11.2防止黑客入侵（课件）《电子商务基础与应用》（西安电子科技大学出版社）

电子商务基础与应用（第十一版） 第十一章 网络交易安全管理 主讲人：杨坚争 教授 11.3 防止黑客入侵 防止黑客入侵 11.3.1 黑客的基本概念 11.3.2 网络黑客常用的攻击手段 11.3.3 防范黑客攻击的主要技术手段 11.3.1 黑客的基本概念 黑客 骇客 窃客 只想引人注目，证明自己的能力，在进入网络系统后，不会去破坏系统，或者仅仅会做一些无伤大雅的恶作剧，他们追求的是从侵入行为本身获得巨大的满足。 行为带有强烈的目的性，早期这些黑客主要窃取国家情报、科研情报，而现在的目标大都瞄准了银行的资金和电子商务交易过程。 11.3.2 网络黑客常用的攻击手段 口令攻击 口令攻击是网上攻击最常用的方法。黑客首先进入系统的常用服务，或对网络通信进行监视，使用扫描工具获取目标主机的有用信息，包括操作系统的类型和版本、主机域名、开放的端口、启动的保护手段等。然后，反复试验和推测用户的生日、电话号码或其他易记的线索等，获取进入系统的口令，以求侵入系统。 在网络交易中，出现了一些新的口令攻击方法： 11.3.2 网络黑客常用的攻击手段 撞库 脱裤 洗库 11.3.2 网络黑客常用的攻击手段 图11-9 撞库、脱裤、洗库相互关系图 2. 服务攻击 黑客所采用的服务攻击手段主要有4种 Page  7 11.3.2 网络黑客常用的攻击手段 (1) 和目标主机建立大量的连接。 (2) 向远程主机发送大量的数据包。 (3) 利用即时消息功能，以极快的速度用无数的消息“轰炸”某个特定用户，使目标主机缓冲区溢出，黑客伺机提升权限，获取信息或执行任意程序。 (4) 利用网络软件在实现协议时的漏洞，向目标主机发送特定格式的数据包，从而导致主机瘫痪。 3.网站攻击 11.3.2 网络黑客常用的攻击手段 针对网站的攻击手段 网页仿冒 网站后门 网页篡改 APP仿冒 1.入侵检测技术 入侵检测可以形象地描述为网络中不间断的摄像机。入侵检测通过旁路监听的方式不间断地收取网络数据，对网络的运行和性能无任何影响，同时判断其中是否含有攻击的企图，通过各种手段向管理员报警。该技术不但可以发现从外部入侵的攻击，也可以发现内部的恶意行为。 入侵检测系统产品为审核、监控和校正网络安全而专门设计。 11.3.3 防范黑客攻击的主要技术手段 2. 防火墙技术 （1）传统防火墙 11.3.3 防范黑客攻击的主要技术手段 传统防火墙 的类型 包过滤(Packet Filtering) 代理防火墙(Proxy) 电路层网关(Circuit Gateway) 11.3.3 防范黑客攻击的主要技术手段 （2）新型防火墙 图11-10 新型防火墙的系统构成 11.3.3 防范黑客攻击的主要技术手段 3. 物理隔离技术 图11-11 物理隔离卡工作示意图 图11-12 物理隔离网闸示意图 11.4 网络交易系统的安全管理制度 11.4.1 网络交易系统安全管理制度的涵义 11.4.2 人员管理制度 11.4.5 网络系统的日常维护制度 11.4.6 用户管理制度 11.4.7 病毒防范制度 11.4.8 应急措施 11.4.3 保密制度 11.4.4 跟踪、审计、稽核制度 网络交易系统安全管理制度是用文字形式对各项安全要求所做的规定，它是保证企业网络营销取得成功的重要基础，是企业网络营销人员安全工作的规范和准则。 鉴于不同企业网络交易系统的安全需求和安全投资不尽相同，网络交易系统的安全保护需实行等级保护制度。 11.4.1 网络交易系统安全管理制度的涵义 严格网络营销人员的选拔 落实工作责任制 贯彻电子商务安全运作基本原则 11.4.2 人员管理制度 11.4.3 保密制度 信息安全级别可以分为三级 (1) 绝密级 (2) 机密级 (3) 秘密级 跟踪制度要求企业建立网络交易系统日志机制，用来记录系统运行的全过程。系统日志文件是自动生成的，内容包括操作日期、操作方式、登录次数、运行时间、交易内容等。 审计制度包括经常对系统日志进行检查、审核，及时发现故意入侵系统行为的记录和违反系统安全功能的记录，监控和捕捉各种安全事件，保存、维护和管理系统日志。 稽核制度是指工商管理、银行、税务人员利用计算机及网络系统，借助于稽核业务应用软件调阅、查询、审核、判断辖区内各电子商务参与单位业务经营活动的合理性和安全性，发现漏洞，发出相应的警示或作出处理处罚有关决定的一系列步骤及措施。 11.4.4 跟踪、审计、稽核制度 11.4.5 网络系统的日常维护制度 2. 软件的管理与维护 支撑软件 应用软件 3. 数据备份制度 1. 