【正文】 。不遠(yuǎn)的將來，我們將逐步采用基于公開密鑰體制的數(shù)字 簽名方式。目前通過指紋加口令的方式 進(jìn)行驗(yàn)證，柜員的指紋和口令使用傳輸密鑰加密后才能傳輸。應(yīng)用系統(tǒng)層使用者主要是指系統(tǒng)用戶和客 戶。在網(wǎng)絡(luò) 通訊層，所有的網(wǎng)絡(luò)連接都必須通過身份標(biāo)識(shí)和口令驗(yàn)證，選用了具有接入控制 功能的路由器、訪問服務(wù) 器等設(shè)備，利用基于口令驗(yàn)證協(xié)議的驗(yàn)證機(jī)制，對(duì)廣域 網(wǎng)絡(luò)連接設(shè)備的身份進(jìn)行嚴(yán)格的驗(yàn)證。我省農(nóng)村信用社目 前只有三農(nóng)業(yè)務(wù)終端使用 VPN,在有線網(wǎng)絡(luò)中劃分了一塊邏輯分區(qū)來保障業(yè)務(wù)系 統(tǒng)的安全。加密是為了保證信息傳輸?shù)臋C(jī) 密性，認(rèn)證只通過安全用戶，安全路由用來防止路由欺騙和破壞。 劃分不同 VPN，保障各個(gè)系統(tǒng)的獨(dú)立性 根據(jù)甘肅省農(nóng)村信用社各個(gè)應(yīng)用系統(tǒng)的業(yè)務(wù)類型和屬性，我們?cè)趦?nèi)部網(wǎng)絡(luò)之 間，劃分了不同的 VPN，以此來保障各個(gè)業(yè)務(wù)系統(tǒng)安全的獨(dú)立性。所以，防火墻將允許所有的通信，然后逐 項(xiàng)將被禁止的，可能有危害的網(wǎng)絡(luò)服務(wù)進(jìn)行屏蔽。所以，防火墻首先必須封鎖所有的通 信，其次再逐項(xiàng)幵放希望提供的服務(wù)。它主要 建立在內(nèi)部網(wǎng)絡(luò)邊界上，用來隔離外部網(wǎng)絡(luò) 的通信。只將允許訪問的機(jī)密數(shù)據(jù)授權(quán)給相對(duì)應(yīng)的用戶。所 以， 如果這個(gè)記錄被非法修改了，它的 DAC 校驗(yàn)就一定會(huì)出錯(cuò)，從而進(jìn)一步提高了數(shù) 據(jù)的安全性。 (2) 通過設(shè)置 DAC (數(shù)據(jù)驗(yàn)證碼）進(jìn)行校驗(yàn) DAC即數(shù)據(jù)驗(yàn)證碼，是由銀行密鑰和關(guān)鍵性字段值生成的。我省農(nóng)村 信用社核心業(yè)務(wù)系統(tǒng)采用的是 DB2數(shù) 據(jù)庫(kù)，管理類業(yè)務(wù)系統(tǒng)一般用 ORACLE。 (1)用訪問矩陣來定義用戶的訪問權(quán)限 通過矩陣的方式來對(duì)不同的用戶或者是用戶進(jìn)程分配存取不同的數(shù)據(jù)對(duì)象 的操作權(quán)限，嚴(yán)禁各主體越權(quán)的操作。我省農(nóng)村信用社采用客戶端 /服務(wù)器（ C/S)模式訪問后臺(tái)數(shù)據(jù)庫(kù)，由于后 臺(tái)數(shù)據(jù)庫(kù)系統(tǒng)，是通過服務(wù)器進(jìn)程的用戶標(biāo)識(shí)來確定其訪問權(quán)限的，所以，我們 為不同的應(yīng)用，建立不同的服務(wù)進(jìn)程和進(jìn)程用戶標(biāo)識(shí)，以此保證業(yè)務(wù)應(yīng)用系統(tǒng)后 臺(tái)數(shù)據(jù)庫(kù)的安全。所以，在銀行業(yè)金融系統(tǒng)應(yīng)用軟件的設(shè)計(jì)開發(fā)過程中，應(yīng)盡量采用嚴(yán)格的軟 件標(biāo)準(zhǔn)和先進(jìn)的軟件工程技術(shù)，在開發(fā)的全部過程中要使用嚴(yán)格的質(zhì)量控制體 系，全面提高應(yīng)用軟件的安全可信度。由可信人員嚴(yán)格根據(jù)標(biāo)準(zhǔn)幵發(fā)出來的 、并經(jīng)先進(jìn)的軟件工程技術(shù) (即形式化安全模型的設(shè)計(jì)與驗(yàn)證）證明了的軟件，叫做可信軟件。 一般來說，根據(jù)軟件的可信程度，分為：可信軟件，即能保證無差錯(cuò)地安全運(yùn)行 的軟件；良性軟件，即不能確保安全運(yùn)行，但對(duì)系統(tǒng)的敏感信息采取了特殊保護(hù) 措施的軟件；惡意軟件，即來源不明的會(huì)對(duì)系統(tǒng)進(jìn)行破壞的軟件。 