【正文】 物理隔離。 ”“第七十五條　計(jì)算機(jī)信息系統(tǒng)的開(kāi)發(fā)環(huán)境和現(xiàn)場(chǎng)應(yīng)當(dāng)與生產(chǎn)環(huán)境和現(xiàn)場(chǎng)隔離。 ”因此我們有必要對(duì)現(xiàn)有網(wǎng)絡(luò)環(huán)境進(jìn)行改造，以將生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)（包括一線業(yè)務(wù)和二線業(yè)務(wù)）與具有互聯(lián)網(wǎng)連接的辦公網(wǎng)絡(luò)之間區(qū)分開(kāi)來(lái)，通過(guò)強(qiáng)有力的安全控制機(jī)制最大化實(shí)現(xiàn)生產(chǎn)系統(tǒng)與其他業(yè)務(wù)系統(tǒng)之間的隔離。同時(shí)，對(duì) XXX 銀行所有信息資源進(jìn)行安全分級(jí)，根據(jù)不同業(yè)務(wù)和應(yīng)用類型劃分不同安全等級(jí)的安全域，并分別進(jìn)行不同等級(jí)的隔離和保護(hù)。初步規(guī)劃將省聯(lián)社生產(chǎn)網(wǎng)絡(luò)劃分成多個(gè)具備不同安全等級(jí)的區(qū)域，參考公安部發(fā)布的《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》 ，我們對(duì)安全區(qū)域劃分和定級(jí)的建議如下：安全區(qū)域 說(shuō)明 定級(jí)建議生產(chǎn)區(qū)域 包含一線業(yè)務(wù)服務(wù)器主機(jī) 3 級(jí)MIS 區(qū)域 包含二線業(yè)務(wù)服務(wù)器主機(jī) 2 級(jí)網(wǎng)上銀行區(qū)域 包含網(wǎng)上銀行業(yè)務(wù)服務(wù)器主機(jī) 2 級(jí)運(yùn)行管理區(qū)域包含維護(hù)網(wǎng)絡(luò)信息系統(tǒng)有效運(yùn)行的管理服務(wù)器主機(jī)和管理終端2 級(jí)測(cè)試區(qū)域包含新開(kāi)發(fā)的生產(chǎn)應(yīng)用的測(cè)試環(huán)境，可視為準(zhǔn)生產(chǎn)環(huán)境1 級(jí)辦公服務(wù)器區(qū)域 包含辦公業(yè)務(wù)系統(tǒng)服務(wù)器主機(jī) 2 級(jí)對(duì)于各地市、區(qū)縣聯(lián)社和各營(yíng)業(yè)網(wǎng)點(diǎn)也需要將生產(chǎn)業(yè)務(wù)和辦公業(yè)務(wù)嚴(yán)格區(qū)分開(kāi)，并進(jìn)行邏輯隔離，確保生產(chǎn)區(qū)域具有較高安全級(jí)別。由于部分辦公業(yè)務(wù)用戶需要訪問(wèn)生產(chǎn)業(yè)務(wù)中的特定數(shù)據(jù)，而部分生產(chǎn)應(yīng)用也需要訪問(wèn)辦公網(wǎng)中的特定數(shù)據(jù)，因此無(wú)法做到生產(chǎn)、辦公之間徹底的物理隔離，建議在各級(jí)聯(lián)社信息中心提供生產(chǎn)網(wǎng)與辦公網(wǎng)之間的連接，并采用邏輯隔離手段進(jìn)行控制，對(duì)于營(yíng)業(yè)網(wǎng)點(diǎn)，由于作隔離投入太大，可暫時(shí)不考慮隔離。改造后的總體邏輯結(jié)構(gòu)如圖所示：5 / 30圖 XXX 銀行網(wǎng)絡(luò)安全結(jié)構(gòu)示意圖網(wǎng)絡(luò)改造后，全行辦公系統(tǒng)將統(tǒng)一互聯(lián)網(wǎng)出口，所有辦公終端只允許在通信行為可控的情況下才能通過(guò)信息中心辦公網(wǎng)絡(luò)的互聯(lián)網(wǎng)出口訪問(wèn)外界網(wǎng)絡(luò)，生產(chǎn)業(yè)務(wù)服務(wù)器和終端不允許采取任何手段直接訪問(wèn)互聯(lián)網(wǎng)或通過(guò)辦公網(wǎng)間接訪問(wèn)互聯(lián)網(wǎng)。