网络商城安全解决方案行业标准建议.docx

1、网络商城安全解决方案行业标准建议网络商城安全解决方案行业标准建议一、电子商务安全环境行业背景二、电子商务发展行业现状与安全隐患1、我国电子商务发展行业现状2、我国电子商务行业存在的安全隐患三、网络商城行业安全问题分析1、网络商城行业安全现状1）宏观层面：a、安全问题依然是行业普遍隐患b、移动客户端的发展导致安全性能面临更大的挑战2）技术分析层面：a、信息安全隐患 b、交易安全隐患c、财产安全隐患2、网络商城安全问题的来源1）硬件层面2）软件层面3）应用层面4）环境层面四、国际安全技术解决方案行业标准1、加密技术：1）对称密码体制2）非对称密码体制2、认证技术：1）数字签名2）数字时间戳3）数字

2、证书4）C A 安全认证中心3、黑客技术：1) 防火墙技术2）入侵检测技术4、安全协议：1) SSL(Secure Sockets Layer安全套接层)2) SET协议(Secure Electronic Transaction安全电子交易)五、针对性解决方案的行业标准1、需要解决的问题1）僵尸网络：2）钓鱼攻击：3）原始攻击方式：2、解决方案的行业标准建议1）接入层应用层构架标准：a、CENTOS服务器系统b、NGINX HTTP和反向代理服务器c、SENGINX Web Server和 HTTP反向代理2）代码编程流程标准：3）安全应用层接入标准:4）通信安全标准：5）后台地址白名单7）

3、数据库安全标准6）日志安全管理标准六、结束语一、电子商务安全环境行业背景电子商务时代的到来，网络商城、网上购物和网络支付的消费方式已经成为人民群众的生活习惯，但版本不一的网络商城，从安全和可信度的角度上来看，已经成为技术规范和安全机制等标准的空白地带。在此现状下，企业没有可依据的规范框架，行业难以健康发展，产业上下游对接无序，政策监管和引导难以落地。良好的电子商务安全环境，是整个电子商务产业发展的前提。近年来，随着各项互联网技术和金融领域技术的发展，电子商务安全环境得到了很大的改善，但是电子商务安全问题还是层出不穷，电子商务安全环境仍然复杂。目前，行业没有统一标准所产生的问题和导致经济损失屡屡

4、可见，如平台系统无安全防护能力，导致系统被入侵或遭到恶意数据篡改，致使买卖双方中至少一方直接经济损失（例如：2013年名鞋库官方网站被入侵，用户数据泄露，遭诈骗集团恶意使用）；构建商城系统的技术标准不统一，导致水平层次不齐的程序员用各种编程语言汇编而成的商城系统，都能商业化应用，甚至有些是多年前已经逐步淘汰的技术成果；诸如此类的行业问题不胜枚举。网络商城的安全机制和系统编写标准是行业发展无法回避的导向，应尽快建立标准体系并尽快实施，以避免上诉类似情况成为普遍和更为严重的现象。通过建立相关的标准，使监督管理能够落地，让规范化的约束和指引得以落实，将行业发展引领至健康快速的发展道路上。二、电子商务

5、发展行业现状与安全隐患1、我国电子商务发展行业现状电子商务是综合运用电子信息技术，以提高贸易伙伴间商业运作效率为目标，将交易全过程中的数据和资料用电子方式实现，在商业的运作过程中实现交易无纸化、直接化。根据中国互联网络信息中心（CNNIC）在京发布第38次中国互联网络发展状况统计报告显示，截至2016年6月，中国网络购物用户规模达4.48亿，网上支付的用户规模达到 4.55 亿。从行业应用看，证券公司、金融结算机构、民航订票中心、信用卡发放等已成功进入电子商务领域，并进行了大量可靠的交易。经权威机构调查，我国信息产业总规模已超过14000亿元人民币电信业务年均增长率为33 ，信息产品制造业年均

