商业银行网络安全解决办法.doc

\ BringBringBring 安全白皮书安全白皮书安全白皮书 商业银行网络安全解决方案商业银行网络安全解决方案商业银行网络安全解决方案 北京博睿勤技术发展有限公司北京博睿勤技术发展有限公司北京博睿勤技术发展有限公司 版本：1.0 日期：2010/6/22 编写：李宇晗 \ 商业银行网络安全解决方案商业银行网络安全解决方案商业银行网络安全解决方案 目录 1概述概述.....................................................................................................................................1 1.1 网络安全概述................................................................................................................1 1.2 目前网络安全技术........................................................................................................1 1.2.1国内网络安全技术.................................................................................................................1 1.2.2网络安全的理解的误区.........................................................................................................2 1.2.3网络安全概念.........................................................................................................................2 2商业银行安全需求分析商业银行安全需求分析.....................................................................................................3 2.1 商业银行的业务安全分析............................................................................................3 2.1.1公共信息发布.........................................................................................................................3 2.1.2完善安全管理策略.................................................................................................................4 2.1.3增加防火墙防护.....................................................................................................................7 2.1.4配置入侵检测模块.................................................................................................................7 2.1.5帐户查询.................................................................................................................................8 2.1.6身份验证.................................................................................................................................8 2.1.7数据加密.................................................................................................................................9 2.1.8网上支付和转账...................................................................................................................10 2.1.9数据完整性...........................................................................................................................11 2.1.10不可否认性...........................................................................................................................11 