民生银行安全体系介绍.pdf

科技开发部 民生银行安全体系介绍 2012年8月18日 目录 网络安全工作现状 网络安全工作未来规划 2010 CMBC All rights reserved Page 3 网络安全架构等层次 应用层 重点关注应用层面的安全 包括应用防攻击 业 务安全 数据安全 安全审计等 防止蠕虫 木马 病毒等 网络层 重点关注网络路径的安全控制 包括安全域划分 网络层的访问控制 流量分析等 终端层 重点关注终端用户的安全管理 包含准入控制 补丁管理 防病毒 上网行为管理 虚拟桌面等 管理层 重 点关注网络资 源的管理 包 含安全设备管 理 安全制度 管理 安全事 件处理流程管 理等 网络安全架构 网络安全架构自下向上分为4个安全层次 终端层 网络层 应用层 管理层 2010 CMBC All rights reserved Page 4 民生银行网络整体架构 总行在北京 主数据中心位 于北京 分布在北京多个机房 在北京建有同城灾备中心 异 地灾备中心位于成都 目前国内有33家一级分行 在香港设立了一家代表处 机 构总数达到600多家 成都 灾备中心 北京数据中心网 安外 数字 北京 一级 分行 二级分行 一级分行支行 一级分行离行 二级分行支行 二级分行离行 2010 CMBC All rights reserved Page 5 网络安全架构部署现状 应用层 终端层 网络层 重点关注应用安全 业务安全 数据安全 安全审计等 重点关注终端用户的准入控制 补丁管理 防病毒 上网行为管理 重点关注网络层的访问控制 安全域划分 入侵防御 流量分析 源代码安全 漏洞扫描 WEB扫描 日志分析 虚拟桌面 文档加密 防火墙 远程接入控制 流量分析 上网行为管理 WSUS补丁 IMC准入控制 防病毒 服务管理系统 ICTcenter Onecenter 管理层 我行目前在各个安全层次都部署了相应的安全防护手段 入侵检测 2010 CMBC All rights reserved Page 6 生产网和办公网两网分离 生产网 办公网 核心业务 监控区域 中间业务 运维区域 电子银行 网上银行 创新业务 终端接入 网点接入 分行接入 内部网站 电子邮件 其他办公业务 监控区域 终端接入 运维区域 补丁管理 防病毒 基础服务区 开发测试 为了保证生产网的安全 我们将生产网和办公网进行独立建设 生产网和办 公网两网分离 这种方式使办公和生产的用户在内网中不能够互访 进一步保 证了生产网络的安全性 2010 CMBC All rights reserved Page 7 场景一 办公网的安全防护手段 办公网 内部网站 电子邮件 其他办公业务 监控区域 终端接入 运维区域 补丁管理 防病毒 基础服务区 开发测试 办公行员 互联网 办公用户接入网络 需要 经过严格的准入和安全检 查 保证接入用户的合法 性和全关性 办公用户访问互联 网 对访问行为进 行记录和控制 办公网主要的安全防护手段包括 1 终端接入控制 通过准入和终端安全 保证接入终端的安全性和合法性 2 用户行为审计 对用户访问互联网进 行记录和控制 3 公文信息安全 部署文档加密系统 4 安全架构的设计 部署科学的安全架 构设计 如 安全分区 网络路径安全控 制 应用安全防护等 2010 CMBC All rights reserved Page 8 场景二 办公网安全防护的创新 桌面虚拟化 办公行员 研发或运维服务区 禁止禁止办公用户直接访问研发 运维业务 办公行员 代码 数据 系统 研发或运维服务区 代码 数据 系统 允许 允许 部署桌面云保证源代码安全 1 禁止办公用户直接访问研发 运维业务服务器区 在网络路径上进行访问控制 2 部署桌面虚拟化平台 办公用户必须通过登录虚拟桌面 访问研发运维服务器 2010 CMBC All rights reserved Page 9 场景三 生产网安全防护手段 多层面的生产网安全防护 