網(wǎng)絡(luò)信息安全保障方案

年5月29日網(wǎng)絡(luò)信息安全保障方案文檔僅供參考目錄TOC\o"1-4"\h\z\u1 網(wǎng)絡(luò)安全實(shí)施的難點(diǎn)分析 11.1 IT系統(tǒng)建設(shè)面臨的問(wèn)題 11.2 IT系統(tǒng)運(yùn)維面臨的問(wèn)題 22 系統(tǒng)安全 22.1 網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)分析 22.1.1 設(shè)備安全風(fēng)險(xiǎn)分析 22.1.2 網(wǎng)絡(luò)安全系統(tǒng)分析 32.1.3 系統(tǒng)安全風(fēng)險(xiǎn)分析 32.1.4 應(yīng)用安全風(fēng)險(xiǎn)分析 42.1.5 數(shù)據(jù)安全風(fēng)險(xiǎn)分析 42.2 網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì) 42.2.1 設(shè)備安全 42.2.2 網(wǎng)絡(luò)安全 42.2.3 系統(tǒng)安全 52.2.4 應(yīng)用安全 62.2.5 數(shù)據(jù)安全 62.3 系統(tǒng)的網(wǎng)絡(luò)安全設(shè)計(jì) 72.3.1 防火墻系統(tǒng) 7 防火墻的基本類型 7 常見(jiàn)攻擊方法 10 常見(jiàn)攻擊對(duì)策 102.3.2 VPN路由器 112.3.3 IDS入侵檢測(cè) 112.3.4 CA認(rèn)證與SSL加密 13 CA的作用 13 CA系統(tǒng)簡(jiǎn)介 14 SSL加密 172.3.5 防病毒系統(tǒng) 19 病毒的類型 19 病毒的檢測(cè) 22 防病毒建議方案 242.3.6 網(wǎng)站監(jiān)控與恢復(fù)系統(tǒng) 242.3.7 SAN網(wǎng)絡(luò)存儲(chǔ)/備份/災(zāi)難恢復(fù): 243 業(yè)務(wù)網(wǎng)絡(luò)安全設(shè)計(jì) 243.1 網(wǎng)絡(luò)安全設(shè)計(jì)原則 243.2 系統(tǒng)的安全設(shè)計(jì) 253.2.1 威脅及漏洞 253.2.2 計(jì)說(shuō)明 263.3 系統(tǒng)的安全設(shè)計(jì) 273.3.1 各業(yè)務(wù)系統(tǒng)的分離 273.3.2 敏感數(shù)據(jù)區(qū)的保護(hù) 283.3.3 通迅線路數(shù)據(jù)加密 293.3.4 防火墻自身的保護(hù) 303.3.5 網(wǎng)絡(luò)安全設(shè)計(jì) 31 設(shè)計(jì)說(shuō)明: 33網(wǎng)絡(luò)安全實(shí)施的難點(diǎn)分析IT系統(tǒng)建設(shè)面臨的問(wèn)題企業(yè)在IT系統(tǒng)建設(shè)過(guò)程中,往往面臨以下方面的問(wèn)題;其一:專業(yè)人員少,因?yàn)槿魏我粋€(gè)企業(yè)的IT系統(tǒng)建設(shè),往往都是為企業(yè)內(nèi)部使用,只有自己最為了解自己企業(yè)的需求,可是往往企業(yè)內(nèi)部的專業(yè)人員比較少。其二:經(jīng)驗(yàn)不足,專業(yè)性不強(qiáng),由于企業(yè)內(nèi)部的專業(yè)人員僅僅著眼于本企業(yè)自身的需求,項(xiàng)目實(shí)施的少,相應(yīng)的項(xiàng)目經(jīng)驗(yàn)欠缺專業(yè)性不強(qiáng);其三:效率不高,效果不好,應(yīng)為欠缺對(duì)系統(tǒng)建設(shè)的系統(tǒng)知識(shí)和經(jīng)驗(yàn),總是在摸索著前進(jìn),在這個(gè)過(guò)程中,實(shí)施人員和使用人員的積極性就會(huì)降低,無(wú)法按照預(yù)期完成項(xiàng)目。IT系統(tǒng)運(yùn)維面臨的問(wèn)題系統(tǒng)安全網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)分析設(shè)備安全風(fēng)險(xiǎn)分析網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備、存儲(chǔ)設(shè)備的安全是保證網(wǎng)絡(luò)安全運(yùn)行的一個(gè)重要因素。為了保證網(wǎng)絡(luò)的安全而制定的安全策略都是由網(wǎng)絡(luò)設(shè)備執(zhí)行的,如果一些非網(wǎng)絡(luò)管理人員故意或無(wú)意對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行非法操作,勢(shì)必會(huì)對(duì)網(wǎng)絡(luò)的安全造成影響,甚至是重大的安全事故。因此,沒(méi)有網(wǎng)絡(luò)設(shè)備的安全,網(wǎng)絡(luò)設(shè)備的安全就無(wú)從談起。因此,必須從多個(gè)層面來(lái)保證網(wǎng)絡(luò)設(shè)備的安全。網(wǎng)絡(luò)安全系統(tǒng)分析網(wǎng)絡(luò)層位于系統(tǒng)平臺(tái)的最低層,是信息訪問(wèn)、共享、交流和發(fā)布的必由之路,也是黑客(或其它攻擊者)等進(jìn)行其截獲、竊聽(tīng)竊取信息、篡改信息、偽造和冒充等攻擊的必由之路。因此,網(wǎng)絡(luò)層所面臨的安全風(fēng)險(xiǎn)威脅是整個(gè)系統(tǒng)面臨的主要安全風(fēng)險(xiǎn)之一。網(wǎng)絡(luò)層的安全風(fēng)險(xiǎn)包括以下幾方面:黑客攻擊外網(wǎng)經(jīng)過(guò)防火墻與Internet公眾網(wǎng)相連,因此Internet上的各種各樣的黑客攻擊、病毒傳播等都可能威脅到系統(tǒng)的安全。其存在的安全風(fēng)險(xiǎn)主要是黑客攻擊,竊取或篡改重要信息,攻擊網(wǎng)站等。許多機(jī)器臨時(shí)性(甚至經(jīng)常性的)連接到外網(wǎng)上或直接連接到Internet上。這樣Internet上的黑客或敵對(duì)勢(shì)力使用木馬等黑客攻擊手段,就能夠?qū)⒃搯T工機(jī)器用作一個(gè)偵察站。網(wǎng)內(nèi)可能存在的相互攻擊由于公司內(nèi)網(wǎng)中的各級(jí)網(wǎng)絡(luò)互連,這些設(shè)備在網(wǎng)絡(luò)層是能夠互通的,在沒(méi)有任何安全措施的情況下,一個(gè)單位的用戶能夠連接到另一個(gè)單位使用的機(jī)器,訪問(wèn)其中的數(shù)據(jù)。這樣就會(huì)造成網(wǎng)絡(luò)間的互相病毒等其它因素引起的網(wǎng)絡(luò)攻擊。系統(tǒng)安全風(fēng)險(xiǎn)分析系統(tǒng)安全一般分為系統(tǒng)級(jí)軟件比如操作系統(tǒng)、數(shù)據(jù)庫(kù)等的安全漏洞、病毒防治。1、系統(tǒng)軟件安全漏洞系統(tǒng)級(jí)軟件比如操作系統(tǒng)、數(shù)據(jù)庫(kù)等總是存在著這樣那樣的安全漏洞,包括已發(fā)現(xiàn)或未發(fā)現(xiàn)的安全漏洞。2、病毒侵害計(jì)算機(jī)病毒一直是困擾每一個(gè)計(jì)算機(jī)用戶的重要問(wèn)題,一旦計(jì)算機(jī)程序被感染了病毒,它就有可能破壞掉用戶工作中的重要信息。網(wǎng)絡(luò)使病毒的傳播速度極大的加快,公司內(nèi)部網(wǎng)絡(luò)與Internet相連,這意味著每天可能受到來(lái)自世界各地的新病毒的攻擊。應(yīng)用安全風(fēng)險(xiǎn)分析基于B/S模式的業(yè)務(wù)系統(tǒng)由于身份認(rèn)證、數(shù)據(jù)傳輸、訪問(wèn)控制、授權(quán)、口令等存在安全隱患,從而對(duì)整個(gè)系統(tǒng)造成安全威脅。數(shù)據(jù)安全風(fēng)險(xiǎn)分析在系統(tǒng)中存放有的重要的數(shù)據(jù)。這些數(shù)據(jù)如被非法復(fù)制、篡改、刪除,或是因各種天災(zāi)人禍丟失,將威脅到數(shù)據(jù)的保密性、完整性和一致性。網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì)針對(duì)上面提到的種種安全風(fēng)險(xiǎn),對(duì)系統(tǒng)安全進(jìn)行設(shè)計(jì)。設(shè)備安全設(shè)備安全在這里主要指控制對(duì)交換機(jī)等網(wǎng)絡(luò)設(shè)備的訪問(wèn),包括物理訪問(wèn)和登錄訪問(wèn)兩種。針對(duì)訪問(wèn)的兩種方式采取以下措施:對(duì)基礎(chǔ)設(shè)施采取防火、防盜、防靜電、防潮措施。系統(tǒng)主機(jī)應(yīng)采用雙機(jī)熱備(主備/互備)方式,構(gòu)成集群系統(tǒng);系統(tǒng)關(guān)鍵通信設(shè)備應(yīng)考慮冗余備份;要求利用系統(tǒng)監(jiān)控工具,實(shí)時(shí)監(jiān)控系統(tǒng)中各種設(shè)備和網(wǎng)絡(luò)運(yùn)行狀態(tài),及時(shí)發(fā)現(xiàn)故障或故障苗頭,及時(shí)采取措施,排除故障,保障系統(tǒng)平穩(wěn)運(yùn)行。