銀行外聯(lián)網(wǎng)絡(luò)安全解決方案全攻略(編輯修改稿)
2025-05-26 13:19 本頁面
【文章內(nèi)容簡介】 管服務(wù)器和被管理設(shè)備的通訊通過單獨(dú)的接口。用PVLAN使被管理設(shè)備只能通過網(wǎng)管專用的接口與網(wǎng)管服務(wù)器連接，而被管理設(shè)備之間不能互通。為了防備網(wǎng)管服務(wù)器被控制的可能性，規(guī)劃獨(dú)立的網(wǎng)管服務(wù)器為業(yè)務(wù)外聯(lián)平臺服務(wù)。網(wǎng)管平臺能夠?qū)I(yè)務(wù)外聯(lián)平臺進(jìn)行狀態(tài)管理、性能管理、配置管理、故障管理。帶外網(wǎng)管平臺采用單獨(dú)的交換機(jī)，以保證系統(tǒng)的安全?！ OS 在數(shù)據(jù)包經(jīng)過內(nèi)層防火墻進(jìn)入管理區(qū)域后立即打上QOS標(biāo)記，使外聯(lián)平臺的數(shù)據(jù)包按照規(guī)定的優(yōu)先級別占用網(wǎng)絡(luò)資源。四 外聯(lián)業(yè)務(wù)平臺安全設(shè)計(jì)策略 1 外聯(lián)接入線路安全設(shè)計(jì)策略 外聯(lián)接入線路有3種方式：傳統(tǒng)的專線方式、正在快速發(fā)展的基于公網(wǎng)的VPN方式、撥號方式?！ ＞€方式，銀行傳統(tǒng)的外聯(lián)接入方式大部分都是采用專線與外單位相聯(lián)，專線的選擇有：幀中繼、DDN、SDH、ATM等等。專線的優(yōu)點(diǎn)是線路私有、技術(shù)成熟、穩(wěn)定，傳輸?shù)陌踩员容^有保障，但也存在設(shè)備投入大，對技術(shù)維護(hù)人員的技術(shù)要求較高，線路費(fèi)用昂貴、接入不靈活等缺點(diǎn)。并且由于對線路的信任依賴，大多數(shù)專線中傳遞的信息沒有考慮任何數(shù)據(jù)安全，明碼傳送，存在很大的安全隱患?！ PN方式，現(xiàn)在國際社會比較流行的利用公共網(wǎng)絡(luò)來構(gòu)建的私有專用網(wǎng)絡(luò)VPN（Virtual Private Network），用于構(gòu)建VPN的公共網(wǎng)絡(luò)包括Internet、幀中繼、ATM等。在公共網(wǎng)絡(luò)上組建的VPN具有線路費(fèi)用低廉，易于擴(kuò)展，接入靈活，網(wǎng)絡(luò)通信安全，網(wǎng)絡(luò)設(shè)計(jì)簡單，特別是易于實(shí)現(xiàn)集中管理，減少接入點(diǎn)，接入點(diǎn)可以只設(shè)在一級分行以上的層次，方便統(tǒng)一管理和安全控制?！ 芴柗绞剑行┩饴?lián)單位只與銀行交換簡單的代收發(fā)文件，使用的間隔周期也比較長，為節(jié)約費(fèi)用只按需撥號進(jìn)行連接，撥號方式的特點(diǎn)是費(fèi)用低廉但缺乏安全保障?！ ∵@3種方式各有優(yōu)缺點(diǎn)，但從技術(shù)的成熟性和保護(hù)現(xiàn)有設(shè)備投資的方面考慮，專線方式和撥號方式還是我們的主流方式。但從長遠(yuǎn)考慮，隨著VPN技術(shù)的成熟和合作伙伴應(yīng)用互聯(lián)網(wǎng)的普及，VPN方式將會由于它顯著的優(yōu)點(diǎn)而逐漸成為主流，因此，我們引入VPN接入方式，目前我們?nèi)N接入方式并存，今后將逐漸用VPN方式取代專線方式和撥號方式，這樣不僅能夠統(tǒng)一接入層次，減少接入點(diǎn)，降低線路費(fèi)用，而且方便統(tǒng)一管理和安全控制。 對于接入專線的物理層和數(shù)據(jù)鏈路層安全是由運(yùn)營商保障的，在邊界接入路由器上設(shè)置靜態(tài)路由、采用安全訪問控制實(shí)現(xiàn)網(wǎng)絡(luò)層的安全控制，為保證數(shù)據(jù)傳輸?shù)臋C(jī)密性和完整性，建議在銀行外聯(lián)網(wǎng)絡(luò)中采用IPSec技術(shù)，在接入端統(tǒng)一安裝支持IPSec功能的接入路由器。 