电子商务课件7

② 访问控制能力
访问控制能力是防火墙的核心功能。 访问控制能力包括控制细度，也就是能控 制哪些内容，比如地址、协议、端口、时 间、用户、命令、附件等等。还要注意的 就是控制强度，也就是说应该限制的内容 必须全部阻断，应该通过的内容不应该有 任何阻断。
③ 抗攻击能力
抗攻击能力是指防火墙对各种攻击的抵 抗能力。包括抵御攻击的种类，数量。特别 是对DOS和DDOS攻击的抵抗力。
第七章 电子商务安全
开篇案例 7.1 电子商务安全问题 7.2 防火墙技术 7.3数据加密与信息安全技术 7.4 数字签名与数字认证 7.5 安全协议 安全问题
开篇案例
2000年2月7日至9日，短短3天时间内， 美国几大主要网站遭受不明黑客攻击，其 中包括著名的电子商务网站eBay和Amazon。 在黑客开始所谓“拒绝服务”式的攻击后， Amazon站点容纳顾客的能力急剧下降。数 分钟后访客数量只有平时同一时间段访客 数量的1.5％，大约l小时后Amazon网站才 恢复正常。的一台
息安全产品测评认证中心的等级证书。现 在使用的标准是国标GB/T18336，一共7级， 等级越高性能越好。
① 自身安全性
自身安全性主要是指防火墙系统的健 壮性，即防火墙本身应该是难以被攻入的。 还有防火墙的管理方式也很重要。管理员 采用什么方式管理防火墙，是telnet还是 web，有没有加密和认证等等。
2）网络性能
防火墙是个网络设备。在保证安全的基础上， 应该最大程度减少对网络性能的影响。对于网络性 能，主要就是看最大带宽、并发连接数、每秒新增 连接数、丢包和延迟。这些指标和交换机、路由器 都是相同的，但是有一点要注意 。防火墙在策略起 作用和全通策略的状态下，上述指标都是不一样的。 一定要考虑实际环境。例如先按照用户的要求添加 多少条策略（全通策略在最后）然后再测试。一般 百兆防火墙小包（64字节）通过率能达到70%以上， 甚至90%，但在实际使用时不一定可能。
2）代理型防火墙
代理防火墙是针对包过滤的缺点而引 入的防火墙技术。其特点是将所有跨越防 火墙的网络通信链路分为两段：一段是从 外部网络到代理服务器，另一段是从代理 服务器到内部网络之间。代理防火墙的工 作原理是运行在两个网络之间，它对于客 户来说像是一台服务器一样，而对于外界 的服务器来说，它又是一台客户机。
1）防止非授权用户进入
由于唯有经过精心选择的应用协议才 能通过防火墙，所以网络环境变得更安全。 如防火墙可以禁止诸如众所周知的不安全 的协议进出受保护网络，这样外部的攻击 者就不可能利用策略 通过以防火墙为中心的安全方案配置， 能将所有安全软件（如口令、加密、身份 认证、审计等）配置在防火墙上。与将网 络安全问题分散到各个主机上相比，防火 墙的集中安全管理更经济。例如在网络访 问时，口令系统和其它的身份认证系统完 全可以不必分散在各个主机上，而集中在 防火墙上。
4）管理功能 防火墙需要经常管理，日常的管理包 括日志，修订策略，添加和删除用户，高 级管理包括第三方互动，VPN建立，远程集 中管理等。管理方面应该注意界面的友好 性，设置选项应该通俗易懂。如好的日志 系统应该有详细的记录，包括连接的状态 和内容，应该便于分类和排序，应该方便 存入数据库并有标准的接口。远程管理对 用户来说要注意管理命令的加密和认证， 是否支持策略远程导入导出等。
1）过滤型防火墙
过滤型防火墙定义了一系列数据过滤规则， 检查每个IP报文中的源地址、IP目标地址、源端 口和目的端口等，根据这些信息判断是否与规则 集中的某条目相匹配，并对匹配的数据包执行规 则集中指定的动作(转发或丢弃)：如果不匹配， 则按默认策略执行。过滤型防火墙的优点是实现 简单、硬件费用低(使用路由器)，对用户透明、 效率高，缺点是包过滤规则的建立比较复杂，维 护困难，也不支持用户鉴别。
3）网络功能 包括地址转换、IP/MAC绑定、静态和 动态路由、源地址路由、代理、透明代理、 ADSL拨号、DHCP支持、负载均衡等等。 在众多功能里，我们应该保持清醒的 态度。因为并不是每一个功能用户都需要 的，用户也不需要为了一些不需要的功能 花费成本。用户应该首先明确自己都需要 什么功能，并且要确定这些功能都要达到 什么效果，然后再寻找相应的设备。
防火墙不能防止最新的末设置策略或 错误配置引起的安全威胁。防火墙的各种 策略，也是在该攻击方式经过专家分析后 给出其特征而设置的。
3）很难为用户在防火墙内外提供一致的安全策略
4）防火墙只实现粗略的访问控制
3．防火墙类型
防火墙采用了两种基本技术：数据包 过滤和代理服务。因此可将防火墙分为两 种类型过滤型防火墙和代理型防火墙。 1）过滤型防火墙 2）代理型防火墙
防火墙还存在一些不足和缺陷
1） 防火墙防外不防内
2） 防火墙难于管理和配置，易造成安全 漏洞 3）很难为用户在防火墙内外提供一致的安 全策略 4）防火墙只实现粗略的访问控制
1） 防火墙防外不防内
对于内部网络的合法用户不通过防 火墙，直接接入外部网络所造成的信息 泄露无能为力。
