银行网络安全设计方案

目录1 银行系统的安全设计 (1)1.1 银行网络基本情况 (1)1.2 镇银行各部门分配 (1)1.3 银行网络安全现状 (2)1.4 现象分析 (5)2 银行系统的网络拓扑图及说明 (6)3 银行系统的网络安全部署图及说明 (7)3.1 敏感数据区的保护 (7)3.2 通迅线路数据加密 (7)3.3 防火墙自身的保护 (8)4 系统的网络设备选型及说明 (9)4.1 核心层交换机 (9)4.2 汇聚层交换机 (9)4.3 接入层交换机 (10)4.4 路由器 (10)4.5 防火墙 (11)4.6 服务器 (12)5 安全配置说明 (12)5.1 防火墙技术 (12)5.2 网络防病毒体系 (13)5.3 网络入侵检测技术 (13)5.4 网络安全审计技术 (13)5.5 VPN技术 (14)总结 (15)一．银行系统的安全设计1.1银行网络基本情况随着信息技术的发展，社会的信息化程度提高了，网络银行、电子银行出现了，整个银行业、金融业都依赖于信息系统。

交易网络化、系统化、快速化和货币数字经是当前金融业的特点，这对金融信息系统的安全保密性提出了严格的要求。

金融信息系统必须保证金融交易的机密性、完整性、访问控制、鉴别、审计、追踪、可用性、抗抵赖性和可靠性。

为了适应金融业的需要，各家银行都投资建网。

但是，由于各种因素的制约，网络的安全体系不完善，安全措施不完备，存在严重的安全漏洞和安全隐患。

这些安全漏洞和隐患有可能造成中国的金融风暴，给国家带来重大损失，因此必须采取强有力的措施，解决银行网络的安全问题。

1.2银行各部门分配1.2.1公司业务部主要负责对公业务，审核等。

1.2.2个人业务部主要负责个人业务，居民储蓄，审核。

1.2.3国际业务部主要负责国际打包放款，国际电汇，外汇结算等。

1.2.4资金营运部主要是资金结算。

1.2.5信贷审批部负责各类贷款审批等。

1.2.6风险管理部就是在银行评估、管理、解决业务风险的部门。

银行的业务风险主要有：信贷的还款风险、会计的结算风险、新业务的试水风险、财务的管理风险、业务文件的法律风险等等。

所有这些风险的控制，特别是前三类业务的风险控制，都是由风险管理部牵头制订解决办法的。

1.2.7会计结算部安全防范为主题，强化会计结算基础管理工作，揽存增储、中间业务、保险、基金等各项任务，全员的防范意识、业务素质、核算质量、服务技能工作，加强管理、监督、检查与辅导，指导全员严格按照规章制度和操作流程办理业务，加强人员培训，提高业务素质和核算质量。

1.2.8出纳保卫部主要负责现金管理、安全检查、监控管理、消防安全等安保工作。

1.2.9科技部主要负责银行计算机软硬件方面的维护。

1.2.10人力资源部主要负责银行内部人员的考勤。

1.3银行网络安全现状1.3.1浦发银行安全现状现在，信息攻击技术发展很快，攻击手段层出不穷，但银行网络日前的安全措施大部分仅是保密，极少采用数字签名，认证机制不健全，这完全不适应现代金融系统的安全需求。

具体表现在以下五个方面：1）有投入，有人员，但投入不够，人员不固定。

遇有冲突，立刻舍弃；只求速上，不求正常、配套、协调建设，从根本上没有改变以前轻视安全的做法。

2）对整个网络建设缺乏深入、细致、具体的安全体系研究，更缺乏建立安全体系的迫切性。

3）有制度、措施、标准，但不完备，也没有认真执行，大部分流于形式，缺乏安全宣传教育。

4）缺乏有效的监督检查措施。

5）从根本上没有处理好发展与安全的关系。

1.3.2浦发银行网络系统所面临的安全威胁和风险由于金融信息系统中处理、传输、存贮的都是金融信息，对其进行攻击将获得巨额的金钱，而且，对金融信息系统的攻击，可能造成国家经济命脉的瘫痪和国家经济的崩溃，因此金融信息系统面临着巨大的风险和威胁。

