电子商务安全与支付 6 服务器安全.ppt

第6章服务器安全 6 1对服务器的安全威胁6 2访问控制和认证6 3常见企业级防火墙介绍6 4常见企业级防火墙的使用方法6 5常见的入侵检测方法 6 1对服务器的安全威胁 6 1 1对WWW服务器的安全威胁6 1 2对数据库的安全威胁6 1 3对公用网关接口的安全威胁6 1 4对其他程序的安全威胁 客户机 互联网 服务器的电子商务链上第三个环节是服务器 对企图破坏或非法获取信息的人来说 服务器有很多弱点可被利用 其中一个入口是WWW服务器极其软件 其他入口包括任何有数据的后台程序 如数据库和数据库服务器 也许最危险的入口是服务器上的公用网关接口程序或其他工具程序 6 1 1对WWW服务器的安全威胁WWW服务器软件是用来响应HTTP请求进行页面传输的 虽然WWW服务器软件本身并没有内在的高风险性 但其主要设计目标是支持WWW服务和方便使用 所以软件越复杂 包含错误代码的概率就越高 有安全漏洞的概率也就越高 安全漏洞是指破坏者可因之进入系统的安全方面的缺陷 在大多数情况下 WWW服务器提供的是在低权限下能完成的普通服务和任务 6 1 2对数据库的安全威胁电子商务系统以数据库存储用户数据 并可从WWW服务器所连的数据库中检索产品信息 数据库服务器实际上是每一个电子交易 金融和企业资源规划系统的基础 数据库除存储产品信息外 还可能保存有价值的信息或隐私信息 如果被更改或泄露会对公司带来无法弥补的损失 1 数据库安全问题的重要性 1 保护系统敏感信息和数字资产不受非法访问 2 数据库是个极为复杂的系统 因此很难进行正确的配置和安全维护 3 保障数据库服务器上的网络和操作系统数据安全是至关重要的 4 拙劣的数据库安全保障设施不仅会危及数据库的安全 还会影响到服务器的操作系统和其他信用系统 5 数据库是新型电子交易 企业资源规划和其他重要商业系统的基础 2 数据库的漏洞传统的数据库安全系统只侧重于以下几项 用户帐户 作用和对特定数据库目标的操作许可 必须对数据库系统做范围更广的彻底安全分析 找出所有可能领域内的潜在漏洞 包括以下提到的各项内容 1 与销售商提供的软件相关的风险 软件的BUG 缺少操作系统补丁 脆弱的服务和选择不安全的默认配置 2 与管理有关的风险 可用的但并未正确使用的安全选项 危险的默认设置 给用户更多的不适当的权限 对系统配置的未经授权的改动 3 与用户活动有关的风险 密码长度不够 对重要数据的非法访问以及窃取数据库内容等恶意行动 3 数据库安全 漏洞区域及示例 1 安全特征不够成熟 2 数据库密码的管理 3 操作系统的后门 4 校验 5 特洛伊木马程序 6 1 3对公用网关接口的安全威胁公用网关接口 CGI 它可实现从WWW服务器到另一个程序的信息传输 CGI和接受它所传输数据的程序为网页提供了活动内容 因为CGI是程序 如果滥用就会带来安全威胁 6 1 4对其他程序的安全威胁1 对服务器的攻击可能来自服务器上所运行的程序 例 蠕虫2 溢出攻击就是将指令写在关键的内存位置上 使侵入的程序在完成了覆盖缓存内容后 WWW服务器通过载入记录攻击程序地址的内部寄存器来恢复执行 例 邮件服务器 3 DNS对服务器的威胁 1 名字欺骗 2 信息隐藏解决以上两个问题的办法主要有两种 1 直接利用DNS软件本身具备的安全特性来实现 2 以防火墙 NAT为基础 并运用私有地址和注册地址的概念 6 2访问控制和认证 6 2 1入网访问控制6 2 2权限控制6 2 3目录级安全控制6 2 4属性安全控制6 2 5服务器安全控制 访问控制和认证是指控制访问电子商务服务器的人和访问内容 访问控制是网络安全防范和保护的主要策略 它的主要任务是保证网络资源不被非法使用和访问 它是保证网络安全最重要的核心策略之一 访问控制涉及的技术也比较广 包括入网访问控制 网络权限控制 目录级控制以及属性控制等多种手段 6 2 1入网访问控制入网访问控制为网络访问提供了第一层访问控制 它控制哪些用户能够登录到服务器并获取网络资源 控制准许用户入网的时间和准许他们在哪台工作站入网 用户的入网访问控制可分为三个步骤 用户名的识别与验证 用户口令的识别与验证 