王　濤

摘要：網(wǎng)上銀行系統(tǒng)是銀行通過互聯(lián)網(wǎng)為客戶提供各種金融服務和信息增值服務的系統(tǒng)。為了能夠安全地開展網(wǎng)上銀行業(yè)務，必須在以下幾個層面上采取不同的安全技術(shù)規(guī)范來保證系統(tǒng)的安全性，如安全策略、物理安全、系統(tǒng)資源安全、應用系統(tǒng)安全、數(shù)據(jù)通信安全、運行安全、人員安全、安全評估于檢查等。本文僅從系統(tǒng)層面對網(wǎng)上銀行系統(tǒng)的安全防范體系做概要闡述。

關(guān)鍵詞：網(wǎng)上銀行安全計算機系統(tǒng)

0引言

網(wǎng)上銀行系統(tǒng)是銀行通過互聯(lián)網(wǎng)為客戶提供各種金融服務和信息增值服務的系統(tǒng)。為了能夠安全地開展網(wǎng)上銀行業(yè)務，必須在以下幾個層面上采取不同的安全技術(shù)規(guī)范來保證系統(tǒng)的安全性，如安全策略、物理安全、系統(tǒng)資源安全、應用系統(tǒng)安全、數(shù)據(jù)通信安全、運行安全、人員安全、安全評估于檢查等。

1安全策略

安全策略就是要求銀行高級管理層對網(wǎng)上銀行業(yè)務的技術(shù)性風險管理給予高度重視，并針對網(wǎng)上銀行業(yè)務的特點，制定全面、綜合、重點突出的系統(tǒng)即信息安全規(guī)章制度和操作程序，在根據(jù)重要性、復雜性和敏感性等方面對系統(tǒng)進行分類、分層次的保護，以保證銀行能集中精力管理關(guān)鍵部分。

2物理安全

物理安全是指有形的安全措施。主要針對計算機系統(tǒng)、網(wǎng)絡設備、通信線路等關(guān)鍵設備及信息的安全防衛(wèi)措施。例如，計算機房要安裝電子門戶控制系統(tǒng)，關(guān)鍵場所要安全監(jiān)視器，關(guān)鍵設備之間要保證相互隔離，進入密鑰保管房間要有多人控制等。

3系統(tǒng)資源安全

系統(tǒng)資源安全主要指構(gòu)成系統(tǒng)的軟硬件本身的安全系數(shù)。如軟硬件的配置是否達到先進水平，是否符合安全標準。

4應用系統(tǒng)安全

應用系統(tǒng)安全主要涉及對客戶的身份認證和對交易的確認，這是網(wǎng)上銀行業(yè)務運作的關(guān)鍵環(huán)節(jié)。網(wǎng)上銀行業(yè)務突破了傳統(tǒng)銀行業(yè)務經(jīng)營的概念，客戶不用到銀行柜臺就可以操作，銀行業(yè)務人員和客戶之間也沒有面對面的接觸，這就要求銀行必須有一套有效的系統(tǒng)確認客戶的資格，保證客戶和銀行雙方無法否認已發(fā)生的交易。

5數(shù)據(jù)通信安全

數(shù)據(jù)通信安全是網(wǎng)上銀行業(yè)務和技術(shù)風險管理的核心部分。銀行應適當?shù)卦O計和配置不同的服務器和防火墻，采用合適的加密技術(shù)，在保證網(wǎng)上銀行業(yè)務平穩(wěn)運行的基礎上，確保數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾浴７掌靼ňW(wǎng)絡服務器、應用服務器和數(shù)據(jù)庫服務器。防火墻則包括外部防火墻和內(nèi)部防火墻。為保證系統(tǒng)不受黑客侵入，銀行應在網(wǎng)絡服務器和互聯(lián)網(wǎng)之間設置外部防火墻，在網(wǎng)絡服務器和銀行內(nèi)部計算機系統(tǒng)之間設置內(nèi)部防火墻。嘉勉技術(shù)主要包括密碼算法和密鑰長度兩個方面的內(nèi)容構(gòu)成，通過采用合適長度的密鑰和密碼算法，可以有效地防止系統(tǒng)傳輸?shù)男畔⒑拖到y(tǒng)存儲的信息被破譯，從而保證網(wǎng)上銀行業(yè)務信息的安全。

