《银行网络安全建设方案书》由会员分享，可在线阅读，更多相关《银行网络安全建设方案书（30页珍藏版）》请在金锄头文库上搜索。
1、 . . . XXX银行生产网络安全规划建议书20XX6月目录1项目情况概述32网络结构调整与安全域划分53XXX银行网络需求分析73.1网上银行安全风险和安全需求83.2生产业务网络安全风险和安全需求94总体安全技术框架建议114.1网络层安全建议114.2系统层安全建议134.3管理层安全建议145详细网络架构及产品部署建议155.1网上银行安全建议155.2省联社生产网安全建议175.3地市联社生产网安全建议195.4区县联社生产网安全建议195.5全行网络防病毒系统建议205.6网络安全管理平台建议215.6.1部署网络安全管理平台的必要性215.6.2网络安全管理平台部署建议225.
2、7建立专业的安全服务体系建议235.7.1现状调查和风险评估245.7.2安全策略制定及方案设计245.7.3安全应急响应方案256安全规划总结287产品配置清单29 / 1 项目情况概述Xxx银行网络是一个正在进行改造的省级银行网络。整个网络随着业务的不断扩展和应用的增加,已经形成了一个横纵联系,错综复杂的网络。从纵向来看,目前XXX银行网络分为四层,第一层为省联社网络,第二层为地市联社网络,第三层为县区联社网络,第四层为分理处网络。从横向来看,省及各地市的银行网络都按照应用划分为办公子网、生产子网和外联网络三个大子网。而在省中心网上,还包括网上银行、测试子网和MIS子网三个单独的子网。其整
3、个网络的结构示意图如下：图1.1 XXX银行网络结构示意图XXX银行网络是一个正在新建的网络,目前业务系统刚刚上线运行,还没有进行信息安全方面的建设。而对于XXX银行网络来说,生产网是网络中最重要的部分,所有的应用也业务系统都部署在生产网上。一旦生产网出现问题,造成的损失和影响将是不可估量的。因此现在急需解决生产网的安全问题。本次对XXX银行网络的安全规划仅限于生产网以及与生产网安全相关的网络部分,因此下面我们着重对XXX银行的生产网构架做一个详细描述。一省联社生产网络l省联社网络生产网络是全行信息系统的核心,业务系统、网上银行系统及管理系统都集中在信息中心。l省联社网络生产网络负责与人行及其
4、他单位中间业务的连接。l省联社网络生产网络负责建立和维护网上银行。l省联社网络生产网络中包含MIS系统和测试系统。l操作系统主要有：OS/400、AIX、Linux、Windows,以及其它设备的专用系统。l数据库系统包括：DB2、INFORMIX、SYBASE、ORACLE等。l业务应用包括：u生产业务：l一线业务：与客户直接关联的业务,如ATM、POS、柜员终端等l二线业务：不直接与客户相关的业务,如管理流程、公文轮流转、监督、决策等,为一线业务的支撑。二地市联社生产网络l地市联社生产网络是二级网络,通过两条互为备份的专线与省联社中心网络互连。l操作系统主要有：UNIX、WINDOWS。三
5、区县联社生产网络l区县联社生产网络是三级网络,通过2M SDH/或者10M光纤以太网ISDN备份等方式与管辖支行的网络连接。l操作系统主要有：UNIX、WINDOWS。四分理处生产网l分理处是四级网络,各个分理处通过2M SDH或者ISDN等方式与管辖区县联社的网络连接。由于区县联社及分理处的网络目前还处在组网的初级阶段,网络构造简单且还没有能力进行完善的网络安全建设和管理,因此本次规划主要是对省及地市联社的网络安全部分。当把省及地市部分的网络建成一个比较完善的安全防护体系之后,再逐步的将安全措施和手段应用于下层的区县联社及分理处。从而实现整个网络的重点防护、分步实施策略。2 网络结构调整与安
