【正文】 工作基本能夠滿足現(xiàn)在的需要。80大部分符合評(píng)價(jià)結(jié)果：建議措施：無(wú)。 介質(zhì)安全1) AAA網(wǎng)銀系統(tǒng)所使用的介質(zhì)資源主要是用于備份的磁帶，磁帶在做完備份后首先會(huì)保存在GDS運(yùn)維區(qū)域的保險(xiǎn)柜中，定期有專人將磁帶轉(zhuǎn)移回公司。2) 《網(wǎng)上銀行安全策略》中規(guī)定每個(gè)備份磁帶貼上標(biāo)簽以后仔細(xì)保存在安全的地方。3) 磁帶的保管由安全部門負(fù)責(zé)，所有的磁帶介質(zhì)都將采上海市內(nèi)的取異地存放的方式保存。問題分析：對(duì)于磁帶介質(zhì)的安全保管，AAA采取專人、異地、并使用保險(xiǎn)箱進(jìn)行保存，在很大程度上確保了數(shù)據(jù)的安全，但同城存放使抵御災(zāi)難的能力不夠強(qiáng)。80大部分符合評(píng)價(jià)結(jié)果：建議措施：1) 網(wǎng)銀系統(tǒng)的客戶數(shù)據(jù)和交易數(shù)據(jù)作為AAA的最重要信息資產(chǎn)，但靠一份磁帶備份很難確保其最大的安全性，建議可以采取遠(yuǎn)距離異地雙重備份的方式提高數(shù)據(jù)介質(zhì)的高可用性。 網(wǎng)絡(luò)平臺(tái)安全 網(wǎng)絡(luò)及邊界安全1) AAA網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)在各個(gè)處理環(huán)節(jié)上充分考慮了可用性和負(fù)載均衡的支持，利用服務(wù)器群集技術(shù)完成HA和LB。2) 網(wǎng)銀系統(tǒng)到Internet分別通過電信和網(wǎng)通的鏈路連接，做到了鏈路備份與負(fù)載均衡。3) 系統(tǒng)與Internet之間設(shè)置了防火墻，對(duì)Internet用戶訪問系統(tǒng)實(shí)施了訪問控制，減少了來自Internet 的威脅。4) 系統(tǒng)在Internet出口處部署了IPS，對(duì)來自Internet的網(wǎng)絡(luò)訪問行為進(jìn)行監(jiān)控和防護(hù)。5) 交換機(jī)在口令配置、使用協(xié)議和服務(wù)管理等方面進(jìn)行了一定的安全配置。問題分析：AAA網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)在線路、服務(wù)器冗災(zāi)方面做得很好，有完善的訪問控制措施和數(shù)據(jù)加密措施。但網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)沒有為主機(jī)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備提供統(tǒng)一的時(shí)鐘，保證網(wǎng)銀系統(tǒng)時(shí)鐘的統(tǒng)一和正確。統(tǒng)一的時(shí)鐘可以保證各設(shè)備的日志是同時(shí)產(chǎn)生的，有利于事后追查對(duì)時(shí)間的定位；缺乏網(wǎng)管系統(tǒng)，在網(wǎng)絡(luò)管理方面主要使用手工登錄的管理方式。80大部分符合評(píng)價(jià)結(jié)果：建議措施：l 考慮到各類設(shè)備較多，管理員對(duì)設(shè)備的管理采用手工方式效率較低，建議引進(jìn)網(wǎng)管軟件。l 建議網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)建立統(tǒng)一時(shí)鐘服務(wù)，保證主機(jī)、設(shè)備可以通過配置NTP服務(wù)器進(jìn)行時(shí)鐘同步。 