【文章內(nèi)容簡介】 他專用輔助安全設(shè)備，如出現(xiàn)新的專用輔助安全設(shè)備，可參照6．1．2節(jié)的要求。a)手機短信動態(tài)密碼：基本要求：網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范開通手機動態(tài)密碼時，應(yīng)使用人工參與控制的可靠手段驗證客戶身份并登記手機號碼。更改手機號碼時，應(yīng)對客戶的身份進行有效驗證。手機動態(tài)密碼應(yīng)隨機產(chǎn)生，長度不應(yīng)少于6位。應(yīng)設(shè)定手機動態(tài)密碼的有效時間，最長不超過10分鐘，超過有效時間應(yīng)立即作廢。交易的關(guān)鍵信息、應(yīng)與動態(tài)密碼一起發(fā)送給客戶，并提示客戶確認。b)指紋識別：基本要求：如果通過指紋鑒別客戶身份，應(yīng)防止指紋數(shù)據(jù)被記錄和重放。禁止在遠程身份鑒別中采用指紋識別。近距離身份鑒別(例如，使用專用輔助安全設(shè)備對使用者的身份鑒別)可采用指紋識別。 網(wǎng)絡(luò)通信安全本部分內(nèi)容指數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中采用的通訊協(xié)議和安全認證方式，不包括網(wǎng)絡(luò)基礎(chǔ)設(shè)施方面的內(nèi)容。 基本要求：a)應(yīng)使用強壯的加密算法和安全協(xié)議保護客戶端與服務(wù)器之間所有連接，例如，使用SSL/TLS和IPSEC協(xié)議。b)如果使用SSL協(xié)議，取消網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范對低版本協(xié)議的支持。c)客戶端到服務(wù)器的SSL加密密鑰長度應(yīng)不低于128位；用于簽名的RSA密鑰長度應(yīng)不低于1024位，用于簽名的ECC密鑰長度應(yīng)不低于160位。d)應(yīng)可防止對交易報文的重放攻擊。 安全認證 ：a)網(wǎng)上銀行服務(wù)器與客戶端應(yīng)進行雙向身份認證。b)整個通訊期間，經(jīng)過認證的通訊線路應(yīng)一直保持安全連接狀態(tài)。c)網(wǎng)上銀行系統(tǒng)應(yīng)可判斷客戶的空閑狀態(tài)，當(dāng)空閑超過一定時間后，自動關(guān)閉當(dāng)前連接，客戶再次操作時必須重新登錄。d)應(yīng)確?？蛻臬@取的金融機構(gòu)Web服務(wù)器的根證書真實有效，可采用的方法包括但不限于：在客戶開通網(wǎng)上銀行時分發(fā)根證書，或?qū)⒏C書集成在客戶端控件下載包中分發(fā)等。B．增強要求：a)網(wǎng)上銀行系統(tǒng)應(yīng)判斷同一次登錄后的所有操作必須使用同一IP地址和MAC地址，否則服務(wù)器端自動終止會話。b)金融機構(gòu)應(yīng)使用獲得國家主管部門認定的具有電子認證服務(wù)許可證的CA證書及認證服務(wù)。6．1．4服務(wù)器端安全 6．1．4．1網(wǎng)絡(luò)架構(gòu)安全 基本要求：網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范a)合理部署網(wǎng)上銀行系統(tǒng)的網(wǎng)絡(luò)架構(gòu)：合理劃分網(wǎng)絡(luò)區(qū)域，并將網(wǎng)上銀行網(wǎng)絡(luò)與辦公網(wǎng)及其他網(wǎng)絡(luò)進行隔離。維護與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓撲圖，并區(qū)分可信區(qū)域與不可信區(qū)域。采用IP偽裝技術(shù)隱藏內(nèi)部IP，防止內(nèi)部網(wǎng)絡(luò)被非法訪問。部署入侵檢測系統(tǒng)/入侵防御系統(tǒng)(IDS/IPS)，對網(wǎng)絡(luò)異常流量進行監(jiān)控。在所有互聯(lián)網(wǎng)入口以及隔離區(qū)(DMZ)與內(nèi)部網(wǎng)絡(luò)之間部署防火墻，對非業(yè)務(wù)必需的網(wǎng)絡(luò)數(shù)據(jù)進行過濾。采取措施保障關(guān)鍵服務(wù)器時間同步，例如，設(shè)置網(wǎng)絡(luò)時間協(xié)議(NTP)服務(wù)器?；ヂ?lián)網(wǎng)接入應(yīng)采用不同電信運營商線路，相互備份且互不影響。核心層、匯聚層的設(shè)備和重要的接入層設(shè)備均應(yīng)雙機熱備，例如，核心交換機、服務(wù)器群接入交換機、重要業(yè)務(wù)管理終端接入交換機、核心路由器、防火墻、均衡負載器、帶寬管理器及其他相關(guān)重要設(shè)備。保證網(wǎng)絡(luò)帶寬和網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期和業(yè)務(wù)發(fā)展需要。