国产日韩欧美一区二区三区三州_亚洲少妇熟女av_久久久久亚洲av国产精品_波多野结衣网站一区二区_亚洲欧美色片在线91_国产亚洲精品精品国产优播av_日本一区二区三区波多野结衣 _久久国产av不卡

?

構(gòu)建資金管理系統(tǒng)風(fēng)險防控體系

2018-11-08 05:33
網(wǎng)絡(luò)安全和信息化 2018年1期
關(guān)鍵詞:安全策略加密身份

資金管理系統(tǒng)作為單位核心業(yè)務(wù)的支撐系統(tǒng),它集結(jié)算、核算、各項(xiàng)金融業(yè)務(wù)管理、資金平衡管理及資金風(fēng)險管控為一體,其安全性關(guān)系到單位資金的安全,涉及到指令在存儲、傳輸?shù)冗^程中不被他人非法獲得,不被篡改。另外系統(tǒng)還應(yīng)提供對黑客和惡意攻擊的防范,保證系統(tǒng)業(yè)務(wù)的連續(xù)性。

鑒于系統(tǒng)管理安全的實(shí)際需求,參照金融行業(yè)“應(yīng)用安全”等級保護(hù)的標(biāo)準(zhǔn),對資金管理系統(tǒng)如何構(gòu)建風(fēng)險防控體系進(jìn)行初步的探討,認(rèn)為系統(tǒng)在建設(shè)時應(yīng)注重以下幾個方面。

網(wǎng)絡(luò)架構(gòu)的安全設(shè)計(jì)

網(wǎng)絡(luò)結(jié)構(gòu)布局的合理與否,直接影響著網(wǎng)絡(luò)的安全性。對銀行系統(tǒng)業(yè)務(wù)網(wǎng)、辦公網(wǎng)、與外單位互聯(lián)的接口網(wǎng)絡(luò)之間必須按各自的應(yīng)用范圍、安全保密程度進(jìn)行合理分布,以免局部安全性較低的網(wǎng)絡(luò)系統(tǒng)造成的威脅傳播到整個網(wǎng)絡(luò)系統(tǒng)。因此在系統(tǒng)建設(shè)網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)時,要著重安全風(fēng)險防控的規(guī)劃設(shè)計(jì),網(wǎng)絡(luò)總體規(guī)劃如圖1。

圖1 網(wǎng)絡(luò)總體規(guī)劃

1.統(tǒng)一入口規(guī)劃。單位的資金管理系統(tǒng)基本都有上Internet公網(wǎng)的需求,方便遠(yuǎn)程用戶有訪問。公網(wǎng)風(fēng)險性極高,建議系統(tǒng)不直接發(fā)布于公網(wǎng),在DMZ區(qū)部署VPN設(shè)備、安全網(wǎng)關(guān)及CA認(rèn)證服務(wù)器,所有客戶端通過VPN方式接入,并通過安全網(wǎng)關(guān)及CA服務(wù)器對接入者進(jìn)行身份認(rèn)證。用戶登錄資金管理系統(tǒng)時,都被要求插入能唯一標(biāo)識使用者身份的CA證書,系統(tǒng)通過比較服務(wù)器端存儲的身份識別碼和從CA證書內(nèi)部讀出的身份標(biāo)識數(shù)據(jù)來判斷操作者身份,非授權(quán)用戶將無法鏈接到資金管理系統(tǒng),也不會彈出登錄窗口,從而有效阻止非法用戶的入侵。授權(quán)用戶再通過用戶與CA匹配驗(yàn)證、CA密碼以及用戶登錄密碼三方面的驗(yàn)證,才能正式登錄資金管理系統(tǒng),避免單純依賴口令識別而存在的某些安全隱患。

2.安全區(qū)域規(guī)劃。根據(jù)業(yè)務(wù)及功能不同,做好區(qū)域的規(guī)劃,規(guī)劃好邊界,通過部署防火墻及IPS實(shí)現(xiàn)內(nèi)、外網(wǎng)或不同信任域之間的隔離,強(qiáng)化端口的控制,細(xì)化安全策略,并通過IPS實(shí)時分析進(jìn)出網(wǎng)絡(luò)數(shù)據(jù)流,對網(wǎng)絡(luò)違規(guī)事件跟蹤、實(shí)時報(bào)警、阻斷連接。它既可以對付內(nèi)部人員的攻擊,也可對付來自外部網(wǎng)絡(luò)的攻擊,提高安全等級。在內(nèi)網(wǎng)內(nèi)可以通過交換機(jī)劃分VLAN功能來實(shí)現(xiàn)不同部門、不同級別用戶之間簡單的訪問控制。

