信息系統(tǒng)安全方案

移動審批系統(tǒng)安全技術(shù)方案第33頁網(wǎng)絡(luò)安全技術(shù)方案XX公司XX系統(tǒng)安全方案浪潮集團山東通用軟件有限公司2013年8月目錄TOC\o"1-4"\h\z\u1 項目背景 11.1 系統(tǒng)面臨的問題 11.2 系統(tǒng)安全風(fēng)險分析 21.2.1 設(shè)備安全風(fēng)險分析 21.2.2 網(wǎng)絡(luò)安全系統(tǒng)分析 21.2.3 系統(tǒng)安全風(fēng)險分析 31.2.4 應(yīng)用安全風(fēng)險分析 31.2.5 數(shù)據(jù)安全風(fēng)險分析 32 系統(tǒng)安全方案技術(shù) 32.1 網(wǎng)絡(luò)系統(tǒng)安全設(shè)計 32.1.1 設(shè)備安全 42.1.2 網(wǎng)絡(luò)安全 42.1.3 系統(tǒng)安全 52.1.4 應(yīng)用安全 52.1.5 數(shù)據(jù)安全 62.2 系統(tǒng)的網(wǎng)絡(luò)安全設(shè)計 72.2.1 防火墻系統(tǒng) 7 防火墻的基本類型 7 常用攻擊方法 10 常用攻擊對策 112.2.2 VPN路由器 122.2.3 IPS入侵防御 12 使用入侵防御系統(tǒng)的原因 12 入侵防御的技術(shù) 13 入侵預(yù)防系統(tǒng)類型 142.2.4 SSR主機加固系統(tǒng) 142.2.5 CA認證與SSL加密 17 CA的作用 17 CA系統(tǒng)簡介 18 SSL加密 212.2.6 防病毒系統(tǒng) 23 病毒的類型 24 病毒的檢測 26 防病毒建議方案 282.2.7 網(wǎng)站監(jiān)控與恢復(fù)系統(tǒng) 282.2.8 SAN網(wǎng)絡(luò)存儲/備份/災(zāi)難恢復(fù)： 293 XX系統(tǒng)安全設(shè)計 293.1 安全設(shè)計原則 293.2 系統(tǒng)的安全設(shè)計 303.2.1 威脅及漏洞 303.2.2 設(shè)計說明及拓撲圖 303.2.3 網(wǎng)絡(luò)接入 313.2.4 服務(wù)器管理 323.2.5 內(nèi)部安全運維管理 32項目背景XX公司為了實現(xiàn)工作流的待辦任務(wù)審批功能，采用XX系統(tǒng)，可以對GS5.2系統(tǒng)的待辦任務(wù)（含有動態(tài)流程的除外）進行審批，目前集團采用VPN組建內(nèi)網(wǎng)，由于應(yīng)用需要，XX系統(tǒng)需要架設(shè)在公網(wǎng)上。因此需要進行必要的安全防護，來保證集團網(wǎng)絡(luò)運行的安全性。系統(tǒng)面臨的問題系統(tǒng)安全風(fēng)險分析設(shè)備安全風(fēng)險分析網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備、存儲設(shè)備的安全是保證網(wǎng)絡(luò)安全運行的一個重要因素。為了保證網(wǎng)絡(luò)的安全而制定的安全策略都是由網(wǎng)絡(luò)設(shè)備執(zhí)行的，如果一些非網(wǎng)絡(luò)管理人員故意或無意對網(wǎng)絡(luò)設(shè)備進行非法操作，勢必會對網(wǎng)絡(luò)的安全造成影響，甚至是重大的安全事故。因此，沒有網(wǎng)絡(luò)設(shè)備的安全，網(wǎng)絡(luò)設(shè)備的安全就無從談起。所以，必須從多個層面來保證網(wǎng)絡(luò)設(shè)備的安全。網(wǎng)絡(luò)安全系統(tǒng)分析網(wǎng)絡(luò)層位于系統(tǒng)平臺的最低層，是信息訪問、共享、交流和發(fā)布的必由之路，也是黑客（或其它攻擊者）等進行其截獲、竊聽竊取信息、篡改信息、偽造和冒充等攻擊的必由之路。所以，網(wǎng)絡(luò)層所面臨的安全風(fēng)險威脅是整個系統(tǒng)面臨的主要安全風(fēng)險之一。網(wǎng)絡(luò)層的安全風(fēng)險包括以下幾方面：黑客攻擊外網(wǎng)通過防火墻與Internet公眾網(wǎng)相連，所以Internet上的各種各樣的黑客攻擊、病毒傳播等都可能威脅到系統(tǒng)的安全。其存在的安全風(fēng)險主要是黑客攻擊，竊取或篡改重要信息，攻擊網(wǎng)站等。許多機器臨時性（甚至經(jīng)常性的）連接到外網(wǎng)上或直接連接到Internet上。這樣Internet上的黑客或敵對勢力使用木馬等黑客攻擊手段，就可以將該員工機器用作一個偵察站。網(wǎng)內(nèi)可能存在的相互攻擊由于公司內(nèi)網(wǎng)中的各級網(wǎng)絡(luò)互連，這些設(shè)備在網(wǎng)絡(luò)層是可以互通的，在沒有任何安全措施的情況下，一個單位的用戶可以連接到另一個單位使用的機器，訪問其中的數(shù)據(jù)。這樣就會造成網(wǎng)絡(luò)間的互相病毒等其他因素引起的網(wǎng)絡(luò)攻擊。系統(tǒng)安全風(fēng)險分析系統(tǒng)安全通常分為系統(tǒng)級軟件比如操作系統(tǒng)、數(shù)據(jù)庫等的安全漏洞、病毒防治。系統(tǒng)軟件安全漏洞系統(tǒng)級軟件比如操作系統(tǒng)、數(shù)據(jù)庫等總是存在著這樣那樣的安全漏洞，包括已發(fā)現(xiàn)或未發(fā)現(xiàn)的安全漏洞。病毒侵害計算機病毒一直是困擾每一個計算機用戶的重要問題，一旦計算機程序被感染了病毒，它就有可能破壞掉用戶工作中的重要信息。網(wǎng)絡(luò)使病毒的傳播速度極大的加快，公司內(nèi)部網(wǎng)絡(luò)與Internet相連，這意味著每天可能受到來自世界各地的新病毒的攻擊。應(yīng)用安全風(fēng)險分析基于B/S模式的業(yè)務(wù)系統(tǒng)由于身份認證、數(shù)據(jù)傳輸、訪問控制、授權(quán)、口令等存在安全隱患，從而對整個系統(tǒng)造成安全威脅。數(shù)據(jù)安全風(fēng)險分析在系統(tǒng)中存放有的重要的數(shù)據(jù)。這些數(shù)據(jù)如被非法復(fù)制、篡改、刪除，或是因各種天災(zāi)人禍丟失，將威脅到數(shù)據(jù)的保密性、完整性和一致性。系統(tǒng)安全方案技術(shù)網(wǎng)絡(luò)系統(tǒng)安全設(shè)計針對上面提到的種種安全風(fēng)險，對系統(tǒng)安全進行設(shè)計。設(shè)備安全設(shè)備安全在這里主要指控制對交換機等網(wǎng)絡(luò)設(shè)備的訪問，包括物理訪問和登錄訪問兩種。針對訪問的兩種方式采取以下措施：對基礎(chǔ)設(shè)施采取防火、防盜、防靜電、防潮措施。系統(tǒng)主機應(yīng)采用雙機熱備（主備/互備）方式，構(gòu)成集群系統(tǒng)；系統(tǒng)關(guān)鍵通信設(shè)備應(yīng)考慮冗余備份；要求利用系統(tǒng)監(jiān)控工具，實時監(jiān)控系統(tǒng)中各種設(shè)備和網(wǎng)絡(luò)運行狀態(tài)，及時發(fā)現(xiàn)故障或故障苗頭，及時采取措施，排除故障，保障系統(tǒng)平穩(wěn)運行。網(wǎng)絡(luò)安全為保障網(wǎng)絡(luò)安全，在網(wǎng)絡(luò)上要采取以下措施：設(shè)立防火墻。防火墻作為內(nèi)部網(wǎng)絡(luò)與外部公共網(wǎng)絡(luò)之間的第一道屏障，一般用在企業(yè)網(wǎng)與Internet等公眾網(wǎng)之間的連接點處，防護來自外部的攻擊，并過濾掉不安全的服務(wù)請求和非法用戶進入；在內(nèi)部系統(tǒng)的Web服務(wù)器到應(yīng)用服務(wù)器之間設(shè)置防火墻，防止來自內(nèi)部的攻擊和破壞，保證系統(tǒng)的安全；進行入侵檢測。