銀行網(wǎng)絡(luò)安全防范措施.doc

。銀行網(wǎng)絡(luò)安全防范措施銀行網(wǎng)絡(luò)安全防范措施 建行北京分行石景山支行郭亞力 隨著金融業(yè)務(wù)的拓展與金融電子化進程的加快，計算機網(wǎng)絡(luò)通信技術(shù)在金融領(lǐng)域中的應(yīng)用越來越廣。與此同時，金融電子化也帶來了高科技下的新風(fēng)險。計算機系統(tǒng)本身的不安全和人為的攻擊破壞，以及計算機安全管理制度的不完善都潛伏著很多安全隱患，嚴重的可能導(dǎo)致計算機系統(tǒng)的癱瘓，影響銀行的業(yè)務(wù)和聲譽，造成巨大的經(jīng)濟損失和不良的社會影響。因此，加強銀行網(wǎng)絡(luò)系統(tǒng)安全體系的建設(shè)，保證其正常運行，防范犯罪分子對它的入侵，已成為金融電子化建設(shè)中極為重要的工作。 網(wǎng)絡(luò)安全的基本要求是保密、完整、可用、可控和可審查。從技術(shù)角度講，銀行網(wǎng)絡(luò)系統(tǒng)的安全體系應(yīng)包括:操作系統(tǒng)和數(shù)據(jù)庫安全、加密技術(shù)、訪問控制、身份認證、攻擊監(jiān)控、防火墻技術(shù)、防病毒技術(shù)、備份和災(zāi)難恢復(fù)等。從管理角度看，應(yīng)著力健全計算機管理制度和運行規(guī)程，加強員工管理，不斷提高員工的安全防范意識和責(zé)任感，杜絕內(nèi)部作案的可能性，建立起良好的故障處理反應(yīng)機制。 網(wǎng)絡(luò)系統(tǒng)技術(shù)安全措施 1.操作系統(tǒng)及數(shù)據(jù)庫 操作系統(tǒng)是計算機最重要的系統(tǒng)軟件，它控制和管理著計算機系統(tǒng)的硬件和軟件資源，是計算機的指揮中樞。目前銀行網(wǎng)絡(luò)系統(tǒng)常用的操作系統(tǒng)有Unix、WindowsNT等，安全等級都是C2級，可以說是相對安全、嚴密的系統(tǒng)，但并非無懈可擊。 許多銀行業(yè)務(wù)系統(tǒng)使用Unix網(wǎng)絡(luò)系統(tǒng)，黑客可利用網(wǎng)絡(luò)監(jiān)聽工具截取重要數(shù)據(jù);利用用戶使用telnet、ftp、rlogin等服務(wù)時監(jiān)聽這些用戶的明文形式的賬戶名和口令;利用具有suid權(quán)限的系統(tǒng)軟件的安全漏洞;利用Unix平臺提供的工具，如finger命令查找有關(guān)用戶的信息，獲得大部分的用戶名;利用IP欺騙技術(shù);利用exrc文件等獲得對系統(tǒng)的控制權(quán)。針對這些安全缺陷，我們應(yīng)定期檢查日志文件;檢查具有suid權(quán)限的文件;檢查/etc/passwd是否被修改;檢查系統(tǒng)網(wǎng)絡(luò)配置中是否有非法項;檢查系統(tǒng)上非正常的隱藏文件;檢查/etc/inetd.conf和/etc/rc2.d/*文件，并采取以下措施: 1）及時安裝操作系統(tǒng)的補丁程序;2）將系統(tǒng)的安全級別設(shè)置為最高，停止不必要的服務(wù)，該關(guān)的功能關(guān)閉;3）安裝過濾路由器;4）加強賬號和口令的安全管理，定期檢查/etc/passwd和/etc/shadow文件，經(jīng)常更換各賬號口令，查看su日志文件和拒絕登錄消息日志文件。 對于WindowsNT網(wǎng)絡(luò)系統(tǒng)，可采取以下措施:1）使用NTFS文件系統(tǒng)，它可以對文件和目錄使用ACL存取控制表;2）將系統(tǒng)管理員賬號由原先的“Administrator”改名，使非法登錄用戶不但要猜準口令，還要先猜出用戶名;3)對于提供Internet公共服務(wù)的計算機，廢止Guest賬號，移走或限制所有的其他用戶賬號;4）打開審計系統(tǒng)，審計各種操作成功和失敗的情況，及時發(fā)現(xiàn)問題前兆，定期備份日志文件;5）及時安裝補丁程序。 數(shù)據(jù)庫的安全就是要保證數(shù)據(jù)庫信息的完整、保密和可用。