276498734 h 31HYPERLINK l _Toc276498735設(shè)計(jì)說明： PAGEREF _Toc276498735 h 33網(wǎng)絡(luò)安全實(shí)施的難點(diǎn)分析IT系統(tǒng)建設(shè)面臨的問題企業(yè)在IT系統(tǒng)建設(shè)過程中，往往面臨以下方面的問題；其一：專業(yè)人員少，因?yàn)槿魏我粋€(gè)企業(yè)的IT系統(tǒng)建設(shè)，往往都是為企業(yè)內(nèi)部使用，只有自己最為了解自己企業(yè)的需求，但是往往企業(yè)內(nèi)部的專業(yè)人員比較少。其二：經(jīng)歷缺乏，專業(yè)性不強(qiáng)，由于企業(yè)內(nèi)部的專業(yè)人員僅僅著眼于本企業(yè)自身的需求，工程實(shí)施的少，相應(yīng)的工程經(jīng)歷欠缺專業(yè)性不強(qiáng)；

11、其三：效率不高，效果不好，應(yīng)為欠缺對(duì)系統(tǒng)建設(shè)的系統(tǒng)知識(shí)和經(jīng)歷，總是在摸索著前進(jìn)，在這個(gè)過程中，實(shí)施人員和使用人員的積極性就會(huì)降低，無法按照預(yù)期完成工程。IT 系統(tǒng)運(yùn)維面臨的問題系統(tǒng)安全網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)分析設(shè)備安全風(fēng)險(xiǎn)分析網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備、存儲(chǔ)設(shè)備的安全是保證網(wǎng)絡(luò)安全運(yùn)行的一個(gè)重要因素。為了保證網(wǎng)絡(luò)的安全而制定的安全策略都是由網(wǎng)絡(luò)設(shè)備執(zhí)行的，如果一些非網(wǎng)絡(luò)管理人員成心或無意對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)展非法操作，勢(shì)必會(huì)對(duì)網(wǎng)絡(luò)的安全造成影響，甚至是重大的安全事故。因此，沒有網(wǎng)絡(luò)設(shè)備的安全，網(wǎng)絡(luò)設(shè)備的安全就無從談起。所以，必須從多個(gè)層面來保證網(wǎng)絡(luò)設(shè)備的安全。網(wǎng)絡(luò)安全系統(tǒng)分析網(wǎng)絡(luò)層位于系統(tǒng)平臺(tái)的最低層，是信息訪問

12、、共享、交流和發(fā)布的必由之路，也是黑客或其它攻擊者等進(jìn)展其截獲、竊聽竊取信息、篡改信息、偽造和冒充等攻擊的必由之路。所以，網(wǎng)絡(luò)層所面臨的安全風(fēng)險(xiǎn)威脅是整個(gè)系統(tǒng)面臨的主要安全風(fēng)險(xiǎn)之一。網(wǎng)絡(luò)層的安全風(fēng)險(xiǎn)包括以下幾方面：黑客攻擊外網(wǎng)通過防火墻與Internet公眾網(wǎng)相連，所以Internet上的各種各樣的黑客攻擊、病毒傳播等都可能威脅到系統(tǒng)的安全。其存在的安全風(fēng)險(xiǎn)主要是黑客攻擊，竊取或篡改重要信息，攻擊網(wǎng)站等。許多機(jī)器臨時(shí)性甚至經(jīng)常性的連接到外網(wǎng)上或直接連接到Internet上。這樣Internet上的黑客或敵對(duì)勢(shì)力使用木馬等黑客攻擊手段，就可以將該員工機(jī)器用作一個(gè)偵察站。網(wǎng)內(nèi)可能存在的相互攻擊由于

13、公司內(nèi)網(wǎng)中的各級(jí)網(wǎng)絡(luò)互連，這些設(shè)備在網(wǎng)絡(luò)層是可以互通的，在沒有任何安全措施的情況下，一個(gè)單位的用戶可以連接到另一個(gè)單位使用的機(jī)器，訪問其中的數(shù)據(jù)。這樣就會(huì)造成網(wǎng)絡(luò)間的互相病毒等其他因素引起的網(wǎng)絡(luò)攻擊。系統(tǒng)安全風(fēng)險(xiǎn)分析系統(tǒng)安全通常分為系統(tǒng)級(jí)軟件比方操作系統(tǒng)、數(shù)據(jù)庫(kù)等的安全漏洞、病毒防治。1、系統(tǒng)軟件安全漏洞系統(tǒng)級(jí)軟件比方操作系統(tǒng)、數(shù)據(jù)庫(kù)等總是存在著這樣那樣的安全漏洞，包括已發(fā)現(xiàn)或未發(fā)現(xiàn)的安全漏洞。2、病毒侵害計(jì)算機(jī)病毒一直是困擾每一個(gè)計(jì)算機(jī)用戶的重要問題，一旦計(jì)算機(jī)程序被感染了病毒，它就有可能破壞掉用戶工作中的重要信息。網(wǎng)絡(luò)使病毒的傳播速度極大的加快，公司內(nèi)部網(wǎng)絡(luò)與Internet相連，這意味著

14、每天可能受到來自世界各地的新病毒的攻擊。應(yīng)用安全風(fēng)險(xiǎn)分析基于B/S模式的業(yè)務(wù)系統(tǒng)由于身份認(rèn)證、數(shù)據(jù)傳輸、訪問控制、授權(quán)、口令等存在安全隱患，從而對(duì)整個(gè)系統(tǒng)造成安全威脅。數(shù)據(jù)安全風(fēng)險(xiǎn)分析在系統(tǒng)中存放有的重要的數(shù)據(jù)。這些數(shù)據(jù)如被非法復(fù)制、篡改、刪除，或是因各種天災(zāi)人禍喪失，將威脅到數(shù)據(jù)的保密性、完整性和一致性。網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì)針對(duì)上面提到的種種安全風(fēng)險(xiǎn)，對(duì)系統(tǒng)安全進(jìn)展設(shè)計(jì)。設(shè)備安全設(shè)備安全在這里主要指控制對(duì)交換機(jī)等網(wǎng)絡(luò)設(shè)備的訪問，包括物理訪問和登錄訪問兩種。針對(duì)訪問的兩種方式采取以下措施：對(duì)根基設(shè)施采取防火、防盜、防靜電、防潮措施。系統(tǒng)主機(jī)應(yīng)采用雙機(jī)熱備主備/互備方式，構(gòu)成集群系統(tǒng)；系統(tǒng)關(guān)鍵通信設(shè)

15、備應(yīng)考慮冗余備份；要求利用系統(tǒng)監(jiān)控工具，實(shí)時(shí)監(jiān)控系統(tǒng)中各種設(shè)備和網(wǎng)絡(luò)運(yùn)行狀態(tài)，及時(shí)發(fā)現(xiàn)故障或故障苗頭，及時(shí)采取措施，排除故障，保障系統(tǒng)平穩(wěn)運(yùn)行。網(wǎng)絡(luò)安全為保障網(wǎng)絡(luò)安全，在網(wǎng)絡(luò)上要采取以下措施：設(shè)立防火墻。防火墻作為內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間的第一道屏障，一般用在企業(yè)網(wǎng)與Internet等公眾網(wǎng)之間的連接點(diǎn)處，防護(hù)來自外部的攻擊，并過濾掉不安全的服務(wù)請(qǐng)求和非法用戶進(jìn)入；在內(nèi)部系統(tǒng)的Web服務(wù)器到應(yīng)用服務(wù)器之間設(shè)置防火墻，防止來自內(nèi)部的攻擊和破壞，保證系統(tǒng)的安全；進(jìn)展入侵檢測(cè)。對(duì)計(jì)算機(jī)網(wǎng)絡(luò)和計(jì)算機(jī)系統(tǒng)的關(guān)鍵結(jié)點(diǎn)的信息進(jìn)展收集分析, 檢測(cè)其中是否有違反安全策略的事件發(fā)生或攻擊跡象，并通知系統(tǒng)安全管理

