金磐石　郭漢利　曹文中　張　輝

(中國(guó)建設(shè)銀行股份有限公司　北京 100033)

?

商業(yè)銀行SECaaS架構(gòu)設(shè)計(jì)與實(shí)現(xiàn)

金磐石郭漢利曹文中張輝

(中國(guó)建設(shè)銀行股份有限公司北京 100033)

目前,商業(yè)銀行應(yīng)用系統(tǒng)安全功能與應(yīng)用系統(tǒng)緊密耦合，普遍存在安全功能無(wú)法復(fù)用、難以實(shí)施統(tǒng)一安全策略、難以有效應(yīng)對(duì)新型安全威脅的問(wèn)題。在商業(yè)銀行信息安全架構(gòu)實(shí)踐基礎(chǔ)上，運(yùn)用面向服務(wù)架構(gòu)SOA技術(shù)，提出安全即服務(wù)SECaaS(Securityasaservice)架構(gòu)，將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)安全功能的組件化、標(biāo)準(zhǔn)化、智能化和參數(shù)化。將安全功能以安全服務(wù)的形式為應(yīng)用系統(tǒng)提供完備、透明、高效、可靠的安全支撐，不僅有效保障商業(yè)銀行信息系統(tǒng)的安全穩(wěn)定運(yùn)行，也前瞻性地將信息安全由傳統(tǒng)的支撐信息化建設(shè)轉(zhuǎn)變?yōu)闃I(yè)務(wù)發(fā)展的助力者。

商業(yè)銀行安全架構(gòu)組件化SECaaS安全服務(wù)

0　引　言

近年來(lái)，信息技術(shù)快速發(fā)展，商業(yè)銀行業(yè)務(wù)類(lèi)型日益多元化，信息系統(tǒng)數(shù)量和規(guī)模不斷增長(zhǎng)。商業(yè)銀行在信息系統(tǒng)建設(shè)時(shí)，通常各信息系統(tǒng)的安全功能獨(dú)立進(jìn)行開(kāi)發(fā)或建設(shè)，系統(tǒng)之間很少?gòu)?fù)用或共用，并且安全功能往往與應(yīng)用系統(tǒng)緊密耦合。各系統(tǒng)開(kāi)發(fā)人員按自身理解落實(shí)安全策略，存在安全策略不統(tǒng)一、不一致，安全防護(hù)不能形成合力，難以應(yīng)對(duì)復(fù)雜、跨系統(tǒng)的安全威脅。

當(dāng)前，攻擊者的動(dòng)機(jī)更具功利性，受政治、經(jīng)濟(jì)、意識(shí)形態(tài)等多方面的影響，攻擊者正在形成擁有強(qiáng)大技術(shù)、經(jīng)濟(jì)實(shí)力的有組織攻擊團(tuán)體；同時(shí)，攻擊者的目標(biāo)選擇更明確，攻擊更為專(zhuān)注。傳統(tǒng)的識(shí)別、檢測(cè)、防護(hù)的安全保護(hù)模式，越來(lái)越無(wú)法應(yīng)對(duì)未知的、高級(jí)的新一代安全威脅。新一代安全威脅的智能化、持續(xù)性及危害性已經(jīng)迫在眉睫，而且日益靈活多變的業(yè)務(wù)需求，讓傳統(tǒng)安全防護(hù)模式的力量日顯薄弱。

此外，云計(jì)算、虛擬化、大數(shù)據(jù)、移動(dòng)互聯(lián)網(wǎng)等新型信息技術(shù)應(yīng)用的快速發(fā)展，在為用戶(hù)提供更為靈活、實(shí)用的應(yīng)用及服務(wù)模式的同時(shí)，也不可避免地引入新的安全問(wèn)題，并對(duì)當(dāng)前的信息安全防護(hù)能力提出新的挑戰(zhàn)。

為了應(yīng)對(duì)新的安全威脅及IT技術(shù)應(yīng)用的挑戰(zhàn)，本文在商業(yè)銀行信息安全架構(gòu)實(shí)踐基礎(chǔ)上，運(yùn)用SOA技術(shù)，提出SECaaS架構(gòu)，將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)安全功能的組件化、標(biāo)準(zhǔn)化、智能化和參數(shù)化，為信息系統(tǒng)建設(shè)提供組件式安全服務(wù)。并通過(guò)集中策略管控，實(shí)現(xiàn)商業(yè)銀行的統(tǒng)一安全策略管控、協(xié)同防護(hù)、縱深防御。

1　SECaaS架構(gòu)設(shè)計(jì)與實(shí)現(xiàn)

1.1架構(gòu)設(shè)計(jì)原則

商業(yè)銀行SECaaS架構(gòu)設(shè)計(jì)遵循以下三個(gè)原則：

1) 業(yè)務(wù)驅(qū)動(dòng)

適應(yīng)業(yè)務(wù)發(fā)展為導(dǎo)向的安全管控是安全服務(wù)、安全基礎(chǔ)框架的建設(shè)目標(biāo)和方向，指導(dǎo)安全服務(wù)和安全基礎(chǔ)各項(xiàng)工作的展開(kāi)。企業(yè)級(jí)的風(fēng)險(xiǎn)管控以銀行內(nèi)部用戶(hù)和外部客戶(hù)的業(yè)務(wù)流程為保護(hù)對(duì)象，可以將各個(gè)業(yè)務(wù)流程進(jìn)行統(tǒng)一的標(biāo)準(zhǔn)化管理，針對(duì)不同的業(yè)務(wù)流程制定專(zhuān)屬的安全管理策略，并對(duì)所有的安全策略集中管理，全局管控企業(yè)的安全管理發(fā)展方向。將安全管理由傳統(tǒng)的以技術(shù)領(lǐng)域劃分轉(zhuǎn)變?yōu)橐詷I(yè)務(wù)應(yīng)用場(chǎng)景和流程劃分，從信息系統(tǒng)安全延伸到業(yè)務(wù)、應(yīng)用安全，從單點(diǎn)控制提升到企業(yè)級(jí)、全局風(fēng)險(xiǎn)管控的管理高度。

