智恒联盟金融行业网站应用安全决方案

《智恒联盟金融行业网站应用安全决方案》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、金融行业网站应用安全解决方案一、概述经济全球化的理念曾使人为之振奋，金融自由化曾给人几分梦想，也是当今世界发展的大趋势，它意味着国际资本流动的加速、信息跨国界的传播、生产资料配置的优化及社会生产力的高效化。特别是在国际金融自由化和电子化的辅助下，资金的流量和流速激增，进一步刺激了金融交易的发展。网络信息技术的发展和电子商务的普及，对企业传统的经营思想和经营方式产生了强烈的冲击，以互联网技术为核心的网上银行使银行业务也发生了巨大变化。“网上银行”在为金融企业的发展带来前所未有的商机的同时，也为众多用户带来实实在在的方便，但是面对这一新

2、兴的事物，人们却有一个最大的疑惑：“网上银行”安全吗？毋庸置疑，网上银行以安全为第一原则。据调查，有60%的网上用户认为“安全”是进行网上购物时首要考虑的因素。据我国公安部破获各类“黑客”案件统计，其中以经济为目的的网络犯罪占61%。如此脆弱的网站安全体系不能不令人担忧，而商业银行经营的三性原则（安全性、流动性、盈利性）中，安全性是决定一切工作的前提，只有保证了安全，才谈得上盈利。正如我国著名计算机专家沈昌祥院士指出的："信息安全保障能力是21世纪综合国力、经济竞争实力和生存能力的重要组成部份，是世纪之交世界各国在奋力攀登的制高点"

3、。二十世纪末，美国一些著名网站、银行、电子商务网站遭受黑客攻击；黑客入侵微软窃取源代码软件等重要案件，都证明了网站安全的严重性。因此，解决金融也网站信息安全问题刻不容缓。智恒联盟作为国内专业信息安全厂商，长久以来一直专注于国内金融、政府及其他企事业单位的信息安建设，智恒安全团队根据各行业的安全现状提出了很多的安全理念及全面有效的网络信息安全解决方案。经过多年对金融业信息化建设的研究，智恒专门针对金融行业提出了一套在当前安全形势下行之有效的全面的安全解决方案。能够有效保障金融业的网银系统及核心数据安全。二、金融行业网站系统风险及需求分

4、析2.1银行网站安全应用随着网络的快速发展，各金融企业之间的竞争也日益激烈，主要是通过提高金融机构的运作效率，为客户提供方便快捷和丰富多彩的服务，增强金融企业的发展能力和影响力来实现的。目前银行主要应用有：储蓄、对公、信用卡、储蓄卡、IC卡、国际业务、电子汇兑、电子邮件、电子公文、网上银行、网上交易系统、新的综合对公业务、国际业务信贷系统等，客户可以不必亲身去银行办理业务，只要能够上网，无论在家里、办公室，还是在旅途中，都能够每天24小时安全便捷地管理自己的资产，或者办理查询、转账、缴费等银行业务。但是我们应该意识到事务的两面性，随

5、着应用的不断增加，网站安全风险也会不断暴露出来。原来由单个计算机安全事故引起的损害可能传播到其他系统和主机，引起大范围的瘫痪和损失。而且由于银行属于商业系统，都有一些各自的商业机密信息，如果这些涉密信息在网上传输过程中泄密，其造成的损失将是不可估量的。大体上，银行业务系统分为两类：传统业务系统和新兴业务系统。传统业务注重两个方面的安全问题：保持传统业务系统与其它系统的独立性，对内部人员的安全审计和稽查。新兴业务系统面临更复杂的使用环境，使用对象可能是银行从业人员，也可能是银行的客户。新兴业务系统的安全需求有以下特点：新兴业务系统与其

6、它信息系统广泛进行连接，对信息的隐秘性、系统的独立性要求相对较低，而对业务系统本身的自我保护却有很高的要求。例如，对于网上银行系统，就需要接入Internet。这就意味着网上银行系统将面临来自全球的安全攻击，如何提高其抗攻击能力，就是网上银行系统首先要考虑的问题。新兴业务系统的使用对象涉及社会的各个阶层，其服务对象可能是遵纪守法的用户，也有可能是别有用心的用户。所以，新兴业务系统对用户的身份鉴别、访问控制等有着很高的要求。2.1银行网站安全风险分析2.2.1来自互联网风险金融行业网站系统中网上银行、电子商务、网上交易系统都是通过In

7、ternet公网,并且都与银行发生关系，银行系统网络如果与Internet公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，像银行这样的金融行业自然会被恶意的入侵者列入其攻击目标的前列。根据艾瑞市场调查发现，目前网民不使用网上银行的主要原因是担心交易安全问题，因此如何降低网上银行的安全风险显得尤为关键，以下是网上银行存在的安全威胁：1)由于错误地实现访问控制，使攻击者对网上银行系统的访问未能检测到，从而造成对信息完整性、保密性、或可用性的潜在危害。2)攻击者通过执行命令、发送数据、或执行其他操作使系统资源对用户失效，资源

8、可能是带宽、处理器时间、内部存储器、数据存储器等。3)攻击者通过挂马攻击、注入攻击、钓鱼攻击等方式窃听网络用户数据。4)攻击者通过窃听通信线路获取用户数据。1)攻击者为获得消息内容对加密数据使用密码分析。2)当截获了有效用户的标识和鉴