资源描述：
《电子商务网站的安全设计与管理(摘)》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。
1、电子商务网站的安全设计与管理（摘）第一节电子商务网站设计中的安全需求1.网络安全：如何防范攻击者对电了商务网站或设备的的攻击2.交易安全：交易过程如何防范机密泄露，欺骗，抵赖等3.系统安全：是关键数据的恢复和备份等第二节访问控制1.电子商务网站设计屮的安全需求2.访问控制1）概念，就是通过一组机制来控制不同级别的主体对受保护的网络资源客体的不同级别的授权访问2）功能：非法主体进入受保护的网络资源合法用户进入受保护的网络资源防止合法用户对受保护资源的非授权访问3）中心内容是实现对主体身体的识别和认证及客体对主体的授权访问3.实现策略1）入网访问控制：用户名的识别与验证，用户
2、口令的识别与验证,用户帐号的缺省限制检査2）网络的权限控制：受托者指派:指派控制用户或纽如何使用网络服务器的FI录，文件和设备继承权限屏蔽：相当于一个过滤器，nJ"以限制子H录从父冃录继承哪些权限用户分为：特殊用户，一般用户，审计用户用户对网络资源的访问权限可以用访问控制表来描述。3）冃录级安全控制：系统管理员权限读权限写权限创建权限删除权限修改权限文件查找权限存取控制权限取决于以下两个因素：用户和用户所在组的受托者指派继承权限4）属性安全控制向某个文件写数据拷贝文件删除冃录或文件查看目录或文件执行文件隐含文件共享系统属性第三节防火墙1.防火墙设计1）防火墙在安全设计中的
3、角色拒绝没有特别允许的任何访问允许没有特别拒绝的任何访问2）机构的整体安全政策3）防火墙的经济费用4）防火墙系统的组件或构件2.防火墙产品选择1）防火墙管理的难易度2）防火墙自身的安全性3）NCSC的认证标准4）最好能弥补其他操作系统的不足5）能否为使用者提供不同平台的选择6）能否向使用者提供完善的售后服务刀考虑企业的特殊需求第四节VPN技术1.定义也称虚拟专用网，是利用公共网络基础设丿施，通过隧道技术等手段达到类似私有专网数据安全传输的一种技术，公共网络包括Internet,帧中继，ATM等1.优点安全QOS简单低成本2.三种方案远程访问VPN企业内部VPN企业扩展VP
4、N3.IPSecVPN1）发送端明文进入1P・VPN设备，2）首先山访问控制模块决定是否允许其进入公网，3）若允许，根据设定的安全规则，确定是直接明文进入，还是应该加密而进入安全隧道，4）对于要加密的报文，一般需要进行加密和摘要、签名等认证处理，保证报文的完整性和可鉴别性，5）然后按进入公用IP网的耍求，重新对报文进行IP封装，6）最后，经IP封装以后的报文通过公网上传到目的端。7）接收方通过相反的过程对报文解密1.隧道协议是一种网络安全协议，可以利用一种网络协议來传输另一种网络协议，涉及三种网络协议，网络隧道协议，隧道协议下面的承载协议，隧道协议所承载的被承载协议网络隧
5、道协议包括：u二层隧道协议，用于传输二层网络协议，主要用于构建AccessVPN,PPTP,L2F,L2TPu三层隧道协议,用于传输三层网络协议，主要用于IntranetVPN,ExtrannetVPN,GRE,IPSECPPTP,L2F,L2TP,GRE,IP-SEC1.VPN面临的问题1）扩充网络装置2）移动和远程用户接入管理3）QOS有待提高4）解决互操作性第五节WEB安全1.WEB受到的威胁1）WEB服务器方而，WEB服务器的重要信息发生泄露，或者WEB服务器受到有意无意的破坏，严重的其至会造成信息的丢失其至服务器的崩溃2）浏览器方而，浏览器端运行的程序可能会造成
6、信息丢失其至资源被破坏3）浏览器和WEB服务器的通讯方面，浏览器和WEB服务器的重要会话可能被窃听和伪造1.WEB的安全漏洞1）操作系统存在的安全漏洞2）WEB服务器的安全漏洞，3）服务器端脚本的安全漏洞，CGI,API4）客户端脚本的安全漏洞,VS,JS,2.WEB安全管理办法1）管理，提高安全意识，加强安全管理2）预防加学习3.WEB信息安全传输协议1）SSL：是netscape公司为TCP/IP套接字开发的一种加密技术，它是基于通道的加密方法，用于提高应用层协议等的安全性，增强通信应用程序间的保密性和nf靠性是网景公司开发的安全套接层加密协议，基于通道的加密方法，用
7、于提高应用层协议（http,telnet,ftp）等的安全性，增强通信应用程序间的保密性和可靠性，功能包括数据加密，服务器验证，信息完整性及可选的客户TCP/IP连接验证2)S-HTTPSECUREHTTP的简写，是VERIFONE公司应COMMERCENET要求开发的一种问答式交易I办议。它是HTTPI办议的扩展。S-HTTP是使用HTTP的MIME的网络数据包进行签名，验证和加密。3）SET是为了解决用户，商家和银行之间通过信用卡支付的交易而设计的，以保证支付信息的机密，支付过程的完整，商家及持卡人的合法身份，以及可操作性
