第9章

電子商務(wù)安全和欺詐防范內(nèi)容提要9.1電子商務(wù)安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應(yīng)對(duì)電子商務(wù)安全問題9.6電子商務(wù)通信安全9.7安全電子商務(wù)網(wǎng)絡(luò)9.8管理上的問題9.9案例研究本章作業(yè)內(nèi)容提要9.1電子商務(wù)安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應(yīng)對(duì)電子商務(wù)安全問題9.6電子商務(wù)通信安全9.7安全電子商務(wù)網(wǎng)絡(luò)9.8管理上的問題9.9案例研究本章作業(yè)9.1電子商務(wù)安全的持續(xù)性要求2004年，CSI和FBI的調(diào)查調(diào)查對(duì)象，494個(gè)在美國的各大公司、政府機(jī)構(gòu)、金融機(jī)構(gòu)、制藥機(jī)構(gòu)、學(xué)校等調(diào)查結(jié)果和分析2001-2004年，攻擊計(jì)算機(jī)系統(tǒng)成功率呈下降趨勢(shì)，65%，53%每種類型攻擊的數(shù)量呈下降趨勢(shì)，病毒78-83%，內(nèi)部80-59%由于受到攻擊或不當(dāng)使用造成的經(jīng)濟(jì)損失，2003年，2020億美元；2004年，1400億美元大部分企業(yè)采取各種技術(shù)手段和程序來防范網(wǎng)絡(luò)攻擊，包括殺毒軟件、防火墻、訪問控制列表、入侵檢測(cè)、數(shù)據(jù)加密等許多企業(yè)未向法律部門報(bào)告計(jì)算機(jī)入侵事件，2004年，報(bào)告者不到50%安全問題依然非常嚴(yán)峻2010年的調(diào)查結(jié)果分析惡意軟件是最常見的網(wǎng)絡(luò)攻擊方式金融欺詐數(shù)量有所下降，但是依然出現(xiàn)8.7%安全管理人員系統(tǒng)提高網(wǎng)絡(luò)、網(wǎng)絡(luò)應(yīng)用軟件和網(wǎng)絡(luò)端口的可視化，例如日志管理、安全信息事件管理、安全儀表管理等近一半受訪者表示最近一年至少遇到一次安全事件受害者中45.6%舉報(bào)了安全攻擊事件安全事件發(fā)生之后，18.1%的受訪者通知了個(gè)人身份信息遭竊取，15.9%受訪者表示他們?yōu)橛脩艉涂蛻籼峁┝诵碌陌踩?wù)受訪者大多數(shù)認(rèn)為規(guī)范操作對(duì)安全管理非常重要2011年電子商務(wù)安全管理關(guān)注電子商務(wù)交易中的欺詐惡意軟件(病毒、蠕蟲、木馬)的預(yù)防和檢測(cè)安全戰(zhàn)略和重組預(yù)算業(yè)務(wù)延續(xù)性、避免中斷、恢復(fù)能力數(shù)據(jù)保護(hù)、隱私保護(hù)、客戶和員工保護(hù)員工的疏忽和時(shí)間的浪費(fèi)入侵的檢測(cè)和阻止數(shù)據(jù)泄露內(nèi)容提要9.1電子商務(wù)安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應(yīng)對(duì)電子商務(wù)安全問題9.6電子商務(wù)通信安全9.7安全電子商務(wù)網(wǎng)絡(luò)9.8管理上的問題9.9案例研究本章作業(yè)9.2安全是各方都須考慮的問題隨著注重技術(shù)環(huán)節(jié)的電子商務(wù)變得越來越復(fù)雜，其受到的攻擊概率大大增加了，技術(shù)部門不僅變得越來越脆