网络安全与信息安全浅析.doc

网络安全与信息安全浅析
网络安全
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。
一、主要特性
保密性
信息不泄露给非授权用户、实体或过程，或供其利用的特性。
完整性
数据未通过授权不能进行改变的特性。即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。
可用性
可被授权实体访问并按必需求使用的特性。即当必需要时能否存取所必需的信息。例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。
可控性
对信息的传播及内容具有控制能力。
可检察性
出现安全问题时提供依据与手段。
从网络运行和管理者角度说，希望对本地网络信息的访问、读写等操作受到保护和控制，避免出现“陷门〞、病毒、非法存取、拒绝服务和网络资源非法占用和非法控制等威胁，制止和防御网络黑客的攻击。对安全保密部门来说，他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵，避免机要信息泄露，避免对社会产生危害，对国家造成庞大损失。
随着计算机技术的迅速发展，在计算机上处理的业务也由基于单机的数学运算、文件处理，基于简单连接的内部网络的内部业务处理、办公自动化等发展到基于复杂的内部网〔Intranet〕、企业外部网〔Extranet〕、全球互联网〔Internet〕的企业级计算机处理系统和世界范围内的信息共享和业务处理。
在系统处理能力提升的同时，系统的连接能力也在不断的提升。但在连接能力信息、流通能力提升的同时，基于网络连接的安全问题也日益特别，整体的网络安全主要表现在以下几个方面：网络的物理安全、网络拓扑结构安全、网络系统安全、应用系统安全和网络管理的安全等。
因此计算机安全问题，应该像每家每户的防火防盗问题一样，做到防范于未然。甚至不会想到你自己也会成为目标的时候，威胁就已经出现了，一旦发生，常常措手不及，造成极大的损失。
二、市场规模
2021年全球网络安全市场规模有望达到956亿美元〔约合人民币5951.3亿元〕，并且在将来5年，年复合增长率达到10.3%，到2021年，这一数据有望触及1557.4亿美元〔约合人民币9695.1亿元〕。其中，到2021年，全球无线网络安全市场规模将达到155.5亿美元〔约合人民币969.3亿元〕，年复合增长率约12.94%。
从行业来看，航空航天、国防等领域仍将是网络安全市场的主要推动力量。从地区收益来看，北美地区将是最大的市场。同时，亚太地区、中东和非洲地区有望在一定的时机浮现更大的增长速度。
报告中指出，云服务的快速普及、无线通讯、公共事业行业的网络犯罪增加以及严格的政府监管措施出台都是这一市场发展的主要因素。因此，今后批准的网络安全解决方案将不断增加以防范和打击专业对手创造的先进和复杂的威胁。
此外，由于网络犯罪逐渐增长导致智力及金融资产的损失，并可能损害国家的基础设施和经济，因此云服务提供商和垂直行业，如能源，石油和天然气等都将加大网络安全解决方案的投入。
三、主要关系
通常，系统安全与性能和功能是一对矛盾的关系。如果某个系统不向外界提供任何服务〔断开〕，外界是不可能构成安全威胁的。但是，企业接入国际互连网络，提供网上商店和电子商务等服务，等于将一个内部封闭的网络建成了一个开放的网络环境，各种安全包括系统级的安全问题也随之产生。
构建网络安全系统，一方面由于要进行认证、加密、监听，分析、记录等工作，由此影响网络效率，并且降低客户应用的灵活性；另一方面也增加了管理费用。
但是，来自网络的安全威胁是实际存在的，特别是在网络上运行关键业务时，网络安全是首先要解决的问题。
全方位的安全体系：
与其它安全体系〔如保安系统〕类似，企业应用系统的安全体系应包涵：
访问控制：通过对特定网段、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。
检查安全漏洞：通过对安全漏洞的周期检查，即使攻击可到达攻击目标，也可使绝大多数攻击无效。
攻击监控：通过对特定网段、服务建立的攻击监控体系，可实时检测出绝大多数攻击，并采纳相应的行动〔如断开网络连接、记录攻击过程、跟踪攻击源等〕。
加密通讯：主动的加密通讯，可使攻击者不能了解、修改敏感信息。
认证：合格的认证体系可防止攻击者假冒合法用户。