1 在应用层面 保护业务系统的源代码安全 定期进行系统漏洞的扫描 对于WEB 应用使用WEB扫描及时发现系统漏洞 2 通过访问控制 入侵检测 入侵防御 流量分析 日志分析等方法 提供丰富的 安全防范措施 3 通过补丁管理 防病毒管理等手段保证终端接入的安全控制 生产网 核心业务 监控区域 中间业务 运维区域 电子银行 网上银行 创新业务 终端接入 网点接入 分行接入 源代码安全 漏洞扫描 WEB扫描 日志分析 IPS 防火墙 WSUS补 丁 防病毒 日志分析 IPS 防火墙 WSUS补 丁 防病毒 2010 CMBC All rights reserved Page 10 场景四 网络安全运维管理 IT Service Management 6688服务热线 二线 一线 运行监控 故障管理 变更管理 配置管理 事件管理 闭环管理闭环管理 自动监控自动监控 自自 动动 预预 警警 工作流驱动工作流驱动 快快 速速 响响 应应 方式二 方式一 2010 CMBC All rights reserved Page 11 建立全行应急体系 应急预案 应急演练 应急响应 技术管理措施 应急响应体系 建立应急响应体系 建立全行应急体系 应对突发事件 应急响应体系是指在突发 重大事件 后对信息系统的运行进行维持或恢复 的各种技术和管理策略和规程 应急响应体系的建设分为三个阶段 应急响应需求分析和应急响应策略的 确定 编制应急响应计划文档 应急响应计划的测试 培训 演练和 维护 2010 CMBC All rights reserved Page 12 开展信息安全教育活动 开展信息安全教育活动 通过视频教育或平面媒体等方式 在全行 开展信息安全教育活动 提升广大行员的 信息安全意识 信息安全是指信息不被未经授权的使用 修改和披露 信息安全的实质就是要保护 信息系统或信息网络中的信息资源免受各 种类型的威胁 干扰和破坏 即保证信息 的安全性 通过信息安全教育活动 使员 工在工作中注重信息的安全保密 2010 CMBC All rights reserved Page 13 建立服务规范标准 建立服务规范标准 服务规范标准 有利于提升服务质量 通用行为规范 包含精神面貌 服务 礼仪 邮件书面往来 保密行为等 规范 远程服务规范 包含远程服务方式规 范 远程事件服务等级定义等 故障处理行为规范 包含如何做好故 障处理准备 如何做好服务沟通 如何 做好服务实施 如何做好服务总结等 设备维修服务规范 包含设备故障检 修流程规范 设备维修时效管理规范等 通用服务行为规范 远程服务规范 故障处理行为规范 设备维修服务规范 2010 CMBC All rights reserved Page 14 开展运维规范 达标升级竞赛活动 开展运维规范 达标升级竞赛 全行范围内开展运维规范 达标升级竞 赛 竞赛为期50天 在活动中 将根据我们的运维规范 对 分中心进行检查 评级 建立分中心等级制度 更好的促进日常 运维的规范化 标准化 在管理层面全 面提升信息系统的稳定性 减少由于运 维不规范导致的事故 2010 CMBC All rights reserved Page 15 加快人员的定岗 定编工作步伐 建立员工的定岗 定编规范 定岗定编是确定岗位和确定岗位编制的 合称 前者是设计组织中的承担具体工 作的岗位 而后者是设计从事某个岗位 的人数 要加快人员定岗 定编的工作步伐 是 一切工作开展的前提 定岗定编之前 设定好服务机构的组织 架构 其次还需要定责 定岗定编之后还需要定员 即定责 定 岗 定编 定员 2010 CMBC All rights reserved Page 16 建立问题通报机制 建立问题通报机制 当问题产生时 相关人员在按照问题处理流程跟进问题解决 的同时 必须遵循以下要求进行问题的通报 以确保相关人员 及时了解 掌握问题的最新情况 明确不同级别客户问题的处理 通报流程与要求 明确问题 处理过程中的责权利 