16、員。采用相應(yīng)技術(shù)和手段，保證網(wǎng)絡(luò)安全。對(duì)傳輸數(shù)據(jù)進(jìn)展加密，保障數(shù)據(jù)傳輸安全防止網(wǎng)頁(yè)的篡改；利用防護(hù)工具防止黑客篡改或非法破壞網(wǎng)頁(yè)，保證網(wǎng)站網(wǎng)頁(yè)安全。針對(duì)防止網(wǎng)頁(yè)篡改，推薦使用InforGuard。InforGuard主要提供文件監(jiān)控保護(hù)功能，保證文件系統(tǒng)安全，防止被非法修改。InforGuard適用于網(wǎng)站網(wǎng)頁(yè)文件的安全保護(hù)，解決了網(wǎng)站被非法修改的問題，是一套安全、高效、簡(jiǎn)單、易用的網(wǎng)頁(yè)保護(hù)系統(tǒng)；采用數(shù)字證書技術(shù)實(shí)現(xiàn)InforGuard的用戶管理，加強(qiáng)了對(duì)Web站點(diǎn)目錄的ftp用戶和口令的保護(hù)，防止了ftp口令泄漏造成的安全隱患；通過用戶操作日志提供對(duì)網(wǎng)頁(yè)文件更新過程的全程監(jiān)控。從而保證了網(wǎng)站網(wǎng)

17、頁(yè)文件的絕對(duì)安全。定期進(jìn)展安全檢查，查補(bǔ)安全漏洞，采用漏洞掃描軟件對(duì)內(nèi)部服務(wù)器瀏覽器和所有網(wǎng)絡(luò)設(shè)備進(jìn)展漏洞掃描，及時(shí)彌補(bǔ)各類安全漏洞。系統(tǒng)安全應(yīng)用安全的解決往往依賴于網(wǎng)絡(luò)層、操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全，所以對(duì)系統(tǒng)級(jí)軟件的安全防范突顯其重要性；由于病毒通過Internet網(wǎng)，可以在極短的時(shí)間內(nèi)傳到Internet的各個(gè)角落，而病毒對(duì)系統(tǒng)穩(wěn)定性和數(shù)據(jù)安全性的威脅眾所周知，所以對(duì)病毒的預(yù)防是一項(xiàng)十分重要的工作；同時(shí)對(duì)一些專用服務(wù)器的特別防護(hù)也是我們保證系統(tǒng)良好運(yùn)行的前提。下面就從系統(tǒng)漏洞防護(hù)、病毒防護(hù)和專用服務(wù)器防護(hù)等方面來闡述安全防范的措施。系統(tǒng)安全漏洞防護(hù)：通過系統(tǒng)掃描工具，定期檢查系統(tǒng)中與安全有關(guān)

18、的軟件、資源、各廠商安全“補(bǔ)丁包的情況，發(fā)現(xiàn)問題及時(shí)報(bào)告并給出解決建議。病毒防護(hù)：在內(nèi)網(wǎng)和外網(wǎng)中分別設(shè)置網(wǎng)絡(luò)防病毒軟件控制中心，安裝網(wǎng)絡(luò)版的防病毒控制臺(tái)，在服務(wù)器系統(tǒng)和網(wǎng)絡(luò)內(nèi)的主機(jī)均安裝防病毒軟件的客戶端。管理員負(fù)責(zé)每天檢查有沒有新的病毒庫(kù)更新，并對(duì)防病毒服務(wù)器上的防病毒軟件進(jìn)展及時(shí)更新。然后再由防病毒服務(wù)器將最新的病毒庫(kù)文件下發(fā)到各聯(lián)網(wǎng)的機(jī)器上，實(shí)現(xiàn)全網(wǎng)統(tǒng)一、及時(shí)的防病毒軟件更新，防止因?yàn)樯贁?shù)內(nèi)部用戶的疏忽，感染病毒，導(dǎo)致病毒在全網(wǎng)的傳播。專用服務(wù)器的專門保護(hù)：針對(duì)重要的、最常受到攻擊的應(yīng)用系統(tǒng)實(shí)施特別的保護(hù)。對(duì)WEB服務(wù)器保護(hù)對(duì)Web訪問、監(jiān)控/阻塞/報(bào)警、入侵探測(cè)、攻擊探測(cè)、惡意appl

19、ets、惡意Email等在內(nèi)的安全政策進(jìn)展明確規(guī)劃。對(duì)E-mail服務(wù)程序、瀏覽器，采取正確的配置與及時(shí)下載安全補(bǔ)丁實(shí)現(xiàn)。應(yīng)用安全針對(duì)人為操作造成的風(fēng)險(xiǎn)，必須從系統(tǒng)的應(yīng)用層進(jìn)展防范，因此應(yīng)用系統(tǒng)在建設(shè)時(shí)需考慮系統(tǒng)的安全性。具體包括以下幾個(gè)方面：訪問控制：操作系統(tǒng)的用戶管理、權(quán)限管理；限制用戶口令規(guī)那么和長(zhǎng)度，制止用戶使用簡(jiǎn)單口令，強(qiáng)制用戶定期修改口令；按照登錄時(shí)間、登錄方式限制用戶的登錄請(qǐng)求；加強(qiáng)文件訪問控制管理，根據(jù)訪問的用戶范圍，設(shè)置文件的讀、寫、執(zhí)行權(quán)限；對(duì)重要資料設(shè)置被訪問的時(shí)間和日期。權(quán)限控制和管理：按照單位、部門、職務(wù)、工作性質(zhì)等對(duì)用戶進(jìn)展分類，不同的用戶賦予不同的權(quán)限、可以訪問不

20、同的系統(tǒng)、可以操作不同的功能模塊；應(yīng)用系統(tǒng)的權(quán)限實(shí)行分級(jí)管理，每個(gè)系統(tǒng)的管理員自己定義各類用戶對(duì)該系統(tǒng)資源的可訪問內(nèi)容。身份驗(yàn)證：通過采用口令識(shí)別、數(shù)字認(rèn)證方式，來確保用戶的登錄身份與其真實(shí)身份相符，保證數(shù)據(jù)的安全性、完整性、可靠性和交易的不可抵賴性、增強(qiáng)顧客、商家、企業(yè)等對(duì)網(wǎng)上交易的信心。數(shù)據(jù)加密存儲(chǔ)：關(guān)聯(lián)及關(guān)鍵數(shù)據(jù)加密存儲(chǔ)，提取數(shù)據(jù)庫(kù)中表間關(guān)聯(lián)數(shù)據(jù)或重要數(shù)據(jù)信息，采用HASH算法，生成一加密字段，存放在數(shù)據(jù)表中，保證數(shù)據(jù)庫(kù)中關(guān)聯(lián)數(shù)據(jù)的一致性、完整性，防止重要數(shù)據(jù)的非法篡改。日志記載：數(shù)據(jù)庫(kù)日志：使得系統(tǒng)發(fā)生故障后能提供數(shù)據(jù)動(dòng)態(tài)恢復(fù)或向前恢復(fù)等功能，確保數(shù)據(jù)的可靠性和一致性。應(yīng)用系統(tǒng)日志：通

21、過記錄應(yīng)用系統(tǒng)中操作日志，通過事后審計(jì)功能為將來分析提供數(shù)據(jù)分析源，確保業(yè)務(wù)的可追溯性。數(shù)據(jù)安全業(yè)務(wù)數(shù)據(jù)是業(yè)務(wù)系統(tǒng)運(yùn)行的重要元素，也是企業(yè)中珍貴的資源。這些數(shù)據(jù)如被非法復(fù)制、篡改、刪除，或是因系統(tǒng)崩潰及各種天災(zāi)人禍喪失，將威脅到數(shù)據(jù)的保密性、完整性和一致性。由此造成的損失將是巨大的。為了保證數(shù)據(jù)的安全，通常的做法是對(duì)數(shù)據(jù)進(jìn)展備份。數(shù)據(jù)備份解決方案大致可以分為兩種：數(shù)據(jù)級(jí)的備份和系統(tǒng)級(jí)的備份。數(shù)據(jù)級(jí)的備份是指對(duì)存儲(chǔ)在磁盤陣列、磁帶庫(kù)等設(shè)備上的數(shù)據(jù)的備份。系統(tǒng)級(jí)備份主要是指對(duì)服務(wù)器系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等系統(tǒng)的備份。對(duì)于數(shù)據(jù)庫(kù)系統(tǒng)備份，有兩種方式可以選擇：第一種是采用數(shù)據(jù)庫(kù)自身的備份功能，其優(yōu)點(diǎn)是不需要

