网络商城安全解决方案行业标准建议.docx

网络商城安全解决方案行业标准建议目录一、电子商务安全环境行业背景二、电子商务发展行业现状与安全隐患1、我国电子商务发展行业现状2、我国电子商务行业存在的安全隐患三、网络商城行业安全问题分析1、网络商城行业安全现状1）宏观层面：a、安全问题依然是行业普遍隐患b、移动客户端的发展导致安全性能面临更大的挑战2）技术分析层面：a、信息安全隐患 b、交易安全隐患c、财产安全隐患2、网络商城安全问题的来源1）硬件层面2）软件层面3）应用层面4）环境层面四、国际安全技术解决方案行业标准1、加密技术：1）对称密码体制2）非对称密码体制2、认证技术：1）数字签名2）数字时间戳3）数字证书4）C A 安全认证中心3、黑客技术：1) 防火墙技术2）入侵检测技术4、安全协议：1) SSL(Secure Sockets Layer安全套接层)2) SET协议(Secure Electronic Transaction安全电子交易)五、针对性解决方案的行业标准1、需要解决的问题1）僵尸网络：2）钓鱼攻击：3）原始攻击方式：2、解决方案的行业标准建议1）接入层应用层构架标准：a、CENTOS服务器系统b、NGINX HTTP和反向代理服务器c、SENGINX Web Server和 HTTP反向代理2）代码编程流程标准：3）安全应用层接入标准:4）通信安全标准：5）后台地址白名单7）数据库安全标准6）日志安全管理标准六、结束语一、电子商务安全环境行业背景电子商务时代的到来，网络商城、网上购物和网络支付的消费方式已经成为人民群众的生活习惯，但版本不一的网络商城，从安全和可信度的角度上来看，已经成为技术规范和安全机制等标准的空白地带。在此现状下，企业没有可依据的规范框架，行业难以健康发展，产业上下游对接无序，政策监管和引导难以落地。良好的电子商务安全环境，是整个电子商务产业发展的前提。近年来，随着各项互联网技术和金融领域技术的发展，电子商务安全环境得到了很大的改善，但是电子商务安全问题还是层出不穷，电子商务安全环境仍然复杂。目前，行业没有统一标准所产生的问题和导致经济损失屡屡可见，如平台系统无安全防护能力，导致系统被入侵或遭到恶意数据篡改，致使买卖双方中至少一方直接经济损失（例如：2013年名鞋库官方网站被入侵，用户数据泄露，遭诈骗集团恶意使用）；构建商城系统的技术标准不统一，导致水平层次不齐的程序员用各种编程语言汇编而成的商城系统，都能商业化应用，甚至有些是多年前已经逐步淘汰的技术成果；诸如此类的行业问题不胜枚举。网络商城的安全机制和系统编写标准是行业发展无法回避的导向，应尽快建立标准体系并尽快实施，以避免上诉类似情况成为普遍和更为严重的现象。通过建立相关的标准，使监督管理能够落地，让规范化的约束和指引得以落实，将行业发展引领至健康快速的发展道路上。二、电子商务发展行业现状与安全隐患1、我国电子商务发展行业现状电子商务是综合运用电子信息技术，以提高贸易伙伴间商业运作效率为目标，将交易全过程中的数据和资料用电子方式实现，在商业的运作过程中实现交易无纸化、直接化。根据中国互联网络信息中心（CNNIC）在京发布第38次中国互联网络发展状况统计报告显示，截至2016年6月，中国网络购物用户规模达4.48亿，网上支付的用户规模达到 4.55 亿。从行业应用看，证券公司、金融结算机构、民航订票中心、信用卡发放等已成功进入电子商务领域，并进行了大量可靠的交易。经权威机构调查，我国信息产业总规模已超过14000亿元人民币电信业务年均增长率为33 ，信息产品制造业年均增长率已大于3O 。中国电子商务正迈入繁荣阶段。2、我国电子商务行业存在的安全隐患由于计算机信息有共享和易于扩散等特性，它在处理、存储、传输和使用上有相对应的脆弱性，很容易被干扰、滥用、遗漏和丢失，甚至被泄露、窃取、篡改、冒充和破坏，还可能受到计算机病毒感染，因此在开放的网络上处理交易，如何保证传输数据的安全，是电子商务发展的最重要的因素之一。但是很大一部分的网站在建站开始及发展过程中，都更倾向于便利性、实用性，忽略了网络安全环节，给网站本身埋下了深深的隐患。据公安部的资料，利用计算机网络进行的各类违法行为在中国以每年3O 的速度递增，黑客的攻击方法已超过计算机病毒的种类，高达近千种。