電子商務網絡交易問題的分析

電子商務網絡交易問題的分析
[摘要]：“每次病毒的大規模爆發，似乎都給Microsoft狂念了一通“緊箍咒”。在天才少年和老牌黑客密集攻擊下，Windows的2003磕磕絆絆。截至2003年12月31日止， Microsoft主頁所發布的安全公告已達51次。近年來這一現象始終存在。此情此景，讓用戶開始重新審視Windows的安全問題。由于企業對Windows系統的依賴性且我國電子商務的主要使用者就是企業，所以Windows的安全性對于電子商務的發展有著重要影響。因此本文為您剖析電子商務基于Windows的可行性安全解決方案，希望通過大家的共同努力，建立起更安全的網絡交易環境
[關鍵字]：安全漏洞 保密措施  防火墻   SUS  掃描工具
首先剖析以下幾個問題：
 一．怎樣看待頻繁出現的安全漏洞？
 安全漏洞是指由於系統存在的弱點或缺陷而導致的系統對一個特定的威脅攻擊或危險事件的敏感性，或導致對系統進行攻擊的威脅作用的可能性。通過對系統的掃瞄，瑞星漏洞掃瞄工具可以找出電腦系統存在的安全漏洞，通過下載相應的漏洞補丁程式而進行系統修復後，將會提高電腦系統的安全性和穩定性，從而避免病毒、黑客和惡意程式的攻擊。
  對安全漏洞這一名詞有了了解之后，又如何去看待頻繁出現的安全漏洞這一問題呢？
  網絡安全的核心目標是保障業務系統的可持續性和數據的安全性，而這兩點的主要威脅來自于蠕蟲的暴發、黑客的攻擊、拒絕服務攻擊、木馬。蠕蟲、黑客攻擊問題都和漏洞緊密聯系在一起，一旦有重大安全漏洞出現，整個互聯網就會面臨一次重大挑戰。雖然傳統木馬和安全漏洞關系不大，但最近很多木馬都巧妙的利用了IE的漏洞，讓你在瀏覽網頁時不知不覺的就中了招。     安全漏洞的定義已經有很多了，一個通俗的說法就是：能夠被利用來干“原本以為”不能干的事，并且和安全相關的缺陷。這個缺陷可以是設計上的問題、程序代碼實現上的問題。
 安全漏洞可分為：
 1內存覆蓋，主要為內存單元可指定，寫入內容可指定，這樣就能執行攻擊者想執行的代碼（緩沖區溢出、格式串漏洞、PTrace漏洞、歷史上Windows2000的硬件調試寄存器用戶可寫漏洞）或直接修改內存中的機密數據。   2 邏輯錯誤，這類漏洞廣泛存在，但很少有范式，所以難以查覺，可細分為：   條件競爭漏洞（通常為設計問題，典型的有Ptrace漏洞、廣泛存在的文件操作時序競爭）
 3權限視角：主要為權限繞過或權限提升。通常權限提升都是為了獲得期望的數據操作能力。
 4認證繞過：通常利用認證系統的漏洞而不用受權就能進入系統。通常認證繞過都是為權限提升或直接的數據訪問服務的。
 5代碼執行角度：主要是讓程序將輸入的內容作為代碼來執行，從而獲得遠程系統的訪問權限或本地系統的更高權限。這個角度是SQL注入、內存指針游戲類漏洞（緩沖區溢出、格式串、整形溢出等等）等的主要驅動。這個角度通常為繞過系統認證、權限提升、數據讀取作準備的。
以遠程漏洞為例，比較好的劃分方法為：    1  可遠程獲取OS、應用程序版本信息。    2  開放了不必要或危險得服務，可遠程獲取系統敏感信息。    3  可遠程進行受限的文件、數據讀取。    4  可遠程進行重要或不受限文件、數據讀取。    5  可遠程進行受限文件、數據修改。    6  可遠程進行受限重要文件、數據修改。    7  可遠程進行不受限得重要文件、數據修改，或對普通服務進行拒絕服務攻擊。    8  可遠程以普通用戶身份執行命令或進行系統、網絡級的拒絕服務攻擊。    9  可遠程以管理用戶身份執行命令（受限、不太容易利用）。    10  可遠程以管理用戶身份執行命令（不受限、容易利用）。   總為：
 第1步：認證繞過     第2步：遠程漏洞、代碼執行(機器碼)、認證繞過     第3步：權限提升、認證繞過    第4步：認證繞過     第5步：數據寫