用户帐号的缺省限制检查 三道关卡只要任何一关未过 该用户便不能进入该网络 6 2 2权限控制网络的权限控制是针对网络非法操作所提出的一种安全保护措施 用户和用户组被赋予一定的权限 网络控制用户和用户组可以访问哪些目录 子目录 文件和其他资源 可以指定用户对这些文件 目录 设备能够执行哪些操作 我们可以根据访问权限将用户分为以下几类 特殊用户 系统管理员 一般用户 审计用户 6 2 3目录级安全控制网络应允许控制用户对目录 文件 设备的访问 用户在目录一级指定的权限对所有文件和子目录有效 用户还可进一步指定对目录下的子目录和文件的权限 对目录和文件的访问权限一般有八种 系统管理员权限 读权限 写权限 创建权限 删除权限 修改权限 文件查找权限 访问控制权限 6 2 4属性安全控制当用文件 目录和网络设备时 网络系统管理员应给文件 目录等指定访问属性 属性安全在权限安全的基础上提供更进一步的安全性 属性往往能控制以下几个方面的权限 向某个文件写数据 拷贝一个文件 删除目录或文件 查看目录和文件 执行文件 隐含文件 共享 系统属性等 6 2 5服务器安全控制服务器安全控制通常是采用服务器认证方法来实现的 服务器认证就是验证期望访问计算机的人的身份 一般用数字证书进行验证 第一 证书是用户的许可证 第二 服务器检查证书上的时间标记以确认证书未过期 并拒绝为过期证书提供服务 第三 服务器可使用回叫系统 即根据用户名和为其指定的客户机地址的清单来核对用户名和客户机地址 6 3常见企业级防火墙介绍 6 3 1选择防火墙的要求6 3 2选购防火墙应该注意的问题6 3 3防火墙的局限6 3 4常见企业级防火墙产品介绍 6 3 1选择防火墙的要求1 防火墙应具备的基本功能支持 除非明确允许 否则就禁止 的设计策略 即使这种策略不是最初使用的策略 本身支持安全策略 而不是添加上去的 如果组织机构的安全策略发生改变 可以加入新的服务 有先进的认证手段或有挂钩程序 可以安装先进的认证方法 如果需要 可以运用过滤技术允许和禁止服务 可以使用FTP和TELNET等服务代理 以便先进的认证手段可以被安装和运行在防火墙上 拥有界面友好 易于编程的IP过滤语言 并可以根据数据包的性质进行包过滤 2 其他功能防火墙应该能够集中和过滤拨入访问 并可以记录网络流量和可疑的活动 此外 为了使日志具有可读性 防火墙应具有精简日志的能力 6 3 2选购防火墙应该注意的问题防火墙作为网络安全体系的基础和核心控制设备 它贯穿于受控网络通信主干线 因此 选用一个安全 稳定和可靠的防火墙产品 其重要性不言而喻 1 防火墙自身是否安全防火墙自身的安全性主要体现在自身设计和管理两个方面 防火墙安全指标最终可归结为以下两个问题 1 防火墙是否基于安全的操作系统 2 防火墙是否采用专用的硬件平台 2 系统是否稳定可以从以下几个渠道获得 1 国家权威的测评认证机构 如公安部计算机安全产品检测中心和中国国家信息安全测评认证中心 2 与其他产品相比 是否获得更多的国家权威机构的认证 推荐和入网证明 3 施加调查 这是最有效的方法 考察使用单位和用户对该防火墙的评价 4 自己试用 5 厂商开发研制的历史 6 厂商的实力 3 防火墙是否高效高性能是防火墙的一个重要指标 它直接体现可防火墙的可用性 也体现可用户使用防火墙所需付出的安全代价 4 防火墙是否可靠可靠性对防火墙类访问控制设备来说尤为重要 其直接影响受控网络的可用性 5 防火墙功能是否灵活对通信行为的有效控制 要求防火墙设备有一系列不同级别 满足不同拥护的各类安全控制要求的控制注意 控制注意的有效性 多样性 级别目标的清晰性 制定的难易性和经济性等 体现着控制注意的高效和质量 6 防火墙配置是否方便防火墙有没有简洁的安装方法呢 有 就是支持透明通信的防火墙 7 防火墙管理是简便提供灵活的管理方式和方法 通常体现为管理途径 管理工具和管理权限 8 防火墙是否可以抵抗解决服务攻击拒绝服务攻击可以分为两类 一类是由于操作系统或应用软件本身设计或编程上的缺陷而造成的 由此带来的攻击种类很多 只有通过打补丁的办法来解决 另一类是由于TCP IP协议本身的缺陷造成的 只有有数的几种 