網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì)1) 邊緣路由器和防火墻之間的網(wǎng)絡(luò)地址使用Internet保留的私有地址，可以保證從Internet不可以直接訪問到路由器的對(duì)內(nèi)網(wǎng)絡(luò)和防火墻的對(duì)外網(wǎng)口。2) 網(wǎng)銀系統(tǒng)各相臨網(wǎng)段之間（直連路由）可以互相訪問，跨網(wǎng)段（非相臨網(wǎng)段）路由不可達(dá)。3) 關(guān)鍵主機(jī)部署了主機(jī)入侵防護(hù)產(chǎn)品,能提供攻擊防護(hù)、終端控制和安全事件監(jiān)控和審計(jì)等功能以確認(rèn)網(wǎng)銀系統(tǒng)多個(gè)服務(wù)器的完整性和策略依從。4) 關(guān)鍵主機(jī)部署了一致性管理和漏洞評(píng)估產(chǎn)品，主要是確保公司符合嚴(yán)格的使用標(biāo)準(zhǔn)，發(fā)現(xiàn)尚未安裝的補(bǔ)丁等系統(tǒng)漏洞并指導(dǎo)用戶快速修復(fù)，從而避免許多代價(jià)昂貴的安全問題。5) 部署了日志審計(jì)軟件，便于安全事件的檢測(cè)和存儲(chǔ)，可以幫助安全事件的分析和作為追蹤事件源的依據(jù)。問題分析：網(wǎng)上銀行安全系統(tǒng)的設(shè)計(jì)遵循了多重保護(hù)的原則，進(jìn)行了多層次網(wǎng)絡(luò)安全保護(hù)，在鏈路層和網(wǎng)絡(luò)層實(shí)施狀態(tài)包檢測(cè)，在表示層實(shí)施加密傳送，在應(yīng)用層設(shè)置專用程序代碼、運(yùn)行應(yīng)用層審計(jì)軟件，在應(yīng)用層之上啟動(dòng)代理服務(wù)等；同時(shí)對(duì)網(wǎng)絡(luò)進(jìn)行分段，通過交換器連接各段，把網(wǎng)絡(luò)分成若干IP子網(wǎng)，各子網(wǎng)通過防火墻連接并控制各子網(wǎng)間的訪問。80大部分符合評(píng)價(jià)結(jié)果：建議措施：無(wú) 網(wǎng)絡(luò)訪問控制1) 網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)劃分了合理的安全域，包括：l Internet區(qū)—網(wǎng)銀用戶所在區(qū)域；l DMZ區(qū)—網(wǎng)銀系統(tǒng)WEB服務(wù)器、短信網(wǎng)關(guān)服務(wù)器、證書服務(wù)器所在區(qū)域；l Trusted區(qū)—網(wǎng)銀系統(tǒng)核心業(yè)務(wù)區(qū)；l Intranet區(qū)—用戶的內(nèi)部網(wǎng)絡(luò)，網(wǎng)銀內(nèi)部管理柜員從此網(wǎng)段訪問內(nèi)部管理系統(tǒng)；l 安全管理區(qū)—防火墻、日志審計(jì)、漏洞掃描等安全管理服務(wù)器所在區(qū)域。2) 各安全域有明確的邊界，各安全域之間采用了合理的控制措施和安全策略。3) 在防火墻的安全規(guī)則中禁止來自邊緣路由器各端口對(duì)內(nèi)、外層防火墻各端口的訪問，即使邊緣路由器被攻破，也可以防止來自邊緣路由器的攻擊。問題分析：網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)合理，總體邏輯清晰,各安全域之間的安全策略控制有較好的細(xì)粒度，防火墻策略變更時(shí)遵循《網(wǎng)上銀行安全策略》，可以防止防火墻策略變更時(shí)不會(huì)產(chǎn)生安全策略限制不嚴(yán)的情況但沒有明確定義常見的蠕蟲端口進(jìn)行策略限制。