咨詢服務(wù)熱線
400-6446-808
解決方案
您的當(dāng)前位置:首頁(yè) > 解決方案
文章導(dǎo)讀：
互聯(lián)網(wǎng)金融業(yè)務(wù)系統(tǒng)上云后的安全是當(dāng)下熱點(diǎn)，本文梳理了等級(jí)保護(hù)云計(jì)算安全和非銀行金融機(jī)構(gòu)安全監(jiān)管這兩方面的合規(guī)性要求，將兩者加以融合、針對(duì)其主要的安全問(wèn)題和需求，提出云端互聯(lián)網(wǎng)金融的安全防護(hù)、安全檢測(cè)和安全監(jiān)測(cè)三大類措施與安全服務(wù)解決方案。
目前，公有云的建設(shè)發(fā)展成為互聯(lián)網(wǎng)時(shí)代的風(fēng)向標(biāo)，如阿里云、亞馬遜等建立的公有云規(guī)模增長(zhǎng)迅速。在移動(dòng)互聯(lián)網(wǎng)發(fā)展推波助瀾之下，依托移動(dòng)互聯(lián)網(wǎng)開展P2P網(wǎng)貸、線上理財(cái)、消費(fèi)金融、三方支付業(yè)務(wù)的企業(yè)為了享受公有云提供的快捷、彈性架構(gòu)，從而紛紛將應(yīng)用系統(tǒng)部署到云上。
首先，合規(guī)要求方面，《信息系統(tǒng)安全等級(jí)保護(hù)基本要求云計(jì)算擴(kuò)展要求》（以下簡(jiǎn)稱“《云等?！?/span>”）定義云計(jì)算服務(wù)帶來(lái)了“云主機(jī)”等虛擬計(jì)算資源，將傳統(tǒng)IT環(huán)境中信息系統(tǒng)運(yùn)營(yíng)、使用單位的單一安全責(zé)任轉(zhuǎn)變?yōu)樵谱鈶艉驮品?wù)商雙方“各自分擔(dān)”的安全責(zé)任。這點(diǎn)明確了企業(yè)作為云租戶，其應(yīng)用系統(tǒng)都需要定級(jí)且符合對(duì)應(yīng)等級(jí)安全控制措施要求。2016年12月銀監(jiān)會(huì)發(fā)布了188號(hào)文，《中國(guó)銀監(jiān)會(huì)辦公廳關(guān)于加強(qiáng)非銀行金融機(jī)構(gòu)信息科技建設(shè)和管理的指導(dǎo)意見(jiàn)》（以下簡(jiǎn)稱“《指導(dǎo)意見(jiàn)》”），對(duì)信托公司和金融資產(chǎn)管理公司、企業(yè)集團(tuán)財(cái)務(wù)公司、金融租賃公司、汽車金融公司、消費(fèi)金融公司、貨幣經(jīng)紀(jì)公司等非銀行金融機(jī)構(gòu)信息科技建設(shè)、信息科技風(fēng)險(xiǎn)防范提出了要求。《指導(dǎo)意見(jiàn)》第五章節(jié)指出“加強(qiáng)網(wǎng)絡(luò)區(qū)域劃分和隔離；通過(guò)部署防病毒、防攻擊、防篡改、防泄密、防抵賴等措施提升系統(tǒng)抵御內(nèi)外部攻擊破壞的能力；”。對(duì)于云上應(yīng)用系統(tǒng)的安全防護(hù)明確提出了安全建設(shè)要求。
其次，參考安全咨詢機(jī)構(gòu)對(duì)于2002年至2017年3月之間公開報(bào)道的敏感信息泄露案例的數(shù)據(jù)分析發(fā)現(xiàn)：
■ 敏感信息泄露呈現(xiàn)上升趨勢(shì)——泄露手段從以黑客入侵等技術(shù)手段為主向技術(shù)手段與收買內(nèi)部員工、內(nèi)部管理不善等非技術(shù)手段結(jié)合并用發(fā)展，特別是對(duì)非技術(shù)手段的運(yùn)用，近幾年呈現(xiàn)出較快速的增長(zhǎng)，企業(yè)對(duì)可能的應(yīng)用系統(tǒng)攻擊行為沒(méi)有安全檢測(cè)防護(hù)措施。