2) 組件化可定制

組件化可定制的安全服務(wù)是核心，從風(fēng)險(xiǎn)角度出發(fā)組合定制安全基礎(chǔ)平臺(tái)提供的服務(wù)，貫徹安全管控的策略和原則。安全服務(wù)全面涵蓋國(guó)際標(biāo)準(zhǔn)、國(guó)家監(jiān)管和業(yè)界最佳實(shí)踐，集中為應(yīng)用系統(tǒng)提供安全保障。同時(shí)，針對(duì)業(yè)務(wù)不同發(fā)展階段、業(yè)務(wù)場(chǎng)景，平衡安全和客戶(hù)體驗(yàn)，提供差異化的安全服務(wù)，滿(mǎn)足安全需求，幫助業(yè)務(wù)建立適當(dāng)?shù)陌踩?wù)機(jī)制。

3) 完備的基礎(chǔ)框架

全面完備的安全基礎(chǔ)框架是架構(gòu)的基礎(chǔ)，提供基礎(chǔ)的安全功能和產(chǎn)品，為定制化安全服務(wù)提供支撐。安全基礎(chǔ)框架應(yīng)具有安全功能高效、服務(wù)平臺(tái)通用、安全管理統(tǒng)一的特征。同時(shí)，在充分保證性能和可靠性的前提下，能夠快速適應(yīng)新技術(shù)、新應(yīng)用對(duì)安全保障的需求，將安全功能以無(wú)縫透明的形式向應(yīng)用系統(tǒng)提供服務(wù)。另外，安全基礎(chǔ)框架應(yīng)可以將繁多的信息安全技術(shù)進(jìn)行標(biāo)準(zhǔn)化和模塊化處理，通過(guò)各種統(tǒng)一的標(biāo)準(zhǔn)模塊將安全功能靈活快速組合，并可根據(jù)應(yīng)用系統(tǒng)的個(gè)性化需求提供定制化的安全支撐，滿(mǎn)足各個(gè)應(yīng)用系統(tǒng)的個(gè)性化安全需求。

1.2架構(gòu)設(shè)計(jì)

商業(yè)銀行SECaaS架構(gòu)將傳統(tǒng)的安全服務(wù)組件化，為基礎(chǔ)設(shè)施、應(yīng)用系統(tǒng)提供定制化的安全服務(wù)。架構(gòu)整體上包括服務(wù)接入層、應(yīng)用安全服務(wù)層、基礎(chǔ)設(shè)施安全服務(wù)層和安全策略管理中心，架構(gòu)整體結(jié)構(gòu)如圖1所示。

圖1　商業(yè)銀行SECaaS架構(gòu)

1) 基礎(chǔ)設(shè)施安全服務(wù)層

基礎(chǔ)設(shè)施安全服務(wù)層為終端、系統(tǒng)、網(wǎng)絡(luò)、主機(jī)、云等基礎(chǔ)設(shè)施，提供設(shè)備認(rèn)證、非法外聯(lián)、系統(tǒng)安全加固及規(guī)范配置、云防病毒、網(wǎng)絡(luò)隔離、防拒絕服務(wù)攻擊等各類(lèi)安全服務(wù)。

2) 應(yīng)用安全服務(wù)層

提供統(tǒng)一、規(guī)范的安全措施，主要包括用戶(hù)認(rèn)證、客戶(hù)認(rèn)證、密碼服務(wù)、數(shù)據(jù)安全、安全監(jiān)控等，以安全服務(wù)的形式供應(yīng)用調(diào)用，便捷地實(shí)現(xiàn)各個(gè)業(yè)務(wù)應(yīng)用系統(tǒng)中所需的安全保障。

3) 服務(wù)接入層

基于硬件無(wú)關(guān)性的設(shè)計(jì)，適應(yīng)不同業(yè)務(wù)應(yīng)用，提供多樣化的服務(wù)模式和統(tǒng)一的服務(wù)接口，使安全功能與應(yīng)用松耦合，易于擴(kuò)展安全服務(wù)，支撐安全功能的快速部署。

4) 安全策略管理中心

通過(guò)統(tǒng)一的安全策略管理，部署一體化安全管理機(jī)制，實(shí)現(xiàn)信息安全管理的標(biāo)準(zhǔn)化、規(guī)范化，保障安全架構(gòu)的有效落實(shí)和運(yùn)轉(zhuǎn)。

1.3架構(gòu)實(shí)現(xiàn)

1.3.1基礎(chǔ)設(shè)施安全服務(wù)層

基礎(chǔ)設(shè)施安全組件在終端、網(wǎng)絡(luò)、系統(tǒng)、云等方面，通過(guò)終端設(shè)備認(rèn)證、非法外聯(lián)、系統(tǒng)安全加固及規(guī)范配置、云防病毒、網(wǎng)絡(luò)隔離、防拒絕服務(wù)攻擊各類(lèi)安全控制機(jī)制，保障基礎(chǔ)設(shè)施安全，延伸企業(yè)安全邊界，擴(kuò)展銀行業(yè)務(wù)辦理渠道，為應(yīng)用安全提供基礎(chǔ)保障。基礎(chǔ)設(shè)施安全服務(wù)層的結(jié)構(gòu)如圖2所示。

