速发外链网电子商务平台的安全防护技术
电子商务平台的安全策略
2.1 防火墙策略防火墙是指由硬件设备或软件、或软硬件结合而成的，在内部网络与外部网络之间构建的防护屏障。所有的内部网络与外部网络之间的连接都必须经过这一防护层，并由其进行检查和连接。只有被授权的通信才能通过防火墙，从而在一定意义上隔离内部网络与外部网络，防止非法入侵、非法使用系统资源、实施安全管制措施。防火墙基本分为两类：包过滤和基于代理的防火墙。包过滤防火墙对数据包进行分析、选择，依据系统内预先设定的过滤逻辑来确定是否允许该数据包通过。代理防火墙能够将网络通信链路分为两段，使内部网络与互联网不直接通信，而是使用代理服务器作为数据转发的中转站，只有那些被认为可信赖的数据才允许通过。这两种防火墙各有其优缺点：包过滤器只能结合源地址、目标地址和端口号才能起作用，如果攻击者攻破了包过滤防火墙，整个网络就公开了。代理防火墙比包过滤器慢，当网站访问量较大时会影响上网速度；代理防火墙在设立和维护规则集时比较复杂，有时会导致错误配置和安全漏洞。由于这两种防火墙各有优缺点，因此在实际应用中常将这两种防火墙组合使用。目前市场上最新的防火墙产品集成了代理和包过滤技术，提供了管理数据段和实现高吞吐速度的解决方案。这些混合型的设备在安全要求比吞吐速度有更高要求时，能实行代理验证服务，在需要高速度时，它们能灵活地采用包过滤规则作为保护方法。
2.2 入侵监测系统防火墙是一种隔离控制技术，一旦入侵者进入了系统，他们便不受任何阻挡。它不能主动检测和分析网络内外的危险行为，捕捉侵入罪证。而入侵监测系统能够监视和跟踪系统、事件、安全记录和系统日志，以及网络中的数据包，识别出任何不希望有的活动，在入侵者对系统发生危害前，检测到入侵攻击，并利用报警与防护系统进行报警、阻断等响应。入侵监测系统所采用的技术有：（1）特征检测：这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。（2）异常检测：假设入侵者活动异于正常主体的活动。根据这一理念建立主体正常活动的“活动档案”，将当前主体的活动状况与“活动档案”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动档案”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。
2.3 网络漏洞检测器没有绝对安全的网站，任何安全漏洞都可能导致风险产生。网络漏洞检测器是一个漏洞和风险评估工具，用于发现、发掘和报告安全隐患和可能被黑客利用的网络安全漏洞。网络漏洞检测器分为内部检测和外部检测两种工作方式：（1）外部检测：通过远程检测目标主机TCP/IP不同端口的服务，记录目标给予的回答。通过这种方法，可以搜集到很多目标主机的各种信息，例如：是否能用匿名登录、是否有可写的FTP目录、是否能用TELNET等。然后与漏洞检测系统提供的漏洞库进行匹配，满足匹配条件则视为漏洞。也可通过模拟黑客的进攻手法，对目标主机系统进行攻击性的安全漏洞检测。如果模拟攻击成功，则可视为漏洞存在。（2）内部检测：漏洞检测器以root身份登录目标主机，记录系统配置的各项主要参数，将之与安全配置标准库进行比较和匹配，凡不满足者即视为漏洞。
2.4 防病毒系统病毒在网络中存储、传播、感染的途径多、速度快、方式各异，对网站的危害较大。因此，应利用全方位防病毒产品，实施“层层设防、集中控制、以防为主、防杀结合”的防病毒策略，构建全面的防病毒体系。常用的防病毒技术有：（1）反病毒扫描：通过对病毒代码的分析找出能成为病毒结构线索的唯一特征。病毒扫描软件可搜索这些特征或其它能表示有某种病毒存在的代码段。（2）完整性检查：通过识别文件和系统的改变来发现病毒。完整性检查程序只有当病毒正在工作并做些什么事情时才能起作用，而网站可能在完整性检查程序开始检测病毒之前已感染了病毒，潜伏的病毒也可以避开检查。（3）行为封锁：行为封锁的目的是防止病毒的破坏。这种技术试图在病毒马上就要开始工作时阻止它。每当某一反常的事情将要发生时，行为封锁软件就会检测到并警告用户。
2.5 启用安全认证系统企业电子商务平台的安全除平台本身硬件和软件的安全外，还应包括传输信息的安全。对一些重要的传输信息，应保证信息在传输过程中不被他人窃取、偷看或修改。因此，应在平台服务器中启用安全认证系统。安全认证系统对重要的信息采用密码技术进行加密，使它成为一种不可理解的密文。接收方收到密文后再对其进行解密，将密文还原成原来可理解的形式。目前，在电子商务中普遍采用SSL安全协议。SSL安全协议主要提供三方面的服务：（1）认证用户和服务器，使得它们能够确信数据将被发送到正确的客户机和服务器上。（2）加密数据以隐藏被传送的数据。（3）维护数据的完整性，确保数据在传输过程中不被改变。
3 结束语
任何一种安全措施都有其局限性，企业电子商务平台的设计人员必须在精心地安全分析、风险评估、商业需求分析和平台运行效率分析的基础上，制定出整体的安全解决方案。为保证整体安全解决方案的效率，各安全产品之间应该实现一种联动机制。当漏洞检测器发现安全问题时，就会通知系统管理员，及时采取补漏措施；当入侵监测系统检测到攻击行为时，就会利用防火墙进行实时阻断；当防病毒系统发现新病毒时，也会及时更新入侵监测系统的病毒攻击库，以提高入侵监测系统的检测效率；由于安全产品和服务器、安全产品与安全产品之间都需要进行必要的数据通信，为了保证这些通信的保密性和完整性，可以采用安全认证手段。只有当各种安全产品真正实现联动时，网络安全才能得到保障。