硬件的管理与维护 网络设备 服务器和客户机 通信线路 广域网上一般都有几个至十几个应用系统，每个应用系统都设置了若干角色，用户管理的任务就是增加/删除用户、增加/修改用户组号。例如，要增加一个用户，须进行如下工作(以UNIX为例)： 在用户使用的客户机上增加用户并分配组号。 在用户使用的服务器数据库上增加用户并分配组号。 分配该用户的广域网访问权限。 11.4.6 用户管理制度 11.4.7 病毒防范制度 1. 应用防病毒软件 2. 认真执行病毒定期清理制度 3. 控制权限 4. 高度警惕网络陷阱 11.4.8 应急措施 应急措施 瞬时复制技术 远程磁盘镜像技术 数据库复制技术 11.5 电子商务交易安全的法律保障 电子商务交易安全的法律保障 11.5.2 电子签名法律制度 11.5.3 电子合同法律制度 11.5.4 网络商品和服务交易管理 11.5.5 我国电子商务交易安全的相关法律保护 11.5.1 电子商务经营者的行为规范 1. 电子商务经营者的分类 根据我国《电子商务法》 ，电子商务经营者是指通过互联网等信息网络从事销售商品或者提供服务的经营活动的自然人、法人和非法人组织，包括电子商务平台经营者、平台内经营者以及通过自建网站、其他网络服务销售商品或者提供服务的电子商务经营者。 电子商务平台经营者是指在电子商务中为交易双方或者多方提供网络经营场所、交易撮合、信息发布等服务，供交易双方或者多方独立开展交易活动的法人或者非法人组织。平台内经营者，是指通过电子商务平台销售商品或者提供服务的电子商务经营者。 11.5.1 电子商务经营者的行为规范 2. 电子商务经营者的登记制度 根据我国《电子商务法》第10条规定，电子商务经营者应当依法办理市场主体登记。但是，个人销售自产农副产品、家庭手工业产品，个人利用自己的技能从事依法无须取得许可的便民劳务活动和零星小额交易活动，以及依照法律、行政法规不需要进行登记的除外。销售的商品或者提供的服务应当符合法律规定。 11.5.1 电子商务经营者的行为规范 2. 电子商务经营者的登记制度 有4类主体开展电子商务交易是不用登记的： (1)个人销售自产农副产品、家庭手工业产品。 (2)个人利用自己的技能从事依法无须取得许可的便民劳务活动。 (3)零星小额交易活动。 (4)依照法律、行政法规不需要进行登记的。 11.5.1 电子商务经营者的行为规范 3. 电子商务经营者的信息公开 我国《电子商务法》第15条规定，电子商务经营者应当在其首页显著位置，持续公示营业执照信息、与其经营业务有关的行政许可信息、属于依照本法第十条规定的不需要办理市场主体登记情形等信息，或者上述信息的链接标识。前款规定的信息发生变更的，电子商务经营者应当及时更新公示信息。 4. 依法纳税 我国《电子商务法》第11条规定，电子商务经营者应当依法履行纳税义务，并依法享受税收优惠。依照前条规定不需要办理市场主体登记的电子商务经营者在首次纳税义务发生后，应当依照税收征收管理法律、行政法规的规定申请办理税务登记，并如实申报纳税。 11.5.1 电子商务经营者的行为规范 5. 使用电子发票 《电子商务法》第14条规定，电子商务经营者销售商品或者提供服务应当依法出具纸质发票或者电子发票等购货凭证或者服务单据。电子发票与纸质发票具有同等法律效力。 6. 电子商务平台经营者的法律责任 《电子商务法》第28条规定，电子商务平台经营者应当按照规定向市场监督管理部门报送平台内经营者的身份信息，提示未办理市场主体登记的经营者依法办理登记，并配合市场监督管理部门，针对电子商务的特点，为应当办理市场主体登记的经营者办理登记提供便利。 11.5.1 电子商务经营者的行为规范 1. 电子签名的概念 电子签名“是指数据电文中以电子形式所含、所附用以识别签名人身份并表明签名人认可其中内容的数据。” 2. 电子签名的适用前提与适用范围 涉及婚姻、收养、继承等人身关系的 涉及土地、房屋等不动产权益转让的 涉及停止供水、供热、供气、供电等公用事业服务的 法律、行政法规规定的不适用电子文书的其他情形 11.5.2 电子签名法律制度 3. 电子签名的法律效力 《电子签名法》第13条提出了认定可靠电子签名的四个基本条件，且这4个条件需要同时满足： 电子签名制作数据用于电子签名时，属于电子签名人专有； 签署时电子签名制作数据仅由电子签名人控制； 签署后对电子签名的任何改动都能够被发现； 签署后对数据电文内容和形式的任何改动都能够被发现。 4. 电子签名中各方当事人的基本行为规范 根据我国《电子签名法》，参与电子签名活动的包括电子签名人、电子签名依赖方和电子认证服务提供者。 11.5.2 电子签名法律制度 1．电子合同及其书面形式 “电子合同”系指经由电子、光学或类似手段生成、储存或传递的合同。