《电子商务信息安全技术 教学课件 ppt 作者 陈孟建 第二章 电子商务网络安全基础》由会员分享，可在线阅读，更多相关《电子商务信息安全技术 教学课件 ppt 作者 陈孟建 第二章 电子商务网络安全基础（51页珍藏版）》请在金锄头文库上搜索。
1、电子商务信息安全技术,21世纪高职高专规划教材,沈美莉 陈孟建 郁晓红 编著,机械工业出版社,第二章 电子商务网络安全基础,学习目标 1掌握电子商务网络安全的基本概念； 2掌握电子商务网络安全的几种常用技术； 3掌握电子商务网络安全保障机制； 4了解电子商务网络安全系统结构。,2.1 电子商务网络安全概述,2.1.1 网络安全概念 1网络安全的含义 网络安全泛指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄漏。系统连续可靠正常地运行，网络服务不被中断。 网络安全包括了系统安全和信息安全两个部分。系统安全主要指网络设备的硬件、操作系统和应用软件的安全；
2、信息安全主要指各种信息的存储、传输的安全，具体体现在保密性、完整性及不可抵赖性上。,2.1 电子商务网络安全概述,2网络安全的内容 （1）物理安全 物理安全是指用来保护计算机网络中的传输介质、网络设备和机房设施安全的各种装置与管理手段。 （2）逻辑安全 计算机网络的逻辑安全主要通过用户身份认证、访问控制、加密、安全管理等方法来实现。 用户身份认证 访问控制 加密 （3）操作系统安全 计算机操作系统是一个“管家婆”，她担负着自身宏大的资源管理、频繁的输入输出控制，以及不可间断的用户与操作之间的通信任务。,2.1 电子商务网络安全概述,（4）联网安全 联网安全指的是保证计算机联网使用后的操作系统安
3、全运行和计算机内部信息的安全。联网安全性可以通过以下几个方面的安全服务来达到。 联网计算机用户必须很好地采取措施，确保自己计算机不会受到病毒的侵袭。 访问控制服务，用来保护汁算机和联网资源不被非授权使用。 通信安全服务，用来认证数据机密性与完整性，以及通信的可信赖性。,2.1 电子商务网络安全概述,2.1.2 影响网络安全的因素 影响网络安全的因素有以下几个方面。 1硬件系统 2软件系统 3病毒的影响 4配置不当 5网络通信协议的影响 （1）缺乏用户身份鉴别机制 （2）缺乏路由协议鉴别认证机制 （3）缺乏保密性 （4）TCP/IP服务的脆弱性,2.1 电子商务网络安全概述,6物理电磁辐射引起的
4、信息泄漏 （1）网络周围电子设备产生的电磁辐射和试图破坏数据传输而预谋的干扰辐射源。 （2）网络的终端、打印机或其他电子设备在工作时产生的电磁辐射泄漏，这些电磁信号在近处或者远处都可以被接收下来，经过提取处理，可以重新恢复出原信息，造成信息泄漏。 7缺少严格的网络安全管理制度 网络内部的安全需要用完备的安全制度来保障，管理的失败是网络系统体系失败的非常重要的原因。,2.1 电子商务网络安全概述,2.1.3网络安全的威胁 计算机网络安全的威胁包括以下几个方面。 1信息泄露 信息泄露是指敏感数据在有意、无意中被泄露、丢失或透漏给某个未授权的实体。 2. 完整性破坏 以非法手段窃得对信息的管理权，通
5、过未授权的创建、修改、删除和重放等操作而使数据的完整性受到破坏。 3. 服务拒绝 服务拒绝是指网络系统的服务功能下降或丧失。这可以由两个方面的原因造成 （1）受到攻击所致。攻击者通过对系统进行非法的、根本无法成功的访问尝试而产生过量的系统负载，从而导致系统资源对合法用户的服务能力下降或者丧失。 （2）由于系统或组件在物理上或者逻辑上遭到破坏而中断服务。,2.1 电子商务网络安全概述,4. 未授权访问 未授权实体非法访问系统资源，或授权实体超越权限访问系统资源。例如，有意避开系统访问控制机制，对信息设备及资源进行非法操作或运行；擅自提升权限，越权访问系资源。 5SQL注入攻击 SQL注入攻击是指
