-
企業(yè)電子商務(wù)網(wǎng)站的安全策略分析
發(fā)布時間 : 2012-09-06 11:02:14 來源 : 金站網(wǎng) 瀏覽次數(shù) :
電子商務(wù)依靠的是互聯(lián)網(wǎng)，其核心和關(guān)鍵問題就是交易的安全性。正是由于網(wǎng)絡(luò)本身的開放性給網(wǎng)上交易帶來了種種危險，才要更加注重它的安全控制。
1、概述目前，網(wǎng)上電子交易已經(jīng)隨著因特網(wǎng)的普及逐漸被人們所接受和應(yīng)用，網(wǎng)絡(luò)購物、網(wǎng)上繳費等方式極大的方便了人們的生活，越來越多的人開始利用網(wǎng)絡(luò)來進行交易。電子商務(wù)網(wǎng)站的有效運作，依靠的是完全開放的互聯(lián)網(wǎng)，而這個網(wǎng)絡(luò)當中的任何電腦之間、網(wǎng)絡(luò)之間都是互通的，安全和不安全的數(shù)據(jù)都可能在傳遞，各種風(fēng)險隨時對電子商務(wù)的安全構(gòu)成威脅。電子商務(wù)正在規(guī)?；腿蚧髽I(yè)的發(fā)展在很大程度上都依賴于它，所以，電子商務(wù)網(wǎng)站的安全問題必須得到有效的解決，才能保證它的正常運轉(zhuǎn)。2、電子商務(wù)網(wǎng)站的安全策略電子商務(wù)依靠的是互聯(lián)網(wǎng)，其核心和關(guān)鍵問題就是交易的安全性。正是由于網(wǎng)絡(luò)本身的開放性給網(wǎng)上交易帶來了種種危險，才要更加注重它的安全控制。電子商務(wù)網(wǎng)站的安全問題可以從兩個方面進行探討和分析，一是系統(tǒng)安全，二是數(shù)據(jù)安全，并且可以利用一些先進的技術(shù)手段加以解決。2.1系統(tǒng)安全信息安全對于企業(yè)來說很重要，而信息安全的前提是系統(tǒng)安全。系統(tǒng)安全主要包括網(wǎng)絡(luò)系統(tǒng)、操作系統(tǒng)和應(yīng)用系統(tǒng)3個方面。系統(tǒng)安全可以采用的技術(shù)手段有網(wǎng)絡(luò)隔離、訪問控制、身份鑒別、數(shù)據(jù)加密、監(jiān)控評估等技術(shù)。2.1.1網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)系統(tǒng)的安全問題主要是由于網(wǎng)絡(luò)的開放性造成的，解決問題的關(guān)鍵是把網(wǎng)絡(luò)從開放、自由的環(huán)境中分離出來，使其變成可以控制和管理的獨立網(wǎng)絡(luò)，就目前的技術(shù)發(fā)展來看，可以采用下列方法解決系統(tǒng)安全問題。1)系統(tǒng)隔離，就是將重要的網(wǎng)絡(luò)系統(tǒng)與其他系統(tǒng)分離，有物理隔離和邏輯隔離。按照網(wǎng)絡(luò)安全等級的不同可以將網(wǎng)絡(luò)合理劃分為多個互不連通的網(wǎng)絡(luò)，使不同安全級別的網(wǎng)絡(luò)或設(shè)備不能相互訪問，從而達到安全隔離。也可以采用VLAN等網(wǎng)絡(luò)技術(shù)對業(yè)務(wù)網(wǎng)絡(luò)或辦公網(wǎng)絡(luò)實行邏輯上的隔離，劃分出不同的應(yīng)用子網(wǎng)；2)訪問控制，通過設(shè)置有效合理的訪問策略，對于不同區(qū)域的網(wǎng)絡(luò)資源實行訪問控制，防止非法用戶訪問受保護的資源，其主要解決的問題就是網(wǎng)絡(luò)邊界的安全控制和網(wǎng)絡(luò)內(nèi)部資源的訪問控制?？梢园凑找欢ǖ脑瓌t根據(jù)需要對信息的流向進行單向或雙向控制。能夠設(shè)置訪問控制的網(wǎng)絡(luò)設(shè)備有很多，比如交換機、路由器，而最重要也是最有效的則是防火墻，它通常被布置在網(wǎng)絡(luò)的出入口處，對進出網(wǎng)絡(luò)的數(shù)據(jù)信息進行有效的檢測和過濾，同時按照訪問控制列表和安全政策對信息流進行控制，允許合理有效的數(shù)據(jù)通過，將不安全和不符合要求的數(shù)據(jù)拒之網(wǎng)外；3)身份鑒定，對訪問網(wǎng)絡(luò)的用戶進行身份識別，通?？