电子合同通过数据电文(包括电报、传真、电子数据交换和电子邮件)传递信息，其所包含的信息应能够有形地表现所载内容，并能够完整调取以备日后查用。 这种方法具有以下特点： 电子数据的易消失性。 电子数据作为证据的局限性。 电子数据的易改动性。 11.5.3 电子合同法律制度 2. 电子合同的订立 11.5.3 电子合同法律制度 1 2 3 4 5 7 6 当事人所在地 要约与邀请要约 接受要约 发出和收到 自动交易 形式要求 拟由当事人提供的一般资料 11.5.3 电子合同法律制度 3. 网络交易中买卖双方当事人的权利和义务 卖方的义务 按照合同的规定提交标的物及单据 对标的物的权利承担担保义务 对标的物的质量承担担保义务 买方的义务 按网络交易规定方式支付价款 按合同规定的时间、地点和方式接受标的物 标的物验收 3)卖方不履行合同义务的救济 (1) 要求卖方实际履行合同义务，交付标的物的替代物或对标的物进行修理、补救。 (2) 减少支付价款。 (3) 对迟延或不履行合同要求损失赔偿。 (4) 解除合同，并要求损害赔偿。 4)买方不履行合同义务的救济 (1) 要求买方支付价款、收取货物或履行其他义务，并为此规定一段合理额外的延长期限，以便买方履行义务。 (2) 损害赔偿，要求买方支付合同价格与转售价之间的差额。 (3) 解除合同。 11.5.3 电子合同法律制度 4. 网络交易客户与虚拟银行间的法律关系 在电子商务中，虚拟银行同时扮演发送银行和接收银行的角色。其基本义务是依照客户的指示，准确、及时地完成电子资金划拨。 一方面，接收银行与其客户的合同要求它妥当地接收所划拨来的资金，也就是说，它接到发送银行传送来的资金划拨指示便应立即履行其义务。如有延误或失误，则应依接收银行自身与客户的合同处理。 另一方面，资金划拨中发送银行与接收银行一般都是某一电子资金划拨系统的成员，相互负有合同义务，如果接收银行未能妥当地执行资金划拨指示，则应同时对发送银行和受让人负责。 11.5.3 电子合同法律制度 11.5.4 网络商品和服务交易管理 保障商品和服务质量的义务 强化网络消费者权益保护 加强网络商品和服务交易的监管 建立完善的电子商务在线争议解决机制 1 2 3 4 1．我国涉及交易安全的法律法规 11.5.5 我国电子商务交易安全的相关 法律保护 涉及交易安全的法律法规 综合性法律，主要是民法通则和刑法中有关保护交易安全的条文 规范交易主体的有关法律，如公司法、国有企业法、集体企业法、合伙企业法、私营企业法、外资企业法等 规范交易行为的有关法律，包括电子签名法、经济合同法、产品质量法、财产保险法、消费者权益保护法、广告法等 监督交易行为的有关法律，如会计法、审计法、票据法、银行法等 2．我国涉及计算机犯罪的法律法规 计算机犯罪分为以下类型： Page  37 (1) 非法侵入计算机信息系统罪 (2) 非法获取计算机信息系统数据、非法控制计算机信息系统罪 (3) 提供侵入、非法控制计算机信息系统程序、工具罪 (5) 拒不履行信息网络安全管理义务罪 (6) 利用计算机实施犯罪的提示性规定 11.5.5 我国电子商务交易安全的相关 法律保护 (4) 破坏计算机信息系统罪 11.5.5 我国电子商务交易安全的相关 法律保护 3．我国涉及计算机网络安全的法律法规 (1) 网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。 (2) 任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。 每个工作站和每个终端都要建立健全网络操作的各项制度。 网络用户也应提高安全意识。 11.5.5 我国电子商务交易安全的相关 法律保护 3．我国涉及计算机网络安全的法律法规 (3) 网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。 (4) 任何个人和组织应当对其使用网络的行为负责，不得设立用于实施诈骗，传授犯罪方法，制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组，不得利用网络发布涉及实施诈骗，制作或者销售违禁物品、管制物品以及其他违法犯罪活动的信息。 11.5.5 我国电子商务交易安全的相关 法律保护 3．我国涉及计算机网络安全的法律法规 (5) 任何个人和组织发送的电子信息、提供的应用软件，不得设置恶意程序，不得含有法律、行政法规禁止发布或者传输的信息。 (6) 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。 The End 谢 谢！ ＋ � � � � � 内网 服务器 外网 服务器 物理隔离交换机 $$