[摘要] 電子商務(wù)作為一種以計(jì)算機(jī)網(wǎng)絡(luò)為基礎(chǔ)的全新的商務(wù)模式，它不可避免面臨著一系列的安全問(wèn)題。因此在構(gòu)筑網(wǎng)絡(luò)安全解決方案中一定要注重一個(gè)整體的策略，本文介紹了一種整體的安全架構(gòu)。

[關(guān)鍵詞] 電子商務(wù)防火墻數(shù)字簽名安全機(jī)制

電子商務(wù)源于英文ELECTRONIC COMMERCE，指的是利用簡(jiǎn)單、快捷、低成本的電子通訊方式，買(mǎi)賣(mài)雙方不謀面地進(jìn)行各種商貿(mào)活動(dòng)。

作為一種全新的商務(wù)模式，它有很大的發(fā)展前途，同時(shí)，這種電子商務(wù)模式對(duì)管理水平、信息傳遞技術(shù)都提出了更高的要求，其中安全體系的構(gòu)建又顯得尤為重要。如何建立一個(gè)安全、便捷的電于商務(wù)應(yīng)用環(huán)境，對(duì)信息提供足夠的保護(hù)，是商家和用戶都十分關(guān)注的話題。防火墻、VPN、數(shù)字簽名等，這些安全產(chǎn)品和技術(shù)的使用可以從一定程度上滿足網(wǎng)絡(luò)安全需求，但不能滿足整體的安全需求，因?yàn)樗鼈冎荒鼙Ｗo(hù)特定的某一方面，如防火墻的最主要的功能就是訪問(wèn)控制功能，VPN可以實(shí)現(xiàn)加密傳輸，數(shù)字簽名技術(shù)可以保證用戶身份的真實(shí)性和不可抵賴性等等。而對(duì)于網(wǎng)絡(luò)系統(tǒng)來(lái)講，它需要的是一種整體的安全策略，這個(gè)策略不僅僅包括安全保護(hù)，它還應(yīng)該包括安全管理、實(shí)時(shí)監(jiān)控、響應(yīng)和恢復(fù)措施，因?yàn)槟壳皼](méi)有絕對(duì)的安全，無(wú)論你的網(wǎng)絡(luò)系統(tǒng)布署的如何周密，你的系統(tǒng)總會(huì)有被攻擊和攻破的可能，而這時(shí)你會(huì)怎么辦呢？采取一些恢復(fù)措施，幫助你在最短的時(shí)間使網(wǎng)絡(luò)系統(tǒng)恢復(fù)正常工作恐怕是最主要的了。

防火墻、VPN、數(shù)字簽名等，這些安全產(chǎn)品和技術(shù)的使用可以從一定程度上滿足網(wǎng)絡(luò)安全需求，但不能滿足整體的安全需求，因?yàn)樗鼈冎荒鼙Ｗo(hù)特定的某一方面，如防火墻的最主要的功能就是訪問(wèn)控制功能，VPN可以實(shí)現(xiàn)加密傳輸，數(shù)字簽名技術(shù)可以保證用戶身份的真實(shí)性和不可抵賴性等等。而對(duì)于網(wǎng)絡(luò)系統(tǒng)來(lái)講，它需要的是一種整體的安全策略，在系統(tǒng)被攻擊導(dǎo)致癱瘓時(shí)，以最快的速度使網(wǎng)絡(luò)系統(tǒng)恢復(fù)正常工作是最主要的。因此在構(gòu)筑你的網(wǎng)絡(luò)安全解決方案中一定要注重一個(gè)整體的策略，下面我們將介紹一種整體的安全架構(gòu)。

一、整體架構(gòu)

