中小商業(yè)銀行信息安全體系構(gòu)架思路

1、中小商業(yè)銀行信息安全體系構(gòu)架思路2009-03-24CBSi中國(guó)PC類型: 轉(zhuǎn)載來(lái)源: 睿商在線中小銀行所面臨的信息安全風(fēng)險(xiǎn)大多數(shù)中小商業(yè)銀行網(wǎng)絡(luò)系統(tǒng)是于近幾年規(guī)劃建設(shè)實(shí)施的生產(chǎn)、辦公、通信綜合系統(tǒng)網(wǎng)絡(luò)。隨著銀行業(yè)務(wù)范圍的不斷擴(kuò)展，業(yè)務(wù)應(yīng)用的不斷深入，IT 需求不斷增加，網(wǎng)絡(luò)系統(tǒng)逐步顯現(xiàn)出可管理性差、攻擊防護(hù)設(shè)備老化等安全隱患，監(jiān)管部門也進(jìn)行了信息安全風(fēng)險(xiǎn)的相關(guān)提示。為此，結(jié)合呼和浩特市商業(yè)銀行的現(xiàn)狀，談一談中小商業(yè)銀行信息安全體系建設(shè)的思路。一、中小銀行所面臨的信息安全風(fēng)險(xiǎn)隨著計(jì)算機(jī)技術(shù)和通訊技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)正逐步改變著人們的工作方式和生活方式。隨著網(wǎng)絡(luò)技術(shù)在金融行業(yè)的全

2、面應(yīng)用，大大提高了金融行業(yè)的業(yè)務(wù)處理效率和管理水平，促成了各項(xiàng)創(chuàng)新的金融業(yè)務(wù)的開展，改善了整個(gè)金融行業(yè)的經(jīng)營(yíng)環(huán)境，增強(qiáng)了金融信息的可靠性，使金融服務(wù)于社會(huì)的手段更趨現(xiàn)代化。但是，同其他任何行業(yè)一樣，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)伴隨著網(wǎng)絡(luò)技術(shù)在金融行業(yè)的全面應(yīng)用而全面籠罩在金融行業(yè)的每個(gè)業(yè)務(wù)角落。金融行業(yè)IT 系統(tǒng)由于涉及信息的敏感性自然會(huì)成為內(nèi)部和外部黑客攻擊的目標(biāo)，面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)敘述如下八類：1、非法訪問(wèn)：現(xiàn)有網(wǎng)絡(luò)設(shè)備本身具備一定的訪問(wèn)控制能力，而這些訪問(wèn)控制強(qiáng)度較弱，攻擊者可以在任一終端利用現(xiàn)有的大量攻擊工具發(fā)起攻擊；另一方面金融行業(yè)（如銀行）開發(fā)的很多增值業(yè)務(wù)、代理業(yè)務(wù)，存在大量與外界互連的接口，外

3、部網(wǎng)絡(luò)可能會(huì)通過(guò)這些接口攻擊銀行，造成巨大損失。2、失密和竊密：利用搭線竊聽(tīng)竊收，使用協(xié)議分析儀器竊收計(jì)算機(jī)系統(tǒng)的操作密碼，破解系統(tǒng)的核心密碼，竊取用戶帳號(hào)、密碼等；或利用間諜軟件獲得敏感的金融信息。3、信息篡改：利用信息篡改攻擊手段，非授權(quán)改變金融交易傳輸過(guò)程、存儲(chǔ)過(guò)程中的信息。4、內(nèi)部人員破壞：內(nèi)部人員熟悉金融行業(yè)網(wǎng)絡(luò)系統(tǒng)的應(yīng)用業(yè)務(wù)和薄弱環(huán)節(jié)，可以比較容易地篡改系統(tǒng)數(shù)據(jù)、泄露信息和破壞系統(tǒng)的軟硬件。5、黑客入侵：利用黑客技術(shù)非法侵入金融行業(yè)的網(wǎng)絡(luò)系統(tǒng)，調(diào)閱各種資料，篡改他人的資料，破壞系統(tǒng)運(yùn)行，或者進(jìn)行有目的的金融犯罪活動(dòng)。6、假冒和偽造：假冒和偽造是金融行業(yè)網(wǎng)絡(luò)系統(tǒng)中經(jīng)常遇見(jiàn)的攻擊手段。