2.1.11网络结构安全.......................................................................................................................12 2.1.12加强访问控制.......................................................................................................................12 2.1.13安全检测...............................................................................................................................12 2.1.14网络安全评估.......................................................................................................................13 2.1.15安全认证...............................................................................................................................13 2.1.16病毒防护...............................................................................................................................13 3商业银行网络安全解决方案商业银行网络安全解决方案...........................................................................................14 3.1 网络管理......................................................................................................................14 3.1.1网络行为管理.......................................................................................................................14 3.1.2灵活的 IP 管理与用户管理.................................................................................................14 3.1.3统计报表...............................................................................................................................15 \ 3.2 终端安全防护..............................................................................................................15 3.2.1登陆控制...............................................................................................................................15 3.2.2本地文件加密.......................................................................................................................15 3.2.3文件粉碎机...........................................................................................................................15 3.2.4非法外联...............................................................................................................................15 3.2.5移动存储设备管理...............................................................................................................15 3.3 桌面安全系统..............................................................................................................16 3.3.1定向访问控制.......................................................................................................................16 3.3.2虚拟安全域管理...................................................................................................................16 3.3.3策略优先级管理...................................................................................................................16 3.3.4多元化的管理模式...............................................................................................................16 4商业银行解决方案特性分析商业银行解决方案特性分析...........................................................................................17 5银行业成功典型案例银行业成功典型案例.......................................................................................................18 6产品技术架构介绍产品技术架构介绍...........................................................................................................18 7安全风险分析安全风险分析...................................................................................................................18 8公司资质文件公司资质文件...................................................................................................................18 9实施周期评估实施周期评估...................................................................................................................18 10方案总结方案总结...........................................................................................................................18 \ 1 概述概述 1.1 网络安全概述网络安全概述 Internet 的发展，正在引发一场人类文明的根本变革。网络已成为一个国家 最为关键的政治、经济、军事资源，成为国家实力的新象征。 然而随着网络应用不断扩大，它的反面效应也随着产生。通过网络使得黑 客或工业间谍以及恶意入侵者侵犯和操纵一些重要信息成为可能，因而引发出 网络安全性问题。正如我国著名计算机专家沈昌祥院士指出的："信息安全保障 能力是 21 世纪综合国力、经济竞争实力和生存能力的重要组成部份，是世纪之 交世界各国在奋力攀登的制高点"。二十世纪未，美国一些著名网站、银行、电 子商务网站造受黑客攻击；黑客入侵微软窃取源代码软件等重要案件，都证明 了网络安全的严重性，我们知道，仅这一两年内，国内做网络安全的公司一下 就拔地而起，从最早的几家发展到上百家。因此，解决网络安全问题刻不容缓。 1.2 目前网络安全技术目前网络安全技术 1.2.1国内网络安全技术 在我国，我们可以看到，由于我们的一些技术和国外还有差距，国内现有 的或正在建设中的计算机网络，多数是通过电信公众网进行信息传输，而采用 的网络设备几乎是国外厂家的产品。这些网络的集成相当一部分没有配备网络 安全产品。既使有的网络用户已经使用了安全产品，但由于国内网络安全技术 起步较晚，许多用户所使用也均是国外的生产的产品，没有我们自已的版权。 况且各国在安全产品出口的问题上都有自己的保留，比如加密算法，美国国家 安全局只允许加密密钥为 40 位以下的算法出口。我们可以想象，对 Internet 这 样的国际性的互联网络，如果我们的国内全部雇用一批国外的"警卫部队"来把 \ 守，其后果是怎样的?因此，我们只有使用国内自主研制的信息安全产品、具有 自主版权的安全产品，才能真正掌握信息战场上的主动权，才能从根本上防范 来自各种非法的恶意攻击和破坏。 1.2.2网络安全的理解的误区 让我们分析下以往对网络安全理解的一些误区。 首先是认为是利用网络操作系统、数据库系统以及应用系统自身所具有的 认证和授权及访问控制等措施对信息系统进行安全防护，现在我们都知道，这 些措施是静态的，而且是极其脆弱的，许多安全漏洞都没有考滤进去，网络信 息系统存在极大的风险。 还有就是把网络安全几乎全部依赖于所安装的防火墙或觉得安全了防病毒 系统，网络就安全了；他们没有认识到网络安全是动态的、整体的，不可能仅 靠单一安全产品就能实现。所以，我们必须从网络安全可能存在的危机入手， 分析并提出整体的网络安全解决方案。 