商业银行内网安全管理技术方案.docx
- 文档编号:23014010
- 上传时间:2023-04-30
- 格式:DOCX
- 页数:19
- 大小:27.69KB
商业银行内网安全管理技术方案.docx
《商业银行内网安全管理技术方案.docx》由会员分享,可在线阅读,更多相关《商业银行内网安全管理技术方案.docx(19页珍藏版)》请在冰豆网上搜索。
商业银行内网安全管理技术方案
商业银行内网安全管理技术方案
1、1方案概述
31、2某商业银行计算机终端安全管理需求
31、2、1总体目标
31、2、2建设与管理范围
41、2、3模块功能要求
41、3某商业银行需求分析与难点分析
91、3、1需求分析
91、3、2面临的技术和实施难点
91、4总体体系架构建议101、5接入控制101、5、1非法内联101、6资产管理1
91、6、1资产信息采集1
91、6、2硬件资产信息管理201、6、3软件资产信息管理2
11、6、4基于网络资源的管理2
21、6、5资产报表管理2
21、7设备管理2
21、8移动存储介质2
21、8、1注册授权2
41、8、2访问控制2
41、8、3数据保护2
51、8、4自我保护2
51、8、5操作记录2
51、8、6遵循的国家标准标准2
61、9安全监控2
61、10网络安全2
71、
10、1防病毒软件监控2
71、
10、2客户端防卸载2
81、
10、3断网策略2
81、
10、4离线策略2
81、
10、5终端流量监控2
81、
10、6网页过滤2
91、
10、7端口控制2
91、11非法外联2
91、12软件管理建议2
91、
12、1软件分发2
91、
12、2补丁管理301、13网络管理3
11、14安全服务3
21、1、1、1、主机信息收集3
21、1、1、2、网络参数配置3
21、1、1、3、远程协助3
21、1、1、4、预警平台3
31、15其他功能3
31、
15、1软件安装监控3
31、
15、2报表管理3
31、16LanSecS内网安全管理系统简介3
41、
16、1LanSecS产品构架3
61、
16、2LanSecS软件模块组成3
81、
16、3系统内部模块数据处理流程图3
81、
16、4LanSecS系统管理流程简介3
91、
16、5系统安全示意图401、
16、6产品设计思路401、
16、7产品的设计原则4
11、
16、8产品的功能4
11、
16、9产品一体化设计4
21、
16、10关键技术4
41、17系统自身管理4
51、
17、1LanSecS角色管理4
51、
17、2LanSecS分级管理4
61、
17、3LanSecS系统审计管理4
61、18系统安全方案4
61、
18、1控制中心安全性设计4
71、
18、2主机代理安全性设计4
71、
18、3数据库安全性设计4
81、
18、4策略安全性设计4
81、
18、5组件通讯安全性设计4
91、19系统功能清单4
91、20软硬件配置方案5
51、21金融系统典型案例5
61、1方案概述某商业银行需要完整的计算机终端管理解决方案来解决运行维护中棘手的计算机终端管理问题,同时该解决方案应考虑与未来不断完善的IT管理体系的紧密集成,提高IT管理的规范化和自动化。
计算机终端管理是一个复杂的管理范畴,它不仅包含我们常见的日常运行维护管理(如电话支持平台和现场服务支持)而且包含了安全管理、资产管理以及运维管理等诸多管理内容的综合性管理,涵盖了所有桌面设备的整个生命周期的管理。
圣博润公司在桌面管理方面有着丰富的经验,不但为诸多国内政府部门和大型企业提供整体的桌面管理建设方案,而且有着丰富的实际操作管理经验。
1、2某商业银行计算机终端安全管理需求
1、2、1总体目标1)
通过本项目建设构建银行桌面端安全管理软件总体架构集中管理,统一某商业银行桌面终端运维流程,规范桌面端安全管理软件功能,提高桌面终端用户安全防护能力,提升某商业银行桌面终端运行维护自动化程度,提高某商业银行桌面终端服务水平,使日常的桌面终端由被动管理向标准化管理转变。
