电子商务安全（第二版）第16章电子商务系统审核与取证

1、 第16章 电子商务系统审核与取证本章主要内容：）学习目标1. 了解安全审核内容与安全审核种类2熟悉安全审核日志的内容及管理3了解电子商务系统安全取证技术4熟悉电子商务系统常用 的取证工具电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述16.1 安全审核概述16.1.1 安全审核内容审核是电子

2、商务系统安全的重要措施。所谓电子商务系统审核是指在电子商务系统中有关机构和部门对电子商务系统活动和日志进行识别、记录、分析和跟踪的一种机制。1）安全审核的目的对系统进行有针对性的记录、追踪和审查从中发现问题，为可能产生的破坏性行为提供有力的证据，对发生的电子商务行为留下凭证，为制定信息过滤规则提供依据。（1）不可否认。防止用户对访问过某信息或执行过某一操作进行否认。（2）可审核性。采用信息留底，内容过滤等机制进一步保证信息的可追溯性及可审核性。2）安全审核的主要功能（1）检测电子商务发生的过程、记录支付凭证。（2）记录、跟踪系统的运行情况。（3）监测、捕捉各种安全事故。（4）保存、维护和管理审

3、核日志。（5）提供系统恢复和相应的依据 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述16.1.2 安全审核种类1）基于系统的安全审核（1）操作系统审核。（2）电子商务系统审核。（3）电子支付审核。2）基于网络的安全审核3）CA安全审核（1）记录事件类型。（2）定期证书管理。（3）处理记录。（4）审核记录与保存审核记录。（5）审核资料收集系统。（6）弱点分析。 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全

4、取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述16.2 安全审核日志16.2.1 审核日志概述日志（audit logs）在电子商务系统安全中具有重要的地位。所谓的安全审核日志是一个比较特殊的文件。该文件详细记录系统每天发生的各种各样的事情，用户可以通过日志纪录来检查系统运行错误发生的原因，收集攻击者对系统实施攻击时留下的痕迹。 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述16.2.2 审核日

5、志的管理日志访问控制日志数据的访问控制同一般访问控制一样，主要确定谁可以访问受保护数据以及系统如何识别授权用户等。为了防止攻击者修改日志记录，应当建立一种难以修改的日志策略。由以下方式可供选择。（1）将日志写入到某一种单向写入设备，或者复制到另一台安全的登陆服务器。这是一种最简单的方法。（2）使用syslog协议可以提供一种可扩展性的方案。目前许多路由器和防火墙产品中都采用syslog作为日志策略工具。这种方式为管理员集中管理日志提供了一种通用的方法，如管理员可以将所有的主机日志都发送到一台受保护的集中控制的syslog登陆服务器上，为安全人员提供了一种单点访问日志数据的途径。syslog服务

6、器允许进入的只有514（syslog端口）端口的UDP数据包。syslog策略是将系统日志发往另一台独立的安全机器，这样入侵者就不太容易找到其入侵痕迹了，当然也就难以消除其痕迹了。（3）使用第三方日志工具。这种方法有两个优点：第三方日志工具难以破解。第三方日志的工具日志可以独立于系统日志，这样就可以通过比较两方的差异，来判断系统是否遭受到攻击。 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述16.2.3 syslog日志远程存储syslog系统日志也

7、叫做syslog协议，是在一个IP网络中转发日志信息的工业标准的协议，允许一个设备通过IP网络把通告信息传递给事件信息接收者（也称之为“syslogd”，“syslog daemon”或“日志服务器”）。syslog是一个简单协议，常用来管理计算机系统和安全审计，并且已经获得了大量设备和接收装置跨越多个平台和操作系统的支持。因此，syslog可用来将日志数据从多种不同类型的系统整合到一个存储中心。 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述16.

