電子商務安全解決方案

1、電子商務信息安全解決方案密級 內(nèi)部文檔編號V10版本編號V10.2日期 2013-07-31rounder J5I信息安全技術(shù)有限有限公司2013年7月第一章前言1.1概念電子商務通常是指是在全球各地廣泛的商業(yè)貿(mào)易活動中，在因特網(wǎng)開放的網(wǎng) 絡環(huán)境下，基于瀏覽器/服務器應用方式，買賣雙方不謀面地進行各種商貿(mào)活動， 實現(xiàn)消費者的網(wǎng)上購物、商戶之間的網(wǎng)上交易和在線電子支付以及各種商務活動、 交易活動、金融活動和相關(guān)的綜合服務活動的一種新型的商業(yè)運營模式。電子商 務是利用微電腦技術(shù)和網(wǎng)絡通訊技術(shù)進行的商務活動。各國政府、學者、企業(yè)界 人士根據(jù)自己所處的地位和對電子商務參與的角度和程度的不同，給出了許多

2、不 同的定義。首先將電子商務劃分為廣義和狹義的電子商務。廣義的電子商務定義為，使 用各種電子工具從事商務或活動；狹義電子商務定義為，主要利用Internet從 事商務或活動。無論是廣義的還是狹義的電子商務的概念，電子商務都涵蓋了兩 個方面：一是離不開互聯(lián)網(wǎng)這個平臺，沒有了網(wǎng)絡，就稱不上為電子商務；二是 通過互聯(lián)網(wǎng)完成的是一種商務活動。狹義上講，電子商務（Electronic Commerce，簡稱EC）是指：通過使用互聯(lián) 網(wǎng)等電子工具（這些工具包括電報、電話、廣播、電視、傳真、計算機、計算機 網(wǎng)絡、移動通信等）在全球范圍內(nèi)進行的商務貿(mào)易活動。是以計算機網(wǎng)絡為基礎(chǔ) 所進行的各種商務活動，包括商品

3、和服務的提供者、廣告商、消費者、中介商等 有關(guān)各方行為的總和。人們一般理解的電子商務是指狹義上的電子商務。廣義上講，電子商務一詞源自于Electronic Business，就是通過電子手段 進行的商業(yè)事務活動。通過使用互聯(lián)網(wǎng)等電子工具，使公司內(nèi)部、供應商、客戶 和合作伙伴之間，利用電子業(yè)務共享信息，實現(xiàn)企業(yè)間業(yè)務流程的電子化，配合 企業(yè)內(nèi)部的電子化生產(chǎn)管理系統(tǒng)，提高企業(yè)的生產(chǎn)、庫存、流通和資金等各個環(huán) 節(jié)的效率。聯(lián)合國國際貿(mào)易程序簡化工作組對電子商務的定義是：采用電子形式開展商 務活動，它包括在供應商、客戶、政府及其他參與方之間通過任何電子工具，如EDI. Web技術(shù)、電子郵件等共享非結(jié)構(gòu)化

4、商務信息，并管理和完成在商務活動、 管理活動和消費活動中的各種交易。電子商務是利用計算機技術(shù)、網(wǎng)絡技術(shù)和遠程通信技術(shù)，實現(xiàn)電子化、數(shù)字 化和網(wǎng)絡化，商務化的整個商務過程。電子商務是以商務活動為主體，以計算機網(wǎng)絡為基礎(chǔ)，以電子化方式為手段， 在法律許可范圍內(nèi)所進行的商務活動交易過程。電子商務是運用數(shù)字信息技術(shù)，對企業(yè)的各項活動進行持續(xù)優(yōu)化的過程。1.2發(fā)展前景隨著我國網(wǎng)絡技術(shù)普及率的日益提高，通過網(wǎng)絡進行購物、交易、支付等的 電子商務新模式發(fā)展迅速。電子商務憑借其低成本、高效率的優(yōu)勢，不但受到普 通消費者的青睞，還有效促進中小企業(yè)尋找商機、贏得市場，已成為我國轉(zhuǎn)變發(fā) 展方式、優(yōu)化產(chǎn)業(yè)結(jié)構(gòu)的重要動

5、力。根據(jù)前瞻網(wǎng)2013-2017年中國電子商務行業(yè)市場前瞻與投資戰(zhàn)略規(guī)劃分析 報告1數(shù)據(jù)顯示，“十一五”時期，我國電子商務行業(yè)發(fā)展迅猛，產(chǎn)業(yè)規(guī)模迅 速擴大，電子商務信息、交易和技術(shù)等服務企業(yè)不斷涌現(xiàn)。2010年中國電子商 務市場交易額已達4.5萬億元，同比增長22%。2011年我國電子商務交易總額再 創(chuàng)新高，達到5.88萬億元，其中中小企業(yè)電子商務交易額達到3.21萬億元。2012年第一季度，中國電子商務市場整體交易規(guī)模1.76萬億，同比增長 25.8%，環(huán)比下降4.2%。2012年第二季度，我國電子商務市場整體交易規(guī)模1.88 萬億，同比增長25.0%，環(huán)比增長7.3%。2第二章需求分析典型

