網(wǎng)上銀行安全架構(gòu)設(shè)計(jì)淺析論文
網(wǎng)上銀行（Online Banking），也稱為互聯(lián)網(wǎng)銀行（Internet Banking）或網(wǎng)絡(luò)銀行、在線銀行。美聯(lián)儲(chǔ)對(duì)網(wǎng)上銀行的定義是，利用互聯(lián)網(wǎng)為其產(chǎn)品、服務(wù)和信息的業(yè)務(wù)渠道，向其零售和公司客戶提供服務(wù)的銀行。網(wǎng)上銀行的出現(xiàn)給銀行業(yè)帶來(lái)一種地域無(wú)限、時(shí)間無(wú)限的經(jīng)營(yíng)方式，從而改變了銀行業(yè)的競(jìng)爭(zhēng)格局。這種改變使網(wǎng)上銀行成為網(wǎng)絡(luò)經(jīng)濟(jì)時(shí)代提供金融服務(wù)的一種重要手段，引發(fā)了一場(chǎng)銀行業(yè)的革命。
但是，同其他任何行業(yè)一樣，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的陰霾如同網(wǎng)絡(luò)技術(shù)的孿生子，伴隨著網(wǎng)絡(luò)技術(shù)在金融行業(yè)的全面應(yīng)用而全面籠罩在金融行業(yè)各個(gè)業(yè)務(wù)角落。尤其是網(wǎng)上銀行系統(tǒng)，由于其基礎(chǔ)環(huán)境的開(kāi)放性和不確定性，使其和傳統(tǒng)銀行業(yè)務(wù)相比會(huì)面臨更大的技術(shù)風(fēng)險(xiǎn)，因此，如何保障網(wǎng)上銀行交易系統(tǒng)的安全，關(guān)系到整個(gè)網(wǎng)上銀行的健康發(fā)展，安全是網(wǎng)上銀行建設(shè)中最重要的問(wèn)題，也是對(duì)客戶資金安全的根本保障。
信息化為金融行業(yè)的業(yè)務(wù)發(fā)展提供了強(qiáng)有力的后臺(tái)支撐。然而，如果信息缺少了安全的保障，那么信息化對(duì)于企業(yè)來(lái)說(shuō)不是競(jìng)爭(zhēng)力的提高而是一場(chǎng)災(zāi)難，可靠的計(jì)算機(jī)安全防御系統(tǒng)是金融行業(yè)保障網(wǎng)上銀行安全和發(fā)展的前提條件。
一、網(wǎng)上銀行應(yīng)用架構(gòu)及安全風(fēng)險(xiǎn)分析
1、網(wǎng)上銀行業(yè)務(wù)整體架構(gòu)
網(wǎng)上銀行客戶通過(guò)互聯(lián)網(wǎng)登錄到銀行的門戶Web服務(wù)器，通過(guò)CFCA認(rèn)證后連接到該行網(wǎng)上銀行的Web服務(wù)器，同時(shí)進(jìn)行RA的身份認(rèn)證。隨后，客戶的請(qǐng)求數(shù)據(jù)通過(guò)加密后傳達(dá)至網(wǎng)上銀行應(yīng)用（APP）服務(wù)器并與銀行的核心業(yè)務(wù)系統(tǒng)主機(jī)進(jìn)行聯(lián)機(jī)，享受全方位的網(wǎng)上金融服務(wù)。另一方面，銀行網(wǎng)點(diǎn)通過(guò)登錄網(wǎng)銀管理服務(wù)器進(jìn)行客戶證書簽發(fā)、客戶信息管理等相關(guān)操作，整體應(yīng)用架構(gòu)大致可劃分為用戶接入層、應(yīng)用前置層和系統(tǒng)數(shù)據(jù)層（見(jiàn)圖1）。
2、網(wǎng)上銀行安全需求分析
（1）用戶接入層。該層主要完成網(wǎng)上銀行客戶接入和訪問(wèn)需求，主要包括企業(yè)Web服務(wù)器和網(wǎng)銀Web服務(wù)器，由于網(wǎng)銀Web服務(wù)器直接暴露于互聯(lián)網(wǎng)上，經(jīng)常成為互聯(lián)網(wǎng)基于Web攻擊的首要對(duì)象，因此，Web服務(wù)器前不僅要通過(guò)防火墻實(shí)現(xiàn)基于網(wǎng)絡(luò)層或傳輸層的訪問(wèn)控制，通過(guò)部署IPS實(shí)現(xiàn)深度安全檢測(cè)，還需要通過(guò)SSL安全網(wǎng)關(guān)實(shí)現(xiàn)數(shù)據(jù)加密的接入。此外，還需額外部署流量清洗設(shè)備實(shí)現(xiàn)DDOS攻擊防御，以期打造網(wǎng)銀第一道堅(jiān)固防線。
