第三方支付业务系统安全风险剖析及防范.docVIP

第三方支付业务系统安全风险剖析及防范 　　摘要：列举和分析系统网络安全性、主机及运维安全性、应用及数据安全性涉及的几个方面问题，结合实际的支付系统建设及运维工作经验，浅谈支付业务系统安全风险问题的若干解决思路。 　　关键词：第三方支付；安全风险；敏感信息；运维体系 　　中图分类号：F49 　　文献标识码：A 　　doi：10.19311/ki2016.20.029 　　1引言 　　近年来，第三方支付行业获得快速发展，第三方交易规模由2014年的23.3万亿元上升至2015年的312万亿元，交易规模保持50%以上的年均增速。尤其是，非金融机构的支付服务因具有多样化、个性化等特点，较好地满足了电子商务企业和个人的支付需求，因而获得了爆发性增长。 　　随着互联网技术在金融领域的广泛应用，各种针对第三方支付系统的新型安全威胁不断增多，各地爆发的信息安全事件也成了社会舆论关注的焦点、热点。央视“315晚会”已连续两年对个人信息安全事件进行曝光，提醒手机、个人电脑等信息终端设备的用户群体，应特别关注个人信息安全问题。 　　但是，仅仅通过提高信息终端本身的安全性以及提高用户的安全意识，还是远远不够的。尤其是对于第三方支付行业，通过技术架构体系及安全运维体系来防范和控制支付业务平台的安全风险，才是从根本上解决信息安全风险问题的关键所在。 　　本文将通过列举和分析系统网络安全性、主机及运维安全性、应用及数据安全性涉及的几个方面问题，结合实际的支付系统建设及运维工作经验，浅谈支付业务系统安全风险问题的若干解决思路。 　　2系统网络安全性 　　2.1增强路由访问、子网划分控制 　　网络管理员在规划子网时设置的网段范围过广，VLAN划分预留了空闲的IP地址，在网络设备调试初期使用测试VLAN、静态路由表并未删除或修改，以及启用了DHCP服务未及时关闭等等原因，均可导致黑客或能直连设备的恶意者轻易获取该网络的合法地址，通过扫描工具进行嗅探，就可以获得整个系统网络的拓扑及各子网网段的信息，进而对网络进行入侵和破坏。 　　因此，要防范此类网络风险，就要做到合理进行网络规划与地址分配，及时关闭不需要的服务等。 　　2.2进行IP-MAC地址绑定，合理分配QoS 　　很多网管仅仅在系统调试初期将设备的IP-MAC地址进行绑定，但是在后期运维工作中，IP地址变更时往往没有相应更新静态地址列表，导致无法防止地址欺骗，使系统容易遭受ARP攻击。因此，应注意检查并及时更新IP-MAC地址。 　　网管应该根据业务重要等级来规划网络使用带宽及QoS优先级别，这样就能在网络发生拥堵的情况下优先保障重要业务的运行。QoS配置与网络设备参数、带宽分配、业务流量及趋势的规划关系紧密，可通过日常监控、审计报表及对业务高峰期预判来合理分配。若是多运营商线路接入，应考虑使用负载均衡方案。 　　2.3加强网络访问控制中对应用层协议的过滤 　　网络映射目的地址分配随意，将本来可以点对点映射的地址开放了所有地址映射，会导致网络攻击风险的增加。不少防火墙、路由器、交换机出厂设置默认开启了多个服务，如http、ftp、telnet、SMTP、POP等。这些服务在系统运维中并非都需要开启，可根据实际情况在系统调试完成后及时关闭不必要的服务。 　　有的边界防火墙的web、ssh等配置后台默认暴露于互联网，黑客直接在浏览器输入该企业域名解析后的地址，就可以显示用户及密码登录界面。若黑客使用穷举法破解超级管理员密码，或利用防火墙web管理页面进行漏洞渗透而获得管理权限，都将导致系统面临巨大的安全威胁。 　　避免这种威胁的一种措施是，将需要映射的地址及内网访问的服务的控制粒度限制在端口级别。若有需要向互联网映射的风险端口（如80、8080、22），必须设置不对称映射，这样可降低恶意者发起的针对非定向地址的特定端口扫描的命中率。 　　2.4部署入侵检测系统（IDS）及入侵防御系统（IPS） 　　一般功能的防火墙依靠传统防火墙的IPS模块、防病毒模块、WEB应用保护模块等防御网络风险，这些模块功能实用性相对较低。防御的针对性不全面，病毒特征库更新周期长，甚至在服务终止后根本无法更新等问题，可能会导致系统面临新病毒风险时，防火墙不能及时保护业务系统。 　　随着网络渗透攻击技术的不断提高，传统防火墙技术已经无法应对一些安全威胁。在这种情况下，IDS、IPS技术可以深度感知并检测数据流，对恶意报文进行丢弃以阻断攻击，通过限流保护功能确保网络带宽资源的正常利用。 　　对于部署在转发路径上的IPS，可以根据预先设定的安全策略，对报文进行深度检测（协议分析跟踪、特征匹配、流量统计分析、事件关联分析等）。如果发现报文中隐藏网络攻击，可以根据该攻击的威胁