探究银行系统计算机网络安全技术策略

周鹏 李白杨

近年来，随着社会经济的快速发展，银行也发展迅速，但银行系统遭到攻击现象依然屡见不鲜。从实践来看，该种攻击并非简单的系统瘫痪，更重要的是其会导致客户信息泄露，造成严重的经济损失。为此，应当针对脆弱的计算机信息网络系统，加强安全管理和应用技术控制，这样才能维护公众对银行的信任，才能促进银行业的可持续发展。

一、银行系统计算机网络安全技术

银行计算机网络系统遭到攻击，主要包括VLANHopping、MAC、DHCP以及ARP和Spoofing等好几种攻击类型，具体分析如下：

（一）VLANHopping

该种攻击主要是指VLAN跳跃攻击，被攻击的设备可能是任何VLAN成员，而且该设备可探听VLAN信息。具体而言，实践中可采用的主要方式有VLANID二次封装，可以在原ID外封装VLANID。对于该种攻击，可采用以下方法予以解决。比如，Trunk端口位置指定的VLANID切忌将不用端口置于未被使用VLAN，同时VLAN1除做管理不孕将信息与端口加至 VLAN1；Trunk配置下不可使用端口位置的自适应要求，也不能在Layer-2层端口对Trunk配置进行指定。

（二）MAC与GHCP

对于MAC攻击问题而言，通常在计算机网络设备中均有存储区域对MAC地址进行保存，一般Cisco交换设备上将其称为CAM表，事实上CAM表容量与大小具有局限性。比如，互联网上出现的Perl程序有一百行之多，其可以产生非常多的MAC地址，机会占满了CAM空间；由于遭到攻击，而且空间被占满，因此其它主机设施难以与交换机相连接，难以有效存放MAC地址，统称为MAC溢出攻击。一般而言，恶意用户通过DHC Please软件将 DHCP服务器可分配地址占尽，以致于DHCP服务器没有地址可供分配，最终导致设施没有地址分配，即DHCP Starvation Attack。针对这一问题，笔者建议在客户端接口位置限制MAC地址，各端口仅限单一MAC地址可用。当该端口位置MAC地址有多个时，该端口根据配置实现联动，以此来防止MAC模式攻击。在拓扑结构中，也可以采用上述技术手段，这有利于防止ARP与DHCP欺诈型网络攻击。

（三）ARP

根据ARP协议进行设计是为了能够有效减少计算机网络系统中的ARP数据信息通信过多，一台主机即便接受了ARP应答，也会插入ARP缓存表，因此也就会产生ARP欺骗可能性。对于这一问题，首先交换机应当将其DHCP Snooping功能打开，交换机上进行MAC与IP地址绑定，建立动态的绑定关系。对于DAI而言，其基础为DHCP Snooping绑定表，未使用DHCP服务器的部分机器设备建议对ARPaccess-list进行静态添加。在配置DAI时，就VLAN而言，其主要是对于相同VLAN接口开启或者关闭DAI。基于DAI可有效控制端口位置ARP报文数量，这有利于减少或者避免“中间人”对其造成的攻击和影响。

就應用层面而言，预防银行系统计算机网络漏洞以及免受攻击的方式和方法主要包括以下几种，即身份认证技术、数字签名技术、网关认证技术以及双因素认证技术和网页防篡改技术等，具体分析如下：

（一）身份认证技术

所谓身份认证技术，实质上就是在银行交易时判明以及确认双方身份，这是银行业务尤其是网上银行交易最薄弱的一个环节。据调查发现，不法分子通常采用窃取口令以及修改或者伪造等手段攻击银行交易系统，并且阻止银行计算机网络系统资源的应用与管理。针对在合一问题，认证机构以及服务商应当提供以下认证信息和服务功能。比如，可信性。数据信息来源首先应当具有可信性，接收者应当能够确认信息的准确性，并非冒充信息；完整性：信息数据传输时应当确保其完整性，接收者可确认所信息数据传输时未被修改或者替换；不可抵赖性：信息数据发送方对个人所发信息不能否认，而且信息数据的接收方不可否认已收信息；访问控制：对非法用户拒绝其访问系统，合法用户应当有访问授权以及指定资源。通常情况下，客户身份证可采用三种方式、组合模式实现。一是，客户所知秘密信息，比如客户自己口令；二是，客户所持的秘密信，即客户应当持有合法物理介质，常见的是智能卡。其中存储了客户个人信息、访问资源；三是，客户具有某种生物学特征，常见的有声音、指纹以及DNA图案和视网膜扫描等。由于该种方案造价相对较高，因此多应用于保密性要求较高的场合。

