随着网络和信息技术的快速发展，网络化、信息化已经成为当前银行业的重要特征，除了传统的网点柜台、ATM等渠道，网上银行、手机银行、移动金融等新型渠道正在被广泛使用，这些线下、线上的多种渠道在给银行客户带来方便的同时也带来了一些新的安全问题，如用户敏感信息泄露、远程渗透性攻击等。面对如此复杂的多渠道环境和日益严重的网络安全威胁，商业银行急需建立纵深立体的信息安全技术防护体系。本文通过对银行业信息安全现状和多渠道安全问题分析，从渠道终端、渠道边界、渠道后台服务三个维度提出加固方案，并通过大数据分析，形成纵深立体的信息安全技术防护体系，探索商业银行多渠道环境下信息安全技术防护的有效解决方法。

中国农业银行数据中心(北京)副总经理左燕

一、银行业信息安全现状

当前，网络和信息安全已上升为国家战略，银行作为现代金融业的支撑力量，是国民经济运转的枢纽，其安全稳定运行关乎国家经济安全。银行的本质是通过货币数字化和信息再组合实现社会资源的优化分配，而这些数字化的信息都在银行的内部系统和网络中存储、传输和交换，如果产生泄露或损坏则可能直接影响公众利益、社会稳定，甚至国家经济的正常运行。

一方面，网络安全形势日渐严峻。黑客攻击行为逐渐产业化、利益化、复杂化，更多地是以经济利益为目的，利用多种手段进行针对性攻击，甚至开展APT攻击，且黑客攻击已经形成了较为完整的产业链条，造成的损失和后果更加严重。同时，网络攻击门槛和攻击成本降低，网络攻击数量成倍增长，新的攻击形式不断出现，针对银行的仿冒网上银行等钓鱼网站也成倍增长。此外，一些基础构件的安全漏洞频现，高危漏洞增多，所产生的安全危害更大、传播更广，如Struct2、OpenSSL等漏洞，使得国内的多家银行面临被攻击的风险。

另一方面，银行业务快速互联网化。网上银行、手机银行、互联网金融、移动金融等新的业务形态促使银行业务从传统的网点柜台迁移至PC和移动互联网，这使得银行暴露在互联网上的业务系统越来越多，互联网用户也急剧增加，安全问题变得更加严重。同时，云计算、虚拟化、大数据等新兴技术在支撑银行业务快速创新和发展的同时，也逐渐暴露出一定的安全隐患。

面对外部威胁和内部隐患，银行业现阶段需要深入分析可能的风险，采取有针对性的措施，建立较为全面的信息安全技术防护体系。

二、银行业面临的多渠道安全问题分析

目前银行业对外接触客户的渠道主要为线上、线下两种方式。线下渠道主要包括网点柜台、移动智能终端、ATM等自助终端设备;线上渠道主要包括网上银行、手机银行等。其中除网点柜台由银行内部员工操作，安全风险较低外，其余各渠道都可能面临来自外部的安全威胁，所以银行急需解决多渠道安全问题。

一是ATM等自助终端的安全问题。由于商业银行一般拥有大量ATM、查询机等自助终端设备，并且部分设备处于离行状态，普遍采用外包运维方式，第三方运维人员具有较高权限，存在较大的安全渗透和运维操作风险，除了管理制度约定外，银行自身也需要在技术上采取一定的安全防护手段。

二是移动智能终端的安全问题。随着智能终端和网络新技术发展，借助移动智能终端可以为客户提供方便快捷的金融服务，如移动营销、信用卡办卡等。但由于移动智能终端便携性强，所处网络环境复杂，恶意代码传播途径多样，且其上面可能存放客户敏感信息和银行经营数据，容易产生数据泄密、恶意软件下载等问题。

三是网银出口的安全问题。网上银行、手机银行等都通过互联网从银行的网银出口接入银行内部网络，这也给外网黑客提供了入侵银行网络的入口，一方面黑客可以通过SQL注入、跨站脚本等方式直接威胁银行业务系统，另一方面黑客也可通过数据伪造等手段，利用漏洞绕过防火墙等安全设备，侵入银行网络内部和重要应用服务器，对银行数据和信息系统安全造成重大威胁。

基于以上分析，商业银行从业务终端到网络渠道再到后台服务都存在较大的安全威胁，需要建立多渠道的信息安全防护体系，全方位提升安全防护能力。

三、多渠道信息安全防护体系建设

针对商业银行多渠道安全防护问题，本文提出构建以多渠道终端安全加固为基础，渠道边界安全防护加强为提升，渠道后台服务运行控制为强化，大数据流量日志综合收集分析为补充的多层次立体化信息安全技术防护体系(如图1所示)，实现商业银行多渠道环境下的安全防护加固和风险管控。

1.多渠道终端安全加固

银行的终端数量众多、种类繁杂、使用场景多样，接入内网后带来较严重的安全隐患，特别是ATM、查询机、网银体验机等自助终端往往采用外包运维，部分设备仍采用windows XP系统，面临严重的安全漏洞隐患和外包运维风险，对此，应采取终端系统加固的方法提升终端安全性。