6、全域划分对于XXX银行生产网络来说,首要的一点就是应该根据国家有关部门对相关规定,将整个生产网络进行网络结构的优化和安全域的划分,从结构上实现对安全等级化保护。根据中国人民银行计算机安全管理暂行规定试行的相关要求：第六十一条联网上的所有计算机设备,不得直接或间接地与国际互联网相联接,必须实现与国际互联网的物理隔离。第七十五条计算机信息系统的开发环境和现场应当与生产环境和现场隔离。因此我们有必要对现有网络环境进行改造,以将生产业务网络包括一线业务和二线业务与具有互联网连接的办公网络之间区分开来,通过强有力的安全控制机制最大化实现生产系统与其他业务系统之间的隔离。同时,对XXX银行所有信息资源进行
7、安全分级,根据不同业务和应用类型划分不同安全等级的安全域,并分别进行不同等级的隔离和保护。初步规划将省联社生产网络划分成多个具备不同安全等级的区域,参考公安部发布的信息系统安全保护等级定级指南,我们对安全区域划分和定级的建议如下：安全区域说明定级建议生产区域包含一线业务服务器主机3级MIS区域包含二线业务服务器主机2级网上银行区域包含网上银行业务服务器主机2级运行管理区域包含维护网络信息系统有效运行的管理服务器主机和管理终端2级测试区域包含新开发的生产应用的测试环境,可视为准生产环境1级办公服务器区域包含办公业务系统服务器主机2级对于各地市、区县联社和各营业网点也需要将生产业务和办公业务严格区
8、分开,并进行逻辑隔离,确保生产区域具有较高安全级别。由于部分办公业务用户需要访问生产业务中的特定数据,而部分生产应用也需要访问办公网中的特定数据,因此无法做到生产、办公之间彻底的物理隔离,建议在各级联社信息中心提供生产网与办公网之间的连接,并采用逻辑隔离手段进行控制,对于营业网点,由于作隔离投入太大,可暂时不考虑隔离。改造后的总体逻辑结构如图所示：图2.1 XXX银行网络安全结构示意图网络改造后,全行办公系统将统一互联网出口,所有办公终端只允许在通信行为可控的情况下才能通过信息中心办公网络的互联网出口访问外界网络,生产业务服务器和终端不允许采取任何手段直接访问互联网或通过办公网间接访问互联网。
9、网上银行因业务需要必须连接互联网,但只允许互联网用户对网银门户的访问以及认证用户对网银WEB服务器的访问,生产业务服务器和终端不允许采取任何手段直接访问互联网或通过网银网络间接访问互联网。3 XXX银行网络需求分析随着XXX银行金融信息化的发展,信息系统已经成为银行赖以生存和发展的基本条件。相应地,银行信息系统的安全问题也越来越突出,银行信息系统的安全问题主要包括两个方面：一是来自外界对银行系统的非法侵入,对信息系统的蓄意破坏和盗窃、篡改信息行为；二是来自银行部员工故意或无意的对信息系统管理的违反。银行信息系统正在面临着严峻的挑战。银行进行安全建设、加强安全管理已经成为当务之急,其必要性正在随
10、着银行业务和信息系统如下的发展趋势而更加凸出：银行的关键业务系统层次丰富,操作环节多,风险也相对比较明显；随着电子银行和中间业务的广泛开展,银行的网络与Internet和其他组织机构的网络互联程度越来越高,使原本相对封闭的网络越来越开放,从而将外部网络的风险引入到银行部网络；随着银行业务集中化的趋势,银行业务系统对可靠性和无间断运行的要求也越来越高；随着WTO的到来和外资银行的进入,银行业竞争日益激烈,新的金融产品不断推出,从而使银行的应用系统处于快速的变化过程中,对银行的安全管理提出了更高的要求。中国国各家银行也已经开始进行信息安体系建设,其中最主要的措施就是采购了大量安全产品,包括防火墙、