（2）應(yīng)用前置層。該層主要完成網(wǎng)銀系統(tǒng)的相關(guān)業(yè)務(wù)操作，主要包括網(wǎng)銀APP服務(wù)器、網(wǎng)銀前置、網(wǎng)銀管理服務(wù)器等。網(wǎng)銀APP服務(wù)器提供網(wǎng)銀系統(tǒng)的業(yè)務(wù)邏輯，包括會(huì)話管理、提交后臺(tái)處理以及向Web服務(wù)器提交應(yīng)答頁(yè)面等；網(wǎng)銀前置（或ESB系統(tǒng)）負(fù)責(zé)將APP服務(wù)器提交的業(yè)務(wù)請(qǐng)求經(jīng)過(guò)協(xié)議處理、數(shù)據(jù)格式轉(zhuǎn)換或加密后轉(zhuǎn)交到綜合業(yè)務(wù)系統(tǒng)的主機(jī)進(jìn)行處理；網(wǎng)銀管理服務(wù)器實(shí)現(xiàn)網(wǎng)銀用戶管理功能（如開(kāi)戶、注銷、證書下載、密碼修改等）。對(duì)其要求主要是保障服務(wù)高可用性與網(wǎng)絡(luò)訪問(wèn)安全性。因而有針對(duì)的部署服務(wù)器負(fù)載分擔(dān)設(shè)備可實(shí)現(xiàn)業(yè)務(wù)流量在多臺(tái)服務(wù)器間的均勻分配，從而提升業(yè)務(wù)的`響應(yīng)速度和服務(wù)高可用性。在訪問(wèn)安全方面，可以通過(guò)異構(gòu)的防火墻系統(tǒng)進(jìn)行訪問(wèn)權(quán)限控制，通過(guò)漏洞掃描設(shè)備實(shí)現(xiàn)整體的主機(jī)安全性能加固。
（3）系統(tǒng)數(shù)據(jù)層。該層主要完成網(wǎng)銀和綜合業(yè)務(wù)系統(tǒng)的數(shù)據(jù)交互，主要包括網(wǎng)銀數(shù)據(jù)庫(kù)（DB）服務(wù)器和綜合業(yè)務(wù)系統(tǒng)主機(jī)。網(wǎng)銀DB服務(wù)器的主要作用是保存、共享各種及時(shí)業(yè)務(wù)數(shù)據(jù)（如客戶支付金額）和靜態(tài)數(shù)據(jù)（如利率表），支持業(yè)務(wù)信息系統(tǒng)的運(yùn)作，對(duì)登錄客戶進(jìn)行合法性檢查。
綜合業(yè)務(wù)系統(tǒng)主要完成網(wǎng)銀的賬務(wù)處理、客戶數(shù)據(jù)及密碼的存放等。這個(gè)區(qū)域的顯著特點(diǎn)是要保障數(shù)據(jù)的高速交互能力和高可用性，應(yīng)該相對(duì)弱化安全設(shè)備的部署而加強(qiáng)服務(wù)器以及磁盤陣列的冗余操作。主要通過(guò)異構(gòu)防火墻設(shè)備進(jìn)行區(qū)域間的訪問(wèn)策略控制。
二、網(wǎng)上銀行安全架構(gòu)及典型拓?fù)浞治?/strong>
1、網(wǎng)上銀行安全整體架構(gòu)
前文從網(wǎng)銀業(yè)務(wù)的角度分析了網(wǎng)銀系統(tǒng)中各類服務(wù)器的網(wǎng)絡(luò)安全需求，將整體的網(wǎng)銀業(yè)務(wù)劃分為三個(gè)安全需求層次，各安全層以防火墻作為區(qū)域安全邊界。為提高網(wǎng)銀的整體安全性，各區(qū)域邊界防火墻最好采用不同廠家的產(chǎn)品，由此在整體布局上形成了多層異構(gòu)防火墻的安全架構(gòu)（見(jiàn)圖2）。
網(wǎng)上銀行用戶數(shù)據(jù)通過(guò)SSL加密再經(jīng)過(guò)流量清洗和IDS/IPS檢測(cè)，到達(dá)網(wǎng)銀Web服務(wù)器，Web服務(wù)器提供網(wǎng)銀的登錄界面和操作環(huán)境，網(wǎng)銀APP服務(wù)器發(fā)起業(yè)務(wù)邏輯，根據(jù)用戶交易請(qǐng)求獲取相關(guān)數(shù)據(jù)，完成網(wǎng)銀交易。合理的安全架構(gòu)設(shè)計(jì)使得數(shù)據(jù)流向清晰可控，各類安全技術(shù)手段有機(jī)結(jié)合，有效地保障了網(wǎng)上銀行的信息安全。
用戶接入?yún)^(qū)