22、追加額外的投資，缺點(diǎn)是這種備份方式是手工進(jìn)展的，備份效率較低，并且在備份時(shí)需要關(guān)閉數(shù)據(jù)庫(kù)，即需要shutdown數(shù)據(jù)庫(kù)實(shí)例。第二種方式是采用專業(yè)的備份工具，這種方式能夠?qū)崿F(xiàn)在線備份的方式，即在備份的過程中不需Shutdown數(shù)據(jù)庫(kù)實(shí)例。同時(shí)，在備份過程中，通過追蹤數(shù)據(jù)塊的變動(dòng)記錄來實(shí)現(xiàn)增量備份，縮短備份窗口。在保持?jǐn)?shù)據(jù)庫(kù)online的前提下，這種方式還能夠充分保證數(shù)據(jù)庫(kù)的OLTP聯(lián)機(jī)事務(wù)處理的性能。數(shù)據(jù)庫(kù)的數(shù)據(jù)量龐大，可以通過同時(shí)驅(qū)動(dòng)多個(gè)磁帶驅(qū)動(dòng)器來保證數(shù)據(jù)庫(kù)備份的效率。通過這種方式，能夠在夜間的非工作時(shí)段內(nèi)完成全備份，并在相對(duì)更短的時(shí)間段內(nèi)完成日增量備份。在上述數(shù)據(jù)備份環(huán)境中，可以對(duì)操作系統(tǒng)

23、及應(yīng)用程序環(huán)境實(shí)現(xiàn)動(dòng)態(tài)即時(shí)在線快速備份，即在不影響用戶和應(yīng)用程序運(yùn)行的前提下，備份系統(tǒng)的動(dòng)態(tài)數(shù)據(jù)，同時(shí)能夠?qū)鹘y(tǒng)文件系統(tǒng)的備份速度成倍提高。在前面的服務(wù)器平臺(tái)設(shè)計(jì)中，我們?yōu)槊颗_(tái)服務(wù)器都配置了兩塊硬盤，通過磁盤鏡像RAID 1技術(shù)實(shí)現(xiàn)系統(tǒng)冗余備份，可以極大提高服務(wù)器系統(tǒng)的安全性。保證數(shù)據(jù)安全，對(duì)數(shù)據(jù)進(jìn)展備份。系統(tǒng)的網(wǎng)絡(luò)安全設(shè)計(jì)防火墻系統(tǒng)防火墻的 基本類型實(shí)現(xiàn)防火墻的技術(shù)主要包括四類：包過濾防火墻、電路網(wǎng)關(guān)防火墻、應(yīng)用層防火墻以及動(dòng)態(tài)包過濾防火墻。其各自的特點(diǎn)如下：包過濾防火墻：包過濾防火墻技術(shù)主要通過分析網(wǎng)絡(luò)傳輸層數(shù)據(jù)，并通過預(yù)先定義的規(guī)那么對(duì)數(shù)據(jù)包轉(zhuǎn)發(fā)或丟棄。其檢查信息為網(wǎng)絡(luò)層、傳輸層以及傳輸

24、方向等報(bào)頭信息，典型的包過濾主要利用下面的控制信息：數(shù)據(jù)包到達(dá)的物理網(wǎng)絡(luò)接口數(shù)據(jù)包的源網(wǎng)絡(luò)層地址數(shù)據(jù)包的目的網(wǎng)絡(luò)層地址傳輸層協(xié)議類型傳輸層源端口傳輸層目的端口包過濾防火墻有以下先進(jìn)性：包過濾防火墻通常性能高，因?yàn)樗麄儓?zhí)行的評(píng)估比較少而且通常可以用硬件完成?？梢院?jiǎn)單地通過制止特定外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的連接來保護(hù)整個(gè)網(wǎng)絡(luò)。包過濾防火墻對(duì)客戶端是透明的，所有工作都在防火墻中完成。結(jié)合NAT網(wǎng)絡(luò)地址轉(zhuǎn)換功能，可以將內(nèi)部網(wǎng)絡(luò)從外部網(wǎng)絡(luò)中屏蔽起來。包過濾防火墻具有以下缺點(diǎn)：包過濾防火墻不能識(shí)別上層信息，因此，同應(yīng)用層防火墻以及電路網(wǎng)關(guān)防火墻相比，其安全性較低。包過濾防火墻不是基于連接狀態(tài)的，因此，它不保存會(huì)

25、話連接信息或上層應(yīng)用信息。包過濾只利用了數(shù)據(jù)包中有限的信息。包過濾不提供增值服務(wù)，如HTTP Cache，URL過濾等。電路網(wǎng)關(guān)防火墻電路網(wǎng)關(guān)防火墻是一種基于連接狀態(tài)的防火墻技術(shù)，它能確認(rèn)、證實(shí)一個(gè)數(shù)據(jù)包是兩個(gè)傳輸層之間連接請(qǐng)求、兩個(gè)傳輸層之間已建連接中的數(shù)據(jù)包或兩個(gè)傳輸層之間的虛電路。電路網(wǎng)關(guān)防火墻檢查每一個(gè)連接的建設(shè)過程來保證連接的合法性，以及利用一個(gè)合法的連接信息表包括狀態(tài)以及序列號(hào)來檢查數(shù)據(jù)包的正確性。當(dāng)一個(gè)連接關(guān)閉時(shí)，這個(gè)連接信息表就被關(guān)閉。電路網(wǎng)關(guān)級(jí)防火墻主要應(yīng)用以下狀態(tài)信息：一個(gè)唯一的會(huì)話識(shí)別用于跟蹤處理。連接狀態(tài)，包括：握手、建設(shè)以及關(guān)閉。序列號(hào)信息。源網(wǎng)絡(luò)地址。目的網(wǎng)絡(luò)地址。

26、數(shù)據(jù)包到達(dá)的物理網(wǎng)絡(luò)接口。數(shù)據(jù)包離開的物理網(wǎng)絡(luò)接口。電路網(wǎng)關(guān)級(jí)防火墻具有以下優(yōu)點(diǎn)：電路網(wǎng)關(guān)防火墻通常性能高，因?yàn)樗麄儓?zhí)行的評(píng)估比較少?？梢院?jiǎn)單地通過制止特定外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的連接來保護(hù)整個(gè)網(wǎng)絡(luò)。包過濾防火墻對(duì)客戶端是透明的，所有工作都在防火墻中完成。結(jié)合NAT網(wǎng)絡(luò)地址轉(zhuǎn)換功能，可以將內(nèi)部網(wǎng)絡(luò)從外部網(wǎng)絡(luò)中屏蔽起來。電路應(yīng)用網(wǎng)關(guān)具有以下缺點(diǎn)：電路應(yīng)用網(wǎng)關(guān)不能限制TCP之外的其他協(xié)議集。電路應(yīng)用網(wǎng)關(guān)防火墻不能進(jìn)展嚴(yán)格的高層應(yīng)用檢查。包過濾不提供增值服務(wù)，如HTTP Cache，URL過濾等。應(yīng)用層防火墻應(yīng)用層防火墻檢查所有的數(shù)據(jù)包、連接狀態(tài)信息以及序列號(hào)，同時(shí)還能驗(yàn)證應(yīng)用層特定的安全控制，包括：用

