關(guān)注金融行業(yè)WEB業(yè)務(wù)服務(wù)器安全

　　一、需求背景 

　　某市城市商業(yè)銀行已經(jīng)實施了初步的安全建設(shè)，目前單獨部署了2臺防火墻和單機版防病毒，但已不能滿足該商業(yè)銀行業(yè)務(wù)發(fā)展及上級監(jiān)管部門對信息安全提出的更高要求。

　　經(jīng)過漏洞評估，該商業(yè)銀行發(fā)現(xiàn)生產(chǎn)網(wǎng)（包括核心服務(wù)器）與互聯(lián)網(wǎng)的隔離不足，存在大量高危風險漏洞，且被攻擊者利用并獲得系統(tǒng)控制權(quán)限的可能性極大，為了加強信息安全保障，用戶決定進行網(wǎng)絡(luò)安全二期改造。

　　根據(jù)已經(jīng)實施的風險評估，確認當前較為緊迫的安全需求包括：

　　安全域調(diào)整

　　劃分單獨的核心服務(wù)器區(qū)域，將原來統(tǒng)一部署在生產(chǎn)網(wǎng)核心交換機的應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器等割接至新增的核心服務(wù)器交換機，該交換機接入生產(chǎn)網(wǎng)核心交換機，將核心服務(wù)器區(qū)置于單個VLAN中，同時用VLAN將生產(chǎn)網(wǎng)和辦公網(wǎng)實現(xiàn)隔離。

　　內(nèi)外網(wǎng)邏輯隔離

　　在生產(chǎn)網(wǎng)核與互聯(lián)網(wǎng)之間部署UTM（統(tǒng)一威脅管理）設(shè)備，使其工作在透明模式，通過合理配置UTM的訪問控制策略可降低無法修補的設(shè)備漏洞所造成的威脅，并將使用存在漏洞服務(wù)的終端控制在一定的范圍內(nèi)，對其訪問行為進行日志記錄。

　　核心服務(wù)器保護

　　該市城市商業(yè)銀行業(yè)務(wù)系統(tǒng)均為WEB應(yīng)用業(yè)務(wù)，通過之前進行的風險評估，確認這些WEB應(yīng)用服務(wù)器均具有SQL注入漏洞，被攻擊的可能性極大，威脅可能來自外部終端和內(nèi)部終端，需要重點保護，因此需要部署一臺可精確阻斷SQL注入攻擊的防御設(shè)備。

　　二、實施方案 

　　通過對多家產(chǎn)品的橫向測試，最終該市城市商業(yè)銀行選擇了啟明星辰的天清漢馬USG一體化安全網(wǎng)關(guān)產(chǎn)品作為內(nèi)外網(wǎng)隔離設(shè)備，選擇了啟明星辰的天清IPS產(chǎn)品作為核心服務(wù)器保護設(shè)備，具體產(chǎn)品部署方案如下：

　　該方案在建設(shè)之初用戶對網(wǎng)絡(luò)進行了全面的風險評估，因此建設(shè)具有很強的針對性。來自互聯(lián)網(wǎng)的威脅包括：網(wǎng)絡(luò)入侵、病毒傳播、非授權(quán)訪問控制、資源濫用、非法言論傳播等，天清漢馬USG一體化安全網(wǎng)關(guān)具有功能全、性能高、應(yīng)用簡單等特點，適用于城市商業(yè)銀行的內(nèi)外網(wǎng)隔離需求。

　　城市商業(yè)銀行網(wǎng)絡(luò)中的核心服務(wù)器包含了最重要的業(yè)務(wù)系統(tǒng)以及數(shù)據(jù)資源，而針對服務(wù)器群的威脅主要是應(yīng)用層威脅，具體來講主要是針對WEB業(yè)務(wù)的應(yīng)用威脅。目前針對WEB系統(tǒng)破壞力最強的威脅就是SQL注入，通過SQL注入入侵者可以獲取WEB應(yīng)用系統(tǒng)的完整權(quán)限，可以任意修改和竊取敏感數(shù)據(jù)，對城市商業(yè)銀行來講徹底屏蔽SQL注入威脅至關(guān)重要。

　　而目前可選擇的安全產(chǎn)品之中，只有啟明星辰的天清IPS因為采用了基于原理的SQL注入檢測與阻斷技術(shù)，可以有效識別并阻斷SQL注入攻擊，因此城市商業(yè)銀行選擇了天清IPS作為核心服務(wù)器保護設(shè)備。產(chǎn)品上線后，通過天清IPS日志系統(tǒng)可以看出，有多起SQL注入攻擊被成功阻斷，用戶信息系統(tǒng)的安全性得到了極大的提高。

文章作者：CNET科技資訊網(wǎng)