網(wǎng)絡(luò)安全為保障網(wǎng)絡(luò)安全,在網(wǎng)絡(luò)上要采取以下措施:設(shè)立防火墻。防火墻作為內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間的第一道屏障,一般用在企業(yè)網(wǎng)與Internet等公眾網(wǎng)之間的連接點(diǎn)處,防護(hù)來(lái)自外部的攻擊,并過(guò)濾掉不安全的服務(wù)請(qǐng)求和非法用戶進(jìn)入;在內(nèi)部系統(tǒng)的Web服務(wù)器到應(yīng)用服務(wù)器之間設(shè)置防火墻,防止來(lái)自內(nèi)部的攻擊和破壞,保證系統(tǒng)的安全;進(jìn)行入侵檢測(cè)。對(duì)計(jì)算機(jī)網(wǎng)絡(luò)和計(jì)算機(jī)系統(tǒng)的關(guān)鍵結(jié)點(diǎn)的信息進(jìn)行收集分析,檢測(cè)其中是否有違反安全策略的事件發(fā)生或攻擊跡象,并通知系統(tǒng)安全管理員。采用相應(yīng)技術(shù)和手段,保證網(wǎng)絡(luò)安全。對(duì)傳輸數(shù)據(jù)進(jìn)行加密,保障數(shù)據(jù)傳輸安全防止網(wǎng)頁(yè)的篡改;利用防護(hù)工具防止黑客篡改或非法破壞網(wǎng)頁(yè),保證網(wǎng)站網(wǎng)頁(yè)安全。針對(duì)防止網(wǎng)頁(yè)篡改,推薦使用InforGuard。InforGuard主要提供文件監(jiān)控保護(hù)功能,保證文件系統(tǒng)安全,防止被非法修改。InforGuard適用于網(wǎng)站網(wǎng)頁(yè)文件的安全保護(hù),解決了網(wǎng)站被非法修改的問(wèn)題,是一套安全、高效、簡(jiǎn)單、易用的網(wǎng)頁(yè)保護(hù)系統(tǒng);采用數(shù)字證書技術(shù)實(shí)現(xiàn)InforGuard的用戶管理,加強(qiáng)了對(duì)Web站點(diǎn)目錄的ftp用戶和口令的保護(hù),防止了ftp口令泄漏造成的安全隱患;經(jīng)過(guò)用戶操作日志提供對(duì)網(wǎng)頁(yè)文件更新過(guò)程的全程監(jiān)控。從而保證了網(wǎng)站網(wǎng)頁(yè)文件的絕對(duì)安全。定期進(jìn)行安全檢查,查補(bǔ)安全漏洞,采用漏洞掃描軟件對(duì)內(nèi)部服務(wù)器瀏覽器和所有網(wǎng)絡(luò)設(shè)備進(jìn)行漏洞掃描,及時(shí)彌補(bǔ)各類安全漏洞。系統(tǒng)安全應(yīng)用安全的解決往往依賴于網(wǎng)絡(luò)層、操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全,因此對(duì)系統(tǒng)級(jí)軟件的安全防范突顯其重要性;由于病毒經(jīng)過(guò)Internet網(wǎng),能夠在極短的時(shí)間內(nèi)傳到Internet的各個(gè)角落,而病毒對(duì)系統(tǒng)穩(wěn)定性和數(shù)據(jù)安全性的威脅眾所周知,因此對(duì)病毒的預(yù)防是一項(xiàng)十分重要的工作;同時(shí)對(duì)一些專用服務(wù)器的特別防護(hù)也是我們保證系統(tǒng)良好運(yùn)行的前提。下面就從系統(tǒng)漏洞防護(hù)、病毒防護(hù)和專用服務(wù)器防護(hù)等方面來(lái)闡述安全防范的措施。系統(tǒng)安全漏洞防護(hù):經(jīng)過(guò)系統(tǒng)掃描工具,定期檢查系統(tǒng)中與安全有關(guān)的軟件、資源、各廠商安全”補(bǔ)丁包”的情況,發(fā)現(xiàn)問(wèn)題及時(shí)報(bào)告并給出解決建議。病毒防護(hù):在內(nèi)網(wǎng)和外網(wǎng)中分別設(shè)置網(wǎng)絡(luò)防病毒軟件控制中心,安裝網(wǎng)絡(luò)版的防病毒控制臺(tái),在服務(wù)器系統(tǒng)和網(wǎng)絡(luò)內(nèi)的主機(jī)均安裝防病毒軟件的客戶端。管理員負(fù)責(zé)每天檢查有沒(méi)有新的病毒庫(kù)更新,并對(duì)防病毒服務(wù)器上的防病毒軟件進(jìn)行及時(shí)更新。然后再由防病毒服務(wù)器將最新的病毒庫(kù)文件下發(fā)到各聯(lián)網(wǎng)的機(jī)器上,實(shí)現(xiàn)全網(wǎng)統(tǒng)一、及時(shí)的防病毒軟件更新,防止因?yàn)樯贁?shù)內(nèi)部用戶的疏忽,感染病毒,導(dǎo)致病毒在全網(wǎng)的傳播。專用服務(wù)器的專門保護(hù):針對(duì)重要的、最常受到攻擊的應(yīng)用系統(tǒng)實(shí)施特別的保護(hù)。對(duì)WEB服務(wù)器保護(hù)對(duì)Web訪問(wèn)、監(jiān)控/阻塞/報(bào)警、入侵探測(cè)、攻擊探測(cè)、惡意applets、惡意Email等在內(nèi)的安全政策進(jìn)行明確規(guī)劃。對(duì)E-mail服務(wù)程序、瀏覽器,采取正確的配置與及時(shí)下載安全補(bǔ)丁實(shí)現(xiàn)。應(yīng)用安全針對(duì)人為操作造成的風(fēng)險(xiǎn),必須從系統(tǒng)的應(yīng)用層進(jìn)行防范,因此應(yīng)用系統(tǒng)在建設(shè)時(shí)需考慮系統(tǒng)的安全性。具體包括以下幾個(gè)方面:訪問(wèn)控制:操作系統(tǒng)的用戶管理、權(quán)限管理;限制用戶口令規(guī)則和長(zhǎng)度,禁止用戶使用簡(jiǎn)單口令,強(qiáng)制用戶定期修改口令;按照登錄時(shí)間、登錄方式限制用戶的登錄請(qǐng)求;加強(qiáng)文件訪問(wèn)控制管理,根據(jù)訪問(wèn)的用戶范圍,設(shè)置文件的讀、寫、執(zhí)行權(quán)限;對(duì)重要資料設(shè)置被訪問(wèn)的時(shí)間和日期。權(quán)限控制和管理:按照單位、部門、職務(wù)、工作性質(zhì)等對(duì)用戶進(jìn)行分類,不同的用戶賦予不同的權(quán)限、能夠訪問(wèn)不同的系統(tǒng)、能夠操作不同的功能模塊;應(yīng)用系統(tǒng)的權(quán)限實(shí)行分級(jí)管理,每個(gè)系統(tǒng)的管理員自己定義各類用戶對(duì)該系統(tǒng)資源的可訪問(wèn)內(nèi)容。身份驗(yàn)證:經(jīng)過(guò)采用口令識(shí)別、數(shù)字認(rèn)證方式,來(lái)確保用戶的登錄身份與其真實(shí)身份相符,保證數(shù)據(jù)的安全性、完整性、可靠性和交易的不可抵賴性、增強(qiáng)顧客、商家、企業(yè)等對(duì)網(wǎng)上交易的信心。數(shù)據(jù)加密存儲(chǔ):關(guān)聯(lián)及關(guān)鍵數(shù)據(jù)加密存儲(chǔ),提取數(shù)據(jù)庫(kù)中表間關(guān)聯(lián)數(shù)據(jù)或重要數(shù)據(jù)信息,采用HASH算法,生成一加密字段,存放在數(shù)據(jù)表中,保證數(shù)據(jù)庫(kù)中關(guān)聯(lián)數(shù)據(jù)的一致性、完整性,防止重要數(shù)據(jù)的非法篡改。日志記載:數(shù)據(jù)庫(kù)日志:使得系統(tǒng)發(fā)生故障后能提供數(shù)據(jù)動(dòng)態(tài)恢復(fù)或向前恢復(fù)等功能,確保數(shù)據(jù)的可靠性和一致性。應(yīng)用系統(tǒng)日志:經(jīng)過(guò)記錄應(yīng)用系統(tǒng)中操作日志,經(jīng)過(guò)事后審計(jì)功能為將來(lái)分析提供數(shù)據(jù)分析源,確保業(yè)務(wù)的可追溯性。數(shù)據(jù)安全業(yè)務(wù)數(shù)據(jù)是業(yè)務(wù)系統(tǒng)運(yùn)行的重要元素,也是企業(yè)中寶貴的資源。這些數(shù)據(jù)如被非法復(fù)制、篡改、刪除,或是因系統(tǒng)崩潰及各種天災(zāi)人禍丟失,將威脅到數(shù)據(jù)的保密性、完整性和一致性。由此造成的損失將是巨大的。為了保證數(shù)據(jù)的安全,一般的做法是對(duì)數(shù)據(jù)進(jìn)行備份。數(shù)據(jù)備份解決方案大致能夠分為兩種:數(shù)據(jù)級(jí)的備份和系統(tǒng)級(jí)的備份。數(shù)據(jù)級(jí)的備份是指對(duì)存儲(chǔ)在磁盤陣列、磁帶庫(kù)等設(shè)備上的數(shù)據(jù)的備份。系統(tǒng)級(jí)備份主要是指對(duì)服務(wù)器系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等系統(tǒng)的備份。