網(wǎng)上銀行系統(tǒng)安全體系淺析

摘要：網(wǎng)上銀行系統(tǒng)是銀行通過互聯(lián)網(wǎng)為客戶提供各種金融服務(wù)和信息增值服務(wù)的系統(tǒng)。為了能夠安全地開展網(wǎng)上銀行業(yè)務(wù)，必須在以下幾個層面上采取不同的安全技術(shù)規(guī)范來保證系統(tǒng)的安全性，如安全策略、物理安全、系統(tǒng)資源安全、應(yīng)用系統(tǒng)安全、數(shù)據(jù)通信安全、運行安全、人員安全、安全評估于檢查等。本文僅從系統(tǒng)層面對網(wǎng)上銀行系統(tǒng)的安全防范體系做概要闡述。

關(guān)鍵詞：網(wǎng)上銀行安全計算機系統(tǒng)

0引言

網(wǎng)上銀行系統(tǒng)是銀行通過互聯(lián)網(wǎng)為客戶提供各種金融服務(wù)和信息增值服務(wù)的系統(tǒng)。為了能夠安全地開展網(wǎng)上銀行業(yè)務(wù)，必須在以下幾個層面上采取不同的安全技術(shù)規(guī)范來保證系統(tǒng)的安全性，如安全策略、物理安全、系統(tǒng)資源安全、應(yīng)用系統(tǒng)安全、數(shù)據(jù)通信安全、運行安全、人員安全、安全評估于檢查等。

1安全策略

安全策略就是要求銀行高級管理層對網(wǎng)上銀行業(yè)務(wù)的技術(shù)性風(fēng)險管理給予高度重視，并針對網(wǎng)上銀行業(yè)務(wù)的特點，制定全面、綜合、重點突出的系統(tǒng)即信息安全規(guī)章制度和操作程序，在根據(jù)重要性、復(fù)雜性和敏感性等方面對系統(tǒng)進行分類、分層次的保護，以保證銀行能集中精力管理關(guān)鍵部分。

2物理安全

物理安全是指有形的安全措施。主要針對計算機系統(tǒng)、網(wǎng)絡(luò)設(shè)備、通信線路等關(guān)鍵設(shè)備及信息的安全防衛(wèi)措施。例如，計算機房要安裝電子門戶控制系統(tǒng)，關(guān)鍵場所要安全監(jiān)視器，關(guān)鍵設(shè)備之間要保證相互隔離，進入密鑰保管房間要有多人控制等。

3系統(tǒng)資源安全

系統(tǒng)資源安全主要指構(gòu)成系統(tǒng)的軟硬件本身的安全系數(shù)。如軟硬件的配置是否達到先進水平，是否符合安全標(biāo)準(zhǔn)。

4應(yīng)用系統(tǒng)安全

應(yīng)用系統(tǒng)安全主要涉及對客戶的身份認(rèn)證和對交易的確認(rèn)，這是網(wǎng)上銀行業(yè)務(wù)運作的關(guān)鍵環(huán)節(jié)。網(wǎng)上銀行業(yè)務(wù)突破了傳統(tǒng)銀行業(yè)務(wù)經(jīng)營的概念，客戶不用到銀行柜臺就可以操作，銀行業(yè)務(wù)人員和客戶之間也沒有面對面的接觸，這就要求銀行必須有一套有效的系統(tǒng)確認(rèn)客戶的資格，保證客戶和銀行雙方無法否認(rèn)已發(fā)生的交易。

5數(shù)據(jù)通信安全

數(shù)據(jù)通信安全是網(wǎng)上銀行業(yè)務(wù)和技術(shù)風(fēng)險管理的核心部分。銀行應(yīng)適當(dāng)?shù)卦O(shè)計和配置不同的服務(wù)器和防火墻，采用合適的加密技術(shù)，在保證網(wǎng)上銀行業(yè)務(wù)平穩(wěn)運行的基礎(chǔ)上，確保數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾浴７?wù)器包括網(wǎng)絡(luò)服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器。防火墻則包括外部防火墻和內(nèi)部防火墻。為保證系統(tǒng)不受黑客侵入，銀行應(yīng)在網(wǎng)絡(luò)服務(wù)器和互聯(lián)網(wǎng)之間設(shè)置外部防火墻，在網(wǎng)絡(luò)服務(wù)器和銀行內(nèi)部計算機系統(tǒng)之間設(shè)置內(nèi)部防火墻。嘉勉技術(shù)主要包括密碼算法和密鑰長度兩個方面的內(nèi)容構(gòu)成，通過采用合適長度的密鑰和密碼算法，可以有效地防止系統(tǒng)傳輸?shù)男畔⒑拖到y(tǒng)存儲的信息被破譯，從而保證網(wǎng)上銀行業(yè)務(wù)信息的安全。