1.2.3网络安全概念 从广义来讲，安全的概念可以包括数据安全，系统安全和信息安全三个方 面，数据安全是指通过采用系统备份，磁盘镜像等安全手段以防止数据丢失； 系统安全是指通过系统加固，边界防御，入侵检测等手段以防止黑客攻击系统 破坏数据；而信息安全则主要是指通过加密技术防止信息和数据在公开网络传 输上被窃听、篡改和顶替。信息安全包括四个功能：数据保密，身份认证，数 据完整性和防止抵赖。 本方案是基于北京博睿勤软件公司自主开发的以下三个安全软件产品：上 网行为管理系统，终端防护安全系统和桌面安全管理系统。这三个产品为解决 网上银行系统中数据加密，身份认证，数据完整性和防止抵赖等信息安全问题 提供了完整的解决方案。 \ 2 商业银行安全需求分析商业银行安全需求分析 2.1 商业银行的业务安全分析商业银行的业务安全分析 随着金融系统计算机的应用和发展，计算机网络技术在金融系统得到了广 泛的应用，为金融业的集约化经营和高速度发展奠定了坚实的基础。金融业的 计算机网络建设，使银行内部的各专业部门通过计算机网络实现各种数据共享， 各金融机构之间通过计算机网络实现跨地市、跨省市、跨银行间网络体系，使 各家银行、跨地市金融机构的计算机资源和数据资源得到共享，从而使金融业 得到高速的发展。在计算机网络发展的同时，摆在我们面前的最大课题就是加 强计算机网络的安全建设。 通过安全分析可以提供有针对性解决方案，从而保护银行内部网络的计算 机系统正常运转，避免恶意的攻击、破坏；防止重要数据库的数据被窃取、修 改、破坏。 2.1.1公共信息发布 公共信息发布用于介绍银行的业务范围流程，金融公共信息等。这类业务 由于面向公众发布，不需要保证信息只能被特定团体或个人访问，需要的是保 护信息不会被非法篡改。目前在 Internet 上比较多的黑客事件都是篡改公共 Web 站点的内容，制造虚假信息或涂改页面。如美国 NASA 和国防部站点被 “黑”事件就是这类事件。对于银行来说，公共金融信息虽然是公开的，但是 如果被篡改某些敏感数据，如银行利率等，很可能会造成不必要的麻烦，对银 行的名誉也会造成不利的影响。因此，对这些内容的保护也是不能够忽视的。 Web 站点内容被黑客篡改，是这些黑客通过主动攻击实现的。例如，黑客 通过密码字典猜测信息系统的特权口令，在获得特权口令之后，登录进入系统， 篡改发布内容，制造不良影响。对于这种情况，我们可以通过改进系统配置、 增加防火墙防护、配置入侵检测模块和完善安全管理策略来实现安全保护，避 免站点被非法篡改。 \ 2.1.2完善安全管理策略 黑客一般是通过分析网络管理上的漏洞以达到其攻击目的。很难定义怎样 的系统管理才是完善的，因为完善的系统管理是各方面的总和，例如对路由器 以及其他主机定期更改密码，采用不规则密码，关闭不必要的服务，关闭防火 墙任何不使用的端口等。 对于一个 Unix 系统，安全管理主要可分为四个方面： 1.防止未授权存取 权限控制是系统安全的基本问题，即防止未被授权的用户进入系统。良好 的用户意识，良好的口令管理(由系统管理员和用户双方配合)，登录活动记录 和报告，用户和网络活动的周期检查是防止未授权存取的关键。 2.防止泄密 数据保密也是系统安全的一个重要问题。防止已授权或未授权的用户相互 存取对方的重要信息，经常性的文件系统查帐，su 登录和报告以及良好的用户 保密意识都是防止泄密的手段。 3.防止用户滥用系统资源 一个系统不应被一个有意试图使用过多资源的用户损害，因为在高负载的 情况下系统的安全性能往往会降低。例如黑客通过占用整个磁盘空间来防止日 志生成，不幸的是很多商业 UNIX 不能很好地限制用户对资源的使用。因此系 统管理员必须通过一些系统命令如 PS 命令，记帐程序 df 和 du 周期地检查系 统.查出过多占用 CUP 的进程和大量占用磁盘的文件。同时安装某些监控软件 也是有效的手段之一。 4.维护系统的完整性 大多数情况下，维护系统完整是系统管理员的责任，例如：周期地备份文 件系统，系统崩溃后运行磁盘扫描检查，修复文件系统，检测用户是否正在使 用可能导致系统崩溃的软件。 良好的安全管理策略对系统的安全水平起着至关重要的作用。因此系统管 理员可以将以下几个方面作为维护的重点： 系统配置系统配置 仔细研究最新的系统维护文档，完善系统各方面的安全配置， 降低安全风险。同时，周期性的维护系统，包括备份和安装补丁程序、订阅安 \ 全电子新闻。 系统隔离系统隔离 将内网和外网进行隔离，确保银行业务前置机、业务主机和数 据库服务器只处于内网中，内网和外网通过防火墙相连。 切断共享切断共享 Web 服务器上的系统配置尽可能地保证安全。关闭所有不必要 的文件共享。停止所有与业务无关的服务器进程，如 Telnet、SMTP 和 FTP 等 服务器守护进程。 日志记录日志记录 打开日志记录功能，保存系统的访问日志记录，对其进行分析， 可以有助于发现有问题的访问情况。如有必要，使用专门的入侵检测模块。 口令策略口令策略 制定完善的口令策略，限制口令的最小长度和最长有效期，检 查口令的质量。 专人专权专人专权 由专人负责系统安全和系统维护，减少不必要的用户管理权限， 严格控制非系统管理员的权限和系统管理员的数量。 以下是一个简化的虚拟商业银行网络结构图： \ 图 1 网上银行网络结构图 从图中可以看到整个网络体系分为：Internet，非军事区（DMZ） ，Intranet 以及银行内部网四部分。其安全等级从前往后逐次递增。这些网段由两个网关 连为一体。首先防火墙将 Internet 和 Intranet 以及非军事区分离。非军事区是 所有用户可以访问的区域，而 Intranet 则只有特定用户才能访问，通过对防火 墙的合理配置可以避免内部服务器被攻击，可以采用多级防火墙配置（如在非 军事区和 Internet 之间用防火墙隔离）以提供更强的网络安全保护。 Intranet 与网上内部网络由前置机相连，为了保证银行业务主机的运行安全， 网上银行系统不直接连接业务主机，而是由特定的前置机来代理其请求，前置 机只响应特定服务请求，然后将请求转换为特定消息格式发送给业务主机，收 到应答后再将数据返回给请求者。