網(wǎng)上銀行安全架構(gòu)設(shè)計淺析論文

　　網(wǎng)上銀行（Online Banking），也稱為互聯(lián)網(wǎng)銀行（Internet Banking）或網(wǎng)絡(luò)銀行、在線銀行。美聯(lián)儲對網(wǎng)上銀行的定義是，利用互聯(lián)網(wǎng)為其產(chǎn)品、服務(wù)和信息的業(yè)務(wù)渠道，向其零售和公司客戶提供服務(wù)的銀行。網(wǎng)上銀行的出現(xiàn)給銀行業(yè)帶來一種地域無限、時間無限的經(jīng)營方式，從而改變了銀行業(yè)的競爭格局。這種改變使網(wǎng)上銀行成為網(wǎng)絡(luò)經(jīng)濟時代提供金融服務(wù)的一種重要手段，引發(fā)了一場銀行業(yè)的革命。

　　但是，同其他任何行業(yè)一樣，網(wǎng)絡(luò)安全風險的陰霾如同網(wǎng)絡(luò)技術(shù)的孿生子，伴隨著網(wǎng)絡(luò)技術(shù)在金融行業(yè)的全面應(yīng)用而全面籠罩在金融行業(yè)各個業(yè)務(wù)角落。尤其是網(wǎng)上銀行系統(tǒng)，由于其基礎(chǔ)環(huán)境的開放性和不確定性，使其和傳統(tǒng)銀行業(yè)務(wù)相比會面臨更大的技術(shù)風險，因此，如何保障網(wǎng)上銀行交易系統(tǒng)的安全，關(guān)系到整個網(wǎng)上銀行的健康發(fā)展，安全是網(wǎng)上銀行建設(shè)中最重要的問題，也是對客戶資金安全的根本保障。

　　信息化為金融行業(yè)的業(yè)務(wù)發(fā)展提供了強有力的后臺支撐。然而，如果信息缺少了安全的保障，那么信息化對于企業(yè)來說不是競爭力的提高而是一場災(zāi)難，可靠的計算機安全防御系統(tǒng)是金融行業(yè)保障網(wǎng)上銀行安全和發(fā)展的前提條件。

　　一、網(wǎng)上銀行應(yīng)用架構(gòu)及安全風險分析

　　1、網(wǎng)上銀行業(yè)務(wù)整體架構(gòu)

　　網(wǎng)上銀行客戶通過互聯(lián)網(wǎng)登錄到銀行的門戶Web服務(wù)器，通過CFCA認證后連接到該行網(wǎng)上銀行的Web服務(wù)器，同時進行RA的身份認證。隨后，客戶的請求數(shù)據(jù)通過加密后傳達至網(wǎng)上銀行應(yīng)用（APP）服務(wù)器并與銀行的核心業(yè)務(wù)系統(tǒng)主機進行聯(lián)機，享受全方位的網(wǎng)上金融服務(wù)。另一方面，銀行網(wǎng)點通過登錄網(wǎng)銀管理服務(wù)器進行客戶證書簽發(fā)、客戶信息管理等相關(guān)操作，整體應(yīng)用架構(gòu)大致可劃分為用戶接入層、應(yīng)用前置層和系統(tǒng)數(shù)據(jù)層（見圖1）。

　　2、網(wǎng)上銀行安全需求分析

　�。�1）用戶接入層。該層主要完成網(wǎng)上銀行客戶接入和訪問需求，主要包括企業(yè)Web服務(wù)器和網(wǎng)銀Web服務(wù)器，由于網(wǎng)銀Web服務(wù)器直接暴露于互聯(lián)網(wǎng)上，經(jīng)常成為互聯(lián)網(wǎng)基于Web攻擊的首要對象，因此，Web服務(wù)器前不僅要通過防火墻實現(xiàn)基于網(wǎng)絡(luò)層或傳輸層的訪問控制，通過部署IPS實現(xiàn)深度安全檢測，還需要通過SSL安全網(wǎng)關(guān)實現(xiàn)數(shù)據(jù)加密的接入。此外，還需額外部署流量清洗設(shè)備實現(xiàn)DDOS攻擊防御，以期打造網(wǎng)銀第一道堅固防線。

