一、网络系统安全需求

　　信息安全包括组织和管理安全的物理环境安全、硬件安全、通信安全、软件安全和运行安全等部分。网络系统安全是整个系统安全的一个重要保证，并涉及到网络的各个组成部分。任何一点的疏忽都可能造成安全隐患。

1、网络安全需求：

　　安全需求分析是一个不断发展的过程，随着系统环境的发展以及外部形势的改变，安全需求也随之改变。要想保持分析结果的有效性，必须保证结果时刻最新，安全需求分析的过程与系统同步发展。一方面要保证银行业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，归结起来，应充分保证以下几点：

　　（1）网络可用性：网络是业务、办公系统的载体，安全防范措施必须保证内部网络持续有效的运行，防止对内部网络设施的入侵和攻击、防止通过消耗带宽等方式破坏网络的可用性。

　　（2）系统可用性：运行于银行内部网络上的各主机、数据库、应用服务器系统的安全运行同样十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。

　　（3）数据机密性：对于银行内部网络，数据资料信息的泄密将直接给国家、客户带来损失，网络安全系统应保证内部网络机密信息在存储与传输时的保密性。

　　（4）访问可控性：对关键网络、系统和数据的访问必须得到有效的控制，这要求系统能够确认访问者的身份，谨慎授权，并对任何访问进行跟踪记录。

　　（5）网络可管理性：网络安全系统应具备审计和日志功能，对相关重要操作提供可靠而方便的可管理和维护功能。

2、网络安全策略：

　　针对金融的网络和业务的状况，制定合理的网络安全策略，抵御安全威胁为全网的用户和应用系统创造一个安全的网络环境。

　　（1）网络系统安全策略：主要包括线路冗余、网络设备冗余、服务器的高可用性。线路冗余是为了保证网络系统承载的各项应用系统不受线路故障的影响仍能正常、连续运行的重要措施。网络设备冗余主要是对网络核心交换机、路由器等网络设备实行设备冗余，保证在设备发生故障的情况下能够及时切换，将系统的损失降至最低。服务器的高可用性主要是采用双机热备份或互相备份的措施，对计算要求高的可采用群集或负载均衡技术。

　　（2）网络边界安全策略：包括网络访问控制，网络入侵检测。网络访问控制主要任务是保证网络资源不被非法使用和非法访问，它是维护网络系统安全、保护网络资源的重要手段。网络入侵检测通过捕获网络数据包，分析是否存在入侵行为，实时发现攻击行为，并立即预警，为动态网络安全防御提供良好的基础设备支持。

　　（3）应用层安全策略：包括业务系统的安全性、可靠性和可用性，业务数据的一致性和保密性，业务交往的防抵赖、业务资源的访问控制、业务现场的备份与恢复机制。

　　（4）计算机系统平台安全策略：包括计算机防病毒体系的建立，信息系统的审计，主机入侵检测和系统加固。防病毒体系的建立主要是指在整个信息系统中安装能够统一的、实时更新病毒库并制定统一杀毒策略的网络版防病毒软件。信息系统的审计主要是通过网络安全审计系统、安全设备审计系统、操作系统审计系统实现对系统安全的监管。

二、网络系统安全风险分析

　　银行网络由单纯的业务网络系统发展为现在的包括核心业务系统、分行特色业务系统、客户服务系统、收费类中间业务、外围业务、办公管理、视频语音等一个综合性的网络基础平台。客户服务系统、收费类中间业务等需要和客户单位的信息网络进行数据交换，同城清算业务需要和人民银行网络系统相联，网上银行、办公管理等需要和互联网相联。目前银行网络系统主要存在如下安全风险：

1、来自内部网风险：

　　据调查统计，已发生的网络安全事件中，70%的攻击来自内部。对于银行内部员工的违规操作和恶意侵入没有有效的监控机制，因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉，自己攻击、内外勾结泄露重要信息，都将可能成为导致系统受攻击的最致命安全威胁。银行各系统的登录及远程操作目前的安全手段是用户的账号与密码，缺乏有效的安全认证手段，一旦密码被盗用，就可以轻而易举地进入银行的业务系统。银行的各业务系统虽然在逻辑上相互隔离，但一般是共用一个物理网络，存在安全隐患。

2、来自不信任域风险：

　　大部分银行系统都发展到全国联网，各级银行之间是相对独立的单位，因此，对每一个区域银行来说，其它区域银行都可以说是不信任的，同样存在安全威胁。

3、来自外联单位风险：

　　银行系统为增强服务客户能力，提高自身的竞争力，开通了代收话费、水费、电费、保险费、证券转账等业务，与移动、联通、网通、电信、自来水、电力、保险、证券等单位网络系统互联；和当地人民银行信息网络系统联接的电子联行、同城清算系统、账户管理系统、电子邮件系统等。银行与这些外联合作单位之间不可能是完全信任关系，使得银行网络系统存在着来自外联单位的安全威胁。

4、来自互联网风险：

　　网上银行、电子商务、网上交易系统都是通过Internet直接或间接地与银行网络系统发生业务关系，由于互联网自身的广泛性、自由性等特点，像银行这样的金融系统自然会成为恶意入侵者的攻击目标，来自世界各地的计算机专业人士和黑客都有可能对其实施攻击。

