BUSINESS BOOKS

8.4　保護信息資源的技術和工具

有一系列工具和技術來保護信息資源，包括使系統和數據安全，確保系統有效性，以及確保軟件質量的工具和技術。

8.4.1　訪問限制

訪問限制 由一系列政策和步驟組成，所有這些政策和步驟都被公司用來阻止未授權的內部人員和外部人員的不合法進入。

要想訪問，用戶需要得到授權和認證。認證 （authentication）是指確定那個人是不是他自己所描述的那樣。設計訪問限制軟件，是為了只讓被授權的用戶使用系統，或是接近認證所需的某種方法的數據。

認證的實現一般都通過使用密碼，而只有被授權的用戶才知道密碼。一位終極用戶會使用密碼運行電腦系統，也可能用密碼獲得特定的系統和文件。然而，用戶會經常忘記密碼，或是讓別人知道密碼，或是選擇簡單的密碼而容易被黑客猜到，這都使密碼系統降低了安全性。密碼系統的過於嚴密限制了員工的多產性。當員工需要經常更換複雜的密碼時，他們通常會採取捷徑，比如說選擇容易被猜到的密碼，或是把密碼寫在容易被看見的地方。如果在網上輸入密碼時不小心也會被別人偷窺，在社會工程的過程中說不定也會被盜取。

新的認證技術，比如口令、智能卡還有機器鑑定克服了其中的一些問題。口令（token）是用來證明身份的設備，等同於用來證明個人身份的身份證。典型的口令一般都是和鑰匙孔一樣大小的設備，而且可以顯示不斷更換的密碼。智能卡 （smart card）差不多和信用卡一般大小，配備有允許進入系統和其他數據的集成電路（智能卡同樣也用於電子支付系統）。閱讀器工具可以解釋智能卡里的數據，決定是否能夠進入。

生物認證技術（biometric authentication）可以閱讀以及解釋個人特徵，比如指紋、虹膜以及聲音，然後決定授權你是否可以進入。生物認證技術是以身體和行為特徵的測量為基礎的，因為這些決定了每個人都是獨一無二的。它通過人物的儲存資料比較每個人的特徵，比如指紋、臉型以及視覺形象，然後確定你的特徵是否和儲存的資料一致。如果一致，你就可以進入。指紋和臉部認知技術是剛剛用於安全措施的。個人電腦將會配備這種辨認指紋和身份的設施。

8.4.2　防火牆、安全衛士系統和殺毒軟件

如果沒有對抗入侵者的保護系統，聯網是很危險的。防火牆、安全衛士系統以及殺毒軟件已經成為非常重要的商業工具。

1.防火牆

第7章描述了防火牆的用途，即阻止未授權的用戶進入私人網絡系統。防火牆由軟件和硬件設施構成，用來控制網絡的流入量和流出量。防火牆通常置於組織的私人內部網絡和存在風險的外部網絡之間，比如互聯網，而且防火牆同樣還可以用於保護公司網絡的一部分不受其他網絡部分的威脅（見圖8-4）。

圖8-4　企業防火牆

防火牆檢查每位用戶的身份，然後授權用戶是否可以進入網絡，扮演著一名守門員的身份。防火牆要確認名字、IP地址、應用途徑以及網絡流入量的一些其他特徵。防火牆以網絡管理者編制的進入規則為準繩來核對信息。防火牆可以阻止未授權的消息進出網絡。

在大型組織中，防火牆一般存在於一臺特定的計算機中，這臺計算機是同其他網絡分離開的，所以不會有陌生的請求直接進入網絡資源。現在有一些防火牆篩選技術，包括靜止的包裝過濾器、嚴密的安檢系統、網絡地址翻譯以及代理人過濾器的應用。組織通常都會將它們聯合起來使用，使防火牆的保護措施能得到利用。

包裝過濾器檢查主機裡特定領域的數據包，這些數據包在安全網絡和互聯網之間流動，並將個體數據包隔離開來。這種過濾技術可能會漏掉很多不同形式的攻擊。通過確定數據包是否是發送者和接收者正在對話的一部分，嚴密的安檢措施可以提供更多的安全措施。它可以建立起一個動態的列表在不同的數據包中追蹤信息。對話信息是否得到允許或是發送者和接收者之間是不是合法的連接，可以決定數據包是否能被接受。

當靜止的數據包和嚴密的安檢措施工作時，網絡地址翻譯（NAT）可以提供另一個層面的保護措施。NAT可以顯示用戶計算機內部的IP地址，通過查明IP地址然後利用地址的信息進入計算機內部網絡，這樣就可以將偷竊程序阻擋在防火牆外面。