■ 敏感信息泄露涉及行業(yè)廣泛——重點(diǎn)集中在互聯(lián)網(wǎng)、制造業(yè)、政府機(jī)構(gòu)及金融行業(yè)，特別是互聯(lián)網(wǎng)行業(yè)信息泄露事件呈現(xiàn)高速增長(zhǎng)趨勢(shì)，需要引起警惕。
■ 敏感信息泄露的追責(zé)難度大——基于IP的審計(jì)，難以準(zhǔn)確定位責(zé)任人，難以將IP地址與具體人員身份準(zhǔn)確關(guān)聯(lián)，導(dǎo)致發(fā)生安全事故后，追查責(zé)任人成為新的難題。
由此，安全威脅與應(yīng)用安全風(fēng)險(xiǎn)與企業(yè)業(yè)務(wù)經(jīng)營(yíng)如影隨形。應(yīng)用系統(tǒng)部署到云上的企業(yè)需要考慮在公有云上應(yīng)用系統(tǒng)的安全防護(hù)解決思路。
綠盟科技建議從滿足合規(guī)要求作為起點(diǎn)，業(yè)務(wù)在“云上”的企業(yè)都需要符合《云等?！钒踩?，非銀行金融機(jī)構(gòu)接受國(guó)家主管單位合規(guī)監(jiān)管，未持牌開展業(yè)務(wù)或違規(guī)經(jīng)營(yíng)將會(huì)后果嚴(yán)重。同時(shí)，為了達(dá)到業(yè)務(wù)正常開展需要的安全防護(hù)水平，安全服務(wù)也應(yīng)納入，解決應(yīng)用系統(tǒng)安全檢測(cè)和安全監(jiān)測(cè)需要。
1．合規(guī)要求
依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求云計(jì)算擴(kuò)展要求》，明確定義了云租戶側(cè)的等級(jí)保護(hù)對(duì)象也應(yīng)作為單獨(dú)的定級(jí)對(duì)象定級(jí)。云計(jì)算系統(tǒng)的定級(jí)對(duì)象在原有定級(jí)對(duì)象基礎(chǔ)上進(jìn)行了擴(kuò)展，原有定級(jí)對(duì)象主要是信息系統(tǒng)和相關(guān)基礎(chǔ)網(wǎng)絡(luò)，而云計(jì)算將定級(jí)對(duì)象擴(kuò)展為云服務(wù)商的云平臺(tái)和云租戶的應(yīng)用系統(tǒng)。云計(jì)算系統(tǒng)定級(jí)時(shí)，云服務(wù)商的云平臺(tái)和云租戶的應(yīng)用系統(tǒng)應(yīng)分別定級(jí)，云平臺(tái)等級(jí)應(yīng)不低于應(yīng)用系統(tǒng)的安全保護(hù)等級(jí)。這點(diǎn)明確了企業(yè)作為云租戶，其應(yīng)用系統(tǒng)都需要定級(jí)且符合對(duì)應(yīng)等級(jí)安全控制措施要求。
對(duì)照等保二級(jí)要求，應(yīng)至少部署防火墻、堡壘機(jī)達(dá)到控制措施要求；對(duì)照等保三級(jí)要求，應(yīng)至少部署入侵防護(hù)、防火墻、堡壘機(jī)、數(shù)據(jù)庫(kù)審計(jì)達(dá)到控制措施要求。對(duì)于云端租戶的安全需求，客戶可以方便地從云服務(wù)提供商的云市場(chǎng)中進(jìn)行選購(gòu)和安裝。對(duì)有線下服務(wù)需求的企業(yè)，如專家版服務(wù)，可以結(jié)合線上線下服務(wù)的組合。