對計算機網(wǎng)絡(luò)和計算機系統(tǒng)的關(guān)鍵結(jié)點的信息進行收集分析,檢測其中是否有違反安全策略的事件發(fā)生或攻擊跡象，并通知系統(tǒng)安全管理員。采用相應(yīng)技術(shù)和手段，保證網(wǎng)絡(luò)安全。對傳輸數(shù)據(jù)進行加密，保障數(shù)據(jù)傳輸安全防止網(wǎng)頁的篡改；利用防護工具防止黑客篡改或非法破壞網(wǎng)頁，保證網(wǎng)站網(wǎng)頁安全。針對防止網(wǎng)頁篡改，推薦使用InforGuard。InforGuard主要提供文件監(jiān)控保護功能，保證文件系統(tǒng)安全，防止被非法修改。InforGuard適用于網(wǎng)站網(wǎng)頁文件的安全保護，解決了網(wǎng)站被非法修改的問題，是一套安全、高效、簡單、易用的網(wǎng)頁保護系統(tǒng)；采用數(shù)字證書技術(shù)實現(xiàn)InforGuard的用戶管理，加強了對Web站點目錄的ftp用戶和口令的保護，防止了ftp口令泄漏造成的安全隱患；通過用戶操作日志提供對網(wǎng)頁文件更新過程的全程監(jiān)控。從而保證了網(wǎng)站網(wǎng)頁文件的絕對安全。定期進行安全檢查，查補安全漏洞，采用漏洞掃描軟件對內(nèi)部服務(wù)器瀏覽器和所有網(wǎng)絡(luò)設(shè)備進行漏洞掃描，及時彌補各類安全漏洞。系統(tǒng)安全應(yīng)用安全的解決往往依賴于網(wǎng)絡(luò)層、操作系統(tǒng)、數(shù)據(jù)庫的安全，所以對系統(tǒng)級軟件的安全防范突顯其重要性；由于病毒通過Internet網(wǎng)，可以在極短的時間內(nèi)傳到Internet的各個角落，而病毒對系統(tǒng)穩(wěn)定性和數(shù)據(jù)安全性的威脅眾所周知，所以對病毒的預(yù)防是一項十分重要的工作；同時對一些專用服務(wù)器的特別防護也是我們保證系統(tǒng)良好運行的前提。下面就從系統(tǒng)漏洞防護、病毒防護和專用服務(wù)器防護等方面來闡述安全防范的措施。系統(tǒng)安全漏洞防護：通過系統(tǒng)掃描工具，定期檢查系統(tǒng)中與安全有關(guān)的軟件、資源、各廠商安全“補丁包”的情況，發(fā)現(xiàn)問題及時報告并給出解決建議。病毒防護：在內(nèi)網(wǎng)和外網(wǎng)中分別設(shè)置網(wǎng)絡(luò)防病毒軟件控制中心，安裝網(wǎng)絡(luò)版的防病毒控制臺，在服務(wù)器系統(tǒng)和網(wǎng)絡(luò)內(nèi)的主機均安裝防病毒軟件的客戶端。管理員負責每天檢查有沒有新的病毒庫更新，并對防病毒服務(wù)器上的防病毒軟件進行及時更新。然后再由防病毒服務(wù)器將最新的病毒庫文件下發(fā)到各聯(lián)網(wǎng)的機器上，實現(xiàn)全網(wǎng)統(tǒng)一、及時的防病毒軟件更新，防止因為少數(shù)內(nèi)部用戶的疏忽，感染病毒，導(dǎo)致病毒在全網(wǎng)的傳播。專用服務(wù)器的專門保護：針對重要的、最常受到攻擊的應(yīng)用系統(tǒng)實施特別的保護。對WEB服務(wù)器保護對Web訪問、監(jiān)控/阻塞/報警、入侵探測、攻擊探測、惡意applets、惡意Email等在內(nèi)的安全政策進行明確規(guī)劃。對E-mail服務(wù)程序、瀏覽器，采取正確的配置與及時下載安全補丁實現(xiàn)。應(yīng)用安全針對人為操作造成的風(fēng)險，必須從系統(tǒng)的應(yīng)用層進行防范，因此應(yīng)用系統(tǒng)在建設(shè)時需考慮系統(tǒng)的安全性。具體包括以下幾個方面：訪問控制：操作系統(tǒng)的用戶管理、權(quán)限管理；限制用戶口令規(guī)則和長度，禁止用戶使用簡單口令，強制用戶定期修改口令；按照登錄時間、登錄方式限制用戶的登錄請求；加強文件訪問控制管理，根據(jù)訪問的用戶范圍，設(shè)置文件的讀、寫、執(zhí)行權(quán)限；對重要資料設(shè)置被訪問的時間和日期。權(quán)限控制和管理：按照單位、部門、職務(wù)、工作性質(zhì)等對用戶進行分類，不同的用戶賦予不同的權(quán)限、可以訪問不同的系統(tǒng)、可以操作不同的功能模塊；應(yīng)用系統(tǒng)的權(quán)限實行分級管理，每個系統(tǒng)的管理員自己定義各類用戶對該系統(tǒng)資源的可訪問內(nèi)容。身份驗證：通過采用口令識別、數(shù)字認證方式，來確保用戶的登錄身份與其真實身份相符，保證數(shù)據(jù)的安全性、完整性、可靠性和交易的不可抵賴性、增強顧客、商家、企業(yè)等對網(wǎng)上交易的信心。數(shù)據(jù)加密存儲：關(guān)聯(lián)及關(guān)鍵數(shù)據(jù)加密存儲，提取數(shù)據(jù)庫中表間關(guān)聯(lián)數(shù)據(jù)或重要數(shù)據(jù)信息，采用HASH算法，生成一加密字段，存放在數(shù)據(jù)表中，保證數(shù)據(jù)庫中關(guān)聯(lián)數(shù)據(jù)的一致性、完整性，防止重要數(shù)據(jù)的非法篡改。日志記載：數(shù)據(jù)庫日志：使得系統(tǒng)發(fā)生故障后能提供數(shù)據(jù)動態(tài)恢復(fù)或向前恢復(fù)等功能，確保數(shù)據(jù)的可靠性和一致性。應(yīng)用系統(tǒng)日志：通過記錄應(yīng)用系統(tǒng)中操作日志，通過事后審計功能為將來分析提供數(shù)據(jù)分析源，確保業(yè)務(wù)的可追溯性。數(shù)據(jù)安全業(yè)務(wù)數(shù)據(jù)是業(yè)務(wù)系統(tǒng)運行的重要元素，也是企業(yè)中寶貴的資源。這些數(shù)據(jù)如被非法復(fù)制、篡改、刪除，或是因系統(tǒng)崩潰及各種天災(zāi)人禍丟失，將威脅到數(shù)據(jù)的保密性、完整性和一致性。由此造成的損失將是巨大的。為了保證數(shù)據(jù)的安全，通常的做法是對數(shù)據(jù)進行備份。數(shù)據(jù)備份解決方案大致可以分為兩種：數(shù)據(jù)級的備份和系統(tǒng)級的備份。數(shù)據(jù)級的備份是指對存儲在磁盤陣列、磁帶庫等設(shè)備上的數(shù)據(jù)的備份。系統(tǒng)級備份主要是指對服務(wù)器系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等系統(tǒng)的備份。對于數(shù)據(jù)庫系統(tǒng)備份，有兩種方式可以選擇：第一種是采用數(shù)據(jù)庫自身的備份功能，其優(yōu)點是不需要追加額外的投資，缺點是這種備份方式是手工進行的，備份效率較低，并且在備份時需要關(guān)閉數(shù)據(jù)庫，即需要shutdown數(shù)據(jù)庫實例。第二種方式是采用專業(yè)的備份工具，這種方式能夠?qū)崿F(xiàn)在線備份的方式，即在備份的過程中不需Shutdown數(shù)據(jù)庫實例。同時，在備份過程中，通過追蹤數(shù)據(jù)塊的變動記錄來實現(xiàn)增量備份，縮短備份窗口。在保持數(shù)據(jù)庫online的前提下，這種方式還能夠充分保證數(shù)據(jù)庫的OLTP聯(lián)機事務(wù)處理的性能。數(shù)據(jù)庫的數(shù)據(jù)量龐大，可以通過同時驅(qū)動多個磁帶驅(qū)動器來保證數(shù)據(jù)庫備份的效率。通過這種方式，能夠在夜間的非工作時段內(nèi)完成全備份，并在相對更短的時間段內(nèi)完成日增量備份。