烟草在线商城订购平台建设——烟草行业在线网络安全部署与策略

互联网的信息化促进了烟草行业更好更快的发展。然而，正在建设在线商城的传统烟草企业的同事也面临着信息安全和网络数据安全的威胁，如黑客攻击、非法访问和垃圾流量主导的边境安全风险，以及终端病毒、窃听和泄露、在线娱乐主导的内部网络安全风险。应用安全风险主要包括网络服务器、主机系统漏洞和服务配置不当。因此，烟草企业迫切需要重视和加强烟草订购系统平台的信息安全建设。[与商业]系统开发服务提供商致力于为传统企业构建一个集成的电子商务平台。商城系统架构安全高效，支持高度并发的每日百万级访问。

1，烟草企业商城网站智能三维安全网络现状概述

烟草企业商城网站信息化建设已经联网。从省级企业到地级企业再到县级企业，业务逐渐集中在数据中心。烟草在线商城数据集中带来的主要问题之一是安全风险的集中。如果某个节点出现安全问题，不仅会影响烟草在线商城本地网络的正常运行，还会影响全省的业务系统，导致业务数据的丢失和系统的异常运行。因此，烟草企业迫切需要重视和加强烟草在线购物中心的信息安全建设。

因为烟草企业信息管理涉及许多环节，例如信息数据收集、整理、录入、信息平台管理、信息软件开发、信息传输等。信息的准确性、及时性和科学性直接影响烟草信息化建设，信息的安全性直接关系到整个烟草企业的安全。如果没有一个完整的烟草在线购物中心网络安全系统，可能会导致每个人的操作方法和效率差异很大，甚至在操作过程中出现严重的错误和漏洞，导致信息数据错误或商业秘密泄露等严重问题。

2，面向有业务的烟草系统网站设计的网络安全方案 1.下图显示了烟草在线购物中心

烟草在线订购系统网络安全的基本策略是划分安全区域。通过安全区域的划分，可以在网络中部署不同安全级别的区域，有效隔离烟草在线订购系统的安全风险。根据安全风险隔离的要求，通过不同层次的技术模式实现安全区域的划分。主流隔离模式包括VLAN、虚拟专用网、防火墙、入侵防御系统等模式。

2订购平台的总体规划和烟草企业网站系统安全域的层次结构:

通过分区和域对烟草系统网站进行安全部署，实现了对重要资源的保护。主要安全策略描述如下:

(1)烟草网站系统的网络功能区域明显，每个区域都会受到安全威胁，但每个区域的安全威胁类型不同，因此应该针对不同的区域设计不同的安全方案和策略。

(2)由于不同地区烟草网上购物中心的安全策略不同，安全部署不应集中在核心层，而应分散在不同地区，集中在不同地区的边界。部署在核心层的太多安全策略一方面大大降低了核心层的转发速度，另一方面不便于维护和扩展。例如，如果调整任何一个区域的安全策略，其他区域将受到影响，从而导致许多潜在的安全漏洞。

(3)根据多重保护原则，数据中心重要资源的保护是通过两级边界保护(安全域边界1和安全域边界2)来实现的。

(4)安全设备部署在这里的安全域边界，实现烟草在线商城各区域的独立防御系统。只有该地区的独立安全才能确保整体的统一安全。

(5)在烟草商城系统数据中心的网络安全控制管理区部署安全管理中心(SecCenter)，实现综合安全管理。与[供应商的iMC平台合作，找到并定位攻击

3。烟草在线订购平台电子商务边境区域保护

烟草行业的两大业务——电子政务和电子商务——都需要依赖订单平台。然而，网站直接面向公众，非常容易受到攻击。网页篡改攻击会影响烟草企业的形象。烟草订单平台网站瘫痪攻击将影响电子政务和商业的正常运行。特洛伊木马和网络钓鱼攻击会导致泄密、欺诈、交易数据篡改等，最终造成直接经济损失。因此，电子政务和电子商务系统的安全保护需要采用多级防御方法，既能控制服务器的访问，又能实时抵御来自应用层的攻击。

在烟草企业电子政务和电子商务应用服务器的部署中，通常采用三层结构:网页层、应用层和数据库层。网络直接面向外部用户，将部署在非军事区，而应用层和数据库层将部署在内部网数据中心。一旦网络遭到攻击，攻击者就可以很容易地利用网络服务器作为跳板，潜入烟草网站系统获取核心数据。因此，在网页层和应用程序层之间必须有安全措施。

