【文章內(nèi)容簡介】 ，在省聯(lián)社總部、各地市聯(lián)社、各區(qū)縣聯(lián)社、分理處對不同系統(tǒng)劃分不同安全域。 ? 訪問控制措施 對安全等級較高的安全域，在其邊界部署防火墻，對安全等級較低的安全域的邊界則可以使用 VLAN 或訪問控制列表來代替。根據(jù)對 XXX 銀行整體網(wǎng)絡(luò)的區(qū)域劃分，我們將在不同安全域邊界采用不同的訪問控制措施：? 在生產(chǎn)網(wǎng)與辦公網(wǎng)之間采用防火墻提供訪問控制，只允許業(yè)務(wù)相關(guān)的訪問，拒絕其他所有訪問；? 在生產(chǎn)網(wǎng)與網(wǎng)上銀行網(wǎng)絡(luò)之間采用防火墻提供訪問控制，只允許業(yè)務(wù)相關(guān)的訪問，拒絕其他所有訪問；? 在生產(chǎn)網(wǎng)與相關(guān)單位網(wǎng)絡(luò)之間采用防火墻提供訪問控制，只允許業(yè)務(wù)相關(guān)的訪問，拒絕其他所有訪問；? 在網(wǎng)上銀行網(wǎng)絡(luò)與互聯(lián)網(wǎng)之間采用防火墻提供訪問控制，除允許互聯(lián)網(wǎng)用戶訪問網(wǎng)銀門戶網(wǎng)站、允許互聯(lián)網(wǎng)認(rèn)證用戶訪問網(wǎng)銀 WEB 及允許網(wǎng)銀 WEB 服務(wù)器/SSL 加速器訪問互聯(lián)網(wǎng)上的 CFCA 之外，拒絕其他所有訪問；? 在生產(chǎn)網(wǎng)的生產(chǎn)區(qū)域（一線業(yè)務(wù)）與其他區(qū)域之間采用防火墻提供訪問控制，13 / 34只允許業(yè)務(wù)相關(guān)的訪問，拒絕其他所有訪問；? 在生產(chǎn)網(wǎng)的其他各區(qū)域之間利用三層交換機劃分虛擬子網(wǎng)及進行簡單包過濾，做到較簡單的訪問控制；2．防拒絕服務(wù)攻擊在網(wǎng)上銀行系統(tǒng)與 Inter 出口邊界處，配備抗 DoS 攻擊網(wǎng)關(guān)系統(tǒng)，以抵御來自互聯(lián)網(wǎng)的各種拒絕服務(wù)攻擊和分布式拒絕服務(wù)攻擊。 3．網(wǎng)絡(luò)入侵檢測在網(wǎng)上銀行系統(tǒng)和總行業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)中部署入侵檢測系統(tǒng)，實時檢測、分析網(wǎng)絡(luò)上的通訊數(shù)據(jù)流，尤其是對進出安全域邊界或進出存放有涉密信息的關(guān)鍵網(wǎng)段、服務(wù)器主機的通訊數(shù)據(jù)流進行監(jiān)控，及時發(fā)現(xiàn)違規(guī)行為和異常行為并進行處理。網(wǎng)絡(luò)入侵檢測系統(tǒng)可實現(xiàn)如下功能： ? 網(wǎng)絡(luò)信息包嗅探。以旁路監(jiān)聽方式秘密運行，使攻擊者無法感知到。黑客常常在沒有覺察的情況下被抓獲，因為他們不知道他們一直受到密切監(jiān)視。? 網(wǎng)絡(luò)訪問監(jiān)控。根據(jù)實際業(yè)務(wù)需要定制相關(guān)規(guī)則，可以定義哪些主機或網(wǎng)段可以或不可以訪問網(wǎng)絡(luò)上的特定資源，可以定義訪問時間段，對特定的非法訪問行為或除特定合法訪問行為之外的所有訪問行為進行監(jiān)控，一旦發(fā)現(xiàn)違規(guī)行為則根據(jù)事先定義的響應(yīng)策略進行報警、阻斷或聯(lián)動的相應(yīng)，以保證只有授權(quán)用戶才可以訪問特定網(wǎng)絡(luò)資源。? 應(yīng)用層攻擊特征檢測。