2） 防火墙难于管理和配置，易造成安全漏洞
截获信息传递
3)篡改
攻击者不仅获得了访问而且篡改某 些资源，这是对信息完整性的攻击。比 如修改信息内容，如资金数量、货物数 量、送货地址等（如图） 。
篡改信息
4)伪造
攻击者将伪造的对象插入系统，这是对 信息真实性的供给。例如冒充合法用户进行 交易，给合法用户造成损失（如图） 。
伪造信息
5）否认或抵赖
1)中断 4)伪造
2)截获
3)篡改
5）否认或抵赖
1)中断 使系统的资源被破坏或变得不可利用， 这是对可用性的攻击。比如传播病毒破坏硬
件；或拒绝服务攻击，使用户不能访问（如
图） 。
中断信息传递
2)截获
攻击者获取了对资源的访问，这是对信 息机密性的攻击。例如在网络上搭线或安 装电磁波截获装置以获取有用数据，如银 行账号、密码等（如图） 。
7.3数据加密与信息安全技术
所谓数据安全是指对信息在数据收集、 处理、存储、检索、传输、交换、显示、扩 散等过程中的保护，使得在数据处理层面保 障信息依据授权使用，不被非法冒充、窃取、 篡改、抵赖。其主要涉及信息的机密性、真 实性、实用性、完整性、惟一性、不可否认 性、生存性等。信息的加密技术是保证数据 安全和信息安全的核心技术。
② 电路层网关防火墙
电路层网关是一个通用代理服务器， 它适用于多个协议，不需对不同的应用设 置不同的代理模块，但这种代理需要对客 户端作适当修改。电路层网关的优点是效 率高，缺点是客户程序需要修改。 现在过滤型防火墙和代理型防火墙经 常结合在一起使其形成混合型防火墙。
4、防火墙选择原则
1）安全性 2）网络性能 3）网络功能 4）管理功能 5）质量
一些端口常常会被黑客利用，还会被 一些木马病毒利用，对计算机系统进行攻 击，以下是计算机端口的介绍以及防止被 黑客攻击的简要办法。 常见端口号与其功能对应关系如表1所 示：
表7-1：常用端口号与功能对应表
2、防火墙功能
1）防止非授权用户进入
2）强化网络安全策略 3）对网络存取和访问进行监控审计 4）防止内部信息的外泄 防火墙还存在一些不足和缺陷：
由于每种网络的服务功能都不相同，因此 有必要将不同的数据包送给不同的服务来处理， 当你的主机同时开启了 FTP 与 WWW 服务的时 候，那么别人送来的资料封包，就会依照 TCP 上面的 port 号码来给 FTP 或 WWW服务来处 理，不至于混淆信息。这就好像我们银行存钱， 将银行想象成主机，由于银行由多种业务，所 有安排了多个窗口，当你进大门的时候，会根 据指示到特定窗口办理特定业务，这些窗口就 可以想成是“端口”，所以每一种服务都有特 定的 port 在监听！无须担心计算机会误判。
3）对网络存取和访问进行监控审计
如果所有的访问都经过防火墙，那么， 防火墙就能记录下这些访问并做出日志记 录，同时也能提供网络使用情况的统计数 据。当产生可疑动作时，防火墙能进行适 当的报警，并提供网络是否受到监测和攻 击的详细信息。
4）防止内部信息的外泄
通过利用防火墙对内部网络的划分， 可实现内部网重要网段的隔离，从而限制 了局部重点或敏感网络安全问题对全局网 络造成的影响。再者，隐私是内部网络非 常关心的问题，一个内部网络中不引人注 意的细节可能包涵了有关安全的线索而引 起外部攻击者的兴趣，甚至暴露了内部网 络的某些安全漏洞。使用防火墙就可以隐 蔽那些透漏内部细节，如Finger，DNS等服 务。
代理型防火墙又可以分为应用层网关 和电路层网关。 ① 应用层网关防火墙 ② 电路层网关防火墙
① 应用层网关防火墙 应用层网关防火墙也叫代理服务器，这 种防火墙通过代理技术参与了TCP连接的全 过程，它具有两个网卡，连接内部购和外部 网，可以与两个网络通信。代理技术不允许 直接连接，而是检查和过滤所有网络数据包， 内部网用户通过代理服务器与外部网通信， 从而隐藏了内部网结构。应用层网关防火墙 的优点是安全性高，缺点是速度较慢，是内 部网和外部网之间的瓶颈。
服务器在两三个小时内速度减慢，而ETrade则瘫痪了3个小时，据统计，3天来黑 客攻击各大网站所造成的直接或间接经济 损失高达救10亿美元以上。
7.1 电子商务 安全问题
1、电子商务面临的安全威胁
2、电子商务安全要素
1、电子商务面临的安全威胁
电子商务所面临的安全隐患，实际上就是一个 计算机系统或网络系统的安全问题。因此电子商务 的安全问题可通过观察正在提供信息的计算机系统 的功能来表征。一般而言，—个信息流从一个源流 到一个目的地可能遇到几种情况，除去正常的信息 流外，有四种类型的攻击。
5）质量 现在比较先进的硬件防火墙普遍采用的 是贴板技术，即将所有的原件都采用贴片 的工艺，这样整个防火墙都是一体的，不 易出故障。如果防火墙的内存，网口还采 用插槽的方式，甚至还采用普通硬盘作为 系统内核存储设备，那么系统的稳定性会 下降。此外，由于很多防火墙在室内温度 较高时就会死机，在高稳定性要求的环境 里要看有没有双电源，大功率风扇等。