6、的電子商務系統(tǒng)擁有三級架構(gòu)：直接面向交易用戶的Web服務器層， 后臺事務處理的應用服務器層，后臺數(shù)據(jù)存儲的數(shù)據(jù)庫服務器層。用戶的交易請 求一定是經(jīng)由Web服務器一應用服務器一數(shù)據(jù)庫服務器的順序來實現(xiàn)的。典型的電子商務數(shù)據(jù)流過程：交易用戶通過Internet瀏覽電子商務系統(tǒng)的 Web服務器，在頁面上點擊發(fā)起交易或查詢請求；Web服務器向應用服務器發(fā)起 事務處理請求，等待應用服務器應答；應用服務器將交易或查詢信息傳遞到數(shù)據(jù) 庫服務器，由數(shù)據(jù)庫服務器作應答；各級服務器在收到后臺應答后向前臺設(shè)備作 響應，最終響應給交易用戶，完成一筆交易或查詢。如何建設(shè)一個既有先進技術(shù)支持，又有過硬的安全保障的網(wǎng)絡，成

7、了企業(yè)必 須完成的一項任務。根據(jù)企業(yè)自身的發(fā)展以及企業(yè)自身的特點，決定建設(shè)一整套 電子商務平臺建設(shè)。內(nèi)容如下：建設(shè)一整套高速、高性能、完整的網(wǎng)絡運算平臺建設(shè)一套高性能的防病毒、防黑客、防間諜系統(tǒng)確保網(wǎng)絡的安全建設(shè)一整有效的網(wǎng)站防篡改系統(tǒng)，有效的保護網(wǎng)站不受黑客等的攻擊和篡改建設(shè)一整套服務器負載均衡系統(tǒng)，確保運算交易系統(tǒng)等的大量服務器在全國 范圍內(nèi)大規(guī)模交易用戶能以最快速度進行交易建設(shè)一整套數(shù)據(jù)的存儲和備份和災難恢復系統(tǒng)，對每天產(chǎn)生的大量的數(shù)據(jù)進 行有效的存儲和保護。以備災難發(fā)生時能及時有效的進行數(shù)據(jù)恢復建設(shè)一套大規(guī)模網(wǎng)絡運維管理系統(tǒng)，對建成的網(wǎng)絡系統(tǒng)進行有效的管理和維 護3第三章方案設(shè)計3.1

8、方案設(shè)計原則先進性：系統(tǒng)采用的技術(shù)必須是先進而成熟的?，F(xiàn)在計算機技術(shù)的發(fā)展日新 月異，要保護客戶的投資就必須采用先進的技術(shù)，并且這種技術(shù)和產(chǎn)品必須被業(yè) 界公認為成熟且有發(fā)展前途的。實用性：建設(shè)系統(tǒng)的目的是要解決企業(yè)數(shù)據(jù)信息的共享、交換和安全，提供 現(xiàn)代化的管理，因此，設(shè)計方案的出發(fā)點就是要滿足用戶的信息要求。經(jīng)濟性：設(shè)計方案不但要考慮采用技術(shù)的先進、可靠，而且還必須考慮用戶 的經(jīng)濟負擔。因此，設(shè)計方案必須具備很高的性能價格比。高可管理性與高可靠性：由于整個業(yè)務系統(tǒng)的設(shè)計采取集中式的管理策略， 所以存儲系統(tǒng)必須具備很高的可管理性。另外，計算機網(wǎng)絡系統(tǒng)的外部環(huán)境是多 變的，設(shè)計方案必須是強健的，能

9、夠很方便地進行調(diào)整，以滿足外部環(huán)境的變化。高可擴充性與升級能力：設(shè)計方案必須能夠適應企業(yè)網(wǎng)絡系統(tǒng)發(fā)展的需要， 具備高可擴充性與升級能力。存儲系統(tǒng)必須是可以擴充的，必須具備較高的擴展 能力，而且隨著計算機技術(shù)的發(fā)展可以對系統(tǒng)進行升級。開放性與標準化：設(shè)計方案中所采用的技術(shù)和選用的產(chǎn)品都必須是業(yè)界公認 的主流，而且必須滿足開放性的要求。3.2數(shù)據(jù)存儲、備份、災難恢復系統(tǒng)方案設(shè)計FC-SAN存儲系統(tǒng)3.2.1方案描述本地存儲備份系統(tǒng)設(shè)計了一個核心主存儲系統(tǒng)，一個備份系統(tǒng)，備份架構(gòu)采 用了業(yè)界先進的D2D2T模式，數(shù)據(jù)集中存放在“存儲中心”的磁盤設(shè)備上，這 是第一個“D”，數(shù)據(jù)備份到備份用的磁盤介質(zhì)上

10、，這是第二個“D”，磁盤存 儲和備份及數(shù)據(jù)恢復都更加快速，以保證用戶在數(shù)據(jù)或者系統(tǒng)出現(xiàn)故障時在最短 的時間內(nèi)使信息系統(tǒng)得到恢復。最后的“T”是指每三個月將數(shù)據(jù)歸檔到磁帶介 質(zhì)上，這樣充分利用了磁帶介質(zhì)線型存儲方式的安全和產(chǎn)品價格的低廉，并且節(jié) 省了磁盤介質(zhì)的空間。本地存儲備份歸檔系統(tǒng)的完善部屬，一方面可以解決現(xiàn)有數(shù)據(jù)的集中存儲問 題和數(shù)據(jù)的備份問題。同時為后面進行異地容災打下了較好的硬件基礎(chǔ)。目標是構(gòu)造一個以數(shù)據(jù)為中心，功能齊全、運行高效、使用靈活、維護方便、 易于擴展、投資省、安全可靠的數(shù)據(jù)存儲備份系統(tǒng)，為了達到這個目標，必須遵 守以下幾個設(shè)計原則：以原有存儲資源的合理利用為基礎(chǔ)，以數(shù)據(jù)為中

