银行生产网络安全规划建议书样本

1、XXX银行生产网络安全规划建议书006年6月目录 T 3 h z HYPRK l _oc3745219 1项目情况概述PAGEREF _oc13745219 h 3HYPERLINK N:整理后2网络结构调整与安全域划分 AGRF _Tc420 h 5HYPERLINK l _o74552 3X银行网络需求分析 PAGEREF _o1375221 7HYPERLINK N:整理后1网上银行安全风险和安全需求PAGREF _oc17552 8HYPERLINK N:整理后32生产业务网络安全风险和安全需求 PEEF_oc174552 HYPERLINK N:整理后l4总体安全技术框架建议PARE

2、F_Toc13745 h 11HYPERLINK N:整理后l.网络层安全建议PAGEEF _Toc13745225 h11 HYPEIKl _Toc13745526 4.2系统层安全建议 PAGERE Toc137455226 h1 HYPERLINK l_Toc13745227 4.3治理层安全建议 PGREF _Toc17455227 14HYPERLINK N:整理后l详细网络架构及产品部署建议PAEREFTc137455228 h15 YEINK l_oc1374529 5.网上银行安全建议 PAGERF _To13745522h 5HYPERLINK N:整理后l5省联社生产网安全

3、建议PAGEREF _T17420h17HYPERLINK N:整理后l5.3地市联社生产网安全建议 AEEF _oc7455231 19HYPERLINK N:整理后5.4区县联社生产网安全建议PGERE _Tc1453 19HPERNK l_Toc34523.5全行网络防病毒系统建议 PAGERE _To174553 20HYPERLINK N:整理后l5.6网络安全治理平台建议 PAGRF _Tc155234h 1 YPRLINK l_oc3755235 5.61部署网络安全治理平台的必要性 AGER _To3745235 h 2 YPERIN l _To13745536.2网络安全治理

4、平台部署建议 GEREF _Toc1374536h 2 YPERLNK l oc1745537 .7建立专业的安全服务体系建议AGER_To137455237h3HYERLINKl _Tc17455235.7.1现状调查和风险评估 PAGRF _To134538 h24HYPERLINK N:整理后l5.2安全策略制定及方案设计 PAGEREF_oc1345529 2HYPERLINK N:整理后l5.3安全应急响应方案 PAGE_Toc1374550 2 HYIN l _To13745521安全规划总结 PAGERE _Toc137551 h 28HYPERLINK N:整理后l7产品配置清

5、单 PAGEREF_Toc1745542 h 2项目情况概述Xxx银行网络是一个正在进行改造的省级银行网络。整个网络随着业务的不断扩展和应用的增加,差不多形成了一个横纵联系,错综复杂的网络。从纵一直看，目前XX银行网络分为四层，第一层为省联社网络,第二层为地市联社网络,第三层为县（区)联社网络,第四层为分理处网络。从横一直看,省及各地市的银行网络都按照顾用划分为办公子网、生产子网和外联网络三个大子网。而在省中心网上，还包括网上银行、测试子网和IS子网三个单独的子网。其整个网络的结构示意图如下：图. XX银行网络结构示意图XX银行网络是一个正在新建的网络,目前业务系统刚刚上线运行，还没有进行信息

6、安全方面的建设。而关于X银行网络来讲，生产网是网络中最重要的部分,所有的应用也业务系统都部署在生产网上。一旦生产网出现问题，造成的损失和阻碍将是不可估量的。因此现在急需解决生产网的安全问题。本次对XX银行网络的安全规划仅限于生产网以及与生产网安全相关的网络部分,因此下面我们着重对X银行的生产网构架做一个详细描述。(一）省联社生产网络省联社网络生产网络是全行信息系统的核心,业务系统、网上银行系统及治理系统都集中在信息中心。省联社网络生产网络负责与人行及其他单位中间业务的连接。省联社网络生产网络负责建立和维护网上银行。省联社网络生产网络中包含MIS系统和测试系统。操作系统要紧有:S40、AIX、L

7、iux、Wnows，以及其它设备的专用系统。数据库系统包括:2、IFRI、SYBSE、RCE等。业务应用包括：生产业务:一线业务：与客户直接关联的业务,如ATM、PO、柜员终端等二线业务：不直接与客户相关的业务，如治理流程、公文轮流转、监督、决策等，为一线业务的支撑。(二）地市联社生产网络地市联社生产网络是二级网络，通过两条互为备份的专线与省联社中心网络互连。操作系统要紧有：IX、WINDOWS。(三)区(县）联社生产网络区(县）联社生产网络是三级网络，通过M D/或者1M光纤以太网（ISN备份）等方式与管辖支行的网络连接。操作系统要紧有：UNIX、INDOWS。(四)分理处生产网分理处是四级