對(duì)于數(shù)據(jù)庫(kù)系統(tǒng)備份,有兩種方式能夠選擇:第一種是采用數(shù)據(jù)庫(kù)自身的備份功能,其優(yōu)點(diǎn)是不需要追加額外的投資,缺點(diǎn)是這種備份方式是手工進(jìn)行的,備份效率較低,而且在備份時(shí)需要關(guān)閉數(shù)據(jù)庫(kù),即需要shutdown數(shù)據(jù)庫(kù)實(shí)例。第二種方式是采用專業(yè)的備份工具,這種方式能夠?qū)崿F(xiàn)在線備份的方式,即在備份的過(guò)程中不需Shutdown數(shù)據(jù)庫(kù)實(shí)例。同時(shí),在備份過(guò)程中,經(jīng)過(guò)追蹤數(shù)據(jù)塊的變動(dòng)記錄來(lái)實(shí)現(xiàn)增量備份,縮短備份窗口。在保持?jǐn)?shù)據(jù)庫(kù)online的前提下,這種方式還能夠充分保證數(shù)據(jù)庫(kù)的OLTP聯(lián)機(jī)事務(wù)處理的性能。數(shù)據(jù)庫(kù)的數(shù)據(jù)量龐大,能夠經(jīng)過(guò)同時(shí)驅(qū)動(dòng)多個(gè)磁帶驅(qū)動(dòng)器來(lái)保證數(shù)據(jù)庫(kù)備份的效率。經(jīng)過(guò)這種方式,能夠在夜間的非工作時(shí)段內(nèi)完成全備份,并在相對(duì)更短的時(shí)間段內(nèi)完成日增量備份。在上述數(shù)據(jù)備份環(huán)境中,能夠?qū)Σ僮飨到y(tǒng)及應(yīng)用程序環(huán)境實(shí)現(xiàn)動(dòng)態(tài)即時(shí)在線快速備份,即在不影響用戶和應(yīng)用程序運(yùn)行的前提下,備份系統(tǒng)的動(dòng)態(tài)數(shù)據(jù),同時(shí)能夠?qū)鹘y(tǒng)文件系統(tǒng)的備份速度成倍提高。在前面的服務(wù)器平臺(tái)設(shè)計(jì)中,我們?yōu)槊颗_(tái)服務(wù)器都配置了兩塊硬盤,經(jīng)過(guò)磁盤鏡像(RAID1)技術(shù)實(shí)現(xiàn)系統(tǒng)冗余備份,能夠極大提高服務(wù)器系統(tǒng)的安全性。保證數(shù)據(jù)安全,對(duì)數(shù)據(jù)進(jìn)行備份。系統(tǒng)的網(wǎng)絡(luò)安全設(shè)計(jì)防火墻系統(tǒng)防火墻的基本類型實(shí)現(xiàn)防火墻的技術(shù)主要包括四類:包過(guò)濾防火墻、電路網(wǎng)關(guān)防火墻、應(yīng)用層防火墻以及動(dòng)態(tài)包過(guò)濾防火墻。其各自的特點(diǎn)如下:包過(guò)濾防火墻:包過(guò)濾防火墻技術(shù)主要經(jīng)過(guò)分析網(wǎng)絡(luò)傳輸層數(shù)據(jù),并經(jīng)過(guò)預(yù)先定義的規(guī)則對(duì)數(shù)據(jù)包轉(zhuǎn)發(fā)或丟棄。其檢查信息為網(wǎng)絡(luò)層、傳輸層以及傳輸方向等報(bào)頭信息,典型的包過(guò)濾主要利用下面的控制信息:數(shù)據(jù)包到達(dá)的物理網(wǎng)絡(luò)接口數(shù)據(jù)包的源網(wǎng)絡(luò)層地址數(shù)據(jù)包的目的網(wǎng)絡(luò)層地址傳輸層協(xié)議類型傳輸層源端口傳輸層目的端口包過(guò)濾防火墻有以下先進(jìn)性:包過(guò)濾防火墻一般性能高,因?yàn)樗齻儓?zhí)行的評(píng)估比較少而且一般能夠用硬件完成。能夠簡(jiǎn)單地經(jīng)過(guò)禁止特定外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的連接來(lái)保護(hù)整個(gè)網(wǎng)絡(luò)。包過(guò)濾防火墻對(duì)客戶端是透明的,所有工作都在防火墻中完成。結(jié)合NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換功能,能夠?qū)?nèi)部網(wǎng)絡(luò)從外部網(wǎng)絡(luò)中屏蔽起來(lái)。包過(guò)濾防火墻具有以下缺點(diǎn):包過(guò)濾防火墻不能識(shí)別上層信息,因此,同應(yīng)用層防火墻以及電路網(wǎng)關(guān)防火墻相比,其安全性較低。包過(guò)濾防火墻不是基于連接狀態(tài)的,因此,它不保存會(huì)話連接信息或上層應(yīng)用信息。包過(guò)濾只利用了數(shù)據(jù)包中有限的信息。包過(guò)濾不提供增值服務(wù),如HTTPCache,URL過(guò)濾等。電路網(wǎng)關(guān)防火墻電路網(wǎng)關(guān)防火墻是一種基于連接狀態(tài)的防火墻技術(shù),它能確認(rèn)、證實(shí)一個(gè)數(shù)據(jù)包是兩個(gè)傳輸層之間連接請(qǐng)求、兩個(gè)傳輸層之間已建連接中的數(shù)據(jù)包或兩個(gè)傳輸層之間的虛電路。電路網(wǎng)關(guān)防火墻檢查每一個(gè)連接的建立過(guò)程來(lái)保證連接的合法性,以及利用一個(gè)合法的連接信息表(包括狀態(tài)以及序列號(hào))來(lái)檢查數(shù)據(jù)包的正確性。當(dāng)一個(gè)連接關(guān)閉時(shí),這個(gè)連接信息表就被關(guān)閉。電路網(wǎng)關(guān)級(jí)防火墻主要應(yīng)用下列狀態(tài)信息:一個(gè)唯一的會(huì)話識(shí)別用于跟蹤處理。連接狀態(tài),包括:握手、建立以及關(guān)閉。序列號(hào)信息。源網(wǎng)絡(luò)地址。目的網(wǎng)絡(luò)地址。數(shù)據(jù)包到達(dá)的物理網(wǎng)絡(luò)接口。數(shù)據(jù)包離開(kāi)的物理網(wǎng)絡(luò)接口。電路網(wǎng)關(guān)級(jí)防火墻具有以下優(yōu)點(diǎn):電路網(wǎng)關(guān)防火墻一般性能高,因?yàn)樗齻儓?zhí)行的評(píng)估比較少。能夠簡(jiǎn)單地經(jīng)過(guò)禁止特定外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的連接來(lái)保護(hù)整個(gè)網(wǎng)絡(luò)。包過(guò)濾防火墻對(duì)客戶端是透明的,所有工作都在防火墻中完成。結(jié)合NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換功能,能夠?qū)?nèi)部網(wǎng)絡(luò)從外部網(wǎng)絡(luò)中屏蔽起來(lái)。電路應(yīng)用網(wǎng)關(guān)具有以下缺點(diǎn):電路應(yīng)用網(wǎng)關(guān)不能限制TCP之外的其它協(xié)議集。電路應(yīng)用網(wǎng)關(guān)防火墻不能進(jìn)行嚴(yán)格的高層應(yīng)用檢查。包過(guò)濾不提供增值服務(wù),如HTTPCache,URL過(guò)濾等。應(yīng)用層防火墻應(yīng)用層防火墻檢查所有的數(shù)據(jù)包、連接狀態(tài)信息以及序列號(hào),同時(shí)還能驗(yàn)證應(yīng)用層特定的安全控制,包括:用戶名,口令等。大多數(shù)應(yīng)用層防火墻包括一個(gè)特定服務(wù)程序和代理服務(wù),代理是一個(gè)面向特定應(yīng)用的流量管理程序,如HTTP、FTP等,能提供增強(qiáng)的訪問(wèn)控制、細(xì)節(jié)檢查以及審記記錄等信息。每一個(gè)應(yīng)用代理一般由兩部分組成,代理服務(wù)器以及代理客戶,相對(duì)于發(fā)起連接的客戶端來(lái)說(shuō),代理服務(wù)器充當(dāng)一個(gè)最終服務(wù)器。代理客戶端代替實(shí)際的客戶應(yīng)用同外部服務(wù)器進(jìn)行數(shù)據(jù)交換。應(yīng)用層防火墻具有以下優(yōu)點(diǎn):代理服務(wù)能完全理解和實(shí)施上層協(xié)議。如HTTP、FTP等。代理服務(wù)維護(hù)所有的應(yīng)用狀態(tài)信息,包括:部分的通訊層狀態(tài)信息、全部應(yīng)用層狀態(tài)信息以及部分會(huì)話信息。代理服務(wù)能處理和利用數(shù)據(jù)包。代理服務(wù)不允許外部服務(wù)器和內(nèi)部主機(jī)之間的直接通訊,可有效的隱含內(nèi)部網(wǎng)絡(luò)信息。代理服務(wù)能提供增值特征,包括:HTTPCache、URL過(guò)濾以及用戶認(rèn)證等。代理服務(wù)能很好的產(chǎn)生審記記錄,允許管理員監(jiān)控企圖違反網(wǎng)絡(luò)安全策略的行為。應(yīng)用層防火墻具有以下缺點(diǎn):代理服務(wù)需要替換防火墻服務(wù)器的原來(lái)的網(wǎng)絡(luò)堆棧。由于代理服務(wù)要監(jiān)聽(tīng)服務(wù)端口,因此,在防火墻服務(wù)器上不能提供同樣的服務(wù)。代理服務(wù)對(duì)數(shù)據(jù)包需要處理兩次,因此,性能比較差。一般,對(duì)于不同的應(yīng)用,需要對(duì)每一個(gè)服務(wù)提供一個(gè)代理服務(wù)程序。應(yīng)用級(jí)防火墻不能提供UDP、TCP以及其它協(xié)議代理功能。