b)訪問控制：在網(wǎng)絡(luò)結(jié)構(gòu)上實現(xiàn)網(wǎng)問的訪問控制，采取技術(shù)手段控制網(wǎng)絡(luò)訪問權(quán)限。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范應(yīng)對重要主機的IP地址與MAC地址進行綁定。禁止將管理終端主機直接接入核心交換機、匯聚層交換機、服務(wù)器群交換機、網(wǎng)間互聯(lián)邊界接入交換機和其他專用交換機。明確業(yè)務(wù)必需的服務(wù)和端口，不應(yīng)開放多余的服務(wù)和端口。禁止開放遠程撥號訪問。c)網(wǎng)絡(luò)設(shè)備的管理規(guī)范和安全策略：將關(guān)鍵或敏感的網(wǎng)絡(luò)設(shè)備存放在安全區(qū)域，應(yīng)使用相應(yīng)的安全防護設(shè)備和準(zhǔn)入控制手段以及有明確標(biāo)志的安全隔離帶進行保護。應(yīng)更改網(wǎng)絡(luò)安全設(shè)備的初始密碼和默認設(shè)置。在業(yè)務(wù)終端與服務(wù)器之間通過路由控制建立安全的訪問路徑。指定專人負責(zé)防火墻、路由器和IDS/IPS的配置與管理，按季定期審核配置規(guī)則。所有設(shè)備的安全配置都必須經(jīng)過審批。在變更防火墻、路由器和IDS/IPS配置規(guī)則之前，確保更改已進行驗證和審批。d)安全審計和日志：應(yīng)對網(wǎng)絡(luò)設(shè)備的運行狀況、網(wǎng)絡(luò)流量、管理員行為等信息進行日志記錄，日志至少保存3個月。審計記錄應(yīng)包括但不限于：事件發(fā)生的時間、相關(guān)操作人員、事件類型、事件是否成功及其他與審計相關(guān)的信息。應(yīng)根據(jù)記錄進行安全分析，并生成審計報表。應(yīng)對審計記錄進行保護，避免被未授權(quán)刪除、修改或者覆蓋。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范e)入侵防范：應(yīng)嚴格限制下載和使用免費軟件或共享軟件，應(yīng)確保服務(wù)器系統(tǒng)安裝的軟件來源可靠，且在使剛前進行測試。所有外部存儲設(shè)備(軟盤、移動硬盤、U盤等)在使用前應(yīng)進行病毒掃描。制訂合理的IDS/IPS的安全配置策略，并指定專人定期進行安全事件分析和安全策略配置優(yōu)化。應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視并記錄以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等。當(dāng)檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目標(biāo)和攻擊時間，在發(fā)生嚴重入侵事件時應(yīng)提供報警或自動采取防御措施?；拘途W(wǎng)絡(luò)防護架構(gòu)參考圖和增強型絡(luò)防護架構(gòu)參考圖分別見附1和附2。 系統(tǒng)設(shè)計安全 A．基本要求：A)敏感客戶參數(shù)修改(包括但不限于密碼、轉(zhuǎn)賬限額、地址以及電話聯(lián)系方式)應(yīng)在一次登錄過程中進行二次認證(包括但不限于靜態(tài)密碼+動態(tài)密碼)。b)網(wǎng)上銀行系統(tǒng)應(yīng)具有保存和顯示客戶歷史登錄信息(例如時間、IP地址、MAC地址等)的功能，支持客戶查詢登錄(包括成功登錄和網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范失敗登錄)、交易等歷史操作。c)網(wǎng)上銀行系統(tǒng)應(yīng)根據(jù)業(yè)務(wù)必需的原則向客戶端提供數(shù)據(jù)，禁止提供不必要的數(shù)據(jù)。d)在顯示經(jīng)認證成功后的客戶身份證件信息時，應(yīng)屏蔽部分關(guān)鍵內(nèi) 容。e)網(wǎng)上銀行系統(tǒng)應(yīng)具有詳細的交易流水查詢功能，包括但不限于日期、時間、交易卡號、交易金額和資金余額等信息。f)網(wǎng)上銀行系統(tǒng)應(yīng)具有賬戶信息變動提醒功能，可使用手機短信、電子郵件等方式實時告知客戶其賬戶的資金變化、密碼修改等重要信息。g)網(wǎng)上銀行系統(tǒng)應(yīng)具有防網(wǎng)絡(luò)釣魚的功能，例如顯示客戶預(yù)留信息等。B．增強要求：a)網(wǎng)上銀行系統(tǒng)應(yīng)具有設(shè)置交易限額的功能并且具有默認的金額上限。b)網(wǎng)上銀行系統(tǒng)應(yīng)支持批量銀行賬號查詢功能和線索排查功能。 web應(yīng)用安全： a)資源控制：應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進行限制。應(yīng)能夠?qū)蝹€用的多重并發(fā)會話進行限制。