建设银行网上银行P2DR安全体系建设

计算机安全与稽核!"#$%&’()’*%(+&,-./0%/+&

建设银行网上银行

!"#$安全体系建设

建设银行总行信息技术部副总经理建设银行总行信息技术部

徐

捷短短数年内，%&’()&(’已经在整个世界掀起了信息化的浪潮。%&’()&(’不仅成为众多%*厂商的投入热点，使新的技术层出不穷，更重要的是%&’()&(’已成为各行各业提供在线服务的最佳选择。在发达国家，出现了一批在网络上提供服务的网络商店、网上银行、网上证券交易所等等，其中有很大一部分已经初具规模，取得了良好的业绩，并且发展迅速。近几年来，我国接入%&’()&(’的企业、团体、个人的数量迅速膨胀，通过%&’()&(’提供在线服务也已成为各行各业的投资与发展热点。%&’()&(’不仅正在改变着人们的生活，而且+使得安全成为电子商务时代一个越来越重要的问题。

较之于传统方式而言，网上银行虽然在速度、成本等方面有无法比拟的优势，但由于其采用电子交易方式，交易各方并非面对面交易，且所有数据以电子化形式存在而不是落在传统的纸介质上，因此，有可能出现一些安全问题+例如：身份被假冒、信息通过网络传输时被截获或被窃取、网络上传递的信息被他人非法篡改等等。为了提高系统的安全性，解决网上检验客户的真实身份问题，防止信用卡密码被他人窃取或被伪造的银行站点骗走，实现信息在网络传输上的保密性、系统身份认证的可靠性、数据传输的完整性、信息的不可抵赖性、信息的唯一性，建设银行在网上银行安全方面做了大量的工作，采取了很多安全防范措施，建立了一套行之有效的安全体系。这套体系包括安全策略、安全保护、安全检测和安全响应四方面内容。・5・

《中国金融电脑》"667年第8期,总第79"期2

建设银行网上银行安全体系的依据是!"#$动

态安全模型，这个动态安全模型得到了国际上的广泛公认，它包括策略,!-./012、保护,!)-’(0’2、检测,#(’(0’2和响应,$(34-&3(2这四个不可缺少的元素。

可伸缩性、灵活性和!"#$安全体系具有高可靠性、

安全性。通过建立安全认证系统、入侵攻击监控体系、备份和恢复机制，实现对数据主动进行加密通信，采用多种安全技术来保证!"#$安全体系的整体性、统一性和先进性。下面对建设银行!"#$安全体系的建立进行简要介绍。

一、安全策略

在安全策略方面，建设银行坚持技术与管理、综

合与整体、投入与产出全面考虑+坚持系统先进性、适应性以及方便性的原则，在网上银行建立了整套的安全策略和管理体系，建立了在总行集中进行安全监管的管理格局，利用网络的优势来控制由于使用互联网带来的风险。

网上银行的安全策略是建设银行总体安全策略的一部分，是建立网上银行的基础和关键因素。尽管我们制订了可行的安全策略，但并不是万无一失，因为成本与安全、效率与安全、客户使用的灵活性要求与系统的安全性需求是客观存在的矛盾，我们在制订安全策略中只能综合考虑，寻找客户和银行的平衡点，尽可能减少潜在的安全风险。为了防范和化解风险，在安全策略制订中，针对不同的客户，不同的

!"#$%&’()’*%(+&,-./0%/+&计算机安全与稽核

服务种类，我们除采取各种技术措施之外，同时采用管理与技术相结合的办法，通过控制交易金额、授权、签约、审计等方式来提高系统的整体安全性。

系统监控等工作。此外，在电子商务应用系统建设和

推广过程中，优先考虑安全问题，在规划实施中，采用先进的安全产品和加密技术等设置层层防线，提高防范能力。针对不同的安全威胁，采取不同的技术措施，从而提高了建设银行的安全管理水平。

!-#建立36安全认证系统。作为电子商务应用的重要组成部分之一7建设银行36建设的定位是电子商务应用的服务器和为客户颁发证书。建设银行36认证系统基于公钥体系结构，借鉴国外成熟经验，与国内著名电子商务安全公司合作建立了%&