11、心，構(gòu)架一個全新的數(shù)據(jù)備 份模式存儲備份系統(tǒng)應以目前的Windows平臺為主，同時還要考慮到將來關(guān)鍵業(yè)務 系統(tǒng)與其它Unix、LINUX平臺兼容提供較好的可擴展性能，保護貴單位投資提供完備的、易操作的備份管理功能。包括：在高峰期不占用過多網(wǎng)絡資源 前提下，實現(xiàn)高效快速的數(shù)據(jù)備份與恢復；具有較高的數(shù)據(jù)讀寫速度和穩(wěn)定性； 具有完備的備份策略，如全備份、增量備份、差分備份、按需備份功能完備易于操作的備份管理系統(tǒng)。3.2.2存儲備份系統(tǒng)部署1.備份服務器備份服務器的作用相當于備份系統(tǒng)的“大腦”，管理制定整個備份系統(tǒng)（包 括全部需要備份的服務器和存儲設(shè)備、磁帶歸檔設(shè)備）的備份策略和跟蹤客戶端 的備份。服

12、務器是集中管理的核心。系統(tǒng)數(shù)據(jù)在備份控制服務器的統(tǒng)一控制和管理下，實現(xiàn)增量備份、差分備份， 當數(shù)據(jù)量為海量數(shù)據(jù)，無法實現(xiàn)每天的完全備份時，可以把備份策略制定成增量， 差分和全備份相結(jié)合的方式。（每周/每月做一次全備份，其它時間每天作增量 或差分備份），減少備份時間，提高備份速度。同時減少磁帶的使用量。2.備份系統(tǒng)的控制備份控制服務器對整個備份系統(tǒng)通過統(tǒng)一的管理控制軟件進行控制，備份系 統(tǒng)的備份策略的定義可以隨時由備份控制服務器靈活修改，在任何一臺需要備份 的服務器上，可以通過設(shè)制備份策略在相應的時間對用戶的數(shù)據(jù)庫、操作系統(tǒng)、 客戶端系統(tǒng)及數(shù)據(jù)進行備份。高級磁盤備份和恢復通過基于磁盤的高級備份和

13、恢復，包括合成備份、脫機備份，可以實現(xiàn)更快 的備份和恢復，進行零影響的備份。合成備份可以縮短備份時間，減少網(wǎng)絡帶寬 需求，而且不會影響原始客戶端。此外，合成備份使用戶能夠從一個備份映像進 行快速的客戶端恢復，而無需從多盤磁帶和增量備份進行恢復（即：我們經(jīng)常說 的D2D2T）。建立多級恢復系統(tǒng)，以磁盤陣列為一級恢復設(shè)備，磁帶設(shè)備作為 二級恢復設(shè)備。上述數(shù)據(jù)備份系統(tǒng)的功能實現(xiàn)能夠充分滿足備份系統(tǒng)的要求，同時，由于其 備份層次的靈活性，可以根據(jù)數(shù)據(jù)量和應用繁忙程度的不同而靈活實施備份。備 份任務采用了上述靈活的備份管理功能，具有很多完善的備份系統(tǒng)控制和管理方 法。3.2.3備份策略設(shè)置:我們初步制定

14、的備份策略為：每天做應用數(shù)據(jù)（數(shù)據(jù)庫、群件等）和用戶數(shù)據(jù)的備份，盡量在中午或夜間 進行。每三個月做系統(tǒng)的（包括操作系統(tǒng)、數(shù)據(jù)庫、群件、用戶數(shù)據(jù)等）全備份和 數(shù)據(jù)歸檔，備份歸檔完后將磁帶取出另存。每日的數(shù)據(jù)備份按一定備份策略執(zhí)行，保留一段時間的數(shù)據(jù)（如一個星期）， 過了該段時間后數(shù)據(jù)被覆寫。由于備份設(shè)備采用高容量、高性能的磁盤設(shè)備，歸 檔采用成熟安全的磁帶存儲技術(shù)，所有備份作業(yè)都能自動進行，無須人為干預。每三個月的系統(tǒng)全備份采用每日備份策略外的磁帶，定義不同的備份策略， 與每日的備份互不干擾，獨立進行。3.3防病毒、防黑客、防間諜系統(tǒng)方案設(shè)計3.3.1防病毒系統(tǒng) 概述病毒伴隨著計算機系統(tǒng)一起發(fā)展

15、了十幾年，目前其形態(tài)和入侵途徑已發(fā)生了巨大的變化。 目前幾乎每天都有新的病毒出現(xiàn)在Internet上，并且由于其借助Internet上的信息往來，所 以傳播速度極快。隨著計算機技術(shù)的不斷發(fā)展，病毒也變得越來越復雜和高級。據(jù)2006年 新華網(wǎng)調(diào)查結(jié)果顯示，計算機病毒發(fā)作造成損失的比例為62%。瀏覽器配置被修改、數(shù)據(jù)受 損或丟失、系統(tǒng)使用受限、網(wǎng)絡無法使用、密碼被盜是計算機病毒造成的主要破壞后果?；谝陨线@些情況，為了企業(yè)的財產(chǎn)免受損失，大多數(shù)企業(yè)都需要選擇多層 的病毒防衛(wèi)體系，所謂多層病毒防衛(wèi)體系，是指在企業(yè)的每個臺式機上要安裝臺 式機的反病毒軟件，在服務器上要安裝基于服務器的反病毒軟件，在IN