這里我們介紹一種電子商務(wù)安全整體架構(gòu)，該架構(gòu)可以概括為一句話“一個(gè)中心，四個(gè)基本點(diǎn)”，一個(gè)中心就是以安全管理為中心，四個(gè)基本點(diǎn)是保護(hù)、監(jiān)控、響應(yīng)和恢復(fù)。這樣一種架構(gòu)機(jī)制囊括了從保護(hù)到在線監(jiān)控，到響應(yīng)和恢復(fù)的各個(gè)方面，是一種層層防御的機(jī)制，即使第一道大門(mén)被攻破了，還會(huì)有第二道、第三道大門(mén)，即使所有的大門(mén)都被攻破了，還有恢復(fù)措施，因此這種架構(gòu)可以為用戶構(gòu)筑一個(gè)整體的安全方案。

安全管理是中心，它滲透到四個(gè)基本點(diǎn)中去，而這四個(gè)基本點(diǎn)各占據(jù)電子商務(wù)安全的四個(gè)方面，即保護(hù)、監(jiān)控、響應(yīng)和恢復(fù)。安全管理指導(dǎo)四個(gè)基本點(diǎn)的工作，四個(gè)基本點(diǎn)體現(xiàn)和完成安全管理的任務(wù)，它們相輔相成，構(gòu)成一個(gè)完整的體系，滿足電子商務(wù)安全的整體需求。

1.安全管理

安全管理就是通過(guò)一些管理手段來(lái)達(dá)到保護(hù)網(wǎng)絡(luò)安全的目的。它所包含的內(nèi)容有安全管理制度的制定、實(shí)施和監(jiān)督，安全策略的制定、實(shí)施、評(píng)估和修改，以及對(duì)人員的安全意識(shí)的培訓(xùn)、教育等。

2.保護(hù)

保護(hù)就是采用一些網(wǎng)絡(luò)安全產(chǎn)品、工具和技術(shù)保護(hù)網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)和用戶。這種保護(hù)可以稱作靜態(tài)保護(hù)，它通常是指一些基本防護(hù)，不具有實(shí)時(shí)性，如在制定的安全策略中有一條，不允許外部網(wǎng)用戶訪問(wèn)內(nèi)部網(wǎng)的Web服務(wù)器，因此我們就可以在防火墻的規(guī)則中加入一條，禁止所有從外部網(wǎng)用戶到內(nèi)部網(wǎng)Web服務(wù)器的連接請(qǐng)求，這樣一旦這條規(guī)則生效，它就會(huì)持續(xù)有效，除非我們改變了這條規(guī)則。這樣的保護(hù)可以預(yù)防已知的一些安全威脅，而且通常這些威脅不會(huì)變化，所以稱為靜態(tài)保護(hù)。

3.監(jiān)控/審計(jì)

監(jiān)控就是實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)上正在發(fā)生的事情，這是任何一個(gè)網(wǎng)絡(luò)管理員都想知道的。審計(jì)一直被認(rèn)為是經(jīng)典安全模型的一個(gè)重要組成部分。審計(jì)是通過(guò)記錄下通過(guò)網(wǎng)絡(luò)的所有數(shù)據(jù)包，然后分析這些數(shù)據(jù)包，幫助你查找已知的攻擊手段、可疑的破壞行為，來(lái)達(dá)到保護(hù)網(wǎng)絡(luò)的目的。

監(jiān)控和審計(jì)是實(shí)時(shí)保護(hù)的一種策略，它主要滿足一種動(dòng)態(tài)安全的需求。因?yàn)榫W(wǎng)絡(luò)安全技術(shù)在發(fā)展的同時(shí)，黑客技術(shù)也在不斷的發(fā)展，因此網(wǎng)絡(luò)安全不是一層不變的，也許今天對(duì)你來(lái)說(shuō)安全的策略，明天就會(huì)變得不安全，因此我們應(yīng)該時(shí)刻關(guān)注網(wǎng)絡(luò)安全的發(fā)展動(dòng)向，以及網(wǎng)絡(luò)上發(fā)生的各種各樣的事情，以便及時(shí)發(fā)現(xiàn)新的攻擊，制定新的安全策略。有些人可能會(huì)認(rèn)為這樣就不需要基本的安全保護(hù)，這種想法是錯(cuò)誤的，因?yàn)榘踩Ｗo(hù)是基本，監(jiān)控和審計(jì)是其有效的補(bǔ)充，只有這兩者有效結(jié)合，才能夠滿足動(dòng)態(tài)安全的需要。