27、戶名，口令等。大多數(shù)應(yīng)用層防火墻包括一個(gè)特定服務(wù)程序和代理服務(wù)，代理是一個(gè)面向特定應(yīng)用的流量管理程序，如HTTP、FTP等，能提供增強(qiáng)的訪問控制、細(xì)節(jié)檢查以及審記記錄等信息。每一個(gè)應(yīng)用代理一般由兩局部組成，代理服務(wù)器以及代理客戶，相對(duì)于發(fā)起連接的客戶端來說，代理服務(wù)器充當(dāng)一個(gè)最終服務(wù)器。代理客戶端代替實(shí)際的客戶應(yīng)用同外部服務(wù)器進(jìn)展數(shù)據(jù)交換。應(yīng)用層防火墻具有以下優(yōu)點(diǎn)：代理服務(wù)能完全理解和實(shí)施上層協(xié)議。如HTTP、FTP等。代理服務(wù)維護(hù)所有的應(yīng)用狀態(tài)信息，包括：局部的通訊層狀態(tài)信息、全部應(yīng)用層狀態(tài)信息以及局部會(huì)話信息。代理服務(wù)能處理和利用數(shù)據(jù)包。代理服務(wù)不允許外部服務(wù)器和內(nèi)部主機(jī)之間的直接通訊，可

28、有效的隱含內(nèi)部網(wǎng)絡(luò)信息。代理服務(wù)能提供增值特征，包括：HTTP Cache、URL過濾以及用戶認(rèn)證等。代理服務(wù)能很好的產(chǎn)生審記記錄，允許管理員監(jiān)控企圖違反網(wǎng)絡(luò)安全策略的行為。應(yīng)用層防火墻具有以下缺點(diǎn)：代理服務(wù)需要替換防火墻服務(wù)器的本來的網(wǎng)絡(luò)堆棧。由于代理服務(wù)要監(jiān)聽服務(wù)端口，因此，在防火墻服務(wù)器上不能提供同樣的服務(wù)。代理服務(wù)對(duì)數(shù)據(jù)包需要處理兩次，因此，性能比較差。通常，對(duì)于不同的應(yīng)用，需要對(duì)每一個(gè)服務(wù)提供一個(gè)代理服務(wù)程序。應(yīng)用級(jí)防火墻不能提供UDP、TCP以及其他協(xié)議代理功能。代理服務(wù)通常需要修改客戶應(yīng)用程序端或應(yīng)用配置。代理服務(wù)通常依賴操作系統(tǒng)提供設(shè)備驅(qū)動(dòng)，因此，一個(gè)操作系統(tǒng)或應(yīng)用Bug都有可

29、能造成代理服務(wù)容易受到攻擊。代理服務(wù)經(jīng)常會(huì)遇到屢次登錄的情況。動(dòng)態(tài)包過濾防火墻動(dòng)態(tài)包過濾防火墻類似電路網(wǎng)關(guān)防火墻，但它提供了對(duì)面向非連接的傳輸層協(xié)議，如UDP的支持。其同電路網(wǎng)關(guān)有一樣的優(yōu)缺點(diǎn)。常用攻擊方法了解常用的攻擊方法可以更好的制定安全防范措施，常用的攻擊方法包括以下幾種：被動(dòng)監(jiān)聽：這種攻擊方法是攻擊者利用網(wǎng)絡(luò)監(jiān)聽或分析工具，直接竊獲用戶的報(bào)文信息，從而獲得用戶/口令信息，這時(shí)，攻擊者就可以以合法用戶的身份對(duì)應(yīng)用進(jìn)展破壞。地址欺騙：在這種方法中，攻擊者偽裝成一個(gè)信任主機(jī)的IP地址，對(duì)系統(tǒng)進(jìn)展破壞。端口掃描：這是一種主動(dòng)的攻擊方法，攻擊者不斷的掃描安全控制點(diǎn)上等待連接的監(jiān)聽端口，一旦發(fā)現(xiàn)，

30、攻擊者就集中精力對(duì)端口上的應(yīng)用發(fā)起攻擊。否認(rèn)服務(wù)：這種攻擊方法又細(xì)分為兩種：即洪水連接和報(bào)文注入，洪水連接是向目的主機(jī)發(fā)出大量原地址非法的TCP連接，這樣，目的主機(jī)就一直處于等待狀態(tài)，最后由于資源耗盡而死機(jī)。報(bào)文注入就是在合法連接的報(bào)文中插入攻擊者發(fā)出的數(shù)據(jù)包，從而對(duì)目的主機(jī)進(jìn)展攻擊。應(yīng)用層攻擊：這種攻擊方法是利用應(yīng)用軟件的缺陷，從而獲得對(duì)系統(tǒng)的訪問權(quán)利。特洛伊木馬：在這種攻擊方法中，攻擊者讓用戶運(yùn)行一個(gè)用戶誤認(rèn)為是一個(gè)合法程序的攻擊程序，從而寄生在用戶系統(tǒng)中，為以后的攻擊埋下伏筆。這種攻擊方法最常見的應(yīng)用就是在WEB服務(wù)嵌入Java Applet、Active-X等控件，使用戶在瀏覽網(wǎng)頁(yè)時(shí)，

31、不知不覺中被寄生了攻擊程序。常用攻擊對(duì)策下面我們對(duì)上面所述的攻擊方法提出自己的防范措施。被動(dòng)監(jiān)聽：在共享式以太網(wǎng)構(gòu)造中，一個(gè)主機(jī)發(fā)送的數(shù)據(jù)會(huì)發(fā)送到一個(gè)網(wǎng)段上的每主機(jī)數(shù)據(jù)包被監(jiān)聽是不可防止的。而交換式網(wǎng)絡(luò)根據(jù)目的地址選擇發(fā)送的端口，因此，盡量連接桌面工作站到交換機(jī)端口會(huì)防止數(shù)據(jù)包被監(jiān)聽。對(duì)于同各個(gè)分支機(jī)構(gòu)的按Extranet方式連接的采用IPSec技術(shù)對(duì)IP數(shù)據(jù)包加密，該加密算法對(duì)數(shù)據(jù)加密采用DES算法，其DES密鑰是動(dòng)態(tài)產(chǎn)生的，連接雙方加密密鑰是通過RAS算法傳送的，因此，具有很高的安全性。對(duì)于Internet個(gè)人用戶的訪問，數(shù)據(jù)被監(jiān)聽是不可防止的，因此，對(duì)這種攻擊的防范是合理設(shè)定用戶權(quán)限。地

32、址欺騙：對(duì)這種攻擊的防范采用擴(kuò)展訪問過濾列表方式，但凡從其他網(wǎng)段進(jìn)來的數(shù)據(jù)包，如果其源地址不是來自該網(wǎng)段的合法地址，就拋棄該數(shù)據(jù)包。端口掃描：對(duì)這種攻擊的防范采用擴(kuò)展訪問列表方式，拒絕非授權(quán)網(wǎng)絡(luò)訪問特定的網(wǎng)絡(luò)服務(wù)。否認(rèn)服務(wù)：對(duì)于洪水連接攻擊我們采用TCP攔截技術(shù)，對(duì)一個(gè)主機(jī)的訪問限制在一個(gè)可承受范圍內(nèi)，對(duì)于超過的可按幾種設(shè)定方式丟棄連接。對(duì)于報(bào)文注入，Cisco PIX防火墻產(chǎn)品是一種基于狀態(tài)的包過濾產(chǎn)品，本身能很好的防范報(bào)文注入攻擊。應(yīng)用層攻擊：改進(jìn)、替換具有安全漏洞的應(yīng)用服務(wù)器。特洛伊木馬：對(duì)于這種攻擊方式，首先應(yīng)該教育公司職員不要運(yùn)行不明來源的程序，防止內(nèi)部主機(jī)被攻破，一旦內(nèi)部主機(jī)被攻破

33、，攻擊者就可以以被攻破主機(jī)為落腳點(diǎn)，對(duì)內(nèi)部所有主機(jī)進(jìn)展攻擊。對(duì)Java Applet和Active-X的防范采用員工教育方式，教育職員不要訪問不明站點(diǎn)，盡量在瀏覽器中關(guān)閉Java Applet和Active-X功能。VPN路由器采用Cisco Router 進(jìn)展IP數(shù)據(jù)包過濾，安全VLAN子網(wǎng)劃分作為VPN配置路由使用，可方便進(jìn)展安全訪問的劃分結(jié)合PIX防火墻、NetRanger入侵檢測(cè)系統(tǒng)和NetSonar安全掃描程序三者配合，最大限度地保證了企業(yè)VPN的可靠性和安全性IDS 入侵檢測(cè)入侵檢測(cè) (eTrust Intrusion Detection 簡(jiǎn)稱eID) 提供了全面的網(wǎng)絡(luò)保護(hù)功能，其

