|
网银安全不容乐观 应该如何应对
|
来源: 2007-11-14 11:38:34
|
网上银行信息现状不容乐观 来自新华网的统计表明:2006年上半年网上银行的交易总则达到了40万亿,个人网银用户达到3500万,企业网银的用户达到900万,网上银行有48家,而且近几年基本上每年保持在100%的增长速度。 相应而来的是各类有威胁的攻击和病毒层出不穷。耳熟能详的就有包括网银大盗、灰鸽子病毒、广外女生病毒,还有去年年底很热门的熊猫烧香病毒。 与之同时,网银大盗事件也在逐年增长。在年的时候,网银大盗有60例安全事件,2005年则达到了1100例,而2006年的时候达到3.7万例。每年都是几何级数的增长,这表明安全厂商在对付这种病毒和攻击的同时,病毒也在不断地升级和扩展,而且在每一个版本上都会加入新的攻击特征和功能,目的就是达到一个更好的攻击效果。 现象背后的思考 现在针对于网银,还有各种各样的公司和企业的安全事件越来越多。实际上背后隐藏着这样一个事实:地下的黑金产业现在已经形成了很庞大的一个规模,也已经形成了一个比较成熟的链条。 首先是病毒和木马的编写者,这一部分人会把新型的病毒和木马,包括更新的版本会不断地编写出来;再向下会有一个销售的渠道,这个渠道专门把这些高手编出来的攻击程序销售给的攻击者。需要注意的是,攻击者不再需要很高的技术,技术问题都被病毒和木马的编写者解决了。攻击者只要是能使用这个工具去攻击网银的用户即可。而在攻击成功之后会有很多的利益,例如,攻破了一个经常上网、游戏用户的计算机,一些q币、游戏的账号和虚拟物品都会被黑客得到。这些东西被盗取以后还有专门的销售渠道,去换取现实中的人民币。 整个的黑金产业链条已经分工得非常明确了。黑客的攻击已经不再是出于猎奇、报复等个人的主观目的,而是从金钱利益方面获得了最强烈的力,通过攻击网银的客户或商务网站可以获得直接的金钱利益,这导致现在黑客的攻击愈演愈烈。 从安全保护的角度讲,需要我们全面地主动去考虑一些安全的问题。比如我们可以从黑客的心理出发,提高黑客的攻击成本,降低他们攻击所能得到的收益,这样就可以很好地对黑客攻击的行为进行防范。 从银行的角度如何考虑网银安全 从客户端提交交易申请,在局端受理后进行统一的交易处理,所以我们可以从局端和网银的客户端两方面出发去考虑网银的安全。 局端的安全需求来可以分为三个方面。首先是合规性需求,是指建设网银系统需要符合国家和管理机关的相关政策、法规和规范;其次是安全保障的需求,这部分比较传统,需要保证网银的数据可靠、网银的系统可用、并且提升效率;第三是第三方的认证需求,如iso27001安全管理体系认证,这些第三方认证也日益成为同业竞争的一个需要。 在合规需求方面,国信办、人民银行、银监会都出了相应的法规与管理办法,从宏观要求到具体的操作指南。针对于这些管理办法,银行的网银系统需要对它进行符合性的设计。银行在设计和更新网银系统的时候,需要确切了解这些条文的要求、需要遵守什么规定,需要满足什么条件。 在安全保障需求方面,可以使用安全手段和相应的安全管理策略,进行全面的信息安全管理体系建设。信息安全管理体系不但涉及到安全的网络架构、安全的系统,数据的安全,还包括相关的人员配置、管理制度等等一整套东西,并且有更新、维护的一套办法,是一个非常庞大的工程。在这个系统里面,可以利用下面这些产品和手段来达到数据可靠、系统可用和提升效率等等一些目的。 入侵检测/保护系统。发现攻击或者蠕虫或者木马攻击并进行阻断(入侵保护)。 远程安全评估系统。远程安全检查,发现主机和系统上是否存在的漏洞,对漏洞生命周期的整个过程加以控制。 抗拒绝服务的设备。防范现在非常流行的ddos攻击。 终端管理系统。