《指導(dǎo)意見(jiàn)》第五章節(jié)中提出“……加強(qiáng)系統(tǒng)安全漏洞和補(bǔ)丁信息的監(jiān)測(cè)、收集和評(píng)估，確保及時(shí)發(fā)現(xiàn)和處置重大安全隱患?！甭┒垂芾砉ぷ鲬?yīng)該是信息安全工作的重中之重，漏洞生命周期管理不僅僅涉及漏洞自身的發(fā)現(xiàn)、評(píng)估和修復(fù)，同時(shí)還牽涉漏洞情報(bào)信息的獲取，組織漏洞管理基線的建立和應(yīng)急處置工作。改變傳統(tǒng)的以IP信息為視角的資產(chǎn)管理方法，從安全的角度重新審視資產(chǎn)信息，從資產(chǎn)的業(yè)務(wù)功能、服務(wù)對(duì)象、版本信息、安全防范措施等方面建立安全資產(chǎn)信息，從安全的角度管理資產(chǎn)脆弱性。當(dāng)出現(xiàn)安全漏洞時(shí)，不僅需要考慮漏洞的風(fēng)險(xiǎn)等級(jí)，還需要結(jié)合資產(chǎn)安全信息，不同資產(chǎn)相同漏洞區(qū)別對(duì)待，體現(xiàn)業(yè)務(wù)對(duì)漏洞的差異性，真正實(shí)現(xiàn)差異化漏洞管理策略，從而實(shí)現(xiàn)漏洞管理能力的提高。
《指導(dǎo)意見(jiàn)》第五章節(jié)中提出“……開展應(yīng)用系統(tǒng)安全檢測(cè)，對(duì)官方網(wǎng)站等通過(guò)互聯(lián)網(wǎng)提供服務(wù)的系統(tǒng)，在上線及重大投產(chǎn)變更前進(jìn)行滲透測(cè)試，杜絕系統(tǒng)‘帶病’上線。……”應(yīng)用系統(tǒng)在上線后由于存在類似SQL注入、密碼明文傳輸、安全功能缺失等漏洞而遭受攻擊，會(huì)直接影響正常業(yè)務(wù)運(yùn)行，甚至造成經(jīng)濟(jì)和名譽(yù)的損失。因此，需要在系統(tǒng)上線前對(duì)系統(tǒng)安全狀況進(jìn)行檢驗(yàn)，從信息安全的角度對(duì)應(yīng)用系統(tǒng)、集成環(huán)境等內(nèi)容的安全狀況進(jìn)行評(píng)估，對(duì)發(fā)現(xiàn)的問(wèn)題進(jìn)行妥善處理，避免將影響系統(tǒng)安全的問(wèn)題遺留到系統(tǒng)上線后，成為系統(tǒng)安全的隱患。
為了滿足《云等?！泛偷缺Ｈ?jí)要求，部署在公有云上的企業(yè)應(yīng)至少選擇防火墻云服務(wù)（支持入侵防御）、網(wǎng)站安全防護(hù)服務(wù)(vWAF)、堡壘機(jī)云服務(wù)和數(shù)據(jù)庫(kù)監(jiān)控與審計(jì)服務(wù)。
非銀行金融機(jī)構(gòu)需要同時(shí)滿足《指導(dǎo)意見(jiàn)》要求，其上云應(yīng)用系統(tǒng)應(yīng)選擇安全檢測(cè)服務(wù)和安全監(jiān)測(cè)服務(wù)。
2．安全保障需求
先回顧近期某互聯(lián)網(wǎng)公司發(fā)生的信息安全案例，公司內(nèi)部員工對(duì)公司200余臺(tái)服務(wù)器植入木馬，該木馬具備遠(yuǎn)程控制和對(duì)外DDoS攻擊功能。這意味著外部人員可遠(yuǎn)程控制這些服務(wù)器做流量攻擊，進(jìn)而導(dǎo)致被攻擊的服務(wù)器癱瘓。目前，此事已在法院宣判。至案發(fā)時(shí)，內(nèi)部員工獲利2萬(wàn)余元，但對(duì)于企業(yè)的經(jīng)濟(jì)和名譽(yù)損失就相當(dāng)巨大。不少互聯(lián)網(wǎng)企業(yè)都發(fā)生過(guò)類似案件，但沒(méi)有安全檢測(cè)和安全監(jiān)測(cè)手段，無(wú)法及時(shí)發(fā)現(xiàn)漏洞和安全問(wèn)題。有的企業(yè)雖能鎖定具體賬戶,但無(wú)法鎖定到具體個(gè)人,加之留存的證據(jù)不多,事情就不了了之。
