信息系统安全与防护案例分析报告

《信息系统安全与防护案例分析报告》由会员分享，可在线阅读，更多相关《信息系统安全与防护案例分析报告（16页珍藏版）》请在装配图网上搜索。

1、信息系统安全与防护案例分析与报告信息系统安全与防护工商银行信息系统安全分析与报告选取企业：工商银行网银系统 :/ icbc .cn/icbc/第一篇章 工商银行信息系统安全概况一、案例企业选择的特色随着电子商务技术的进展,网上银行的使用也越来越广泛,但是网上银行还存在很大的安全问题,必需引起宽阔网民群众的重视。网上银行为金融企业的进展带来商机并为众多用户带来了便利，但同时网上银行网站本身的安全性问题、交易信息在商家与银行之间传递的安全性问题、交易信息在消费者与银行之间传递的安全性问题已成网上银行业务面临的主要安全问题,分析这些安全问题产生的根源，并提出一些防范对策,显得尤为必要。 二、所处行业

2、信息系统安全的整体状况我国银行传统业务积存了丰富的客户资源为网上银行初期进展供给源源不断的“氧气”，也是我国网上银行进展的竞争优势但目前大多数商业银行进展网上银行的主要动力在很大程度上是为了争取传统客户 ,而将网上银行作为一种宣传工具和稳定客户的手段网上银行的进展缺乏科学的规划,投入高,效益差,治理水平有待提高在我国,老百姓对网上银行的承受是被动的 ,交易量交易额和传统柜面相比所占份额很小网上银行业务更多的是复制传统柜面业务 ,缺乏依据互联网特点的的金融创,对客户的吸引力较弱，客户对网上业务承受比较被动同时,我国金融产品尤其是理财型的产品相对较少,很多银行将网上银行作为低值业务的分流渠道,因此

3、查询转账代缴费大行其道,成为各网上银行的主流业务 ,所不同的是形式上的包装,就产品来讲更缺乏对客户的吸引力。随着网络银行的快速进展，网上银行成为现代很重要的支付工具。网上银行不受时间、地点、空间等的条件的限制可以使用户足不出户的即可办理各种理财业务，节约了银行以及客户的大量的时间同时也提高了工作效率，削减了银行的本钱。网上银行的账务治理功能让大家格外便利地查询账务余额、当日和历史明细等各种账户信息，并可以向银行内外账户进展转账汇款，还可以通过网上银行查询自己的工资单。银行在网上购物中担当了一个支付平台的作用，消费者不用亲自去商场采 购，只要在电脑前用指尖小扣键盘，就可以选货、下单、付款了，目前

4、，各类购物网站都供给了主要银行的在线支付渠道，您只要选定商品，选择相应银行的支付渠道即可完成支付。支付完成后，就可等着心仪的货物送上门来，格外便利。三、案例企业在所处行业中的相对安全状况1、工商银行网上银行企业银行的安全机制首先，合理的、严密的业务流程设计是防范风险、提高系统安全性的重要保障.站点系统构造本生承受多重防火墙保护，从而从外部到内部均杜绝黑客的攻击和病毒的破坏。 使用 CFCA 的企业高级证书，承受PKI 公钥体制的非对称加密，承受 1024bit 的 RSA 算法对传输信息加密，使用先进的 CPU 卡技术，先进的双密钥体制证书，进展双向认证，保证信息的隐秘性、完整性和不行否认性。

5、传输安全，在“企业银行”的客户端和银行效劳器之间传输的全部数据都经过了两层加密。病毒防范，在牢靠的数据传输安全机制的保障下，企业银行客户端和银行效劳器之间传输的是有特定格式的数据而不是程序，这确保了任何病毒都不行能侵入企业银行系统。严格的授权治理，对于支付和发工资这类涉及资金交易的敏感业务，企业银行系统把握企业必需依据业务治理要求经过相应的经办和授权步骤系统才会接收。2、工商银行个人银行效劳的安全机制个人网上银行是指通过互联网，为工行个人客户供给账户查询、转账汇款、投资理财、在线支付等金融效劳的网上银行渠道，品牌为“金融家”。 承受国际公认的、通过国家信息安全机关和人民银行鉴定的安全技术，以高

