在銀行計算機網(wǎng)絡(luò)日益擴展和普及的今天，隨著業(yè)務(wù)量的不斷增多和網(wǎng)絡(luò)技術(shù)的發(fā)展，信息安全隱患也不斷暴露出來，系統(tǒng)的安全性問題受到更大的挑戰(zhàn).如何使計算機網(wǎng)絡(luò)系統(tǒng)安全性更高，涉及到許多方面的問題，如通信技術(shù)、服務(wù)器安全技術(shù)，以及多種配套的安全應(yīng)用技術(shù)，來共同提高系統(tǒng)抵御外來非法入侵的能力，提高對遠程數(shù)據(jù)傳輸?shù)谋Ｃ苄裕苊庠趥鬏斖局性馐芊欠ǜ`取，更要時刻提防內(nèi)部工作人員越權(quán)操作的行為.因此，銀行網(wǎng)絡(luò)安全技術(shù)是一個綜合性的防范技術(shù)，是一個復(fù)雜的系統(tǒng)，需要各種安全技術(shù)相互補充、相互配合以達安全防范的目的。

一、銀行網(wǎng)絡(luò)系統(tǒng)安全結(jié)構(gòu)

1、系統(tǒng)目標

對于銀行網(wǎng)絡(luò)系統(tǒng)的本身特點，設(shè)計主要考慮以下二點：

(1)系統(tǒng)本身安全性、保密性。主要考慮網(wǎng)絡(luò)設(shè)備的自身穩(wěn)定性、健壯性，增強自身抵抗能力，杜絕一切可能入侵的渠道，避免造成對系統(tǒng)的威脅和破壞口這不是僅僅靠加上防火墻和數(shù)據(jù)加密等設(shè)備就能實現(xiàn)的，還必須從系統(tǒng)的角度進行考慮，進行一體化的設(shè)計，才能滿足系統(tǒng)化的安全需求b網(wǎng)絡(luò)安全問題是一個非常復(fù)雜的-問題，加密技術(shù)的應(yīng)用只是其中的一個方面，像認證技術(shù)、簽名技術(shù)、VPN和PKI等也是非常重要的，都是解決具體的安全問題必不可少的理論和技術(shù)。

( 2)系統(tǒng)運行。要充分滿足綜合業(yè)務(wù)系統(tǒng)的實際需要，運行要穩(wěn)定可靠、使用方便、操作簡單、維護方便。

2、系統(tǒng)的安全隱患

網(wǎng)絡(luò)系統(tǒng)安全問題總是由一些漏洞引起的，攻擊者抓住這些漏洞，從而獲得相應(yīng)的權(quán)限，入侵系統(tǒng)進行違法行動。當我們評判一個銀行網(wǎng)絡(luò)安全系統(tǒng)是否安全時，不應(yīng)該只看它應(yīng)用了多么先進的設(shè)施，更應(yīng)該了解它最大的弱點是什么，因為網(wǎng)絡(luò)的安全性取決于它最薄弱環(huán)節(jié)的安全性。隨著入侵手段的日益高深和網(wǎng)絡(luò)系統(tǒng)不時出現(xiàn)的安全缺陷，特別在大量自動軟件工具出現(xiàn)后，攻擊者可以更加方便地給網(wǎng)絡(luò)安全造成更大的威脅。隱藏的攻擊者通常利用各種手段順利地破解密碼，有時可能不需要去破解每個密鑰，甚至不需要去尋找算法本身具有的漏洞，他們能夠利用所有可能利用的機會，包括網(wǎng)絡(luò)系統(tǒng)設(shè)計的脆弱性、設(shè)備安裝配置不當、員工的職業(yè)道德及業(yè)務(wù)水平問題等，侵入網(wǎng)絡(luò)系統(tǒng)以達到他們的目的口但在大多數(shù)情況下，他們是利用網(wǎng)絡(luò)系統(tǒng)的缺陷而一時得逞的。

