浅谈金融信息安全形势与应对策略.pptVIP

网银安全规范中Web应用及数据安全要求解读 主要内容 背景情况介绍 银行业信息安全总体情况 《规范》制定起因及过程 《规范》主要特点 《规范》基本内容 《规范》的预期效果 近几年，互联网金融应用“异军突起”，其中，针对网银的趋利性犯罪仍呈高发态势，网银安全问题突出，对社会产生了很大影响，严重威胁了网银业务的健康、规范发展。 总结经验阶段：07至09年66家银行网银检查、评估、网银安全事件等发现的问题。起草、征求意见阶段 ：09年8月开始起草，全面征求意见，264条意见反馈。发布阶段 ：2010年1月发布网银规范（试行版）修订阶段：2011年4月开始修订试行版，重点与等级保护三级要求相结合。作为金融行业标准发布：《网上银行系统信息安全通用规范》（银发[2012]121号），JR682012。 二、《规范》主要特点 三、《规范》——基本内容 安全技术规范：从客户端安全、专用安全设备安全、网络通信安全和网上银行服务器端安全几个方面提出要求； 安全管理规范：从安全管理机构、安全策略、管理制度、人员安全管理、系统建设管理、系统运维管理几个方面提出要求； 业务运作安全规范：从业务申请及开通、业务安全交易机制、客户教育及权益保护方面提出要求。 另外，考虑到业务相关性，本规范还包含与网银相关的网上支付部分安全要求。 三、《规范》——基本内容 三、《规范》——Web应用安全 三、《规范》——Web应用安全 防止敏感信息泄露 在网上银行系统上线前，应删除Web目录下所有测试脚本、程序。 如果在生产服务器上保留部分与Web应用程序无关的文件，应为其创建单独的目录，使其与Web应用程序隔离，并对此目录进行严格的访问控制。 禁止在Web应用程序错误提示中包含详细信息，不向客户显示调试信息。 禁止在Web应用服务器端保存客户敏感信息。 应对网上银行系统Web服务器设置严格的目录访问权限，防止未授权访问。 统一目录访问的出错提示信息，例如，对于不存在的目录或禁止访问的目录均以“目录不存在”提示客户。 禁止目录列表浏览，防止网上银行站点重要数据被未授权下载。 三、《规范》——Web应用安全 防止SQL注入攻击 网上银行系统Web服务器应用程序应对客户提交的所有表单、参数进行有效的合法性判断和非法字符过滤，防止攻击者恶意构造SQL语句实施注入攻击。 禁止仅在客户端以脚本形式对客户的输入进行合法性判断和参数字符过滤。 数据库应尽量使用存储过程或参数化查询，并严格定义数据库用户的角色和权限。 三、《规范》——Web应用安全 防止跨站脚本攻击 应通过严格限制客户端可提交的数据类型以及对提交的数据进行有效性检查等有效措施防止跨站脚本注入。 应对Web页面提供的链接和内容进行控制，定期检查外部链接和引用内容的安全性。 应采取有效措施防范由于客户使用第三方浏览器（如手机平台浏览器）带来的敏感信息泄露、交易数据篡改等重要信息安全风险。 三、《规范》——数据安全 数据完整性： 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。 三、《规范》——数据安全 数据保密性： 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性。 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。 三、《规范》——备份与恢复 应建立重要数据的定期数据备份机制，至少做到增量数据备份每天一次，完整数据备份每周一次，并将备份介质存放在安全区域内，数据保存期限依照国家相关规定。 数据备份存放方式应以多冗余方式，完全数据备份至少保证以一个星期为周期的数据冗余。 核心层、汇聚层的设备和重要的接入层设备均应双机热备，例如，核心交换机、服务器群接入交换机、重要业务管理终端接入交换机、核心路由器、防火墙、均衡负载器、带宽管理器及其他相关重要设备。 Web服务器、中间件服务器、前置服务器、数据库服务器等关键数据处理系统均应双机热备或多机集群。 应提供冗余通信线路，遵照与主用通讯线路不同运营商和不同物理路径的原则选择冗余通讯线路。 应对关键数据进行同城和异地的实时备份，保证业务应用能够实现及时切换。 四、《规范》的预期效果 四、《规范》的预期效果 * 一、背景——商业银行信息化发展现状 一、背景——商业银行信息安全现状 通信 网络 计算 环境 区域 边界 风险 威胁 通信 网络 计算 环境 区域 边界 风险 威胁 一、背景——网银规范的制定起因 网银的威胁主要来自两方面： 一方面，随着信息技术的发展，犯