2)
实施完成各项目单位桌面端安全管理软件建设,满足项目单位资产管理、网络安全、网络控制、远程控制、软件分发等的需要。
3)
实现各级桌面端安全管理软件数据的上下贯通,建成统一监视的桌面端安全管理软件体系,实现终端的标准化运维工作,促进某商业银行IT资产的精细化管理。
4)
试点实施具有良好的扩展性和适应性,为桌面端安全管理软件建设的全面推广奠定基础。
1、2、2建设与管理范围
1、2、2、1建设与适应范围结合某商业银行的运维现状,桌面终端标准化拟采取集中管理模式。
集中负责全行范围内桌面标准化的管理标准、技术规范及管理策略的制定,并负责本地桌面终端的管理
1、2、2、2桌面端安全管理软件管理范围在本项目中,桌面终端的范围包括信息内网的所有桌面终端,包括所有个人桌面(台式机、笔记本电脑等)及相关外设等桌面终端。
桌面终端标准化管理的主要范畴包括资产管理、网络安全、网络控制、远程控制、软件分发等。
其中,资产管理主要针对桌面终端详细的软、硬件资产现状及变更等进行管理;网络安全管理包括对病毒防范、性能监控等,从而支持对桌面终端完整的全生命周期管理。
1、2、3模块功能要求
1、2、3、1接入控制要求能够对连接到网络中的计算机进行注册管理,只有注册的计算机才可以接入网络。
要求支持计算机分组功能,按照不同的区域、部门进行划分管理组。
自动检测网络中计算机资源使用情况,列表注册客户端、客户端工作状态及机器在线情况,以取代原始的数据资料记载的手段,增强设备管理信息的实时性、准确性。
要求对非法计算机的接入进行阻断,发送阻断包的终端计算机应该能够自动选举,不应该固定在某一台主机。
要求能够对非法接入到网络中计算机进行报警,并能够自动阻断违规行为。
要求支持对未授权的终端设备接入具有阻断能力,可以通过交换机端口操作,也可以通过其他方式实现阻断功能。
要能够在系统的管辖范围内,能够跨越网段并可以跨VLAN对的计算机设备进行自动阻断。
支持特权地址设置功能,例如:
IP和MAC地址绑定、特权IP、特权MAC等。
支持802、1X认证方式进行访问管理控制,可与网络设备进行有机联动,防止非法计算机接入网络。
1、2、3、2资产管理查看每台电脑的相关硬件信息、可以禁用硬件设备、关键设备管理、能够管理计算机信息。
可以查阅到每台电脑所有的硬件以及外设,当有外设接入时可随时侦测。
若有硬件变动,也可及时发现。
并建立数据库,信息人为手动更改,防止自动更改无法控制。
可以对每台电脑的各项设备,端口实施禁用。
可以对关键设备进行管理,如服务器等。
可以对它进行实时监控,对各项性能参数进行记录,并做出相应表格。
可以设置阀值,当性能参数超过这个阀值时,可以及时报警。
可以锁定IP地址,使员工无法随意更改。
1、2、3、3设备管理随着计算机外设的增多,各种各样的输出设备(软驱、刻录机、打印机、绘图仪、移动存储设备、红外、蓝牙、无线网络设备)为信息处理和传输提供极大便利的同时,也为机密信息的扩散和泄露带来了可能。
尤其是USB接口的计算机周边设备的丰富,使得计算机与其他外部设备,如U盘,USB打印机等连接分方便,并能轻而易举地通过USB设备将外部数据导入或者内部数据导出,为重要数据的保护带来了巨大的安全隐患。
1、2、3、4移动存储介质管理移动存储介质已经得到普及应用,移动存储介质使用灵活、方便,使它在各个单位的信息化过程中迅速得到普及,越来越多的敏感信息、秘密数据和档案资料被存贮在移动存储介质里,大量的秘密文件和资料变为磁性介质、光学介质,存贮在无保护的移动存储介质中,这给银行涉及设计、研发信息资源带来相当大的安全隐患。
存储介质作为银行核心商业机密和敏感信息的载体,实现对它们安全、有效的管理是保证银行信息安全的重要手段。
移动存储介质使用过程中常见的风险包括:
1)
非法拷贝敏感信息和涉密信息到磁盘、U盘或其他移动存储介质中;2)
