银行生产网络安全规划建议书 Word文档下载可编辑 目录 1 项目情况概述 ........................................................................................................ 3 2 网络结构调整与安全域划分 ................................................................................ 5
3 XXX银行网络需求分析 ....................................................................................... 7 3.1 网上银行安全风险和安全需求 ..................................................................... 7 3.2 生产业务网络安全风险和安全需求 ............................................................. 9 4 总体安全技术框架建议 ...................................................................................... 10 4.1 网络层安全建议 ........................................................................................... 10 4.2 系统层安全建议 ........................................................................................... 12 4.3 管理层安全建议 ........................................................................................... 12 5 详细网络架构及产品部署建议 .......................................................................... 13 5.1 网上银行安全建议 ....................................................................................... 13 5.某某省联社生产网安全建议 .............................................................................. 14 5.3某某市联社生产网安全建议 ........................................................................... 15 5.某某某县联社生产网安全建议 .......................................................................... 16 5.5 全行网络防病毒系统建议 ........................................................................... 17 5.6 网络安全管理平台建议 ............................................................................... 17 5.6.1 部署网络安全管理平台的必要性 ........................................................ 17 5.6.2 网络安全管理平台部署建议 ................................................................ 18 5.7 建立专业的安全服务体系建议 ................................................................... 19 5.7.1 现状调查和风险评估 ............................................................................ 19 5.7.2 安全策略制定及方案设计 .................................................................... 20 5.7.3 安全应急响应方案 ................................................................................ 21 6 安全规划总结 ...................................................................................................... 23 7 产品配置清单 ...................................................................................................... 25
1 项目情况概述
