• 快捷搜索
  • 全站搜索

安恒信息电子银行安全整体解决方案

2013-12-13 13:56:29作者:编辑:金融咨询网
安恒信息针对目前电子银行所存在的安全隐患,结合国家信息安全等级保护政策以及电子银行行业相关技术指引和管理规范,制定具有针对性的安全产品解决方案。

随着互联网的发展和电子商务的广泛应用,电子银行发展迅猛。开放的网络中流动着大量金融交易数据,不仅涉及巨大的经济利益,而且包含大量的用户个人隐私信息,导致人们在享受电子银行便捷的同时,也承受着层出不穷的网络安全威胁。越来越多的不法分子甚至包括银行内部人员,试图通过数据篡改、网络木马以及钓鱼攻击等非法手段以牟取暴利。由于对电子银行安全性的顾虑,60%的客户拒绝使用电子银行。为此,近年来人行、银监会不断出台各种监管要求,对电子银行提出了明确的安全要求,例如2012年中国人民银行发布的《网上银行系统信息安全通用规范》。

1.安全需求分析

        电子银行的一般拓扑图如下: 

安恒-图1.jpg

        电子银行存在的风险主要表现在以下两个方面。

        服务器端:电子银行服务器端存有大量客户敏感信息,不法分子通过利用电子银行系统自身存在的安全漏洞,比如基于WEB/WAP应用的SQL注入攻击、基于数据库应用的OracleLinstener攻击以及基于操作系统的缓冲区溢出攻击等攻击方式,获取电子银行WEB/WAP服务器以及客户信息库中的客户敏感信息。

        数据库端:数据库是银行最具有战略性的资产,银行数据库的安全不仅关系到自身的安全风险和品牌,还关系到公共秩序甚至国家利益。数据库一方面面临来自外界的威胁,同时存在内部的安全隐患,例如工作人员非工作时间访问核心业务表、非工作场所访问数据库、第三方软件开发商远程访问等等行为,都可能存在着重大安全隐患。作为银行保护数据库的安全,防止非法者获取或篡改是一项非常重要而艰巨的工作。

2.解决方案介绍

        安恒信息针对目前电子银行所存在的安全隐患,结合国家信息安全等级保护政策以及电子银行行业相关技术指引和管理规范,制定具有针对性的安全产品解决方案。

安恒-图2.jpg

        明鉴WEB应用弱点扫描器:在黑客进行入侵和攻击之前主动发现电子银行应用层可能存在的如SQL注入、跨站脚本以及文件上传等安全隐患,及时进行有针对性的加固和维护,消除安全风险。

        明鉴数据库弱点扫描器:在黑客利用电子银行数据库可能存在的权限分配、远程溢出以及弱口令等安全隐患非法获取银行内部数据库敏感信息前,主动发现安全隐患,及时进行有针对性的加固和维护,消除安全风险。

        明御WEB应用防火墙:在电子银行WEB应用服务器前端部署明御WEB应用防火墙,对基于正常端口访问所发出的请求进行动态检测,及时发现并有效阻断WEB应用攻击/入侵行为,包括SQL注入攻击、跨站脚本攻击以及木马上传等。

        明御数据库审计与风险控制系统:在电子银行数据库服务器前端旁路部署明御数据库审计系统,对访问者所发起的数据库访问请求进行细粒度审计,及时发现针对数据库所进行的威胁操作,第一时间产生告警,并详细记录数据库操作。

        明御运维审计与风险控制系统:在办公运维网络和生产网络之间部署明御运维审计和风险控制系统,它是符合4A(认证Authentication、账号Account、授权Authorization、审计Audit)要求的统一安全管理平台,在网络访问控制系统(如防火墙、带有访问控制功能的交换机)的配合下,成为进入内部网络的一个控制点,拦截对目标设备的非法访问、操作行为。

        明御综合日志审计平台:通过对电子银行网络设备、安全设备、主机和应用系统日志进行全面的标准化处理,及时发现各种安全威胁、异常行为事件,为管理人员提供全局的视角,提供全维度、跨设备、细粒度的关联分析,透过事件的表象真实地还原事件背后的信息,为客户提供真正可信赖的事件追责依据和业务运行的深度安全。同时提供集中化的统一管理平台,将所有的日志信息收集到平台中,实现信息资产的统一管理、监控资产的运行状况,协助用户全面审计信息系统整体安全状况。

        明鉴网站安全监测平台:是一套软硬件一体化监测平台,采用远程监测技术对WEB应用提供7×24小时实时安全监测服务。实现网页木马监测、网页篡改监测、网站可用性监测、网页关键字监测、WEB漏洞监测等功能。

3.客户收益

        作为公安部、浙江省信息安全等级保护专用应用安全测评工具,明鉴WEB应用弱点扫描器和明鉴数据库弱点扫描器的配合使用可以帮助用户充分了解WEB应用和数据库应用所存在的安全隐患,建立安全可靠的WEB应用和数据库应用服务,改善并提升应用系统抗各类WEB应用攻击(如:注入攻击、跨站脚本、钓鱼攻击、信息泄漏、恶意编码、表单绕过、缓冲区溢出等)和数据库应用攻击的能力,可以协助用户完成数据库建设成效评估,协助数据库安全事故的分析调查与追踪,提升用户各类数据库的抗风险能力。

        帮助用户解决目前所面临的各类网站安全问题,如:注入攻击、跨站脚本攻击(钓鱼攻击)、恶意编码(网页木马)、缓冲区溢出、信息泄露、应用层DOS/DDOS攻击等,满足合规要求。
以独立硬件审计的工作模式,灵活的审计策略配置,解决银行核心数据库面临的“越权使用、权限滥用、权限盗用”等安全威胁,帮助用户提升数据库运行监控的透明度,降低人工审计成本,真正实现数据库运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯。

        以4A平台的形式实现强大的输入输出审计功能,为银行内部提供完全的审计信息,通过账号管理、身份认证、资源授权、实时监控、操作还原、自定义策略、日志服务等操作增强审计信息的安全性。

        通过收集网络、主机、数据库以及应用的操作日志,通过关联技术取证式的分析得出任意一项操作的4W1H(Who谁、Where地点、When时间、What做了什么、How怎么做)。实现银行对所管辖的重要敏感信息使用的无缝细颗粒度审计,迅速准确的定位和破获各类违规查询和导出重要敏感信息的案件,提高内控力度,改善管理现状,震慑潜在违规行为,提升了银行形象和品牌价值。

        提供7*24小时实时安全监测服务。通过对网站的不间断监测服务从而提升网站的安全防护能力和网站服务质量,并通过安全监测平台的事件跟踪功能建立起一种长效的安全保障机制。
 

扫码即可手机
阅读转发此文

本文评论

相关文章

IT界IT应用
信安世纪助力湖北银行网银安全建设

为了保障每位客户的网络支付安全,湖北银行选用了北京信安世纪科技有限公司的网上银行系统安全解决方案为其网银系统提供坚实的安