银行外部移动存储介质XX在内部使用;3)
银行内部移动存储介质及信息资源被带出,在外部非授权使用;4)
使用过程的疏忽;5)
存贮在媒体中的秘密信息在联网交换时被泄露或被窃取,存贮在媒体中的秘密信息在进行人工交换时泄密;6)
处理废旧移动存储介质时,由于磁盘经消磁余次后,仍有办法恢复原来记录的信息,存有秘密信息的磁盘很可能被利用磁盘剩磁提取原记录的信息—这很容易发生在对磁盘的报废时,或存贮过秘密信息的磁盘,用户认为已经清除了信息,而给其他人使用;7)
移动存储介质发生故障时,存有秘密信息的介质不经处理或无人监督就带出修理,或修理时没有懂技术的人员在场监督,而造成泄密;8)
移动存储介质管理不规范,秘密信息和非秘密信息放在同一媒体上,明密不分,媒体介质不标密级,不按有关规定管理秘密信息的媒体,容易造成泄密;9)
移动存储设备在更新换代时没有进行技术处理;10)
媒体失窃,存有秘密信息的磁盘等媒体被盗,就会造成大量的国家或银行秘密信息外泄,其危害程度将是难以估量的,丢失造成后果非常严重。
综上所述,移动存储介质的管理对教育行业来说,是一个必须关注的问题。
1、2、3、5安全监控作为数据最终处理的桌面终端,存储着大量的业务数据。
由于Windows操作系统默认将数据以明文方式存储于磁盘上,因此一旦其他未被授权用户能够进入操作系统,或者将磁盘取走,都能非常方便地实现对磁盘数据的访问和阅读。
同时,利用Windows的数据删除方式并不能实现对数据的彻底删除。
当前有越来越多的文件删除/恢复工具能够将已删除的文件恢复出来,甚至完全还原。
因此,如何确保数据信息在桌面终端的安全,也是内网安全管理必须考虑的问题。
1、2、3、6网络安全可以实时监控每台电脑的流量,如发现不正常流量及时断网,保证全行网络正常运行。
能随时侦测网络内所有未管理的计算机。
记录客户端文件操作、传递、拷贝、更名等信息,并可导出。
系统资源占用要小,使员工不会觉得慢,不会影响工作。
要求兼容性好,可以支持各种主流操作系统(包括服务器)。
与各种使用软件不会产生冲突,不影响其他软件的正常使用。
对用户、组的网页浏览进行记录,并能根据条件做策略控制。
对客户端的访问端口进行控制,用策略模式进行端口控制。
1、2、3、7非法外联单位内部的局域网会在网络的出口上,增加相关的安全硬件防护设备,例如:
防火墙、IDS、IPS、防病毒网关等设备来加强边界的防护,保证内网的安装。
但是员工由于好奇,或者厌烦上网出口的种种限制,通过Modem或ADSL拨号方式访问Internet,极易受到外部网络的攻击;当该机器一旦受到攻击,回到内网后很容易将相关病毒、木马向内网传播。
1、2、3、8软件管理补丁分发、软件分发功能需求。
可以通过扫描,即时或定时的计划任务对客户端补丁修复。
能对客户端进行即时或定时的漏洞扫描及修复。
当需要大量安装软件时,可以实现分发功能,并不占用很大带宽,不影响正常使用。
当有新电脑接入银行网络时,可以对单台电脑进行软件安装。
1、2、3、9网络管理单位的内部网络是由网络设备共同作用,协同工作建立起来的,主要设备有:
路由器、交换机、HUB,而在局域网中对数据交互起核心作用的是交换机。
目前的网管软件可以对逻辑拓扑图进行绘制,对交换机的面板信息进行提取和控制,但是无法看到终端设备和交换机端口的物理连接关系,无法从拓扑图上看到下连设备的信息。
如何建立起交换机端口和设备的连接关系是至关重要的,因为端口的流量信息其实就是设备的流量信息;想要掌控设备,只要对交换机端口进行控制就可以了。
因此物理拓扑图显示设备与端口的物理连接关系会给管理带来极大的方便
1、2、3、10安全服务对于规模较大的用户,由于终端计算机众多,依靠传统的资产登记管理办法,根本无法做到对计算机配置信息的准确掌握,对计算机配置的变化也无法及时跟踪。
例如,要准确掌握每台计算机的软硬件配置信息,通过手工方式将是非常耗时和繁琐的工作。
