银行系统网络安全整体解决方案

银行网络应用

随着网络的快速发展，各金融企业之间的竟争也日益激烈，主要是通过提高金融机构的运作效率，为客户提供方便快捷和丰富多彩的服务，增强金融企业的发展能力和影响力来实现的。

为了适应这种发展趋势，银行在改进服务手段、增加服务功能、完善业务品种、提高服务效率等方面做了大量的工作，以提高银行的竞争力，争取更大的经济效益。而实现这一目标必须通过实现金融电子化，利用高科技手段推动金融业的发展和进步，网络的建设为银行业的发展提供了有力的保障，并且势必为银行业的发展带来具大的经济效益。目前银行主要应用有：储蓄、对公、信用卡、储蓄卡、IC卡、国际业务、电子汇兑、电子邮件、电子公文、网上银行、网上交易系统、新的综合对公业务、国际业务信贷系统等。但是我们应该意识到事务的两面性，随着应用的不断增加，网络安全风险也会不断暴露出来。原来由单个计算机安全事故引起的损害可能传播到其他系统和主机，引起大范围的瘫痪和损失。而且由于银行属于商业系统，都有一些各自的商业机密信息，如果这些涉密信息在网上传输过程中泄密，其造成的损失将是不可估量的。

银行网络安全风险分析

1．来自互联网风险

网上银行、电子商务、网上交易系统都是通过Internet公网并且都与银行发生关系，银行系统网络如果与Internet公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，象银行这样的金融系统自然会被恶意的入侵者列入其攻击目标的前列。

2．来自外单位风险

银行系统为了竞争，已不仅仅是局限在本系统纵向网上做文章，而是逐步向横向发展，主要表现在银行不断增加中间业务，增加服务功能。比如代收电话费、水电费、代收保险费、证券转帐等业务。因此，就与电信局、水电局、保险公司、证券交易所等单位网络互联。由于银行与这些单位之间不可能是完全任信关系，因此，它们之间的互联，也使得银行网络系统存在着来自外单位的安全威胁。

3．来自不信任域风险大部分银行系统都发展到全国联网。一个系统分布在全国各地，范围之广，而且各级银行也都是独立核算单位，因此，对每一个区域银行来说，其它区域银行都可以说是不信任的。同样存在安全威胁。

4．来自内部网风险

据调查统计，已发生的网络安全事件中，70%的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉，自已攻击或泄露重要信息内外勾结，都将可能成为导致系统受攻击的最致命安全威胁。

5．管理安全风险

企业员工的安全意识薄弱，企业的安全管理体制不健全也是网络存在安全风险的重要因素之一，健全的安全管理体制是一个企业网络安全得以保障及维系的关键因素。　　

风险可能导致的结果

安全威胁可能引发的结果有非法使用资源、恶意破坏数据、数据窃取、数据篡改、假冒、伪造、欺骗、敲诈勒索等。种种结果对银行这样特殊性的行业来说，其损失都是不可估量的。必须将风险防患于未然。　　

银行网络安全需求

通过以上对银行网络系统应用与安全风险分析，我们提出防范网络安全危险的安全需求：

• 采用相关的访问控制产品及控制技术来防范来自不安全网络或不信任域的非法访问或非授仅访问。
• 采用加密设备应用加密、认证技术防范信息在网络传输过程中被非法窃取，而造成信息的泄露，并通过认证技术保证数据的完整性、真实性、可靠性。
• 采用安全检测技术来实时检查进出网络的数据流，动态防范各种来自内外网络的恶意攻击。
• 采用网络安全评估系统定期或不定期对网络系统或操作系统进行安全性扫描，评估网络系统及操作系统的安全等级，并分析提出补救措施
• 采用防病毒产品及技术实时监测进入网络或主机的数据，防范病毒对网络或主机的侵害。
• 采用网络备份与恢复系统，实现数据库的安全存储及灾难复。
• 构建CA认证中心，来保证加密密钥的安全分发及安全管理。
• 应用安全平台的开发，针对银行特殊的应用进行特定的应用开发。
• 必须制定完善安全管理制度，并通过培训等手段来增强员工的安全防范技术及防范意识。

网络安全解决方案

• 物理安全

保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。

1．环境安全

对系统所在网络环境合理选择的安全保护，如防水灾、火灾、地震等自然灾害。

2．设备安全

加强设备的安全保护，防止发生设备被盗、被毁。

3．媒介安全

加强场地基础设施的建设，防止信息通过辐射、线路截获而造成泄露。　　

• 系统安全

1．操作系统安全

目前大多数操作系统都存在一些安全漏洞、后门，而这些因素往往又是被入侵者攻击所利用。因此，对操作系统必须进行安全配置、打上最新的补丁，还要利用相应的扫描软件对其进行安全性扫描评估、检测其存在的安全漏洞，分析系统的安全性，提出补救措施。管理人员应用时必须加强身份认证机制及认证强度。

