電子商務(wù)安全解決方案

第10章電子商務(wù)安全解決方案 學(xué)習(xí)目標(biāo)與要求 了解實(shí)施安全解決方案的必要性 了解VeriSign 浪潮SSR 惠普等公司的電子商務(wù)安全解決方案 結(jié)合一個(gè)綜合電子商務(wù)安全解決方案 了解電子商務(wù)安全解決方案的實(shí)施步驟 導(dǎo)入案例 提起服裝B2C 不能不提到凡客誠(chéng)品 年銷售額從0到20億元 凡客誠(chéng)品僅僅用了3年時(shí)間 凡客誠(chéng)品令許多耗費(fèi)近20年時(shí)間才達(dá)到同等規(guī)模的服裝企業(yè)嘆服不已 從貨到付款 30天無(wú)條件退換貨 眾多保障活動(dòng)的推行 讓凡客得以快速增長(zhǎng) 2010年銷售額達(dá)到20億元人民幣 服裝銷量增加三倍 達(dá)3000萬(wàn)件 本章主要內(nèi)容 VeriSign的服務(wù)器數(shù)字ID安全解決方案浪潮SSR的電子商務(wù)安全解決方案惠普 HP 公司的電子商務(wù)安全解決方案一個(gè)綜合性的電子商務(wù)安全解決方案 10 1VeriSign的服務(wù)器數(shù)字ID安全解決方案 1 數(shù)字ID的原理2 服務(wù)器數(shù)字ID安全解決方案 返回 10 1VeriSign的服務(wù)器數(shù)字ID安全解決方案 1 數(shù)字ID的原理數(shù)字ID的原理數(shù)字ID成為最佳解決方案的原因VeriSign數(shù)字ID的特色VeriSign數(shù)字ID的應(yīng)用 返回 10 1VeriSign的服務(wù)器數(shù)字ID安全解決方案 2 服務(wù)器數(shù)字ID安全解決方案申請(qǐng)服務(wù)器數(shù)字ID使用服務(wù)器數(shù)字ID保護(hù)站點(diǎn)使用數(shù)字ID進(jìn)行服務(wù)器鑒定使用數(shù)字ID識(shí)別網(wǎng)站的訪問(wèn)者 返回 10 2浪潮SSR的電子商務(wù)安全解決方案 SSR產(chǎn)品介紹增量備份SSR產(chǎn)品部署SSR保護(hù)WEB服務(wù)器的安全措施方案總結(jié) 返回 10 2浪潮SSR的電子商務(wù)安全解決方案 SSR產(chǎn)品介紹增量備份 SSR是ServerSecurityReinforcement的縮寫 代表了浪潮專業(yè)的技術(shù)理念 浪潮致力于研究針對(duì)服務(wù)器領(lǐng)域的可信解決方案 幫助企業(yè) 政府的各種應(yīng)用服務(wù)器一勞永逸的解決安全問(wèn)題 返回 10 2浪潮SSR的電子商務(wù)安全解決方案 SSR產(chǎn)品部署 SSR的部署非常簡(jiǎn)單 作為一款服務(wù)器系統(tǒng)加固軟件 根據(jù)WEB服務(wù)器操作系統(tǒng)的類別 安裝對(duì)應(yīng)的SSR服務(wù)端即可實(shí)現(xiàn)部署 通過(guò)在管理服務(wù)器安裝客戶端實(shí)現(xiàn)對(duì)SSR的配置管理 SSR支持集中管理方式 可以對(duì)多個(gè)重要服務(wù)器進(jìn)行策略分發(fā) 日志查看 完整性檢測(cè)等操作 從而有效的節(jié)約了用戶的成本 工作的復(fù)雜性 并提高了工作效率 部署圖10 1所示 返回 10 2浪潮SSR的電子商務(wù)安全解決方案 SSR產(chǎn)品部署圖 10 2浪潮SSR的電子商務(wù)安全解決方案 SSR保護(hù)WEB服務(wù)器的安全措施 