應(yīng)用軟件可信度的全面提高 為了信息系統(tǒng)的安全，最為理想的辦法是根據(jù)程序的不同需要，授予不同的 訪問權(quán)限。 我們通過在甘肅省農(nóng)村信用社計(jì)算機(jī)系統(tǒng)網(wǎng)絡(luò)和與其連接的網(wǎng)絡(luò)之間，建立 防火墻、設(shè)置訪問控制列表等方式來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)服務(wù)的訪問控制。我們通過設(shè)置用戶權(quán)限和存取權(quán)限，來實(shí)現(xiàn)對(duì) Aix, Unix等操作系統(tǒng)的 控制；在數(shù)據(jù)庫(kù)系統(tǒng)方面，可以利用 DB SYBASE, ORACLE等所提供的授權(quán)屬性， 來建立訪問矩陣 進(jìn)行控制；對(duì)應(yīng)用系統(tǒng)主要是設(shè)置多級(jí)操作或交易權(quán)限，來建立 授權(quán)定義表，給不同等級(jí)的操作員規(guī)定不同的操作權(quán)限。有些系 統(tǒng)對(duì)主體（用戶）設(shè)置相應(yīng)的控制權(quán)限表，以此來確定其訪問客體的范圍。 主體和客體的安全屬性是訪問控制的基本要素。計(jì)算機(jī)系統(tǒng)應(yīng)該從兩個(gè)方面 進(jìn)行訪問控制：即對(duì)服務(wù)器系統(tǒng)的訪問控制和對(duì)網(wǎng)絡(luò)服務(wù)的訪問控制。安 全訪問控制是維護(hù)系統(tǒng)安全、保護(hù)系統(tǒng)信息資源的非常有效的手段。系統(tǒng)管理員在通過 /etc/btmp和 /etc/wtmp這兩個(gè)文 件，以方便發(fā)現(xiàn)一些惡意登錄信息；同時(shí)，還能根據(jù)系統(tǒng)日志文件，跟蹤危及系 統(tǒng)安全的行為和事件；另外，還可以通過系統(tǒng)審計(jì)功能 ，監(jiān)視用戶的使用情況。 (4) 合理利用系統(tǒng)日志和審計(jì)功能 C2級(jí) UNIX的系統(tǒng)日志和審計(jì)特性提供了一個(gè)附加的安全保護(hù)。購(gòu)買專門的服務(wù)器，以此來承擔(dān)部分公用服務(wù)，例如， FTP、 SMTP 等，詳細(xì)配置這些服務(wù)的安 全控制參數(shù)，并且在后臺(tái)服務(wù)器系統(tǒng)中，將這些服務(wù) 關(guān)閉。系統(tǒng)管理員必須對(duì)系統(tǒng)內(nèi)文件和 目錄的許可設(shè)置，來進(jìn)行監(jiān)督和管理，堅(jiān)決禁止非法用戶進(jìn)行訪問。 (2) 對(duì)文件和目錄訪問權(quán)限的正確設(shè)置 在 UNIX系統(tǒng)中，是通過許可設(shè)置來規(guī)定文件或目錄的屬主 (owner)、屬組 (group)和其他用戶（ other)訪問權(quán)限的，例如，可讀、可寫和可執(zhí)行等。我們必須設(shè) 置安全的用戶名（ usename),并 且，能夠確認(rèn)所使用的名稱是安全的。甘肅省農(nóng)村信用社綜合業(yè)務(wù)網(wǎng) 絡(luò)系統(tǒng)的前臺(tái) PC選用的是采用 C2級(jí)安全的 SCOUNIX 5. 0. 5。 (四） 信息安全技術(shù)防范體系的構(gòu)建 我們要構(gòu)建甘肅省農(nóng)村信用社完整的計(jì)算機(jī)信息系統(tǒng)安全技術(shù)體系，必須從 以下八個(gè)方面著手，來加強(qiáng)對(duì)計(jì)算機(jī)系統(tǒng)安全問題的研究，全面提高風(fēng)險(xiǎn)防范能 力。至此， 兩 地三中心 模式災(zāi)備系統(tǒng)建設(shè)邁出堅(jiān)實(shí)的一步，實(shí)現(xiàn)了信息科技風(fēng)險(xiǎn)防控歷史性 跨越，保障了業(yè)務(wù)連續(xù)性和系統(tǒng)安全穩(wěn)定運(yùn)行。尤其是 IBM公司成立專門的項(xiàng)目組，多次召集國(guó)內(nèi)外頂級(jí)技術(shù) 專家進(jìn)行現(xiàn)場(chǎng)指導(dǎo)，公司全球技術(shù)專家 Lynda Tinkley女士一行專程從英國(guó)趕赴 蘭州，對(duì)項(xiàng)目實(shí)施給予具體指導(dǎo)和大力協(xié)助，這在全國(guó)農(nóng)信及我省銀行業(yè)都是首 次。