电子商务概论-11-网络安全_第1页
电子商务概论-11-网络安全_第2页
电子商务概论-11-网络安全_第3页
电子商务概论-11-网络安全_第4页
电子商务概论-11-网络安全_第5页
已阅读5页,还剩24页未读 继续免费阅读

下载本文档

版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领

文档简介

1、资料内容仅供您学习参考,如有不当或者侵权,请联系改正或者删除。第十一章网络安全主讲人: 石 鉴南开大学商学院管理科学与工程系学习目标了解公钥基础设施( PKI) 的原理和功用掌握防火墙和入侵检测系统的原理、 应用与局限了解电子商务安全策略的重要意义和作用18:14:08开篇案例: 思科SAFE构建广发展三层安全防护体系 SAFE蓝图是思科提出的整体安全理念。安全理念主要体现在三点:一, 真正能够确保网络安全的不是一个个单点的产品, 而是一个完整的安全体系。二, 安全性是过程而不是产品。三, 安全体系必须覆盖整个网络, 深度防御、 集中管理和报告机制三者缺一不可。 1、 横向: 分网段防御 2、

2、 纵向: 分层防御18:14:08本章主要内容 11.2 PKI私钥和公钥加密对称密钥( 私钥) 系统公共密钥( 非对称) 加密数字签名数字证书和认证中心安全套接层 11.3防火墙 11.4 IDS 11.5防病毒 11.6安全策略18:14:0811.2 PKI网络安全认证领域最先进的技术依赖公钥基础设施( public key infrastructure, PKI) 。PKI已经成为安全电子支付的基石。它与某些步骤相关, 如技术组件、 基础设施和网络应用所必需的公钥加密、 数字签名和数字证书的使用成为可能等等。PKI是包括SCM、 VPN、 安全电子邮件和内联网应用在内的许多网络应用的基

3、础。18:14:08私钥和公钥加密组成部分描述例子人类可读形式的原始消信用卡号5342 8765 3652 9982息明文加密算法用来加密或解密的数学卡号中的每个数字加上一个数字( 密钥) , 如果数字大于9, 则忽略进位的数字( 也就是求模运算) 。例如每个数字加4, 那么1变成5, 9变成3等等。公式或过程密钥密文供算法用来改变消息形加在原始数字上的数字( 例如4) 。式的特别的数字明文消息加密后不可读原始的5342 8765 3652 9982变成了9786 2109 70963326。的形式表11-1加密的组成部分18:14:08对称密钥( 私钥) 系统在对称密钥( 私钥) 系统( s

4、ymmetric (private) key system) 中, 同样的密钥被用来加密和解密明文( 见图11-1) , 文件的发送者和接受者必须共用这相同的密钥, 而对其它人保密因此称之为私钥系统。图11-1对称( 私有) 密钥加密18:14:08公共密钥( 非对称) 加密公钥加密( public key encryption) 使用一对匹配的密钥 能够公开的提供给任何人的公钥( public key) 和只有拥有者才知道的私钥( privatekey) 。如果报文用公钥加密, 那么需要相关的私钥进行解密。最常见的公钥加密算法是RSA( ) 。RSA使用长度在512位到1024位之间的密钥。

5、公钥加密的最大问题是速度。对称加密算法要比非对称密钥加密算法快得多。因此, 公钥加密不能用来高效的加密和解密大量数据。18:14:08数字签名数字签名( digital signature) 是基于公共密钥的。数字签名用来鉴定消息或文件发送者本身, 还被用来确保电子消息或文件的原始内容没有被改动。数字签名在网络世界中还有其它的好处。数字签名易于传输, 不易否认或模仿, 还能够打上时间戳。18:14:0818:14:08数字证书和认证中心数字证书( digital certificate) 能够证明公钥和私钥的持有者是她或她所宣称的那个人。被称为认证中心( certificate authori