80大部分符合評(píng)價(jià)結(jié)果：建議措施：定義蠕蟲傳播端口，增加這些端口的Deny策略。 網(wǎng)絡(luò)安全檢測(cè)分析1) 路由器、交換機(jī)和防火墻的帳號(hào)與密碼采用了高強(qiáng)度的密碼機(jī)制，并且啟用了加密保護(hù)機(jī)制，配置了強(qiáng)加密的特權(quán)密碼enable secret。2) 網(wǎng)絡(luò)設(shè)置了CONSOLE 口管理的密碼控制機(jī)制，禁用了SNMP服務(wù)。3) 路由器、交換機(jī)禁止HTTP服務(wù)管理功能，防火墻禁用了外網(wǎng)口的遠(yuǎn)程管理，系統(tǒng)管理登錄連續(xù)失敗4次進(jìn)行帳號(hào)鎖定，系統(tǒng)訪問超時(shí)自動(dòng)退出等安全措施。4) 網(wǎng)絡(luò)設(shè)備均禁用了不必要的系統(tǒng)服務(wù)。5) 對(duì)網(wǎng)絡(luò)系統(tǒng)設(shè)備的配置文件進(jìn)行了完整的備份，由管理員保管。6) 交換機(jī)和路由器沒有通過訪問控制列表做防蠕蟲病毒的控制、防IP欺騙攻擊的控制、防DDOS攻擊的控制等，通過防火墻來完成這方面的控制。7) 網(wǎng)絡(luò)設(shè)備更改了默認(rèn)的系統(tǒng)日志配置信息，通過專業(yè)的日志分析軟件(RSA Intrusion Log Server)進(jìn)行日志收集與分析。問題分析：網(wǎng)絡(luò)設(shè)備的安全進(jìn)行了比較全面的安全配置，對(duì)日志進(jìn)行專業(yè)的分析。80大部分符合評(píng)價(jià)結(jié)果：建議措施：不能完全依靠管理員來完成配置文件的備份，建議設(shè)置專用的網(wǎng)絡(luò)設(shè)備OS和配置文件備份服務(wù)器。 網(wǎng)絡(luò)連接1) AAA網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)在各個(gè)處理環(huán)節(jié)上充分考慮了可用性和負(fù)載均衡的支持，利用F5完成了網(wǎng)絡(luò)層面的HA和LB。2) AAA網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)與Internet通過電信和網(wǎng)通鏈路聯(lián)接。3) 網(wǎng)銀系統(tǒng)與核心業(yè)務(wù)服務(wù)器通過局域網(wǎng)聯(lián)結(jié)，使用防火墻邏輯隔離。4) 網(wǎng)銀系統(tǒng)與柜員、OA等系統(tǒng)的聯(lián)接為DDN，使用使用防火墻邏輯隔離。5) 網(wǎng)絡(luò)安全管理平臺(tái)和其他網(wǎng)絡(luò)之間使用防火墻邏輯隔離。問題分析：AAA網(wǎng)銀系統(tǒng)平臺(tái)端的網(wǎng)絡(luò)均為雙鏈路，可以保證網(wǎng)絡(luò)連接的可靠性，防火墻配置了嚴(yán)格的安全策略，可以保證所有網(wǎng)絡(luò)連接數(shù)據(jù)通信的合法性，同時(shí)可以防止蠕蟲病毒的泛濫，較好地預(yù)防了可能發(fā)起對(duì)網(wǎng)銀系統(tǒng)的DOS/DDOS攻擊。80大部分符合評(píng)價(jià)結(jié)果：建議措施：明確定義蠕蟲傳播端口，增加這些端口在防火墻是上的Deny策略。 網(wǎng)絡(luò)可用性1) AAA網(wǎng)銀系統(tǒng)網(wǎng)絡(luò)全為雙鏈路冗于，采用F5BIG LTM6400 4GBRS做負(fù)載均衡與鏈路備份。2) 網(wǎng)絡(luò)設(shè)備采用心跳線同步用戶會(huì)話，保證網(wǎng)銀系統(tǒng)在做鏈路切換時(shí)對(duì)用戶透明。