爱华网摘要：究竟如何才能构建真正的安全可靠的银行信息安全体系？随着威胁技术的不断发展，当前条件下仅仅利用某一种防御技术已经很难真正抵御威胁，我们需要的是纵深化的、全面的防御，只有构建了综合的、多点的纵深防御，才能使银行信息安全得到保障。本文介绍纵深防御中的几个重要的环节。 一、引言 计算机的广泛应用把人类带入了一个全新的时代，特别是计算机网络的社会化，已经成为了信息时代的主要推动力。随着计算机网络技术的飞速发展，信息技术正在以惊人的速度渗透到金融行业的各个领域。但信息技术同时又是一把“双刃剑”，它既为银行经营管理带来巨大发展机遇的同时，也带来了严峻的挑战，那就是网络的开放性和自由性也产生了信息和数据被破坏或侵犯的可能性，网络信息的安全性变得日益重要起来。特别是如同瘟疫般的计算机病毒及危害公共安全的恶意代码的广泛传播，损失惊人的计算机犯罪案件迅速增长，迫使我们必须冷静地研究和解决银行信息系统的安全问题。 二、银行信息系统面临的威胁 目前，银行计算机信息系统的安全主要面临以下威胁： 1、计算机病毒。伴随着计算机技术的推广普及，计算机病毒也在不断地发展演变，其危害越来越大。目前的特点是：流行广泛、种类繁多、潜伏期长、网络传播、破坏力大，对计算机信息系统的安全构成了长期与现实的威胁。它像灰色的幽灵将自己附在其他程序上，在这些程序运行时进人到系统中进行扩散。计算机感染上病毒后，轻则使系统上运行效率下降，重则造成系统死机或毁坏，使部分文件或全部数据丢失，甚至造成计算机主板等硬件的损坏。 2、黑客攻击和间谍软件。这是计算机网络所面临的最大威胁。此类攻击又可以分为2种：一种是网络攻击，以各种方式有选择地破坏对方信息的有效性和完整性；另一类是网络侦察，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得银行重要的机密信息。与计算机病毒不同，间谍软件的主要目的不在于对系统造成破坏，而是窃取系统或是用户信息。它可以监视用户行为，或是发布广告，修改系统设置，威胁用户隐私和计算机安全，并可能不同程度的影响系统性能。 3、垃圾邮件。一些人利用电子邮件地址的“公开性”和系统的“可广播性”进行商业、宗教、政治等活动，把自己的电子邮件强行“推入”别人的电子邮箱，强迫他人接受垃圾邮件。垃圾电子邮件消耗网络资源，充斥电子邮件。据报道仅MSN、Hotmail每天就要处理将近30亿封垃圾邮件，如果垃圾电子邮件充斥收件箱，不仅威胁银行工作效率，而且还是恶意代码的常用载体。 4、系统漏洞。利用计算机操作系统、信息管理系统、网络系统等的安全漏洞，进行窃密与破坏活动。网络软件不可能是百分之百的无缺陷和无漏洞，各类软件系统总是存在一些缺陷或漏洞，有些是疏忽造成的，有些则是软件公司为了自便而设置的，这些漏洞或“后门”一般不为其他人所知，但一旦洞开，后果将不堪设想。 5、非法访问。外部人员利用非法手段进入安全保密措施不强的计算机信息系统，对系统内的信息进行修改、破坏和窃取。如果通过Internet网络发送的敏感数据如果没有适当的加密，可能会泄密。此外，现在黑客使用更加高级的应用程序层攻击，所以银行必须使用应用程序防火墙，以确保流量在进入内部网络之前得到过滤。非法访问有口令破解、IP欺骗、DNS欺骗、特洛伊木马等几种方式。 6、网络钓鱼。是指盗取他人个人资料、银行及财务账户资料的网络相关诱骗行为，可分为诱骗式及技术式两种。诱骗式是利用特制的电邮，引导收件人连接到特制的网页，这些网页通常会伪装成真正的银行或理财网页，令登录者信以为真，输入信用卡或银行卡号码、账户名称及密码等；技术性的网络钓鱼软件则是将程序安装到受害者的电脑中，直接盗取个人资料或使用木马程序、按键记录程序等。 