16、TERNET 網(wǎng)關(guān)上要安裝基于INTERNET同關(guān)的反病毒軟件，因為對企業(yè)來說，防止病毒 的攻擊并不是某一個管理員的責任，而是每一個員工的責任，每一個員工都要做 到個人使用的臺式機上不受病毒的感染，從而保證整個企業(yè)網(wǎng)不受病毒的感染。病毒威脅分析目前絕大多數(shù)病毒傳播的途徑是網(wǎng)絡。對于一個網(wǎng)絡系統(tǒng)而言，針對病毒的 入侵渠道和病毒集散地進行防護是最有效的防治策略。因此，對于每一個病毒可 能的入口，部署相應的防病毒軟件，實時檢測其中是否有病毒，是構(gòu)建一個完整 有效防病毒體系的關(guān)鍵。來自系統(tǒng)外部（Internet或外網(wǎng)）的病毒入侵：這是目前病毒進入最多的途 徑.因此在與外部連接的網(wǎng)關(guān)處進行病毒攔截是效率

17、最高，耗費資源最少的措施。 可以使進入內(nèi)部系統(tǒng)的病毒數(shù)量大為減少。但很明顯，它只能阻擋進出內(nèi)部系統(tǒng) 病毒的入侵。網(wǎng)絡郵件/群件系統(tǒng)：如果網(wǎng)絡內(nèi)采用了自己的郵件/群件系統(tǒng)實施辦公和信 息自動化，那么一旦有某個用戶感染了病毒，通過郵件方式該病毒將以幾何級數(shù) 在網(wǎng)絡內(nèi)迅速傳播，并且很容易導致郵件系統(tǒng)負荷過大而癱瘓。因此在郵件系統(tǒng) 上部署防病毒也顯得尤為重要。文件服務器：文件資源共享是網(wǎng)絡提供的基本功能。文件服務器大大提高了 資源的重復利用率，并且能對信息進行長期有效的存儲和保護。但是一旦服務器 本身感染了病毒，就會對所有的訪問者構(gòu)成威脅。因此文件服務器也需要設(shè)置防 病毒保護。最終用戶：病毒最后的入侵

18、途徑就是最終的桌面用戶。由于網(wǎng)絡共享的便利 性，某個感染病毒的桌面機可能隨時會感染其它的機器，或是被種上了黑客程序 而向外傳送機密文件。因此在網(wǎng)絡內(nèi)對所有的客戶機進行防毒控制也是非常重要 的。解決方案建議方正熊貓防毒我們建議采用業(yè)界和行業(yè)認可技術(shù)性能優(yōu)異的方正熊貓防病毒體系部署解決。 方正熊貓產(chǎn)品，獲得所有世界頂級權(quán)威認證。該系統(tǒng)的部署可滿足系統(tǒng)安全以下主要需求：簡易的安裝和配置操作Internet訪問的穩(wěn)定性、安全性十分重要。防毒產(chǎn)品的安裝和設(shè)置應盡量 簡易，充分考慮系統(tǒng)數(shù)據(jù)、文件的安全可靠性，所選產(chǎn)品與現(xiàn)系統(tǒng)具有良好的一 致性和兼容性，以及最低的系統(tǒng)資源占用，保證不對現(xiàn)有系統(tǒng)運行產(chǎn)生不良影

19、響。 可管理性企業(yè)日益重視其IT環(huán)境的總體擁有成本(TCO)。在有限的人力資源情況下， IT管理員的工作是非常復雜和繁忙的，要管理好防病毒系統(tǒng)的安裝、升級、配 置和工作報告是一個非常繁瑣的事，因此產(chǎn)品本身應帶有集成的、易用的管理工 具，管理員可以從一個集中管理控制臺對整個防毒系統(tǒng)進行監(jiān)控管理和維護。軟件的可升級性可升級能力是衡量防病毒系統(tǒng)是否具有生命力的重要指標。防毒軟件的特點 是隨著各類新病毒的出現(xiàn)而必須盡快進行更新和升級，其中包括病毒定義、產(chǎn)品 組件的更新。系統(tǒng)的可擴展性在信息時代，企業(yè)的信息系統(tǒng)都處于飛速膨脹的過程之中。防病毒系統(tǒng)也應 適應企業(yè)的發(fā)展趨勢，自身具有較大的可擴展能力。充分保

20、護用戶的現(xiàn)有投資， 適應計算機系統(tǒng)發(fā)展的需要。降低系統(tǒng)總體成本在讓客戶在獲得優(yōu)質(zhì)的防病毒服務的同時，能夠盡量減少所需增加的費用支 出。強大的病毒清除能力如果選用的防病毒軟件病毒清除能力較弱，在病毒爆發(fā)的情況下，管理員會 為了徹底清除網(wǎng)絡中的病毒而疲于奔命，即使采用病毒專用清除工具，這樣在較 長時間內(nèi)網(wǎng)羅中病毒會一直存在。采用世界最先進的清除病毒能力較強的防毒產(chǎn) 品，可確保計算機網(wǎng)絡系統(tǒng)具有最佳的病毒、黑客軟件防護能力。同時也降低了 管理人員的工作量和防病毒產(chǎn)品的維護成本。優(yōu)秀的產(chǎn)品性能選用產(chǎn)品應具備對多種文件格式、多層壓縮文件的病毒檢測。對包括各種宏 病毒、變體病毒和黑客程序等已知病毒具有最佳

21、的病毒檢測率，對未知病毒亦有 良好的檢測能力。在提高病毒檢測力的同時，對檢測出的病毒也有很高的清除能 力，依靠程序本身就可徹底清除感染文件的病毒，減輕管理人員對中毒事件的介 入，把更多的精力放在構(gòu)建完整的病毒防護體系和管理工作上。新病毒的快速響應在全球范圍內(nèi)每周產(chǎn)生大約2000只以上新病毒的情況下，每周的病毒庫更 新使用戶在病毒出現(xiàn)后和下次更新前，會存在感染病毒而防病毒軟件根本無法識 別的風險。而每天兩次病毒數(shù)據(jù)庫的更新，緊急情況下45分鐘的全球用戶更新， 確保在任何新病毒出現(xiàn)的情況下通過快速高效的防病毒更新機制，使所有用戶得 到最大程度的防病毒保護。因此對于整個網(wǎng)絡而言，需要采取綜合的防護措