电子政务和电子商务都为公众和客户提供服务，因此必须及时做出反应。因此，互联网链接的带宽必须得到保证，链接必须得到优化:

为了减少内部员工访问互联网对电子商务和电子政务系统的不利影响，互联网用户的“在线订购”数据流与烟草用户访问互联网的数据流分开。电子商务和电子政务之间的互联网连接是在内部办公网络上进行的，而内部员工的上网需求是在外部办公网络上进行的。内部网络和外部网络在物理上是分开的，是通过互联网网关相互通信的两个网络。

(1)内部办公网络的互联网区域:实现“网上订购、网上配送、电子结算、现代物流”为特征的电子商务。

(2)外部办公网络的互联网区域:为烟草内部员工提供互联网接入服务。

烟草在线订购平台的网络架构采用双链路双设备冗余的方法，构建高度可靠的烟草系统网络架构，然后部署安全产品进行保护和优化。

(1)多链路负载均衡设备:分别“双臂”连接两台交换机，启用VRRP实现冗余备份，并将两台多链路负载均衡设备配置为路由模式；

(2)第一防火墙(First firewall):通过安全分区、MAC和IP绑定、访问控制列表和防攻击等基本手段。实施第一个防火墙安全策略:仅允许INTERNET用户访问外部服务层中的服务器(协议、端口)。同时，可以防止ARP欺骗、非法的TCP消息标志位、大型ICMP消息、抄送、同步泛洪、地址扫描、端口扫描等恶意攻击。

(3)应用层攻击防御——IPS:防止网络攻击，如SQL注入、跨站点脚本、目录遍历利用和非法脚本执行。防范黑客扫描和攻击(包括蠕虫和其他对超文本传输协议和HTTPS的攻击，以及支持防范网络盗版)；提供针对DDoS攻击的保护，如同步洪水、确认洪水、udpfood、ICMP洪水、CC等。提供对网络应用程序漏洞的扫描，如SQL注入和跨站点脚本编写；提供基于IP、端口、协议、时间和域名的访问控制。

(4)第二防火墙:第二防火墙的安全策略如下，它只允许外部服务层的服务器访问数据中心的服务器(IP地址、协议、端口)。

(5)统一安全管理:收集内网互联网区域的安全事件，实现统一安全管理。

为了确保电子政务和业务系统的安全稳定运行，烟草内部员工访问互联网，并将其部署在网络外部的互联网区域，该区域与电子政务和电子商务的互联网网点物理隔离。

(1)防火墙用作互联网区域的边界保护设备和网络地址转换设备。

(2)入侵防御系统主要完成对攻击和病毒的拦截和隔离。

(3)流量监控设备(ACG)实现了链路的带宽管理和流量控制，可以有效限制垃圾流量占用的带宽，记录和管理用户的流量

(1)烟草网站系统的每一级网络都由各级单位自己维护，因此网络不能完全可信。

(2)由于下属单位数量众多，安全建设质量参差不齐，安全漏洞很多，网络不受上级控制，所以对于上级单位来说，就像有很多外部安全黑洞一样，病毒和攻击随时可能突破下属单位，然后从下属单位传播到上级单位和其他下属单位，那么整个烟草订购平台系统网络都会受到安全的严重影响。

(3)下属单位与单位之间的非法进入可能存在安全隐患，需要隔离门禁。

根据上述问题，要将下属单位列为不可信用户，需要在广域网边界部署适当的安全措施。广域网的边界防御也需要防火墙入侵防御系统的多级防御系统。此外，还需要应用流量控制系统来保证广域网的带宽和关键业务的正常运行。

随商信息技术（上海）有限公司 b2b2c多用户商城系统是基于PHP技术的企业级电子商务平台系统，系统支持平台自营、招商加盟和多商家入驻、集成微信商城、移动端APP商城、微信小程序于一体。公司主营业务包含商城系统定制开发、新零售系统解决方案、电商平台系统定制开发、商城网站建设服务等等，随商为大、中、小企业提供一个安全、高效、强大的电子商务解决方案，协助企业快速构建、部署和管理其电子商务平台，拓展企业销售渠道，致力于推动PHP技术和电子商务行业的发展而不断努力。