蓝盾网络安全方案

第一章前言以Internet为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正逐渐地得到普及和广泛。随着应用层次的不断深入，应用领域开始从传统的、小型业务系统逐渐向大型、关键业务系统扩展，比较典型的如政府部门业务系统、金融业务系统、教育科研系统等。与此同时，这股强劲的Internet旋风也以惊人的速度渗透到银行、证券等金融行业的各个方面。各金融企业之间的竞争也日益激烈，主要是通过提高金融机构的运作效率，为客户提供方便快捷和丰富多彩的服务，增强金融企业的发展能力和影响力来实现的。为了适应这种发展趋势，银行在改进服务手段、增加服务功能、完善业务品种、提高服务效率等方面做了大量的工作，以提高银行的竞争力，争取更大的经济效益。而实现这一目标必须通过实现金融电子化，利用高科技手段推动金融业的发展和进步，网络的建设为银行业的发展提供了有力的保障，并且势必为银行业的发展带来巨大的经济效益。目前银行主要应用有：储蓄、对公、信用卡、储蓄卡、IC卡、国际业务、电子汇兑、电子邮件、电子公文、网上银行、网上交易系统、新的综合对公业务、国际业务信贷系统等。但是我们应该意识到事务的两面性，随着应用的不断增加，网络安全风险也会不断暴露出来。原来由单个计算机安全事故引起的损害可能传播到其他系统和主机，引起大范围的瘫痪和损失。而且由于银行属于商业系统，都有一些各自的商业机密信息，如果这些机密信息在网上传输过程中泄密，其造成的损失将是不可估量的。所以金融业网络安全方案的解决不容忽视。第二章银行网络安全需求通过以上对银行网络系统应用与安全风险分析，我们提出防范网络安全危险的安全需求：1)采用相关的访问控制产品及控制技术来防范来自不安全网络或不信任域的非法访问或非授权访问。2)采用加密设备应用加密、认证技术防范信息在网络传输过程中被非法窃取，而造成信息的泄露，并通过认证技术保证数据的完整性、真实性、可靠性。3)采用安全检测技术来实时检查进出网络的数据流，动态防范各种来自内外网络的恶意攻击。4)采用网络安全评估系统定期或不定期对网络系统或操作系统进行安全性扫描，评估网络系统及操作系统的安全等级，并分析提出补救措施。5)采用防病毒产品及技术实时监测进入网络或主机的数据，防范病毒对网络或主机的侵害。6)采用网络备份与恢复系统，实现数据库的安全存储及灾难复。7)构建CA认证中心，来保证加密密钥的安全分发及安全管理。8)应用安全平台的开发，针对银行特殊的应用进行特定的应用开发。9)必须制定完善安全管理制度，并通过培训等手段来增强员工的安全防范技术及防范意识。第三章网络安全解决方案3.1.1网络结构安全网络结构布局的合理与否，也影响着网络的安全性。对银行系统业务网、办公网、与外单位互联的接口网络之间必须按各自的应用范围、安全保密程度进行合理分布，以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统。3.1.2加强访问控制1)如果银行系统有上Internet公网的需求，则从安全性考滤，银行业务系统网络必须与Internet公网物理隔离。解决方法可以是两个网络之间完全断开或者通过物理安全隔离卡来实现。2)网结构合理分布后，在内部局网内可以通过交换机划分VLAN功能来实现不同部门、不同级别用户之间简单的访问控制。3)内部局域网与外单位网络、内部局域网与不信任域网络之间可以通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制。4)根据企业具体应用，也可以配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问控制。5)对于远程拔号访问用户的安全性访问，可以利用防火墙的一次性口令认证机制，对远程拔号用户进行身份认证，实远程用户的安全访问。3.1.3安全检测由于防火墙等安全控制系统都属于静态防护安全体系，但对于一些允许通过防火墙的访问而导致的攻击行为、内部网的攻击行业，防火墙是无能为力的。