2．应用系统安全

应用系统一般都是针对某些应用而开发的，但由于它的通用性，其所提供的服务并非都是每个具体用户所必需的，因此，对应用系统的安全性，也应该进行安全配置，尽量做到只开放必须使用的服务，而关闭不经常用的协议及协议端口号。还有就是对应用系统的使用要加强用户登录身份认证。确保用户使用的合法性，严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。并充分利用应用系统本身的日志功能，对用户所访问的信息做记录，为事后审查提供依据。　　

• 网络安全

1．网络结构安全

　　网络结构布局的合理与否，也影响着网络的安全性。对银行系统业务网、办公网、与外单位互联的接口网络之间必须按各自的应用范围、安全保密程度进行合理分布，以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统。

2．加强访问控制

1）如果银行系统有上Internet公网的需求，则从安全性考滤，银行业务系统网络必须与Internet公网物理隔离。解决方法可以是两个网络之间完全断开或者通过物理安全隔离卡来实现。

　　2）网结构合理分布后，在内部局网内可以通过交换机划分VLAN功能来实现不同部门、不同级别用户之间简单的访问控制。

　　3）内部局域网与外单位网络、内部局域网与不信任域网络之间可以通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制。

　　4）根据企业具体应用，也可以配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问控制。

　　5）对于远程拔号访问用户的安全性访问，可以利用防火墙的一次性口令认证机制，对远程拔号用户进行身份认证，实远程用户的安全访问。

　　3．安全检测

　　由于防火墙等安全控制系统都属于静态防护安全体系，但对于一些允许通过防火墙的访问而导致的攻击行为、内部网的攻击行业，防火墙是无能为力的。因此，还必须配备入侵检测系统，该系统可以安装在局域网络的共享网络设备上，它的功能是实时分析进出网络数据流，对网络违规事件跟踪、实时报警、阻断连接并做日志。它既可以对付内部人员的攻击，也可以对付来自外部网络的攻击行为。

　　4．网络安全评估

　　黑客攻击成功的案例中，大多数都是利用网络或系统存在的安全漏洞，实现攻击的。网络安全性扫描分析系统通过实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，根据扫描结果配置或修改网络系统，达到增强网络安全性的目的。操作系统安全扫描系统是从操作系统的角度，以管理员的身份对独立的系统主机的安全性进行评估分析，找出用户系统配置、用户配置的安全弱点，建议补救措施。　

• 应用安全

1．安全认证

　　银行系统在解决网络安全问题肯定要配备加密系统，由于要加密就涉及到密钥，则密钥的产生、颁发与管理就存在安全性。我们都知道密钥的发放一般都是通过发放证书来实现。那么，证书的发送方与接收方如何确认对方证书的真实性，因此，就引入了通过第三方来发放证书，即构建一个权威认证机构（CA认证中心）。银行系统可以联合各专业银行一同构建一个银行系统的CA系统。实现本系统内证书的发交与业务的安全交易。随着网络经济的发展，慢慢可以升级为和其它系统CA的交叉认证。

　　2．病毒防护提起病毒的危害，我想很多人都会为之震惊。CIH、爱虫等真让IT界恐慌一时，病毒侵害小的引起死机影响工作、大的可能引起系统瘫痪（彻底摧毁数据）。病毒的防护必须通过防病毒系统来实现，银行系统中业务网络操作系统一般都采用UNIX操作系统，而办公网络都为Windows系统，因此，防范病毒的入侵，就应该根据具体的系统类型，配置相应的、最新的防病毒系统。从单机到网络实现全网的病毒安全防护体系，病毒无论从外部网络还是从内部网络中的某台主机进入网络系统，通过防病毒软件的实时检测功能，将会把病毒扼杀在发起处，防止病毒的扩散。　　

