第五章电子商务网站常用防御方法

2019/8/2电子商务安全1第五章电子商务网站常用防御方法2019/8/2电子商务安全2本章主要内容：本章主要内容：●防火墙(Firewall)工作原理●非军事区域(DMZ)概念●虚拟专用网(VPN)●入侵检测系统(IDS)●认证2019/8/2电子商务安全3一、防火墙(Firewan)(一)防火墙的工作原理所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。防火墙主要有三种类型：包过滤防火墙、代理服务器防火墙和应用层网关防火墙。2019/8/2电子商务安全41．包过滤防火墙包过滤防火墙主要有两种实现方式：基于路由器的防火墙和基于独立运行软件(如PacketFilter)的防火墙。下面主要介绍基于路由器的防火墙。包是网络上信息流动的单位。每个包有两个部分：数据部分和包头。包头中含有源地址和目标地址的信息。优点：透明性好，简单易用，费用低。缺点：设置繁多，易留下安全漏洞。2019/8/2电子商务安全51．包过滤防火墙包过滤路由器防火墙可能遇到的攻击方式：(1)源IP地址欺骗(2)源路由攻击(3)微小碎片攻击包过滤防火墙2019/8/2电子商务安全62．代理服务器(ProxyServer)防火墙在Internet网络和Intranet互连时，广泛采用一种称为代理服务的工作方式，使Internet用户在访问Intranet的同时，提供的是一种类似网关的代理服务器型防火墙。优点：代理服务可提供详细的日志(Log)和审计(Audit)记录，提高了网络的安全性和可靠性。缺点：不能处理高负荷通信量，且对用户的透明性不好。2019/8/2电子商务安全73．应用层网关防火墙应用层网关防火墙可使网络管理员实现比包过滤路由器防火墙更严格的安全策略。应用层网关不使用包过滤工具来限制Internet服务进出防火墙系统，而是采用为每种所需服务在网关上安装专用程序代码，否则该服务就不被支持且不能通过防火墙来转发。网络的安全性比较高。过程复杂、费用比较高、透明性差、限制严格，使用带来不便。2019/8/2电子商务安全8(二)防火墙规则集设计规则集的基本过程：1．拒绝一切未特别允许的连接彻底分析每个系统和网段确定实现它们的功能所需要的服务和连接。2．常见通信的常用端口确定每个服务器和网段需要什么端口和协议。3．将伪代码转换成防火墙规则查看手册，确定特定的方法和要求。4．协议和风险：作出最佳决策需要保证只允许了必要的协议，并且只能用于需要它们的服务器和网段。2019/8/2电子商务安全9二、非军事区域(DMZ)(一)DMZ的概念(二)非军事区域的设置(三)电子商务非军事区域的实现(四)多区网络存在的问题2019/8/2电子商务安全10(一)DMZ的概念DMZ(demilitarizedzone)的定义：是指为不信任系统提供服务的孤立网段，它是两个防火墙之间的网段。DMZ网段的创建方法通常有两种。1.两个防火墙的DMZ系统放置在有不同规则的两个防火墙之间，这就能允许Internet上的系统连接到DMZ系统提供的服务，但不能连接到企业内部网段(通常叫做受保护网络)中的电脑。2019/8/2电子商务安全11二、非军事区域(DMZ)图示为：两个防火墙的DMZ2019/8/2电子商务安全12二、非军事区域(DMZ)2.单个防火墙的DMZ（如上图）实现DMZ网段的方法是在防火墙上实际增加第三个接口，并将DMZ系统放置在那个网段。允许同一个防火墙管理Internet。降低了硬件的花费，集中了网络的规则集，使管理和处理问题更容易。现在已成为创建DMZ网段的主要方法。2019/8/2电子商务安全13DMZ目的：就是把敏感的内部网络和其他提供访问服务的网络分离开，为网络层提供深度的防御。DMZ作用：防火墙上的策略和访问控制系统定义限制了通过DMZ的全部通信数据。相反，在Internet和企业内部网之间的通信数据通常是不受限制的。