3.業(yè)務(wù)連續(xù)性規(guī)劃。根據(jù)企業(yè)RPO、RTO、RAO的要求,做好業(yè)務(wù)連續(xù)性的規(guī)劃,制定業(yè)務(wù)中斷情況下的應(yīng)對措施,包括啟用備用設(shè)備、恢復(fù)系統(tǒng)和數(shù)據(jù)的措施等。

4.安全監(jiān)控規(guī)劃。根據(jù)等級保護(hù)要求,在網(wǎng)管區(qū)部署數(shù)據(jù)庫審計(jì)、日志審計(jì)、堡壘機(jī)等安全設(shè)備,加強(qiáng)操作安全的管理。網(wǎng)絡(luò)安全法的正式實(shí)施對業(yè)務(wù)系統(tǒng)安全審計(jì)提出了新的要求,日志留存不得少于六個月。通過收集系統(tǒng)的日志并對其進(jìn)行分析,從而了解系統(tǒng)運(yùn)行情況,掌握系統(tǒng)安全狀態(tài),有針對性制定安全策略,才能將系統(tǒng)調(diào)整到“最安全”和“最低風(fēng)險”的狀態(tài)。

應(yīng)用系統(tǒng)的安全策略

任何一個信息系統(tǒng)的安全,在很大程度上依賴于最初設(shè)計(jì)時制定的安全策略、采取的安全措施,因此資金管理系統(tǒng)在開發(fā)設(shè)計(jì)時就要制定相應(yīng)的安全策略,并把安全策略貫穿到整個系統(tǒng)開發(fā),形成統(tǒng)一的安全體系。

建立“身份識別”體系

“身份識別”就是應(yīng)用系統(tǒng)能提供一種機(jī)制,能對登錄用戶進(jìn)行身份標(biāo)識和鑒別,建立對用戶身份標(biāo)識唯一性檢查,該機(jī)制能有效對非法登錄進(jìn)行阻止,并對登當(dāng)失敗進(jìn)行處理。

1.全程身份識別。資金管理系統(tǒng)在應(yīng)用層進(jìn)行身份確認(rèn)與綁定,在操作資金管理系統(tǒng)時由應(yīng)用層進(jìn)行CA證書校驗(yàn),在做支付簽名時,由資金管理系統(tǒng)獲取證書的DN信息,將該DN信息同在數(shù)據(jù)庫中登記的DN信息進(jìn)行比較,確認(rèn)插入的KEY與當(dāng)前操作員是否一致,保證專KEY專用。對于關(guān)鍵性數(shù)據(jù)如支付指令等,增加電子簽名以防止客戶對相關(guān)交易抵賴,經(jīng)簽名的指令明文及簽名后的密文信息都將在數(shù)據(jù)庫永久保存,密鑰由CA中存儲的數(shù)據(jù)產(chǎn)生,具備較好的保密性。

2.安全保障機(jī)制。應(yīng)用系統(tǒng)應(yīng)提供用戶身份標(biāo)識唯一的鑒別信息,且具備一定的復(fù)雜度,保證身份標(biāo)識在應(yīng)用系統(tǒng)中不存在重復(fù),且身份鑒別信息不易被復(fù)制;系統(tǒng)自動分配或預(yù)設(shè)的初始密碼,在用戶首次登錄時要強(qiáng)制修改初始密碼,密碼設(shè)置具有一定的復(fù)雜度;系統(tǒng)需設(shè)置閑置時間長度,在閑置時間到期后,自動鎖定客戶端的使用,再次使用時需進(jìn)行身份識別、密碼確認(rèn)。

建立“訪問控制”策略

“訪問控制”就是按用戶身份及其在系統(tǒng)中所承擔(dān)的任務(wù),來限制用戶對某些信息項(xiàng)的訪問,根據(jù)任務(wù)決定某些功能的使用。

1.完善權(quán)限管理。在應(yīng)用系統(tǒng)中,每個用戶所屬角色的權(quán)限可以單獨(dú)設(shè)置。在賦予用戶權(quán)限時,根據(jù)承擔(dān)的任務(wù)不同授予用戶所需的最小權(quán)限,有效避免用戶擁有不必要的操作權(quán)限,要注意角色的不相容性,如記帳人員不能具有審批人員的權(quán)限、系統(tǒng)操作人員不能具有維護(hù)人員的權(quán)限、維護(hù)人員不能具有審計(jì)人員的權(quán)限等等。做到身份不同權(quán)限不同,在業(yè)務(wù)流程上不同業(yè)務(wù)由不同角色人員通過不同流程來完成,來保證業(yè)務(wù)的發(fā)出符合安全管理的需要,一筆業(yè)務(wù)辦理需要不同的角色配合完成,從而提高安全性。

