信息安全标准与安全技术应用(二)

丁芊芊

三、电子商务系统安全实例
    Ｓ系统是北美知名的网上银行系统，从提供基本的互联网对账服务开始，逐步增加了利息核对和储蓄账户、存款凭证、货币市场账户和信用卡等服务。该系统在大额存单（ＣＤ）和货币市场账户上的收益极为丰厚，特别突出的是客户渠道方面的表现，具有法定身份证明和能够上网的任何人都能成为 Ｓ系统的客户。Ｓ系统中的存款者来自全世界各大洲，而从传统银行那里，我们不可能看到这种情况。

    Ｓ系统提供了一个多层次、全方位的安全系统。在Ｓ系统的运营策略中，强调关注消费者对互联网安全的考虑。在设计Ｗｅｂ站点时，Ｓ系统特别注意去建立该站点“强大和安全”的形象，在Ｗｅｂ主页上设置了一个安全保卫图标。用户点击该图标时，就会出现安全体系结构的详细介绍及其工作原理的详细解释。客户还可以从这里了解到，Ｓ系统就像物理的银行分支机构一样获得了政府权威机构的完全许可。另外，Ｓ系统向存款人保证其资金的安全性，承诺对于未经授权的资金转移、银行错误或安全性破坏，它将提供１００％的赔偿。

    同时，Ｓ系统提供了三个层次的、军事级的安全系统，以保护在互联网上进行的交易。首先，通过公共网络传输的信息必须进行加密，以保护其私密性，确保信息在途中没有被修改。大多数的Ｗｅｂ浏览器都支持ＳＳＬ加密标准。ＳＳＬ提供了双向的能力，以确保信息的完整性和真实性。通过互联网在客户和银行之间传送数据时，加密提供了一种安全的通道，可以阻止其他人浏览或修改信息。除了保证数据的完整性外，通过使用数字证书，ＳＳＬ还提供了身份鉴别功能。客户可以确信，他们正在与Ｓ系统打交道，而不是假冒者。

    尽管该过程听起来有点复杂，但客户甚至不会意识到这些步骤的存在。浏览器能够识别证书的有效性，如果有人假冒，那么只能发送伪造的证书或者并不发送证书。这样，浏览器就会警告客户，他可能进入了一个无效站点。

    在安全体系结构中，防火墙和过滤路由器构成了该体系结构的第二层。就像武装警卫的作用一样，防火墙在外部互联网和内部客户服务网之间构筑了一道屏障。为了保证内部客户服务地址不被外部访问，所有进入的信息都要经过防火墙。通过防火墙的通信要经过一个特殊的电子邮件代理程序（其运行方式就如同一个过滤路由器），以验证各信息包的信息源和目的地址。然后，代理程序改变信息包的地址，并把它发送到客户服务网络中的适当地址。

这样，外部观察者就看不到银行的内部网络结构。过滤路由器验证从互联网上接收到的各个信息包的信息源和目的地址，并且确定是否允许该信息包通过。如果信息包并不指向特定的、可用的服务，那么过滤路由器将拒绝访问。路由器将公司局域网和不可靠的互联网隔开，能够阻止诸如Ｐｉｎｇ ｏｆ Ｄｅａｔｈ和ＳＹＮＦＬＯＯＤ这样的针对ＷＷＷ服务器的攻击。但是，路由器不能完全阻止ＨＴＴＰ连接，否则没有客户可以访问公司的主页。正因如此，还部署了漏洞扫描和入侵检测系统来防范非法攻击。比如，ｔｅｓｔ．ｃｇｉ和ｐｈｆ都是比较经典的攻击方法，他们通过ＨＴＭＬ形式输入数据并提交给ＣＧＩ程序执行，从而实现攻击目的。ＷＷＷ服务器可以通过关闭不必要的网络协议而配置的更加安全，在它之前还可以配置一个路由器以抵御攻击。然而，假如安装了错误的ＣＧＩ脚本或其他程序，上述方法均不能抵御攻击，就只能通过漏洞扫描和实时入侵检测来尽快发现和解决问题。

    在加密（起着装甲的作用）、防火墙和过滤路由器（起着武装警卫的作用）之外，可信的软件系统为存储在银行（如同保管库）的信息提供了保护。这个可信的软件系统担当了代理服务器，代理某个程序而采取行动。例如，在传统的银行业务中，客户并不走进银行的保管库去提取现金，而是由柜员代理。柜员验证客户身份，给付现金，并取得客户签名，以作为该笔交易的证明。在确保客户账户的安全性方面，可信的软件系统采取了相似的，或是更进一步的做法，即隔离客户账号，这类似于为每个账户提供一个保管箱。如果某人能够“闯入”互联网银行，那么他只能访问一个账户，而不能访问整个“保管库”。这样，未经授权的人只能以电子方式将资金发往某个可追寻的地址。为了获得该笔资金，该人在“闯入”时可能要付出很高的代价（在时间和金钱方面），这可能比他从单人账户中获得的还要多。

    此外，对Ｓ系统正确交付服务所必需的所有ＩＴ产品都建立了控制和备份管理，支持多级别权限控制的配置管理。在生产线遭入侵后能迅速恢复配置项的最新档案版本，保证从配置库中正确地创建新的可靠生产系统，或在相同权限控制级别的产品组间共享和传送配置项，最大限度地减少被侵入系统所受的影响。同时，具有适当的流程，通过生产线与配置库的对比，确保已得逞的入侵会被检测到，并且恰当地采取防范措施。
    随着ＩＴ系统在企业中越来越处于关键地位，即使是最小的中断——关键业务系统几分钟停用或是几小时的服务质量低劣，都有可能带来严重后果。目前，各行各业对信息安全的重要性有了全新的认识，相关的标准规范正在形成，投资力度在加大，安全技术、产品、市场在发展。我们相信，通过借鉴各项国际标准和优秀的实践成果，在技术与产品、人员与管理、流程与体系三个环节进行综合规划，我们一定能建立完善的信息安全治理体系，全面、系统地提高信息安全水平。

网络888

mucc

知道