6、增长率已大于3O 。中国电子商务正迈入繁荣阶段。2、我国电子商务行业存在的安全隐患由于计算机信息有共享和易于扩散等特性，它在处理、存储、传输和使用上有相对应的脆弱性，很容易被干扰、滥用、遗漏和丢失，甚至被泄露、窃取、篡改、冒充和破坏，还可能受到计算机病毒感染，因此在开放的网络上处理交易，如何保证传输数据的安全，是电子商务发展的最重要的因素之一。但是很大一部分的网站在建站开始及发展过程中，都更倾向于便利性、实用性，忽略了网络安全环节，给网站本身埋下了深深的隐患。据公安部的资料，利用计算机网络进行的各类违法行为在中国以每年3O 的速度递增，黑客的攻击方法已超过计算机病毒的种类，高达近千种。目前已发

7、现的黑客攻击案，约占安全事件总数的15 多数事件由于没有造成严重危害或商家不愿透露而未被曝光。有媒介报道，中国95的与Internet相连的网络管理中心遭到过境内外黑客的攻击或侵入其中银行、金融和证券机构更是黑客攻击的重点，金融领域的黑客犯罪案件涉案金额已高达数亿元。调查公司曾对电子商务的应用前景进行过在线调查，当问到为什么不愿意在线购物时，绝大多数的人的问题是担心遭到黑客的侵袭而导致信用卡信息丢失。因此，随着电子商务日益发展和普及，安全问题显得异常突出，解决安全问题已成为我国电子商务发展的当务之急。三、网络商城行业安全问题分析1、网络商城行业安全现状1）宏观层面：a、安全问题依然是行业普遍隐

8、患 近几年，各种用户信息泄露事件依然层出不穷。国内曾有网络安全平台发出报告称如家、汉庭等大批酒店的客户开房记录，因被第三方存储和系统漏洞而泄露。报告中，曝光了网上下载酒店客户信息的过程，成功下载的客户信息中，完整记录了入住酒店旅客的身份证、入住时间、入住的房间号码等隐私信息。随着互联网的发展，用户包括身份、银行财产等相关数据和互联网应用绑定越来越紧密，泄露风险和威胁越来越大。而企业为了提高用户操作和消费便利性，或者为了加快产品开发流程，往往忽略了安全性。 b、移动客户端的发展导致安全性能面临更大的挑战移动便携式终端设备，通过移动智能手机或者是无线局域网，实现一种不受时间和空间限制的商业模式。首

9、先由于移动终端的计算能力和存储能力有限，电池寿命短，许多安全性比较好的加密和认证技术措施不能很好地应用在这些移动设备上，从而带来了安全隐患。其次，由于移动设备体积较小，使用中很容易造成损坏或丢失。很多用户将比较机密的个人资料或商业机密存储在移动设备上，如果在没有备份的情况下丢失数据或者被他人恶意盗用，都将会造成很大的损失。另外，手机卡作为识别移动商务中用户身份的一个重要部分，在其他身份识别措施还不健全的情况下，一旦被恶意克隆，用户的个人身份被假冒，将成为犯罪分子进行欺诈的一种手段。同时，由于智能手机能够进行移动快捷支付和相关的金融活动，一旦被入侵能够为入侵者带来巨大的回报，因此，移动终端不但收

10、到一些恶意软件的威胁，也时刻收到病毒和黑客的威胁。而移动终端交互的频率极高，为病毒的高速传播提供了途径，在一些开放的wifi环境下这下病毒的传播就更加容易了。据前瞻网中国移动安全数据报告显示，安卓手机的恶意软件早已超过691639个，年均新增恶意软件69万个。而这些恶意软件中主要以窃取用户隐私数据的软件最多。移动电子商务的安全形势主要呈现出病毒形态以及行为的变化更加多样化、移动安全问题凸显、用户的关注度以及安全意识明显提高等特点。移动电子商务的发展导致电子商务安全面临更大的挑战。2）技术分析层面：a、信息安全隐患信息安全隐患是指由于各种原因引起的信息泄露、信息丢失、信息篡改、信息虚假、信息滞后