提高问题解决的效率 规范问题解决 汇报 回复的要求 提升客户问题处理的专 业化形象 提高客户满意度 2010 CMBC All rights reserved Page 17 持续进行网络优化 持续进行网络优化 坚持不断的进行网络优化 提升网络的高可用 高 安全特性 通过网络虚拟化技术 简化网络结构 减少故障点 简化管理 搭建云就绪网络 更好的支撑未来业务的发展 重 视对网络虚拟化 一体化安全 大缓存架构的研究 和实践 搭建开放标准的网络架构 实现广泛的互联应用 一体化管理平台 使网络从复杂变得简单 通过对 业务的管理 轻松实现策略部署和应用性能监控 加强网络结构标准化的推动 建立全行标准统一的 网络结构 2010 CMBC All rights reserved Page 18 开展科技推动竞赛 开展科技推动竞赛 在全行范围内开展科技推动竞赛 设立 需 求奖 创新奖 等奖项 通过科技推动竞赛 鼓励员工在工作中关注 用户需求 通过科技创新推动业务发展 提升 我行竞争力 科技是第一生产力 利用科技服务业务是业 务发展的必要条件 只有不断创新的科技 才 能够推动业务不断创新 2010 CMBC All rights reserved Page 19 多种方式提升分中心专业技能和服务水平 定期 培训 资格 认证 技术专家 提升分中心服务能力 通过定期技术培训和考试 技术资格认证等方 式提升分中心科技人员技能水平 提高运维质 量 定期组织技术培训 通过岗位资格认证考试提 升分中心科技人员技能水平 开设运维论坛 通过社区方式 充分调动大家 的力量 共同提升 目录 网络安全工作现状 网络安全工作未来规划 2010 CMBC All rights reserved Page 21 网络架构整体规划 核心网 架构 主数据中心 马坡 云计 算中 心 网银 中心 业务中心 一级分行中心 区域分中心 同城灾备中心 北京 异地灾备中心 郑州 核心交 换节点 区域业务中心 数据中心两地三中心架构 多方区域业务中心模式 在 业务支撑上 实现机房 网 络等资源的统一调度 灾备中心和区域业务中心有 力的支撑租赁 基金 村镇 银行 亚联盟 海外机构的 建设 核心网架构 多核心节点 实现多方同等接入 SOA的 理念灵活的实现业务的扩展 统一的网络策略 统一的资 源分配 提供更高的可靠性 核心交 换节点 区域分中心承载分行中心 及各业务分中心 一级分行中心汇聚分行内 网络资源 区域分中心充分利用分行 中心的资源 服务于业务 分中心 村镇银行 租赁 基金 亚联盟的服务 一级分行中心 区域研发中心 区域分中心 一级分行中心 区域电商中心 区域分中心 一级分行中心 区域托管中心 2010 CMBC All rights reserved Page 22 支行网络架构设计 Internet主机 业务主机 自助终端 传统支行网络 接入主机 接入终端 创新型 支行业务网络 路由交换 一体机 SDH SDH MSTP MSTP 3G拨号备份 创新型支行网络设计 传统支行网路结构管理复杂 故障点多 且支行一般机房环境较差 网络稳定性低 已经不能 适合未来创新网点的设计 创新型支行网络采用路由交换一体机 具有很强的接入能力 可接入终端的类型也丰富 为了 提高可靠性 增加使用3G专线进行备份 创新型网点还可以部署无线网络 用于业务人员进行客户信息获取和主动营销 无线AP 支 行 业 务 网 络 访 问 internet 网 络 PDA 2010 CMBC All rights reserved Page 23 网络架构整体规划 全球化发展路线 Tier 1 Tier 2 两地三中心 欧洲 非洲 全球化网络架构建设方式 基于国内两地三中心架构构建Tier 1 backbone 海外分支架构扩展采用扩展式部署 单分支 区域汇聚节点 区域中心 优势在于 节约 国际长途链路费用 加快部署效率 随着业务成长 建设海外数据中心 构建Tier。