【正文】 、最常受到攻擊的應(yīng)用系統(tǒng)實(shí)施特別的保護(hù)。 ? 系統(tǒng)安全漏洞防護(hù) ： 通過系統(tǒng)掃描工具，定期檢查系統(tǒng)中與安全有關(guān)的軟件、資源、各廠商安全 “補(bǔ)丁包 ”的情況，發(fā)現(xiàn)問題及時(shí)報(bào)告并給出解決建議。從而保證了網(wǎng)站網(wǎng)頁文件的絕對(duì)安全。對(duì)傳輸數(shù)據(jù)進(jìn)行加密，保障數(shù)據(jù)傳輸安全 ? 防止網(wǎng)頁的篡改；利用防護(hù)工具防止黑客篡改或非法破壞網(wǎng)頁，保證網(wǎng)站網(wǎng)頁安全。 網(wǎng)絡(luò)安全 為保障網(wǎng)絡(luò)安全，在網(wǎng)絡(luò)上要采取以下措施： ? 設(shè)立防火墻。 網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì) 針對(duì)上面提到的種種安全風(fēng)險(xiǎn)，對(duì)系統(tǒng)安全進(jìn)行設(shè)計(jì)。 網(wǎng)絡(luò)使病毒的傳播速度極大的加快， 公司內(nèi)部網(wǎng)絡(luò) 與 Inter 相連，這意味著每天可能受到來自世界各地的新病毒的攻擊。 這樣就會(huì)造 成網(wǎng)絡(luò)間的互相病毒等其他因素引起的網(wǎng)絡(luò)攻擊。其存在的安全風(fēng)險(xiǎn)主要是黑客攻擊，竊取或篡改重要信息，攻擊網(wǎng)站等。 所以 ， 必須從 多個(gè)層面 來 保證網(wǎng)絡(luò)設(shè)備的安全。其二：經(jīng)驗(yàn)不足，專業(yè)性不強(qiáng)，由于企業(yè)內(nèi)部的專業(yè)人員僅僅著眼于本企業(yè)自身的需求，項(xiàng)目實(shí)施的少，相應(yīng)的項(xiàng)目經(jīng)驗(yàn)欠缺專業(yè)性不強(qiáng)；其三：效率不高，效果不好，應(yīng)為欠缺對(duì)系統(tǒng)建設(shè)的系統(tǒng)知識(shí)和經(jīng)驗(yàn)，總是在摸索著前進(jìn)，在這個(gè)過程中， 實(shí)施人員和使用人員的積極性就會(huì)降低，無法按照預(yù)期完成項(xiàng)目。 網(wǎng)絡(luò)安全技術(shù)方案 第 2 頁 IT 系統(tǒng)運(yùn)維面臨的問題 2 系統(tǒng)安全 網(wǎng)絡(luò)系統(tǒng)安全風(fēng)險(xiǎn)分析 設(shè)備安全風(fēng)險(xiǎn)分析 網(wǎng)絡(luò)設(shè)備 、服務(wù)器設(shè)備、存儲(chǔ)設(shè)備 的安全是保證網(wǎng)絡(luò)安全運(yùn)行的一個(gè)重要因素。 網(wǎng)絡(luò)安全技術(shù)方案 第 3 頁 網(wǎng)絡(luò)安全系統(tǒng)分析 網(wǎng)絡(luò)層位于系統(tǒng)平臺(tái)的最低層，是信息訪問、共享、交流和發(fā)布的必由之路，也是黑客（或其它攻擊者）等進(jìn)行其截獲、竊聽竊取信息、篡改信息、偽造和冒充等攻擊的必由之路。 許多機(jī)器臨時(shí)性（甚至經(jīng)常性的）連接到外網(wǎng)上或直接連接到 Inter 上。 系統(tǒng)安全風(fēng)險(xiǎn)分析 系統(tǒng)安全通常分為系統(tǒng)級(jí)軟件比如操作系統(tǒng)、數(shù)據(jù)庫等的安全漏洞 、 病毒防治 。 