目前已发现的黑客攻击案，约占安全事件总数的15 多数事件由于没有造成严重危害或商家不愿透露而未被曝光。有媒介报道，中国95的与Internet相连的网络管理中心遭到过境内外黑客的攻击或侵入其中银行、金融和证券机构更是黑客攻击的重点，金融领域的黑客犯罪案件涉案金额已高达数亿元。调查公司曾对电子商务的应用前景进行过在线调查，当问到为什么不愿意在线购物时，绝大多数的人的问题是担心遭到黑客的侵袭而导致信用卡信息丢失。因此，随着电子商务日益发展和普及，安全问题显得异常突出，解决安全问题已成为我国电子商务发展的当务之急。三、网络商城行业安全问题分析1、网络商城行业安全现状1）宏观层面：a、安全问题依然是行业普遍隐患 近几年，各种用户信息泄露事件依然层出不穷。国内曾有网络安全平台发出报告称如家、汉庭等大批酒店的客户开房记录，因被第三方存储和系统漏洞而泄露。报告中，曝光了网上下载酒店客户信息的过程，成功下载的客户信息中，完整记录了入住酒店旅客的身份证、入住时间、入住的房间号码等隐私信息。随着互联网的发展，用户包括身份、银行财产等相关数据和互联网应用绑定越来越紧密，泄露风险和威胁越来越大。而企业为了提高用户操作和消费便利性，或者为了加快产品开发流程，往往忽略了安全性。 b、移动客户端的发展导致安全性能面临更大的挑战移动便携式终端设备，通过移动智能手机或者是无线局域网，实现一种不受时间和空间限制的商业模式。首先由于移动终端的计算能力和存储能力有限，电池寿命短，许多安全性比较好的加密和认证技术措施不能很好地应用在这些移动设备上，从而带来了安全隐患。其次，由于移动设备体积较小，使用中很容易造成损坏或丢失。很多用户将比较机密的个人资料或商业机密存储在移动设备上，如果在没有备份的情况下丢失数据或者被他人恶意盗用，都将会造成很大的损失。另外，手机卡作为识别移动商务中用户身份的一个重要部分，在其他身份识别措施还不健全的情况下，一旦被恶意克隆，用户的个人身份被假冒，将成为犯罪分子进行欺诈的一种手段。同时，由于智能手机能够进行移动快捷支付和相关的金融活动，一旦被入侵能够为入侵者带来巨大的回报，因此，移动终端不但收到一些恶意软件的威胁，也时刻收到病毒和黑客的威胁。而移动终端交互的频率极高，为病毒的高速传播提供了途径，在一些开放的wifi环境下这下病毒的传播就更加容易了。据前瞻网中国移动安全数据报告显示，安卓手机的恶意软件早已超过691639个，年均新增恶意软件69万个。而这些恶意软件中主要以窃取用户隐私数据的软件最多。移动电子商务的安全形势主要呈现出病毒形态以及行为的变化更加多样化、移动安全问题凸显、用户的关注度以及安全意识明显提高等特点。移动电子商务的发展导致电子商务安全面临更大的挑战。2）技术分析层面：a、信息安全隐患信息安全隐患是指由于各种原因引起的信息泄露、信息丢失、信息篡改、信息虚假、信息滞后、信息不完善等，以及由此带来的风险。具体的表现有：窃取商业机密、泄露商业机密、篡改交易信息、非法删除交易信息、破坏信息的真实性和完整性、接收或发送虚假信息、盗取交易成果、伪造交易信息、非法删除交易数据、交易信息丢失、病毒破坏、黑客入侵等。信息被非法窃取或泄露可能为给有关企业和个人带来严重的后果和巨大的经济损失；如果不能及时得到准确完备的信息，企业和个人就无法对交易进行正确的分析和判断，作出符合理性的决策；非法删除交易信息和交易数据丢失可能导致经济纠纷，给交易的一方或者多方造成经济损失。b、交易安全隐患交易安全隐患是指网络商城交易过程过存在的各种不安全因素，包括交易的确认、产品和服务的提供、产品和服务的质量、款项的支付等方面的问题。由于网络商城不同于传统市场，松散化、主体虚拟化、交易网络化、货币电子化、结算瞬间化等特点，导致网络商城交易的风险表现出新的形式，并且风险被放大。交易安全问题在现实中的表现主要有，卖方利用信息优势，以次充好，发布虚假信息、欺骗消费者，这种情况在淘宝网络商城上尤其常见，卖方利用参与者身份的不确定性与市场进出的随意性，在提供服务方面不遵守承诺，或者买方不遵守承诺。c、财产安全隐患财产安全是指由于各种原因造成网络商城的参与者面临的财产等经济利益风险。财产安全往往是网络商城安全问题的最终形式，也是信息安全问题和交易安全问题的后果。财产损失主要表现为财产损失和其他经济损失。