11、、信息不完善等，以及由此带来的风险。具体的表现有：窃取商业机密、泄露商业机密、篡改交易信息、非法删除交易信息、破坏信息的真实性和完整性、接收或发送虚假信息、盗取交易成果、伪造交易信息、非法删除交易数据、交易信息丢失、病毒破坏、黑客入侵等。信息被非法窃取或泄露可能为给有关企业和个人带来严重的后果和巨大的经济损失；如果不能及时得到准确完备的信息，企业和个人就无法对交易进行正确的分析和判断，作出符合理性的决策；非法删除交易信息和交易数据丢失可能导致经济纠纷，给交易的一方或者多方造成经济损失。b、交易安全隐患交易安全隐患是指网络商城交易过程过存在的各种不安全因素，包括交易的确认、产品和服务的提供、产品

12、和服务的质量、款项的支付等方面的问题。由于网络商城不同于传统市场，松散化、主体虚拟化、交易网络化、货币电子化、结算瞬间化等特点，导致网络商城交易的风险表现出新的形式，并且风险被放大。交易安全问题在现实中的表现主要有，卖方利用信息优势，以次充好，发布虚假信息、欺骗消费者，这种情况在淘宝网络商城上尤其常见，卖方利用参与者身份的不确定性与市场进出的随意性，在提供服务方面不遵守承诺，或者买方不遵守承诺。c、财产安全隐患财产安全是指由于各种原因造成网络商城的参与者面临的财产等经济利益风险。财产安全往往是网络商城安全问题的最终形式，也是信息安全问题和交易安全问题的后果。财产损失主要表现为财产损失和其他经济

13、损失。前者如客户银行资金被盗，交易者被冒名，其财产被冒领；后者如信息的泄露、丢失导致企业的信誉受损，遭遇网络攻击和故障导致网络商城系统效率下降或者瘫痪等。2、网络商城安全问题的来源1）硬件层面网络商城的基础是网络，而网络的物理支撑是各种硬件设施，这些硬件设施，这些硬件是设施会由于各种原因带来安全风险。这里有故障设备、人为因素，也有自然灾害。硬件安全问题虽然发生的概率非常小，但是一旦发生带来的伤害便是巨大的。2）软件层面网络不仅需要硬件作为支撑，还需要应用到各种系统软件和应用软件作为支撑，应用软件是网络商城系统中另一个重要的组成。由于各种人为和技术原因，各种系统软件和应用软件都会存在一定的缺陷和

14、漏洞。3）应用层面在硬件安全和软件安全的条件下，应用网络商城的人员使用的不恰当也会导致出现网络商城安全问题。例如，企业管理人员关于网络商城的知识水平和管理水平不高，导致不能胜任所承担的工作，导致企业的管理水平不高、效率低下；消费者关于网络商城和个人信息安全意识不高，导致个人信息泄露；网络攻击、商业欺诈等防醉行为，以获取机密信息或者破坏为目的的网络攻击是网络商城另外一个重要安全隐患，包括病毒攻击，木马程序以及其他形式的网络攻击。4）环境层面环境层面主要是指法律环境，法律是市场经济最重要的外部环境。法律不仅是打击网络犯罪的武器，更是各个主体商业活动的游戏规则。网络商城是一种全新的商务模式，我国关于

15、这方面的法律虽然已经有了，却还是不够完善，使许多网络交易纠纷的解决缺少相关的法律依据，更加为那些镶钻法律空子的投机分子提供了机会。四、国际安全技术解决方案行业标准网络商城的交易中，安全性主要是指网络安全和交易信息的安全。网络安全是指网络操作系统对抗网络攻击、病毒，使网络系统连续稳定的运行。交易信息的安全是指保护交易双方的不被破坏、不泄密和交易双方身份的确认。国际通用使用信息加密技术、数字证书、认证技术、SSL安全协议、SET等安全技术来保护，具体如下：1、加密技术：作为主动的信息安全防范措施，利用加密算法，将明文转换成为无意义的密文，阻止非法用户理解原始数据，从而确保数据的保密性。1）对称密码

