網(wǎng)上銀行系統(tǒng)安全體系淺析

王　濤

摘要：網(wǎng)上銀行系統(tǒng)是銀行通過(guò)互聯(lián)網(wǎng)為客戶提供各種金融服務(wù)和信息增值服務(wù)的系統(tǒng)。為了能夠安全地開(kāi)展網(wǎng)上銀行業(yè)務(wù)，必須在以下幾個(gè)層面上采取不同的安全技術(shù)規(guī)范來(lái)保證系統(tǒng)的安全性，如安全策略、物理安全、系統(tǒng)資源安全、應(yīng)用系統(tǒng)安全、數(shù)據(jù)通信安全、運(yùn)行安全、人員安全、安全評(píng)估于檢查等。本文僅從系統(tǒng)層面對(duì)網(wǎng)上銀行系統(tǒng)的安全防范體系做概要闡述。

關(guān)鍵詞：網(wǎng)上銀行安全計(jì)算機(jī)系統(tǒng)

0引言

網(wǎng)上銀行系統(tǒng)是銀行通過(guò)互聯(lián)網(wǎng)為客戶提供各種金融服務(wù)和信息增值服務(wù)的系統(tǒng)。為了能夠安全地開(kāi)展網(wǎng)上銀行業(yè)務(wù)，必須在以下幾個(gè)層面上采取不同的安全技術(shù)規(guī)范來(lái)保證系統(tǒng)的安全性，如安全策略、物理安全、系統(tǒng)資源安全、應(yīng)用系統(tǒng)安全、數(shù)據(jù)通信安全、運(yùn)行安全、人員安全、安全評(píng)估于檢查等。

1安全策略

安全策略就是要求銀行高級(jí)管理層對(duì)網(wǎng)上銀行業(yè)務(wù)的技術(shù)性風(fēng)險(xiǎn)管理給予高度重視，并針對(duì)網(wǎng)上銀行業(yè)務(wù)的特點(diǎn)，制定全面、綜合、重點(diǎn)突出的系統(tǒng)即信息安全規(guī)章制度和操作程序，在根據(jù)重要性、復(fù)雜性和敏感性等方面對(duì)系統(tǒng)進(jìn)行分類、分層次的保護(hù)，以保證銀行能集中精力管理關(guān)鍵部分。

2物理安全

物理安全是指有形的安全措施。主要針對(duì)計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備、通信線路等關(guān)鍵設(shè)備及信息的安全防衛(wèi)措施。例如，計(jì)算機(jī)房要安裝電子門(mén)戶控制系統(tǒng)，關(guān)鍵場(chǎng)所要安全監(jiān)視器，關(guān)鍵設(shè)備之間要保證相互隔離，進(jìn)入密鑰保管房間要有多人控制等。

3系統(tǒng)資源安全

系統(tǒng)資源安全主要指構(gòu)成系統(tǒng)的軟硬件本身的安全系數(shù)。如軟硬件的配置是否達(dá)到先進(jìn)水平，是否符合安全標(biāo)準(zhǔn)。

4應(yīng)用系統(tǒng)安全

應(yīng)用系統(tǒng)安全主要涉及對(duì)客戶的身份認(rèn)證和對(duì)交易的確認(rèn)，這是網(wǎng)上銀行業(yè)務(wù)運(yùn)作的關(guān)鍵環(huán)節(jié)。網(wǎng)上銀行業(yè)務(wù)突破了傳統(tǒng)銀行業(yè)務(wù)經(jīng)營(yíng)的概念，客戶不用到銀行柜臺(tái)就可以操作，銀行業(yè)務(wù)人員和客戶之間也沒(méi)有面對(duì)面的接觸，這就要求銀行必須有一套有效的系統(tǒng)確認(rèn)客戶的資格，保證客戶和銀行雙方無(wú)法否認(rèn)已發(fā)生的交易。

