信息安全原理与技术 蒋朝惠 武彤 王晓鹏 邓 第7章 应用安全

《信息安全原理与技术 蒋朝惠 武彤 王晓鹏 邓 第7章 应用安全》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全原理与技术蒋朝惠武彤王晓鹏邓少勋编著中国铁道出版社2009.5第7章应用安全7.1Web站点安全7.1.1Web站点的安全威胁7.1.2Web站点的安全措施7.1.3Web站点自动恢复技术7.2电子邮件安全7.2.1电子邮件安全概述7.2.2安全的电子邮件系统第7章应用安全（续）7.3电子商务安全7.3.1电子商务安全概述7.3.2PKI/PMI技术7.3.3安全电子交易协议（SET）7.3.4安全套接层协议（SSL）7.3.5SET与SSL协议比较7.4应用程序安全7.4.1应用程序的安全问题7.4.2

2、安全程序的开发7.4.3开发工具的安全特性7.1Web站点安全7.1.1Web站点的安全威胁对Web的依赖黑客的攻击病毒的干扰工业间谍恶意代码舞弊与盗窃7.1.1Web站点的安全威胁（续）不满的员工错误或失误网关接口的漏洞机密性缺口Web诈骗“网上钓鱼”7.1.2Web站点的安全措施排除安全漏洞监视站点出入情况不断传输更新1．排除安全漏洞Web站点的安全措施，首先要排除Web站点的安全漏洞，使其降到最少。安全漏洞通常表现为以下4种方式：物理方式软件方式不兼容问题缺乏安全策略物理方式此漏洞是由未授权人员访问站点引起的

3、，因为他们能浏览那些不被允许的地方。一个很好的例子就是安置在公共场所的浏览器，它使用户不仅能浏览Web站点，而且可以改变浏览器的配置，并取得站点信息，如IP地址、DNS入口等。软件方式此类漏洞由“错误授权”的应用程序引起，例如deamons，它会执行不应该执行的功能，它是与用户无关的类系统进程，但执行系统的许多功能，如控制、网络管理、打印服务、与时间有关的活动等。一条首要规则是不要轻易相信脚本和Applet，使用时，应确信已掌握了它们的功能以及意想不到的情况。不兼容问题这是由不良系统集成引起的。一个硬件或软件单独运

4、行时，可能工作良好，一旦和其他设备集成后，就可能出现问题。所以对每一个部件在集成到系统之前，都必须进行测试。缺乏安全策略必须有一个包含安全设备和覆盖、阻止等安全策略2．监视站点出入情况为了防止和追踪黑客闯入和内部滥用，需要对Web站点上的出入情况进行监测和控制，可监控的项目如下：监控Web站点工作情况测算命中次数监控Web站点工作情况监控站点时，应针对以下问题进行。服务器日常受访次数是多少?现受访次数是否增加了?用户是从哪个控制点连接的?一周中哪天最忙?一天中何时最忙?服务器上哪类信息常被访问?每个目录下有多少用户

5、访问?每个目录下有多少网页被访问?哪些页面最受欢迎?访问站点的是哪种浏览器?与站点对话的是哪种操作系统?用户更多的选择哪种提交方式?测算命中次数Web站点的命中次数是一个重要指标，它直接影响安全保护，也会促进安全性能的提高和改善。它不仅可以用于度量Web站点的成功程度，而且是度量Web服务器安全配置成功与否的间接尺度。在测算Web站点每天的命中次数必须考虑下列情况：测定Web站点的命中次数。它是一个原始数据，仅仅描述了Web站点上文件下载的平均数目。测定Web站点访问者的数目。实际上，得到的数据是站点上某个文件被访

6、问的次数。显然将命中次数与主页文件联系在一起时，该数字接近于某个时期访问者的数目。Web站点命中次数的增加意味着站点的功能和安全程度有所提高。3．不断传输更新不断更新，这是Web站点成长的关键。信息的不断更新、重建与改变，反映了Web连接资源的状态。它有助于安全需求的不断满足，使用户获得最新信息的能力。更新是通过连接独立存储的数据信息而实现的，以作为一种安全保护的方法和先进的工具。7.1.3Web站点自动恢复技术随着信息技术的发展和普及，网站已成为政府政策宣传和企业营销推广的重要渠道。然而，随着网络攻击事件的日益猖

7、獗，网站的安全构建成为越来越不容忽视的问题。目前我国国内优秀网站保护及恢复软件有InforGuard、WebGuard等。下面主要对InforGuard进行介绍。1．InforGuard三个特点四重防护技术高效同步技术安全传输2．InforGuard网络部署InforGuard由监控代理MA(MonitorAgent)、监控中心MC(MonitorCenter)、维护终端MT(MaintenanceTerminal)共同构成。InforGuard网络部署图图7-1InforGuard的网络部署7.2电子邮件安全电子

8、邮件在因特网上传输，从一台计算机传输到另一台计算机。在电子邮件所经过网络上的任一系统管理员或黑客都有可能截获和更改该邮件，甚至伪造某人的电子邮件。邮件本身的安全首先要保证邮件不被无关的人窃取或更改，同时接收者也必须能确定该邮件是由合法发送者发出的。7.2.1电子邮件安全概述电子邮件面临的威胁病毒、蠕虫、特洛伊木马网络钓鱼垃圾邮件7.2.1电子邮件安全概述（续