金融電子化信息安全保護技術探究

何漢

摘要：隨著互聯網技術以及計算機技術的飛速發展，金融電子化給現階段金融業發展帶來空前的機遇，但是卻讓其不得不面臨非法外聯、網絡釣魚等信息安全方面的問題。所以，文章基于基本的金融電子化以及信息安全受到的主要威脅進行探討，分析了金融電子化信息安全保護技術，希望對于金融業的發展有一定的借鑒意義。

關鍵詞：金融電子化；信息安全；保護

隨著金融電子化建設從無到有，從原本的內部信息系統電子化逐漸發展到對外業務的網絡化，從原本的單一業務網絡化朝著綜合業務網絡化發展，取得了一定的成績，將傳統模式下的金融業務處理方式改變。但是就目前金融信息安全建設的水平來看，依舊存在落后于電子化水平的問題。無論是在金融系統的內聯網之中，還是接入對外服務網絡，都置于各式各樣的安全分級風險之中。隨著金融電子化的不斷發展，其面臨的安全風險也越來越大。

1 金融電子化

金融電子化指的是通過網絡技術、計算機技術以及通信手段等一系列現代化技術，將傳統的金融業工作方式改變，實現金融業務處理的自動化、管理信息化以及金融服務電子化，這樣就可以為客戶提供快捷方便的服務，為國民經濟各個部門提供準確、及時信息的全部活動過程。其屬于一個綜合各個不同應用形式、各種層次應用為主要特征的金融計算機信息系統應用總稱。也就是在銀行、保險、政權以及其余金融機構之中提升工作效率，需要圍繞金融業務以及銀行管理現代化進程之中所使用的現金電子設備或者是計算機信息系統，都包含在金融電子化的范疇之中。而金融電子化的最終目標就是為了建立金融信息系統，從而方便金融業務的處理、金融決策的制定以及開展金融信息管理[1]。

2 金融電子化中的信息安全威脅

在金融電子化的信息安全威脅中，主要包含了非法外聯和網絡釣魚兩個方面。

2.1非法外聯

長久以來，安全防御理念都局限于網絡便捷、常規網關級別等防御之中，重要的安全設施大部分都集中在機房以及網絡入口的位置上，在這一部分設備的監控下，來源于外部網絡的威脅就減少了很多。但是來源于網絡內部的安全威脅，卻是現階段網絡管理人員需要面臨的主要問題。為了滿足涉密網絡安全運行要求，在公共信息網絡和涉密網絡之中實現物理隔離，就成為當前真正需要解決的問題之一。實施物理隔離，可以在公共信息網絡與涉密網絡之間建立一條安全邊界，其主要目的就是為了建立出可信并可控的內部安全網絡。

就目前的網絡管理工作來看，客戶端安全管理是主要部分，而客戶端安全管理同樣也是對網絡產生最大威脅的一部分，經常會有安全隱患存在。眾所周知，內網客戶端組成了90%的內網，是內網安全管理的核心。通過大量的實踐表明，單純的物理隔離是無法將內部網絡和外部網絡完全隔離開的。對于內網的客戶端機器，依舊存在非法外聯的安全隱患[2]。

第一，內外網線出現交叉錯接的問題。第二，內網客戶端機器使用撥號、WiFi無線上網、GPRS/CDMA無線網卡等方式接入外網。第三，方便攜帶的筆記本電腦直接接入內網，然后又接入到外網使用。這些人為的故意或者是無意的疏忽，就很容易在內網與外網之間建立新的通道，導致黑客攻擊或者是病毒直接繞過了防護屏障，進入非法外聯的計算機，從而竊取機密數據和敏感信息，導致泄密事件出現，甚至會造成整個內網出現癱瘓。尤其是對于金融業具有較高保密級別的財務信息中心這種內聯網，需要格外注意。

2.2網絡釣魚

網絡釣魚主要是為了竊取用戶的網上支付賬號、銀行卡號等私人信息，其主要的攻擊步驟為：建立釣魚網站一分發釣魚網站一欺騙用戶輸入相應的賬號與口令一關閉網站。對于網絡釣魚網站，其主要的技術有以下幾個。

2.2.1相似欺騙 相似欺騙是使用最頻繁的一種技術，就是利用與合法頁面相類似的網頁，很容易讓用戶以為釣魚網站就是合法網站。

2.2.2 DNS注毒（Pharming）

也就是釣魚者在域名系統（Domain Name System，DNS）解析上做手腳，當用戶訪問合法網站的時候，錯誤的DNS解析就會給用戶返回釣魚網站IP，這樣就會讓用戶無意之下訪問釣魚網站。實現Pharming包含了修改本地Hosts文件、修改DNS服務器配置等方法。

2.2.3惡意軟件

惡意軟件指的是用戶終端直接竊取了用戶信息，如堅挺鍵盤輸入、誘導用戶主動訪問等。KeyLogger等惡意軟件在最初階段并非網絡釣魚一類。但是之后在APWG定義之中，就將其判定為惡意軟件。

2.2.4垃圾郵件

傳播釣魚網站信息，垃圾郵件是主要的途徑之一。釣魚者向著用戶發送垃圾郵件，并且告知其網上銀行出了問題，讓其登錄輸入口令來解決這一部分問題，之后在郵件行附帶網上銀行的鏈接，這些鏈接之中顯示有網上銀行的URL，但是其錨都是指向的釣魚網站[3]。

