基于銀行網絡系統淺談信息網絡系統安全評估

張春柳 宋 巍 陸凌晨

(上海計算機軟件技術開發中心 上海 201112)

0 引 言

隨著信息時代的到來，網絡系統信息的安全保障逐步走進人們的視線，并且顯示著越來越重要的作用。我國每年因為系統安全導致服務器癱瘓等各種問題數不勝數，損失十分嚴重[1]。

系統安全的本質就是要保護信息系統或者在網絡中的各種信息資源在受到大量信息沖擊或者物理沖擊的情況下仍然能夠通暢運行。國家系統、政府機關的信息安全關系著國家的長治久安[2]，其信息的安全性更應受到關注。銀行作為我國金融體系中的重中之重，存儲著國家的財富和人民的積蓄，一旦銀行系統安全發生問題，輕則造成某一個家庭多年的心血毀于一旦，重則國家不得安寧。

本文以我國某一民用銀行的信息系統安全評估為例，講解了系統安全的評估流程，并以該銀行系統存在的問題為例講解需要改進的地方和重點需要檢查的位置。

1 系統信息安全評估流程

系統信息安全評估的主要工作是對系統中可能存在的風險進行檢查、分析和判定。

1.1 系統信息安全評估的目的、范圍和準備工作

系統安全評估為公司信息人員進行信息操作提供一個可行的標準，一般的系統信息安全評估的范圍包括：物理安全、安全制度、人員安全管理、系統建設管理等任何和系統有關系的內容[3]。例如本文中銀行的核心網絡系統主要用于網上銀行系統、綜合前置系統、核心業務系統、人民幣支付交易系統和為這些系統提供基礎網絡平臺的支持和保障的響應配套系統。

對一個系統進行信息安全評估主要進行以下幾方面的工作：

1) 系統信息安全評估準備工作：根據整個系統的實際情況和可能存在的問題準備系統信息安全評估計劃、系統信息安全評估程序、系統信息安全評估中的方法和可能用到的一些工具等[4]。

2) 系統信息安全評估目標：在進行系統信息安全評估之前要明確整個系統中所要保護的資產內容和系統的脆弱性、系統面臨的風險。

3) 信息系統安全評估分析：系統信息安全評估之后要對發現的信息安全問題進行分析。分析產生不安全因素的原因和目的，可能造成的損害和受到危害的程度等方面。

4) 信息安全系統風險等級評估：根據信息安全系統存在的問題進行分析得出信息系統的安全等級[5]。

1.2 信息系統安全評估具體流程

整個系統信息安全評估流程如圖1所示。

圖1 信息系統安全評估具體流程

從圖1中可以看出信息系統安全評估流程有以下幾點：

1) 明確評估目標：根據所要評估的系統提前了解系統使用的場景以及面對的威脅，明確此次系統信息安全評估的目標，在國家相應的法律法規的范圍內進行信息評估。

2) 明確評估范圍：根據被委托評估單位的要求，明確此次評估的范圍是整個公司的全部系統，還是公司某一個部門使用的系統，必須在評估之前明確此次工作的范圍。

3) 確定評估分工：根據風險評估的目標和評估的范圍，確定在系統風險評估中所需要使用到的一些工具，組建團隊相關人員，必要的時候可以組建風險評估工作小組，聘請相關專家幫忙解決問題。

1.3 信息系統安全評估具體流程

銀行網絡系統主要分為核心網絡區、服務器區、外部外聯區和內部外聯區。銀行核心業務處理系統位于服務器區內，通過防火墻實現了與行內其他網絡區域的邏輯隔離。銀行核心業務處理系統主要包括eBBS和Dotopal兩個模塊[6]，通過核心交換機實現了應用模塊的接入，并通過核心路由器實現了主備機房的數據交換。該系統采取了三層應用設計，應用服務器、網絡服務器、數據服務器位于不同網段，并通過防火墻控制數據間的交換。銀行核心業務處理系統整體網絡結構如圖2和圖3所示。

圖2 Dotopal模塊系統拓撲圖

圖3 eBBS模塊系統拓撲圖

2 銀行信息系統安全評估

銀行信息系統的核心網絡系統主要為網上銀行系統、綜合牽制系統、核心業務系統、人民幣支付交易系統等提供基礎網絡平臺的支持和保障，實現各生產業務系統的數據傳輸。

2.1 銀行網絡系統評估范圍和系統現狀

銀行系統包括數據中心機房，機房門口配備了電子門禁系統，在機房出入口和內部監控區域安裝了視頻監控，機房安裝了自動滅火系統、精密空調、UPS、備用發電系統等[7]。機房管理員每天對機房內的環境狀況、溫濕度進行巡檢和記錄。此外機房內還部署了漏水檢測繩、防雷安保器等設備，并通過BMS監控室的環境集中監控系統實時監控機房環境狀況。

關于銀行系統的系統安全判斷有以下幾個方面，分別是安全制度管理和機房設備安全，例如：機房主機和管理人員確保信息安全、系統接入網絡的安運維人員確保系統是否正常運行、公司是否擁有相應的安全管理機構等[8]。

關于銀行系統的物理安全、主機安全、安全制度管理等主要測評要點在于對機房現場、人員調度等情況進行核實，比如在該銀行內就發現機房出入口沒有相關的人員把守，這樣會導致非相關人員進入，造成數據的不安全。其中銀行系統的網絡安全是安全評估的重中之重，下面主要講解如何進行網絡安全評估。