三、计算机信息安全问题的渊源 为了解决分布在信息网络中的各种安全问题，银行逐步建立起来不同的安全系统，如防病毒系统、防火墙系统、入侵检测系统等，但随着安全系统建设越来越大，安全防范技术越来越复杂。由于受技术条件的限制，很多人对网络安全的意识仅仅停留在如何防范病毒阶段，对技术本身存在着的安全弱点、系统缺乏安全性实践、网络技术策略单一、信息整体安全保护意识差等缺乏深刻的认识。面对形势日益严峻的现状，很多时候我们都显得有些力不从心。 银行信息的脆弱和威胁源于以下几个方面的原因： 1、Internet所用底层TCP/IP网络协议本身易受到攻击，该协议本身的安全问题极大地影响到上层应用的安全。 2、Internet上广为传插的易用黑客和解密工具使很多网络用户轻易地获得了攻击网络的方法和手段。 3、快速的软件升级周期，会造成问题软件的出现，经常会出现操作系统和应用程序存在新的攻击漏洞。 4、制度管理方面存在不足。目前不少基层单位没有从管理制度、人员和技术上建立相应的安全防范机制，缺乏行之有效的安全检查保护措施。 5、人为因素。人为因素其实是网络安全问题的最主要的因素。人为的无意失误，如操作员配置不当造成的安全漏洞，用户安全意识不强，口令选择不慎，将自己的账号随意转借他人或与别人共享等；人为的恶意攻击，如个别人员利用合法身份与外联网络非法链接，造成失泄密，甚至有一些网络管理员利用职务之便从事网上违法活动。 四、银行信息安全纵深化防御的举措 银行计算机信息系统安全是一个涉及范围很广的课题，它包含两个层次的含义，一是信息系统数据与信息的安全与保密；二是计算机信息系统本身的安全与保护。针对现代银行数据高度集中、网络结构庞大的特定条件，一般将一个完整的银行安全体系定义为由“实体安全”、“运行安全”和“信息安全”三部分组成（见图一）。 实体安全是整个计算机信息系统安全的前提和保证，它主要包括环境安全、设备安全、通信安全三方面；运行安全是为了保障计算机系统功能的实现所采取的一套安全措施，如风险分析、审计跟踪、备份与恢复、应急管理等；而信息安全是整个安全体系的核心和难点，它涉及到操作系统安全、数据库安全、应用系统安全、网络安全，防病毒、访问控制、鉴别技术等多个环节。信息安全管理是信息系统安全的灵魂，其贯穿于实体安全、运行安全和信息安全三个层面，以上任何一个层次的安全，又都包含了技术和管理两个方面，两方面相互补充，缺一不可。技术方面主要侧重于各种技术手段的使用，管理方面则侧重于内部人为因素的管理。基于以上安全威胁和信息安全体系层次的划分，在信息安全防范建设中，只有考虑技术使用和管理方法共用，将管理和技术有机结合起来，构建综合的、多点的纵深化防御，才能使银行信息安全得到保障。下面介绍纵深化防御中的几个重要的环节。 （一）网络安全的多层保护 1、网络边缘保护 网络边缘保护是指通过智能地选择并应用网络技术来保护网络边界的安全。银行网络边界主要指与有业务关系的外单位的连接（如银行代收费业务需与电信、移动等公司的网络连接）及与Internet的连接，与此同时我们在网络边缘或网关位置应用防病毒和反垃圾邮件保护，可以阻止基于如HTTP或SMTP的威胁进入银行内部网络。网络边缘保护为银行网络建立起一堵类似的城墙来抵御网络入侵者，防范和减小了资深黑客仅仅只需接入互联网、写入程序就可访问银行网的几率。 2、服务器保护 安全威胁可以来自网络内部和网络外部，以及通过授权的计算机发起攻击。例如，员工可能无意中将一个受病毒感染的文件从USB设备复制到一台安全的计算机中。