前者如客户银行资金被盗，交易者被冒名，其财产被冒领；后者如信息的泄露、丢失导致企业的信誉受损，遭遇网络攻击和故障导致网络商城系统效率下降或者瘫痪等。2、网络商城安全问题的来源1）硬件层面网络商城的基础是网络，而网络的物理支撑是各种硬件设施，这些硬件设施，这些硬件是设施会由于各种原因带来安全风险。这里有故障设备、人为因素，也有自然灾害。硬件安全问题虽然发生的概率非常小，但是一旦发生带来的伤害便是巨大的。2）软件层面网络不仅需要硬件作为支撑，还需要应用到各种系统软件和应用软件作为支撑，应用软件是网络商城系统中另一个重要的组成。由于各种人为和技术原因，各种系统软件和应用软件都会存在一定的缺陷和漏洞。3）应用层面在硬件安全和软件安全的条件下，应用网络商城的人员使用的不恰当也会导致出现网络商城安全问题。例如，企业管理人员关于网络商城的知识水平和管理水平不高，导致不能胜任所承担的工作，导致企业的管理水平不高、效率低下；消费者关于网络商城和个人信息安全意识不高，导致个人信息泄露；网络攻击、商业欺诈等防醉行为，以获取机密信息或者破坏为目的的网络攻击是网络商城另外一个重要安全隐患，包括病毒攻击，木马程序以及其他形式的网络攻击。4）环境层面环境层面主要是指法律环境，法律是市场经济最重要的外部环境。法律不仅是打击网络犯罪的武器，更是各个主体商业活动的游戏规则。网络商城是一种全新的商务模式，我国关于这方面的法律虽然已经有了，却还是不够完善，使许多网络交易纠纷的解决缺少相关的法律依据，更加为那些镶钻法律空子的投机分子提供了机会。四、国际安全技术解决方案行业标准网络商城的交易中，安全性主要是指网络安全和交易信息的安全。网络安全是指网络操作系统对抗网络攻击、病毒，使网络系统连续稳定的运行。交易信息的安全是指保护交易双方的不被破坏、不泄密和交易双方身份的确认。国际通用使用信息加密技术、数字证书、认证技术、SSL安全协议、SET等安全技术来保护，具体如下：1、加密技术：作为主动的信息安全防范措施，利用加密算法，将明文转换成为无意义的密文，阻止非法用户理解原始数据，从而确保数据的保密性。1）对称密码体制：加密密钥与解密密钥是相同的，对称密码体制的优点是具有很高的保密强度，但它的密钥必须通过安全可靠的途径传递。2）非对称密码体制：加密过程和解密过程被设计成不同的途径，在计算上不可能由加密密钥求得解密密钥，因而加密密钥可以公开，而只需保密解密密钥即可。2、认证技术：是网络通信中标志通信各方身份信息的一系列数据，通过运用对称和非对称密码体制建立起一套严密的身份认证系统。具有信息除发送方和接收方外不被其他人窃取，信息在传输过程中不被篡改发送方能够通过数字证书来确认接收方的身份，发送方对于自己发送的信息不能抵赖等多项功能。1）数字签名：数字签名技术以加密技术为基础，其核心是采用加密技术的加、解密算法体制来实现对报文的数字签名。2）数字时间戳：在网络商城交易过程中，需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务（DTS service）专用于提供电子文件发表时间的安全保护。3）数字证书（Digital certificate, digital ID）：又称为数字凭证，即用电子手段来证实一个用户的身份和对网络资源的访问权限。4）C A 安全认证中心：电子商务安全认证体系的核心机构就是CA 认证中心（CA ：Certification Authority，证书授权）。认证中心作为受信任的第三方，需要承担网上安全电子交易的认证服务，主要负责产生、分配并管理用户的数字证书。它对电子商务活动中的数据加密、数字签名、防抵赖、数据完整性以及身份鉴别所需的密钥和认证实施统一的集中化管理，保证网上在线交易的安全。3、黑客技术：1) 防火墙技术：加强网络之间的访问控制，防止外部网络用户以非法手段通过外部网络进人内部网络。防火墙技术主要有包过滤、代理服务、状态监控等技术。防火墙技术的主要优点是：过滤不安全的服务，提高网络安全和减少子网中主机的风险；提供对系统的访问控制，阻击攻击者获取攻击网络系统的有用信息，根据统计数据来判断可能的攻击和探测等。2）入侵检测技术：入侵检测系统（I D S）可以被定义为对计算机和网络资源的恶意使用行为进行识别和相应处理的系统。