8、网络，各个分理处通过M SH或者ISDN等方式与管辖区(县)联社的网络连接。 由于区县联社及分理处的网络目前还处在组网的初级时期,网络构造简单且还没有能力进行完善的网络安全建设和治理，因此本次规划要紧是对省及地市联社的网络安全部分。当把省及地市部分的网络建成一个比较完善的安全防护体系之后，再逐步的将安全措施和手段应用于下层的区县联社及分理处。从而实现整个网络的重点防护、分步实施策略。网络结构调整与安全域划分关于XX银行生产网络来讲，首要的一点确实是应该依照国家有关部门对相关规定，将整个生产网络进行网络结构的优化和安全域的划分,从结构上实现对安全等级化爱护。依照中国人民银行计算机安全治理暂行规定

9、(试行)的相关要求:“第六十一条 内联网上的所有计算机设备，不得直接或间接地与国际互联网相联接，必须实现与国际互联网的物理隔离。”“第七十五条计算机信息系统的开发环境和现场应当与生产环境和现场隔离。”因此我们有必要对现有网络环境进行改造,以将生产业务网络（包括一线业务和二线业务)与具有互联网连接的办公网络之间区分开来，通过强有力的安全操纵机制最大化实现生产系统与其他业务系统之间的隔离。同时，对XX银行所有信息资源进行安全分级，依照不同业务和应用类型划分不同安全等级的安全域,并分不进行不同等级的隔离和爱护。初步规划将省联社生产网络划分成多个具备不同安全等级的区域，参考公安部公布的信息系统安全爱护

10、等级定级指南,我们对安全区域划分和定级的建议如下:安全区域讲明定级建议生产区域包含一线业务服务器主机级IS区域包含二线业务服务器主机2级网上银行区域包含网上银行业务服务器主机2级运行治理区域包含维护网络信息系统有效运行的治理服务器主机和治理终端2级测试区域包含新开发的生产应用的测试环境，可视为准生产环境1级办公服务器区域包含办公业务系统服务器主机2级关于各地市、区县联社和各营业网点也需要将生产业务和办公业务严格区分开，并进行逻辑隔离,确保生产区域具有较高安全级不。由于部分办公业务用户需要访问生产业务中的特定数据,而部分生产应用也需要访问办公网中的特定数据,因此无法做到生产、办公之间完全的物理隔

11、离，建议在各级联社信息中心提供生产网与办公网之间的连接，并采纳逻辑隔离手段进行操纵，关于营业网点，由于作隔离投入太大，可临时不考虑隔离。改造后的总体逻辑结构如图所示:图. XXX银行网络安全结构示意图网络改造后，全行办公系统将统一互联网出口，所有办公终端只同意在通信行为可控的情况下才能通过信息中心办公网络的互联网出口访问外界网络，生产业务服务器和终端不同意采取任何手段直接访问互联网或通过办公网间接访问互联网。网上银行因业务需要必须连接互联网，但只同意互联网用户对网银门户网站的访问以及认证用户对网银WEB服务器的访问,生产业务服务器和终端不同意采取任何手段直接访问互联网或通过网银网络间接访问互联

12、网。XXX银行网络需求分析随着X银行金融信息化的进展，信息系统差不多成为银行赖以生存和进展的差不多条件。相应地，银行信息系统的安全问题也越来越突出，银行信息系统的安全问题要紧包括两个方面:一是来自外界对银行系统的非法侵入，对信息系统的蓄意破坏和盗窃、篡改信息行为；二是来自银行内部职员有意或无意的对信息系统治理的违反。银行信息系统正在面临着严峻的挑战。银行进行安全建设、加强安全治理差不多成为当务之急,其必要性正在随着银行业务和信息系统如下的进展趋势而更加凸出:银行的关键业务系统层次丰富,操作环节多，风险也相对比较明显；随着电子银行和中间业务的广泛开展，银行的网络与Intere和其他组织机构的网络

13、互联程度越来越高，使原本相对封闭的网络越来越开放，从而将外部网络的风险引入到银行内部网络；随着银行业务集中化的趋势，银行业务系统对可靠性和无间断运行的要求也越来越高；随着WT的到来和外资银行的进入，银行业竞争日益激烈,新的金融产品不断推出,从而使银行的应用系统处于快速的变化过程中,对银行的安全治理提出了更高的要求。中国国内各家银行也差不多开始进行信息安体系建设,其中最要紧的措施确实是采购了大量安全产品，包括防火墙、入侵检测系统、防病毒和身份认证系统等。这些安全产品在专门大程度上提高了银行信息系统的安全水平，对爱护银行信息安全起到了一定作用。然而它们并没有从全然上降低安全风险，缓解安全问题，这要

