金融业网络信息安全建设初探

1、.：.；PAGE 13金融业网络信息平安建立初探一、信息平安的现实性，一个攻击的方案目的：化100-200万美金，窃取几千万到上亿美金主要过程买通内线，了解银行的网络系统、主机系统、业务流程和管理制度获得内部的账号寻觅平安破绽，设法进入系统寻觅有用的资料：源代码、更高级别的账号、平安破绽、主要效力器的账号、业务的流程等建立必要的预备：在本银行和取钱银行开账户作几次与窃取类似的正常买卖，降低银行审计的敏感性编写窃取程序，装入业务主机。以不明显的方式从银行客户的账户转钱到一定金额，将款项转出将款项取出马上消逝二、网络信息平安问题越来越严重由此可见，网络，尤其是金融业的网络系统，有一个最大的问题就是

2、平安问题。八年以前，金融业务的计算机核算系统以单机为主，网络较少，无法远程对计算机进展攻击和分散病毒。随着计算机的普及，网络系统的建立，了解计算机的人增多，但计算机网络系统维护人员对平安的知识了解比较短少，而对于网络系统平安来说潜在的入境曾经够用。另外，以前编写攻击工具和病毒，需求专业技术。如今，随着开发工具丰富，运用简便，很容编写一个病毒，很容易得到各种攻击工具。计算机系统的运用已深化到金融业的中心业务中，银行业务和计算机网络系统、运用系统的严密结合构成银行中心业务系统，曾经成为建立现代银行的标志之一。网络系统的互联，导致入侵的范围增大；运用人员的增多，导致入侵的能够性增大；系统复杂，导致平

3、安破绽增多。由此非法的侵入可以获得利益或到达某种目的能够性增大。盗窃钱款恶意报仇政治影响等等团体的恶意行为具备更高的技术、更先进的手段和更大的危害。三、平安要挟1、非法进入系统非法进入计算机网络系统。能够进展恶意或好心的操作，能够没有呵斥损害，但至少存在平安隐患。非法越权操作超越授予的权限，进展越权操作。除非法进入外，通常是授权不合理。冒充他人身份通常是恶意的，可以进展非法越权操作。非法伪造、篡改数据在数据的传输和存储过程中篡改和伪造数据。非法获取数据在数据的传输和存储过程中，非法获取重要的数据事后否认操作或数据由于网络的互联，使得事后否认曾进展的操作和曾收发过数据成为能够。利用网络系统绕过业

4、务系统，直接修正数据库数据由于计算机网络系统飞速开展，为随意修正数据库中的数据提供了方便。病毒计算机网络系统飞速开展，使得病毒的传播速度、破坏数据的才干令人震惊，通常导致系统不能正常任务，甚至宕机。平安制度建立不完善平安制度建立不完善，导致数据、口令保密。平安审计不及时不严厉。平安技术管理手段落后平安检测和告警等管理不能做到自动化、程序化和智能化；缺乏很好的平安战略管理；告警和反响机制不完备等。四、产生平安问题的主要技术缘由1、系统的错误配置不论运用任何平安措施，错误的配置将使平安设备根本不起作用。例如防火墙的配置。我们在改动主机或网络系统时，主要配置是使系统正常任务，而很少思索能够存在的平安

5、问题和相关的系统配置。例如我们思索最多的是网络的无限效力，而很少网络本身会带给我们的危险。系统通常有许多平安特性，但许多运用者并没有运用或根本不了解。例如IP过滤的思索。系统缺陷几乎每天都可以在系统和网络软件中发现平安缺陷。但有时，开发商对平安缺陷缺乏快速的反响。一是缺陷和补救措施经过网络Internet 通知用户，但不是一切用户都能见到这些信息。二是修正任务量宏大，或者涉及第三方软件，又短少支持。系统缺陷使任务不正常。例如平安的传输中的缺陷，使被截取的数据能够被解密，或被攻击者利用，破坏系统或控制系统。对网络平安短少根本知识单纯依托平安设备缺乏以保证系统的平安，必需使每个相关的人员有平安认识

6、。比如大家知道：Internet上不加密，是不能够平安传输的，对于金融业来说内部网络与Internet进展隔离是必要的。不明的邮件不要随意翻开。网上下载的执行软件要小心运用，最好运用可以确认的软件例如有代码签名。主要是缺乏必要的网络平安知识培训，只注重网络系统和运用系统的建立和技术支持，忽视了网络平安知识的培训。软件厂商、系统集成商、效力提供商没有明晰地通知运用者，能够存在的平安问题及其防备的方法。法律相对落后入侵者通常难以发现和寻觅，证据更难提供。法律不完备。五、网络平安建立目的1、平安建立的目的1性：确保信息不走漏给未经授权的人，而在授权时必需求有书面通知。数据库中的重要数据、存储的重要文

7、件和在网络传输的重要信息应该进展加密，防止信息的泄密。完好性保证数据的一致性，防止数据的非法篡改和伪造。重要的业务信息、清算信息和支付信息，应保证完好性，防止在存储和传输中被非法篡改和伪造；2、平安建立的目的2身份识别：确保资源和效力不被非法运用。可以运用口令、Token、IC卡、数字证书等技术，进展身份识别。抗否认性：防止对操作和通讯的否认。采用数字签名和日志技术，保证对发送的数据和进展的操作不可否认。3、平安建立的目的3可用性：确保合法用户可以运用系统资源和效力。网络和系统应具有检测和防止恶意攻击的机制；具有防病毒的功能；以及其他机制，保证信息和系统的可用性。六、平安建立的原那么循序渐进的