 所以頻繁的出現安全漏洞和病毒，內存覆蓋，邏輯錯誤，數據權限，認證繞過，代碼執行等息息相關。
 二．安全漏洞是windows的專利嗎？
  安全漏洞只能是windows系統的缺陷，應積極加以修復和防范，定不能以專利對之。
 三．與Linux/Unix哪個更安全？
   說到linux/uxix就有如下看法：
眾所周知，網絡安全是一個非常重要的課題，而服務器是網絡安全中最關鍵的環節。Linux/uxix被認為是一個比較安全的Internet服務器，作為一種開放源代碼操作系統，一旦Linux/uxix系統中發現有安全漏洞，Internet上來自世界各地的志愿者會踴躍修補它。然而，系統管理員往往不能及時地得到信息并進行更正，這就給黑客以可乘之機。然而，相對于這些系統本身的安全漏洞，更多的安全問題是由不當的配置造成的，可以通過適當的配置來防止。服務器上運行的服務越多，不當的配置出現的機會也就越多，出現安全問題的可能性就越大。
關于兩種系統看一則案例：
4月7日，中國電子信息產業發展研究院和中國信息化推進聯盟在京舉辦了“中國銀行業信息化建設發展研討會”。會上，賽迪顧問股份有限公司發布研究成果表明，隨著銀行業務規模的擴大和業務種類的創新，前置端操作系統SCO Unix存在的問題和局限性日益突出。因此，在銀行業信息化建設整體規劃中，包括前置端操作系統移植在內的IT升級和改造成為大勢所趨。正確地選擇操作系統是銀行用戶進行系統移植決策的關鍵環節，測算結果顯示，銀行前置端操作系統由SCO Unix系統移植到Linux平臺的TCO比移植到Windows平臺高20.9%，主要差異來自于移植成本和管理成本。其中，移植到Linux平臺的移植成本比移植到Windows平臺高32.0%；移植到Linux平臺的管理成本比移植到Windows平臺高33.7%。而該系統移植到Windows平臺所帶來的應用價值綜合指數則高于Linux平臺11.9%。低成本、高價值使Windows系統凸顯競爭優勢。
其實兩者相較下是各有千秋，雖然linux/unix系統較windows安全，但成本很貴，不適應市場，且它也存在安全問題，因此無論使用那種系統軟件，保密防范措施很重要，
4．用戶有必要因為安全問題而放棄Windows嗎？
 對這一問題是有很明確的答案的，當然是沒有必要，第三個問題中已經說明了。 針對企業對Windows系統的依賴性且我國電子商務的主要使用者就是企業這一問題作出以下解決方案：   一、技術為先 ：防火墻
 網絡安全是為保護商務各方網絡端系統之間通信過程的安全性。保證機密性，完整性，認證性和訪問控制性是網絡安全的重要因素。保護網絡安全中一重要措施為防火墻。
防火墻是網絡安全的屏障：    一個防火墻（作為阻塞點、控制點）能極大地提高一個內部網絡的安全性，并通過過濾不安全的服務而降低風險。由于只有經過精心選擇的應用協議才能通過防火墻，所以網絡環境變得更安全。如防火墻可以禁止諸如眾所周知的不安全的NFS協議進出受保護網絡，這樣外部的攻擊者就不可能利用這些脆弱的協議來攻擊內部網絡。防火墻同時可以保護網絡免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻應該可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。
    (2)防火墻可以強化網絡安全策略：    通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認證、審計等）配置在防火墻上。與將網絡安全問題分散到各個主機上相比，防火墻的集中安全管理更經濟。例如在網絡訪問時，一次一密口令系統和其它的身份認證系統完全可以不必分散在各個主機上，而集中在防火墻一身上。
