銀行外聯(lián)網(wǎng)絡(luò)安全解決方案全攻略(編輯修改稿)
2025-05-26 13:19 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 管服務(wù)器和被管理設(shè)備的通訊通過(guò)單獨(dú)的接口。用PVLAN使被管理設(shè)備只能通過(guò)網(wǎng)管專用的接口與網(wǎng)管服務(wù)器連接，而被管理設(shè)備之間不能互通。為了防備網(wǎng)管服務(wù)器被控制的可能性，規(guī)劃獨(dú)立的網(wǎng)管服務(wù)器為業(yè)務(wù)外聯(lián)平臺(tái)服務(wù)。網(wǎng)管平臺(tái)能夠?qū)I(yè)務(wù)外聯(lián)平臺(tái)進(jìn)行狀態(tài)管理、性能管理、配置管理、故障管理。帶外網(wǎng)管平臺(tái)采用單獨(dú)的交換機(jī)，以保證系統(tǒng)的安全?！ OS 在數(shù)據(jù)包經(jīng)過(guò)內(nèi)層防火墻進(jìn)入管理區(qū)域后立即打上QOS標(biāo)記，使外聯(lián)平臺(tái)的數(shù)據(jù)包按照規(guī)定的優(yōu)先級(jí)別占用網(wǎng)絡(luò)資源。四 外聯(lián)業(yè)務(wù)平臺(tái)安全設(shè)計(jì)策略 1 外聯(lián)接入線路安全設(shè)計(jì)策略 外聯(lián)接入線路有3種方式：傳統(tǒng)的專線方式、正在快速發(fā)展的基于公網(wǎng)的VPN方式、撥號(hào)方式。 專線方式，銀行傳統(tǒng)的外聯(lián)接入方式大部分都是采用專線與外單位相聯(lián)，專線的選擇有：幀中繼、DDN、SDH、ATM等等。專線的優(yōu)點(diǎn)是線路私有、技術(shù)成熟、穩(wěn)定，傳輸?shù)陌踩员容^有保障，但也存在設(shè)備投入大，對(duì)技術(shù)維護(hù)人員的技術(shù)要求較高，線路費(fèi)用昂貴、接入不靈活等缺點(diǎn)。并且由于對(duì)線路的信任依賴，大多數(shù)專線中傳遞的信息沒(méi)有考慮任何數(shù)據(jù)安全，明碼傳送，存在很大的安全隱患。 VPN方式，現(xiàn)在國(guó)際社會(huì)比較流行的利用公共網(wǎng)絡(luò)來(lái)構(gòu)建的私有專用網(wǎng)絡(luò)VPN（Virtual Private Network），用于構(gòu)建VPN的公共網(wǎng)絡(luò)包括Internet、幀中繼、ATM等。在公共網(wǎng)絡(luò)上組建的VPN具有線路費(fèi)用低廉，易于擴(kuò)展，接入靈活，網(wǎng)絡(luò)通信安全，網(wǎng)絡(luò)設(shè)計(jì)簡(jiǎn)單，特別是易于實(shí)現(xiàn)集中管理，減少接入點(diǎn)，接入點(diǎn)可以只設(shè)在一級(jí)分行以上的層次，方便統(tǒng)一管理和安全控制?！ 芴?hào)方式，有些外聯(lián)單位只與銀行交換簡(jiǎn)單的代收發(fā)文件，使用的間隔周期也比較長(zhǎng)，為節(jié)約費(fèi)用只按需撥號(hào)進(jìn)行連接，撥號(hào)方式的特點(diǎn)是費(fèi)用低廉但缺乏安全保障。 這3種方式各有優(yōu)缺點(diǎn)，但從技術(shù)的成熟性和保護(hù)現(xiàn)有設(shè)備投資的方面考慮，專線方式和撥號(hào)方式還是我們的主流方式。但從長(zhǎng)遠(yuǎn)考慮，隨著VPN技術(shù)的成熟和合作伙伴應(yīng)用互聯(lián)網(wǎng)的普及，VPN方式將會(huì)由于它顯著的優(yōu)點(diǎn)而逐漸成為主流，因此，我們引入VPN接入方式，目前我們?nèi)N接入方式并存，今后將逐漸用VPN方式取代專線方式和撥號(hào)方式，這樣不僅能夠統(tǒng)一接入層次，減少接入點(diǎn)，降低線路費(fèi)用，而且方便統(tǒng)一管理和安全控制。 對(duì)于接入專線的物理層和數(shù)據(jù)鏈路層安全是由運(yùn)營(yíng)商保障的，在邊界接入路由器上設(shè)置靜態(tài)路由、采用安全訪問(wèn)控制實(shí)現(xiàn)網(wǎng)絡(luò)層的安全控制，為保證數(shù)據(jù)傳輸?shù)臋C(jī)密性和完整性，建議在銀行外聯(lián)網(wǎng)絡(luò)中采用IPSec技術(shù)，在接入端統(tǒng)一安裝支持IPSec功能的接入路由器。 