第五章 安全电子支付的需求
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
在系统分析和设计时 地址、房屋结构设计
关键软硬件的备援配置
重要的金融信息中心要配置备份中心
11
第二节 电子银行的不安全因素和防止
5.2.2 环境因素
战争破坏、掉电、电力波动过大、工作环境温度和湿度等 ，都可能对电子银行构成威胁。
5.2.3 软硬件质量及其安全漏洞
操作系统存在如下安全漏洞： ① 操作系统体系结构上的安全漏洞 ② 操作系统支持在网络上传输文件 ③ 操作系统通常都提供一些后台守护进程的系统命令
否认服务：是指否认自己曾向银行计算机系统发出指令等 实际行为。
15
第三节 防范对电子银行实施攻击的方法
是计算机失效的五种类型
16
第三节 防范对电子银行实施攻击的方法
5.3.3 入侵探测方法与探测系统
1、入侵探测方法
①模式匹配：一种基于知识的入侵探测方法；准确率和效 率都很高，但检测不到以前未出现过的新攻击行为。
⑤ 如遇到物理链路或软硬件故障，允许中断电子支付过程 ，但对支付活动所涉及的任何一方不会带来任何影响
9
第一节
① 身份识别 ② wenku.baidu.com易认证 ③ 访问控制
电子银行安全概述
从安全技术角度，电子银行的信息安全需求主要是：
④ 信息的不可否认性
⑤ 审计跟踪
10
第二节 电子银行的不安全因素和防止
5.2.1 自然灾害
4、软件控制
① 系统软件控制：
② 程序内部控制：
③ 开发专门的安全监控软件 ④ 电子金融的经营风险管理软件
23
第三节 防范对电子银行实施攻击的方法
5、硬件控制 6、物理控制
7、稽核控制
8、规章管理制度 9、法律和伦理道德控制
24
第三节 防范对电子银行实施攻击的方法
5.3.6 加强电子银行安全应遵循的原则
7
第一节
电子银行安全概述
5.1.5 电子银行的信息安全需求
电子银行安全的涉及包括法律、法规和道德规范，管理制 度，物理安全环境，硬件系统安全，通信网络安全，软件系统 安全，数据信息安全，关键员工的安全等，是一个复杂的系统 工程。
1、两种网络环境
IP商业网络：能兼容多协议，支持网络系统的原有应用， 又便于同互联网通信。在这种网络环境中所做的所有电子交 易都是实名交易。网络内部的相互信任关系是根据本系统的 政策确定的。 Internet
8
第一节
电子银行安全概述
2、电子银行的信息安全需求
从业务需求角度，电子银行系统应能实现如下要求： ① 客户能向银行提交电子支付指令 ② 银行应能鉴别收到的电子指令的真伪和完整性，并准确 无误地予以执行。
③ 电子支付过程中发生的全部会计与业务处理过程均应完 整、无误地进行
④ 电子支付过程中发生的行为应存档，便于随时查阅
1、数据加密
保障系统安全的主要技术中，密码技术是基础。数据保密 的核心是密钥的保密和安全，其中以密钥分配的技术难度最大 。
2、数字签名和电文识别技术
在通信过程中，要使通信的双方相互信任，要保证传输数 据的完整性，重点在协议。
22
第三节 防范对电子银行实施攻击的方法
3、身份识别技术
在专用金融网络中进行的金融交易，只需要进行单向身份 认证；网上支付和网上金融是通过完全开放的互联网进行金融 交易的，必须进行双向身份认证。
4、现代的电子银行有专用网络和开放性公用网络两种，在不 同的网络环境里要采用不同的安全机制。
26
④ 操作系统安排的无口令入口等
12
第二节 电子银行的不安全因素和防止
5.2.4 误操作
提高操作人员的技术水平；重要数据的录入，需要有复核 ；软件的设计上应有保证数据正确性和完整性的功能。
5.2.5 人为破坏
加强门卫管理；防止机密的媒体被复制和破坏；防止利用 侦听设备和技术等。
5.2.6 非授权存取
4
第一节
电子银行安全概述
5.1.2 电子银行安全的特点
经营集约化的前提和基本条件是对所有数据源实现集中统 一管理，以提高数据处理效率、便于开发新产品和提高银行的 抗风险能力。 电子银行的安全具有如下特点： ①安全性要求高
②抗攻击能力要强