8、3.1取证技术概述取证步骤（1）保护现场和目标计算机。对受到攻击的系统要在第一时间封存现场及相关计算机系统，进行物理取证。（2）获取证据。证据的获取是从众多的未知和不确定性中找到确定性的事物，即利用数据恢复、解密、网络数据捕获等功能的软硬件工具从原始数据（日志、文件等）中找出电子证据。（3）鉴定和保护证据。鉴定证据主要是解决证据的完整性验证和确定其是否符合可采用的标准。由于电子证据可能被不留痕迹的修改或破坏，因此在取证过程中应采取保护证据的措施，既要防止有价值的证据文件永久丢失，也要保证数据的完整性。（4）分析电子证据。静态证据分析的内容包括相关数据、程序文件、备份、交易记录、电子签名、系统日

9、志、防火墙日志、服务器日志、IP地址、聊天纪录、时间戳和数字水印等。动态证据分析内容包括系统登陆文件、应用登陆文件、网络单元登陆（network element logs）等，采用入侵检测系统进行系统监测，通过相关的设备或设置陷阱跟踪供给来源（IP地址）。（5）提交结果。在取证的最后阶段应整理取证分析的结果与相应的证据供法庭（或有关部门）作为诉讼依据。在处理电子证据的过程中，为保证证据的可信度，必须对各个步骤的情况进行归档，以使证据经得起相关部门的质询。 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志

10、概述安全审核日志安全审核种类安全审核内容安全审核概述16.3.2取证工具电子取证融合了磁盘数据恢复、密码、安全操作系统等技术领域，取证工具的开发与应用近年来得到了快速发展。对取证工具的基本要求是：证据获取、数据分析、数据搜索、邮件处理、自动报告和证据存档。取证工具分为一般工具软件和取证专用工具软件。（1）一般工具软件。杀毒软件、压缩工具软件和检测分区软件均属于一般工具软件。（2）取证专用工具软件。镜像工具软件：逐位拷贝以建立整个驱动器的映像以满足取证分析，例如ghost等。磁盘擦除工具：在使用取证分析机器之前确保驱动器中不包含残余数据，要保证把盘中每一扇区的数据清除干净。文件浏览软件：用来查看

11、各种数据文件和电子邮件文档。文本搜索工具：具有搜索各种文本文件的能力，例如搜索outlook的.pst文件。图片检查工具：要求具有很好的图片检查的功能。取证程序：专用工具同时具有搜集和分析数据的能力。推断文件系统中的访问行为、扫描磁盘中有隐藏属性的文件、数据流及登陆地点的远近等。（3）取证工具的法律效力。保证取证工具的法律效力是取证的一般原则，可以从以下四个方面考察：是否能够进行测试及有否测试结果。程序的错误率是否已知。程序是否已经公开并接受相关部门的审核。程序是否被相关的科学团体广泛接受。 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证sysl

12、og日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述16.3.3反取证技术反取证技术目的是删除或隐藏证据，使取证过程艰难或取证结果失效。反取证一般通过下述三种途径：（1）数据擦除：常用的有效反取证技术方法，主要清除所有的原始证据。使取证工作无法进行。（2）数据隐藏：将证据文件伪装成其他类型的文件或隐藏在图形、声音文件中；将数据文件隐藏在磁盘的隐藏空间内。（3）加密文件：为避免取证人员有充分的证据分析出黑客程序的作用而对可执行文件进行的加密。在程序运行前先执行一个文本解密程序，来解密被加密的代码，而被解密的代码可能是黑客程序，也可能是另一个解密程序。上述的目

13、的是不让取证人员有充分的证据可以分析出这些程序的作用。可见反取证技术会给取证工作带来很大的困难，这是在制定取证方案时不容忽略的问题，也是取证过程中需要注意的问题。 第16章 电子商务系统审核与取证电子商务安全反取证技术取证工具取证技术概述电子商务系统安全取证syslog日志远程存储审核日志的管理审核日志概述安全审核日志安全审核种类安全审核内容安全审核概述本章小结在电子商务安全系统中，身份认证、访问控制和审核共同建立了保护系统安全的基础。身份认证是指用户向系统出示自己的身份证明和系统查核用户身份证明的过程；访问控制是指在鉴别用户的合法身份后，控制用户对数据项的访问的过程，而审核与取证是对电子商务过程的记录和鉴别。对发生的电子商务行为留下凭证，为制定信息过滤规则提供依据。本章主要讨论审核和取证的概念和技术。首先介绍安全审核的内容和安全审核种类，然后讨论了安全审核日志、审核日志的管理和日志的远程存储，最后介绍了电子商务系统的安全取证技术与工具。复习思考题1请说明电子商务安全审核体系的主要内容。2审核日志在