基于安全視角的外匯局基層骨干網(wǎng)絡(luò)研究

王孟陽

摘 要：隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，金融監(jiān)管機(jī)構(gòu)依托網(wǎng)絡(luò)的各類業(yè)務(wù)應(yīng)運(yùn)而生，在提供便利化服務(wù)，履行事中事后監(jiān)管的同時，遭受不法分子利用網(wǎng)絡(luò)自身脆弱性，竊取數(shù)據(jù)、中斷服務(wù)的事件時有發(fā)生。采用相關(guān)防控技術(shù)，加強(qiáng)網(wǎng)絡(luò)自我防御能力，構(gòu)建安全可信網(wǎng)絡(luò)，成為當(dāng)前金融領(lǐng)域網(wǎng)絡(luò)研究的重要課題。本文從外匯局基層骨干網(wǎng)絡(luò)安全風(fēng)險研究入手，探索安全網(wǎng)絡(luò)的特性，結(jié)合實際情況，提出安全防護(hù)建議，營造安全可信的網(wǎng)絡(luò)環(huán)境，切實提升外匯管理領(lǐng)域金融服務(wù)水平。

關(guān)鍵詞：金融服務(wù)；外匯管理；網(wǎng)絡(luò)安全

中圖分類號：F830.92 文獻(xiàn)標(biāo)識碼：B 文章編號：1674-0017-2016（12）-0098-03

一、引言

網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。

近年來，利用網(wǎng)絡(luò)漏洞實施網(wǎng)絡(luò)攻擊，造成金融信息泄漏、金融服務(wù)中斷的事件屢見不鮮。2015年我國金融行業(yè)遭受網(wǎng)站仿冒頁面10.62萬余個，占總量的59%，發(fā)生數(shù)據(jù)外泄事件33起，被盜數(shù)據(jù)77605972項，遭遇1Gbit/s以上的DDos（分布式拒絕服務(wù)）攻擊近38萬次，金融領(lǐng)域已成為網(wǎng)絡(luò)安全防護(hù)的重點。

基層外匯局承擔(dān)著轄區(qū)外匯管理改革和相關(guān)外匯服務(wù)的職能，信息化應(yīng)用和網(wǎng)絡(luò)規(guī)劃較早，現(xiàn)所有業(yè)務(wù)受理、數(shù)據(jù)監(jiān)測統(tǒng)計都依托系統(tǒng)和網(wǎng)絡(luò)開展。近年來，系統(tǒng)經(jīng)過了多次升級完善，但網(wǎng)絡(luò)未進(jìn)行較大改進(jìn)，已經(jīng)無法滿足新時期網(wǎng)絡(luò)安全的要求，急需采取措施防范風(fēng)險。本文通過分析當(dāng)前基層骨干網(wǎng)絡(luò)存在的安全問題，研究安全網(wǎng)絡(luò)應(yīng)具有的特性，提出安全防控的建議，旨在建立安全可信的網(wǎng)絡(luò)環(huán)境，確?；A(chǔ)網(wǎng)絡(luò)和關(guān)鍵信息系統(tǒng)的安全運(yùn)行?？紤]到網(wǎng)絡(luò)自有信息的敏感性，本文對網(wǎng)絡(luò)產(chǎn)品型號、參數(shù)配置等信息進(jìn)行了屏蔽。

二、基層骨干網(wǎng)絡(luò)基本情況

（一）基層骨干網(wǎng)絡(luò)的定義及作用?；鶎庸歉删W(wǎng)絡(luò)是指國家外匯管理局（以下簡稱“總局”）和各省分局之間，通過租用運(yùn)營商線路，形成的獨立的、專用的網(wǎng)絡(luò)。區(qū)別于公共互聯(lián)網(wǎng)以及人民銀行分行到總行、分行到中心支行的網(wǎng)絡(luò)，專門承載外匯局各業(yè)務(wù)系統(tǒng)和內(nèi)部門戶的基礎(chǔ)支撐網(wǎng)絡(luò)。骨干網(wǎng)絡(luò)涵蓋終端、服務(wù)器、網(wǎng)絡(luò)設(shè)備和運(yùn)營商線路等硬件，各類操作系統(tǒng)、數(shù)據(jù)庫、中間件、安全防護(hù)等軟件，獨立IP地址、權(quán)限管理和運(yùn)維應(yīng)急手冊等相關(guān)制度。