代理服務(wù)一般需要修改客戶應(yīng)用程序端或應(yīng)用配置。代理服務(wù)一般依賴操作系統(tǒng)提供設(shè)備驅(qū)動(dòng),因此,一個(gè)操作系統(tǒng)或應(yīng)用Bug都有可能造成代理服務(wù)容易受到攻擊。代理服務(wù)經(jīng)常會(huì)遇到多次登錄的情況。動(dòng)態(tài)包過(guò)濾防火墻動(dòng)態(tài)包過(guò)濾防火墻類似電路網(wǎng)關(guān)防火墻,但它提供了對(duì)面向非連接的傳輸層協(xié)議,如UDP的支持。其同電路網(wǎng)關(guān)有相同的優(yōu)缺點(diǎn)。常見(jiàn)攻擊方法了解常見(jiàn)的攻擊方法能夠更好的制定安全防范措施,常見(jiàn)的攻擊方法包括以下幾種:被動(dòng)監(jiān)聽(tīng):這種攻擊方法是攻擊者利用網(wǎng)絡(luò)監(jiān)聽(tīng)或分析工具,直接竊獲用戶的報(bào)文信息,從而獲得用戶/口令信息,這時(shí),攻擊者就能夠以合法用戶的身份對(duì)應(yīng)用進(jìn)行破壞。地址欺騙:在這種方法中,攻擊者偽裝成一個(gè)信任主機(jī)的IP地址,對(duì)系統(tǒng)進(jìn)行破壞。端口掃描:這是一種主動(dòng)的攻擊方法,攻擊者不斷的掃描安全控制點(diǎn)上等待連接的監(jiān)聽(tīng)端口,一旦發(fā)現(xiàn),攻擊者就集中精力對(duì)端口上的應(yīng)用發(fā)起攻擊。否認(rèn)服務(wù):這種攻擊方法又細(xì)分為兩種:即洪水連接和報(bào)文注入,洪水連接是向目的主機(jī)發(fā)出大量原地址非法的TCP連接,這樣,目的主機(jī)就一直處于等待狀態(tài),最后由于資源耗盡而死機(jī)。報(bào)文注入就是在合法連接的報(bào)文中插入攻擊者發(fā)出的數(shù)據(jù)包,從而對(duì)目的主機(jī)進(jìn)行攻擊。應(yīng)用層攻擊:這種攻擊方法是利用應(yīng)用軟件的缺陷,從而獲得對(duì)系統(tǒng)的訪問(wèn)權(quán)利。特洛伊木馬:在這種攻擊方法中,攻擊者讓用戶運(yùn)行一個(gè)用戶誤認(rèn)為是一個(gè)合法程序的攻擊程序,從而寄生在用戶系統(tǒng)中,為以后的攻擊埋下伏筆。這種攻擊方法最常見(jiàn)的應(yīng)用就是在WEB服務(wù)嵌入JavaApplet、Active-X等控件,使用戶在瀏覽網(wǎng)頁(yè)時(shí),不知不覺(jué)中被寄生了攻擊程序。常見(jiàn)攻擊對(duì)策下面我們對(duì)上面所述的攻擊方法提出自己的防范措施。被動(dòng)監(jiān)聽(tīng):在共享式以太網(wǎng)結(jié)構(gòu)中,一個(gè)主機(jī)發(fā)送的數(shù)據(jù)會(huì)發(fā)送到一個(gè)網(wǎng)段上的每主機(jī)數(shù)據(jù)包被監(jiān)聽(tīng)是不可避免的。而交換式網(wǎng)絡(luò)根據(jù)目的地址選擇發(fā)送的端口,因此,盡量連接桌面工作站到交換機(jī)端口會(huì)避免數(shù)據(jù)包被監(jiān)聽(tīng)。對(duì)于同各個(gè)分支機(jī)構(gòu)的按Extranet方式連接的采用IPSec技術(shù)對(duì)IP數(shù)據(jù)包加密,該加密算法對(duì)數(shù)據(jù)加密采用DES算法,其DES密鑰是動(dòng)態(tài)產(chǎn)生的,連接雙方加密密鑰是經(jīng)過(guò)RAS算法傳送的,因此,具有很高的安全性。對(duì)于Internet個(gè)人用戶的訪問(wèn),數(shù)據(jù)被監(jiān)聽(tīng)是不可避免的,因此,對(duì)這種攻擊的防范是合理設(shè)定用戶權(quán)限。地址欺騙:對(duì)這種攻擊的防范采用擴(kuò)展訪問(wèn)過(guò)濾列表方式,凡是從其它網(wǎng)段進(jìn)來(lái)的數(shù)據(jù)包,如果其源地址不是來(lái)自該網(wǎng)段的合法地址,就拋棄該數(shù)據(jù)包。端口掃描:對(duì)這種攻擊的防范采用擴(kuò)展訪問(wèn)列表方式,拒絕非授權(quán)網(wǎng)絡(luò)訪問(wèn)特定的網(wǎng)絡(luò)服務(wù)。否認(rèn)服務(wù):對(duì)于洪水連接攻擊我們采用TCP攔截技術(shù),對(duì)一個(gè)主機(jī)的訪問(wèn)限制在一個(gè)可接受范圍內(nèi),對(duì)于超過(guò)的可按幾種設(shè)定方式丟棄連接。對(duì)于報(bào)文注入,CiscoPIX防火墻產(chǎn)品是一種基于狀態(tài)的包過(guò)濾產(chǎn)品,本身能很好的防范報(bào)文注入攻擊。應(yīng)用層攻擊:改進(jìn)、替換具有安全漏洞的應(yīng)用服務(wù)器。特洛伊木馬:對(duì)于這種攻擊方式,首先應(yīng)該教育公司職員不要運(yùn)行不明來(lái)源的程序,避免內(nèi)部主機(jī)被攻破,一旦內(nèi)部主機(jī)被攻破,攻擊者就能夠以被攻破主機(jī)為落腳點(diǎn),對(duì)內(nèi)部所有主機(jī)進(jìn)行攻擊。對(duì)JavaApplet和Active-X的防范采用員工教育方式,教育職員不要訪問(wèn)不明站點(diǎn),盡量在瀏覽器中關(guān)閉JavaApplet和Active-X功能。VPN路由器采用CiscoRouter進(jìn)行IP數(shù)據(jù)包過(guò)濾,安全VLAN子網(wǎng)劃分作為VPN配置路由使用,可方便進(jìn)行安全訪問(wèn)的劃分結(jié)合PIX防火墻、NetRanger入侵檢測(cè)系統(tǒng)和NetSonar安全掃描程序三者配合,最大限度地保證了企業(yè)VPN的可靠性和安全性IDS入侵檢測(cè)入侵檢測(cè)(eTrustIntrusionDetection簡(jiǎn)稱eID)提供了全面的網(wǎng)絡(luò)保護(hù)功能,其內(nèi)置主動(dòng)防御功能能夠防止破壞的發(fā)生。這種高性能且使用方便的解決方案在單一軟件包中提供了最廣泛的監(jiān)視、入侵和攻擊探測(cè)、非法URL探測(cè)和阻塞、警告、記錄和實(shí)時(shí)響應(yīng)。網(wǎng)絡(luò)訪問(wèn)控制入侵檢測(cè)(eTrustIntrusionDetection)使用基本規(guī)則定義能夠訪問(wèn)特定網(wǎng)絡(luò)資源的用戶,從而確保只對(duì)網(wǎng)絡(luò)資源進(jìn)行授權(quán)訪問(wèn)。高級(jí)反病毒引擎能夠探測(cè)包含計(jì)算機(jī)病毒的網(wǎng)絡(luò)流量的病毒掃描引擎。它能夠防止用戶在不知情的情況下下載受病毒感染的文件。從CAweb站點(diǎn)能夠得到最新和更新后的病毒特征碼。全面的攻擊模式庫(kù)入侵檢測(cè)eID能夠自動(dòng)探測(cè)來(lái)自網(wǎng)絡(luò)流量的攻擊模式(即使是正在進(jìn)行中的攻擊)。定期更新的攻擊模式庫(kù)-能夠從CAweb站點(diǎn)獲得-能夠確保入侵檢測(cè)保持最新。包檢測(cè)技術(shù)入侵檢測(cè)eID在隱蔽模式下工作,攻擊者是察覺(jué)不到的。因?yàn)楹诳筒恢浪齻冋诒槐O(jiān)視,因此一般在未察覺(jué)的情況下被捕獲。URL阻塞管理員能夠指定不允許用戶訪問(wèn)的URL,從而防止了非工作性Web沖浪。內(nèi)容掃描管理員經(jīng)過(guò)入侵檢測(cè)eID能夠定義策略對(duì)內(nèi)容進(jìn)行檢查。這能夠防止在沒(méi)有授權(quán)的情況下經(jīng)過(guò)電子郵件或Web發(fā)送敏感數(shù)據(jù)。網(wǎng)絡(luò)使用情況記錄入侵檢測(cè)eID允許網(wǎng)絡(luò)管理員跟蹤最終用戶、應(yīng)用程序等的網(wǎng)絡(luò)使用情況。它有助于改進(jìn)網(wǎng)絡(luò)策略規(guī)劃和提供精確的網(wǎng)絡(luò)收費(fèi)。集中化監(jiān)控網(wǎng)絡(luò)管理員能夠從本地或遠(yuǎn)程監(jiān)控運(yùn)行入侵檢測(cè)(eTrustIntrusionDetection)的一個(gè)或多個(gè)站,在不同網(wǎng)絡(luò)段(本地或遠(yuǎn)程)上安裝了受中央站控制的入侵檢測(cè)(eTrustIntrusionDetection)代理后,管理員能夠根據(jù)收集到的合并信息查看報(bào)警和生成報(bào)告。遠(yuǎn)程管理遠(yuǎn)程用戶能夠使用TCP/IP或者調(diào)制解調(diào)器連接訪問(wèn)運(yùn)行入侵檢測(cè)(eTrustIntrusionDetection)的站。在連接后,根據(jù)入侵檢測(cè)(eTrustIntrusionDetection)管理員定義的權(quán)限,用戶能夠查看和監(jiān)控入侵檢測(cè)(eTrustIntrusionDetection)數(shù)據(jù)、更改規(guī)則以及創(chuàng)立報(bào)告。入侵記錄和分析入侵檢測(cè)(eTrustIntrusionDetection)為捕獲信息和進(jìn)行分析提供了全面的系統(tǒng)功能。在安裝軟件并指定歸檔地點(diǎn)后,用戶能夠定義在檔案中記錄會(huì)話的規(guī)則。然后用戶能夠經(jīng)過(guò)瀏覽器過(guò)濾、排序和查看歸檔信息,并創(chuàng)立詳細(xì)的報(bào)告。入侵檢測(cè)eID代表了最新一代企業(yè)網(wǎng)絡(luò)保護(hù)技術(shù),具有前所未有的訪問(wèn)控制、用戶透明性、高性能、靈活性、適應(yīng)性及易用性等。它提供給企業(yè)一個(gè)易于部署的網(wǎng)絡(luò)保護(hù)方案。CA認(rèn)證與SSL加密CA的作用數(shù)字證書能為你做什么:

個(gè)人數(shù)字證書是網(wǎng)友進(jìn)入21世紀(jì)的必須品。網(wǎng)上證券少不了它;網(wǎng)上繳款不能沒(méi)有它;進(jìn)入全球知名網(wǎng)站,更不得沒(méi)有它。它簡(jiǎn)單易懂、安裝容易,它比”卡”還要重要,是您身份的表征,網(wǎng)絡(luò)新貴的識(shí)別證?，F(xiàn)今不論X、Y、Z世代,您皮夾中至少必備四五張卡(提款卡、萬(wàn)事達(dá)卡、威士卡、會(huì)員卡、金卡、普卡、電話卡、保健卡...),因?yàn)楫?dāng)前是”卡”的時(shí)代。而在網(wǎng)際路上,您如果沒(méi)有數(shù)字證書,不論您外表多young、多炫,多酷,依舊是寸步難行。因?yàn)椤币蛔C在手,走遍天下”的時(shí)代已經(jīng)到來(lái)。CA為了更好地滿足客戶的需要,給客戶提供更大的便利,設(shè)計(jì)開(kāi)發(fā)的通用證書系統(tǒng)使得一證多用成為可能。數(shù)字證書和電子商務(wù)的關(guān)系電子商務(wù)正以不可逆轉(zhuǎn)之勢(shì)席卷全球的各行各業(yè),但世界各地也面臨著共同的阻礙——電子商務(wù)的安全問(wèn)題,必須要采用先進(jìn)的安全技術(shù)對(duì)網(wǎng)上的數(shù)據(jù)、信息發(fā)送方、接收方進(jìn)行身份確認(rèn),以保證各方信息傳遞的安全性、完整性、可靠性和交易的不可抵賴性。以數(shù)字證書為核心的身份認(rèn)證、數(shù)字簽名、數(shù)字信封等數(shù)字加密技術(shù)是當(dāng)前通用可行的安全問(wèn)題解決方案。數(shù)字安全證書建立了一套嚴(yán)密的身份認(rèn)證系統(tǒng),能夠確保電子商務(wù)的安全性。信息的保密性交易中的商務(wù)信息均有保密的要求.如信用卡的帳號(hào)和用戶名被人知悉,就可能被盜用,訂貨和付款的信息被競(jìng)爭(zhēng)對(duì)手獲悉,就可能喪失商機(jī)。因此在電子商務(wù)的信息傳播中一般均有加密的要求。交易者身份的確定性網(wǎng)上交易的雙方很可能素昧平生,相隔千里。要使交易成功首先要能確認(rèn)對(duì)方的身份,對(duì)商家要考慮客戶端不能是騙子,而客戶也會(huì)擔(dān)心網(wǎng)上的商店不是一個(gè)玩弄欺詐的黑店.因此能方便而可靠地確認(rèn)對(duì)方身份是交易的前提。對(duì)于為顧客或用戶開(kāi)展服務(wù)的銀行、信用卡公司和銷售商店,為了做到安全、保密、可靠地開(kāi)展服務(wù)活動(dòng),都要進(jìn)行身份認(rèn)證的工作。對(duì)有關(guān)的銷售商店來(lái)說(shuō),她們對(duì)顧客所用的信用卡的號(hào)碼是不知道的,商店只能把信用卡的確認(rèn)工作完全交給銀行來(lái)完成。銀行和信用卡公司能夠采用各種保密與識(shí)別方法,確認(rèn)顧客的身份是否合法,同時(shí)還要防止發(fā)生拒付款問(wèn)題以及確認(rèn)訂貨和訂貨收據(jù)信息等。不可否認(rèn)性由于商情的千變?nèi)f化,交易一旦達(dá)成是不能被否認(rèn)的。否則必然會(huì)損害一方的利益.例如訂購(gòu)黃金,訂貨時(shí)金價(jià)較低,但收到訂單后,金價(jià)上漲了,如收單方能否認(rèn)受到訂單的實(shí)際時(shí)間,甚至否認(rèn)收到訂單的事實(shí),則訂貨方就會(huì)蒙受損失。因此電子交易通信過(guò)程的各個(gè)環(huán)節(jié)都必須是不可否認(rèn)的。不可修改性交易的文件是不可被修改的,如上例所舉的訂購(gòu)黃金。供貨單位在收到訂單后,發(fā)現(xiàn)金價(jià)大幅上漲了,如其能改動(dòng)文件內(nèi)容,將訂購(gòu)數(shù)1噸改為1克,則可大幅受益,那么訂貨單位可能就會(huì)因此而蒙受損失。因此電子交易文件也要能做到不可修改,以保障交易的嚴(yán)肅和公正。CA系統(tǒng)簡(jiǎn)介人們?cè)诟袊@電子商務(wù)的巨大潛力的同時(shí),不得不冷靜地思考,在人與人不見(jiàn)面的計(jì)算機(jī)互聯(lián)網(wǎng)上進(jìn)行交易和作業(yè)時(shí),怎么才能保證交易的公正性和安全性,保證交易方身份的真實(shí)性。國(guó)際上已經(jīng)有比較成熟的安全解決方案,那就是建立安全證書體系結(jié)構(gòu)。數(shù)字安全證書提供了一種在網(wǎng)上驗(yàn)證身份的方式。安全證書體制主要采用了公開(kāi)密鑰體制,其它還包括對(duì)稱密鑰加密、數(shù)字簽名、數(shù)字信封等技術(shù)。我們能夠使用數(shù)字證書,經(jīng)過(guò)運(yùn)用對(duì)稱和非對(duì)稱密碼體制等密碼技術(shù)建立起一套嚴(yán)密的身份認(rèn)證系統(tǒng),從而保證:信息除發(fā)送方和接收方外不被其它人竊取;信息在傳輸過(guò)程中不被篡改;發(fā)送方能夠經(jīng)過(guò)數(shù)字證書來(lái)確認(rèn)接收方的身份;發(fā)送方對(duì)于自己的信息不能抵賴。系統(tǒng)特性高強(qiáng)度加密和認(rèn)證UniversalCA采用基于RSA加密算法的公鑰體系加密和認(rèn)證,能夠生成512、768、1024位三種不同密鑰的長(zhǎng)度的證書,確保證書的安全性和可靠性。多種生成證書的方法由用戶的請(qǐng)求文件生成證書。在服務(wù)器端由管理員為用戶生成證書。利用已有的數(shù)據(jù)庫(kù)為用戶生成證書。UniversalCA能夠以上述三種方法生成證書,使用戶應(yīng)用極為方便。支持國(guó)際互聯(lián)網(wǎng)UniversalCA發(fā)放的證書不依賴于固定的內(nèi)部用戶,只需一個(gè)Email地址即可實(shí)現(xiàn)證書的申請(qǐng)及應(yīng)用,因此具有廣泛的應(yīng)用性。具有同其它系統(tǒng)交換數(shù)據(jù)的能力UniversalCA后臺(tái)應(yīng)用了東大阿爾派自主版權(quán)的數(shù)據(jù)庫(kù)Oopenbase能夠?qū)崿F(xiàn)證書的海量管理,并具有同其它系統(tǒng)交換數(shù)據(jù)的能力,這使得系統(tǒng)具有良好的開(kāi)放性與通用性。易使用、功能強(qiáng)UniversalCA運(yùn)行在Windows環(huán)境下,將各種復(fù)雜操作屏蔽于后臺(tái),前臺(tái)界面簡(jiǎn)單,且支持請(qǐng)求、證書的批量操作,以及能夠?qū)崿F(xiàn)過(guò)期證書的自動(dòng)撤消。CA機(jī)構(gòu),又稱為證書授證(CertificateAuthority)中心,作為電子商務(wù)交易中受信任和具有權(quán)威性的第三方,承擔(dān)公鑰體系中公鑰的合法性檢驗(yàn)的責(zé)任。CA中心為每個(gè)使用公開(kāi)密鑰的客戶發(fā)放數(shù)字證書,數(shù)字證書的作用是證明證書中列出的客戶合法擁有證書中列出的公開(kāi)密鑰。CA機(jī)構(gòu)的數(shù)字簽名使得第三者不能偽造和篡改證書。它負(fù)責(zé)產(chǎn)生、分配并管理所有參與網(wǎng)上信息交換各方所需的數(shù)字證書,因此是安全電子信息交換的核心。為保證客戶之間在網(wǎng)上傳遞信息的安全性、真實(shí)性、可靠性、完整性和不可抵賴性,不但需要對(duì)客戶的身份真實(shí)性進(jìn)行驗(yàn)證,也需要有一個(gè)具有權(quán)威性、公正性、唯一性的機(jī)構(gòu),負(fù)責(zé)向電子商務(wù)的各個(gè)主體頒發(fā)并管理符合國(guó)內(nèi)、國(guó)際安全電子交易協(xié)議標(biāo)準(zhǔn)的安全證書。數(shù)字證書管理中心是保證電子商務(wù)安全的基礎(chǔ)設(shè)施。它負(fù)責(zé)電子證書的申請(qǐng)、簽發(fā)、制作、廢止、認(rèn)證和管理,提供網(wǎng)上客戶身份認(rèn)證、數(shù)字簽名、電子公證、安全電子郵件等服務(wù)等業(yè)務(wù)。