34、內(nèi)置主動(dòng)防御功能可以防止破壞的發(fā)生。這種高性能且使用方便的解決方案在單一軟件包中提供了最廣泛的監(jiān)視、入侵和攻擊探測(cè)、非法 URL 探測(cè)和阻塞、警告、記錄和實(shí)時(shí)響應(yīng)。網(wǎng)絡(luò)訪問控制入侵檢測(cè) (eTrust Intrusion Detection) 使用 基本規(guī)那么定義可以訪問特定網(wǎng)絡(luò)資源的用戶，從而確保只對(duì)網(wǎng)絡(luò)資源進(jìn)展授權(quán)訪問。高級(jí)反病毒引擎能夠探測(cè)包含計(jì)算機(jī)病毒的網(wǎng)絡(luò)流量的病毒掃描引擎。它可以防止用戶在不知情的情況下下載受病毒感染的文件。從 CA web 站點(diǎn)可以得到最新和更新后的病毒特征碼。全面的攻擊模式庫(kù)入侵檢測(cè) eID 可以自動(dòng)探測(cè)來自網(wǎng)絡(luò)流量的攻擊模式即使是正在進(jìn)展中的攻擊。定期更新的攻

35、擊模式庫(kù) - 可以從 CA web 站點(diǎn)獲得 - 能夠確保入侵檢測(cè)保持最新。包檢測(cè)技術(shù)入侵檢測(cè) eID 在隱蔽模式下工作，攻擊者是覺察不到的。因?yàn)楹诳筒恢浪麄冋诒槐O(jiān)視，因此通常在未覺察的情況下被捕獲。URL 阻塞管理員可以指定不允許用戶訪問的 URL，從而防止了非工作性 Web 沖浪。內(nèi)容掃描管理員通過入侵檢測(cè) eID 可以定義策略對(duì)內(nèi)容進(jìn)展檢查。這可以防止在沒有授權(quán)的情況下通過電子郵件或 Web 發(fā)送敏感數(shù)據(jù)。網(wǎng)絡(luò)使用情況記錄入侵檢測(cè) eID 允許網(wǎng)絡(luò)管理員跟蹤最終用戶、應(yīng)用程序等的網(wǎng)絡(luò)使用情況。它有助于改進(jìn)網(wǎng)絡(luò)策略規(guī)劃和提供準(zhǔn)確的網(wǎng)絡(luò)收費(fèi)。集中化監(jiān)控網(wǎng)絡(luò)管理員可以從本地或遠(yuǎn)程監(jiān)控運(yùn)行入

36、侵檢測(cè) (eTrust Intrusion Detection) 的一個(gè)或多個(gè)站，在不同網(wǎng)絡(luò)段本地或遠(yuǎn)程上安裝了受中央站控制的入侵檢測(cè) (eTrust Intrusion Detection) 代理后，管理員可以根據(jù)收集到的合并信息查看報(bào)警和生成報(bào)告。遠(yuǎn)程管理遠(yuǎn)程用戶可以使用 TCP/IP 或者調(diào)制解調(diào)器連接訪問運(yùn)行入侵檢測(cè) (eTrust Intrusion Detection) 的站。在連接后，根據(jù)入侵檢測(cè) (eTrust Intrusion Detection) 管理員定義的權(quán)限, 用戶可以查看和監(jiān)控入侵檢測(cè) (eTrust Intrusion Detection)數(shù)據(jù)、更改規(guī)那么以及創(chuàng)

37、立報(bào)告。入侵記錄和分析入侵檢測(cè) (eTrust Intrusion Detection) 為捕獲信息和進(jìn)展分析提供了全面的系統(tǒng)功能。在安裝軟件并指定歸檔地點(diǎn)后，用戶可以定義在檔案中記錄會(huì)話的規(guī)那么。然后用戶可以通過瀏覽器過濾、排序和查看歸檔信息，并創(chuàng)立詳細(xì)的報(bào)告。 入侵檢測(cè) eID 代表了最新一代企業(yè)網(wǎng)絡(luò)保護(hù)技術(shù)，具有前所未有的訪問控制、用戶透明性、高性能、靈活性、適應(yīng)性及易用性等。它提供給企業(yè)一個(gè)易于部署的網(wǎng)絡(luò)保護(hù)方案。CA認(rèn)證與SSL加密CA的作用數(shù)字證書能為你做什么 ：個(gè)人數(shù)字證書是網(wǎng)友進(jìn)入21世紀(jì)的必需品。網(wǎng)上證券少不了它；網(wǎng)上繳款不能沒有它；進(jìn)入全球知名網(wǎng)站，更不得沒有它。它簡(jiǎn)單易懂

38、、安裝容易，它比“卡還要重要，是您身份的表征，網(wǎng)絡(luò)新貴的識(shí)別證。現(xiàn)今不管X、Y、Z世代，您皮夾中至少必備四五張卡提款卡、萬事達(dá)卡、威士卡、會(huì)員卡、金卡、普卡、 卡、保健卡.)，因?yàn)槟壳笆恰翱ǖ臅r(shí)代。而在網(wǎng)際路上，您如果沒有數(shù)字證書，不管您外表多young、多炫，多酷，依舊是寸步難行。因?yàn)椤耙蛔C在手，走遍天下的時(shí)代已經(jīng)到來。CA為了更好地滿足客戶的需要，給客戶提供更大的便利，設(shè)計(jì)開發(fā)的通用證書系統(tǒng)使得一證多用成為可能。數(shù)字證書和電子商務(wù)的關(guān)系電子商務(wù)正以不可逆轉(zhuǎn)之勢(shì)席卷全球的各行各業(yè)，但世界各地也面臨著共同的阻礙電子商務(wù)的安全問題，必須要采用先進(jìn)的安全技術(shù)對(duì)網(wǎng)上的數(shù)據(jù)、信息發(fā)送方、接收方進(jìn)展身份

39、確認(rèn)，以保證各方信息傳遞的安全性、完整性、可靠性和交易的不可抵賴性。以數(shù)字證書為核心的身份認(rèn)證、數(shù)字簽名、數(shù)字信封等數(shù)字加密技術(shù)是目前通用可行的安全問題解決方案。數(shù)字安全證書建設(shè)了一套嚴(yán)密的身份認(rèn)證系統(tǒng)，可以確保電子商務(wù)的安全性。信息的保密性交易中的商務(wù)信息均有保密的要求.如信用卡的帳號(hào)和用戶名被人知悉,就可能被盜用,訂貨和付款的信息被競(jìng)爭(zhēng)對(duì)手得悉,就可能喪失商機(jī)。因此在電子商務(wù)的信息傳播中一般均有加密的要求。交易者身份確實(shí)定性網(wǎng)上交易的雙方很可能素昧平生,相隔千里。要使交易成功首先要能確認(rèn)對(duì)方的身份,對(duì)商家要考慮客戶端不能是騙子,而客戶也會(huì)擔(dān)憂網(wǎng)上的商店不是一個(gè)玩弄欺詐的黑店.因此能方便而可

40、靠地確認(rèn)對(duì)方身份是交易的前提。對(duì)于為顧客或用戶開展服務(wù)的銀行、信用卡公司和銷售商店，為了做到安全、保密、可靠地開展服務(wù)活動(dòng)，都要進(jìn)展身份認(rèn)證的工作。對(duì)有關(guān)的銷售商店來說，他們對(duì)顧客所用的信用卡的號(hào)碼是不知道的，商店只能把信用卡確實(shí)認(rèn)工作完全交給銀行來完成。銀行和信用卡公司可以采用各種保密與識(shí)別方法，確認(rèn)顧客的身份是否合法，同時(shí)還要防止發(fā)生拒付款問題以及確認(rèn)訂貨和訂貨收據(jù)信息等。 不可否認(rèn)性由于商情的千變?nèi)f化,交易一旦達(dá)成是不能被否認(rèn)的。否那么必然會(huì)損害一方的利益.例如訂購(gòu)黃金,訂貨時(shí)金價(jià)較低，但收到訂單后，金價(jià)上漲了，如收單方能否認(rèn)受到訂單的實(shí)際時(shí)間，甚至否認(rèn)收到訂單的事實(shí)，那么訂貨方就會(huì)蒙受

