第五讲第13章 知识产权及电子商务的安全威胁16481.pptx

《第五讲第13章 知识产权及电子商务的安全威胁16481.pptx》由会员分享，可在线阅读，更多相关《第五讲第13章 知识产权及电子商务的安全威胁16481.pptx（30页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 Harbin Institute of Technology1第第5讲讲 电子商务电子商务安全安全(4(4学时学时)哈尔滨工业大学管理学院哈尔滨工业大学管理学院哈尔滨工业大学管理学院哈尔滨工业大学管理学院王泽彬王泽彬王泽彬王泽彬WW 第第13章章 电子商务中的安全问题 Harbin Institute of Technology313.113.1安全概述安全概述13.213.2对知识产权的安全威胁对知识产权的安全威胁13.13.3 3对电子商务的安全威胁对电子商务的安全威胁13.413.4系统安全工程能力成熟度模型系统安全工程能力成熟度模型1313.1 1安全概述安全概述 Harbin In

2、stitute of Technology51988年年11月月3日蠕虫病毒日蠕虫病毒l康奈尔大学小罗伯特.莫里斯lUnix电子邮件程序l失控繁殖耗尽资源死机1999年年4月月26日日CIH2000年年2月月6日日yahoo、amazon、eBay DDOS 分布分布式拒绝服务式拒绝服务2000年春年春美、加、日、泰张贴信用卡号美、加、日、泰张贴信用卡号 Harbin Institute of Technology6安全威胁安全威胁l对计算机资产带来危险的任何行动或对象都称为安全威胁安全措施安全措施l l安全措施是指识别、降低或消除安全威胁的物理或逻辑步骤的总称 Harbin Institut

3、e of Technology7计算机安全计算机安全计算机安全保护企业资产不受未经授权的保护企业资产不受未经授权的访问、使用、篡改或破坏。访问、使用、篡改或破坏。根据安全的形式可分为两类安全：根据安全的形式可分为两类安全：l物理安全：是指通过可触及的保护设备，如警铃、保卫、防火门、安全栅栏、保险箱、防暴建筑物等进行的保护。l逻辑安全：使用非物理手段对资产进行保护称为逻辑安全。Harbin Institute of Technology8影响小（成本）影响大（成本）概率高概率低一般控制严格预防不用理会保险或备份计划IT系统风险管理模型Schneider&James Harbin Institut

4、e of Technology9根据安全的内容对安全分类根据安全的内容对安全分类l保密性防止未授权的数据暴露l完整性防止未授权的数据篡改l即需性防止延迟或拒绝服务 Harbin Institute of Technology10计算机安全策略计算机安全策略l一个组织针对计算机安全问题制定的所需要保护的资产、保护的原因、谁负责保护、哪些行为可以接受、哪些行为不可以接受的方针政策。l一般包括物理安全、网络安全、访问授权、病毒保护、灾难恢复等内容。Harbin Institute of Technology11安全策略的内容安全策略的内容l身份认证：谁想访问电子商务网站l访问控制：允许谁登录访问l保

5、密：谁有权查看特定信息l数据完整性：数据修改的授权l审计：由谁在何时导致了何事(日志)Harbin Institute of Technology12案例：医药电子商务安全案例金药网：中国医药电子商务平台金药网：中国医药电子商务平台是提供是提供医药医药B2B的电子商务平台的电子商务平台同时也是提供同时也是提供对医药对医药B2B进行监进行监督督的电子政务平台的电子政务平台 Harbin Institute of Technology13医药及医疗器械招标采购电子商务平台医药及医疗器械招标采购电子商务平台招标招标投标投标开标开标评标评标采购采购各监督方全程监控各监督方全程监控各监督方全程监控各监督

6、方全程监控 Harbin Institute of Technology14电子商务系统的安全措施：l屏蔽网页右键菜单功能，杜绝最基本的安全屏蔽网页右键菜单功能，杜绝最基本的安全隐患。隐患。l如果未加限制可以通过右键查看网页源代码，如果未加限制可以通过右键查看网页源代码，泄露一些网站的基本信息。泄露一些网站的基本信息。l会话期安全优化，数据加密传输。会话期安全优化，数据加密传输。即使传输中被截获也不会泄露传输内容即使传输中被截获也不会泄露传输内容l系统支持双通道数据存取。系统支持双通道数据存取。避免数据存储失败导致信息遗失。避免数据存储失败导致信息遗失。Harbin Institute of

7、Technology15电子商务系统的安全措施：l逻辑锁逻辑锁+表单、数据库内容加表单、数据库内容加密存储。密存储。表单被非法修改，逻辑锁会表单被非法修改，逻辑锁会发现并修正原有数据信息发现并修正原有数据信息数据维护人员也不能获知存数据维护人员也不能获知存储的内容，杜绝数据内部泄密储的内容，杜绝数据内部泄密案例：案例：1.计划单计划单 2.合同单合同单 3.入库单入库单 4.发票发票 5.结存单结存单 现金（现金（1001）减少：金额：）减少：金额：333，293.80现金（现金（1001）减少：摘要（餐费）金额：）减少：摘要（餐费）金额：441.00第第5号凭证号凭证财务要报的逐级追溯查询功

