商業(yè)銀行SECaaS架構(gòu)設(shè)計(jì)與實(shí)現(xiàn)

金磐石　郭漢利　曹文中　張　輝

(中國建設(shè)銀行股份有限公司　北京 100033)

?

商業(yè)銀行SECaaS架構(gòu)設(shè)計(jì)與實(shí)現(xiàn)

金磐石郭漢利曹文中張輝

(中國建設(shè)銀行股份有限公司北京 100033)

目前,商業(yè)銀行應(yīng)用系統(tǒng)安全功能與應(yīng)用系統(tǒng)緊密耦合，普遍存在安全功能無法復(fù)用、難以實(shí)施統(tǒng)一安全策略、難以有效應(yīng)對新型安全威脅的問題。在商業(yè)銀行信息安全架構(gòu)實(shí)踐基礎(chǔ)上，運(yùn)用面向服務(wù)架構(gòu)SOA技術(shù)，提出安全即服務(wù)SECaaS(Securityasaservice)架構(gòu)，將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)安全功能的組件化、標(biāo)準(zhǔn)化、智能化和參數(shù)化。將安全功能以安全服務(wù)的形式為應(yīng)用系統(tǒng)提供完備、透明、高效、可靠的安全支撐，不僅有效保障商業(yè)銀行信息系統(tǒng)的安全穩(wěn)定運(yùn)行，也前瞻性地將信息安全由傳統(tǒng)的支撐信息化建設(shè)轉(zhuǎn)變?yōu)闃I(yè)務(wù)發(fā)展的助力者。

商業(yè)銀行安全架構(gòu)組件化SECaaS安全服務(wù)

0　引　言

近年來，信息技術(shù)快速發(fā)展，商業(yè)銀行業(yè)務(wù)類型日益多元化，信息系統(tǒng)數(shù)量和規(guī)模不斷增長。商業(yè)銀行在信息系統(tǒng)建設(shè)時，通常各信息系統(tǒng)的安全功能獨(dú)立進(jìn)行開發(fā)或建設(shè)，系統(tǒng)之間很少復(fù)用或共用，并且安全功能往往與應(yīng)用系統(tǒng)緊密耦合。各系統(tǒng)開發(fā)人員按自身理解落實(shí)安全策略，存在安全策略不統(tǒng)一、不一致，安全防護(hù)不能形成合力，難以應(yīng)對復(fù)雜、跨系統(tǒng)的安全威脅。

當(dāng)前，攻擊者的動機(jī)更具功利性，受政治、經(jīng)濟(jì)、意識形態(tài)等多方面的影響，攻擊者正在形成擁有強(qiáng)大技術(shù)、經(jīng)濟(jì)實(shí)力的有組織攻擊團(tuán)體；同時，攻擊者的目標(biāo)選擇更明確，攻擊更為專注。傳統(tǒng)的識別、檢測、防護(hù)的安全保護(hù)模式，越來越無法應(yīng)對未知的、高級的新一代安全威脅。新一代安全威脅的智能化、持續(xù)性及危害性已經(jīng)迫在眉睫，而且日益靈活多變的業(yè)務(wù)需求，讓傳統(tǒng)安全防護(hù)模式的力量日顯薄弱。

此外，云計(jì)算、虛擬化、大數(shù)據(jù)、移動互聯(lián)網(wǎng)等新型信息技術(shù)應(yīng)用的快速發(fā)展，在為用戶提供更為靈活、實(shí)用的應(yīng)用及服務(wù)模式的同時，也不可避免地引入新的安全問題，并對當(dāng)前的信息安全防護(hù)能力提出新的挑戰(zhàn)。

為了應(yīng)對新的安全威脅及IT技術(shù)應(yīng)用的挑戰(zhàn)，本文在商業(yè)銀行信息安全架構(gòu)實(shí)踐基礎(chǔ)上，運(yùn)用SOA技術(shù)，提出SECaaS架構(gòu)，將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)安全功能的組件化、標(biāo)準(zhǔn)化、智能化和參數(shù)化，為信息系統(tǒng)建設(shè)提供組件式安全服務(wù)。并通過集中策略管控，實(shí)現(xiàn)商業(yè)銀行的統(tǒng)一安全策略管控、協(xié)同防護(hù)、縱深防御。

1　SECaaS架構(gòu)設(shè)計(jì)與實(shí)現(xiàn)

1.1架構(gòu)設(shè)計(jì)原則

商業(yè)銀行SECaaS架構(gòu)設(shè)計(jì)遵循以下三個原則：

1) 業(yè)務(wù)驅(qū)動

適應(yīng)業(yè)務(wù)發(fā)展為導(dǎo)向的安全管控是安全服務(wù)、安全基礎(chǔ)框架的建設(shè)目標(biāo)和方向，指導(dǎo)安全服務(wù)和安全基礎(chǔ)各項(xiàng)工作的展開。企業(yè)級的風(fēng)險管控以銀行內(nèi)部用戶和外部客戶的業(yè)務(wù)流程為保護(hù)對象，可以將各個業(yè)務(wù)流程進(jìn)行統(tǒng)一的標(biāo)準(zhǔn)化管理，針對不同的業(yè)務(wù)流程制定專屬的安全管理策略，并對所有的安全策略集中管理，全局管控企業(yè)的安全管理發(fā)展方向。將安全管理由傳統(tǒng)的以技術(shù)領(lǐng)域劃分轉(zhuǎn)變?yōu)橐詷I(yè)務(wù)應(yīng)用場景和流程劃分，從信息系統(tǒng)安全延伸到業(yè)務(wù)、應(yīng)用安全，從單點(diǎn)控制提升到企業(yè)級、全局風(fēng)險管控的管理高度。