加強(qiáng)網(wǎng)站服務(wù)器身份認(rèn)證增強(qiáng)網(wǎng)站服務(wù)器安全網(wǎng)站服務(wù)器文件強(qiáng)制訪問(wèn)控制網(wǎng)站服務(wù)器注冊(cè)表強(qiáng)制訪問(wèn)控制網(wǎng)站服務(wù)器進(jìn)程強(qiáng)制訪問(wèn)控制網(wǎng)站服務(wù)器文件和服務(wù)完整性檢測(cè)網(wǎng)站數(shù)據(jù)加密和解密網(wǎng)站服務(wù)器資源監(jiān)控和報(bào)警網(wǎng)站服務(wù)器安全審計(jì)日志 返回 10 2浪潮SSR的電子商務(wù)安全解決方案方案總結(jié) 與傳統(tǒng)的防火墻 入侵檢測(cè)系統(tǒng)等基于對(duì)WEB服務(wù)器網(wǎng)絡(luò)防護(hù)的安全產(chǎn)品不同 服務(wù)器安全加固系統(tǒng)是基于對(duì)主機(jī)的內(nèi)核級(jí)安全增強(qiáng)防護(hù) 從安全防護(hù)的根源上解決安全問(wèn)題 相比其他安全防護(hù)系統(tǒng) 具有明顯的優(yōu)勢(shì) 相比于傳統(tǒng)安全防護(hù)設(shè)備 SSR不依靠特征庫(kù)和行為分析的方式查殺馬和阻止攻擊 對(duì)變異病毒和新的攻擊方式都有防護(hù)作用 提高了WEB服務(wù)器的防護(hù)級(jí)別 SSR基于內(nèi)核級(jí)的服務(wù)器加固方式 可以有效阻斷主流的難防御的針對(duì)WEB應(yīng)用的SQL注入 跨站腳本 XSS 攻擊以及比較隱蔽的ROOKIT攻擊等 SSR可以阻止從安全內(nèi)網(wǎng)發(fā)起的針對(duì)服務(wù)器的攻擊行為 全面解決內(nèi)網(wǎng)服務(wù)器安全問(wèn)題 三權(quán)分立 的服務(wù)器管理模式 減少了WEB服務(wù)器管理員本身泄密和破壞的風(fēng)險(xiǎn) 增強(qiáng)了服務(wù)器安全 WEB服務(wù)器系統(tǒng)核心資源基于進(jìn)程 用戶以及執(zhí)行文件白名單的授權(quán)方式和細(xì)粒度的權(quán)限控制 有效保護(hù)了網(wǎng)站的核心資源 即使黑客或者病毒在突破層層防線進(jìn)入服務(wù)器后 依然可以保證服務(wù)器的安全 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 HPDomainCommerce惠普提供的網(wǎng)上銀行安全解決方案 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 HPDomainCommerceHPDomainCommerce把業(yè)務(wù)關(guān)鍵性軟件組合在一起 以幫助企業(yè)向客戶提供更好的服務(wù) 并降低在Internet上的經(jīng)營(yíng)成本 HPDomainCommerce把強(qiáng)有力且應(yīng)用于可擴(kuò)縮平臺(tái)上的WebQos 支付 成像和管理等重要的電子商務(wù)功能組合在一起 從而幫助企業(yè)擴(kuò)展了它的核心業(yè)務(wù) HPDomainCommerce平臺(tái)包含下列技術(shù) 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 HPDomainCommerce平臺(tái)技術(shù) HPServiceControl 即WebQos技術(shù) 它通過(guò)峰值使用率管理 用戶級(jí)別和服務(wù)級(jí)別等技術(shù)提供可預(yù)料性和對(duì)Intenet商務(wù)交易的控制 HPDomain管理技術(shù) 該技術(shù)允許客戶通過(guò)Web瀏覽器對(duì)系統(tǒng) 網(wǎng)絡(luò)和電子商務(wù)應(yīng)用程序進(jìn)行集中管理 VeriFone的vPOSInternet安全支付技術(shù) 