③安全难度大 ④高科技犯罪比重大
5
第一节
电子银行安全概述
5.1.3 电子银行的资源
3
第一节
电子银行安全概述
近年来，信息战呼声鹊起，声称未来的战争首先是信息战 ，破坏敌国的金融和经济信息系统，使整个国家的国民经济和 人们的日常生活陷入瘫痪，进而赢得战争。 事实表明，电子银行系统的缺陷和失效，会给国民经济带 来巨大经济损失，其安全直接关系到金融机构生存和经营竞争 的成败。电子银行安全是银行的生命线。
②统计分析：对审计数据经行统计分析；可探测到未知的 和复杂的入侵，但误报和漏报率较高。 ③完整性分析：主要对某个文件或对象的完整性进行分析 ；能准确判断文件或对象在传输中是否被篡改，但它一般以批 处理方式出现，不能做到实时响应。
17
第三节 防范对电子银行实施攻击的方法
2、入侵探测系统
依据探测方法可将入侵探测产品分为： ①事后审核分析：对所有与网络安全有关的活动记录进行 人工的或自动的审查追踪。 ②实时数据包分析：由一个专门的入侵探测软件检查通过 一段网络的数据包。
⑴ 预防为主的原则
⑵ 加强最薄弱环节原则
⑶ 时间性原则 ⑷ 有效性原则 ⑸ 效能投资相容原则 ⑹ 以人为本的原则
25
第四节
小
结
1、电子银行不仅存在传统银行所具有的经营风险，还增加了 许多新的技术风险。电子银行的安全，包括技术风险和经营风 险的防范和化解，是电子银行的生命线。 2、电子银行的资源包括物理设备、软件、数据和人员。电子 银行的安全系统，必须对电子银行的所有资源实施保护。其中 ，最重要的资源是数据。 3、电子银行的不安全因素很多，所采取的各种安全控制措施 必须真正有效才能达到安全目的。
电子银行的资源主要包括：
物理设备：是电子银行安全的基础
软件资源：是电子银行的心脏和驱动力 数据资源：是电子银行安全的核心
人力资源
6
第一节
电子银行安全概述
5.1.4 电子银行安全的基本条件
可靠性（reliability）：①强调系统中的所有资源都必须 是正确完好、无差错。②能检验数据的类型、合理性、准确性 、保密性、正确性和完整性。③保证软硬件系统能正确、可靠 地完成系统预定的任务。④保障用户的权益。 可用性（availability）：保证合法用户能正确使用系统 资源。 可维护性（serviceability）：永远能为用户提供高质量 的简便快速的服务。
1
第五章 安全电子支付的需求
1、要了解安全电子支付严重性
2、要了解电子支付的安全特点、需求、不安全因素 、防止高科技犯罪的主要技术和方法、信息安全评 价准则等内容
2
第一节
电子银行安全概述
5.1.1 电子银行安全的严重性
金融业是国民经济的命脉，电子银行的安全对国民经济的 正常运行和发展至关重要。 软硬件厂商对高科技产品的安全可靠性不断作周密研究和 完善，但任何计算机系统都不是完美无缺的，存在薄弱环节和 不安全因素。 金融机构是经营货币的特殊行业。 互联网的发展，电子商务的兴起，网上支付和网上银行的 推广应用，信息的安全问题更为突出。
展示一种管理器/代理结构的入侵探测系统
20
第三节 防范对电子银行实施攻击的方法
5.3.4 电子银行的安全层次
主体—网络—主机系统—应用软件—客体
构成计算机网络的网络、主机系统和应用软件三个层次构 成，每一层次又由若干部件构成。
21
第三节 防范对电子银行实施攻击的方法
5.3.5 防止高科技犯罪的主要技术和方法
要验明用户的身份和用户权限。
13
第三节 防范对电子银行实施攻击的方法
5.3.1 安全威胁来源
安全威胁的来源
14
第三节 防范对电子银行实施攻击的方法
5.3.2 攻击的类型
中断：是使系统资源遭受损失、损坏或不可用。
截取：是指非授权实体对资源的存取。
修改：是指非授权实体对资源进行篡改而产生的失效方式。 伪造：是指非授权实体伪造计算机系统中的实体。
③实时活动监视：对发生在组成网络中的各种系统和设备 上的、同网络安全相关的活动进行监视。实时活动监视有单独 活动监视和管理器/代理结构的入侵探测两种。
18
第三节 防范对电子银行实施攻击的方法
展示一个安装有实时数据包探测器的系统。
