证券期货业信息系统安全检查贯彻落实指引

证券期货业务信息系统安全检查贯彻落实指引一、门户网站及网上交易系统（11项）门户网站及网上交易系统因联接互联网，易成为不法分子攻击和干扰的目标，各单位应加强防范，关闭或删除门户网站及网上交易服务器上不必要的应用、服务、端口和链接；限制易被攻击、利用的网站栏目和功能；存在重大安全隐患，短期内无法解决的网站，应予以关闭。证券、期货营业部如有自建的网站、论坛、应关闭或与其总部的网站合并。1．1漏洞、木马、病毒检测1．1．1安装实时升级，在线扫描的木马、病毒防护软件目前病毒、木马种类繁多，危害极大，病毒程序发作可造成网络堵塞、系统瘫痪；被植入木马后会导致主机被控，进而以此为跳板对重要主机和网络设备发起包括拒绝服务方式攻击在内的各种攻击行为，造成严重后果，威胁证券期货业信息系统的安全，因此，安装正版的防木马、病毒软件，并及时升级非常重要。1、各单位应对所有服务器和终端设备安装正版的防木马、病毒软件；对于因防病毒软件与应用软件冲突或因其他原因（如有的操作系统下无防病毒软件）不能安装防病毒软件时，应采取其他措施（如限制程序执行权限等）加以保护，防止感染病毒。2、对服务器进行病毒库升级和给系统打补丁时，应先测试通过后再进行升级；各单位应在内部办公网内建立专门的防病毒服务器和操作系统补丁分发服务器（针对WINDOWS平台），统一到互联网上获取最新病毒定义码和操作系统补丁，并将更新情况形成日志文件；其它设备应统一从专门服务器获取最新病毒定义码和系统补丁。对于在交易业务网内的服务器和终端设备升级，应通过定期下载补丁包和病毒库升级包，在能够保证安全、专用的机器上刻录成只读光盘（留档保存一个月），再到交易业务网对服务器和终端设备进行手工升级。3、服务器、终端设备应采取实时扫描机制，禁止在交易时间内对服务器进行全面病毒扫描，以免因占用系统资源，引起系统性能和稳定性下降。对新上线的设备必须在接入运行网络前安装防毒软件，并进行一次全面扫描测试。1．1．2建立定期扫描并修补漏洞的工作制度操作系统和应用程序中不可避免存在各种漏洞，随着时间的推移不断暴露出来；此外，在系统建设和使用的过程中防火墙、网络设备和服务器的配置和参数设置不当（如使用缺省的用户名和口令配置），也会留下安全隐患。因此建立定期扫描并修补漏洞的工作制度，形成定期检查、发现问题、修补漏洞的机制是必要的。1、工作制度应当明确负责进行此项工作的负责人员和工作职责，扫描检测的内容和程序，端口和漏洞的扫描工具，扫描检测的频率（不得少于每月一次），扫描检测结果的处理情况，针对发现漏洞制定的整改方案和整改结果，并保存文档备查。2、对新上线的设备必须在接入运行网络前进行全面的扫描检测。3、对行业内通报的重大安全隐患，应立即进行专项安全检测。4、负责安全管理的负责人员要对防火墙、入侵检测、路由器等网络设备和安全设备的接口参数、过滤规则进行梳理，修改不当配置；对服务器上的应用服务进行排查，关闭与业务无关的服务。5、如公司自身能力不足，应在工作制度中明确规定，外聘安全服务机构协助完成，1．1．3对网站进行全面检查，消除sql注入漏洞、弱口令账户、绕过验证、目录遍历、文件上传、下单网页未使用HTTPS加密机制等安全隐患SQL注入漏洞是由于网站服务器脚本未限制特殊字符，未限制最大长度，也未隐藏报错信息导致的，黑客通过提交包括特殊字符的sql语句，绕过执行条件，输入超出数据库字段长度的值导致报错，从没有隐藏的报错信息得到库结构等敏感信息，进而分析数据库类型、发现WEB虚拟目录，上传ASP木马，获得管理员权限。弱口令指简单且容易被黑客利用软件破解的口令。绕过验证攻击指利用对网站后台管理系统的验证过程存在隐患，黑客利用特殊的字符串组合绕过登陆验证，从而获取网站管理权限。目录遍历攻击指利用对网站服务器操作系统中网站服务系统的设置、缺省用户权限控制、网站管理系统编程等缺陷，访问在正常情况下受限制的目录，并在WEB服务器的根目录以外执行命令，进而危及网站安全。