深信服上网行为管理解决方案构建招商银行前沿网络安全(共5页).doc

《深信服上网行为管理解决方案构建招商银行前沿网络安全(共5页).doc》由会员分享，可在线阅读，更多相关《深信服上网行为管理解决方案构建招商银行前沿网络安全(共5页).doc（5页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、精选优质文档-倾情为你奉上深信服上网行为管理解决方案构建招商银行前沿网络安全由内而外的安全管理机制背景：银行信息化建设一直处于各大行业的尖端，银行的各项业务也越来越依赖于互联网平台。虽然金融系统的网络中已经部署了很多网络安全产品，抵御来自互联网的攻击，但在内网安全防范的手段上存在许多薄弱环节没有覆盖。试想：如果银行职员占用上班时间BT下载、观看在线电影，甚至访问不良网站、泄漏机密信息等等，这些行为通过已部署于网关出口的防火墙就能实现对它们的控制吗？银行内网一旦缺乏有效的管理手段必然会增加各项业务操作的风险，同时对工作效率的影响也非常严重。招商银行总部需求分析：招商银行成立于1987年4月8日，

2、是中国第一家完全由企业法人持股的股份制商业银行，总行设在深圳。自成立以来，招商银行先后进行了四次增资扩股，并于2002年3月成功发行了15亿普通股，4月9日在上交所挂牌（股票代码：），是国内第一家采用国际会计标准的上市公司。目前，招商银行总资产逾7000亿元，在英国银行家杂志“世界1000家大银行”的最新排名中，资产总额居前150 位。随着银行业务的不断丰富和秉承“科技兴行”的理念，其越来越依赖互联网所提供的便利，为了保障银行信息安全建设的总体要求，提高企业竞争力，招商银行通过对比多家厂商的上网行为管理产品后，最终选用了深信服上网行为管理产品。客户需求：由于银行业的行业特性，招商银行较多业务都

3、具有相当的操作风险。因此，银行业务的安全运营至关重要。除此之外，如果银行职员占用上班时间访问与工作无关的网站，或者是播放在线电影、下载MP3、进行BT下载等等，这些行为将造成工作效率的大大下降。还有哪些内网安全隐患会严重影响银行业务的正常运转呢？可以归结为以下几个方面：1、机密信息的泄漏2、上班时间滥用带宽进行BT下载、播放流媒体3、发送敏感数据（如：反动言论等） 4、访问不良网站和高风险网站（如：色情网站，携带恶意软件等） 5、日志信息管理手段的缺乏导致信息不完整招商银行上网行为管理解决方案内网管理建设需要符合相关标准、规范以及文件精神的要求。目前各大银行均已制订了成文的信息安全策略，招商银

4、行也不例外。互联网控制是银行安全策略的核心之一，贯彻和执行该信息安全策略需要相应的行政手段和技术手段相结合。上网行为管理作为银行互联网控制的主要内容之一，是落实信息安全策略的最重要的手段。深信服上网行为管理产品强大的功能和优异的性能，得到了招商银行的高度认可，其一期工程采购了2台M5800-AC，3台M5600-AC，1台M5400-AC；二期工程采购了22台M5600-AC，分别部署于总行、研发中心、电话银行中心、电话银行备份中心、深圳支行等处，全面保障和落实组织内部的信息安全策略。1、内网用户上网权限划分我们把外网和内网中间的网络称之为前沿网络。对于银行网络来说，外网控制主要对银行系统业务

5、网、办公网、与外单位互联的接口网络之间按各自的应用范围、安全保密程度进行合理分布管理，以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统。内网则需要根据不同的权限管理进行划分，比如针对不同业务、不同部门、不同职位等。除了把组划分好之后，我们下一步还需要给相应的组分别对应不同的上网权限，比如：财务组不能访问新浪网站，网络部则可以访问等，甚至每个组中的某一个具体用户用都可以针对用户的私有IP地址网卡MAC地址来分配所能访问的权限。细致的上网权限划分是上网行为管理产品必需具备的功能之一，招商银行通过深信服上网行为管理产品，建立了完善的职能部门和成熟的决策流程，也大大降低了网络管理者的维护量，

6、合理的规划出局域网的组织结构。 2、机密信息保密招商银行在未部署深信服上网行为管理产品之前，内部机密信息很容易泄漏。银行的信息保密机制是最为严格的，例如：个人（企业）客户资料、未公开的政策法规、商业信息等等，都具有非常高的机密性，如果职员利用互联网有意或者无意的通过Email、QQ、MSN、BBS等渠道很容易造成这些信息的泄密或丢失。深信服上网行为管理产品具备多种机密信息的保护技术，用户可以通过专利技术之一的邮件延迟审计技术，将内网用户发送的邮件先转移至设备的邮件缓存区，邮件审核人员通过系统口令访问邮件缓存区并审核邮件正文及其附件，那些涉及到机密信息、侵犯性语言、非法URL、个人隐私的邮件将被