6、ties, CA) 的第三方来签发数字证书。一份证书包含诸如持有者姓名、 有效期、 公钥信息和证书数据签名的hash( 也就是利用CA的私钥签名的经过hash的证书内容) 。证书被用来认证Web站点( 站点证书) 、 个人( 个人证书) 和软件公司( 软件发布者证书) 。存在很多第三方CA, 例如VeriSign是最著名的CA。VeriSign签发三类证书: 第一类证明电子邮件确实来自于用户的地址。第二类在商业信用数据库中核对用户的身份。第三类要求证明文件。微软这样的公司可提供允许公司签发私有内部证书的系统。18:14:08安全套接层安全套接层( Secure Socket Layer, SS

7、L) 由网景( Netscape) 公司创造, 应用标准认证证书和数据加密技术确保私密性或机密性。SSL已成为事实上的标准。1996年, SSL更名为传输层安全( TransportLayer Security, TLS) , 但许多人仍沿用SSL的名字。它是在线信用卡支付的主要标准。SSL使用户在Web服务器和Web浏览器之间加密信用卡号和其它传输内容成为可能。18:14:0811.3防火墙防火墙在需要保护的网络同可能带来安全威胁的因特网或其它网络之间建立了一层保护, 一般也是第一道保护。防火墙是具有以下特征的计算机: 1.由内到外和由外到内的所有访问都必须经过它。2.只有本地安全策略所定义

8、的合法访问才被允许经过它。3.防火墙本身无法被穿透。18:14:089.3.1服务器的硬件及其性能评价防火墙在协议栈中处于应用层, 也可在网络层和传输层上操作。如果公司有多个的网站, 那么每一个与因特网的连接处都要有防火墙, 这样才能保证整个公司有一个安全边界。另外, 公司的每个防火墙都得遵守同样的安全策略; 否则, 如果一个防火墙允许一种交易进入另一个防火墙不允许进入的公司网络, 结果就会造成非法访问进入到公司的整个网络上, 因为这个防火墙给防火墙里的整个企业网络上留下了一个小漏洞。如果防火墙由普通服务器加软件组成, 就应当去除所有非必须的软件。如果一个小公司采购了一台UNIX计算机准备用作

9、防火墙, 因为此计算机上附带的是支持一个完整的计算环境所需的所有软件, 公司应当仔细检查随计算机所带的所有软件, 去除那些与支持操作系统无关的软件。防火墙计算机的原则是专机专用, 不适宜作为通用的计算设备。这台计算机上只应保留必须的操作系统软件和防火墙专用的软件。软件程序越少, 就意味着恶意软件对安全破坏的可能性就越小。应把对防火墙的访问限制在直接连到防火墙的控制台上; 否则, 如果提供了对防火墙的远程管理, 就为侵入者利用管理员所用的路由访问防火墙并破坏防火墙提供了可能。18:14:08防火墙分类防火墙按工作原理可主要分成三类: 1.包过滤 2.网关服务器 3.代理服务器。18:14:08图

10、11-3 Check Point Software Technologies公司的FireWall-1防火墙的页面18:14:0811.4 IDS入侵检测是指”经过对行为、 安全日志或审计数据或其它网络上能够获得的信息进行操作, 检测到对系统的闯入或闯入的企图”。它是检测和响应计算机误用的学科, 其作用包括威慑、 检测、 响应、 损失情况评估、 攻击预测和起诉支持。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术, 是一种用于检测计算机网络中违反安全策略行为的技术。18:14:0811.4 IDS入侵检测是指”经过对行为、 安全日志或审计数据

11、或其它网络上能够获得的信息进行操作, 检测到对系统的闯入或闯入的企图”。它是检测和响应计算机误用的学科, 其作用包括威慑、 检测、 响应、 损失情况评估、 攻击预测和起诉支持。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术, 是一种用于检测计算机网络中违反安全策略行为的技术。18:14:08进行入侵检测的软件与硬件的组合便是入侵检测系统( Intrusion Detection System, 简称IDS) 。它的作用简单说就是依照一定安全策略, 监视网络及系统运行, 努力发现攻击行为或企图, 然后记录或阻断。大部分的IDS产品基本上由入侵