文件上传攻击指利用网站提供的文件上传功能，通过web页面提交到网站服务器上，如网站未对上传文件进行任何限制，不法分子可上传并执行有安全问题的文件，进而获得服务器控制权。下单页面未使用HTTPS加密机制可导致用户名、口令、交易指令被截取等安全隐患。以上几种典型的网站安全隐患，一旦发生可导致网络堵塞、系统瘫痪、主机被控、敏感信息泄露，甚至会引发黑客以网站为跳板对重要主机和网络设备发起包括拒绝服务方式攻击在内的各种攻击行为，造成严重后果，威胁证券期货业务信息系统的安全。因此，消除这些安全隐患是非常重要的。针对网站的安全隐患，应进行但不限于以下的工作：1、及时更新操作系统安全不定，关闭无关服务、网络端口。2、数据库管理、网站操作系统、网站后台管理等重要用户的口令长度不低于12未，并采用数字、字母、符号混排的方式；限制这些用户不必要的权限；删除操作系统及服务模块默认管理用户帐号。3、对服务器的逻辑磁盘和默认目录应当设定权限，合理设置逻辑磁盘、目录属性；应将网站目录和文件所在逻辑磁盘与操作系统所在逻辑磁盘分离；如果已经安装在一个逻辑磁盘，应该将重要系统文件移动到其他目录中加以隐藏。4、在网页脚本中对用户输入内容进行长度、格式、类型、特殊符号、内容等项目的检查。5、对上传文件进行大小、属性、类型等限制，并检查其安全性；对数据存储过程加密；设置网站程序运行出错信息页面，防止直接将错误信息返回客户端。6、禁止TRACE或TRACK等用来调试web服务器连接的HTTP方式。7、下单网页应采用HTTPS加密机制。8、如公司自身能力不足，应在工作制度中明确规定，外聘安全服务机构协助完成。1.2门户网站和网上交易系统隔离1.2.1对门户网站和网上交易系统进行严格隔离由于门户网站系易受到来自互联网的攻击，如未与网上交易系统进行严格隔离，黑客可将被控制的门户网站服务器作为跳板对网上交易系统发起各种攻击行为，造成严重后果，威胁网上交易系统的安全。因此，对门户网站和网上交易系统进行严格隔离是十分必要的。1、门户网站和网上交易系统应部署在不同的物理服务器上。2、门户网站和网上交易系统应使用独立的网络设备、安全设备。3、在防火墙上应做安全访问策略，阻止门户网站与网上交易系统间的通讯。1.2.2对网上交易下单网页和网上交易后台数据库进行严格有效隔离网上交易下单网页是网上交易系统的一个重要组成部分，应通过网上交易网关、专用中间件、防火墙等控制措施访问核心交易数据库。1.3对网站下载的网上交易客户端软件进行严格防护，防止被绑木马程序目前通过互联网进行证券、期货交易的投资者越来越多，如果网上交易客户端软件被捆绑木马程序，可导致客户交易被控，产生盗买盗卖行为，确保网上交易客户端软件安装包的安全性和可靠性，是保障投资者权益和维护证券、期货公司交易系统安全重要手段之一。因此，进行严格防护是非常重要的。1、各单位应建立网上交易客户端软件制作和发布的管理机制，明确软件发布流程，落实责任人员，保证软件的安全性和可靠性。2、应采用工具实时对网上交易客户端软件进行文件安全性检查，防止所提供网上交易软件被篡改和破坏，并可采取水印或MD5码验证等措施。1.4端口限制和远程管理1.4.1在防火墙和服务器上关闭与业务无关的端口网络攻击者往往会利用被攻击对象缺省安装时启动的服务进行攻击，因此，关闭服务器上与业务无关的服务和端口可以大大减少攻击者的攻击手段。WINDOWS服务器往往有很多服务和端口无法关闭，需要利用防火墙进行防护，因此，防火墙也需要关闭与业务无关的端口。建立防火墙和服务器上服务端口的审核制度，及时关闭与业务无关的端口，是抵御网络攻击的重要手段之一。1、审核制度应明确负责进行此项工作的责任人员和工作责任等。2、对新上线的服务器的服务和端口以及需要在防火墙上开放的端口应根据业务实行审核和批准制度，并留档备查。3、应建立业务端口明细表，并及时更新，作为重要文档保存。