6、性能的网络安全机制为根底，构建严密牢靠的网上安全系统，并辅以多重业务安全把握手段， 确保全部交易准确无误并且无法窃取。不仅承受目前个人网上银行通用的密码技术设置，同时还进展了高度安全的智能芯片硬件加密。这使得 “金融家“ 取得了与企业网上银行同等安全级别的安全机制。可以有效防范包括“假网站”和“木马”病毒在内的各类可能的风险。工商银行的网站里安装了的安全证书。有效地防止了网站被假冒。客户只要正确输入工商银行网址，链接的是工商银行网上银行的网站。 传输安全性：网上个人银行交易承受了国际通行的 SSL 协议加强信息传输的安全。客户进展网上银行操作需要输入账户和密码来确认身份。网上帐务查询需输入查询

7、密码，转账交易要输入交易密码。进展网上消费付款需输入“网上支付” 密码，通过 银行向网上专户转账需输入转账密码。假设客户连续输错 5 次密码，其账户将会被银行冻结。 网上交易资金在银行主机系统内封闭流淌：网上个人银行交易的转账、支付资金都是在银行主机系统内封闭流通。网上转账只能转向客户指定的建行账户，网上支付资金只能划入商户指定的结算账户，不会流向非法账户。由于银行主机系统的封闭性，任何人不行能通过网络侵入银行系统盗用资金。3、工商银行网上银行支付体系的安全保障措施系统安全保障是工行网银安全的根底。工行在 Internet 与网银效劳器之间设置了第一道防火墙,在门户网站效劳器和内部网络应用效劳

8、器之间设置了其次道防火墙。客户身份识别是工行网银安全的关键，为进一步确保大额资金交易的安全性，工行相继推出 U 盾和电子银行口令卡两项全的安全产品。交易过程和业务流程把握是工行网银安全的重点 工行网银全部账户、转账指令等敏感信息都实行 128 位 SSL 加密通讯协议进展传输，保证了客户交易信息的唯一性、完整性和机密性。工行规定在网上自助注册的客户没有对外转账权限，客户需凭有关证件到网点开通，还对没有申请 U 盾的客户设置了对外转账限额，从业务流程方面保障客户资金安全。此外，只要客户定制了工行网银的余额变动提示效劳，一旦账户资金发生变动，客户就能在第一时间收到手机短信提示效劳，随时了解自己的账

9、户资金变动的状况。其次篇章 技术探测与分析选取企业：工商银行网银系统 :/ icbc .cn一、网络地址探测1、用 Ping 工具测试其他计算机上 TCP/IP 协议的工作状况2、使用 nslookup 命令实现域名解析3、使用 Tracert 命令追踪路由二、端口扫描1、利用 Nmap 扫描网络2、利用 Nmap 扫描翻开的 TCP 端口3、利用 Nmap 枚举目标计算机的操作系统第三篇章 工商银行网银安全状况分析一、银行提高系统安全技术的措施网上银行系统是银行业务效劳的延长，客户可以通过互联网便利地使用商业银行核心业务效劳，完成各种非现金交易。但另一方面，互联网是一个开放的网络，银行交易效

10、劳器是网上的公开站点，网上银行系统也使银行内部网向互联网放开了大门。因此，如何保证网上银行交易系统的安全，关系到银行内部整个金融网的安全，这是网上银行建设中最至关重要的问题，也是银行保证客户资金安全的最根本的考虑。为防止交易效劳器受到攻击，银行主要实行以下三方面的技术措施：一是设立防火墙，隔离相关网络。一般承受多重防火墙方案。其作用为：（1） 分隔互联网与交易效劳器，防止互联网用户的非法入侵。（2） 用于交易效劳器与银行内部网的分隔，有效保护银行内部网，同时防止内部网对交易效劳器的入侵。二是高安全级的 Web 应用效劳器。效劳器使用可信的专用操作系统，凭借其独特的体系构造和安全检查，保证只有合

