M電子商務安全與欺詐防范

第9章

電子商務安全和欺詐防范內容提要9.1電子商務安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應對電子商務安全問題9.6電子商務通信安全9.7安全電子商務網(wǎng)絡9.8管理上的問題9.9案例研究本章作業(yè)內容提要9.1電子商務安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應對電子商務安全問題9.6電子商務通信安全9.7安全電子商務網(wǎng)絡9.8管理上的問題9.9案例研究本章作業(yè)9.1電子商務安全的持續(xù)性要求2004年，CSI和FBI的調查調查對象，494個在美國的各大公司、政府機構、金融機構、制藥機構、學校等調查結果和分析2001-2004年，攻擊計算機系統(tǒng)成功率呈下降趨勢，65%，53%每種類型攻擊的數(shù)量呈下降趨勢，病毒78-83%，內部80-59%由于受到攻擊或不當使用造成的經濟損失，2003年，2020億美元；2004年，1400億美元大部分企業(yè)采取各種技術手段和程序來防范網(wǎng)絡攻擊，包括殺毒軟件、防火墻、訪問控制列表、入侵檢測、數(shù)據(jù)加密等許多企業(yè)未向法律部門報告計算機入侵事件，2004年，報告者不到50%安全問題依然非常嚴峻2010年的調查結果分析惡意軟件是最常見的網(wǎng)絡攻擊方式金融欺詐數(shù)量有所下降，但是依然出現(xiàn)8.7%安全管理人員系統(tǒng)提高網(wǎng)絡、網(wǎng)絡應用軟件和網(wǎng)絡端口的可視化，例如日志管理、安全信息事件管理、安全儀表管理等近一半受訪者表示最近一年至少遇到一次安全事件受害者中45.6%舉報了安全攻擊事件安全事件發(fā)生之后，18.1%的受訪者通知了個人身份信息遭竊取，15.9%受訪者表示他們?yōu)橛脩艉涂蛻籼峁┝诵碌陌踩帐茉L者大多數(shù)認為規(guī)范操作對安全管理非常重要2011年電子商務安全管理關注電子商務交易中的欺詐惡意軟件(病毒、蠕蟲、木馬)的預防和檢測安全戰(zhàn)略和重組預算業(yè)務延續(xù)性、避免中斷、恢復能力數(shù)據(jù)保護、隱私保護、客戶和員工保護員工的疏忽和時間的浪費入侵的檢測和阻止數(shù)據(jù)泄露內容提要9.1電子商務安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應對電子商務安全問題9.6電子商務通信安全9.7安全電子商務網(wǎng)絡9.8管理上的問題9.9案例研究本章作業(yè)9.2安全是各方都須考慮的問題隨著注重技術環(huán)節(jié)的電子商務變得越來越復雜，其受到的攻擊概率大大增加了，技術部門不僅變得越來越脆弱，也越來越難以管理電腦黑客、行業(yè)間諜、公司內部交易者、國外政府機構、其他犯罪團體等利用這一狀況進行攻擊潛在犯罪行為的多樣化使得阻止?jié)撛诠粢约皞蓽y這種攻擊變得非常困難IDC數(shù)據(jù)：調查，2003年，全球安全費用超700億美元預測，2007年，960億美元內容提要9.1電子商務安全的持續(xù)性要求9.2安全是各方都須考慮的問題9.3基本安全問題9.4威脅和攻擊的種類9.5應對電子商務安全問題9.6電子商務通信安全9.7安全電子商務網(wǎng)絡9.8管理上的問題9.9案例研究本章作業(yè)9.3基本安全問題電子商務安全問題不僅僅是阻止或響應網(wǎng)絡攻擊和入侵，而且包括其他一系列的問題安全問題場景：如果某用戶連入某網(wǎng)站服務器以獲得產品信息，作為回報，用戶被要求填寫一張表單來提供一些統(tǒng)計資料和個人信息這種情況下，會產生哪些安全問題呢？安全問問題場場景從用戶戶視角角用戶如如何確確定網(wǎng)網(wǎng)絡服服務器器的所所有者者和操操作者者是合合法的的公司司呢？？用戶如如何知知道網(wǎng)網(wǎng)頁和和表格格不包包含一一些惡惡意或或危險險的代代碼與與內容容呢？？