基于WEB物流管理信息系统安全体系设计.docVIP

基于WEB物流管理信息系统安全体系设计 　　[摘要]随着信息技术、网络技术和电子商务的高速发展，在广泛开放的网络平台上部署全球性的企业应用系统已经得到广泛的应用。J2EE作为中间件技术史上的一块具有决定意义的里程碑，相应地关于J2EE安全的研究也越来越广泛。以某工贸公司物流管理信息系统为背景，对基于J2EE技术的企业应用系统的安全进行了研究。 　　[关键词]J2EE技术 物流管理 访问控制 　　中图分类号：TP3文献标识码：A文章编号：1671－7597（2009）0220066－01 　　 　　一、引言 　　 　　当前越来越多的企业建立起局域网、城域网和广域网，利用Internet开展电子商务，在这些网络上运行着ERP、MRP、CRM、CAD/CAM、MIS和POS等应用系统，企业的物流、商流及资金流不同程度地在这些网络上流动。因此，保护企业的计算机数据及网络系统的正常运行，才能使企业的正常经营活动得以持续不断地开展。要建立安全的企业网络系统必须包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术和黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，最大限度地保护系统安全。 　　 　　二、物流管理信息系统的安全体系结构 　　 　　邯钢集团工贸分公司物流管理信息系统是基于J2EE的分布式的大型应用系统。系统地域跨度大，操作人员非常多，管理层次复杂，并且允许远程用户通过Internet访问内网，存在大量的安全威胁。根据本企业的实际情况，遵照网络安全设计管理原则，从经济性、实用性、先进性、管理性等方面综合考虑，设计了本系统的安全体系结构。 　　 　　三、物流管理信息系统的安全体系设计 　　 　　（一）网络安全。网络拓扑结构的性能优化是网络安全的重要环节，也是一项基本措施。其指导思想在于：避免造成旁路可通，实施统一的强制安全策略。将非法用户与网络资源相互隔离，把不同需求的用户划分为不同的网段，从而加强对用户非法访问的控制。 　　本系统采用了4层体系结构，各层之间分布在网络的不同位置，通过防火墙和入侵检测技术进行了有效的隔离。 　　上述拓扑结构使用了两层防火墙，包含有部署着Web服务器的DMZ（demilitarized zone非军事区），展示了在J2EE环境中构建DMZ的方法。就是生成Web服务器和其他internet访问机器的子网，用防火墙保护这个子网。然后在DMZ和数据库与应用服务器所在的内部网之间采用更强大的防火墙。环境的安全性是由合适的DMZ分区、防火墙和在Web服务器及WAS端的安全策略的配置之组合保证的。来自Internet的所有请求都在DMZ中得到处理，但只有被授权的请求可以进入Intranet。利用外层防火墙实现了内外网的隔离和访问控制。同时在WEB服务器和应用服务器之间也加了内层防火墙，防止影响一个网段的问题在整个网络中传播，限制局域网络安全问题对全局网络造成的影响。内层防火墙还起到保护应用服务器和数据库的作用。 　　另外，随着攻击者的日趋成熟，攻击工具与手法日趋复杂多样，单纯的防火墙策略已无法满足对安全高度敏感的部门的需要，我们在防火墙的内侧部署了snort入侵检测系统作为防火墙系统的补充，防止经过防火墙系统过滤后的数据包中非法代码对内部网络系统发动攻击，以确保本系统的网络安全。 　　（二）企业应用安全。针对邯钢集团工贸分公司物流管理信息系统及以上应具备的特征，我们提出了以下的身份认证实现方法： 　　身份认证是应用系统证实实体身份的过程，是保证系统安全的重要措施之一。用户在访问系统之前，首先要经过身份认证系统进行身份识别，然后系统根据用户的身份和授权决定用户是否能够访问某个资源。一旦身份认证系统被攻破，整个系统的安全就没有任何保障。不同系统身份认证的方案，必须根据各种系统的不同平台和不同安全性要求来进行设计。同时，身份认证要尽可能的方便、可靠，并尽可能地降低成本。一般来说，身份认证是通过三种基本方式或其组合方式来完成：口令认证、智能卡认证、生物特征的认证。 　　（三）数据的访问控制。访问控制就是限制、检查那些用户能够访问那些数据对象。同一个数据对象的不同的访问方式如读、写等，对不同的用户也是不同的。访问控制可以分为三大类：自主访问控制(DAC)、强制存取控制(MAC)和基于角色的访问控制(RBAC)。 　　本系统采用的是J2EE平台和N层体系结构，包含了WEB层和EJB层的安全。在本系统中，我们利用J2EE的安全机制，在WEB层、EJB层都实施了访问控制。WEB层的访问控制实现了不同的角色的用户能操作的页面不同，