網(wǎng)絡(luò)安全技術(shù)方案 第 4 頁 應(yīng)用安全風(fēng)險(xiǎn) 分析 基于 B/S 模式的業(yè)務(wù)系統(tǒng)由于身份認(rèn)證、數(shù)據(jù)傳輸、訪問控制、授權(quán)、口令等存在安全隱患，從而對(duì)整個(gè)系統(tǒng)造成安全威脅。 設(shè)備安全 設(shè)備安全在這里主要指控制對(duì)交換機(jī)等網(wǎng)絡(luò)設(shè)備的訪問，包括物理訪問和登錄訪問兩種 。 防火墻作為內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間的第一道屏障，一般用在企業(yè)網(wǎng)與 Inter 等公眾網(wǎng)之間的連接點(diǎn)處， 防護(hù)來自外部的攻擊，并過濾掉不安全的服務(wù)請(qǐng)求和非法用戶進(jìn)入； ? 在內(nèi)部系統(tǒng)的 Web 服務(wù)器到應(yīng)用服務(wù)器之間設(shè)置防火墻，防止來自內(nèi)部的攻擊和 破壞，保證系統(tǒng)的安全； 網(wǎng)絡(luò)安全技術(shù)方案 第 5 頁 ? 進(jìn)行入侵檢測(cè)。針對(duì)防止網(wǎng)頁篡改，推薦使用 InforGuard。 ? 定期進(jìn)行安全檢查，查補(bǔ)安全漏洞，采用漏洞掃描軟件對(duì)內(nèi)部服務(wù)器瀏覽器和所有網(wǎng)絡(luò)設(shè)備進(jìn)行漏洞掃描，及時(shí)彌補(bǔ)各類安全漏洞。 ? 病毒防護(hù) ： 在內(nèi)網(wǎng)和外網(wǎng)中分別設(shè)置網(wǎng)絡(luò)防病毒軟件控制中心，安裝網(wǎng)絡(luò)版的防病毒控制臺(tái)，在服務(wù) 器系統(tǒng)和網(wǎng)絡(luò)內(nèi)的主機(jī)均安裝防病毒軟件的客戶端。 對(duì)WEB 服務(wù)器保護(hù)對(duì) Web 訪問、監(jiān)控 /阻塞 /報(bào)警、入侵探測(cè)、攻擊探測(cè)、惡意 applets、惡意 Email 等在內(nèi)的安全政策進(jìn)行明確規(guī)劃。 ? 權(quán)限控制和管理 ： 按照單位、部門、職務(wù)、工作性質(zhì)等對(duì)用戶進(jìn)行分類，不同的用戶賦予不同的權(quán)限、可以訪問不同的系統(tǒng)、可以操作不同的功能模塊；應(yīng)用系統(tǒng)的權(quán)限實(shí)行分級(jí)管理，每個(gè)系統(tǒng)的管理員自己定義各類用戶對(duì)該系統(tǒng)資源的可訪問內(nèi)容。應(yīng)用系統(tǒng)日志：通過記錄應(yīng)用系統(tǒng)中操作日志，通過事后審計(jì)功能為將來分析提供數(shù)據(jù)分析源，確保業(yè)務(wù)的可追溯性。 為了保證數(shù)據(jù)的安全，通常的做法是對(duì)數(shù)據(jù)進(jìn)行備份。 網(wǎng)絡(luò)安全技術(shù)方案 第 7 頁 對(duì)于數(shù)據(jù)庫系統(tǒng)備份，有兩種方式可以選擇： 第一種是采用數(shù)據(jù)庫自身的備份功能，其優(yōu)點(diǎn)是不需要追加額外的投資，缺點(diǎn)是這種備份方式是手工進(jìn)行的，備份效率較低，并且在備份時(shí)需要關(guān)閉數(shù)據(jù)庫，即需要 shutdown 數(shù)據(jù)庫實(shí)例。 數(shù)據(jù)庫的數(shù)據(jù)量龐大，可以通過同時(shí)驅(qū)動(dòng)多個(gè)磁帶驅(qū)動(dòng)器來保證數(shù)據(jù)庫備份的效率。 保證數(shù)據(jù)安全，對(duì)數(shù)據(jù)進(jìn)行備份。 