圖2　基礎(chǔ)設(shè)施安全服務(wù)層

網(wǎng)絡(luò)安全方面，以銀行安全策略為總體原則，實(shí)現(xiàn)網(wǎng)絡(luò)安全域劃分，不同網(wǎng)絡(luò)區(qū)域采取隔離措施，嚴(yán)格訪(fǎng)問(wèn)控制，滿(mǎn)足管理策略中對(duì)基礎(chǔ)設(shè)施安全的要求。其中網(wǎng)絡(luò)安全包括劃分網(wǎng)絡(luò)安全域、互聯(lián)網(wǎng)隔離、滲透性測(cè)試、互聯(lián)網(wǎng)數(shù)據(jù)防泄露(DLP)、入侵檢測(cè)系統(tǒng)(IDS)、分布式拒絕服務(wù)(DDOS)防護(hù)、網(wǎng)絡(luò)訪(fǎng)問(wèn)控制和SSLVPN等安全服務(wù)；系統(tǒng)安全包括運(yùn)維管理平臺(tái)、系統(tǒng)安全配置、系統(tǒng)身份認(rèn)證、安全加固、系統(tǒng)賬戶(hù)管理、系統(tǒng)防惡意代碼、系統(tǒng)入侵檢測(cè)和漏洞掃描等安全服務(wù)；終端安全包括終端設(shè)備認(rèn)證、終端防泄露、沙盒、加密U盤(pán)、桌面云以及非法外法監(jiān)控等安全服務(wù)；云安全包括服務(wù)器虛擬化安全、桌面云安全，服務(wù)器虛擬化安全采取了防逃逸和網(wǎng)絡(luò)隔離產(chǎn)品，桌面云安全部署了防病毒和敏感信息監(jiān)控產(chǎn)品。

1.3.2應(yīng)用安全服務(wù)層

應(yīng)用安全服務(wù)層提供了信息系統(tǒng)安全的核心功能，包括用戶(hù)認(rèn)證、客戶(hù)認(rèn)證、密碼服務(wù)、數(shù)據(jù)安全和安全監(jiān)控。將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)了安全功能的組件化、標(biāo)準(zhǔn)化、專(zhuān)業(yè)化，面向所有安全對(duì)象，建立全面、集中、統(tǒng)一、靈活的安全服務(wù)體系，提供全面、透明、高效、可靠、面向服務(wù)的安全機(jī)制。

1) 用戶(hù)認(rèn)證組件

用戶(hù)認(rèn)證組件為銀行員工多渠道接入提供統(tǒng)一規(guī)范、靈活便捷的身份認(rèn)證和單點(diǎn)登錄服務(wù)，支持用戶(hù)多應(yīng)用一站式登錄，支持不同內(nèi)部辦公、業(yè)務(wù)及管理系統(tǒng)，滿(mǎn)足不同員工的安全需求，提升銀行內(nèi)部員工認(rèn)證效率和安全水平。用戶(hù)認(rèn)證組件的結(jié)構(gòu)如圖3所示。

圖3　用戶(hù)認(rèn)證組件

企業(yè)級(jí)身份認(rèn)證平臺(tái)，采用多認(rèn)證方式，靈活支持員工使用多種認(rèn)證方式進(jìn)行身份認(rèn)證，如極強(qiáng)靜態(tài)口令、動(dòng)態(tài)口令、指紋，并為數(shù)字證書(shū)、臉型等認(rèn)證方式保留擴(kuò)展接口。實(shí)現(xiàn)多協(xié)議接入，為C/S應(yīng)用系統(tǒng)提供基于HTTPS協(xié)議的認(rèn)證與單點(diǎn)登錄接口，為B/S應(yīng)用系統(tǒng)提供統(tǒng)一認(rèn)證與統(tǒng)一登錄服務(wù)，為VPN接入、網(wǎng)絡(luò)設(shè)備提供RADIUS、LDAP協(xié)議。

2) 客戶(hù)認(rèn)證組件

客戶(hù)身份認(rèn)證使用銀行統(tǒng)一的外部客戶(hù)認(rèn)證組件實(shí)現(xiàn)，提供多種方式的身份認(rèn)證機(jī)制，為不同業(yè)務(wù)系統(tǒng)提供接入安全保證，滿(mǎn)足不同業(yè)務(wù)需求和業(yè)務(wù)創(chuàng)新需求?？蛻?hù)認(rèn)證組件的結(jié)構(gòu)如圖4所示。

圖4　客戶(hù)認(rèn)證組件

客戶(hù)認(rèn)證組件對(duì)傳統(tǒng)業(yè)務(wù)、電子業(yè)務(wù)和智慧銀行提供了靜態(tài)口令、動(dòng)態(tài)口令、短信驗(yàn)證、數(shù)字證書(shū)等傳統(tǒng)認(rèn)證方式。針對(duì)客戶(hù)風(fēng)險(xiǎn)等級(jí)、交易限額采取相應(yīng)的認(rèn)證措施，有效提升了銀行系統(tǒng)的安全性和客戶(hù)資金的安全性。

同時(shí)，客戶(hù)認(rèn)證組件也實(shí)現(xiàn)了生物特征認(rèn)證方式，如虹膜識(shí)別技術(shù)代替密碼、令牌等身份認(rèn)證方式，解決了銀行客戶(hù)身份的確認(rèn)，有效驗(yàn)證人、卡一致性，解決卡片欺詐和銀行卡安全等問(wèn)題。為客戶(hù)提供一種安全、便捷的銀行交易身份認(rèn)證新模式。

客戶(hù)認(rèn)證組件實(shí)現(xiàn)了聯(lián)盟認(rèn)證服務(wù)，客戶(hù)使用商業(yè)銀行發(fā)行的網(wǎng)銀盾等安全產(chǎn)品登錄第三方的系統(tǒng)，實(shí)現(xiàn)了商業(yè)銀行、第三方的共贏，方便了客戶(hù)。

3) 密碼服務(wù)組件

密碼服務(wù)組件通過(guò)構(gòu)建銀行統(tǒng)一的密鑰管理方案，為銀行各個(gè)平臺(tái)以及外聯(lián)單位的數(shù)據(jù)傳輸和數(shù)據(jù)存儲(chǔ)提供透明的密鑰管理服務(wù)，是確保數(shù)據(jù)機(jī)密性、完整性和防抵賴(lài)的重要手段。密碼服務(wù)組件為銀行業(yè)務(wù)系統(tǒng)提供統(tǒng)一的密鑰管理機(jī)制，能夠有效提升全行業(yè)務(wù)系統(tǒng)的安全等級(jí)。密碼服務(wù)組件的結(jié)構(gòu)如圖5所示。

