浅谈天融信网上银行安全深层次防御方案

　　随着网上购物的兴起，网上银行越来越多被人们的应用。但网上银行有很多滞后的问题都不到解决，而在网上银行时代，帐务收支的无纸化、处理过程的抽象化、机构网点的虚拟化、业务内容的大幅增加，均使现有的监管方式在效率、质量、辐射等方面大打折扣，监管信息的真实性、全面性及权威性面临严竣的挑战，对基于互联网的银行服务业务监管将出现重大变化。中比较常见的安全威胁主要是来自互联网的扫描探测、拒绝服务攻击、网络钓鱼攻击、网页篡改、URL劫持、蠕虫病毒等恶意代码的侵袭等，而且安全威胁越来越集中于应用层。严重的攻击威胁可能会对网上银行业务带来以下一些影响：

　　过互联网进行交易，相关信息的保密性、真实性、完整性和不可否认性是关键的因素。在我国尚没有法规来对付这些没有造成危害或危害较轻的网络犯罪的时候，如何确保交易安全，为个人保密，就成为网上银行发展需解决的问题。目前各家商业银行虽然都采取了一定的安全防范措施、制定了相应规定，但是在执行上普遍存在管理不严格的现象，如密码的保管和定期更换、主机房的安全管理、灾难备份、病毒防范等等。

　　网银业务中断。由于黑客对网银系统发起拒绝服务攻击，尤其是比较隐蔽的诸如TCP半连接攻击等，大量消耗WEB服务器资源，导致用户无法访问网站及网银系统。

　　账号、密码以及资金被盗。入侵者可能通过恶意SQL命令的执行，获取数据读取和修改的权限；XSS攻击则将目标指向了Web业务系统所提供服务的客户端以及系统管理员，从而获得管理员权限，控制网银网站，或窃取网银用户账号密码等信息。

　　网站页面被篡改。网银业务赖以运转的网络设备、操作系统、应用软件等都会不可避免的出现一些安全漏洞，攻击者可能利用这些安全漏洞对网银系统发起攻击，篡改网站页面，对商业银行将带来不良的社会影响。

　　解决方案

　　天融信基于多年来银行安全建设经验以及对网银业务的深刻理解，采用天融信TopIDP3000系列高端入侵防御设备，针对商业银行网上银行安全提出了深层次防御方案，对来自互联网的访问数据进行深层次检测与防护。天融信TopIDP3000系列高端入侵防御设备采用先进的多核处理器硬件技术，集成入侵检测与防御、病毒过滤、流量管控和URL过滤等功能，通过新一代并行处理技术，设置检测与阻断策略对流经TopIDP的网银访问流量进行分析过滤，对异常及可疑流量进行积极阻断，从而提高网银系统的整体安全性。

　　该方案在网上银行互联网入口处部署专用的高性能入侵防御设备，采用串接的方式部署于网上银行互联网接入干路中，同互联网防火墙协同，TopIDP入侵防御设备主要负责对4-7层的攻击与威胁行为进行深度检测与防护，保障网银用户合法的应用访问请求，阻断非法的访问请求或恶意攻击行为，如下图所示：

　　图：天融信针对网上银行安全的深层次防御方案

　　例如采用ISS网络动态监控产品，进行系统漏洞扫描和实时入侵检测。在2000年2月Yahoo等大网站遭到黑客入侵破坏时，使用ISS安全产品的网站均幸免于难。

　　方案优势

　　天融信网上银行安全深层次防护方案具有如下一些特点及优势：

　　灵活部署

　　天融信TopIDP支持混合部署模式，即可以采取在线串接部署模式，也可以采用旁路部署模式，充分发挥一机多用的效能，用户可根据实际需要将该TopIDP产品旁路部署于关键网络区域中交换机镜像端口，也可以部署于网络内部服务器前端，保护相应的网络资源。此外，在线串接部署时还支持透明、路由、NAT等模式，客户可根据实际需要进行细粒度配置。

　　高可用性设计

　　天融信TopIDP产品提供软、硬双BYPASS功能，保障链路在各种情况下的通畅。软件BYPASS是在入侵防御引擎关键进程出现异常或需要重新启动的情况下启动；硬件BYPASS是在入侵防御引擎出现硬件故障或掉电的情况下启动，多途径确保链路通讯正常。TopIDP还支持光口bypass功能，而直接物理上导通。此外，在链路高可用性设计方面，天融信TopIDP产品支持主-主、主-备以及负载均衡部署模式，从链路层面提高用户对网银业务系统访问的高可用性。

　　高性能

　　TopIDP采用先进的多核处理器硬件平台+并行处理技术+自主知识产权操作系统TOS（Topsec Operating System），内置处理器动态负载均衡技术。在软件实现方面，TopIDP产品在目前多核处理器硬件平台基础上，将并行处理技术成功融入天融信自主知识产权的安全操作系统TOS中，集成多项发明，形成了先进的多核架构技术体系。此外，TopIDP采用多引擎并行检测机制，内置五大检测引擎，分别是攻击检测引擎、病毒恶意代码检测引擎、应用识别检测引擎、URL过滤引擎、恶意网站过滤引擎，并行检测内外部攻击数据流量，以提高检测的效率。通过公开对比测试结果显示，TopIDP在100%背景流量、策略全开情况下，性能测试结果达到业界水平。

　　强大的规则库

　　天融信TopIDP内置五大检测规则库，包括攻击规则库、病毒恶意代码库、应用识别规则库、URL规则库、恶意网站库等。其中，攻击规则库能够实时检测和阻断包括溢出攻击、RPC攻击、WEBCGI攻击、拒绝服务、木马、蠕虫、系统漏洞等在内的超过2800种网络攻击行为，能实时检测并阻断当前主流应用层攻击行为，包括SQL注入攻击、XSS攻击等黑客攻击行为；病毒与恶意代码规则库与国际国内防病毒厂商卡合作，在TopIDP产品中引入了着名的karpersky safestream网络病毒库，采用基于数据流的检测技术，能够检测包括木马、后门和蠕虫在内的新近流行的超过2万种网络病毒。TopIDP产品采用基于目标主机的流检测引擎，可即时处理IP分片和TCP流重组，有效阻断各种逃逸检测的攻击手段。