可以簡(jiǎn)單地通過禁止特定外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的連接來保護(hù)整個(gè)網(wǎng)絡(luò)。 包過濾防火墻不是基于連接狀態(tài)的 ，因此，它不保存會(huì)話連接信息或上層應(yīng)用信息。 電路網(wǎng)關(guān)防火墻檢查每一個(gè)連接的建立過程來保證連接的合法性，以及利用一個(gè)合法的連接信息表（包括狀態(tài)以及序列號(hào)）來檢查數(shù)據(jù)包的正確性。 序列號(hào)信息。 數(shù)據(jù)包離開的物理網(wǎng)絡(luò)接口。 結(jié)合 NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換功能，可以將內(nèi)部網(wǎng)絡(luò)從外部網(wǎng)絡(luò)中屏蔽起來。 應(yīng)用層防火墻 應(yīng)用層防火墻檢查所有的數(shù)據(jù)包、連接狀態(tài)信息以及序列號(hào)，同時(shí)還能驗(yàn)證應(yīng)用層特定的安全控制，包括：用戶名，口令等。 應(yīng)用層防火墻具有以下優(yōu)點(diǎn)： 代理服務(wù)能完全理解和實(shí)施上層協(xié)議。 代理服務(wù)不允許外部服務(wù)器和內(nèi)部主機(jī)之間的直接通訊，可有效的隱含內(nèi)部網(wǎng)絡(luò)信息。 由于代理服務(wù)要監(jiān)聽服務(wù)端口，因此，在防火墻服務(wù)器上不能提供同樣的服務(wù)。 網(wǎng)絡(luò)安全技術(shù)方案 第 10 頁 代理服務(wù)通常需要修改客戶應(yīng)用程序端或應(yīng)用配置。其同電路網(wǎng)關(guān)有相同的優(yōu)缺點(diǎn)。 否認(rèn)服務(wù)： 這種攻擊方法又細(xì)分為兩種：即洪水連接和報(bào)文注入，洪水連接是向目的主機(jī)發(fā)出大量原地址非法的 TCP 連接，這樣，目的主機(jī)就一直處于等待狀態(tài)，最后由于資源耗盡而死機(jī)。這種攻擊方法最常見的應(yīng)用就是在 WEB 服務(wù)嵌入 Java Applet、 ActiveX 等控件，使用戶在瀏覽網(wǎng)頁時(shí)，不知不覺中被寄生了攻擊程序。對(duì)于同各個(gè)分支機(jī)構(gòu)的按 Extra 方式連接 網(wǎng)絡(luò)安全技術(shù)方案 第 11 頁 的采用 IPSec 技術(shù)對(duì) IP 數(shù)據(jù) 包加密，該加密算法對(duì)數(shù)據(jù)加密采用 DES 算法，其 DES 密鑰是動(dòng)態(tài)產(chǎn)生的，連接雙方加密密鑰是通過 RAS 算法傳送的，因此，具有很高的安全性。 否認(rèn)服務(wù)： 對(duì)于洪水連接攻擊我們采用 TCP 攔截技術(shù)，對(duì)一 個(gè)主機(jī)的訪問限制在一個(gè)可接受范圍內(nèi)，對(duì)于超過的可按幾種設(shè)定方式丟棄連接。對(duì) Java Applet 和 ActiveX 的防范采用員工教育方式，教育職員不要訪問不明站點(diǎn)，盡量在瀏覽器中關(guān)閉 Java Applet 和 ActiveX 功能。 網(wǎng)絡(luò)安全技術(shù)方案 第 12 頁 ? 高級(jí)反病毒引擎 能夠探測(cè)包含計(jì)算機(jī)病毒的網(wǎng)絡(luò)流量的病毒掃描引擎。定期更新的攻擊模式庫 可以從 CA web 站點(diǎn)獲得 能夠確保入侵檢測(cè)保持最新。 ? 