網(wǎng)上銀行因業(yè)務(wù)需要必須連接互聯(lián)網(wǎng)，但只允許互聯(lián)網(wǎng)用戶對(duì)網(wǎng)銀門戶網(wǎng)站的訪問(wèn)以及認(rèn)證用戶對(duì)網(wǎng)銀 WEB 服務(wù)器的訪問(wèn)，生產(chǎn)業(yè)務(wù)服務(wù)器和終端不允許采取任何手段直接訪問(wèn)互聯(lián)網(wǎng)或通過(guò)網(wǎng)銀網(wǎng)絡(luò)間接訪問(wèn)互聯(lián)網(wǎng)。6 / 303 XXX 銀行網(wǎng)絡(luò)需求分析隨著 XXX 銀行金融信息化的發(fā)展，信息系統(tǒng)已經(jīng)成為銀行賴以生存和發(fā)展的基本條件。相應(yīng)地，銀行信息系統(tǒng)的安全問(wèn)題也越來(lái)越突出，銀行信息系統(tǒng)的安全問(wèn)題主要包括兩個(gè)方面：一是來(lái)自外界對(duì)銀行系統(tǒng)的非法侵入，對(duì)信息系統(tǒng)的蓄意破壞和盜竊、篡改信息行為；二是來(lái)自銀行內(nèi)部員工故意或無(wú)意的對(duì)信息系統(tǒng)管理的違反。銀行信息系統(tǒng)正在面臨著嚴(yán)峻的挑戰(zhàn)。銀行進(jìn)行安全建設(shè)、加強(qiáng)安全管理已經(jīng)成為當(dāng)務(wù)之急，其必要性正在隨著銀行業(yè)務(wù)和信息系統(tǒng)如下的發(fā)展趨勢(shì)而更加凸出：銀行的關(guān)鍵業(yè)務(wù)系統(tǒng)層次豐富，操作環(huán)節(jié)多，風(fēng)險(xiǎn)也相對(duì)比較明顯；隨著電子銀行和中間業(yè)務(wù)的廣泛開(kāi)展，銀行的網(wǎng)絡(luò)與 Inter 和其他組織機(jī)構(gòu)的網(wǎng)絡(luò)互聯(lián)程度越來(lái)越高，使原本相對(duì)封閉的網(wǎng)絡(luò)越來(lái)越開(kāi)放，從而將外部網(wǎng)絡(luò)的風(fēng)險(xiǎn)引入到銀行內(nèi)部網(wǎng)絡(luò)；隨著銀行業(yè)務(wù)集中化的趨勢(shì)，銀行業(yè)務(wù)系統(tǒng)對(duì)可靠性和無(wú)間斷運(yùn)行的要求也越來(lái)越高；隨著 WTO 的到來(lái)和外資銀行的進(jìn)入，銀行業(yè)競(jìng)爭(zhēng)日益激烈，新的金融產(chǎn)品不斷推出，從而使銀行的應(yīng)用系統(tǒng)處于快速的變化過(guò)程中，對(duì)銀行的安全管理提出了更高的要求。中國(guó)國(guó)內(nèi)各家銀行也已經(jīng)開(kāi)始進(jìn)行信息安體系建設(shè)，其中最主要的措施就是采購(gòu)了大量安全產(chǎn)品，包括防火墻、入侵檢測(cè)系統(tǒng)、防病毒和身份認(rèn)證系統(tǒng)等。這些安全產(chǎn)品在很大程度上提高了銀行信息系統(tǒng)的安全水平，對(duì)保護(hù)銀行信息安全起到了一定作用。但是它們并沒(méi)有從根本上降低安全風(fēng)險(xiǎn)，緩解安全問(wèn)題，這主要是因?yàn)椋? 信息安全問(wèn)題從來(lái)就不是單純的技術(shù)問(wèn)題，把防范黑客入侵和病毒感染理解為信息安全問(wèn)題的全部是片面的。安全產(chǎn)品的功能相對(duì)比較狹窄，往往用于解決一類安全問(wèn)題，因此僅僅通過(guò)部署安全產(chǎn)品很難完全覆蓋銀行信息安全問(wèn)題；? 信息安全問(wèn)題不是靜態(tài)的，它總是隨著銀行策略、組織架構(gòu)、信息系統(tǒng)和操作流程的改變而改變。部署安全產(chǎn)品是一種靜態(tài)的解決辦法。一般來(lái)說(shuō)，在產(chǎn)品安裝和配置后較長(zhǎng)一段時(shí)間內(nèi)，它們都無(wú)法動(dòng)態(tài)調(diào)整以適應(yīng)安全問(wèn)題的變化。