基于銀行網(wǎng)絡(luò)系統(tǒng)淺談信息網(wǎng)絡(luò)系統(tǒng)安全評估

張春柳 宋 巍 陸凌晨

(上海計算機軟件技術(shù)開發(fā)中心 上海 201112)

0 引 言

隨著信息時代的到來，網(wǎng)絡(luò)系統(tǒng)信息的安全保障逐步走進人們的視線，并且顯示著越來越重要的作用。我國每年因為系統(tǒng)安全導(dǎo)致服務(wù)器癱瘓等各種問題數(shù)不勝數(shù)，損失十分嚴重[1]。

系統(tǒng)安全的本質(zhì)就是要保護信息系統(tǒng)或者在網(wǎng)絡(luò)中的各種信息資源在受到大量信息沖擊或者物理沖擊的情況下仍然能夠通暢運行。國家系統(tǒng)、政府機關(guān)的信息安全關(guān)系著國家的長治久安[2]，其信息的安全性更應(yīng)受到關(guān)注。銀行作為我國金融體系中的重中之重，存儲著國家的財富和人民的積蓄，一旦銀行系統(tǒng)安全發(fā)生問題，輕則造成某一個家庭多年的心血毀于一旦，重則國家不得安寧。

本文以我國某一民用銀行的信息系統(tǒng)安全評估為例，講解了系統(tǒng)安全的評估流程，并以該銀行系統(tǒng)存在的問題為例講解需要改進的地方和重點需要檢查的位置。

1 系統(tǒng)信息安全評估流程

系統(tǒng)信息安全評估的主要工作是對系統(tǒng)中可能存在的風(fēng)險進行檢查、分析和判定。

1.1 系統(tǒng)信息安全評估的目的、范圍和準(zhǔn)備工作

系統(tǒng)安全評估為公司信息人員進行信息操作提供一個可行的標(biāo)準(zhǔn)，一般的系統(tǒng)信息安全評估的范圍包括：物理安全、安全制度、人員安全管理、系統(tǒng)建設(shè)管理等任何和系統(tǒng)有關(guān)系的內(nèi)容[3]。例如本文中銀行的核心網(wǎng)絡(luò)系統(tǒng)主要用于網(wǎng)上銀行系統(tǒng)、綜合前置系統(tǒng)、核心業(yè)務(wù)系統(tǒng)、人民幣支付交易系統(tǒng)和為這些系統(tǒng)提供基礎(chǔ)網(wǎng)絡(luò)平臺的支持和保障的響應(yīng)配套系統(tǒng)。

對一個系統(tǒng)進行信息安全評估主要進行以下幾方面的工作：

1) 系統(tǒng)信息安全評估準(zhǔn)備工作：根據(jù)整個系統(tǒng)的實際情況和可能存在的問題準(zhǔn)備系統(tǒng)信息安全評估計劃、系統(tǒng)信息安全評估程序、系統(tǒng)信息安全評估中的方法和可能用到的一些工具等[4]。

2) 系統(tǒng)信息安全評估目標(biāo)：在進行系統(tǒng)信息安全評估之前要明確整個系統(tǒng)中所要保護的資產(chǎn)內(nèi)容和系統(tǒng)的脆弱性、系統(tǒng)面臨的風(fēng)險。

3) 信息系統(tǒng)安全評估分析：系統(tǒng)信息安全評估之后要對發(fā)現(xiàn)的信息安全問題進行分析。分析產(chǎn)生不安全因素的原因和目的，可能造成的損害和受到危害的程度等方面。

4) 信息安全系統(tǒng)風(fēng)險等級評估：根據(jù)信息安全系統(tǒng)存在的問題進行分析得出信息系統(tǒng)的安全等級[5]。

1.2 信息系統(tǒng)安全評估具體流程

整個系統(tǒng)信息安全評估流程如圖1所示。

圖1 信息系統(tǒng)安全評估具體流程

從圖1中可以看出信息系統(tǒng)安全評估流程有以下幾點：

1) 明確評估目標(biāo)：根據(jù)所要評估的系統(tǒng)提前了解系統(tǒng)使用的場景以及面對的威脅，明確此次系統(tǒng)信息安全評估的目標(biāo)，在國家相應(yīng)的法律法規(guī)的范圍內(nèi)進行信息評估。

