证券行业网络安全及网络管理解决方案(编辑修改稿)

证券行业网络安全及网络管理解决方案(编辑修改稿)内容摘要：

滥造成的交易中止的情况，不仅经济损失惨重，而且证券公司的信誉也遭受了很大打击。 由于证券行业拥有众多的营业所和分部，公司对接入总部的用户需要做比较严格的控制和监视。 在通过拨号服务器进行的访问中，公司需要可以对拨上来的用户进行时间、数据流量和其他访问细节进行审计和控制。 由于网络入侵和攻击会对证券系统和网络产生毁灭性的打击，由于证券行业的网络带宽普遍较高，网络设备很先进，数据流也比较大，故高效先进 的入侵检测设备是证券行业网络所必须配备的。 远程移动人员的办公需要接入公司局域网内部，由于这部分数据在公网上传送，需要进行加密传输，因此 VPN 的应用摆在眼前。 证券网络对于证券业务非常关键，因此整个网络的性能和工作状态必须实时地反映给网络管理人员，拥有功能强大、操作简便的网络管理软件是非常必要的。 对于各个网络设备（路由器、交换机等等）来说，可以配置和实时状态检测的网管软件也势在必行。 证券公司普遍使用 Windows 环境，可以通过域（ Active Directory）规划，通过域用户的认证达到比较好的权限分配 ，达到网络的合理合法应用。 分析后，归纳出如下的网络安全子需求： 访问控制 访问控制是对用户进行文件和数据操作权限的限制，主要防范用户的越权访问。 证券公司应根据信息机密级别和信息重要性划分安全域，在安全域与安全域之间用安全保密设备进行隔离和访问控制；同一安全域中根据信息的密级和信息重要性进行分割和访问控制。 通常将证券公司的重要服务器所在的子网和重要的业务工作子网分别划分为单独的安全域。 当局域网与远程网络连接时，通常在局域网与远程网络之间的接口处配置安全保密产品 （如防火墙、保密网关等）进行网络边界安全保 护，并采取数据加密设备（如 VPN、 DDN机密机、 PSTN 加密机等）保证信息远程传输的安全。 处理秘密级、机密级信息的涉密服务器，访问应当按照用户类别、信息类别控制，访问必须控制到单个用户、单个文件。 应保证访问控制规则设置的安全。 对于涉密信息的细粒度访问控制，通常针对不同的应用系统，结合访问控制软件和身份鉴别措施来实现。 入侵检测 入侵检测是对入侵行为的检测和控制。 它通过监视计算机网络或计算机系统的运行，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象，一旦发现攻击能够发出报警并采取相应的措施，如阻 断、跟踪和反击等。 同时，记录受到攻击的过程，为网络或系统的恢复和追查攻击的来源提供基本数据。 计算机病毒防治 由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力。 我们都知道，证券网络系统中使用的操作系统大部分为 WINDOWS 系统，比较容易感染病毒。 因此计算机病毒的防范也是网络安全建设中应该考滤的重要的环节之一。 我们从预防病毒、检测病毒和杀毒考虑证券网络的网络安全。 下面总结出一系列行之有效的 计算机病毒防护 措施供参考。 新购置的计算机硬软件系统的测试 新购置的计算机是有可能携带计算机病毒的。 因此，在条件许 可的情况下，要用检测计算机病毒软件检查已知计算机病毒，用人工检测方法检查未知计算机病毒，并经过证实没有计算机病毒感染和破坏迹象后再使用。 新购置计算机的硬盘可以进行检测或进行低级格式化来确保没有计算机病毒存在。 对硬盘只在 DOS 下做 FORMAT 格式化是不能去除主引导区（分区表）计算机病毒的。 软盘在 DOS下做 FORMAT 格式化可以去除感染的计算机病毒。 新购置的计算机软件也要进行计算机病毒检测。 有些软件厂商发售的软件，可能无意中已被计算机病毒感染。 就算是正版软件也难保证没有携带计算机病毒的可能性，更不要说盗版软 件了。 这在国内、外都是有实例的。 这时不仅要用杀毒软件查找已知的计算机病毒，还要用人工检测和实验的方法检测。 在 mail 和上网成为主流病毒传播方式的今天，在网络中使用网络防病毒系统是非常必要的。 网络防病毒系统可以实时更新病毒库，网络管理员对网络中所有计算机均可做到防病毒控制，可以有效阻止网络病毒爆发和泛滥。 安全审计 安全审计有助于对入侵进行评估，是提高安全性的重要工具。 审计信息对于确定是否有网络攻击的情况发生，以及确定问题和攻击源都非常重要。 通过对安全事件的不断收集与积累并且加以分析，可以为发现可能的破坏性 行为提供有力的证据。 证券公司网络系统中，计算机操作系统、网络管理、应用系统都应具有相应的安全审计功能。 