通过这种隔离进一步增强了系统的安全保证。 2.1.3增加防火墙防护 在网络系统中，防火墙是一种装置，可使内部网络不受公共部分（整个 Internet）的影响。它能同时连接受到保护的网络和 Internet 两端，但受到保护 的网络无法直接接到 Internet，Internet 也无法直接接到受到保护的网络。如果 要从受到保护的网络内部接到 Internet，首先需要连接到防火墙，然后从防火 墙接入 Internet。最简单的防火墙是双主机系统（具有两个网络连接的系统） 。 防火墙有两种： 1.IP 过滤防火墙 IP 过滤防火墙在数据包一层工作。它依据起点、终点、端口号和每一数据 包中所含的数据包种类信息控制数据包的流动。这种防火墙非常安全。它阻挡 别人进入内部网络。过滤防火墙是绝对性的过滤系统。即使要让外界的一些人 进入防火墙之内，也无法让每一个人进入服务器。 2.代理服务器 代理服务器允许通过防火墙间接进入 Internet。最好的例子是先连接到防火 墙，然后从该处再连接到另一个系统。在有代理服务器的系统中，这项工作是 完全自动的。利用客户端软件连接代理服务器后，代理服务器启动它的客户端 \ 软件（代理） ，然后传回数据。只要配置正确，代理服务器就绝对安全，它阻挡 任何人进入内部网络，因为没有直接的 IP 通路。 在网上银行系统中，由于 Web 服务器需要连接到 Internet，因此，我们建 议在 Web 服务器和 Internet 之间架设一个 IP 过滤防火墙。 2.1.4配置入侵检测模块 除了防火墙之外，配置入侵检测模块也是一个重要的安全措施。例如，对 于银行帐户和密码，入侵者可能尝试枚举攻击，由于密码长度有限且均为数字， 密码空间比较小。如果入侵者知道帐户号码，很容易通过枚举攻击猜测出帐户 密码。 入侵攻击的特点是在一个攻击源同时发出密集攻击数据。自然，这些攻击 数据对于查询系统来说，可能是合法的查询参数，它的特点是在同一个攻击源 同时发出大批量查询请求。普通情况下，一个用户连接后不会非常频繁的查询 数据（每分钟最多不超过 5 次查询） ，而且查询的帐户号码也有限（每分钟最多 不超过 10 个帐户） 。相反，入侵者为了猜测密码，会大批量、长时间、从同一 地点发出攻击信息。这种攻击模式是能够被检测到的。检测到异常情况之后， 检测模块能够自动予以记录和预警。自动预警甚至可以通过寻呼机通知系统管 理员。 2.1.5帐户查询 网上账户查询是指银行通过 Internet 进行帐户实时查询功能，企业银行 的查询功能包括： 余额查询 交易历史查询 汇款查询 公司对公账户查询 个人银行的查询功能包括： 公积金账户查询 交易明细查询 \ 定期到期查询 消费积分查询 网上账户查询的安全需求比公共信息发布要更高，因此网上账户对系统安 全也有同样的需求，而且，除此之外，网上账户查询的还需要解决用户的私有 信息（口令，账户数据）在 Internet 这个公开网络上传输的安全问题。而这些 属于信息安全范畴。 网上账户查询的信息安全功能应包括两个方面：身份认证和数据保密。 2.1.6身份验证 传统银行业务的身份验证方案主要是通过口令或 PIN 来实现的，它具有以 下两个特点： 1． PIN 一般为 4-8 个数字，范围比较窄。 2． 银行主机记录用户输错 PIN 的次数，一旦超过一定数量，就自动关闭 该账户的服务功能。 在网上银行业务中，仅通过这样的方式来进行身份验证，存在很大的不足： 1． 由于网上银行业务的通信信道是公开网络，所以口令明文传输容易被截 获。 2． 在网络上，口令猜测是黑客使用最多的攻击手段，即使使用蛮力攻击法， 攻破 8 位的数字口令也只需很短的时间。 3． 在网上提供服务，很难对错误 PIN 输入进行限制。网络的信道故障或 者人为的恶意行为都很容易使输错口令次数达到限制。错误次数限制会 给合法的用户带来了很大的不便。 因此，传统的口令验证难以成为网上银行业务的唯一身份认证技术。在网 络应用中，目前采用较多的方法是动态口令（例如 Kerberos） ，令牌卡和数字 证书认证技术。这些技术配合口令机制，就称为双因子身份认证技术。 下表是数字证书同传统口令模式的身份验证在性能上的比较： 口令方式口令方式数字证书方式数字证书方式 用户登录时口令在公开网络上传输，私钥由用户保存，只需公布其公钥。私 \ 有可能泄密钥永远不会在公开网络上传输，而且从 公钥无法推导出私钥 口令一旦泄密，所有安全机制即失效用户私钥可以存放在 IC 卡中并有口令 保护，安全性更高 服务器需要维护庞大的用户口令列表 并负责口令保存的安全 服务器使用数字证书验证用户身份，不 保存用户的私钥，所以用户私钥不可能 在服务器端泄露 与传统方法一致，易于理解技术较新，普通用户理解略有难度 对于企业银行，由于数据安全性要求较高，所以应该采用数字证书身份认 证加上口令认证的双因子身份认证技术。 2.1.7数据加密 由于采用了 SSL 技术，Web 应用的开发也大为简化，Web 服务器应用程 序可以把与查询状态有关的信息都保存在 Cookie 中，而不必担心 Cookie 的安 全问题。 递交口令 的 Web 服务器 的 用户 的 表单 的 银行业务主机 的 CA 服务器 的 建立 SSL 握手 的 1．SSL 服务器代 理验证用户证书本 身的合法性 2。证书提交 CA 服务器，检验是否 已经作废 3。银行业务主机 再对口令进行验证 \ 图 2 企业用户身份验证示意图 2.1.8网上支付和转账 网上支付和转账在查询的基础上进一步给用户提供了方便，用户可以在 网上进行支付、转账从而达到交易的目的，就目前而言，国内很多网上银 行系统已经开通了如下支付和转账业务： 定期账户转活期 活期账户转定期 活期账户转活期 信用卡账户转信用卡账户 公用事业费代缴 企业转账 证券资金账户转账 特约商户网上支付 和查询相比，支付和帐户转帐的安全需求更高，除了必须具备查询所需要 的安全性之外，还需要应该提供数据完整性和不可否认性。 