5數(shù)據(jù)通信安全

數(shù)據(jù)通信安全是網(wǎng)上銀行業(yè)務(wù)和技術(shù)風(fēng)險(xiǎn)管理的核心部分。銀行應(yīng)適當(dāng)?shù)卦O(shè)計(jì)和配置不同的服務(wù)器和防火墻，采用合適的加密技術(shù)，在保證網(wǎng)上銀行業(yè)務(wù)平穩(wěn)運(yùn)行的基礎(chǔ)上，確保數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾?。服?wù)器包括網(wǎng)絡(luò)服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器。防火墻則包括外部防火墻和內(nèi)部防火墻。為保證系統(tǒng)不受黑客侵入，銀行應(yīng)在網(wǎng)絡(luò)服務(wù)器和互聯(lián)網(wǎng)之間設(shè)置外部防火墻，在網(wǎng)絡(luò)服務(wù)器和銀行內(nèi)部計(jì)算機(jī)系統(tǒng)之間設(shè)置內(nèi)部防火墻。嘉勉技術(shù)主要包括密碼算法和密鑰長(zhǎng)度兩個(gè)方面的內(nèi)容構(gòu)成，通過(guò)采用合適長(zhǎng)度的密鑰和密碼算法，可以有效地防止系統(tǒng)傳輸?shù)男畔⒑拖到y(tǒng)存儲(chǔ)的信息被破譯，從而保證網(wǎng)上銀行業(yè)務(wù)信息的安全。

6運(yùn)行安全

運(yùn)行安全主要是指銀行計(jì)算機(jī)系統(tǒng)運(yùn)行的內(nèi)部控制制度，包括銀行業(yè)務(wù)運(yùn)行應(yīng)急計(jì)劃和業(yè)務(wù)連續(xù)性計(jì)劃、管理人員和業(yè)務(wù)人員授權(quán)、保密字管理等方面的內(nèi)容。

7人員安全

人員安全是指業(yè)務(wù)人員和技術(shù)人員的專業(yè)能力和管理能力是否達(dá)到風(fēng)險(xiǎn)控制和業(yè)務(wù)發(fā)展的要求，具體包括人員審查、安全意識(shí)培養(yǎng)、人員培訓(xùn)等。

8安全評(píng)估和檢查

安全評(píng)估與檢查是網(wǎng)上銀行業(yè)務(wù)風(fēng)險(xiǎn)控制的重要組成部分。包括三個(gè)方面的內(nèi)容：一是公認(rèn)的社會(huì)評(píng)估機(jī)構(gòu)對(duì)計(jì)算機(jī)系統(tǒng)的安全評(píng)估；二是銀行管理層對(duì)計(jì)算機(jī)系統(tǒng)的安全測(cè)試；三是銀行內(nèi)部審計(jì)部門(mén)對(duì)網(wǎng)上銀行業(yè)務(wù)及系統(tǒng)運(yùn)作情況的檢查。從系統(tǒng)層的角度，整個(gè)網(wǎng)上銀行系統(tǒng)結(jié)構(gòu)分為三個(gè)層次：第一部分是Internet接入?yún)^(qū)域；第二部分是對(duì)外提供服務(wù)的Web服務(wù)器，同時(shí)也放置了CA服務(wù)器；第三個(gè)部分是內(nèi)網(wǎng)區(qū)域，含應(yīng)用服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器等。

對(duì)不同的安全級(jí)別的區(qū)域采用網(wǎng)關(guān)類的設(shè)備進(jìn)行隔離，使用既能實(shí)現(xiàn)防火墻功能，又能實(shí)現(xiàn)IPS和病毒過(guò)濾的相關(guān)安全防護(hù)產(chǎn)品，實(shí)現(xiàn)網(wǎng)絡(luò)層的隔離，應(yīng)用層的攻擊和病毒的隔離，形成真正意義上的立體全面多位一體綜合偵測(cè)防御體系。