要想实时并准确地掌握内网终端计算机的配置状况与配置变更状况,必须通过技术手段和工具来辅助实现,才能有效节省成本和资源,提高内网管理的效率。
对于大多数银行用户来说,由于技术的原因,IT管理人员无法实时掌握每台终端计算机的运行状态。
当终端计算机出现故障需要维护时,IT管理人员如果采用现场维护的方式,一方面增加了人力成本,另外由于人力资源有限,也无法保证维护的及时性。
如何实时监视终端计算机的运行状况,并且方便地对终端计算机进行远程维护,是IT管理人员迫切需要解决的问题。
1、2、3、11其他功能可以记录并录制下计算机的具体使用情况,并且合理占用服务器资源。
提供自动统计分析某软件合法使用的计算机及未授权使用的计算机分布状况,有效的控管软件的使用权、并加强管理。
能够提供事件、系统、策略、资产、历史等的查询、统计及导出,并能根据日、周、月自动生成报表,且能手动定制报表模板,数据准确。
1、3某商业银行需求分析与难点分析
1、3、1需求分析某商业银行的管理需求涉及到桌面端安全管理的主要功能,实现此管理需求可以解决绝大多数的管理问题。
圣博润公司推荐某商业银行采用LanSecS内网安全管理系统实现集中管理,全面对终端计算机进行资产管理、软件管理、补丁管理及安全管理。
通过部署LanSecS内网安全管理系统的不同功能包,可以有效解决满足某商业银行的计算机终端管理需求。
1、3、2面临的技术和实施难点圣博润公司基于多年计算机终端管理的经验,认为实现某商业银行全面的计算机终端管理,需要克服以下技术难点:
1、IT终端标准化,这是企业信息化建设的重要基础和组成部分,它包含硬件配置标准化、软件配置标准化、安全管理标准化多个部分。
2、某商业银行的目标是建立全网统一的管理体系。
3、系统部署后,如何进行管理与维护?
全面的集中管理是存在困难的,因此,必须统筹考虑何种信息需要集中管理、应该具有何种权限。
1、4总体体系架构建议针对某商业银行实际情况,我们建议某商业银行采用分级部署管理模式。
大体架构示意图如下:
1、5接入控制
1、5、1非法内联内网安全管理系统将所有内网的主机进行入网身份判断,符合安全标准或合法的主机将允许运行在内网中、正常使用。
没有在内网安全管理系统中定义的合法的主机,系统将其阻断或限制与内网的通信。
非法接入控制功能主要目的是保证内网涉密信息及文件不受非法接入设备的探测、拷贝、删除和修改等威胁。
1、5、1、1非法主机所谓的接入控制,是指对接入内网的计算机终端进行身份鉴别或者安全状态检查,阻止未授权或不安全的计算机终端接入内网和访问内网资源。
通过接入控制,可以将外来计算机阻挡在内网之外,也可以将内网中安全性较差(未及时安装补丁和防火墙软件)的计算机隔离出内网,保证内网整体的安全性。
对非法主机的定义,采取以下方式:
1)
主机系统存在严重漏洞,影响内网整体安全;2)
主机系统无反病毒软件保护或反病毒软件未运行;3)
主机系统从未在内网管理系统中注册,不受审计、监控的主机;4)
管理员自定义的非法主机系统
1、5、1、2网络接入控制策略对非法主机的接入控制,应有安全策略来指定。
安全策略应满足一定的灵活性和简单易用。
1)
非法接入控制策略灵活性:
管理员可以灵活设定非法接入控制对象策略,选定不同的管理颗粒度;2)
非法接入控制策略模版化:
管理员可以设置不同安全级别的非法接入控制策略,并且根据实际情况或意外情况修改或改变使用不同的策略模版。
3)
非法接入策略包括:
注册合法主机检查策略;主机安全性检查策略;管理员自定义策略。
当主机入网后,内网管理系统按照非法接入策略进行检查,同时对合法主机检查入网身份,并验证此主机是否已经在身份数据库中注册。
然后检查主机的安全状态是否符合策略要求。
任何一项的不满足均将导致该主机被阻止在xxxx之外。
图:
非法接入控制示意图
1、5、1、3LanSecSNAC简介LanSecSNAC接入控制解决方案,是一种基于“主动防护”+“动态监测”的终端安全管理理念的接入控制解决方案。
