1、第9章 电子商务网站常用防御方法9.1 防火墙9.2 非军事区域 9.3 虚拟专用网(VPN)9.4 入侵检测系统(IDS)9.5 认证9.1 9.1 防火墙（防火墙（FirewallFirewall）9.1.1 防火墙的工作原理9.1.2 防火墙规则集9.1.1 9.1.1 防火墙防火墙的工作原理的工作原理防火墙主要有三种类型：包过滤防火墙、代理服务器防火墙、应用层防火墙。1、包过滤防火墙1 1、包过滤防火墙、包过滤防火墙Internet可信赖网络内部过滤器外部过滤器Internet内部网络 请求 请求转发 答复 答复 服务器2 2、代理服务器防火墙、代理服务器防火墙Internet外部网代
2、理防火墙WEB、FTPE-MAIL采用为每种所需服务在网关上安装专用程序代码，否则该服务就不支持且不能通过防火墙来转发。另外，应用网关也可以通过配置专用程序代码来支持应用程序的特定服务。应用网关防火墙允许用户访问代码服务，但绝对不能允许让用户登陆到该网关上，否则该用户就有可能获得Root权限，从而通过安装特洛伊木马来截获登陆口令，并修改防火墙的安全配置，直接攻击防火墙。3 3、应用层网关防火墙、应用层网关防火墙9.1.2 9.1.2 防火墙规则集防火墙规则集（1）先摆出“拒绝一切”的姿态。（2）常见通信的常用端口。（3）将伪代码转换成防火墙规则。（4）协议和风险：作出最佳决策。9.2 9.2
3、非军事区域（非军事区域（DMZDMZ）9.2.1 DMZ9.2.1 DMZ的的概念概念9.2.2 9.2.2 非军事区域的设置非军事区域的设置9.2.39.2.3 电子商务非军事区域的实现电子商务非军事区域的实现9.2.49.2.4 多区网络存在的问题多区网络存在的问题9.2.1 DMZ9.2.1 DMZ的概念的概念 为不信任系统提供服务的孤立网段，为不信任系统提供服务的孤立网段，允许公众允许公众InternetInternet访问的系统就位于这访问的系统就位于这儿，并得到了一些基本的防止攻击的保儿，并得到了一些基本的防止攻击的保护。它是两个放火墙之间的网段，或是护。它是两个放火墙之间的网段，
4、或是连接防火墙的连接防火墙的“死端死端”的网络。的网络。WEB应用程序服务器DMZ9.2.2 9.2.2 非军事区域的设置非军事区域的设置防火墙Internet企业内部网可可在下列系统中装入非军事区域（在下列系统中装入非军事区域（DMZDMZ）（1 1）载有公共信息的网络服务器）载有公共信息的网络服务器（2 2）与电子商务交易服务器连接的前端机，该前端）与电子商务交易服务器连接的前端机，该前端机用来接收客户定单。存放客户资料的后端应置机用来接收客户定单。存放客户资料的后端应置于防火墙之后。于防火墙之后。（3 3）把外来电子邮件中转至内部的邮件服务器）把外来电子邮件中转至内部的邮件服务器（4 4
5、）可据以进入内部网络的证书服务及服务器）可据以进入内部网络的证书服务及服务器（5 5）虚拟专用网络上的各端点。）虚拟专用网络上的各端点。（6 6）应用（层）网关）应用（层）网关（7 7）测试及登录服务器。）测试及登录服务器。9.2.3 电子商务非军事区域的实电子商务非军事区域的实现现INTERNET受保护网络防火墙WEB和邮件服务器金融处理网络数据存储网络 对多区网络确实存在一些常见问题，对多区网络确实存在一些常见问题，由于它们的性质，它们难于实现、保护和由于它们的性质，它们难于实现、保护和管理。防火墙规则集通常庞大、动态和混管理。防火墙规则集通常庞大、动态和混乱，实现起来也是费力和浪费资源的
6、。乱，实现起来也是费力和浪费资源的。9.2.4 多区网络存在的问题多区网络存在的问题9.39.3 虚拟专用网（虚拟专用网（VPNVPN）9.3.1 VPN9.3.1 VPN技术技术9.3.2 IPSec9.3.2 IPSec协议协议9.3.1 VPN9.3.1 VPN技术技术 VPN VPN通常被定义为通过一个公共网络建通常被定义为通过一个公共网络建立一个临时的、安全的连接，是一条穿过立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全的、稳定的隧道，混乱的公用网络的安全的、稳定的隧道，它是对企业内部网的扩展。它是对企业内部网的扩展。VPNVPN可以帮助可以帮助远程用户、公司分支机构、商业
7、伙伴及供远程用户、公司分支机构、商业伙伴及供应商与公司的内部网建立可信的安全连接。应商与公司的内部网建立可信的安全连接。并保证数据的安全传输。通过将数据流移并保证数据的安全传输。通过将数据流移到低成本的到低成本的IPIP网上，一个企业的网上，一个企业的VPNVPN解决方解决方案将大幅度地减少用户花费在案将大幅度地减少用户花费在WANWAN上和远程上和远程网络连接上的费用。网络连接上的费用。9.3.1 VPN9.3.1 VPN技术技术 同时，着将简化网络的设计和管理，加速连接新同时，着将简化网络的设计和管理，加速连接新的用户和网站。另外，它还可以保护现有的网络的用户和网站。另外，它还可以保护现有