该系统具有功能完’()&(’网上数字证书管理系统。

备、操作简单、易于维护的特点，能够支持多种证书发放，签发、作废和更新服务器证书和个人证书，所签发的证书遵循=>?,@A;标准，符合=>?,,目录服务器标准、1B3C公钥加密标准等国际信息安全标准，支持CCD和C4E%EF协议，使用安全有效算法的专用硬件产生、保护和存贮密钥7加密与签名报文，支持5(’GH:I(4%F端的密钥生成、C9:)’3:)J密钥生成和集中发卡，密钥管理安全可靠，支持多个证书域及注册机构的管理。建设银行36系统从"@@@年*月开始建设，同年K月完成，由L月开始发证。于建设银行的电子商务采用36安全认证系统，为客户提供的外汇买卖、证券交易、查询、转帐、银证转帐、代收代付、购物在线结算和支付等交易安全可靠，至今没有发生一次错误，保证了银行和广大客户的利益。此外，对于企业客户服务系统7建设银行采

（3M36）用了中国金融认证中心的企业高级证书。

二、安全防护

在安全防护方面，建设银行从系统网络层、应用

层、管理层和安全认证等方面采取了行之有效的防护措施。

!"#系统网络层选用高可靠性的安全产品。建设银行选用国际上高安全级别的$"级操作系统，在

（客户浏览%&’()&(’上传输的信息采用"*+位强加密

器也需支持"*+位强加密），在银行内部网通讯链路上使用国家密码管理安全委员会认可的硬件加密卡，公钥算法长度为",*-位，对称密钥长度为"*+位。此外，为了保证应用系统和银行内部通讯网的安全，同时达到网络分隔的要求，在网络系统中采用两道防火墙方案.!在/(0和%&’()&(’服务器之间。防火墙作为内部网和外部网的隔离设备，是防范来自网络攻击者的第一道防线，可阻断大部分来自网络的恶意破坏。"在/(0服务器和银行内部网之间。选用高性能防火墙，除了具有%1数据包过滤以及克服了2314%1协议缺陷的功能外，还具有许多其他

（网络地址转移）（身份认功能，包括562技术，666

证、授权、审计）功能等。

!*#系统应用层加强安全防护措施。网上银行系统除在网络和主机方面采取技术防范措施外，软件应用层也有安全控制。主要包括：通报系统访问次数、检测证书通用名!35738998&5:9(）并核对登录密码、设置交易密码、首次登录强制性修改密码、密码以乱码形式存放、设置会话密码、审核用户交易请求等内容。同时，向客户宣传在客户申请、身份验证和交易密码输入等方面也要有保护自己利益的安全意识。

!;#采取安全的管理措施。网上银行的安全管理是一项技术性强、涉及面广的管理工作，安全问题不仅仅是技术上的问题，还包含管理上的因素，制订安全管理制度是保证系统安全的关键因素。在业务方面，电子商务应用涉及新的业务部门，需要根据电子商务的应用范围定义管理职责和设计业务流程，并定期进行安全评估。因此，建设银行综合应用人事管理、行政管理、技术管理等多种手段，制订和完善各种管理制度，做好人员管理、日志管理、安全审计和

三、安全检测

在安全检测方面，建设银行网上银行的各个关

键位置和关键服务器中布置了%CC实时入侵监控系统，随时监控对网上银行的非法访问和攻击企图。同时，还运用%CC漏洞扫描和评估系统，对网上银行各个主机和网络设备存在的安全漏洞进行定期检测，及时发现漏洞和安全隐患并进行修补7加强系统安全。

!"#系统漏洞扫描。是对网络设备进行自动的安全漏洞检测和分析，支持基于安全策略的安全风险管理过程。另外，能够执行预定的网络探测，包括对网络通信服务、操作系统、路由器、电子邮件、/(0服务器、防火墙和应用程序的检测，从而识别能被入侵者利用来非法进入网络的漏洞。!下转第;*页#