該技術(shù)提供以SSL協(xié)議和SET協(xié)議為基礎(chǔ)的Internet支付軟件 4 HPOpenPix成像技術(shù) 該技術(shù)能在Internet上實(shí)現(xiàn)以有效帶寬觀看 共享和打印高分辨率的圖像 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 惠普提供的網(wǎng)上銀行安全解決方案 惠普網(wǎng)上銀行安全解決方案在業(yè)界的地位惠普網(wǎng)上銀行安全解決方案描述其他安全服務(wù) 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 惠普網(wǎng)上銀行安全解決方案在業(yè)界的地位 惠普公司在電子商務(wù)領(lǐng)域一貫具有十分卓越的表現(xiàn) 在維護(hù)網(wǎng)上銀行安全方面也同樣具有豐富的實(shí)施經(jīng)驗(yàn) 并擁有大量的成功案例 世界上第一家網(wǎng)上銀行 美國(guó)安全第一網(wǎng)絡(luò)銀行就采用了惠普公司的網(wǎng)上銀行解決方案 目前惠普公司已經(jīng)在國(guó)內(nèi)外為眾多的客戶成功實(shí)施了網(wǎng)上銀行項(xiàng)目 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 惠普網(wǎng)上銀行安全解決方案描述 惠普公司建議網(wǎng)上銀行系統(tǒng)采用大區(qū)結(jié)構(gòu) 每個(gè)大區(qū)下設(shè)有一個(gè)區(qū)域性網(wǎng)上銀行中心 每個(gè)區(qū)域網(wǎng)上銀行中心服務(wù)于多個(gè)分行 當(dāng)然 也可以只建立一個(gè)全國(guó)性網(wǎng)上銀行中心 銀行主頁(yè)信息服務(wù)器負(fù)責(zé)提供銀行的主頁(yè)服務(wù) 其中包括與網(wǎng)上銀行系統(tǒng)主頁(yè)的鏈接 供客戶了解各種公共信息 如銀行概況 銀行提供的各種服務(wù)等內(nèi)容 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 惠普網(wǎng)上銀行安全解決方案構(gòu)成 網(wǎng)上銀行中心外部網(wǎng)頁(yè)服務(wù)器 該服務(wù)器提供網(wǎng)上銀行的相關(guān)信息 過(guò)濾路由器 過(guò)濾路由器除了作為Internet和銀行網(wǎng)絡(luò)之間的路由外 還將起到對(duì)流入銀行的數(shù)據(jù)流進(jìn)行過(guò)濾的作用 防火墻 防火墻是一道安全墻 它通常設(shè)立在Internet和Intranet之間 保護(hù)內(nèi)部網(wǎng)絡(luò)不受外界的入侵 并使得內(nèi)部的用戶可以安全地使用外部的各種資源 負(fù)載均衡器 負(fù)載均衡器能夠智能地平衡用戶流量負(fù)載 實(shí)時(shí)跟蹤網(wǎng)絡(luò)任務(wù)和服務(wù)器負(fù)荷 將每個(gè)任務(wù)分派到最適當(dāng)?shù)姆?wù)器 安全監(jiān)控工作站 安全監(jiān)控工作站用于對(duì)進(jìn)出本區(qū)域網(wǎng)上銀行中心的各種信息進(jìn)行網(wǎng)絡(luò)監(jiān)控 可為安全管理員提供可疑信息的報(bào)警 記錄和回放等功能 交易服務(wù)器 交易服務(wù)器是一個(gè)建立在符合美國(guó)國(guó)防部B1級(jí)安全標(biāo)準(zhǔn)的可信操作系統(tǒng) VirtualVaultOS 簡(jiǎn)稱VVOS 之上的安全的交易服務(wù)器 數(shù)據(jù)庫(kù)服務(wù)器 