对计算机系统的稽核及案例分析20110618

《对计算机系统的稽核及案例分析20110618》由会员分享，可在线阅读，更多相关《对计算机系统的稽核及案例分析20110618（110页珍藏版）》请在金锄头文库上搜索。

1、 银 行 家 的 摇 篮 1对计算机系统的稽核及案例分析上海明鸿鸿中小银银行培训训中心张张老师师2011.6 银 行 家 的 摇 篮 2引言：银行信息安全面临极大风险2006年4月20日上午10时56分，中国银联系 统通信网络和主机出现故障，造成辖内跨行交 易全部中断。这是2002年中国银联成立以来， 首次全国性因系统故障造成的跨行交易全面瘫 痪。此次故障波及中国银联所属的18个分公司 ，包括广州、深圳、北京、上海、南京、天津 、福建、厦门、云南、大连、青岛等全国大部 分地区，具体表现在ATM机不能跨行取款， POS机不能刷卡消费，网上跨行交易不成功。 银 行 家 的 摇 篮 3综合中国银联上

2、海总部品牌营销部有 关负责人介绍和银联网站紧急通告， 中国银联系统通信网络和主机于上午10时 56分出现故障，网上跨行转账业务、银联 基金通业务和银联网关的网上支付业务三 个类别交易暂时无法进行，跨行交易出现 中断。事发后，中国银联全力以赴组织网 络和主机等相关设备厂商积极抢修。引言：银行信息安全面临极大风险 银 行 家 的 摇 篮 4一、计算机系统的内部控制二、计算机稽核的主要内容三、计算机稽核的标准四、计算机稽核的流程和方法五、案例分析 银 行 家 的 摇 篮 5一、计算机系统的内部控制二、计算机稽核的主要内容三、计算机稽核的标准四、计算机稽核的流程和方法五、案例分析 银 行 家 的 摇

3、篮 6（一）计算机系统的内部控制（1）应用系统业务流程技术基础架构一般流程控制 银 行 家 的 摇 篮 7（一）计算机系统的内部控制（2）应用系统业务流程技术基础架构一般流程控制一般流程控制 评估被稽核应用系统的一般流程 控制包含以下范围： 一般用户帐号的创建，变更及 删除 一般用户权限的分配原则 系统特权用户/管理员帐号的监 管 系统维护变更申请 系统变更流程包括需求提交， 分析，开发，测试，验收及上线 银 行 家 的 摇 篮 8（一）计算机系统的内部控制（3）应用系统业务流程技术基础架构一般流程控制技术基础架构控制评估被稽核应用系统的技术基 础架构包含以下范围： 后台操作系统与数据库 物理

4、环境与硬件 内/外部网络系统 系统补丁开发，测试及安装 源代码检测 网络及系统入侵检测 系统灾备恢复目标及实现方 案 银 行 家 的 摇 篮 9（一）计算机系统的内部控制（4）应用系统业务流程技术基础架构一般流程控制应用及业务流程控制评估被稽核应用系统与业务 流程的以下范围：-数据处理的准确及可靠性 -内置应用控制的有效性 -内置业务流程监控及报错功 能 -业务流程变更对应用系统的 影响 银 行 家 的 摇 篮 10一、计算机系统的内部控制二、计算机稽核的主要内容三、计算机稽核的标准四、计算机稽核的流程与方法五、案例分析 银 行 家 的 摇 篮 11o 目标: n 提供管理方向,支持信息安全1

5、. 信息科技治理（PO1 PO2） 二、计算机稽核的主要内容（1） 银 行 家 的 摇 篮 12o 主要内容 n 信息安全的定义 n 管理目标的说明 n 职责划分 n 范围 n 对特定原理、标准和需求的解释 n 对可疑的安全事件报告的流程说明 n 为保持策略而进行的审阅流程 n 评估政策有效性的方法，包含成本或技术的改变 n 任命政策制定者二、计算机稽核的主要内容（1） 银 行 家 的 摇 篮 案例分析（1）案例一：从以下银行的广告语分析其战略 定位和对信息科技治理的内在要求：o 工行“您身边的银行” o 招商银行“因您而变” o 农行“大行德广，伴您成长” o 光大“阳光在心，服务在行”13

