金融业网络信息安全建设初探.docVIP

PAGE 1 金融业网络信息安全建设初探 一、信息安全的现实性，一个攻击的方案 目标：化100-200万美金，窃取几千万到上亿美金 主要过程 买通内线，了解银行的网络系统、主机系统、业务流程和管理制度 获得内部的账号 寻找安全漏洞，设法进入系统 寻找有用的资料：源代码、更高级别的账号、安全漏洞、主要服务器的账号、业务的流程等 建立必要的准备：在本银行和取钱银行开账户 作几次与窃取类似的正常交易，降低银行审计的敏感性 编写窃取程序，装入业务主机。以不明显的方式从银行客户的账户转钱 到一定金额，将款项转出 将款项取出 马上消失 二、网络信息安全问题越来越严重 由此可见，网络，尤其是金融业的网络系统，有一个最大的问题就是安全问题。八年以前，金融业务的计算机核算系统以单机为主，网络较少，无法远程对计算机进行攻击和扩散病毒。随着计算机的普及，网络系统的建立，了解计算机的人增多，但计算机网络系统维护人员对安全的知识了解比较缺少，而对于网络系统安全来说潜在的入境已经够用。另外，以前编写攻击工具和病毒，需要专业技术。现在，随着开发工具丰富，使用简便，很容编写一个病毒，很容易得到各种攻击工具。 计算机系统的使用已深入到金融业的核心业务中，银行业务和计算机网络系统、应用系统的紧密结合构成银行核心业务系统，已经成为建设现代银行的标志之一。网络系统的互联，导致入侵的范围增大；使用人员的增多，导致入侵的可能性增大；系统复杂，导致安全漏洞增多。由此非法的侵入可以获得利益或达到某种目的可能性增大。 盗窃钱款 恶意报复 政治影响 等等 团体的恶意行为具备更高的技术、更先进的手段和更大的危害。 三、安全威胁 1、非法进入系统 非法进入计算机网络系统。可能进行恶意或善意的操作，可能没有造成损害，但至少存在安全隐患。 非法越权操作 超越授予的权限，进行越权操作。除非法进入外，通常是授权不合理。 假冒他人身份 通常是恶意的，可以进行非法越权操作。 非法伪造、篡改数据 在数据的传输和存储过程中篡改和伪造数据。 非法获取数据 在数据的传输和存储过程中，非法获取重要的数据 事后否认操作或数据 由于网络的互联，使得事后否认曾进行的操作和曾收发过数据成为可能。 利用网络系统绕过业务系统，直接修改数据库数据 由于计算机网络系统飞速发展，为随意修改数据库中的数据提供了方便。 病毒 计算机网络系统飞速发展，使得病毒的传播速度、破坏数据的能力令人震惊，通常导致系统不能正常工作，甚至宕机。 安全制度建设不完善 安全制度建设不完善，导致机密数据、口令窃密。安全审计不及时不严格。 安全技术管理手段落后 安全检测和告警等管理不能做到自动化、程序化和智能化；缺乏很好的安全策略管理；告警和反应机制不完备等。 四、产生安全问题的主要技术原因 1、系统的错误配置 不管使用任何安全措施，错误的配置将使安全设备根本不起作用。例如防火墙的配置。 我们在改变主机或网络系统时，主要配置是使系统正常工作，而很少考虑可能存在的安全问题和相关的系统配置。例如我们考虑最多的是网络的无限服务，而很少网络本身会带给我们的危险。 系统通常有许多安全特性，但许多使用者并没有使用或根本不了解。例如IP过滤的考虑。 系统缺陷 几乎每天都可以在系统和网络软件中发现安全缺陷。但有时，开发商对安全缺陷缺乏快速的反应。一是缺陷和补救措施通过网络（Internet ）通知用户，但不是所有用户都能见到这些信息。二是修改工作量巨大，或者涉及第三方软件，又缺少支持。系统缺陷使工作不正常。 例如安全的传输中的缺陷，使被截取的数据可能被解密，或被攻击者利用，破坏系统或控制系统。 对网络安全缺少基本知识 单纯依靠安全设备不足以保证系统的安全，必须使每个相关的人员有安全意识。比如大家知道： Internet上不加密，是不可能安全传输的，对于金融业来说内部网络与Internet进行隔离是必要的。 不明的邮件不要随意打开。 网上下载的执行软件要小心使用，最好使用能够确认的软件（例如有代码签名）。 主要是缺乏必要的网络安全知识培训，只重视网络系统和应用系统的建设和技术支持，忽视了网络安全知识的培训。 软件厂商、系统集成商、服务提供商没有清晰地告诉使用者，可能存在的安全问题及其防范的方法。 法律相对落后入侵者通常难以发现和寻找，证据更难提供。法律不完备。 五、网络安全建设目标 1、安全建设的目标－1 机密性： 确保信息不泄漏给未经授权的人，而在授权时必须要有书面通知。数据库中的重要数据、存储的重要文件和在网络传输的重要信息应该进行加密，防止信息的泄密。 完整性 保证数据的一致性，防止数据的非法篡改和伪造。重要的业务信息、清算信息和支付信息，应保证完整性，防止在存储和传输中被非法篡改和伪造； 2、安全建设的目标－2 身份识别： 确保资源和服务不被非法使用。可以