14、紧是因为： 信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染理解为信息安全问题的全部是片面的。安全产品的功能相对比较狭窄,往往用于解决一类安全问题,因此仅仅通过部署安全产品专门难完全覆盖银行信息安全问题; 信息安全问题不是静态的，它总是随着银行策略、组织架构、信息系统和操作流程的改变而改变。部署安全产品是一种静态的解决方法。一般来讲,在产品安装和配置后较长一段时刻内，它们都无法动态调整以适应安全问题的变化。因此,银行界的有识之士都意识到应从全然上改变应对信息安全问题的思路,建立更加全面的安全保障体系,在安全产品的辅助下,通过治理手段体系化地保障信息系统安全。下面我们将通过分析XX

15、X银行改造后的网络结构下可能面临的安全问题,对XXX银行(要紧是生产网)目前的安全需求进行总体分析。依照实际项目进度安排,我们将分不对网上银行系统、生产业务系统进行分析。网上银行安全风险和安全需求针对目前最常见的互联网攻击类型以及国内外网上银行系统通常面临的安全威胁,结合XXX银行的实际情况,我们认为在XX银行网上银行网络可能面临的安全风险和对应的安全需求如下：序号风险名称受阻碍对象安全需求漏洞操作系统，数据库系统,应用软件评估、加固(打补丁,安装加固软件）2网页篡改网银WB和门户WEB服务器打补丁，安装防篡改软件，内容过滤3网络仿冒网银客户培训客户的安全防护意识（安装I反钓鱼插件;认清银行网

16、站，不在虚假站点中填写ID和密码;采纳CA认证和SSL加密）4蠕虫和病毒所有windws和nux平台客户端:建议或强制安装防病毒软件/插件服务器：安装相应平台防病毒软件网银WEB区域与互联网之间：防病毒网关网银与核心层之间:防病毒网关非法入侵和攻击(网络级、应用级）所有网段防火墙、DS(需检测应用级攻击及SSL加密攻击）6拒绝服务攻击网银W区域抗DOS攻击产品7网页恶意代码（木马、间谍软件、广告软件、拨号器（dialers)、key logr、密码破解工具和远程操纵程序等）网银客户wndow，ie扫瞄器（liux不受阻碍）培训客户的安全防护意识(在计算机上安装防病毒工具并及时更新；采纳相对安全

17、的扫瞄器或在IE中安装各类安全控件；对不明邮件不要打开，并及时删除;提高对个人资料、账户、密码的爱护意识；及时修改银行帐户的原始密码;不要采纳身份证号码、生日、手机号码及过分简单的数字作为密码；不要在网吧等公共场所操作网上银行业务。）8僵尸网络（DDOS、垃圾邮件、网页仿冒、网页攻击的被动发起者）互联网上大量不安全的主机可能成为僵尸，被利用来向网银进行攻击通过上述手段加强自身防护生产业务网络安全风险和安全需求关于生产业务网络而言,可能存在的安全风险和对应的安全需求如下:序号风险名称风险来源受阻碍对象安全需求漏洞自身操作系统，数据库系统,应用软件评估、加固(打补丁，安装加固软件)2蠕虫和病毒移动

18、存储介质、网络通讯所有indow和ix平台客户端/服务器:安装相应平台防病毒软件网银与生产业务网络之间：防病毒网关3非法入侵和攻击(网络级、应用级)所有需要访问或可能访问到一线业务的用户一线业务生产主机防火墙、入侵检测网上银行区域生产业务网络防火墙、入侵防备网上银行区域、相关外部单位网络、办公业务网络生产业务网络防火墙、入侵检测4数据窃密、篡改非法闯入者在局域网或广域网上传输的业务数据，存放在客户端本地的业务数据网络准入操纵、桌面安全操纵5非法访问、越权访问非生产人员生产应用系统和业务数据身份认证、访问授权非治理人员操作系统、数据库系统身份认证、访问授权 总体安全技术框架建议依照对XX银行网络

19、系统安全需求分析，我们提出了由多种安全技术和多层防护措施构成的一整套安全技术方案,具体包括：在网络层划分安全域，部署防火墙系统、防拒绝服务攻击系统、入侵检测系统、入侵防备系统和漏洞扫描系统；在系统层部署病毒防范系统,提供系统安全评估和加固建议；在治理层制订安全治理策略，部署安全信息治理和分析系统,建立安全治理中心。具体建议如下:网络层安全建议1.网络访问操纵 划分安全域 为了提高银行网络的安全性和可靠性,在省联社总部、各地市联社、各区县联社、分理处对不同系统划分不同安全域。访问操纵措施 对安全等级较高的安全域,在其边界部署防火墙，对安全等级较低的安全域的边界则能够使用AN或访问操纵列表来代替。