4、如偽造各類業(yè)務(wù)信息，未授權(quán)篡改數(shù)據(jù)，改變業(yè)務(wù)信息流的次序、時(shí)序、流向，破壞金融信息的完整性，假冒合法用戶實(shí)施金融欺詐等。7、蠕蟲、病毒泛濫：蠕蟲、病毒泛濫可能導(dǎo)致金融行業(yè)的重要信息遭到損壞，或者導(dǎo)致金融行業(yè)網(wǎng)絡(luò)系統(tǒng)癱瘓。8、拒絕服務(wù)：拒絕服務(wù)攻擊使金融行業(yè)的電子商務(wù)網(wǎng)站無(wú)法為客戶提供正常服務(wù)，造成經(jīng)濟(jì)損失，同時(shí)也使行業(yè)形象受到損害。二、中小銀行信息安全體系建設(shè)的目標(biāo)根據(jù)上述中小銀行所面臨的信息安全風(fēng)險(xiǎn)，我認(rèn)為中小銀行信息安全體系建設(shè)的目標(biāo)是通過(guò)建立完善的信息安全管理制度和智能、深度的安全防御技術(shù)手段，構(gòu)建一個(gè)管理手段與技術(shù)手段相結(jié)合的全方位、多層次、可動(dòng)態(tài)發(fā)展的縱深安全防范體系，來(lái)實(shí)現(xiàn)信息系統(tǒng)

5、的可靠性、保密性、完整性、有效性、不可否認(rèn)性，為金融業(yè)務(wù)的發(fā)展提供一個(gè)堅(jiān)實(shí)的信息系統(tǒng)基礎(chǔ)保障。信息安全防范體系的覆蓋范圍是整個(gè)信息系統(tǒng)。中小銀行信息安全建設(shè)的主要工作內(nèi)容有：1、建立銀行信息安全管理組織架構(gòu)，專門負(fù)責(zé)信息系統(tǒng)的安全管理和監(jiān)督。2、制訂金融安全策略和安全管理制度。安全管理部門結(jié)合銀行信息系統(tǒng)的實(shí)際情況，制訂合理的安全策略，對(duì)信息資源進(jìn)行安全分級(jí)，劃分不同安全等級(jí)的安全域，進(jìn)行不同等級(jí)的保護(hù)。制訂并執(zhí)行各種安全制度和應(yīng)急恢復(fù)方案，保證信息系統(tǒng)的安全運(yùn)行。這些包括：密碼管理制度、數(shù)據(jù)加密規(guī)范、身份認(rèn)證規(guī)范、區(qū)域劃分原則及訪問(wèn)控制策略、病毒防范制度、安全監(jiān)控制度、安全審計(jì)制度、應(yīng)急反應(yīng)

6、機(jī)制、安全系統(tǒng)升級(jí)制度等。3、設(shè)計(jì)并實(shí)施技術(shù)手段，技術(shù)手段要包括外網(wǎng)邊界防護(hù)、內(nèi)網(wǎng)區(qū)域劃分與訪問(wèn)控制、端點(diǎn)準(zhǔn)入、內(nèi)網(wǎng)監(jiān)控與管理、移動(dòng)辦公接入、撥號(hào)安全控制、病毒防范、安全審計(jì)、漏洞掃描與補(bǔ)丁管理等諸多方面安全措施。4、建立安全運(yùn)維管理中心，集中監(jiān)控安全系統(tǒng)的運(yùn)行情況，集中處理各種安全事件；統(tǒng)一制訂安全系統(tǒng)升級(jí)策略，并及時(shí)對(duì)安全系統(tǒng)進(jìn)行升級(jí)，以保證提高安全體系防護(hù)能力。三、中小銀行信息安全現(xiàn)狀及需求分析下面以呼和浩特市商業(yè)銀行的網(wǎng)絡(luò)及應(yīng)用現(xiàn)狀，分析在不同層次的安全需求，大部分中小銀行具有共性。(一) 網(wǎng)絡(luò)層為保證網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)目煽啃院桶踩?，網(wǎng)絡(luò)層存在的安全風(fēng)險(xiǎn)主要包括以下幾個(gè)方面：1、 網(wǎng)絡(luò)結(jié)