應用代理過濾器檢查數據包的應用內容。一個代理服務器可以阻止數據包從組織內部流出，檢查數據包，並將代理人傳遞到防火牆另一邊。如果公司外部的用戶想同組織內部的人交流，外部用戶首先要同應用代理人“說話”，接著應用代理人會同公司內部的計算機交流。同樣，公司內部的計算機用戶通過代理器同外部的計算機用戶對話。

要想創造出一個好的防火牆，管理員必須持有詳細的內部規則，要能辨清什麼樣的人、什麼樣的應用途徑和IP地址才能被允許進入網絡。防火牆有阻止外部網絡侵襲的作用，但不能做到完全阻止。防火牆應該被看做整個安全計劃中的一個元素。

2.侵入偵測系統

除了防火牆，出售安全系統的商家現在還提供防止入侵的安全措施工具和服務，用來防止可疑的網絡交通試圖進入文件和數據庫。侵入偵測系統 （intrusion detection system）的特徵是24小時監控，通常會將這個系統放在公司網絡最脆弱的地方或是最被關注的地方，偵查和阻止不斷進入的入侵者。這個系統在發現可疑的或異常的事件後，就會敲響警鐘。掃描軟件將會尋找標誌性的模式，這種模式對於計算機襲擊有已知的方法，比如不正確的密碼。掃描軟件會檢查重要文件是否已被移動或是更改，然後發出恣意破壞或程序管理錯誤的警告。監控軟件負責檢查在程序運行過程中發現的安全遭受襲擊的突發事件。如果接收到未被授權的網絡交通，安全衛士工具會根據需要關閉網絡中最敏感脆弱的部分。

3.殺毒軟件和反間諜軟件

防護技術不僅為個人設計，也為商業設計，必須包含針對每臺計算機的反病毒保護系統。設計殺毒軟件是為了檢查計算機系統並將計算機病毒驅逐出去。但是，大多數殺毒軟件只在對抗軟件本身知道的病毒時才有效。為了確保有效性，殺毒軟件一定要不斷升級。除了服務器、工作站和個人電腦，還有很多不同形式的手機和掌中寶也在應用殺毒產品。

頂尖的殺毒軟件商家，比如MCAfee、Symantec和Micro，通過對抗間諜軟件已經成功地捍衛了其產品的地位。一些反間諜軟件工具，比如Ad-Aware、Spybot SCD和間諜醫生也都很有幫助。

4.統一的威脅管理系統

為了幫助商業家們降低成本，提高處理能力，出售安全系統的商家們已經聯合起來，創造單一的設備帶有的多種安全設施工具，包括防火牆、虛擬的私人網絡、安全衛士系統和網址內容過濾器，以及反垃圾郵件軟件。這些綜合的安全管理產品被稱為統一的威脅管理系統（UTM）。雖然最初的目的是針對中小型企業的，但現在大大小小的網絡都在利用UTM產品。頂尖的UTM商家包括Crossbeam、Firtinent和Secure Computing以及網絡商家，比如Cisco系統和Juniper網絡，在它們的設備中提供UTM的有效利用。

8.4.3　保衛無線網絡安全

儘管它存在著一些缺陷，但是如果Wi-Fi用戶記得激活軟件的話，WEP提供了安全的一些餘地。第一步很簡單，就是為你的SSID網絡註冊一個獨一無二的名字，並指令你的服務器不要洩露出去，阻止黑客進入你的網絡。當進入公司內部數據庫時，公司可以通過利用安全無線網絡同虛擬的私人網絡技術進行交流，以此來進一步提高Wi-Fi的安全性。

2004年6月，Wi-Fi聯合企業商業小組最終確立了它的詳細說明（同樣也指受保護通道Wi-Fi2或WPA2），以其更強勢的安全標準取代了WEP，它取代了WEP中使用的靜態加鎖密碼，採用新標準的技術使用更長的密碼，並且經常更換，使得它們更不容易被擊破。這種技術還採用加鎖的鑑定系統，其帶有的中心鑑定服務器可以保證只有授權的用戶才能進入網絡。

8.4.4　加密和公鑰基礎設施

很多商家利用密碼系統保護他們存儲的、自然轉移的或通過網絡傳輸的數字信息。加密系統是一種將普通的文字變成密碼文字的程序，加密 （encryption）後，除了傳輸者和加密者本身，任何人都看不了這篇文字。數據通過利用不被人知道的數字碼加上密碼，人們將這種可以把普通文字變成密碼文字的數字碼稱為解碼密碼。接收者必須要將信息加密。