對銀行網(wǎng)絡(luò)系統(tǒng)的安全造成的威脅可以粗略地歸結(jié)為6大類：員工的教育培訓(xùn)、員工的變節(jié)、系統(tǒng)軟件的缺陷、對硬件的攻擊、安全管理。常見的攻擊方法有以下幾種：試探( probe)、掃描(scan)、獲得用戶賬戶(ac-count compromise)。獲得超級用戶權(quán)限(root compro-mise)、數(shù)據(jù)包竊聽(packet sniffer)、利用信任關(guān)系、惡意代碼（如特洛伊木馬、病毒、蠕蟲等）以及攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)備等。一般情況下攻擊者對網(wǎng)絡(luò)系統(tǒng)進行攻擊要經(jīng)歷三個步驟：信息搜集、網(wǎng)絡(luò)系統(tǒng)的安全漏洞測試和實施攻擊。

二、銀行綜合業(yè)務(wù)系統(tǒng)的安全系統(tǒng)主要采用方案

1、數(shù)據(jù)加密技術(shù)

數(shù)據(jù)加密技術(shù)主要分為數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)完整性的鑒別以及密鑰管理技術(shù)四種。

通常情況下，系統(tǒng)安全方案在計算機上實現(xiàn)的數(shù)據(jù)加密算法，其加密或解密變換是由一個密鑰或一組密鑰來控制的（如圖1所示）。密鑰( keyword)是由試用密碼體制的用戶隨機選取的，密鑰成為唯一能控制明文與密文之間變換的關(guān)鍵。

密碼體制常采用移位法（或置換法）、代替法和代數(shù)方法來進行加密和解密變換，用戶可以采用其中的一種或幾種方法相結(jié)合的方式作為數(shù)據(jù)變換的基本模式。如果通過明文或密鑰，或者通過明文一密文的對比能夠決定密鑰，則稱一個密碼是可以破譯的。從數(shù)學(xué)的角度來看，破譯密碼系統(tǒng)的方法分為兩類：系統(tǒng)分析法（又稱解析法或統(tǒng)計法）和窮舉法。因此，在一個密碼體制中，密鑰特別重要。加密強度( encryption intensity)是破譯密碼體制的一種度量，它是由破譯該體制的密碼所用算法的計算復(fù)雜性所決定的。一個通常的密碼體制，加密或解密變換都是非線性數(shù)學(xué)運算，當密鑰長度增加時，其加密或解密的計算代價也呈指數(shù)增長，使其在現(xiàn)有密碼體制下無法提高其系統(tǒng)的加密強度尊因此，如何提高密碼體制的加密強度問題是關(guān)鍵性問題。

在安全保密系統(tǒng)中，需要采用如下三種密碼算法：

(1)對稱加密算法（分組密碼算法廣：密鑰量為128bito對稱加密算法只有一個秘密密鑰用于加密和解密過程。對稱加密算法要么以“塊”的方式，要么以"流”的方式，對輸入進行處理。．不管是塊加密還是流加密，它們都特別適用于批量加密塊加密算法可采用不同的模式工作。不同的模式將上一次操作的結(jié)果傳給當前操作，從而將數(shù)據(jù)塊鏈接到一起。由于不能保證輸入數(shù)據(jù)的長度正好為一個密碼塊長度的整數(shù)倍，所以根據(jù)具體的模式，需要對輸入進行適當?shù)奶畛?。假如塊的長度是64位，而最后一個輸入塊的大小僅48位，那么就有必要增添16位的填充數(shù)據(jù)，然后才能執(zhí)行加密（或解密）運算。以具體的模式為基礎(chǔ)，加密后的填充數(shù)據(jù)要么成為密文的一部分，要么立即刪去。

