构建综合利用银行信息资源的网络安全体系(2)

表１具体管理用户范围

用户名称

路由器登录管理用户交换机登录管理用户防火墙登录管理用户路由器ＰＳＴＮ连接用户远程节点接入用户

密码内容上一级机构规定本级机构规定本级机构规定上一级机构规定一级分行规定

输，并且防火墙可以实现单向或双向控制，同时在路由器端设置相应路由分发、数据转发和地址转换等相应访问控制列表。

在防火墙端设置安全防护策略，对应各种外部网络攻击方式设定相应保护策略，防备网络攻击。制定防火墙攻击防护策略包括拒绝服务攻击防护、隔绝数据侦测、可疑数据包阻隔。

５．外连网络安全

在路由器端对人行等外部网络连接端口设立ＮＡＴ（网络地址转换）机制和ＡＣＬ，实现内部地址与人行规定地址转换，允许规定数据传输，禁止路由信息向外发布，保护内部网络地址和结构不被外部网络探知，防护外来攻击。

６．安全日志管理和分析

将网管系统服务器作为防火墙日志接收服务器，实现对防火墙上系统日志信息接收、存储、管理，实现重要安全事件告警。

用户名由网络设备命名规则和远程节点命名决定，密码为数字与字母无序无规则长度（８～１０位）的组合。

２．局域网安全

对生产系统、管理信息系统划分不同ＶＬＡＮ（虚拟局域网），按照具体数据传输访问要求设定ＶＬＡＮ间访问控制列表，防止非法访问和攻击，阻隔网络广播风暴；利用非法外连监测系统，防止内部局域网计算机与外网非法连接，保护内部数据和信息安全；建立病毒防护体系，防范病毒攻击，保护数据安全；局域网ＡＣＬ（访问控制列表）按照附件（访问限制表）中数据访问流向要求制定。

五、结论

通过以上针对网络安全系统体系结构各层面的分析，业务系统网络安全风险评估及相关安全技术的说明，银行网络系统采取如下的安全策略。

１．用户身份认证与访问控制

在总行、省行

通过对路由器的ＡＡＡ配置和使用

ＡＡＡ服务器，解决路由器拨号备份的安全问题。

（下转第４５页）

热点探究信息安全

墙、网络防病毒等技术，防范来源于内部和外部的网络威胁。同时，严格网络安全配置，制定合理的网络服务策略和强制路径策略，强化外部联接用户认证，保证交易双方的身份真实性并防止抵赖行为的发生，加强网络信任体系的建设。此外，采用认证技术对内部员工进行身份识别、操作时段控制，降低内部操作风险，提高客户信息和业务交易的机密性和完整性。

进行设置等，帮助客户培养安全使用电子银行、银行卡的良好习惯。

７．加强银行间沟通合作，共建防护体系

由于目前各家商业银行在计算机技术的应用上有较多共同之处，往往在一家银行发生的案件在其他银行也可能会重演。同时，一些典型案件也必须依靠银行间的合作，共同防范，才能更好地打击犯罪分子。譬如，近期发案率比较高的犯罪分子利用在自助银行或取款机上安装读卡器及针孔探头，盗窃客户银行卡资料，克隆银行卡窃取客户资金的案件，就是犯罪分子利用了“银联”网络的便利流窜作案，在甲地窃取资料，乙地制卡，跨行跨地区地作案，单靠一家银行是难以防范的。因此，加强银行间案情的及时通报和沟通，共同采取防范措施，有助于减少同类案件的发生，有助于减少银行和客户资金损失。

ＦＣＣ

６．完善业务管理制度，加强风险控制

银行应针对电子银行、银行卡等新型业务，制定和完善涵盖各个风险点和业务流程的安全制度，综合运用技术措施，有效防范内部人员或内外勾结案件的发生；对客户信息实行集中管理，减少中间环节，对数据库安全权限和交易权限实施分级授权；通过服务协议、交易规则、安全提示等多种形式，加强客户安全教育工作，如购买银行的电子认证设备，不要在网吧等公共场所使用网上银行，启动隐私信息保护监视功能，将账号和密码

!!!!!!!!!!!!!!!!!!!!!

（上接第４１页）

行实时的监控，能够对入侵攻击进行实时的响应。

２．防火墙

通过对防火墙的安全策略进行配置，将其分别作为银行内部网拨号访问和与人民银行网络互联的唯一通道，解决业务系统网络拨号备份及与人行互联的安全问题。

７．网络化安全管理

安全是相对的和动态的。单靠配置安全设备和系统不能完全解决安全问题。一种完善的安全体系不仅包括审计安全防护系统本身，而且还应具有主动性的监视、能力，通过不断地检查系统安全漏洞和安全威胁，及时弥补和完善系统安全策略。

针对银行网络信息系统工程的特点，可主要采用防病毒系统、安全性扫描系统管理工具和密钥安全管理进行主动性的安全管理。

３．安全ＶＰＮ

采用支持ＩＰｓｅｃ标准的安全ＶＰＮ技术，可为总行数据中心与所有机构之间传输的数据、网络管理信息、监视审计信息等提供加密保护。

４．子网隔离

在银行网络信息系统中采用网段划分是隔离非法访问的有效措施。对于银行网络信息系统的网络结构，可根据银行网络信息系统的业务类型、敏感类型和用户级别等对局域网内的设备进行分类的网段划分。

置。

８．针对路由器本身进行必要的安全设置

在路由器的配置中，使用ＡＡＡ、ＮＡＴ、ＡＣＬ等安全设

循环往复、永无止境的总之，网络安全是一个动态、

过程。在整个网络系统运行的生命周期中，要密切关注安全技术的发展动向与安全产品的更新，全面、科学地规划与实施，并不断完善和改进网络安全所涉及的方方面面，以保证业务系统的安全运行。

ＦＣＣ

５．安全漏洞扫描

安全性扫描系统可以从广泛的角度进行严格的系统检查，快速发现网络的某些薄弱连接和识别易受攻击的服务，并且会提示适当的解决措施。

６．入侵检测与监控

在网络安全平台的基础上，对重要资源的使用进