2) 組件化可定制

組件化可定制的安全服務(wù)是核心，從風(fēng)險角度出發(fā)組合定制安全基礎(chǔ)平臺提供的服務(wù)，貫徹安全管控的策略和原則。安全服務(wù)全面涵蓋國際標(biāo)準(zhǔn)、國家監(jiān)管和業(yè)界最佳實(shí)踐，集中為應(yīng)用系統(tǒng)提供安全保障。同時，針對業(yè)務(wù)不同發(fā)展階段、業(yè)務(wù)場景，平衡安全和客戶體驗(yàn)，提供差異化的安全服務(wù)，滿足安全需求，幫助業(yè)務(wù)建立適當(dāng)?shù)陌踩?wù)機(jī)制。

3) 完備的基礎(chǔ)框架

全面完備的安全基礎(chǔ)框架是架構(gòu)的基礎(chǔ)，提供基礎(chǔ)的安全功能和產(chǎn)品，為定制化安全服務(wù)提供支撐。安全基礎(chǔ)框架應(yīng)具有安全功能高效、服務(wù)平臺通用、安全管理統(tǒng)一的特征。同時，在充分保證性能和可靠性的前提下，能夠快速適應(yīng)新技術(shù)、新應(yīng)用對安全保障的需求，將安全功能以無縫透明的形式向應(yīng)用系統(tǒng)提供服務(wù)。另外，安全基礎(chǔ)框架應(yīng)可以將繁多的信息安全技術(shù)進(jìn)行標(biāo)準(zhǔn)化和模塊化處理，通過各種統(tǒng)一的標(biāo)準(zhǔn)模塊將安全功能靈活快速組合，并可根據(jù)應(yīng)用系統(tǒng)的個性化需求提供定制化的安全支撐，滿足各個應(yīng)用系統(tǒng)的個性化安全需求。

1.2架構(gòu)設(shè)計(jì)

商業(yè)銀行SECaaS架構(gòu)將傳統(tǒng)的安全服務(wù)組件化，為基礎(chǔ)設(shè)施、應(yīng)用系統(tǒng)提供定制化的安全服務(wù)。架構(gòu)整體上包括服務(wù)接入層、應(yīng)用安全服務(wù)層、基礎(chǔ)設(shè)施安全服務(wù)層和安全策略管理中心，架構(gòu)整體結(jié)構(gòu)如圖1所示。

圖1　商業(yè)銀行SECaaS架構(gòu)

1) 基礎(chǔ)設(shè)施安全服務(wù)層

基礎(chǔ)設(shè)施安全服務(wù)層為終端、系統(tǒng)、網(wǎng)絡(luò)、主機(jī)、云等基礎(chǔ)設(shè)施，提供設(shè)備認(rèn)證、非法外聯(lián)、系統(tǒng)安全加固及規(guī)范配置、云防病毒、網(wǎng)絡(luò)隔離、防拒絕服務(wù)攻擊等各類安全服務(wù)。

2) 應(yīng)用安全服務(wù)層

提供統(tǒng)一、規(guī)范的安全措施，主要包括用戶認(rèn)證、客戶認(rèn)證、密碼服務(wù)、數(shù)據(jù)安全、安全監(jiān)控等，以安全服務(wù)的形式供應(yīng)用調(diào)用，便捷地實(shí)現(xiàn)各個業(yè)務(wù)應(yīng)用系統(tǒng)中所需的安全保障。

3) 服務(wù)接入層

基于硬件無關(guān)性的設(shè)計(jì)，適應(yīng)不同業(yè)務(wù)應(yīng)用，提供多樣化的服務(wù)模式和統(tǒng)一的服務(wù)接口，使安全功能與應(yīng)用松耦合，易于擴(kuò)展安全服務(wù)，支撐安全功能的快速部署。

4) 安全策略管理中心

通過統(tǒng)一的安全策略管理，部署一體化安全管理機(jī)制，實(shí)現(xiàn)信息安全管理的標(biāo)準(zhǔn)化、規(guī)范化，保障安全架構(gòu)的有效落實(shí)和運(yùn)轉(zhuǎn)。

1.3架構(gòu)實(shí)現(xiàn)

1.3.1基礎(chǔ)設(shè)施安全服務(wù)層

基礎(chǔ)設(shè)施安全組件在終端、網(wǎng)絡(luò)、系統(tǒng)、云等方面，通過終端設(shè)備認(rèn)證、非法外聯(lián)、系統(tǒng)安全加固及規(guī)范配置、云防病毒、網(wǎng)絡(luò)隔離、防拒絕服務(wù)攻擊各類安全控制機(jī)制，保障基礎(chǔ)設(shè)施安全，延伸企業(yè)安全邊界，擴(kuò)展銀行業(yè)務(wù)辦理渠道，為應(yīng)用安全提供基礎(chǔ)保障。基礎(chǔ)設(shè)施安全服務(wù)層的結(jié)構(gòu)如圖2所示。