7、構(gòu)以及網(wǎng)絡(luò)數(shù)據(jù)流通模式的風(fēng)險(xiǎn)：現(xiàn)有主要的網(wǎng)絡(luò)結(jié)構(gòu)為星形、樹形、環(huán)形以及網(wǎng)狀，隨著網(wǎng)絡(luò)節(jié)點(diǎn)間的連接密度的增加，整個(gè)網(wǎng)絡(luò)提供的線路冗余能力也會(huì)增加，提供的網(wǎng)絡(luò)數(shù)據(jù)的流動(dòng)模式會(huì)更靈活，整個(gè)網(wǎng)絡(luò)可靠性和可用性也會(huì)大大的增加。呼和浩特市商業(yè)銀行現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)，能夠滿足數(shù)據(jù)流動(dòng)模式的需求，為了保證網(wǎng)絡(luò)系統(tǒng)的可靠性，可以采取的有效可行的措施是加強(qiáng)網(wǎng)絡(luò)設(shè)備和線路備份措施的實(shí)施。2、 網(wǎng)絡(luò)設(shè)備安全有效配置的風(fēng)險(xiǎn)：網(wǎng)絡(luò)設(shè)備是網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)暮诵模钦麄€(gè)網(wǎng)絡(luò)的基礎(chǔ)設(shè)施，各種網(wǎng)絡(luò)設(shè)備本身的安全與可靠性以及這些設(shè)備上應(yīng)用策略的安全都需要進(jìn)行合理的配置才能夠保證。3、 來(lái)自不同安全域的訪問(wèn)控制的風(fēng)險(xiǎn)：網(wǎng)絡(luò)結(jié)構(gòu)越來(lái)越復(fù)雜，接

8、入網(wǎng)絡(luò)的用戶也越來(lái)越多，必須能夠在不同的網(wǎng)絡(luò)區(qū)域之間采取一定的控制措施，有效控制不同的網(wǎng)絡(luò)區(qū)域之間的網(wǎng)絡(luò)通信，以此來(lái)控制網(wǎng)絡(luò)元素間的互訪能力，避免網(wǎng)絡(luò)濫用，同時(shí)實(shí)現(xiàn)安全風(fēng)險(xiǎn)的有效的隔離，把安全風(fēng)險(xiǎn)隔離在相對(duì)比較獨(dú)立以及比較小的網(wǎng)絡(luò)區(qū)域。4、網(wǎng)絡(luò)攻擊行為的檢測(cè)和防范的風(fēng)險(xiǎn)：基于網(wǎng)絡(luò)協(xié)議的缺陷，尤其是TCP/IP 協(xié)議的開放特性，帶來(lái)了非常大的安全風(fēng)險(xiǎn)，常見(jiàn)的IP 地址竊取、IP 地址假冒，網(wǎng)絡(luò)端口掃描以及危害非常大的拒絕服務(wù)攻擊（DOS、DDOS）等，必須能夠?qū)@些攻擊行為進(jìn)行有效的深度防御。5、網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)臋C(jī)密性和完整性的風(fēng)險(xiǎn)：網(wǎng)絡(luò)數(shù)據(jù)在傳輸?shù)倪^(guò)程中，很可能被通過(guò)各種方式竊取，因此保證數(shù)據(jù)在