因此前端和后端服务器都必须提供防病毒保护。而网关保护可以消除大部分威胁，在消息传递和协作服务器中安装防病毒软件则可以提供额外的防御线，并遏制内部事件的威胁，让它们永远不能达到网关。 3、客户端保护 尽管不是消息传递和协作基础结构的组成部分，但受危害的客户端可以自由地访问一些安全区域。因此，必须在客户端上提供桌面防病毒、反垃圾邮件和个人防火墙保护。同时需要在客户端部署防止用户转发、打印或共享机密材料的信息控制技术。 4、信息本身保护 信息本身保护是一项任重而道远的任务。通常，银行使用基于周边的安全方法来保护数字信息。防火墙可以限制对于网络的访问，而访问控制列表(ACL)—见下表，可以限制对于特定数据的访问。此外，银行还使用加密和身份验证技术、产品在邮件传送时提供保护，同时帮助确保目标收件人是第一个打开邮件的人。 （二）内外子网的安全防护 银行网络除了采用先进的网络产品和技术（如防火墙技术），制定网络安全防护的策略（如确定网络边界、存取控制列表、应用隔离等）外，堵住黑客攻击的一个重要的措施是防止银行网络非法拨号外联，使银行网络真正成为金融机构专用的网络。网络非法外联的危害是从内部网络建立一条通向外部Internet网的秘密通道，绕过了整个网络边界和安全防护措施（如部署在网络出口的防火墙、网络监控工具等），对内部网络信息安全构成极大威胁，极易造成数据泄密、黑客入侵等严重后果。 在银行的办公系统中，网络安全防范主要考虑内部子网内的病毒防范、内部子网间的网络病毒防范、内网与外网Internet网之间的病毒防范以及针对移动存储介质的病毒防范。内外网的服务器和单机必须分别安装防病毒墙软件，内网与外网Internet网之间通过安全防火墙物理进行隔离。利用防火墙对内部网络的划分，实现内部重点网段的隔离，从而降低局部重点或敏感网络安全问题对全局网络造成的影响。对于接入系统的各种存储介质，首先应利用正规杀毒软件彻底地进行查毒、清除病毒的操作，在确认无误后方可接入系统。 （三）信息安全技术防范策略 除了在整个网络中提供多个防御层之外，信息安全体系还应使用多种技术来防止安全威胁，它并非依赖于单一技术来防御攻击，从而消除了银行整个安全体系结构中的单点故障。目前最常用的信息安全技术和信息安全产品，内容包括了：防火墙技术、入侵检测技术、虚拟专用网、访问控制技术、漏洞评估、防病毒技术、系统补丁产品管理和系统备份和恢复等。 1、防火墙技术。防火墙是网络安全的屏障，配置防火墙是实现网络安全最基本、最经济、最有效的安全措施之一。防火墙是指一个由软件和硬件设备组合而成，处于银行计算机与外界通道之间，限制外界用户对内部网络访问及管理内部用户访问外界网络的权限。当一个网络接上Internet之后，系统的安全除了考虑计算机病毒、系统的健壮性之外，更主要的是防止非法用户的入侵，而目前防止的措施主要是靠防火墙技术完成。防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险（见图二）。首先防火墙可以强化网络安全策略，通过以防火墙为中心的安全方案配置，能将所有安全软件(如口令、加密、身份认证)配置在防火墙上。其次对网络存取和访问进行监控审计，如果所有的访问都经过防火墙，防火墙就能记录下这些访问并做出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息和清单。 2、入侵检测技术。入侵检测系统(Intrusion Detection System简称IDS)是从多种计算机系统及网络系统中收集信息，再通过这此信息分析入侵特征的网络安全系统。