但危害性非常大 9 防火墙是否可以针对用户身份进行过滤10 防火墙是否具有可扩展 可升级性下面是选购一个防火墙时 应该考虑的其他因素 1 网络受威胁的程度 2 若入侵者闯入网络 将要受到的潜在的损失 3 其他已经用来保护网络极其资源的安全措施 4 由于硬件湖软件失效 或防火墙遭到 拒绝服务侵袭 而导致用户不能访问因特网 造成整个机构的损失 5 机构所希望提供给因特网的服务 以及希望能从因特网得到的服务 6 可以同时通过防火墙的用户数目 7 站点是否有经验丰富的管理员 8 今后可能的要求 如要求增加通过防火墙的网络活动或要求新的因特网服务 6 3 3防火墙的局限我们在利用防火墙的各种益处的同时也应该意识到防火墙的局限 有时防火墙会给人一种虚假的安全感 导致在防火墙内部放松安全警惕 而许多攻击正是内部犯罪 这是任何基于隔离的防范措施都无能为力的 同样 防火墙也不能解决进入防火墙的数据带来的所有安全问题 6 3 4常见企业级防火墙产品介绍在国际防火墙市场上 能够占有两位数市场份额的厂家就只有CHECKPOINTSOFTWARE公司和CISCO公司 它们的市场占有率都在百分之二十左右 其他厂家比如AXENT公司 NETWORKASSOCIATES公司CYBERGUARD公司等的市场份额都在百分之五左右 在我国国内市场 占有优势的仍旧是国外的防火墙产品 从2000年开始 国内的防火墙产品纷纷出台 出现了许多专业防火墙公司 如东方龙马 天融信公司等 1 CHECKPOINTFIREWALL 1厂家 CHECKPOINT软件技术有限公司网址 基本特性 1 软件防火墙 2 通用平台支持广泛 3 状态检测 4 结合了多种安全机制 5 一个开放的系统 6 性能好 7 优秀的用户管理方式 2 CISCOSECUREPIXFIREWALL厂家 CISCO系统公司网址 基本特性 1 硬件防火墙 2 专用系统 3 性能 是同类产品中最好的 对100baset可达线速 4 管理模块能力没有CHECKPOINT防火墙管理模块那么强劲 3 NETSCREENFIREWALL厂家 NETSCREEN公司网址 基本特性 1 硬件防火墙 2 集成了防火墙 VPN 流量控制三种功能 3 将防火墙 虚拟专用网 网络流量控制和宽带接入这些功能全部集成在专有的一体硬件中 该项技术能有效消除传统防火墙实现数据加密时的性能瓶颈 4 配置可在网络上任何一台带有浏览器的机器上完成 4 NAIGAUNTLET防火墙厂家 NAI公司网址 基本特性 1 软件的防火墙 2 应用层代理 3 提出集成防病毒产品的解决方案 5 天融信公司网络卫士防火墙北京天融信公司的网络卫士是我国第一套自主版权的防火墙系统 目前在我国电信 电子 教育 科研等单位广泛使用 它由防火墙和管理器组成 6 紫光UNISFIREWALL基本特性 1 网络地址转换 NAT 2 中立区 DMZ 策略 3 多级过滤 动态过滤和代理 4 URL过滤 5 基于SSL的浏览器管理界面 允许通过流行的WEB浏览器使用HTTP协议管理和配置防火墙 保证了防火墙管理的安全性和易用性 支持浏览器超时退出的功能 保证了管理员离开管理计算机后的安全 6 访问记录 7 传输定制 7 东大阿尔派NETEYE基本特性 1 强大的过滤功能 提供了包过滤规则的时间属性 以限制网络访问的时间 2 面向对象的可视化的规则编辑和管理工具 全新的可视化的管理和配置概念 3 双机热备份 即在同一个网络节点使用两个配置相同的防火墙 4 双向NAT功能 支持在内部网和DMZ区使用保留的IP地址 通过动态的地址转换功能实现对外部网的访问 5 提供三个网络界面 即内网 外网和DMZ区 6 实时入侵检测 可以有效地防范外部黑客对内部网络的攻击 提高了被保护网络的安全性 7 对防火墙用户的一次性口令验证 8 东方龙马防火墙基本特性 1 动态设置过滤规则的功能 2 双向的网络地址转换功能 同时支持一对一的静态地址映射和多对一的动态地址映射两种方式的地址转换 3 抗攻击和自我保护能力强 4 提供操作简单的图形化用户界面对防火墙进行配置 5 采用负载均衡技术 可以智能地将用户的服务请求分布到多台服务器上面 