安全區(qū)集中管理系統(tǒng)數(shù)據(jù)核心審計(jì)工具日志分析內(nèi)部防火墻網(wǎng)銀APP、驗(yàn)簽、網(wǎng)銀應(yīng)用前置漏洞掃描工具應(yīng)用負(fù)載分擔(dān)外部防火墻數(shù)據(jù)中心內(nèi)網(wǎng)網(wǎng)銀Web服務(wù)器SSL卸載非軍事區(qū)SSL加密網(wǎng)上銀行用戶流量清洗鏈路負(fù)載分擔(dān)CFCA互聯(lián)網(wǎng)2、網(wǎng)上銀行分區(qū)的典型拓?fù)涓魃虡I(yè)銀行由于自身業(yè)務(wù)系統(tǒng)的差異，網(wǎng)銀系統(tǒng)安全架構(gòu)會(huì)有不同的設(shè)計(jì)，但基本的技術(shù)構(gòu)成類似，各部分的功能也相似。圖3是較為典型的商業(yè)銀行網(wǎng)銀分區(qū)拓?fù)湓O(shè)計(jì)。
（1）系統(tǒng)高可用性設(shè)計(jì)。網(wǎng)上銀行是一個(gè)實(shí)時(shí)在線的系統(tǒng)，因此要著重考慮系統(tǒng)的高可用性設(shè)計(jì)。
負(fù)載均衡設(shè)備、防火墻等網(wǎng)絡(luò)設(shè)備采用雙機(jī)設(shè)計(jì)，并在對(duì)等設(shè)備之間啟用熱備份協(xié)議，以實(shí)現(xiàn)設(shè)備之間的熱備切換。設(shè)備之間均采用雙路由鏈接，以保障設(shè)備之間的路由互相備份，實(shí)現(xiàn)高可用設(shè)計(jì)。
SSL安全網(wǎng)關(guān)、IPS入侵防御等網(wǎng)絡(luò)安全設(shè)備采用雙機(jī)雙路設(shè)計(jì)，由負(fù)載均衡設(shè)備進(jìn)行Web服務(wù)器探測(cè)，檢測(cè)到故障時(shí)切換到另外一路。
網(wǎng)銀Web服務(wù)器采用雙機(jī)設(shè)計(jì)，對(duì)等雙機(jī)之間采用專用HA，主機(jī)和網(wǎng)絡(luò)設(shè)備鏈接均采用雙路由鏈路互相備份。同時(shí)，配置鏈路負(fù)載均衡設(shè)備可以實(shí)現(xiàn)兩個(gè)鏈路自動(dòng)負(fù)載均衡和動(dòng)態(tài)DNS解析。由運(yùn)營(yíng)商1的互聯(lián)網(wǎng)用戶發(fā)起的訪問(wèn)自動(dòng)訪問(wèn)銀行端運(yùn)營(yíng)商1的接口IP地址，并自動(dòng)從運(yùn)營(yíng)商1的線路返回。當(dāng)其中一條互聯(lián)網(wǎng)線路中斷后，所有用戶訪問(wèn)的流量和返回的流量均走一條鏈路。
（2）系統(tǒng)安全性設(shè)計(jì)。外部互聯(lián)網(wǎng)和DMZ區(qū)接入互聯(lián)網(wǎng)直接面對(duì)各種攻擊，對(duì)系統(tǒng)安全性提出了很高的要求，因此進(jìn)行整體安全架構(gòu)設(shè)計(jì)的時(shí)候，必須充分考慮系統(tǒng)對(duì)安全方面的特殊要求。一般來(lái)說(shuō)，在網(wǎng)絡(luò)安全方面有如下要求：①網(wǎng)銀Web服務(wù)器和外部互聯(lián)網(wǎng)間用防火墻進(jìn)行隔離，網(wǎng)銀Web只能訪問(wèn)位于DMZ停火區(qū)的服務(wù)，并在該防火墻上只接受443端口的HTTPS訪問(wèn)。前置系統(tǒng)主機(jī)只接受網(wǎng)銀Web的特殊端口調(diào)用，防火墻全部拒絕其他訪問(wèn)。②所有的HTTPS訪問(wèn)由SSL安全網(wǎng)關(guān)認(rèn)證客戶身份，并建立SSL安全通道，實(shí)現(xiàn)通信安全。SSL安全網(wǎng)關(guān)雙臂鏈接，確保外部密文、內(nèi)部才有明文。③SSL安全網(wǎng)關(guān)將解密的請(qǐng)求提交給IPS入侵防御服務(wù)器，檢測(cè)各類攻擊，阻斷惡意通信。IPS入侵防御采用雙臂鏈接方式。④內(nèi)網(wǎng)防火墻與外網(wǎng)防火墻實(shí)現(xiàn)異構(gòu)。
【網(wǎng)上銀行安全架構(gòu)設(shè)計(jì)淺析論文】相關(guān)文章：
淺析基于云存儲(chǔ)的數(shù)字校園存儲(chǔ)架構(gòu)論文05-28
高清播出系統(tǒng)網(wǎng)絡(luò)安全架構(gòu)設(shè)計(jì)研究論文10-22
淺析軟件開(kāi)發(fā)中的三層架構(gòu)技術(shù)論文05-21
庫(kù)存管理Struts架構(gòu)系統(tǒng)設(shè)計(jì)思考論文10-23
云計(jì)算框架下的網(wǎng)站群架構(gòu)及安全性設(shè)計(jì)探索論文11-12
淺析辦公空間設(shè)計(jì)趨勢(shì)論文01-06