它通过对计算机系统进行监视，提供实时的入侵监测，并采取相应的防护手段。入侵检测技术是一种主动保护自己免受黑客攻击的一种网络安全技术。能够帮助系统对付网络攻击，提高了信息安全基础结构的完整性，被认为是防火墙之后的第二道安全闸门。4、安全协议：1) SSL(Secure Sockets Layer安全套接层)：一种安全通信协议。SSL提供了两台计算机之间的安全连接，对整个会话进行了加密，从而保证了信息的安全传输。具有三个特点：采用对称密码体制来加密数据；采用信息验证算法进行完整性检验；对端实体的鉴别采用非对称密码体制进行认证。2) SET协议(Secure Electronic Transaction安全电子交易)：通过开放网络进行安全资金支付的技术标准。SET向基于信用卡进行电子化交易的应用提供实现安全措施的规则，信息在Internet上安全传输,保证传输的数据不被黑客窃取；其定单信息和个人账号信息的隔离，当包含持卡人账号信息的定单送到商家时，商家只能看到定货信息，而看不到持卡人的账户信息，持卡人和商家相互认证，以确定通信双方的身份，一般由第三方机构负责为在线通信双方提供信用担保，要求软件遵循相同协议和报文格式 使不同厂家开发的软件具有兼容和互操作功能，并可运行在不同的硬件和操作系统平台上。五、针对性解决方案的行业标准建议1、需要解决的问题1）僵尸网络：僵尸网络是互联网上受到黑客集中控制的一群计算机，往往被黑客用来发起大规模的网络攻击。同时黑客控制的这些计算机所保存的信息，譬如银行帐户的密码与社会安全号码等也都可被黑客随意“取用”。因此，不论是对网络安全运行还是用户数据安全的保护来说，僵尸网络都是极具威胁的隐患。僵尸网络的威胁也因此成为目前一个国际上十分关注的问题。然而，发现一个僵尸网络是非常困难的，因为黑客通常远程、隐蔽地控制分散在网络上的“僵尸主机”，这些主机的用户往往并不知情。因此，僵尸网络是目前互联网上黑客最青睐的作案工具。而网友只要通过搔首弄姿的美女、各种各样有趣的小游戏就能轻易的感染上僵尸病毒。2）钓鱼攻击：网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性邮件，意图引诱收信人给出敏感信息如用户名、口令、帐号ID、ATM、PIN码或信用卡详细信息的一种攻击方式。最典型的网络钓鱼攻击是将收信人引诱到一个通过精心设计与目标网站非常相似的钓鱼网站上，获取个人敏感信息，而这些个人的信息被泄露以后，网络钓鱼攻击者就可以假冒受害者进行欺诈性金融交易，从而获得经济利益，致使受害者经常遭受显著的经济损失。在纷繁复杂的网络信息前，每天515万个的新增病毒、每天6030个新增的钓鱼网站，都让已然十分“牛逼”的网购用户规模显得“弱爆了”。数据还显示，每个网购者一年中会在不知不觉中平均绕过6个病毒，每千人中，就有7个人会遭遇钓鱼网站的困扰。3）原始攻击方式：如果我们按照西方人的思维方式去思考，不断的追求和更新安全技术，防火墙可以做得非常强，但如果黑客不去窃取信息或数据，而只是去阻塞网站，这种非常野蛮的攻击方式用单纯的技术是很难解决的，而要靠管理或其它的方法去防范。美国电子商务网站遭受那么大规模的攻击，虽然有技术方面的原因，但总的看来还是一个管理的问题，这里的管理包括网站的经营者要如何防止自己的网站被攻击，上网的用户如何保证自己的机器不会无辜地被别人利用，现在网上的安全补丁很多，但很少有人真正用它或不知道怎么去用。2、解决方案的行业标准建议1）接入层应用层构架标准：使用原生CENTOS （因安全可控，开源）服务器系统，应用NGINX或SENGINX等高效服务器,部署Web Server或HTTP反向代理两种模式、以及负载均衡模块。a、CENTOS服务器系统是Linux发行版之一，它是来自于Red Hat Enterprise Linux依照开放源代码规定释出的源代码所编译而成。CentOS是一套稳定可靠的服务器发行版。它采用的是与母公司Red Hat Enterprise Linux完全相同的、经过严格测试的稳定Linux内核与软件包配置。b、NGINX HTTP和反向代理服务器nginx是一个高性能的HTTP和反向代理服务器，也是一个IMAP/POP3/SMTP服务器。