災(zāi)備一期該項(xiàng)目自 2021年 4月啟動(dòng)以來，經(jīng)過大 家夜以繼日的連續(xù)奮戰(zhàn)，歷時(shí) 7個(gè)月，先后完成方案設(shè)計(jì)、同城機(jī)房設(shè)計(jì)裝修、 供電系統(tǒng)及線路安裝、設(shè)備材料選型、集中采購(gòu)、機(jī) 房核心設(shè)備升級(jí)、同步軟件 測(cè)試、網(wǎng)絡(luò)安裝調(diào)試等一系列階段性工作。災(zāi)備項(xiàng)目建 設(shè)是一項(xiàng)系統(tǒng)工程，時(shí)間緊、任務(wù)重，實(shí)施難度大，技術(shù)要求高。 心機(jī)房核心業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)及廣域網(wǎng)的升級(jí)優(yōu)化提出了建議。如需優(yōu)化可采用如 下方式： 在兩道防火墻之間建立 DMZ區(qū)域。 (3) 外聯(lián)區(qū) 通過外聯(lián)區(qū)實(shí)現(xiàn)與合作伙伴的業(yè)務(wù) 聯(lián)通。 (2) 內(nèi)聯(lián)區(qū) 由于管理網(wǎng)采用 SDH方式，預(yù)計(jì) 14個(gè)地州市每個(gè)地州市基本保障 3個(gè)時(shí)隙， 業(yè)務(wù)量大的地區(qū)酌情增加更多的時(shí)隙，故內(nèi)聯(lián)區(qū)計(jì)劃增加 CPOS模塊一個(gè)。本次規(guī)劃須將視頻會(huì)議系統(tǒng)并 入管理網(wǎng)，計(jì)劃連接 87家行社，原有的 11 個(gè)辦事處的高清視頻會(huì)議系統(tǒng)保留， 各行社社采用標(biāo)清視頻會(huì)議系統(tǒng)。 根據(jù)生產(chǎn)業(yè)務(wù)網(wǎng)絡(luò)的情況，我方需要購(gòu)買防火墻和 IDS的 license。 生產(chǎn)辦公用戶區(qū)：保留原有的生產(chǎn)辦公用戶區(qū)即可。 運(yùn)行管理區(qū)：核心業(yè)務(wù)網(wǎng)絡(luò)和系統(tǒng)的管理及維護(hù)中心。 ServerFarm:可進(jìn)一步劃分生產(chǎn)區(qū)、視頻會(huì)議區(qū)、 OA區(qū)等； 外聯(lián)區(qū)：完成與人行、清算中心、銀聯(lián)等合作伙伴的連接； 內(nèi)聯(lián)區(qū)：完成各地市節(jié)點(diǎn)的連接與匯聚； 網(wǎng)銀區(qū)：完成 網(wǎng)上銀行 業(yè)務(wù)。 核心交換區(qū)：作為高速的 Layer3交換骨干，主要實(shí)現(xiàn)各個(gè)功能區(qū)之間的數(shù) 據(jù)交換。核心交換機(jī)上均安裝有防火墻模塊和 IDS模塊 ,但未啟用。 五、甘肅省農(nóng)村信用社網(wǎng)絡(luò)信息安全技術(shù)對(duì)策 我省農(nóng)村信用社綜合業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)建成快 6年，一直以綜合業(yè)務(wù)為主，隨著 各類新業(yè)務(wù)的不斷發(fā)展以及應(yīng)甘肅銀監(jiān)局、人民銀行的要求，單一的運(yùn)營(yíng)商線路 已經(jīng)不能滿足日益增長(zhǎng)的需求，這就需要另一張支持更大數(shù)據(jù)流量的網(wǎng)絡(luò)來滿足 不斷發(fā)展的業(yè)務(wù)，并且有效地化解了數(shù)據(jù)大集中帶來的網(wǎng)絡(luò)風(fēng)險(xiǎn)。 因此，我們應(yīng)該正確面對(duì)綜合業(yè)務(wù)系統(tǒng)安全的脆弱性和可破壞性，時(shí)時(shí)刻刻 感受到系統(tǒng)面臨的入侵威脅，加強(qiáng)計(jì)算機(jī)系統(tǒng)對(duì)自身漏洞和攻擊的監(jiān)測(cè)、管理、 監(jiān)控和處理能力，形成對(duì)業(yè)務(wù)系統(tǒng)安全事件的快速反應(yīng)能力。 如果 Pt (Dt十 Rt)，則 Et=(Dt十 Rt) — Pt，稱之為該系統(tǒng)的暴露時(shí)間，在 這段時(shí)間內(nèi)系統(tǒng)是不安全的。