备份和恢复：合格的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。
多层防御：攻击者在突破第一道防线后，延缓或阻断其到达攻击目标。
隐藏内部信息：使攻击者不能了解系统内的基本状况。
设立安全监控中心：为信息系统提供安全体系管理、监控，渠护及紧急状况服务。
四、安全分析
网络分析系统是一个让网络管理者，能够在各种网络安全问题中，对症下药的网络管理方案，它对网络中所有传输的数据进行检测、分析、诊断，帮助用户排除网络事故，规避安全风险，提升网络性能，增大网络可用性价值。
管理者不用再担心网络事故难以解决，科来网络分析系统可以帮助企业把网络故障和安全风险会降到最低，网络性能会逐步得到提升。
物理安全
网络的物理安全是整个网络系统安全的前提。在校园网工程建设中，由于网络系统属于弱电工程，耐压值很低。因此，在网络工程的制定和施工中，必必需优先合计保护人和网络设备不受电、火灾和雷击的侵害；合计布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离；合计布线系统和绝缘线、裸体线以及接地与焊接的安全；必必需建设防雷系统，防雷系统不仅合计建筑物防雷，还必必需合计计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有，地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获；高可用性的硬件；双机多冗余的制定；机房环境及报警系统、安全意识等，因此要注意这些安全隐患，同时还要尽量避免网络的物理安全风险。
网络结构
网络拓扑结构制定也直接影响到网络系统的安全性。假如在外部和内部网络进行通信时，内部网络的机器安全就会受到威胁，同时也影响在同一网络上的许多其他系统。透过网络传播，还会影响到连上Internet/Intranet的其他的网络；影响所及，还可能涉及法律、金融等安全敏感领域。因此，我们在制按时有必要将公开服务器〔WEB、DNS、EMAIL等〕和外网及内部其它业务网络进行必要的隔离，避免网络结构信息外泄；同时还要对外网的服务请求加以过滤，只同意正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。
系统的安全
所谓系统的安全是指整个网络操作系统和网络硬件平台是否可靠且值得信任。恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT或者其它任何商用UNIX操作系统，其开发厂商必定有其Back-Door。因此，我们可以得出如下结论：没有完全安全的操作系统。不同的用户应从不同的方面对其网络作详尽的分析，选择安全性尽可能高的操作系统。因此不但要选用尽可能可靠的操作系统和硬件平台，并对操作系统进行安全配置。而且，必必需强化登录过程的认证〔特别是在到达服务器主机之前的认证〕，确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。
应用系统
应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。
——应用系统的安全是动态的、不断变化的。
应用的安全涉及方面很多，以Internet上应用最为广泛的E-mail系统来说，其解决方案有sendmail、Netscape Messaging Server、SoftwareCom Post.Office、Lotus Notes、Exchange Server、SUN CIMS等不下二十多种。其安全手段涉及LDAP、DES、RSA等各种方式。应用系统是不断发展且应用类型是不断增加的。在应用系统的安全性上，主要合计尽可能建立安全的系统平台，而且通过专业的安全工具不断发现漏洞，修补漏洞，提升系统的安全性。
——应用的安全性涉及到信息、数据的安全性。
信息的安全性涉及到机密信息泄露、未通过授权的访问、破坏信息完整性、假冒、破坏系统的可用性等。在某些网络系统中，涉及到很多机密信息，如果一些重要信息遭到窃取或破坏，它的经济、社会影响和政治影响将是很严重的。因此，对用户使用计算机必必需进行身份认证，关于重要信息的通讯必必需授权，传输必必需加密。采纳多层次的访问控制与权限控制手段，实现对数据的安全保护；采纳加密技术，确保网上传输的信息〔包括管理员口令与帐户、上传信息等〕的机密性与完整性。