6、利用网站安全弱点，然后在执行网站的数据库中植入恶意代码，从而掷出恶意指令感染网站数据库。 6第三方广告机构和恐吓性软件 第三方广告机构和恐吓性软件是指采用Flash文件制作的广告实际藏有病毒。用户点击这些广告后，这些广告会偷偷向用户的电脑传输恶意程序，这严重威胁到了电子商务或个人的数据安全。 7社交网站 随着社交网站的流行，这些网站已经逐步成为黑客的又一主要活动场所。在许多情况下，黑客盗取用户的账号和密码，向被攻击用户的好友发送销售信息或指示他们进入第三方网站。,2.1 电子商务网络安全概述,2.1.4威胁网络安全的主要方法 威胁网络安全的主要方法有以下几种。 1假冒攻击 （1）假冒管理者发布
7、命令或调阅密件； （2）假冒主机欺骗合法主机及合法的用户； （3）假冒网络控制程序套取或修改使用权限、口令、密钥等信息，越权使用网络设备和资源； （4）接管合法用户欺骗系统，占用或支配合法用户资源。 2基于口令的攻击 3网络偷窥攻击 4 利用受托访问的攻击 5IP欺骗攻击 6顺序号预测攻击 7会话劫持攻击 8利用弱点的攻击,2.1 电子商务网络安全概述,2.1.5网络安全威胁的来源 1. 内部操作不当 系统内部工作人员操作不当，特别是系统管理员和安全管理员出现管理配置的操作失误，可能造成重大安全事故。 2. 内部管理漏洞 系统内部缺乏健全的管理制度或制度执行不力，给内部工作人员和犯罪留下机会，
8、其中以系统管理员和安全管理员的恶意违规和犯罪造成的危害最大。 3. 来自外部威胁和犯罪 （1）黑客攻击 黑客的行为是指涉及及阻挠计算机系统正常运行或利用、借助和通过计算机系统进行犯罪的行为。根据我国现行法律的有关规定，对黑客可以给出两个定义： 广义的黑客，是指利用计算机技术，非法侵入或者擅自操作他人(包括国家机关、社会组织及个人)计算机信息系统，对电子信息交流安全具有不同程度的威胁性和危害性的人。 狭义的黑客，是指利用计算机技术，非法侵入并擅自操作他人计算机信息系统，对系统功能、数据或者程序进行干扰、破坏，或者非法侵入计算机信息系统并擅自利用系统资源，实施金融诈骗、盗窃、贪污、挪用公款、窃取国
9、家秘密或者其他犯罪的人。,2.1 电子商务网络安全概述,（2）计算机病毒 计算机病毒是指编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。 计算机病毒是一种人为制造的、在计算机运行中对计算机信息或系统起破坏作用的程序。这组程序不是独立存在的，它隐蔽在其他可执行的程序之中，既有破坏性，又有传染性和潜伏性。轻则影响机器运行速度，使机器不能正常运行；重则使机器处于瘫痪，会给用户带来不可估量的损失。通常就把这种具有破坏作用的程序称为计算机病毒。 （3）拒绝服务攻击 拒绝服务攻击是一种破坏性攻击，最早的拒绝服务攻击是“电子邮件炸弹”，它的表
10、现形式是用户在很短的时间内收到大量无用的电子邮件，从而影响正常业务的运行。严重时会使系统死，网络瘫痪。,2.2 电子商务网络安全模型,2.2.1 网络安全基本模型 1网络安全一般模型,2.2 电子商务网络安全模型,2未授权访问模型,2.2 电子商务网络安全模型,2.2.2 PDRR网络安全模型,2.2 电子商务网络安全模型,1网络安全策略 （1）第一部分就是防御 （2）第二部分就是检测 （3）第三部分就是响应 （4）第四部分就是恢复 2防护 网络安全策略PDRR模型的最重要的部分就是防护（P）。防护是预先阻止攻击可以发生的条件产生，让攻击者无法顺利地入侵，防护可以减少大多数的入侵事件。 （1）
11、安全缺陷扫描 （2）访问控制及防火墙 （3）防病毒软件与个人防火墙 （4）数据加密 （5）鉴别技术,2.2 电子商务网络安全模型,3检测 PDRR模型的第二个环节就是检测（D）。上面提到防护系统除掉入侵事件发生的条件，可以阻止大多数的入侵事件的发生，但是它不能阻止所有的入侵。特别是那些利用新的系统缺陷、新的攻击手段的入侵。因此安全策略的第二个安全屏障就是检测，即如果入侵发生就检测出来，这个工具是入侵检测系统（IDS）。 4响应 PDRR模型中的第三个环节就是响应（R）。响应就是已知一个攻击（入侵）事件发生之后，进行处理。 5恢复 恢复是PDRR模型中的最后一个环节。恢复是事件发生后，把系统恢复
