www.cbr005.com CBR电脑知识网 www.dtmod.com 大学生励志网
该模型是在整体的安全策略的控制和指导下在综合运用防护工具的同时，利用检测工具了解和评估系统的安全状态，通过适当的反应将系统调整到相对最安全和风险最低的状态。P2DR强调在监控、检测、响应、防护等环节的循环过程，通过这种循环达到保持安全水平的目的。P2DR安全模型是整体的动态的安全模型，所以称为可适应安全模型。 模型的基本描述为：
安全=风险分析＋执行策略＋系统实施＋漏洞监测＋实时响应 （1）策略
安全策略是P2DR安全模型的核心，所有的防护、检测、响应都是依据安全策略实施的，安全策略为 安全管理提供管理方向和支持手段。策略体系的建立包括安全策略的制订、评估、执行等。制订可行的安全策略取决于对网络信息系统的了解程度。 （2）保护
保护就是采用一切手段保护信息系统的保密性、完整性、可用性、可控性和不可否认性。应该依据不同等级的系统安全要求来完善系统的安全功能、安全机制。通常采用传统的静态安全技术及方法来实现，主要有防火墙、加密、认证等方法。
保护主要在边界提高抵御能力。界定网络信息系统的边界通常是困难的。一方面，系统是随着业务的发展不断扩张或变化的；另一方面，要保护无处不在的网络基础设施成本是很高的。边界防卫通常将安全边界设在需要保护的信息周边，例如存储和处理信息的计算机系统的外围，重点阻止诸如冒名顶替、线路窃听等试图“越界”的行为，相关的技术包括数据加密、数据完整性、数字签名、主体认证、访问控制和公证仲裁等。这些技术都与密码技术密切相关。
www.cbr005.com CBR电脑知识网 www.dtmod.com 大学生励志网
边界保护技术可分为物理实体的保护技术和信息保护（防泄露、防破坏）技术。
物理实体的保护技术。这类技术主要是对有形的信息载体实施保护，使之不被窃取、复制或丢失。如磁盘信息消除技术，室内防盗报警技术，密码锁、指纹锁、眼底锁等。信息载体的传输、使用、保管、销毁等各个环节都可应用这类技术。
信息保护技术。这类技术主要是对信息的处理过程和传输过程实施保护，使之不被非法入侵、外传、窃听、干扰、破坏、拷贝。
对信息处理的保护主要有二种技术：一种是计算机软、硬件的加密和保护技术，如计算机口令字验证、数据库存取控制技术、审计跟踪技术、密码技术、防病毒技术等；另一种是计算机网络保密技术，主要指用于防止内部网秘密信息非法外传的保密网关、安全路由器、防火墙等。
对信息传输的保护也有两种技术：一种是对信息传输信道采取措施，如专网通信技术、跳频通信技术（扩展频谱通信技术）、光纤通信技术、辐射屏蔽和干扰技术等，以增加窃听的难度；另一种是对传递的信息使用密码技术进行加密，使窃听者即使截获信息也无法知悉其真实内容。常用的加密设备有电话保密机、传真保密机、IP密码机、线路密码机、电子邮件密码系统等。 （3）检测
检测是动态响应和加强防护的依据，是强制落实安全策略的工具，通过不断地检测和监控网络和系统，来发现新的威胁和弱点，通过循环反馈来及时作出有效的响应。网络的安全风险是实时存在的，检测的对象主要针对系统自身的脆弱性及外部威胁。利用检测工具了解和评估系统的安全状态。
检测包括：检查系统存在的脆弱性；在计算机系统运行过程中，检查、测试信息是否发生泄漏、系统是否遭到入侵，并找出泄漏的原因和攻击的来源。如计算机网络入侵检测、信息传输检查、电子邮件监视、电磁泄漏辐射检测、屏蔽效果测试、磁介质消磁效果验证等。
入侵检测是发现渗透企图和入侵行为。在近年发生的网络攻击事件中，突破边界防卫系统的案例并不多见，攻击者的攻击行动主要是利用各种漏洞。人们通过入侵检测尽早发现入侵行为，并予以防范。入侵检测基于入侵者的攻击行为与
www.cbr005.com CBR电脑知识网 www.dtmod.com 大学生励志网
合法用户的正常行为有着明显的不同，实现对入侵行为的检测和告警，以及对入侵者的跟踪定位和行为取证。 （4）响应
在检测到安全漏洞之后必须及时做出正确的响应，从而把系统调整到安全状态；对于危及安全的事件、行为、过程，及时做出处理，杜绝危害进一步扩大，使系统力求提供正常的服务。例如关闭受到攻击的服务器。 四、选择并实现安全服务及配置
安全服务（security service）是指提供数据处理和数据传输安全性的方法。
主要表现在以下几个方面： 1.机密性服务
机密性服务的目的是保护信息不泄露或不暴露给那些为授权的实体。 其原理如下所示：
即：
在客户端增加数据加/解密模块，实现客户端数据的加解密，服务器端增加数据加/解密模块，实现服务器端数据的加解密。数据加/解密模块以插件或动态库的方式提供，主要功能是实现数据的加解密。加密时，首先产生一个128的对称密钥，对数据进行加密，然后用对方的证书的公钥，对对称密钥进行加密。解密方首先使用证书的私钥解开对称密钥，然后用户对称密钥解密数据。
2.访问控制服务
(1)访问控制的功能主要有以下：
一. 防止非法的主体进入受保护的网络资源。 二. 允许合法用户访问受保护的网络资源。
三. 防止合法的用户对受保护的网络资源进行非授权的访问。 (2)访问控制与其他安全机制的关系
www.cbr005.com CBR电脑知识网 www.dtmod.com 大学生励志网
? 身分认证
– 身份认证是访问控制的前提
? 保密性
– 限制用户对数据的访问（读取操作）可以实现数据保密服务
? 完整性
– 限制用户对数据的修改，实现数据完整性保护
? 可用性
– 限制用户对资源的使用量，保证系统的可用性
? 安全管理相关的活动
– 访问控制功能通常和审计、入侵检测联系在一起
四、结语
电子商务已成为较为重要的商务活动模式，随着电子商务的不断发展，全球的经济政治和法律都会受到影响，而其安全问题也随之变得更加重要和突出。为保证电子商务的安全，新的安全技术将不断出现，而为了对电子商务攻击成功，攻击者也将采取新的攻击手段、技术和方法，两者之间的斗争将长期存在下去。电子商务将在攻击与反攻击的斗争中不断发展。
参考文献：
[1]《电子商务基础》 尚建成主编 高等教育出版社出版 2000.9
[2]张小兵:《商业研究》中的《我国电子商务发展现状及存在问题与对策》，2000年2期
[3]《电子商务》 翟才喜 杨敬杰主编 东北财经大学出版社 2002.2 [4]钟诚.电子商务安全[M].重庆:重庆大学出版社出版,2004. [5]胡道元.闽京华.网络安全[M].北京:清华大学出版社,2004. [6]赵杰.电子商务安全体系研究[J].中国科技信息,2009,(4). [7]张敏.电子商务安全体系研究[J].商场现代化,2006,(22).