弱，也越來越難以管理電腦黑客、行業(yè)間諜、公司內(nèi)部交易者、國外政府機(jī)構(gòu)、其他犯罪團(tuán)體等利用這一狀況進(jìn)行攻擊潛在犯罪行為的多樣化使得阻止?jié)撛诠粢约皞蓽y(cè)這種攻擊變得非常困難IDC數(shù)據(jù)：調(diào)查，2003年，全球安全費(fèi)用超700億美元預(yù)測(cè)，2007年，960億美元內(nèi)容提要9.1電子商務(wù)安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應(yīng)對(duì)電子商務(wù)安全問題9.6電子商務(wù)通信安全9.7安全電子商務(wù)網(wǎng)絡(luò)9.8管理上的問題9.9案例研究本章作業(yè)9.3基本安全問題電子商務(wù)安全問題不僅僅是阻止或響應(yīng)網(wǎng)絡(luò)攻擊和入侵，而且包括其他一系列的問題安全問題場(chǎng)景：如果某用戶連入某網(wǎng)站服務(wù)器以獲得產(chǎn)品信息，作為回報(bào)，用戶被要求填寫一張表單來提供一些統(tǒng)計(jì)資料和個(gè)人信息這種情況下，會(huì)產(chǎn)生哪些安全問題呢？安全問問題場(chǎng)場(chǎng)景從用戶戶視角角用戶如如何確確定網(wǎng)網(wǎng)絡(luò)服服務(wù)器器的所所有者者和操操作者者是合合法的的公司司呢？？用戶如如何知知道網(wǎng)網(wǎng)頁和和表格格不包包含一一些惡惡意或或危險(xiǎn)險(xiǎn)的代代碼與與內(nèi)容容呢？？用戶如如何知知道網(wǎng)網(wǎng)站服服務(wù)器器的擁擁有者者不會(huì)會(huì)將其其提供供的個(gè)個(gè)人信信息泄泄露給給其他他人呢呢？從公司司視角角公司如如何知知道用用戶不不會(huì)試試圖闖闖入網(wǎng)網(wǎng)絡(luò)服服務(wù)器器或修修改網(wǎng)網(wǎng)站網(wǎng)網(wǎng)頁內(nèi)內(nèi)容呢呢？公司如如何知知道用用戶不不會(huì)試試圖干干擾網(wǎng)網(wǎng)站服服務(wù)器器從而而使得得其他他用戶戶無法法訪問問呢？？從用用戶戶和和公公司司雙雙方方視視角角用戶戶和和公公司司如如何何知知道道網(wǎng)網(wǎng)絡(luò)絡(luò)連連接接中中不不會(huì)會(huì)遭遭到到第第三三方方的的在在線線竊竊聽聽呢呢？？用戶和公公司如何何知道服服務(wù)器和和用戶瀏瀏覽器之之間傳遞遞的信息息不會(huì)在在中途被被修改呢呢？主要安全全問題認(rèn)證，authentication用戶在網(wǎng)網(wǎng)站瀏覽覽網(wǎng)頁時(shí)時(shí)，如何何確定網(wǎng)網(wǎng)站不是是欺騙呢呢？一個(gè)實(shí)體體驗(yàn)證另另一個(gè)實(shí)實(shí)體身份份與其所所聲稱的的身份一一致，認(rèn)認(rèn)證授權(quán)，authorization授權(quán)可保保證用戶戶或程序序訪問并并獲得特特定的資資源審查，auditing審查就是是收集試試圖獲取取特殊資資源、利利用特定定權(quán)限或或進(jìn)行安安全活動(dòng)動(dòng)的信息息的過程程審查提供供了一種種再現(xiàn)行行為詳細(xì)細(xì)信息的的方法保密性，，confidentiality，privacy保密性是是指私人人或敏感感信息不不應(yīng)該向向未授權(quán)權(quán)人、實(shí)實(shí)體或計(jì)計(jì)算機(jī)軟軟件處理理系統(tǒng)透透露完整性，