• 信息安全

1．加密传输

要保护数据在传输过程中不被泄露，保证用户数据的机密性，必须对数据进行加密。加密后，数据在传输过程中便是以密文传输，既使被入侵者截获，由于是密文形式，也读不懂；即使加密后的数据存在被破译的可能性，但现行密码算法的密钥都在64位以上，解密工作并不容易，需要花费相当的资金、时间。等到破译，也许这种信息已经没有什么价值了。数据加密的方法有从链路层加密、网络层加密及应用层加密。链路层加密机主要根据企业采用链路协议（Frame Relay、X.25、DDN、PSTN），采用相应类型的加密机；网络层加密由于是在网层上，因此它对链路层是透明的，与链路是何种协议无关；应用层加密主要适用于具有的加密需求，针对具体的应用进行开发。不同企业可以根据自身网络特点及应用需求选择合适的加密方法。对于银行系统，由于系统庞大，采用电信网络链路协议有Frame Relay、X.25、DDN、PSTN等多种链路，如果采用链路加密，采必须采用多种类型的加密机，这样对一个系统来说，就会给产品维护、升级等带来一定的困难；对于应用层加密，在网上银行应用比较广泛，网上银行针对公网用户，其数据在公网上传输不可能使用链路层或网络层加密设备，只能通过应用层加密来实现，应用层加密可以采用SET协议或者SSL协议，通过B/S结构完成网上交易的加密及解密。因此，对银行普通业务系统，我们建议采用网络层加密设备，来保护数据在网络上传输的安全性。而对网上银行、网上交易等业务系统可以采用应用层加密机制来加密，以保护数据在网上传输的机密性。

　　2．信息鉴别

　　保护数据的完整性、真实性、可靠性也是网络系统安全防护的一个重要方面。数据在传输过程中存在着被非法窃取、篡改的安全威胁，为此，为了保证数据的完整性，就必须采用信息鉴别技术。VPN设备便能实现这样的功能，其实现过程：原始数据包到达VPN设备时首先对数据进行加密并用HASH函数对数据进行HASH运算产生信息摘要与加密后的数据一同发出去，数据包到达目的方的VPN加密设备后，先对加密的密钥对对数据包进行解密，然后用HASH函数对解密后的数据进行HASH运算，也产生信息摘要，把这个信息摘要与收到的信息摘要进行对比，由于进行HASH运算后产生的信息摘要可以被认为具有唯一性，所以，如果这两个信息摘要完全相同，则说明解密的数据是完整的原始数据，否则说明数据在传输过程中已经被修改过，失去的完整性。

　　数据源身份认证也是信息鉴别的一种手段，它可以确认信息的来源的可靠性。数据源身份认证的实现是通过数字签名技术。数字签名基本原理是发送方利用自已的私钥对信息进行加密（签名）后发送给对方，对方收到信息后用发送方的公钥进行解密，如果通顺利解成明文这说明信息来源是可信的，否则证明信息来源是不可靠的。同时采用数字签名技术达到防抵赖目的。

　　对于银行系统，由于其行业的特殊性，在网上传输信息都是重要信息。因此，结合传输加密技术，我们可以选择VPN设备，实现保护数据的机密性、完整性、真实性、可靠性。

　　3．信息存储

　　对银行系统主要是数据库的安全，由于各地银行系统都是采用客户/服务器模式，数据都集中存在一个大型数据库系统中，因此数据库的安全尤其重要。保护数据库最安全、最有效的方法就是采用备份与恢复系统。备份系统可以保存相当完整的数据库信息，在运行数据库主机发生意外事故时，通过恢复系统把备份的数据库系统在最短时间内恢复正常工作状态，保证银行业务系统提供服务的及时性、连续性。　

• 应用开发

银行系统由于职能的特殊性，可能会存在其特殊的应用，而要保护其应用的安全性，并不是市场上的那些通用产品都能满足，必须通过详细了解，分析，进行有针对性地开发，量体裁衣，才能切实让用户用得放心。　

• 管理安全

我们知道网络安全实现并不完全取决于技术手段，管理安全是网络安全真正得以维系的重要保证。管理安全银行系统安全制度的制定、国家法律、法规的宣传以及提高企业人员的整体网络安全意识。　　

• 安全服务

网络安全是动态的、整体的，并不是简单的安全产品集成就解决问题。随着时间推移，新的安全风险又将随着产生。因此，一个完整的安全解决方案还必须包括长期的、与项目相关的信息安全服务。安全服务包括：全方位的安全咨询、培训；静态的网络安全风险评估；特别事件应急响应。　　

• 安全目标

1. 保护网络系统的可有性
2. 保护网络资源的合法使用性
3. 防范入侵者的恶意攻击与破坏
4. 保护信息通过网上传输的机密性、完整性及不可抵赖性
5. 防范病毒的侵害
6. 实现网络的安全管理　　