信息安全CIA三要素（機(jī)密、完整、可用）應(yīng)當(dāng)在定義安全保障需求時(shí)統(tǒng)一考慮，對(duì)開展理財(cái)、支付、保險(xiǎn)等金融業(yè)務(wù)的企業(yè)更應(yīng)關(guān)注金融資料的保護(hù)，如銀行賬戶信息、扣款賬號(hào)、保險(xiǎn)數(shù)據(jù)，避免信息被篡改或外泄。
因而，為了達(dá)到業(yè)務(wù)正常開展需要的安全防護(hù)水平，需要定期開展安全檢測(cè)和持續(xù)有效安全監(jiān)測(cè)服務(wù)，云上應(yīng)用系統(tǒng)更應(yīng)被納入，解決應(yīng)用系統(tǒng)安全需要。
3．云上安全防護(hù)措施
防火墻云服務(wù)
以虛擬化形態(tài)部署防火墻，適用于多種虛擬化平臺(tái)，使管理員可以快速高效地調(diào)配和擴(kuò)展防火墻。企業(yè)所要選擇的服務(wù)需要支持應(yīng)用識(shí)別、入侵防御、內(nèi)容過(guò)濾、URL過(guò)濾、VPN等，且這些增值功能授權(quán)費(fèi)用應(yīng)該一并考慮，如IPSEC VPN 、SSL VPN的授權(quán)并發(fā)連接數(shù)量是否滿足企業(yè)日常需求。包含必要增值功能的防火墻才是有效的安全服務(wù)。
網(wǎng)站安全防護(hù)服務(wù)(vWAF)
以虛擬化Web應(yīng)用防火墻(Virtual Web Application Firewall, 簡(jiǎn)稱 vWAF)為核心的安全服務(wù)，企業(yè)客戶可以在公有云等環(huán)境中快速部署上線，從而能全面抵御OWASP Top 10等各類Web安全威脅免遭當(dāng)前和未來(lái)的安全威脅。企業(yè)所要選擇的服務(wù)必須同時(shí)支持HTTP協(xié)議和HTTPS協(xié)議，且可以支持vWAF托管服務(wù)的服務(wù)提供商更佳。
云清洗服務(wù)
基于DNS智能牽引技術(shù)，主要解決10G及以上大流量DDoS攻擊防護(hù)，同時(shí)可防御電信、聯(lián)通和BGP三條鏈路大流量攻擊，而運(yùn)營(yíng)商提供的云清洗服務(wù)僅能清洗本網(wǎng)內(nèi)的攻擊流量。由于DDoS攻擊可能在相同行業(yè)內(nèi)同時(shí)發(fā)生，存在帶寬和防護(hù)資源沖突情況，因而企業(yè)選擇服務(wù)時(shí)需留意服務(wù)提供商的清洗能力是否充足。同時(shí)，建議選擇提供云清洗配套線下本地防護(hù)混合的服務(wù)，以獲得更完善的防護(hù)保障。
堡壘機(jī)云服務(wù)
以虛擬化形態(tài)部署堡壘機(jī)，提供賬號(hào)管理和資產(chǎn)管理，實(shí)現(xiàn)運(yùn)維審計(jì)?；谖ㄒ簧矸輼?biāo)識(shí)，通過(guò)對(duì)用戶從登錄到退出的全程操作行為進(jìn)行審計(jì)，監(jiān)控用戶對(duì)目標(biāo)設(shè)備的所有敏感操作，聚焦關(guān)鍵事件，實(shí)現(xiàn)對(duì)安全事件的實(shí)時(shí)發(fā)現(xiàn)與預(yù)警。企業(yè)所要選擇的服務(wù)需滿足等保標(biāo)準(zhǔn)對(duì)用戶身份鑒別、訪問(wèn)控制、安全審計(jì)等條款的要求，且支持準(zhǔn)確定位用戶身份，追溯安全事件責(zé)任，滿足合規(guī)要求且日常使用方便的服務(wù)才是正確選擇。
安全評(píng)估服務(wù)