圖5　密碼服務(wù)組件

密碼服務(wù)組件以服務(wù)平臺(tái)的形式為業(yè)務(wù)系統(tǒng)提供統(tǒng)一、完整、全面、豐富可用的密碼安全機(jī)制，降低業(yè)務(wù)系統(tǒng)開(kāi)發(fā)項(xiàng)目中的密碼運(yùn)算和密鑰管理的工作復(fù)雜度，避免了各個(gè)業(yè)務(wù)系統(tǒng)為達(dá)到安全要求的重復(fù)開(kāi)發(fā)。

密碼服務(wù)組件以安全服務(wù)方式為各應(yīng)用組件提供機(jī)制統(tǒng)一的安全服務(wù)，實(shí)現(xiàn)分布式和集中式的密鑰應(yīng)用方式的管理，不僅能為銀行內(nèi)部系統(tǒng)提供企業(yè)級(jí)的傳輸與存儲(chǔ)安全，還能為外聯(lián)單位接入銀行提供安全保障；實(shí)現(xiàn)密碼算法庫(kù)的開(kāi)發(fā)，支持軟件和硬件實(shí)現(xiàn)方式，同時(shí)支持國(guó)際算法和國(guó)產(chǎn)算法；提供豐富可用的API接口，支持多種密碼算法和安全功能，可支持報(bào)文安全需求和文件安全需求，滿(mǎn)足C/Java的調(diào)用方式；提供密碼設(shè)備集中管理、統(tǒng)一調(diào)度、實(shí)時(shí)監(jiān)控的服務(wù)。設(shè)計(jì)開(kāi)發(fā)符合信息系統(tǒng)體系架構(gòu)的密鑰管理模塊，為工作密鑰集中管理和存儲(chǔ)加密密鑰管理提供服務(wù)。協(xié)助安全節(jié)點(diǎn)之間完成工作密鑰的協(xié)商，為存儲(chǔ)加密密鑰提供生成、分發(fā)、存儲(chǔ)、備份、歸檔、撤銷(xiāo)等全生命周期的管理服務(wù)，提高節(jié)點(diǎn)密鑰管理能力，提高可用性和服務(wù)效率。

為業(yè)務(wù)系統(tǒng)提供透明、動(dòng)態(tài)配置加解密服務(wù)，密鑰管理由安全代理與密鑰管理中心交互完成，框架集成安全插件，并負(fù)責(zé)密碼計(jì)算接口的調(diào)用。安全策略由密鑰管理中心統(tǒng)一配置，通過(guò)輪詢(xún)、增量下載機(jī)制實(shí)現(xiàn)動(dòng)態(tài)管理。

4) 數(shù)據(jù)安全組件

數(shù)據(jù)安全組件提供數(shù)據(jù)集散地、數(shù)據(jù)脫敏、文檔權(quán)限控制、數(shù)據(jù)水印、在線(xiàn)瀏覽、數(shù)據(jù)銷(xiāo)毀等安全功能和服務(wù)。通過(guò)構(gòu)建多個(gè)安全區(qū)域?qū)崿F(xiàn)數(shù)據(jù)的分級(jí)分類(lèi)保護(hù)和方便使用。數(shù)據(jù)集散地實(shí)現(xiàn)數(shù)據(jù)在各安全區(qū)域內(nèi)部、安全區(qū)域之間、安全區(qū)域與數(shù)據(jù)集散地之間發(fā)布和流轉(zhuǎn)，并集成了數(shù)據(jù)脫敏、在線(xiàn)瀏覽等功能，保障數(shù)據(jù)跨區(qū)域流轉(zhuǎn)的安全。通過(guò)文檔權(quán)限控制、數(shù)據(jù)水印和數(shù)據(jù)銷(xiāo)毀功能實(shí)現(xiàn)對(duì)數(shù)據(jù)本身的安全加固，保證數(shù)據(jù)全生命周期權(quán)限的統(tǒng)一管理。數(shù)據(jù)安全組件有效提升了全行的數(shù)據(jù)保護(hù)能力。數(shù)據(jù)安全組件的結(jié)構(gòu)如圖6所示。

圖6　數(shù)據(jù)安全組件

數(shù)據(jù)安全組件提供環(huán)境識(shí)別組件,確定用戶(hù)使用環(huán)境的安全區(qū)域等級(jí)，根據(jù)不同安全區(qū)域等級(jí)靈活訂制客戶(hù)端訪(fǎng)問(wèn)及敏感數(shù)據(jù)共享策略，提供多種不同的數(shù)據(jù)安全保障措施。同時(shí)利用沙盒客戶(hù)端、文檔權(quán)限控制客戶(hù)端等在客戶(hù)端層面豐富敏感數(shù)據(jù)保護(hù)手段。

同時(shí)為滿(mǎn)足用戶(hù)不同終端環(huán)境和安全區(qū)域的敏感數(shù)據(jù)存儲(chǔ)需求，數(shù)據(jù)安全組件提供個(gè)人網(wǎng)盤(pán)功能，為每個(gè)用戶(hù)提供了存儲(chǔ)敏感數(shù)據(jù)文件的空間。用戶(hù)可以根據(jù)自身需要，像桌面管理操作系統(tǒng)文件一樣，組織管理自己的敏感數(shù)據(jù)文件。敏感數(shù)據(jù)文件被系統(tǒng)邏輯分割到不同的存儲(chǔ)位置，這樣既保證用戶(hù)的正常數(shù)據(jù)存儲(chǔ)使用等功能，又防止了敏感數(shù)據(jù)外泄的風(fēng)險(xiǎn)。

數(shù)據(jù)安全組件通過(guò)構(gòu)建數(shù)據(jù)集散地，實(shí)現(xiàn)數(shù)據(jù)在不同安全區(qū)域內(nèi)部及之間的發(fā)布和流轉(zhuǎn)，簡(jiǎn)化數(shù)據(jù)流轉(zhuǎn)流程，提高數(shù)據(jù)使用的易用性、便捷性。針對(duì)數(shù)據(jù)文件一對(duì)多發(fā)布的需求，提供用戶(hù)組、組文件空間功能，實(shí)現(xiàn)便捷、易用的共享功能。組管理員可以通過(guò)Web界面維護(hù)組內(nèi)成員信息，組內(nèi)成員都可以通過(guò)上傳文檔在組內(nèi)共享數(shù)據(jù)文件，確保一對(duì)多的共享效率更高。