基于实时数据包分析的入侵探测系统
19
第三节 防范对电子银行实施攻击的方法
关键软硬件的备援配置
重要的金融信息中心要配置备份中心
11
第二节 电子银行的不安全因素和防止
5.2.2 环境因素
战争破坏、掉电、电力波动过大、工作环境温度和湿度等 ，都可能对电子银行构成威胁。
5.2.3 软硬件质量及其安全漏洞
操作系统存在如下安全漏洞： ① 操作系统体系结构上的安全漏洞 ② 操作系统支持在网络上传输文件 ③ 操作系统通常都提供一些后台守护进程的系统命令
否认服务：是指否认自己曾向银行计算机系统发出指令等 实际行为。
15
第三节 防范对电子银行实施攻击的方法
是计算机失效的五种类型
16
第三节 防范对电子银行实施攻击的方法
5.3.3 入侵探测方法与探测系统
1、入侵探测方法
①模式匹配：一种基于知识的入侵探测方法；准确率和效 率都很高，但检测不到以前未出现过的新攻击行为。
⑤ 如遇到物理链路或软硬件故障，允许中断电子支付过程 ，但对支付活动所涉及的任何一方不会带来任何影响
9
第一节
① 身份识别 ② wenku.baidu.com易认证 ③ 访问控制
电子银行安全概述
从安全技术角度，电子银行的信息安全需求主要是：
④ 信息的不可否认性
⑤ 审计跟踪
10
第二节 电子银行的不安全因素和防止
5.2.1 自然灾害
4、软件控制
① 系统软件控制：
② 程序内部控制：
③ 开发专门的安全监控软件 ④ 电子金融的经营风险管理软件
23
第三节 防范对电子银行实施攻击的方法
5、硬件控制 6、物理控制
7、稽核控制
8、规章管理制度 9、法律和伦理道德控制
24
第三节 防范对电子银行实施攻击的方法
5.3.6 加强电子银行安全应遵循的原则
7
第一节
电子银行安全概述
5.1.5 电子银行的信息安全需求
电子银行安全的涉及包括法律、法规和道德规范，管理制 度，物理安全环境，硬件系统安全，通信网络安全，软件系统 安全，数据信息安全，关键员工的安全等，是一个复杂的系统 工程。
1、两种网络环境
IP商业网络：能兼容多协议，支持网络系统的原有应用， 又便于同互联网通信。在这种网络环境中所做的所有电子交 易都是实名交易。网络内部的相互信任关系是根据本系统的 政策确定的。 Internet
8
第一节
电子银行安全概述
2、电子银行的信息安全需求
从业务需求角度，电子银行系统应能实现如下要求： ① 客户能向银行提交电子支付指令 ② 银行应能鉴别收到的电子指令的真伪和完整性，并准确 无误地予以执行。
③ 电子支付过程中发生的全部会计与业务处理过程均应完 整、无误地进行
④ 电子支付过程中发生的行为应存档，便于随时查阅
1、数据加密
保障系统安全的主要技术中，密码技术是基础。数据保密 的核心是密钥的保密和安全，其中以密钥分配的技术难度最大 。
2、数字签名和电文识别技术
在通信过程中，要使通信的双方相互信任，要保证传输数 据的完整性，重点在协议。
22
第三节 防范对电子银行实施攻击的方法
3、身份识别技术
在专用金融网络中进行的金融交易，只需要进行单向身份 认证；网上支付和网上金融是通过完全开放的互联网进行金融 交易的，必须进行双向身份认证。
4、现代的电子银行有专用网络和开放性公用网络两种，在不 同的网络环境里要采用不同的安全机制。
26
④ 操作系统安排的无口令入口等
12
第二节 电子银行的不安全因素和防止
5.2.4 误操作
提高操作人员的技术水平；重要数据的录入，需要有复核 ；软件的设计上应有保证数据正确性和完整性的功能。
5.2.5 人为破坏
加强门卫管理；防止机密的媒体被复制和破坏；防止利用 侦听设备和技术等。
5.2.6 非授权存取
4
第一节
电子银行安全概述
5.1.2 电子银行安全的特点
经营集约化的前提和基本条件是对所有数据源实现集中统 一管理，以提高数据处理效率、便于开发新产品和提高银行的 抗风险能力。 电子银行的安全具有如下特点： ①安全性要求高
②抗攻击能力要强
③安全难度大 ④高科技犯罪比重大
5
第一节
电子银行安全概述
5.1.3 电子银行的资源