6、 银 行 家 的 摇 篮 14o 目标： l 管理组织内的信息安全 l 保证组织内部的信息处理安全及第三方 对组织信息资产的访问 l 当组织内部的信息资产外包时，明确外 包方的责任 2. 组织架构（PO4） 二、计算机稽核的主要内容（2） 银 行 家 的 摇 篮 15o 主要内容: l 设立管理委员会 l 定义委员会角色 l 分配角色责任 l 建立新购软硬件的采购流程 l 定义第三方对组织资产的访问 o采取步骤保护或检测第三方的非法访问 o外包合同的安全责任二、计算机稽核的主要内容（2） 银 行 家 的 摇 篮 案例分析（2）案例二：计算机组织设置中，哪些岗位或机构需要互斥？16序号岗位/机构

7、1岗位/机构2是否互斥1值班操作人员系统管理员2安全管理员系统管理员3系统开发人员系统维护人员4网络管理员安全管理员5资料保管员安全管理员6科技部总经理个金部总经理7需求提出部门开发维护部门 银 行 家 的 摇 篮 17o 目标: n 保证公司资产得到合理保护，确保信息资 产受到相应等级的保护。 o 主要内容: n 建立资产的登记制度，包括硬件、软件和 信息产品 定义信息体系结构（PO2）3. 资产分类和管理（PO2 PO3 DS9）二、计算机稽核的主要内容（3） 银 行 家 的 摇 篮 18将资产进行分类并标识o 注意:将资产进行分类并标识是进行风险评 估的首要步骤o 数据分类和分级管理o

8、自动化的数据存贮和字典 o 数据语法规则 o 数据所有权和关键性/安全性程度分类o 表述业务的信息模型 o 企业信息体系结构标准信息二、计算机稽核的主要内容（3） 银 行 家 的 摇 篮 19决定技术方向（PO3） o 当前基础设施的容量 o 通过可靠的来源，监测技术发展 o 编制基础设施规划 o 编制技术标准 o 与供应商的关系 o 独立的技术再评估 o 硬件和软件的性能/价格比的变化二、计算机稽核的主要内容（4） 银 行 家 的 摇 篮 20管理配置（DS9） o 资产的追踪 o 配置变更管理 o 未授权软件的检查 o 软件存储控制 o 软件和硬件相互关系和集成 o 自动化工具的使用二、计

9、算机稽核的主要内容（5） 银 行 家 的 摇 篮 案例分析（3）21案例三：请看录像，并回答以下问题：问题1：你认为瑞士汇丰客户资料泄露可能发生在哪个环节？问题2：为避免信息资产泄露，你认为上述环节中需要实施哪些控制措施？问题3：假设你对某分行信息资产进行稽核，你准备如何检查？访谈哪些人员?获取哪些资料？ 银 行 家 的 摇 篮 224. 人员安全（PO7） 二、计算机稽核的主要内容（6）目标:减少因人员差错、偷盗、舞弊和设施误用带来的损失确保用户意识到信息安全威胁，并在日常工作中得到相应指导来支持公司的安全策略最大程度减少信息安全事件和误操作带来的损失，并吸取教训主要内容: 由于不经意或人员

10、操作的意外事故带来的数据和系统风险 银 行 家 的 摇 篮 23在正式岗位说明中明确信息安全职责 o 招募和升职 o 培训和任职要求 o 意识的建立 o 交叉培训和轮岗 o 雇用、检查和解雇程序 o 目标和可测量绩效的评估 o 技术和市场变化的响应 o 内部和外部资源的适当平衡 o 关键职位的继任计划二、计算机稽核的主要内容（6） 银 行 家 的 摇 篮 24案例分析（4）案例四：犯罪分子如何不通过技术手段进入银行的 内部网络实施非法操作？ 银 行 家 的 摇 篮 案例分析（4）地点一：办公室A，电话响职员：你好，我是小王，这里是XX银行信用卡部攻击者： 你好，我是负责银行网络支持的中国电信的

11、李xx,最近全国暴发 了大规模的木马病毒，我们正在进行紧急排查，请问你们办公室的网络 有没有出现问题？职员：嗯，据我所知没有。这里的网络状况良好。攻击者：你能告诉我你的电脑所连接的端口的号码吗？职员：端口？攻击者：就是在你电脑后面，在插网线的地方有注明端口号码。职员：看到了，号码是A123.攻击者：请稍等，端口A123.好的，谢谢。记得有情况及通过电话时 通知我们，我的电话是60123456，再见。25 银 行 家 的 摇 篮 案例分析（4）地点二：此公司的网络管理室，电话响网管： 你好，科技部网络管理员吗？攻击者：你好，我是信用卡部的小王，我们正在接受 银监局的检查，要求我们不能连接到互联网

