【精编】银行系统的安全设计与网络拓扑图.doc

目录1银行系统的安全设计11.1非法访问 11. 2窃取PIN/密钥等敏感数据 11.3假冒终端/操作员 11.4截获和篡改传输数据 11.5网络系统可能面临病毒的侵袭和扩散的威胁 11.6其他安全风险 12银行系统的网络拓扑图及说明 23银行系统的网络安全部署图及说明 33.1敏感数据区的保护 33.2通迅线路数据加密 33.3防火墙自身的保护 44系统的网络设备选型及说明 54.1核心层交换机 54.2汇聚层交换机 54.3接入层交换机 64.4路由器 64.5服务器 75安全配置说明 85.1防火墙技术 85.2网络防病毒体系 85.3网络入侵检测技术 85.4网络安全审计技术 95.5 VPN技术 9总结 10一. 银行系统的安全设计银行网络作为一个金融网络系统，由于涉及信息的敏感性自然会成为内部和外部 黑客攻击的目标，当前银行面临的主要风险和威胁有： —1.1非法访问：银行网络是一个远程互连的金融网络系统现有网络系统利用操 作系统网络设备进行访问控制，而这些访问控制强度较弱，攻击者可以在任一终 端利用现有的大量攻击工具发起攻击；由于整个网络通过公用网络互连同样存在 终端进行攻击的可能；另一方面银行开发的很多增值业务、 代理业务，存在大量 与外界互连的接口这些接口现在没有强的安全保护措施存在外部网络通过这些 接口攻击银行，可能造成巨大损失。

—1. 2窃取PIN/密钥等敏感数据：银行信用卡系统和柜台系统采用的是软件加密的 形式保护关键数据，软件加密采用的是公开加密算法（ DES）,因此安全的关键 是对加密密钥的保护，而软件加密最大的安全隐患是无法安全保存加密密钥， 程序员可修改程序使其运行得到密钥从而得到主机中敏感数据 —1. 3假冒终端/操作员：银行网络中存在大量远程终端通过公网与银行业务前置机 相连国内银行以出现多起在传输线路上搭接终端的案例 银行网络同样存在大量类似安全隐患现有操作员身份识别唯一，但口令的安全性非常弱因此存在大量 操作员假冒的安全风险1. 4截获和篡改传输数据：银行现有网络系统通过公网传输大量的数据没有加密， 由于信息量大且采用的是开放的 TCP/IP，现有的许多工具可以很容易的截获、 分析甚至修改信息，主机系统很容易成为被攻击对象 -1. 5网络系统可能面临病毒的侵袭和扩散的威胁：（1） 黑客侵扰类似于网络间谍，但前者没有政治和经济目的，利用自己精通计 算机知识，利用他人编程的漏洞，侵入金融信息系统，调阅各种资料，篡改他人 的资料，将机密信息在公用网上散发广播等 —（2） 计算机病毒是一种依附在各种计算机程序中的一段具有破坏性、能自我繁 衍的计算机程序，它通过软盘、终端或其它方式进入计算机系统或计算机网络， 引起整个系统或网络紊乱，甚至造成瘫痪。

1.6其他安全风险：主要有系统安全（主要有操作系统、数据库的安全配置）以 及系统的安全备份等二. 银行系统的网络拓扑图及说明随着信息技术的发展，社会的信息化程度提高了，网络银行、电子银行出现 了，整个银行业、金融业都依赖于信息系统交易网络化、系统化、快速化和货 币数字经是当前金融业的特点，这对金融信息系统的安全保密性提出了严格的要 求金融信息系统必须保证金融交易的机密性、完整性、访冋控制、鉴别、审计、 追踪、可用性、抗抵赖性和可靠性为了适应金融业的需要，各家银行都投资建 网但是，由于各种因素的制约，网络的安全体系不完善，安全措施不完备，存 在严重的安全漏洞和安全隐患这些安全漏洞和隐患有可能造成中国的金融风 暴,给国家带来重大损失，因此必须采取强有力的措施，解决银行网络的安全问 题—银行系统在镇中共有两处营业点，其中一营业点与镇分理处相距 1500米，主要有一层楼用于银行办理业务，另一营业点与分理处在一处办公，是二层楼， 一层是营业点，二层是分理处，各司其职 —_t丹I由血Ms&图2-1网络拓扑图三. 银行系统的网络安全部署图及说明3.1敏感数据区的保护银行系统内存在许多敏感数区域（如银行业务系统主机等） ，这些敏感的数据区域要求严格保密，对访问的权限有严格的限制，但所有的主机处于同一个网络系 统之内，如不加以控制，这样很容易造成网内及网外的恶意攻击， 所以在这些数据区域的出入口要加以严格控制，在这些地方放置防火墙，防火墙执行以下控制 功能。

3.1.1对来访数据包进行过滤，只允许验证合法主机数据包通过，禁止一切非授 权主机访问3.1.2对来访用户进行验证防上非法用户侵入3.1.3运用网络地址转换及应用代理使数据存储区域与业务前端主机隔离， 业务前端主机不直接与数据存储区域建立网络连接，所有的数据访问通过防火墙的应 用代理完成，以保证数据存储区域的安全 —图3-1敏感数据区保护方案3.2通迅线路数据加密在银行的广域网传输系统中，从总行到分行、分行到支行、支行到分理处等，广 泛应用到帧中继、X .25、DDN、PSTN等等之类的通用线路，但这些线路大多数 都是由通讯公司提供，与许多用户在一套系统上使用他们的业务， 由于这些线路都是暴露在公共场所，这样很容易造成数据被盗传输数据当中如果不进行数据 加密，后果可想而知所以对数据传输加密这是一非常重要的环节 -对网络数据加密大致分为以下几处区域：321应用层加密建立应用层加密，应用程序对外界交换数据时进行数据加密主要优点是使用方 便、网络中数据从源点到终点均得到保护、加密对网络节点透明缺点是某些信 息必须以明文形式传输，容易被分析此种加密已被广泛应用于各应用程序当中， 并有相应的标准。