5、管理安全风险：

　　员工的安全意识薄弱，企业的安全管理体制不健全也是网络存在安全风险的重要因素之一，健全的安全管理体制是一个企业网络安全得以保障及维系的关键因素。

三、网络系统安全设计

　　网络系统安全包括网络数据的安全传送、网络资源的合法使用及网络业务的合法授权、使用和监管。统一规划内部网络和外联网络的安全区域，加强网络用户的身份认证，健全网络安全机制，不同的安全区域之间实现有效隔离、可控互通、双向防御，安全控制措施在需要互通的不同的安全区域的网络边界上进行部署。

1、网络结构安全：

　　网络结构布局的合理与否，直接影响网络系统的安全。对银行系统业务网、办公网、与外单位互联的接口网络之间必须按各自的应用范围、安全保密程度进行合理分布，统一整合外联网络，在内外网的边界建立非军事化区（DMZ），以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统。

2、防病毒技术：

　　为了使网络免受病毒侵害，保证网络系统中信息的可用性，必须构建多层次的病毒防护体系，以保证信息的安全和系统的正常运行。在系统的每个台式机上安装台式机的防病毒软件，在服务器上安装基于服务器的防病毒软件，以提供对病毒的检测、清除、免疫和对抗能力。

3、操作系统、应用系统的安全性：

　　大多数操作系统都存在一些安全漏洞，这些因素往往被入侵者攻击所利用。因此，对操作系统必须进行安全配置、打上最新的补丁，还要利用相应的扫描软件对其进行安全性扫描评估、检测其存在的安全漏洞，分析系统的安全性，提出补救措施。应用系统一般都是针对某些应用而开发的，对应用系统的安全性，也应该进行安全配置，尽量做到只开放必须使用的服务，而关闭不经常用的协议及协议端口号。充分利用应用系统本身的日志功能，对用户所访问的信息做记录，为事后审查提供依据。使用应用系统时，要通过加强用户登录的身份认证以确保用户使用的合法性，严格限制登录者的操作权限，将其完成的操作限制在权限范围内。

4、防火墙技术：

　　在银行内部网和外联网的边界部署防火墙，用于对所有进出边界的数据包进行检查、过滤，利用防火墙的访问控制，控制进出网络的信息流向和信息包，有效抵御常见黑客攻击，利用防火墙的地址转换功能隐藏银行的内部地址及网络结构。

5、入侵防御系统：

　　传统的人侵检测系统（IDS）能检测到信息流中的恶意代码，但由于是被动处理通信，本身不能对数据流作任何处理。入侵防御系统（IPS）在应用层的内容检测基础上加上主动响应和过滤功能，通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包以及所有来自同一数据流的后续数据包，都能在IPS设备中被清除掉。

6、安全扫描系统：

　　通过安全扫描系统能够测试和评价系统的安全性，并及时发现安全漏洞，是现阶段最先进的系统安全评估技术。安全扫描系统包括基于服务器的安全扫描系统和基于网络的安全扫描系统。布设基于网络的安全扫描系统，用于扫描设定网络内的服务器、路由器、交换机、防火墙等设备的安全漏洞，提供系统漏洞分析报告，并可设定模拟攻击，以测试系统的防御能力。

7、加密技术：

　　加密具有机密性、证实作用和访问控制功能。对银行普通业务系统，可采用网络层加密设备来保护数据在网络上传输的安全性。而对网上银行、网上交易等业务系统可以采用应用层加密机制来加密，以保护数据在网上传输的机密性。

8、VLAN技术：

　　VLAN技术的主要作用是可将分布于不同地理位置的计算机按工作需要组合成一个逻辑网络，同时VLAN的划分可缩小广播域，以提高网络传输速度，由于处于不同VLAN的计算机之间不能直接通信，从而使网络的安全性能得到了很大提高。银行内部局域网根据不同业务类型和信息资源的访问权限，利用三层交换机来划分虚拟子网，将业务网络和办公网络从逻辑上隔离。

9、访问控制列表：

　　访问控制列表可以限制网络流量，提高网络性能，对通信流量进行控制，是保护网络安全的基本手段。通过VLAN的划分部署不同安全区域，采用访问控制列表等安全措施，保证不同安全区域之间的可控互通，同时部署在内网边界可防范来自其它分支机构的网络安全风险。

四、网络系统安全的实施和监理

　　信息安全工程的实施就像建筑工程的实施一样，质量是关键问题。控制工程实施质量是保障信息安全的重要环节，一套完善的方案与一系列好的产品，如果没有按照规范进行实施，也就不可能最大限度地确保信息与网络系统的安全。信息化工程安全监理以保障信息系统安全作为监理活动的最终目标，对各监理对象实施监理。安全工程监理主要包括信息化工程招标阶段的安全监理，信息化工程设计阶段的安全监理，信息化工程实施阶段的安全监理，信息化工程验收阶段的安全监理。安全监理单位或个人必须是第三方中立机构或个人，这样才能保证项目真正按照合理流程与技术标准进行，才能保证工程的招（投）标过程、项目的实施的公正与科学性。信息化工程安全监理的监理对象包括信息系统安全工程以及其它各类信息化工程中涉及信息安全的工程活动。计算机网络系统工程的安全涉及到信息安全各方面，监理机构可从物理环境安全、网络设备安全、网络系统安全、网络应用安全等多个层面开展安全监理工作。