內(nèi)容掃描 管理員通過入侵檢測(cè) eID 可以定義策略對(duì)內(nèi)容進(jìn)行檢查。 ? 集中化監(jiān)控 網(wǎng)絡(luò)管理員可以從本地或遠(yuǎn)程監(jiān)控運(yùn)行入侵檢測(cè) (eTrust Intrusion Detection) 的一個(gè)或多個(gè)站，在不同網(wǎng)絡(luò)段（本地或遠(yuǎn)程）上安裝了受中央站控制的入侵檢測(cè) (eTrust Intrusion Detection) 代理后，管理員可以根據(jù)收集到的合并信息查看報(bào)警和生成報(bào)告。在安裝軟件并指定歸檔地點(diǎn)后，用戶可以定義在檔案中記錄會(huì)話的規(guī)則。 CA 認(rèn)證與 SSL 加密 CA 的作用 ? 數(shù)字證書能為你做什么 ： 個(gè)人數(shù)字證書是網(wǎng)友進(jìn)入 21 世紀(jì)的必需品。而在網(wǎng)際路上，您如果沒有數(shù)字證書，不管您外表多 young、多炫，多酷，依舊是寸步難行。以數(shù)字證書為核心的身份認(rèn)證、數(shù)字簽名、數(shù)字信封等數(shù)字加密技術(shù)是目前通用可行的安全問題解決方案。 ? 交易者身份的確定性 網(wǎng)上交易的雙方很可能素昧平生 ,相隔千里 。銀行和信用卡公司可以采用各種保密與識(shí)別方法，確認(rèn)顧客的身 網(wǎng)絡(luò)安全技術(shù)方案 第 14 頁 份是否合法，同時(shí)還要防止發(fā)生拒付款問題以及確認(rèn)訂貨和訂貨收據(jù)信息等。 ? 不可修改性 交易的文件是不可被修改的，如上例所舉的訂購黃金。國(guó)際上已經(jīng)有比較成熟的安全解決方案，那就是建立安全證書體系結(jié)構(gòu)。 系統(tǒng)特性 ? 高強(qiáng)度加密和認(rèn)證 Universal CA 采用基于 RSA 加密算法的公鑰體系加密和認(rèn)證，可以生成 51 76 1024位三種不同密鑰的長(zhǎng)度的證書，確保證書的安全性和可靠性。 Universal CA 可以以上述三種方法生成證書，使用戶應(yīng)用極為方便。 CA 機(jī)構(gòu)，又稱為證書授證 (Certificate Authority)中心，作為電子商務(wù)交 易中受信任和具有權(quán)威性的第三方，承擔(dān)公鑰體系中公鑰的合法性檢驗(yàn)的責(zé)任。 為保證客戶之間在網(wǎng)上傳遞信息的安全性、真實(shí)性、可靠性、完整性和不可抵賴性，不僅需要對(duì)客戶的身份真實(shí)性進(jìn)行驗(yàn)證，也需要有一個(gè)具有權(quán)威性、公正性、唯一性的機(jī)構(gòu)，負(fù)責(zé)向電子商務(wù)的各個(gè)主體頒發(fā)并管 理符合國(guó)內(nèi)、國(guó)際安全電子交易協(xié)議標(biāo)準(zhǔn)的安全證書。它為客戶的公開密鑰簽發(fā)公鑰證書、發(fā)放證書和管理證書，并提供一系列密鑰生命周期內(nèi)的管理服務(wù)。認(rèn)證中心在密碼管理方面的作用如下： 自身密鑰的產(chǎn)生、存儲(chǔ)、備份 /恢復(fù)、歸檔和銷毀 從根 CA 開始到直接給客戶發(fā)放證書的各層次 CA，都有其自身的密鑰對(duì)。需要強(qiáng)調(diào)的是， 網(wǎng)絡(luò)安全技術(shù)方案 第 16 頁 根 CA 密鑰的安全性至關(guān)重要，它的泄露意味著整個(gè)公鑰 信任體系的崩潰，所以 CA 的密鑰保護(hù)必須按照最高安全級(jí)的保護(hù)方式來進(jìn)行設(shè)置和管理。 