管理风险
管理是网络中安全最最重要的部分。责权不明，安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时〔如内部人员的违规操作等〕，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可检察性。这就要求我们必必需对站点的访问活动进行多层次的记录，及时发现非法入侵行为。
建立全新网络安全机制，必必需深入理解网络并能提供直接的解决方案，因此，最可行的做法是制定健全的管理制度和严格管理相结合。确保网络的安全运行，使其成为一个具有合格的安全性、可扩充性和易管理性的信息网络便成为了首要任务。一旦上述的安全隐患成为事实，所造成的对整个网络的损失都是难以估计的。因此，网络的安全建设是校园网建设过程中重要的一环。
五、主要类型
网络安全由于不同的环境和应用而产生了不同的类型。主要有以下几种：
系统安全
运行系统安全即确保信息处理和传输系统的安全。它侧重于确保系统正常运行。避免因为系统的崩演和损坏而对系统存储、处理和传输的消息造成破坏和损失。避免由于电磁泄翻，产生信息泄露，干扰他人或受他人干扰。
网络的安全
网络上系统信息的安全。包括用户口令鉴别，用户存取权限控制，数据存取权限、方式控制，安全审计。安全问题跟踩。计算机病毒防治，数据加密等。
信息传播安全
网络上信息传播安全，即信息传播后果的安全，包括信息过滤等。它侧重于防止和控制由非法、有害的信息进行传播所产生的后果，避免公用网络上大云自由传翰的信息失控。
信息内容安全
网络上信息内容的安全。它侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏润进行窃听、冒充、诈编等有损于合法用户的行为。其本质是保护用户的利益和隐私。
六、影响因素
自然灾害、意外事故；计算机犯罪；人为行为，比如使用不当，安全意识差等；黑客〞行为：由于黑客的入侵或侵扰，比如非法访问、拒绝服务计算机病毒、非法连接等；内部泄密；外部泄密；信息丢失；电子谍报，比如信息流量分析、信息窃取等；网络协议中的缺陷，例如TCP/IP协议的安全问题等等。
网络安全威胁主要包括两类：渗入威胁和植入威胁。
渗入威胁主要有：假冒、旁路控制、授权侵犯；植入威胁主要有：特洛伊木马、陷门。
陷门：将某一“特征〞设立于某个系统或系统部件之中，使得在提供特定的输入数据时，同意安全策略被违反。
目前我国网络安全存在几大隐患：影响网络安全性的因素主要有以下几个方面。
网络结构因素
网络基本拓扑结构有3种：星型、总线型和环型。一个单位在建立自己的内部网之前，各部门可能已建造了自己的局域网，所采纳的拓扑结构也可能完全不同。在建造内部网时，为了实现异构网络间信息的通信，往往要牺牲一些安全机制的设置和实现，从而提出更高的网络开放性要求。
网络协议因素
在建造内部网时，用户为了节省开支，必定会保护原有的网络基础设施。另外，网络公司为生存的必需要，对网络协议的兼容性要求越来越高，使众多厂商的协议能互联、兼容和互相通信。这在给用户和厂商带来利益的同时，也带来了安全隐患。如在一种协议下传送的有害程序能很快传遍整个网络。
地域因素
由于内部网Intranet既可以是LAN也可能是WAN(内部网指的是它不是一个公用网络，而是一个专用网络)，网络往往跨越城际，甚至国际。地理位置复杂，通信线路质量难以确保，这会造成信息在传输过程中的损坏和丢失，也给一些“黑客〞造成可乘之机。
用户因素
企业建造自己的内部网是为了加快信息交流，更好地适应市场必需求。建立之后，用户的范围必将从企业员工扩大到客户和想了解企业状况的人。用户的增加，也给网络的安全性带来了威胁，因为这里可能就有商业间谍或“黑客。〞
主机因素
建立内部网时，使原来的各局域网、单机互联，增加了主机的种类，如工作站、服务器，甚至小型机、大中型机。由于它们所使用的操作系统和网络操作系统不尽相同，某个操作系统出现漏洞(如某些系统有一个或几个没有口令的账户)，就可能造成整个网络的大隐患。
单位安全政策
施行证实，80%的安全问题是由网络内部引起的，因此，单位对自己内部网的安全性要有高度的重视，必必需制订出一套安全管理的规章制度。
人员因素
人的因素是安全问题的薄弱环节。要对用户进行必要的安全教育，选择有较高职业道德修养的人做网络管理员，制订出具体措施，提升安全意识。
其他
其他因素如自然灾害等，也是影响网络安全的因素。