通常用安全管理、存取控制和數(shù)據(jù)加密來實現(xiàn)。安全管理一般分為集中控制和分散控制兩種方式。集中控制就是由單個授權(quán)者來控制系統(tǒng)的整個安全維護，分散控制則是采用不同的管理程序控制數(shù)據(jù)庫的不同部分。存取控制包括最小特權(quán)策略（用戶只能了解與自己工作有關(guān)的信息，其他信息被屏蔽）、最大共享策略（信息在保密控制條件下得到最大共享，并不是隨意存取信息）、開放與封閉系統(tǒng)（開放:不明確禁止，即可訪問;封閉:明確授權(quán)，才能訪問）、按名存取策略、按上下文存取策略、按存取歷史的存取策略等。數(shù)據(jù)加密可從三個方面進行，即庫內(nèi)加密（庫內(nèi)的一條記錄或記錄的某一屬性作為文件被加密）、整庫加密（整個數(shù)據(jù)庫包括數(shù)據(jù)結(jié)構(gòu)和內(nèi)容作為文件被加密）和硬件加密。 2.網(wǎng)絡(luò)加密技術(shù) 網(wǎng)絡(luò)加密的目的是保護網(wǎng)上傳輸?shù)臄?shù)據(jù)、文件、口令和控制信息的安全。 （1）加密方式: 信息加密處理通常有兩種方式:鏈路加密和端到端加密。 鏈路加密是對兩節(jié)點之間的鏈路上傳送的數(shù)據(jù)進行加密，不適用于廣播網(wǎng)。 端到端加密是對源節(jié)點和目的節(jié)點之間傳送的數(shù)據(jù)所經(jīng)歷的各段鏈路和各個中間節(jié)點進行全程加密。端到端加密不僅適用于互聯(lián)網(wǎng)，也適用于廣播網(wǎng)。 基于鏈路加密和端到端加密各有特點，為提高網(wǎng)絡(luò)的安全性，可綜合使用這兩種技術(shù)。具體說就是鏈路加密用來對控制信息進行加密，而端到端加密僅對數(shù)據(jù)提供全程加密。 （2）加密算法 如果按收發(fā)雙方的密鑰是否相同來分類，可將這些加密算法分為常規(guī)密碼算法（對稱型加密）和公鑰密碼算法（非對稱型加密）。此外，還有一種加密算法是不可逆加密算法。 上述三種信息加密算法在實際工作中可單獨或結(jié)合使用。物理層、鏈路層和網(wǎng)絡(luò)層使用的加密設(shè)備一般運用常規(guī)加密算法（如DES）;遠程訪問服務(wù)中使用的一次性口令技術(shù)和Cisco路由器的EnableSecret口令一般采用不可逆加密算法MD5;基于PKI認證技術(shù)和SET協(xié)議則綜合采用了不可逆加密、非對稱加密、對稱加密和數(shù)字簽名等多種技術(shù)。 3.網(wǎng)絡(luò)安全訪問控制 訪問控制的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問，也是維護網(wǎng)絡(luò)系統(tǒng)安全，保護網(wǎng)絡(luò)資源的重要手段。通過對特定的網(wǎng)段和服務(wù)建立有效的訪問控制體系，可在大多數(shù)的攻擊到達之前進行阻止，從而達到限制非法訪問的目的。這包括鏈路層和網(wǎng)絡(luò)層的安全訪問控制，以及遠程用戶訪問的安全訪問控制。 可采取的安全措施有:VLAN劃分、訪問控制列表（ACL）、用戶授權(quán)管理、TCP同步攻擊攔截和路由欺騙防范等。 4.身份認證 5.網(wǎng)絡(luò)入侵檢測系統(tǒng) 入侵檢測技術(shù)是近年出現(xiàn)的新型網(wǎng)絡(luò)安全技術(shù)，是對入侵行為的監(jiān)控，它通過對網(wǎng)絡(luò)或計算機系統(tǒng)中的若干關(guān)鍵點收集信息并進行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為或被攻擊的跡象。利用實時入侵檢測技術(shù)，可對特定網(wǎng)段、主機和服務(wù)建立攻擊監(jiān)控體系，有效阻止外部黑客的入侵和來自內(nèi)部網(wǎng)絡(luò)的攻擊。 6.