6運行安全

運行安全主要是指銀行計算機系統(tǒng)運行的內(nèi)部控制制度，包括銀行業(yè)務(wù)運行應(yīng)急計劃和業(yè)務(wù)連續(xù)性計劃、管理人員和業(yè)務(wù)人員授權(quán)、保密字管理等方面的內(nèi)容。

7人員安全

人員安全是指業(yè)務(wù)人員和技術(shù)人員的專業(yè)能力和管理能力是否達到風(fēng)險控制和業(yè)務(wù)發(fā)展的要求，具體包括人員審查、安全意識培養(yǎng)、人員培訓(xùn)等。

8安全評估和檢查

安全評估與檢查是網(wǎng)上銀行業(yè)務(wù)風(fēng)險控制的重要組成部分。包括三個方面的內(nèi)容：一是公認(rèn)的社會評估機構(gòu)對計算機系統(tǒng)的安全評估；二是銀行管理層對計算機系統(tǒng)的安全測試；三是銀行內(nèi)部審計部門對網(wǎng)上銀行業(yè)務(wù)及系統(tǒng)運作情況的檢查。從系統(tǒng)層的角度，整個網(wǎng)上銀行系統(tǒng)結(jié)構(gòu)分為三個層次：第一部分是Internet接入?yún)^(qū)域；第二部分是對外提供服務(wù)的Web服務(wù)器，同時也放置了CA服務(wù)器；第三個部分是內(nèi)網(wǎng)區(qū)域，含應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器等。

對不同的安全級別的區(qū)域采用網(wǎng)關(guān)類的設(shè)備進行隔離，使用既能實現(xiàn)防火墻功能，又能實現(xiàn)IPS和病毒過濾的相關(guān)安全防護產(chǎn)品，實現(xiàn)網(wǎng)絡(luò)層的隔離，應(yīng)用層的攻擊和病毒的隔離，形成真正意義上的立體全面多位一體綜合偵測防御體系。

在網(wǎng)銀系統(tǒng)互聯(lián)網(wǎng)接入的入口處，為了保證鏈路的可用性，一般采取雙鏈路接入方式，通過兩家不同的lSP提供互聯(lián)網(wǎng)接入，在其中一條鏈路出現(xiàn)故障時仍然可以提供網(wǎng)上銀行的交易服務(wù)。同時，作為提供認(rèn)證服務(wù)的CA中心，也是通過互聯(lián)網(wǎng)提供連接的。CA認(rèn)證中心作為獨立的第三方機構(gòu)，不屬于網(wǎng)銀系統(tǒng)的網(wǎng)絡(luò)范疇，但客戶對網(wǎng)銀的驗證和網(wǎng)銀對客戶的驗證都是通過互聯(lián)網(wǎng)連接CA中心實現(xiàn)的。在網(wǎng)銀系統(tǒng)的Intemet接入路由器之后，部署安全網(wǎng)關(guān)(或防火墻)、負(fù)載均衡設(shè)備和WEB服務(wù)器。安全網(wǎng)關(guān)可根據(jù)需要也做雙機熱備處理。同時部署負(fù)載均衡設(shè)備，對訪問網(wǎng)銀系統(tǒng)的流量進行動態(tài)分配。負(fù)載均衡設(shè)備的另一個重要應(yīng)用是可做SSL解密，因為SSL在解除非對稱加密時會占用系統(tǒng)大量資源，因此在網(wǎng)銀系統(tǒng)的設(shè)計中，SSL的解密一般放在負(fù)載均衡設(shè)備上處理，負(fù)載均衡設(shè)備專門對SSL解密過程做了硬件優(yōu)化，因此在效率上能夠得到保障。通過負(fù)載均衡設(shè)備后用戶請求將進入WEB服務(wù)器，wEB服務(wù)器將部署網(wǎng)銀門戶網(wǎng)站的靜態(tài)內(nèi)容，如網(wǎng)銀系統(tǒng)登陸入口、用戶手冊下載、驅(qū)動程序下載、工具軟件下載、營銷信息等網(wǎng)銀相關(guān)內(nèi)容，此外WEB服務(wù)器的另一個重要職責(zé)是向應(yīng)用服務(wù)器轉(zhuǎn)發(fā)通訊請求，對于需要和應(yīng)用服務(wù)器交互的動態(tài)信息，如網(wǎng)銀登陸、轉(zhuǎn)賬、實時查詢等交易請求將通過部署在WEB服務(wù)器上的插件轉(zhuǎn)發(fā)至應(yīng)用服務(wù)器。