3.2.2基于网络层的数据加密在总部到各分行，以及分行到支行建议采用 VPN加密技术进行数据加密VPN是通过标准的加密算法，对传输数据进行加密，在公用网上建立数据传输 的加密“隧道”加密实现是在IP层，与具体的广域网协议无关，也就是说适应 不同的广域网信道（DDN、X.25、帧中继、PSTN等）由于VPN技术已经拥有 标准，因此所有的VPN产品可以实现互通—当然，银行可根据自身的需要，可选用专用加密设备进行数据传输加密数据加密通道图3-2利用VPN技术对数据传输进行加密3.3防火墙自身的保护要保护网络安全，防火墙本身要保证安全，由于系统供电、硬件故障等特殊情况 的发生，使防火墙系统瘫痪，严重阻碍网络通讯，网络的安全就无法保证，所以 要求防求防火墙有冗余措施及足够防攻击的能力 -图3-3防火墙双机备份方案四•系统的网络设备选型及说明4.1核心层交换机型号：H3C S5500-24P-SI价格：Y 8800交换机：千兆以太网交换机应用层级：三层交换传输速率：10/100/1000交换机接口： 10/100/1000M SFP Combo网管功能：支持 FTP/TFTP加载升级、支持命令行接口( CLI), Telnet.Con sole 口进行配置、支持 SNMPv1/v2/v3, WEB网管、支持 RMON(RemoteMonitoring)告警、事件、历史记录、支持系统日志，分级告警，调试信息输出、 支持HGMPv2支持NTP支持电源的告警功能，风扇、温度告警、支持 Ping、支持 VCT (Virtual Cable Test)电缆检 测功能、支持 DLDP(Device Link Detection Protocol) 单向链路检测协议、支持 detection 端口环回检测 —4.2汇聚层交换机型号：H3C LS-3600-28P-SI价格：Y 4900交换机：千兆以太网交换机应用层级：三层传输速率：10/100/1000交换机接口： 10/100BASE-T, 1000BASE-SFP网管功能：支持命令行接口配置，支持Telnet远程配置，支持通过Console 口配置，支持SNMP支持 WEB网管，支持系统日志，支持分级告警背板带宽： 32Gbps包转发率：9.6MppsMAC地 址表：16KVLAN功能：支持网管支持：可网管型端口结构：固定端口接口数量：24个网络标准：IEEE 802.1D, IEEE 802.1w, IEEE 802.1s模块化插槽数：4个堆叠功能：不可堆叠4.3接入层交换机型号：H3C LS-5024P-LI-AC价格：Y 3650交换机：企业级交换机应用层级：二层传输速率：10/100/1000交换机接口： 10/100/1000Base-T, SFP网管功能：支持命令行接口 CLI (Comma nd Line In terface )配置，支持通 过Con sole 口配置,支持 WEB^管—背板带宽：48Gbps包转发率：36MppsMAC地 址表：8KVLAN功能：支持网管支持：可网管型端口结构：固定端口接口数量：24个网络标准：IEEE 802.1d, IEEE 802.1x, IEEE 802.3, IEEE 802.3u, IEEE802.3x, IEEE 802.3z, IEEE 802.1Q, IEEE 802.1p模块化插槽数：4个堆叠功能：不可堆叠4.4路由器型号：H3C RT-MSR3020-AC-H3价格：Y 7900路由器类型：企业级路由器路由器网管：网络管理，本地管理，用户接入管理局域网接口： 2个千兆以太电口传输速率：10/100/1000Mbps防火墙功能：内置端口结构：模块化路由器包转发率：200KPPS安全标准：UL60950 3rd Edition, CSA22.2#950 3rd Edition 1995, EN60950: 2000 + ZB & ZC deviatio ns for European Un io n LVDDirective, IEC 60950:1999 + corr. Feb. 2000, modified + all Nati onal deviati onsVPN功能：支持VPN扩展插槽：11个其他控制端口： Co nsole路由器网络协议：IP服务,非IP服务,IP应用,IP路由,MPLS,IPv6,广域网 协议,局域网协议最大Flash内存：1024MB4.5服务器型号：X3500产品简述:通过新的四核处理器及更快的内存技术获得更好的性能； 采用集成的解决方案管理您的IT资源；通过可升级内存，I/O和存储搭建 稳定服务 器平台，保护您的IT投资—市场价格:20000详细参数：XeonE55202.26Ghz四核最高支持 1066MHz内存频率5.86 GT/s QPI8MB 3级缓存DDR3内存2*2GB热插拔2.5" SAS硬盘，标配146GB SAS硬盘 *1 ServerRAIDMR10iDVD-RO双口千兆以太网 3个 PCI-Express Gen2x8 插槽，1 个 PCI-Express Gen2x16 插槽，1 个 PCI-Express Gen1x8 插槽，1 个 33MHZPCI 插槽1个串口，1个显卡接口，6个USB 2.0端口 （4个背面、2个正面）；3个 RJ-45端口 （2个以太网口，一个管理端口 ）IMM,可选的远程管理920W热插拔电源， 可选冗余。