【解决方案】某市商业银行网络安全解决方案.doc

某市商业银行网络安全解决方案 　　某市商业银行经过多年的建设，已经形成比较完善的综合网络，整体结构是通过广域网连接的二级网络，在二级网络上运行着银行业务系统、办公自动化系统、代理业务系统等，由于应用系统的复杂化，网络安全体系的建立和网络安全的全面解决方案更是迫在眉睫。　　根据某市商业银行网络的实际情况，本方案从以下几个方面来解决某市商业银行网络的安全隐患。　　　　Internet接入安全　　　　中心生产网络的网络安全　　　　全网防病毒系统体系　　　　办公自动化系统的安全　　　　生产前置机安全　　　　办公网络与生产网络物理线路共享情况下保证生产网络的安全 　　一、 技术安全手段需求分析　　1.1、网络现状　　网络总体结构： 图一 网络拓扑结构 　　目前某市商业银行已经建成了以中心网络为一级网络，支行与网点为二级网络的生产网络，同时还并行有一套覆盖到办公大楼、支行、网点的办公自动化系统停可弦？行系统目前处于筹建阶段，在图一中办公网部分没有接入商业银行生产网络，虚线表示当办公自动化需要从生产主机获得帐表信息时，才手工联接两个网络，完成帐表信息导出之后，手工断开两个网络之间的连接。在安全方案中需要在系统部署前统一考虑两个网络连接在一起之后的安全问题。OA服务器在部署以后未来可能提供远程移动办公支持，移动用户通过远程接入Internet，利用浏览器访问OA服务器本身提供的Web服务。OA服务器本身基于Lotus Notes建设。 　　生产网络是银行网络的最根本应用。某市商业银行生产网络分为3个大的部分：　　第一部分：中心生产网络核心包括以SNA网络为基础的生产机系统，以两台RS9000作为生产系统，且互相备份。所有对生产主机的访问均通过前置机群完成。　　第二部分：外联单位。外联单位是主要涉及到商业银行与银联之间的结算等业务，企业通过各种多样的方式接入商业银行网络，　　第三部分：支行及网点。某市商业银行目前有多个网点和支行。通过DDN接入中心网络。同时采用PSTN作为备份线路。　　由于目前办公网络虽然在逻辑上独立于生产网络，但是办公网络在物理线路上与生产网络共享，因此生产网络需要考虑来自办公网络的安全威胁。 　　1.2、办公网络安全技术需求分析　　办公自动化系统是基于Unix平台的办公自动化系统，某市商业银行初步拟定采用Lotus Notes作为办公自动化的开发与运行平台，利用Lotus Notes自身提供的邮件服务功能，对办公自动化系统的用户提供内部办公自动化服务，同时利用Lotus Notes系统自身提供的Web服务功能，由于管理的需要，办公系统要定期从生产主机上提取数据进行统计分析生成报表。其中，信贷业务、帐务查询数据要传往办公网上的服务器，数据在这两个网段上经过加工，供其他系统查询。因此，办公网要保持与生产网的连接，同时生产主机也要为其提供相应的服务。在办公网上还运行着许多与生产网无关的主机和工作站，结果造成生产网上的主机暴露于这些主机和工作站的直接访问之下，从而造成系统的安全隐患。办公自动化系统的安全技术需求如下： 编号 目标 需求内容 1.????????? ? 办公自动化服务器自身安全 保证办公自动化系统的基础运行平台Unix操作系统的安全 2.????????? ? 办公自动化系统平台自身安全 保证办公自动化系统的基础开发运行平台Lotus Notes系统的安全 3.????????? ? 办公自动化系统自身安全 保证基于Lotus Notes开发的办公自动化系统本身安全 4.????????? ? 远程移动办公安全 保证远程移动办公用户能够安全可靠的使用本系统 5.????????? ? 防病毒体系 针对办公自动化系统覆盖面广，终端以Windows系统为主体的特点，需要建立全网统一的防病毒体系 6.????????? ? 实时网络入侵检测 对内部办公自动化系统进行分布式入侵行为的实时检测，并实施统一集中管理 表一 办公自动化系统的安全需求 　　1.3、生产网络安全技术需求分析　　某市商业银行生产网络是典型的银行生产系统，以大型Unix主机为核心，采用SNA网络；前置机围绕大型Unix主机，负责将外围IP网络或其他网络转换到SNA网络中。商业银行与传统银行多级网络的区别在于某市商业银行生产网络为二级网络，在支行、网点等的业务连接到中心，必须通过前置机访问中心网络，在支行、网点不存在二级的前置机直接访问核心网络。　　目前商业银行的生产网络在中心节点与二级节点之间的没有采用加密传输和认证机制。　　生产网络安全技术需求如下： 编号 目标 需求内容 1.??????????????? ? 生产机的安全 保证生产系统主机的安全 2.??????????????? ? 前置机的安全 保证前置机