22、施，構(gòu)筑全方位的安全保 護系統(tǒng)，才能得到真正有效的防病毒安全。方正熊貓安全網(wǎng)關(guān)：熊貓安全網(wǎng)關(guān)能夠針對HTTP、HTTPS、FTP、SMTP、POP3等協(xié)議流量進行雙向的過濾掃描， 來達到對企業(yè)內(nèi)網(wǎng)用戶和服務器的保護，并防止內(nèi)網(wǎng)已感染病毒的客戶端和服務器對外擴散 病毒。在云的Internet應用協(xié)議流量中通常HTTP流量所占的比重最大，因此HTTP協(xié)議 的檢測性能是網(wǎng)關(guān)防病毒的關(guān)鍵性能指標。為了實現(xiàn)防病毒安全網(wǎng)關(guān)系統(tǒng)超強的應用防護功能，自主開發(fā)了操作系統(tǒng) SecOS。SecOS支持多核、多引擎并行處理，且優(yōu)化重寫了 TCP協(xié)議棧，具有模 塊化的應用處理架構(gòu)，能夠根據(jù)Internet應用安全的需要

23、將多種功能集成到一 起，為設(shè)備功能的擴展鑒定了良好的基礎(chǔ)，并且能夠?qū)崿F(xiàn)多引擎的并行處理。如 下圖所示。3.3.2防黑客攻擊黑客攻擊方式黑客能夠?qū)W(wǎng)絡進行攻擊的主要原因是網(wǎng)絡系統(tǒng)的缺陷與漏洞。黑客常用的 攻擊方式有：網(wǎng)絡監(jiān)聽，網(wǎng)絡監(jiān)聽的關(guān)鍵是將網(wǎng)卡設(shè)置為混雜模式的狀態(tài)。常用的監(jiān) 聽工具有Sniffit、Windump，防范監(jiān)聽的辦法之一是加密端口掃描，利用常用的掃描工具如SATAN、NSS、Strobe、Superscan和 Ping命令、Tracert命令等人工方式對系統(tǒng)開放的端口進行掃描口令破解，一般的口令破解方式是從存放許多常用的口令的數(shù)據(jù)庫中， 逐一地取出口令進行嘗試；另一種做法是設(shè)法偷

24、走系統(tǒng)的口令文件，如 E-mail欺騙，然后用口令破解工具破譯這些經(jīng)過加密的口令I(lǐng)P欺騙，通常是用編寫的程序?qū)崿F(xiàn)偽造某臺主機的IP地址，被偽造的 主機往往具有某種特權(quán)或者被另外的主機所信任拒絕服務攻擊簡稱DoS。這種攻擊行動使網(wǎng)站服務器充斥大量要求回復 的信息，消耗網(wǎng)絡帶寬或系統(tǒng)資源，導致網(wǎng)絡或系統(tǒng)不勝負荷以至癱瘓 而停止提供正常的網(wǎng)絡服務緩沖區(qū)溢出（又稱堆棧溢出）攻擊是最常用的黑客技術(shù)之一。這主要是因 為C語言不檢查緩沖區(qū)的邊界。在某些情況下，如果用戶輸入的數(shù)據(jù)長 度超過應用程序給定的緩沖區(qū)，就會覆蓋其他數(shù)據(jù)區(qū)。就是通常說的“堆 棧溢出或緩沖溢出拒絕服務攻擊”3322解決方案建議3.3.22

25、1網(wǎng)絡邊界安全隔離我們對XXXX公司電子商務平臺網(wǎng)絡劃分為企業(yè)網(wǎng)與互聯(lián)網(wǎng)之間的邊界和 服務器區(qū)與局域網(wǎng)之間的邊界，利用網(wǎng)絡隔離設(shè)備如防火墻或安全網(wǎng)關(guān)設(shè)備分別 進行隔離保護，提供可控的過濾網(wǎng)絡通信，只允許授權(quán)的通信。配置策略建議：公網(wǎng)接口：配置ACL訪問控制、ASPF （基于應用層的報文過濾）、深度 業(yè)務監(jiān)控等多種功能。本策略僅允許從園區(qū)網(wǎng)內(nèi)部主動發(fā)起的TCP連接， 即如果報文是內(nèi)部網(wǎng)絡用戶發(fā)起的TCP連接的返回報文，則允許其通過防 火墻進入內(nèi)部網(wǎng)絡，其他報文被禁止；園區(qū)內(nèi)部通過NAT訪問Internet：首先需要確認訪問Internet的流量，然 后對這些流量的地址進行NAT轉(zhuǎn)換，其次要設(shè)置地

26、址池，即申請到的公網(wǎng) 地址。本策略保證內(nèi)部網(wǎng)絡安全的訪問Internet；Internet用戶訪問園區(qū)內(nèi)部公共服務器：在園區(qū)出口配置NAT Server， 將一個公網(wǎng)的地址與內(nèi)部服務器地址關(guān)聯(lián)起來.Internet用戶向公網(wǎng)地 址發(fā)起連接，在防火墻的公網(wǎng)接口上將該報文IP目的地轉(zhuǎn)換為內(nèi)部服務 器地址，即可以到達內(nèi)部公共服務器的訪問目的。在公網(wǎng)接口上啟用nat server，提供 WWW/MAIL 等服務；設(shè)備流量鏡像配置：將防火墻內(nèi)網(wǎng)接口上的進出流量在交換機上鏡像到 接有流量監(jiān)控軟件PC的內(nèi)部端口上進行流量查看、統(tǒng)計和管理控制。本 策略是為了有限的帶寬被合理的利用，保證服務器能正常的為外部客戶