，integrity數(shù)據(jù)在轉(zhuǎn)轉(zhuǎn)移或存存儲(chǔ)后可可能會(huì)被被修改或或破壞保護(hù)數(shù)據(jù)據(jù)在未授授權(quán)或突突發(fā)事件件中不被被修改或或破壞的的能力，，叫完整整性可用性，，availability在線網(wǎng)站站的可用用性是指指如果個(gè)個(gè)人或程程序需要要數(shù)據(jù)時(shí)時(shí)他們可可以訪問問網(wǎng)頁、、數(shù)據(jù)或或服務(wù)不可否認(rèn)認(rèn)性，nonrepudiation如果某人人通過公公司網(wǎng)站站并且通通過信用用卡支付付貨款，，這個(gè)人人可能會(huì)會(huì)聲稱自自己沒有有下訂單單不可否認(rèn)認(rèn)性是指指限制合合法交易易被拒絕絕的能力力電子商務(wù)務(wù)網(wǎng)站的的普通安安全問題題內(nèi)容提要要9.1電子商務(wù)務(wù)安全的的持續(xù)性性要求9.2安全是各各方都須須考慮的的問題9.3基本安全全問題9.4威脅和攻攻擊的種種類9.5應(yīng)對(duì)電子子商務(wù)安安全問題題9.6電子商務(wù)務(wù)通信安安全9.7安全電子子商務(wù)網(wǎng)網(wǎng)絡(luò)9.8管理上的的問題9.9案例研究究本章作業(yè)業(yè)9.4威脅和攻攻擊的種種類攻擊分為為兩種類類型：非技術(shù)型型攻擊技術(shù)型攻攻擊非技術(shù)型型攻擊，，nontechnicalattack指那些犯犯罪者利利用欺騙騙或其他他誘惑的的手段使使得人們們泄露敏敏感信息息或采取取降低網(wǎng)網(wǎng)絡(luò)安全全性的活活動(dòng)也稱為社社會(huì)型攻攻擊技術(shù)型攻攻擊，technicalattack利用軟件件和系統(tǒng)統(tǒng)知識(shí)進(jìn)進(jìn)行技術(shù)術(shù)型攻擊擊計(jì)算機(jī)病病毒攻擊擊是一種種典型的的技術(shù)型型攻擊非技術(shù)型型攻擊：：社會(huì)型型攻擊IT工作人員員傾向于于關(guān)注網(wǎng)網(wǎng)絡(luò)安全全的技術(shù)術(shù)層面——防火墻、、加密、、數(shù)字簽簽名等，，然而多多數(shù)網(wǎng)絡(luò)絡(luò)的致命命弱點(diǎn)在在于其應(yīng)應(yīng)用人群群兩類社會(huì)會(huì)型攻擊擊：基于人的的社會(huì)型型攻擊(依靠傳統(tǒng)統(tǒng)的方法法，例如如面談或或電話)基于計(jì)算算機(jī)的社社會(huì)型攻攻擊(用很多計(jì)計(jì)謀誘惑惑用戶提提供敏感感信息)對(duì)付社會(huì)會(huì)型攻擊擊的方法法：教育與培培訓(xùn)，策略與程程序，引引導(dǎo)員工工按規(guī)范范處理機(jī)機(jī)密信息息入侵檢測(cè)測(cè)，外部部專家扮扮演黑客客角色，，進(jìn)行攻攻擊檢測(cè)測(cè)技術(shù)型攻攻擊拒絕服務(wù)務(wù)式攻擊擊攻擊者利利用特殊殊軟件向向目標(biāo)計(jì)計(jì)算機(jī)發(fā)發(fā)送大量量數(shù)據(jù)包包，使目目標(biāo)網(wǎng)站站資源超超負(fù)荷惡意代碼碼：病毒毒、蠕蟲蟲、特洛洛伊木馬馬病毒(virus)是一份將其其自身植入入一臺(tái)宿主主——包括操作系系統(tǒng)，進(jìn)行行繁殖的代代碼。它不不能獨(dú)立運(yùn)運(yùn)營，需要要其宿主程程序被運(yùn)行行從而激活活它。