【文章內(nèi)容簡介】 他專用輔助安全設(shè)備，如出現(xiàn)新的專用輔助安全設(shè)備，可參照6．1．2節(jié)的要求。a)手機(jī)短信動(dòng)態(tài)密碼：基本要求：網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范開通手機(jī)動(dòng)態(tài)密碼時(shí)，應(yīng)使用人工參與控制的可靠手段驗(yàn)證客戶身份并登記手機(jī)號(hào)碼。更改手機(jī)號(hào)碼時(shí)，應(yīng)對(duì)客戶的身份進(jìn)行有效驗(yàn)證。手機(jī)動(dòng)態(tài)密碼應(yīng)隨機(jī)產(chǎn)生，長度不應(yīng)少于6位。應(yīng)設(shè)定手機(jī)動(dòng)態(tài)密碼的有效時(shí)間，最長不超過10分鐘，超過有效時(shí)間應(yīng)立即作廢。交易的關(guān)鍵信息、應(yīng)與動(dòng)態(tài)密碼一起發(fā)送給客戶，并提示客戶確認(rèn)。b)指紋識(shí)別：基本要求：如果通過指紋鑒別客戶身份，應(yīng)防止指紋數(shù)據(jù)被記錄和重放。禁止在遠(yuǎn)程身份鑒別中采用指紋識(shí)別。近距離身份鑒別(例如，使用專用輔助安全設(shè)備對(duì)使用者的身份鑒別)可采用指紋識(shí)別。 網(wǎng)絡(luò)通信安全本部分內(nèi)容指數(shù)據(jù)在網(wǎng)絡(luò)傳輸過程中采用的通訊協(xié)議和安全認(rèn)證方式，不包括網(wǎng)絡(luò)基礎(chǔ)設(shè)施方面的內(nèi)容。 基本要求：a)應(yīng)使用強(qiáng)壯的加密算法和安全協(xié)議保護(hù)客戶端與服務(wù)器之間所有連接，例如，使用SSL/TLS和IPSEC協(xié)議。b)如果使用SSL協(xié)議，取消網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范對(duì)低版本協(xié)議的支持。c)客戶端到服務(wù)器的SSL加密密鑰長度應(yīng)不低于128位；用于簽名的RSA密鑰長度應(yīng)不低于1024位，用于簽名的ECC密鑰長度應(yīng)不低于160位。d)應(yīng)可防止對(duì)交易報(bào)文的重放攻擊。 安全認(rèn)證 ：a)網(wǎng)上銀行服務(wù)器與客戶端應(yīng)進(jìn)行雙向身份認(rèn)證。b)整個(gè)通訊期間，經(jīng)過認(rèn)證的通訊線路應(yīng)一直保持安全連接狀態(tài)。c)網(wǎng)上銀行系統(tǒng)應(yīng)可判斷客戶的空閑狀態(tài)，當(dāng)空閑超過一定時(shí)間后，自動(dòng)關(guān)閉當(dāng)前連接，客戶再次操作時(shí)必須重新登錄。d)應(yīng)確?？蛻臬@取的金融機(jī)構(gòu)Web服務(wù)器的根證書真實(shí)有效，可采用的方法包括但不限于：在客戶開通網(wǎng)上銀行時(shí)分發(fā)根證書，或?qū)⒏C書集成在客戶端控件下載包中分發(fā)等。B．增強(qiáng)要求：a)網(wǎng)上銀行系統(tǒng)應(yīng)判斷同一次登錄后的所有操作必須使用同一IP地址和MAC地址，否則服務(wù)器端自動(dòng)終止會(huì)話。b)金融機(jī)構(gòu)應(yīng)使用獲得國家主管部門認(rèn)定的具有電子認(rèn)證服務(wù)許可證的CA證書及認(rèn)證服務(wù)。6．1．4服務(wù)器端安全 6．1．4．1網(wǎng)絡(luò)架構(gòu)安全 基本要求：網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范a)合理部署網(wǎng)上銀行系統(tǒng)的網(wǎng)絡(luò)架構(gòu)：合理劃分網(wǎng)絡(luò)區(qū)域，并將網(wǎng)上銀行網(wǎng)絡(luò)與辦公網(wǎng)及其他網(wǎng)絡(luò)進(jìn)行隔離。維護(hù)與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)鋱D，并區(qū)分可信區(qū)域與不可信區(qū)域。采用IP偽裝技術(shù)隱藏內(nèi)部IP，防止內(nèi)部網(wǎng)絡(luò)被非法訪問。