搜索
证券行业网络安全解决方案第一章前言以Internet为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，典型的如政府部门业务系统、金融业务系统、教育科研系统等。与此同时,这股强劲的Internet旋风也以惊人的速度渗透到证券行业的各个方面。证券公司上网,开展网上的交易委托业务,同时宣传自身的服务,吸引更多的客户;证交所上网,发布实时的行情信息,提供专家股评,向用户提供上市公司信息;Internet进入证券领域,为广大的证券从业人员提供了更为广泛的信息来源空间,提供了更为广阔的施展才能的舞台;同时,也为股民提供了一种更为灵活的获取市场信息和进行股票交易的方式.伴随网络的普及，安全日益成为影响网络效能的瓶颈，而证券行业的网络安全存在漏洞的状况也是众所周知的，多位信息安全领域的专家也对证券行业网络的安全问题提出了尖锐的批评，证券行业网络的安全现状已不能适应证券业迅速发展的状况。近几年,不断有证券行业网络被黑客入侵,造成重大经济损失和恶劣影响的消息见诸报段.证券行业的网络安全已经成为摆在所有证券机构和人员所要考虑的事情之一。FortiNet公司是一家从事网络信息安全研究、产品开发的高科技术企业之一。是一家致力于国际信息安全产业发展的专业安全公司。FortiNet公司已成功开发出具有自主版权的安全产品：FortiGate系列防火墙。该产品是基于ASIC芯片的硬件防火墙，集成了网关级病毒检测和内容过滤功能。该安全产品已获得公安部许可，同时获得了ICSA的AntiVirus、IPSec和FireWall认证。目前，这些安全产品都已广泛应用于金融、电信、教育等行业。并赢得用户的广泛赞誉。第二章网络安全风险和应对策略2.1安全风险证券网络系统的安全风险主要来自网络设施物理特性的安全、网络系统平台的安全、网上交易的安全、数据存储的安全。2.1.1物理安全风险由于水灾、火灾、雷击、粉尘、静电等突发性事故和环境污染造成网络设施工作停滞人为引起设备被盗、被毁或外界的电磁干扰使通信线路中断电子、电力设备本身固有缺陷和弱点及所处环境容易在人员误操作或外界诱发下发生故障2.1.2系统安全风险系统风险在三个方面：网络系统、操作系统和应用系统网络系统在设计实施不够完善，例如缺乏正确路由、网络的容量、带宽估计不足、对证券系统局域网没做划分隔离以及关键网络设备没有冗余设计，一旦发生故障，将直接影响网络系统安全。网络系统缺乏安全可靠的网络通信协议和网络安全设备，使网络黑客容易利用网络设计和协议漏洞进行网络攻击和信息窃取，例如未经授权非法访问证券系统内部网络、对电话网进行监听、对系统的安全漏洞进行探测扫描、远程登陆交易、行情服务器并对数据进行篡改、对通信线路、服务器实施洪流攻击造成线路涌塞和系统瘫痪等。网络操作系统，无论是windows\unix\netware各种商用操作系统，其国外开发商都留有后门（backdoor），目前每种操作系统都发现有安全漏洞，一旦被人发现利用将对整个证券网络系统造成不可估量的损失。OA应用系统的风险主要是涉及不同地区、不同部门的资源有限共享时被内部人员不安全使用造成口令失窃、文电丢失泄密，以及在与外界进行邮件往来时带来病毒和黑客进入的隐患。针对业务系统（包括业务管理系统、业务服务系统）的威胁主要来自于内、外界对业务系统非授权访问、系统管理权限丧失（由于用户名、口令、IC卡等身份标志泄漏）、使用不当或外界攻击引起系统崩溃、网络病毒的传播或其他原因造成系统损坏、系统开发遗留的安全漏洞等。2.1.3网上交易的安全风险因特网是全球性公共网络，并不由任何一个机构所控制。数据在因特网上传输的途径是不完全确定的。因特网本身并不是一个完全安全可靠的网络环境。在因特网上可能有人采用相似的名称和外观仿冒证券网站和服务器，用于骗取投资者的数据资料。如果用于证实投资者身份的数字证书和口令被窃取，他人有可能仿冒投资者身份进行交易委托和查询。