應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范當(dāng)應(yīng)用系統(tǒng)通信雙方中的一方在指定時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話b)編碼規(guī)范約束：應(yīng)依據(jù)安全規(guī)范編寫代碼，例如，在應(yīng)用系統(tǒng)開發(fā)中，不能在程序中寫入固定密鑰。在應(yīng)用系統(tǒng)上線前，應(yīng)對程序代碼進行代碼復(fù)審，識別可能的后門程序、惡意代碼和安全漏洞，例如，緩沖區(qū)溢出漏洞。c)會話安全：會話標(biāo)識應(yīng)隨機并且唯一。會話過程中應(yīng)維持認證狀態(tài)，防止客戶通過直接輸入登錄后的地址訪問登錄后的頁面。轉(zhuǎn)賬交易后，應(yīng)確保使用瀏覽器的“后退”功能無法查看上一交易頁面的重要客戶信息。 網(wǎng)上銀行系統(tǒng)Web服務(wù)器應(yīng)用程序應(yīng)設(shè)置客戶登錄網(wǎng)上銀行后的空閑時間，當(dāng)超過指定時間，應(yīng)自動終止會話。d)源代碼管理：源代碼應(yīng)備份在只讀介質(zhì)中(例如光盤)。應(yīng)嚴格控制對生產(chǎn)版本源代碼的訪問。應(yīng)對生產(chǎn)庫源代碼版本進行控制，保證當(dāng)前系統(tǒng)始終為最新的穩(wěn)定版本。e)防止敏感信息泄漏：在網(wǎng)上銀行系統(tǒng)上線前，應(yīng)刪除Web目錄下所有測試腳本、網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范程序。如果在生產(chǎn)服務(wù)器上保留部分與Web應(yīng)用程序無關(guān)的文件，應(yīng)為其創(chuàng)建單獨的目錄，使其與Web應(yīng)用程序隔離，并對此目錄進行嚴格的訪問控制。禁止在Web應(yīng)剛程序錯誤提示中包含詳細信息，不向客戶顯示調(diào)試信息。禁止在Web應(yīng)用服務(wù)器端保存客戶敏感信息。應(yīng)對網(wǎng)上銀行系統(tǒng)Web服務(wù)器設(shè)置嚴格的目錄訪問權(quán)限，防止未授權(quán)訪問。統(tǒng)一目錄訪問的出錯提示信息，例如，對于不存在的目錄或禁止訪問的目錄均以“目錄不存在”提示客戶。禁止目錄列表瀏覽，防止網(wǎng)上銀行站點重要數(shù)據(jù)被未授權(quán)下載。f)防止SQ注入攻擊： 網(wǎng)上銀行系統(tǒng)Web服務(wù)器應(yīng)用程序應(yīng)對客戶提交的所有表單、參數(shù)進行有效的合法性判斷和非法字符過濾，防止攻擊者惡意構(gòu)造SQL語句實施注入攻擊。禁止僅在客戶端以腳本形式對客戶的輸入進行合法性判斷和參數(shù)字符過濾。數(shù)據(jù)庫應(yīng)盡量使用存儲過程或參數(shù)化查詢，并嚴格定義數(shù)據(jù)庫用戶的角色和權(quán)限。g)防止跨站腳本攻擊：應(yīng)通過嚴格限制客戶端可提交的數(shù)據(jù)類型以及對提交的數(shù)據(jù)進網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范行有效性檢查等有效措施防止跨站腳本注入。h)防止拒絕服務(wù)攻擊：應(yīng)防范對網(wǎng)上銀行服務(wù)器端的DOS/DDOS攻擊?？蓞⒖嫉募庸檀胧┌ǖ幌抻冢号c電信運營商簽署I)OS/DDOS防護協(xié)議。防火墻只開啟業(yè)務(wù)必需的端口并開啟DOS/DDOS防護功能。使用DOS/DDOS防護設(shè)備。使用IDS/IPS設(shè)備監(jiān)控并阻斷惡意流量。使用負載均衡設(shè)備。 數(shù)據(jù)安全 A．基本要求： a)身份鑒別：應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫的用戶進行身份標(biāo)識和鑒別，嚴禁匿名登錄。應(yīng)用系統(tǒng)應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會話。限制非法登錄次數(shù)和自動退出等措施。為不同的操作系統(tǒng)和數(shù)據(jù)庫訪問用戶分配不同的賬號并設(shè)置不同的初始密碼，禁止共享賬號和密碼。首次登錄應(yīng)用系統(tǒng)或操作系統(tǒng)時應(yīng)強制修改密碼，定期更改密碼。應(yīng)要求用戶的密碼長度最低為6位，密碼必須包含字母和數(shù)字并且最長有效期為6個月。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范應(yīng)確保對密碼進行強效加密保護，不允許明文密碼出現(xiàn)。在收到用戶重置密碼的請求后，應(yīng)先對用戶身份進行核實再進行后續(xù)操作。對服務(wù)器進行遠程管理時，應(yīng)采取