部署入侵檢測系統(tǒng)/入侵防御系統(tǒng)(IDS/IPS)，對(duì)網(wǎng)絡(luò)異常流量進(jìn)行監(jiān)控。在所有互聯(lián)網(wǎng)入口以及隔離區(qū)(DMZ)與內(nèi)部網(wǎng)絡(luò)之間部署防火墻，對(duì)非業(yè)務(wù)必需的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行過濾。采取措施保障關(guān)鍵服務(wù)器時(shí)間同步，例如，設(shè)置網(wǎng)絡(luò)時(shí)間協(xié)議(NTP)服務(wù)器?；ヂ?lián)網(wǎng)接入應(yīng)采用不同電信運(yùn)營商線路，相互備份且互不影響。核心層、匯聚層的設(shè)備和重要的接入層設(shè)備均應(yīng)雙機(jī)熱備，例如，核心交換機(jī)、服務(wù)器群接入交換機(jī)、重要業(yè)務(wù)管理終端接入交換機(jī)、核心路由器、防火墻、均衡負(fù)載器、帶寬管理器及其他相關(guān)重要設(shè)備。保證網(wǎng)絡(luò)帶寬和網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期和業(yè)務(wù)發(fā)展需要。b)訪問控制：在網(wǎng)絡(luò)結(jié)構(gòu)上實(shí)現(xiàn)網(wǎng)問的訪問控制，采取技術(shù)手段控制網(wǎng)絡(luò)訪問權(quán)限。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范應(yīng)對(duì)重要主機(jī)的IP地址與MAC地址進(jìn)行綁定。禁止將管理終端主機(jī)直接接入核心交換機(jī)、匯聚層交換機(jī)、服務(wù)器群交換機(jī)、網(wǎng)間互聯(lián)邊界接入交換機(jī)和其他專用交換機(jī)。明確業(yè)務(wù)必需的服務(wù)和端口，不應(yīng)開放多余的服務(wù)和端口。禁止開放遠(yuǎn)程撥號(hào)訪問。c)網(wǎng)絡(luò)設(shè)備的管理規(guī)范和安全策略：將關(guān)鍵或敏感的網(wǎng)絡(luò)設(shè)備存放在安全區(qū)域，應(yīng)使用相應(yīng)的安全防護(hù)設(shè)備和準(zhǔn)入控制手段以及有明確標(biāo)志的安全隔離帶進(jìn)行保護(hù)。應(yīng)更改網(wǎng)絡(luò)安全設(shè)備的初始密碼和默認(rèn)設(shè)置。在業(yè)務(wù)終端與服務(wù)器之間通過路由控制建立安全的訪問路徑。指定專人負(fù)責(zé)防火墻、路由器和IDS/IPS的配置與管理，按季定期審核配置規(guī)則。所有設(shè)備的安全配置都必須經(jīng)過審批。在變更防火墻、路由器和IDS/IPS配置規(guī)則之前，確保更改已進(jìn)行驗(yàn)證和審批。d)安全審計(jì)和日志：應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的運(yùn)行狀況、網(wǎng)絡(luò)流量、管理員行為等信息進(jìn)行日志記錄，日志至少保存3個(gè)月。審計(jì)記錄應(yīng)包括但不限于：事件發(fā)生的時(shí)間、相關(guān)操作人員、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。應(yīng)根據(jù)記錄進(jìn)行安全分析，并生成審計(jì)報(bào)表。應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免被未授權(quán)刪除、修改或者覆蓋。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范e)入侵防范：應(yīng)嚴(yán)格限制下載和使用免費(fèi)軟件或共享軟件，應(yīng)確保服務(wù)器系統(tǒng)安裝的軟件來源可靠，且在使剛前進(jìn)行測試。所有外部存儲(chǔ)設(shè)備(軟盤、移動(dòng)硬盤、U盤等)在使用前應(yīng)進(jìn)行病毒掃描。制訂合理的IDS/IPS的安全配置策略，并指定專人定期進(jìn)行安全事件分析和安全策略配置優(yōu)化。