CA為電子商務(wù)服務(wù)的證書中心,是PKI(PublicKeyInfrastructure)體系的核心。它為客戶的公開(kāi)密鑰簽發(fā)公鑰證書、發(fā)放證書和管理證書,并提供一系列密鑰生命周期內(nèi)的管理服務(wù)。它將客戶的公鑰與客戶的名稱及其它屬性關(guān)聯(lián)起來(lái),為客戶之間電子身份進(jìn)行認(rèn)證。證書中心是一個(gè)具有權(quán)威性、可信賴性和公證性的第三方機(jī)構(gòu)。它是電子商務(wù)存在和發(fā)展的基礎(chǔ)。認(rèn)證中心在密碼管理方面的作用如下:自身密鑰的產(chǎn)生、存儲(chǔ)、備份/恢復(fù)、歸檔和銷毀從根CA開(kāi)始到直接給客戶發(fā)放證書的各層次CA,都有其自身的密鑰對(duì)。CA中心的密鑰對(duì)一般由硬件加密服務(wù)器在機(jī)器內(nèi)直接產(chǎn)生,并存儲(chǔ)于加密硬件內(nèi),或以一定的加密形式存放于密鑰數(shù)據(jù)庫(kù)內(nèi)。加密備份于IC卡或其它存儲(chǔ)介質(zhì)中,并以高等級(jí)的物理安全措施保護(hù)起來(lái)。密鑰的銷毀要以安全的密鑰沖寫標(biāo)準(zhǔn),徹底清除原有的密鑰痕跡。需要強(qiáng)調(diào)的是,根CA密鑰的安全性至關(guān)重要,它的泄露意味著整個(gè)公鑰信任體系的崩潰,因此CA的密鑰保護(hù)必須按照最高安全級(jí)的保護(hù)方式來(lái)進(jìn)行設(shè)置和管理。為認(rèn)證中心與各地注冊(cè)審核發(fā)放機(jī)構(gòu)的安全加密通信提供安全密鑰管理服務(wù)。在客戶證書的生成與發(fā)放過(guò)程中,除了有CA中心外,還有注冊(cè)機(jī)構(gòu)、審核機(jī)構(gòu)和發(fā)放機(jī)構(gòu)(對(duì)于有外部介質(zhì)的證書)的存在。行業(yè)使用范圍內(nèi)的證書,其證書的審批控制,可由獨(dú)立于CA中心的行業(yè)審核機(jī)構(gòu)來(lái)完成。CA中心在與各機(jī)構(gòu)進(jìn)行安全通信時(shí),可采用多種手段。對(duì)于使用證書機(jī)制的安全通信,各機(jī)構(gòu)(通信端)的密鑰產(chǎn)生、發(fā)放與管理維護(hù),都可由CA中心來(lái)完成。確定客戶密鑰生存周期,實(shí)施密鑰吊銷和更新管理。每一張客戶公鑰證書都會(huì)有有效期,密鑰對(duì)生命周期的長(zhǎng)短由簽發(fā)證書的CA中心來(lái)確定。各CA系統(tǒng)的證書有效期限有所不同,一般大約為2～3年。密鑰更新不外為以下兩種情況:密鑰對(duì)到期、密鑰泄露后需要啟用新的密鑰對(duì)(證書吊銷)。密鑰對(duì)到期時(shí),客戶一般事先非常清楚,能夠采用重新申請(qǐng)的方式實(shí)施更新。采用證書的公鑰吊銷,是經(jīng)過(guò)吊銷公鑰證書來(lái)實(shí)現(xiàn)的。公鑰證書的吊銷來(lái)自于兩個(gè)方向,一個(gè)是上級(jí)的主動(dòng)吊銷,另一個(gè)是下級(jí)主動(dòng)申請(qǐng)證書的吊銷。當(dāng)上級(jí)CA對(duì)下級(jí)CA不能信賴時(shí)(如上級(jí)發(fā)現(xiàn)下級(jí)CA的私鑰有泄露的可能),它能夠主動(dòng)停止下級(jí)CA公鑰證書的合法使用。當(dāng)客戶發(fā)現(xiàn)自己的私鑰泄露時(shí),也可主動(dòng)申請(qǐng)公鑰證書的吊銷,防止其它客戶繼續(xù)使用該公鑰來(lái)加密重要信息,而使非法客戶有盜取機(jī)密的可能。一般而言,在電子商務(wù)實(shí)際應(yīng)用中,可能會(huì)較少出現(xiàn)私鑰泄露的情況,多數(shù)情況是由于某個(gè)客戶由于組織變動(dòng)而調(diào)離該單位,需要提前吊銷代表企業(yè)身份的該客戶的證書。提供密鑰生成和分發(fā)服務(wù)。CA中心可為客戶提供密鑰正確生成服務(wù),它采用集中或分布式的方式進(jìn)行。在集中的情形下,CA中心可使用硬件加密服務(wù)器,為多個(gè)客戶申請(qǐng)成批的生成密鑰對(duì),然后采用安全的信道分發(fā)給客戶。也可由多個(gè)注冊(cè)機(jī)構(gòu)(RA)分布生成客戶密鑰對(duì)并分發(fā)給客戶。提供密鑰托管和密鑰恢復(fù)服務(wù)。CA中心可根據(jù)客戶的要求提供密鑰托管服務(wù),備份和管理客戶的加密密鑰對(duì)。當(dāng)客戶需要時(shí)能夠從密鑰庫(kù)中提出客戶的加密密鑰對(duì),為客戶恢復(fù)其加密密鑰對(duì),以解開(kāi)先前加密的信息。這種情形下,CA中心的密鑰管理器,采用對(duì)稱加密方式對(duì)各個(gè)客戶私鑰進(jìn)行加密,密鑰加密密鑰在加密后即銷毀,保證了私鑰存儲(chǔ)的安全性。密鑰恢復(fù)時(shí),采用相應(yīng)的密鑰恢復(fù)模塊進(jìn)行解密,以保證客戶的私鑰在恢復(fù)時(shí)沒(méi)有任何風(fēng)險(xiǎn)和不安全因素。同時(shí),CA中心也應(yīng)有一套備份庫(kù),避免密鑰數(shù)據(jù)庫(kù)的意外毀壞而無(wú)法恢復(fù)客戶私鑰。其它密鑰生成和管理、密碼運(yùn)算功能。CA中心在自身密鑰和客戶密鑰管理方面的特殊地位和作用,決定了它具有主密鑰、多級(jí)密鑰加密密鑰等多種密鑰的生成和管理功能。對(duì)于為客戶提供公鑰信任、管理和維護(hù)整個(gè)電子商務(wù)密碼體系的CA中心來(lái)講,其密鑰管理工作是一項(xiàng)十分復(fù)雜的任務(wù),它涉及到CA中心自身的各個(gè)安全區(qū)域和部件、注冊(cè)審核機(jī)構(gòu)以及客戶端的安全和密碼管理策略。SSL加密SSL是一種國(guó)際標(biāo)準(zhǔn)的加密及身份認(rèn)證通信協(xié)議,您用的瀏覽器就支持此協(xié)議。SSL(SecureSocketsLayer)最初是由美國(guó)Netscape公司研究出來(lái)的,后來(lái)成為了Internet網(wǎng)上安全通訊與交易的標(biāo)準(zhǔn)。SSL協(xié)議使用通訊雙方的客戶證書以及CA根證書,允許客戶/服務(wù)器應(yīng)用以一種不能被偷聽(tīng)的方式通訊,在通訊雙方間建立起了一條安全的、可信任的通訊通道。它具備以下基本特征:信息保密性、信息完整性、相互鑒定。SSL(SecureSocketLayer):安全套接層協(xié)議SSL協(xié)議是由Netscape首先發(fā)表的網(wǎng)絡(luò)資料安全傳輸協(xié)定,其首要目的是在兩個(gè)通信間提供秘密而可靠的連接。該協(xié)議由兩層組成,底層是建立在可靠的傳輸協(xié)議(例如:TCP)上的是SSL的記錄層,用來(lái)封裝高層的協(xié)議。SSL握手協(xié)議準(zhǔn)許服務(wù)器端與客戶端在開(kāi)始傳輸數(shù)據(jù)前,能夠經(jīng)過(guò)特定的加密算法相互鑒別。SSL的先進(jìn)之處在于它是一個(gè)獨(dú)立的應(yīng)用協(xié)議,其它更高層協(xié)議能夠建立在SSL協(xié)議上。當(dāng)前大部分的WebServer及Browser大多支持SSL的資料加密傳輸協(xié)定。因此,能夠利用這個(gè)功能,將部分具有機(jī)密性質(zhì)的網(wǎng)頁(yè)設(shè)定在加密的傳輸模式,如此即可避免資料在網(wǎng)絡(luò)上傳送時(shí)被其它人竊聽(tīng)。SSL是利用公開(kāi)密鑰的加密技術(shù)(RSA)來(lái)作為用戶端與主機(jī)端在傳送機(jī)密資料時(shí)的加密通訊協(xié)定。當(dāng)前,大部分的WebServer及Browser都廣泛使用SSL技術(shù)。對(duì)消費(fèi)者而言,SSL已經(jīng)解決了大部分的問(wèn)題?？墒?對(duì)電子商務(wù)而言問(wèn)題并沒(méi)有完全解決,因?yàn)镾SL只做能到資料保密,廠商無(wú)法確定是誰(shuí)填下了這份資料,即使這一點(diǎn)做到了,還有和銀行清算的問(wèn)題。SSL是當(dāng)前在網(wǎng)上購(gòu)物網(wǎng)站中最常使用的一種安全協(xié)議,它主要的設(shè)計(jì)目的在于確保信息在網(wǎng)際網(wǎng)絡(luò)上流通的安全性,讓主從式結(jié)構(gòu)的應(yīng)用程序(如瀏覽器與web服務(wù)器)能夠安全地進(jìn)行溝通。當(dāng)然,這里的安全指的是信息不被偽造,不被網(wǎng)絡(luò)上的黑客中途攔劫解毒及擅自更改。SSL的協(xié)議中結(jié)合了許多密碼學(xué)的技術(shù),其中包括:1．信息加解密。2．?dāng)?shù)字簽名與簽證技術(shù)。除此之外,在進(jìn)行安全聯(lián)機(jī)之前,SSL會(huì)先采取”握手”(Handshaking)的動(dòng)作,以確保網(wǎng)絡(luò)上通信的雙方都能夠按部就班的根據(jù)預(yù)定步驟建立起兩者之間的安全通道。SSL能夠提供以下三種安全防護(hù):數(shù)據(jù)的機(jī)密性與完整性:主要是經(jīng)過(guò)數(shù)據(jù)的加解密來(lái)實(shí)現(xiàn)。1．服務(wù)器端的個(gè)體識(shí)別服務(wù):利用服務(wù)器的數(shù)字證書來(lái)驗(yàn)證商店的資格,這是必要的手續(xù),如此我們才能保證商店的有效性。2．客戶端的個(gè)體識(shí)別服務(wù):同樣是經(jīng)過(guò)客戶自己的數(shù)字證書來(lái)完成。但這個(gè)服務(wù)并不是必要的,可根據(jù)需求來(lái)設(shè)置。