1.4.2禁止通过互联网对防火墙、网络设备、服务器进行远程管理和维护通过互联网对防火墙、网络设备、服务器进行远程管理和维护，需要对来自互联网的电脑开放所需要的地址、端口、协议以及管理帐户和密码，而不法分子也可以利用开放的管理界面进行网络入侵，在方便自己的时候，也为不法分子敞开了大门，整个公司的交易业务系统将毫无安全可言。因此，原则上必须禁止通过互联网对防火墙、网络设备、服务器进行远程管理和维护。但是，为及时解决交易业务系统运行中出现的故障和问题，需要软件、硬件、服务供应商临时进行远程维护，因此，建立对远程维护的管理制度和工作流程是非常重要的。1、远程维护的管理制度和工作流程应明确负责进行此项工作的责任人员和工作职责，限制远程维护方式、时间、维护内容、维护人员、登录地址，对维护全过程进行监控纪录相关日志，存档备查。2、远程维护结束后，应及时关闭远程维护所需地址、端口和协议，修改远程维护登录用户名与密码。1.5访问控制与审计采用可靠的身份认证、访问控制和安全审计措施，防止来自互联网的非法接入和非法访问目前通过互联网进行证券、期货交易的投资者越来越多，而互联网的交易中需要确保交易的不可否认性，交易安全性等重要内容，因此采用可靠的身份认证、访问控制和安全审计措施，对于核实投资者身份并确保交易不可否认，拒绝非法的接入和访问，对访问的内容和行为采取有效控制等是十分必要的。1、可靠的身份认证措施包括但不限于账号口令、动态口令、数字证、随机校验码、双因素认证等。2、访问控制措施包括但不限于网络、应用等访问权限的控制。3、安全审计措施包括但不限于对来访者各类行为的纪录，对来访者行为的异常情况的处理措施等内容。1.6网页安全和下载1.6.1对网页采取防篡改等措施由于网站位于互联网上，一旦网页被篡改并扩散有可能对国家安全以及社会安定团结造成严重危害，因此各单位应加强网页内容管理，严格检查，采取防篡改措施，可选择但不限于以下方式：1、外挂轮询技术。指利用一个网页检测程序，以轮询方式读出要监控的网页，与真实网页相比较，来判断网页内容的完整性，对于被篡改的网页进行报警和恢复。2、核心内嵌技术。指将篡改检测模块内嵌在WEB服务器软件里，它在每一个网页流出时都进行完整性检查，对于篡改网页进行实时访问阻断，并予以报警和恢复。3、事件触发技术。指利用操作系统的文件系统接口，在网页文件被修改时进行合法性检查，对于非法操作进行报警和恢复。4、当以上技术无法达到网页防篡改的目的时，应及时关闭相关网页或整个网站。1.6.2对网页内容采取监控、过滤机制由于网页内容中可能包含有对国家安全以及社会安定团结等造成严重危害的信息，一旦发布后会迅速扩散造成恶劣影响。各单位应加强对网页内容监控，对敏感信息采取过滤机制，并采取24小时不间断监控措施，可以选择但不限于以下措施：1、敏感关键字过滤。2、信息发布实行实名制或会员制。3、人工24小时监控所有最新发布的信息。4、关闭无法达到本条要求的信息发布模块二、交易业务系统（7项）2．1网络隔离2．1．1对交易业务网和内部办公网实施物理隔离交易业务网包括核心交易业务网和非核心交易业务网。核心交易业务网包括集中交易系统、网上交易系统、三方存管系统、清算系统、期货风控系统等系统；非核心交易业务网包括证券风控系统、财务系统、稽核系统、CALLCENTER系统等业务系统。对于基金公司，交易业务网包括投资交易、注册登记、清算估值、基金销售等业务系统。交易业务网对于保证客户正常交易、数据安全可靠和公司各项业务的开展至关重要，证券期货交易的实时性要求很高，要求系统具有极高的安全性与可靠性。内部办公网是指与交易业务无关，支持公司内部办公的网络和系统，一般都需要联结互联网，内部终端可以上网，收发电子邮件，易感染病毒，易被植入木马。如果交易业务网与内部办公网互联，一旦病毒爆发可能引起交易业务网络瘫痪、交易系统异常；如果终端被控，还可进而以此为跳板对于之相关联的交易业务网系统发起各种攻击，造成严重后果。因此，为保证交易业务系统的安全，避免不必要的外部侵害，应将核心交易业务网和内部办公网实施物理隔离，