典型应用实例

我们举一个比较典型的银行网络应用系统。如下图示：整个网络纵向覆盖全国各省市、区县；而横向也与许多单位连接。我们针对这样的网络来举例说明如何解决其网络安全问题。　　

访问控制

• 银行有连接Internet公网的应用需求，出于安全，把银行系统中业务网及内部有涉密信息的办公网与有上Internet公网需求的子网完全物理隔离。使它们是两组完全互相独立的网络，防止因上公网而造成的安全问题危及到需保护的网络。
• 对内部办公系统中不同部门或不同安全级别的用户组利用交换机划分虚拟子网技术划分不同子网，对局域网内部做到较简单的访问控制。
• 在各级银行内部网主交换机与本系统纵向网互连的边界路器之间安装防火墙系统，防火墙可以做到隔离不同网络，并防范外部网络非法访问及恶意攻击。
• 对远程拔号访问内部网用户可以充分利用防火墙系统的一次性口令认证机制来对访问用进行安全的身份检查，只有通过认证才可进行访问，而且由于采用一次性口令机制，所以，这样防护措施安全强度相当高。
• 在各级银行内部网主交换机与电话局、水电局、证券、保险等外单互连的边界路器之间安装防火墙系统，防火墙做到隔离不同网络，并防范外部网络非法访问及恶意攻击。　　

信息传输为了保护数据信息从发起端到接收端传输过程的安全性，在每一级网络配备的防火墙系统与边界路由器之间配备网络层加密机，由于网络层加密设备可以实现网关到网关的加密与解密，因此，在每个有重要传输数据的网点只需配备一台网络层加密机。利用加密技术以及安全认证机制，保护信息在网络上传输的机密性、真实性、完整性及可靠性。

而针对银行系统网上银行、网上交易业务，可以在应用层采用SET或SSL协议进行应用层加密，并通过数字签名等技术保证网上交易数据的机密性、完整性及不可抵赖性。　

安全检测

防火墙的安全保护是属于静态安全防护，其功能及作用范围也是有限的，不可能做到全面的防护。入侵检测技术是防火墙的有利补充。因此，在总行、各省市、区县行中存放有业务数据库或者是存放有涉密信息的网络，配备一套入侵检测系统，通过实时监测进出网络的数据流，一旦发现不安全的访问行为，并依据策略采取相应的处理手段（阻断、报警等）。做到既防范外网的攻击，又能防范内部网发起的攻击。　　

　　@安全评估

　　为了减少因系统存在的安全漏洞而造成的受黑客的攻击，利用现有的网络安全分析系统，分析网络系统结构、配置等是否存在安全漏洞，并根据所得结果采取相应的解决办法。同时利用操作系统安全扫描系统，以管理员的身份对使用的各种操作系统进行安全性扫描，依据结果，增加安全补丁及填补安全漏洞。　　

病毒防护

　　银行系统中业务网操作系统都是UNIX操作系统，而办公网都是用的WINDOWS操作系统。为了防止病毒的侵害，根据不同的操作系统类型，配备相应的防病毒系统，支持UNIX操作系统的防病毒软件、支持WINDOWS NT或WINDOWS 95/98的防病毒软件（熊猫防病毒软件）。通过这些软件所具有的实时检测功能，达到防范病毒侵害的目的。　　

备份恢复

　　银行业务系统都采用Client/Server模式，数据库中都存放着许多网点的业务数据，为了保证银行业务的连续性和安全性，为各级有数据库的网络系统配备一套备份与灾难恢复系统，该系统能实现数据库的远程存储备份，而且一旦数据库服务器发生故障，利用灾难恢复系统可以实现快速恢复。　　

认证中心

　　根据网络的系统结构，构建一个与整个网络的系统结构相对应的安全认证中心（CA系统）。由根CA中心、区域CA中心、RA三级结点构成的层次结构。

　　根CA中心建立在国家信息中心，区域CA中心建立在省、市节点，而RA系统则建立在地市、区县节点，面向大众服务。

　　在该CA体系中，RA中心作用只是接受持卡人的证书申请并进行资格审核，将审核通过的证书申请信息发送给CA，由于国家中心CA签发证书。但根据具体情况的需要，各级用户可以采用向其相应所在区域CA中心申请获得证书，但证书的生成及发放必须由国家中心CA来处理。通过CA签发的数字证书，使通过网络进行交易的各方都有合法的身份，在交易的各个环节，交易的各方都可验证对方数字证书的有效性，从而解决相互信任问题。同时保证各种交易中信息的保密性、数据的完整性、交易的不可否认性等。

　　安全管理必须结合企业自身的特点及需求来详细制定，本实例仅列出部分安全管理内容，仅供参考。

• 访问控制使用证件的发放与回收；
• 信息处理系统使用的媒介发放与回收；
• 处理保密信息；
• 硬件和软件的维护；
• 系统软件的设计、实现和修改；
• 重要程序和数据的删除和销毁等；
• 职务的任期期限
• 职责分离
• 建立安全管理机构
• 制定安全管理制度
• 安全事件处罚