16、体制：加密密钥与解密密钥是相同的，对称密码体制的优点是具有很高的保密强度，但它的密钥必须通过安全可靠的途径传递。2）非对称密码体制：加密过程和解密过程被设计成不同的途径，在计算上不可能由加密密钥求得解密密钥，因而加密密钥可以公开，而只需保密解密密钥即可。2、认证技术：是网络通信中标志通信各方身份信息的一系列数据，通过运用对称和非对称密码体制建立起一套严密的身份认证系统。具有信息除发送方和接收方外不被其他人窃取，信息在传输过程中不被篡改发送方能够通过数字证书来确认接收方的身份，发送方对于自己发送的信息不能抵赖等多项功能。1）数字签名：数字签名技术以加密技术为基础，其核心是采用加密技术的加、解密算

17、法体制来实现对报文的数字签名。2）数字时间戳：在网络商城交易过程中，需对交易文件的日期和时间信息采取安全措施，而数字时间戳服务（DTS service）专用于提供电子文件发表时间的安全保护。3）数字证书（Digital certificate, digital ID）：又称为数字凭证，即用电子手段来证实一个用户的身份和对网络资源的访问权限。4）C A 安全认证中心：电子商务安全认证体系的核心机构就是CA 认证中心（CA ：Certification Authority，证书授权）。认证中心作为受信任的第三方，需要承担网上安全电子交易的认证服务，主要负责产生、分配并管理用户的数字证书。它对电子商

18、务活动中的数据加密、数字签名、防抵赖、数据完整性以及身份鉴别所需的密钥和认证实施统一的集中化管理，保证网上在线交易的安全。3、黑客技术：1) 防火墙技术：加强网络之间的访问控制，防止外部网络用户以非法手段通过外部网络进人内部网络。防火墙技术主要有包过滤、代理服务、状态监控等技术。防火墙技术的主要优点是：过滤不安全的服务，提高网络安全和减少子网中主机的风险；提供对系统的访问控制，阻击攻击者获取攻击网络系统的有用信息，根据统计数据来判断可能的攻击和探测等。2）入侵检测技术：入侵检测系统（I D S）可以被定义为对计算机和网络资源的恶意使用行为进行识别和相应处理的系统。它通过对计算机系统进行监视，提

19、供实时的入侵监测，并采取相应的防护手段。入侵检测技术是一种主动保护自己免受黑客攻击的一种网络安全技术。能够帮助系统对付网络攻击，提高了信息安全基础结构的完整性，被认为是防火墙之后的第二道安全闸门。4、安全协议：1) SSL(Secure Sockets Layer安全套接层)：一种安全通信协议。SSL提供了两台计算机之间的安全连接，对整个会话进行了加密，从而保证了信息的安全传输。具有三个特点：采用对称密码体制来加密数据；采用信息验证算法进行完整性检验；对端实体的鉴别采用非对称密码体制进行认证。2) SET协议(Secure Electronic Transaction安全电子交易)：通过开放网

20、络进行安全资金支付的技术标准。SET向基于信用卡进行电子化交易的应用提供实现安全措施的规则，信息在Internet上安全传输,保证传输的数据不被黑客窃取；其定单信息和个人账号信息的隔离，当包含持卡人账号信息的定单送到商家时，商家只能看到定货信息，而看不到持卡人的账户信息，持卡人和商家相互认证，以确定通信双方的身份，一般由第三方机构负责为在线通信双方提供信用担保，要求软件遵循相同协议和报文格式 使不同厂家开发的软件具有兼容和互操作功能，并可运行在不同的硬件和操作系统平台上。五、针对性解决方案的行业标准建议1、需要解决的问题1）僵尸网络：僵尸网络是互联网上受到黑客集中控制的一群计算机，往往被黑客用

21、来发起大规模的网络攻击。同时黑客控制的这些计算机所保存的信息，譬如银行帐户的密码与社会安全号码等也都可被黑客随意“取用”。因此，不论是对网络安全运行还是用户数据安全的保护来说，僵尸网络都是极具威胁的隐患。僵尸网络的威胁也因此成为目前一个国际上十分关注的问题。然而，发现一个僵尸网络是非常困难的，因为黑客通常远程、隐蔽地控制分散在网络上的“僵尸主机”，这些主机的用户往往并不知情。因此，僵尸网络是目前互联网上黑客最青睐的作案工具。而网友只要通过搔首弄姿的美女、各种各样有趣的小游戏就能轻易的感染上僵尸病毒。2）钓鱼攻击：网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性邮件，意图引诱收信人给出