12、检测引擎和管理控制台组成, 在具体应用时能够根据网络结构和需求做不同的部署。对于主机型IDS, 其数据采集部分当然位于其所监测的主机上。对于网络型IDS, 根据网络的拓扑结构的不同, 网络入侵检测系统的监听端口能够接在共享媒质的集线器或交换机的镜像端口或分接器上。18:14:08图11-4 ISS公司 RealSecure的部署图18:14:08IDS物理组成 IDS产品一般由多个物理模块组成, 采用分布式结构布置。一般会在网络中心安装控制台, 便于网络管理员管理。在网络中的其它位置根据不同需求放置探测器, 如在服务器上安装主机探测器, 在网络和因特网的接口处以及服务器所在的网段等重要位置放置

13、网络探测器。18:14:08IDS工作流程入侵检测的第一步是信息收集, 收集内容包括系统、 网络、 数据及用户活动的状态和行为。由放置在不同网段的传感器或不同主机的代理来收集信息, 包括系统和网络日志文件、 网络流量、 非正常的目录和文件改变、 非正常的程序执行。收集到的有关系统、 网络、 数据及用户活动的状态和行为等信息, 被送到检测引擎, 检测引擎驻留在传感器中, 一般经过三种技术手段进行分析: 模式匹配、 统计分析和完整性分析。当检测到某种误用模式时, 产生一个告警信息并发送给控制台。控制台按照告警产生预先定义的响应采取相应措施, 能够是重新配置路由器或防火墙、 终止进程、 切断连接、

14、改变文件属性, 也能够只是简单的告警。18:14:08IDS技术手段 1. 特征库匹配 2. 统计分析 3. 完整性分析18:14:0811.5 防病毒如没有防病毒软件, 对客户机的保护就是不完全的。详细考查各种防病毒软件产品的优缺点超出了本书的范围, 但安全策略中必须包括这种重要的防护措施。防病毒软件只能保护你的计算机不受已下载到计算机上的病毒攻击, 因此它是一种防卫策略。不论选择哪家厂商的产品, 用户都必须不断更新防病毒软件的病毒库文件, 这些文件存储的是用于检测病毒的病毒识别信息。18:14:0811.6 安全策略安全策略是用书面明确描述所需保护的资产、 保护的原因、 谁负责进行保护、

15、哪些行为可接受、 哪些不可接受等。安全策略一般要陈述物理安全、 网络安全、 访问授权、 病毒保护、 灾难恢复等内容。安全策略一般要包含以下内容: 认证: 谁想访问电子商务网站? 访问控制: 允许谁登录电子商务网站并访问它? 保密: 谁有权利查看特定的信息? 数据完整性: 允许谁修改数据, 不允许谁修改数据? 审计: 在何时由何人导致了何事? 18:14:08本章涉及研究主题电子商务安全方面相关的软硬件技术及制度问题, 包括PKI、 Firewall和IDS等, 重点放在如何将这些安全手段与策略与电子商务活动有效的结合起来。18:14:08本章课下问题讨论 1. 请比较私有密钥系统和公共密钥系统的异同。 2. 防火墙技术的发展过程大致分为哪些阶段, 各自的特点是什么? 18:14:08练习: 计算机安全状况调查根据美国Today的一份关于技术行业与安全专家的访谈研究( Achohido与Swartz, ) , 许多顶级黑客当前正关注编写恶意代码, 目的在于积累网络”傀儡”。一旦搜集了足够的数量, 她们就将这些傀儡的访问权卖给垃圾广告邮件发布者、 勒索者, 以及身份盗窃者们。据推测, 这种傀儡的数量已达到数百万之多。其确切数字无法获得, 但对傀儡数量上升的一种度量就是垃圾邮件的数量。 7月, 邮件通信量中估计有94都是垃圾邮件。这一估算比例要比上一年高一倍。根据另一项

温馨提示

  • 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

评论

0/150

提交评论