圖2　基礎(chǔ)設(shè)施安全服務(wù)層

網(wǎng)絡(luò)安全方面，以銀行安全策略為總體原則，實(shí)現(xiàn)網(wǎng)絡(luò)安全域劃分，不同網(wǎng)絡(luò)區(qū)域采取隔離措施，嚴(yán)格訪問控制，滿足管理策略中對基礎(chǔ)設(shè)施安全的要求。其中網(wǎng)絡(luò)安全包括劃分網(wǎng)絡(luò)安全域、互聯(lián)網(wǎng)隔離、滲透性測試、互聯(lián)網(wǎng)數(shù)據(jù)防泄露(DLP)、入侵檢測系統(tǒng)(IDS)、分布式拒絕服務(wù)(DDOS)防護(hù)、網(wǎng)絡(luò)訪問控制和SSLVPN等安全服務(wù)；系統(tǒng)安全包括運(yùn)維管理平臺、系統(tǒng)安全配置、系統(tǒng)身份認(rèn)證、安全加固、系統(tǒng)賬戶管理、系統(tǒng)防惡意代碼、系統(tǒng)入侵檢測和漏洞掃描等安全服務(wù)；終端安全包括終端設(shè)備認(rèn)證、終端防泄露、沙盒、加密U盤、桌面云以及非法外法監(jiān)控等安全服務(wù)；云安全包括服務(wù)器虛擬化安全、桌面云安全，服務(wù)器虛擬化安全采取了防逃逸和網(wǎng)絡(luò)隔離產(chǎn)品，桌面云安全部署了防病毒和敏感信息監(jiān)控產(chǎn)品。

1.3.2應(yīng)用安全服務(wù)層

應(yīng)用安全服務(wù)層提供了信息系統(tǒng)安全的核心功能，包括用戶認(rèn)證、客戶認(rèn)證、密碼服務(wù)、數(shù)據(jù)安全和安全監(jiān)控。將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)了安全功能的組件化、標(biāo)準(zhǔn)化、專業(yè)化，面向所有安全對象，建立全面、集中、統(tǒng)一、靈活的安全服務(wù)體系，提供全面、透明、高效、可靠、面向服務(wù)的安全機(jī)制。

1) 用戶認(rèn)證組件

用戶認(rèn)證組件為銀行員工多渠道接入提供統(tǒng)一規(guī)范、靈活便捷的身份認(rèn)證和單點(diǎn)登錄服務(wù)，支持用戶多應(yīng)用一站式登錄，支持不同內(nèi)部辦公、業(yè)務(wù)及管理系統(tǒng)，滿足不同員工的安全需求，提升銀行內(nèi)部員工認(rèn)證效率和安全水平。用戶認(rèn)證組件的結(jié)構(gòu)如圖3所示。

圖3　用戶認(rèn)證組件

企業(yè)級身份認(rèn)證平臺，采用多認(rèn)證方式，靈活支持員工使用多種認(rèn)證方式進(jìn)行身份認(rèn)證，如極強(qiáng)靜態(tài)口令、動態(tài)口令、指紋，并為數(shù)字證書、臉型等認(rèn)證方式保留擴(kuò)展接口。實(shí)現(xiàn)多協(xié)議接入，為C/S應(yīng)用系統(tǒng)提供基于HTTPS協(xié)議的認(rèn)證與單點(diǎn)登錄接口，為B/S應(yīng)用系統(tǒng)提供統(tǒng)一認(rèn)證與統(tǒng)一登錄服務(wù)，為VPN接入、網(wǎng)絡(luò)設(shè)備提供RADIUS、LDAP協(xié)議。

2) 客戶認(rèn)證組件

客戶身份認(rèn)證使用銀行統(tǒng)一的外部客戶認(rèn)證組件實(shí)現(xiàn)，提供多種方式的身份認(rèn)證機(jī)制，為不同業(yè)務(wù)系統(tǒng)提供接入安全保證，滿足不同業(yè)務(wù)需求和業(yè)務(wù)創(chuàng)新需求。客戶認(rèn)證組件的結(jié)構(gòu)如圖4所示。

圖4　客戶認(rèn)證組件

客戶認(rèn)證組件對傳統(tǒng)業(yè)務(wù)、電子業(yè)務(wù)和智慧銀行提供了靜態(tài)口令、動態(tài)口令、短信驗(yàn)證、數(shù)字證書等傳統(tǒng)認(rèn)證方式。針對客戶風(fēng)險等級、交易限額采取相應(yīng)的認(rèn)證措施，有效提升了銀行系統(tǒng)的安全性和客戶資金的安全性。

同時，客戶認(rèn)證組件也實(shí)現(xiàn)了生物特征認(rèn)證方式，如虹膜識別技術(shù)代替密碼、令牌等身份認(rèn)證方式，解決了銀行客戶身份的確認(rèn)，有效驗(yàn)證人、卡一致性，解決卡片欺詐和銀行卡安全等問題。為客戶提供一種安全、便捷的銀行交易身份認(rèn)證新模式。

客戶認(rèn)證組件實(shí)現(xiàn)了聯(lián)盟認(rèn)證服務(wù)，客戶使用商業(yè)銀行發(fā)行的網(wǎng)銀盾等安全產(chǎn)品登錄第三方的系統(tǒng)，實(shí)現(xiàn)了商業(yè)銀行、第三方的共贏，方便了客戶。

3) 密碼服務(wù)組件

密碼服務(wù)組件通過構(gòu)建銀行統(tǒng)一的密鑰管理方案，為銀行各個平臺以及外聯(lián)單位的數(shù)據(jù)傳輸和數(shù)據(jù)存儲提供透明的密鑰管理服務(wù)，是確保數(shù)據(jù)機(jī)密性、完整性和防抵賴的重要手段。密碼服務(wù)組件為銀行業(yè)務(wù)系統(tǒng)提供統(tǒng)一的密鑰管理機(jī)制，能夠有效提升全行業(yè)務(wù)系統(tǒng)的安全等級。密碼服務(wù)組件的結(jié)構(gòu)如圖5所示。

