读书频道 > 网站 > 网页设计 > Web商务安全设计与开发宝典——涵盖电子商务与移动商务
5.1.7 数据保护
12-09-14    奋斗的小年轻
收藏    我要投稿   
本书共有9章内容和4个附录,各章依次讲述了重要的背景信息和关于移动商务和移动商务安全问题的详细知识。附录提供了支撑各章节内容的重要的技术和合规主题。本书一开始介绍了电子商务时代及它对消费者购买习惯所...立即去当当网订购

数据保护技术是指对传输中、休息中和在终端使用中的数据进行保护。

1. 数据丢失预防

数据丢失预防(Data Loss Prevention,DLP)技术旨在降低数据丢失的风险,无论该数据是处于网络上的运动状态,还是处于存储的休息状态,亦或者是在终端的使用过程中。

● 在运动中:数据分析使用实时主动网络监测与完整数据包捕获、会话重建和内容分析功能。识别通过特定信道发送的诸如及时消息、电子邮件和Web流量等内容。DLP技术结合邮件传输代理(mail transfer agent,MTA)拦截、隔离或加密电子邮件。还有一些DLP技术使用一个代理服务器来缓冲或者排列流量,从而在让流量通过之前对其进行深入分析。数据分析能够识别以一个制表符或者逗号分隔的形式的诸如雇员、病人或者顾客记录等结构化数据,也可以识别诸如敏感的商业计划或者金融文档等非结构化数据。
● 在休息中:使用内容策略代理连接网络共享以扫描是否有内容涉及违法行为的文件存在。一些DLP技术使用本地—— 如文件服务器上的—— 代理来扫描本地结果并将结果安全送往一个中央管理服务器上。
● 在使用中:使用内容策略代理来分析网络终端上的内容。策略在网络堆栈和终端的文件系统中执行。这种DLP技术能够执行大量策略,如限制把敏感数据复制到未加密的USB设备上。对于在休息中的数据,这个代理能够把结果安全地送到一个中央管理服务器上。

对于处于任何状态中的数据而言,如果代理探测到有违反策略的行为,如敏感文件或者数据未经加密,它会创建一个提醒,通知管理员有违反策略的行为出现,然后把这个文件隔离到一个安全地点,及时对文件进行加密或者阻止内容被传输出去。

2. 数据库安全

在现代社会中,数据库负责对诸如医疗记录、购买交易、银行账户、佣金福利、信用记录、房地产活动、电话记录、零售库存和学校分数等极为重要信息的存储。

用户通常通过客户软件应用程序如Internet上的Web应用程序与数据库交互。随着数据库变得网络化和更加贴近网络周边,它们已经成为一个越来越有价值的目标。

数据库系统也越来越复杂。数据库供应商植入了很多功能使得数据库能够很容易地与任何操作系统环境相融合。这些功能有分布式复制、操作系统服务、面向服务型体系结构、应用服务器整合和XML支持。

今天使用的许多服务器仍然支持遗留的向后兼容的功能。其中一些功能的设计是为了隔离组织的后台办公室中的操作系统环境。而现在数据库和其他软件系统相互连接并可以通过网络进行访问,所以那些以前被隔离的系统现在暴露于攻击之下。为了减少这种威胁,应该尽可能地避免使用遗留的或者不安全的网络协议和认证机制。可以用安全的组件如Secure Shell(SSH)或者安全传输层协议(Transport Layer Security,TLS)代替遗留组件。

还可以在数据库的所有边界和网络终端上控制对数据库的访问来达到进一步保护数据库的目的。比如,对数据库的访问权仅应该授予其他软件组件、用户或者拥有着所需信任级别的主机。另外,可利用多层安全机制来限制对数据库的访问,如使用数据库的配置文件、对*nix操作系统实行TCP封装机制和使用一个基于主机的防火墙。

数据库通常是为业务功能(如电子商务)提供服务的大型软件系统的一部分。数据库管理员(database administrator,DBA)、网络管理员和其他数据库管理人员通常是唯一可以直接访问该数据库的用户。其他用户通过一个可以直接访问数据库的软件应用程序如Web应用程序间接与数据库交互。Web应用程序所进行的可信访问经常被一些Internet上诸如结构化查询语言(Structured Query Language,SLQ)注入这样的攻击所滥用。SQL是一种相关数据库管理系统的标准化语言,用于执行更新或者从数据库中恢复数据等任务。

开放式Web应用程序安全项目(Open Web Application Security Project,OWASP)中写道“SQL注入是指从客户端向Web应用程序输入数据时插入一个SQL查询” 。一个成功的SQL注入攻击能够从数据库读取敏感数据,通过插入、更新或删除等命令修改数据库数据。SQL注入也能够对数据库进行管理操作,比如,关闭数据库管理系统(database management system,DBMS)、恢复该DBMS文件系统上给定文件的内容和可能向操作系统发出命令。

Web应用程序编码和数据库本身共同承担抵御SQL注入攻击的职责。下面列出了一些可以减少这些攻击的方法:

● 使用绑定的类型参数创建带参数的查询。
● 创建带参数的存储过程。
● 使用单一封装库来访问数据库。
● 尽量减少对数据库的访问权限。

美国国防信息系统局(Defense Information Systems Agency,DISA)出版了保护数据库系统安全的其他指导方法,如Database Security Technical Implementation Guide,可登录http://iase.disa.mil/stigs/stig/indes.html查询。
 

点击复制链接 与好友分享!回本站首页
分享到: 更多
您对本文章有什么意见或着疑问吗?请到论坛讨论您的关注和建议是我们前行的参考和动力  
上一篇:1.3 功能
下一篇:1.5 小结
相关文章
图文推荐
JavaScript网页动画设
1.9 响应式
1.8 登陆页式
1.7 主题式
排行
热门
文章
下载
读书

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训
版权所有: 红黑联盟--致力于做最好的IT技术学习网站