在上述數(shù)據(jù)備份環(huán)境中，可以對操作系統(tǒng)及應(yīng)用程序環(huán)境實現(xiàn)動態(tài)即時在線快速備份，即在不影響用戶和應(yīng)用程序運行的前提下，備份系統(tǒng)的動態(tài)數(shù)據(jù)，同時能夠?qū)鹘y(tǒng)文件系統(tǒng)的備份速度成倍提高。在前面的服務(wù)器平臺設(shè)計中，可以為每臺服務(wù)器都配置了兩塊硬盤，通過磁盤鏡像（RAID1）技術(shù)實現(xiàn)系統(tǒng)冗余備份，可以極大提高服務(wù)器系統(tǒng)的安全性。保證數(shù)據(jù)安全，對數(shù)據(jù)進行備份。系統(tǒng)的網(wǎng)絡(luò)安全設(shè)計防火墻系統(tǒng)防火墻的基本類型實現(xiàn)防火墻的技術(shù)主要包括四類：包過濾防火墻、電路網(wǎng)關(guān)防火墻、應(yīng)用層防火墻以及動態(tài)包過濾防火墻。其各自的特點如下：包過濾防火墻包過濾防火墻技術(shù)主要通過分析網(wǎng)絡(luò)傳輸層數(shù)據(jù)，并通過預(yù)先定義的規(guī)則對數(shù)據(jù)包轉(zhuǎn)發(fā)或丟棄。其檢查信息為網(wǎng)絡(luò)層、傳輸層以及傳輸方向等報頭信息，典型的包過濾主要利用下面的控制信息：數(shù)據(jù)包到達的物理網(wǎng)絡(luò)接口數(shù)據(jù)包的源網(wǎng)絡(luò)層地址數(shù)據(jù)包的目的網(wǎng)絡(luò)層地址傳輸層協(xié)議類型傳輸層源端口傳輸層目的端口包過濾防火墻有以下優(yōu)點：包過濾防火墻通常性能高，因為他們執(zhí)行的評估比較少而且通?？梢杂糜布瓿??？梢院唵蔚赝ㄟ^禁止特定外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的連接來保護整個網(wǎng)絡(luò)。包過濾防火墻對客戶端是透明的，所有工作都在防火墻中完成。結(jié)合NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換功能，可以將內(nèi)部網(wǎng)絡(luò)從外部網(wǎng)絡(luò)中屏蔽起來。包過濾防火墻具有以下缺點：包過濾防火墻不能識別上層信息，因此，同應(yīng)用層防火墻以及電路網(wǎng)關(guān)防火墻相比，其安全性較低。包過濾防火墻不是基于連接狀態(tài)的，因此，它不保存會話連接信息或上層應(yīng)用信息。包過濾只利用了數(shù)據(jù)包中有限的信息。包過濾不提供增值服務(wù)，如HTTPCache，URL過濾等。電路網(wǎng)關(guān)防火墻電路網(wǎng)關(guān)防火墻是一種基于連接狀態(tài)的防火墻技術(shù)，它能確認、證實一個數(shù)據(jù)包是兩個傳輸層之間連接請求、兩個傳輸層之間已建連接中的數(shù)據(jù)包或兩個傳輸層之間的虛電路。電路網(wǎng)關(guān)防火墻檢查每一個連接的建立過程來保證連接的合法性，以及利用一個合法的連接信息表（包括狀態(tài)以及序列號）來檢查數(shù)據(jù)包的正確性。當一個連接關(guān)閉時，這個連接信息表就被關(guān)閉。電路網(wǎng)關(guān)級防火墻主要應(yīng)用下列狀態(tài)信息：一個唯一的會話識別用于跟蹤處理。連接狀態(tài)，包括：握手、建立以及關(guān)閉。序列號信息。源網(wǎng)絡(luò)地址。目的網(wǎng)絡(luò)地址。數(shù)據(jù)包到達的物理網(wǎng)絡(luò)接口。數(shù)據(jù)包離開的物理網(wǎng)絡(luò)接口。電路網(wǎng)關(guān)級防火墻具有以下優(yōu)點：電路網(wǎng)關(guān)防火墻通常性能高，因為他們執(zhí)行的評估比較少?？梢院唵蔚赝ㄟ^禁止特定外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)的連接來保護整個網(wǎng)絡(luò)。包過濾防火墻對客戶端是透明的，所有工作都在防火墻中完成。結(jié)合NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換功能，可以將內(nèi)部網(wǎng)絡(luò)從外部網(wǎng)絡(luò)中屏蔽起來。電路應(yīng)用網(wǎng)關(guān)具有以下缺點：電路應(yīng)用網(wǎng)關(guān)不能限制TCP之外的其他協(xié)議集。電路應(yīng)用網(wǎng)關(guān)防火墻不能進行嚴格的高層應(yīng)用檢查。包過濾不提供增值服務(wù)，如HTTPCache，URL過濾等。應(yīng)用層防火墻應(yīng)用層防火墻檢查所有的數(shù)據(jù)包、連接狀態(tài)信息以及序列號，同時還能驗證應(yīng)用層特定的安全控制，包括：用戶名，口令等。大多數(shù)應(yīng)用層防火墻包括一個特定服務(wù)程序和代理服務(wù)，代理是一個面向特定應(yīng)用的流量管理程序，如HTTP、FTP等，能提供增強的訪問控制、細節(jié)檢查以及審記記錄等信息。每一個應(yīng)用代理一般由兩部分組成，代理服務(wù)器以及代理客戶，相對于發(fā)起連接的客戶端來說，代理服務(wù)器充當一個最終服務(wù)器。代理客戶端代替實際的客戶應(yīng)用同外部服務(wù)器進行數(shù)據(jù)交換。應(yīng)用層防火墻具有以下優(yōu)點：代理服務(wù)能完全理解和實施上層協(xié)議。如HTTP、FTP等。代理服務(wù)維護所有的應(yīng)用狀態(tài)信息，包括：部分的通訊層狀態(tài)信息、全部應(yīng)用層狀態(tài)信息以及部分會話信息。代理服務(wù)能處理和利用數(shù)據(jù)包。代理服務(wù)不允許外部服務(wù)器和內(nèi)部主機之間的直接通訊，可有效的隱含內(nèi)部網(wǎng)絡(luò)信息。代理服務(wù)能提供增值特征，包括：HTTPCache、URL過濾以及用戶認證等。代理服務(wù)能很好的產(chǎn)生審記記錄，允許管理員監(jiān)控企圖違反網(wǎng)絡(luò)安全策略的行為。應(yīng)用層防火墻具有以下缺點：代理服務(wù)需要替換防火墻服務(wù)器的本來的網(wǎng)絡(luò)堆棧。由于代理服務(wù)要監(jiān)聽服務(wù)端口，因此，在防火墻服務(wù)器上不能提供同樣的服務(wù)。代理服務(wù)對數(shù)據(jù)包需要處理兩次，因此，性能比較差。通常，對于不同的應(yīng)用，需要對每一個服務(wù)提供一個代理服務(wù)程序。應(yīng)用級防火墻不能提供UDP、TCP以及其他協(xié)議代理功能。代理服務(wù)通常需要修改客戶應(yīng)用程序端或應(yīng)用配置。代理服務(wù)通常依賴操作系統(tǒng)提供設(shè)備驅(qū)動，因此，一個操作系統(tǒng)或應(yīng)用Bug都有可能造成代理服務(wù)容易受到攻擊。代理服務(wù)經(jīng)常會遇到多次登錄的情況。動態(tài)包過濾防火墻動態(tài)包過濾防火墻類似電路網(wǎng)關(guān)防火墻，但它提供了對面向非連接的傳輸層協(xié)議，如UDP的支持。其同電路網(wǎng)關(guān)有相同的優(yōu)缺點。常用攻擊方法了解常用的攻擊方法可以更好的制定安全防范措施，常用的攻擊方法包括以下幾種：被動監(jiān)聽：這種攻擊方法是攻擊者利用網(wǎng)絡(luò)監(jiān)聽或分析工具，直接竊獲用戶的報文信息，從而獲得用戶/口令信息，這時，攻擊者就可以以合法用戶的身份對應(yīng)用進行破壞。地址欺騙：在這種方法中，攻擊者偽裝成一個信任主機的IP地址，對系統(tǒng)進行破壞。端口掃描：這是一種主動的攻擊方法，攻擊者不斷的掃描安全控制點上等待連接的監(jiān)聽端口，一旦發(fā)現(xiàn)，攻擊者就集中精力對端口上的應(yīng)用發(fā)起攻擊。