在网上传输的指令、数据有可能被某些个人、团体或机构通过某种渠道截取、篡改、重发。但他们并不一定能够了解该数据的真实内容。由于网络交易的非接触性，交易双方可能对交易结果进行抵赖在网上的数据传输可能因通信繁忙出现延迟，或因其它原因出现中断、停顿或数据错误，从而使得网上交易出现延迟、停顿或中断。网上发布的证券交易行情信息可能滞后，与真实情况不完全一致。2.1.4数据的安全风险因内、外因素造成数据库系统管理失控或破坏使用户的个人资料和业务数据遭到偷窃、复制、泄密、丢失，并且无法得到恢复网络病毒的传播或其他原因造成存储数据的丢失和损坏网站发布的信息数据（包括分析、预测性资料）有可能被更改、删除，给证券公司带来损失。2.2安全策略传统的安全策略停留在局部、静态的层面上，仅仅依靠几项安全技术和手段达到整个系统的安全目的，现代的安全策略应当紧跟安全行业的发展趋势，在进行安全方案设计、规划时，遵循以下原则：（1）体系性：制定完整的安全体系，应包括安全管理体系、安全技术体系和安全保障体系。（2）系统性：安全模块和设的引入应该体现其系统统一到运行和管理的特性，以确保安全策略配置、实施的正确性和一致性。应该避免安全设备各自独立配置和管理的工作方式。（3）层次性安全设计应该按照相关应用安全需求，在各个层次上采用的安全机制来实现所需的安全服务，从而达到网络信息安全的目的。（4）综合性：网络信息安全的设计包括从完备性（并有一定冗余）、先进性和可扩展性方面的技术方案，以及根据技术管理、业务管理和行政管理要求相应的安全管理方案，形成网络安全工程设计整体方案，供工程分阶段实施和安全系统运行作为指导。（5）动态性：由于网络信息系统的建设和发展是逐步进行的，而安全技术和产品也不断更新和完善，因此，安全设计应该在保护现有资源的基础上，体现最新、最成熟的安全技术和产品，以满足网络安全系统安全目标。2.3常用安全防范技术网络隔离技术访问控制技术加密技术鉴别技术数字签名技术入侵监测技术信息审计技术安全评估技术病毒防治技术备份与恢复技术第三章证券网络整体解决方案3.1安全体系按照安全策略的要求及风险分析的结果，整个证券网络安全措施应根据证券网络的行业特点，按照网络安全的整体构想来建立，具体的安全控制系统由以下几方面组成：3.2物理安全保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面：环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173－93《电子计算机机房设计规范》、国标GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》）。设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；媒体安全：包括媒体数据的安全及媒体本身的安全。3.3系统安全系统安全主要关注网络系统、操作系统和应用系统三个层次。系统安全采用的技术和手段有冗余技术、网络隔离技术、访问控制技术、身份鉴别技术、加密技术、监控审计技术、安全评估技术等。3.3.1网络系统网络系统安全是网络的开放性、无边界性、自由性造成，安全解决关键是把被保护的网络从开放、无边界、自由的环境中独立出来，使网络成为可控制、管理的内部系统，由于网络系统是应用系统的基础，网络安全成为首要问题，解决网络安全主要方式有:网络冗余解决网络系统单点故障的重要措施，对关键性的网络线路、设备我们通常采用双备或多备份的方式，网络运行时双方对运营状态相互实时监控并自动调整，当网络的一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配，保证网络正常的运行。系统隔离分为物理隔离和逻辑隔离，主要从网络安全等级考虑划分合理的网络安全边界，使不同安全级别的网络或信息媒介不能相互访问，从而达到安全目的。