您的位置: 网界网 > 周报全文 > 正文

[周报全文]大集中后的网络运行安全

2002年10月14日 00:00:00 | 作者:佚名 | 来源:$page.getBroMedia() | 查看本文手机版

摘要:大集中后的网络运行安全

标签

    大集中后的网络运行安全

    金融业数据大集中这种高度集中的发展方式,既带来了高效益,同时也带来了高风险,银行业务的稳定运行将完全依赖于信息化基础设施,取决于如主机系统、业务软件、网络等因素。这种风险的存在,使银行从分布式处理向集中式处理及管理发展时,在对主机、网络等基础设施的建设中,必须充分考虑这些系统的安全、稳定等因素,以保证银行业务系统的安全生产。

    银行除要对通常的营业业务电子化外,也需要办公系统自动化才能真正满足整个系统的信息化要求,为节省投资,还可利用网络开展内部的话音通信等,因此,银行网络需要承担多种业务,是一个综合网络。银行网络的运行安全可分为网络可靠性和安全性的构建两方面。下面将讨论银行数据大集中对网络运行安全的建设要求及博达解决方案。

    网络可靠性构建

    IP技术由于其开放性而得以迅速的发展,现在建设网络基本都是使用IP网络进行组网互连的。对现代信息技术的高度依赖和重视将为本世纪中国金融业的信息化建设与发展提供最坚实的保证,这种依赖对网络的稳定性、可靠性必然要有很高的要求。

    首先,从组网拓扑上,全国网络设置2到4个中心节点,中心节点间通过高速链路网状互联,有利于进行网络的负载分担及异地灾难备份,在数据集中处理及管理的同时,也可进行风险的分散。这样即使在一个网络中心设备、业务主机或数据库等遭遇不可抗因素摧毁或者出现故障时,其它中心可自动承担该中心的业务及数据恢复,最大限度地保护银行数据安全及稳定生产。

    其次,在网络互连设备上,骨干节点设备是网络的关键位置,因此其需要支持关键部件的冗余备份、热插拔、在线故障排除等可靠设计特性,以确保设备的可靠运行;同时,设备还需要冗余配置备份,以消除节点单点故障,设备间应使用热备份技术(如HSRP等),以保证网络及业务的不间断性。

    第三,互联线路/链路的备份:网络各级节点间应采用双归/多归设计,每个节点到上级节点都应有不少于2条物理路径,这样才避免单路故障,提高网络路径冗余,而且应尽可能使用不同服务商提供的不同线路相互备份,并考虑异构线路,如卫星链路等。

    第四,路由支持备份及自动切换:设备要支持接口及链路备份,同时并采用标准的、健壮的路由算法及协议,如OSPF,大型的网络还可使用OSPF+BGP,使网络能自动选路和迂回,做到当某部分网络出现意外而发生通路切换时,这些操作对上层业务主机是透明的。

    对于放在网点的博达路由器,涉及到的是线路备份技术。在物理线路条件具备的情况下,要解决的主要问题就是线路和路由器的切换,使IP包能透明传输。而实现切换的方式有两种:

    ①. 线路事件触发,特点是:切换时间快,不占用通信资源,但对通信设备的要求较高,实现复杂。

    ②. 路由事件触发,特点是:实现较简单,与通信方式无关,但切换速度较快,且路由器配置较为简单,不需要手工设置大量路由器信息。

    推荐采用路由事件触发方式的备份方案。在实际采用博达路由器的网络建设中,可以采用主动备静或主静备动或主动备动的方案。动态路由可以考虑RIP、OSPF、EIGRP等路由协议。

    网络安全性构建

    安全是一个系统工程,按照ISO7799安全体系标准,它包括七个组成部分:组织和管理安全、人员安全、物理环境安全、硬件安全、通信安全、软件安全和运行安全。网络安全是整个系统安全中的一个重要保证,并涉及到网络的各个组成部分。任何一点的疏忽都可能造成安全隐患,因此网络安全必须考虑到各个层次网络的安全。

    网络安全大体上分为两个层次:网络自身安全和网络业务安全(+微信关注网络世界),这两个层次在整个网络安全体系中是相辅相成的,前者主要是指网络数据的安全传送、网络资源的合法使用;后者主要是指网络业务的合法授权、使用和监管。

    针对金融的网络和业务的状况,一个完整的网络安全方案应该由网络层安全策略和应用层安全策略来构成,网络层安全策略主要完成对非法使用网络资源的控制,而应用层安全策略主要是针对通过合法的渠道来非法使用业务资源的控制,只有两者的完美结合,才能构成一个安全的系统。

    在网络的构建中,可以从网络协议及组网层次进行安全设计。博达路由器提供全面的网络级安全特性,包括线路安全、用户验证、授权、信息隐藏、数据加密、数据压缩、智能访问控制、攻击探测和防范、安全策略中心等安全机制,从物理层、链路层、网络层、应用层等几个方面,为内部网络及外部数据提供了有力的安全保护。

    总之,信息系统的安全是一项系统工程,集技术与管理于一体,二者缺一不可,网络中任何一方出现安全漏洞,整个系统就无安全可言了。

    博达安全方案

    博达路由器提供一个全面的网络安全方案,综合了用户验证、授权、数据保护等等。博达路由器采用如下的安全技术: AAA(认证和授权)、Callback(回拨技术)、包过滤技术Access-list、地址转换NAT、VPN技术(ipsec、GRE)、VLAN技术、路由信息认证技术。

    下面具体介绍一下身份认证技术和访问控制。

    路由器中的身份验证主要包括以下几个部分。

    1. 访问路由器时的身份验证。访问路由器有多种方式:直接从Console口登陆配置、telnet登陆配置、通过SNMP进行配置、通过Modem远程配置等等,通过这些访问方式,都要进行相应的身份验证。

    2. 对端路由器的身份验证。对端路由器不仅仅指物理上直接相连的路由器,同时也包括端到端相连以及虚拟的点到点(如通过隧道协议)相连的路由器。在对端路由器与本端建立连接之前(如ppp协议),需要进行身份验证。

    3. 路由信息的身份验证。路由器依赖路由信息来发送报文,路由信息对于路由器来说是至关重要的,收到虚假的路由信息,有可能使得路由器将数据发送到不正确的目的地。这些报文的信息有可能被截取,或者使得通信无法继续下去。因此路由信息的验证同样重要。

    访问控制有以下几种情况。

    1. 对于路由器的访问控制。对路由器的访问权限需要进行口令的分级保护,只有持有相应口令的用户才能进行相应的操作。

    2. 基于IP地址的访问控制。通常情况下,用户或网络是通过IP地址区分的,不同网段之间的访问权限可能不一样,结合NTP,通过包过滤可以实现基于时间的访问控制,实现网络安全。

    3. 基于用户的访问控制。路由器提供接入服务功能。对于用户而言,他们之间的权限可能不一样,通过对用户设置特定的过滤属性,可实现对接入用户的访问控制。

    如上图安全方案中,就是采用了在路由器两端设置Access-list 表(或附加防火墙软件、设备)来实现通信安全的。

[责任编辑:程永来 cheng_yonglai@cnw.com.cn]