8、能财务要报的逐级追溯查询功能要报信息要报信息第第5号凭证的明细号凭证的明细构成明细构成明细凭证明细凭证明细步骤一步骤二步骤一：追溯某一条要报信息的构成明细。步骤二：根据某一条明细记录追溯记账凭证。Harbin Institute of Technology18电子商务系统的安全措施：l支持后台定期自动备份，具有快速灾难恢复功支持后台定期自动备份，具有快速灾难恢复功能。能。自动备份分为脱离原介质（刻制光盘）、脱自动备份分为脱离原介质（刻制光盘）、脱离操作系统（异地备份）、脱离数据库（分离离操作系统（异地备份）、脱离数据库（分离成备份文件）成备份文件）l频繁访问自动屏蔽机制等安全筛选条件。频繁访问

9、自动屏蔽机制等安全筛选条件。如果达到每秒数百次的如果达到每秒数百次的http请求，系统将自请求，系统将自动屏蔽该访问请求动屏蔽该访问请求 Harbin Institute of Technology19中国互联网络信息中心中国互联网络信息中心(China Internet Network Information Center，简称，简称CNNIC)是成立于是成立于1997年年6月月3日的非营利管理与服务机构，行使国家互联日的非营利管理与服务机构，行使国家互联网络信息中心的职责。网络信息中心的职责。CNNIC在业务上接受信息产在业务上接受信息产业部领导，在行政上接受中国科学院领导。中国科业部领导

10、，在行政上接受中国科学院领导。中国科学院计算机网络信息中心承担学院计算机网络信息中心承担CNNIC的运行和管理的运行和管理工作。由国内知名专家、各大互联网络单位代表组工作。由国内知名专家、各大互联网络单位代表组成的成的CNNIC工作委员会工作委员会，对，对CNNIC的建设、运行和的建设、运行和管理进行监督和评定。管理进行监督和评定。Harbin Institute of Technology20CNNIC承担的主要职责：承担的主要职责：1域名注册管理域名注册管理2IP地址、地址、AS号分配与管理号分配与管理3目录数据库服务目录数据库服务4互联网寻址技术研发互联网寻址技术研发5互联网调查与相关信

11、息服务互联网调查与相关信息服务6国际交流与政策调研国际交流与政策调研7.承担中国互联网协会政策与资源工作委承担中国互联网协会政策与资源工作委员会秘书处的工作员会秘书处的工作1313.2 2对知识产权的安全威胁 Harbin Institute of Technology22网络环境下对知识产权的侵犯变得更为容易和普遍。知识产权是指对智力劳动成果所享有的占有、使用、处分和收益的权利。知识产权的类型分为六种，即著作权（版权）、专利权、商标权、发现权、发明权和其他科技成果权。版权是指原创作品拥有人可行使以下权利，包括：复制权、发行权、公演权、改编权及广播权，及有权禁止任何人于未获授权的情况下行使上述

12、权利目前互联网上侵犯版权的损失额难以测量。N Harbin Institute of Technology23域名安全域名抢注域名抢注1999年11月美国反域名抢注消费者保护法案(ACPC)生效（网上商标保护法）保护公司的商标名称不被无此商标所有权者注册成域名域名变异注册某些著名域名的变体或易错拼写1313.3 3对电子商务的的安全威胁 Harbin Institute of Technology25对电子商务的的安全威胁:1、对客户机的安全威胁、对客户机的安全威胁2、对通信信道的安全威胁、对通信信道的安全威胁3、对服务器的安全威胁、对服务器的安全威胁1313.4 4系统安全工程能力成熟度模型

13、 Harbin Institute of Technology27用来刻画一个信息组织或信息系统安全用来刻画一个信息组织或信息系统安全工程过程基本特征的模型系统与认证体系。工程过程基本特征的模型系统与认证体系。系统安全工程能力成熟度模型，SSE-CMMSystemsSecurityEngineeringCapabilityMaturityModel Harbin Institute of Technology28系统安全工程能力成熟度模型，SSE-CMM Systems Security Engineering Capability Maturity Model SSE-CMM的的构构想想是是

14、1993年年4月月美美国国国国家家安安全全局局(NSA)提提出出来来的的。在在美美国国国国家家安安全全局局、美美国国国国防防部部、加加拿拿大大通通信信安安全全局局的的号号召召和和推推动动下下，汇汇聚聚了了超超过过60个个厂厂家家，集集中中了了大大量量的的人人力力、物物力和财力对该构想进行了开发实施力和财力对该构想进行了开发实施1996年年10月出版月出版SSE-CMM模型的第一个版本模型的第一个版本1997年年4月出版了评定方法的第一个版本月出版了评定方法的第一个版本1999年年4月发布了月发布了SSE-CMM的的2.0版本版本 Harbin Institute of Technology29

15、1非正式实施2计划与跟踪3良好定义4定量控制5持续改进0没有实施 执行了基础实施承诺实施计划实施规范实施跟踪实施验证实施定义标准过程剪裁标准过程使用数据执行已定义过程建立可度量的质量目标确定完成目标的过程能力有目的的管理实施建立量化过程的有效性目标改善过程的有效性安全工程组织的成熟度安全工程组织的成熟度 Harbin Institute of Technology30世界银行的调查显示印度软件的出口规世界银行的调查显示印度软件的出口规模、质量和成本三项综合指数居世界首位。模、质量和成本三项综合指数居世界首位。而包括而包括SSE-CMM、SW-CMM在内的在内的CMM体系在印度较广泛的推广，起了重要的作体系在印度较广泛的推广，起了重要的作用。用。全球第全球第5级的软件公司有级的软件公司有2/3 在印度。在印度。中国中国0。