(2)公開密鑰算法：l024bit的非對稱密碼算法，提供安全性強的數(shù)字簽名功能。采用智能(CPUI)IC卡實現(xiàn)密鑰分配和訪問控制。不對稱加密算法又稱“公共密鑰算法”o公鑰密碼體制要用到兩個密鑰，加密密鑰是公開的，而解密密鑰是保密的。目前最流行的公共密鑰算法就是RSA算法。數(shù)字簽名可以解決否認、偽造、篡改及冒充等問題。該技術(shù)在具體工作時，首先發(fā)送方對信息施以數(shù)學(xué)變換，所得的信息與原信息唯一對應(yīng)；在接收方進行逆變換，得到原始信息。只要數(shù)學(xué)變換方法優(yōu)良，變換后的信息在傳輸中就具有很強的安全性，很難被破譯、篡改。這一個過程稱為加密，對應(yīng)的反變換過程稱為解密。

現(xiàn)在有兩類不同的加密技術(shù)，一類是對稱加密，雙方具有共享的密鑰，只有在雙方都知道密鑰的情況下才能使用，通常應(yīng)用于孤立的環(huán)境之中，比如在使用自動取款機(ATM)時，用戶需要輸入用戶識別號碼(PIN)，銀行確認這個號碼后，雙方在獲得密碼的基礎(chǔ)上進行交易，如果用戶數(shù)目過多，超過了可以管理的范圍時，這種機制并不可靠。另一類是非對稱加密，也稱為公開密鑰加密，密鑰是由公開密鑰和私有密鑰組成的密鑰對，用私有密鑰進行加密，利用公開密鑰可以進行解密，但是由于公開密鑰無法推算出私有密鑰，所以公開的密鑰并不會損害私有密鑰的安全，公開密鑰無須保密，可以公開傳播，而私有密鑰必須保密，丟失時需要報告鑒定中心及數(shù)據(jù)庫。

現(xiàn)在已有多種實現(xiàn)各種數(shù)字簽名的方法。但采用公開密鑰算法要比采用常規(guī)密鑰算法更容易實現(xiàn)，下面（圖2）就是這種數(shù)字簽名。

(3)散列算法：Hash算法(128bit擴充至1024bit)。最具有代表性的加密算法有DES算法和RSA算法。這兩種加密算法都是公開加密算法(publiclyavailable cryptographic algorithm)，即密碼體制的算法內(nèi)容可以公開。DES算法是典型的對稱加密算法，而RSA是非對稱加密算法的典范。

從系統(tǒng)安全性來考慮，加密技術(shù)是重要一環(huán)，關(guān)鍵問題是如何完成密鑰的生成、分發(fā)及其管理，以保證文件加密、數(shù)字簽名、文件完整性驗證、身份鑒別、證書生成與分發(fā)、訪問控制、安全審計等安全保密功能鐘一般用密押卡完成密押的生成、信息的加密等功能，適用于RSA總線或PCI總線，適用于網(wǎng)點，以保證文件數(shù)據(jù)的完整性、抗抵賴性和機密性。密押保密機完成密押的生成、信息的加密等功能，用于總行中心和數(shù)據(jù)中心。而安全智能(CPU)卡系統(tǒng)采用較強的人機鑒別措施，具有較強的安全性，使用較普遍。密鑰管理是系統(tǒng)安全性、保密性的根本保證。根據(jù)網(wǎng)絡(luò)規(guī)模，可采用一級結(jié)構(gòu)，總行配置密鑰管理PC服務(wù)器，提供公鑰證書的查詢服務(wù)，目錄服務(wù)由PC服務(wù)器完成，配置于總行。目錄服務(wù)為每個網(wǎng)點、數(shù)據(jù)中心提供“電話號碼本”式查詢服務(wù)。