網上的兩種加密網絡交通是SSL和S-TPTP。安全層間插孔（SSL）和它的繼承者傳輸層間安全系統（TLS）可以使客戶和計算機服務器能夠在一個祕密的網站上互相交流，然後掌握加密和解密活動。超文本的轉移安全條款（S-HTTP）是另一種旨在為在網絡間流動的數據加密的系統，但是它的侷限性是信息會被洩露，相比之下，SSL和TLS的設計就更能為計算機間提供祕密的交流平臺。

安全會議的產生是為了使其成為網絡客戶瀏覽軟件和服務器的一部分。客戶和服務器之間會協商利用什麼樣的解碼密碼和什麼層次的安全措施。一旦客戶和服務器間建立起安全會議，這期間的所有信息都會被加密。

有兩種可以互相替換的加密措施：對稱密鑰加密和公鑰加密。在對稱加密中，發送者和接收者通過單一解碼密碼建立一個安全的網絡會議，然後將其發送給接收者，這樣發送者和接收者就享有同樣的解碼密碼了。解碼解密的力量有一點與它的數位的長度有關。現在，典型的解碼密碼一般都有123位（一串123的二進制數字）。

所有成形的加密方案都存在的一個問題是，一般來說，解碼本身就被髮送者和接收者所共有，這就使解碼會被外部人員知道，他們可能會攔截解碼或是破解解碼。一個更安全的加密形式被稱為公鑰加密系統，它使用兩個解碼：一個被共同享有（或者說是公共的），另外一個完全是祕密的，如圖8-5所示。解碼之間在數字上是相互關聯的，所以加密的數據在這時只有知道另一個解碼才能被破解。要發送和接收信息，交流者首先要創造一對分離的祕密的和共有的解碼。共有的解碼保存在目錄中，另外一個解碼一定是祕密的。發送者利用接收者共有的解碼將信息加密。為了接收信息，接收者需要利用他的密鑰才能破解密碼。

圖8-5　公鑰加密

數字驗證 （digital certificates）之所以建立是為了辨別用戶和電子資產，從而保護在線事務的一種數據文件。數字證明系統利用可信賴的三方組織，被稱做授權證明 （CA），使用戶的身份合法有效。在美國和世界上有多種授權證明形式，包括VeriSign、IdenTrust和澳大利亞的KeyPOST。

CA在計算機脫機的情況下核查持有數字證明用戶的身份。個人信息在被輸入CA服務器後，CA服務器會產生一個加密的數字證明，其中包括持有者的個人身份信息，同時還會產生持有者的共有解碼的複製。這個證明只有被指定的人才能擁有公鑰。CA使公共解碼既通過現有的形式又可以在網絡上使大家共有。加密信息的接收者利用CA的公鑰破解和信息相關的數字證明，並核實信息是被CA認準的，然後獲得發送者的公鑰和包含在證明裡的身份信息。利用這些信息，接收者可以發送一條密碼回覆。舉個例子，數字證明系統可以使信用卡用戶和商人在交流數據前，證實他們的數字證明是被授權的，且被信賴的三方認準。公鑰方法和授權證明齊頭並進，使公鑰基礎設施（PKI）在電子商務中得到廣泛利用。

8.4.5　保證系統的可利用性

為增加收益和加強運轉，各大公司越來越依賴數字網絡，它們往往需要採取更多的步驟以確保他們的系統和應用程序總是可以有效利用。像那些帶有關鍵性應用設施的航空或金融服務領域，多年來，為了確保網絡百分之百的有效性，要求在線事務處理按照慣例利用具有包容錯誤程序的計算機系統。在在線事務處理的過程中，計算機會馬上對輸入網絡的事務進行加工。大多數信息會轉換成數據庫，接著發出命令，要求每條信息及時出現。

容錯計算機系統 （fault-tolerant computer system）包括大量的硬件措施和軟件措施，還包括電源組件，電源組件可以提供不間斷的不被打斷的環境。包容錯誤程序的計算機使用特殊軟件的慣常程序和自我檢查的邏輯程序，將其設計為電路的一部分，用來檢查硬件問題，並可以自動轉換成後備設施。在不涉及計算機系統的情況下，計算機的一些部分可以進行移除，也可以進行修理。

錯誤程序的包容應該同高度計算能力區分開來。兩者的錯誤包容性和高度計算能力都為了試圖將停機時間降到最低。停機時間（downtime）是指系統不能進行操作的時段。然而，高度計算能力可以幫助公司很快地從系統崩潰中恢復過來，相比之下，錯誤包容性則既保證了不間斷的可用性，又縮短了恢復時間。