12、，你可以暂 时停止端口A123的互联网访问半个小时吗？网管：好的，请稍等，好了，已经暂时停止了 。攻击者：谢谢。26 银 行 家 的 摇 篮 案例分析（4）攻击者再次打电话给小王攻击者：你好，这里是中国电信的小李，你的网络是不是出 现问题了？职员:对的，刚才无法访问互联网了。攻击者：嗯，我可以帮你解决，我们设计了一个软件，我把 地址给你，请你去下载并安装这个软件，网址是。 。职员：我执行了这个软件，软件反映报错。攻击者：嗯这说明软件没有被安装成功，这样吧，你不要 再尝试安装了，等我们重新查看服务器后你再试试吧。就这样，一个木马程序被安装到了这台电脑上面。这个案例带给我们的教训是什么？27 银

13、行 家 的 摇 篮 28目标: l 防止未经授权的访问、损坏或干涉业务 系统 l 防止业务系统遭受损失或中断 l 防止信息和信息系统设施的偷盗5. 物理安全（DS12） 二、计算机稽核的主要内容（7） 银 行 家 的 摇 篮 29主要内容: l 在安全区域建立物理准入控制 l 从物理上保护硬件设施不受偷盗 l 保护网络和通信线路不被窃听 l 保护设备不被任意移动或丢弃 l 低调的外观、来访者陪同、抵御外部环境 破坏等二、计算机稽核的主要内容（7） 银 行 家 的 摇 篮 案例分析（5）问题:请大家找一下录像中针对数据中心实施了哪些控制措施?请看录像，并回答以下问题：问题1：NTT香港数据中心有

14、哪些针对物理安全的控 制措施？问题2：除了录像中的措施外，还有哪些方面是金融 行业数据中心应关注和防范的？问题3：假设你对某分行数据中心进行稽核，你准备 如何检查？30 银 行 家 的 摇 篮 31目标: 确保信息处理系统的操作安全准确 最大程度减少系统宕机风险; 保护软件和信息的完整性 保证信息处理系统和通信的完整性及可用性 确保网络信息安全和对网络基础架构的安全 防止资产的损失和业务活动的中断 防止组织之间信息交换中出现的信息损失、改 动或误用6. 通信及操作管理（DS3，DS5） 二、计算机稽核的主要内容（8） 银 行 家 的 摇 篮 32主要内容: 病毒 错误的软件 变更控制 备份 保

15、持正确的访问记录 系统文档的安全 磁介质的销毁 在传输与转换中保护数据及数据的认证 电子邮件的安全二、计算机稽核的主要内容（8） 银 行 家 的 摇 篮 33管理性能和容量（DS3） 可用性和性能需求 自动的监控和报告 模型工具 容量管理 资源的可用性 硬件和软件的性能/价格比变化二、计算机稽核的主要内容（9） 银 行 家 的 摇 篮 34系统安全（DS5） l 保密和隐私要求 l 授权、鉴别和访问控制 l 用户识别和授权特征描述文件 l 需要才能有和需要才能知道原则 l 密钥管理二、计算机稽核的主要内容（10） 银 行 家 的 摇 篮 35l 突发事件的处理、报告和跟踪 l 病毒预防与检测 l 防火墙 l 集中的安全管理 l 用户培训 l 用于监控遵从性、入侵测试和报告的工具二、计算机稽核的主要内容（10） 银 行 家 的 摇 篮 案例分析（6）案例六： 1999年3 月26日，一种利用WORD宏功能 入侵计算机的梅莉莎病毒爆发在短短3 天时间内，有 数十万台计算机受到了感染。该病毒表明电子邮件 可以被用来迅速地在互联网上传播病毒，并导致成 千上万家公司的电脑系 统中电子邮件泛滥成灾，从 而令其电子邮件和电脑网络大 受干扰，甚至全部不 能使用。问题：1、该病毒使用的是什么攻击模式？2、请说明病毒、木马、蠕虫的区别？3、为避免银行计算