论文部分内容阅读
[摘要]随着信息技术、网络技术和电子商务的高速发展，在广泛开放的网络平台上部署全球性的企业应用系统已经得到广泛的应用。J2EE作为中间件技术史上的一块具有决定意义的里程碑，相应地关于J2EE安全的研究也越来越广泛。以某工贸公司物流管理信息系统为背景，对基于J2EE技术的企业应用系统的安全进行了研究。
[关键词]J2EE技术 物流管理 访问控制
中图分类号：TP3文献标识码：A文章编号：1671－7597（2009）0220066－01
一、引言
当前越来越多的企业建立起局域网、城域网和广域网，利用Internet开展电子商务，在这些网络上运行着ERP、MRP、CRM、CAD/CAM、MIS和POS等应用系统，企业的物流、商流及资金流不同程度地在这些网络上流动。因此，保护企业的计算机数据及网络系统的正常运行，才能使企业的正常经营活动得以持续不断地开展。要建立安全的企业网络系统必须包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术和黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，最大限度地保护系统安全。
二、物流管理信息系统的安全体系结构
邯钢集团工贸分公司物流管理信息系统是基于J2EE的分布式的大型应用系统。系统地域跨度大，操作人员非常多，管理层次复杂，并且允许远程用户通过Internet访问内网，存在大量的安全威胁。根据本企业的实际情况，遵照网络安全设计管理原则，从经济性、实用性、先进性、管理性等方面综合考虑，设计了本系统的安全体系结构。
三、物流管理信息系统的安全体系设计
（一）网络安全。网络拓扑结构的性能优化是网络安全的重要环节，也是一项基本措施。其指导思想在于：避免造成旁路可通，实施统一的强制安全策略。将非法用户与网络资源相互隔离，把不同需求的用户划分为不同的网段，从而加强对用户非法访问的控制。
本系统采用了4层体系结构，各层之间分布在网络的不同位置，通过防火墙和入侵检测技术进行了有效的隔离。
上述拓扑结构使用了两层防火墙，包含有部署着Web服务器的DMZ（demilitarized zone非军事区），展示了在J2EE环境中构建DMZ的方法。就是生成Web服务器和其他internet访问机器的子网，用防火墙保护这个子网。然后在DMZ和数据库与应用服务器所在的内部网之间采用更强大的防火墙。环境的安全性是由合适的DMZ分区、防火墙和在Web服务器及WAS端的安全策略的配置之组合保证的。来自Internet的所有请求都在DMZ中得到处理，但只有被授权的请求可以进入Intranet。利用外层防火墙实现了内外网的隔离和访问控制。同时在WEB服务器和应用服务器之间也加了内层防火墙，防止影响一个网段的问题在整个网络中传播，限制局域网络安全问题对全局网络造成的影响。内层防火墙还起到保护应用服务器和数据库的作用。
另外，随着攻击者的日趋成熟，攻击工具与手法日趋复杂多样，单纯的防火墙策略已无法满足对安全高度敏感的部门的需要，我们在防火墙的内侧部署了snort入侵检测系统作为防火墙系统的补充，防止经过防火墙系统过滤后的数据包中非法代码对内部网络系统发动攻击，以确保本系统的网络安全。
（二）企业应用安全。针对邯钢集团工贸分公司物流管理信息系统及以上应具备的特征，我们提出了以下的身份认证实现方法：
身份认证是应用系统证实实体身份的过程，是保证系统安全的重要措施之一。用户在访问系统之前，首先要经过身份认证系统进行身份识别，然后系统根据用户的身份和授权决定用户是否能够访问某个资源。一旦身份认证系统被攻破，整个系统的安全就没有任何保障。不同系统身份认证的方案，必须根据各种系统的不同平台和不同安全性要求来进行设计。同时，身份认证要尽可能的方便、可靠，并尽可能地降低成本。一般来说，身份认证是通过三种基本方式或其组合方式来完成：口令认证、智能卡认证、生物特征的认证。
（三）数据的访问控制。访问控制就是限制、检查那些用户能够访问那些数据对象。同一个数据对象的不同的访问方式如读、写等，对不同的用户也是不同的。访问控制可以分为三大类：自主访问控制(DAC)、强制存取控制(MAC)和基于角色的访问控制(RBAC)。
