基于ＷＥＢ的物流管理信息系統的安全體系設計

費春梅

[摘要]隨著信息技術、網絡技術和電子商務的高速發展，在廣泛開放的網絡平臺上部署全球性的企業應用系統已經得到廣泛的應用。J2EE作為中間件技術史上的一塊具有決定意義的里程碑，相應地關于J2EE安全的研究也越來越廣泛。以某工貿公司物流管理信息系統為背景，對基于J2EE技術的企業應用系統的安全進行了研究。

[關鍵詞]J2EE技術 物流管理 訪問控制

中圖分類號：TP3文獻標識碼：A文章編號：1671－7597（2009）0220066－01

一、引言

當前越來越多的企業建立起局域網、城域網和廣域網，利用Internet開展電子商務，在這些網絡上運行著ERP、MRP、CRM、CAD/CAM、MIS和POS等應用系統，企業的物流、商流及資金流不同程度地在這些網絡上流動。因此，保護企業的計算機數據及網絡系統的正常運行，才能使企業的正常經營活動得以持續不斷地開展。要建立安全的企業網絡系統必須包含網絡的物理安全、訪問控制安全、系統安全、用戶安全、信息加密、安全傳輸和管理安全等。充分利用各種先進的主機安全技術、訪問控制技術、密碼技術、防火墻技術、安全審計技術、安全管理技術、系統漏洞檢測技術和黑客跟蹤技術，在攻擊者和受保護的資源間建立多道嚴密的安全防線，最大限度地保護系統安全。

二、物流管理信息系統的安全體系結構

邯鋼集團工貿分公司物流管理信息系統是基于J2EE的分布式的大型應用系統。系統地域跨度大，操作人員非常多，管理層次復雜，并且允許遠程用戶通過Internet訪問內網，存在大量的安全威脅。根據本企業的實際情況，遵照網絡安全設計管理原則，從經濟性、實用性、先進性、管理性等方面綜合考慮，設計了本系統的安全體系結構。

三、物流管理信息系統的安全體系設計

（一）網絡安全。網絡拓撲結構的性能優化是網絡安全的重要環節，也是一項基本措施。其指導思想在于：避免造成旁路可通，實施統一的強制安全策略。將非法用戶與網絡資源相互隔離，把不同需求的用戶劃分為不同的網段，從而加強對用戶非法訪問的控制。

本系統采用了4層體系結構，各層之間分布在網絡的不同位置，通過防火墻和入侵檢測技術進行了有效的隔離。

上述拓撲結構使用了兩層防火墻，包含有部署著Web服務器的DMZ（demilitarized zone非軍事區），展示了在J2EE環境中構建DMZ的方法。就是生成Web服務器和其他internet訪問機器的子網，用防火墻保護這個子網。然后在DMZ和數據庫與應用服務器所在的內部網之間采用更強大的防火墻。環境的安全性是由合適的DMZ分區、防火墻和在Web服務器及WAS端的安全策略的配置之組合保證的。來自Internet的所有請求都在DMZ中得到處理，但只有被授權的請求可以進入Intranet。利用外層防火墻實現了內外網的隔離和訪問控制。同時在WEB服務器和應用服務器之間也加了內層防火墻，防止影響一個網段的問題在整個網絡中傳播，限制局域網絡安全問題對全局網絡造成的影響。內層防火墻還起到保護應用服務器和數據庫的作用。

另外，隨著攻擊者的日趨成熟，攻擊工具與手法日趨復雜多樣，單純的防火墻策略已無法滿足對安全高度敏感的部門的需要，我們在防火墻的內側部署了snort入侵檢測系統作為防火墻系統的補充，防止經過防火墻系統過濾后的數據包中非法代碼對內部網絡系統發動攻擊，以確保本系統的網絡安全。

（二）企業應用安全。針對邯鋼集團工貿分公司物流管理信息系統及以上應具備的特征，我們提出了以下的身份認證實現方法：

身份認證是應用系統證實實體身份的過程，是保證系統安全的重要措施之一。用戶在訪問系統之前，首先要經過身份認證系統進行身份識別，然后系統根據用戶的身份和授權決定用戶是否能夠訪問某個資源。一旦身份認證系統被攻破，整個系統的安全就沒有任何保障。不同系統身份認證的方案，必須根據各種系統的不同平臺和不同安全性要求來進行設計。同時，身份認證要盡可能的方便、可靠，并盡可能地降低成本。一般來說，身份認證是通過三種基本方式或其組合方式來完成：口令認證、智能卡認證、生物特征的認證。

（三）數據的訪問控制。訪問控制就是限制、檢查那些用戶能夠訪問那些數據對象。同一個數據對象的不同的訪問方式如讀、寫等，對不同的用戶也是不同的。訪問控制可以分為三大類：自主訪問控制(DAC)、強制存取控制(MAC)和基于角色的訪問控制(RBAC)。

本系統采用的是J2EE平臺和N層體系結構，包含了WEB層和EJB層的安全。在本系統中，我們利用J2EE的安全機制，在WEB層、EJB層都實施了訪問控制。WEB層的訪問控制實現了不同的角色的用戶能操作的頁面不同，用戶只能看到系統基于他的角色允許訪問的功能頁面；在EJB層我們實現了方法極的訪問控制，在后臺對用戶的請求由EJB容器再驗證用戶的身份和其能訪問的數據。這樣嚴格的訪問控制滿足了本系統的安全需要。

（四）數據庫安全。數據庫是電子商務、金融以及ERP系統的基礎，通常都保存著重要的商業伙伴和客戶信息。數據庫服務器還掌握著大量的敏感、機密數據。邯鋼工貿分公司下設決策系統、業務系統、財務系統、庫管系統等，所有的決策信息、合同信息、訂單信息以及交易信息都存儲在數據庫中。近年來頻頻發生的黑客攻擊數據庫的案件，使數據庫的安全問題越來越引起人們的高度重視。本系統采取了下列措施：（1）數據庫服務器的位置：數據庫服務器的最佳位置是機構的內部網絡。因為沒有任何理由允許數據庫服務器被機構外部的任何人訪問。（2）數據庫服務器如何與Web服務器或應用服務器進行通信。本系統采取了ssl加密技術，以實現數據的安全傳輸。（3）內部用戶使用數據庫服務器。如果企業內網的員工可以訪問數據庫服務器，也可以直接進行攻擊，我們采用了VPN技術把數據庫服務器和其它內部機器分布在不同的網段上。

四、結束語

本安全框架從網絡安全、應用安全、數據庫安全等幾個方面來分析解決本系統的安全問題并通過有機的整合措施，構成一個穩定、合理和健全的J2EE企業安全策略。本系統提到的基于WEB的物流管理信息系統的安全體系設計對國內企業具有普遍應用參考價值。

參考文獻：

[1]劉安豐、陳志剛、陸靜波等，網格環境中一種有效的WEB服務資源組織機制[J].計算機研究與發展，2004,41(12):2141-2147.

[2]寧波，J2EE結合UML在企業級系統中的應用[J].計算機工程與科學，2004,26(13):82-86.

[3]蔡明、陳永運，J2EE架構的研究與應用[J].計算機應用與軟件，2004,21(1):42-44.

[4]李紅、曹永寧，于J2EE的企業信息平臺的設計與實現[J].計算機工程，2003,26(2):204-207.