6運行安全

運行安全主要是指銀行計算機系統(tǒng)運行的內(nèi)部控制制度，包括銀行業(yè)務運行應急計劃和業(yè)務連續(xù)性計劃、管理人員和業(yè)務人員授權(quán)、保密字管理等方面的內(nèi)容。

7人員安全

人員安全是指業(yè)務人員和技術(shù)人員的專業(yè)能力和管理能力是否達到風險控制和業(yè)務發(fā)展的要求，具體包括人員審查、安全意識培養(yǎng)、人員培訓等。

8安全評估和檢查

安全評估與檢查是網(wǎng)上銀行業(yè)務風險控制的重要組成部分。包括三個方面的內(nèi)容：一是公認的社會評估機構(gòu)對計算機系統(tǒng)的安全評估；二是銀行管理層對計算機系統(tǒng)的安全測試；三是銀行內(nèi)部審計部門對網(wǎng)上銀行業(yè)務及系統(tǒng)運作情況的檢查。從系統(tǒng)層的角度，整個網(wǎng)上銀行系統(tǒng)結(jié)構(gòu)分為三個層次：第一部分是Internet接入?yún)^(qū)域；第二部分是對外提供服務的Web服務器，同時也放置了CA服務器；第三個部分是內(nèi)網(wǎng)區(qū)域，含應用服務器、數(shù)據(jù)庫服務器等。

對不同的安全級別的區(qū)域采用網(wǎng)關(guān)類的設備進行隔離，使用既能實現(xiàn)防火墻功能，又能實現(xiàn)IPS和病毒過濾的相關(guān)安全防護產(chǎn)品，實現(xiàn)網(wǎng)絡層的隔離，應用層的攻擊和病毒的隔離，形成真正意義上的立體全面多位一體綜合偵測防御體系。

在網(wǎng)銀系統(tǒng)互聯(lián)網(wǎng)接入的入口處，為了保證鏈路的可用性，一般采取雙鏈路接入方式，通過兩家不同的lSP提供互聯(lián)網(wǎng)接入，在其中一條鏈路出現(xiàn)故障時仍然可以提供網(wǎng)上銀行的交易服務。同時，作為提供認證服務的CA中心，也是通過互聯(lián)網(wǎng)提供連接的。CA認證中心作為獨立的第三方機構(gòu)，不屬于網(wǎng)銀系統(tǒng)的網(wǎng)絡范疇，但客戶對網(wǎng)銀的驗證和網(wǎng)銀對客戶的驗證都是通過互聯(lián)網(wǎng)連接CA中心實現(xiàn)的。在網(wǎng)銀系統(tǒng)的Intemet接入路由器之后，部署安全網(wǎng)關(guān)(或防火墻)、負載均衡設備和WEB服務器。安全網(wǎng)關(guān)可根據(jù)需要也做雙機熱備處理。同時部署負載均衡設備，對訪問網(wǎng)銀系統(tǒng)的流量進行動態(tài)分配。負載均衡設備的另一個重要應用是可做SSL解密，因為SSL在解除非對稱加密時會占用系統(tǒng)大量資源，因此在網(wǎng)銀系統(tǒng)的設計中，SSL的解密一般放在負載均衡設備上處理，負載均衡設備專門對SSL解密過程做了硬件優(yōu)化，因此在效率上能夠得到保障。通過負載均衡設備后用戶請求將進入WEB服務器，wEB服務器將部署網(wǎng)銀門戶網(wǎng)站的靜態(tài)內(nèi)容，如網(wǎng)銀系統(tǒng)登陸入口、用戶手冊下載、驅(qū)動程序下載、工具軟件下載、營銷信息等網(wǎng)銀相關(guān)內(nèi)容，此外WEB服務器的另一個重要職責是向應用服務器轉(zhuǎn)發(fā)通訊請求，對于需要和應用服務器交互的動態(tài)信息，如網(wǎng)銀登陸、轉(zhuǎn)賬、實時查詢等交易請求將通過部署在WEB服務器上的插件轉(zhuǎn)發(fā)至應用服務器。

