基于访问控制技术的银行网络安全研究及应用

1、基于访问控制技术的银行网络平安研究及应用摘要随着计算机网络技术的迅速开展和广泛应用，计算机网络在银行业的金融电子化建立中已占据了重要位置。目前国内各主要商业银行的网络平安体系构造中，访问控制是保障网络平安最重要的核心策略之一。基于访问控制技术的网络平安体系已成为国内各主要商业银行构建网络平安体系的重要手段。关键字访问控制；银行网络平安；虚拟局域网；访问控制列表1引言随着计算机网络在银行各项业务的应用中不断普及，各大商业银行已把网络平安放在了金融电子化建立中的一个极其重要的位置上，网络平安已成为构建银行计算机网络体系进程中必须首先需要考虑和解决的问题。在目前国内各主要商业银行进展金融电子化建立的

2、过程中，访问控制是保证计算机网络平安最重要的核心策略之一，同时它也是维护网络平安、保护网络资源的一个重要手段，其主要任务是保证网络资源不被非法使用和非正常访问。因此，加强以访问控制为核心的银行计算机网络平安，保证银行的资金平安以及进步银行风险防范才能已成为当前各大银行亟待解决的问题。2访问控制的解决方案目前访问控制的解决方案主要有以下几种：A地址过滤、VLAN隔离、基于IP地址的访问控制列表和防火墙控制等。2.1A地址过滤法A地址是网络设备在全球的惟一编号，它也就是我们通常所说的：物理地址、硬件地址、适配器地址或网卡地址。A地址可用于直接标识某个网络设备，是目前网络数据交换的基矗2.2VLAN

3、隔离法VLAN(虚拟局域网)技术是为了防止当一个网络系统中网络设备数量增加到一定程度后，众多的网络播送报文消耗大量的网络带宽，使得真正的数据传递受到很大的影响，确保局部平安性比拟敏感的部门数据不被随意访问阅读而采用一种划分互相隔离子网的方法。2.3基于IP地址的访问控制列表法访问控制列表在路由器和三层交换机中被广泛采用，它是一种基于包过滤的流向控制技术。标准访问控制列表通过把源地址、目的地址以及端口号作为数据包检查的根本元素，并可以规定符合检查条件的数据包是允许通过，还是不允许通过。2.4防火墙控制法防火墙技术首先将网络划分为内网与外网，它通过分析每一项内网与外网通信应用的协议构成，得出主机I

4、P地址及IP上联端口号，从而规划出业务流，对相应的业务流进展控制。防火墙技术在最大限度上限制了源IP地址、目的IP地址、源上联端口号、目的上联端口号的访问权限，从而限制了每一业务流的通断。3访问控制在银行网络平安体系中的应用银行网络平安体系是根据详细业务对网络平安的需求，以访问控制为核心而构建起来的，其中心思想就是“不同的部门及人员根据其所从事的工作有不同的网络使用权限。3.1银行网络平安体系中访问控制总体应用根据分行内各部门的详细业务对网络平安的不同需求，在分行的核心交换机上按照详细业务需求划分了假设干个VLAN(VirtualLalAreaNetrk)，不同的VLAN对平安的要求不同，因此

5、各VLAN对分行网络的访问权限也就不一样。根据此要求，在交换机上对各VLAN都定义了各自的访问控制列表，各VLAN的访问控制列表对本VLAN内的设备可以访问以及制止访问的目的网段或者详细的目的设备都作了严格的规定，一旦访问控制列表被定义完成，它将立即生效，本VLAN内的所有设备都将受访问控制列表的约束。各VLAN的访问控制列表也不一样，这些列表之间的差异表达了各VLAN对网络平安的需求的差异。在分行内部网和与外单位相连的外部网之间，使用防火墙来对进出内外网的数据流进展挑选和过滤。在防火墙上根据不同的业务定义了不同的平安策略，主要就是根据这些平安策略来对进出的数据流进展过滤，以保证只允许认为平安

6、的数据进出内部网，对认为不平安的数据那么制止其通过。如图1所示，银行网络拓扑构造图。图1银行网络拓扑构造3.2分行VLAN及访问控制在分行内部根据详细业务的需要将局域网分成了假设干个VLAN，在各VLAN内用访问控制列表(AL)对VLAN的网络平安作出了各自不同的规定。例如根据总行制定的总体标准和分行详细的业务需求，某分行(分行本部)的网络划分成以下几个VLAN：消费VLAN、办公效劳器(科技部管理)VLAN、业务办公VLAN、国际业务VLAN、中间业务VLAN、开发测试VLAN、网络设备VLAN、视频会议VLAN、 银行VLAN、 银行语音网关VLAN。按照总行的总体要求，消费系统与办公系统

7、之间必需要有可控制的访问。以目前可利用的实际条件，比拟适宜的方式是在分行的局域网内设置VLAN，在每个VLAN内根据业务需要设置访问控制列表(AL)，利用访问控制列表来控制访问消费系统与办公系统的VLAN。访问控制的总体设置原那么如表1所示。表1分行访问控制总体设置VLAN网段VLAN描绘访问控制设置简述1消费VLAN，用于放置城市前置主备机、柜台前置机、柜台终端等消费用机，办理实时消费业务可以访问总行及支行网点的消费网段，同时制止上互联网288分行内部办公效劳器VLAN，同时也是科技部VLAN，放置分行内部效劳器，如邮件效劳器、公文效劳器等允许访问总行及分行消费网段，允许访问分行设备网络网段

8、，允许上互联网486分行办公VLAN，放置分行非消费业务的普通用机允许访问分行及总行办公效劳器网段，除少数有特殊需求的用户外，其余机器一律不允许访问消费网段，可以上互联网592国际业务VLAN，放置国际业务报文处理用机允许访问总行国际业务网段，允许访问总分行办公效劳器网段，制止访问消费网段，允许上互联网6210中间业务VLAN，放置中间业务外联通信设备及中间业务防火墙只允许访问消费网段及分行办公效劳器网段796开发测试VLAN，放置外单位开发、测试用机只允许访问需要访问的网段，如中间业务网段8100网络设备VLAN，放置与总分行通信的路由器、交换机等网络设备设置成UT方向，只允许分行科技部管理人员访问该网段，同时将所有其他流量放开987视频会议VLAN，放置总分行开视频会议时的视频设备暂无访问控制1025 银行VLAN，放置分行 银行前置机允许访问总行消费网段，允许访问其他分行的 银行网段，支持异地遨游1127语音网关VLAN，放置分行 银行所使用的语音网关设备允许访问总行消费网段，允许访问其他分行的语音网关网段，支持异地遨游4完毕语在计算机病毒防御形势日趋严峻的今天，必须加强对运用访问控制来及时发现和抵御病毒这方面的研究，力求在网络层就把病毒拒之门外，为银行各项业务的正常开展提供可靠的平安保障。参考文献1戚文静，刘学.网