X某某银行网络是一个正在进行改某某省级银行网络。整个网络随着业务的不断扩展和应用的增加，
已经形成了一个横纵联系，错综复杂的网络。从纵向来看，目前XXX银行网络分为四层，第一某某省联社网络，第二层某某市联社网络，第三层为某某区）联社网络，第四层为分理处网络。
从横向来某某省及某某市的银行网络都按照应用划分为办公子网、生产子网和外联网络三个大子网。某某省中心网上，还包括网上银行、测试子网和MIS子网三个单独的子网。其整个网络的结构示意图如下：
图1.1 XXX银行网络结构示意图
XXX银行网络是一个正在新建的网络，目前业务系统刚刚上线运行，还没有进行信息安全方面的建设。而对于XXX银行网络来说，生产网是网络中最重要的部分，所有的应用也业务系统都部署在生产网上。一旦生产网出现问题，造成的损失和影响将是不可估量的。因此现在急需解决生产网的安全问题。
本次对XXX银行网络的安全规划仅限于生产网以及与生产网安全相关的网络部分，因此下面我们着重对XXX银行的生产网构架做一个详细描述。
（某某省联社生产网络
某某省联社网络生产网络是全行信息系统的核心，业务系统、网上银行系统及管理系统都集中在信息中心。
某某省联社网络生产网络负责与人行及其他单位中间业务的连接。 某某省联社网络生产网络负责建立和维护网上银行。 某某省联社网络生产网络中包含MIS系统和测试系统。
? 操作系统主要有：OS/400、AIX、Linu某、Windows，以及其它设备的专用系统。 ? 数据库系统包括：DB2、INFORMIX、SYBASE、ORACLE等。 ? 业务应用包括： ? 生产业务：
? 一线业务：与客户直接关联的业务，如ATM、POS、柜员终端等
? 二线业务：不直接与客户相关的业务，如管理流程、公文轮流转、监督、决策等，为一线业务的支撑。
（二某某市联社生产网络
?某某市联社生产网络是二级网络，通过两条互为备份的专某某省联社中心网络互连。 ? 操作系统主要有：UNIX、WINDOWS。 （某某某某县）联社生产网络
某某某某县）联社生产网络是三级网络，通过2M SDH/或者10M光纤以太网（ISDN备份）等方式与管辖支行的网络连接。
? 操作系统主要有：UNIX、WINDOWS。 （四）分理处生产网
? 分理处是四级网络，各个分理处通过2M SDH或者ISDN等方式与某某某某县）联社的网络连接。
某某某县联社及分理处的网络目前还处在组网的初级阶段，网络构造简单且还没有能力进行完善的网络安全建设和管理，因此本次规划主要某某省某某市联社的网络安全部分。某某省某某市部分的网络建成一个比较完善的安全防护体系之后，再逐步的将安全措施和手段应用于下某某某县联社及分理处。从而实现整个网络的重点防护、分步实施策略。
2 网络结构调整与安全域划分
对于XXX银行生产网络来说，首要的一点就是应该根据国家有关部门对相关规定，将整个生产网络
进行网络结构的优化和安全域的划分，从结构上实现对安全等级化保护。 根据《中国人民银行计算机安全管理暂行规定（试行）》的相关要求：
“第六十一条 内联网上的所有计算机设备，不得直接或间接地与国际互联网相联接，必须实现与国际互联网的物理隔离。”
“第七十五条 计算机信息系统的开发环境和现场应当与生产环境和现场隔离。”
因此我们有必要对现有网络环境进行改造，以将生产业务网络（包括一线业务和二线业务）与具有互联网连接的办公网络某某区分开来，通过强有力的安全控制机制最大化实现生产系统与其他业务系统之间的隔离。同时，对XXX银行所有信息资源进行安全分级，根据不同业务和应用类型划分不同安全等级的安全域，并分别进行不同等级的隔离和保护。
初步规某某省联社生产网络划分成多个具备不同安全等某某区域，参考公安部发布的《信息系统安全保护等级定级指南》，我们对某某区域划分和定级的建议如下：
某某区域 某某区域 M某某区域 网上某某区域 运行某某区域 说明 包含一线业务服务器主机 包含二线业务服务器主机 包含网上银行业务服务器主机 包含维护网络信息系统有效运行的管理服务器主机和管理终端 包含新开发的生产应用的测试环境，可视为准生产环境 定级建议 3级 2级 2级 2级 某某区域 1级 2级 办公服某某区域 包含办公业务系统服务器主机 对于某某某某某县联社和各营业网点也需要将生产业务和办公业务某某区分开，并进行逻辑隔离，确保某某区域具有较高安全级别。
由于部分办公业务用户需要访问生产业务中的特定数据，而部分生产应用也需要访问办公网中的特定数据，因此无法做到生产、办公之间彻底的物理隔离，建议在各级联社信息中心提供生产网与办公网之间的连接，并采用逻辑隔离手段进行控制，对于营业网点，由于作隔离投入太大，可暂时不考虑隔离。
改造后的总体逻辑结构如图所示：
图2.1 XXX银行网络安全结构示意图
网络改造后，全行办公系统将统一互联网出口，所有办公终端只允许在通信行为可控的情况下才能通过信息中心办公网络的互联网出口访问外界网络，生产业务服务器和终端不允许采取任何手段直接访问互联网或通过办公网间接访问互联网。
网上银行因业务需要必须连接互联网，但只允许互联网用户对网银门户网站的访问以及认证用户对网银WEB服务器的访问，生产业务服务器和终端不允许采取任何手段直接访问互联网或通过网银网络间接访问互联网。
图2.1 XXX银行网络安全结构示意图
网络改造后，全行办公系统将统一互联网出口，所有办公终端只允许在通信行为可控的情况下才能通过信息中心办公网络的互联网出口访问外界网络，生产业务服务器和终端不允许采取任何手段直接访问互联网或通过办公网间接访问互联网。
网上银行因业务需要必须连接互联网，但只允许互联网用户对网银门户网站的访问以及认证用户对网银WEB服务器的访问，生产业务服务器和终端不允许采取任何手段直接访问互联网或通过网银网络间接访问互联网。