9、傳輸?shù)倪^(guò)程中機(jī)密性（保證數(shù)據(jù)傳遞的信息不被第三方獲得），完整性（保證數(shù)據(jù)在傳遞過(guò)程中不被人修改）是非常重要的，尤其是在傳遞的信息的價(jià)值不斷提高情況下。二)用戶層1、用戶操作系統(tǒng)平臺(tái)安全漏洞的風(fēng)險(xiǎn)：大部分的網(wǎng)絡(luò)攻擊行為以及網(wǎng)絡(luò)病毒的傳播都是由于操作系統(tǒng)平臺(tái)本身存在的安全漏洞，微軟不斷發(fā)布系統(tǒng)補(bǔ)丁即是明證，因此必須有效避免系統(tǒng)漏洞造成的安全風(fēng)險(xiǎn)，同時(shí)對(duì)操作系統(tǒng)的安全機(jī)制進(jìn)行合理的配置。2、用戶主機(jī)遭受網(wǎng)絡(luò)病毒攻擊的風(fēng)險(xiǎn)：網(wǎng)絡(luò)給病毒的傳播提供了很好的路徑，網(wǎng)絡(luò)病毒傳播速度之快、危害之大是令人吃驚的，特別是流行的一些蠕蟲病毒，更是防不勝防，因此必須建設(shè)全面的網(wǎng)絡(luò)防病毒系統(tǒng)，層層設(shè)防，逐層把關(guān)，堵住病毒

10、傳播的各種可能途徑。3、針對(duì)用戶主機(jī)網(wǎng)絡(luò)攻擊的安全風(fēng)險(xiǎn)：目前Internet 上有各種完善的網(wǎng)絡(luò)攻擊工具，在局域網(wǎng)的環(huán)境下，這種攻擊會(huì)更加有效，針對(duì)的目標(biāo)會(huì)更加明確，據(jù)統(tǒng)計(jì)，有97的攻擊是來(lái)自內(nèi)部的攻擊，而且內(nèi)部攻擊成功的概率要遠(yuǎn)遠(yuǎn)高于來(lái)自于Internet 的攻擊，造成的后果也嚴(yán)重的多。4、用戶網(wǎng)絡(luò)訪問(wèn)行為有效控制的風(fēng)險(xiǎn)：首先需要對(duì)用戶接入網(wǎng)絡(luò)的能力進(jìn)行控制，同時(shí)需要更細(xì)粒度的訪問(wèn)控制，尤其是對(duì)Internet 資源的訪問(wèn)控制，比如應(yīng)該能夠控制內(nèi)部用戶訪問(wèn)Internet 的什么網(wǎng)站。在此基礎(chǔ)之上，必須能夠進(jìn)行縝密的行為審計(jì)管理。(三)業(yè)務(wù)層1、服務(wù)器及數(shù)據(jù)存儲(chǔ)系統(tǒng)的可用性風(fēng)險(xiǎn)：業(yè)務(wù)系統(tǒng)的可

11、靠性和可用性是網(wǎng)絡(luò)安全的一個(gè)很重要特性，必須保證業(yè)務(wù)系統(tǒng)硬件平臺(tái)（主要是大量的服務(wù)器）以及數(shù)據(jù)硬件平臺(tái)（主要是存儲(chǔ)系統(tǒng)）的可靠性。2、操作系統(tǒng)和網(wǎng)絡(luò)服務(wù)平臺(tái)的安全風(fēng)險(xiǎn)：通過(guò)對(duì)各種流行的網(wǎng)絡(luò)攻擊行為的分析，可以發(fā)現(xiàn)絕大多數(shù)的攻擊是利用各種操作系統(tǒng)和一些網(wǎng)絡(luò)服務(wù)平臺(tái)存在的一些已公開的安全漏洞發(fā)起，因此，杜絕各種操作系統(tǒng)和網(wǎng)絡(luò)服務(wù)平臺(tái)的已公開的安全漏洞，可以在很大程度上防范系統(tǒng)攻擊的發(fā)生。3、用戶身份認(rèn)證及資源訪問(wèn)權(quán)限的控制：由于網(wǎng)絡(luò)中的各個(gè)應(yīng)用系統(tǒng)上有很多信息是提供給不同權(quán)限用戶查閱的，不同級(jí)別、不同部門、不同人員能夠訪問(wèn)的資源都不一樣，因此需要嚴(yán)格區(qū)分用戶的身份，設(shè)置合理的訪問(wèn)權(quán)限，保證信息可以