 (3)對網絡存取和訪問進行監控審計：    如果所有的訪問都經過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網絡使用情況的統計數據。當發生可疑動作時，防火墻能進行適當的報警，并提供網絡是否受到監測和攻擊的詳細信息。另外，收集一個網絡的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網絡使用統計對網絡需求分析和威脅分析等而言也是非常重要的。
 (4)防止內部信息的外泄：    通過利用防火墻對內部網絡的劃分，可實現內部網重點網段的隔離，從而限制了局部重點或敏感網絡安全問題對全局網絡造成的影響。再者，隱私是內部網絡非常關心的問題，一個內部網絡中不引人注意的細節可能包含了有關安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內部網絡的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內部細節如Finger，DNS等服務。Finger顯示了主機的所有用戶的注冊名、真名，最后登錄時間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統使用的頻繁程度，這個系統是否有用戶正在連線上網，這個系統是否在被攻擊時引起注意等等。防火墻可以同樣阻塞有關內部網絡中的DNS信息，這樣一臺主機的域名和IP地址就不會被外界所了解。 除了安全作用，防火墻還支持具有Internet服務特性的企業內部網絡技術體系VPN。通過VPN，將企事業單位在地域上分布在全世界各地的LAN或專用子網，有機地聯成一個整體。不僅省去了專用通信線路，而且為信息共享提供了技術保障。   二、管理為王 ：保密措施
 各種商務交易安全服務都是通過安全技術來實現的，主要為加密技術，又分對稱加密和非對稱加密。
 對稱加密：又稱私鑰即信息的發送方和接受方用同一個密鑰去加密和解密同一個數據。
 非對稱加密：又稱公鑰加密，使用一對密鑰來分別完成加密和解密操作，其中一個公開發布（即公鑰）另一個由用戶自己秘密保存（即私鑰）。   Windows系統安全實戰對策為：
 （一）、部署SUS(基于Windows 2000 Server SP2系統)
Windows操作系統的安全問題越來越受到大家的關注，每隔一段時間，微軟就會發布修復系統漏洞的補丁，SUS由網絡管理員在局域網內部獨自構建，通過SUS，可將微軟的最新補丁發送給用戶。它分為服務器端和客戶端兩部分，可為1.5萬個用戶提供升級服務。微軟在服務器端(SUS Server)只推出了英文版和日文版，而在客戶端則有支持24種語言的版本，包括中文版。SUS Server能為 Windows 2000 +SP2及以上版本、Windows XP、Windows 2003系統提供升級服務。
  （二）、安全列表
使用安全的密碼策略
使用安全的帳號策略
加強數據庫日志的記錄
管理擴展存儲過程
使用協議加密
不要讓人隨便探測到你的TCP/IP端口
拒絕來自1434端口的探測
對網絡連接進行IP限制
 （三）、安全漏洞掃描工具
對于一個復雜的多層結構的系統和網絡安全規劃來說，漏洞隱患掃描是一項重要的組成元素。隱患掃描能夠模擬黑客的行為，對系統設置進行攻擊測試，以幫助管理員在黑客攻擊之前，找出網絡中存在的漏洞。這樣的工具可以遠程評估你的網絡的安全級別，并生成評估報告，提供相應的整改措施。
上述內容為剖析電子商務基于Windows的可行性安全解決方案
[1劉曉輝、《網絡安全管理實踐》，，電子工業出版社，2007年4月，初版
2肖軍模 劉軍 周海剛 《網絡信息安全》機械工業出版社2003年8月 第二版
3閻慧《防火墻原理與技術》機械工業出版社，2004年4月 第二版