應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視并記錄以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等。當(dāng)檢測到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目標(biāo)和攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警或自動(dòng)采取防御措施?；拘途W(wǎng)絡(luò)防護(hù)架構(gòu)參考圖和增強(qiáng)型絡(luò)防護(hù)架構(gòu)參考圖分別見附1和附2。 系統(tǒng)設(shè)計(jì)安全 A．基本要求：A)敏感客戶參數(shù)修改(包括但不限于密碼、轉(zhuǎn)賬限額、地址以及電話聯(lián)系方式)應(yīng)在一次登錄過程中進(jìn)行二次認(rèn)證(包括但不限于靜態(tài)密碼+動(dòng)態(tài)密碼)。b)網(wǎng)上銀行系統(tǒng)應(yīng)具有保存和顯示客戶歷史登錄信息(例如時(shí)間、IP地址、MAC地址等)的功能，支持客戶查詢登錄(包括成功登錄和網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范失敗登錄)、交易等歷史操作。c)網(wǎng)上銀行系統(tǒng)應(yīng)根據(jù)業(yè)務(wù)必需的原則向客戶端提供數(shù)據(jù)，禁止提供不必要的數(shù)據(jù)。d)在顯示經(jīng)認(rèn)證成功后的客戶身份證件信息時(shí)，應(yīng)屏蔽部分關(guān)鍵內(nèi) 容。e)網(wǎng)上銀行系統(tǒng)應(yīng)具有詳細(xì)的交易流水查詢功能，包括但不限于日期、時(shí)間、交易卡號(hào)、交易金額和資金余額等信息。f)網(wǎng)上銀行系統(tǒng)應(yīng)具有賬戶信息變動(dòng)提醒功能，可使用手機(jī)短信、電子郵件等方式實(shí)時(shí)告知客戶其賬戶的資金變化、密碼修改等重要信息。g)網(wǎng)上銀行系統(tǒng)應(yīng)具有防網(wǎng)絡(luò)釣魚的功能，例如顯示客戶預(yù)留信息等。B．增強(qiáng)要求：a)網(wǎng)上銀行系統(tǒng)應(yīng)具有設(shè)置交易限額的功能并且具有默認(rèn)的金額上限。b)網(wǎng)上銀行系統(tǒng)應(yīng)支持批量銀行賬號(hào)查詢功能和線索排查功能。 web應(yīng)用安全： a)資源控制：應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制。應(yīng)能夠?qū)蝹€(gè)用的多重并發(fā)會(huì)話進(jìn)行限制。應(yīng)能夠?qū)σ粋€(gè)時(shí)間段內(nèi)可能的并發(fā)會(huì)話連接數(shù)進(jìn)行限制。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范當(dāng)應(yīng)用系統(tǒng)通信雙方中的一方在指定時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動(dòng)結(jié)束會(huì)話b)編碼規(guī)范約束：應(yīng)依據(jù)安全規(guī)范編寫代碼，例如，在應(yīng)用系統(tǒng)開發(fā)中，不能在程序中寫入固定密鑰。在應(yīng)用系統(tǒng)上線前，應(yīng)對(duì)程序代碼進(jìn)行代碼復(fù)審，識(shí)別可能的后門程序、惡意代碼和安全漏洞，例如，緩沖區(qū)溢出漏洞。c)會(huì)話安全：會(huì)話標(biāo)識(shí)應(yīng)隨機(jī)并且唯一。會(huì)話過程中應(yīng)維持認(rèn)證狀態(tài)，防止客戶通過直接輸入登錄后的地址訪問登錄后的頁面。轉(zhuǎn)賬交易后，應(yīng)確保使用瀏覽器的“后退”功能無法查看上一交易頁面的重要客戶信息。 網(wǎng)上銀行系統(tǒng)Web服務(wù)器應(yīng)用程序應(yīng)設(shè)置客戶登錄網(wǎng)上銀行后的空閑時(shí)間，當(dāng)超過指定時(shí)間，應(yīng)自動(dòng)終止會(huì)話。