2、系統(tǒng)安全風(fēng)險防范與維護

在系統(tǒng)運行后，要想充分發(fā)揮它的安全防護作用，網(wǎng)絡(luò)管理員必須預(yù)先評估分析網(wǎng)絡(luò)系統(tǒng)中存在的安全問題，并對它進行安全審計和維護口為了檢測系統(tǒng)的運行是否完全與已建立的策略和操作規(guī)程相一致、系統(tǒng)安全是否發(fā)現(xiàn)漏洞以及漏洞的嚴重程度如何，網(wǎng)絡(luò)管理員必須對系統(tǒng)記錄與活動進行嚴格的測試，這已經(jīng)成為網(wǎng)絡(luò)管理員的一個不可忽略的重要問題。漏洞探測包括面向主機的漏洞探測和面向網(wǎng)絡(luò)的漏洞探測?；诰W(wǎng)絡(luò)的安全掃描主要掃描設(shè)定網(wǎng)絡(luò)內(nèi)的設(shè)備安全漏洞，并可設(shè)定模擬攻擊，以測試系統(tǒng)的防御能力，一旦發(fā)現(xiàn)問題，及時采取補救措施，找出可能的修補方法，對系統(tǒng)進行維護，以確保系統(tǒng)運行安全可靠。

系統(tǒng)的安全防范，一般是在全系統(tǒng)實施安全監(jiān)測。監(jiān)視用戶組的行為可以了解用戶操作偏離的程度如何。具體地說，我們可以提供給系統(tǒng)管理員一個接口：讓系統(tǒng)管理員能對每項安全保密功能實施審計，能對系統(tǒng)用戶的行為進行跟蹤，可選擇配置其中任一項、幾項或全部，確保其對自己的操作行為負責(zé)，從而增加系統(tǒng)安全。監(jiān)視用戶組的行為可以判斷一些情形，例如一個用戶以各種不同用戶名試圖登錄。發(fā)現(xiàn)非法用戶的行為的方法可分為兩類：建立在模型基礎(chǔ)上的和建立在規(guī)則基礎(chǔ)上的。將這兩種規(guī)則結(jié)合起來對用戶的行為進行分析處理并與訪問控制模塊、安全檢查模塊功能進行密切配合，就能夠很好地達到系統(tǒng)安全的目的。闖入發(fā)現(xiàn)系統(tǒng)最初是通過對系統(tǒng)審計或日志記錄的結(jié)果分析確定用戶是否有非法行為來增強系統(tǒng)安全。系統(tǒng)可以把現(xiàn)有的安全系統(tǒng)技術(shù)與專家系統(tǒng)技術(shù)相結(jié)合，及時、迅速、準確地發(fā)現(xiàn)用戶的行為口闖入發(fā)現(xiàn)并阻止模塊在對用戶的命令或系統(tǒng)調(diào)用等進行訪問控制并確定用戶是否有非法行為后，再嵌入阻止模塊，更能達到很好的安全效果。

3、安全管理與物理保護

在銀行網(wǎng)絡(luò)安全系統(tǒng)中，已知的許多威脅都與授權(quán)行為有關(guān)。我們要充分分析系統(tǒng)中的各個行為，在進行授權(quán)行為時采用以下兩個原則：最小權(quán)利原則，分離權(quán)利和責(zé)任。為防銀行內(nèi)部工作人員的監(jiān)守自盜及失職。嚴格授權(quán)操作系統(tǒng)中的各種敏感性數(shù)據(jù)，以防止假冒和越權(quán)行為。

設(shè)備的物理保護：主要包括設(shè)備的防盜、防電磁信息輻射泄漏、防線路截獲、抗電磁干擾等；同時，對密押卡等硬件要具有完善的物理保護措施，如采用金屬屏蔽盒對密押卡進行加密。若取下金屬屏蔽盒或?qū)饘倨帘魏羞M行破壞，密押卡上的密鑰等機密數(shù)據(jù)就會自動銷毀，以防泄漏。

銀行網(wǎng)絡(luò)系統(tǒng)安全是國內(nèi)外都十分重視的研究課題，通過對系統(tǒng)安全系統(tǒng)的研究與實現(xiàn)，基本上可以達到預(yù)定的安全目標。但隨著計算機技術(shù)的日益發(fā)展，計算機犯罪也層出不窮，我們應(yīng)繼續(xù)在實現(xiàn)非法闖入發(fā)現(xiàn)并阻止的智能化方面進行進一步研究，使系統(tǒng)更加完善、安全。

admin

收藏 海報分享