圖5　密碼服務(wù)組件

密碼服務(wù)組件以服務(wù)平臺的形式為業(yè)務(wù)系統(tǒng)提供統(tǒng)一、完整、全面、豐富可用的密碼安全機(jī)制，降低業(yè)務(wù)系統(tǒng)開發(fā)項(xiàng)目中的密碼運(yùn)算和密鑰管理的工作復(fù)雜度，避免了各個業(yè)務(wù)系統(tǒng)為達(dá)到安全要求的重復(fù)開發(fā)。

密碼服務(wù)組件以安全服務(wù)方式為各應(yīng)用組件提供機(jī)制統(tǒng)一的安全服務(wù)，實(shí)現(xiàn)分布式和集中式的密鑰應(yīng)用方式的管理，不僅能為銀行內(nèi)部系統(tǒng)提供企業(yè)級的傳輸與存儲安全，還能為外聯(lián)單位接入銀行提供安全保障；實(shí)現(xiàn)密碼算法庫的開發(fā)，支持軟件和硬件實(shí)現(xiàn)方式，同時支持國際算法和國產(chǎn)算法；提供豐富可用的API接口，支持多種密碼算法和安全功能，可支持報文安全需求和文件安全需求，滿足C/Java的調(diào)用方式；提供密碼設(shè)備集中管理、統(tǒng)一調(diào)度、實(shí)時監(jiān)控的服務(wù)。設(shè)計(jì)開發(fā)符合信息系統(tǒng)體系架構(gòu)的密鑰管理模塊，為工作密鑰集中管理和存儲加密密鑰管理提供服務(wù)。協(xié)助安全節(jié)點(diǎn)之間完成工作密鑰的協(xié)商，為存儲加密密鑰提供生成、分發(fā)、存儲、備份、歸檔、撤銷等全生命周期的管理服務(wù)，提高節(jié)點(diǎn)密鑰管理能力，提高可用性和服務(wù)效率。

為業(yè)務(wù)系統(tǒng)提供透明、動態(tài)配置加解密服務(wù)，密鑰管理由安全代理與密鑰管理中心交互完成，框架集成安全插件，并負(fù)責(zé)密碼計(jì)算接口的調(diào)用。安全策略由密鑰管理中心統(tǒng)一配置，通過輪詢、增量下載機(jī)制實(shí)現(xiàn)動態(tài)管理。

4) 數(shù)據(jù)安全組件

數(shù)據(jù)安全組件提供數(shù)據(jù)集散地、數(shù)據(jù)脫敏、文檔權(quán)限控制、數(shù)據(jù)水印、在線瀏覽、數(shù)據(jù)銷毀等安全功能和服務(wù)。通過構(gòu)建多個安全區(qū)域?qū)崿F(xiàn)數(shù)據(jù)的分級分類保護(hù)和方便使用。數(shù)據(jù)集散地實(shí)現(xiàn)數(shù)據(jù)在各安全區(qū)域內(nèi)部、安全區(qū)域之間、安全區(qū)域與數(shù)據(jù)集散地之間發(fā)布和流轉(zhuǎn)，并集成了數(shù)據(jù)脫敏、在線瀏覽等功能，保障數(shù)據(jù)跨區(qū)域流轉(zhuǎn)的安全。通過文檔權(quán)限控制、數(shù)據(jù)水印和數(shù)據(jù)銷毀功能實(shí)現(xiàn)對數(shù)據(jù)本身的安全加固，保證數(shù)據(jù)全生命周期權(quán)限的統(tǒng)一管理。數(shù)據(jù)安全組件有效提升了全行的數(shù)據(jù)保護(hù)能力。數(shù)據(jù)安全組件的結(jié)構(gòu)如圖6所示。

圖6　數(shù)據(jù)安全組件

數(shù)據(jù)安全組件提供環(huán)境識別組件,確定用戶使用環(huán)境的安全區(qū)域等級，根據(jù)不同安全區(qū)域等級靈活訂制客戶端訪問及敏感數(shù)據(jù)共享策略，提供多種不同的數(shù)據(jù)安全保障措施。同時利用沙盒客戶端、文檔權(quán)限控制客戶端等在客戶端層面豐富敏感數(shù)據(jù)保護(hù)手段。

同時為滿足用戶不同終端環(huán)境和安全區(qū)域的敏感數(shù)據(jù)存儲需求，數(shù)據(jù)安全組件提供個人網(wǎng)盤功能，為每個用戶提供了存儲敏感數(shù)據(jù)文件的空間。用戶可以根據(jù)自身需要，像桌面管理操作系統(tǒng)文件一樣，組織管理自己的敏感數(shù)據(jù)文件。敏感數(shù)據(jù)文件被系統(tǒng)邏輯分割到不同的存儲位置，這樣既保證用戶的正常數(shù)據(jù)存儲使用等功能，又防止了敏感數(shù)據(jù)外泄的風(fēng)險。