對于VPN方式的接入，VPN雖然構(gòu)建在公用數(shù)據(jù)網(wǎng)上，但可以通過附加的安全隧道、用戶認(rèn)證和訪問控制等技術(shù)實(shí)現(xiàn)與專用網(wǎng)絡(luò)相類似的安全性能，從而實(shí)現(xiàn)對重要信息的安全傳輸。與企業(yè)獨(dú)立構(gòu)建專用網(wǎng)絡(luò)相比，VPN具有節(jié)省投資、易于擴(kuò)展、簡化管理等特點(diǎn)?！ τ趽芴柦尤胛覀儾捎肁AA認(rèn)證的方式驗(yàn)證撥入方的身份?！ ? 外聯(lián)業(yè)務(wù)平臺物理層安全設(shè)計(jì)策略 物理層安全是指設(shè)備安全和線路安全，保障物理安全除了要遵守國家相關(guān)的場地要求和設(shè)計(jì)規(guī)范外，還要做好相關(guān)設(shè)備的備份、關(guān)鍵線路的備份、相應(yīng)數(shù)據(jù)的備份?！ 《ㄆ趯W(wǎng)絡(luò)參數(shù)、應(yīng)用數(shù)據(jù)、日志進(jìn)行備份，定期對備份設(shè)備進(jìn)行參數(shù)同步。 3 外聯(lián)業(yè)務(wù)平臺網(wǎng)絡(luò)層安全設(shè)計(jì)策略 外聯(lián)業(yè)務(wù)平臺安全設(shè)計(jì)的重點(diǎn)就是如何進(jìn)行網(wǎng)絡(luò)層的安全防護(hù)，在網(wǎng)絡(luò)層我們采用了防火墻技術(shù)、入侵檢測技術(shù)、VPN技術(shù)、IPSec技術(shù)、訪問控制技術(shù)等多種安全技術(shù)進(jìn)行網(wǎng)絡(luò)層的安全防護(hù)?！ 。?）部署邊界防火墻和內(nèi)部防火墻 在總行、一級分行、二級分行各級外聯(lián)接入點(diǎn)的邊界都應(yīng)安裝邊界防火墻，邊界防火墻的任務(wù)有： 通過對源地址過濾，拒絕外部非法IP地址，有效地避免外部網(wǎng)絡(luò)上與業(yè)務(wù)無關(guān)的主機(jī)的越權(quán)訪問，防火墻只保留有用的服務(wù)； 關(guān)閉其他不要的服務(wù)，可將系統(tǒng)受攻擊的可能性降低到最小限度，使黑客無機(jī)可乘； 制定訪問策略，使只有被授權(quán)的外部主機(jī)可以訪問內(nèi)部網(wǎng)絡(luò)的有限的IP地址，保證外部網(wǎng)絡(luò)只能訪問內(nèi)部網(wǎng)絡(luò)中必要的資源，與業(yè)務(wù)無關(guān)的操作將被拒絕。 由于外部網(wǎng)絡(luò)對DMZ區(qū)主機(jī)的所有訪問都要經(jīng)過防火墻，防火墻可以全面監(jiān)視外部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)的訪問活動，并進(jìn)行詳細(xì)地記錄，通過分析可以發(fā)現(xiàn)可疑的攻擊行為； 對于遠(yuǎn)程登錄的用戶，如telnet等，防火墻利用加強(qiáng)的認(rèn)證功能，可以有效地防止非法入侵； 集中管理網(wǎng)絡(luò)的安全策略，因此黑客無法通過更改某一臺主機(jī)的安全策略來達(dá)到控制其他資源，獲取訪問權(quán)限的目的； 進(jìn)行地址轉(zhuǎn)換工作，使外部網(wǎng)絡(luò)不能看到內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)，從而使黑客攻擊失去目標(biāo)?！ ≡趦?nèi)部網(wǎng)和業(yè)務(wù)前置區(qū)之間部署內(nèi)部防火墻，內(nèi)部防火墻的任務(wù)有： 精確制定每個用戶的訪問權(quán)限，保證內(nèi)部網(wǎng)絡(luò)用戶只能訪問必要的資源 記錄網(wǎng)段間的訪問信息，及時發(fā)現(xiàn)誤操作和來自內(nèi)部網(wǎng)絡(luò)其他網(wǎng)段的攻擊行為。 ?。?）部署入侵檢測系統(tǒng) 入侵檢測是防火墻技術(shù)的重要補(bǔ)充，在不影響網(wǎng)絡(luò)的情況下能對網(wǎng)絡(luò)進(jìn)行檢測分析，從而對內(nèi)部攻擊、外部攻擊和誤
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1