7、返回给发件人或者丢弃。而这一审核过程对局域网中的用户是完全透明的，邮件的发送过程和以往并没有任何不同。3、敏感数据信息过滤深信服上网行为管理产品通过URL、关键字过滤等技术手段禁止不良网站的访问，并且需要记录关于访问行为的所有信息，例如：当事人名字，及其所访问的或者被禁止访问的网页，并且该次访问是在什么时候发生的等等信息。在深信服上网行为管理产品中内置了URL库，其中包含了海量的成人、暴力、反动和恶意网站信息，这有助于将不健康和包含潜在威胁的网站拦截在外，通过对URL的阻拦，可大大降低内网用户对不良Web页面的访问，关键字过滤的手段也是通过管理员在该设备上预先设置敏感性的关键字，例如：法伦功、

8、色情等。4、流量控制管理P2P技术是目前互联网中被人们最常使用的下载软件，它使人们可以高速获取海量网络资源，例如：BT、电驴，以及在线影院等等，而这些P2P软件对带宽的占用也让网管员无可奈何。一个2M以太网出口的局域网，只要有2个以上的员工不限速地使用BT，所有人的正常网络浏览都将成为不可完成的任务。每天，互联网上都会有人发布最新的P2P软件，版本的更新也导致很多针对P2P的产品无法发挥作用。那为什么这些P2P软件会这么难管呢？主要原因是原有的P2P控制管理工具都是基于应用程序的端口进行封堵，一旦最新的P2P软件端口发生变化，原来的控制软件就很难封赌了。深信服上网行为管理设备通过对P2P下载软

9、件的智能检测技术来实现管理。通过这种技术，管理员甚至可以彻底封锁所有的P2P流量，甚至还可以根据实际情况，选择针对特定用户和相应的P2P工具进行流量控制。5、详细的日志信息备份分析系统目前国内大型机构都在践行公安部与2006年3月1日颁布的82号文件，其第七条中提到，按规定执行的企业必须记录并留存用户登录和退出时间、主叫号码、账号、互联网地址或域名、系统维护日志的技术措施，以及第十条，即：（一）记录并留存用户注册信息；（二）在公共信息服务中发现、停止传输违法信息，并保留相关记录；（三）联网使用单位使用内部网络地址与互联网网络地址转换方式向用户提供接入服务的，能够记录并留存用户使用的互联网网络地

10、址和内部网络地址对应关系。对于招商银行来说，内网用户每天访问互联网时所产生的海量日志信息需要一个更大容量的数据备份机制，网关所能提供的硬盘存储容量是有限的，而且这些数据信息还需要通过更为直观和简单的方式进行查询。招商银行更为关注日志信息的完成性和保密性，深信服上网行为管理设备支持独立的日志信息备份存储中心，称为数据中心（Network Data Center, NDC），可以保证内网所有信息数据的完整性和保密性。招商银行通过深信服上网行为管理产品的独立日志中心系统，可以无限量的存储内网访问的日志信息，例如银行内部的某个职员访问互联网时候出现滥用、误用、盗用个人客户或者企业客户保密信息等等行为的

11、时候， 深信服上网行为管理产品把这些日志信息完整统计下来并发送至数据中心。通过使用NDC，组织的管理者可以通过直观的、图象化的方式了解网络带宽的利用情况以及内网用户的网络访问状态，NDC将网络使用情况自动生成报表并统计出网络访问的趋势，以帮助系统管理员更好的维护和管理网络。管理员可以远程通过Web方式实时地了解网络运行状况和网络行为日志，并将上网行为日志记录统一导出，形成整个组织的网络行为分析记录，进而制定出细化的、多层次的安全策略，更为严密的保障银行的信息安全机密，和优化对内网的管理。6、深信服上网行为管理产品给招商银行带来的价值 据美国CSI/FBI的调查结果显示，企业和政府机构因重要信息被窃所造成的损失，已远远超过病毒感染和黑客攻击所造成的损失，80%以上的安全威胁来自组织内部。深信服上网行为管理产品在招商银行的成功应用，规范了银行职员在上班时间的上网行为，提高了工作效率，完善了招商银行信息化安全管理系统和机制，降低了内部机密信息泄漏的风险，强大的数据中心更保证了信息的完整性，也更易于网络管理人员的日常管理。专心-专注-专业