电子商务网站管理与维护 第4章 网站的安全概述.ppt

《电子商务网站管理与维护 第4章 网站的安全概述.ppt》由会员分享，可在线阅读，更多相关《电子商务网站管理与维护 第4章 网站的安全概述.ppt（15页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、任课教师：孙博电子商务网站管理与维护电子商务网站管理与维护孙孙博博任课教师：孙博第二篇第二篇 网站安全网站安全第4章 网站的安全概述第5章 网络病毒和防毒系统第6章 黑客与反黑客技术第7章 外部安全和防火墙技术第8章 Web站点的安全技术任课教师：孙博第第4章章网络的安全概述网络的安全概述网络安全网络安全的定义和的定义和评估评估网络安全网络安全的主要威的主要威胁胁网络安全网络安全保障体系保障体系任课教师：孙博 4.1.1 4.1.1 网络安全的定义网络安全的定义 网络安全定义:网络安全是指网络系统中的硬件、软件和各种数据的安全，有效防止各种资源不被有意或无意地破坏、被非法使用。网络安全需求:保

2、证数据的完整性、保证数据的保密性、保证数据的可获得性、信息的不可抵赖性、信息的可信赖性4 41 1 网络安全的定义和评估网络安全的定义和评估任课教师：孙博4 41 1 网络安全的定义和评估网络安全的定义和评估4.1.2 4.1.2 网络安全的评估网络安全的评估 美国国防部颁布的“可信计算机系统标准评估准则”把用户计算机系统的安全级别从低到高划分为四级七类，即：D1,C1,C2,B1,B2,B3,A1 我国的计算机信息系统安全保护等级划分准则（GB17859-1999）规定了计算机系统安全保护能力的5个等级任课教师：孙博各安全等级详解各安全等级详解D1级，整个系统是不可信任的，硬件和操作系统级，

3、整个系统是不可信任的，硬件和操作系统很容易被侵袭，任何人都可以使用该计算机系统，很容易被侵袭，任何人都可以使用该计算机系统，主要有：主要有：MS-Dos、MS-Windows3.x/Windows95、Apple的的System7.x；C1级，自主安全保护级。系统要求硬件有一定的级，自主安全保护级。系统要求硬件有一定的安全机制，用户在使用前必须登录到系统，并建立安全机制，用户在使用前必须登录到系统，并建立了访问许可权限机制，但用户直接访问操作系统的了访问许可权限机制，但用户直接访问操作系统的根，不能控制进入系统的用户的访问级别，主要有：根，不能控制进入系统的用户的访问级别，主要有：早期早期UN

4、IX、XENIX、Novell3.x；任课教师：孙博各安全等级详解各安全等级详解C2级，受控存取保护级。引进用户权限级别，进一级，受控存取保护级。引进用户权限级别，进一步限制了用户执行某些系统指令，授权分级使系统步限制了用户执行某些系统指令，授权分级使系统管理员能够按用户分组。数据访问为目录级，还采管理员能够按用户分组。数据访问为目录级，还采用了系统审计，跟踪所有安全事件及系统管理员的用了系统审计，跟踪所有安全事件及系统管理员的工作，主要有：工作，主要有：UNIX系统、系统、Novell3.x以上版本、以上版本、WindowsNT、2000；B1级，安全标记保护级。级，安全标记保护级。B2级，

5、结构化保护级。级，结构化保护级。任课教师：孙博4.2 4.2 网络安全的主要威胁网络安全的主要威胁4.2.1 4.2.1 威胁数据完整性的主要因素威胁数据完整性的主要因素 人员因素 灾难因素 逻辑问题 硬件故障 网络故障 4.2.2 4.2.2 威胁数据保密性的主要因素威胁数据保密性的主要因素直接威胁线缆链接身份鉴别编程破坏系统漏洞任课教师：孙博4.3 4.3 网络安全保障体系网络安全保障体系一个完整的网络安全保障体系涉及到以下几个方面：物理安全物理安全网网络安全安全网网络中的信息安全中的信息安全安全管理安全管理任课教师：孙博物理安全物理安全物理安全是保护计算网络设备、设施以及其媒体免遭地震水

6、灾火灾等事故以及人为的操作失误或错误引起的计算机硬件的毁坏。包括包括以下方面：以下方面：环境安全：对系统所在环境的安全保护，包括区域保护和灾难保护。设备安全：指设备的防盗、防毁、防止电磁辐射、防止电磁干扰、电源保护传输介质安全：包括传输线路及线路中的信息的安全任课教师：孙博网络安全网络安全内外网间隔及访问控制系统内部网不同网段的间隔及访问控制系统网络安全检测检测网络中最薄弱的环节并修正弱点和漏洞检测网络中最薄弱的环节并修正弱点和漏洞审计与控制 审计是记录用户使用计算机网络所进行的所审计是记录用户使用计算机网络所进行的所有活动过程。有活动过程。反黑与防毒网络备份系统 任课教师：孙博网络中的信息安

7、全网络中的信息安全信息传输安全：主体鉴别、数据加密、数据完整性鉴别、防抵赖；信息存储安全：数据库安全、终端安全。主体鉴别：对网络中的主体进行验证的过程。对网络中的主体进行验证的过程。数据传输安全系统：数据传输加密技术、数据完数据传输加密技术、数据完整性鉴别技术、防抵赖技术整性鉴别技术、防抵赖技术数据存储安全系统：数据库安全包括物理完整性、数据库安全包括物理完整性、逻辑完整性、元素完整性、数据加密、用户鉴别、逻辑完整性、元素完整性、数据加密、用户鉴别、可获得性、可审计性。可获得性、可审计性。信息内容审计系统：实时对进出内部网的信息进实时对进出内部网的信息进行审计，以防止或追查可能的泄密行为行审计

8、，以防止或追查可能的泄密行为任课教师：孙博安全管理安全管理(一一)安全管理原则 1.多人负责原则多人负责原则2.任期有限原则任期有限原则3.职权分离原则职权分离原则安全管理的实现1.根据工作的重要程度，确定该系统的安全等级根据工作的重要程度，确定该系统的安全等级2.根据确定的安全等级，确定安全管理范围根据确定的安全等级，确定安全管理范围3.制定相应的机房出入管理制度制定相应的机房出入管理制度4.制定严格的操作规程制定严格的操作规程5.制定完备的系统维护制度制定完备的系统维护制度6.制定应急措施制定应急措施任课教师：孙博CNNS的七层次安全保障体系1.实体安全实体安全2.平台安全平台安全3.数据安全数据安全4.通信安全通信安全5.应用安全应用安全6.运行安全运行安全7.管理安全管理安全安全管理安全管理(二二)一般小型网络重点保证平台一般小型网络重点保证平台安全一个层次，中型网络实安全一个层次，中型网络实施实体安全、平台安全、管施实体安全、平台安全、管理安全几个层次，大型要实理安全几个层次，大型要实施实体安全、平台安全、应施实体安全、平台安全、应用安全、运行安全、管理安用安全、运行安全、管理安全几个层次，一个大型高级全几个层次，一个大型高级网络的安全体系则覆盖全部网络的安全体系则覆盖全部七个层次。七个层次。任课教师：孙博本章结束本章结束