同时 提供容错功能 可以自动隔离出有问题的服务器 6 通过双机热备份 提供可靠的容错 热待机功能 7 提供创新的URL级统计 屏蔽功能 管理员可以根据上述内容控制的统计结果 手动或计算机自动屏蔽某些URL 6 4常见企业级防火墙的使用方法 6 4 1FIREWALL 16 4 2CISCOPIX防火墙 6 4 1FIREWALL 1一 FIREWALL 1产品组成包括以下模块 1 基本模块状态检测模块 提供访问控制 客户机认证 会话认证 地转换和审计功能 防火墙模块 包含一个状态检测模块 另外提供用户认证 内容安全和多防火墙同步功能 管理模块 对一个或多个安全策略执行点提供集中的 图形化的安全管理功能 2 可选模块连接控制 为提供相同服务的多个应用服务器提供负载平衡功能 路由器安全管理模块 提供通过防火墙管理工作站配置 维护3COM CISCO BAY等路由器的安全规则 其他模块 如加密模块等 3 图形用户界面 GUI 是管理模块功能的体现 包括 策略编辑器 维护管理对象 建立安全规则 把安全规则施加到安全策略执行点上去 日志查看器 查看经过防火墙的连接 识别并阻断攻击 系统状态查看器 查看所有被保护对象的状态 4 FIREWALL 1提供单网关和企业级两种产品组合 单网关产品 只有防火墙模块 管理模块和图形用户界面各一个且防火墙模块和管理模块必须安装在同一台机器上 企业级产品 可以有若干个基本模块和可选模块以及图形用户界面组成 特别是可能配置较多的防火墙模块和独立的状态检测模块 企业级产品的不同模块可以安装在不同的机器上 二 CHECKPOINT的主要特性 1 状态检测机制 2 OPSEC 3 企业级防火墙安全管理安全策略编辑器日志管理器系统状态查看器 4 分布的客户机 服务器结构 5 认证三种认证方法 用户认证客 户机认证 会话认证 6 地址转换 NAT 三种不同的地址转换模式 静态源地址转换静态目的地址转换动态地址转换 7 内容安全利用第三方的防病毒服务器 通过防火墙规则配置 扫描通过防火墙的文件 清除计算机病毒 根据安全策略 在访问WEB资源时 从HTTP页面剥离JAVA等代码 用户定义过滤条件 过滤URL 控制FTP的操作 过滤FTP传输的文件内容 SMTP的内容安全 可以设置在发现异常时进行记录或报警 通过控制台集中管理 配置 维护 8 连接控制ServerLoadRoundTripRoundRobinRandomDomain 9 路由器安全管理通过图形用户界面生成路由器的过滤和配置 引入 维护路由器的访问控制列表 记录路由器事件 在路由器上执行通过图形用户界面制定的安全策略 三 FIREWALL 1在WINDOWSNT下的安装第一 了解整个网络的拓扑结构 第二 安装防火墙主机操作系统 第三 安装防火墙 第四 定义网络对象 第五 配置防火墙主机的地址映射 第六 设定防火墙的安全策略 6 4 2CISCOPIX防火墙防火墙产品氛围硬件和软件两种 硬件防火墙采用专用的硬件设备 然后集成生产厂商的专用防火墙软件 软件防火墙一般基于某个操作系统平台开发 直接在计算机上进行软件的安装和配置 相对于软件防火墙而言 硬件防火墙往往能提供更优越的网络速度和性能 CISCO公司的PIX防火墙就是一种典型的企业级硬件防火墙 它优势有两点 第一 网络性能相当不错 第二 包含了丰富的基于IPSEC的VPN服务软件 不足之处是管理完全基于命令行方式 安装步骤如下 1 连接一台控制终端 2 获得最新PIX软件 3 配置网络路由 4 配置PIX 5 配置网络接口 6 允许内部用户访问外部网段 7 定义外部路由 8 允许使用PING命令 9 保存设置和重新启动 10 增加TELNET访问控制 11 增加服务器访问控制 12 控制内部网段对外的访问 6 5常见的入侵检测系统 6 5 1概述6 5 2常见的企业级网络入侵检测系统 6 5 1概述IntrusionDetectionSystem 入侵检测系统 顾名思义 便是对入侵行为的发觉 它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析 从中发现网络或系统中是否有违反