在银行业务办理以及交易支付时，参与方应当基于数字证书证明身份。数字证书是采用电子技术手段证实客户身份及其对资源访问的一种权限或者资质。实践中可以看到，数字证书是唯一可用于确认银行交易者身份的一种有效工具和手段。数字证书由管理中心进行了数字签名，第三方无权也无法对证书内容进行修改。最为简单的数字证书，也应当包含公开密钥、证书授权数字签名以及名称等内容。同时，证书还包含密钥时间，证书授权中心名称以及序列号等相关信息资料。为使银行客户对银行业务的安全可靠性重新树立信心，银行系统就应当保证安全保密性，银行网络系统中的信息数据传输保密、交换完整、信息数据的发送不可否认以及交易人员的身份确定等；通过数字证书的应用，采用对称以及非对称密码机制，建立安全的身份认证体系。采用身份认证技术，可以促进信息数据不被窃取，传输信息时不被篡改；同时发送方可采用数字证书技术来来时接收方真实身份信息的确人，发送方不能抵赖个人信息或者否认其真实性。

（二）数字签名技术

银行客户在办理业务时，尤其是网上银行用户可以利用IE调用签名控件以及用户证书私钥，签名消息以后再发至SSL，由后者转发到服务器（后台）。服务器接收到信息数据以后，调用SVS签名验签服务器来验签数据信息，判定传输数据是否被篡改。银行用户在交易时需利用签名控件包对发送的消息进行签名，再发给业务系统，此时服务器对SVS签名验签服务器进行调用，从而验签签名数据。若能够通过验签，则该银行业务操作可以完成；如果验签不能通过，则该业务无法完成操作。通过该种模式，可确保每笔交易都是成功，并且真实有效；数据传输时未进行篡改且在SVS日志中保留成功业务日志，以此作为凭证证明其有效性，同时也确保了银行系统计算机网络安全可靠性。

（三）SSL网关技术

SSL认证网关是网络系统安全产品，应用过程中提供了如下服务功能。首先，数字证书本身具有高强度的认证功能；其次，数据链路高强度加密。对于SSL认证网关而言，其布设在Web服务器、浏览器之间，通过数字证书实现身份双重认证，在二者之间建立加密链接，其强度达到了128位，使客户端和Web服务器二者对身份进行认证，并实现了数据信息的安全传输。从实践来看，SSL认证网关利用代理应用模式，其对经过网络的全部流量均予以处理，再传递给服务器；在此情况下，用户必须基于SSL认证网关对被保护服务器进行访问。SSL认证网关部署的根本目的在于确保银行与CFCA安全通信，促进网络系统数据安全可靠。

（四）双因素认证技术

实践中为了能够有效保证网络应用安全可靠性，在身份认证基础上融入双因素认证技术手段。在此过程中，采用用户名称+密码方法进行网络登录，为便于客户记忆，可以采用特殊数字，比如生日、身高体重以及电话号码等进行加密；值得一提的是，密码仅能对真实性低级认证。在银行办理业务时，如果采用个人用户电脑，则其表现出短板性。通常情况下，黑客在客户电脑被注入木马程序以后，可对用户电脑信息进行截取以及监控，并获取其账号和密码；只需重新登录，修改密码，即可将用户账户中的钱转给第三方，最终实现盗取客户信息之目的。针对这一问题，笔者建议实施第二重身份认证制度，比如硬件USB数字证书以及双因素动态密码认证体制和动态电子银行口令卡等。在转账交易过程中，除应当输入原账号和密码，还必须使用独立的硬件USB数字证书作为第二重密码。对于第二重认证而言，其与网络一般不会接触，这就确保了客户免造黑客攻击，对于确保银行计算机网络的安全可靠性，具非常重要的作用。同时，笔者认为还应当利用双因素动态密碼认证方式，用户利用动态密码双因素认证操作更加的方便快捷，登录银行业务系统以后，输入静态和动态密码，每分钟令牌密码都会发生变化，这有利于外汇安全交易。采用该种方式和方法，可以肯定的是若密码生成器与网络之间完全隔离，则黑客难以获取。需要说的是：双因素动态密码认证方式时第二重密码，其必须借助于网络系统进行传播，每分钟都会变化一次，利用密码成功登录后即失效。