否認服務(wù)：這種攻擊方法又細分為兩種：即洪水連接和報文注入，洪水連接是向目的主機發(fā)出大量原地址非法的TCP連接，這樣，目的主機就一直處于等待狀態(tài)，最后由于資源耗盡而死機。報文注入就是在合法連接的報文中插入攻擊者發(fā)出的數(shù)據(jù)包，從而對目的主機進行攻擊。應(yīng)用層攻擊：這種攻擊方法是利用應(yīng)用軟件的缺陷，從而獲得對系統(tǒng)的訪問權(quán)利。特洛伊木馬：在這種攻擊方法中，攻擊者讓用戶運行一個用戶誤認為是一個合法程序的攻擊程序，從而寄生在用戶系統(tǒng)中，為以后的攻擊埋下伏筆。這種攻擊方法最常見的應(yīng)用就是在WEB服務(wù)嵌入JavaApplet、Active-X等控件，使用戶在瀏覽網(wǎng)頁時，不知不覺中被寄生了攻擊程序。常用攻擊對策下面我們對上面所述的攻擊方法提出自己的防范措施。被動監(jiān)聽：在共享式以太網(wǎng)結(jié)構(gòu)中，一個主機發(fā)送的數(shù)據(jù)會發(fā)送到一個網(wǎng)段上的每主機數(shù)據(jù)包被監(jiān)聽是不可避免的。而交換式網(wǎng)絡(luò)根據(jù)目的地址選擇發(fā)送的端口，因此，盡量連接桌面工作站到交換機端口會避免數(shù)據(jù)包被監(jiān)聽。對于同各個分支機構(gòu)的按Extranet方式連接的采用IPSec技術(shù)對IP數(shù)據(jù)包加密，該加密算法對數(shù)據(jù)加密采用DES算法，其DES密鑰是動態(tài)產(chǎn)生的，連接雙方加密密鑰是通過RAS算法傳送的，因此，具有很高的安全性。對于Internet個人用戶的訪問，數(shù)據(jù)被監(jiān)聽是不可避免的，因此，對這種攻擊的防范是合理設(shè)定用戶權(quán)限。地址欺騙：對這種攻擊的防范采用擴展訪問過濾列表方式，凡是從其他網(wǎng)段進來的數(shù)據(jù)包，如果其源地址不是來自該網(wǎng)段的合法地址，就拋棄該數(shù)據(jù)包。端口掃描：對這種攻擊的防范采用擴展訪問列表方式，拒絕非授權(quán)網(wǎng)絡(luò)訪問特定的網(wǎng)絡(luò)服務(wù)。否認服務(wù)：對于洪水連接攻擊我們采用TCP攔截技術(shù)，對一個主機的訪問限制在一個可接受范圍內(nèi)，對于超過的可按幾種設(shè)定方式丟棄連接。對于報文注入，CiscoPIX防火墻產(chǎn)品是一種基于狀態(tài)的包過濾產(chǎn)品，本身能很好的防范報文注入攻擊。應(yīng)用層攻擊：改進、替換具有安全漏洞的應(yīng)用服務(wù)器。特洛伊木馬：對于這種攻擊方式，首先應(yīng)該告知公司職員不要運行不明來源的程序，避免內(nèi)部主機被攻破，一旦內(nèi)部主機被攻破，攻擊者就可以以被攻破主機為落腳點，對內(nèi)部所有主機進行攻擊。對JavaApplet和Active-X的防范采用員工教育方式，教育職員不要訪問不明站點，盡量在瀏覽器中關(guān)閉JavaApplet和Active-X功能。VPN路由器采用CiscoRouter進行IP數(shù)據(jù)包過濾，安全VLAN子網(wǎng)劃分作為VPN配置路由使用，可方便進行安全訪問的劃分結(jié)合PIX防火墻、NetRanger入侵檢測系統(tǒng)和NetSonar安全掃描程序三者配合，最大限度地保證了企業(yè)VPN的可靠性和安全性IPS入侵防御使用入侵防御系統(tǒng)的原因目前流行的攻擊程序和有害代碼如DoS（DenialofService)，\o"分布式拒絕服務(wù)攻擊"分布式拒絕服務(wù)攻擊，暴力猜解（Brut-Force-Attack），端口掃描（Portscan），\o"嗅探"嗅探，病毒，\o"蠕蟲病毒"蠕蟲，\o"垃圾郵件"垃圾郵件，\o"木馬"木馬等等。此外還有利用軟件的漏洞和缺陷鉆空子、干壞事，讓人防不勝防。網(wǎng)絡(luò)入侵方式越來越多，有的充分利用防火墻放行許可，有的則使殺毒軟件失效。比如，在病毒剛進入網(wǎng)絡(luò)的時候，還沒有一個廠家迅速開發(fā)出相應(yīng)的辨認和撲滅程序，于是這種全新的病毒就很快大肆擴散、肆虐于網(wǎng)絡(luò)、危害單機或網(wǎng)絡(luò)資源，這就是所謂ZeroDayAttack。防火墻可以根據(jù)\o"英特網(wǎng)"英特網(wǎng)地址（IP-Addresses）或服務(wù)端口（Ports）過濾數(shù)據(jù)包。但是，它對于利用合法網(wǎng)址和端口而從事的破壞活動則無能為力。因為，防火墻極少深入數(shù)據(jù)包檢查內(nèi)容。每種攻擊代碼都具有只屬于它自己的特征，病毒之間通過各自不同的特征互相區(qū)別，同時也與正常的應(yīng)用程序代碼相區(qū)別。除病毒軟件就是通過存儲所有已知的病毒特征來辨認病毒的。在ISO/OSI網(wǎng)絡(luò)層次模型（見\o"OSI模型"OSI模型）中，防火墻主要在第二到第四層起作用，它的作用在第四到第七層一般很微弱。而除病毒軟件主要在第五到第七層起作用。為了彌補防火墻和除病毒軟件二者在第四到第五層之間留下的空檔，幾年前，工業(yè)界已經(jīng)有\(zhòng)o"入侵檢測系統(tǒng)"入侵檢測系統(tǒng)投入使用。入侵偵查系統(tǒng)在發(fā)現(xiàn)異常情況后及時向網(wǎng)絡(luò)安全管理人員或防火墻系統(tǒng)發(fā)出警報?？上н@時災(zāi)害往往已經(jīng)形成。雖然，亡羊補牢，尤未為晚，但是，防衛(wèi)機制最好應(yīng)該是在危害形成之前先期起作用。隨后應(yīng)運而生的入侵反應(yīng)系統(tǒng)（IRS:IntrusionResponseSystems）作為對入侵偵查系統(tǒng)的補充能夠在發(fā)現(xiàn)入侵時，迅速作出反應(yīng)，并自動采取阻止措施。而入侵預(yù)防系統(tǒng)則作為二者的進一步發(fā)展，汲取了二者的長處。入侵防御的技術(shù)入侵預(yù)防系統(tǒng)也像入侵偵查系統(tǒng)一樣，專門深入網(wǎng)絡(luò)數(shù)據(jù)內(nèi)部，查找它所認識的攻擊代碼特征，過濾有害數(shù)據(jù)流，丟棄有害數(shù)據(jù)包，并進行記載，以便事后分析。除此之外，更重要的是，大多數(shù)入侵預(yù)防系統(tǒng)同時結(jié)合考慮應(yīng)用程序或網(wǎng)絡(luò)傳輸層的異常情況，來輔助識別入侵和攻擊。比如，用戶或用戶程序違反安全條例、數(shù)據(jù)包在不應(yīng)該出現(xiàn)的時段出現(xiàn)、操作系統(tǒng)或應(yīng)用程序弱點的空子正在被利用等等現(xiàn)象。入侵預(yù)防系統(tǒng)雖然也考慮已知病毒特征，但是它并不僅僅依賴于已知病毒特征。應(yīng)用入侵預(yù)防系統(tǒng)的目的在于及時識別攻擊程序或有害代碼及其克隆和變種，采取預(yù)防措施，先期阻止入侵，防患于未然。或者至少使其危害性充分降低。入侵預(yù)防系統(tǒng)一般作為防火墻和防病毒軟件的補充來投入使用。在必要時，它還可以為追究攻擊者的刑事責任而提供法律上有效的證據(jù)。入侵防御的技術(shù)手段：異常偵查。正如入侵偵查系統(tǒng)，入侵預(yù)防系統(tǒng)知道正常數(shù)據(jù)以及數(shù)據(jù)之間關(guān)系的通常的樣子，可以對照識別異常。在遇到動態(tài)代碼（ActiveX，JavaApplet，各種指令語言scriptlanguages等等）時，先把它們放在沙盤內(nèi)，觀察其行為動向，如果發(fā)現(xiàn)有可疑情況，則停止傳輸，禁止執(zhí)行。有些入侵預(yù)防系統(tǒng)結(jié)合協(xié)議異常、傳輸異常和特征偵查，對通過網(wǎng)關(guān)或防火墻進入網(wǎng)絡(luò)內(nèi)部的有害代碼實行有效阻止。\o"內(nèi)核"內(nèi)核基礎(chǔ)上的防護機制。