所以，銀行界的有識(shí)之士都意識(shí)到應(yīng)從根本上改變應(yīng)對(duì)信息安全問(wèn)題的思路，建立更加全面的安全保障體系，在安全產(chǎn)品的輔助下，通過(guò)管理手段體系化地保障信息系統(tǒng)安全。下面我們將通過(guò)分析 XXX 銀行改造后的網(wǎng)絡(luò)結(jié)構(gòu)下可能面臨的安全問(wèn)題，對(duì) XXX 銀行（主要是生產(chǎn)網(wǎng)）目前的安全需求進(jìn)行總體分析。根據(jù)實(shí)際項(xiàng)目進(jìn)度安排，我們將分別對(duì)網(wǎng)上銀行系統(tǒng)、生產(chǎn)業(yè)務(wù)系統(tǒng)進(jìn)行分析。7 / 30 網(wǎng)上銀行安全風(fēng)險(xiǎn)和安全需求針對(duì)目前最常見(jiàn)的互聯(lián)網(wǎng)攻擊類型以及國(guó)內(nèi)外網(wǎng)上銀行系統(tǒng)通常面臨的安全威脅，結(jié)合 XXX 銀行的實(shí)際情況，我們認(rèn)為在 XXX 銀行網(wǎng)上銀行網(wǎng)絡(luò)可能面臨的安全風(fēng)險(xiǎn)和對(duì)應(yīng)的安全需求如下：序號(hào) 風(fēng)險(xiǎn)名稱 受影響對(duì)象 安全需求1 漏洞操作系統(tǒng)，數(shù)據(jù)庫(kù)系統(tǒng)，應(yīng)用軟件評(píng)估、加固（打補(bǔ)丁，安裝加固軟件）2 網(wǎng)頁(yè)篡改網(wǎng)銀 WEB 和門戶WEB 服務(wù)器打補(bǔ)丁，安裝防篡改軟件，內(nèi)容過(guò)濾3 網(wǎng)絡(luò)仿冒 網(wǎng)銀客戶培訓(xùn)客戶的安全防護(hù)意識(shí)（安裝 IE 反釣魚插件；認(rèn)清銀行網(wǎng)站，不在虛假站點(diǎn)中填寫 ID 和密碼；采用 CA 認(rèn)證和 SSL 加密）4 蠕蟲(chóng)和病毒所有 windows 和linux 平臺(tái)客戶端：建議或強(qiáng)制安裝防病毒軟件/插件服務(wù)器：安裝相應(yīng)平臺(tái)防病毒軟件網(wǎng)銀 WEB 區(qū)域與互聯(lián)網(wǎng)之間：防病毒網(wǎng)關(guān)網(wǎng)銀與核心層之間：防病毒網(wǎng)關(guān)5非法入侵和攻擊（網(wǎng)絡(luò)級(jí)、應(yīng)用級(jí)）所有網(wǎng)段防火墻、IDS（需檢測(cè)應(yīng)用級(jí)攻擊及 SSL加密攻擊）6 拒絕服務(wù)攻擊 網(wǎng)銀 WEB 區(qū)域 抗 DOS 攻擊產(chǎn)品7網(wǎng)頁(yè)惡意代碼（木馬、間諜軟件、廣告軟件、撥號(hào)器（dialers） 、key logger、密碼破解工具和遠(yuǎn)程控制程序等）網(wǎng)銀客戶windows，ie 瀏覽器（linux 不受影響）培訓(xùn)客戶的安全防護(hù)意識(shí)（在計(jì)算機(jī)上安裝防病毒工具并及時(shí)更新；采用相對(duì)安全的瀏覽器或在 IE 中安裝各類安全控件；對(duì)不明郵件不要打開(kāi)，并及時(shí)刪除；提高對(duì)個(gè)人資料、賬戶、密碼的保護(hù)意識(shí)；及時(shí)修改銀行帳戶的原始密碼；不要采用身份證號(hào)碼、生日、手機(jī)號(hào)碼及過(guò)分簡(jiǎn)單的數(shù)字作為密碼；不要在網(wǎng)吧等公共場(chǎng)所操作網(wǎng)上銀行業(yè)務(wù)。 ）8 / 308僵尸網(wǎng)絡(luò)（DDOS、垃圾郵件、網(wǎng)頁(yè)仿冒、網(wǎng)頁(yè)攻擊的被動(dòng)發(fā)起者）互聯(lián)網(wǎng)上大量不安全的主機(jī)可能成為僵尸，被利用來(lái)向網(wǎng)銀進(jìn)行攻擊通過(guò)上述手段加強(qiáng)自身防護(hù) 生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)和安全需求對(duì)于生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)而言，可能存在的安全風(fēng)險(xiǎn)和對(duì)應(yīng)的安全需求如下：序號(hào) 