數(shù)據(jù)安全組件有效提升了全行的數(shù)據(jù)保護(hù)能力。數(shù)據(jù)安全組件全方位與統(tǒng)一安全無(wú)縫集成，包括策略管理中心、統(tǒng)一認(rèn)證、安全審計(jì)組件，提供了完整、統(tǒng)一、集中的策略管理界面和安全、可靠的認(rèn)證體系，以及完備、詳細(xì)的事后審計(jì)。數(shù)據(jù)安全組件提供了郵件、短信通知功能，讓用戶(hù)可以及時(shí)獲取、處理任務(wù)信息。

5) 安全監(jiān)控組件

安全監(jiān)控組件負(fù)責(zé)全面采集各類(lèi)安全監(jiān)控對(duì)象(主機(jī)、網(wǎng)絡(luò)設(shè)備、終端設(shè)備、安全設(shè)備、應(yīng)用組件、技術(shù)組件、安全組件、運(yùn)維平臺(tái)等)的安全日志信息，分析安全風(fēng)險(xiǎn)事件，展示全行IT風(fēng)險(xiǎn)態(tài)勢(shì)，及時(shí)發(fā)現(xiàn)來(lái)自?xún)?nèi)外部的攻擊威脅、違規(guī)行為，識(shí)別潛在風(fēng)險(xiǎn)和安全隱患，保障銀行信息系統(tǒng)的持續(xù)安全運(yùn)營(yíng)。安全監(jiān)控組件的結(jié)構(gòu)如圖7所示。

圖7　安全監(jiān)控組件

組件建立統(tǒng)一日志采集平臺(tái)，提供多樣化的日志采集模式，集中體系內(nèi)基礎(chǔ)設(shè)施日志、應(yīng)用安全日志、應(yīng)用業(yè)務(wù)數(shù)據(jù)和外部安全數(shù)據(jù)。組件可根據(jù)安全監(jiān)控對(duì)象的日志數(shù)據(jù)格式進(jìn)行多種適配，支持通用的SysLog、文件、數(shù)據(jù)庫(kù)3種格式的采集模式，可自定義日志數(shù)據(jù)格式滿(mǎn)足個(gè)性化要求。

組件提供基于關(guān)鍵字、行為特征、行為習(xí)慣等多樣化的分析機(jī)制，建立多維度的風(fēng)險(xiǎn)事件分析模型，及時(shí)發(fā)現(xiàn)風(fēng)險(xiǎn)，準(zhǔn)確定位事件責(zé)任主體；通過(guò)對(duì)大量歷史數(shù)據(jù)的挖掘與分析，識(shí)別潛在風(fēng)險(xiǎn)和安全隱患；組件提供緊急事件分析環(huán)境及分析手段，以適應(yīng)案件新特征和多變性。

基于關(guān)鍵字的分析模型是指通過(guò)某個(gè)特定關(guān)鍵字(一般為事件責(zé)任主體，如某個(gè)人、某臺(tái)機(jī)器)分析該事件所有相關(guān)信息，包括時(shí)間、行為、周?chē)h(huán)境等?；谛袨樘卣鞯姆治瞿Ｐ褪侵敢罁?jù)事件責(zé)任主體行為特征確定為安全事件的分析方法，如：客戶(hù)在短時(shí)間內(nèi)在多個(gè)地區(qū)登錄網(wǎng)銀系統(tǒng)，這些特征被定義為異常登錄行為，有可能是客戶(hù)密碼被盜取?；谛袨榱?xí)慣的分析模型是指依據(jù)事件責(zé)任主體的日常行為進(jìn)行數(shù)據(jù)統(tǒng)計(jì)，得出其正常行為習(xí)慣,當(dāng)異常行為發(fā)生時(shí)能及時(shí)發(fā)現(xiàn)的分析方法。

安全監(jiān)控組件提供對(duì)攻擊威脅、信息泄漏、用戶(hù)終端、客戶(hù)資金安全等風(fēng)險(xiǎn)主題的多視角關(guān)聯(lián)展示，統(tǒng)一呈現(xiàn)全行IT風(fēng)險(xiǎn)態(tài)勢(shì)。通過(guò)對(duì)防火墻、入侵檢測(cè)系統(tǒng)、防病毒網(wǎng)關(guān)、郵件網(wǎng)關(guān)、Web服務(wù)等日志和事件的關(guān)聯(lián)分析，發(fā)現(xiàn)來(lái)自外部的攻擊和威脅；通過(guò)跟蹤數(shù)據(jù)、介質(zhì)的使用情況和分析數(shù)據(jù)使用環(huán)境的日志，發(fā)現(xiàn)信息泄漏行為；通過(guò)審計(jì)和跟蹤用戶(hù)管理、用戶(hù)操作行為，監(jiān)控終端健康狀況，發(fā)現(xiàn)風(fēng)險(xiǎn)和安全隱患；通過(guò)對(duì)交易IT信息、交易賬戶(hù)和行為等關(guān)聯(lián)分析，發(fā)現(xiàn)風(fēng)險(xiǎn)賬戶(hù)和可疑行為，豐富業(yè)務(wù)風(fēng)險(xiǎn)識(shí)別手段。風(fēng)險(xiǎn)態(tài)勢(shì)重點(diǎn)通過(guò)兩個(gè)角度進(jìn)行展示，一是違反安全監(jiān)控策略的安全事件，另一個(gè)則是通過(guò)展示日常安全風(fēng)險(xiǎn)態(tài)勢(shì)，發(fā)現(xiàn)異態(tài)，進(jìn)行預(yù)判并跟蹤風(fēng)險(xiǎn)或事件的走向。