12、到原来的状态，或者比原来更安全的状态。,2.2 电子商务网络安全模型,2.2.3 PDRR网络安全模型术语 从图2-4中可以引进时间的概念。,2.2 电子商务网络安全模型,1保护时间Pt 保护时间Pt是指从入侵开始到成功侵入系统的时间，即攻击所需时间。高水平的入侵及安全薄弱的系统都能导致攻击的有效性，使保护时间Pt缩短。 2检测时间Dt 检测时间Dt是指系统安全检测包括发现系统的安全隐患和潜在攻击检测。改进检测算法和设计可缩短Dt。适当的防护措施可有效缩短检测时间。 3响应时间Rt 响应时间Rt是指包括检测到系统漏洞或监控到非法攻击到系统启动处理措施的时间。例如，一个监控系统的响应可能包括监视
13、、切换、跟踪、报警、反攻等内容。而安全事件的后处理（如恢复、事后总结等）不纳入事件响应的范畴之内。,2.2 电子商务网络安全模型,4系统暴露时间Et 系统暴露时间Et是指系统处于不安全状况的时间，等于检测到入侵者破坏安全目标开始，将系统恢复到正常状态的时间。系统的暴露时间越长，系统就越不安全。例如，对Web服务器被破坏的页面进行恢复，人们不难理解这个安全理念棗及时的检测和恢复就是安全。 （1）预警 预警的基本宗旨就是根据以前掌握系统的脆弱性和了解当前的犯罪趋势，预测未来可能受到的攻击和危害。 （2）反击 反击就是利用高技术工具，提供犯罪分子犯罪的线索、犯罪依据，依法侦查犯罪分子，处理犯罪案件，
14、要求形成取证能力和打击手段，依法打击犯罪和网络恐怖主义分子。,2.3 电子商务网络体系结构,2.3.1网络体系结构的基本概念 1什么是网络体系结构 一个网络协议主要是由语法、语义、时序三要素组成。 语法指的是用户数据与控制信息的结构与格式。 语义指的是需要发出何种控制信息，以及完成的动作与做出的响应。 时序指的是对事件顺序的详细说明。,2.3 电子商务网络体系结构,2层次 层次(Layer)是人们对复杂问题处理的基本方法。一般人们对于一些难以处理的复杂问题，通常采用分级处理，即将它分解为若干个较容易处理的小一些的问题。层次结构体现出对复杂问题采用“分而治之”的模块化方法，它可以大大降低复杂问题
15、处理的难度。 3.接口 接口(Interface)是同一结点内相邻层之间交换信息的连接点。同一个结点的相邻层之间存在着明确规定的接口，低层向高层通过接口提供服务。只要接口条件不变，低层功能不变，低层功能的具体实现方法与技术的变化不会影响到整个系统的工作。因此，接口同样也是计算机网络实现技术中一个重要与基本的概念。,2.3 电子商务网络体系结构,2.3.2 OSI网络安全体系 1OSI标准类型 OSI(OpenSystemsInterconnection)通信标准是由国际化组织ISO在1979建立一个分委员会来专门研究一种用于开放系统的体系结构，提出了开放系统互连OSI模型，这是一个定义连接异种
16、计算机的标准主体结构。由于ISO组织的权威性，使OSI协议成为广大厂商努力遵循的标准。OSI为连接分布式应用处理的“开放”系统提供了基础，“开放”这个词表示能使任何两个遵守参考模型和有关标准的系统都具备互联的能力。,2.3 电子商务网络体系结构,2OSI划分层次原则 提供各种网络服务功能的计算机网络系统是非常复杂的，根据分而治之的原则，OSI将整个通信功能划分为七个层次，划分层次的原则如下： （1）网络中各结点都有相同的层次； （2）不同结点的同等层具有相同的功能； （3）同一结点内相邻层之间通过接口通信； （4）每一层可以使用下层提供的服务，并向其上层提供服务； （5）不同结点的同等层按照协议来实现对等层之间的通信。,2.3 电子商务网络体系结构,3开放系统互连模型简介 OSI根据以上原则制定的开放系统参考模型结构如图2-5所示。,2.3 电子商务网络体系结构,4OSI参考模型各层的主要功能 （1）物理层（Physical layer） 物理层处于OSI