2) 明確評估范圍：根據(jù)被委托評估單位的要求，明確此次評估的范圍是整個公司的全部系統(tǒng)，還是公司某一個部門使用的系統(tǒng)，必須在評估之前明確此次工作的范圍。

3) 確定評估分工：根據(jù)風(fēng)險評估的目標(biāo)和評估的范圍，確定在系統(tǒng)風(fēng)險評估中所需要使用到的一些工具，組建團隊相關(guān)人員，必要的時候可以組建風(fēng)險評估工作小組，聘請相關(guān)專家?guī)兔鉀Q問題。

1.3 信息系統(tǒng)安全評估具體流程

銀行網(wǎng)絡(luò)系統(tǒng)主要分為核心網(wǎng)絡(luò)區(qū)、服務(wù)器區(qū)、外部外聯(lián)區(qū)和內(nèi)部外聯(lián)區(qū)。銀行核心業(yè)務(wù)處理系統(tǒng)位于服務(wù)器區(qū)內(nèi)，通過防火墻實現(xiàn)了與行內(nèi)其他網(wǎng)絡(luò)區(qū)域的邏輯隔離。銀行核心業(yè)務(wù)處理系統(tǒng)主要包括eBBS和Dotopal兩個模塊[6]，通過核心交換機實現(xiàn)了應(yīng)用模塊的接入，并通過核心路由器實現(xiàn)了主備機房的數(shù)據(jù)交換。該系統(tǒng)采取了三層應(yīng)用設(shè)計，應(yīng)用服務(wù)器、網(wǎng)絡(luò)服務(wù)器、數(shù)據(jù)服務(wù)器位于不同網(wǎng)段，并通過防火墻控制數(shù)據(jù)間的交換。銀行核心業(yè)務(wù)處理系統(tǒng)整體網(wǎng)絡(luò)結(jié)構(gòu)如圖2和圖3所示。

圖2 Dotopal模塊系統(tǒng)拓撲圖

圖3 eBBS模塊系統(tǒng)拓撲圖

2 銀行信息系統(tǒng)安全評估

銀行信息系統(tǒng)的核心網(wǎng)絡(luò)系統(tǒng)主要為網(wǎng)上銀行系統(tǒng)、綜合牽制系統(tǒng)、核心業(yè)務(wù)系統(tǒng)、人民幣支付交易系統(tǒng)等提供基礎(chǔ)網(wǎng)絡(luò)平臺的支持和保障，實現(xiàn)各生產(chǎn)業(yè)務(wù)系統(tǒng)的數(shù)據(jù)傳輸。

2.1 銀行網(wǎng)絡(luò)系統(tǒng)評估范圍和系統(tǒng)現(xiàn)狀

銀行系統(tǒng)包括數(shù)據(jù)中心機房，機房門口配備了電子門禁系統(tǒng)，在機房出入口和內(nèi)部監(jiān)控區(qū)域安裝了視頻監(jiān)控，機房安裝了自動滅火系統(tǒng)、精密空調(diào)、UPS、備用發(fā)電系統(tǒng)等[7]。機房管理員每天對機房內(nèi)的環(huán)境狀況、溫濕度進行巡檢和記錄。此外機房內(nèi)還部署了漏水檢測繩、防雷安保器等設(shè)備，并通過BMS監(jiān)控室的環(huán)境集中監(jiān)控系統(tǒng)實時監(jiān)控機房環(huán)境狀況。

關(guān)于銀行系統(tǒng)的系統(tǒng)安全判斷有以下幾個方面，分別是安全制度管理和機房設(shè)備安全，例如：機房主機和管理人員確保信息安全、系統(tǒng)接入網(wǎng)絡(luò)的安運維人員確保系統(tǒng)是否正常運行、公司是否擁有相應(yīng)的安全管理機構(gòu)等[8]。

關(guān)于銀行系統(tǒng)的物理安全、主機安全、安全制度管理等主要測評要點在于對機房現(xiàn)場、人員調(diào)度等情況進行核實，比如在該銀行內(nèi)就發(fā)現(xiàn)機房出入口沒有相關(guān)的人員把守，這樣會導(dǎo)致非相關(guān)人員進入，造成數(shù)據(jù)的不安全。其中銀行系統(tǒng)的網(wǎng)絡(luò)安全是安全評估的重中之重，下面主要講解如何進行網(wǎng)絡(luò)安全評估。