12、在被有效控制下共享。4、用戶對(duì)業(yè)務(wù)訪問(wèn)的有效的記錄和審計(jì)：業(yè)務(wù)系統(tǒng)必須能夠?qū)τ脩舻母鞣N訪問(wèn)行為進(jìn)行詳細(xì)的記錄，以便進(jìn)行事后查證。四、中小銀行信息安全體系建設(shè)的思路金融系統(tǒng)的網(wǎng)絡(luò)應(yīng)用比較復(fù)雜，對(duì)安全的要求也很高，根據(jù)中小銀行所面臨的風(fēng)險(xiǎn)以及上述安全現(xiàn)狀和需求，在信息安全體系建設(shè)過(guò)程中應(yīng)該關(guān)注以下幾個(gè)方面。第一、進(jìn)行網(wǎng)絡(luò)安全區(qū)域設(shè)計(jì)網(wǎng)絡(luò)安全區(qū)域設(shè)計(jì)是網(wǎng)絡(luò)安全建設(shè)的基礎(chǔ)，其他的網(wǎng)絡(luò)安全建設(shè)措施全部都是基于這個(gè)基本設(shè)計(jì)展開的。當(dāng)然要根據(jù)銀行的實(shí)際情況進(jìn)行劃分，例如根據(jù)呼和浩特市商業(yè)銀行網(wǎng)絡(luò)和應(yīng)用的現(xiàn)狀，可以進(jìn)行如下安全區(qū)域的劃分：數(shù)據(jù)中心區(qū)：由呼和浩特市商業(yè)銀行生產(chǎn)服務(wù)群構(gòu)成，是呼和浩特市商業(yè)銀行一切

13、生產(chǎn)活動(dòng)的基礎(chǔ)。這個(gè)區(qū)域的安全性要求最高，對(duì)業(yè)務(wù)連續(xù)性要求也最高。要求不能隨便進(jìn)行任何可能影響業(yè)務(wù)的操作，包括為服務(wù)器打補(bǔ)丁，管理起來(lái)也最為復(fù)雜。外聯(lián)邊界區(qū)：與外聯(lián)單位進(jìn)行中間業(yè)務(wù)服務(wù)器構(gòu)成的安全區(qū)域。與外聯(lián)單位一般采用專線連接，由于業(yè)務(wù)具有一定的保護(hù)手段，對(duì)業(yè)務(wù)連續(xù)性要求不如數(shù)據(jù)中心區(qū)。外聯(lián)服務(wù)區(qū)：開展對(duì)外服務(wù)的服務(wù)器所在的安全區(qū)域。由于直接與公網(wǎng)連接，同時(shí)又是比較敏感的金融業(yè)務(wù)，因此安全性要求非常高，對(duì)業(yè)務(wù)連續(xù)性要求也較高。同時(shí)也最容易遭受包括DoS/DDoS 攻擊在內(nèi)的來(lái)自互聯(lián)網(wǎng)的威脅。內(nèi)網(wǎng)辦公區(qū)：辦公服務(wù)器所在的安全區(qū)域，主要用于內(nèi)部OA 系統(tǒng)等應(yīng)用。對(duì)安全的要求較前面講的各個(gè)安全區(qū)域

14、低，業(yè)務(wù)持續(xù)性要求也相對(duì)較低。多采用Windows 服務(wù)器，比較容易遭受病毒等威脅的影響。網(wǎng)絡(luò)管理區(qū)：網(wǎng)管業(yè)務(wù)開展的區(qū)域，由網(wǎng)管類服務(wù)器和網(wǎng)管工作站構(gòu)成。封閉性較強(qiáng)，這個(gè)區(qū)域的安全與否直接關(guān)系到網(wǎng)絡(luò)的穩(wěn)定運(yùn)行，某些方面的要求可能還要高于內(nèi)網(wǎng)辦公區(qū)。分支機(jī)構(gòu)區(qū)：所有分支機(jī)構(gòu)共同構(gòu)成的安全區(qū)域，一般采用專線接入數(shù)據(jù)中心。對(duì)數(shù)據(jù)中心來(lái)說(shuō)這個(gè)區(qū)域?qū)儆谕饩W(wǎng)，一般是另外單獨(dú)考慮這個(gè)區(qū)域內(nèi)各個(gè)節(jié)點(diǎn)的安全。第二、以安全為核心規(guī)劃網(wǎng)絡(luò)現(xiàn)有網(wǎng)絡(luò)大多是以連通性作為中心進(jìn)行設(shè)計(jì)的，而很少考慮安全性。例如最典型的網(wǎng)絡(luò)三層架構(gòu)模型（核心層、匯聚層、接入層架構(gòu)）中，網(wǎng)絡(luò)是向核心層集中的而并沒(méi)有考慮同一層不同節(jié)點(diǎn)之間的安全隔