20、依照对X银行整体网络的区域划分，我们将在不同安全域边界采纳不同的访问操纵措施：在生产网与办公网之间采纳防火墙提供访问操纵,只同意业务相关的访问,拒绝其他所有访问;在生产网与网上银行网络之间采纳防火墙提供访问操纵，只同意业务相关的访问，拒绝其他所有访问;在生产网与相关单位网络之间采纳防火墙提供访问操纵，只同意业务相关的访问，拒绝其他所有访问;在网上银行网络与互联网之间采纳防火墙提供访问操纵，除同意互联网用户访问网银门户网站、同意互联网认证用户访问网银E及同意网银EB服务器SS加速器访问互联网上的CFCA之外,拒绝其他所有访问；在生产网的生产区域（一线业务)与其他区域之间采纳防火墙提供访问操纵,只

21、同意业务相关的访问，拒绝其他所有访问;在生产网的其他各区域之间利用三层交换机划分虚拟子网及进行简单包过滤,做到较简单的访问操纵;2.防拒绝服务攻击在网上银行系统与ntrnet出口边界处,配备抗DS攻击网关系统，以抵御来自互联网的各种拒绝服务攻击和分布式拒绝服务攻击。 .网络入侵检测在网上银行系统和总行业务网络系统中部署入侵检测系统,实时检测、分析网络上的通讯数据流，尤其是对进出安全域边界或进出存放有涉密信息的关键网段、服务器主机的通讯数据流进行监控，及时发觉违规行为和异常行为并进行处理。网络入侵检测系统可实现如下功能: 网络信息包嗅探。以旁路监听方式秘密运行,使攻击者无法感知到。黑客常常在没有

22、觉察的情况下被抓获，因为他们不明白他们一直受到紧密监视。网络访问监控。依照实际业务需要定制相关规则,能够定义哪些主机或网段能够或不能够访问网络上的特定资源,能够定义访问时刻段,对特定的非法访问行为或除特定合法访问行为之外的所有访问行为进行监控,一旦发觉违规行为则依照事先定义的响应策略进行报警、阻断或联动的相应,以保证只有授权用户才能够访问特定网络资源。应用层攻击特征检测。提供详尽、细粒度的应用协议分析技术,实现应用层攻击检测,可自动检测网络实时数据流中符合特征的攻击行为，系统维护一个强大的攻击特征库，用户能够定期更新，确保能够检测到最新的攻击事件。蠕虫检测。实时跟踪当前最新的蠕虫事件,针对差不

23、多发觉的蠕虫攻击及时提供相关事件规则。系统维护一个强大的蠕虫特征库，用户能够定期更新,确保能够检测到最新的蠕虫事件。关于存在系统漏洞但尚未发觉相关蠕虫事件的情况,通过分析漏洞来提供相关的入侵事件规则,最大限度地解决蠕虫发觉滞后的问题。可疑网络活动检测。即异常检测,包括通过对在特定时刻间隔内超流量、超连接的数据包进行检测等方式，实现对o、扫描等攻击事件的检测。检测隐藏在S加密通讯中的攻击。通过解码基于SS加密的通讯数据,分析、检测基于S加密通讯的攻击行为,从而能够爱护提供SSL加密访问的网银WB服务器的安全性。日志审计。提供入侵日志和网络流量日志记录和综合分析功能，并提供详细的分析报告，使网络治

24、理员能够跟踪用户、应用程序等对网络的使用情况，关心治理员改进网络安全策略的规划，并提供更精确的网络安全操纵。通过详尽的审计记录,能够在系统遭到恶意攻击后,提供证据以提起法律诉讼。 多网段同时监控。入侵探测器支持多个网络监听口,能够连接到多个网段中进行实时监控,我们也能够在不同的网段分不部署多个探测引擎,治理员能够通过集中的治理操纵台对探测器上传的信息进行统一查看，通过治理器进行综合分析，并生成报表。4入侵防备系统在生产网与网上银行网络之间、办公网与互联网之间分不部署入侵防备系统，对外界网络黑客利用防火墙为合法的用户访问而开放的端口穿透防火墙对内网发起的各种高级、复杂的攻击行为进行检测和阻断。系

25、统工作在第二层到第七层,通常使用特征匹配和异常分析的方法来识不各种网络攻击行为，因其是以在线串联方式部署的,对检测到的各种攻击行为均可直接阻断并生成日志报告和报警信息。5漏洞扫描系统在生产网上部署一套漏洞扫描系统，定期对整个网络,特不是关键主机及网络设备进行漏洞扫描。如此才能及时发觉网络中存在的漏洞和弱点，及时依照漏洞扫描系统提出的解决方案进行系统加固或安全策略调整。以实现防患于未然的目的。同时得到的扫描日志还能够提供给安全治理中心，作为对整个网络健康状况评估的一部分,使得治理员能够机制准确的把握网络的运行状况。系统层安全建议.病毒防范系统 在XXX银行网络系统可能的病毒攻击点或通道中部署全方