七、技术原理
网络安全性问题关系到将来网络应用的深入发展，它涉及安全策略、移动代码、指令保护、密码学、操作系统、软件工程和网络安全管理等内容。一般专用的内部网与公用的互联网的隔离主要使用“防火墙〞技术。
“防火墙〞是一种形象的说法，其实它是一种计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关，从而保护内部网免受非法用户的侵入。
能够完成“防火墙〞工作的可以是简单的隐蔽路由器，这种“防火墙〞如果是一台一般的路由器则仅能起到一种隔离作用。隐蔽路由器也可以在互联网协议端口级上阻止网间或主机间通信，起到一定的过滤作用。由于隐蔽路由器仅仅是对路由器的参数做些修改，因而也有人不把它归入“防火墙〞一级的措施。
真正意义的“防火墙〞有两类，一类被称为标准“防火墙〞；一类叫双家网关。标准〞防火墙〞系统包括一个Unix工作站，该工作站的两端各有一个路由器进行缓冲。其中一个路由器的接口是外部世界，即公用网；而另一个则联接内部网。标准“防火墙〞使用专门的软件，并要求较高的管理水平，而且在信息传输上有一定的延迟。而双家网关则是对标准“防火墙〞的扩充。双家网关又称堡垒主机或应用层网关，它是一个单个的系统，但却能同时完成标准“防火墙〞的所有功能。其优点是能运行更复杂的应用，同时防止在互联网和内部系统之间建立的任何直接的连接，可以确保数据包不能直接从外部网络到达内部网络，反之亦然。
随着“防火墙〞技术的进步，在双家网关的基础上又演化出两种“防火墙〞配置，一种是隐蔽主机网关，另一种是隐蔽智能网关(隐蔽子网)。隐蔽主机网关当前或许是一种常见的“防火墙〞配置。顾名思义，这种配置一方面将路由器进行隐藏，另一方面在互联网和内部网之间安装堡垒主机。堡垒主机装在内部网上，通过路由器的配置，使该堡垒主机成为内部网与互联网进行通信的唯一系统。目前技术最为复杂而且安全级别最高的〞防火墙〞当属隐蔽智能网关。所谓隐蔽智能网关是将网关隐藏在公共系统之后，它是互联网用户唯一能见到的系统。所有互联网功能则是经过这个隐藏在公共系统之后的保护软件来进行的。一般来说，这种“防火墙〞是最不容易被破坏的。
与“防火墙〞配合使用的安全技术还有数据加密技术。数据加密技术是为提升信息系统及数据的安全性和保密性，防止秘密数据被外部破坏所采纳的主要技术手段之一。随着信息技术的发展，网络安全与信息保密日益引起人们的关注。各国除了从法律上、管理上强化数据的安全保护外，从技术上分别在软件和硬件两方面采纳措施，推动着数据加密技术和物理防范技术的不断发展。按作用不同，数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术4种。
与数据加密技术紧密相关的另一项技术则是智能卡技术。所谓智能卡就是密钥的一种媒体，一般就像信用卡一样，由授权用户所持有并由该用户赋予它一个口令或密码字。该密码字与内部网络服务器上注册的密码一致。当口令与身份特征共同使用时，智能卡的保密性能还是相当有效的。
这些网络安全和数据保护的防范措施都有一定的限度，并不是越安全就越可靠。因而，看一个内部网是否安全时不仅要合计其手段，而更重要的是对该网络所采纳的各种措施，其中不仅是物理防范，而且还有人员素养等其他“软〞因素，进行综合评估，从而得出是否安全的结论。
安全服务
对等实体认证服务
访问控制服务
数据保密服务
数据完整性服务
数据源点认证服务
禁止否认服务
安全机制
加密机制
数字签名机制
访问控制机制
数据完整性机制
认证机制
信息流填充机制
路由控制机制
公证机制
八、操作工具
维护网络安全的工具有VIEID、数字证书、数字签名和基于本地或云端的杀毒软体等构成。在法律方面有中华人民共和国计算机信息系统安全保护条例、中华人民共和国电子签名法等。
防火墙
Internet防火墙是这样的系统〔或一组系统〕，它能强化机构内部网络的安全性。防火墙系统决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的哪些服务，以及哪些外部服务可以被内部人员访问。要使一个防火墙有效，所有来自和去往Internet的信息都必必需经过防火墙，接受防火墙的检查。防火墙只同意授权的数据通过，并且防火墙本身也必必需能够免于渗透。