4.響應(yīng)

響應(yīng)就是當(dāng)攻擊正在發(fā)生時(shí)，能夠及時(shí)做出響應(yīng)，如向管理員報(bào)告，或者自動(dòng)阻斷連接等，防止攻擊進(jìn)一步的發(fā)生。響應(yīng)是整個(gè)安全架構(gòu)中的重要組成部分。因?yàn)榧词鼓愕木W(wǎng)絡(luò)構(gòu)筑的相當(dāng)安全，攻擊或非法事件也是不可避免的要發(fā)生的，所以當(dāng)攻擊或非法事件發(fā)生的時(shí)候，應(yīng)該有一種機(jī)制對(duì)此做出反應(yīng)，以便讓管理員及時(shí)了解到什么時(shí)候網(wǎng)絡(luò)遭到了攻擊，攻擊的行為是什么樣的，攻擊的結(jié)果如何，應(yīng)該采取什么樣的措施來(lái)修補(bǔ)安全策略，彌補(bǔ)這次攻擊的損失，以及防止此類攻擊再次發(fā)生。

5.恢復(fù)

當(dāng)入侵發(fā)生后，對(duì)系統(tǒng)造成了一定的破壞，如網(wǎng)絡(luò)不能正常工作、系統(tǒng)數(shù)據(jù)被破壞等，這時(shí)，必須有一套機(jī)制來(lái)及時(shí)恢復(fù)系統(tǒng)正常工作，因此恢復(fù)在電子商務(wù)安全的整體架構(gòu)中也是不可少的一個(gè)組成部分。恢復(fù)是最終措施，因?yàn)楣艏热灰呀?jīng)發(fā)生了，系統(tǒng)也遭到了破壞，這時(shí)只有讓系統(tǒng)以最快的速度運(yùn)行起來(lái)才是最重要的，否則損失將更為嚴(yán)重。

二、安全架構(gòu)的工作機(jī)制

在這個(gè)安全架構(gòu)中，五個(gè)方面是如何協(xié)調(diào)工作的呢？下面將以一個(gè)例子來(lái)介紹。假設(shè)有一個(gè)黑客欲攻擊一內(nèi)部網(wǎng)，這個(gè)內(nèi)部網(wǎng)整體安全架構(gòu)就如前面介紹的一樣，那么現(xiàn)在讓我們來(lái)看看這個(gè)安全架構(gòu)是如何工作來(lái)抵制黑客攻擊得。

首先，當(dāng)這個(gè)黑客開(kāi)始向內(nèi)部網(wǎng)發(fā)起攻擊的時(shí)候，在內(nèi)部網(wǎng)的最外面有一個(gè)保護(hù)屏障，如果保護(hù)屏障可以制止黑客進(jìn)入內(nèi)部網(wǎng)，那么內(nèi)部網(wǎng)就不可能受到黑客的破壞，別的機(jī)制就不用起作用，這時(shí)網(wǎng)絡(luò)的安全得以保證。