41、損失。因此電子交易通信過程的各個(gè)環(huán)節(jié)都必須是不可否認(rèn)的。不可修改性交易的文件是不可被修改的，如上例所舉的訂購(gòu)黃金。供貨單位在收到訂單后，發(fā)現(xiàn)金價(jià)大幅上漲了，如其能改動(dòng)文件內(nèi)容，將訂購(gòu)數(shù)1噸改為1克，那么可大幅受益，那么訂貨單位可能就會(huì)因此而蒙受損失。因此電子交易文件也要能做到不可修改，以保障交易的嚴(yán)肅和公正。CA系統(tǒng)簡(jiǎn)介人們?cè)诟锌娮由虅?wù)的巨大潛力的同時(shí)，不得不冷靜地思考，在人與人不見面的計(jì)算機(jī)互聯(lián)網(wǎng)上進(jìn)展交易和作業(yè)時(shí)， 怎么才能保證交易的公正性和安全性，保證交易方身份的真實(shí)性。國(guó)際上已經(jīng)有比較成熟的安全解決方案，那就是建設(shè)安全證書體系構(gòu)造。數(shù)字安全證書提供了一種在網(wǎng)上驗(yàn)證身份的方式。安全證書

42、體制主要采用了公開密鑰體制，其它還包括對(duì)稱密鑰加密、數(shù)字簽名、數(shù)字信封等技術(shù)。 我們可以使用數(shù)字證書，通過運(yùn)用對(duì)稱和非對(duì)稱密碼體制等密碼技術(shù)建設(shè)起一套嚴(yán)密的身份認(rèn)證系統(tǒng)，從而保證：信息除發(fā)送方和接收方外不被其它人竊取；信息在傳輸過程中不被篡改；發(fā)送方能夠通過數(shù)字證書來確認(rèn)接收方的身份；發(fā)送方對(duì)于自己的信息不能抵賴。系統(tǒng)特性高強(qiáng)度加密和認(rèn)證 Universal CA采用基于RSA 加密算法的公鑰體系加密和認(rèn)證，可以生成512、768、1024位三種不同密鑰的長(zhǎng)度的證書，確保證書的安全性和可靠性。多種生成證書的方法 由用戶的請(qǐng)求文件生成證書。在服務(wù)器端由管理員為用戶生成證書。利用已有的數(shù)據(jù)庫(kù)為用戶

43、生成證書。Universal CA 可以以上述三種方法生成證書，使用戶應(yīng)用極為方便。支持國(guó)際互聯(lián)網(wǎng)Universal CA發(fā)放的證書不依賴于固定的內(nèi)部用戶，只需一個(gè)Email地址即可實(shí)現(xiàn)證書的申請(qǐng)及應(yīng)用，因此具有廣泛的應(yīng)用性。 具有同其他系統(tǒng)交換數(shù)據(jù)的能力Universal CA 后臺(tái)應(yīng)用了東大阿爾派自主版權(quán)的數(shù)據(jù)庫(kù)Oopenbase可以實(shí)現(xiàn)證書的海量管理，并具有同其他系統(tǒng)交換數(shù)據(jù)的能力，這使得系統(tǒng)具有良好的開放性與通用性。易使用、功能強(qiáng) Universal CA運(yùn)行在Windows環(huán)境下,將各種復(fù)雜操作屏蔽于后臺(tái)，前臺(tái)界面簡(jiǎn)單，且支持請(qǐng)求、證書的批量操作，以及可以實(shí)現(xiàn)過期證書的自動(dòng)撤消。CA

44、機(jī)構(gòu)，又稱為證書授證(Certificate Authority)中心，作為電子商務(wù)交易中受信任和具有權(quán)威性的第三方，承擔(dān)公鑰體系中公鑰的合法性檢驗(yàn)的責(zé)任。CA中心為每個(gè)使用公開密鑰的客戶發(fā)放數(shù)字證書，數(shù)字證書的作用是證明證書中列出的客戶合法擁有證書中列出的公開密鑰。CA機(jī)構(gòu)的數(shù)字簽名使得第三者不能偽造和篡改證書。它負(fù)責(zé)產(chǎn)生、分配并管理所有參與網(wǎng)上信息交換各方所需的數(shù)字證書，因此是安全電子信息交換的核心。為保證客戶之間在網(wǎng)上傳遞信息的安全性、真實(shí)性、可靠性、完整性和不可抵賴性，不僅需要對(duì)客戶的身份真實(shí)性進(jìn)展驗(yàn)證，也需要有一個(gè)具有權(quán)威性、公正性、唯一性的機(jī)構(gòu)，負(fù)責(zé)向電子商務(wù)的各個(gè)主體頒發(fā)并管理符

45、合國(guó)內(nèi)、國(guó)際安全電子交易協(xié)議標(biāo)準(zhǔn)的安全證書。數(shù)字證書管理中心是保證電子商務(wù)安全的根基設(shè)施。它負(fù)責(zé)電子證書的申請(qǐng)、簽發(fā)、制作、廢止、認(rèn)證和管理，提供網(wǎng)上客戶身份認(rèn)證、數(shù)字簽名、電子公證、安全電子郵件等服務(wù)等業(yè)務(wù)。CA為電子商務(wù)服務(wù)的證書中心，是PKIPublic Key Infrastructure體系的核心。它為客戶的公開密鑰簽發(fā)公鑰證書、發(fā)放證書和管理證書，并提供一系列密鑰生命周期內(nèi)的管理服務(wù)。它將客戶的公鑰與客戶的名稱及其他屬性關(guān)聯(lián)起來，為客戶之間電子身份進(jìn)展認(rèn)證。證書中心是一個(gè)具有權(quán)威性、可信賴性和公證性的第三方機(jī)構(gòu)。它是電子商務(wù)存在和開展的根基。認(rèn)證中心在密碼管理方面的作用如下：自身密

46、鑰的產(chǎn)生、存儲(chǔ)、備份/恢復(fù)、歸檔和銷毀從根CA開場(chǎng)到直接給客戶發(fā)放證書的各層次CA，都有其自身的密鑰對(duì)。CA中心的密鑰對(duì)一般由硬件加密服務(wù)器在機(jī)器內(nèi)直接產(chǎn)生，并存儲(chǔ)于加密硬件內(nèi)，或以一定的加密形式存放于密鑰數(shù)據(jù)庫(kù)內(nèi)。加密備份于IC卡或其他存儲(chǔ)介質(zhì)中，并以高等級(jí)的物理安全措施保護(hù)起來。密鑰的銷毀要以安全的密鑰沖寫標(biāo)準(zhǔn)，徹底去除原有的密鑰痕跡。需要強(qiáng)調(diào)的是，根CA密鑰的安全性至關(guān)重要，它的泄露意味著整個(gè)公鑰信任體系的崩潰，所以CA的密鑰保護(hù)必須按照最高安全級(jí)的保護(hù)方式來進(jìn)展設(shè)置和管理。為認(rèn)證中心與各地注冊(cè)審核發(fā)放機(jī)構(gòu)的安全加密通信提供安全密鑰管理服務(wù)。在客戶證書的生成與發(fā)放過程中，除了有CA中心外

47、，還有注冊(cè)機(jī)構(gòu)、審核機(jī)構(gòu)和發(fā)放機(jī)構(gòu)對(duì)于有外部介質(zhì)的證書的存在。行業(yè)使用范圍內(nèi)的證書，其證書的審批控制，可由獨(dú)立于CA中心的行業(yè)審核機(jī)構(gòu)來完成。CA中心在與各機(jī)構(gòu)進(jìn)展安全通信時(shí)，可采用多種手段。對(duì)于使用證書機(jī)制的安全通信，各機(jī)構(gòu)通信端的密鑰產(chǎn)生、發(fā)放與管理維護(hù)，都可由CA中心來完成。確定客戶密鑰生存周期，實(shí)施密鑰撤消和更新管理。每一張客戶公鑰證書都會(huì)有有效期，密鑰對(duì)生命周期的長(zhǎng)短由簽發(fā)證書的CA中心來確定。各CA系統(tǒng)的證書有效期限有所不同，一般大約為23年。密鑰更新不外為以下兩種情況：密鑰對(duì)到期、密鑰泄露后需要啟用新的密鑰對(duì)證書撤消。密鑰對(duì)到期時(shí)，客戶一般事先非常清楚，可以采用重新申請(qǐng)的方式實(shí)施