數(shù)據(jù)安全組件通過構(gòu)建數(shù)據(jù)集散地，實(shí)現(xiàn)數(shù)據(jù)在不同安全區(qū)域內(nèi)部及之間的發(fā)布和流轉(zhuǎn)，簡化數(shù)據(jù)流轉(zhuǎn)流程，提高數(shù)據(jù)使用的易用性、便捷性。針對數(shù)據(jù)文件一對多發(fā)布的需求，提供用戶組、組文件空間功能，實(shí)現(xiàn)便捷、易用的共享功能。組管理員可以通過Web界面維護(hù)組內(nèi)成員信息，組內(nèi)成員都可以通過上傳文檔在組內(nèi)共享數(shù)據(jù)文件，確保一對多的共享效率更高。

數(shù)據(jù)安全組件有效提升了全行的數(shù)據(jù)保護(hù)能力。數(shù)據(jù)安全組件全方位與統(tǒng)一安全無縫集成，包括策略管理中心、統(tǒng)一認(rèn)證、安全審計(jì)組件，提供了完整、統(tǒng)一、集中的策略管理界面和安全、可靠的認(rèn)證體系，以及完備、詳細(xì)的事后審計(jì)。數(shù)據(jù)安全組件提供了郵件、短信通知功能，讓用戶可以及時獲取、處理任務(wù)信息。

5) 安全監(jiān)控組件

安全監(jiān)控組件負(fù)責(zé)全面采集各類安全監(jiān)控對象(主機(jī)、網(wǎng)絡(luò)設(shè)備、終端設(shè)備、安全設(shè)備、應(yīng)用組件、技術(shù)組件、安全組件、運(yùn)維平臺等)的安全日志信息，分析安全風(fēng)險事件，展示全行IT風(fēng)險態(tài)勢，及時發(fā)現(xiàn)來自內(nèi)外部的攻擊威脅、違規(guī)行為，識別潛在風(fēng)險和安全隱患，保障銀行信息系統(tǒng)的持續(xù)安全運(yùn)營。安全監(jiān)控組件的結(jié)構(gòu)如圖7所示。

圖7　安全監(jiān)控組件

組件建立統(tǒng)一日志采集平臺，提供多樣化的日志采集模式，集中體系內(nèi)基礎(chǔ)設(shè)施日志、應(yīng)用安全日志、應(yīng)用業(yè)務(wù)數(shù)據(jù)和外部安全數(shù)據(jù)。組件可根據(jù)安全監(jiān)控對象的日志數(shù)據(jù)格式進(jìn)行多種適配，支持通用的SysLog、文件、數(shù)據(jù)庫3種格式的采集模式，可自定義日志數(shù)據(jù)格式滿足個性化要求。

組件提供基于關(guān)鍵字、行為特征、行為習(xí)慣等多樣化的分析機(jī)制，建立多維度的風(fēng)險事件分析模型，及時發(fā)現(xiàn)風(fēng)險，準(zhǔn)確定位事件責(zé)任主體；通過對大量歷史數(shù)據(jù)的挖掘與分析，識別潛在風(fēng)險和安全隱患；組件提供緊急事件分析環(huán)境及分析手段，以適應(yīng)案件新特征和多變性。

基于關(guān)鍵字的分析模型是指通過某個特定關(guān)鍵字(一般為事件責(zé)任主體，如某個人、某臺機(jī)器)分析該事件所有相關(guān)信息，包括時間、行為、周圍環(huán)境等。基于行為特征的分析模型是指依據(jù)事件責(zé)任主體行為特征確定為安全事件的分析方法，如：客戶在短時間內(nèi)在多個地區(qū)登錄網(wǎng)銀系統(tǒng)，這些特征被定義為異常登錄行為，有可能是客戶密碼被盜取?；谛袨榱?xí)慣的分析模型是指依據(jù)事件責(zé)任主體的日常行為進(jìn)行數(shù)據(jù)統(tǒng)計(jì)，得出其正常行為習(xí)慣,當(dāng)異常行為發(fā)生時能及時發(fā)現(xiàn)的分析方法。

安全監(jiān)控組件提供對攻擊威脅、信息泄漏、用戶終端、客戶資金安全等風(fēng)險主題的多視角關(guān)聯(lián)展示，統(tǒng)一呈現(xiàn)全行IT風(fēng)險態(tài)勢。通過對防火墻、入侵檢測系統(tǒng)、防病毒網(wǎng)關(guān)、郵件網(wǎng)關(guān)、Web服務(wù)等日志和事件的關(guān)聯(lián)分析，發(fā)現(xiàn)來自外部的攻擊和威脅；通過跟蹤數(shù)據(jù)、介質(zhì)的使用情況和分析數(shù)據(jù)使用環(huán)境的日志，發(fā)現(xiàn)信息泄漏行為；通過審計(jì)和跟蹤用戶管理、用戶操作行為，監(jiān)控終端健康狀況，發(fā)現(xiàn)風(fēng)險和安全隱患；通過對交易IT信息、交易賬戶和行為等關(guān)聯(lián)分析，發(fā)現(xiàn)風(fēng)險賬戶和可疑行為，豐富業(yè)務(wù)風(fēng)險識別手段。風(fēng)險態(tài)勢重點(diǎn)通過兩個角度進(jìn)行展示，一是違反安全監(jiān)控策略的安全事件，另一個則是通過展示日常安全風(fēng)險態(tài)勢，發(fā)現(xiàn)異態(tài)，進(jìn)行預(yù)判并跟蹤風(fēng)險或事件的走向。