8、过程平安需求、风险、代价的平衡技术与非技术的有机结合多层次维护平安产品的合法性 七、平安建立的步骤进展平安评价制定平安战略设计平安方案实施建立运转、监测和评价八、网络信息平安体系建立主要内容网络信息平安体系建立主要内容分为五个层次，或者五个部分：平安管理、物理管理、网络系统平安、运用平安、跟踪审计。平安管理平安管理主要是从管理规定、部门设置、岗位设置、操作规程制度、资源分类、平安评价、平安教育、监视审查、事故分析等等各个方面进展管理。其中进展资源分类有利于对重要信息资源的重点维护；对不同的网络资源进展物理隔离，保证银行内部网络系统的平安。平安评价那么主要是进展破绽评价扫描软件对系统执行严厉的检

9、查，找出平安破绽。主要有两种任务方式：1被动扫描，检查系统设置，例如文件一切权、文件答应。2自动扫描，重组知的黑客攻击方法和攻击后果，发现网络系统平安存在的破绽。物理平安物理平安主要是从机房建筑、供电系统、门禁系统、电磁、防雷系统、消防等等。对物理场所的平安管理任务的忽视，会给企业信息平安任务产生致命性的打击。在信息系统网络中，分布着众多、大小不一、功能不同的机房场所，有数据中心、网络中心、备份中心、数据或网络分中心、网络配线间、高严密等级用户区域等等，各中心内部能够又分为不同的功能区域，对于这些机房或区域的非授权接触，使攻击者更随便进入关键业务系统或网络，容易呵斥直接的、严重性的平安事故，例

10、如，关断电源或损坏设备、中止系统效力、进入系统管理控制台、制造系统或网络圈套、利用网络设备物理缺陷控制和浸透网络、严密资料泄露等等。总之，对物理场所的管理失控，容易使其他方面的平安措施失效。有多种手段和措施用于加强物理场所的平安管理，包括：制定相应的机房出入管理制度，运用门卫、闭路电视系统、门禁系统等等，来监控人员的进出、对出入人员进展登记；实行机房设备登记制度和严厉的设备操作规程；按国家规范做好机房、设备和线路的防电磁辐射泄露；对高密级的计算机网络系统与其他网络部分实行物理隔离；做好物理场所的电源、消防、防雷接地等环境保证任务等等。目前采用光缆为数据传输媒介的网络系统对电磁、雷击等抗干扰才干

11、大大提高，加强了网络设备和网络信息传输的平安性供电系统实现双路供电，确保供电平安。防雷系统的建立我国有一个一致的规范。网络系统平安网络系统平安主要是防攻击、防火墙、防病毒、VPN、身份识别、访问控制、审计、备份与恢复、VLAN划分、NAT技术等等。防火墙技术实现了对受维护的网络进展访问控制，它要求一切对网络的访问必需经过防火墙的检查，从而实现所定义的平安战略。VPN技术在很大的程度上做到了保证数据的真实性、数据的完好性；保证通道的性；提供动态密钥交换功能；提供平安防护措施和访问控制。由于网络层的TCP/IP协议本身存在的平安隐患，如对TCP/IP数据包的窃听/篡改等的预防可经过网络层加密技术得

12、到有效的控制。针对网络层的平安处理方案，主要采用支持IPsec规范的平安VPN的防火墙设备，在路由器之间建立加密通讯隧道，将业务数据、网络管理信息、监视审计信息等封装在隧道中进展传输，以确保网络通讯的平安。身份识别通常是基于公开密钥方法，普遍以为公开密钥方法是识别协议中最适宜的方法。访问控制、VLAN划分普通是一个金融企业内部网络平安所需求的平安技术保证。而NAT技术那么是一个金融企业与另一个金融企业或别的企业进展网络互联而采用地址转换的平安战略。在IP包向外部传送时，NAT功能可将IP包中的源IP地址用事先设定好的IP地址交换掉，当该衔接的IP包进入路由器时将目的的IP地址用初始的IP地址交

13、换回来，从而可以隐藏内部网络的IP地址的分配，提高网络的平安性。防病毒、备份与恢复那么是普通网络都必需的平安措施。一个完好的防病毒体系分为两个方面:一是建立包括桌面、效力器、网关多层次的立体防病毒体系；二是建立完善的管理晋级体制，包括战略管理、告警、软件和病毒码晋级。运用平安运用平安主要包括信息加密、身份认证、防抵赖、信息完好性、电子证书、表格签名、时间戳等等。见附图2。跟踪审计跟踪审计主要是对内部操作、外部访问、数据信息进展跟踪审计。附图1、图2。 计算机网络-研讨生课程进修021班 雷李全 2002年7月9日运用本身平安机制平安建立规范平安管理制度平安管理中心运用本身平安机制平安建立规范平安管理制度平安管理中心数据平安数据平安物理隔离系统挪动平安病毒防备平安效力平台VPN系统系统平安设置入侵检测和破绽扫描系统