基于银行网络可靠性及安全优化

◆黄海军

基于银行网络可靠性及安全优化

◆黄海军

（云南工商学院 云南 651700）

随着时代的进步，银行数字化转型势在必行，为加强金融科技在银行中的深化落实，银行网络的安全可靠性也越来越重要，银行数字化通过使用一些新技术，包括大数据、人工智能、云计算技术，为用户提供更好的服务，通过提升银行网络的安全可靠性，为银行使用新技术提供安全可靠的平台。本文将阐述在银行网络安全可靠性方面采取的方法和策略。主要技术涵盖网络设备冗余、数据链锯冗余、可靠性的协议、服务器安全优化。

银行网络；冗余；安全优化

网络可靠性是一个企业或是单位运转正常的基本条件，影响网络可靠性的因素很多，其中包括链路质量、网络设备转发数据处理能力、服务器性能、软件运行效率、网络设备冗余规划设计、网络安全防护、数据中心异地“灾备”以及“运维”人员水平等。

某银行云南省分行目前已建成与总行、地级、县级支行以及辖内多家金融机构连接的网络，并先后在网络上建成了OA系统，视频会议系统、个人征信系统，支付清算业务系统及代理国库系统等数百个系统。各系统均以网络为支撑，采取B/S、C/S结构运行。大部分系统均要求网络提供24小时不间断服务，对网络可靠性要求非常高。

银行网络目前已建成与总行、地级、县级支行以及辖内多家金融机构连接的网络，随着信息化程度提高，对于网络的可靠性的要求也越来越高，本次可靠性优化规划设计目标为提升网络的可靠性并优化网络结构。

1 网络可靠性优化

为切实提高某银行云南省分行网络可靠性，在网络技术方面，首选成熟的技术，采用稳定的网络拓扑结构，考虑到网络协议的复杂性，对于多通信协议的支持，采用TCP/IP协议架构，要求必须基于TCP/IP协议，持国际标准的路由协议，保证与其他IP网络的可靠互联，其中包括对IPv6协议的支持，银行网络自身的情况比较特殊，因涉及金融业务，相比较其他行业，对于这个网络的可用性、稳定性以及安全性都有较高的要求，所以必须采用稳定性比较高的网络设备，并且是国产设备，这也是符合国家网络安全要求。以前银行网络有部分接入层和核心层设备用的是思科交换机路由器，在本次可靠性优化升级中交换机路由器全部更换为H3C国产设备，使用私有协议HGMP实现交换设备集中管理，简化网络维护工作，动态网络邻居自动发现，网络拓扑自动收集，实现交换机集群设备快速响应。针对分行和总行广域线路端点之间的可能故障，两端设备必须支持BFD（双向路径检测）技术，并且支持网络快速收敛，可以针对全程线路间的故障检测，通过autodetect技术实现分行端口到总行IP地址的全路径监控，并可以配合静态或策略路由实现快速故障旁路，从而支持“业务级”的不间断运行。根据业务重要程度不同，采取不同的可靠性策略。业务连续性要求不高的部分，采用设备、线路“冷备冗余”策略，发生故障时手动切换至备用设备、线路。为应对故障情况，需提前配置好设备参数，例如楼层交换机配置，制定应急演练制度并定期开展演练，总结演练经验，并形成文档方便以后查阅。针对业务连续性要求较高的部分，如清算业务、征信业务、身份证联网核查业务，采用设备和线路“热备冗余”策略，线路上至少保证两路冗余，不允许存在单点故障，力保故障发生时“业务”不中断。放弃MSTP与VRRP相结合解决环路与网关备份方案，使用H3C虚拟化（大二层）方案。两台核心交换机虚拟为一台，各汇聚层分区2台交换机虚拟为1台，所有接入层交换机虚拟为对应汇聚虚拟交换机的板卡。新拓扑为1台虚拟核心交换机与4台虚拟汇聚交换机连接，无二层环路，提供网关冗余，更好地为虚拟机迁移提供保障。

2 SAN存储优化

针对存储服务器后端FC-SAN，采用双光纤交换机设备冗余组网，拓扑结构采用FC-SW，最多支持一千六百万个设备，有着强大的扩展性，并且传送速度最大可以达到8Gb。优化服务器备份技术，SAN存储技术首先支持硬盘热插拔技术，可以在不断电的情况下更换故障硬盘，并且支持多服务器到多存储设备的连接方式，备份服务器上只需要安装和主服务器上相同操作系统即可在主服务器出现故障时快速切换，连接存储在SAN上面的数据库、中间件和业务系统，充分利用了SAN技术中的硬盘分组技术，使主备服务器切换效率提升，并且可以减少机房中服务器的数量，降低机房耗电量，节能环保，机房空间要求也随之降低，对于机房的运维工作量也将减少。