2.2 銀行網(wǎng)絡(luò)系統(tǒng)網(wǎng)絡(luò)安全評估

目前比較流行的方法是使用基于模型的技術(shù)評估方法對計算機網(wǎng)絡(luò)系統(tǒng)的安全進行評估。比較成熟的有訪問控制模型、信息流模型、基于角色的訪問控制的特權(quán)圖模型等。

使用模型的技術(shù)評估方法可以使繁瑣的信息評估變成依據(jù)在規(guī)則內(nèi)的模型，抽取簡單，建立模型可以對系統(tǒng)的所有案例進行分析，發(fā)現(xiàn)可能存在的信息安全風(fēng)險問題。

鑒于測評人員對信息系統(tǒng)等級保護測評中網(wǎng)絡(luò)安全評估的測評指標(biāo)理解的局限性、評判的模糊性以及量化打分中判定區(qū)間的不確定性，將云模型與貝葉斯反饋算法相結(jié)合，采用云模型理論來處理評估結(jié)果的模糊性和隨機性[9]。由于傳統(tǒng)的一維逆向云算法出現(xiàn)超熵為虛數(shù)的情況，因此，使用無確定度逆向云算法來避免這種情況的發(fā)生。通過建立貝葉斯反饋云模型，對給出的測評結(jié)果進行檢驗和修正，使評估結(jié)果更加客觀、準(zhǔn)確。根據(jù)已修正的網(wǎng)絡(luò)安全整體評估云的期望和熵，給出合理的安全等級判定區(qū)間，作為實際測評中等級評估的依據(jù)。實例驗證表明，該評估方法可以有效地修正測評人員評估結(jié)果之間的差異，實現(xiàn)合理的判定劃分，給出客觀、準(zhǔn)確的等級評估結(jié)果。

在對銀行系統(tǒng)進行網(wǎng)絡(luò)安全評估過程中，按照我國公安部對網(wǎng)絡(luò)安全有七個標(biāo)準(zhǔn)，分別是：公司信息組織結(jié)構(gòu)安全，訪問的信息安全，審計信息過程安全，保持信息邊界的完整性，安裝防火墻等設(shè)備保證不被信息入侵，對可能出現(xiàn)惡意入侵代碼進行防護，對相關(guān)的網(wǎng)關(guān)設(shè)備進行維護，確保網(wǎng)絡(luò)設(shè)備正常運行。

安全評估小組派出多個專家分別進行網(wǎng)絡(luò)安全評估，對評估的專家給出的每一項的分數(shù)，制作正態(tài)分布，在制作分數(shù)分布的時候可能會出現(xiàn)邊界混亂的問題[10]，說明在不同的問題上很多專家的意見不同。為了使得評估的結(jié)果更加標(biāo)準(zhǔn)，引入貝葉斯反饋算法，對專家給出的數(shù)據(jù)進行修正。

依據(jù)安全控制點的權(quán)重和各測評項的得分綜合計算，各安全層面得分如圖4所示。

圖4 安全層面評分得分標(biāo)準(zhǔn)

3 整體測評

3.1 安全控制間安全測評

1) 網(wǎng)絡(luò)安全 被測IDS設(shè)備設(shè)置了管理員賬號和只讀賬號，管理員每次使用賬號登錄時需提出申請，獲取口令后方可登錄，使用后對口令進行重置。只讀賬號僅設(shè)置了一個，未能確保網(wǎng)絡(luò)設(shè)備用戶標(biāo)識唯一。由于該賬號為只讀權(quán)限一定程度上降低了未對用戶進行唯一標(biāo)識的風(fēng)險。

2) 主機安全 被測的部分主機設(shè)備未安裝防惡意代碼軟件，現(xiàn)場測評發(fā)現(xiàn)未安裝防惡意代碼軟件的主機設(shè)備均采用Linux操作系統(tǒng)。由于Linux系統(tǒng)成為被攻擊對象的幾率相對較低，一定程度上降低了主機被惡意代碼攻擊的風(fēng)險。