網(wǎng)絡(luò)防火墻技術(shù) 防火墻就是在內(nèi)部網(wǎng)與外部網(wǎng)之間建立的一種被動式防御的訪問控制技術(shù)，它能夠在網(wǎng)絡(luò)的入口處，根據(jù)IP源地址、IP目標(biāo)地址、協(xié)議端口以及數(shù)據(jù)包的狀態(tài)等信息，對發(fā)送和接受的每一個數(shù)據(jù)包進行過濾監(jiān)測，并根據(jù)用戶事先定義好的過濾規(guī)則，拒絕或允許IP數(shù)據(jù)包的通過，在必要時將有關(guān)信息反饋給上層應(yīng)用程序。 防火墻的主要技術(shù)類型包括網(wǎng)絡(luò)級數(shù)據(jù)包過濾和應(yīng)用代理服務(wù)（應(yīng)用網(wǎng)關(guān)）。鑒于兩種防火墻技術(shù)的優(yōu)缺點，在實際構(gòu)建防火墻系統(tǒng)時，常將兩種技術(shù)配合使用，由過濾路由器提供第一級安全保護，主要用于防止IP欺騙攻擊，再由代理服務(wù)器提供更高級的安全保護機制。 7.防病毒技術(shù) 8.備份和災(zāi)難恢復(fù) 備份和災(zāi)難恢復(fù)是對銀行網(wǎng)絡(luò)系統(tǒng)工作中可能出現(xiàn)的各種災(zāi)難情況（如計算機病毒、系統(tǒng)故障、自然災(zāi)害、人為破壞等）進行的保證系統(tǒng)及數(shù)據(jù)連續(xù)性和可靠性的一種防范措施。銀行網(wǎng)絡(luò)系統(tǒng)業(yè)務(wù)主機和服務(wù)器的備份方式一般可采取雙機備份、磁盤鏡像或容錯等技術(shù)，備份機要遠離生產(chǎn)機?？刹捎肊MC智能存儲系統(tǒng)的SRDF遠程磁盤鏡像技術(shù)等作為數(shù)據(jù)備份技術(shù)，生產(chǎn)中心和備份中心之間通過直連光纜實現(xiàn)數(shù)據(jù)備份通道。 數(shù)據(jù)備份包括系統(tǒng)數(shù)據(jù)、基礎(chǔ)數(shù)據(jù)、應(yīng)用數(shù)據(jù)等的備份，采用傳統(tǒng)的磁盤、磁帶、光盤作為介質(zhì)，根據(jù)數(shù)據(jù)的重要程度和不同要求分不同的期限實行本地和異地雙備份保存。 網(wǎng)絡(luò)系統(tǒng)安全管理措施 銀行網(wǎng)絡(luò)系統(tǒng)的安全性不僅與硬件、網(wǎng)絡(luò)、系統(tǒng)等技術(shù)方面有關(guān)，還與它的管理和使用有著極為密切的關(guān)系。 1加強基礎(chǔ)設(shè)施和運行環(huán)境建設(shè) 計算機機房、配電室、交換機機房等計算機系統(tǒng)重要基礎(chǔ)設(shè)施應(yīng)嚴格管理，配備防盜、防火、防水等設(shè)備;安裝電視監(jiān)控系統(tǒng)、監(jiān)控報警等裝置;計算機設(shè)備采用UPS不間斷電源供電（重要機房可采用雙回路供電或配備發(fā)電機組）;設(shè)備要可靠接地;供電、通信線路要布線整齊、規(guī)范、連接牢靠;機房環(huán)境要干凈、整潔，保持特定的溫度和濕度。 2加強設(shè)備管理和使用工作 建立包括設(shè)備購置管理、設(shè)備使用管理、設(shè)備維修管理和設(shè)備倉儲管理等內(nèi)容的規(guī)章制度。計算機管理部門要定期對設(shè)備運行環(huán)境、設(shè)備運行狀況、各項規(guī)章制度、操作規(guī)程的執(zhí)行情況進行檢查，對發(fā)現(xiàn)的問題及時解決，確保計算機系統(tǒng)的安全、可靠運行。 3建立健全安全管理內(nèi)控制度 建立業(yè)務(wù)部門計算機系統(tǒng)使用管理規(guī)定、部門主管和業(yè)務(wù)操作人員計算機密碼管理規(guī)定、違反計算機管理規(guī)章制度處理辦法等內(nèi)控管理制度;嚴格實行運行、維護、開發(fā)分離的崗位責(zé)任制;禁止混崗和代崗，禁止公用和公開密碼;對重要數(shù)據(jù)的改賬處理要經(jīng)過授權(quán)由專人負責(zé)，并登記日志;建立健全備份制度，核心程序及數(shù)據(jù)結(jié)構(gòu)要嚴格保密，實行專人分工保管;對已制定的