Internet防火墙负责管理Internet和机构内部网络之间的访问。在没有防火墙时，内部网络上的每个节点都暴露给Internet上的其它主机，极易受到攻击。这就意味着内部网络的安全性要由每一个主机的牢固程度来决定，并且安全性等同于其中最弱的系统。
Internet防火墙同意网络管理员定义一个中心“扼制点〞来防止非法用户，比如防止黑客、网络破坏者等进入内部网络。禁止存在安全脆弱性的服务进出网络，并抗击来自各种路线的攻击。Internet防火墙能够简化安全管理，网络的安全性是在防火墙系统上得到加固，而不是分布在内部网络的所有主机上。
在防火墙上可以很方便的监视网络的安全性，并产生报警。〔注意：对一个与Internet相联的内部网络来说，重要的问题并不是网络是否会受到攻击，而是何时受到攻击？谁在攻击？〕网络管理员必必需审计并记录所有通过防火墙的重要信息。如果网络管理员不能及时响应报警并检察常规记录，防火墙就形同虚设。在这种状况下，网络管理员永远不会知道防火墙是否受到攻击。
Internet防火墙可以作为布暑NAT(Network Address Translator，网络地址变幻〕的逻辑地址。因此防火墙可以用来缓解地址空间短缺的问题，并消除机构在变幻ISP时带来的重新编址的麻烦。
Internet防火墙是审计和记录Internet使用量的一个最正确地方。网络管理员可以在此向管理部门提供Internet连接的费用状况，查出潜在的带宽瓶颈的位置，并依据机构的核算模式提供部门级计费。
在制定理念方面，防火墙是以应用为主、以安全为辅的，也就是说在支持尽可能多的应用的前提下，来确保使用的安全。防火墙的这一制定理念使得它可以广泛地用于尽可能多的领域，拥有更加广泛的市场，甚至包括个人电脑都可以使用，但是它的安全性往往就差强人意。而网闸则是以安全为主，在确保安全的前提下，支持尽可能多地应用。网闸主要用于安全性要求极高的领域，例如对政府网络，工业控制系统的保护等等。
安全策略
防火墙不仅仅是路由器、堡垒主机、或任何提供网络安全的设备的组合，防火墙是安全策略的一个部分。
安全策略建立全方位的防御体系，甚至包括：告诉用户应有的责任，公司规定的网络访问、服务访问、本地和远地的用户认证、拨入和拨出、磁盘和数据加密、病毒防护措施，以及雇员培训等。所有可能受到攻击的地方都必必需以同样安全级别加以保护。
仅设立防火墙系统，而没有全面的安全策略，那么防火墙就形同虚设。
系统安全
操作系统的安全控制：如用户开机键入的口令〔某些微机主板有“万能口令〞〕，对文件的读写存取的控制〔如Unix系统的文件属性控制机制〕。
网络接口模块的安全控制。在网络环境下对来自其他机器的网络通信进程进行安全控制。主要包括：身份认证，客户权限设置与判别，审计日志等。
网络互联设备的安全控制。对整个子网内的所有主机的传输信息和运行状态进行安全监测和控制。主要通过网管软件或路由器配置实现。
电子商务
电子商务安全从整体上可分为两大部分：计算机网络安全和商务交易安全。
〔一〕计算机网络安全的内容包括：
〔1〕未进行操作系统相关安全配置
不管采纳什么操作系统，在缺省安装的条件下都会存在一些安全问题，只有专门针对操作系统安全性进行相关的和严格的安全配置，才能达到一定的安全程度。千万不要以为操作系统缺省安装后，再配上很强的密码系统就算作安全了。网络软件的漏洞和“后门〞　是进行网络攻击的首选目标。
〔2〕未进行CGI程序代码审计
如果是通用的CGI问题，防范起来还略微容易一些，但是关于网站或软件供应商专门开发的一些CGI程序，很多存在严重的CGI问题，关于电子商务站点来说，会出现恶意攻击者冒用他人账号进行网上购物等严重后果。
〔3〕拒绝服务〔DoS，Denial　of　Service〕攻击
随着电子商务的兴起，对网站的实时性要求越来越高，DoS或DDoS对网站的威胁越来越大。以网络瘫痪为目标的袭击效果比任何传统的恐惧主义和战争方式都来得更激烈，破坏性更大，造成危害的速度更快，范围也更广，而袭击者本身的风险却非常小，甚至可以在袭击开始前就已经消失得无影无踪，使对方没有执行报复打击的可能。
〔4〕安全产品使用不当
虽然不少网站采纳了一些网络安全设备，但由于安全产品本身的问题或使用问题，这些产品并没有起到应有的作用。很多安全厂商的产品对配置人员的技术背景要求很高，超出对一般网管人员的技术要求，就算是厂家在最初给用户做了正确的安装、配置，但一旦系统改动，必需要改动相关安全产品的设置时，很容易产生许多安全问题。
〔5〕缺少严格的网络安全管理制度