用戶如如何知知道網(wǎng)網(wǎng)站服服務器器的擁擁有者者不會會將其其提供供的個個人信信息泄泄露給給其他他人呢呢？從公司司視角角公司如如何知知道用用戶不不會試試圖闖闖入網(wǎng)網(wǎng)絡服服務器器或修修改網(wǎng)網(wǎng)站網(wǎng)網(wǎng)頁內內容呢呢？公司如如何知知道用用戶不不會試試圖干干擾網(wǎng)網(wǎng)站服服務器器從而而使得得其他他用戶戶無法法訪問問呢？？從用用戶戶和和公公司司雙雙方方視視角角用戶戶和和公公司司如如何何知知道道網(wǎng)網(wǎng)絡絡連連接接中中不不會會遭遭到到第第三三方方的的在在線線竊竊聽聽呢呢？？用戶和公公司如何何知道服服務器和和用戶瀏瀏覽器之之間傳遞遞的信息息不會在在中途被被修改呢呢？主要安全全問題認證，authentication用戶在網(wǎng)網(wǎng)站瀏覽覽網(wǎng)頁時時，如何何確定網(wǎng)網(wǎng)站不是是欺騙呢呢？一個實體體驗證另另一個實實體身份份與其所所聲稱的的身份一一致，認認證授權，authorization授權可保保證用戶戶或程序序訪問并并獲得特特定的資資源審查，auditing審查就是是收集試試圖獲取取特殊資資源、利利用特定定權限或或進行安安全活動動的信息息的過程程審查提供供了一種種再現(xiàn)行行為詳細細信息的的方法保密性，，confidentiality，privacy保密性是是指私人人或敏感感信息不不應該向向未授權權人、實實體或計計算機軟軟件處理理系統(tǒng)透透露完整性，，integrity數(shù)據(jù)在轉轉移或存存儲后可可能會被被修改或或破壞保護數(shù)據(jù)據(jù)在未授授權或突突發(fā)事件件中不被被修改或或破壞的的能力，，叫完整整性可用性，，availability在線網(wǎng)站站的可用用性是指指如果個個人或程程序需要要數(shù)據(jù)時時他們可可以訪問問網(wǎng)頁、、數(shù)據(jù)或或服務不可否認認性，nonrepudiation如果某人人通過公公司網(wǎng)站站并且通通過信用用卡支付付貨款，，這個人人可能會會聲稱自自己沒有有下訂單單不可否認認性是指指限制合合法交易易被拒絕絕的能力力電子商務務網(wǎng)站的的普通安安全問題題內容提要要9.1電子商務務安全的的持續(xù)性性要求9.2安全是各各方都須須考慮的的問題9.3基本安全全問題9.4威脅和攻攻擊的種種類9.5應對電子子商務安安全問題題9.6電子商務務通信安安全9.7安全電子子商務網(wǎng)網(wǎng)絡9.8管理上的的問題9.9案例研究究本章作業(yè)業(yè)9.4威脅和攻攻擊的種種類攻擊分為為兩種類類型：非技術型型攻擊技術型攻攻擊非技術型型攻擊，，nontechnicalattack指那些犯犯罪者利利用欺騙騙或其他他誘惑的的手段使使得人們們泄露敏敏感信息息或采取取降低網(wǎng)網(wǎng)絡安全全性的活活動也稱為社社會型攻攻擊技術型攻攻擊，technicalattack利用軟件件和系統(tǒng)統(tǒng)知識進進行技術術型攻擊擊計算機病病毒攻擊擊是一種種典型的的技術型型攻擊非技術型型攻擊：：社會型型攻擊IT工作人員員傾向于于關注網(wǎng)網(wǎng)絡安全全的技術術層面——防火墻、、加密、、數(shù)字簽簽名等，，然而多多數(shù)網(wǎng)絡絡的致命命弱點在在于其應應用人群群兩類社會會型攻擊擊：基于人的的社會型型攻擊(依靠傳統(tǒng)統(tǒng)的方法法，例如如面談或或電話)基于計算算機的社社會型攻攻擊(用很多計計謀誘惑惑用戶提提供敏感感信息)對付社會會型攻擊擊的方法法：教育與培培訓，策略與程程序，引引導員工工按規(guī)范范處理機機密信息息入侵檢測測，外部部專家扮扮演黑客客角色，，進行攻攻擊檢測測技術型攻攻擊拒絕服務務式攻擊擊攻擊者利利用特殊殊軟件向向目標計計算機發(fā)發(fā)送大量量數(shù)據(jù)包包，使目目標網(wǎng)站站資源超超負荷惡意代碼碼：病毒毒、蠕蟲蟲、特洛洛伊木馬馬病毒(virus)是一份將其其自身植入入一臺宿主主——包括操作系系統(tǒng)，進行行繁殖的代代碼。