48、更新。采用證書的公鑰撤消，是通過撤消公鑰證書來實(shí)現(xiàn)的。公鑰證書的撤消來自于兩個(gè)方向，一個(gè)是上級(jí)的主動(dòng)撤消，另一個(gè)是下級(jí)主動(dòng)申請(qǐng)證書的撤消。當(dāng)上級(jí)CA對(duì)下級(jí)CA不能信賴時(shí)如上級(jí)發(fā)現(xiàn)下級(jí)CA的私鑰有泄露的可能，它可以主動(dòng)停頓下級(jí)CA公鑰證書的合法使用。當(dāng)客戶發(fā)現(xiàn)自己的私鑰泄露時(shí)，也可主動(dòng)申請(qǐng)公鑰證書的撤消，防止其他客戶繼續(xù)使用該公鑰來加密重要信息，而使非法客戶有盜取機(jī)密的可能。一般而言，在電子商務(wù)實(shí)際應(yīng)用中，可能會(huì)較少出現(xiàn)私鑰泄露的情況，多數(shù)情況是由于某個(gè)客戶由于組織變動(dòng)而調(diào)離該單位，需要提前撤消代表企業(yè)身份的該客戶的證書。提供密鑰生成和分發(fā)服務(wù)。CA中心可為客戶提供密鑰對(duì)的生成服務(wù)，它采用集中或

49、分布式的方式進(jìn)展。在集中的情形下，CA中心可使用硬件加密服務(wù)器，為多個(gè)客戶申請(qǐng)成批的生成密鑰對(duì)，然后采用安全的信道分發(fā)給客戶。也可由多個(gè)注冊(cè)機(jī)構(gòu)RA分布生成客戶密鑰對(duì)并分發(fā)給客戶。提供密鑰托管和密鑰恢復(fù)服務(wù)。CA中心可根據(jù)客戶的要求提供密鑰托管服務(wù)，備份和管理客戶的加密密鑰對(duì)。當(dāng)客戶需要時(shí)可以從密鑰庫(kù)中提出客戶的加密密鑰對(duì)，為客戶恢復(fù)其加密密鑰對(duì)，以解開先前加密的信息。這種情形下，CA中心的密鑰管理器，采用對(duì)稱加密方式對(duì)各個(gè)客戶私鑰進(jìn)展加密，密鑰加密密鑰在加密后即銷毀，保證了私鑰存儲(chǔ)的安全性。密鑰恢復(fù)時(shí)，采用相應(yīng)的密鑰恢復(fù)模塊進(jìn)展解密，以保證客戶的私鑰在恢復(fù)時(shí)沒有任何風(fēng)險(xiǎn)和不安全因素。同時(shí)，C

50、A中心也應(yīng)有一套備份庫(kù)，防止密鑰數(shù)據(jù)庫(kù)的意外毀壞而無法恢復(fù)客戶私鑰。其他密鑰生成和管理、密碼運(yùn)算功能。CA中心在自身密鑰和客戶密鑰管理方面的特殊地位和作用，決定了它具有主密鑰、多級(jí)密鑰加密密鑰等多種密鑰的生成和管理功能。對(duì)于為客戶提供公鑰信任、管理和維護(hù)整個(gè)電子商務(wù)密碼體系的CA中心來講，其密鑰管理工作是一項(xiàng)十分復(fù)雜的任務(wù)，它涉及到CA中心自身的各個(gè)安全區(qū)域和部件、注冊(cè)審核機(jī)構(gòu)以及客戶端的安全和密碼管理策略。SSL加密SSL是一種國(guó)際標(biāo)準(zhǔn)的加密及身份認(rèn)證通信協(xié)議，您用的瀏覽器就支持此協(xié)議。SSLSecure Sockets Layer最初是由美國(guó)Netscape公司研究出來的，后來成為了Int

51、ernet網(wǎng)上安全通訊與交易的標(biāo)準(zhǔn)。SSL協(xié)議使用通訊雙方的客戶證書以及CA根證書，允許客戶/服務(wù)器應(yīng)用以一種不能被偷聽的方式通訊，在通訊雙方間建設(shè)起了一條安全的、可信任的通訊通道。它具備以下 基本特征：信息保密性、信息完整性、相互鑒定。SSLSecure Socket Layer：安全套接層協(xié)議 SSL協(xié)議是由Netscape首先發(fā)表的網(wǎng)絡(luò)資料安全傳輸協(xié)定,其首要目的是在兩個(gè)通信間提供秘密而可靠的連接。該協(xié)議由兩層組成，底層是建設(shè)在可靠的傳輸協(xié)議例如：TCP上的是SSL的記錄層，用來封裝高層的協(xié)議。SSL握手協(xié)議準(zhǔn)許服務(wù)器端與客戶端在開場(chǎng)傳輸數(shù)據(jù)前，能夠通過特定的加密算法相互鑒別。SSL的先

52、進(jìn)之處在于它是一個(gè)獨(dú)立的應(yīng)用協(xié)議，其它更高層協(xié)議能夠建設(shè)在SSL協(xié)議上。 目前大局部的Web Server及Browser大多支持SSL的資料加密傳輸協(xié)定。因此，可以利用這個(gè)功能，將局部具有機(jī)密性質(zhì)的網(wǎng)頁(yè)設(shè)定在加密的傳輸模式，如此即可防止資料在網(wǎng)絡(luò)上傳送時(shí)被其他人竊聽。 SSL是利用公開密鑰的加密技術(shù)RSA來作為用戶端與主機(jī)端在傳送機(jī)密資料時(shí)的加密通訊協(xié)定。目前，大局部的Web Server及Browser都廣泛使用SSL 技術(shù)。 對(duì)消費(fèi)者而言，SSL已經(jīng)解決了大局部的問題。但是，對(duì)電子商務(wù)而言問題并沒有完全解決，因?yàn)镾SL只做能到資料保密，廠商無法確定是誰填下了這份資料，即使這一點(diǎn)做到了，還

53、有和銀行清算的問題。SSL是目前在網(wǎng)上購(gòu)物網(wǎng)站中最常使用的一種安全協(xié)議，它主要的設(shè)計(jì)目的在于確保信息在網(wǎng)際網(wǎng)絡(luò)上流通的安全性，讓主從式構(gòu)造的應(yīng)用程序如瀏覽器與web服務(wù)器能夠安全地進(jìn)展溝通。當(dāng)然，這里的安全指的是信息不被偽造，不被網(wǎng)絡(luò)上的黑客中途攔劫解毒及擅自更改。SSL的協(xié)議中結(jié)合了許多密碼學(xué)的技術(shù)，其中包括：1信息加解密。2數(shù)字簽名與簽證技術(shù)。除此之外，在進(jìn)展安全聯(lián)機(jī)之前，SSL會(huì)先采取“握手Handshaking的動(dòng)作，以確保網(wǎng)絡(luò)上通信的雙方都能夠按部就班的根據(jù)預(yù)定步驟建設(shè)起兩者之間的安全通道。SSL可以提供以下三種安全防護(hù)：數(shù)據(jù)的機(jī)密性與完整性：主要是通過數(shù)據(jù)的加解密來實(shí)現(xiàn)。1服務(wù)器端