8、的网络投资。随着用户的商业服务不断发展，企业的投资。随着用户的商业服务不断发展，企业的VPNVPN解决方案可以使用户把精力集中到自己的生意上，解决方案可以使用户把精力集中到自己的生意上，而不是网络上。而不是网络上。VPN VPN 可用于不断增长的移动用户可用于不断增长的移动用户的全球的全球InternetInternet接入，以实现安全连接；可用于接入，以实现安全连接；可用于建立网站之间安全通信的虚拟专用线路，以连接建立网站之间安全通信的虚拟专用线路，以连接到商业伙伴和用户的安全外连网到商业伙伴和用户的安全外连网VPNVPN。IPSecIPSec包括两部分：包括两部分：（1 1）IP secu
9、rity Protocol proper,IP security Protocol proper,定义定义IPSecIPSec报文格式。报文格式。（2 2）ISAKMP/Oakley,ISAKMP/Oakley,负责加密通信协商。负责加密通信协商。IPSecIPSec提供两种加密通信手段：提供两种加密通信手段：（1 1）IPSec Tunnel:IPSec Tunnel:整个整个IPIP封装在封装在IPSecIPSec报文。报文。提供提供IPSecgatewayIPSecgateway之间的通信。之间的通信。（2 2）IPSec transport:IPSec transport:对对IPIP
10、包内的数据进行加包内的数据进行加密，使用原来的源地址和目的地址。密，使用原来的源地址和目的地址。9.3.2 IPSec9.3.2 IPSec协议协议9.49.4 入侵检测系统（入侵检测系统（IDSIDS）9.4.1 9.4.1 入侵检测概念9.4.2 9.4.2 基于主机的IDS9.4.2 9.4.2 基于网络的IDS9.4.4 9.4.4 入侵检测系统发展方向9.4.1 9.4.1 入侵检测概念入侵检测概念1 1、入侵检测概念、入侵检测概念通过计算机网络或计算机系统中的若干关键点收通过计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，以发现网络或系统中是集信息并对其进行分析，以发现
11、网络或系统中是否有违反安全策略的行为和遭到袭击的迹象。否有违反安全策略的行为和遭到袭击的迹象。2 2、分类：、分类：根据被监控对象的不同分为：根据被监控对象的不同分为：基于主机的基于主机的IDSIDS基于网络的基于网络的IDSIDS9.4.29.4.2 基于主机的基于主机的IDSIDS 主要应用于运行关键应用主要应用于运行关键应用层的服务器，它是早期的入侵层的服务器，它是早期的入侵检测系统，其主要目标市检测检测系统，其主要目标市检测主机系统是否受到外部或内部主机系统是否受到外部或内部的攻击以及系统本地用户是否的攻击以及系统本地用户是否有滥用或误用行为。有滥用或误用行为。9.4.3 9.4.3
12、网络的网络的IDSIDS 基于网络的入侵检测基于网络的入侵检测IDSIDS放置在比较放置在比较重要的网段内，不停地监视网段中的各重要的网段内，不停地监视网段中的各种数据包。对没、每一个数据包或可疑种数据包。对没、每一个数据包或可疑的数据包进行分析。如果数据包与产品的数据包进行分析。如果数据包与产品内置的某些规则吻合，入侵检测系统认内置的某些规则吻合，入侵检测系统认为受到攻击，就会发出通知、警报甚至为受到攻击，就会发出通知、警报甚至直接切断网络连接。直接切断网络连接。9.4.4 9.4.4 入侵检测技术发展方向入侵检测技术发展方向（1 1）入侵或攻击的综和化与复杂化）入侵或攻击的综和化与复杂化（
13、2 2）入侵主体的间接化）入侵主体的间接化（3 3）入侵或攻击的规模扩大）入侵或攻击的规模扩大（4 4）入侵或攻击技术的分布化）入侵或攻击技术的分布化（5 5）攻击对象的转移）攻击对象的转移9.5 认证9.5.1 9.5.1 第三方认证第三方认证9.5.2 PKI9.5.2 PKI的组成的组成9.5.3 9.5.3 证书认证机构证书认证机构9.5.4 PKI9.5.4 PKI应用应用9.5.1 9.5.1 第三方认证第三方认证PKIPKI采用证书进行公钥管理，通过第采用证书进行公钥管理，通过第三方的可信任机构，把用户的公钥三方的可信任机构，把用户的公钥和用户的其他标识信息捆绑在一起，和用户的其
14、他标识信息捆绑在一起，其中包括用户名和电子邮件地址等其中包括用户名和电子邮件地址等信息，以便在信息，以便在InternetInternet网上验证用网上验证用户的身份。户的身份。9.5.2 PKI9.5.2 PKI的组成的组成PKI应用注册机构RA证书发布系统注册机构CAPKI策略硬软件系统9.5.3 9.5.3 证书认证机构证书认证机构CACA1 1、数字证书基础、数字证书基础2 2、发行证书的、发行证书的CACA签名签名3 3、CACA框架模型框架模型4 4、证书的申请和撤消、证书的申请和撤消5 5、证书管理、证书管理6 6、密钥管理、密钥管理7 7、证书的使用、证书的使用9.5.4 PKI9.5.4 PKI应用应用1 1、虚拟专用网（、虚拟专用网（VPNVPN）-PKI with -PKI with IPSecIPSec2 2、安全电子邮件、安全电子邮件 -PKI with -PKI with S/MIME S/MIME 3 3、WebWeb安全安全-PKI with SSL-PKI with SSL 4 4、更广泛的应用、更广泛的应用
