銀行信息技術系統(tǒng)的安全設計方案(編輯修改稿)
2025-05-26 13:15 本頁面
【文章內(nèi)容簡介】 NetScreen100作為防火墻，同時在重要的業(yè)務連接點采用NetScreen獨特的多機備份技術用兩臺作為熱備份，保證整個系統(tǒng)的網(wǎng)絡安全。在各部門采用NetScreen10防火墻，為連接各銀行網(wǎng)點提供安全防護。另銀行通過INTERNET網(wǎng)上進行業(yè)務時，由于分行與INTERNE都有出口，也帶來了一定的風險，我們建議在連接INTERNET的出口上也配置NetScreen10防火墻。防火墻 H3C RTMSR3020ACH3服務器H3c s550024PSIH3c s550024PSIH3c LS360028PSIH3c LS360028PSIH3C LS5024PLIAC圖21網(wǎng)絡拓撲圖3． 銀行系統(tǒng)的網(wǎng)絡安全部署圖及說明 銀行系統(tǒng)內(nèi)存在許多敏感數(shù)區(qū)域（如銀行業(yè)務系統(tǒng)主機等），這些敏感的數(shù)據(jù)區(qū)域要求嚴格保密，對訪問的權限有嚴格的限制，但所有的主機處于同一個網(wǎng)絡系統(tǒng)之內(nèi)，如不加以控制，這樣很容易造成網(wǎng)內(nèi)及網(wǎng)外的惡意攻擊，所以在這些數(shù)據(jù)區(qū)域的出入口要加以嚴格控制，在這些地方放置防火墻，防火墻執(zhí)行以下控制功能。，只允許驗證合法主機數(shù)據(jù)包通過，禁止一切非授權主機訪問。防上非法用戶侵入。，業(yè)務前端主機不直接與數(shù)據(jù)存儲區(qū)域建立網(wǎng)絡連接，所有的數(shù)據(jù)訪問通過防火墻的應用代理完成，以保證數(shù)據(jù)存儲區(qū)域的安全。主機前端業(yè)務系統(tǒng)及業(yè)務處理系統(tǒng) NetScreen100交換機主機圖31敏感數(shù)據(jù)區(qū)保護方案在銀行的廣域網(wǎng)傳輸系統(tǒng)中，從總行到分行、分行到支行、支行到分理處等，廣泛應用到幀中繼、DDN、PSTN等等之類的通用線路，但這些線路大多數(shù)都是由通訊公司提供，與許多用戶在一套系統(tǒng)上使用他們的業(yè)務，由于這些線路都是暴露在公共場所，這樣很容易造成數(shù)據(jù)被盜。傳輸數(shù)據(jù)當中如果不進行數(shù)據(jù)加密，后果可想而知。所以對數(shù)據(jù)傳輸加密這是一非常重要的環(huán)節(jié)。對網(wǎng)絡數(shù)據(jù)加密大致分為以下幾處區(qū)域：建立應用層加密，應用程序?qū)ν饨缃粨Q數(shù)據(jù)時進行數(shù)據(jù)加密。主要優(yōu)點是使用方便、網(wǎng)絡中數(shù)據(jù)從源點到終點均得到保護、加密對網(wǎng)絡節(jié)點透明。缺點是某些信息必須以明文形式傳輸，容易被分析。此種加密已被廣泛應用于各應用程序當中，并有相應的標準。在總部到各分行，以及分行到支行建議采用VPN加密技術進行數(shù)據(jù)加密。VPN是通過標準的加密算法，對傳輸數(shù)據(jù)進行加密，在公用網(wǎng)上建立數(shù)據(jù)傳輸?shù)募用堋八淼馈?。加密實現(xiàn)是在IP層，與具體的廣域網(wǎng)協(xié)議無關，也就是說適應不同的廣域網(wǎng)信道（DDN、幀中繼、PSTN等）。由于VPN技術已經(jīng)擁有標準，因此所有的VPN產(chǎn)品可以實現(xiàn)互通。當然，銀行可根據(jù)自身的需要，可選用專用加密設備進行數(shù)據(jù)傳輸加密。分行業(yè)務系統(tǒng)總業(yè)務系統(tǒng)NetScreen100DDN/FRNetScreen100 數(shù)據(jù)加密通道 圖32利用VPN技術對數(shù)據(jù)傳輸進行加密要保護網(wǎng)絡安全，防火墻本身要保證安全，由于系統(tǒng)供電、硬件故障等特殊情況的發(fā)生，使防火墻系統(tǒng)癱瘓，嚴重阻礙網(wǎng)絡通訊，網(wǎng)絡的安全就無法保證，所以要求防求防火墻有冗余措施及足夠防攻擊的能力。NetScreen100交換機DMZ區(qū)外網(wǎng)交換機NetScreen100交換機內(nèi)網(wǎng)圖33防火墻雙機備份方案型號：H3C S550024PSI 價格：￥8800 交換機：千兆以太網(wǎng)交換機 應用層級：三層交換 傳輸速率：10/100/1000 交換機接口：10/100/1000M SFP Combo 網(wǎng)管功能：支持XModem/FTP/TFTP加載升級、支持命令行接口（CLI）, Telnet, Console口進行配置、支持SNMPv1/v2/v3, WEB網(wǎng)管、支持RMON(Remote Monitoring)告警、事件、歷史記錄、支持iMC智能管理中心、支持系統(tǒng)日志, 分級告警, 調(diào)試信息輸出、支持HGMPv支持NTP、支持電源的告警功能，風扇、溫度告警、支持Ping、Tracert、支持VCT、(Virtual Cable Test)電纜檢測功能、支持DLDP(Device Link Detection Protocol)單向鏈路檢測協(xié)議、支持Loopbackdetection 端口環(huán)回檢測 背板帶寬：192Gbps型號：H3C LS360028P
規(guī)章制度相關推薦
鄂ICP備17016276號-1