以網(wǎng)上購(gòu)物的例子來(lái)說(shuō),為了不讓網(wǎng)絡(luò)上的第三者看到我們的信用卡數(shù)據(jù),因此必須先將數(shù)據(jù)加密之后再傳送,而當(dāng)數(shù)據(jù)到達(dá)對(duì)方服務(wù)器時(shí)再將數(shù)據(jù)解密,同時(shí)檢查數(shù)據(jù)是否有被她人更改過(guò),如果發(fā)現(xiàn)任何的錯(cuò)誤,那么這份數(shù)據(jù)就不會(huì)被接受。3．除此之外,SSL也利用數(shù)字證書的方法類確定商店的資格。因此商家如果想要提供網(wǎng)上交易的服務(wù),她必須先向認(rèn)證中心是、提出商店的合法證明,如營(yíng)業(yè)執(zhí)照,負(fù)責(zé)人等等(不同的餓認(rèn)證中心所要求的文件可能不同)。檢查經(jīng)過(guò)后才能取得數(shù)字證書。SSL內(nèi)部使用的是RSA公司所授權(quán)的公開(kāi)金鑰加密法,服務(wù)器必須申請(qǐng)屬于自己的數(shù)字證書,加裝到服務(wù)器中作為識(shí)別之用。如此一來(lái),一個(gè)加裝SSL的服務(wù)器便能夠與支持SSL的瀏覽器相互傳送機(jī)密數(shù)據(jù)了,即使是internet也不同擔(dān)心。SSL協(xié)議運(yùn)行的基點(diǎn)是商家對(duì)客戶信息保密的承諾。SSL協(xié)議有利于商家而不利于客戶。客戶的信息首先傳到商家,商家閱讀后再傳到銀行,這樣,客戶資料的安全性便受到威脅。商家認(rèn)證客戶是必要時(shí),但整個(gè)過(guò)程中缺少了客戶對(duì)商家的認(rèn)證。在電子商務(wù)的開(kāi)始階段,由于參與電子商務(wù)的公司大都是一些大公司,信譽(yù)較高,這個(gè)問(wèn)題沒(méi)有引起人們的重視。隨著電子商務(wù)參與的廠商迅速增加,對(duì)廠商的認(rèn)證問(wèn)題越來(lái)越突出,SSL協(xié)議的缺點(diǎn)完全暴露出來(lái)。SSL協(xié)議逐漸被新的SET協(xié)議所取代。當(dāng)前中國(guó)開(kāi)發(fā)的電子支付系統(tǒng),無(wú)論是中國(guó)銀行的長(zhǎng)城卡電子支付系統(tǒng),還是上海長(zhǎng)途電信局的網(wǎng)上支付系統(tǒng),均沒(méi)有采用SSL協(xié)議。主要原因就是無(wú)法保證客戶資金的安全性。防病毒系統(tǒng)計(jì)算機(jī)病毒是附屬在其它文件上的一種程序,能夠自行復(fù)制。計(jì)算機(jī)病毒十分有害,如果沒(méi)有檢測(cè)和防護(hù),用戶經(jīng)常不知道自己感染上病毒,直到病毒發(fā)作并產(chǎn)生危害。病毒中的破壞進(jìn)程能夠格式化硬盤、破壞分區(qū)表或占用計(jì)算機(jī)資源。病毒十分流行。事實(shí)上,當(dāng)前世界上已存在超過(guò)10,000種,計(jì)算機(jī)存在病毒的比率高達(dá)35-85%,中國(guó)、香港、臺(tái)灣為高發(fā)區(qū)。盡管病毒在Apple機(jī)和PC上都存在,但在PC系統(tǒng)中更為廣泛,這是因?yàn)镸S-DOS結(jié)構(gòu)使用中斷和向量表,編寫病毒相對(duì)容易。清除病毒十分困難。據(jù)分析,對(duì)于數(shù)據(jù)丟失,病毒發(fā)作的損失在US$-50,000,而恢復(fù)數(shù)據(jù)的代價(jià)十分昂貴甚至不可能,而且清除后病毒還可能再感染。因此,每個(gè)用戶有50%的可能感染病毒并招致?lián)p失。大的計(jì)算機(jī)網(wǎng)絡(luò)幾乎必然被病毒感染。病毒的類型介質(zhì)病毒病毒可分為兩類:文件型和引導(dǎo)型。文件型病毒駐留在另一個(gè).EXE或.COM文件中,當(dāng)文件執(zhí)行時(shí)截取系統(tǒng)控制,并將自身附加到另外的文件上。引導(dǎo)型駐留在軟盤或硬盤的引導(dǎo)區(qū),在系統(tǒng)啟動(dòng)時(shí)裝入內(nèi)存,然后監(jiān)視DOS中斷并感染插在軟驅(qū)中的磁盤。有兩種病毒不容易被檢測(cè):隱身病毒和多態(tài)病毒。隱身病毒使用DOS中斷,并不斷變換方式,避開(kāi)文件大小監(jiān)測(cè)。多態(tài)病毒當(dāng)前很多,在傳染時(shí)修改本身的版本,使根據(jù)模式掃描的病毒檢測(cè)程序無(wú)能為力。最初,大約80%的病毒是引導(dǎo)型病毒。隨著Internet的普及,文件型病毒變得越來(lái)越多。另外,一種新型的文件病毒感染文檔和圖表的病毒,被稱作宏病毒,使用文字處理器和表格中的編碼,是當(dāng)前最多的病毒。這種病毒經(jīng)過(guò)電子郵件的附件快速傳染,躲過(guò)了許多只檢查.EXE和.COM文件的防病毒程序。網(wǎng)絡(luò)病毒網(wǎng)絡(luò)病毒的特性經(jīng)過(guò)攻擊操作系統(tǒng)或應(yīng)用軟件的已知安全漏洞來(lái)獲得控制權(quán)在本地硬盤上并不留下文件由于其在網(wǎng)絡(luò)上進(jìn)行掃描的動(dòng)作,可能會(huì)引起嚴(yán)重的網(wǎng)絡(luò)負(fù)載如果攻擊是屬于常規(guī)的應(yīng)用,例如SQL,IIS等就可能穿過(guò)防火墻木馬病毒木馬病毒有可能洗劫用戶網(wǎng)上銀行存款、造成網(wǎng)絡(luò)游戲玩家裝備丟失、被黑客利用執(zhí)行不法行為等。如今,針對(duì)以上各種現(xiàn)象的危害越來(lái)越多,木馬病毒已成為威脅數(shù)字娛樂(lè)的大敵。根據(jù)木馬病毒的特點(diǎn)與其危害范圍來(lái)講,木馬病毒又分為以下五大類別:針對(duì)網(wǎng)游的木馬病毒、針對(duì)網(wǎng)上銀行的木馬病毒、針對(duì)即時(shí)通訊工具的木馬病毒、給計(jì)算機(jī)開(kāi)后門的木馬病毒、推廣廣告的木馬病毒。病毒的檢測(cè)客戶端防病毒軟件安裝在客戶計(jì)算機(jī)上,當(dāng)用戶啟動(dòng)計(jì)算機(jī)時(shí)或用戶手動(dòng)運(yùn)行時(shí)檢查硬盤或軟盤。好的桌面產(chǎn)品使用多種檢測(cè)方式,例如監(jiān)視病毒的行為(如格式化硬盤)、根據(jù)已知病毒代碼庫(kù)比較文件、檢查無(wú)法解釋的文件大小改變等?？墒?客戶端防病毒軟件有一個(gè)致命弱點(diǎn):只是在用戶使用時(shí)周期地檢測(cè)病毒,對(duì)下載的、或其它方式傳輸?shù)奈募t不檢測(cè),而這些文件可能帶有病毒。另外,每個(gè)客戶端要同時(shí)安裝防病毒軟件,更新、維護(hù)十分麻煩。因此,出現(xiàn)了網(wǎng)絡(luò)防病毒軟件,駐留在網(wǎng)絡(luò)服務(wù)器上,運(yùn)行于NetWare或WindowsNT環(huán)境,對(duì)經(jīng)過(guò)服務(wù)器傳遞的文件病毒進(jìn)行檢測(cè)。服務(wù)器防病毒軟件比客戶端防病毒軟件效率提高了很多,能夠集中管理病毒防范、經(jīng)常掃描文件病毒,并及時(shí)更新病毒庫(kù)。然而,文件服務(wù)器型防病毒軟件也有一些缺點(diǎn):很強(qiáng)的網(wǎng)絡(luò)服務(wù)器防病毒功能,客戶端則沒(méi)有,對(duì)于不經(jīng)過(guò)文件服務(wù)器的文件型病毒,如從Internet下載的文件和電子郵件,則無(wú)法防護(hù)。其次,服務(wù)器防病毒軟件不能掃描電子郵件附件上的病毒。這是因?yàn)樵贚AN中,電子郵件和附件被加密,只有附件在”另存為”在硬盤上時(shí)病毒掃描程序才啟動(dòng),從而導(dǎo)致病毒掃描不及時(shí)、效率低。隨著Internet的普及,越來(lái)越多的企業(yè)、大學(xué)、政府和消費(fèi)者共享文件、發(fā)送信息、經(jīng)過(guò)網(wǎng)絡(luò)交談。最重要的兩種方式是經(jīng)過(guò)電子郵件和FTP交換郵件和文件。伴隨而來(lái)的問(wèn)題是許多病毒經(jīng)過(guò)文件下載和電子郵件傳播,而且傳播的速度十分驚人。本質(zhì)上,Internet成為傳播病毒的電腦空間,計(jì)算機(jī)系統(tǒng)管理員很少能控制網(wǎng)絡(luò)用戶下載帶病毒的免費(fèi)軟件、共享軟件或游戲。在公司內(nèi)部網(wǎng)絡(luò)上傳輸文件也不是沒(méi)有風(fēng)險(xiǎn),因?yàn)榇嬖诟郊釉诜强蓤?zhí)行文件,如Word、Excel或電子郵件上的病毒。Internet上的病毒不經(jīng)過(guò)文件服務(wù)器,因此服務(wù)器防病毒軟件不起作用。許多網(wǎng)絡(luò)都配置了防火墻,能夠拒絕沒(méi)有授權(quán)的訪問(wèn)或阻止可能引起問(wèn)題的外部用戶訪問(wèn)內(nèi)部網(wǎng),但防火墻無(wú)法防病毒。因此出現(xiàn)了新型的防病毒軟件:病毒墻(Virus-Wall)。病毒墻駐留在Internet網(wǎng)關(guān),在病毒進(jìn)入系統(tǒng)搞破壞前進(jìn)行檢測(cè)并清除。防病毒建議方案由于在這次網(wǎng)站的建設(shè)中,服務(wù)器使用Linux操作系統(tǒng)?，F(xiàn)在流行的病毒一般情況下只是針對(duì)windows操作系統(tǒng)中。