其特点是占有内存少，并发能力强，像知名的百度、京东、新浪、网易、腾讯、淘宝等都是nginx的用户。c、SENGINX Web Server和 HTTP反向代理SEnginx是一个基于NGINX的WAF(Web Application Firewall)服务器，能以Web Server或HTTP反向代理两种模式进行部署。SEnginx继承了NGINX的全部功能，集成了多种第三方Web安全（ModSecurity和Naxsi）和负载均衡模块，并新研发了多种Web安全功能.2）代码编程流程标准：程序员在对开发范围、方式、工具了解的基础上，根据概要设计文档，完成代码的编写，并通过质量控制，预防和减少缺陷的产生，最终提交程序和形成相关手册。而代码编写过程中，要严格执行：逻辑代码- 支付接口- 物流接口- 其他（微信端，APP,桌面）等一系列编写顺序过程。其中，逻辑代码进行黑白盒自动代码审计，检查源代码中的缺点和错误信息，分析并找到这些问题引发的安全漏洞，并及时修正。另外，支付接口要采用微信、支付宝、百度钱包等第三方可靠接口，确保交易在Internet用户和交易处理商之间安全、无缝的传递。3）安全应用层接入标准:接入专业的WAF等应用安全防御平台，基于云安全大数据能力，通过防御SQL注入、XSS跨站脚本、常见Web服务器插件漏洞、木马上传、非授权核心资源访问等OWASP常见攻击，过滤海量恶意访问，避免网站资产数据泄露，保障网站的安全与可用性。与传统防火墙不同，WAF工作在应用层，因此对Web应用防护具有先天的技术优势。基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类网站站点进行有效防护。4）通信安全标准：网络通信的数据安全包括数据传输的安全性、数据的完整性、身份验证、不可抵赖性等几个方面。数据传输的安全性即是要保证在公网上传输的数据不被第三方窃取；对数据的完整性需求是指数据在传输过程中不被篡改；身份验证是指由于网上的通信双方互不见面，必须在相互通信时(交换敏感信息时)确认对方的真实身份；不可抵赖性是指在网上开展业务的各方在进行数据传输时，必须带有自身特有的,无法被别人复制的信息，以保证发生纠纷时有所对证。那怎么保证这么功能的实现呢？最好的办法就是使用加密技术。使用JSON等方式做加密认证，JSON(JavaScript Object Notation) 是一种轻量级的数据交换格式，它基于ECMAScript的一个子集，采用完全独立于语言的文本格式，但是也使用了类似于C语言家族的习惯（包括C、C+、C#、Java、JavaScript、Perl、Python等），是加密认证的最佳选择。5）后台地址白名单白名单的概念与“黑名单”相对应。在网络商城系统里，有部分IP或者访问源地址都应用到了黑白名单规则，黑名单启用后，被列入到黑名单的用户（或IP地址、IP包、邮件、病毒等）不能通过。如果设立了白名单，则在白名单中的用户（或IP地址、IP包、邮件等）会优先通过，不会被当成垃圾邮件拒收，安全性和快捷性都大大提高。该技术可以抵御日常恶意软件和有针对性的攻击，因为在默认情况下，任何未知访问都不能在网络商城端点上运行，如果恶意软件或者针对性攻击试图在启用了白名单添加，白名单技术会确定这不是可信进程，并否定其运行权限。6）日志安全管理标准系统日志使用统一的SYSLOG服务器进行全局业务日志管理与分析。Syslog记录着系统中的任何事件，管理者可以通过查看系统记录随时掌握系统状况。系统日志通过Syslog进程记录系统的有关事件，也可以记录应用程序运作事件。通过适当配置，还可以实现运行Syslog协议的机器之间的通信。通过分析这些网络行为日志，可追踪和掌握与设备和网络有关的情况。7）数据库安全标准数据库采用MySQL、MSSSQL、SQL Server、PostgreSQL或PPAS等专业的数据平台，各数据库平台都拥有各自的优势特点。例如：MySQL在速度、普及率、系统环境下稳定性，线程间的环境转换等方面表现优异；PostgreSQL在开源协议、源代码规范、可靠性、多进程、查询处理能力更具优势。六、结束语电子商务安全是一个复杂的系统工程，除了面向技术层面的研究和应用之外还包含社会人文环境的建设，包括相关法律、法规以及信息道德和伦理等网络文化的传播和构建。