2.2 銀行網絡系統網絡安全評估

目前比較流行的方法是使用基于模型的技術評估方法對計算機網絡系統的安全進行評估。比較成熟的有訪問控制模型、信息流模型、基于角色的訪問控制的特權圖模型等。

使用模型的技術評估方法可以使繁瑣的信息評估變成依據在規則內的模型，抽取簡單，建立模型可以對系統的所有案例進行分析，發現可能存在的信息安全風險問題。

鑒于測評人員對信息系統等級保護測評中網絡安全評估的測評指標理解的局限性、評判的模糊性以及量化打分中判定區間的不確定性，將云模型與貝葉斯反饋算法相結合，采用云模型理論來處理評估結果的模糊性和隨機性[9]。由于傳統的一維逆向云算法出現超熵為虛數的情況，因此，使用無確定度逆向云算法來避免這種情況的發生。通過建立貝葉斯反饋云模型，對給出的測評結果進行檢驗和修正，使評估結果更加客觀、準確。根據已修正的網絡安全整體評估云的期望和熵，給出合理的安全等級判定區間，作為實際測評中等級評估的依據。實例驗證表明，該評估方法可以有效地修正測評人員評估結果之間的差異，實現合理的判定劃分，給出客觀、準確的等級評估結果。

在對銀行系統進行網絡安全評估過程中，按照我國公安部對網絡安全有七個標準，分別是：公司信息組織結構安全，訪問的信息安全，審計信息過程安全，保持信息邊界的完整性，安裝防火墻等設備保證不被信息入侵，對可能出現惡意入侵代碼進行防護，對相關的網關設備進行維護，確保網絡設備正常運行。

安全評估小組派出多個專家分別進行網絡安全評估，對評估的專家給出的每一項的分數，制作正態分布，在制作分數分布的時候可能會出現邊界混亂的問題[10]，說明在不同的問題上很多專家的意見不同。為了使得評估的結果更加標準，引入貝葉斯反饋算法，對專家給出的數據進行修正。

依據安全控制點的權重和各測評項的得分綜合計算，各安全層面得分如圖4所示。

圖4 安全層面評分得分標準

3 整體測評

3.1 安全控制間安全測評

1) 網絡安全 被測IDS設備設置了管理員賬號和只讀賬號，管理員每次使用賬號登錄時需提出申請，獲取口令后方可登錄，使用后對口令進行重置。只讀賬號僅設置了一個，未能確保網絡設備用戶標識唯一。由于該賬號為只讀權限一定程度上降低了未對用戶進行唯一標識的風險。

2) 主機安全 被測的部分主機設備未安裝防惡意代碼軟件，現場測評發現未安裝防惡意代碼軟件的主機設備均采用Linux操作系統。由于Linux系統成為被攻擊對象的幾率相對較低，一定程度上降低了主機被惡意代碼攻擊的風險。

3.2 層面間安全測評

被測的Linux操作系統主機均未安裝防惡意代碼軟件，在互聯網邊界出口處部署了symantec防病毒網關，對惡意代碼進行了過濾，一定程度上降低主機被惡意代碼攻擊的風險[11]。

被測主機采用SSH進行遠程管理，沒有對遠程登錄的源地址進行限制。在網絡上安裝了防火墻，通過防火墻策略限制了SSH的網絡訪問，一定程度上降低了未限制主機遠程登錄源地址的風險。

3.3 區域間安全測評

網絡架構中第三方外聯區邊界未對常見攻擊行為進行監測，未對惡意代碼進行檢測和清除。第三方外聯區主要連接人行、銀監等監管機構，一定程度上降低了未對攻擊行為進行監測，未對惡意代碼進行檢測和清除的風險。

3.4 系統安全保障評估

在對該銀行的信息安全進行檢驗的過程中，從公司內部信息安全機構、公司保障信息安全運行的物理設備以及公司內部的網絡系統安全等多個方面進行評估。

公司內部信息安全機構的審查主要涉及到公司信息組織機構是否設立，內部組織機構人員是否可以對公司內部的非安全信息進行監測，公司內部的網絡安全系統安裝是否到位，以及相關的組織機構人員離崗、到崗情況，組織機構人員是否進行過專業培訓，可以保證在遇到相關的信息安全問題可以及時解決等。

公司物理設備安全主要包括主機安全、機房安全等，確保物理設備安全主要審查的內容為：機房空調系統是否正常運行，機房內部是否安裝防火、防斷電系統，公司主機電路系統設計是否合理，面對一切自然災害或者人為災害時是否可以保證系統的正常運行。

公司內部的網絡系統安全部分包括使用防火墻是否可以攔截住常見病毒或者攻擊，以及銀行信息安全部門人員通過監測攔截惡意代碼、木馬攻擊等。

結論判定及綜合得分計算方式如表1所示。

表1 某某銀行實際測試評判得分表

其中修正后問題嚴重程度賦值結果取多對象中針對同一測評項的最大值。經過測評，某某銀行符合國家安全標準，但仍然有需要改進的地方，根據測評結果提出如下整改建議：

1) 建議定期對入侵檢測設備日志進行分析，并形成審計記錄；

2) 建議對入侵檢測設備的用戶進行梳理，明確用戶唯一標識，避免共享賬號的存在；

3) 建議將主機設備、終端設備和數據庫系統的登錄超時時間設置在10分鐘以內；

4) 建議在制度中明確各類系統的模擬運行和試運行的時間要求；

5) 建議完善介質管理制度，明確紙質文檔外借管理流程；

6) 建議完善終端設備的管理，對筆記本帶離工作場所的情況進行規定；

7) 建議再完善安全管理制度，限制對系統脆弱點進行嘗試性驗證。

4 結 語

隨著信息時代的到來，信息安全顯得越來越重要，銀行是一個國家的經濟命脈。本文通過某銀行信息安全評估為例，講解了在銀行網絡系統中的信息安全評估流程，以及銀行信息安全評估中需要評估的內容，以便為同類信息安全評估提供借鑒數據。