梢允褂萌N方式對訪問者進行身份驗證，一是訪問者了解的安全信息，比如賬號、密碼、密鑰等；二是訪問者提供的物件，比如訪問磁卡、通用Ic卡、動態(tài)口令卡等；三是訪問者自身的特征信息，比如聲音、指紋、視網(wǎng)膜、筆跡等。身份鑒定的目的就是阻止非法用戶訪問這些被加密的數(shù)據(jù)，而加密是為了防止網(wǎng)絡(luò)數(shù)據(jù)被竊聽、泄漏、篡改和破壞；4)安全監(jiān)測，利用網(wǎng)絡(luò)設(shè)備的高級功能和技術(shù)，通過分析來訪數(shù)據(jù)信息，找出未經(jīng)授權(quán)的網(wǎng)絡(luò)訪問和非法行為，包括對網(wǎng)絡(luò)系統(tǒng)的掃描、跟蹤、預(yù)警、阻斷、記錄等，從而將系統(tǒng)遭受的攻擊傷害減少到最低。除了網(wǎng)絡(luò)設(shè)備，還可利用一些專業(yè)的網(wǎng)絡(luò)掃描監(jiān)測系統(tǒng)來對付黑客和非法入侵，這些系統(tǒng)能夠主動、實時、有效的識別出非法數(shù)據(jù)和用戶，并且通過網(wǎng)絡(luò)掃描能夠針對網(wǎng)絡(luò)設(shè)備的安全漏洞進行檢測和分析，包括網(wǎng)絡(luò)服務(wù)、防火墻、路由器、郵件服務(wù)器、網(wǎng)站服務(wù)器等，從而識別那些可以被入侵者利用并非法進入的網(wǎng)絡(luò)漏洞。網(wǎng)絡(luò)掃描系統(tǒng)對檢測到的漏洞信息形成詳細報告并提供改進方案，使網(wǎng)絡(luò)管理人員能檢測和管理好安全風(fēng)險。2.1.2操作系統(tǒng)操作系統(tǒng)，實際上就是電腦管理控制程序，是管理計算機軟硬件資源的核心系統(tǒng)，負責設(shè)備的管理、數(shù)據(jù)的存儲、信息的發(fā)送和各種系統(tǒng)資源的調(diào)度，它是各種應(yīng)用軟件的系統(tǒng)平臺，具有通用性和易用性，操作系統(tǒng)的安全直接影響到應(yīng)用系統(tǒng)和數(shù)據(jù)的安全，一般分為應(yīng)用安全和系統(tǒng)掃描。1)應(yīng)用安全，面向應(yīng)用選擇可靠的操作系統(tǒng)，可以杜絕使用來歷不明的軟件。用戶可安裝操作系統(tǒng)保護與恢復(fù)軟件，并作相應(yīng)的備份；2)系統(tǒng)掃描，基于主機的安全評估系統(tǒng)是對系統(tǒng)的安全風(fēng)險級別進行劃分，并提供完整的安全漏洞檢查列表，通過不同版本的操作系統(tǒng)進行掃描分析，對掃描漏洞自動修補形成報告，保護應(yīng)用程序、數(shù)據(jù)免受盜用、破壞。2.1.3應(yīng)用系統(tǒng)1)文件的安全存儲：利用各種加密手段，結(jié)合相應(yīng)的身份鑒定和密碼保護機制，使存儲在本地或者網(wǎng)絡(luò)上的重要文件處于安全存儲的狀態(tài)，即便他人通過非法手段獲取到了文件或存儲設(shè)備，也難以取得文件里的內(nèi)容；2)文件的安全傳遞：對通過網(wǎng)絡(luò)發(fā)送的文件進行安全處理，比如加密、簽名、完整性鑒別等，使被傳送的文件只有指定的接收者通過相應(yīng)的安全鑒別機制才能解密并閱讀，避免了文件在傳送或存儲的過程當中被截獲、篡改和破壞等；3)業(yè)務(wù)服務(wù)安全：主要面向業(yè)務(wù)管理和信息服務(wù)的安全需求。對于各種通用信息服務(wù)，如WEB信息服務(wù)、FrP服務(wù)、電子郵件服務(wù)等服務(wù)，采用相應(yīng)安全軟件系統(tǒng)進行保護，如安全郵件系統(tǒng)、WEB頁面保護等；對于各種業(yè)務(wù)信息可以配合專業(yè)管理信息系統(tǒng)軟件采取對信息內(nèi)容的安全保護，防止外部非法侵入和內(nèi)部信息泄漏。