本文主要提出电子商务行业内，网络商城的安全解决方案标准，揭示了各种安全机制间的逻辑层次关系，并详细介绍了目前业界正在一些基本安全技术，并对其发展趋势做了探讨。这些都是具有较高理论意义和实用价值的课题，也是指引今后电子商务安全技术发展的重要方向。附录一：专有名词解释v 电子商务：电子商务是以信息网络技术为手段，以商品交换为中心的商务活动；也可理解为在互联网（Internet）、企业内部网（Intranet）和增值网（VAN，Value Added Network）上以电子交易方式进行交易活动和相关服务的活动，是传统商业活动各环节的电子化、网络化、信息化。电子商务通常是指在全球各地广泛的商业贸易活动中，在因特网开放的网络环境下，基于浏览器/服务器应用方式，买卖双方不谋面地进行各种商贸活动，实现消费者的网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合服务活动的一种新型的商业运营模式。各国政府、学者、企业界人士根据自己所处的地位和对电子商务参与的角度和程度的不同，给出了许多不同的定义。电子商务分为：ABC、B2B、B2C、C2C、B2M、M2C、B2A（即B2G）、C2A（即C2G）、O2O 等。v 安全机制：指确保网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断的综合性系统性方法、规定、标准和技术的集合体。v 认证机制：由具备相关资质的可以充分信任的第三方证实某一经鉴定的产品或服务符合特定标准或规范性文件的活动。v 外网防御：v 支付接口：也称为支付网关（Payment Gateway）是银行金融网络系统和Internet网络之间的接口，是由银行操作的将Internet上传输的数据转换为金融机构内部数据的一组服务器设备，或由指派的第三方处理商家支付信息和顾客的支付指令。可确保交易在Internet用户和交易处理商之间安全、无缝的传递，并且无需对原有主机系统进行修改。它可以处理所有Internet支付协议，Internet安全协议，交易交换，信息及协议的转换以及本地授权和结算处理。另外，它还可以通过设置来满足特定交易处理系统的要求。离开了支付网关，网络银行的电子支付功能也就无法实现。例如国际信用卡支付网关，就是指专业提供国际信用卡收款的银行支付接口。v 安全补丁：是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统，针对这种情况对于大型软件系统（如微软操作系统）在使用过程中暴露的问题（一般由黑客或病毒设计者发现）而发布的解决问题的小程序包。v 商务网站：商务网站是指一个企业、机构或公司在互联网上建立的站点，该站点主要是宣传企业形象，发布产品信息、宣传经济法规、提供商业服务。此类网站通常集合大量的沉淀资金和流动资金。对不法分子具有很强的吸引力，在无健全的安全机制提供保护时，有极大的信息安全和金融安全隐患。v 网络安全：网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。系统安全与性能和功能是一对矛盾的关系。如果某个系统不向外界提供任何服务（断开），外界是不可能构成安全威胁的。但是，企业接入国际互连网络，提供网上商店和电子商务等服务，等于将一个内部封闭的网络建成了一个开放的网络环境，各种安全包括系统级的安全问题也随之产生。构建网络安全系统，一方面由于要进行认证、加密、监听，分析、记录等工作，由此影响网络效率，并且降低客户应用的灵活性；另一方面也增加了管理费用。但是，来自网络的安全威胁是实际存在的，特别是在网络上运行关键业务时，网络安全是首先要解决的问题。网络安全由于不同的环境和应用而产生了不同的类型。主要有以下几种:系统安全运行系统安全即保证信息处理和传输系统的安全。它侧重于保证系统正常运行。避免因为系统的崩演和损坏而对系统存储、处理和传输的消息造成破坏和损失。避免由于电磁泄翻，产生信息泄露，干扰他人或受他人干扰。网络的安全网络上系统信息的安全。包括用户口令鉴别，用户存取权限控制，数据存取权限、方式控制，安全审计。安全问题跟踩。计算机病毒防治，数据加密等。信息传播安全网络上信息传播安全，即信息传播后果的安全，包括信息过滤等。