3
第一节
电子银行安全概述
近年来，信息战呼声鹊起，声称未来的战争首先是信息战 ，破坏敌国的金融和经济信息系统，使整个国家的国民经济和 人们的日常生活陷入瘫痪，进而赢得战争。 事实表明，电子银行系统的缺陷和失效，会给国民经济带 来巨大经济损失，其安全直接关系到金融机构生存和经营竞争 的成败。电子银行安全是银行的生命线。
②统计分析：对审计数据经行统计分析；可探测到未知的 和复杂的入侵，但误报和漏报率较高。 ③完整性分析：主要对某个文件或对象的完整性进行分析 ；能准确判断文件或对象在传输中是否被篡改，但它一般以批 处理方式出现，不能做到实时响应。
17
第三节 防范对电子银行实施攻击的方法
2、入侵探测系统
依据探测方法可将入侵探测产品分为： ①事后审核分析：对所有与网络安全有关的活动记录进行 人工的或自动的审查追踪。 ②实时数据包分析：由一个专门的入侵探测软件检查通过 一段网络的数据包。
⑴ 预防为主的原则
⑵ 加强最薄弱环节原则
⑶ 时间性原则 ⑷ 有效性原则 ⑸ 效能投资相容原则 ⑹ 以人为本的原则
25
第四节
小
结
1、电子银行不仅存在传统银行所具有的经营风险，还增加了 许多新的技术风险。电子银行的安全，包括技术风险和经营风 险的防范和化解，是电子银行的生命线。 2、电子银行的资源包括物理设备、软件、数据和人员。电子 银行的安全系统，必须对电子银行的所有资源实施保护。其中 ，最重要的资源是数据。 3、电子银行的不安全因素很多，所采取的各种安全控制措施 必须真正有效才能达到安全目的。
电子银行的资源主要包括：
物理设备：是电子银行安全的基础
软件资源：是电子银行的心脏和驱动力 数据资源：是电子银行安全的核心
人力资源
6
第一节
电子银行安全概述
5.1.4 电子银行安全的基本条件
可靠性（reliability）：①强调系统中的所有资源都必须 是正确完好、无差错。②能检验数据的类型、合理性、准确性 、保密性、正确性和完整性。③保证软硬件系统能正确、可靠 地完成系统预定的任务。④保障用户的权益。 可用性（availability）：保证合法用户能正确使用系统 资源。 可维护性（serviceability）：永远能为用户提供高质量 的简便快速的服务。
1
第五章 安全电子支付的需求
1、要了解安全电子支付严重性
2、要了解电子支付的安全特点、需求、不安全因素 、防止高科技犯罪的主要技术和方法、信息安全评 价准则等内容
2
第一节
电子银行安全概述
5.1.1 电子银行安全的严重性
金融业是国民经济的命脉，电子银行的安全对国民经济的 正常运行和发展至关重要。 软硬件厂商对高科技产品的安全可靠性不断作周密研究和 完善，但任何计算机系统都不是完美无缺的，存在薄弱环节和 不安全因素。 金融机构是经营货币的特殊行业。 互联网的发展，电子商务的兴起，网上支付和网上银行的 推广应用，信息的安全问题更为突出。
展示一种管理器/代理结构的入侵探测系统
20
第三节 防范对电子银行实施攻击的方法
5.3.4 电子银行的安全层次
主体—网络—主机系统—应用软件—客体
构成计算机网络的网络、主机系统和应用软件三个层次构 成，每一层次又由若干部件构成。
21
第三节 防范对电子银行实施攻击的方法
5.3.5 防止高科技犯罪的主要技术和方法
要验明用户的身份和用户权限。
13
第三节 防范对电子银行实施攻击的方法
5.3.1 安全威胁来源
安全威胁的来源
14
第三节 防范对电子银行实施攻击的方法
5.3.2 攻击的类型
中断：是使系统资源遭受损失、损坏或不可用。
截取：是指非授权实体对资源的存取。
修改：是指非授权实体对资源进行篡改而产生的失效方式。 伪造：是指非授权实体伪造计算机系统中的实体。
③实时活动监视：对发生在组成网络中的各种系统和设备 上的、同网络安全相关的活动进行监视。实时活动监视有单独 活动监视和管理器/代理结构的入侵探测两种。
18
第三节 防范对电子银行实施攻击的方法
展示一个安装有实时数据包探测器的系统。
基于实时数据包分析的入侵探测系统
19
第三节 防范对电子银行实施攻击的方法