1.3.3服務(wù)接入層

服務(wù)接入層作用為將信息安全功能以服務(wù)的形式接入到各個業(yè)務(wù)應(yīng)用系統(tǒng)中。該層提供安全代理、安全插件和安全客戶端，獨(dú)立于業(yè)務(wù)應(yīng)用系統(tǒng)。為業(yè)務(wù)應(yīng)用系統(tǒng)提供安全相關(guān)功能接口的集合，主要包括加解密運(yùn)算、數(shù)字簽名、用戶認(rèn)證等安全功能，是業(yè)務(wù)系統(tǒng)與安全服務(wù)發(fā)生直接聯(lián)系的窗口。將業(yè)務(wù)系統(tǒng)與安全服務(wù)進(jìn)行了解耦，安全服務(wù)調(diào)整將不影響業(yè)務(wù)系統(tǒng)。應(yīng)用系統(tǒng)使用傳統(tǒng)安全架構(gòu)與SECaaS安全架構(gòu)對比如圖8所示。

圖8　傳統(tǒng)安全架構(gòu)與SECaaS安全架構(gòu)對比

安全代理和安全插件支持多平臺部署，提供安全功能和安全服務(wù)的統(tǒng)一接口，實(shí)現(xiàn)安全功能的合理分布，達(dá)到安全功能部署集中與高效的平衡。

應(yīng)用系統(tǒng)可依據(jù)自身的技術(shù)架構(gòu)選擇部署安全代理或安全插件，代理和插件部署在各個應(yīng)用平臺，為應(yīng)用系統(tǒng)集中提供安全服務(wù)。安全代理和安全插件采用頒發(fā)給應(yīng)用系統(tǒng)數(shù)字證書綁定應(yīng)用系統(tǒng)的身份，在提供安全服務(wù)的過程中應(yīng)用系統(tǒng)需要使用數(shù)字證書進(jìn)行身份認(rèn)證。

安全代理對應(yīng)用系統(tǒng)提供安全服務(wù)的API接口，通過調(diào)用接口，應(yīng)用系統(tǒng)可觸發(fā)相應(yīng)的安全服務(wù)。安全代理和插件也會定期檢查應(yīng)用系統(tǒng)的安全服務(wù)狀態(tài)，例如：自動檢測密鑰的有效期，在密鑰到達(dá)有效期后自動發(fā)起密鑰協(xié)商操作，實(shí)現(xiàn)對應(yīng)用的透明服務(wù)。同時，安全代理和安全插件也可開啟監(jiān)聽服務(wù)，接收來自其他安全代理和插件的相關(guān)請求。

例如加密服務(wù)，應(yīng)用組件看到的只有一個加密的服務(wù)功能，即可以用加密組件進(jìn)行數(shù)據(jù)加密。但后臺有復(fù)雜的安全邏輯，包括采用什么樣的算法，如何協(xié)商、生成、更新和交換密鑰等，這些內(nèi)容都被安全服務(wù)封裝起來。表面上看，業(yè)務(wù)應(yīng)用就是用了加密服務(wù)去加密一條數(shù)據(jù)，但后臺其實(shí)已經(jīng)實(shí)現(xiàn)了國密算法的選擇和改造，或者RSA2048的升級，以及復(fù)雜的密鑰管理過程。因?yàn)槭且苑?wù)的方式提供，業(yè)務(wù)應(yīng)用無需關(guān)注安全服務(wù)的具體實(shí)現(xiàn)方式。

1.3.4安全策略管理中心

安全策略管理中心實(shí)現(xiàn)全行的統(tǒng)一安全策略管理，為安全架構(gòu)提供策略支持，建立全行統(tǒng)一的安全管理視圖。安全策略管理中心實(shí)現(xiàn)了對安全對象(安全節(jié)點(diǎn)、客戶端、安全代理、插件等)的統(tǒng)一管理，對安全策略(認(rèn)證策略、憑證策略、密鑰策略、終端策略等)的統(tǒng)一發(fā)布，提升了安全架構(gòu)的管控能力。同時，安全策略管理中心通過對認(rèn)證服務(wù)和加密服務(wù)等安全服務(wù)的可用性監(jiān)測，提升安全服務(wù)可用性；通過參數(shù)管理，提升精細(xì)化管理的粒度，實(shí)現(xiàn)參數(shù)化管理安全策略。安全策略管理中心的結(jié)構(gòu)如圖9所示。

圖9　安全策略管理中心

安全策略管理中心主要實(shí)現(xiàn)了以下功能：

1) 提供安全策略發(fā)布服務(wù)

對于安全服務(wù)、安全代理及插件、安全客戶端，統(tǒng)一發(fā)布包括認(rèn)證管理、憑證管理、密鑰管理和終端管理在內(nèi)的相關(guān)策略。安全策略的發(fā)布方式包括服務(wù)下載、自動同步、離線分發(fā)等多種方式。

2) 提供參數(shù)發(fā)布服務(wù)

通過對安全服務(wù)、安全代理及插件、安全客戶端中相關(guān)配置參數(shù)的管理，實(shí)現(xiàn)對安全策略的精細(xì)化管理。

3) 統(tǒng)一管理安全實(shí)體

對安全節(jié)點(diǎn)、用戶、憑證、令牌等安全實(shí)體集中管理，管理安全實(shí)體從創(chuàng)建、維護(hù)到注銷的整個生命周期。安全實(shí)體的信息由安全策略管理中心統(tǒng)一同步給其他安全組件。

4) 提供安全服務(wù)狀態(tài)監(jiān)測服務(wù)