本系统采用的是J2EE平台和N层体系结构，包含了WEB层和EJB层的安全。在本系统中，我们利用J2EE的安全机制，在WEB层、EJB层都实施了访问控制。WEB层的访问控制实现了不同的角色的用户能操作的页面不同，用户只能看到系统基于他的角色允许访问的功能页面；在EJB层我们实现了方法极的访问控制，在后台对用户的请求由EJB容器再验证用户的身份和其能访问的数据。这样严格的访问控制满足了本系统的安全需要。
（四）数据库安全。数据库是电子商务、金融以及ERP系统的基础，通常都保存着重要的商业伙伴和客户信息。数据库服务器还掌握着大量的敏感、机密数据。邯钢工贸分公司下设决策系统、业务系统、财务系统、库管系统等，所有的决策信息、合同信息、订单信息以及交易信息都存储在数据库中。近年来频频发生的黑客攻击数据库的案件，使数据库的安全问题越来越引起人们的高度重视。本系统采取了下列措施：（1）数据库服务器的位置：数据库服务器的最佳位置是机构的内部网络。因为没有任何理由允许数据库服务器被机构外部的任何人访问。（2）数据库服务器如何与Web服务器或应用服务器进行通信。本系统采取了ssl加密技术，以实现数据的安全传输。（3）内部用户使用数据库服务器。如果企业内网的员工可以访问数据库服务器，也可以直接进行攻击，我们采用了VPN技术把数据库服务器和其它内部机器分布在不同的网段上。
四、结束语
本安全框架从网络安全、应用安全、数据库安全等几个方面来分析解决本系统的安全问题并通过有机的整合措施，构成一个稳定、合理和健全的J2EE企业安全策略。本系统提到的基于WEB的物流管理信息系统的安全体系设计对国内企业具有普遍应用参考价值。
参考文献：
[1]刘安丰、陈志刚、陆静波等，网格环境中一种有效的WEB服务资源组织机制[J].计算机研究与发展，2004,41(12):2141-2147.
[2]宁波，J2EE结合UML在企业级系统中的应用[J].计算机工程与科学，2004,26(13):82-86.
[3]蔡明、陈永运，J2EE架构的研究与应用[J].计算机应用与软件，2004,21(1):42-44.
[4]李红、曹永宁，于J2EE的企业信息平台的设计与实现[J].计算机工程，2003,26(2):204-207.
[关键词]J2EE技术 物流管理 访问控制
中图分类号：TP3文献标识码：A文章编号：1671－7597（2009）0220066－01
一、引言
当前越来越多的企业建立起局域网、城域网和广域网，利用Internet开展电子商务，在这些网络上运行着ERP、MRP、CRM、CAD/CAM、MIS和POS等应用系统，企业的物流、商流及资金流不同程度地在这些网络上流动。因此，保护企业的计算机数据及网络系统的正常运行，才能使企业的正常经营活动得以持续不断地开展。要建立安全的企业网络系统必须包含网络的物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。充分利用各种先进的主机安全技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术和黑客跟踪技术，在攻击者和受保护的资源间建立多道严密的安全防线，最大限度地保护系统安全。
二、物流管理信息系统的安全体系结构
邯钢集团工贸分公司物流管理信息系统是基于J2EE的分布式的大型应用系统。系统地域跨度大，操作人员非常多，管理层次复杂，并且允许远程用户通过Internet访问内网，存在大量的安全威胁。根据本企业的实际情况，遵照网络安全设计管理原则，从经济性、实用性、先进性、管理性等方面综合考虑，设计了本系统的安全体系结构。
三、物流管理信息系统的安全体系设计
（一）网络安全。网络拓扑结构的性能优化是网络安全的重要环节，也是一项基本措施。其指导思想在于：避免造成旁路可通，实施统一的强制安全策略。将非法用户与网络资源相互隔离，把不同需求的用户划分为不同的网段，从而加强对用户非法访问的控制。
本系统采用了4层体系结构，各层之间分布在网络的不同位置，通过防火墙和入侵检测技术进行了有效的隔离。