27、 提供服務3.3.222漏洞掃描系統(tǒng)除利用防火墻控制對網(wǎng)絡的入侵外，還需要針對主機系統(tǒng)的漏洞采取檢查和 發(fā)現(xiàn)措施。目前常用的方法是配置漏洞掃描設(shè)備。主機漏洞掃描可以主動發(fā)現(xiàn)主 機系統(tǒng)中存在的系統(tǒng)缺陷和可能的安全漏洞，并提醒系統(tǒng)管理員對該缺陷和漏洞 進行修補或堵塞。對于漏洞掃描的結(jié)果，一般可以按掃描提示信息和建議，屬外購標準產(chǎn)品問 題的，應及時升級換代或安裝補丁程序；屬委托開發(fā)的產(chǎn)品問題的，應與開發(fā)商 協(xié)商修改程序或安裝補丁程序；屬于系統(tǒng)配置出現(xiàn)的問題，應建議系統(tǒng)管理員修 改配置參數(shù)，或視情況關(guān)閉或卸載引發(fā)安全漏洞的程序模塊或功能模塊。漏洞掃描功能是協(xié)助安全管理、掌握網(wǎng)絡安全態(tài)勢的必要輔助手段，

28、對使用 這一工具的安全管理員或系統(tǒng)管理員有較高的技術(shù)素質(zhì)要求?？紤]到漏洞掃描能檢測出防火墻策略配置中的問題，能與入侵檢測形成很好 的互補關(guān)系：漏洞掃描與評估系統(tǒng)使系統(tǒng)管理員在事前掌握主動地位，在攻擊事 件發(fā)生前找出并關(guān)閉安全漏洞；而入侵檢測系統(tǒng)則對系統(tǒng)進行監(jiān)測以期在系統(tǒng)被 破壞之前阻止攻擊得逞。因此，漏洞掃描與入侵檢測在安全保護方面不但有共同 的安全目標，而且關(guān)系密切。本方案建議的漏洞掃描系統(tǒng)必須既能掃描路由器、 交換機、防火墻等網(wǎng)絡設(shè)備，也可掃描Windows、常用Unix和Linux操作系統(tǒng)， 以及應用系統(tǒng)主機、對外服務主機（WEB、E-MAIL）等。3.32.23入侵檢測系統(tǒng)入侵檢測技術(shù)

29、是一種利用入侵者留下的痕跡，如試圖登錄的失敗記錄等信息 來有效地發(fā)現(xiàn)來自外部或內(nèi)部的非法入侵的技術(shù)。它以探測與控制為技術(shù)本質(zhì)， 起著主動防御的作用，是網(wǎng)絡安全中極其重要的部分。入侵檢測功能是防火墻的合理補充，幫助系統(tǒng)對付網(wǎng)絡攻擊，擴展了系統(tǒng)管 理員的安全管理能力（包括安全審計、監(jiān)視、進攻識別和響應），提高了信息安 全基礎(chǔ)結(jié)構(gòu)的完整性。它從計算機網(wǎng)絡系統(tǒng)中的若干關(guān)鍵點收集信息，并分析這 些信息，查看網(wǎng)絡中是否有違反安全策略的行為和遭到襲擊的跡象。入侵檢測被 認為是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡性能的情況下能對網(wǎng)絡進行 監(jiān)測，從而提供對整個網(wǎng)絡系統(tǒng)的實時保護。通過入侵檢測系統(tǒng)的實施，可實

30、現(xiàn)如下安全防護:（1）檢測黑客入侵的方法和手段從網(wǎng)絡中搜集到網(wǎng)絡行為的信息后，通過分析其中的各種攻擊特征，可以全 面快速地識別各種網(wǎng)絡攻擊，如：掃描探測攻擊、口令猜測攻擊、緩沖區(qū)溢出攻 擊、郵件炸彈攻擊、拒絕服務攻擊、瀏覽器攻擊等，并對攻擊行為采取相應的防 范措施。（2）監(jiān)控內(nèi)部人員的誤操作、資源濫用和惡意行為網(wǎng)絡IDS記錄網(wǎng)絡行為的屬性、特征、來源和目標，并能在控制臺的監(jiān)控視 圖上顯示實時活動的TCP連接和正在訪問的URL。網(wǎng)絡IDS會對網(wǎng)絡中不正常的 通信連接做出反應，從而保證所有網(wǎng)絡通信的合法性；任何不符合網(wǎng)絡安全策略 的網(wǎng)絡數(shù)據(jù)都會被網(wǎng)絡IDS探測到并報警。網(wǎng)絡IDS可以根據(jù)用戶需要定

31、義各種 需檢測的安全事件，例如對特定目標主機的訪問的檢測、對數(shù)據(jù)傳輸中包含的特 定內(nèi)容的檢測。這樣可以及時發(fā)現(xiàn)違反安全規(guī)定的誤操作、資源濫用和惡意行為。 網(wǎng)絡IDS可以監(jiān)控的誤操作、資源濫用和惡意行為有：對重要服務器的過于頻繁的訪問，致使系統(tǒng)效率下降；非授權(quán)用戶對重要服務器的多次登錄請求；對重要文件的拷貝、刪除和移動；上網(wǎng)聊天、網(wǎng)絡游戲和上下載大型文件；瀏覽非法網(wǎng)站和不健康網(wǎng)站；利用FTP、Telnet、Web、聊天、電子郵件等泄露商業(yè)、技術(shù)機密。（3）檢查系統(tǒng)漏洞及后門網(wǎng)絡IDS帶有目前已知的系統(tǒng)漏洞及后門的詳細信息，這些信息包括事件 名稱、事件描述、發(fā)布日期、更新日期、解決方案和受影響的系