IDS被认为是防火墙之后的第二道安全闸门，假如说防火墙是一幢大楼的门锁，那入侵监测系统就是这幢大楼里的监视系统。它能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击;在入侵攻击过程中，能减少入侵攻击所造成的损失;在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入策略集中，增强系统的防范能力，避免系统再次受到同类型的入侵。 入侵检测技术的功能主要体现在以下方面：监视分析用户及系统活动，查找非法用户和合法用户的越权操作。检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞;识别反映已知进攻的活动模式并向相关人士报警;对异常行为模式的统计分析;能够实时地对检测到的入侵行为进行反应;评估重要系统和数据文件的完整性;发现新的攻击模式等。 3、虚拟专用网(Virtual private network简称VPN)。VPN技术是指在公共网络中建立专用网络，数据通过安全的“加密管道”在公共网络中传播。银行只需要租用本地的数据专线，连接上本地的公众信息网，各地的机构就可以互相传递信息；同时，银行还可以利用公众信息网的拨号接入设备，让自己的用户拨号到公众信息网上，就可以连接进入其它网中（见图三）。使用VPN有节省成本、提供远程访问、扩展性强、便于管理和实现全面控制等好处，是目前和今后银行网络发展的趋势。 4、访问控制技术。访问控制是计算机信息系统安全的关键技术，它是网络安全防范和保护的主要策略，是维护网络系统安全、保护网络资源的重要手段，它的主要任务是保证网络资源不被非法使用和非常访问。访问控制技术主要包括7种：①入网访问控制；②网络的权限控制；③目录级安全控制；④属性安全控制；⑤网络服务器安全控制；⑥网络监测和锁定控制；⑦网络端口和节点的安全控制。 5、漏洞评估。漏洞评估是网络安全防御中的一项重要技术，其原理是根据已知的安全漏洞知识库，对目标可能存在的安全隐患进行逐项检查。目标可以是工作站、服务器、交换机、数据库应用等各种对象。然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平产生重要依据。在网络安全体系的建设中，安全扫描工具花费低、效果好、见效快、与网络的运行相对独立、安装运行简单，可以大规模减少安全管理员的手工劳动，有利于保持全网安全策略的统一和稳定。 漏洞评估技术基本可分为基于主机的和基于网络的两种，前者主要关注软件所在主机上面的风险漏洞，而后者则是通过网络远程探测其它主机的安全风险漏洞。漏洞评估通过对系统进行动态的试探和扫描，找出系统中各类潜在的弱点，给出相应的报告，建议采取相应的补救措施或自动填补某些漏洞。通过漏洞评估，网络管理人员能提前发现网络系统的弱点和漏洞，防范于未然。 6、防病毒产品。随着计算机技术的不断发展，计算机病毒变得越来越复杂和高级，对计算机信息系统构成极大的威胁。在病毒防范中普遍使用的防病毒软件，从功能上可以分为网络防病毒软件和单机防病毒软件两大类。单机防病毒软件一般安装在单台PC上，即对本地和本地工作站连接的远程资源采用分析扫描的方式检测、清除病毒。网络防病毒软件则主要注重网络防病毒，一旦病毒入侵网络或者从网络向其它资源传染，网络防病毒软件会立刻检测到并加以删除。针对目前日益增多的计算机病毒和恶意代码，根据所掌握的这些病毒的特点和病毒未来的发展趋势，国家计算机病毒应急处理中心与计算机病毒防治产品检验中心制定了以下的病毒防治策略，供计算机用户参考。