3 金融電子化下的信息安全保護技術策略

金融電子化信息安全保護技術，首先需要建立完善的信息安全策略，在策略的支持下，再配合信息安全保護技術，這樣才能夠讓金融電子化信息安全保護滿足金融電子化的發展要求。

3.1確立完善的信息安全策略

3.1.1實施安全教育

對于財務信息中心這一種離不開計算機的企事業單位，一定要注意信息安全。首先需要一套完善的安全管理辦法的支持，再配合上完備的網絡安全管理系統。作為辦公人員，需要提升危機意識和網絡素質，確定用戶授權的謹慎原則與重要性，網絡管理部門需要做好先進追蹤審核體系的配置，并且普及網絡安全知識。

3.1.2建立圖文檔的加密流程

這一種加密技術指的是在無人操作的時候，系統會自動識別計算機之中運行的涉密數據，然后強制性、自動化地進行加密操作。這一種功能可以從根本上解決信息泄密的問題。

3.1.3建立安全操作平臺

就來源和途徑分析，數據出現失竊與服務器運行平臺的安全性有著直接的聯系。SMTP安全、FTP協議安全以及萬維網安全，共同組成帶來堅實的數據安全基礎，也成為網絡產品的保護條件。

3.1.4制定相對應的法律法規

計算機作為新鮮事物，依舊存在無法可依的問題，現有的法律制度還無法有效地打擊計算機犯罪。隨著計算機技術的不斷發展，網絡犯罪日益嚴重，基于這一情況，就應該建立網絡安全方面的法律法規，這樣才能減少網絡犯罪行為的出現。

3.2加強信息安全保護技術

除開信息安全策略完善之外，網絡安全還需要先進的信息安全技術的支持。而信息安全保護技術，主要是為了杜絕計算機犯罪行為的出現。

將黑客入侵或者是信息安全病毒防范作為分析的主要目標，通過完善的流程，或者是SOX404 PCI DSS標準的制定，就能夠建立有效的防御機制。（l）基于技術流入手，通過服務器本身的安全性能強化。一般來說，就是在改版之后的操作系統之中，需要進一步強化安全管理軟件，或者是安全管理軟件本身存在極大的提升空間。在提升之后，這一部分軟件就可以利用應用服務包，對于可能存在的網絡攻擊威脅加以防范。（2）加強防守，其主要的目的是為了做好計算機操作系統服務功能的進一步完善，重新歸納并整理長時間不適用的軟件，將無用的功能數據全部刪除，確保服務器內部的清潔度，降低用戶賬號和密碼出現泄漏的風險；理論上，服務器的內部越清潔，其運轉越高效，也就能夠強化計算機系統的安全認證性能[4]。

對于入侵檢測系統、防病毒系統等傳統模式下的安全防護系統，需要對其進行合理的部署，確保合理地配置系統資源，定時進行病毒特征庫的升級；針對常見的攻擊點，需要做好網絡結構的優化與調整，讓病毒無縫可鉆。

針對IP欺騙，密碼認證機制是最佳的解決方法。目前，TPV4體系結構不支持基于密碼的認證，所以，就不能對IP欺騙攻擊行為加以阻止，只能通過其余的檢測與預防的方法來加以處理。（l）實時監控流過網絡的數據包，發現其中存在的偽造IP以及相應的攻擊信號。（2）維護自身系統資源的實際運行情況。一般來說，計算機系統都會有日記來記錄日常事件或者是誤操作警報日期和時間戳信息。絕大部分的IP偽造手段都是通過被攻擊主機新人對象的模擬來進行的，所以，檢查日志一致性的過程中，就可以對TCP鏈條是否被更改加以檢查，從流程中段來阻止IP攻擊。（3）提高入侵檢測系統本身的智能化水平，可以為其建立一個相對高級的匹配模式。通過這樣的方式，就能夠將原本的單一數據包提升至大量數據包，同時，還可以分析大量數據包之間的潛在聯系，這樣也可以提升檢測的實際效率。（4）在通信過程中，要求做到加密傳輸與驗證，通過數字證書認證、數字簽名等技術，就可以在互聯網之中保護身份的可信度、行為的可信度以及數據的可信度，這才是金融電子化信任體系構建的關鍵所在。

4結語

隨著改革開放的不斷深入，國內的金融電子化建設經歷了從無到有的一個整體性蛻變，取得了驕人的成績。隨著金融管理系統和電子清算系統的出現，傳統的金融業務處理模式得到根本上的改變。在日益信息化的今天，各個財務信息中心被迫接受大量的信息數據，如果不能有效地進行數據的管理，就無法將其轉化成為真正可以使用的決策信息，那么就會出現資源的浪費以及行業的失職現象。在面對“客戶為主導”的財務信息中心等企事業單位，金融機構就應該做好信息的再加工，深度分析客戶信息，提供更加個性化的定制服務。就財務信息中心與客戶而言，這樣的方式才能夠達到雙贏的局面，這也是金融電子化建設諸多問題得以解決的發展方向之一。

[參考文獻]

[1]王珊珊，邱云武，擺曄.金融標準化在行業信息安全等級保護中的實踐[J].金融電子化，2014 （1）：88-89

[2]柳思佳.金融電子化的風險與安全[J]新聞前哨，2014（8）：93-95.

[3]蔡倩倩.金融云信息安全等級保護之云定級[J]現代經濟信息，2016 （6）：304-305

[4]俠名金.融信息安全及設備保護解決方案提供商——安全可靠，精密保護[J]金融科技時代，2017 （2）：105