提供詳盡、細(xì)粒度的應(yīng)用協(xié)議分析技術(shù)，實現(xiàn)應(yīng)用層攻擊檢測，可自動檢測網(wǎng)絡(luò)實時數(shù)據(jù)流中符合特征的攻擊行為，系統(tǒng)維護一個強大的攻擊特征庫，用戶可以定期更新，確保能夠檢測到最新的攻擊事件。? 蠕蟲檢測。實時跟蹤當(dāng)前最新的蠕蟲事件，針對已經(jīng)發(fā)現(xiàn)的蠕蟲攻擊及時提供相關(guān)事件規(guī)則。系統(tǒng)維護一個強大的蠕蟲特征庫，用戶可以定期更新，確保能夠檢測到最新的蠕蟲事件。對于存在系統(tǒng)漏洞但尚未發(fā)現(xiàn)相關(guān)蠕蟲事件的情況，通過分析漏洞來提供相關(guān)的入侵事件規(guī)則，最大限度地解決蠕蟲發(fā)現(xiàn)滯后的問題。? 可疑網(wǎng)絡(luò)活動檢測。即異常檢測，包括通過對在特定時間間隔內(nèi)超流量、超連接的數(shù)據(jù)包進行檢測等方式，實現(xiàn)對 DoS、掃描等攻擊事件的檢測。? 檢測隱藏在 SSL 加密通訊中的攻擊。通過解碼基于 SSL 加密的通訊數(shù)據(jù)，分析、14 / 34檢測基于 SSL 加密通訊的攻擊行為，從而可以保護提供 SSL 加密訪問的網(wǎng)銀 WEB服務(wù)器的安全性。? 日志審計。提供入侵日志和網(wǎng)絡(luò)流量日志記錄和綜合分析功能，并提供詳細(xì)的分析報告，使網(wǎng)絡(luò)管理員可以跟蹤用戶、應(yīng)用程序等對網(wǎng)絡(luò)的使用情況，幫助管理員改進網(wǎng)絡(luò)安全策略的規(guī)劃，并提供更精確的網(wǎng)絡(luò)安全控制。通過詳盡的審計記錄，可以在系統(tǒng)遭到惡意攻擊后，提供證據(jù)以提起法律訴訟。 ? 多網(wǎng)段同時監(jiān)控。入侵探測器支持多個網(wǎng)絡(luò)監(jiān)聽口，可以連接到多個網(wǎng)段中進行實時監(jiān)控，我們也可以在不同的網(wǎng)段分別部署多個探測引擎，管理員可以通過集中的管理控制臺對探測器上傳的信息進行統(tǒng)一查看，通過管理器進行綜合分析，并生成報表。4．入侵防御系統(tǒng)在生產(chǎn)網(wǎng)與網(wǎng)上銀行網(wǎng)絡(luò)之間、辦公網(wǎng)與互聯(lián)網(wǎng)之間分別部署入侵防御系統(tǒng)，對外界網(wǎng)絡(luò)黑客利用防火墻為合法的用戶訪問而開放的端口穿透防火墻對內(nèi)網(wǎng)發(fā)起的各種高級、復(fù)雜的攻擊行為進行檢測和阻斷。IPS 系統(tǒng)工作在第二層到第七層，通常使用特征匹配和異常分析的方法來識別各種網(wǎng)絡(luò)攻擊行為，因其是以在線串聯(lián)方式部署的，對檢測到的各種攻擊行為均可直接阻斷并生成日志報告和報警信息。5．漏洞掃描系統(tǒng)在生產(chǎn)網(wǎng)上部署一套漏洞掃描系統(tǒng)，定期對整個網(wǎng)絡(luò)，特別是關(guān)鍵主機及網(wǎng)絡(luò)設(shè)備進行漏洞掃描。這樣才能及時發(fā)現(xiàn)網(wǎng)絡(luò)中存在的漏洞和弱點，及時根據(jù)漏洞掃描系統(tǒng)提出的解決方案進行系統(tǒng)加固或安全策略調(diào)整。以實現(xiàn)防患于未然的目的。同時得到的掃描日志還可以提供給安全管理中心，作為對整個網(wǎng)絡(luò)健康狀況評估的一部分，使得管理員能夠機制準(zhǔn)確的把握網(wǎng)絡(luò)的運行狀況。 系統(tǒng)層安全建議6．