　�。�2）應(yīng)用前置層。該層主要完成網(wǎng)銀系統(tǒng)的相關(guān)業(yè)務(wù)操作，主要包括網(wǎng)銀APP服務(wù)器、網(wǎng)銀前置、網(wǎng)銀管理服務(wù)器等。網(wǎng)銀APP服務(wù)器提供網(wǎng)銀系統(tǒng)的業(yè)務(wù)邏輯，包括會話管理、提交后臺處理以及向Web服務(wù)器提交應(yīng)答頁面等；網(wǎng)銀前置（或ESB系統(tǒng)）負責將APP服務(wù)器提交的業(yè)務(wù)請求經(jīng)過協(xié)議處理、數(shù)據(jù)格式轉(zhuǎn)換或加密后轉(zhuǎn)交到綜合業(yè)務(wù)系統(tǒng)的主機進行處理；網(wǎng)銀管理服務(wù)器實現(xiàn)網(wǎng)銀用戶管理功能（如開戶、注銷、證書下載、密碼修改等）。對其要求主要是保障服務(wù)高可用性與網(wǎng)絡(luò)訪問安全性。因而有針對的部署服務(wù)器負載分擔設(shè)備可實現(xiàn)業(yè)務(wù)流量在多臺服務(wù)器間的均勻分配，從而提升業(yè)務(wù)的`響應(yīng)速度和服務(wù)高可用性。在訪問安全方面，可以通過異構(gòu)的防火墻系統(tǒng)進行訪問權(quán)限控制，通過漏洞掃描設(shè)備實現(xiàn)整體的主機安全性能加固。

　　（3）系統(tǒng)數(shù)據(jù)層。該層主要完成網(wǎng)銀和綜合業(yè)務(wù)系統(tǒng)的數(shù)據(jù)交互，主要包括網(wǎng)銀數(shù)據(jù)庫（DB）服務(wù)器和綜合業(yè)務(wù)系統(tǒng)主機。網(wǎng)銀DB服務(wù)器的主要作用是保存、共享各種及時業(yè)務(wù)數(shù)據(jù)（如客戶支付金額）和靜態(tài)數(shù)據(jù)（如利率表），支持業(yè)務(wù)信息系統(tǒng)的運作，對登錄客戶進行合法性檢查。

　　綜合業(yè)務(wù)系統(tǒng)主要完成網(wǎng)銀的賬務(wù)處理、客戶數(shù)據(jù)及密碼的存放等。這個區(qū)域的顯著特點是要保障數(shù)據(jù)的高速交互能力和高可用性，應(yīng)該相對弱化安全設(shè)備的部署而加強服務(wù)器以及磁盤陣列的冗余操作。主要通過異構(gòu)防火墻設(shè)備進行區(qū)域間的訪問策略控制。

　　二、網(wǎng)上銀行安全架構(gòu)及典型拓撲分析

　　1、網(wǎng)上銀行安全整體架構(gòu)

　　前文從網(wǎng)銀業(yè)務(wù)的角度分析了網(wǎng)銀系統(tǒng)中各類服務(wù)器的網(wǎng)絡(luò)安全需求，將整體的網(wǎng)銀業(yè)務(wù)劃分為三個安全需求層次，各安全層以防火墻作為區(qū)域安全邊界。為提高網(wǎng)銀的整體安全性，各區(qū)域邊界防火墻最好采用不同廠家的產(chǎn)品，由此在整體布局上形成了多層異構(gòu)防火墻的安全架構(gòu)（見圖2）。

　　網(wǎng)上銀行用戶數(shù)據(jù)通過SSL加密再經(jīng)過流量清洗和IDS/IPS檢測，到達網(wǎng)銀Web服務(wù)器，Web服務(wù)器提供網(wǎng)銀的登錄界面和操作環(huán)境，網(wǎng)銀APP服務(wù)器發(fā)起業(yè)務(wù)邏輯，根據(jù)用戶交易請求獲取相關(guān)數(shù)據(jù)，完成網(wǎng)銀交易。合理的安全架構(gòu)設(shè)計使得數(shù)據(jù)流向清晰可控，各類安全技術(shù)手段有機結(jié)合，有效地保障了網(wǎng)上銀行的信息安全。

　　用戶接入?yún)^(qū)