《中国金融电脑》*,,"年第?期!总第"-*期#

・@・

计算机网络!"#$%&’()’&*"(+

这些用户无需!"#$%&’系统!用户不受限制。

认证。

用户名必须事先与()地址相对"假定用户。

应*并在!"#$%&’的+,-%&",#中进行登记。这样*只要是以登记过的()地址进行访问的用户*都被视为合法用户。

用户必须先登录!"#$%&’代#用户必须认证。

理服务器并进行认证后*才能访问!"#$%&’。

通过设置这三种权限*管理员可将不同的用户分成不同的权限等级*便于对用户和用户组进行管理。

./0用户的统一管理与个别管理。在使用!"#$%&’/12以上版本时*可在3’4%56&),6"-"’7.默认策略0中设置多数用户统一遵守的规则*对个别用户的特定要求可根据相应的代理服务进行设置。在每一个服务中都有一个),6"-"’7选项*管理员可将不同的要求赋予相应的用户。

.80上网时间、流量及费用管理。!"#$%&’可对不同的用户设置不同的上网时间。针对不同的代理

服务*可对不同用户的上网时间、时间长短、用户数

目、用户流量进行实时控制。这样*可以及时调整网络负载*防止网络阻塞。另外*对用户和用户组的9--,5#&"#:.计帐0功能*还可以采用按时间记费。

.;0基于包过滤方式的防火墙。!"#$%&’提供了完善的网络防火墙功能*以保证局域网的安全性。由于(#&’

81!"#$%&’设置的注意事项

!"#$%&’中的>%-?"#:不能设置得过大*以免造成缓存文件过多*降低!"#$%&’的高速缓存的功效。另外*在!"#@,A7BC中*如果>%-?"#:过大则容易造成系统死机。

在!"#$%&’提供的代理服务中*DEF)E%GG"#:服务并未在D’

"""""""""""""""""""""""""""""""""""""""""""""""".上接第B页0

./0实时入侵监控。是一个计算机和网络实时入被(DD实时入侵监控系统或其他方式发现，系统会侵检测、报警和响应的防范系统。该系统实时监控网立即报警并且首先及时采取切断攻击行为的响应，络传输和系统事件，并对可疑行为进行自动安全响保证在最短的时间内做出反应。应，使用户的系统在受到伤害之前即可截取并阻止为了保证网上银行的安全运行，保护银行和广非法的入侵行为和内部网络的误用，从而最大程度大客户的利益，建设银行培养了一批责任心强、技术地降低风险，保护企业网络的系统安全。水平高和素质好的专业人员，建立了一支应付突发

.80利用多种手段防治病毒。事件的抢救队伍，成立安全管理机构，并制订了详一是通过网络管理

细、可行的应急方案。此外，与有关单位密切合作，建主机进行扫描、检查病毒，设置在线报警系统，一旦

立良好的合作关系，向供应商购买了硬件系统和应网络上的计算机有病毒侵入，网络管理人员就会知

用软件服务，明确了公司人员的响应时间。总之，建道，在管理中心处就可以予以解决。二是采用多层防

设银行从技术到管理，从银行到客户，从应用到安护。将病毒检测、多层数据保护和集中式管理功能集

全*多层次多方位保证银行和客户的安全，成起来，形成多层防护体系。三是在网关上设防，在使广大客

网络前端实时杀毒。利用此方法，针对存在于信息共户能够放心地使用建设银行的电子商务应用系统。享的网络介质上的病毒，可以防止病毒对网上资源建设银行网上银行)/3I安全体系建设是电子的应用程序进行攻击。商务应用的基础，安全体系建设不仅仅是技术上的

在运用技术检测的同时，在管理上实行/;小时问题，制订安全管理制度，定期进行风险评估和安全

审计，规范业务人员职责，设计合理的业务流程等等专人值守，采用管理和技术相结合的措施，保证网上

都是安全体系建设的关键因素。面对高速发展的电银行的安全运行。

子商务，网上银行的安全体系建设也要不断完善，只有不断应用新产品，使用新技术，科学规划，动态管四、安全响应

理，才能为广大客户提供高速、快捷和安全的网上银行服务。在安全响应方面，网上银行如果受到攻击并且・8/・

《中国金融电脑》/22J年第C期.总第J;/期0