3) 通過防火墻完成防蠕蟲病毒的控制、防IP欺騙攻擊的控制、防DDOS攻擊的控制。問題分析： AAA網(wǎng)銀用戶可以通過電信或網(wǎng)通的數(shù)據(jù)鏈路訪問網(wǎng)銀系統(tǒng)，網(wǎng)銀系統(tǒng)的局域網(wǎng)也是雙鏈路到服務(wù)器，確保業(yè)務(wù)的不間斷服務(wù)。80大部分符合評(píng)價(jià)結(jié)果：建議措施：無(wú)。 網(wǎng)絡(luò)設(shè)備的安全管理與配置1) CONSOLE口管理的具有密碼控制機(jī)制，遠(yuǎn)程管理只能通過固定的網(wǎng)段登陸，而且設(shè)置的密碼足夠強(qiáng)壯。2) 禁止HTTP服務(wù)功能，禁用了SNMP服務(wù)。3) 防火墻的管理方式為SSH和HTTPS，密碼設(shè)置符合復(fù)雜性要求，防火墻策略的變更有完整的控制機(jī)制：l 提前一周將修改后防火墻規(guī)則書面送交安全管理小組；l 網(wǎng)上銀行技術(shù)支援小組負(fù)責(zé)更新規(guī)則；l 防火墻網(wǎng)關(guān)自動(dòng)檢查規(guī)則文件并記錄進(jìn)改變?nèi)罩疚募?；l 安全管理員登錄系統(tǒng)檢查日志文件；l 如果日志文件經(jīng)過備份后不再需要，安全管理員定期刪除日志文件。4) 網(wǎng)絡(luò)設(shè)備的OS與配置文件由設(shè)備管理員進(jìn)行了完全的備份。問題分析： 網(wǎng)絡(luò)設(shè)備的管理基本符合安全性要求，但設(shè)備的口令為靜態(tài)口令，存在暴力破解的風(fēng)險(xiǎn)。另外網(wǎng)絡(luò)設(shè)備的OS與配置沒有專用的備份服務(wù)器。80大部分符合評(píng)價(jià)結(jié)果：建議措施：l 建議配置網(wǎng)絡(luò)設(shè)備動(dòng)態(tài)口令認(rèn)證機(jī)制；l 建議設(shè)置專用的OS和配置文件備份服務(wù)器。 操作系統(tǒng)/平臺(tái)安全 帳號(hào)安全1) 操作系統(tǒng)的帳號(hào)被嚴(yán)格限制，對(duì)于系統(tǒng)中默認(rèn)的用戶和安裝應(yīng)用增加無(wú)用帳戶采取了鎖定或禁用的方式，僅新建并保留有限的管理帳戶（包括root帳戶）。2) 當(dāng)系統(tǒng)上線后，所有的用戶密碼將使用專用的密碼生成器生成，保證密碼的安全度，防止被有規(guī)律的猜解。3) 系統(tǒng)的遠(yuǎn)程管理使用SSH方式登錄，禁用了系統(tǒng)telnet服務(wù)，確保了登錄過程中數(shù)據(jù)的安全性。4) 系統(tǒng)本身對(duì)帳戶密碼的長(zhǎng)度、復(fù)雜度和更換時(shí)間進(jìn)行了限制，同時(shí)AAA的《網(wǎng)上銀行安全策略》中對(duì)帳戶密碼的安全設(shè)置和管理要求進(jìn)行了規(guī)定。5) AAA中國(guó)網(wǎng)上銀行的UNIX主機(jī)和NT服務(wù)器的超級(jí)用戶密碼將由AAA中國(guó)網(wǎng)上銀行技術(shù)支援小組和安全管理員共同設(shè)置。密碼長(zhǎng)度不少于8位，前4位由技術(shù)支援小組設(shè)置和掌握，后4位由安全管理員設(shè)置和掌握，所有需要使用超級(jí)用戶密碼操作權(quán)限的工作都需要由技術(shù)支援小組成員和安全管理員共同輸入密碼后，由技術(shù)支援小組人員進(jìn)行操作。密碼每個(gè)月必須更換一次，2個(gè)小組的成員在更改密碼之后分別將自己那部分密碼密封，交由CITC經(jīng)理保存，以