對於眾多電子商務事務需要處理的公司或是依賴數字網絡進行內部操作的公司來說，高度計算能力的環境是最低的要求。高度計算能力需要後備服務支援，利用多種服務器進行處理，高容量，崩潰後的良好恢復能力以及完整的商業計劃。公司的計算平臺需要極其健全，並配備有較大尺度的處理能力、容量以及寬帶。

研究人員正在研究新的方法，有一種叫做面向恢復的計算（recovery-oriented computing），這種方法使計算機系統在出現失誤後能更迅速地恢復正常。這項研究還包括系統的設計，設計出的系統能很快恢復正常，並且能幫助操作者在多元系統中具有執行能力和應用工具，從而使操作者能準確定位錯誤的根源，並輕鬆地更正錯誤。

技術互動專欄描述了銷售網站所做的努力，這種努力是為了讓訂購者能方便使用系統。銷售網站是以網絡為基礎面向有需求的客戶的一種關係經營系統，也是一種可以提供商業服務的工具。公司可以利用通過銷售服務器運行的銷售網站的軟件程序，來為訂購者提供服務。如果銷售網站的服務出現失誤，那公司就不能運行CRM應用程序。2005年年末2006年年初之際，銷售網站的一系列服務正是被停電衝擊而產生了這種失誤。在瞭解這件事情後，如果想使用這種解決方案，要試著弄清楚銷售網站面臨的問題，在解決問題時採用什麼有效的措施進行管理，還有需要明確的管理組織問題和技術問題。

1.網絡交通的控制：深度包檢測

當你想試著利用校園網時，是不是發現網絡非常慢？這可能是因為你的同學正在網上下載音樂或是觀看在線電影。文件共享程序、網絡電話服務以及在線電影，像這樣的寬帶利用途徑都可能使網絡交通堵塞，學校網速變慢，從而影響網絡的正常表現。舉個例子，在印第安納州的巴爾州立大學發現一小部分學生使用學校內部的文件共享程序下載電影和音樂，降低了網絡的運行速度。

有一項技術被稱為深度包檢測 （DPI），這項技術解決了上述問題。DPI技術檢查數據文件，並將非重要的在線文件進行分類，同時，將更為重要的文件劃分到商業重要文件。這項技術建立在是否優先的基礎上，由一個網絡操作員發明。在有更重要的網絡交通運行，這項技術可以決定一個具體的數據包是否應該繼續前往目的地，或是應該被阻止或延遲。從信息分配中心引用DPI技術，巴爾州立大學能夠覆蓋共享文件的交通，並使它具有較低的優先權。巴爾州立大學比較喜歡速度快的網絡。

2.外包安全性

許多公司，特別是一些小公司，因為缺乏資源或專家，難以靠自身能力提供一個安全度高的計算能力環境。它們可以外購很多安全措施，通過安全管理服務提供商（MSSP），MSSP可以監控網絡活動，並且實施低效能測試以及進行侵襲偵查。BT Counterpane、VeriSign以及Symantee都是頂尖的MSSP服務的提供者。

8.4.6　軟件質量的保證

除了補充有效的安全措施和控制，組織可以通過採用軟件度量和嚴密的系統測試來提升系統的質量和可靠性。軟件度量是一種大量度量時的公正客觀的評估方式。現行使用的軟件度量讓信息系統部門以及終極用戶可以加入到測量系統性能的評估中，並且及時發現問題的存在。軟件度量的實例包括在一個特定時間內能被處理的在線事務的數量，在線恢復的時間，每小時打印的工資支票的數量以及系統程序每幾百行出現的病毒的數量。軟件度量要想很成功，需要設計謹慎、正式、客觀，而且要經常使用。

早期、正規且全面的測試將極大地提高系統質量。很多查看測試成為證明已完成工作的正確性的方法。實際上，我們知道所有型號的軟件都存在錯誤，我們必須檢查來發現這些錯誤。

甚至在有人利用百事通編寫出軟件程序之前，就可以開始性能好的測試方法了——回顧一下，一小組人員通過一項技術仔細挑選出詳細的計劃書以及設計文件，而對於正在測量的特殊物體而言，正好需要這項技術。一旦開發者開始編寫軟件程序，編碼百事通同樣可以用來檢查程序編碼。然而，編碼必須受計算機的運行程序測試。當發現錯誤時，一個所謂的殺毒軟件將會發現併除掉產生錯誤的源文件。在第11章，你可以發現更多關於測試的不同階段的信息，將信息系統轉換成操作實踐都需要這些測試的不同階段。我們的學習內容還包括髮展軟件系統的一系列方法的詳細介紹，這些方法也為軟件質量的提高做出了貢獻。