數(shù)據(jù)庫(kù)服務(wù)器是一個(gè)Unix服務(wù)器 其上運(yùn)行著數(shù)據(jù)庫(kù)管理系統(tǒng)軟件 該數(shù)據(jù)庫(kù)上存放的重要數(shù)據(jù) 客戶服務(wù)代表工作站 客戶服務(wù)代表工作站是供網(wǎng)上銀行中心客戶服務(wù)代表使用的主機(jī) 加密和通信網(wǎng)關(guān)服務(wù)器 加密和通信網(wǎng)關(guān)服務(wù)器負(fù)責(zé)廣域網(wǎng)的通信和加密 返回 10 3惠普 HP 公司的電子商務(wù)安全解決方案 其他安全服務(wù) 惠普公司和其合作伙伴還能夠?yàn)殂y行就網(wǎng)上銀行安全解決方案提供顧問(wèn)咨詢 專業(yè)培訓(xùn) 系統(tǒng)集成等服務(wù) 也可以根據(jù)不同的項(xiàng)目情況 采用非常靈活的合作方式進(jìn)行項(xiàng)目的開發(fā) 包括 項(xiàng)目管理PM 解決方案的快速定制和安裝 業(yè)務(wù)流程 業(yè)務(wù)動(dòng)作咨詢 現(xiàn)場(chǎng)顧問(wèn)支持 高可用性的安裝服務(wù) 技術(shù)轉(zhuǎn)移和培訓(xùn) 如HPVirtualVault培訓(xùn)等 響應(yīng)中心的熱線服務(wù) 返回 10 4一個(gè)綜合性的電子商務(wù)安全解決方案 電子商務(wù)安全策略網(wǎng)絡(luò)層安全解決方案應(yīng)用層安全解決方案方案總結(jié) 返回 10 4一個(gè)綜合性的電子商務(wù)安全解決方案 電子商務(wù)安全策略 電子商務(wù)安全策略的制定是一項(xiàng)重要的網(wǎng)絡(luò)安全任務(wù)其目標(biāo)是對(duì)電子商務(wù)的安全防護(hù)進(jìn)行整體規(guī)劃 安全策略是在一定時(shí)期一定條件下采取的安全措施 我們制定的安全策略必須和電子商務(wù)的實(shí)際應(yīng)用環(huán)境相結(jié)合 應(yīng)當(dāng)遵循適應(yīng)性 動(dòng)態(tài)性和系統(tǒng)性原則 實(shí)際工作中安全策略的具體內(nèi)容包括 對(duì)最終用戶進(jìn)行分類 確定被保護(hù)的資產(chǎn)安全級(jí)別 建立用戶口令規(guī)則 規(guī)定系統(tǒng)管理員的安全責(zé)任 對(duì)系統(tǒng)面臨的安全威脅進(jìn)行風(fēng)險(xiǎn)評(píng)估 選擇相應(yīng)的安全機(jī)制和安全技術(shù) 再配以強(qiáng)有力的跟蹤審計(jì)措施 從而形成一個(gè)全方位的安全系統(tǒng) 返回 10 4一個(gè)綜合性的電子商務(wù)安全解決方案 網(wǎng)絡(luò)層安全解決方案 網(wǎng)絡(luò)訪問(wèn)控制網(wǎng)絡(luò)入侵檢測(cè)和報(bào)警計(jì)算機(jī)病毒防護(hù)服務(wù)器安全客戶機(jī)安全 返回 10 4一個(gè)綜合性的電子商務(wù)安全解決方案 應(yīng)用層安全解決方案 采用身份認(rèn)證機(jī)制確保交易對(duì)象的安全驗(yàn)證用戶口令驗(yàn)證CA數(shù)字證書采用數(shù)據(jù)加密 數(shù)字簽名確保交易數(shù)據(jù)的安全采用支付協(xié)議確保支付過(guò)程的安全 返回 10 4一個(gè)綜合性的電子商務(wù)安全解決方案 方案總結(jié) 綜上所述 本文針對(duì)電子商務(wù)的各層次安全需求 提出了一個(gè)較為全面的電子商務(wù)安全解決方案 該方案從系統(tǒng)的角度對(duì)電子商務(wù)中的安全措施進(jìn)行了有機(jī)結(jié)合 并配備有效的管理策略和手段 從而有效提高了電子商