3.2 層面間安全測評

被測的Linux操作系統(tǒng)主機均未安裝防惡意代碼軟件，在互聯(lián)網(wǎng)邊界出口處部署了symantec防病毒網(wǎng)關(guān)，對惡意代碼進行了過濾，一定程度上降低主機被惡意代碼攻擊的風(fēng)險[11]。

被測主機采用SSH進行遠程管理，沒有對遠程登錄的源地址進行限制。在網(wǎng)絡(luò)上安裝了防火墻，通過防火墻策略限制了SSH的網(wǎng)絡(luò)訪問，一定程度上降低了未限制主機遠程登錄源地址的風(fēng)險。

3.3 區(qū)域間安全測評

網(wǎng)絡(luò)架構(gòu)中第三方外聯(lián)區(qū)邊界未對常見攻擊行為進行監(jiān)測，未對惡意代碼進行檢測和清除。第三方外聯(lián)區(qū)主要連接人行、銀監(jiān)等監(jiān)管機構(gòu)，一定程度上降低了未對攻擊行為進行監(jiān)測，未對惡意代碼進行檢測和清除的風(fēng)險。

3.4 系統(tǒng)安全保障評估

在對該銀行的信息安全進行檢驗的過程中，從公司內(nèi)部信息安全機構(gòu)、公司保障信息安全運行的物理設(shè)備以及公司內(nèi)部的網(wǎng)絡(luò)系統(tǒng)安全等多個方面進行評估。

公司內(nèi)部信息安全機構(gòu)的審查主要涉及到公司信息組織機構(gòu)是否設(shè)立，內(nèi)部組織機構(gòu)人員是否可以對公司內(nèi)部的非安全信息進行監(jiān)測，公司內(nèi)部的網(wǎng)絡(luò)安全系統(tǒng)安裝是否到位，以及相關(guān)的組織機構(gòu)人員離崗、到崗情況，組織機構(gòu)人員是否進行過專業(yè)培訓(xùn)，可以保證在遇到相關(guān)的信息安全問題可以及時解決等。

公司物理設(shè)備安全主要包括主機安全、機房安全等，確保物理設(shè)備安全主要審查的內(nèi)容為：機房空調(diào)系統(tǒng)是否正常運行，機房內(nèi)部是否安裝防火、防斷電系統(tǒng)，公司主機電路系統(tǒng)設(shè)計是否合理，面對一切自然災(zāi)害或者人為災(zāi)害時是否可以保證系統(tǒng)的正常運行。

公司內(nèi)部的網(wǎng)絡(luò)系統(tǒng)安全部分包括使用防火墻是否可以攔截住常見病毒或者攻擊，以及銀行信息安全部門人員通過監(jiān)測攔截惡意代碼、木馬攻擊等。

結(jié)論判定及綜合得分計算方式如表1所示。

表1 某某銀行實際測試評判得分表

其中修正后問題嚴重程度賦值結(jié)果取多對象中針對同一測評項的最大值。經(jīng)過測評，某某銀行符合國家安全標(biāo)準(zhǔn)，但仍然有需要改進的地方，根據(jù)測評結(jié)果提出如下整改建議：

1) 建議定期對入侵檢測設(shè)備日志進行分析，并形成審計記錄；

2) 建議對入侵檢測設(shè)備的用戶進行梳理，明確用戶唯一標(biāo)識，避免共享賬號的存在；

3) 建議將主機設(shè)備、終端設(shè)備和數(shù)據(jù)庫系統(tǒng)的登錄超時時間設(shè)置在10分鐘以內(nèi)；

4) 建議在制度中明確各類系統(tǒng)的模擬運行和試運行的時間要求；

5) 建議完善介質(zhì)管理制度，明確紙質(zhì)文檔外借管理流程；

6) 建議完善終端設(shè)備的管理，對筆記本帶離工作場所的情況進行規(guī)定；

7) 建議再完善安全管理制度，限制對系統(tǒng)脆弱點進行嘗試性驗證。

4 結(jié) 語

隨著信息時代的到來，信息安全顯得越來越重要，銀行是一個國家的經(jīng)濟命脈。本文通過某銀行信息安全評估為例，講解了在銀行網(wǎng)絡(luò)系統(tǒng)中的信息安全評估流程，以及銀行信息安全評估中需要評估的內(nèi)容，以便為同類信息安全評估提供借鑒數(shù)據(jù)。