例如如，米凱朗朗基羅病毒毒由其生日日激活蠕蟲(worm)是一段能獨(dú)獨(dú)立運(yùn)行、、為了維護(hù)護(hù)自身存在在會(huì)消耗主主機(jī)資源，，并且能復(fù)復(fù)制一個(gè)自自身的完全全工作版本本到另一臺(tái)臺(tái)機(jī)器上的的程序特洛伊木馬馬(Trojanhorse)是一種看起起來有用的的程序，但但是其包含含的隱藏功功能帶來了了安全風(fēng)險(xiǎn)險(xiǎn)。這種程程序往往有有兩個(gè)組成成部分：一一個(gè)服務(wù)器器端和一個(gè)個(gè)客戶端。。服務(wù)器端端運(yùn)行在被被攻擊計(jì)算算機(jī)上，客客戶端程序序用于控制制攻擊的程程序內(nèi)容提要9.1電子商務(wù)安安全的持續(xù)續(xù)性要求9.2安全是各方方都須考慮慮的問題9.3基本本安安全全問問題題9.4威脅脅和和攻攻擊擊的的種種類類9.5應(yīng)對(duì)對(duì)電電子子商商務(wù)務(wù)安安全全問問題題9.6電子子商商務(wù)務(wù)通通信信安安全全9.7安全全電電子子商商務(wù)務(wù)網(wǎng)網(wǎng)絡(luò)絡(luò)9.8管理理上上的的問問題題9.9案例例研研究究本章章作作業(yè)業(yè)9.5應(yīng)對(duì)對(duì)電電子子商商務(wù)務(wù)安安全全問問題題公司司在在安安全全問問題題上上常常犯犯的的錯(cuò)錯(cuò)誤誤：：價(jià)值值被被低低估估的的信信息息(很少少有有組組織織對(duì)對(duì)特特殊殊信信息息資資產(chǎn)產(chǎn)的的價(jià)價(jià)值值有有清清晰晰的的了了解解)對(duì)安安全全邊邊界界的的定定義義過過于于狹狹窄窄(例如如，，僅僅關(guān)關(guān)注注內(nèi)內(nèi)部部網(wǎng)網(wǎng)安安全全，，忽忽視視了了供供應(yīng)應(yīng)鏈鏈合合作作伙伙伴伴的的安安全全)事后安安全管管理(許多組組織采采取事事后而而不是是事前前安全全管理理)過時(shí)的的安全全管理理程序序(安全機(jī)機(jī)制沒沒有及及時(shí)更更新或或更換換)缺乏關(guān)關(guān)于安安全責(zé)責(zé)任的的溝通通(安全問問題常常被認(rèn)認(rèn)為是是IT問題，，而不不是組組織問問題)安全風(fēng)風(fēng)險(xiǎn)管管理識(shí)別關(guān)關(guān)鍵計(jì)計(jì)算機(jī)機(jī)、網(wǎng)網(wǎng)絡(luò)以以及信信息資資產(chǎn)的的系統(tǒng)統(tǒng)化過過程，，評(píng)估估對(duì)于于這些些資產(chǎn)產(chǎn)的風(fēng)風(fēng)險(xiǎn)和和威脅脅，以以及切切實(shí)降降低安安全風(fēng)風(fēng)險(xiǎn)和和威脅脅，稱稱為安安全風(fēng)風(fēng)險(xiǎn)管管理安全風(fēng)風(fēng)險(xiǎn)管管理的的步驟驟：定義資資產(chǎn)：：確定定關(guān)鍵鍵計(jì)算算機(jī)、、網(wǎng)絡(luò)絡(luò)和信信息資資產(chǎn)，，確認(rèn)認(rèn)這些些資產(chǎn)產(chǎn)的價(jià)價(jià)值風(fēng)險(xiǎn)評(píng)評(píng)估：：包括括識(shí)別別威脅脅、漏漏洞和和風(fēng)險(xiǎn)險(xiǎn)實(shí)施：：按照照風(fēng)險(xiǎn)險(xiǎn)發(fā)生生的可可能性性和潛潛在損損失進(jìn)進(jìn)行優(yōu)優(yōu)先級(jí)級(jí)排序序，提提