d)源代碼管理：源代碼應(yīng)備份在只讀介質(zhì)中(例如光盤)。應(yīng)嚴(yán)格控制對(duì)生產(chǎn)版本源代碼的訪問。應(yīng)對(duì)生產(chǎn)庫源代碼版本進(jìn)行控制，保證當(dāng)前系統(tǒng)始終為最新的穩(wěn)定版本。e)防止敏感信息泄漏：在網(wǎng)上銀行系統(tǒng)上線前，應(yīng)刪除Web目錄下所有測試腳本、網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范程序。如果在生產(chǎn)服務(wù)器上保留部分與Web應(yīng)用程序無關(guān)的文件，應(yīng)為其創(chuàng)建單獨(dú)的目錄，使其與Web應(yīng)用程序隔離，并對(duì)此目錄進(jìn)行嚴(yán)格的訪問控制。禁止在Web應(yīng)剛程序錯(cuò)誤提示中包含詳細(xì)信息，不向客戶顯示調(diào)試信息。禁止在Web應(yīng)用服務(wù)器端保存客戶敏感信息。應(yīng)對(duì)網(wǎng)上銀行系統(tǒng)Web服務(wù)器設(shè)置嚴(yán)格的目錄訪問權(quán)限，防止未授權(quán)訪問。統(tǒng)一目錄訪問的出錯(cuò)提示信息，例如，對(duì)于不存在的目錄或禁止訪問的目錄均以“目錄不存在”提示客戶。禁止目錄列表瀏覽，防止網(wǎng)上銀行站點(diǎn)重要數(shù)據(jù)被未授權(quán)下載。f)防止SQ注入攻擊： 網(wǎng)上銀行系統(tǒng)Web服務(wù)器應(yīng)用程序應(yīng)對(duì)客戶提交的所有表單、參數(shù)進(jìn)行有效的合法性判斷和非法字符過濾，防止攻擊者惡意構(gòu)造SQL語句實(shí)施注入攻擊。禁止僅在客戶端以腳本形式對(duì)客戶的輸入進(jìn)行合法性判斷和參數(shù)字符過濾。數(shù)據(jù)庫應(yīng)盡量使用存儲(chǔ)過程或參數(shù)化查詢，并嚴(yán)格定義數(shù)據(jù)庫用戶的角色和權(quán)限。g)防止跨站腳本攻擊：應(yīng)通過嚴(yán)格限制客戶端可提交的數(shù)據(jù)類型以及對(duì)提交的數(shù)據(jù)進(jìn)網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范行有效性檢查等有效措施防止跨站腳本注入。h)防止拒絕服務(wù)攻擊：應(yīng)防范對(duì)網(wǎng)上銀行服務(wù)器端的DOS/DDOS攻擊。可參考的加固措施包括但不限于：與電信運(yùn)營商簽署I)OS/DDOS防護(hù)協(xié)議。防火墻只開啟業(yè)務(wù)必需的端口并開啟DOS/DDOS防護(hù)功能。使用DOS/DDOS防護(hù)設(shè)備。使用IDS/IPS設(shè)備監(jiān)控并阻斷惡意流量。使用負(fù)載均衡設(shè)備。 數(shù)據(jù)安全 A．基本要求： a)身份鑒別：應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，嚴(yán)禁匿名登錄。應(yīng)用系統(tǒng)應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話。限制非法登錄次數(shù)和自動(dòng)退出等措施。為不同的操作系統(tǒng)和數(shù)據(jù)庫訪問用戶分配不同的賬號(hào)并設(shè)置不同的初始密碼，禁止共享賬號(hào)和密碼。首次登錄應(yīng)用系統(tǒng)或操作系統(tǒng)時(shí)應(yīng)強(qiáng)制修改密碼，定期更改密碼。應(yīng)要求用戶的密碼長度最低為6位，密碼必須包含字母和數(shù)字并且最長有效期為6個(gè)月。網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范應(yīng)確保對(duì)密碼進(jìn)行強(qiáng)效加密保護(hù)，不允許明文密碼出現(xiàn)。在收到用戶重置密碼的請(qǐng)求后，應(yīng)先對(duì)用戶身份進(jìn)行核實(shí)再進(jìn)行后續(xù)操作。對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取