CA 中心在與各機(jī)構(gòu)進(jìn)行安全通信時(shí)，可采用多種手段。各 CA系統(tǒng)的證書有效期限有所不同，一般大約為 2～ 3 年。公鑰證書的吊銷來自于兩個(gè)方向，一個(gè)是上級(jí)的主動(dòng)吊銷，另一個(gè)是下級(jí)主動(dòng)申請(qǐng)證書的吊銷。 提供密鑰生成和分發(fā)服務(wù) 。 提供密鑰托管和密鑰恢復(fù)服務(wù) 。密鑰恢復(fù)時(shí)，采用相應(yīng)的密鑰恢復(fù)模塊進(jìn)行解密，以保證客戶的私鑰在恢復(fù)時(shí)沒有任何風(fēng)險(xiǎn)和不安全因素。 對(duì)于為客戶提供公鑰信任、管理和維護(hù)整個(gè)電子商務(wù)密碼體系的 CA 中心來講，其密鑰管理工作是一項(xiàng)十分復(fù)雜的任務(wù)，它涉及到 CA 中心自身的各個(gè)安全區(qū)域和部件、注冊(cè)審核機(jī)構(gòu)以及客戶端的安全和密碼管理策略。它具備以下基本特征：信息保密性、信息完整性、相互鑒定。 SSL 的先進(jìn)之處在于它是一個(gè)獨(dú)立的應(yīng)用協(xié)議，其它更高層協(xié)議能夠建立在 SSL 協(xié)議上。目前，大部分的 Web Server 及 Browser 都廣泛使用 SSL 技術(shù)。當(dāng)然，這 里的安全指的是信息不被偽造，不被網(wǎng)絡(luò)上的黑客中途攔劫解毒及擅自更改。 SSL 可以提供以下三種安全防護(hù)： 數(shù)據(jù)的機(jī)密性與完整性：主要是通過數(shù)據(jù)的加解密來實(shí)現(xiàn)。 以網(wǎng)上購物的例子來說，為了不讓網(wǎng)絡(luò)上的第三者看到我們的信用卡數(shù)據(jù)，因此必須先將數(shù)據(jù)加密之后再傳送，而當(dāng)數(shù)據(jù)到達(dá)對(duì)方服務(wù)器時(shí)再將數(shù)據(jù)解密，同時(shí)檢查數(shù)據(jù)是否有被他人更改過，如果發(fā)現(xiàn)任何的錯(cuò)誤，那么這份數(shù)據(jù)就不會(huì)被接受。 SSL 內(nèi)部使用的是 RSA 公司所授權(quán)的公開金鑰加密法，服務(wù)器必須申請(qǐng)屬于自己的數(shù)字證書，加裝到服務(wù)器中作為識(shí)別之用?？蛻舻男畔⑹紫葌鞯缴碳遥碳议喿x后再傳到銀行，這樣，客戶資料的安全性便受到威脅。 SSL 協(xié)議逐漸被新的 SET 協(xié)議所取代。計(jì)算機(jī)病毒十分有害，如果沒有檢測(cè)和防護(hù)，用戶經(jīng)常不知道自己感染 上病毒，直到病毒發(fā)作并產(chǎn)生危害。盡管病毒在 Apple 機(jī)和 PC 上都存在 , 但在 PC 系統(tǒng)中更為廣泛，這是因?yàn)?MSDOS 結(jié)構(gòu)使用中斷和向量表，編寫病毒相對(duì)容易。大的計(jì)算機(jī)網(wǎng)絡(luò)幾乎必然被病毒感染。 有兩種病毒不容易被檢測(cè)：隱身病毒和多態(tài)病毒。隨著 Inter 的普及，文件型病毒變得越來越多。如今，針對(duì)以上各種現(xiàn)象的危害越來越多，木馬病毒已成為威脅數(shù)字娛樂的大敵 。 但是，客戶端防病毒軟件有一個(gè)致命弱點(diǎn)：只是在用戶使用時(shí)周期地檢測(cè)病毒，對(duì)下載的、或其他方式傳輸?shù)奈募t不檢測(cè)，而這些文件可能帶有病毒。然而，文件服務(wù)器型防病毒軟件也有一些缺點(diǎn)：很強(qiáng)的網(wǎng)絡(luò)服務(wù)器防病毒功能，客戶端則沒有，對(duì)于不通過文件