用戶程序通過系統(tǒng)指令享用資源（如存儲區(qū)、輸入輸出設(shè)備、\o"中央處理器"中央處理器等）。入侵預(yù)防系統(tǒng)可以截獲有害的系統(tǒng)請求。對Library、Registry、重要文件和重要的文件夾進行防守和保護。入侵預(yù)防系統(tǒng)類型投入使用的入侵預(yù)防系統(tǒng)按其用途進一步可以劃分為主機入侵預(yù)防系統(tǒng)（HIPS:HostbasedIntrusionPrevensionSystem）和網(wǎng)絡(luò)入侵預(yù)防系統(tǒng)（NIPS:NetworkIntrusionPrevensionSystem）兩種類型。網(wǎng)絡(luò)入侵預(yù)防系統(tǒng)作為網(wǎng)絡(luò)之間或網(wǎng)絡(luò)組成部分之間的獨立的硬件設(shè)備，切斷交通，對過往包裹進行深層檢查，然后確定是否放行。網(wǎng)絡(luò)入侵預(yù)防系統(tǒng)借助病毒特征和協(xié)議異常，阻止有害代碼傳播。有一些網(wǎng)絡(luò)入侵預(yù)防系統(tǒng)還能夠跟蹤和標記對可疑代碼的回答，然后，看誰使用這些回答信息而請求連接，這樣就能更好地確認發(fā)生了入侵事件。根據(jù)有害代碼通常潛伏于正常程序代碼中間、伺機運行的特點，主機入侵預(yù)防系統(tǒng)監(jiān)視正常程序，比如InternetExplorer，Outlook，等等，在它們（確切地說，其實是它們所夾帶的有害代碼）向操作系統(tǒng)發(fā)出請求指令，改寫系統(tǒng)文件，創(chuàng)建對外連接時，進行有效阻止，從而保護網(wǎng)絡(luò)中重要的單個機器設(shè)備，如\o"服務(wù)器"服務(wù)器、\o"路由器"路由器、\o"防火墻"防火墻等等。這時，它不需要求助于已知病毒特征和事先設(shè)定的安全規(guī)則?？偟貋碚f，單機入侵預(yù)防系統(tǒng)能使大部分鉆空子行為無法得逞。我們知道，入侵是指有害代碼首先到達目的地，然后干壞事。然而，即使它僥幸突破防火墻等各種防線，得以到達目的地，但是由于有了入侵預(yù)防系統(tǒng)，有害代碼最終還是無法起到它要起的作用，不能達到它要達到的目的。SSR主機加固系統(tǒng)為加強集團內(nèi)部服務(wù)器硬件設(shè)備的安全管理，在服務(wù)器上加裝浪潮SSR主機加固系統(tǒng)，浪潮SSR的產(chǎn)品部署非常簡易，由于屬于主機類操作系統(tǒng)保護產(chǎn)品，我們只需要將產(chǎn)品安裝到需要受保護的任意服務(wù)器上即可，無須考慮部署位置以及網(wǎng)絡(luò)拓撲環(huán)境，SSR能夠很好的與現(xiàn)有環(huán)境結(jié)合。安裝過程非常簡易，無須重啟服務(wù)器。通過SSR服務(wù)器安全加固后，利用系統(tǒng)漏洞而發(fā)生的病毒傳播和黑客攻擊事件銳減，SSR通過設(shè)置可定制化的安全策略，能有效的保護應(yīng)用以及數(shù)據(jù)安全。使得受保護系統(tǒng)在自身和環(huán)境的變化中能夠不斷應(yīng)對新的安全需求和風(fēng)險，構(gòu)建動態(tài)安全防護體系，保護用戶以往的投資，有效降低信息安全系統(tǒng)的安全風(fēng)險。結(jié)合SSR自身特點，部署SSR產(chǎn)品后，可以對已知或未知病毒做到全面免疫；有效的控制用戶的權(quán)限，防止越權(quán)訪問；防止內(nèi)部人員針對敏感數(shù)據(jù)的操作和訪問；提升操作系統(tǒng)等級到國家等級保護三級系統(tǒng)；由內(nèi)向外全面保護操作系統(tǒng)層關(guān)鍵數(shù)據(jù)和應(yīng)用的安全。變“被動”為“主動”的防御SSR產(chǎn)品則并不采用這種被動式的防御體系，而是主動防御。通過對服務(wù)器設(shè)置訪問控制規(guī)則，對系統(tǒng)內(nèi)核層進行加固，保護系統(tǒng)中的重要數(shù)據(jù)和應(yīng)安全,用戶無需擔憂操作系統(tǒng)補丁的“善惡”之分，不必擔憂操作系統(tǒng)補丁更新，對業(yè)務(wù)系統(tǒng)影響，徹底降低了對系統(tǒng)廠商的依賴，從根本上免疫目前針對操作系統(tǒng)的各類攻擊，徹底防范病毒、木馬對操作系統(tǒng)及業(yè)務(wù)平臺的破壞。系統(tǒng)平臺服務(wù)器部署SSR主機加固系統(tǒng)，如同對前置機加了一層保護罩，徹底杜絕病毒木馬對系統(tǒng)的破壞，真正實現(xiàn)“主動”防御。變“修補”為“免疫”的安全主機的安全防御能力，這些需要外來數(shù)據(jù)保障的特型，確實在封閉網(wǎng)絡(luò)當中無法完全發(fā)揮作用。那么也就是說網(wǎng)絡(luò)的特殊性決定了這些特殊的“修補”行為應(yīng)該有更好的方式取代。SSR完全可以做到“免疫”病毒、黑客、攻擊手法去破壞操作系統(tǒng)以及關(guān)鍵數(shù)據(jù)。而不依賴不斷的升級來使自身保持這種能力。從安裝SSR后主機便一直具備著這種免疫力，SSR并不需要頻繁升級，即便是有新的版本或是新的功能需要改進而進行的更新，在時間上也是可控的。在安裝SSR產(chǎn)品的服務(wù)器上，在熊貓病毒肆虐的風(fēng)波中，無一例外的具備先天免疫能力。我們的客戶中沒有任何一臺感染操作系統(tǒng)的案例。即使故意在服務(wù)器上重復(fù)執(zhí)行病毒體，操作系統(tǒng)也感染不了。部署SSR后，改變以往頻繁的給前置機打補丁的模式，可以杜絕漏洞發(fā)現(xiàn)到漏洞修補的“真空期”，使前置機具有相當能力的“免疫”。變“脆弱”為“強壯”的系統(tǒng)在沒有條件更新操作系統(tǒng)補丁的前提下，操作系統(tǒng)的安全漏洞成為最致命的攻擊目標。如此脆弱的操作系統(tǒng)，如果完全依賴操作系統(tǒng)自身的安全機制配置，設(shè)定權(quán)限，強密碼，各種安全規(guī)則的設(shè)定，顯得非常無力。如果完全拋棄這類操作系統(tǒng)不用的話，現(xiàn)有軍隊的應(yīng)用完全是在現(xiàn)有操作系統(tǒng)上開發(fā)的無法使用，。SSR能夠?qū)⑦@樣“脆弱”的操作系統(tǒng)上透明提升到國家計算機等級保護三級標準，強壯的認證體系，權(quán)限臨架于操作系統(tǒng)權(quán)限之上，完全有能力對抗目前所有二級操作系統(tǒng)下的任何攻擊手法。對已知和未知的攻擊形成免疫。變“分散”為“統(tǒng)一”的管理傳統(tǒng)的各自為戰(zhàn)，往往只有時間發(fā)生后，才去“亡羊補牢”。缺乏統(tǒng)一有效的管理，無法真正的做到事前防御、事中檢查，容易操作被動的局面。浪潮SSR統(tǒng)一管理的策略，保證了服務(wù)器策略的一致性。統(tǒng)一分發(fā)為管理員提供強大的管理工具，提高了管理效率。及時有效的的安全事件報警，對服務(wù)器的系統(tǒng)資源，系統(tǒng)運行狀態(tài)等設(shè)置安全閥值，一旦監(jiān)控發(fā)現(xiàn)異常對象及時通知管理員，真正做到事中巡查。變“手工加固”為“永久自動防御”我們常見的傳統(tǒng)的主機安全措施是通過手工加固的方式提高操作系統(tǒng)的安全的，手工加固是指不借助第三方軟件，通過修改操作系統(tǒng)或者應(yīng)用軟件自身的安全策略來提升系統(tǒng)的安全性，比如修改系統(tǒng)組策略，劃分更細的權(quán)限，降低應(yīng)用軟件的運行權(quán)限等。手動安全加固雖然可以暫時的消除系統(tǒng)的安全隱患，但手動加固卻有著明顯的弱點比如：專業(yè)性強、費用高、周期長、階段性等等，無法長期有效的解決系統(tǒng)的安全問題。另外，所有手工加固都是基于系統(tǒng)管理員的基礎(chǔ)來配置的，這種自主訪問控制措施，管理員可以自行加固也可以自行取消，安全策略的有效性得不到審計，所以如果病毒或者黑客獲取系統(tǒng)管理員權(quán)限就可以修改安全策略，那手工加固就沒有任何意義，因此達不到強制訪問控制的功能。SSR是通過三權(quán)分離首先把系統(tǒng)管理員、安全管理員和審計管理權(quán)限分開，他們相互制約，相互監(jiān)督。在加固技術(shù)上采用內(nèi)核加固方式，通過在操作系統(tǒng)內(nèi)核層增加強制訪問控制模塊配合安全策略來實現(xiàn)系統(tǒng)加固，只要配置好SSR安全策略，管理員不再需要開展升級、打補丁或手工加固等工作內(nèi)容，就能達到永久防御目的。CA認證與SSL加密CA的作用數(shù)字證書能為你做什么：