它侧重于防止和控制由非法、有害的信息进行传播所产生的后果，避免公用网络上大云自由传翰的信息失控。信息内容安全网络上信息内容的安全。它侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏润进行窃听、冒充、诈编等有损于合法用户的行为。其本质是保护用户的利益和隐私。v 攻击：v 网络攻击：利用网络存在的漏洞和安全缺陷对网络系统的硬件、软件及其系统中的数据进行的攻击。在最近几年里，网络攻击技术和攻击工具有了新的发展趋势，使借助Internet运行业务的机构面临着前所未有的风险。随着部署自动化程度和攻击工具管理技巧的提高，威胁将继续增加，并且攻守双方的不对称性越来越严重。随着技术发展，攻击工具越来越复杂、发现安全漏洞越来越快、防火墙渗透率越来越高、自动化和攻击速度提高，并且开始对基础设施展现出越来越明显的现实威胁。美国网络司令部司令兼美国国家安全局局长基思亚历山大表示，“如果防御仅仅是在尽力阻止攻击，那么这永远不算成功。政府需要在攻击发生之前将其扼杀，采取何种防御措施部分归因于攻击手段。”v 攻击方式：网络攻击的方式多种多样，按归属类别分别有以下几种：口令入侵所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。获得普通用户帐号的方法非常多，如2 利用目标主机的Finger功能：当用Finger命令查询时，主机系统会将保存的用户资料（如用户名、登录时间等）显示在终端或计算机上；利用目标主机的X.500服务：有些主机没有关闭X.500的目录查询服务，也给攻击者提供了获得信息的一条简易途径；从电子邮件地址中收集：有些用户电子邮件地址常会透露其在目标主机上的帐号；查看主机是否有习惯性的帐号：有经验的用户都知道，非常多系统会使用一些习惯性的帐号，造成帐号的泄露。特洛伊木马放置特洛伊木马程式能直接侵入用户的计算机并进行破坏，他常被伪装成工具程式或游戏等诱使用户打开带有特洛伊木马程式的邮件附件或从网上直接下载，一旦用户打开了这些邮件的附件或执行了这些程式之后，他们就会象古特洛伊人在敌人城外留下的藏满士兵的木马相同留在自己的计算机中，并在自己的计算机系统中隐藏一个能在windows启动时悄悄执行的程式。当你连接到因特网上时，这个程式就会通知攻击者，来报告你的IP地址及预先设定的端口。攻击者在收到这些信息后，再利用这个潜伏在其中的程式，就能任意地修改你的计算机的参数设定、复制文件、窥视你整个硬盘中的内容等，从而达到控制你的计算机的目的。WWW欺骗在网上用户能利用IE等浏览器进行各种各样的WEB站点的访问，如阅读新闻组、咨询产品价格、订阅报纸、电子商务等。然而一般的用户恐怕不会想到有这些问题存在：正在访问的网页已被黑客篡改过，网页上的信息是虚假的！例如黑客将用户要浏览的网页的URL改写为指向黑客自己的服务器，当用户浏览目标网页的时候，实际上是向黑客服务器发出请求，那么黑客就能达到欺骗的目的了。一般Web欺骗使用两种技术手段，即URL地址重写技术和相关信关信息掩盖技术。利用URL地址，使这些地址都向攻击者的Web服务器，即攻击者能将自已的Web地址加在所有URL地址的前面。这样，当用户和站点进行安全链接时，就会毫不防备地进入攻击者的服器，于是用记的所有信息便处于攻击者的监视之中。但由于浏览器材一般均设有地址栏和状态栏，当浏览器和某个站点边接时，能在地址栏和状态样中获得连接中的Web站点地址及其相关的传输信息，用户由此能发现问题，所以攻击者往往在URLf址重写的同时，利用相关信息排盖技术，即一般用JavaScript程式来重写地址样和状枋样，以达到其排盖欺骗的目的。电子邮件电子邮件是互连网上运用得十分广泛的一种通讯方式。攻击者能使用一些邮件炸弹软件或CGI程式向目的邮箱发送大量内容重复、无用的垃圾邮件，从而使目的邮箱被撑爆而无法使用。当垃圾邮件的发送流量特别大时，更有可能造成邮件系统对于正常的工作反映缓慢，甚至瘫痪。相对于其他的攻击手段来说，这种攻击方法具有简单、见效快等好处。节点攻击攻击者在突破一台主机后，往往以此主机作为根据地，攻击其他主机(以隐蔽其入侵路径，避免留下蛛丝马迹)。他们能使用网络监听方法，尝试攻破同一网络内的其他主机；也能通过IP欺骗和主机信任关系，攻击其他主机。