2019/8/2电子商务安全14(二)非军事区域的设置安全的DMZ配置2019/8/2电子商务安全15(二)非军事区域的设置DMZ是放置公共信息的最佳位置，把没有包含敏感数据、担当代理数据访问职责的主机放置于DMZ中，这样用户、潜在用户和外部访问者都可以直接获得他们所需的关于公司的一些信息，而不用通过内部网。企业的机密和私人的信息可以安全地存放在内部网中，即DMZ的后面。2019/8/2电子商务安全16(二)非军事区域的设置可以在下列系统中装入非军事区域(DMZ)安全网络：①载有公共信息的网络服务器。②与电子商务交易服务器相连接的前端机，该前端机用来接收客户订单。存放客户资料的后端应置于防火墙之后。③把外来电子邮件中转至内部的邮件服务器。④可据此进入内部网络的证书服务及服务器。⑤虚拟专用网络上的各端点。⑥应用(层)网关。⑦测试及登录服务器(根据系统要求或用户请求，使数据从一个脱机或优先权低的设备返回到一个联机的或优先权高的设备的过程)。2019/8/2电子商务安全17(三)电子商务非军事区域的实现网络存储顾客信息和金融数据与存储商业处理的普通信息的需求是不同的。很多网站通过实现一个多网段结构来更好地管理和安全化商业信息。第一个网段是用于信息存储的，第二个网段则是特别用于商业信息的处理的。电子商务系统中DMZ的实现2019/8/2电子商务安全18(四)多区网络存在的问题随着网站的成长，要提供新的功能，可能需要建立新的区。重复上面的过程，建立管理这些新网段的规则集。注意事项：一定要监视和检查任何变动，备份旧的规则集以备紧急的时候需要回复过去。管理原则：创建和管理诸如防火墙、IDS入侵检测系统（即IntrusionDetectionSystem）签名和用户访问规则之类的安全控制是个很大的任务，在不损害安全和可用性的前提下要尽可能地简化这些过程。2019/8/2电子商务安全192019/8/2电子商务安全20三、虚拟专用网(VPN)InternetIntranet内部网信息防火墙VPN2019/8/2电子商务安全21三、虚拟专用网(VPN)虚拟专用网（VPN）目的：通过Internet或其他线路(如私有网络和租用的线路等)在公司外地雇员、驻外机构、公司总部及其相关企业和组织机构之间建立一个信息传输的安全通道，以保证所传输信息的安全性和完整性，并设置用户对特定资源的访问权限。2019/8/2电子商务安全22三、虚拟专用网(VPN)(一)技术(二)IPSec协议2019/8/2电子商务安全23(一)VPN技术VPN（VirtualPrivateNetwork，即虚拟专用网络）概念：通过一个公共网络(通常是Internet)建立一个临时的、安全的与内网的连接。作用：①安全连接。可以帮助远程用户与公司的内部网建立可信的安全连接，并保证数据的安全传输。②成本较低。即大幅度地减少用户花费在WAN上和远程网络连接上的费用。③管理方便。使用VPN将简化网络的设计和管理，加速连接新的用户和网站。④网络结构灵活。可以保护现有的网络投资。2019/8/2电子商务安全24(一)VPN技术VPN的功能：①加密数据。以保证通过公网传输的信息即使被他人截获也不会泄露。②信息认证和身份认证。保证信息的完整性、合法性，并能鉴别用户的身份。③提供访问控制。不同的用户有不同的访问权限。2019/8/2电子商务安全25(一)VPN技术VPN采用了多种安全技术和网络技术：①安全隧道技术(SecureTunnelingTechnology)。将待传输的原始信息经过加密和协议封装处理后再嵌套装入另一种协议的数据包送人公共网络(如Internet)中，像普通数据包一样传输。经过这样的处理，只有源端和目标端的用户对隧道中的嵌套信息能进行解释和处理，其他用户看到的只是无意义的信息，就像是在源端和目标端的用户之间建立了一个安全的信息专用隧道。