在保护用户现有网络投资的情况下,提供了适用于大部分网络环境下的终端计算机的接入控制能力。
与当前其它主流接入控制解决方案相比,不仅弥补了其它接入控制方案的漏洞,又有效的保护了用户现有网络投资,从而具有较高的性价比。
利用LanSecSNAC接入控制方案,可以实现如下功能:
l维护全网统一的安全策略,利用LanSecSNAC的策略服务器,可以为全网终端计算机制定统一的基线安全策略,并且根据网络环境的变化动态修改这一基线策略,保证基线策略能够反应最新的安全管理需要;l在终端计算机接入网络之前,对接入计算机的身份进行认证,身份信息既可以是用户名/口令,也可以是硬件唯一标识。
如果计算机无法提供正确的身份信息,则禁止计算机接入网络;l在终端计算机接入网络之前,对接入计算机的安全状态进行认证,这些安全状态包括:
是否启用了防火墙、是否安装了防病毒软件以及防病毒软件的病毒库是否更新到最新、是否受到恶意软件的感染、是否安装了要求的操作系统安全补丁、是否运行了未授权的进程和服务等等。
这些条件可以由管理员在策略中统一设置,如果计算机不满足策略中规定的条件,则禁止计算机接入网络;l对于未能提供合法身份信息以及安全状态不符合要求的计算机,自动将其隔离到独立的网络中并完成修复工作。
在该网络中,计算机仅能访问有限的网络资源。
包括安装LanSecS代理程序、访问补丁服务器、防病毒软件服务器等。
在该区域中,计算机可以根据修复策略进行手动或者自动的修复工作;l对接入网络的计算机,根据其身份信息和安全级别,动态授予其对核心网络保护区域的访问权限。
例如,安全级别较高的计算机可以访问所有核心网络保护区域的资源,而安全较差的计算机则仅允许访问部分资源,该功能可以对核心网络区域实施更有效的保护;l对接入网络的计算机持续的监控其身份信息和安全状态信息,一旦发现计算机无法再次提供有效的身份信息或者安全状态发生变化,可立即再次将其进行隔离,直至其再次修复完成为止;l对接入网络的计算机,在其与其它合法计算机进行IP层通讯之前,要求提供有效的身份信息,并对通讯过程进行加密;从而有效的规避了假冒计算机的非授权网络访问,这也是该解决方案的最大特色。
1、5、1、4LanSecSNAC架构LanSecSNAC采用四层体系架构,从外围到核心层依次是访问请求者、策略执行者、策略决策者和策略制定/发布者。
如下图所示:
访问请求者策略执行者策略决策者网络边界核心保护区域策略执行者策略制定/发布者l访问请求者:
是发起网络访问请求的主体,可以是安装或者未安装LanSecS代理程序的计算机。
访问请求负责向策略执行者发起网络接入请求,并根据策略执行者的要求提供响应的身份信息和安全状态信息。
l策略执行者:
是将访问请求者的身份信息和安全状态信息转发给策略决策者,并根据策略决策者的结果决定是否允许访问请求者接入网络的主体。
一般地,策略执行者是网络设备,如交换机、路由器、防火墙、专用网关等。
策略执行者要求访问请求者提供身份信息证明自己的身份,也要求访问请求者提供自己的安全状态。
策略执行者并不对这些信息进行检查,而是直接将其转发给策略决策者,由决策者对其进行验证,并得到一个最终的验证结果。
l策略决策者:
策略决策者是对接入请求者提供的身份信息和安全信息进行认证的主体。
在LanSecS解决方案中,它是一个集成化Radius认证服务。
该服务将认证的结果转发给策略执行者,然后由策略执行者决定是否允许计算机的接入。
l策略制定/发布者:
策略制定/发布者负责维护全网统一的安全策略,存储和更新策略请求者的所有相关信息,如安全状态、系统信息、身份信息、资产状况等。
这些信息可以为策略决策者的认证过程提供必要的决策依据。
1、5、1、5接入层认证LanSecSNAC的接入层认证,是由访问请求者、策略执行者和策略决策者三者之间共同完成的。
接入层认证的目的是判断接入计算机是否可信,并决定其是否可以接入网络。
如果计算机是不可信的,在接入层就可将其阻隔在网络外围,从而较好的保护了网络的安全性。