隨后，黑客通過(guò)繼續(xù)努力，可能獲得了進(jìn)入內(nèi)部網(wǎng)的權(quán)力，也就是說(shuō)他可能欺騙了保護(hù)機(jī)制而進(jìn)入內(nèi)部網(wǎng)，這時(shí)監(jiān)控/審計(jì)機(jī)制開(kāi)始起作用，監(jiān)控/審計(jì)機(jī)制能夠在線看到發(fā)生在網(wǎng)絡(luò)上的任何事情，它們能夠識(shí)別出這種攻擊，如發(fā)現(xiàn)可疑人員進(jìn)入網(wǎng)絡(luò)，這樣它們就會(huì)給響應(yīng)機(jī)制一些信息，響應(yīng)機(jī)制根據(jù)監(jiān)控/審計(jì)結(jié)果來(lái)采取一些措施，如立刻斷開(kāi)這條連接、取消服務(wù)、查找黑客通過(guò)何種手段進(jìn)入網(wǎng)絡(luò)等等，來(lái)達(dá)到保護(hù)網(wǎng)絡(luò)的目的。

最后，黑客通過(guò)種種努力，終于進(jìn)入了內(nèi)部網(wǎng)，如果一旦黑客對(duì)系統(tǒng)進(jìn)行了破壞，這時(shí)及時(shí)恢復(fù)系統(tǒng)可用將是最主要的事情了，這樣恢復(fù)機(jī)制就是必須的了。當(dāng)系統(tǒng)恢復(fù)完后，又是新一輪的安全保護(hù)開(kāi)始了。

而安全管理是如何體現(xiàn)出來(lái)的呢？安全管理在這個(gè)過(guò)程中一直存在，因?yàn)檫@四個(gè)基本點(diǎn)是借用安全工具來(lái)實(shí)現(xiàn)安全管理的，這四個(gè)基本點(diǎn)運(yùn)行的好壞，直接和安全管理相關(guān)，比方說(shuō)在保護(hù)這個(gè)基本點(diǎn)上，如果制定的安全保護(hù)策略周到詳細(xì)，也許黑客就沒(méi)有進(jìn)入內(nèi)部網(wǎng)的可能。所以安全管理是中心，四個(gè)基本點(diǎn)是安全管理的實(shí)施體現(xiàn)和實(shí)現(xiàn)。

這種架構(gòu)是保護(hù)了從攻擊的開(kāi)始到結(jié)束的各個(gè)方面的安全的架構(gòu)，它是依照攻擊的順序，在每個(gè)攻擊點(diǎn)上都有保護(hù)措施，從而實(shí)現(xiàn)了電子商務(wù)安全的整體架構(gòu)。

三、結(jié)束語(yǔ)

電子商務(wù)領(lǐng)域的安全問(wèn)題一直是備受關(guān)注的問(wèn)題，因此如何更好的解決這個(gè)問(wèn)題是推進(jìn)電子商務(wù)更好更快發(fā)展的動(dòng)力。但是因?yàn)榘踩珕?wèn)題是不斷發(fā)展變化的，所以解決安全問(wèn)題的手段也會(huì)不斷變化，但變化中有不變，這就是說(shuō)要解決的根本問(wèn)題是不變的，所以應(yīng)用這種架構(gòu)來(lái)保證電子商務(wù)的安全無(wú)疑是有效的。

參考文獻(xiàn):

[1]陳月波:電子商務(wù)概論.北京:清華大學(xué)出版社，1998

[2]林濤:網(wǎng)絡(luò)安全與管理.電子工業(yè)出版社，1999

[3]勞幗齡:電子商務(wù)的安全技術(shù).中國(guó)水利水電出版社，2000

[4]黃允聰林東:網(wǎng)絡(luò)安全基礎(chǔ).北京:清華大學(xué)出版社，1998

[5]樊成豐林東:網(wǎng)絡(luò)信息安全PGP加密.北京:清華大學(xué)出版社，1999

[6]劉曉敏:網(wǎng)絡(luò)環(huán)境下信息安全的技術(shù)保護(hù)，情報(bào)科學(xué)，1999

[7]龔儉王倩:計(jì)算機(jī)網(wǎng)絡(luò)安全導(dǎo)論.南京:東南大學(xué)出版社，2000

本文中所涉及到的圖表、注解、公式等內(nèi)容請(qǐng)以PDF格式閱讀原文。