22、敏感信息如用户名、口令、帐号ID、ATM、PIN码或信用卡详细信息的一种攻击方式。最典型的网络钓鱼攻击是将收信人引诱到一个通过精心设计与目标网站非常相似的钓鱼网站上，获取个人敏感信息，而这些个人的信息被泄露以后，网络钓鱼攻击者就可以假冒受害者进行欺诈性金融交易，从而获得经济利益，致使受害者经常遭受显著的经济损失。在纷繁复杂的网络信息前，每天515万个的新增病毒、每天6030个新增的钓鱼网站，都让已然十分“牛逼”的网购用户规模显得“弱爆了”。数据还显示，每个网购者一年中会在不知不觉中平均绕过6个病毒，每千人中，就有7个人会遭遇钓鱼网站的困扰。3）原始攻击方式：如果我们按照西方人的思维方式去思考，

23、不断的追求和更新安全技术，防火墙可以做得非常强，但如果黑客不去窃取信息或数据，而只是去阻塞网站，这种非常野蛮的攻击方式用单纯的技术是很难解决的，而要靠管理或其它的方法去防范。美国电子商务网站遭受那么大规模的攻击，虽然有技术方面的原因，但总的看来还是一个管理的问题，这里的管理包括网站的经营者要如何防止自己的网站被攻击，上网的用户如何保证自己的机器不会无辜地被别人利用，现在网上的安全补丁很多，但很少有人真正用它或不知道怎么去用。2、解决方案的行业标准建议1）接入层应用层构架标准：使用原生CENTOS （因安全可控，开源）服务器系统，应用NGINX或SENGINX等高效服务器,部署Web Serve

24、r或HTTP反向代理两种模式、以及负载均衡模块。a、CENTOS服务器系统是Linux发行版之一，它是来自于Red Hat Enterprise Linux依照开放源代码规定释出的源代码所编译而成。CentOS是一套稳定可靠的服务器发行版。它采用的是与母公司Red Hat Enterprise Linux完全相同的、经过严格测试的稳定Linux内核与软件包配置。b、NGINX HTTP和反向代理服务器nginx是一个高性能的HTTP和反向代理服务器，也是一个IMAP/POP3/SMTP服务器。其特点是占有内存少，并发能力强，像知名的XX、京东、新浪、网易、腾讯、淘宝等都是nginx的用户。c、

25、SENGINX Web Server和 HTTP反向代理SEnginx是一个基于NGINX的WAF(Web Application Firewall)服务器，能以Web Server或HTTP反向代理两种模式进行部署。SEnginx继承了NGINX的全部功能，集成了多种第三方Web安全（ModSecurity和Naxsi）和负载均衡模块，并新研发了多种Web安全功能.2）代码编程流程标准：程序员在对开发范围、方式、工具了解的基础上，根据概要设计文档，完成代码的编写，并通过质量控制，预防和减少缺陷的产生，最终提交程序和形成相关手册。而代码编写过程中，要严格执行：逻辑代码- 支付接口- 物流接口-

26、 其他（微信端，APP,桌面）等一系列编写顺序过程。其中，逻辑代码进行黑白盒自动代码审计，检查源代码中的缺点和错误信息，分析并找到这些问题引发的安全漏洞，并及时修正。另外，支付接口要采用微信、支付宝、XX钱包等第三方可靠接口，确保交易在Internet用户和交易处理商之间安全、无缝的传递。3）安全应用层接入标准:接入专业的WAF等应用安全防御平台，基于云安全大数据能力，通过防御SQL注入、XSS跨站脚本、常见Web服务器插件漏洞、木马上传、非授权核心资源访问等OWASP常见攻击，过滤海量恶意访问，避免网站资产数据泄露，保障网站的安全与可用性。与传统防火墙不同，WAF工作在应用层，因此对Web应