26、位的病毒防范系统,包括在网上银行互联网出口、网上银行区域与业务区域之间、办公区域的互联网出口处部署网关级防病毒设备,在整个网络中的所有WNDO服务器和客户端计算机上部署相应平台的网络版防病毒软件并配置防病毒系统治理中心对所有主机上的防病毒软件进行集中治理、监控、统一升级、集中查杀毒。治理层安全建议7综合安全治理平台和安全运营中心部署一套有效的网络安全治理体系,采纳集中的安全治理平台，来对全网进行统一的安全治理和网络治理，同时借助专业的第三方服务,在安全治理平台的基础上建立X银行安全运营中心,对XX银行安全保障体系的建设起到推动作用，确保XXX银行信息网络信息系统内部不发生安全事件、少发生安全事

27、件或者发生安全事件时能够及时处理减少由于安全事件带来的损失。依照X银行的网络结构和区域划分,我们将分不针对网上银行、省和地市生产业务网络进行安全体系设计。详细网络架构及产品部署建议网上银行安全建议网上银行的安全防护方案具体设计如下：1、在网银区域与Inere之间插入一套抗DoS攻击系统,对来自互联网的DDoS攻击流量进行清除,同时保证正常访问流量的通过。、网银区域与Intrnet之间设置一套防火墙系统(外层防火墙),采纳双机热备结构，通过二层交换机连接抗DS攻击设备，将网银EB服务器爱护在防火墙的一个单独的安全区域中，并通过两台三层交换机连接内部网络。外层防火墙的要紧作用是操纵来自外网的访问,

28、只同意授权用户访问网银服务的特定I和端口，并通过NT屏蔽服务器真实地址。防火墙采纳透明工作模式。三层交换机提供缺省网关和局域网路由功能。3、使用一台网络入侵检测设备，提供双引擎，分不连接到网银WEB区域和网银DB区域的两台交换机上进行监控,对网络上传输的敏感数据包(包括S加密数据)进行深层分析，可有效地发觉防火墙无法识不的专门的应用层攻击行为。4、网银WEB区域与后台数据库/应用服务器区域及信息中心网络之间设置一套防火墙系统(内层防火墙），一方面操纵网银WEB服务区与后台AP服务区之间的访问,只同意来自网银WEB区服务器发起的特定访问,禁止其他一切数据通讯；另一方面操纵网银DB/AP服务区与内

29、部生产区域之间的访问,只同意应用相关的特定访问,禁止其他一切数据通讯；采纳与外部防火墙异构的防火墙产品,即使攻击者成功获得外墙的操纵权,也不能轻易攻入业务网络。5、在内层防火墙与内网核心交换机之间串联一组TM设备，启用IS功能和防病毒功能,抵御来自互联网及网银区域的病毒、蠕虫、恶意代码及其他攻击,双机热备。部署方式如下图所示：图5.1网上银行安全解决方案部署图省联社生产网安全建议1、将信息中心按不同业务划分多个网络区域。2、总行治理中心网络与核心交换机之间不署一套防火墙系统，提供安全操纵。对治理区域的访问进行行为操纵。3、总行生产业务网络与企业客户、协作单位网络的互联出口采纳一套双机防火墙系统

30、提供安全操纵，对来自外单位网络的访问行为进行操纵。4、在总行生产业务网络与办公业务网络核心交换机之间设置一套双机防火墙系统,对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行操纵,同时除必须开放的连接外，禁止任何从生产网主动向办公网发起的访问请求。5、采纳千兆DS设备,分不连接到总行生产网两台核心交换机上，监视和防范内网上的违规访问行为，要紧监听进出生产区域及来自办公网、下级单位和协作单位的流量。、各地市生产网到总行生产网之间采纳一套双机防火墙系统提供安全操纵。对来自各分支机构网络的访问行为进行操纵。7、区县生产网、分理处等营业网点分不通过上级联社生产网的转发实现对总部数据中心系统

31、的访问。8、网上银行网络与生产网络之间的访问通过两台互备的M设备进行监控。网络结构及安全设备部署方式如下图：图5. 省联社生产网安全解决方案部署图地市联社生产网安全建议1、地市联社生产业务网络与企业客户、协作单位网络的互联出口采纳一套双机防火墙系统提供安全操纵,对来自外单位网络的访问行为进行操纵。2、在地市生产业务网络与办公业务网络核心交换机之间设置一套双机防火墙系统,对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行操纵，同时除必须开放的连接外,禁止任何从生产网主动向办公网发起的访问请求。3、采纳IS设备,分不连接到地市生产网两台核心交换机上，监视和防范内网上的违规访问行为，要紧