1.3.3服務(wù)接入層

服務(wù)接入層作用為將信息安全功能以服務(wù)的形式接入到各個(gè)業(yè)務(wù)應(yīng)用系統(tǒng)中。該層提供安全代理、安全插件和安全客戶(hù)端，獨(dú)立于業(yè)務(wù)應(yīng)用系統(tǒng)。為業(yè)務(wù)應(yīng)用系統(tǒng)提供安全相關(guān)功能接口的集合，主要包括加解密運(yùn)算、數(shù)字簽名、用戶(hù)認(rèn)證等安全功能，是業(yè)務(wù)系統(tǒng)與安全服務(wù)發(fā)生直接聯(lián)系的窗口。將業(yè)務(wù)系統(tǒng)與安全服務(wù)進(jìn)行了解耦，安全服務(wù)調(diào)整將不影響業(yè)務(wù)系統(tǒng)。應(yīng)用系統(tǒng)使用傳統(tǒng)安全架構(gòu)與SECaaS安全架構(gòu)對(duì)比如圖8所示。

圖8　傳統(tǒng)安全架構(gòu)與SECaaS安全架構(gòu)對(duì)比

安全代理和安全插件支持多平臺(tái)部署，提供安全功能和安全服務(wù)的統(tǒng)一接口，實(shí)現(xiàn)安全功能的合理分布，達(dá)到安全功能部署集中與高效的平衡。

應(yīng)用系統(tǒng)可依據(jù)自身的技術(shù)架構(gòu)選擇部署安全代理或安全插件，代理和插件部署在各個(gè)應(yīng)用平臺(tái)，為應(yīng)用系統(tǒng)集中提供安全服務(wù)。安全代理和安全插件采用頒發(fā)給應(yīng)用系統(tǒng)數(shù)字證書(shū)綁定應(yīng)用系統(tǒng)的身份，在提供安全服務(wù)的過(guò)程中應(yīng)用系統(tǒng)需要使用數(shù)字證書(shū)進(jìn)行身份認(rèn)證。

安全代理對(duì)應(yīng)用系統(tǒng)提供安全服務(wù)的API接口，通過(guò)調(diào)用接口，應(yīng)用系統(tǒng)可觸發(fā)相應(yīng)的安全服務(wù)。安全代理和插件也會(huì)定期檢查應(yīng)用系統(tǒng)的安全服務(wù)狀態(tài)，例如：自動(dòng)檢測(cè)密鑰的有效期，在密鑰到達(dá)有效期后自動(dòng)發(fā)起密鑰協(xié)商操作，實(shí)現(xiàn)對(duì)應(yīng)用的透明服務(wù)。同時(shí)，安全代理和安全插件也可開(kāi)啟監(jiān)聽(tīng)服務(wù)，接收來(lái)自其他安全代理和插件的相關(guān)請(qǐng)求。

例如加密服務(wù)，應(yīng)用組件看到的只有一個(gè)加密的服務(wù)功能，即可以用加密組件進(jìn)行數(shù)據(jù)加密。但后臺(tái)有復(fù)雜的安全邏輯，包括采用什么樣的算法，如何協(xié)商、生成、更新和交換密鑰等，這些內(nèi)容都被安全服務(wù)封裝起來(lái)。表面上看，業(yè)務(wù)應(yīng)用就是用了加密服務(wù)去加密一條數(shù)據(jù)，但后臺(tái)其實(shí)已經(jīng)實(shí)現(xiàn)了國(guó)密算法的選擇和改造，或者RSA2048的升級(jí)，以及復(fù)雜的密鑰管理過(guò)程。因?yàn)槭且苑?wù)的方式提供，業(yè)務(wù)應(yīng)用無(wú)需關(guān)注安全服務(wù)的具體實(shí)現(xiàn)方式。

1.3.4安全策略管理中心

安全策略管理中心實(shí)現(xiàn)全行的統(tǒng)一安全策略管理，為安全架構(gòu)提供策略支持，建立全行統(tǒng)一的安全管理視圖。安全策略管理中心實(shí)現(xiàn)了對(duì)安全對(duì)象(安全節(jié)點(diǎn)、客戶(hù)端、安全代理、插件等)的統(tǒng)一管理，對(duì)安全策略(認(rèn)證策略、憑證策略、密鑰策略、終端策略等)的統(tǒng)一發(fā)布，提升了安全架構(gòu)的管控能力。同時(shí)，安全策略管理中心通過(guò)對(duì)認(rèn)證服務(wù)和加密服務(wù)等安全服務(wù)的可用性監(jiān)測(cè)，提升安全服務(wù)可用性；通過(guò)參數(shù)管理，提升精細(xì)化管理的粒度，實(shí)現(xiàn)參數(shù)化管理安全策略。安全策略管理中心的結(jié)構(gòu)如圖9所示。

圖9　安全策略管理中心

安全策略管理中心主要實(shí)現(xiàn)了以下功能：

1) 提供安全策略發(fā)布服務(wù)

對(duì)于安全服務(wù)、安全代理及插件、安全客戶(hù)端，統(tǒng)一發(fā)布包括認(rèn)證管理、憑證管理、密鑰管理和終端管理在內(nèi)的相關(guān)策略。安全策略的發(fā)布方式包括服務(wù)下載、自動(dòng)同步、離線(xiàn)分發(fā)等多種方式。

2) 提供參數(shù)發(fā)布服務(wù)

通過(guò)對(duì)安全服務(wù)、安全代理及插件、安全客戶(hù)端中相關(guān)配置參數(shù)的管理，實(shí)現(xiàn)對(duì)安全策略的精細(xì)化管理。

3) 統(tǒng)一管理安全實(shí)體

對(duì)安全節(jié)點(diǎn)、用戶(hù)、憑證、令牌等安全實(shí)體集中管理，管理安全實(shí)體從創(chuàng)建、維護(hù)到注銷(xiāo)的整個(gè)生命周期。安全實(shí)體的信息由安全策略管理中心統(tǒng)一同步給其他安全組件。

4) 提供安全服務(wù)狀態(tài)監(jiān)測(cè)服務(wù)