使用定時器和探針，通過定時發(fā)起模擬交易方式監(jiān)控認(rèn)證服務(wù)、加密服務(wù)的可用性，結(jié)合預(yù)定義的服務(wù)狀態(tài)判斷策略，獲得監(jiān)控結(jié)果，并決定是否通過短信通知運(yùn)維人員進(jìn)行處理。安全服務(wù)狀態(tài)檢測增強(qiáng)了對安全服務(wù)可用性的監(jiān)控力度，減少應(yīng)急響應(yīng)時間，提升應(yīng)急處理能力。

5) 提供安全交易統(tǒng)計(jì)功能

對于內(nèi)部用戶認(rèn)證，提供精確到交易類型、交易時間、機(jī)構(gòu)的交易日志報表，可用于用戶認(rèn)證行為分析及認(rèn)證服務(wù)能力分析，并做出相應(yīng)的認(rèn)證策略調(diào)整。對密碼服務(wù)提供安全代理客戶端全局狀態(tài)視圖，可查看實(shí)時的密鑰管理整體狀態(tài)。

2　SECaaS架構(gòu)在商業(yè)銀行應(yīng)用效果分析

中國建設(shè)銀行已在國內(nèi)率先實(shí)現(xiàn)了SECaaS架構(gòu)，通過SECaaS架構(gòu)的實(shí)施給中國建設(shè)銀行的信息系統(tǒng)開發(fā)和業(yè)務(wù)運(yùn)營帶來了很多積極變化。

2.1安全功能實(shí)現(xiàn)工作量分析

SECaaS架構(gòu)實(shí)現(xiàn)了安全功能與應(yīng)用系統(tǒng)的解耦，方便安全功能的復(fù)用。通過對比SECaaS架構(gòu)實(shí)施前安全功能實(shí)現(xiàn)工作量與實(shí)施后的工作量，能客觀評價SECaaS架構(gòu)在應(yīng)用系統(tǒng)開發(fā)建設(shè)方面的貢獻(xiàn)。本文選取了商業(yè)銀行中對公信貸管理系統(tǒng)、對私信貸管理系統(tǒng)、信用卡業(yè)務(wù)系統(tǒng)、支付結(jié)算系統(tǒng)和網(wǎng)上銀行系統(tǒng)等五個重要交易類系統(tǒng)的安全功能實(shí)現(xiàn)工作量，進(jìn)行了對比分析，工作量對比如圖10所示。

圖10　SECaaS架構(gòu)實(shí)施前后安全功能實(shí)現(xiàn)工作量對比

SECaaS架構(gòu)實(shí)施前，各應(yīng)用系統(tǒng)的安全功能獨(dú)立進(jìn)行開發(fā)，開發(fā)所需要的工作量分別為26、24、32、23、52人月；SECaaS架構(gòu)實(shí)施后，安全功能的實(shí)現(xiàn)所需要的工作量分別為5、4.5、5.3、4、8人月，平均減少82.5%的工作量。SECaaS架構(gòu)的實(shí)施，大大減少應(yīng)用系統(tǒng)安全功能開發(fā)工作量，縮短了開發(fā)周期，為銀行金融業(yè)務(wù)市場拓展贏得先機(jī)。

2.2服務(wù)能力分析

SECaaS架構(gòu)實(shí)現(xiàn)了安全功能的集中服務(wù)、集中管控，安全服務(wù)能力與傳統(tǒng)分散式的架構(gòu)相比，通過安全服務(wù)資源池，安全服務(wù)能力大大提升。本文選擇客戶認(rèn)證、用戶認(rèn)證和加密服務(wù)三個安全服務(wù)，對SECaaS架構(gòu)實(shí)施前的最大服務(wù)能力、SECaaS架構(gòu)實(shí)施后的最大服務(wù)能力、2016年4月實(shí)際峰值服務(wù)量進(jìn)行對比分析，分析結(jié)果如圖11所示。

圖11　SECaaS架構(gòu)實(shí)施前后安全服務(wù)能力對比

SECaaS架構(gòu)實(shí)施前，中國建設(shè)銀行的客戶認(rèn)證最大服務(wù)能力為每日4000萬筆，用戶認(rèn)證為每日300萬筆，加密服務(wù)為40萬筆；而SECaaS架構(gòu)實(shí)施后，客戶認(rèn)證最大服務(wù)能力為每日12 000萬筆，用戶認(rèn)證為每日1100萬筆，加密服務(wù)為150萬筆。2016年4月，中國建設(shè)銀行實(shí)際的峰值服務(wù)量為客戶認(rèn)證4500萬筆、用戶認(rèn)證590萬筆、加密服務(wù)63萬筆。通過對比分析可以看出，SECaaS架構(gòu)的實(shí)施有效地滿足了業(yè)務(wù)發(fā)展需求，并且通過資源池的擴(kuò)充還可繼續(xù)提高安全服務(wù)能力。

2.3安全防護(hù)效果分析

SECaaS架構(gòu)實(shí)現(xiàn)了邊界防護(hù)和縱深防御并重，由傳統(tǒng)的“木桶原理”從終端、應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、主機(jī)和基礎(chǔ)設(shè)施層面劃分安全管理對象和防護(hù)的理念，轉(zhuǎn)變?yōu)橛蓸I(yè)務(wù)交易為主線，從可信接入、可信交易環(huán)境、可信數(shù)據(jù)和可信行為等幾個方面進(jìn)行有效關(guān)聯(lián)，面向業(yè)務(wù)交易開展安全管理和防范。將傳統(tǒng)邊界防護(hù)“木桶原理”發(fā)展為縱深排列的“多層水閘式”的防范體系，有效避免了安全的短板效應(yīng)。本文選擇網(wǎng)銀渠道、手機(jī)銀行渠道平均每月的業(yè)務(wù)交易風(fēng)險攔截數(shù)量進(jìn)行分析，分析結(jié)果如圖12所示。