54、的個(gè)體識(shí)別服務(wù)：利用服務(wù)器的數(shù)字證書來驗(yàn)證商店的資格，這是必要的手續(xù)，如此我們才能保證商店的有效性。2客戶端的個(gè)體識(shí)別服務(wù)：同樣是通過客戶自己的數(shù)字證書來完成。但這個(gè)服務(wù)并不是必要的，可根據(jù)需求來設(shè)置。以網(wǎng)上購(gòu)物的例子來說，為了不讓網(wǎng)絡(luò)上的第三者看到我們的信用卡數(shù)據(jù)，因此必須先將數(shù)據(jù)加密之后再傳送，而當(dāng)數(shù)據(jù)到達(dá)對(duì)方服務(wù)器時(shí)再將數(shù)據(jù)解密，同時(shí)檢查數(shù)據(jù)是否有被他人更改正，如果發(fā)現(xiàn)任何的錯(cuò)誤，那么這份數(shù)據(jù)就不會(huì)被承受。3除此之外，SSL也利用數(shù)字證書的方法類確定商店的資格。因此商家如果想要提供網(wǎng)上交易的服務(wù)，他必須先向認(rèn)證中心是、提出商店的合法證明，如營(yíng)業(yè)執(zhí)照，負(fù)責(zé)人等等不同的餓認(rèn)證中心所要求的文件

55、可能不同。檢查通過后才能取得數(shù)字證書。SSL內(nèi)部使用的是RSA公司所授權(quán)的公開金鑰加密法，服務(wù)器必須申請(qǐng)屬于自己的數(shù)字證書，加裝到服務(wù)器中作為識(shí)別之用。如此一來，一個(gè)加裝SSL的服務(wù)器便可以與支持SSL的瀏覽器相互傳送機(jī)密數(shù)據(jù)了，即使是internet也不同擔(dān)憂。SSL協(xié)議運(yùn)行的基點(diǎn)是商家對(duì)客戶信息保密的承諾。SSL協(xié)議有利于商家而不利于客戶?？蛻舻男畔⑹紫葌鞯缴碳?，商家閱讀后再傳到銀行，這樣，客戶資料的安全性便受到威脅。商家認(rèn)證客戶是必要時(shí)，但整個(gè)過程中缺少了客戶對(duì)商家的認(rèn)證。在電子商務(wù)的開場(chǎng)階段，由于參與電子商務(wù)的公司大都是一些大公司，信譽(yù)較高，這個(gè)問題沒有引起人們的重視。隨著電子商務(wù)參與

56、的廠商迅速增加，對(duì)廠商的認(rèn)證問題越來越突出，SSL協(xié)議的缺點(diǎn)完全暴露出來。SSL協(xié)議逐漸被新的SET協(xié)議所取代。目前我國(guó)開發(fā)的電子支付系統(tǒng)，無論是中國(guó)銀行的長(zhǎng)城卡電子支付系統(tǒng)，還是上海長(zhǎng)途電信局的網(wǎng)上支付系統(tǒng)，均沒有采用SSL協(xié)議。主要原因就是無法保證客戶資金的安全性。防病毒系統(tǒng)計(jì)算機(jī)病毒是附屬在其它文件上的一種程序，可以自行復(fù)制。計(jì)算機(jī)病毒十分有害，如果沒有檢測(cè)和防護(hù)，用戶經(jīng)常不知道自己感染上病毒，直到病毒發(fā)作并產(chǎn)生危害。病毒中的破壞進(jìn)程可以格式化硬盤、破壞分區(qū)表或占用計(jì)算機(jī)資源。病毒十分流行。事實(shí)上，目前世界上已存在超過10,000種，計(jì)算機(jī)存在病毒的比率高達(dá)35-85%，中國(guó)、香港、臺(tái)灣

57、為高發(fā)區(qū)。盡管病毒在Apple機(jī)和PC上都存在, 但在PC系統(tǒng)中更為廣泛，這是因?yàn)镸S-DOS構(gòu)造使用中斷和向量表，編寫病毒相對(duì)容易。去除病毒十分困難。據(jù)分析，對(duì)于數(shù)據(jù)喪失，病毒發(fā)作的損失在US$2000-50，000,而恢復(fù)數(shù)據(jù)的代價(jià)十分昂貴甚至不可能，而且去除后病毒還可能再感染。因此, 每個(gè)用戶有50%的可能感染病毒并招致?lián)p失。大的計(jì)算機(jī)網(wǎng)絡(luò)幾乎必然被病毒感染。病毒的類型介質(zhì)病毒病毒可分為兩類：文件型和引導(dǎo)型。文件型病毒駐留在另一個(gè).EXE或.COM文件中，當(dāng)文件執(zhí)行時(shí)截取系統(tǒng)控制，并將自身附加到另外的文件上。引導(dǎo)型駐留在軟盤或硬盤的引導(dǎo)區(qū)，在系統(tǒng)啟動(dòng)時(shí)裝入內(nèi)存，然后監(jiān)視DOS中斷并感染插

58、在軟驅(qū)中的磁盤。有兩種病毒不容易被檢測(cè)：隱身病毒和多態(tài)病毒。隱身病毒使用DOS中斷，并不斷變換方式，避開文件大小監(jiān)測(cè)。多態(tài)病毒目前很多，在傳染時(shí)修改本身的版本，使根據(jù)模式掃描的病毒檢測(cè)程序無能為力。最初，大約80%的病毒是引導(dǎo)型病毒。隨著Internet的普及，文件型病毒變得越來越多。另外，一種新型的文件病毒感染文檔和圖表的病毒，被稱作宏病毒，使用文字處理器和表格中的編碼，是目前最多的病毒。這種病毒通過電子郵件的附件快速傳染，躲過了許多只檢查.EXE和.COM文件的防病毒程序。網(wǎng)絡(luò)病毒網(wǎng)絡(luò)病毒的特性通過攻擊操作系統(tǒng)或應(yīng)用軟件的安全漏洞來獲得控制權(quán)在本地硬盤上并不留下文件由于其在網(wǎng)絡(luò)上進(jìn)展掃描的

59、動(dòng)作，可能會(huì)引起嚴(yán)重的網(wǎng)絡(luò)負(fù)載如果攻擊是屬于常規(guī)的應(yīng)用，例如SQL, IIS等就可能穿過防火墻木馬病毒木馬病毒有可能洗劫用戶網(wǎng)上銀行存款、造成網(wǎng)絡(luò)游戲玩家裝備喪失、被黑客利用執(zhí)行不法行為等。如今，針對(duì)以上各種現(xiàn)象的危害越來越多，木馬病毒已成為威脅數(shù)字娛樂的大敵。根據(jù)木馬病毒的特點(diǎn)與其危害范圍來講，木馬病毒又分為以下五大類別：針對(duì)網(wǎng)游的木馬病毒、針對(duì)網(wǎng)上銀行的木馬病毒、針對(duì)即時(shí)通訊工具的木馬病毒、給計(jì)算機(jī)開后門的木馬病毒、推廣廣告的木馬病毒。 病毒的檢測(cè)客戶端防病毒軟件安裝在客戶計(jì)算機(jī)上，當(dāng)用戶啟動(dòng)計(jì)算機(jī)時(shí)或用戶手動(dòng)運(yùn)行時(shí)檢查硬盤或軟盤。好的桌面產(chǎn)品使用多種檢測(cè)方式，例如監(jiān)視病毒的行為如格式化硬

60、盤、根據(jù)病毒代碼庫(kù)比較文件、檢查無法解釋的文件大小改變等。但是，客戶端防病毒軟件有一個(gè)致命弱點(diǎn)：只是在用戶使用時(shí)周期地檢測(cè)病毒，對(duì)下載的、或其他方式傳輸?shù)奈募敲床粰z測(cè)，而這些文件可能帶有病毒。另外，每個(gè)客戶端要同時(shí)安裝防病毒軟件，更新、維護(hù)十分麻煩。因此，出現(xiàn)了網(wǎng)絡(luò)防病毒軟件，駐留在網(wǎng)絡(luò)服務(wù)器上，運(yùn)行于NetWare或Windows NT環(huán)境，對(duì)通過服務(wù)器傳遞的文件病毒進(jìn)展檢測(cè)。服務(wù)器防病毒軟件比客戶端防病毒軟件效率提高了很多，可以集中管理病毒防范、經(jīng)常掃描文件病毒，并及時(shí)更新病毒庫(kù)。然而，文件服務(wù)器型防病毒軟件也有一些缺點(diǎn)：很強(qiáng)的網(wǎng)絡(luò)服務(wù)器防病毒功能，客戶端那么沒有，對(duì)于不通過文件服務(wù)器的