32、統(tǒng)平臺等。通過 對網(wǎng)絡會話的連接方式、連接端口以及連接中的特定內(nèi)容等特征的分析，可以有 效地發(fā)現(xiàn)網(wǎng)絡中利用系統(tǒng)漏洞所進行的非法行為。網(wǎng)絡IDS提供的詳細信息可以 幫助系統(tǒng)管理員及時有效地修補系統(tǒng)存在的漏洞。實時報警和響應網(wǎng)絡IDS在檢測到入侵行為后，可以根據(jù)用戶預先定義的事件響應規(guī)則進 行實時的報警。為了便于系統(tǒng)管理員對網(wǎng)絡進行安全管理，網(wǎng)絡IDS提供了多種 報警手段。報警信息可以通過發(fā)送系統(tǒng)消息(Pop-UpMessage)、電子郵件、手機 短信息、尋呼等多種方式通知系統(tǒng)管理員；并且所有的報警信息都將記錄到日志 文件中，以備核查。為了加強網(wǎng)絡系統(tǒng)的入侵防御能力，網(wǎng)絡IDS還能夠針對惡意攻擊進

33、行實時響應， 響應的手段有：中斷TCP會話、偽造ICMP應答、根據(jù)黑名單斷開、阻塞HTTP 請求、模擬SYN/ACK和執(zhí)行用戶自定義程序等。加強網(wǎng)絡的安全管理借助網(wǎng)絡IDS系統(tǒng)，網(wǎng)絡管理人員可以隨時了解人們正在進行的網(wǎng)絡訪問。 這樣，當有人試圖偷窺或盜取敏感數(shù)據(jù)時網(wǎng)絡管理人員可以及時察覺。而且，能 夠同時監(jiān)控內(nèi)部和外部網(wǎng)絡行為的入侵檢測系統(tǒng)可以使安全策略更臻于完善。借 助于對網(wǎng)絡內(nèi)部誤用模式的監(jiān)控，系統(tǒng)管理員能夠及時覺察網(wǎng)絡攻擊及其它非法 行為，并能夠追溯這些非法行為的來龍去脈。3.3.23 Web防火墻設(shè)計方案電子商務企業(yè)的主要生產(chǎn)模塊是通過網(wǎng)絡進行，網(wǎng)站的運行正常與否，直接 關(guān)系到電子商務

34、企業(yè)的生產(chǎn)經(jīng)營正常與否，甚至會直接影響到電子商務企業(yè)的生 存。從安全角度考慮，需要針對目前泛濫的SQL注入、跨站腳本、應用層DD.o.S 等Web應用攻擊，提供有效檢測、防護，降低攻擊的影響，從而確保業(yè)務系統(tǒng)的 連續(xù)性和可用性。另一方面，還需要對投入成本進行考慮?！俺杀尽辈粌H僅意味 著購買安全產(chǎn)品/服務產(chǎn)生的直接支出，還需要考慮是否影響組織的正常業(yè)務、 是否給維護人員帶來較大的管理開銷。最為理想情況，解決根本問題是對Web應用代碼進行整改，嚴格遵循安全編 碼，確保網(wǎng)站安全。但通常，我們會發(fā)現(xiàn)為此付出的代價過大，對正常業(yè)務開展 有很大影響。Web應用防火墻（Web Application Fir

35、ewall,）代表了一類新興的信息安 全技術(shù)，用以解決諸如防火墻一類傳統(tǒng)設(shè)備束手無策的Web應用安全問題。與傳 統(tǒng)防火墻不同，web應用防火墻工作在應用層，因此對Web應用防護具有先天 的技術(shù)優(yōu)勢?；趯eb應用業(yè)務和邏輯的深刻理解，web應用防火墻對來自 Web應用程序客戶端的各類請求進行內(nèi)容檢測和驗證，確保其安全性與合法性， 對非法的請求予以實時阻斷，從而對各類網(wǎng)站站點進行有效防護。web應用防火墻系統(tǒng)特性應用多維防護體系，有效應對SQL注入、跨站腳本及其變形攻擊，提供 細粒度應用層DD.o.S攻擊防護網(wǎng)頁防篡改系統(tǒng)支持-Linux、Windows、BSD系統(tǒng)Web加速支持實時檢測網(wǎng)頁篡

36、改，降低網(wǎng)站安全風險提供掛馬主動診斷功能，維護網(wǎng)站公信度敏感信息掃描和過濾透明安全檢測，不用改變網(wǎng)絡拓撲提供多種負載均衡算法支持虛擬主機部署，適合IDC環(huán)境支持WebMai l的安全檢測攻擊、特征庫在線平滑升級提供High Availability（HA），有效避免網(wǎng)絡單點故障網(wǎng)頁篡改防護針對目前猖獗的網(wǎng)頁篡改問題，方正web應用防火墻提供完整的解決方案。方正web應用防火墻產(chǎn)品優(yōu)勢：立體式Web防護網(wǎng)絡。通過WAF、端點的網(wǎng)頁防篡改系統(tǒng)支持，提供完 整的Web安全解決方案?；谖募A驅(qū)動級保護技術(shù)，事件觸發(fā)機制，確保系統(tǒng)資源不被浪費。不 同于一些文件輪詢掃描式或外掛式的頁面防篡改軟件，頁面防