（二）基層骨干網(wǎng)絡(luò)的歷史和現(xiàn)狀。20世紀(jì)90年代我國互聯(lián)網(wǎng)應(yīng)用初期，分局與總局之間采用撥號上網(wǎng)的方式互聯(lián)，2000年分局申請了與總局的幀中繼專線。

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展和外匯局信息化要求的提高，2003年底，為了實現(xiàn)骨干網(wǎng)全網(wǎng)提速，支持新興的網(wǎng)絡(luò)應(yīng)用，全面提高網(wǎng)絡(luò)可用性、穩(wěn)定性和可靠性，在總局的統(tǒng)一部署下，對分局骨干網(wǎng)絡(luò)進(jìn)行了擴(kuò)容改造。改造后的骨干網(wǎng)繼續(xù)采用原有的星型拓?fù)浣Y(jié)構(gòu)，分局增加了1臺路由器，通過租用電信運(yùn)營商2條專用鏈路，與總局核心路由器直連。制定了分局IP地址管理規(guī)范，和總局上聯(lián)的路由設(shè)備及分局服務(wù)器使用外匯局網(wǎng)段的IP地址，PC終端部分保留外匯局的IP地址，作為人民銀行的一個虛擬網(wǎng)絡(luò)管理，其余終端使用人民銀行的局域網(wǎng)絡(luò)和網(wǎng)段的IP地址，并通過地址映射訪問分局服務(wù)器和總局網(wǎng)絡(luò)。外匯局基層骨干網(wǎng)絡(luò)雛形基本形成。

2008年為進(jìn)一步優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)，總局為分局骨干網(wǎng)絡(luò)新增了2臺交換機(jī)和1臺路由器。將原來與總局連接的2條捆綁2M鏈路拆分，將其中1條連接到新增的路由器上，重新部署動態(tài)路由協(xié)議，使得拆分后的2條鏈路實現(xiàn)熱備和負(fù)載均衡。2臺新增交換機(jī)通過堆疊方式互聯(lián)，并分別與原有的及新增的路由器連接，另一邊連接分局內(nèi)部網(wǎng)絡(luò)。內(nèi)部網(wǎng)絡(luò)方面，分局與轄內(nèi)中心支局使用人民銀行廣域網(wǎng)連接，與轄內(nèi)商業(yè)銀行使用人民銀行金融城域網(wǎng)實現(xiàn)互聯(lián)。至此基層骨干網(wǎng)絡(luò)構(gòu)建完成，一直沿用至今。

三、基層骨干網(wǎng)絡(luò)安全特性研究

（一）總體來說，安全的網(wǎng)絡(luò)要遵循以下幾個原則。1.平衡分析原則。絕對安全的網(wǎng)絡(luò)是不存在的，也沒有存在的必要。在設(shè)計網(wǎng)絡(luò)時，要綜合考慮需求、風(fēng)險和實現(xiàn)代價這三方面的因素，平衡三者之間的關(guān)系，確定最優(yōu)的方案。

2.網(wǎng)絡(luò)安全原則。網(wǎng)絡(luò)安全體系應(yīng)當(dāng)包括安全防護(hù)、安全監(jiān)測和安全恢復(fù)三個方面，能對各類安全威脅進(jìn)行及時防護(hù)，第一時間發(fā)現(xiàn)并阻止對系統(tǒng)造成的攻擊和在安全措施失效時及時進(jìn)行應(yīng)急處置和內(nèi)容恢復(fù)，減少帶來的損失。

3.高可用性原則。網(wǎng)絡(luò)是基礎(chǔ)環(huán)境，通過其上運(yùn)行的各類系統(tǒng)和應(yīng)用實現(xiàn)價值。因此網(wǎng)絡(luò)要滿足應(yīng)用提出的穩(wěn)定性、可靠性和方便性等要求。

4.可發(fā)展性原則。整體規(guī)劃設(shè)計要綜合考慮網(wǎng)絡(luò)規(guī)模的升級改造，網(wǎng)絡(luò)結(jié)構(gòu)的優(yōu)化調(diào)整，要求網(wǎng)絡(luò)能適應(yīng)規(guī)模及安全需求在一定時間和范圍的變化，具有可發(fā)展性，容易進(jìn)行調(diào)整和升級改造。

安全的基層骨干網(wǎng)絡(luò)應(yīng)通過應(yīng)用當(dāng)前最新的網(wǎng)絡(luò)技術(shù)和產(chǎn)品，設(shè)計合理的網(wǎng)絡(luò)結(jié)構(gòu)，滿足當(dāng)前外匯業(yè)務(wù)系統(tǒng)需求并預(yù)留足夠的可擴(kuò)展性，在兼顧方便高效的同時，符合網(wǎng)絡(luò)信息安全的要求。