通過WEB服務器后，進入網(wǎng)銀系統(tǒng)的主要應用部分，這部分將網(wǎng)銀系統(tǒng)網(wǎng)站的應用分為應用服務器和數(shù)據(jù)庫的三層結(jié)構(gòu)。應用服務器和數(shù)據(jù)庫服務器均使用雙機熱備，數(shù)據(jù)庫服務器還備有存儲設備，存儲網(wǎng)銀系統(tǒng)的業(yè)務數(shù)據(jù)。網(wǎng)銀系統(tǒng)只作業(yè)務數(shù)據(jù)接受和存儲，真正的業(yè)務處理要發(fā)送到銀行核心的業(yè)務處理網(wǎng)絡或業(yè)務處理中心進行具體的業(yè)務操作。因此在網(wǎng)銀系統(tǒng)的后端連接的是銀行的綜合業(yè)務網(wǎng)絡。這一部分設置了防火墻和通信加密系統(tǒng)。防火墻限制了銀行內(nèi)部網(wǎng)絡對網(wǎng)銀系統(tǒng)的訪問，并限制網(wǎng)銀系統(tǒng)對銀行內(nèi)部業(yè)務系統(tǒng)的訪問。網(wǎng)銀系統(tǒng)發(fā)送給業(yè)務系統(tǒng)的數(shù)據(jù)，均需要經(jīng)過加密設備的加密才能送出網(wǎng)銀系統(tǒng)，進入銀行綜合業(yè)務網(wǎng)絡。

整個系統(tǒng)中在不同區(qū)域部署的防火墻產(chǎn)品可以啟用策略控制，只向外開放允許訪問端口。比如說部署于對外Web服務器與In-ternet之間的防火墻產(chǎn)品上只開放由外向內(nèi)的Http端口，部署于Web服務器與內(nèi)部網(wǎng)之間的防火墻設置策略只允許Web服務器訪問內(nèi)部網(wǎng)，禁止其它服務和設備通過防火墻：在防火墻上啟用網(wǎng)關(guān)級別的病毒過濾模塊，對HTI-P，F(xiàn)TP，IMAP，POP3，SMTP，IM等協(xié)議傳輸?shù)奈募崿F(xiàn)病毒過濾，該過濾體系能夠有效地對所傳輸?shù)奈募M行檢測，當發(fā)現(xiàn)病毒時予以阻斷。病毒網(wǎng)關(guān)的部署，實現(xiàn)了對病毒的分區(qū)域管理，當一個地區(qū)爆發(fā)病毒時，會被有效地隔離在本地，而不至于傳染到其他地區(qū)去，從而避免所有區(qū)域爆發(fā)病毒i在防火墻上開啟IPS特征值類的阻斷。根據(jù)所要保護的服務器和其提供的服務，開啟相應的入侵檢測和防御的功能。比如說針對某個Apache的服務器，我們推薦開啟入侵檢測的與Web相關(guān)Apache攻擊特征值：此外防火墻的DoS防御能力能夠有效地低擋synflood，udpflood等DoS攻擊，能夠在高攻擊的背景下，保持正常的對網(wǎng)銀服務器的訪問針對整個網(wǎng)絡的訪問，啟用病毒文件網(wǎng)關(guān)過濾體系對蠕蟲病毒進行防護：通過入侵檢測和防御設備(IDS)實現(xiàn)對利用系統(tǒng)的漏洞進行攻擊行為的防御：通過設置審計日志設備來記錄所有通過防火墻的數(shù)據(jù)通訊，用于網(wǎng)銀涉及到的訴訟的法律證據(jù)。比如說，某人連接網(wǎng)銀的服務器做了不符合法律規(guī)定的事務，可以通過審計日志設備上所記錄下來的原始數(shù)據(jù)包作為法律證據(jù)。另外，審計日志設備可以有效地還原h(huán)ttp、ftp、smtp、imap、pop3等協(xié)議通訊的內(nèi)容，了解實際操作的過程，對于跟蹤攻擊和事后補救具有非常重要的意義。

參考文獻：

[1]李仁真，余素梅巴塞爾委員會電子銀行業(yè)務風險管理原則[J]，國際金融研究，2002，(03)，

[2]劉春杰，簡之，凌滔，談建軍，網(wǎng)絡銀行的風險及其控制研究[J]，國際金融研究，2000，(08)。