使用定時(shí)器和探針，通過(guò)定時(shí)發(fā)起模擬交易方式監(jiān)控認(rèn)證服務(wù)、加密服務(wù)的可用性，結(jié)合預(yù)定義的服務(wù)狀態(tài)判斷策略，獲得監(jiān)控結(jié)果，并決定是否通過(guò)短信通知運(yùn)維人員進(jìn)行處理。安全服務(wù)狀態(tài)檢測(cè)增強(qiáng)了對(duì)安全服務(wù)可用性的監(jiān)控力度，減少應(yīng)急響應(yīng)時(shí)間，提升應(yīng)急處理能力。

5) 提供安全交易統(tǒng)計(jì)功能

對(duì)于內(nèi)部用戶(hù)認(rèn)證，提供精確到交易類(lèi)型、交易時(shí)間、機(jī)構(gòu)的交易日志報(bào)表，可用于用戶(hù)認(rèn)證行為分析及認(rèn)證服務(wù)能力分析，并做出相應(yīng)的認(rèn)證策略調(diào)整。對(duì)密碼服務(wù)提供安全代理客戶(hù)端全局狀態(tài)視圖，可查看實(shí)時(shí)的密鑰管理整體狀態(tài)。

2　SECaaS架構(gòu)在商業(yè)銀行應(yīng)用效果分析

中國(guó)建設(shè)銀行已在國(guó)內(nèi)率先實(shí)現(xiàn)了SECaaS架構(gòu)，通過(guò)SECaaS架構(gòu)的實(shí)施給中國(guó)建設(shè)銀行的信息系統(tǒng)開(kāi)發(fā)和業(yè)務(wù)運(yùn)營(yíng)帶來(lái)了很多積極變化。

2.1安全功能實(shí)現(xiàn)工作量分析

SECaaS架構(gòu)實(shí)現(xiàn)了安全功能與應(yīng)用系統(tǒng)的解耦，方便安全功能的復(fù)用。通過(guò)對(duì)比SECaaS架構(gòu)實(shí)施前安全功能實(shí)現(xiàn)工作量與實(shí)施后的工作量，能客觀評(píng)價(jià)SECaaS架構(gòu)在應(yīng)用系統(tǒng)開(kāi)發(fā)建設(shè)方面的貢獻(xiàn)。本文選取了商業(yè)銀行中對(duì)公信貸管理系統(tǒng)、對(duì)私信貸管理系統(tǒng)、信用卡業(yè)務(wù)系統(tǒng)、支付結(jié)算系統(tǒng)和網(wǎng)上銀行系統(tǒng)等五個(gè)重要交易類(lèi)系統(tǒng)的安全功能實(shí)現(xiàn)工作量，進(jìn)行了對(duì)比分析，工作量對(duì)比如圖10所示。

圖10　SECaaS架構(gòu)實(shí)施前后安全功能實(shí)現(xiàn)工作量對(duì)比

SECaaS架構(gòu)實(shí)施前，各應(yīng)用系統(tǒng)的安全功能獨(dú)立進(jìn)行開(kāi)發(fā)，開(kāi)發(fā)所需要的工作量分別為26、24、32、23、52人月；SECaaS架構(gòu)實(shí)施后，安全功能的實(shí)現(xiàn)所需要的工作量分別為5、4.5、5.3、4、8人月，平均減少82.5%的工作量。SECaaS架構(gòu)的實(shí)施，大大減少應(yīng)用系統(tǒng)安全功能開(kāi)發(fā)工作量，縮短了開(kāi)發(fā)周期，為銀行金融業(yè)務(wù)市場(chǎng)拓展贏得先機(jī)。

2.2服務(wù)能力分析

SECaaS架構(gòu)實(shí)現(xiàn)了安全功能的集中服務(wù)、集中管控，安全服務(wù)能力與傳統(tǒng)分散式的架構(gòu)相比，通過(guò)安全服務(wù)資源池，安全服務(wù)能力大大提升。本文選擇客戶(hù)認(rèn)證、用戶(hù)認(rèn)證和加密服務(wù)三個(gè)安全服務(wù)，對(duì)SECaaS架構(gòu)實(shí)施前的最大服務(wù)能力、SECaaS架構(gòu)實(shí)施后的最大服務(wù)能力、2016年4月實(shí)際峰值服務(wù)量進(jìn)行對(duì)比分析，分析結(jié)果如圖11所示。

圖11　SECaaS架構(gòu)實(shí)施前后安全服務(wù)能力對(duì)比

SECaaS架構(gòu)實(shí)施前，中國(guó)建設(shè)銀行的客戶(hù)認(rèn)證最大服務(wù)能力為每日4000萬(wàn)筆，用戶(hù)認(rèn)證為每日300萬(wàn)筆，加密服務(wù)為40萬(wàn)筆；而SECaaS架構(gòu)實(shí)施后，客戶(hù)認(rèn)證最大服務(wù)能力為每日12 000萬(wàn)筆，用戶(hù)認(rèn)證為每日1100萬(wàn)筆，加密服務(wù)為150萬(wàn)筆。2016年4月，中國(guó)建設(shè)銀行實(shí)際的峰值服務(wù)量為客戶(hù)認(rèn)證4500萬(wàn)筆、用戶(hù)認(rèn)證590萬(wàn)筆、加密服務(wù)63萬(wàn)筆。通過(guò)對(duì)比分析可以看出，SECaaS架構(gòu)的實(shí)施有效地滿(mǎn)足了業(yè)務(wù)發(fā)展需求，并且通過(guò)資源池的擴(kuò)充還可繼續(xù)提高安全服務(wù)能力。