個人數(shù)字證書是網(wǎng)友進入21世紀的必需品。網(wǎng)上證券少不了它；網(wǎng)上繳款不能沒有它；進入全球知名網(wǎng)站，更不得沒有它。它簡單易懂、安裝容易，它比“卡”還要重要，是您身份的表征，網(wǎng)絡(luò)新貴的識別證?，F(xiàn)今不論X、Y、Z世代，您皮夾中至少必備四五張卡（提款卡、萬事達卡、威士卡、會員卡、金卡、普卡、電話卡、保健卡...)，因為目前是“卡”的時代。而在網(wǎng)際路上，您如果沒有數(shù)字證書，不管您外表多young、多炫，多酷，依舊是寸步難行。因為“一證在手，走遍天下”的時代已經(jīng)到來。CA為了更好地滿足客戶的需要，給客戶提供更大的便利，設(shè)計開發(fā)的通用證書系統(tǒng)使得一證多用成為可能。數(shù)字證書和電子商務(wù)的關(guān)系電子商務(wù)正以不可逆轉(zhuǎn)之勢席卷全球的各行各業(yè)，但世界各地也面臨著共同的阻礙——電子商務(wù)的安全問題，必須要采用先進的安全技術(shù)對網(wǎng)上的數(shù)據(jù)、信息發(fā)送方、接收方進行身份確認，以保證各方信息傳遞的安全性、完整性、可靠性和交易的不可抵賴性。以數(shù)字證書為核心的身份認證、數(shù)字簽名、數(shù)字信封等數(shù)字加密技術(shù)是目前通用可行的安全問題解決方案。數(shù)字安全證書建立了一套嚴密的身份認證系統(tǒng)，可以確保電子商務(wù)的安全性。信息的保密性交易中的商務(wù)信息均有保密的要求.如信用卡的帳號和用戶名被人知悉,就可能被盜用,訂貨和付款的信息被競爭對手獲悉,就可能喪失商機。因此在電子商務(wù)的信息傳播中一般均有加密的要求。交易者身份的確定性網(wǎng)上交易的雙方很可能素昧平生,相隔千里。要使交易成功首先要能確認對方的身份,對商家要考慮客戶端不能是騙子,而客戶也會擔心網(wǎng)上的商店不是一個玩弄欺詐的黑店.因此能方便而可靠地確認對方身份是交易的前提。對于為顧客或用戶開展服務(wù)的銀行、信用卡公司和銷售商店，為了做到安全、保密、可靠地開展服務(wù)活動，都要進行身份認證的工作。對有關(guān)的銷售商店來說，他們對顧客所用的信用卡的號碼是不知道的，商店只能把信用卡的確認工作完全交給銀行來完成。銀行和信用卡公司可以采用各種保密與識別方法，確認顧客的身份是否合法，同時還要防止發(fā)生拒付款問題以及確認訂貨和訂貨收據(jù)信息等。不可否認性由于商情的千變?nèi)f化,交易一旦達成是不能被否認的。否則必然會損害一方的利益.例如訂購黃金,訂貨時金價較低，但收到訂單后，金價上漲了，如收單方能否認受到訂單的實際時間，甚至否認收到訂單的事實，則訂貨方就會蒙受損失。因此電子交易通信過程的各個環(huán)節(jié)都必須是不可否認的。不可修改性交易的文件是不可被修改的，如上例所舉的訂購黃金。供貨單位在收到訂單后，發(fā)現(xiàn)金價大幅上漲了，如其能改動文件內(nèi)容，將訂購數(shù)1噸改為1克，則可大幅受益，那么訂貨單位可能就會因此而蒙受損失。因此電子交易文件也要能做到不可修改，以保障交易的嚴肅和公正。CA系統(tǒng)簡介人們在感嘆電子商務(wù)的巨大潛力的同時，不得不冷靜地思考，在人與人不見面的計算機互聯(lián)網(wǎng)上進行交易和作業(yè)時，怎么才能保證交易的公正性和安全性，保證交易方身份的真實性。國際上已經(jīng)有比較成熟的安全解決方案，那就是建立安全證書體系結(jié)構(gòu)。數(shù)字安全證書提供了一種在網(wǎng)上驗證身份的方式。安全證書體制主要采用了公開密鑰體制，其它還包括對稱密鑰加密、數(shù)字簽名、數(shù)字信封等技術(shù)。我們可以使用數(shù)字證書，通過運用對稱和非對稱密碼體制等密碼技術(shù)建立起一套嚴密的身份認證系統(tǒng)，從而保證：信息除發(fā)送方和接收方外不被其它人竊取；信息在傳輸過程中不被篡改；發(fā)送方能夠通過數(shù)字證書來確認接收方的身份；發(fā)送方對于自己的信息不能抵賴。天威誠信CA系統(tǒng)天威誠信CA系統(tǒng)是通過了國家密碼管理委員會（以下簡稱國密辦）的安審、獲得了工信部的運營資質(zhì)、獲得了公安部的銷售許可證、通過了國家信息安全測評中心的認證。因此，采用天威誠信提供的CA技術(shù)平臺，能夠滿足GS系統(tǒng)的各項安全需求，為集團化經(jīng)營企業(yè)建設(shè)一套功能完備的、可靠的、先進的和可擴展的CA系統(tǒng)。系統(tǒng)特性天威誠信PKI/CA系統(tǒng)支持多種設(shè)備存儲用戶證書和私鑰，包括支持PKCS#11以及CSP的證書接口的所有設(shè)備，例如支持軟盤、硬盤、USBKey、IC卡和智能卡等多種存儲介質(zhì)。天威誠信CA證書采用HTML5技術(shù)，可同時應(yīng)用于移動客戶端，支持安卓和IOS系統(tǒng)。對于資金管理系統(tǒng)或財務(wù)系統(tǒng)的用戶，為了實現(xiàn)用戶私鑰的高安全性和移動辦公的需求，推薦使用USBKey來保存用戶的證書及私鑰。USBKey是以USB為接口的存儲設(shè)備，它與智能卡的區(qū)別是不需要讀卡器。它便于攜帶和使用，可以實現(xiàn)在所有的機器（具有USB接口）上的漫游。USBKey可以設(shè)置用戶口令保護，增強了證書及私鑰的安全性。另外，采用USBKey保存的證書，證書私鑰是可設(shè)置成不可導(dǎo)出的，即使別人得到自己的USBKey，猜到自己的用戶口令，也無法導(dǎo)出證書的私鑰，從而可以保證用戶證書及私鑰的安全。CA系統(tǒng)詳細介紹CA機構(gòu)，又稱為證書授證(CertificateAuthority)中心，作為電子商務(wù)交易中受信任和具有權(quán)威性的第三方，承擔公鑰體系中公鑰的合法性檢驗的責任。CA中心為每個使用公開密鑰的客戶發(fā)放數(shù)字證書，數(shù)字證書的作用是證明證書中列出的客戶合法擁有證書中列出的公開密鑰。CA機構(gòu)的數(shù)字簽名使得第三者不能偽造和篡改證書。它負責產(chǎn)生、分配并管理所有參與網(wǎng)上信息交換各方所需的數(shù)字證書，因此是安全電子信息交換的核心。為保證客戶之間在網(wǎng)上傳遞信息的安全性、真實性、可靠性、完整性和不可抵賴性，不僅需要對客戶的身份真實性進行驗證，也需要有一個具有權(quán)威性、公正性、唯一性的機構(gòu)，負責向電子商務(wù)的各個主體頒發(fā)并管理符合國內(nèi)、國際安全電子交易協(xié)議標準的安全證書。數(shù)字證書管理中心是保證電子商務(wù)安全的基礎(chǔ)設(shè)施。它負責電子證書的申請、簽發(fā)、制作、廢止、認證和管理，提供網(wǎng)上客戶身份認證、數(shù)字簽名、電子公證、安全電子郵件等服務(wù)等業(yè)務(wù)。