3 数据中心可靠性优化

为进一步增强省级网络的可靠性，建设了同城转接中心，采用两地“三中心”模式。省级数据中心与同城转接中心对应的网络设置之间部署具备冗余备份的光纤复用设备，使用两对以上的“互备裸光纤”互联，以提供冗余备份功能与数据快速交换服务。当数据中心生产区无法提供网络服务时，同城转接中心将接管网络服务，外部机构将通过同城转接中心的外联防火墙访问DMZ区中业务系统，实现数据中心和转接中心间的网络级“双活”。采用此方式可以最大限度保护数据和业务连续工作不中断，还可以应对重大区域性灾难，如地震等不可抗拒原因。

4 网络安全访问及服务器安全优化

安全性优化主要是对网络硬件设备安全优化，在网络设备上架之前需要检测有无漏洞，无效配置是否去除，系统版本是否为最新版本，远程访问方式是否为SSH（ Secure Shell，安全外壳协议）或HTTPS加密访问方式。采用信息安全预警系统对攻击进行预警，其中包括网络边界防控预警、通过把整个银行网络区域逻辑上划分为外部区域、安全区域和银行内部系统区域三个部分。外部区域主要连接互联网，部署了防火墙、WAF等多种网络安全硬件设备，一旦发现来自“外网”的攻击，预警系统将会立即做出响应策略，应用防控预警、日志分析预警、业务数据流异常行为预警以及攻击反馈，通过以上5个预警反馈模块增强银行线上业务信息安全，针对银行内部系统区域服务器安全，使用漏洞扫描设备，对服务器开放的端口进行扫描，进行风险评估，并使用集中管理平台统一管理，对于每一个内部区域都可以进行安全扫描覆盖，避免出现扫描盲区。对服务器进行漏洞检测时，避免使用影响服务器稳定的扫描策略，例如使用弱口令字典，有可能会造成服务器账号被锁住无法正常登录，影响服务器的管理维护工作，对于扫描后发现的操作系统漏洞，及时安装漏洞补丁，在对服务器扫描时遇到开源软件漏洞，先停用此开源软件，避免漏洞被利用对服务器产生危害，到“开源软件官网”下载漏洞补丁，升级到“稳定版”方可使用。如果遇到外购软件扫描出漏洞，先通知软件开发商，让其对漏洞进行修补，如涉及系统升级需求进行兼容性检测，为了避免升级后对服务器上的其他应用业务产生影响，一定要先做好兼容性测试后再对系统进行升级。服务器上以前使用后面未使用的服务如被检测出来后也需要将其关闭，免除安全隐患，卸载服务器上所有未授权软件。在后期将定期开展网络安全专项检查，排除基本网络设施安全风险，扫描网络安全漏洞，定期给服务器安装补丁，全面提升网络防护水平，以及网络安全保障能力。也可以加入一些日常内部网络“安全攻防”演练，找到系统存在的安全问题。

5 总结

银行网络可靠性的提升方法，可以通过采用“双机热备”以及线路冗余技术，提升银行网络可靠性，也保证了网络的快速响应，实现了银行业务流量稳定可靠传输，多层网络设计结构，在网络出现故障后可以隔离，避免网络传输中断，大二层新技术的使用，也解决了二层环路问题，并实现网关冗余。网络设备安全检测，内部网络安全攻防演练以及信息安全预警系统的使用，可以提升银行网络安全性，第一时间对攻击进行预警，并做出防御，更好的保护银行网络以及信息系统安全，服务器安全也是一项长期持久的工作，没有一个操作系统是百分之一百安全，只有定期进行漏洞检测，安全升级，才能保证银行系统网络稳定运行。

[1]李臣星，俞俊杰.银行网络安全问题与防范措施的探析[J].网络安全技术与应用，2018（2）：129-129.

[2]丁晨.大数据和人工智能技术在银行网络安全风险管理中的实践—日志安全审计分析业务[J].中国信息化，2019（5）：66-68.

[3]刘远欢.关于金融科技时代下银行网络安全运营的思考[J].中国信息安全，2019（8）：64-67.

[4]和发文.农村商业银行网络安全管理研究[J].数字通信世界，2019（5）：160-160.

[5]王昕平，赵姝，张凤林.人民银行网络安全框架构建研究[J].华北金融，2020（9）：66-75.

[6]韩丹.银行网络架构的高可用性规划[J].科技信息，2012（35）：108-108.