针对证券网络系统特点一般把证券交易的业务系统网络与内部办公网络进行严格的物理隔离，存储媒介则根据重要程度严格区分并只能通过第三方进行交换；对业务网络或办公网络采用VLAN技术和通信协议实行逻辑隔离划分不同的应用子网。访问控制对于网络不同信任域实现双向控制或有限访问原则，使受控的子网或主机访问权限和信息流向能得到有效控制。具体相对网络对象而言需要解决网络的边界的控制和网络内部的控制，对于网络资源来说保持有限访问的原则，信息流向则可根据安全需求实现单向或双向控制。访问控制最重要的设备就是防火墙，它一般安置在不同安全域出入口处，对进出网络的IP信息包进行过滤并按企业安全政策进行信息流控制，同时实现网络地址转换、实时信息审计告警等功能，高级防火墙还可实现基于用户的细粒度的访问控制。证券系统的防火墙配置在证券公司交易系统与公网的交界处（包括INTERNET、系统内部广域网、相关业务网络）和公司重要的子网出口。身份鉴别是对网络访问者权限的识别，一般通过三种方式验证主体身份，一是主体了解的秘密，如用户名、口令、密钥；二是主体携带的物品，如磁卡、IC卡、动态口令卡和令牌卡等；三是主体特征或能力，如指纹、声音、视网膜、签名等，在证券网络系统中，前两种方式运用较多。加密为了防止网络上的窃听、泄漏、篡改和破坏，保证信息传输安全，对网上数据使用加密手段是最为有效的方式。目前加密可以在三个层次来实现，即链路层加密、网络层加密和应用层加密。链路加密侧重通信链路而不考虑信源和信宿，他对网络高层主体是透明的。网络层加密采用IPSEC核心协议，具有加密、认证双重功能，是在IP层实现的安全标准。通过网络加密可以构造企业内部的虚拟专网（VPN），使企业在较少投资下得到安全较大的回报。安全监测采取信息侦听的方式寻找未授权的网络访问尝试和违规行为，包括网络系统的扫描、预警、阻断、记录、跟踪等，从而发现系统遭受的攻击伤害。网络扫描监测系统作为对付电脑黑客最有效的技术手段，具有实时、自适应、主动识别和响应等特征，广泛用于各行各业。网络扫描针对网络设备的安全漏洞进行检测和分析，包括网络通信服务、路由器、防火墙、邮件、WEB服务器等，从而识别能被入侵者利用非法进入的网络漏洞。网络扫描系统对检测到的漏洞信息形成详细报告，包括位置、详细描述和建议的改进方案，使网管能检测和管理安全风险信息。3．3．2操作系统操作系统是管理计算机资源的核心系统负责信息发送、管理设备存储空间和各种系统资源的调度，它作为应用系统的软件平台具有通用性和易用性，操作系统安全性直接关系到应用系统的安全，操作系统安全分为应用安全和安全漏洞扫描。应用安全面向应用选择可靠的操作系统并按正确的操作流程使用计算机系统，杜绝使用来历不明的软件，安装操作系统保护与恢复软件并作相应的备份。系统扫描基于主机的安全评估系统是在严格的基础上对系统的安全风险级别进行划分，并提供完整的安全漏洞检查列表，通过不同版本的操作系统进行扫描分析，对扫描漏洞自动修补形成报告，保护应用程序、数据免受盗用、破坏。3．3．3应用系统证券行业应用系统大体分为办公系统、业务管理系统、业务服务系统，证券应用系统安全除采用通用的安全手段外主要根据企业自身经营及管理需求来开发。办公系统文件(邮件)的安全存储：利用加密手段，配合相应的身份鉴别和密钥保护机制（IC卡、PCMCIA安全PC卡等），使得存储于本机和网络服务器上的个人和单位重要文件处于安全存储的状态，使得他人即使通过各种手段非法获取相关文件或存储介质（硬盘等），也无法获得相关文件的内容。文件（邮件）的安全传送：对通过网络（远程或近程）传送给他人的文件进行安全处理（加密、签名、完整性鉴别等），使得被传送的文件只有指定的收件者通过相应的安全鉴别机制（IC卡、PCMCIAPC卡）才能解密并阅读，杜绝了文件在传送或到达对方的存储过程中被截获、篡改等，主要用于信息网中的报表传送、公文下发等。业务系统主要面向业务管理和