病毒防范系統(tǒng) 在 XXX 銀行網(wǎng)絡(luò)系統(tǒng)可能的病毒攻擊點或通道中部署全方位的病毒防范系統(tǒng)，包括在網(wǎng)上銀行互聯(lián)網(wǎng)出口、網(wǎng)上銀行區(qū)域與業(yè)務(wù)區(qū)域之間、辦公區(qū)域的互聯(lián)網(wǎng)出口處部署網(wǎng)關(guān)15 / 34級防病毒設(shè)備，在整個網(wǎng)絡(luò)中的所有 WINDOWS 服務(wù)器和客戶端計算機上部署相應(yīng)平臺的網(wǎng)絡(luò)版防病毒軟件并配置防病毒系統(tǒng)管理中心對所有主機上的防病毒軟件進行集中管理、監(jiān)控、統(tǒng)一升級、集中查殺毒。 管理層安全建議7．綜合安全管理平臺和安全運營中心部署一套有效的網(wǎng)絡(luò)安全管理體系，采用集中的安全管理平臺，來對全網(wǎng)進行統(tǒng)一的安全管理和網(wǎng)絡(luò)管理，同時借助專業(yè)的第三方服務(wù)，在安全管理平臺的基礎(chǔ)上建立 XXX 銀行安全運營中心，對 XXX 銀行安全保障體系的建設(shè)起到推動作用，確保 XXX 銀行信息網(wǎng)絡(luò)信息系統(tǒng)內(nèi)部不發(fā)生安全事件、少發(fā)生安全事件或者發(fā)生安全事件時能夠及時處理減少由于安全事件帶來的損失。根據(jù) XXX 銀行的網(wǎng)絡(luò)結(jié)構(gòu)和區(qū)域劃分，我們將分別針對網(wǎng)上銀行、省和地市生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)進行安全體系設(shè)計。16 / 345 詳細(xì)網(wǎng)絡(luò)架構(gòu)及產(chǎn)品部署建議 網(wǎng)上銀行安全建議網(wǎng)上銀行的安全防護方案具體設(shè)計如下：在網(wǎng)銀區(qū)域與 Inter 之間插入一套抗 DoS 攻擊系統(tǒng)，對來自互聯(lián)網(wǎng)的 DDoS 攻擊流量進行清除，同時保證正常訪問流量的通過。網(wǎng)銀區(qū)域與 Inter 之間設(shè)置一套防火墻系統(tǒng)（外層防火墻） ，采用雙機熱備結(jié)構(gòu)，通過二層交換機連接抗 DoS 攻擊設(shè)備，將網(wǎng)銀 WEB 服務(wù)器保護在防火墻的一個單獨的安全區(qū)域中，并通過兩臺三層交換機連接內(nèi)部網(wǎng)絡(luò)。外層防火墻的主要作用是控制來自外網(wǎng)的訪問，只允許授權(quán)用戶訪問網(wǎng)銀服務(wù)的特定 IP 和端口，并通過 NAT 屏蔽服務(wù)器真實地址。防火墻采用透明工作模式。三層交換機提供缺省網(wǎng)關(guān)和局域網(wǎng)路由功能。使用一臺網(wǎng)絡(luò)入侵檢測設(shè)備，提供雙引擎，分別連接到網(wǎng)銀 WEB 區(qū)域和網(wǎng)銀 DB 區(qū)域的兩臺交換機上進行監(jiān)控，對網(wǎng)絡(luò)上傳輸?shù)拿舾袛?shù)據(jù)包（包括 SSL 加密數(shù)據(jù)）進行深層分析，可有效地發(fā)現(xiàn)防火墻無法識別的特殊的應(yīng)用層攻擊行為。網(wǎng)銀 WEB 區(qū)域與后臺數(shù)據(jù)庫/應(yīng)用服務(wù)器區(qū)域及信息中心網(wǎng)絡(luò)之間設(shè)置一套防火墻系統(tǒng)（內(nèi)層防火墻） ，一方面控制網(wǎng)銀 WEB 服務(wù)區(qū)與后臺 APP 服務(wù)區(qū)之間的訪問，只允許來自網(wǎng)銀 WEB 區(qū)服務(wù)器發(fā)起的特定訪問，禁止其他一切數(shù)據(jù)通訊；另一方面控制網(wǎng)銀 DB/APP服務(wù)區(qū)與內(nèi)部生產(chǎn)區(qū)域之間的訪問，只允許應(yīng)用相關(guān)的特定訪問，禁止其他一切數(shù)據(jù)通訊；采用與外部防火墻異構(gòu)的防火墻產(chǎn)品，即使攻擊者成功獲得外墻的控制權(quán)，也不能輕易攻入業(yè)務(wù)網(wǎng)絡(luò)。