（五）网页防篡改技术

银行系统中的计算机网络安全可靠性，主要是指银行网站容易遭到黑客以及不法分子攻击，常见的是篡改网站网页，并因此而造成了严重的负面效应。实践中为了能够有效确保网页安全，引入防篡改系统。主页防篡改，就是利用外挂轮询式方法，周期性地自外部逐一访问网页，以此来实现对网页真实可靠性的判断。对每一个网页而言，轮询扫描操作要有数十分钟的间隔时间，在此阶段黑客会攻击计算机网络系统并篡改用户访问的网页。主页防篡改，采用的是现代先进的核心内嵌式技术手段，篡改检测模块处在操作核心层。如果对被保护对象进行拦截属于非法篡改，在需要进行及时响应以及自动恢复，实时确保各网页真实可靠性。

因主页防篡改系统运行机理为触发查询模式，一旦改变了被保护对象，则该系统就会立即对变更目录扫描并比较和恢复等，有效缩短了上述系统的响应时间。对于主页防篡改系统来讲，其检测引擎在操作系统内核体系之中，当被保护文件尚未变更时，系统就会休眠。在此情况下，CPU资源基本不会损耗，系统中的物理内存资源占用量也非常的小。系统采用的是管理界面以及防篡改引擎监测分离模式，即便管理界面关闭，也不会对WEB网站造成不利影响，主页防篡改系统占用优势资源。同时，主页防篡改体系中还提供了报警、系统以及恢复等几种日志记录形式，便于用户对入侵者进行跟踪与研究。此外，网页防篡改技术的应用，有利于随时修改以及新增一些规则。在此过程中，主页防篡改系统可以自动对页面智能化判断，以此来确保是否需要对其进行备份。同时，系统采用的是智能更新措施，若用户对目录指定了具体的保护规则，此时银行用户在利用主页防篡改更新功能以后，对目录的所有文件予以修改和增减，而且该系统会采用智能化的手段对规则以及备份段予以更新，这有利于实现最新数据信息与备份数据之间的一致性。

（六）信息认证与客户端安全技术

通过对敏感文件加密处理，即便文件被其他人获取，也难以得知内容。同时，还要确保数据信息的完整性，以免截获人在系统文件中加入信息。同时，还要对信息数据来源的可靠性进行验证，对发信人身份进行验明。通过秘密密钥、公开密钥加密两种系统，相互结合以后可以确保信息数据得以安全认证。文件加密以后，如果被其他人截取，因无法得到加密信息而难以获悉其原始内涵。同时，还可以采用时时加密技术，其他人无法删除或者加入信息，改变加密信息以后就难以获得原始信息。确保银行系统客户端安全可靠性也至关重要，尤其是系统不在控制范围时，其安全保障难度较大。在此情况下，建议采用一种先进的技术方法，确认银行交易是从客户端发起的，而非由程序发起。为此，笔者建议在银行系统中引入客户端加解密安全防护措施，通过加密实现了从键盘输入到服务器接收全过程的安全保护，这在很大程度上有效提高了用户对银行的信心，而且有效降低了银行业务运营风险。

三、结束语

总而言之，随着我国银行业快速发展以及业务流量的增长，不断推出了很多类型的中间业务，计算机网络规模也随之扩大，系统结构变得更加的复杂、多样。在此过程中，人们逐渐对计算机网络产生了依赖性，加强系统网络服务管理成为银行义不容辞的责任。为此，实践中应当对日趋复杂的计算机网络系统统一配置和加强操作流程的管控，并在此基础上制订统一的安全管理措施和配置规范，从安全技术与应用技术两个方面着手，共同打造一个完整的、安全可靠的银行计算机网络系统。