银行网络系统面临的攻击手段较多，既有来自外部的，也有来自内部的。

由于对银行网络系统的攻击可以获得较大的经济、政治、军事利益，因此银行网络系统成为敌对国家、犯罪集团、高智商犯罪分子的首选攻击目标。

针对信息系统的新型攻击手段应运而生，各种被动攻击手段、主动攻击手段层出不穷。

攻击者利用各种高科技手段和仪器，利用网络协议本身的不安全性，路由器、口令文件、X11、Gopher的安全隐患，JavaApplet、Activex，CGI，数据库的安全隐患和其他计算机软硬件产品的不安全性，对信息系统实施攻击。

对于金融信息系统，更严重的威胁来自各种主动攻击手段。

主动攻击手段较多，如伪造票据、假冒客户、交易信息篡改与重放、交易信息销毁、交易信息欺诈与抵赖、非授权访问、网络间谍、“黑客”人侵、病毒传播、特洛伊木马、蠕虫程序、逻辑炸弹等。

这些攻击完全能造成金融信息系统瘫痪、资金流失或失踪。

这些攻击可能来自内部，也可能来自外部。

各种攻击将给金融信息系统造成以下几种危害：1）非法访问：银行网络是一个远程互连的金融网络系统。

现有网络系统利用操作系统网络设备进行访问控制，而这些访问控制强度较弱，攻击者可以在任一终端利用现有的大量攻击工具发起攻击；由于整个网络通过公用网络互连同样存在终端进行攻击的可能；另一方面银行开发的很多增值业务、代理业务，存在大量与外界互连的接口这些接口现在没有强的安全保护措施存在外部网络通过这些接口攻击银行，可能造成巨大损失。

2）窃取PIN/密钥等敏感数据：银行信用卡系统和柜台系统采用的是软件加密的形式保护关键数据，软件加密采用的是公开加密算法（DES），因此安全的关键是对加密密钥的保护，而软件加密最大的安全隐患是无法安全保存加密密钥，程序员可修改程序使其运行得到密钥从而得到主机中敏感数据。

3)假冒终端/操作员：银行网络中存在大量远程终端通过公网与银行业务前置机相连国内银行以出现多起在传输线路上搭接终端的案例。

银行网络同样存在大量类似安全隐患。

现有操作员身份识别唯一，但口令的安全性非常弱因此存在大量操作员假冒的安全风险。

4)截获和篡改传输数据：银行现有网络系统通过公网传输大量的数据没有加密，由于信息量大且采用的是开放的TCP/IP，现有的许多工具可以很容易的截获、分析甚至修改信息，主机系统很容易成为被攻击对象。

5)网络系统可能面临病毒的侵袭和扩散的威胁：黑客侵扰类似于网络间谍，但前者没有政治和经济目的，利用自己精通计算机知识，利用他人编程的漏洞，侵入金融信息系统，调阅各种资料，篡改他人的资料，将机密信息在公用网上散发广播等。

计算机病毒是一种依附在各种计算机程序中的一段具有破坏性、能自我繁衍的计算机程序，它通过软盘、终端或其它方式进入计算机系统或计算机网络，引起整个系统或网络紊乱，甚至造成瘫痪。

