电子商务安全 .PPT

河海大学商学院（常州） 2)蠕虫 蠕虫与病毒的主要差别在于，蠕虫是在系统直接复制的(通常是经过网络)，而病毒是在本地计算机上复制。 RFCll35对蠕虫进行了如下定义：“蠕虫(worm)是一段能独立运行、为了维持自身存在会消耗主机资源，并且能复制一个自身的完全工作版本到另一台机器上的程序。” 蠕虫攻击一台计算机，接管它，并将其作为一个分段传输区域，搜寻并攻击其他机器。 在网络上，蠕虫的蔓延是不需要人为干预的。 河海大学商学院（常州） 蠕虫由一系列普通的基本元素组成： 一个弹头(Warhead)，一个复制引擎，一个有效载荷，一个目标选择算法，以及一个搜索引擎。 河海大学商学院（常州） 弹头是蠕虫中的一段代码，用以入侵已知的漏洞。 一旦蠕虫侵人了某个漏洞，它的复制引擎就用来将剩下的代码通过网络转移过去。转移过程通常通过一段文件转移程序来实现。 一旦蠕虫完整地转移过去，它就将发送它的有效载荷，然后运用其目标选择算法寻找其他潜在的受害对象进行攻击(例如受害机器上的电子邮件地址)。 搜索引擎确定其他潜在的受害对象中有哪些能被入侵。找到一个合适的攻击目标后，整个入侵过程就再重复一次。 这整个过程只需几秒钟或更短的时间，这就是为什么蠕虫能在数以千计的计算机中传播的原因。 河海大学商学院（常州） (3)宏病毒和宏蠕虫 当包含宏的应用对象(如表单、word文档、电子邮件信息等)被打开，或某特殊操作被执行(如文件被保存)，宏病毒(macrovirus)或宏蠕虫(macroworm)通常就开始执行。 Melissa和ILOVEYOU是宏蠕虫的两个典型代表，它们通过微软的Outlook繁殖。 如果你认为上述过程是个很复杂的工作，那么请注意，ILOVEYOU宏只有大概40行代码。 河海大学商学院（常州） (4)特洛伊木马 特洛伊木马(Trojan horse)是一种看似有用的程序，但其包含的隐藏功能也带来了安全风险。 特洛伊木马的名字来源于希腊神话里的“特洛伊木马”。传说中，在特洛伊战争期间，特洛伊城收到了一份献给女神雅典娜的礼物——一匹巨大的木马，特洛伊人就将木马拖进了城门。到了夜里，藏在木马中空部分的希腊士兵打开了城门并引入了希腊军队，使得希腊人占领了特洛伊城并赢得了战争的胜利。 河海大学商学院（常州） 尽管近些年来人们的安全意识有所提高，公司组织仍普遍在应对安全风险问题上犯一些错误。 价值被低估的信息。 很少有组织对特殊信息资产的价值有清晰的了解。 对安全边界的定义过于狭窄。 大多数组织关注他们内部网络的安全，而忽视了供应链合作伙伴的安全。 事后安全管理。 很多组织采取事后而不是事前的安全管理，在事故或问题发生之后才重视安全问题。 河海大学商学院（常州） 过时的安全管理程序。 很少有组织更新或者更换他们的安全惯例，以适应变化的需求。同样地，他们也很少更新员工关于信息安全管理方面的知识和技能。 缺乏关于安全责任的沟通。 安全问题常被视为IT问题，而不是组织问题。 河海大学商学院（常州） 大多数企业凭借多种技术手段确保其网络的安全。这些技术手段可以分成两大类： 一类是用来保护网络通信安全的， 一类是用来保护网络上的服务器和客户机的安全的。 先考虑的是第一类的技术手段。 网络安全最基本的两个方面就是访问控制和身份认证。 访问控制(access control)确定谁(人或机器)可以合法地使用某个网络的资源以及可以使用哪些资源。 资源可以是任何东西——网页、文本、数据库、应用软件、服务器、打印机，或任何其他信息资源或网络组件。 一般来说，访问控制列表(ACL)定义了哪些用户可以访问哪些资源，以及对于这些资源他们有哪些权限(例如，读、审查、写、打印、复制、删除、执行、修改或移动)。 河海大学商学院（常州） 身份认证过程是确认用户身份正是其所宣称的那样。 确认过程通常基于一种或多种用户特征，这些特征可以把某个人与其他人区分开。 这些能起到区分作用的特征可以是某人的所了解信息(如密码)，可以是某人的所有物(如凭证)，或者某个人其本身(如指纹)。 传统意义上的身份认证是基于密码的。 POM * 河海大学商学院（常州） 1．整理出计算机和网络安全攻击的趋势 2．描述不同规模公司的一般安全活动 3．了解电子商务安全的基本要素 4．解释网络安全攻击的基本类型 5．描述组织在管理安全问题上的常见错误 6．讨论电子商务通信安全的一些主要技术手段 7．详述电子商务网络安全组件的主要技术手段 河海大学商学院（常州） 电子商务安全问题不仅仅是阻止或响应网络攻击和入侵。 ·例如，如果某用户连入营销网站服务器以获得一些产品信息，而作为回报，用户被要求填写一张表单来提供一些统计资料和个人信息。在这种情况下，会产生哪些安全问题呢? 河海大学商学院（常州） 从用户的角度来看： 用户如