《网上银行系统强制性访问控制要求及实现方法》由会员分享，可在线阅读，更多相关《网上银行系统强制性访问控制要求及实现方法（4页珍藏版）》请在金锄头文库上搜索。
1、网上银行系统强制性访问控制规定及实现措施 -11-07 14:3来源:中国电子银行网字号：小|大导语:网上银行系统信息安全通用规范是金融机构开展网上银行系统建设的规范性根据，同样是行业主管部门、评估检测机构进行检查、检测及认证的原则化根据。因此,进一步理解规范规定，对各方加强信息安全建设有着重要的意义，本文重要简介了规范中的强制访问控制概念及实现措施。由中国人民银行组织编制的金融行业原则网上银行系统信息安全通用规范(T 06-）（如下简称网银规范)于5月终于发布了正式版本。同之前的版本比较,变化较为明显。例如网银规范在主机安全和应用安全面新增长了对强制访问控制的规定，笔者及团队在协助银行进行自
2、检的过程中就遇到了行方对该项规定的某些疑惑。本文将简介强制访问控制的某些概念及实现措施。先引用一下网银规范的规定项：“613 主机安全增强规定:c)应对重要信息资源设立敏感标记。d)应根据安全方略严格控制顾客对有敏感标记重要信息资源的操作。.1.4.4 应用安全增强规定:e)应具有对重要信息资源设立敏感标记的功能。f)应根据安全方略严格控制顾客对有敏感标记重要信息资源的操作。”网银规范对主机、应用的强制访问控制规定为增强规定。按照规范，增强规定为该原则下发之日起的三年内应达到的安全规定。其实在信息安全技术-信息系统安全级别保护基本规定(G/T22239）三级信息系统的主机安全规定及应用安全规定
3、中就有了对重要信息资源设立敏感标记,根据安全方略严格控制顾客对有敏感标记重要信息资源操作的规定。访问控制是信息安全防备和保护的重要方略,用于保证信息资源不被非法使用和访问。访问控制是软件安全模型最重要的组件之一，可分为自主访问控制和强制访问控制两大类访问控制措施。在自主访问控制下，顾客可以对其创立的文献、数据表等进行访问,并可自主地将访问权授予其她顾客。此类操作系统在TCSEC中约等同于C2级或以上。在强制访问控制下,系统对需要保护的信息资源进行统一的强制性控制，按照预先设定的规则控制顾客、进程等主体对信息资源的访问行为。此类操作系统在TCSEC中约等同于B级或以上。目前国内银行主流的商用服务
4、器操作系统一般采用自主访问控制机制,高级别主体如rot、administrator等默认获得所有客体的访问控制权,一旦位于最高级别的超级管理员账号、密码等信息被袭击者盗取并成功运用，操作系统将无任何安全性可言。近年来本地提权漏洞层出不穷,袭击者可以运用漏洞获取操作系统最高权限,对系统上的有关文献等资源进行查看、修改、删除等操作。自主访问控制对系统的资源控制力度不到位,也难以避免通过隐秘信道向TC外部泄露信息。由于发达国家在核心产品及技术出口上的限制,B1级以上系统不对国内出口，因此国内普遍使用的商用服务器操作系统为2级，没有强制访问控制机制,不满足级别保护三级的规定。当时在制定等保规范的时候,
5、有关专家也就这个问题进行过讨论,考虑到长期依赖国外进口操作系统使整个信息化基本建设面临的巨大风险,最后还是没有减少对三级系统的规定。强制访问控制的规定作为一块悬石在等保评测过程中不断提示着被测单位。强制访问控制重要特点是系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体(主体可以访问客体,如顾客、程序进程、)和访问客体（如文献、存储空间、网络套接字等可被使用的系统资源)分派不同的安全级别属性(敏感标记)。在实行访问控制时,系统先对访问主体和访问客体的安全级别属性进行比较，再根据事先制定的安全方略决定访问主体能否访问该受控对象。在强制访问控制模型中，主客体安全级别和安全方略一般由安全管
6、理员制定。一经完毕,就无法再由顾客进行变更。软件的访问控制机制是软件开发过程中必须要考虑到的安全需求之一。网银规范对网银应用安全进行了专门的规定，内容已经比较全面和具体,可以作为网银开发方在设计系统安全模型时的要点来参照。国内有某些自主开发的操作系统实现了强制访问控制机制，一般的操作系统要想实现强制访问控制，其改造难度不亚于新开发一套操作系统。理解强制访问控制的三个要素,敏感标记、安全方略和主客体控制，可以通过管理控制和使用某些附加软件来模仿强制访问控制机制,在一定限度上规避操作系统强制访问控制措施缺失所带来的安全风险。涉及如下控制措施：1.严格限制操作系统管理员账号的使用，严禁管理员账号远程
7、访问操作系统。需管理员账号权限的操作应经由严格审批并遵循多人负责的原则；2.账号权限最小化，为每应用、每顾客分派完毕任务所必须的最小文献权限、至少shell并对账号操作进行审计;3对重要信息资源(如顾客数据表、系统配备文献、审计记录、系统核心服务、密钥等）进行辨认和定级，运用软件对这些资源进行监控；4操作系统功能最小化,对系统所有的进程、服务、网络连接进行登记和监控。辨认这些主体正常的访问、操作和行为,并以此为根据抽象和归纳同在线业务不产生冲突的访问控制方略。运用软件及时发现并阻断超过安全方略的访问行为；.新增系统账号、系统服务的申请审批过程需遵循既定的安全方略;非运营方定期审计系统运营日记及
8、安全日记。网银规范作为金融机构开展网上银行系统建设规范性根据,行业主管部门、评估检测机构进行检查、检测及认证的原则化根据,在发布、宣传,再到执行落地的过程中，各家银行的积极参与不可或缺。进一步理解规范规定,对寻找自身同规范间的差距,设立切合实际的信息安全工作筹划有着重要的作用。注1：Trustd oute yem Evaluato ritera，美国可信计算机安全评价原则,俗称橘皮书。该原则是计算机系统安全评估的第一种正式原则，将计算机系统的安全划分为4个级别、7个级别。可参照B/T 1789-1999。注2：隐秘信道,容许进程以危害系统安全方略的方式传播信息的通信信道。如运用共享文献、进程消息队列、TC/IP报文等正常信息互换过程中无意义字段特性进行传播数据。本文作者：中国金融认证中心颜维呈（责任编辑：韩希宇)