2.1.2數(shù)據(jù)安全信息數(shù)據(jù)的安全主要包含了數(shù)據(jù)庫的安全和數(shù)據(jù)本身的安全，這兩個方面的安全問題都必須得有相應(yīng)的安全措施，才能確保數(shù)據(jù)安全。1)數(shù)據(jù)庫安全，目前很多企業(yè)使用的數(shù)據(jù)庫都是SQL Server或者ORACLE大型數(shù)據(jù)庫，這些數(shù)據(jù)庫系統(tǒng)本身具備一定的安全性，安全級別可以滿足日常需求。但是由于數(shù)據(jù)庫十分重要，應(yīng)在此基礎(chǔ)上再采取一些安全措施，增加相應(yīng)安全組件，改良密碼策略，對數(shù)據(jù)庫實施分級管理并提供可靠的故障恢復(fù)機制，實現(xiàn)數(shù)據(jù)庫的訪問、存取和加密控制。具體方法有安全數(shù)據(jù)庫系統(tǒng)、數(shù)據(jù)庫保密系統(tǒng)、數(shù)據(jù)庫掃描系統(tǒng)等；2)數(shù)據(jù)安全，即存儲在數(shù)據(jù)庫中的數(shù)據(jù)本身的安全，相應(yīng)的保護措施有安裝反病毒軟件和防火墻軟件，建立一套可靠的數(shù)據(jù)備份與恢復(fù)系統(tǒng)，定期對數(shù)據(jù)進行備份，定期修改數(shù)據(jù)庫密碼，必要時可以對重要數(shù)據(jù)采取多層加密保護。2.3交易安全網(wǎng)上交易安全是用戶最關(guān)心的問題，只有提供穩(wěn)定的安全保證，在線交易用戶才會具有安全感，才會覺得交易平臺可靠，電子商務(wù)網(wǎng)站才會具有廣闊的發(fā)展空間。1)交易安全標準，目前在電子商務(wù)中主要的安全標準有兩種：應(yīng)用層的SET(安全電子交易)和會話層SSL(安全套層)協(xié)議。前者由信用卡機構(gòu)VISA及MasterCard提出的針對電子錢包、商場、認證中心的安全標準，SET的關(guān)鍵特征是信息的機密性、數(shù)據(jù)的可靠性、卡用戶賬號的鑒別、商人的鑒別，主要用于銀行等金融機構(gòu)。后者SCAPE公司提出的針對數(shù)據(jù)的機密性、完整性、開放性和身份確認的安全協(xié)議，它可以保證數(shù)據(jù)不被竊取和破壞，此協(xié)議已經(jīng)成為WEB應(yīng)用安全標準；2)交易安全基礎(chǔ)體系：交易安全的基礎(chǔ)是現(xiàn)代密碼學(xué)技術(shù)，主要取決去于加密方法和加密強度。加密分為單密鑰的對稱加密體系和雙密鑰的非對稱加密體系。兩者各有所長，對稱密鑰具有加密效率高，但存在密鑰分發(fā)困難、管理不便的弱點。非對稱密鑰加密速度慢，但便于密鑰分發(fā)管理。通常把兩者結(jié)合使用，以達到高效安全的目的；3)交易安全的實現(xiàn)，交易安全的實現(xiàn)主要是指交易雙方身份確認、交易指令及數(shù)據(jù)加密傳輸、數(shù)據(jù)的完整性、防止雙方對交易結(jié)果的否認等等。具體實現(xiàn)的途徑是交易各方具有相關(guān)身份證明，同時在SSL協(xié)議體系下完成交易過程中電子證書驗證、數(shù)字簽名、指令數(shù)據(jù)的加密傳輸、交易結(jié)果確認審計等。3、結(jié)論企業(yè)電子商務(wù)網(wǎng)站的安全，需要一個完整的綜合保障體系，要采用綜合防范的思路，從技術(shù)、管理、法律等多方面加以認識和思考。安全實際上是一種風(fēng)險管理，任何技術(shù)手段都不能夠保證百分之百的安全，但是安全技術(shù)可以降低系統(tǒng)遭到破壞和攻擊的風(fēng)險，在一定程度上保障數(shù)據(jù)的安全。電子商務(wù)正處于蓬勃發(fā)展時期，只有解決了電子商務(wù)中出現(xiàn)的各類問題，才能是電子商務(wù)系統(tǒng)更加安全。
關(guān)于我們
About Us
我們的服務(wù)