安全的基層骨干網(wǎng)絡(luò)要具備以下特性。

1.網(wǎng)絡(luò)結(jié)構(gòu)合理，功能區(qū)域明確，網(wǎng)間邊界清晰。

2.采用必要的線路和設(shè)備冗余，避免單點故障，提高整體網(wǎng)絡(luò)的可用性。

3.對網(wǎng)絡(luò)中的IP地址進(jìn)行合理規(guī)劃，采用訪問控制和身份認(rèn)證等手段，防止未經(jīng)授權(quán)的用戶和終端接入內(nèi)部網(wǎng)絡(luò)。

4.構(gòu)建運(yùn)行維護(hù)及應(yīng)急響應(yīng)等管理機(jī)制。

四、基層骨干網(wǎng)絡(luò)安全防控建議

（一）按功能分區(qū)優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)。為了確保合理的網(wǎng)絡(luò)結(jié)構(gòu)，骨干網(wǎng)絡(luò)應(yīng)按照功能劃分為三個區(qū)域。骨干網(wǎng)絡(luò)上聯(lián)區(qū)域（以下簡稱“上聯(lián)區(qū)域”）、分局局域網(wǎng)服務(wù)器區(qū)域（以下簡稱“服務(wù)器區(qū)域”）和分局局域網(wǎng)終端區(qū)域（以下簡稱“終端區(qū)域”）。所有區(qū)域采用設(shè)備冗余和鏈路冗余的方法，防止發(fā)生單點故障。最外層部署核心路由器，一端通過運(yùn)營商線路和總局網(wǎng)絡(luò)相連，另一端通過防火墻和里層核心交換機(jī)相連接，核心交換機(jī)的另一端分別與分局局域網(wǎng)中的服務(wù)器區(qū)域和終端區(qū)域相連。

（二）拆分鏈路，調(diào)整與總局互聯(lián)方式?？偩謨傻厝行膹V域網(wǎng)的主體結(jié)構(gòu)，采用光傳輸線路，分別是生產(chǎn)中心與同城備份中心基于裸光纖的鏈路、生產(chǎn)中心與災(zāi)備中心基于SDH的鏈路、災(zāi)備中心與同城備份中心基于SDH的鏈路，形成底層數(shù)據(jù)的光傳輸環(huán)狀主干網(wǎng)絡(luò)。

基層骨干網(wǎng)絡(luò)與總局的互聯(lián)方式需要調(diào)整，首先由原來租用單一線路運(yùn)營商的2條SDH專用鏈路改為租用兩家線路運(yùn)營商各1條SDH專用鏈路，提高線路可用性。其次調(diào)整互聯(lián)目的地，原來2條線路均接入生產(chǎn)中心，新的骨干網(wǎng)絡(luò)1條線路接入生產(chǎn)中心，另1條線路連接災(zāi)備中心，兩條鏈路互為備份。當(dāng)連接生產(chǎn)中心的線路出現(xiàn)故障時，分局網(wǎng)絡(luò)通過連接災(zāi)備中心的線路，經(jīng)過總局環(huán)狀廣域網(wǎng)與生產(chǎn)中心連通。該調(diào)整，既保證了與生產(chǎn)中心的鏈路冗余，又實現(xiàn)了與災(zāi)備中心的互聯(lián)，在滿足安全要求的同時，節(jié)約了成本。

（三）從管理和技術(shù)入手，構(gòu)建網(wǎng)絡(luò)安全。安全的網(wǎng)絡(luò)要擁有合理的網(wǎng)絡(luò)結(jié)構(gòu)，有效的安全防護(hù)策略和完備的日常管理?；鶎庸歉删W(wǎng)絡(luò)主要從結(jié)構(gòu)優(yōu)化、身份認(rèn)證、訪問控制、杜絕單點故障、安全產(chǎn)品選擇和運(yùn)維保障等方面構(gòu)建安全的網(wǎng)絡(luò)。

結(jié)構(gòu)優(yōu)化：基層骨干網(wǎng)絡(luò)按照功能進(jìn)行分區(qū)，與人民銀行內(nèi)部網(wǎng)絡(luò)實現(xiàn)分離，分局終端統(tǒng)一部署在人民銀行網(wǎng)段，網(wǎng)絡(luò)結(jié)構(gòu)清晰明確，便于安全防護(hù)。