11、入侵检测系统、防病毒和身份认证系统等。这些安全产品在很大程度上提高了银行信息系统的安全水平,对保护银行信息安全起到了一定作用。但是它们并没有从根本上降低安全风险,缓解安全问题,这主要是因为：l 信息安全问题从来就不是单纯的技术问题,把防黑客入侵和病毒感染理解为信息安全问题的全部是片面的。安全产品的功能相对比较狭窄,往往用于解决一类安全问题,因此仅仅通过部署安全产品很难完全覆盖银行信息安全问题；l 信息安全问题不是静态的,它总是随着银行策略、组织架构、信息系统和操作流程的改变而改变。部署安全产品是一种静态的解决办法。一般来说,在产品安装和配置后较长一段时间,它们都无法动态调整以适应安全问题的变化
12、。所以,银行界的有识之士都意识到应从根本上改变应对信息安全问题的思路,建立更加全面的安全保障体系,在安全产品的辅助下,通过管理手段体系化地保障信息系统安全。下面我们将通过分析XXX银行改造后的网络结构下可能面临的安全问题,对XXX银行主要是生产网目前的安全需求进行总体分析。根据实际项目进度安排,我们将分别对网上银行系统、生产业务系统进行分析。3.1 网上银行安全风险和安全需求针对目前最常见的互联网攻击类型以及国外网上银行系统通常面临的安全威胁,结合XXX银行的实际情况,我们认为在XXX银行网上银行网络可能面临的安全风险和对应的安全需求如下：序号风险名称受影响对象安全需求1漏洞操作系统,数据库系
13、统,应用软件评估、加固打补丁,安装加固软件2网页篡改网银WEB和门户WEB服务器打补丁,安装防篡改软件,容过滤3网络仿冒网银客户培训客户的安全防护意识安装IE反钓鱼插件；认清银行,不在虚假站点中填写ID和密码；采用CA认证和SSL加密4蠕虫和病毒所有windows和linux平台客户端：建议或强制安装防病毒软件/插件服务器：安装相应平台防病毒软件网银WEB区域与互联网之间：防病毒网关网银与核心层之间：防病毒网关5非法入侵和攻击网络级、应用级所有网段防火墙、IDS需检测应用级攻击及SSL加密攻击6拒绝服务攻击网银WEB区域抗DOS攻击产品7网页恶意代码木马、间谍软件、广告软件、拨号器dialer
14、s、key logger、密码破解工具和远程控制程序等网银客户windows,ie浏览器linux不受影响培训客户的安全防护意识在计算机上安装防病毒工具并及时更新；采用相对安全的浏览器或在IE中安装各类安全控件；对不明不要打开,并及时删除；提高对个人资料、账户、密码的保护意识；及时修改银行的原始密码；不要采用、生日、手机及过分简单的数字作为密码；不要在网吧等公共场所操作网上银行业务。8僵尸网络DDOS、垃圾、网页仿冒、网页攻击的被动发起者互联网上大量不安全的主机可能成为僵尸,被利用来向网银进行攻击通过上述手段加强自身防护3.2 生产业务网络安全风险和安全需求对于生产业务网络而言,可能存在的安全
15、风险和对应的安全需求如下：序号风险名称风险来源受影响对象安全需求1漏洞自身操作系统,数据库系统,应用软件评估、加固打补丁,安装加固软件2蠕虫和病毒移动存储介质、网络通讯所有windows和linux平台客户端/服务器：安装相应平台防病毒软件网银与生产业务网络之间：防病毒网关3非法入侵和攻击网络级、应用级所有需要访问或可能访问到一线业务的用户一线业务生产主机防火墙、入侵检测网上银行区域生产业务网络防火墙、入侵防御网上银行区域、相关外部单位网络、办公业务网络生产业务网络防火墙、入侵检测4数据窃密、篡改非法闯入者在局域网或广域网上传输的业务数据,存放在客户端本地的业务数据网络准入控制、桌面安全控制5非法访问、越权访