CA為電子商務(wù)服務(wù)的證書中心，是PKI（PublicKeyInfrastructure）體系的核心。它為客戶的公開密鑰簽發(fā)公鑰證書、發(fā)放證書和管理證書，并提供一系列密鑰生命周期內(nèi)的管理服務(wù)。它將客戶的公鑰與客戶的名稱及其他屬性關(guān)聯(lián)起來，為客戶之間電子身份進行認證。證書中心是一個具有權(quán)威性、可信賴性和公證性的第三方機構(gòu)。它是電子商務(wù)存在和發(fā)展的基礎(chǔ)。認證中心在密碼管理方面的作用如下：自身密鑰的產(chǎn)生、存儲、備份/恢復(fù)、歸檔和銷毀從根CA開始到直接給客戶發(fā)放證書的各層次CA，都有其自身的密鑰對。CA中心的密鑰對一般由硬件加密服務(wù)器在機器內(nèi)直接產(chǎn)生，并存儲于加密硬件內(nèi)，或以一定的加密形式存放于密鑰數(shù)據(jù)庫內(nèi)。加密備份于IC卡或其他存儲介質(zhì)中，并以高等級的物理安全措施保護起來。密鑰的銷毀要以安全的密鑰沖寫標準，徹底清除原有的密鑰痕跡。需要強調(diào)的是，根CA密鑰的安全性至關(guān)重要，它的泄露意味著整個公鑰信任體系的崩潰，所以CA的密鑰保護必須按照最高安全級的保護方式來進行設(shè)置和管理。為認證中心與各地注冊審核發(fā)放機構(gòu)的安全加密通信提供安全密鑰管理服務(wù)。在客戶證書的生成與發(fā)放過程中，除了有CA中心外，還有注冊機構(gòu)、審核機構(gòu)和發(fā)放機構(gòu)（對于有外部介質(zhì)的證書）的存在。行業(yè)使用范圍內(nèi)的證書，其證書的審批控制，可由獨立于CA中心的行業(yè)審核機構(gòu)來完成。CA中心在與各機構(gòu)進行安全通信時，可采用多種手段。對于使用證書機制的安全通信，各機構(gòu)（通信端）的密鑰產(chǎn)生、發(fā)放與管理維護，都可由CA中心來完成。確定客戶密鑰生存周期，實施密鑰吊銷和更新管理。每一張客戶公鑰證書都會有有效期，密鑰對生命周期的長短由簽發(fā)證書的CA中心來確定。各CA系統(tǒng)的證書有效期限有所不同，一般大約為2～3年。密鑰更新不外為以下兩種情況：密鑰對到期、密鑰泄露后需要啟用新的密鑰對（證書吊銷）。密鑰對到期時，客戶一般事先非常清楚，可以采用重新申請的方式實施更新。采用證書的公鑰吊銷，是通過吊銷公鑰證書來實現(xiàn)的。公鑰證書的吊銷來自于兩個方向，一個是上級的主動吊銷，另一個是下級主動申請證書的吊銷。當上級CA對下級CA不能信賴時（如上級發(fā)現(xiàn)下級CA的私鑰有泄露的可能），它可以主動停止下級CA公鑰證書的合法使用。當客戶發(fā)現(xiàn)自己的私鑰泄露時，也可主動申請公鑰證書的吊銷，防止其他客戶繼續(xù)使用該公鑰來加密重要信息，而使非法客戶有盜取機密的可能。一般而言，在電子商務(wù)實際應(yīng)用中，可能會較少出現(xiàn)私鑰泄露的情況，多數(shù)情況是由于某個客戶由于組織變動而調(diào)離該單位，需要提前吊銷代表企業(yè)身份的該客戶的證書。提供密鑰生成和分發(fā)服務(wù)。CA中心可為客戶提供密鑰對的生成服務(wù)，它采用集中或分布式的方式進行。在集中的情形下，CA中心可使用硬件加密服務(wù)器，為多個客戶申請成批的生成密鑰對，然后采用安全的信道分發(fā)給客戶。也可由多個注冊機構(gòu)（RA）分布生成客戶密鑰對并分發(fā)給客戶。提供密鑰托管和密鑰恢復(fù)服務(wù)。CA中心可根據(jù)客戶的要求提供密鑰托管服務(wù)，備份和管理客戶的加密密鑰對。當客戶需要時可以從密鑰庫中提出客戶的加密密鑰對，為客戶恢復(fù)其加密密鑰對，以解開先前加密的信息。這種情形下，CA中心的密鑰管理器，采用對稱加密方式對各個客戶私鑰進行加密，密鑰加密密鑰在加密后即銷毀，保證了私鑰存儲的安全性。密鑰恢復(fù)時，采用相應(yīng)的密鑰恢復(fù)模塊進行解密，以保證客戶的私鑰在恢復(fù)時沒有任何風(fēng)險和不安全因素。同時，CA中心也應(yīng)有一套備份庫，避免密鑰數(shù)據(jù)庫的意外毀壞而無法恢復(fù)客戶私鑰。其他密鑰生成和管理、密碼運算功能。CA中心在自身密鑰和客戶密鑰管理方面的特殊地位和作用，決定了它具有主密鑰、多級密鑰加密密鑰等多種密鑰的生成和管理功能。對于為客戶提供公鑰信任、管理和維護整個電子商務(wù)密碼體系的CA中心來講，其密鑰管理工作是一項十分復(fù)雜的任務(wù)，它涉及到CA中心自身的各個安全區(qū)域和部件、注冊審核機構(gòu)以及客戶端的安全和密碼管理策略。SSL加密SSL是一種國際標準的加密及身份認證通信協(xié)議，您用的瀏覽器就支持此協(xié)議。SSL（SecureSocketsLayer）最初是由美國Netscape公司研究出來的，后來成為了Internet網(wǎng)上安全通訊與交易的標準。SSL協(xié)議使用通訊雙方的客戶證書以及CA根證書，允許客戶/服務(wù)器應(yīng)用以一種不能被偷聽的方式通訊，在通訊雙方間建立起了一條安全的、可信任的通訊通道。它具備以下基本特征：信息保密性、信息完整性、相互鑒定。SSL（SecureSocketLayer）：安全套接層協(xié)議SSL協(xié)議是由Netscape首先發(fā)表的網(wǎng)絡(luò)資料安全傳輸協(xié)定,其首要目的是在兩個通信間提供秘密而可靠的連接。該協(xié)議由兩層組成，底層是建立在可靠的傳輸協(xié)議（例如：TCP）上的是SSL的記錄層，用來封裝高層的協(xié)議。SSL握手協(xié)議準許服務(wù)器端與客戶端在開始傳輸數(shù)據(jù)前，能夠通過特定的加密算法相互鑒別。SSL的先進之處在于它是一個獨立的應(yīng)用協(xié)議，其它更高層協(xié)議能夠建立在SSL協(xié)議上。目前大部分的WebServer及Browser大多支持SSL的資料加密傳輸協(xié)定。因此，可以利用這個功能，將部分具有機密性質(zhì)的網(wǎng)頁設(shè)定在加密的傳輸模式，如此即可避免資料在網(wǎng)絡(luò)上傳送時被其他人竊聽。SSL是利用公開密鑰的加密技術(shù)（RSA）來作為用戶端與主機端在傳送機密資料時的加密通訊協(xié)定。目前，大部分的WebServer及Browser都廣泛使用SSL技術(shù)。對消費者而言，SSL已經(jīng)解決了大部分的問題。但是，對電子商務(wù)而言問題并沒有完全解決，因為SSL只做能到資料保密，廠商無法確定是誰填下了這份資料，即使這一點做到了，還有和銀行清算的問題。SSL是目前在網(wǎng)上購物網(wǎng)站中最常使用的一種安全協(xié)議，它主要的設(shè)計目的在于確保信息在網(wǎng)際網(wǎng)絡(luò)上流通的安全性，讓主從式結(jié)構(gòu)的應(yīng)用程序（如瀏覽器與web服務(wù)器）能夠安全地進行溝通。當然，這里的安全指的是信息不被偽造，不被網(wǎng)絡(luò)上的黑客中途攔劫解毒及擅自更改。SSL的協(xié)議中結(jié)合了許多密碼學(xué)的技術(shù)，其中包括：1．信息加解密。2．數(shù)字簽名與簽證技術(shù)。除此之外，在進行安全聯(lián)機之前，SSL會先采取“握手”（Handshaking）的動作，以確保網(wǎng)絡(luò)上通信的雙方都能夠按部就班的根據(jù)預(yù)定步驟建立起兩者之間的安全通道。SSL可以提供以下三種安全防護：數(shù)據(jù)的機密性與完整性：主要是通過數(shù)據(jù)的加解密來實現(xiàn)。1．服務(wù)器端的個體識別服務(wù)：利用服務(wù)器的數(shù)字證書來驗證用戶的資格，這是必要的手續(xù)，如此我們才能保證用戶的有效性。2．客戶端的個體識別服務(wù)：同樣是通過客戶自己的數(shù)字證書來完成。但這個服務(wù)并不是必要的，可根據(jù)需求來設(shè)置。以網(wǎng)上購物的例子來說，為了不讓網(wǎng)絡(luò)上的第三者看到我們的信用卡數(shù)據(jù)，因此必須先將數(shù)據(jù)加密之后再傳送，而當數(shù)據(jù)到達對方服務(wù)器時再將數(shù)據(jù)解密，同時檢查數(shù)據(jù)是否有被他人更改過，如果發(fā)現(xiàn)任何的錯誤，那么這份數(shù)據(jù)就不會被接受。3．除此之外，SSL也利用數(shù)字證書的方法類確定用戶的資格。