對(duì)于VPN方式的接入，VPN雖然構(gòu)建在公用數(shù)據(jù)網(wǎng)上，但可以通過(guò)附加的安全隧道、用戶認(rèn)證和訪問(wèn)控制等技術(shù)實(shí)現(xiàn)與專用網(wǎng)絡(luò)相類似的安全性能，從而實(shí)現(xiàn)對(duì)重要信息的安全傳輸。與企業(yè)獨(dú)立構(gòu)建專用網(wǎng)絡(luò)相比，VPN具有節(jié)省投資、易于擴(kuò)展、簡(jiǎn)化管理等特點(diǎn)?！ ?duì)于撥號(hào)接入我們采用AAA認(rèn)證的方式驗(yàn)證撥入方的身份。 2 外聯(lián)業(yè)務(wù)平臺(tái)物理層安全設(shè)計(jì)策略 物理層安全是指設(shè)備安全和線路安全，保障物理安全除了要遵守國(guó)家相關(guān)的場(chǎng)地要求和設(shè)計(jì)規(guī)范外，還要做好相關(guān)設(shè)備的備份、關(guān)鍵線路的備份、相應(yīng)數(shù)據(jù)的備份?！ 《ㄆ趯?duì)網(wǎng)絡(luò)參數(shù)、應(yīng)用數(shù)據(jù)、日志進(jìn)行備份，定期對(duì)備份設(shè)備進(jìn)行參數(shù)同步?！ ? 外聯(lián)業(yè)務(wù)平臺(tái)網(wǎng)絡(luò)層安全設(shè)計(jì)策略 外聯(lián)業(yè)務(wù)平臺(tái)安全設(shè)計(jì)的重點(diǎn)就是如何進(jìn)行網(wǎng)絡(luò)層的安全防護(hù)，在網(wǎng)絡(luò)層我們采用了防火墻技術(shù)、入侵檢測(cè)技術(shù)、VPN技術(shù)、IPSec技術(shù)、訪問(wèn)控制技術(shù)等多種安全技術(shù)進(jìn)行網(wǎng)絡(luò)層的安全防護(hù)?！ 。?）部署邊界防火墻和內(nèi)部防火墻 在總行、一級(jí)分行、二級(jí)分行各級(jí)外聯(lián)接入點(diǎn)的邊界都應(yīng)安裝邊界防火墻，邊界防火墻的任務(wù)有： 通過(guò)對(duì)源地址過(guò)濾，拒絕外部非法IP地址，有效地避免外部網(wǎng)絡(luò)上與業(yè)務(wù)無(wú)關(guān)的主機(jī)的越權(quán)訪問(wèn)，防火墻只保留有用的服務(wù)； 關(guān)閉其他不要的服務(wù)，可將系統(tǒng)受攻擊的可能性降低到最小限度，使黑客無(wú)機(jī)可乘； 制定訪問(wèn)策略，使只有被授權(quán)的外部主機(jī)可以訪問(wèn)內(nèi)部網(wǎng)絡(luò)的有限的IP地址，保證外部網(wǎng)絡(luò)只能訪問(wèn)內(nèi)部網(wǎng)絡(luò)中必要的資源，與業(yè)務(wù)無(wú)關(guān)的操作將被拒絕?！ ∮捎谕獠烤W(wǎng)絡(luò)對(duì)DMZ區(qū)主機(jī)的所有訪問(wèn)都要經(jīng)過(guò)防火墻，防火墻可以全面監(jiān)視外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的訪問(wèn)活動(dòng)，并進(jìn)行詳細(xì)地記錄，通過(guò)分析可以發(fā)現(xiàn)可疑的攻擊行為； 對(duì)于遠(yuǎn)程登錄的用戶，如telnet等，防火墻利用加強(qiáng)的認(rèn)證功能，可以有效地防止非法入侵； 集中管理網(wǎng)絡(luò)的安全策略，因此黑客無(wú)法通過(guò)更改某一臺(tái)主機(jī)的安全策略來(lái)達(dá)到控制其他資源，獲取訪問(wèn)權(quán)限的目的； 進(jìn)行地址轉(zhuǎn)換工作，使外部網(wǎng)絡(luò)不能看到內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)，從而使黑客攻擊失去目標(biāo)?！ ≡趦?nèi)部網(wǎng)和業(yè)務(wù)前置區(qū)之間部署內(nèi)部防火墻，內(nèi)部防火墻的任務(wù)有： 精確制定每個(gè)用戶的訪問(wèn)權(quán)限，保證內(nèi)部網(wǎng)絡(luò)用戶只能訪問(wèn)必要的資源 記錄網(wǎng)段間的訪問(wèn)信息，及時(shí)發(fā)現(xiàn)誤操作和來(lái)自內(nèi)部網(wǎng)絡(luò)其他網(wǎng)段的攻擊行為?！ 。?）部署入侵檢測(cè)系統(tǒng) 入侵檢測(cè)是防火墻技術(shù)的重要補(bǔ)充，在不影響網(wǎng)絡(luò)的情況下能對(duì)網(wǎng)絡(luò)進(jìn)行檢測(cè)分析，從而對(duì)內(nèi)部攻擊、外部攻擊和誤
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1