LanSecSNAC的接入层认证包含两个方面的工作:
对接入计算机的合法身份进行认证和对接入计算机的安全状态进行认证。
为实现这两个目标,LanSecSNAC采用了扩展的802、1x协议。
接入层认证的结构示意图如下:
PostureValidatorPostureValidator客户端代理网络访问请求器网络执行控制点网络访问授权器服务器端代理安全状态检验12345678访问请求者策略执行者策略决策者PostureCollectorPostureCollector安全状态收集LanSecSNAC的接入层认证的工作流程如下:
1)
当访问请求者收到网络执行控制点的要求认证的信息时,将由LanSecS安全代理收集本地的安全状态。
这些安全状态信息包括防病毒软件安装与病毒库更新状况、防火墙启用状况、补丁修补状况、进程运行状况等等,收集何种安全状态,是由策略发布者统一设定并下发至LanSecS安全代理的;2)
LanSecS安全代理根据策略发布者的安全策略决定采用何种身份认证方式,LanSecSNAC支持用户名/口令、PKI数字证书以及设备特征标识三种身份信息,它们可以互相组合使用;3)
LanSecS安全代理将收集到的安全信息连同身份信息一起发送给策略执行者并等待回应;4)
策略执行者收到安全状态信息和身份信息后,将这些信息直接转发给策略决策者中的Radius服务,然后等待回应;5)
策略决策者接受来自策略执行者的安全状态信息和身份信息,并进行解码工作;6)
策略决策者向策略制定/发布者要求与该请求者相关的安全状态数据,并与策略决策者提供的安全状态信息进行比较。
确认安装状态是否达标;7)
策略决策者通过Radius服务认证请求者的身份信息;8)
策略决策者将身份认证结果和安全状态认证结果返回给策略执行者。
策略执行者根据认证结果决定是否运行计算机接入。
在接入层认证中,要完整地执行认证过程,必须在接入计算机上安装LanSecS代理。
代理负责收集计算机的安全状态。
如果仅需要验证身份信息,则可以不必安装LanSecS代理。
对于新入网的计算机,LanSecSNAC提供了自动隔离自动修复的方案,来实现自动化的LanSecS代理安装。
该技术方案详见
4、2、3节。
在某些特定的网络环境中,如H3C网络环境,LanSecS接入层可以实现基于MAC地址的身份认证,从而解决基于端口的认证模式带来的“身份假冒”问题。
对于不支持基于MAC地址认证的环境,则需要依靠
4、2、5节中的IP通讯控制技术来实现对“身份假冒”计算机的访问控制。
1、5、1、6IP通信认证虽然安全认证网关可以有效的对核心资源进行保护,杜绝非法接入主机的恶意攻击和信息盗窃,但是却无法阻止非法主机访问其它资源。
如网络中的其它计算机和服务器,这也是众多接入控制解决方案中最为缺失的一环。
如果无法限制非法主机访问网络中的任意资源,接入控制也就失去了它的意义。
LanSecSNAC通过采用IP通讯控制技术来解决上述问题。
该技术的根本特点是当非法主机与合法主机进行IP通讯时,合法主机会要求非法主机提供其身份证明,如果非法主机无法提供有效的身份证明,合法主机将拒绝与其建立通讯。
合法主机之间由于相互可以验证身份,因此合法主机之间的IP通讯是被允许的。
合法主机之间的通讯采用PKI数字证书来标识双方的身份。
另外,当合法主机建立IP通讯时,LanSecSNAC还可以对通讯数据进行加密。
从而保证了非法主机无法监听和窃取这些通讯数据。
进一步保证了网络的安全性。
LanSecSNAC的IP通讯控制,提供两种控制措施,一种是身份认证、一种是数据加密。
LanSe
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 商业银行 安全管理 技术 方案
![提示](https://static.bdocx.com/images/bang_tan.gif)