27、用防护具有先天的技术优势。基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类网站站点进行有效防护。4）通信安全标准：网络通信的数据安全包括数据传输的安全性、数据的完整性、身份验证、不可抵赖性等几个方面。数据传输的安全性即是要保证在公网上传输的数据不被第三方窃取；对数据的完整性需求是指数据在传输过程中不被篡改；身份验证是指由于网上的通信双方互不见面，必须在相互通信时(交换敏感信息时)确认对方的真实身份；不可抵赖性是指在网上开展业务的各方在进行数据传输时，必须带有自身特有的,无法被别人复制的

28、信息，以保证发生纠纷时有所对证。那怎么保证这么功能的实现呢？最好的办法就是使用加密技术。使用JSON等方式做加密认证，JSON(JavaScript Object Notation) 是一种轻量级的数据交换格式，它基于ECMAScript的一个子集，采用完全独立于语言的文本格式，但是也使用了类似于C语言家族的习惯（包括C、C+、C#、Java、JavaScript、Perl、Python等），是加密认证的最佳选择。5）后台地址白名单白名单的概念与“黑名单”相对应。在网络商城系统里，有部分IP或者访问源地址都应用到了黑白名单规则，黑名单启用后，被列入到黑名单的用户（或IP地址、IP包、邮件、病毒

29、等）不能通过。如果设立了白名单，则在白名单中的用户（或IP地址、IP包、邮件等）会优先通过，不会被当成垃圾邮件拒收，安全性和快捷性都大大提高。该技术可以抵御日常恶意软件和有针对性的攻击，因为在默认情况下，任何未知访问都不能在网络商城端点上运行，如果恶意软件或者针对性攻击试图在启用了白名单添加，白名单技术会确定这不是可信进程，并否定其运行权限。6）日志安全管理标准系统日志使用统一的SYSLOG服务器进行全局业务日志管理与分析。Syslog记录着系统中的任何事件，管理者可以通过查看系统记录随时掌握系统状况。系统日志通过Syslog进程记录系统的有关事件，也可以记录应用程序运作事件。通过适当配置，还

30、可以实现运行Syslog协议的机器之间的通信。通过分析这些网络行为日志，可追踪和掌握与设备和网络有关的情况。7）数据库安全标准数据库采用MySQL、MSSSQL、SQL Server、PostgreSQL或PPAS等专业的数据平台，各数据库平台都拥有各自的优势特点。例如：MySQL在速度、普及率、系统环境下稳定性，线程间的环境转换等方面表现优异；PostgreSQL在开源协议、源代码规范、可靠性、多进程、查询处理能力更具优势。六、结束语电子商务安全是一个复杂的系统工程，除了面向技术层面的研究和应用之外还包含社会人文环境的建设，包括相关法律、法规以及信息道德和伦理等网络文化的传播和构建。本文主要

31、提出电子商务行业内，网络商城的安全解决方案标准，揭示了各种安全机制间的逻辑层次关系，并详细介绍了目前业界正在一些基本安全技术，并对其发展趋势做了探讨。这些都是具有较高理论意义和实用价值的课题，也是指引今后电子商务安全技术发展的重要方向。附录一：专有名词解释v 电子商务：电子商务是以信息网络技术为手段，以商品交换为中心的商务活动；也可理解为在互联网（Internet）、企业内部网（Intranet）和增值网（VAN，Value Added Network）上以电子交易方式进行交易活动和相关服务的活动，是传统商业活动各环节的电子化、网络化、信息化。电子商务通常是指在全球各地广泛的商业贸易活动中，在

32、因特网开放的网络环境下，基于浏览器/服务器应用方式，买卖双方不谋面地进行各种商贸活动，实现消费者的网上购物、商户之间的网上交易和在线电子支付以及各种商务活动、交易活动、金融活动和相关的综合服务活动的一种新型的商业运营模式。各国政府、学者、企业界人士根据自己所处的地位和对电子商务参与的角度和程度的不同，给出了许多不同的定义。电子商务分为：ABC、B2B、B2C、C2C、B2M、M2C、B2A（即B2G）、C2A（即C2G）、O2O 等。v 安全机制：指确保网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断的综合性系统性方法、规定、标准和技术的集合体。v 认证