對(duì)各種Web應(yīng)用系統(tǒng)漏洞和操作系統(tǒng)漏洞的安全檢測(cè)，應(yīng)按需定制檢測(cè)掃描頻率，用于網(wǎng)站安全評(píng)估的云服務(wù)。企業(yè)選擇服務(wù)時(shí)需了解服務(wù)包含的漏洞庫(kù)種類、是否維護(hù)更新，且對(duì)于識(shí)別的漏洞是否提供漏洞驗(yàn)證服務(wù)，降低誤報(bào)概率。
安全監(jiān)測(cè)服務(wù)
服務(wù)應(yīng)符合網(wǎng)信辦、公安部等國(guó)家主管部門關(guān)于網(wǎng)站安全建設(shè)的合規(guī)要求，為客戶提供網(wǎng)站漏洞掃描及漏洞驗(yàn)證、網(wǎng)頁(yè)掛馬監(jiān)測(cè)、釣魚網(wǎng)站監(jiān)測(cè)、網(wǎng)頁(yè)篡改監(jiān)測(cè)、網(wǎng)頁(yè)敏感內(nèi)容監(jiān)測(cè)以及網(wǎng)站可用性監(jiān)測(cè)服務(wù)。通常本服務(wù)包含安全檢測(cè)服務(wù)內(nèi)容。企業(yè)應(yīng)留意監(jiān)測(cè)服務(wù)是否在重要時(shí)期支持發(fā)送平安短信以及安全日?qǐng)?bào)，是否能夠協(xié)助關(guān)停發(fā)現(xiàn)的釣魚網(wǎng)站，這點(diǎn)值得關(guān)注。
數(shù)據(jù)庫(kù)監(jiān)控與審計(jì)服務(wù)
通過(guò)對(duì)數(shù)據(jù)庫(kù)訪問(wèn)行為的精確解析，完成性能監(jiān)控、事中審計(jì)、事后追溯、風(fēng)險(xiǎn)告警等一系列動(dòng)作，全面洞察數(shù)據(jù)庫(kù)安全狀況，并提供事后追溯依據(jù)。企業(yè)所要選擇的服務(wù)是否全面考慮數(shù)據(jù)庫(kù)存儲(chǔ)、使用管控，監(jiān)控告警記錄本地是否加密防護(hù)，這一點(diǎn)很重要。
4．云上服務(wù)優(yōu)勢(shì)
便捷快速
依托公有云提供的快速部署、實(shí)時(shí)開通的能力，客戶可以隨時(shí)在公有云上按需選購(gòu)，同時(shí)也避免了硬件設(shè)備的生產(chǎn)、貨運(yùn)和上架環(huán)節(jié)，最短時(shí)間內(nèi)就能獲取到對(duì)應(yīng)的安全能力。
惡意行為發(fā)現(xiàn)
基于實(shí)時(shí)的信譽(yù)機(jī)制，結(jié)合企業(yè)級(jí)和全球信譽(yù)庫(kù)，可有效檢測(cè)惡意URI、僵尸網(wǎng)絡(luò)，快速識(shí)別、定位出惡意的攻擊行為或惡意資源。
通過(guò)云安全服務(wù)提供應(yīng)急響應(yīng)
憑借云安全服務(wù)的支撐，可以實(shí)現(xiàn)與云安全中心對(duì)接和同步，由安全專家團(tuán)隊(duì)協(xié)助用戶對(duì)網(wǎng)站安全隱患和遭受的攻擊威脅進(jìn)行7*24小時(shí)全天候監(jiān)控，并定期優(yōu)化安全策略，提供安全日志分析報(bào)告。
深度對(duì)接公有云特性
通過(guò)與公有云的API進(jìn)行對(duì)接，輔助堡壘機(jī)云服務(wù)實(shí)現(xiàn)托管資產(chǎn)信息自動(dòng)錄入，減輕運(yùn)維人員工作難度，提高效率。
SaaS安全管家
在獲得用戶授權(quán)后，云上服務(wù)自動(dòng)把運(yùn)營(yíng)數(shù)據(jù)上傳給云中心，用戶在手機(jī)上實(shí)時(shí)查看運(yùn)行狀態(tài)以及異常告警，并且一鍵尋求安全專家與技術(shù)支持團(tuán)隊(duì)，第一時(shí)間解決安全問(wèn)題。
文章摘自綠盟科技