身份認(rèn)證：采用固定IP地址對接入網(wǎng)絡(luò)中的終端進(jìn)行身份標(biāo)識，通過MAC物理地址綁定的功能實現(xiàn)身份認(rèn)證，當(dāng)終端發(fā)起上網(wǎng)請求時，首先判斷其IP地址和MAC物理地址是否匹配，匹配的情況下，終端才被容許接入網(wǎng)絡(luò)。同時，關(guān)閉交換機(jī)中不使用的端口，防止其它非法計算機(jī)和用戶接入網(wǎng)絡(luò)。

訪問控制：對網(wǎng)絡(luò)中的IP地址進(jìn)行分組，根據(jù)訪問需要，制定組與組之間的訪問策略，容許滿足條件的訪問，防止條件外的非法訪問，禁止各分局之間的直接訪問。同時關(guān)閉網(wǎng)絡(luò)設(shè)備的PING、TELNET、FTP、SNMP等高危服務(wù)，嚴(yán)禁協(xié)議數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)和管理數(shù)據(jù)以外的數(shù)據(jù)在網(wǎng)絡(luò)中傳遞。

杜絕單點故障：基層骨干網(wǎng)絡(luò)應(yīng)采取雙機(jī)熱備模式，即網(wǎng)絡(luò)中配置雙路由器、雙通信鏈路、多交換機(jī)和雙防火墻。每個節(jié)點由原來單一的設(shè)備改造為兩臺同型號設(shè)備，分別定位為主備設(shè)備，主備設(shè)備間要實現(xiàn)互聯(lián)，主設(shè)備發(fā)生故障時，備設(shè)備要在規(guī)定時間內(nèi)接管主設(shè)備的任務(wù)，提供不間斷的網(wǎng)絡(luò)服務(wù)。

安全產(chǎn)品選擇：基層骨干網(wǎng)絡(luò)在關(guān)鍵設(shè)備上均應(yīng)采用我國自主研發(fā)產(chǎn)品取代現(xiàn)有的國外設(shè)備。

運(yùn)維保障：構(gòu)建運(yùn)維保障長效機(jī)制，從管理的角度實現(xiàn)網(wǎng)絡(luò)安全。編制《分局信息安全管理辦法》、《系統(tǒng)運(yùn)行維護(hù)制度》、《應(yīng)急預(yù)案》、《網(wǎng)絡(luò)設(shè)備用戶手冊》等文檔。內(nèi)容涵蓋網(wǎng)絡(luò)日常巡檢、安全風(fēng)險評估和應(yīng)急響應(yīng)等，具有詳細(xì)的操作流程和實施步驟，并在日常工作中嚴(yán)格執(zhí)行。

參考文獻(xiàn)

[1]李偉.網(wǎng)絡(luò)安全實用技術(shù)標(biāo)準(zhǔn)教程[M].北京：清華大學(xué)出版社，2005。

[2]朱萍.計算機(jī)網(wǎng)絡(luò)信息安全及防護(hù)策略研究[J].科技資訊.2016，（2）：29-30。

[3]王世偉，曹磊，羅天雨.再論信息安全、網(wǎng)絡(luò)安全、網(wǎng)絡(luò)空間安全.中國圖書館學(xué)報，2016，（4）：4-28。

[4]楊晨.信息時代下計算機(jī)網(wǎng)絡(luò)安全技術(shù)初探[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2014，（1）：108-109。

[5]宋欣蔚.計算機(jī)網(wǎng)絡(luò)可靠性研究[J].信息與電腦：理論版，2016，（6）：158-159。

The Study on the Backbone Network of SAFE Branches

Based on the Perspective of Security

WANG Mengyang

（Xian Branch PBC，Xian Shaanxi 710075）

Abstract：With the rapid development of the Internet technology， all kinds of business of financial supervision institutions based on the network have developed. At the same time of providing facilitate services and performing in-and-after regulations， events like stealing data and interrupting service by using the vulnerability of the network have occurred frequently and present a high-speed growth trend. Taking relevant prevention and control technology， strengthening the defense capability of the network and building a safe and trusted network have become a very important subject of the financial network research. From the backbone network security risk research of SAFE branches， the paper explores the safety network features， and combined with the actual situation， puts forward suggestions on the safe protection to create a safe and reliable network environment and improve the financial service level in the field of the foreign exchange administration.

Keywords： financial service； foreign exchange administration； network security

責(zé)任編輯、校對：陳參軍