①建立病毒防治的规章制度，严格管理；②建立病毒防治的应急体系；③进行计算机安全教育，提高安全防范意识；④对系统进行风险评估和识别；⑤选择经过公安部认证的病毒防治产品；⑥正确配置系统，减少病毒侵害事件；⑦定期检查敏感文件，适时进行安全评估，调整各种病毒防治策略；⑧建立病毒事故分析制度，确保完整恢复。 7、系统补丁管理。据瑞星报道“冲击波”病毒在爆发前9个月，微软就发布了针对微软产品存在远程过程调用（RPC）的系统漏洞的补丁，由于用户麻痹心理没有来得及打系统补丁，是造成病毒泛滥的一个重要因素。2005年3月29日，在全国某行的多个省行“强风”病毒的重新发作，就是因为有些单位用户未安装防病毒软件和及时安装相应的系统补丁。 大部分的网络病毒都会利用系统的漏洞进行传播，而且出现新病毒利用系统漏洞的时间周期会越来越短，从某种意义上来说，“系统漏洞”和“病毒”是一对孪生兄弟，从而给病毒防治工作增加难度。加强系统补丁管理是减少病毒感染、损失的一个重要方面。现在微软操作系统软件一般在每个月都发布新的系统补丁，建议用户应及时进行系统更新。 8、系统备份和故障恢复。为使计算机系统能最大限度地正常运行，保证数据信息的连续性和完整性，需要在出现异常情况下，及早修复计算机系统，恢复原有的数据信息，这就涉及到数据信息的备份和恢复。安全的备份系统应该是全方位、多层次的。首先要使用硬件备份来防止硬件故障，如果由于软件故障或人为因素造成了数据的损坏，则使用网络存储系统进行备份。在网络系统安全建设中必不可少的一个环节就是数据信息的常规备份和历史备份。数据备份一般要求一份数据至少应有两个拷贝，一份放在生产中心以保证数据的正常恢复，另一份则要异地保存，以保证在生产中心出现灾难后最低限度地恢复数据；数据备份有两种方式：完全备份、增量备份。 完全备份：将选定的数据源完全备份到指定目的地的备份档案中。每次执行时，它不会根据最新的变动比较后进行备份，而是直接将所有的数据备份到备份档案中。 增量备份：第一次执行备份时等同于完全备份，把数据源完全备份到指定目的地的备份档案中，此后，每次只备份文件内容有变动以及新增的文件，从而避免完全相同的文件重复的备份，并为每次备份建立一个备份编录，以便恢复使用。 数据恢复就是在系统出现故障时，能够迅速地恢复计算机系统，数据恢复可以从作业中直接恢复数据，也可以从备份档案中恢复数据。 综上所述，如果将计算机系统网络比作一个城堡，那么信息安全技术的几个策略可以通俗表述为： ●防火墙就是城堡的护城桥——只允许己方的队伍通过。●入侵监测系统就是城堡中的了望哨——监视有无敌方或其他误入城堡的人出现。 ●虚拟专用网就是城堡外到城堡内的一个安全地道——有时城堡周围遍布敌军而内外需要联络。 ●访问控制技术就是护城桥上的检查哨——对过往城堡中的人身份的合法性进行验证和确认。 ●漏洞评估就是巡锣——检测城堡是否坚固以及是否存在潜在隐患。 ●防病毒产品就是城堡中的将士——想方设法把发现的敌人消灭。 ●系统补丁就是城堡中的应急人员——对城堡哪些不坚固、有隐患的地方及时进行加固和修缮。 ●系统备份和恢复就是在别的地方提前建好一个备用的城堡基地——如果城堡被敌方攻陷后，我方撤退的一个后备根据地。 （四）信息安全管理与制度对策 在计算机系统中，绝对的安全是不存在的，制定健全的安全管理体制是计算机安全的重要保证，只有通过安全管理人员与使用人员的共同努力，加强计算机安全防范知识和计算机安全技术的培训，强化使用人员和管理人员的安全防范意识，运用一切可以使用的工具和技术，尽一切可能去控制、减小一切非法的行为，尽最大努力地把不安全的因素降到最低。在规章制度制定中，必须遵循以下原则。 1、分离与制约原则 在业务和技术管理工作中实行前、后台职责分离，运行人员与开发人员分离，生产机与开发机（测试机）分离，密钥分离和权限分级管理。