系统产生的大量的审计数据给出了系统中活动的详细记录。 利用系统安全自动分析或检测工具对审计数据进行分析，可尽量早地发现那些可疑事件或行为的线索，发现网络中存在的不稳定因素（如服务器死机），给出报警或应对措施。 在证券公司网络的安全审计中，我们应该采用入侵检测审计和访问控制系统审计相结合的方法进行安全审计。 审计需求： a) 操作系统：操作系统必须启动日志与审计的功能。 b) 办公系统等应用软件应该具有日志和审记功能，以便 于安全事故原因的分析和漏洞的弥补，同时也非常有利于系统的快速恢复，从而将损失降低到最小程度。 c) 数据库系统：做好数据库操作的日志和审计工作。 d) 对于网络行为进行记录和审计，对不良的行为进行分析并尽快出台处理办法。 身份鉴别 目前每个证券用户都是通过用户名和口令登录，并且都是明文传输，密码容易被人窃取，给证券用户带来了一定的风险。 为保证交易和资金的安全，防止非法人员窃取用户口令，破坏电子商务和资金结算系统。 针对目前身份认证中普遍存在的不安全问题， 通过为 所有 员工和用户 发放 签名 数字证书来进行身份标识，并通过使用数字 证书对通信的双方进行身份验证和签名验证，最终满足 证券行业网络 信息化的安全需求，有效地防止各种信息安全隐患。 用户和员工的身份可以使用 USB 证书来识别。 信息加密 信息传输加密 信息传输加密用来防止通信线路上的窃听、泄漏、篡改和破坏。 信息存储加密 信息存储加密的主要方式有文件加密和数据库加密。 数据库加密的基本方式可以分为库外加密和库内加密。 数据库加密满足以下基本要求： （ 1） 数据加密后，存储空间没有明显的增加。 （ 2） 为维护系统原有性能，加密和解密的速度足够快。 （ 3） 加密系统要有灵活的授权机制，数据 库加密后，应允许用户以不同的粒度进行访问控制。 （ 4） 加密系统应提供一套安全的、使用灵活的密钥管理机制。 （ 5） 加密后对数据库的查询、检索、修改、更新要灵活、简便。 备份与恢复 证券公司网络的主要设备、软件、数据、电源等都应有备份，并有技术措施和组织措施能够在较短时间内恢复系统运行。 如果日常工作对涉密系统的依赖性特别强，则建立远程的应急处理和灾难恢复中心。 我们考虑的备份主要包括数据备份、服务器系统备份、线路备份等几个方面。 安全保密管理 安全管理贯穿在安全的各个层次实施。 从全局管理角度来看，我们制订了 全局的安全管理策略；从技术管理角度来看，实现安全的配置和管理；从人员管理角度来看，实现统一的用户角色划分策略，制定一系列的管理规范；从资源管理角度来看，实现资源的统一配置和管理。 根据安全防范体系中的各种安全技术所需的技术管理工作，设定安全管理的角色，如业务系统管理员、网络系统管理员、安全管理员、系统审计分析员等职位。 根据不同的职能，定义不同角色的责任和权利，制定相应的操作规范。 全局安全管理策略 证券公司网络将建立一个的信息安全控制中心，担负起集中式的安全管理中心的职能，负责制订公司网络的全局安全管理制 度，并且负责协调各个部门之间的关系。 信息安全控制中心首先确定公司网络安全管理体系等级，建立总的安全管理机制和各级安全管理中心。 此外，还负责制定一批合理可行的安全管理制度，督促并保障制度的实施。 实时响应和恢复 响应是指发生安全事故后的紧急处理程序。 响应组织一般包括： 安全管理中心：领导整个安全队伍，分配任务并审计执行情况，负责上报安全状况或进一步向其它组织寻求援助和咨询。 入侵预警和跟踪小组：负责监控整个网络的入侵检测、预警、跟踪，估计造成损失的情况，可以选择中断服务等措施以避免更大的损失。 平时负责跟踪入侵 手段、漏洞及其对抗手段的发展情况，适时提出更新安全工具的必要性和安排计划。 病毒预警和防护小组：负责整个网络在病毒预警和防护方面的工作，对病毒预警和清除负责，平时负责跟踪病毒的产生和传播情况，注意防病毒技术的发展情况，及时提出病毒库更新要求或升级防病毒软件的要求。 漏洞扫描小组：负责对网络漏洞、系统漏洞、数据库漏洞等进行扫描并提出改进建议和计划。 平时注意漏洞及其攻击技术的发展情况，及时提出弥补漏洞的措施，如使用最新补丁、改变网络拓扑、改变设备配置、升级系统等。 恢复是指将受损失的系统复原到发生安全事故以前的 状态，这是一个复杂和烦琐的过程，需要信心、细心和耐心，一般包括如下几个方面： 1) 恢复领导小组：负责协调整个恢复工作，分配人员、任务并审计进展情况。 2) 网络恢复小组：负责恢复整个网络基础设施，如线路、路由器、交换机等功能。 3) 系统恢复小组：负责所有主机的恢复工作，使主机能够再次平稳运行起来。