圖12　SECaaS架構(gòu)實(shí)施前后業(yè)務(wù)交易風(fēng)險攔截能力對比

SECaaS架構(gòu)實(shí)施前，中國建設(shè)銀行的網(wǎng)銀渠道平均業(yè)務(wù)交易風(fēng)險攔截為每月1629筆，手機(jī)渠道為每月1135筆；而SECaaS架構(gòu)實(shí)施后，網(wǎng)銀渠道平均業(yè)務(wù)交易風(fēng)險攔截為每月3578筆，手機(jī)渠道為每月2966筆。通過對比分析可以看出，SECaaS架構(gòu)的實(shí)施有效提高業(yè)務(wù)交易風(fēng)險的關(guān)聯(lián)要素和維度，業(yè)務(wù)交易風(fēng)險識別能力大大提升，形成了面向業(yè)務(wù)交易的縱深安全管控體系。

3　結(jié)　語

本文通過商業(yè)銀行所面臨的信息安全現(xiàn)狀和商業(yè)銀行信息科技未來發(fā)展趨勢的研究。首次在業(yè)界提出了商業(yè)銀行SECaaS架構(gòu)的概念和模型，并在架構(gòu)模型的基礎(chǔ)上完成了銀行SECaaS架構(gòu)的建設(shè)工作，將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)安全功能的組件化、標(biāo)準(zhǔn)化、專業(yè)化開發(fā)；面向所有安全對象，建立全面、集中、靈活、智能的安全架構(gòu)；實(shí)現(xiàn)了“安全即服務(wù)”業(yè)界領(lǐng)先的安全服務(wù)體系，向應(yīng)用系統(tǒng)提供高效、可靠的、面向服務(wù)的安全機(jī)制。

[1]FurfaroA,GarrA,TundisA.TowardsSecurityasaService(SecaaS):OnthemodelingofSecurityServicesforCloudComputing[C]//2014InternationalCarnahanConferenceonSecurityTechnology(ICCST).IEEE,2014:1-6.

[2]HussainM,AbdulsalamH.SECaaS:securityasaserviceforcloud-basedapplications[C]//ProceedingsoftheSecondKuwaitConferenceone-Servicesande-Systems.ACM,2011:1-4.

[3]SenkC.Adoptionofsecurityasaservice[J].JournalofInternetServicesandApplications,2013,4(1):1-16.

[4] 林闖,蘇文博,孟坤,等.云計(jì)算安全:架構(gòu)、機(jī)制與模型評價[J].計(jì)算機(jī)學(xué)報,2013,36(9):1765-1784.[5] Gartner.Survey Analysis:Top 10 Information Security Technology 2014[M].USA:Gartner,2014.

[6] Gartner.Survey Analysis:Risk Management 2013[M].USA:Gartner,2013.

[7] Basel Committee on Banking Supervision[S].Core Principles for Effective Banking Supervision,2012.

[8] The 2011 Standard of Good practice for Information Security[S].UK:Information Security Forum (ISF),2011.

[9] The Business Model for Information Security (BMIS)[S].USA:ISACA,2010.

[10] Guide for Assessing the Information Security Controls in Federal Information Systems and Organizations:Building Effective Security Assessment Plans[S].USA:Department of Commerce,2010.

[11] NST.Technical Guide for Assessing the Security Controls in Federal Information System and Organizations[S].USA:Special Publication,2010.

[12] Common Security Framework (CSF)[S].USA:Health Information Trust Alliance (HITRUST),2009.

DESIGNANDIMPLEMENTATIONOFSECAASARCHITECTUREFORCOMMERCIALBANK

JinPanshiGuoHanliCaoWenzhongZhangHui

(ChinaConstructionBank,Beijing100033,China)

Currently,thesecurityfunctionofcommercialbanksapplicationsystemwastightlycoupledwithapplicationsystem,thecommonexistingproblemsweregeneratedsuchasthesecurityfunctioncannotbereused,theintegratedsecuritystrategywashardtobeimplementedandnewsecuritythreatsweredifficulttocounter.Basedonthecommoninformationsecurityarchitectureofcommercialbanks,thispaperproposestheSECaaS(Securityasaservice)architecturebyusingSOAanddecouplesthesecurityfunctionfromtheapplication.Therefore,thecomponentization,standardization,intellectualizationandconfigurabilityofsecurityfunctionwereaccomplished.Thesecurityfunction,whichcouldbeconsideredasthesecurityservices,providesthesupportforapplicationsystemwithintegrity,transparency,effectivenessandreliability.ItnotonlyeffectivelyguaranteestheITsystemsafeandstableoperation,butalsoprospectivelychangestheroleofinformationsecurityfromformerITdevelopmentsupportertotheboosterofbusinessdevelopment.

CommercialbankSecurityarchitectureModulizationSECaaSSecurityservice

2016-06-20。金磐石，高工，主研領(lǐng)域：信息科技治理。郭漢利，高工。曹文中，高工。張輝，碩士。

TP

ADOI:10.3969/j.issn.1000-386x.2016.10.024