在網(wǎng)銀系統(tǒng)互聯(lián)網(wǎng)接入的入口處，為了保證鏈路的可用性，一般采取雙鏈路接入方式，通過(guò)兩家不同的lSP提供互聯(lián)網(wǎng)接入，在其中一條鏈路出現(xiàn)故障時(shí)仍然可以提供網(wǎng)上銀行的交易服務(wù)。同時(shí)，作為提供認(rèn)證服務(wù)的CA中心，也是通過(guò)互聯(lián)網(wǎng)提供連接的。CA認(rèn)證中心作為獨(dú)立的第三方機(jī)構(gòu)，不屬于網(wǎng)銀系統(tǒng)的網(wǎng)絡(luò)范疇，但客戶對(duì)網(wǎng)銀的驗(yàn)證和網(wǎng)銀對(duì)客戶的驗(yàn)證都是通過(guò)互聯(lián)網(wǎng)連接CA中心實(shí)現(xiàn)的。在網(wǎng)銀系統(tǒng)的Intemet接入路由器之后，部署安全網(wǎng)關(guān)(或防火墻)、負(fù)載均衡設(shè)備和WEB服務(wù)器。安全網(wǎng)關(guān)可根據(jù)需要也做雙機(jī)熱備處理。同時(shí)部署負(fù)載均衡設(shè)備，對(duì)訪問(wèn)網(wǎng)銀系統(tǒng)的流量進(jìn)行動(dòng)態(tài)分配。負(fù)載均衡設(shè)備的另一個(gè)重要應(yīng)用是可做SSL解密，因?yàn)镾SL在解除非對(duì)稱加密時(shí)會(huì)占用系統(tǒng)大量資源，因此在網(wǎng)銀系統(tǒng)的設(shè)計(jì)中，SSL的解密一般放在負(fù)載均衡設(shè)備上處理，負(fù)載均衡設(shè)備專門(mén)對(duì)SSL解密過(guò)程做了硬件優(yōu)化，因此在效率上能夠得到保障。通過(guò)負(fù)載均衡設(shè)備后用戶請(qǐng)求將進(jìn)入WEB服務(wù)器，wEB服務(wù)器將部署網(wǎng)銀門(mén)戶網(wǎng)站的靜態(tài)內(nèi)容，如網(wǎng)銀系統(tǒng)登陸入口、用戶手冊(cè)下載、驅(qū)動(dòng)程序下載、工具軟件下載、營(yíng)銷信息等網(wǎng)銀相關(guān)內(nèi)容，此外WEB服務(wù)器的另一個(gè)重要職責(zé)是向應(yīng)用服務(wù)器轉(zhuǎn)發(fā)通訊請(qǐng)求，對(duì)于需要和應(yīng)用服務(wù)器交互的動(dòng)態(tài)信息，如網(wǎng)銀登陸、轉(zhuǎn)賬、實(shí)時(shí)查詢等交易請(qǐng)求將通過(guò)部署在WEB服務(wù)器上的插件轉(zhuǎn)發(fā)至應(yīng)用服務(wù)器。

通過(guò)WEB服務(wù)器后，進(jìn)入網(wǎng)銀系統(tǒng)的主要應(yīng)用部分，這部分將網(wǎng)銀系統(tǒng)網(wǎng)站的應(yīng)用分為應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)的三層結(jié)構(gòu)。應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器均使用雙機(jī)熱備，數(shù)據(jù)庫(kù)服務(wù)器還備有存儲(chǔ)設(shè)備，存儲(chǔ)網(wǎng)銀系統(tǒng)的業(yè)務(wù)數(shù)據(jù)。網(wǎng)銀系統(tǒng)只作業(yè)務(wù)數(shù)據(jù)接受和存儲(chǔ)，真正的業(yè)務(wù)處理要發(fā)送到銀行核心的業(yè)務(wù)處理網(wǎng)絡(luò)或業(yè)務(wù)處理中心進(jìn)行具體的業(yè)務(wù)操作。因此在網(wǎng)銀系統(tǒng)的后端連接的是銀行的綜合業(yè)務(wù)網(wǎng)絡(luò)。這一部分設(shè)置了防火墻和通信加密系統(tǒng)。防火墻限制了銀行內(nèi)部網(wǎng)絡(luò)對(duì)網(wǎng)銀系統(tǒng)的訪問(wèn)，并限制網(wǎng)銀系統(tǒng)對(duì)銀行內(nèi)部業(yè)務(wù)系統(tǒng)的訪問(wèn)。網(wǎng)銀系統(tǒng)發(fā)送給業(yè)務(wù)系統(tǒng)的數(shù)據(jù)，均需要經(jīng)過(guò)加密設(shè)備的加密才能送出網(wǎng)銀系統(tǒng)，進(jìn)入銀行綜合業(yè)務(wù)網(wǎng)絡(luò)。