2.1.9数据完整性 所谓数据完整性就是指用户在支付指令和转账指令中所填写的数据必须保 持完整，不能在公开网络上被其他用户无意或恶意地修改。SSL 由于对整个数 据链路进行了加密，所以在一定程度上能够保证完整性，但是公开网络上的数 据加密对完整性的保护只是局部的，一旦数据被解密后依然存在着被更改的可 能。所以正确的方案应该采用数字签名机制，由用户使用自己的数字证书对支 付指令或转账指令进行签名，同时签名数据被永久保存，只有这样才能真正避 免数据完整性被破坏，签名是对用户私钥对数据摘要（又称指纹）的加密，数 据发生变化时，数据摘要也必定发生变化。如果将原先的数字签名解密，就很 容易发现两段数据摘要不符。 \ 2.1.10不可否认性 不可否认性是指指令发出者不能在事后否认曾经发出该指令。这对于规范 业务，避免法律纠纷起着很大的作用。传统地，不可否认性是通过手工签名完 成的，在网上银行，不可否认性是由数字签名机制实现的。 由于私钥很难攻击，其他人（包括银行）不可能得到私有密钥。所以用私 钥对交易指令的摘要签名后，就保证了该用户确实是发出了该指令。将签名数 据作为业务数据的凭证，在业务成功后就开始保障不可否认性。 不可否认性可以保证每个帐户用户的转帐过程具有法律效力。另外，对于 企业级的帐户。 对于个人银行业务来说，转账金额比较小，风险相对较低，所以在双方都 认可的情况下，没有数字签名的支付和转账的指令也是可以接受的。 但是对于企业用户和进行证券转账的个人用户来说，转账金额大，风险大， 指令必须附带签名数据，在签名数据验证通过以后才能真正进行支付或转账。 2.1.11网络结构安全 网络结构布局的合理与否，也影响着网络的安全性。对银行系统业务网、 办公网、与外单位互联的接口网络之间必须按各自的应用范围、安全保密程度 进行合理分布，以免局部安全性较低的网络系统造成的威胁，传播到整个网络 系统。 2.1.12加强访问控制 1）如果银行系统有上 Internet 公网的需求，则从安全性考滤，银行业务系 统网络必须与 Internet 公网物理隔离。解决方法可以是两个网络之间完全断开 或者通过物理安全隔离卡来实现。 2）网络结构合理分布后，在内部局域网内可以通过交换机划分 VLAN 功 能来实现不同部门、不同级别用户之间简单的访问控制。 3）内部局域网与外单位网络、内部局域网与不信任域网络之间可以通过配 备防火墙来实现内、外网或不同信任域之间的隔离与访问控制。 \ 4）根据企业具体应用，也可以配备应用层的访问控制软件系统，针对局域 网具体的应用进行更细致的访问控制。 5）对于远程拔号访问用户的安全性访问，可以利用防火墙的一次性口令认 证机制，对远程拔号用户进行身份认证，实远程用户的安全访问。 2.1.13安全检测 由于防火墙等安全控制系统都属于静态防护安全体系，但对于一些允许通 过防火墙的访问而导致的攻击行为、内部网的攻击行业，防火墙是无能为力的。 因此，还必须配备入侵检测系统，该系统可以安装在局域网络的共享网络设备 上，它的功能是实时分析进出网络数据流，对网络违规事件跟踪、实时报警、 阻断连接并做日志。它既可以对付内部人员的攻击，也可以对付来自外部网络 的攻击行为。 2.1.14网络安全评估 黑客攻击成功的案例中，大多数都是利用网络或系统存在的安全漏洞，实 现攻击的。网络安全性扫描分析系统通过实践性的方法扫描分析网络系统，检 查报告系统存在的弱点和漏洞，建议补救措施和安全策略，根据扫描结果配置 或修改网络系统，达到增强网络安全性的目的。操作系统安全扫描系统是从操 作系统的角度，以管理员的身份对独立的系统主机的安全性进行评估分析，找 出用户系统配置、用户配置的安全弱点，建议补救措施。 2.1.15安全认证 银行系统在解决网络安全问题肯定要配备加密系统，由于要加密就涉及到 密钥，则密钥的产生、颁发与管理就存在安全性。我们都知道密钥的发放一般 都是通过发放证书来实现。那么，证书的发送方与接收方如何确认对方证书的 真实性，因此，就引入了通过第三方来发放证书，即构建一个权威认证机构 （CA 认证中心） 。银行系统可以联合各专业银行一同构建一个银行系统的 CA 系统。实现本系统内证书的发交与业务的安全交易。随着网络经济的发展，慢 \ 慢可以升级为和其它系统 CA 的交叉认证。 2.1.16病毒防护 提起病毒的危害，我想很多人都会为之震惊。CIH、爱虫等真让 IT 界恐慌 一时，病毒侵害小的引起死机影响工作、大的可能引起系统瘫痪（彻底摧毁数 据） 。病毒的防护必须通过防病毒系统来实现，银行系统中业务网络操作系统一 般都采用 UNIX 操作系统，而办公网络都为 Windows 系统，因此，防范病毒的 入侵，就应该根据具体的系统类型，配置相应的、最新的防病毒系统。从单机 到网络实现全网的病毒安全防护体系，病毒无论从外部网络还是从内部网络中 的某台主机进入网络系统，通过防病毒软件的实时检测功能，将会把病毒扼杀 在发起处，防止病毒的扩散。 3 商业银行网络安全解决方案商业银行网络安全解决方案 银行业是信息密集型行业，银行业必须依托信息技术构建科学的管理平台， 实现管理的全面升级。从信息技术的应用情况看，由于管理理念和经营控制的 差异，以及技术集成的难度较大等原因，目前我国银行业与国外的差距主要体 现在管理信息层面。 博睿勤技术发展有限公司 Bring 是专业从事信息安全、行业应用软件产品开 发的高科技企业，数年来针对银行业进行软件产品的开发和解决方案方面积累 了丰富的成功经验，并在研究和总结国内外银行业先进管理经验以及为银行业 客户服务的实践基础上，面向银行业的管理信息化建设提供行业应用解决方案。 3.1 网络管理网络管理 博睿勤网络管理系统主要包含