6)其他安全风险：主要有系统安全（主要有操作系统、数据库的安全配置）以及系统的安全备份等。

1.3.3浦发银行网络系统安全分析1)没有较完善的安全体系：目前，银行网络系统的问题缘自没有进行安全体系的研究。

采用的安全方案比较单一，仅能防止从信道上侦收信息，不能阻止来自业务系统和用户的网络攻击，不能适应银行网络系统的安全需求。

2)没有较完备的安全保密措施：由于银行网络系统没有较完善的安全体系，采取的安全措施不完备，不能防御所有的威胁和攻击。

3)没有建立安全预防中心：目前，银行网络系统没有建立全网的安全监控预警系统，或称为安全防预中心。

全网的安全监控预警系统备有先进的安全技术和设备，监察网上的异常活动、非安全活动，监视骨干网、骨干网设备及信息是否安全。

全网的安全监控预警系统负责安排骨干网的安全技术设备、措施和程序，如各种跟踪、预警和记录黑客、破坏者活动和重大活动。

4)网络间没有配置相应的防火墙:在银行内部各个业务部门网络之间、在等级不一的各安全区之间、在不同业务系统之间、在不同数据库之间、从不同金融机构进入，一般应有5～7道安全措施。

而在银行网络系统中，没有层层设防的安全措施，如配置相应的防火墙。

5)没有采用先进的硬件和软件加密技术和设备：银行的业务系统、网络和通信都有各自先进的软件加密和硬件加密，而且还应用了第三代、第四代加密技术。

业务系统、网络和通信采用不同商家的安全保密产品。

目前，银行网络系统只在远程通信采用了加密措施，设有专用的硬件和软件加密技术和设备。

6)没有配备反病毒的安全措施：由于网上病毒的增加，破坏性日益增大，金融机构都强化了反病毒的安全措施，包括过滤通信中的信息病毒、电子邮件中的病毒、WWW中的病毒，对网络及网络上的设备系统进行反病毒的扫描。

银行网络系统没有配备网络反病毒的监管系统。

7)在交换机上没有设置足够的安全措施：ATM和帧中继交换机是网络和通信的要害设备。

外国金融机构极为重视交换机的安全措施，用安全防预中心的设备对交换机进行三A控制，即鉴别、授权、审计。

我国银行网络没有在所有交换机上设置完整的三A安全控制。

1.4现象分析浦发银行系统在镇中共有两处营业点，其中一营业点与镇分理处相距1500米，所以两银行之间用光纤连接；该银行共有14个部门，每个部门都在不同的vlan 中，通过对交换机的设置，不同vlan间不能相互访问，保证银行网络的数据信息安全；该银行人力资源部门设有指纹检测系统，银行内部的人员每天都要在指纹检测器上按指纹。

其中个人业务部、资金营运部、风险管理部、计财部、会计总结部和人力资源部在营业点的一楼，公司业务部、国际业务部、信贷审批部、合规部、出纳保卫部、科技部和内审部在分理处的二楼，总共有19个房间，每个房间四个数据点和四个语音点，共76个数据点和76个语音点，需要两个核心交换机，两个汇聚交换机，四个接入交换机，一台路由器，一个防火墙，一个FTP服务器，一个WEB服务器，供银行内部人员上传和下载资料，个人业务部内个人储蓄的信息所有计算机都可以共享。

二．银行系统的网络拓扑图及说明在本方案中我们从浦发银行各种业务和各个部门的连接进行网络安全方面的设计。

在网络的对外出口处以及内部各部门的连接都设置防火墙将是最理想的选择，因此我们在本方案中建议浦发银行在所有与外部网出口都配置NetScreen 系列防火墙，以及在总行与分行的业务网的连接处也配置防火墙，对外防止黑客入侵，对内以防止内部人员的恶意攻击或由于内部人员造成的网络安全问题。

本方案中主要用到NetScreen-10和NetScreen-100，在总部与各部门连接点采用NetScreen-100作为防火墙，同时在重要的业务连接点采用NetScreen 独特的多机备份技术用两台作为热备份，保证整个系统的网络安全。

在各部门采用NetScreen-10防火墙，为连接各银行网点提供安全防护。

另银行通过INTERNET 网上进行业务时，由于分行与INTERNE 都有出口，也带来了一定的风险，我们建议在连接INTERNET 的出口上也配置NetScreen-10防火墙。