2.3安全防護(hù)效果分析

SECaaS架構(gòu)實(shí)現(xiàn)了邊界防護(hù)和縱深防御并重，由傳統(tǒng)的“木桶原理”從終端、應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)、主機(jī)和基礎(chǔ)設(shè)施層面劃分安全管理對(duì)象和防護(hù)的理念，轉(zhuǎn)變?yōu)橛蓸I(yè)務(wù)交易為主線(xiàn)，從可信接入、可信交易環(huán)境、可信數(shù)據(jù)和可信行為等幾個(gè)方面進(jìn)行有效關(guān)聯(lián)，面向業(yè)務(wù)交易開(kāi)展安全管理和防范。將傳統(tǒng)邊界防護(hù)“木桶原理”發(fā)展為縱深排列的“多層水閘式”的防范體系，有效避免了安全的短板效應(yīng)。本文選擇網(wǎng)銀渠道、手機(jī)銀行渠道平均每月的業(yè)務(wù)交易風(fēng)險(xiǎn)攔截?cái)?shù)量進(jìn)行分析，分析結(jié)果如圖12所示。

圖12　SECaaS架構(gòu)實(shí)施前后業(yè)務(wù)交易風(fēng)險(xiǎn)攔截能力對(duì)比

SECaaS架構(gòu)實(shí)施前，中國(guó)建設(shè)銀行的網(wǎng)銀渠道平均業(yè)務(wù)交易風(fēng)險(xiǎn)攔截為每月1629筆，手機(jī)渠道為每月1135筆；而SECaaS架構(gòu)實(shí)施后，網(wǎng)銀渠道平均業(yè)務(wù)交易風(fēng)險(xiǎn)攔截為每月3578筆，手機(jī)渠道為每月2966筆。通過(guò)對(duì)比分析可以看出，SECaaS架構(gòu)的實(shí)施有效提高業(yè)務(wù)交易風(fēng)險(xiǎn)的關(guān)聯(lián)要素和維度，業(yè)務(wù)交易風(fēng)險(xiǎn)識(shí)別能力大大提升，形成了面向業(yè)務(wù)交易的縱深安全管控體系。

3　結(jié)　語(yǔ)

本文通過(guò)商業(yè)銀行所面臨的信息安全現(xiàn)狀和商業(yè)銀行信息科技未來(lái)發(fā)展趨勢(shì)的研究。首次在業(yè)界提出了商業(yè)銀行SECaaS架構(gòu)的概念和模型，并在架構(gòu)模型的基礎(chǔ)上完成了銀行SECaaS架構(gòu)的建設(shè)工作，將安全功能從應(yīng)用中解耦，實(shí)現(xiàn)安全功能的組件化、標(biāo)準(zhǔn)化、專(zhuān)業(yè)化開(kāi)發(fā)；面向所有安全對(duì)象，建立全面、集中、靈活、智能的安全架構(gòu)；實(shí)現(xiàn)了“安全即服務(wù)”業(yè)界領(lǐng)先的安全服務(wù)體系，向應(yīng)用系統(tǒng)提供高效、可靠的、面向服務(wù)的安全機(jī)制。

[1]FurfaroA,GarrA,TundisA.TowardsSecurityasaService(SecaaS):OnthemodelingofSecurityServicesforCloudComputing[C]//2014InternationalCarnahanConferenceonSecurityTechnology(ICCST).IEEE,2014:1-6.

[2]HussainM,AbdulsalamH.SECaaS:securityasaserviceforcloud-basedapplications[C]//ProceedingsoftheSecondKuwaitConferenceone-Servicesande-Systems.ACM,2011:1-4.

[3]SenkC.Adoptionofsecurityasaservice[J].JournalofInternetServicesandApplications,2013,4(1):1-16.

[4] 林闖,蘇文博,孟坤,等.云計(jì)算安全:架構(gòu)、機(jī)制與模型評(píng)價(jià)[J].計(jì)算機(jī)學(xué)報(bào),2013,36(9):1765-1784.[5] Gartner.Survey Analysis:Top 10 Information Security Technology 2014[M].USA:Gartner,2014.

[6] Gartner.Survey Analysis:Risk Management 2013[M].USA:Gartner,2013.

[7] Basel Committee on Banking Supervision[S].Core Principles for Effective Banking Supervision,2012.

[8] The 2011 Standard of Good practice for Information Security[S].UK:Information Security Forum (ISF),2011.

[9] The Business Model for Information Security (BMIS)[S].USA:ISACA,2010.

[10] Guide for Assessing the Information Security Controls in Federal Information Systems and Organizations:Building Effective Security Assessment Plans[S].USA:Department of Commerce,2010.

[11] NST.Technical Guide for Assessing the Security Controls in Federal Information System and Organizations[S].USA:Special Publication,2010.

[12] Common Security Framework (CSF)[S].USA:Health Information Trust Alliance (HITRUST),2009.

DESIGNANDIMPLEMENTATIONOFSECAASARCHITECTUREFORCOMMERCIALBANK

JinPanshiGuoHanliCaoWenzhongZhangHui

(ChinaConstructionBank,Beijing100033,China)

Currently,thesecurityfunctionofcommercialbanksapplicationsystemwastightlycoupledwithapplicationsystem,thecommonexistingproblemsweregeneratedsuchasthesecurityfunctioncannotbereused,theintegratedsecuritystrategywashardtobeimplementedandnewsecuritythreatsweredifficulttocounter.Basedonthecommoninformationsecurityarchitectureofcommercialbanks,thispaperproposestheSECaaS(Securityasaservice)architecturebyusingSOAanddecouplesthesecurityfunctionfromtheapplication.Therefore,thecomponentization,standardization,intellectualizationandconfigurabilityofsecurityfunctionwereaccomplished.Thesecurityfunction,whichcouldbeconsideredasthesecurityservices,providesthesupportforapplicationsystemwithintegrity,transparency,effectivenessandreliability.ItnotonlyeffectivelyguaranteestheITsystemsafeandstableoperation,butalsoprospectivelychangestheroleofinformationsecurityfromformerITdevelopmentsupportertotheboosterofbusinessdevelopment.

CommercialbankSecurityarchitectureModulizationSECaaSSecurityservice

2016-06-20。金磐石，高工，主研領(lǐng)域：信息科技治理。郭漢利，高工。曹文中，高工。張輝，碩士。

TP

ADOI:10.3969/j.issn.1000-386x.2016.10.024