　　安全區(qū)集中管理系統(tǒng)數(shù)據(jù)核心審計工具日志分析內(nèi)部防火墻網(wǎng)銀APP、驗簽、網(wǎng)銀應(yīng)用前置漏洞掃描工具應(yīng)用負載分擔外部防火墻數(shù)據(jù)中心內(nèi)網(wǎng)網(wǎng)銀Web服務(wù)器SSL卸載非軍事區(qū)SSL加密網(wǎng)上銀行用戶流量清洗鏈路負載分擔CFCA互聯(lián)網(wǎng)2、網(wǎng)上銀行分區(qū)的典型拓撲各商業(yè)銀行由于自身業(yè)務(wù)系統(tǒng)的差異，網(wǎng)銀系統(tǒng)安全架構(gòu)會有不同的設(shè)計，但基本的技術(shù)構(gòu)成類似，各部分的功能也相似。圖3是較為典型的商業(yè)銀行網(wǎng)銀分區(qū)拓撲設(shè)計。

　�。�1）系統(tǒng)高可用性設(shè)計。網(wǎng)上銀行是一個實時在線的系統(tǒng)，因此要著重考慮系統(tǒng)的高可用性設(shè)計。

　　負載均衡設(shè)備、防火墻等網(wǎng)絡(luò)設(shè)備采用雙機設(shè)計，并在對等設(shè)備之間啟用熱備份協(xié)議，以實現(xiàn)設(shè)備之間的熱備切換。設(shè)備之間均采用雙路由鏈接，以保障設(shè)備之間的路由互相備份，實現(xiàn)高可用設(shè)計。

　　SSL安全網(wǎng)關(guān)、IPS入侵防御等網(wǎng)絡(luò)安全設(shè)備采用雙機雙路設(shè)計，由負載均衡設(shè)備進行Web服務(wù)器探測，檢測到故障時切換到另外一路。

　　網(wǎng)銀Web服務(wù)器采用雙機設(shè)計，對等雙機之間采用專用HA，主機和網(wǎng)絡(luò)設(shè)備鏈接均采用雙路由鏈路互相備份。同時，配置鏈路負載均衡設(shè)備可以實現(xiàn)兩個鏈路自動負載均衡和動態(tài)DNS解析。由運營商1的互聯(lián)網(wǎng)用戶發(fā)起的訪問自動訪問銀行端運營商1的接口IP地址，并自動從運營商1的線路返回。當其中一條互聯(lián)網(wǎng)線路中斷后，所有用戶訪問的流量和返回的流量均走一條鏈路。

　�。�2）系統(tǒng)安全性設(shè)計。外部互聯(lián)網(wǎng)和DMZ區(qū)接入互聯(lián)網(wǎng)直接面對各種攻擊，對系統(tǒng)安全性提出了很高的要求，因此進行整體安全架構(gòu)設(shè)計的時候，必須充分考慮系統(tǒng)對安全方面的特殊要求。一般來說，在網(wǎng)絡(luò)安全方面有如下要求：①網(wǎng)銀Web服務(wù)器和外部互聯(lián)網(wǎng)間用防火墻進行隔離，網(wǎng)銀Web只能訪問位于DMZ�；饏^(qū)的服務(wù)，并在該防火墻上只接受443端口的HTTPS訪問。前置系統(tǒng)主機只接受網(wǎng)銀Web的特殊端口調(diào)用，防火墻全部拒絕其他訪問。②所有的HTTPS訪問由SSL安全網(wǎng)關(guān)認證客戶身份，并建立SSL安全通道，實現(xiàn)通信安全。SSL安全網(wǎng)關(guān)雙臂鏈接，確保外部密文、內(nèi)部才有明文。③SSL安全網(wǎng)關(guān)將解密的請求提交給IPS入侵防御服務(wù)器，檢測各類攻擊，阻斷惡意通信。IPS入侵防御采用雙臂鏈接方式。④內(nèi)網(wǎng)防火墻與外網(wǎng)防火墻實現(xiàn)異構(gòu)。

【網(wǎng)上銀行安全架構(gòu)設(shè)計淺析論文】相關(guān)文章：

淺析基于云存儲的數(shù)字校園存儲架構(gòu)論文05-28

高清播出系統(tǒng)網(wǎng)絡(luò)安全架構(gòu)設(shè)計研究論文10-22

淺析軟件開發(fā)中的三層架構(gòu)技術(shù)論文05-21

庫存管理Struts架構(gòu)系統(tǒng)設(shè)計思考論文10-23

云計算框架下的網(wǎng)站群架構(gòu)及安全性設(shè)計探索論文11-12

淺析辦公空間設(shè)計趨勢論文01-06

淺析辦公空間設(shè)計思路論文01-06

淺析天窗結(jié)構(gòu)優(yōu)化設(shè)計論文11-21

淺析對設(shè)計思維的認識論文11-20