信息安全 应用安全

《信息安全 应用安全》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全概论第15章应用安全第15章应用安全应用系统的安全是安全建设最主要的目的。因为信息总是通过应用系统来存取的，因此，应用系统的安全是确保信息安全的根本。本章介绍常见应用的安全，包括Web、Email和电子商务的安全问题。15.1Web安全由于Web业务是开放的交互业务，而且其实现支撑平台也越来越复杂，因此Web业务的安全性较其他业务面临更大的挑战。15.1.1Web安全目标Web安全的主要目标如下：（1）服务器安全l保护服务器不被非授权访问、不被篡改或阻塞；l保护服务软件不访问系统文件，从而引起系统混乱；l只允许授权用户访问Web发布的信息；l确保用户上载的数据的安全可靠。（2）传输

2、安全确保重要的Web服务信息在传输中不被窃听和篡改。（3）客户机安全确保浏览器不被恶意代码侵袭，尤其是不没病毒和木马侵袭。15.1.2Web安全措施针对以上安全目标，目前采取的防护措施主要有以下几类：（1）定期扫描加固Web服务器被入侵通常是由于存在漏洞，其中大部分漏洞都是已知的，并且已发布了相应的补丁程序。因此，只要采用专门的漏洞扫描系统定期进行扫描，发现漏洞并打上补丁进行加固，可以避免很多威胁。（2）安装Web服务器保护系统目前有很多公司开发了专用的Web服务器保护软件，这些软件通过控制Web服务器的I/O操作或定时检查主页的完整性来防止Web页面被篡改。（3）采用完善的认证和加密措施

3、对于重要的业务系统，必须对每一位访问者进行足够强度的身份认证，并对传输信息进行加密。在这方面，前面介绍过的IPsec协议和SSL协议都可以提供相应的措施。尤其是SSL协议基本上主要是保护Web服务的。还有安全http（s_http）协议，是专门针对http的安全而提出来的，它通过在客户端设立本地代理与服务器建立安全通道，实现加密和认证。由于s-http16信息安全概论第15章应用安全应用不是很广泛，这里不再做专门介绍。（４）设立代理服务器在真正的web服务器前设立代理服务器，对web请求进行分析，只有那些合理的、安全的请求才被转发到真正的服务器，也是保护Web服务器的有效措施。代理服务器可

4、以只检查和转发Web请求和响应，也可在真实服务器和代理服务器间建立映射关系，将真实服务器隐藏。（５）谨慎设置浏览器安全选项客户端浏览器的安全也是很重要的，除了在与服务器连接时采用SSL等协议进行认证外，正确设置浏览器自身的安全选项也很重要，如谨慎使用Active-X控件，java脚本，不随意执行下载的程序等等措施都有利于安全。15.1Email安全E-mail是最广泛的应用之一，除了常见的安全因素外，Email还涉及个人隐私等敏感问题，因此其安全性备受关注。15.2.1Email系统组成Email系统主要由邮件分发代理、邮件传输代理、邮件用户代理及邮件工作站组成。如图15.1。各部分作用如

5、下：邮件用户代理MUA邮件传输代理MTA邮件分发代理MDA邮件数据库邮件工作站用户邮件服务器传输网络邮件工作站用户图15.1Email系统组成(1).邮件分发代理MDA：负责将邮件数据库中的邮件分发到用户的邮箱中。在分发邮件时，MDA16信息安全概论第15章应用安全还承担邮件自动过滤，邮件自动回复和邮件自动触发等功能。常见的MDA开放原代码程序有binmail和promail等。(1).邮件传输代理MTA：负责邮件的接收和发送，通常采用SMTP协议传输邮件。常见的MTA程序有sendmail、qmail和Postfix等。(2).邮件用户代理MUA：MUA并不接收邮件，而是负责将邮箱中的邮

6、件显示给用户。MUA常用的协议有POP3和IMAP，常见的程序有pine、kmail等。(3).邮件工作站：是邮件用户直接操作的计算机，负责显示邮件、撰写邮件等。15.2.1Email安全目标根据邮件系统的组成，可以将邮件安全的目标总结如下：(1).邮件分发安全：邮件分发时可能遇到垃圾邮件、邮件病毒、开放转发等威胁，所以邮件分发安全应能阻止垃圾邮件和开放转发，并查杀已知病毒。，(2).邮件传输安全：邮件在传输过程中可能被窃听、被篡改，因此必须保障邮件传输的机密性和完整性。同时，邮件在传输中采用SMTP协议，该协议中允许远程查询邮件帐户，因此，如何在高安全要求的系统中保护邮件帐户的状态（如存

7、在、可用等）也是安全的目标。(3).邮件用户安全：邮件用户通过工作站，采用POP3或IMAP等协议浏览邮件，这个过程中需要确认用户的身份，否则将导致邮件被非授权访问。同时，邮件在用户工作站上显示时，可能需要在本地执行显示软件，因而容易使病毒或其他有害代码发作。所以在工作站端，也要能支持病毒查杀功能。15.2.2Email安全措施　　　针对以上安全目标，常用的安全措施如下：(1).身份认证：包括邮件转发认证，邮件收发认证等