37、篡改模塊 采用的是與Web服務器底層文件夾驅(qū)動級保護技術(shù)，與操作系統(tǒng)（支持 windows 2000/xp/2003/2008, Linux/BSD 系統(tǒng)）緊密結(jié)合的。而且在 Web 服務器對外發(fā)送網(wǎng)頁時進行網(wǎng)頁防篡改檢測。這樣做不僅完全杜絕了輪 詢掃描式頁面防篡改軟件的掃描間隔中被篡改內(nèi)容被用戶訪問的可能， 其所消耗的內(nèi)存和CPU占用率也遠遠低于文件輪詢掃描式或外掛式的 同類軟件。采用網(wǎng)絡串聯(lián)方式對頁面進行實時防護；支持對動態(tài)、靜態(tài) 網(wǎng)頁的檢測和防護；采用文件級驅(qū)動保護技術(shù)后，用戶每次訪問每個受保護網(wǎng)頁時，Web月艮 務器在發(fā)送之前都進行完整性檢查，保證網(wǎng)頁的真實性，可以徹底杜絕 篡改后的網(wǎng)

38、頁被訪問的可能性，全面和實時地保護網(wǎng)站的所有網(wǎng)頁文件。， 提供完整網(wǎng)頁防篡改解決方案。WAF聯(lián)動。網(wǎng)頁防篡改與WAF聯(lián)動，阻斷Web威脅。3.4操作系統(tǒng)與數(shù)據(jù)庫安全操作系統(tǒng)是計算機和用戶之間的接口，是管理資源的核心系統(tǒng)，是系統(tǒng)的靈 魂。但由于我國尚無可供辦公和業(yè)務應用的自主知識版權(quán)的操作系統(tǒng)，因此大多 數(shù)采用Unix、Windows系列操作系統(tǒng)。根據(jù)國家保密局技術(shù)要求，對于操作系統(tǒng) 安全的解決方案，應盡可能采用安全操作系統(tǒng)，或者對其操作系統(tǒng)采取安全加固 措施，如：使用正版軟件，及時發(fā)現(xiàn)漏洞并打補丁，利用監(jiān)控和審計系統(tǒng)加強對 操作系統(tǒng)可能引發(fā)的安全問題予以監(jiān)視、審計和告警。另外，系統(tǒng)內(nèi)應盡可能選

39、用經(jīng)國家相關(guān)主管部門批準使用的安全數(shù)據(jù)庫，或 者采用技術(shù)措施（如，安全中間件）對數(shù)據(jù)庫在數(shù)據(jù)存儲與訪問的機密性、完整 性和可用性方面進行安全增強改造。3.5大規(guī)模網(wǎng)絡安全運維管理系統(tǒng)方案設(shè)計3.5.1運維管理體系運維管理體系柩架密鑰管理安全醵略與藤蘇培訓 佃旗管理體兼狀京入倍蜀溺監(jiān)控市計技木儺理安全瞭務安塵機制安全技術(shù)技術(shù)休系物理安全系纜安全運行環(huán)壕及案舞農(nóng)全技術(shù)技術(shù)機制法鼠構(gòu)肉物人醇蛆織體系3.5.2實現(xiàn)方式我們建議技術(shù)上采用大型企業(yè)安全運維管理系統(tǒng)為企業(yè)解決支撐關(guān)鍵業(yè)務 的網(wǎng)絡、主機、應用系統(tǒng)運行監(jiān)控和內(nèi)部網(wǎng)絡桌面pc安全管理，在設(shè)計上遵循 國際IT服務管理標準一一ITIL標準和IT安全管

40、理標準一一ISO17799標準。采 用統(tǒng)一的WEB管理門戶，以WEB方式展現(xiàn)整個IT系統(tǒng)的運行狀況，包括桌面PC 的資產(chǎn)信息、安全信息，網(wǎng)絡、服務器、數(shù)據(jù)庫、應用系統(tǒng)的故障和性能信息。 通過WEB門戶，對桌面PC、網(wǎng)絡、服務器進行集中維護，統(tǒng)一設(shè)置安全策略。3.5.3桌面安全管理功能具體來說，桌面安全管理采用集中式管理方式，提供了以下幾個方面的管理 功能：/網(wǎng)絡準入控制，防止非法電腦接入支持基于802.1X的網(wǎng)絡準入控制； 在非802.1X的環(huán)境下，也可以實現(xiàn)接入控制;用戶可以自行定義多種準入控制策略；防止有安全隱患的電腦或者非法電腦直接訪問內(nèi)部網(wǎng)絡。設(shè)備自動發(fā)現(xiàn)與資產(chǎn)管理自動發(fā)現(xiàn)網(wǎng)絡上的所有接入設(shè)備；可依據(jù)IP/MAC/主機名以及資產(chǎn)的配置對接入設(shè)備快速定位；自動發(fā)現(xiàn)組織內(nèi)所有PC機的軟硬件配置信息、PC機網(wǎng)絡連接信息和運 行狀態(tài)信息，建立資產(chǎn)基線；支持配置變更自動發(fā)現(xiàn)與報警；自動維護軟硬件配置變更歷史信息。桌面安全主動評估，發(fā)現(xiàn)安全隱患自動發(fā)現(xiàn)存在安全隱患的PC機，并提示系統(tǒng)管理員和用戶要采取的彌補 措施；桌面電腦網(wǎng)絡流量異常評估，及時發(fā)現(xiàn)異常流量桌面PC；桌面電腦安全配置評估，及時發(fā)現(xiàn)安全設(shè)置不完善的桌面PC；可