風(fēng)險(xiǎn)名稱 風(fēng)險(xiǎn)來(lái)源 受影響對(duì)象 安全需求1 漏洞 自身操作系統(tǒng)，數(shù)據(jù)庫(kù)系統(tǒng)，應(yīng)用軟件評(píng)估、加固（打補(bǔ)丁，安裝加固軟件）2蠕蟲(chóng)和病毒移動(dòng)存儲(chǔ)介質(zhì)、網(wǎng)絡(luò)通訊所有 windows和 linux 平臺(tái)客戶端/服務(wù)器：安裝相應(yīng)平臺(tái)防病毒軟件網(wǎng)銀與生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)之間：防病毒網(wǎng)關(guān)所有需要訪問(wèn)或可能訪問(wèn)到一線業(yè)務(wù)的用戶一線業(yè)務(wù)生產(chǎn)主機(jī)防火墻、入侵檢測(cè)網(wǎng)上銀行區(qū)域生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò) 防火墻、入侵防御3非法入侵和攻擊（網(wǎng)絡(luò)級(jí)、應(yīng)用級(jí)）網(wǎng)上銀行區(qū)域、相關(guān)外部單位網(wǎng)絡(luò)、辦公業(yè)務(wù)網(wǎng)絡(luò)生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò) 防火墻、入侵檢測(cè)4數(shù)據(jù)竊密、篡改非法闖入者在局域網(wǎng)或廣域網(wǎng)上傳輸?shù)臉I(yè)務(wù)數(shù)據(jù)，存網(wǎng)絡(luò)準(zhǔn)入控制、桌面安全控制9 / 30放在客戶端本地的業(yè)務(wù)數(shù)據(jù)非生產(chǎn)人員生產(chǎn)應(yīng)用系統(tǒng)和業(yè)務(wù)數(shù)據(jù)身份認(rèn)證、訪問(wèn)授權(quán)5非法訪問(wèn)、越權(quán)訪問(wèn)非管理人員操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)身份認(rèn)證、訪問(wèn)授權(quán) 10 / 304 總體安全技術(shù)框架建議根據(jù)對(duì) XXX 銀行網(wǎng)絡(luò)系統(tǒng)安全需求分析，我們提出了由多種安全技術(shù)和多層防護(hù)措施構(gòu)成的一整套安全技術(shù)方案，具體包括：在網(wǎng)絡(luò)層劃分安全域，部署防火墻系統(tǒng)、防拒絕服務(wù)攻擊系統(tǒng)、入侵檢測(cè)系統(tǒng)、入侵防御系統(tǒng)和漏洞掃描系統(tǒng)；在系統(tǒng)層部署病毒防范系統(tǒng)，提供系統(tǒng)安全評(píng)估和加固建議；在管理層制訂安全管理策略，部署安全信息管理和分析系統(tǒng)，建立安全管理中心。具體建議如下： 網(wǎng)絡(luò)層安全建議1．網(wǎng)絡(luò)訪問(wèn)控制 ? 劃分安全域 為了提高銀行網(wǎng)絡(luò)的安全性和可靠性，在省聯(lián)社總部、各地市聯(lián)社、各區(qū)縣聯(lián)社、分理處對(duì)不同系統(tǒng)劃分不同安全域。 ? 訪問(wèn)控制措施 對(duì)安全等級(jí)較高的安全域，在其邊界部署防火墻，對(duì)安全等級(jí)較低的安全域的邊界則可以使用VLAN 或訪問(wèn)控制列表來(lái)代替。根據(jù)對(duì) XXX 銀行整體網(wǎng)絡(luò)的區(qū)域劃分，我們將在不同安全域邊界采用不同的訪問(wèn)控制措施：? 在生產(chǎn)網(wǎng)與辦公網(wǎng)之間采用防火墻提供訪問(wèn)控制，只允許業(yè)務(wù)相關(guān)的訪問(wèn)，拒絕其他所有訪問(wèn)；? 在生產(chǎn)網(wǎng)與網(wǎng)上銀行網(wǎng)絡(luò)之間采用防火墻提供訪問(wèn)控制，只允許業(yè)務(wù)相關(guān)的訪問(wèn)，拒絕其他所