11、法用户的交易恳求能通过特定的代理程序送至应用效劳器进展后续处理。三是 24 小时实时安全监控。例如承受网络动态监控产品，进展系统漏洞扫描和实时入侵检测。四是身份识别和 CA 认证。网上交易不是面对面的，客户可以在任何时间、任何地点发出恳求，传统的身份识别方法通常是靠用户名和登录密码对用户的身份进展认证。但是，用户的密码在登录时以明文的方式在网络上传输，很简洁被攻击者截获，进而可以假冒用户的身份，身份认证机制就会被攻破。在网上银行系统中，用户的身份认证依靠基于 RSA18 的加密机制、数字签名机制和用户登录密码的多重保证。银行对用户的数字签名和登录密码进展检验，全部通过后才能确认该用户的身份。用

12、户的惟一身份标识就是银行签发的数字证书。用户的登录密码以密文的方式进展传输，确保了身份认证的安全牢靠性。数字证书的引入， 同时实现了用户对银行交易网站的身份认证，以保证访问的是真实的银行网站， 另外还确保了客户提交的交易指令的不行否认性。由于数字证书的惟一性和重要性，各家银行为开展网上业务都成立了 CA 认证机构，特地负责签发和治理数字证书，并进展网上身份审核。2023 年 6 月，由中国人民银行牵头，12 家商业银行联合共建的 CFCA 正式挂牌运营。这标志着中国电子商务进入了银行安全支付的阶段。她作为一个权威的、可信任的、公正的第三方信任机构，为今后实现跨行交易供给了身份认证根底。所以，对

13、于当前网上银行系统，加强网银用户的身份认证治理，防止用户资料的泄露，是消退网上银行安全隐患的有效措施。假设没有完善的双向身份认证机制，那么这个网上银行的安全性就是没有任何保障的。当前世界上绝大局部银行的网上银行系统都是基于公开密钥体系和数字证书建立起来的。二、金融机构网上银行安全评估内容上面谈到的金融机构提高网上银行业务安全方面的各种措施是技术层面的， 在治理方面除了制定相关法律法规之外，还需要评估机构对网上银行的安全状况进展评估。这也是银行方面协作相关部门监管，促进业务安康进展的有效措施。网上银行的安全评估 19 是指金融机构在开展网上银行业务过程中，对网上银行的安全策略、内把握度、风险治理

14、、系统安全、客户保护等方面进展的安全测试和管控力气的考察与评价。它应真实、全面的评价网上银行系统的安全性。所以，网上银行安全评估至少应包括以下内容：（1） 安全策略；（2） 内把握度建设；（3） 风险治理状况；（4） 系统安全性；（5） 网上银行业务运行连续性打算；（6） 网上银行业务运行应急打算；（7） 网上银行风险预警体系；（8） 其他重要安全环节和机制的治理。在评估报告的结论中，评估机构应承受量化的方法说明被评估机构网上银行的风险等级，说明被评估机构网上银行安全治理中存在的主要问题与隐患，并提出整改建议。总之，结合银行自身加强安全技术和相关机构对网上银行安全性评估的内容，我们可以简要的总

15、结一下网上银行安全评价标准是：（1） 权威机构安全评估。是否通过中国人民银行认可的权威评估机构的安全评估是衡量中国网上银行系统安全性的主要标准。目前，中国信息安全产品测评认证中心是中国唯一经国家授权成立的信息技术安全性测评认证机构。（2） 第三方数字证书认证。数字证书认证是国际通用的网上银行安全保护措施。数字证书相当于您的“网上电子身份证”，而第三方证书认证独立于交易双方的任何一方，因此更具有权威性和公正性，能有效保障网上交易双方身份的真实性、交易的私密性和不行否认性。（3） 安全交易协议。安全交易协议是对网络传输数据进展加密的协议。其中，SSL 协议承受了公开密钥和私有密钥两种加密方法，可以认证用户和效劳器，加密数据以防止数据中途被窃取，同时维护数据的完整性，确保数据在传输过程中不被转变。（4） 防火墙。防火墙处于网上银行中心与互联网之间，包括硬件防火墙和软件防火墙。用于限制外界用户对内部网络的访问及治理内部用户访问外界网络的权限，可有效防止非法用户的入侵。