这类攻击非常狡猾，但由于某些技术非常难掌控，如TCP/IP欺骗攻击。攻击者通过外部计算机伪装成另一台合法机器来实现。他能磙坏两台机器间通信链路上的数据，其伪装的目的在于哄骗网络中的其他机器误将其攻击者作为合法机器加以接受，诱使其他机器向他发送据或允许他修改数据。TCP/IP欺骗能发生TCP/IP系统的所有层次上，包括数据链路层、网络层、运输层及应用层均容易受到影响。如果底层受到损害，则应用层的所有协议都将处于危险之中。另外由于用户本身不直接和底层相互相交流，因而对底层的攻击更具有欺骗性。网络监听网络监听是主机的一种工作模式，在这种模式下，主机能接收到本网段在同一条物理通道上传输的所有信息，而不管这些信息的发送方和接收方是谁。因为系统在进行密码校验时，用户输入的密码需要从用户端传送到服务器端，而攻击者就能在两端之间进行数据监听。此时若两台主机进行通信的信息没有加密，只要使用某些网络监听工具(如NetXRay for 视窗系统95/98/NT、Sniffit for Linux、Solaries等)就可轻而易举地截取包括口令和帐号在内的信息资料。虽然网络监听获得的用户帐号和口令具有一定的局限性，但监听者往往能够获得其所在网段的所有用户帐号及口令。黑客软件利用黑客软件攻击是互连网上比较多的一种攻击手法。Back Orifice2000、冰河等都是比较著名的特洛伊木马，他们能非法地取得用户计算机的终极用户级权利，能对其进行完全的控制，除了能进行文件操作外，同时也能进行对方桌面抓图、取得密码等操作。这些黑客软件分为服务器端和用户端，当黑客进行攻击时，会使用用户端程式登陆上已安装好服务器端程式的计算机，这些服务器端程式都比较小，一般会随附带于某些软件上。有可能当用户下载了一个小游戏并运行时，黑客软件的服务器端就安装完成了，而且大部分黑客软件的重生能力比较强，给用户进行清除造成一定的麻烦。特别是一种TXT文件欺骗手法，表面看上去是个TXT文本文件，但实际上却是个附带黑客程式的可执行程式，另外有些程式也会伪装成图片和其他格式的文件。安全漏洞许多系统都有这样那样的安全漏洞（Bugs）。其中一些是操作系统或应用软件本身具有的。如缓冲区溢出攻击。由于非常多系统在不检查程式和缓冲之间变化的情况，就任意接受任意长度的数据输入，把溢出的数据放在堆栈里，系统还照常执行命令。这样攻击者只要发送超出缓冲区所能处理的长度的指令，系统便进入不稳定状态。若攻击者特别设置一串准备用作攻击的字符，他甚至能访问根目录，从而拥有对整个网络的绝对控制权。另一些是利用协议漏洞进行攻击。如攻击者利用POP3一定要在根目录下运行的这一漏洞发动攻击，破坏的根目录，从而获得终极用户的权限。又如，ICMP协议也经常被用于发动拒绝服务攻击。他的具体手法就是向目的服务器发送大量的数据包，几乎占取该服务器所有的网络宽带，从而使其无法对正常的服务请求进行处理，而导致网站无法进入、网站响应速度大大降低或服务器瘫痪。常见的蠕虫病毒或和其同类的病毒都能对服务器进行拒绝服务攻击的进攻。他们的繁殖能力极强，一般通过Microsoft的 Outlook软件向众多邮箱发出带有病毒的邮件，而使邮件服务器无法承担如此庞大的数据处理量而瘫痪。对于个人上网用户而言，也有可能遭到大量数据包的攻击使其无法进行正常的网络操作。端口扫描所谓端口扫描，就是利用Socket编程和目标主机的某些端口建立TCP连接、进行传输协议的验证等，从而侦知目标主机的扫描端口是否是处于激活状态、主机提供了哪些服务、提供的服务中是否含有某些缺陷等等。常用的扫描方式有：Connect()扫描。Fragmentation扫描v 僵尸网络：僵尸网络 Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。 攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击者的指令，组成一个僵尸网络。之所以用僵尸网络这个名字，是为了更形象地让人们认识到这类危害的特点：众多的计算机在不知不觉中如同中国古老传说中的僵尸群一样被人驱赶和指挥着，成为被人利用的一种工具。在Botnet的概念中有这样几个关键词。“bot程序”是robot的缩写，是指实现恶意控制功能的程序代码；“