15、離問(wèn)題。而在網(wǎng)絡(luò)安全改造中首先需要改變的就是將以連通性為中心的設(shè)計(jì)思路轉(zhuǎn)變?yōu)橐园踩珵橹行牡脑O(shè)計(jì)思路。并按照以安全為核心的設(shè)計(jì)思路的要求對(duì)網(wǎng)絡(luò)進(jìn)行重新設(shè)計(jì)，這就好比要有好的網(wǎng)絡(luò)貼身保鏢。第三、用防火墻隔離各安全區(qū)域防火墻作為不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的出入口，能根據(jù)安全策略控制出入網(wǎng)絡(luò)的信息流，且本身具有較強(qiáng)的抗攻擊能力。它是提供信息安全服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。 第四、對(duì)關(guān)鍵路徑進(jìn)行深度檢測(cè)防護(hù)深度檢測(cè)防御是為了檢測(cè)計(jì)算機(jī)網(wǎng)絡(luò)中違反安全策略行為。一般認(rèn)為違反安全策略的行為有入侵和濫用，深度檢測(cè)防御可以識(shí)別出任何不希望有的活動(dòng)，從而限制這些活動(dòng)，以保護(hù)系統(tǒng)的安全。深度檢測(cè)防御的應(yīng)用目

16、的是在入侵攻擊對(duì)系統(tǒng)發(fā)生危害前，檢測(cè)到入侵攻擊，并利用報(bào)警與防護(hù)系統(tǒng)驅(qū)逐入侵攻擊。在入侵攻擊過(guò)程中，能減少入侵攻擊所造成的損失。第五、對(duì)終端進(jìn)行安全訪問(wèn)控制目前，針對(duì)病毒、蠕蟲的防御體系還是以孤立的單點(diǎn)防御為主，并不能有效應(yīng)對(duì)病毒和蠕蟲的威脅，主要表現(xiàn)在被動(dòng)防御、單點(diǎn)防御、分散管理。只有從用戶的接入終端進(jìn)行安全控制，才能夠從源頭上防御威脅，而分散管理的安全體系無(wú)法徹底解決病毒和操作系統(tǒng)漏洞帶來(lái)的網(wǎng)絡(luò)安全威脅，只有集中管理、強(qiáng)制終端用戶執(zhí)行，才能夠起到統(tǒng)一策略、全局防范的效果。第六、全網(wǎng)部署防病毒系統(tǒng)在所有計(jì)算機(jī)安全威脅中，計(jì)算機(jī)病毒是最為嚴(yán)重的，它發(fā)生的頻率高、損失大、潛伏性強(qiáng)、覆蓋面廣。由于Internet 技術(shù)及信息技術(shù)的普及和發(fā)展，病毒的傳染速度越來(lái)越快。在銀行內(nèi)部的辦公系統(tǒng)、協(xié)同系統(tǒng)的使用，使得病毒在銀行內(nèi)部的傳染速度加快，各個(gè)員工在共享信息的同時(shí)，有可能共享病毒。因此全網(wǎng)部署防病毒系統(tǒng)就顯得非常重要。第七、根據(jù)實(shí)際需要部署其他安全系統(tǒng)以上的安全系統(tǒng)部署基本可以涵蓋一般性網(wǎng)絡(luò)安全需求，但是很多特殊的應(yīng)用也需要特別的應(yīng)用保護(hù)系統(tǒng)。例如：移動(dòng)辦公VPN 系統(tǒng)、補(bǔ)丁管理系統(tǒng)、反垃圾郵件系統(tǒng)、漏洞掃描工具、網(wǎng)絡(luò)流量監(jiān)測(cè)與審計(jì)等等。第八、建立科學(xué)