因此,系統(tǒng)在針對(duì)病毒方面是相對(duì)安全的。網(wǎng)站監(jiān)控與恢復(fù)系統(tǒng)近幾年,隨著Internet的普及,網(wǎng)絡(luò)上發(fā)生的攻擊事件越來(lái)越普遍,一個(gè)普通人員在Internet上能夠很容易的找到攻擊工具,然后攻擊網(wǎng)站。網(wǎng)站被篡改的事件時(shí)有發(fā)生。因此,對(duì)網(wǎng)站進(jìn)行保護(hù)是非常必要的。網(wǎng)站實(shí)時(shí)監(jiān)控與恢復(fù)系統(tǒng)是一種網(wǎng)站的災(zāi)難恢復(fù)技術(shù),它的立足點(diǎn)是在其它的網(wǎng)站安全措施,如使用防火墻、加強(qiáng)Web服務(wù)器軟件自身的安全性、清查不安全的CGI程序都失敗,網(wǎng)頁(yè)文件被黑客破壞的情況下,網(wǎng)站文件系統(tǒng)的自動(dòng)恢復(fù)問(wèn)題。SAN網(wǎng)絡(luò)存儲(chǔ)/備份/災(zāi)難恢復(fù):采用當(dāng)前流行的群集技術(shù)SAN技術(shù),將存儲(chǔ)設(shè)備從傳統(tǒng)的以太網(wǎng)中隔離出來(lái),成為獨(dú)立的存儲(chǔ)域網(wǎng)絡(luò)。完全采用光纖連接,保證了數(shù)據(jù)傳輸帶寬達(dá)到100MB/S。使大量的數(shù)據(jù)只是在服務(wù)器和存儲(chǔ)設(shè)備之間流動(dòng),不占用網(wǎng)絡(luò)帶寬及服務(wù)器資源。建立遠(yuǎn)程備份中心,進(jìn)行遠(yuǎn)程容災(zāi)備份,確保系統(tǒng)的數(shù)據(jù)安全。業(yè)務(wù)網(wǎng)絡(luò)安全設(shè)計(jì)網(wǎng)絡(luò)安全設(shè)計(jì)原則防止來(lái)自外部的黑客攻擊防止來(lái)自內(nèi)部的惡意攻擊網(wǎng)絡(luò)資源訪問(wèn)控制網(wǎng)絡(luò)傳輸?shù)膶?shí)時(shí)監(jiān)控強(qiáng)大的安全審計(jì)事件分析與告警在本方案中,網(wǎng)絡(luò)的對(duì)外出口處以及在總行和分行之間的連接都設(shè)置防火墻將是最理想的選擇,外部網(wǎng)出口都配置防火墻,以及在總行與分行的業(yè)務(wù)網(wǎng)的連接處也配置防火墻,對(duì)外防止黑客入侵,對(duì)內(nèi)以防止內(nèi)部人員的惡意攻擊或由于內(nèi)部人員造成的網(wǎng)絡(luò)安全問(wèn)題。本方案中主要用到NetScreen-10和NetScreen-100,在總行與分行連接點(diǎn)采用NetScreen-100作為防火墻,同時(shí)在重要的業(yè)務(wù)連接點(diǎn)采用NetScreen獨(dú)特的多機(jī)備份技術(shù)用兩臺(tái)作為熱備份,保證整個(gè)系統(tǒng)的網(wǎng)絡(luò)安全。在分行采用NetScreen-10防火墻,為連接各終端以及服務(wù)器節(jié)點(diǎn)提供安全防護(hù)。系統(tǒng)的安全設(shè)計(jì)威脅及漏洞作為一個(gè)網(wǎng)絡(luò)營(yíng)銷和管理系統(tǒng),由于涉及信息的敏感性自然會(huì)成為內(nèi)部和外部黑客攻擊的目標(biāo),當(dāng)前面臨的主要風(fēng)險(xiǎn)和威脅有:非法訪問(wèn):一個(gè)遠(yuǎn)程互連的網(wǎng)絡(luò)營(yíng)銷和管理系統(tǒng)。現(xiàn)有網(wǎng)絡(luò)系統(tǒng)利用操作系統(tǒng)網(wǎng)絡(luò)設(shè)備進(jìn)行訪問(wèn)控制,而這些訪問(wèn)控制強(qiáng)度較弱,攻擊者能夠在任一終端利用現(xiàn)有的大量攻擊工具發(fā)起攻擊;由于整個(gè)網(wǎng)絡(luò)經(jīng)過(guò)公用網(wǎng)絡(luò)互連同樣存在鏈接終端進(jìn)行攻擊的可能;另一方面開(kāi)發(fā)的很多增值業(yè)務(wù)、代理業(yè)務(wù),存在大量與外界互連的接口這些接口現(xiàn)在沒(méi)有強(qiáng)的安全保護(hù)措施存在外部網(wǎng)絡(luò)經(jīng)過(guò)這些接口攻擊,可能造成巨大損失。竊取PIN/密鑰等敏感數(shù)據(jù):系統(tǒng)當(dāng)前沒(méi)有使用任何的數(shù)據(jù)加密技術(shù),因此安全的關(guān)鍵是對(duì)進(jìn)行數(shù)據(jù)加密保護(hù),能夠使用密鑰加密技術(shù),從而避免主機(jī)中敏感數(shù)據(jù)的丟失。假冒終端/操作員:網(wǎng)絡(luò)中存在大量遠(yuǎn)程終端經(jīng)過(guò)公網(wǎng)與前置機(jī)相連,因此,網(wǎng)絡(luò)服務(wù)器存在大量安全隱患?，F(xiàn)有操作員身份識(shí)別唯一,但口令的安全性非常弱因此存在大量操作員假冒的安全風(fēng)險(xiǎn)。截獲和篡改傳輸數(shù)據(jù):現(xiàn)有網(wǎng)絡(luò)系統(tǒng)經(jīng)過(guò)公網(wǎng)傳輸大量的數(shù)據(jù)沒(méi)有加密,由于信息量大且采用的是開(kāi)放的TCP/IP,現(xiàn)有的許多工具能夠很容易的截獲、分析甚至修改信息,主機(jī)系統(tǒng)很容易成為被攻擊對(duì)象。其它安全風(fēng)險(xiǎn):主要有病毒、系統(tǒng)安全(主要有操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全配置)以及系統(tǒng)的安全備份等。計(jì)說(shuō)明在對(duì)網(wǎng)絡(luò)結(jié)初步分析后我們提出以下安全措施來(lái)安全處理。 圖四、網(wǎng)絡(luò)安全防火墻保護(hù)總體示意圖一般電子商務(wù),也包括網(wǎng)絡(luò)中用到的通信線路涉及到:X.25、FR、DDN、ISDN、撥號(hào)等通信接口和協(xié)議,因此,最佳的方案是在網(wǎng)絡(luò)層上采用先進(jìn)的NETSCREEN網(wǎng)絡(luò)安全技術(shù),以有效的阻止外來(lái)的攻擊和保證業(yè)務(wù)數(shù)據(jù)在公網(wǎng)上的安全傳輸,同時(shí)在應(yīng)用層上提供對(duì)敏感數(shù)據(jù)加密消息進(jìn)行完整性鑒別及密鑰管理因此能夠經(jīng)過(guò)各級(jí)節(jié)點(diǎn)配備NETSCREEN100來(lái)保證IP包的機(jī)密性。在業(yè)務(wù)系統(tǒng)中為了保護(hù)用戶敏感信息防止信息被非法篡改實(shí)現(xiàn)對(duì)業(yè)務(wù)數(shù)據(jù)加密、身份認(rèn)證等安全功能。系統(tǒng)的安全設(shè)計(jì)各業(yè)務(wù)系統(tǒng)的分離現(xiàn)有網(wǎng)絡(luò)上部署了多種應(yīng)用,包括ERP系統(tǒng)、CRM系統(tǒng)、內(nèi)部OA系統(tǒng)、在線銷售系統(tǒng)、在線銷售管理系統(tǒng)等一系列的業(yè)務(wù)系統(tǒng),這些業(yè)務(wù)系統(tǒng)之間存在一定的聯(lián)系,但又要防止侵權(quán)使用資源,特別是在線銷售系統(tǒng)與ERP和管理系統(tǒng),因此各業(yè)務(wù)系統(tǒng)的隔離是保障業(yè)系統(tǒng)安全的一個(gè)重環(huán)節(jié)。圖五、各業(yè)務(wù)系統(tǒng)隔離方案在企業(yè)內(nèi)部,各業(yè)務(wù)系統(tǒng)使用的主機(jī)IP地址要有嚴(yán)格的區(qū)分,為建立訪問(wèn)控制機(jī)制為核心的隔離措施提供方便。在局域網(wǎng)當(dāng)中,經(jīng)過(guò)具有第二層(支持VLAN劃分,VLAN為虛擬局域網(wǎng))或三層交換的交換機(jī)(支持VLAN劃分及網(wǎng)內(nèi)路由),劃分業(yè)務(wù)系統(tǒng)在一個(gè)VLAN范圍內(nèi),OA系統(tǒng)在另的一個(gè)VLAN范圍內(nèi),各VLAN之間不直接交換數(shù)據(jù),在必要的情況下,采取一定技術(shù)實(shí)現(xiàn)部分?jǐn)?shù)據(jù)交換。在各個(gè)業(yè)務(wù)內(nèi)能夠象總部一樣,經(jīng)過(guò)VLAN的劃分,劃分業(yè)務(wù)VLAN和OAVLAN,隔離辦公網(wǎng)與業(yè)務(wù)網(wǎng)。VLAN技術(shù)是近階段較流行的局域網(wǎng)隔離技術(shù),在一套硬件網(wǎng)絡(luò)環(huán)境內(nèi)運(yùn)行許多個(gè)(視交換機(jī)支持?jǐn)?shù)據(jù))完全獨(dú)立、互不通信的局域網(wǎng),看起來(lái)就象兩個(gè)完全分隔開(kāi)的局域網(wǎng)系統(tǒng)。使用VLAN劃分開(kāi)之后,當(dāng)網(wǎng)絡(luò)信息經(jīng)過(guò)路由器后,MAC地址信息都會(huì)被路由器的MAC地址所替代,VLAN的隔離作用消失。就是說(shuō)總行內(nèi)和分行內(nèi)劃分出的業(yè)務(wù)VLAN和O