它不不能獨立運運營，需要要其宿主程程序被運行行從而激活活它。例如如，米凱朗朗基羅病毒毒由其生日日激活蠕蟲(worm)是一段能獨獨立運行、、為了維護護自身存在在會消耗主主機資源，，并且能復復制一個自自身的完全全工作版本本到另一臺臺機器上的的程序特洛伊木馬馬(Trojanhorse)是一種看起起來有用的的程序，但但是其包含含的隱藏功功能帶來了了安全風險險。這種程程序往往有有兩個組成成部分：一一個服務器器端和一個個客戶端。。服務器端端運行在被被攻擊計算算機上，客客戶端程序序用于控制制攻擊的程程序內容提要9.1電子商務安安全的持續(xù)續(xù)性要求9.2安全是各方方都須考慮慮的問題9.3基本本安安全全問問題題9.4威脅脅和和攻攻擊擊的的種種類類9.5應對對電電子子商商務務安安全全問問題題9.6電子子商商務務通通信信安安全全9.7安全全電電子子商商務務網(wǎng)網(wǎng)絡絡9.8管理理上上的的問問題題9.9案例例研研究究本章章作作業(yè)業(yè)9.5應對對電電子子商商務務安安全全問問題題公司司在在安安全全問問題題上上常常犯犯的的錯錯誤誤：：價值值被被低低估估的的信信息息(很少少有有組組織織對對特特殊殊信信息息資資產產的的價價值值有有清清晰晰的的了了解解)對安安全全邊邊界界的的定定義義過過于于狹狹窄窄(例如如，，僅僅關關注注內內部部網(wǎng)網(wǎng)安安全全，，忽忽視視了了供供應應鏈鏈合合作作伙伙伴伴的的安安全全)事后安安全管管理(許多組組織采采取事事后而而不是是事前前安全全管理理)過時的的安全全管理理程序序(安全機機制沒沒有及及時更更新或或更換換)缺乏關關于安安全責責任的的溝通通(安全問問題常常被認認為是是IT問題，，而不不是組組織問問題)安全風風險管管理識別關關鍵計計算機機、網(wǎng)網(wǎng)絡以以及信信息資資產的的系統(tǒng)統(tǒng)化過過程，，評估估對于于這些些資產產的風風險和和威脅脅，以以及切切實降降低安安全風風險和和威脅脅，稱稱為安安全風風險管管理安全風風險管管理的的步驟驟：定義資資產：：確定定關鍵鍵計算算機、、網(wǎng)絡絡和信信息資資產，，確認認這些些資產產的價價值風險評評估：：包括括識別別威脅脅、漏漏洞和和風險險實施：：按照照風險險發(fā)生生的可可能性性和潛潛在損損失進進行優(yōu)優(yōu)先級級排序序，提提出解解決辦辦法和和應對對策略略內容提提要9.1電子商商務安安全的的持續(xù)續(xù)性要要求9.2安全是是各方方都須須考慮慮的問問題9.3基本安安全問問題9.4威脅和和攻擊擊的種種類9.5應對電電子商商務安安全問問題9.6電子商商務通通信安安全9.7安全電電子商商務網(wǎng)網(wǎng)絡9.8管理上上的問問題9.9案例研研究本章作作業(yè)9.6電子商商務通通信安安全安全技技術手手段：：用來保保護網(wǎng)網(wǎng)絡通通信安安全的的技術術手段段用來保保護網(wǎng)網(wǎng)絡上上的服服務器器和客客戶機機安全全的技技術手手段訪問控控制與與身份份認證證訪問控控制，，確定定誰可可以合合法地地使用用某個個網(wǎng)絡絡的資資源以以及可可以使使用哪哪些資資源，，常用用訪問問控制制表(ACL)身份認認證，，確認認用戶戶身份份正是是其所所宣稱稱的那那樣。。確認認過程程基于于用戶戶特征征(某人所所了解解信息息(密碼)、某人人的所所有物物(憑證)、某人人其本本身(指紋))生物特特征識識別系系統(tǒng)公鑰基基礎設設施生物特特征識識別系系統(tǒng)biometricsystems生物特特征識識別系系統(tǒng)能能通過過搜索索生物物特征征數(shù)據(jù)據(jù)庫，，從眾眾多登登錄用用戶中中識別別出一一個人人，或或者系系統(tǒng)能能夠通通過匹匹配一一個人人的生生理特特征與與以前前存儲儲的數(shù)數(shù)據(jù)，，驗證證一個個人宣宣稱的的身份份生物物特特征征識識別別的的兩兩種種技技術術方方式式：：生理理特特征征識識別別技技術術：