出解解決辦辦法和和應(yīng)對(duì)對(duì)策略略內(nèi)容提提要9.1電子商商務(wù)安安全的的持續(xù)續(xù)性要要求9.2安全是是各方方都須須考慮慮的問問題9.3基本安安全問問題9.4威脅和和攻擊擊的種種類9.5應(yīng)對(duì)電電子商商務(wù)安安全問問題9.6電子商商務(wù)通通信安安全9.7安全電電子商商務(wù)網(wǎng)網(wǎng)絡(luò)9.8管理上上的問問題9.9案例研研究本章作作業(yè)9.6電子商商務(wù)通通信安安全安全技技術(shù)手手段：：用來保保護(hù)網(wǎng)網(wǎng)絡(luò)通通信安安全的的技術(shù)術(shù)手段段用來保保護(hù)網(wǎng)網(wǎng)絡(luò)上上的服服務(wù)器器和客客戶機(jī)機(jī)安全全的技技術(shù)手手段訪問控控制與與身份份認(rèn)證證訪問控控制，，確定定誰可可以合合法地地使用用某個(gè)個(gè)網(wǎng)絡(luò)絡(luò)的資資源以以及可可以使使用哪哪些資資源，，常用用訪問問控制制表(ACL)身份認(rèn)認(rèn)證，，確認(rèn)認(rèn)用戶戶身份份正是是其所所宣稱稱的那那樣。。確認(rèn)認(rèn)過程程基于于用戶戶特征征(某人所所了解解信息息(密碼)、某人人的所所有物物(憑證)、某人人其本本身(指紋))生物特特征識(shí)識(shí)別系系統(tǒng)公鑰基基礎(chǔ)設(shè)設(shè)施生物特特征識(shí)識(shí)別系系統(tǒng)biometricsystems生物特特征識(shí)識(shí)別系系統(tǒng)能能通過過搜索索生物物特征征數(shù)據(jù)據(jù)庫，，從眾眾多登登錄用用戶中中識(shí)別別出一一個(gè)人人，或或者系系統(tǒng)能能夠通通過匹匹配一一個(gè)人人的生生理特特征與與以前前存儲(chǔ)儲(chǔ)的數(shù)數(shù)據(jù)，，驗(yàn)證證一個(gè)個(gè)人宣宣稱的的身份份生物物特特征征識(shí)識(shí)別別的的兩兩種種技技術(shù)術(shù)方方式式：：生理理特特征征識(shí)識(shí)別別技技術(shù)術(shù)：：指指紋紋掃掃描描、、虹虹膜膜掃掃描描、、面面部部掃掃描描行為為特特征征識(shí)識(shí)別別技技術(shù)術(shù)：：語語音音掃掃描描、、按按鍵鍵監(jiān)監(jiān)控控公鑰鑰基基礎(chǔ)礎(chǔ)設(shè)設(shè)施施publickeyinfrastructure，PKIPKI是電電子子支支付付的的基基石石私鑰鑰和和公公鑰鑰加加密密對(duì)稱稱密密鑰鑰加加密密公共共密密鑰鑰加加密密，，非非對(duì)對(duì)稱稱密密鑰鑰加加密密數(shù)字字簽簽名名數(shù)字字證證書書和和認(rèn)認(rèn)證證中中心心安全全套套接接層層MessagedigestEncryptDigitalSignaturemessagemessageSally’scertificateEncryptSymmetricKeyEncryptedMessageRichard’scertificateEncryptRichard’’spublicKeyDigitalEnvelopeSally’’s(sender’’s)computerEncryptedMessageDigitalEnvelopeMessageDigitalEnvelopeDecryptSally’’sPrivateSignatureKeyRichard’’sPrivateSignatureKeyEncryptedMessageDecryptmessageSally’scertificateMessagedigestDigitalSignatureDecryptSally’’sPublicSignatureKeyMessagedigestCompareRichard’’s(receiver’’s)computerSecureTransmissionSchemesinSSLandSETprotocolSymmetricKey內(nèi)容容提提要要9.1電子子商商務(wù)務(wù)安安全全的的持持續(xù)續(xù)性性要要求求9.2安全全是是各各方方都都須須考考慮慮的的問問題題9.3基本本安安全全問問題題9.4威脅脅和和攻攻擊擊的的種種類類9.5應(yīng)對(duì)對(duì)電電子子商商務(wù)務(wù)安安全全問問題題9.6電子子商商務(wù)務(wù)通通信信安安全全9.7安全全電電子子商商務(wù)務(wù)網(wǎng)網(wǎng)絡(luò)絡(luò)9.8管理理上上的的問問題題9.9案例例研研究究本章章作作業(yè)業(yè)9.7安全全電電子子商商務(wù)務(wù)網(wǎng)網(wǎng)絡(luò)絡(luò)安全全理理念念：：多層層保保護(hù)護(hù)，，網(wǎng)網(wǎng)絡(luò)絡(luò)關(guān)關(guān)鍵鍵節(jié)節(jié)點(diǎn)點(diǎn)應(yīng)應(yīng)該該采采用用多多種種技技術(shù)術(shù)手手段段訪問問控控制制，，最最小小特特權(quán)權(quán)原原則則，，默默認(rèn)認(rèn)情情況況下下不不允允許許訪訪問問網(wǎng)網(wǎng)絡(luò)絡(luò)資資源源角色安全全，應(yīng)該該基于用用戶在組組織中的的角色訪訪問網(wǎng)絡(luò)絡(luò)資源監(jiān)控，監(jiān)控網(wǎng)網(wǎng)絡(luò)的運(yùn)行給系統(tǒng)打補(bǔ)補(bǔ)丁，及時(shí)時(shí)升級(jí)，阻阻塞安全漏漏洞響應(yīng)團(tuán)隊(duì)，，組織需要要應(yīng)付安全全攻擊的團(tuán)團(tuán)隊(duì)防火墻，firewall由軟件和硬硬件組成的的隔離私有有網(wǎng)絡(luò)和公公共網(wǎng)絡(luò)的的網(wǎng)絡(luò)節(jié)點(diǎn)點(diǎn)非軍事化區(qū)區(qū)，demilitarizedzone，DMZDMZ是設(shè)在組織織內(nèi)部網(wǎng)絡(luò)絡(luò)和外部網(wǎng)網(wǎng)絡(luò)(互聯(lián)網(wǎng))之間的網(wǎng)絡(luò)絡(luò)區(qū)域，在在兩個(gè)網(wǎng)絡(luò)絡(luò)之間提供供由防火墻墻實(shí)施的規(guī)規(guī)則控制的的物理隔離離VPN，虛擬專用用網(wǎng)，virtualprivatenetworkVPN利用公共互互聯(lián)網(wǎng)傳輸輸信息，用用加密組件件保護(hù)通信信過程確保保私密性，，用認(rèn)證確確保信息沒沒有被篡改改并確保信信息來自合合法的來源源，用訪問問控制合適適網(wǎng)絡(luò)使用用者的身份份入侵檢測(cè)技技術(shù)，intrusiondetectionsystems，IDSIDS是監(jiān)視網(wǎng)絡(luò)絡(luò)或主機(jī)上上的活動(dòng)、、關(guān)注可以以活動(dòng)并給給予所觀察察到的情況況自動(dòng)采取取行動(dòng)的軟軟件蜜網(wǎng)和蜜罐罐蜜網(wǎng)和蜜罐罐蜜網(wǎng)(hon