【电子商务安全】概论-58码农网

电子商务安全

发展

电子商务经营模式

B2B:企业对企业透过网际网路沟通或下单採购的商业行为

交易频率低，但交易金额高所交易的产品十分广泛，可以是原料，也可以是成品、半成品交易的过程最複杂，规範也是最严格的

B2C:企业直接以消费者为交易对象

C2C:消费者与消费者之间相互交易的商业行为

C2B:将消费者聚集起来，在具有一定的规模后，与企业进行议价

  梅特卡夫定律（MetcalfsLaw）=>价值＝nxn（网站参与成员×网站参与成员）

资讯系统之安全分析

弱点分析:对整个系统的架构进行了解与测试，并分析出系统的弱点威胁分析:分析系统可能遭受的威胁与攻击对策分析:针对弱点会出现的安全威胁，定出安全策略所需的安全机制风险分析:评估风险与可能的损失

ISAC整体传输架构

TAXII

共享即时性的资安情报

发送者:网路威胁来源端接收者:网路威胁接收端TAXII Transfer Agent (TTA):接收or传送TAXII讯息TAXII Message Handler (TMH):产生or解读TAXII讯息TAXII Back-end:储存或管理等

STIX

快速通报事件的情报

资讯安全基本需求

保密与机密性:确保资讯的机密，可透过加密确保

完整性:确保资料传输的资讯正确与不被串改，可利用数位签章或先加密再传送

可用性:确保系统的正确性

  可用性等级:2个九 3个九

鉴别性:能鉴讯息来源(数位签章or资料加密)或身分(验证身分)

不可否认性:传送或接收方不能否认没有传送或接收某讯息资料

  来源不可否认：传送方送出  收件不可否认：接收方收件  投件不可否认：传送方送至转送者（或递送机构）  送达不可否认：转送者（或递送机构）送至接收方  递送不可否认：传送方或转送者收到讯息

存取控制:依使用者的等级分配存取权限

稽核:用稽核纪录追蹤事件

安全系统元件

系统使用者系统操作介面后端处理程序资料库系统通讯管道

资讯安全架构

外围层(Environment Layer):库房外部层(External Layer):使用者介面中心层(Central Layer):内外层桥梁(系统)内部层(Internal Layer):资料库分析层(Analysis Layer):系统管理与安全分析法律层(Law Layer):法律

风险管理程序

资产价值=机密性(C)+完整性(I)+可用性(A)严重性=频率×难易度×冲击风险值=资产价值×严重性

入侵侦测

入侵侦测系统(IDS):侦测不正当的存取或攻击

1.撷取原始资料2.抽取特徵3.分析特徵4.事件回应

特徵分析

误用侦测(负面行为模式):明确定出异常的行为异常侦测(正面行为模式):明确定出正常的行为，侦测率高，误判率也高混和模式侦测:混和，高侦测低误判ㄉ

IDS现况

主机型入侵侦测系统(Host-based IDS; HIDS)主机的稽核日誌档演进而来在客户端安装一个代理程式，监视系统程序与cpu使用等可发现网路型未发现的入侵可确定攻击是否成功及时侦测占用系统资源，可能影响主机效能网路型入侵侦测系统(Network-based IDS; NIDS)升级时对网路环境影响较小可监控範围广，但也可能发出警告可侦测到网路层问题只能侦测已知攻击

入侵防御系统(IPS):可以监控是否有恶意行为存在于网路与系统，并辨识与阻止

入侵防御系统=入侵侦测系统+防御功能

IPS基本要件主动式防御(即时分析):设在网路封包的咽喉点，即时阻绝攻击多种检测技术，高準确度高处理效能，不能影响既有网路的运作侦测威胁的方法特徵侦测:事先写入规则统计异常行为侦测:假设网路流量有一个基準，当这个基準被确定后，系统就会撷取网路流量和基準比较状态协定分析与侦测:分析网路流量中特定协定是否符合应有的运作