還是以網(wǎng)上購物的例子來說，商家如果想要提供網(wǎng)上交易的服務(wù)，他必須先向認證中心是、提出商店的合法證明，如營業(yè)執(zhí)照，負責人等等（不同的餓認證中心所要求的文件可能不同）。檢查通過后才能取得數(shù)字證書。SSL內(nèi)部使用的是RSA公司所授權(quán)的公開金鑰加密法，服務(wù)器必須申請屬于自己的數(shù)字證書，加裝到服務(wù)器中作為識別之用。如此一來，一個加裝SSL的服務(wù)器便可以與支持SSL的瀏覽器相互傳送機密數(shù)據(jù)了，即使是internet也不同擔心。防病毒系統(tǒng)計算機病毒是附屬在其它文件上的一種程序，可以自行復(fù)制。計算機病毒十分有害，如果沒有檢測和防護，用戶經(jīng)常不知道自己感染上病毒，直到病毒發(fā)作并產(chǎn)生危害。病毒中的破壞進程可以格式化硬盤、破壞分區(qū)表或占用計算機資源。病毒十分流行。事實上，目前世界上已存在超過10,000種，計算機存在病毒的比率高達35-85%，中國、香港、臺灣為高發(fā)區(qū)。盡管病毒在Apple機和PC上都存在,但在PC系統(tǒng)中更為廣泛，這是因為MS-DOS結(jié)構(gòu)使用中斷和向量表，編寫病毒相對容易。清除病毒十分困難。據(jù)分析，對于數(shù)據(jù)丟失，病毒發(fā)作的損失在US$2000-50，000,而恢復(fù)數(shù)據(jù)的代價十分昂貴甚至不可能，而且清除后病毒還可能再感染。因此,每個用戶有50%的可能感染病毒并招致?lián)p失。大的計算機網(wǎng)絡(luò)幾乎必然被病毒感染。病毒的類型介質(zhì)病毒病毒可分為兩類：文件型和引導(dǎo)型。文件型病毒駐留在另一個.EXE或.COM文件中，當文件執(zhí)行時截取系統(tǒng)控制，并將自身附加到另外的文件上。引導(dǎo)型駐留在軟盤或硬盤的引導(dǎo)區(qū)，在系統(tǒng)啟動時裝入內(nèi)存，然后監(jiān)視DOS中斷并感染插在軟驅(qū)中的磁盤。有兩種病毒不容易被檢測：隱身病毒和多態(tài)病毒。隱身病毒使用DOS中斷，并不斷變換方式，避開文件大小監(jiān)測。多態(tài)病毒目前很多，在傳染時修改本身的版本，使根據(jù)模式掃描的病毒檢測程序無能為力。最初，大約80%的病毒是引導(dǎo)型病毒。隨著Internet的普及，文件型病毒變得越來越多。另外，一種新型的文件病毒感染文檔和圖表的病毒，被稱作宏病毒，使用文字處理器和表格中的編碼，是目前最多的病毒。這種病毒通過電子郵件的附件快速傳染，躲過了許多只檢查.EXE和.COM文件的防病毒程序。網(wǎng)絡(luò)病毒網(wǎng)絡(luò)病毒的特性通過攻擊操作系統(tǒng)或應(yīng)用軟件的已知安全漏洞來獲得控制權(quán)在本地硬盤上并不留下文件由于其在網(wǎng)絡(luò)上進行掃描的動作，可能會引起嚴重的網(wǎng)絡(luò)負載如果攻擊是屬于常規(guī)的應(yīng)用，例如SQL,IIS等就可能穿過防火墻木馬病毒木馬病毒有可能洗劫用戶網(wǎng)上銀行存款、造成網(wǎng)絡(luò)游戲玩家裝備丟失、被黑客利用執(zhí)行不法行為等。如今，針對以上各種現(xiàn)象的危害越來越多，木馬病毒已成為威脅數(shù)字娛樂的大敵。根據(jù)木馬病毒的特點與其危害范圍來講，木馬病毒又分為以下五大類別：針對網(wǎng)游的木馬病毒、針對網(wǎng)上銀行的木馬病毒、針對即時通訊工具的木馬病毒、給計算機開后門的木馬病毒、推廣廣告的木馬病毒。病毒的檢測客戶端防病毒軟件安裝在客戶計算機上，當用戶啟動計算機時或用戶手動運行時檢查硬盤或軟盤。好的桌面產(chǎn)品使用多種檢測方式，例如監(jiān)視病毒的行為（如格式化硬盤）、根據(jù)已知病毒代碼庫比較文件、檢查無法解釋的文件大小改變等。但是，客戶端防病毒軟件有一個致命弱點：只是在用戶使用時周期地檢測病毒，對下載的、或其他方式傳輸?shù)奈募t不檢測，而這些文件可能帶有病毒。另外，每個客戶端要同時安裝防病毒軟件，更新、維護十分麻煩。因此，出現(xiàn)了網(wǎng)絡(luò)防病毒軟件，駐留在網(wǎng)絡(luò)服務(wù)器上，運行于NetWare或WindowsNT環(huán)境，對通過服務(wù)器傳遞的文件病毒進行檢測。服務(wù)器防病毒軟件比客戶端防病毒軟件效率提高了很多，可以集中管理病毒防范、經(jīng)常掃描文件病毒，并及時更新病毒庫。然而，文件服務(wù)器型防病毒軟件也有一些缺點：很強的網(wǎng)絡(luò)服務(wù)器防病毒功能，客戶端則沒有，對于不通過文件服務(wù)器的文件型病毒，如從Internet下載的文件和電子郵件，則無法防護。其次，服務(wù)器防病毒軟件不能掃描電子郵件附件上的病毒。這是因為在LAN中，電子郵件和附件被加密，只有附件在“另存為”在硬盤上時病毒掃描程序才啟動，從而導(dǎo)致病毒掃描不及時、效率低。隨著Internet的普及，越來越多的企業(yè)、大學(xué)、政府和消費者共享文件、發(fā)送信息、通過網(wǎng)絡(luò)交談。最重要的兩種方式是通過電子郵件和FTP交換郵件和文件。伴隨而來的問題是許多病毒通過文件下載和電子郵件傳播，而且傳播的速度十分驚人。本質(zhì)上,Internet成為傳播病毒的電腦空間，計算機系統(tǒng)管理員很少能控制網(wǎng)絡(luò)用戶下載帶病毒的免費軟件、共享軟件或游戲。在公司內(nèi)部網(wǎng)絡(luò)上傳輸文件也不是沒有風(fēng)險，因為存在附加在非可執(zhí)行文件，如Word、Excel或電子郵件上的病毒。Internet上的病毒不經(jīng)過文件服務(wù)器，因此服務(wù)器防病毒軟件不起作用。許多網(wǎng)絡(luò)都配置了防火墻，可以拒絕沒有授權(quán)的訪問或阻止可能引起問題的外部用戶訪問內(nèi)部網(wǎng)，但防火墻無法防病毒。因此出現(xiàn)了新型的防病毒軟件：病毒墻（Virus-Wall）。病毒墻駐留在Internet網(wǎng)關(guān)，在病毒進入系統(tǒng)搞破壞前進行檢測并清除。防病毒建議方案由于在這次系統(tǒng)的建設(shè)中，現(xiàn)在流行的病毒通常情況下只是針對windows操作系統(tǒng)中。因此，如果服務(wù)器使用Linux操作系統(tǒng)，系統(tǒng)在針對病毒方面是相對安全的。網(wǎng)站監(jiān)控與恢復(fù)系統(tǒng)近幾年，隨著Internet的普及，網(wǎng)絡(luò)上發(fā)生的攻擊事件越來越普遍，一個普通人員在Internet上可以很容易的找到攻擊工具，然后攻擊網(wǎng)站。網(wǎng)站被篡改的事件時有發(fā)生。因此，對網(wǎng)站進行保護是非常必要的。網(wǎng)站實時監(jiān)控與恢復(fù)系統(tǒng)是一種網(wǎng)站的災(zāi)難恢復(fù)技術(shù)，它的立足點是在其它的網(wǎng)站安全措施，如使用防火墻、加強Web服務(wù)器軟件自身的安全性、清查不安全的CGI程序都失敗，網(wǎng)頁文件被黑客破壞的情況下，網(wǎng)站文件系統(tǒng)的自動恢復(fù)問題。SAN網(wǎng)絡(luò)存儲/備份/災(zāi)難恢復(fù)：采用目前流行的群集技術(shù)SAN技術(shù)，將存儲設(shè)備從傳統(tǒng)的以太網(wǎng)中隔離出來，成為獨立的存儲域網(wǎng)絡(luò)。完全采用光纖連接，保證了數(shù)據(jù)傳輸帶寬達到100MB/S。使大量的數(shù)據(jù)只是在服務(wù)器和存儲設(shè)備之間流動，不占用網(wǎng)絡(luò)帶寬及服務(wù)器資源。建立遠程備份中心，進行遠程容災(zāi)備份，確保系統(tǒng)的數(shù)據(jù)安全。XX系統(tǒng)安全設(shè)計安全設(shè)計原則防止來自外部的黑客攻擊防止來自內(nèi)部的惡意攻擊網(wǎng)絡(luò)資源訪問控制網(wǎng)絡(luò)傳輸?shù)膶崟r監(jiān)控強大的安全審計事件分析與告警