因此，还必须配备入侵检测系统，该系统可以安装在局域网络的共享网络设备上，它的功能是实时分析进出网络数据流，对网络违规事件跟踪、实时报警、阻断连接并做日志。它既可以对付内部人员的攻击，也可以对付来自外部网络的攻击行为。3.1.4网络安全评估黑客攻击成功的案例中，大多数都是利用网络或系统存在的安全漏洞，实现攻击的。网络安全性扫描分析系统通过实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，根据扫描结果配置或修改网络系统，达到增强网络安全性的目的。操作系统安全扫描系统是从操作系统的角度，以管理员的身份对独立的系统主机的安全性进行评估分析，找出用户系统配置、用户配置的安全弱点，建议补救措施。3.2.1安全认证银行系统在解决网络安全问题肯定要配备加密系统，由于要加密就涉及到密钥，则密钥的产生、颁发与管理就存在安全性。我们都知道密钥的发放一般都是通过发放证书来实现。那么，证书的发送方与接收方如何确认对方证书的真实性，因此，就引入了通过第三方来发放证书，即构建一个权威认证机构（CA认证中心）。银行系统可以联合各专业银行一同构建一个银行系统的CA系统。实现本系统内证书的发交与业务的安全交易。随着网络经济的发展，慢慢可以升级为和其它系统CA的交叉认证。3.2.2病毒防护提起病毒的危害，我想很多人都会为之震惊。CIH、爱虫等真让IT界恐慌一时，病毒侵害小的引起死机影响工作、大的可能引起系统瘫痪（彻底摧毁数据）。病毒的防护必须通过防病毒系统来实现，银行系统中业务网络操作系统一般都采用UNIX操作系统，而办公网络都为Windows系统，因此，防范病毒的入侵，就应该根据具体的系统类型，配置相应的、最新的防病毒系统。从单机到网络实现全网的病毒安全防护体系，病毒无论从外部网络还是从内部网络中的某台主机进入网络系统，通过防病毒软件的实时检测功能，将会把病毒扼杀在发起处，防止病毒的扩散。3.3.1加密传输要保护数据在传输过程中不被泄露，保证用户数据的机密性，必须对数据进行加密。加密后，数据在传输过程中便是以密文传输，既使被入侵者截获，由于是密文形式，也读不懂；即使加密后的数据存在被破译的可能性，但现行密码算法的密钥都在64位以上，解密工作并不容易，需要花费相当的资金、时间。等到破译，也许这种信息已经没有什么价值了。数据加密的方法有从链路层加密、网络层加密及应用层加密。链路层加密机主要根据企业采用链路协议（FrameRelay、X。25、DDN、PSTN），采用相应类型的加密机；网络层加密由于是在网层上，因此它对链路层是透明的，与链路是何种协议无关；应用层加密主要适用于具有的加密需求，针对具体的应用进行开发。不同企业可以根据自身网络特点及应用需求选择合适的加密方法。对于银行系统，由于系统庞大，采用电信网络链路协议有FrameRelay、X.25、DDN、PSTN等多种链路，如果采用链路加密，采必须采用多种类型的加密机，这样对一个系统来说，就会给产品维护、升级等带来一定的困难；对于应用层加密，在网上银行应用比较广泛，网上银行针对公网用户，其数据在公网上传输不可能使用链路层或网络层加密设备，只能通过应用层加密来实现，应用层加密可以采用SET协议或者SSL协议，通过B/S结构完成网上交易的加密及解密。因此，对银行普通业务系统，我们建议采用网络层加密设备，来保护数据在网络上传输的安全性。而对网上银行、网上交易等业务系统可以采用应用层加密机制来加密，以保护数据在网上传输的机密性。3.3.2信息鉴别保护数据的完整性、真实性、可靠性也是网络系统安全防护的一个重要方面。数据在传输过程中存在着被非法窃取、篡改的安全威胁，为此，为了保证数据的完整性，就必须采用信息鉴别技术。VPN设备便能实现这样的功能，其实现过程：原始数据包到达VPN设备时首先对数据进行加密并用HASH函数对数据进行HASH运算产生信息摘要与加密后的数据一同发出去，数据包到达目的方的VPN加密设备后，先对加密的密钥对对数据包进行解密，然后用HASH函数对解密后的数据进行HASH运算，也产生信息摘要，把这个信息摘要与收到的信息摘要进行对比，由于进行HASH运算后产生的信息摘要可以被认为具有唯一性，所以，如果这两个信息摘要完全相同，则说明解密的数据是完整的原始数据，否则说明数据在传输过程中已经被修改过，失去的完整性。