：指指紋紋掃掃描描、、虹虹膜膜掃掃描描、、面面部部掃掃描描行為為特特征征識識別別技技術術：：語語音音掃掃描描、、按按鍵鍵監(jiān)監(jiān)控控公鑰鑰基基礎礎設設施施publickeyinfrastructure，PKIPKI是電電子子支支付付的的基基石石私鑰鑰和和公公鑰鑰加加密密對稱稱密密鑰鑰加加密密公共共密密鑰鑰加加密密，，非非對對稱稱密密鑰鑰加加密密數(shù)字字簽簽名名數(shù)字字證證書書和和認認證證中中心心安全全套套接接層層MessagedigestEncryptDigitalSignaturemessagemessageSally’scertificateEncryptSymmetricKeyEncryptedMessageRichard’scertificateEncryptRichard’’spublicKeyDigitalEnvelopeSally’’s(sender’’s)computerEncryptedMessageDigitalEnvelopeMessageDigitalEnvelopeDecryptSally’’sPrivateSignatureKeyRichard’’sPrivateSignatureKeyEncryptedMessageDecryptmessageSally’scertificateMessagedigestDigitalSignatureDecryptSally’’sPublicSignatureKeyMessagedigestCompareRichard’’s(receiver’’s)computerSecureTransmissionSchemesinSSLandSETprotocolSymmetricKey內容容提提要要9.1電子子商商務務安安全全的的持持續(xù)續(xù)性性要要求求9.2安全全是是各各方方都都須須考考慮慮的的問問題題9.3基本本安安全全問問題題9.4威脅脅和和攻攻擊擊的的種種類類9.5應對對電電子子商商務務安安全全問問題題9.6電子子商商務務通通信信安安全全9.7安全全電電子子商商務務網(wǎng)網(wǎng)絡絡9.8管理理上上的的問問題題9.9案例例研研究究本章章作作業(yè)業(yè)9.7安全全電電子子商商務務網(wǎng)網(wǎng)絡絡安全全理理念念：：多層層保保護護，，網(wǎng)網(wǎng)絡絡關關鍵鍵節(jié)節(jié)點點應應該該采采用用多多種種技技術術手手段段訪問問控控制制，，最最小小特特權權原原則則，，默默認認情情況況下下不不允允許許訪訪問問網(wǎng)網(wǎng)絡絡資資源源角色安全全，應該該基于用用戶在組組織中的的角色訪訪問網(wǎng)絡絡資源監(jiān)控，監(jiān)控網(wǎng)網(wǎng)絡的運行給系統(tǒng)打補補丁，及時時升級，阻阻塞安全漏漏洞響應團隊，，組織需要要應付安全全攻擊的團團隊防火墻，firewall由軟件和硬硬件組成的的隔離私有有網(wǎng)絡和公公共網(wǎng)絡的的網(wǎng)絡節(jié)點點非軍事化區(qū)區(qū)，demilitarizedzone，DMZDMZ是設在組織織內部網(wǎng)絡絡和外部網(wǎng)網(wǎng)絡(互聯(lián)網(wǎng))之間的網(wǎng)絡絡區(qū)域，在在兩個網(wǎng)絡絡之間提供供由防火墻墻實施的規(guī)規(guī)則控制的的物理隔離離VPN，虛擬專用用網(wǎng)，virtualprivatenetworkVPN利用公共互互聯(lián)網(wǎng)傳輸輸信息，用用加密組件件保護通信信過程確保保私密性，，用認證確確保信息沒沒有被篡改改并確保信信息來自合合法的來源源，用訪問問控制合適適網(wǎng)絡使用用者的身份份入侵檢測技技術，intrusiondetectionsystems，IDSIDS是監(jiān)視網(wǎng)絡絡或主機上上的活動、、關注可以以活動并給給予所觀察察到的情況況自動采取取行動的軟軟件蜜網(wǎng)和蜜罐罐蜜網(wǎng)和蜜罐罐蜜網(wǎng)(hon