2、最小授权原则 对资源的访问和使用要遵循授权的原则，对不同的用户所能访问的资源要根据各自的需要进行分别授权，经过授权的用户能且只能访问所授权的资源，没有授权的用户严禁访问系统资源。 3、纵深防御原则 安全体系不能只依靠单一的安全机制和多种安全服务的堆砌，而是要建立具有信息流方向和横向结构层次的体系。纵深防御这种方法就是在网络中的多个点使用多种安全技术和必要的冗余和备份，从而减少攻击者利用关键业务资源或信息泄露到银行外部的总体可能性。所有机制必须有效，但不能对它们中的任何一个给予绝对信任。 4、预防为主原则 安全管理采取预防为主的原则，当软件和系统受到如计算机病毒等的侵害，局部或全部数据和功能受到损害，使系统不能工作或工作效率急剧下降时，需要立即启动应急措施，将不安全事件的发生损失控制在最低限度。 5、简单易操作原则 安全措施和设备操作需要人去完成，如果过于复杂，对人的要求过高，本身就降低了安全型；新措施和设备的采用不能影响系统的正常运行。 6、可审计原则 用户对特定的系统资源的访问和操作，系统进行必要的记录，为安全管理提供审查依据，为安全性能的提高和安全制度的制定、完善提供依据。 在信息安全保护中，围绕以上安全防范基本原则，制定严格的信息安全规章制度，对于确保信息及信息系统的安全、可靠地运行，将起到十分有效的作用。 第一，科学合理设置信息技术岗位，针对流程管理中人（People）、过程(Process)和技术(Technology)制定严格的业务管理制度，切实落实岗位责任制，特别要杜绝不相容岗位的混岗、代岗和一人多岗的现象； 第二，建立和完善信息科技考评管理制度，逐步建立科学、合理的评价模型和指标体系，科学界定、分解和落实信息科技各级管理部门职责。建立紧急响应和异常处理的快速安全反应机制。 第三，建立健全信息安全管理制度体系，制定信息安全的相关管理规章制度，防范由此带来的各类风险。安全管理制度主要包括：人事组织安全管理制度、操作安全管理制度、场地和设施安全管理制度、软件平台安全管理制度、IT外包安全管理制度、网络安全管理制度、应用软件安全管理制度、数据安全管理制度、机密资源安全管理制度和应急安全管理制度等。 第四，加强信息系统运维管理，建立健全监控管理、问题管理、事件管理、配置管理和变更管理等管理制度，解决信息技术管理中的信息不对称现象。 第五，逐步推行信息安全风险管理制度，完善信息风险识别、评估、分析和规避办法，制定信息安全风险应急管理计划。 第六，实行IT审计，采用客观标准对信息系统规划、开发、使用、管理和运维等相关活动进行完整地、有效地检查和评估并提出改进建议，以保障信息安全，强化投资效果。 五、结束语 计算机的信息安全问题越来越受到人们的重视，本文简要分析了银行计算机系统存在的几种安全威胁，并探讨了计算机信息安全纵深化防范的举措。总的来说，计算机信息安全不仅仅是技术问题，同时也是一个安全管理问题，安全技术是信息安全管理的工具，安全管理则是利用工具保障信息安全的手段，信息安全防范体系应贯穿管理和技术并重的思想。信息安全防范体系的建立不是一劳永逸的，信息系统自身的情况也在不断变化，新的安全问题也会不断涌现，我们必须综合考虑安全因素，制定合理的目标、技术方案和相关的制度规章等，不断对体系进行及时的维护和更新，以保证信息安全防范体系的良性发展，确保银行信息系统的安全、稳定和有效。