整個(gè)系統(tǒng)中在不同區(qū)域部署的防火墻產(chǎn)品可以啟用策略控制，只向外開(kāi)放允許訪問(wèn)端口。比如說(shuō)部署于對(duì)外Web服務(wù)器與In-ternet之間的防火墻產(chǎn)品上只開(kāi)放由外向內(nèi)的Http端口，部署于Web服務(wù)器與內(nèi)部網(wǎng)之間的防火墻設(shè)置策略只允許Web服務(wù)器訪問(wèn)內(nèi)部網(wǎng)，禁止其它服務(wù)和設(shè)備通過(guò)防火墻：在防火墻上啟用網(wǎng)關(guān)級(jí)別的病毒過(guò)濾模塊，對(duì)HTI-P，F(xiàn)TP，IMAP，POP3，SMTP，IM等協(xié)議傳輸?shù)奈募?shí)現(xiàn)病毒過(guò)濾，該過(guò)濾體系能夠有效地對(duì)所傳輸?shù)奈募M(jìn)行檢測(cè)，當(dāng)發(fā)現(xiàn)病毒時(shí)予以阻斷。病毒網(wǎng)關(guān)的部署，實(shí)現(xiàn)了對(duì)病毒的分區(qū)域管理，當(dāng)一個(gè)地區(qū)爆發(fā)病毒時(shí)，會(huì)被有效地隔離在本地，而不至于傳染到其他地區(qū)去，從而避免所有區(qū)域爆發(fā)病毒i在防火墻上開(kāi)啟IPS特征值類的阻斷。根據(jù)所要保護(hù)的服務(wù)器和其提供的服務(wù)，開(kāi)啟相應(yīng)的入侵檢測(cè)和防御的功能。比如說(shuō)針對(duì)某個(gè)Apache的服務(wù)器，我們推薦開(kāi)啟入侵檢測(cè)的與Web相關(guān)Apache攻擊特征值：此外防火墻的DoS防御能力能夠有效地低擋synflood，udpflood等DoS攻擊，能夠在高攻擊的背景下，保持正常的對(duì)網(wǎng)銀服務(wù)器的訪問(wèn)針對(duì)整個(gè)網(wǎng)絡(luò)的訪問(wèn)，啟用病毒文件網(wǎng)關(guān)過(guò)濾體系對(duì)蠕蟲(chóng)病毒進(jìn)行防護(hù)：通過(guò)入侵檢測(cè)和防御設(shè)備(IDS)實(shí)現(xiàn)對(duì)利用系統(tǒng)的漏洞進(jìn)行攻擊行為的防御：通過(guò)設(shè)置審計(jì)日志設(shè)備來(lái)記錄所有通過(guò)防火墻的數(shù)據(jù)通訊，用于網(wǎng)銀涉及到的訴訟的法律證據(jù)。比如說(shuō)，某人連接網(wǎng)銀的服務(wù)器做了不符合法律規(guī)定的事務(wù)，可以通過(guò)審計(jì)日志設(shè)備上所記錄下來(lái)的原始數(shù)據(jù)包作為法律證據(jù)。另外，審計(jì)日志設(shè)備可以有效地還原h(huán)ttp、ftp、smtp、imap、pop3等協(xié)議通訊的內(nèi)容，了解實(shí)際操作的過(guò)程，對(duì)于跟蹤攻擊和事后補(bǔ)救具有非常重要的意義。

參考文獻(xiàn)：

[1]李仁真，余素梅巴塞爾委員會(huì)電子銀行業(yè)務(wù)風(fēng)險(xiǎn)管理原則[J]，國(guó)際金融研究，2002，(03)，

[2]劉春杰，簡(jiǎn)之，凌滔，談建軍，網(wǎng)絡(luò)銀行的風(fēng)險(xiǎn)及其控制研究[J]，國(guó)際金融研究，2000，(08)。