上述拓扑结构使用了两层防火墙，包含有部署着Web服务器的DMZ（demilitarized zone非军事区），展示了在J2EE环境中构建DMZ的方法。就是生成Web服务器和其他internet访问机器的子网，用防火墙保护这个子网。然后在DMZ和数据库与应用服务器所在的内部网之间采用更强大的防火墙。环境的安全性是由合适的DMZ分区、防火墙和在Web服务器及WAS端的安全策略的配置之组合保证的。来自Internet的所有请求都在DMZ中得到处理，但只有被授权的请求可以进入Intranet。利用外层防火墙实现了内外网的隔离和访问控制。同时在WEB服务器和应用服务器之间也加了内层防火墙，防止影响一个网段的问题在整个网络中传播，限制局域网络安全问题对全局网络造成的影响。内层防火墙还起到保护应用服务器和数据库的作用。
另外，随着攻击者的日趋成熟，攻击工具与手法日趋复杂多样，单纯的防火墙策略已无法满足对安全高度敏感的部门的需要，我们在防火墙的内侧部署了snort入侵检测系统作为防火墙系统的补充，防止经过防火墙系统过滤后的数据包中非法代码对内部网络系统发动攻击，以确保本系统的网络安全。
（二）企业应用安全。针对邯钢集团工贸分公司物流管理信息系统及以上应具备的特征，我们提出了以下的身份认证实现方法：
身份认证是应用系统证实实体身份的过程，是保证系统安全的重要措施之一。用户在访问系统之前，首先要经过身份认证系统进行身份识别，然后系统根据用户的身份和授权决定用户是否能够访问某个资源。一旦身份认证系统被攻破，整个系统的安全就没有任何保障。不同系统身份认证的方案，必须根据各种系统的不同平台和不同安全性要求来进行设计。同时，身份认证要尽可能的方便、可靠，并尽可能地降低成本。一般来说，身份认证是通过三种基本方式或其组合方式来完成：口令认证、智能卡认证、生物特征的认证。
（三）数据的访问控制。访问控制就是限制、检查那些用户能够访问那些数据对象。同一个数据对象的不同的访问方式如读、写等，对不同的用户也是不同的。访问控制可以分为三大类：自主访问控制(DAC)、强制存取控制(MAC)和基于角色的访问控制(RBAC)。
本系统采用的是J2EE平台和N层体系结构，包含了WEB层和EJB层的安全。在本系统中，我们利用J2EE的安全机制，在WEB层、EJB层都实施了访问控制。WEB层的访问控制实现了不同的角色的用户能操作的页面不同，用户只能看到系统基于他的角色允许访问的功能页面；在EJB层我们实现了方法极的访问控制，在后台对用户的请求由EJB容器再验证用户的身份和其能访问的数据。这样严格的访问控制满足了本系统的安全需要。
（四）数据库安全。数据库是电子商务、金融以及ERP系统的基础，通常都保存着重要的商业伙伴和客户信息。数据库服务器还掌握着大量的敏感、机密数据。邯钢工贸分公司下设决策系统、业务系统、财务系统、库管系统等，所有的决策信息、合同信息、订单信息以及交易信息都存储在数据库中。近年来频频发生的黑客攻击数据库的案件，使数据库的安全问题越来越引起人们的高度重视。本系统采取了下列措施：（1）数据库服务器的位置：数据库服务器的最佳位置是机构的内部网络。因为没有任何理由允许数据库服务器被机构外部的任何人访问。（2）数据库服务器如何与Web服务器或应用服务器进行通信。本系统采取了ssl加密技术，以实现数据的安全传输。（3）内部用户使用数据库服务器。如果企业内网的员工可以访问数据库服务器，也可以直接进行攻击，我们采用了VPN技术把数据库服务器和其它内部机器分布在不同的网段上。
四、结束语
本安全框架从网络安全、应用安全、数据库安全等几个方面来分析解决本系统的安全问题并通过有机的整合措施，构成一个稳定、合理和健全的J2EE企业安全策略。本系统提到的基于WEB的物流管理信息系统的安全体系设计对国内企业具有普遍应用参考价值。
参考文献：
[1]刘安丰、陈志刚、陆静波等，网格环境中一种有效的WEB服务资源组织机制[J].计算机研究与发展，2004,41(12):2141-2147.
[2]宁波，J2EE结合UML在企业级系统中的应用[J].计算机工程与科学，2004,26(13):82-86.
[3]蔡明、陈永运，J2EE架构的研究与应用[J].计算机应用与软件，2004,21(1):42-44.
[4]李红、曹永宁，于J2EE的企业信息平台的设计与实现[J].计算机工程，2003,26(2):204-207.