32、监听进出生产区域及来自办公网、下级单位和协作单位的流量。4、各地市生产网到总行生产网以及区县生产网、分理处等营业网点之间采纳一套双机防火墙系统提供安全操纵。对来自总行和各分支机构网络的访问行为进行操纵。网络结构及安全设备部署方式如下图：图5.3地市联社生产网安全解决方案部署图区县联社生产网安全建议1、区县联社生产业务网络与办公业务网络核心交换机之间设置一套防火墙系统，对从办公网络特定用户到生产网络特定区域上特定主机的访问行为进行操纵,同时除必须开放的连接外,禁止任何从生产网主动向办公网发起的访问请求。2、各区县联社生产网到上级分行生产网以及分理处等营业网点之间采纳一套双机防火墙系统提供安全操纵

33、。对来自上级分行和各分支机构网络的访问行为进行操纵。网络结构及安全设备部署方式如下图:图. 区县联社生产网安全解决方案部署图全行网络防病毒系统建议具体的部署建议如下：1、在XXX银行各级单位所有Wndws服务器上部署服务器防毒系统,确保服务器系统可不能成为病毒驻留的平台,提高整个服务器系统的高可靠性；2、在XX银行各级单位所有Wndos客户端上部署客户端防毒系统,一方面增强客户端的防毒能力,另一方面保证客户端不为因为病毒问题而带给治理员极大的工作量；3、防病毒系统采纳集中和分布相结合的治理模式，总行办公网服务器区域中设置一台防病毒治理中心服务器，提供集中的策略制定和下发,治理总行办公网的所有防

34、病毒客户端;生产网运行治理区域中设置一台防病毒治理分中心服务器，治理生产网的所有防病毒客户端（包括总部、支行、网点），以及与上级治理中心进行通信;各管辖支行办公网中分不设置一台防病毒治理分中心服务器,治理本网的所有防病毒客户端,以及与上级治理中心进行通信;如此做的好处是防止了因软件或策略下发时带来的带宽消耗和减小安全隐患；4、办公网防病毒治理中心服务器定期从互联网进行升级，生产网防病毒治理分中心服务器、各支行防病毒治理分中心服务器均从治理中心服务器获得升级码;各防毒服务器负责向所管辖范围内所有防病毒客户端分发升级码。、在XX银行各互联网出口处,生产网络与网银网络之间分不部署病毒过滤网关(通过T

35、设备实现),消除来自互联网的病毒威胁。网络安全治理平台建议部署网络安全治理平台的必要性传统安全技术和产品集成的有如下缺点:需要大量人为参与的推断。比如一个报警事件是否准确需要人为的推断。存在信息淹没的可能性大量安全产品的报警信息导致治理员无法一一察看和分析,从而导致信息淹没。同时大量的垃圾报警信息，也加重了治理员的工作负担，导致治理员容易疏忽专门多真正有用的信息，这也导致信息淹没。需要专业安全人员的分析大多数安全产品对报警事件的语言描述差不多上专业安全技术性的描述，对治理员的专业技能要求专门高。 需要安全维护人员高度的责任心的协助治理员需要积极主动的去查看各类安全产品的报警信息,才能及时地发觉

36、安全事件，并着手去解决。止步于安全事件的报警，而没有完善的事件处理监督考核措施传统的安全产品集成在向治理员报告安全事件后,安全系统的功用便宣告结束，后续的所有的工作完全依靠治理员去完成，治理员是否去解决这些安全问题,无从考据和监控。应该讲，传统的安全产品和技术的集成只能够部分的实现安全的“可见性”和“可控性”。出于上述缘故，我们认为在以后的信息安全建设中,综合安全监控和治理平台将倍受尊崇，真正让安全建设做到完善的“可见、可控、可治理”。而关于XX银行来讲,我们必须在网络内部署大量的安全产品。因此，我们急需一个真正的综合性安全治理平台来使得整个网络的安全建设实现可见、可控和可治理。集成安全监控治

37、理技术的优点:延伸了传统安全产品集成的功能,充分让每一条有效的安全报警信息得到完善的分析和处理;融合网络治理、安全治理、运维治理思想于一体,充分发挥各类安全技术的功效；实现安全事件的闭环治理,最强有力的实现安全治理的技术辅助手段。网络安全治理平台部署建议关于XX银行网络来讲，我们应该本着重点防护,分步实施的策略来进行我们的安全建设。因此我们应该首先将省联社网络建设成为一个高度安全，高度可治理的安全网络。我们建议在第一时期只在省中心部署一套网络安全治理平台。当这套安全治理平台成功运行并积存一定经验后,能够专门灵活的扩展到各个地市以及更低一级的网络中去。我们所部署的网络安全治理平台应该具备以下一些