2.強(qiáng)化數(shù)據(jù)保護(hù)。通過標(biāo)記來控制是否允許對敏感數(shù)據(jù)訪問,對敏感數(shù)據(jù)的訪問進(jìn)行強(qiáng)制身份認(rèn)證,并全程日志記錄。為避免系統(tǒng)操作人員獲知數(shù)據(jù)庫訪問密碼,系統(tǒng)將采取對數(shù)據(jù)庫訪問密碼進(jìn)行加密,并存放在一個專門的數(shù)據(jù)庫訪問文件中,應(yīng)用程序通過專門的程序獲與數(shù)據(jù)庫連接信息,從而建立與數(shù)據(jù)的鏈接,避免系統(tǒng)操作人員直接接觸數(shù)據(jù)庫系統(tǒng)的訪問賬號和密碼。從而保證系統(tǒng)操作人員除了使用特定軟件外將無法進(jìn)行直接操作數(shù)據(jù)庫。

建立“通信加密”機(jī)制

通信技術(shù)的發(fā)展帶了效率,同時也數(shù)據(jù)失密的問題,信息在傳輸過程中可能被非法截取或篡改,為了防止發(fā)送的數(shù)據(jù)被盜,通過專門的通信協(xié)議或加密的方式保證傳輸數(shù)據(jù)的安全性。

1.建立加密信道。資金管理系統(tǒng)是基于B/S結(jié)構(gòu)方式運(yùn)行,客戶端通過瀏覽器對服務(wù)端進(jìn)行訪問,其與服務(wù)器端的連接采用SSL連接,SSL是在TCP之上建立了一個加密通道,數(shù)據(jù)在傳輸過程中經(jīng)過發(fā)送方和接收方加密、解密后接受,密鑰由Key中存儲的數(shù)據(jù)產(chǎn)生,電子簽名機(jī)制,使信息具有不可抵賴性。SSL保證了信息傳輸過程中不被偷聽、不被篡改及信息的偽造,通過這一層的數(shù)據(jù)經(jīng)過了加密,從而達(dá)到保密的效果。

2.綁定用戶身份。資金管理系統(tǒng)基本實(shí)現(xiàn)了銀企直接,通過直聯(lián)系統(tǒng)實(shí)現(xiàn)快速交易款項(xiàng)的撥付,提升了資金管理的效率。效率的提升同時也帶來了傳輸安全的問題,如何確保資金管理系統(tǒng)到商業(yè)銀行間數(shù)據(jù)發(fā)送、接收、處理過程中的安全,各商業(yè)銀行基本采取的方法是前置機(jī)與銀行主機(jī)用專線直聯(lián),在數(shù)據(jù)傳輸層采用商業(yè)銀行提供的數(shù)據(jù)加密機(jī)制,即傳輸層采用“服務(wù)端加密機(jī)——客戶端加密機(jī)”所提供的SSL套接層加密,通過第三方數(shù)字證書綁定用戶身份,并對指令數(shù)據(jù)采用第三方數(shù)字證書進(jìn)行簽名加密,實(shí)現(xiàn)傳輸過程防監(jiān)聽、傳輸內(nèi)容防篡改、交易防抵賴,從而確保指令數(shù)據(jù)安全、準(zhǔn)確。

系統(tǒng)安全實(shí)際上就是一種風(fēng)險管理,本文僅從系統(tǒng)建設(shè)初期的規(guī)劃設(shè)計(jì)角度對系統(tǒng)風(fēng)險管理進(jìn)行初步的探討,任何一個信息系統(tǒng)的安全,在很大程度上依賴于最初設(shè)計(jì)時制定的安全策略、采取得安全措施。但任何技術(shù)手段都不能100%保證系統(tǒng)的安全,安全技術(shù)可以降低系統(tǒng)的風(fēng)險系數(shù),俗話說三分靠技術(shù),七分靠管理,人員的管理策略的復(fù)雜性和難度要遠(yuǎn)遠(yuǎn)超于技術(shù)的管理。制訂安全相關(guān)的管理制度,嚴(yán)格規(guī)范操作規(guī)程,定期對用戶進(jìn)行安全培訓(xùn),確保所有的用戶了解并嚴(yán)格執(zhí)行系統(tǒng)安全策略,只有將有效的安全管理實(shí)踐自始至終貫徹落實(shí)于信息安全當(dāng)中,系統(tǒng)安全的長期性和穩(wěn)定性才能有所保證。

猜你喜歡
安全策略加密身份
一種新型離散憶阻混沌系統(tǒng)及其圖像加密應(yīng)用
基于飛行疲勞角度探究民航飛行員飛行安全策略
一種基于熵的混沌加密小波變換水印算法
一種防火墻安全策略沖突檢測方法*
淺析涉密信息系統(tǒng)安全策略
跟蹤導(dǎo)練(三)(5)
媽媽的N種身份
加密與解密
身份案(下)
認(rèn)證加密的研究進(jìn)展