网络安全最重要的还是要思想上高度重视，网站或局域网内部的安全必需要用完备的安全制度来确保。建立和实施严密的计算机网络安全制度与策略是真正实现网络安全的基础。
〔二〕计算机商务交易安全的内容包括：
〔1〕窃取信息
由于未采纳加密措施，数据信息在网络上以明文形式传送，入侵者在数据包经过的网关或路由器上可以截获传送的信息。通过多次窃取和分析，可以找到信息的规律和格式，进而得到传输信息的内容，造成网上传输信息泄密。
〔2〕窜改信息
当入侵者掌握了信息的格式和规律后，通过各种技术手段和方法，将网络上传送的信息数据在中途修改，然后再发向目的地。这种方法并不新鲜，在路由器或网关上都可以做此类工作。
〔3〕假冒
由于掌握了数据的格式，并可以窜改通过的信息，攻击者可以冒充合法用户发送假冒的信息或者主动获取信息，而远端用户通常很难分辨。
〔4〕恶意破坏
由于攻击者可以接入网络，则可能对网络中的信息进行修改，掌握网上的机要信息，甚至可以潜入网络内部，其后果是非常严重的。
协议安全
TCP/IP协议数据流采纳明文传输。
源地址欺骗〔Source address spoofing〕或IP欺骗〔IP spoofing〕。
源路由选择欺骗〔Source Routing spoofing〕。
路由选择信息协议攻击〔RIP Attacks〕。
鉴别攻击〔Authentication Attacks〕。
TCP序列号欺骗〔TCP Sequence number spoofing〕。
TCP序列号轰炸攻击〔TCP SYN Flooding Attack〕，简称SYN攻击。
易欺骗性〔Ease of spoofing〕。
九、预防措施
网安措施
计算机网络安全措施主要包括保护网络安全、保护应用服务安全和保护系统安全三个方面，各个方面都要结合合计安全防护的物理安全、防火墙、信息安全、Web安全、媒体安全等等。
〔一〕保护网络安全。
网络安全是为保护商务各方网络端系统之间通信过程的安全性。确保机密性、完整性、认证性和访问控制性是网络安全的重要因素。保护网络安全的主要措施如下：
〔1〕全面规划网络平台的安全策略。
〔2〕制定网络安全的管理措施。
〔3〕使用防火墙。
〔4〕尽可能记录网络上的一切活动。
〔5〕注意对网络设备的物理保护。
〔6〕检验网络平台系统的脆弱性。
〔7〕建立可靠的识别和鉴别机制。
〔二〕保护应用安全。
保护应用安全，主要是针对特定应用〔如Web服务器、网络支付专用软件系统〕所建立的安全防护措施，它独立于网络的任何其他安全防护措施。虽然有些防护措施可能是网络安全业务的一种替代或堆叠，如Web浏览器和Web服务器在应用层上对网络支付结算信息包的加密，都通过IP层加密，但是许多应用还有自己的特定安全要求。
由于电子商务中的应用层对安全的要求最严格、最复杂，因此更倾向于在应用层而不是在网络层采纳各种安全措施。
虽然网络层上的安全仍有其特定地位，但是人们不能完全依靠它来解决电子商务应用的安全性。应用层上的安全业务可以涉及认证、访问控制、机密性、数据完整性、不可否认性、Web安全性、EDI和网络支付等应用的安全性。
〔三〕保护系统安全。
保护系统安全，是指从整体电子商务系统或网络支付系统的角度进行安全防护，它与网络系统硬件平台、操作系统、各种应用软件等互相关联。涉及网络支付结算的系统安全包涵下述一些措施：
〔1〕在安装的软件中，如浏览器软件、电子钱包软件、支付网关软件等，检查和确认未知的安全漏洞。
〔2〕技术与管理相结合，使系统具有最小穿透风险性。如通过诸多认证才同意连通，对所有接入数据必必需进行审计，对系统用户进行严格安全管理。
〔3〕建立具体的安全审计日志，以便检测并跟踪入侵攻击等。
商交措施
商务交易安全则紧紧围绕传统商务在互联网络上应用时产生的各种安全问题，在计算机网络安全的基础上，如何确保电子商务过程的顺利进行。
各种商务交易安全服务都是通过安全技术来实现的，主要包括加密技术、认证技术和电子商务安全协议等。
〔一〕加密技术。
加密技术是电子商务采纳的基本安全措施，交易双方可依据必需要在信息交换的阶段使用。加密技术分为两类，即对称加密和非对称加密。
〔1〕对称加密。
对称加密又称私钥加密，即信息的发送方和接收方用同一个密钥去加密和解密数据。它的最大优势是加/解密速度快，合适于对大数据量进行加密，但密钥管理困难。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过这种加密方法加密机密信息、随报文一起发送报文