数据源身份认证也是信息鉴别的一种手段，它可以确认信息的来源的可靠性。数据源身份认证的实现是通过数字签名技术。数字签名基本原理是发送方利用自已的私钥对信息进行加密（签名）后发送给对方，对方收到信息后用发送方的公钥进行解密，如果通顺利解成明文这说明信息来源是可信的，否则证明信息来源是不可靠的。同时采用数字签名技术达到防抵赖目的。对于银行系统，由于其行业的特殊性，在网上传输信息都是重要信息。因此，结合传输加密技术，我们可以选择VPN设备，实现保护数据的机密性、完整性、真实性、可靠性。3.3.3信息存储对银行系统主要是数据库的安全，由于各地银行系统都是采用客户/服务器模式，数据都集中存在一个大型数据库系统中，因此数据库的安全尤其重要。保护数据库最安全、最有效的方法就是采用备份与恢复系统。备份系统可以保存相当完整的数据库信息，在运行数据库主机发生意外事故时，通过恢复系统把备份的数据库系统在最短时间内恢复正常工作状态，保证银行业务系统提供服务的及时性、连续性。3.4应用开发银行系统由于职能的特殊性，可能会存在其特殊的应用，而要保护其应用的安全性，并不是市场上的那些通用产品都能满足，必须通过详细了解，分析，进行有针对性地开发，量体裁衣，才能切实让用户用得放心。3.5管理安全我们知道网络安全实现并不完全取决于技术手段，管理安全是网络安全真正得以维系的重要保证。管理安全银行系统安全制度的制定、国家法律、法规的宣传以及提高企业人员的整体网络安全意识。3.6安全服务网络安全是动态的、整体的，并不是简单的安全产品集成就解决问题。随着时间推移，新的安全风险又将随着产生。因此，一个完整的安全解决方案还必须包括长期的、与项目相关的信息安全服务。安全服务包括：全方位的安全咨询、培训；静态的网络安全风险评估；特别事件应急响应。3.7安全目标·保护网络系统的可有性·保护网络资源的合法使用性·防范入侵者的恶意攻击与破坏·保护信息通过网上传输的机密性、完整性及不可抵赖性·防范病毒的侵害·实现网络的安全管理第四章典型应用实例我们举一个比较典型的银行网络应用系统。如下图示：整个网络纵向覆盖全国各省市、区县；而横向也与许多单位连接。我们针对这样的网络来举例说明如何解决其网络安全问题。4.1访问控制1)银行有连接Internet公网的应用需求，出于安全，把银行系统中业务网及内部有涉密信息的办公网与有上Internet公网需求的子网完全物理隔离。使它们是两组完全互相独立的网络，防止因上公网而造成的安全问题危及到需保护的网络。2)对内部办公系统中不同部门或不同安全级别的用户组利用交换机划分虚拟子网技术划分不同子网，对局域网内部做到较简单的访问控制。3)在各级银行内部网主交换机与本系统纵向网互连的边界路器之间安装防火墙系统，防火墙可以做到隔离不同网络，并防范外部网络非法访问及恶意攻击。4)对远程拔号访问内部网用户可以充分利用防火墙系统的一次性口令认证机制来对访问用进行安全的身份检查，只有通过认证才可进行访问，而且由于采用一次性口令机制，所以，这样防护措施安全强度相当高。5)在各级银行内部网主交换机与电话局、水电局、证券、保险等外单互连的边界路器之间安装防火墙系统，防火墙做到隔离不同网络，并防范外部网络非法访问及恶意攻击。4.2信息传输为了保护数据信息从发起端到接收端传输过程的安全性，在每一级网络配备的防火墙系统与边界路由器之间配备网络层加密机，由于网络层加密设备可以实现网关到网关的加密与解密，因此，在每个有重要传输数据的网点只需配备一台网络层加密机。利用加密技术以及安全认证机制，保护信息在网络上传输的机密性、真实性、完整性及可靠性。而针对银行系统网上银行、网上交易业务，可以在应用层采用SET或SSL协议进行应用层加密，并通过数字签名等技术保证网上交易数据的机密