38、功能：治理对象被监控治理的目标包括:网络系统、服务器主机、数据库、安全产品、业务应用。按照不同的BP关键业务点来划分进行资产治理。运维治理网络安全的最重要目标确实是保障系统的安全、可靠的运行,也确实是保障业务的连续运行,这也是我们所熟知的安全三性中的可用性。对系统进行基于业务的监控治理，包括:资产治理、流程治理、知识治理等。网络治理网络系统作为业务应用的载体,对其的监控治理也特不重要,我们采纳网管技术对网络系统进行监控治理。内容包括：拓扑展示、设备发觉、治理工具安全治理网络安全运行治理中心的核心内容,从安全策略治理、事件治理、脆弱性治理、风险治理、配置治理等方面,实现安全治理。输出通过报表、报

39、警、工单的方式,得出相应的输出。包括:KBP视图、资产报表、风险报告、安全状态、趋势分析、脆弱性报告、知识库、专家建议等。建立专业的安全服务体系建议在前面的治理层安全建议中我们差不多提出，应该“借助专业的第三方服务,在安全治理平台的基础上建立XX银行安全运营中心,对XX银行安全保障体系的建设起到推动作用，确保X银行信息网络信息系统内部不发生安全事件、少发生安全事件或者发生安全事件时能够及时处理减少由于安全事件带来的损失”。专业的安全服务是建立一个能够持续运行,动态更新的网络安全体系的技术保障。和关键环节。图55 动态信息安全体系建设过程动态信息安全体系建设是一个周期性的循环过程，每个建设周期差

40、不多上以安全策略为核心，以风险评估为开端，通过需求确认、网络安全功能建设、完善信息安全治理/策略、风险复审、风险积存的过程，建立信息安全体系。关于现时期的XX银行网络来讲，我们建议通过以下的步骤来实现那个动态的信息安全体系建设过程。现状调查和风险评估现状调查和风险评估是建立安全农行计算机安全体系的基础和关键，在整个XXX银行网络安全建设项目过程中,现状调查和风险评估的工作量占了专门大比例，现状调查和风险评估的深度直接阻碍安全体系能否与XX银行实际情况相一致且具有可操作性。现状调查和风险评估的要紧目标包括对XXX银行计算机系统进行全面的现状调查、建立爱护对象框架和依照爱护对象框架进行风险评估。全

41、面的现状调查全面现状调查是本项目十分关键的步骤，现状调查的广度和深度将对爱护对象框架的建立和风险评估带来特不十分重要的作用。在全面现状调查中，XX银行的计算机系统的场所、环境、网络、网络设备、主机、操作系统、数据库、中间件、应用软件、业务流程、治理制度和组织机构将得到全面的调研。风险评估风险评估的目的是了解XX银行计算机系统的安全现状，以便在安全体系的实施过程进行需求分析和解决方案设计。风险评估过程包括对XX银行计算机系统的资产安全价值、弱点严峻性、威胁可能性和现有安全措施等进行估值,并通过这些因素计算风险值。风险评估的具体目标包括：准确地获得XXX银行计算机系统安全现状;获得XXX银行计算机

42、系统风险现状，为安全对策框架设计提供依据。安全策略制定及方案设计为迎接XX银行业务的飞速进展而带来信息安全方面的挑战，规范XXX银行信息系统的安全维护治理,促进安全维护和治理工作体系化、规范化,提高信息和网络服务质量,提高网络维护队伍的整体安全素养和水平,需要制定安全方针和系列安全制度和规范。安全方针的目标是为信息安全治理提供清晰的策略方向，阐明信息安全建设和治理的重要原则,阐明信息安全的所需支持和承诺。安全策略是指导XX银行信息系统维护治理工作的差不多依据，安全治理和维护治理人员必须认真执行本规程，并依照工作实际情况，制定并遵守相应的安全标准、流程和安全制度实施细则，做好安全维护治理工作。安

43、全策略的适用范围是XX银行信息系统拥有的、操纵和治理的所有信息系统、数据和网络环境,适用于属于XX银行信息系统范围内的所有部门。对人员的适用范围包括所有与XXX银行信息系统的各方面相关联的人员，它适用于全部应用XX银行的职员,全部XX银行范围内容的维护人员,集成商,软件开发商，产品提供商,顾问，临时工，商务伙伴和使用农行信息系统的其他第三方。安全策略体系建立的价值在于:推进信息安全治理体系的建立安全策略和制度体系的建设安全组织体系的建设安全运作体系的建设规范信息安全规划、采购、建设、维护和治理工作，推进信息安全的规范化和制度化建设在前面的章节中，我们差不多对X银行的网络进行了安全策略制定以及方