在內(nèi)層防火墻與內(nèi)網(wǎng)核心交換機之間串聯(lián)一組 UTM 設(shè)備，啟用 IPS 功能和防病毒功能，抵御來自互聯(lián)網(wǎng)及網(wǎng)銀區(qū)域的病毒、蠕蟲、惡意代碼及其他攻擊，雙機熱備。部署方式如下圖所示： 17 / 34圖 網(wǎng)上銀行安全解決方案部署圖18 / 34 省聯(lián)社生產(chǎn)網(wǎng)安全建議將信息中心按不同業(yè)務(wù)劃分多個網(wǎng)絡(luò)區(qū)域?？傂泄芾碇行木W(wǎng)絡(luò)與核心交換機之間不署一套防火墻系統(tǒng)，提供安全控制。對管理區(qū)域的訪問進行行為控制。總行生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)與企業(yè)客戶、協(xié)作單位網(wǎng)絡(luò)的互聯(lián)出口采用一套雙機防火墻系統(tǒng)提供安全控制，對來自外單位網(wǎng)絡(luò)的訪問行為進行控制。在總行生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)與辦公業(yè)務(wù)網(wǎng)絡(luò)核心交換機之間設(shè)置一套雙機防火墻系統(tǒng)，對從辦公網(wǎng)絡(luò)特定用戶到生產(chǎn)網(wǎng)絡(luò)特定區(qū)域上特定主機的訪問行為進行控制，同時除必須開放的連接外，禁止任何從生產(chǎn)網(wǎng)主動向辦公網(wǎng)發(fā)起的訪問請求。采用千兆 IDS 設(shè)備，分別連接到總行生產(chǎn)網(wǎng)兩臺核心交換機上，監(jiān)視和防范內(nèi)網(wǎng)上的違規(guī)訪問行為，主要監(jiān)聽進出生產(chǎn)區(qū)域及來自辦公網(wǎng)、下級單位和協(xié)作單位的流量。各地市生產(chǎn)網(wǎng)到總行生產(chǎn)網(wǎng)之間采用一套雙機防火墻系統(tǒng)提供安全控制。對來自各分支機構(gòu)網(wǎng)絡(luò)的訪問行為進行控制。區(qū)縣生產(chǎn)網(wǎng)、分理處等營業(yè)網(wǎng)點分別通過上級聯(lián)社生產(chǎn)網(wǎng)的轉(zhuǎn)發(fā)實現(xiàn)對總部數(shù)據(jù)中心系統(tǒng)的訪問。網(wǎng)上銀行網(wǎng)絡(luò)與生產(chǎn)網(wǎng)絡(luò)之間的訪問通過兩臺互備的 UTM 設(shè)備進行監(jiān)控。網(wǎng)絡(luò)結(jié)構(gòu)及安全設(shè)備部署方式如下圖： 19 / 34圖 省聯(lián)社生產(chǎn)網(wǎng)安全解決方案部署圖20 / 34 地市聯(lián)社生產(chǎn)網(wǎng)安全建議地市聯(lián)社生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)與企業(yè)客戶、協(xié)作單位網(wǎng)絡(luò)的互聯(lián)出口采用一套雙機防火墻系統(tǒng)提供安全控制，對來自外單位網(wǎng)絡(luò)的訪問行為進行控制。在地市生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)與辦公業(yè)務(wù)網(wǎng)絡(luò)核心交換機之間設(shè)置一套雙機防火墻系統(tǒng)，對從辦公網(wǎng)絡(luò)特定用