首先将银行各类终端按终端所有者、行为主体、终端角色、终端网络位置等维度进行划分，制定不同的安全策略;其次在终端上部署终端安全管理软件，在接入交换机上实施网络准入功能，并部署终端安全管理准入控制和修复系统，通过在终端上实施相应的安全策略，进行主机完整性检查、应用程序控制、补丁分发、端口限制、外接设备控制等，实现系统整体加固。当不符合所设定的安全策略时，终端将被禁止接入银行内网，并进行安全策略同步修复。同时通过权限分配和特定外设控制降低第三方运维人员可能带来的风险。

对于移动智能终端，由于其便携性强，所处网络环境复杂，且其上可能存放客户敏感信息和银行经营数据，容易产生数据泄密等问题，可通过部署移动智能终端安全管理系统，实现对移动终端的应用安全管理、设备资产管理、网络接入控制、数据安全管理等，减少安全隐患。

2.渠道边界安全防护加强

网上银行、移动支付等业务通过互联网从银行的网银出口接入银行内部网络，这给外网黑客带来了入侵银行内网的入口。传统的网络边界防护“老三样”主要侧重于网络层面的防护，通过抗DDOS设备对网络流量过滤，通过防火墙对服务端口屏蔽，通过入侵检测设备对网络流量进行旁路分析，但这些措施都无法及时有效地对恶意行为进行实时检测和阻断，特别是针对应用层的渗透和攻击。

对此，通过部署入侵防御系统(IPS)、Web应用防火墙(WAF)，并优化策略，可实现应用层的实时攻击检测、告警和阻断，对SQL注入、跨站脚本、应用层协议攻击、网站挂马等攻击行为进行安全防护，实现基于特征和已知威胁的渗透行为识别和阻断。

同时针对越来越多的未知恶意代码和攻击行为，采用深度流量检测和沙箱技术，通过对网络流量抓取、还原、分析和模拟运行，检测网络流量中是否包含可疑攻击行为，得到相应的动态防护规则和日志记录，再将规则反馈给防病毒网关、IPS/WAF等设备，实现动态的、具有自我学习更新能力的渠道边界安全防护。

3.渠道后台服务运行控制

网络攻击和渗透行为一般从终端入手，经过渠道和边界，以后台服务器为目标。银行的后台服务器往往承载着重要的信息系统和敏感的数据信息，一旦遭窃取将会产生严重的社会影响和经济损失，并可能对银行的声誉造成严重损害。

从风险防范的角度看，后台服务器可分为硬件、操作系统、中间件、数据库、应用程序几个部分，分别存在不同种类的漏洞和风险类别。可采取的安全措施，一是通过漏洞扫描发现并修复后台服务器存在的漏洞和弱口令等安全风险，及时升级版本，规范配置;二是通过对后台服务器的运行进程进行实时监测和控制，限制可疑进程的运行，并对可疑行为进行阻止，通过白名单技术保障可信程序正常运行，防范对后台服务的渗透攻击行为。

4.大数据综合流量日志分析

目前黑客攻击越来越有针对性，特别是APT攻击等，可利用零日漏洞或目标环境缺陷定制恶意代码，综合利用多种途径入侵目标系统，传统基于特征的防护手段完全无法检测，同时由于其长期潜伏、渗透，沙盒等深度分析工具也无法独自有效识别。

通过采用大数据技术对银行多种传输渠道中的网络流量和多个设备日志进行全面收集和统一分析，建立从入口到后台的立体式流量日志分析模型，充分利用多种设备异构属性，深入挖掘隐蔽攻击流量，将网络流量、安全设备日志、后台服务器系统日志、应用程序操作日志等汇集起来，并存储较长时间的日志信息，进行大数据关联分析，可实现对潜在威胁的挖掘，并可对攻击行为进行取证和事后审计。

综上，多渠道、立体化的信息安全防护体系的建设主要包括以下几个方面：一是通过多渠道终端安全加固将传统的网络边界防护工作分散化，从集中式的网络防护转化为在每个终端上建立安全防线，细化防护粒度;二是通过应用层攻击实时检测与阻断、网络流量深度检测与沙箱模拟运行等手段加强渠道边界，特别是网银出口的安全防护;三是通过后台服务器的安全扫描评估，及时发现漏洞并修复，同时采用白名单技术监测并控制后台服务进程，实现渠道后台服务运行控制;四是通过大数据技术对网络流量、设备日志、系统日志等进行收集汇总和综合分析发现潜在隐蔽威胁，并进行攻击取证和事后审计。

目前商业银行面临着日渐严峻的网络安全形势，线上、线下多种业务渠道并存的现状又带来了新的信息安全风险。本文研究多渠道终端安全加固、渠道边界安全防护、渠道后台服务运行控制、大数据流量日志综合收集分析等安全防护技术，探索构建前、中、后一体化的多层次纵深技术防护体系，为多渠道环境下各商业银行的信息安全技术防护工作提供参考。

文/中国农业银行数据中心(北京) 左燕 秦玮 温景容