任何一种安全防护手段都有其限制，企业电子商务网站的规划者需在细致的安全评估、风险预判、业务需求调研和网站运营效率评估的基础上，构建全面的安全策略。为确保安全策略的高效执行，各类安全产品间应实现一种协同机制。一旦漏洞检测工具发现安全隐患，便应及时通知系统管理者，迅速执行修补措施；一旦入侵检测系统侦测到攻击行为，便将利用防火墙实施实时拦截；一旦防病毒系统识别出新病毒，也会及时更新入侵检测系统的病毒库，提升入侵检测系统的侦测效能；鉴于安全产品与服务器、安全产品与安全产品之间均需进行必要的数据交流，为确保这些交流的机密性和完整性，可采取安全认证措施。唯有当各类安全产品真正实现协同时，网络安全方可得到保障。
网站免遭攻击的防御策略
一、网站遭受攻击是可以防御的，以下是一些防御方法：
（1）关闭不必要的端口和服务；
（2）安装杀毒软件或防火墙以抵御攻击；
（3）定期更换账户密码，尽量设置复杂，避免使用弱密码；
（4）日常维护时注意，不建议在服务器上安装过多软件；
（5）及时修复漏洞，官方发布安全补丁时，及时更新；
（6）设置账户权限，不同文件夹允许哪些账号访问、修改等，同时，重要文件夹建议增加密码；
（7）建议定期备份数据，发现问题时，可及时替换为正常文件。
二、导致网站遭受攻击的原因
（1）外部因素
网站外部攻击大多为DDoS流量攻击。DDoS攻击主要利用大量合法请求占用大量网络资源，为达到网络瘫痪的目的，其攻击方式通常是通过服务器提交大量请求，使服务器超负荷，阻止用户访问服务器和服务以及特定系统或个人的通讯。
DDoS流量攻击也包括CC攻击，CC主要用于攻击页面，CC攻击的原理是攻击者控制一些主机向其他服务器发送大量数据包，造成服务器资源耗尽，直至崩溃。简单来说，CC就是模拟多个用户的连续访问，这需要大量的数据操作，也就是不断地使用大量的CPU，这样服务器就永远不会有足够的连接来处理，直到由于网络拥塞而中断正常的访问。
（2）内部因素
主要源于网站本身。对于企业网站来说，就是把网站作为一个门面，安全意识薄弱，这几乎是企业网站的一个普遍问题，安全意识不强，从某种意义上来说，网站受到了攻击。更可怕的是，大多数网站被攻击后都蒙混过关，没有足够的攻击意识，如真正严重的攻击损失是巨大的，然后想去修补，已经太迟了。
三、防止DDoS攻击的方法
（1）减少公开暴露
之前曝光的Booster站点或lizardstress ser（一个臭名昭著的LizardSquad的子站点）为特定目标提供付费的DDoS攻击，这些站点还将攻击伪装成合法的负载测试。该黑客组织在2014年圣诞节期间使用DDoS攻击微软的Xbox Live和索尼的PSN网络，导致许多玩家长时间没有娱乐活动。
对于企业来说，减少公开暴露是抵御DDoS攻击的有效方法。为PSN网络建立安全组和专用网络，及时关闭不必要的服务，可以有效防止网络黑客窥探和入侵系统。具体措施包括禁止访问主机非开放服务，限制同时打开的SYN连接的最大数量，限制对特定IP地址的访问，以及启用防火墙抗DDoS属性。
（2）利用扩展和冗余
DDoS攻击针对不同协议层有不同的攻击方式，因此我们必须采取多重防护措施。利用扩展和冗余可以防患于未然，保证系统具有一定的弹性和可扩展性，确保在DDoS攻击期间可以按需使用，尤其是系统在多个地理区域同时运行的情况下。任何运行在云中的虚拟机实例都需要保证网络资源可用。
微软为所有的Azure提供了域名系统(DNS)和网络负载均衡，Rackspace提供了控制流量流的专属云负载均衡。结合CDN系统通过多个节点分散流量，避免流量过度集中，还能做到按需缓存，使系统不易遭受DDoS攻击。
（3）充足的网络带宽保证
网络带宽直接决定了能承受攻击的能力，若仅有10M带宽，无论采取什么措施都很难对抗当今的SYNFlood攻击，至少要选择100M的共享带宽，最好的当然是挂在1000M的主干上了。但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的，若把它接在100M的交换机上，它的实际带宽不会超过100M，再就是接在100M的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上限制实际带宽为10M，这点一定要搞清楚。
（4）分布式服务拒绝DDoS攻击
所谓的分布式资源共享服务器意味着数据和程序可以分布到多个服务器，而不是一个。分布式有利于任务在整个计算机系统中的分配和优化，克服了传统的集中式系统会导致中央主机资源紧张和响应瓶颈的缺点。分布式数据中心的规模越大，越有可能分散DDoS攻击的流量，越容易抵御攻击。
（5）实时监控系统性能
除了上述措施，实时监控系统性能也是防止DDoS攻击的重要手段。不合理的DNS服务器配置也会导致系统容易受到DDoS攻击。系统监控可以实时监控系统的可用性、API、CDN、DNS等第三方服务提供商的性能，监控网络节点，检查可能存在的安全风险，及时清理新的漏洞。由于骨干网节点的带宽较高，是黑客攻击的最佳场所，因此加强对骨干网节点的监控显得尤为重要。
