金融业网络信息安全建设初探.docx
《金融业网络信息安全建设初探.docx》由会员分享,可在线阅读,更多相关《金融业网络信息安全建设初探.docx(4页珍藏版)》请在冰点文库上搜索。
金融业网络信息安全建设初探
金融业网络信息安全建设初探
一、信息安全的现实性,一个攻击的方案
Ø目标:
化100-200万美金,窃取几千万到上亿美金
Ø主要过程
⏹买通内线,了解银行的网络系统、主机系统、业务流程和管理制度
⏹获得内部的账号
⏹寻找安全漏洞,设法进入系统
⏹寻找有用的资料:
源代码、更高级别的账号、安全漏洞、主要服务器的账号、业务的流程等
⏹建立必要的准备:
在本银行和取钱银行开账户
⏹作几次与窃取类似的正常交易,降低银行审计的敏感性
⏹编写窃取程序,装入业务主机。
以不明显的方式从银行客户的账户转钱
⏹到一定金额,将款项转出
⏹将款项取出
⏹马上消失
二、网络信息安全问题越来越严重
由此可见,网络,尤其是金融业的网络系统,有一个最大的问题就是安全问题。
八年以前,金融业务的计算机核算系统以单机为主,网络较少,无法远程对计算机进行攻击和扩散病毒。
随着计算机的普及,网络系统的建立,了解计算机的人增多,但计算机网络系统维护人员对安全的知识了解比较缺少,而对于网络系统安全来说潜在的入境已经够用。
另外,以前编写攻击工具和病毒,需要专业技术。
现在,随着开发工具丰富,使用简便,很容编写一个病毒,很容易得到各种攻击工具。
计算机系统的使用已深入到金融业的核心业务中,银行业务和计算机网络系统、应用系统的紧密结合构成银行核心业务系统,已经成为建设现代银行的标志之一。
网络系统的互联,导致入侵的范围增大;使用人员的增多,导致入侵的可能性增大;系统复杂,导致安全漏洞增多。
由此非法的侵入可以获得利益或达到某种目的可能性增大。
•盗窃钱款
•恶意报复
•政治影响
•等等
团体的恶意行为具备更高的技术、更先进的手段和更大的危害。
三、安全威胁
1、非法进入系统
非法进入计算机网络系统。
可能进行恶意或善意的操作,可能没有造成损害,但至少存在安全隐患。
2、非法越权操作
超越授予的权限,进行越权操作。
除非法进入外,通常是授权不合理。
3、假冒他人身份
通常是恶意的,可以进行非法越权操作。
4、非法伪造、篡改数据
在数据的传输和存储过程中篡改和伪造数据。
5、非法获取数据
在数据的传输和存储过程中,非法获取重要的数据
6、事后否认操作或数据
由于网络的互联,使得事后否认曾进行的操作和曾收发过数据成为可能。
7、利用网络系统绕过业务系统,直接修改数据库数据
由于计算机网络系统飞速发展,为随意修改数据库中的数据提供了方便。
8、病毒
计算机网络系统飞速发展,使得病毒的传播速度、破坏数据的能力令人震惊,通常导致系统不能正常工作,甚至宕机。
9、安全制度建设不完善
安全制度建设不完善,导致机密数据、口令窃密。
安全审计不及时不严格。
10、安全技术管理手段落后
安全检测和告警等管理不能做到自动化、程序化和智能化;缺乏很好的安全策略管理;告警和反应机制不完备等。
四、产生安全问题的主要技术原因
1、系统的错误配置
•不管使用任何安全措施,错误的配置将使安全设备根本不起作用。
例如防火墙的配置。
•我们在改变主机或网络系统时,主要配置是使系统正常工作,而很少考虑可能存在的安全问题和相关的系统配置。
例如我们考虑最多的是网络的无限服务,而很少网络本身会带给我们的危险。
•系统通常有许多安全特性,但许多使用者并没有使用或根本不了解。
例如IP过滤的考虑。
2、系统缺陷
几乎每天都可以在系统和网络软件中发现安全缺陷。
但有时,开发商对安全缺陷缺乏快速的反应。
一是缺陷和补救措施通过网络(Internet)通知用户,但不是所有用户都能见到这些信息。
二是修改工作量巨大,或者涉及第三方软件,又缺少支持。
系统缺陷使工作不正常。
•例如安全的传输中的缺陷,使被截取的数据可能被解密,或被攻击者利用,破坏系统或控制系统。
3、对网络安全缺少基本知识
单纯依靠安全设备不足以保证系统的安全,必须使每个相关的人员有安全意识。
比如大家知道:
•Internet上不加密,是不可能安全传输的,对于金融业来说内部网络与Internet进行隔离是必要的。
•不明的邮件不要随意打开。
•网上下载的执行软件要小心使用,最好使用能够确认的软件(例如有代码签名)。
主要是缺乏必要的网络安全知识培训,只重视网络系统和应用系统的建设和技术支持,忽视了网络安全知识的培训。