2019/8/2电子商务安全26(一)VPN技术隧道模式的VPN框架2019/8/2电子商务安全27(一)VPN技术②用户认证技术(UserAuthenticationTechnology)。在隧道连接开始之前需要确认用户的身份，以便于系统进一步实施资源访问控制或用户授权。③访问控制技术(AccessControlTechnology)。由VPN服务的提供者与最终网络信息资源的提供者共同确定特定用户对特定资源的访问权限，以此实现基于用户访问的访问控制，以实现对信息资源的最大限度的保护。2019/8/2电子商务安全28(一)VPN技术隧道模式的VPN框架示意图VPN隧道组成：①一个隧道启动器；②一个路由网络(Internet)；③一个可选的隧道交换机；④一个或多个隧道终结器。2019/8/2电子商务安全29(二)IPSec协议IPsec主要提供IP网络层上的加密通信能力。IPsec组成：(1)IPsecurityProtocolproper，定义IPsec报文格式。(2)ISAKMP／Oakley，负责加密通信协商。2019/8/2电子商务安全30(二)IPSec协议IPsec采用的加密通信手段：(1)IPsecTunnel：整个IP封装在Ipsec报文。提供IPsecgateway之间的通信。(2)IPsectransport：对IP包内的数据进行加密，使用原来的源地址和目的地址。2019/8/2电子商务安全31四、入侵检测系统(IDS)（即IntrusionDetectionSystem）(一)入侵检测概念(二)基于主机的IDS(三)基于网络的IDS(四)入侵检测技术发展方向2019/8/2电子商务安全32(一)入侵检测概念概念:通过计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，以发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象。作用：入侵检测是对防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、攻击识别和响应)，提高了信息安全基础结构的完整性。2019/8/2电子商务安全33(一)入侵检测概念主要任务:①监视、分析用户及系统活动；②系统构造和弱点的审计；③识别反映已知进攻的活动模式并向相关人士报警；④异常行为模式的统计分析；⑤评估重要系统和数据文件的完整性；⑥操作系统的审计跟踪管理，并识别用户违反安全策略的行为。2019/8/2电子商务安全34(二)基于主机的IDS基于主机的IDS主要用于运行关键应用层的服务器，它是早期的入侵检测系统。主要目标：是检测主机系统是否受到外部或内部的攻击以及系统本地用户是否有滥用或误用行为。检测原理：是根据系统审计记录和系统日志文件、应用程序日志、目录和文件的不期望改变、程序执行中的非正常行为等信息来发现系统是否存在可疑事件的。2019/8/2电子商务安全35(二)基于主机的IDS基于主机的IDS之优点：①基于主机的IDS可以从系统审计和事件日志中提取攻击信息，从而判断本地或远程用户是否做了系统的安全规则。②基于主机的IDS可以精确地判断入侵事件，并可对入侵事件立即进行反应。③基于主机的IDS还可以针对不同的操作系统的特点判断应用层的入侵事件。2019/8/2电子商务安全36(二)基于主机的IDS基于主机的IDS之缺点：①占用主机资源，在服务器上产生额外的负载。②缺乏跨平台支持，可移植性差，因而应用范围受到严重限制。2019/8/2电子商务安全37(三)基于网络的IDS网络环境下，单独依靠主机的审计信息进行入侵检测难以适应网络安全的需求。主要表现：①主机的审计信息容易受到攻击，入侵者可通过使用某些系统特权或调用比审计本身更低级的操作来逃避审计；②不能通过分析主机审计记录来检测网络攻击(域名欺骗、端口扫描等)；③基于主机的IDS的运行或多或少地影响服务器的性能；④只能对服务器