44、案设计的详细描述,因此在那个地点就不做过多地阐述。安全应急响应方案安全事件响应的概念和差不多流程应急响应也叫紧急响应，是安全事件发生后迅速采取的措施和行动，它是安全事件响应的一种快速实现方式 。应急响应是解决网络系统安全问题的有效安全服务手段之一。其目的确实是最快速度恢复系统的保密性、完整性和可用性，阻止和减小安全事件带来的阻碍。识不出现安全事件的场景包括：非授权访问，通过入侵的方式进入到未被授权访问的网络中,而导致数据信息泄漏;信息泄密，数据在传输中因数据被截取、篡改、分析等而造成信息的泄漏;拒绝服务，正常用户不能正常访问服务器提供的相关服务;系统性能严峻下降，有不明的进程运行并占用大量的C

45、P处理时刻;在系统日志中发觉非法登录者;发觉系统感染计算机病毒;发觉有人在不断强行尝试登录系统；系统中出现不明的新用户账号;治理员收到来自其它站点系统治理员的警告信，指出系统可能被威胁；文件的访问权限被修改；因安全漏洞导致的系统问题；其它的入侵行为。XXX银行要制订应急响应演练打算,明确应急响应组织、响应人员、人员职责、响应方式、工作内容，定期对相关人员进行应急响应培训，定期组织应急响应演练。各部门领导及治理员应当对紧急响应流程的演习和执行情况进行有效的监督和治理。建立应急响应组织应急响应组织是为了有效处理安全事件，协调各相关部门和人员而成立的机构。应急响应组织的组织结构如下图所示: 图5.6

46、 应急响应组织结构应急响应组织要紧由应急响应组组长、执行组组长、常设应急响应岗位和应急岗位等组成。应急响应组组长:可由山西网通的高管层担任。执行组长:可由主管安全的部门负责人来担任。应急岗位（即安全顾问）：发生紧急事件,需要临时抽调的安全专家,精通业务流程并熟知系统及网络结构的资深安全专家担任,也能够是外聘的专业安全服务公司。常设岗位(安全治理员/文档治理员/联络员)：由专门的应急响应技术人员担任，负责发觉、预警、记录、报告、响应安全事件。职责划分应急响应组组长同意执行组长的报告,作决策工作分配，协调整个事件的处理过程执行组长接收报告，推断是安全问题抑或安全事件选择人员建立紧急事件响应小组制定

47、应急响应打算应急响应验收、监督常设岗位系统、网络、数据、业务方面的安全专家在应急响应过程中，作为应急响应小组成员，实施应急响应打算。安全治理员接收报告、采取初步行动,依照得到的报告推断是一个安全问题依旧一个安全事件，评估事件紧急程度，确定响应策略，并将它提交高层;参与决策过程,依照自己对IT应用要求的爱护程度评估选择措施;报告安全问题和安全事件；按照顾急响应策略实施应急措施。文档治理人员收集汇总应急响应相关报告、文档应急响应事件知识库维护知识库治理员负责维护应急响应体系知识库联络员负责与各部门之间的联系负责与相关机构(中国病毒应急响应中心、CE、NC、病毒厂商、国内专业安全厂商）的联系接收报警

48、事件培训人员负责日常的安全意识、技能的培训安全规划总结通过以上的XX银行网络安全规划建议，我们能够在XX银行的生产网初步建立一个信息安全保障体系。本次的安全体系建设包括的范围为：省联社生产网,包括省联社网上银行网络和生产业务网络。地市联社生产网整个信息安全体系从三个层次进行了建设：首先通过安全域的划分明确了信息安全保障的重点和层次；其次通过必要的网络结构调整和产品部署，建立了生产网的网络边界访问操纵体系,网络抗攻击和入侵深层防护体系，漏洞防护体系和网络防病毒体系等基础防护体系。在此基础上通过安全治理平台的建设建立独立的安全治理中心。将所部属的安全设备结合起来进行有效的治理并实现互动，发挥所有设备的最大功效并使得用户能够随时掌握网络安全状况。通过建立完善的，符合用户实际情况的安全治理制度,保障整个安全治理中心的顺利运行。最后通过专业的安全服务体系,以强大的专家技术保障为后盾,实现对整个网络的动态监控和应急响应。通过这一整套信息安全体系建设,我们能够认为XX银行的生产网络能够应对现实和未知的网络安全威胁，实