通過WEB服務(wù)器后，進入網(wǎng)銀系統(tǒng)的主要應(yīng)用部分，這部分將網(wǎng)銀系統(tǒng)網(wǎng)站的應(yīng)用分為應(yīng)用服務(wù)器和數(shù)據(jù)庫的三層結(jié)構(gòu)。應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器均使用雙機熱備，數(shù)據(jù)庫服務(wù)器還備有存儲設(shè)備，存儲網(wǎng)銀系統(tǒng)的業(yè)務(wù)數(shù)據(jù)。網(wǎng)銀系統(tǒng)只作業(yè)務(wù)數(shù)據(jù)接受和存儲，真正的業(yè)務(wù)處理要發(fā)送到銀行核心的業(yè)務(wù)處理網(wǎng)絡(luò)或業(yè)務(wù)處理中心進行具體的業(yè)務(wù)操作。因此在網(wǎng)銀系統(tǒng)的后端連接的是銀行的綜合業(yè)務(wù)網(wǎng)絡(luò)。這一部分設(shè)置了防火墻和通信加密系統(tǒng)。防火墻限制了銀行內(nèi)部網(wǎng)絡(luò)對網(wǎng)銀系統(tǒng)的訪問，并限制網(wǎng)銀系統(tǒng)對銀行內(nèi)部業(yè)務(wù)系統(tǒng)的訪問。網(wǎng)銀系統(tǒng)發(fā)送給業(yè)務(wù)系統(tǒng)的數(shù)據(jù)，均需要經(jīng)過加密設(shè)備的加密才能送出網(wǎng)銀系統(tǒng)，進入銀行綜合業(yè)務(wù)網(wǎng)絡(luò)。

整個系統(tǒng)中在不同區(qū)域部署的防火墻產(chǎn)品可以啟用策略控制，只向外開放允許訪問端口。比如說部署于對外Web服務(wù)器與In-ternet之間的防火墻產(chǎn)品上只開放由外向內(nèi)的Http端口，部署于Web服務(wù)器與內(nèi)部網(wǎng)之間的防火墻設(shè)置策略只允許Web服務(wù)器訪問內(nèi)部網(wǎng)，禁止其它服務(wù)和設(shè)備通過防火墻：在防火墻上啟用網(wǎng)關(guān)級別的病毒過濾模塊，對HTI-P，F(xiàn)TP，IMAP，POP3，SMTP，IM等協(xié)議傳輸?shù)奈募崿F(xiàn)病毒過濾，該過濾體系能夠有效地對所傳輸?shù)奈募M行檢測，當(dāng)發(fā)現(xiàn)病毒時予以阻斷。病毒網(wǎng)關(guān)的部署，實現(xiàn)了對病毒的分區(qū)域管理，當(dāng)一個地區(qū)爆發(fā)病毒時，會被有效地隔離在本地，而不至于傳染到其他地區(qū)去，從而避免所有區(qū)域爆發(fā)病毒i在防火墻上開啟IPS特征值類的阻斷。根據(jù)所要保護的服務(wù)器和其提供的服務(wù)，開啟相應(yīng)的入侵檢測和防御的功能。比如說針對某個Apache的服務(wù)器，我們推薦開啟入侵檢測的與Web相關(guān)Apache攻擊特征值：此外防火墻的DoS防御能力能夠有效地低擋synflood，udpflood等DoS攻擊，能夠在高攻擊的背景下，保持正常的對網(wǎng)銀服務(wù)器的訪問針對整個網(wǎng)絡(luò)的訪問，啟用病毒文件網(wǎng)關(guān)過濾體系對蠕蟲病毒進行防護：通過入侵檢測和防御設(shè)備(IDS)實現(xiàn)對利用系統(tǒng)的漏洞進行攻擊行為的防御：通過設(shè)置審計日志設(shè)備來記錄所有通過防火墻的數(shù)據(jù)通訊，用于網(wǎng)銀涉及到的訴訟的法律證據(jù)。比如說，某人連接網(wǎng)銀的服務(wù)器做了不符合法律規(guī)定的事務(wù)，可以通過審計日志設(shè)備上所記錄下來的原始數(shù)據(jù)包作為法律證據(jù)。另外，審計日志設(shè)備可以有效地還原h(huán)ttp、ftp、smtp、imap、pop3等協(xié)議通訊的內(nèi)容，了解實際操作的過程，對于跟蹤攻擊和事后補救具有非常重要的意義。

參考文獻：

[1]李仁真，余素梅巴塞爾委員會電子銀行業(yè)務(wù)風(fēng)險管理原則[J]，國際金融研究，2002，(03)，

[2]劉春杰，簡之，凌滔，談建軍，網(wǎng)絡(luò)銀行的風(fēng)險及其控制研究[J]，國際金融研究，2000，(08)。