对银行内部客户端进行保护与安全管理。 安全审计系统。统计网内用户的各种各样的行为,是否有违反安全规定的操作与活动。 第三方认证的需求,以iso27001认证为例,是对信息安全管理体系的认证。银行的信息安全管理体系isms通常是基于bs7799这个标准来建立的,而有了这个安全管理体系以后,是否达到了bs7799标准要求的水平?这就需要用iso27001标准来审核。如果能通过该认证,就说明符合体系的要求。 在网银局端安全以后,还需要关注一下网银客户端的安全。现在网银客户端的安全手段基本上集中在客户端的认证安全这一块,做法都是通过认证手段来确认网银客户端上操作的用户,是否为一个合法的用户。 第一类手段是在国内网银早期出现的账号、口令和证书等认证方式,它的易用性非常好,普及率高,但是相应安全性比较差。 第二类是usbkey认证,这种方法有很好的安全性保护,本身它的芯片是用特殊算法进行设计的,里面的证书信息,从理论讲外界不能读到,这样可以保护里面的证书安全。 第三类是口令卡,是usbkey相对廉价的替代品。口令卡也可以进行比较安全的身份验证。 不过,从理论上来讲,仅仅考虑安全认证还不能完全解决现在所有的安全隐患,黑客有可能进行底层消息的篡改。安全认证虽然是需要采用,但是还是需要结合其他一些安全手段来解决整体的安全问题。下面是一些建议的方式: 在网银的客户端安全控件里,加入一个安全保护的控件,它可以起到两部分的作用。第一是保护本地的安全性,如升级本地的客户端病毒库,而且进行补丁的管理,如果补丁不是最新的话,它可以到官方的补丁网站去下载,还有ie浏览器之类的补丁。另外,还包括其他账号、口令、权限设置等方面的安全检查与纠正。 第二,检查客户端中已经存在的木马,客户端在安装安全控件之前,有可能已经被黑客控制了,这种时候如果能加以发现并且识别,就可以防止进一步被侵害。 最后介绍的是比较可靠的双信道方式,即用个人客户端->internet这个信道传输网银的数据,用另外一个信道去传送,如去认证或者确认这次交易的信息。这样的话无论网银客户端是否被种了木马,都可以保证网银交易是安全的。我们申请网银客户帐户的时候,可以和一个号码加以绑定,账户和这个手机号码是一对一的关系。如果是经过了认证确实以后,客户端发出交易指令,网银局端会向客户端手机发短信,这个短信会把这次交易的详细信息显示出来,还会有一个确认码k,包括日期时间、对方账户号、转账金额等信息,如果信息正确,则用户把确认码k回复给网银局端,局端得到确认之后,才会进行相应的转账操作。 第二信道能很好地保证安全性。黑客一般都是从网上攻击网银,它不可能又控制计算机,同时又把这个用户的手机也控制了,这样的情况几乎不可能发生。 网银安全将来会如何发展 从将来的发展来看,个人用户、银行和安全公司应该进行一个良好的配合。个人用户的安全水平和安全意识需要很好的提高,这样才能跟利用银行和安全公司提供的安全手段,配合整体安全体系。安全公司就需要对个人的用户还有银行,提供这个长期的yb亚博全站首页的技术支持,不断研究新的安全技术来支持他们。 最后网银的安全还需要一个整体的社会环境,比如说法律法规,以及个人用户的安全意识和安全基本技能。这几方面的结合才能使以后网银达到全面安全的目的。国家和政府需要制订合理的法律法规,在it举证和法规方面进行加强。如果从it的取证、定罪到制裁的过程有一套很完整、很合理的法律法规去保证的话,黑客攻击网银就能抓到,根据确实的证据进行定罪,后面再进行合理的惩罚,让it犯罪不再是一个成名之路,这样对网银犯罪会有一个很大的震慑作用。 另外,还需要建立国家级的信用体系。如果在it方面的犯罪会导致你的信用下降,让罪犯在这个社会上难以立足。这样给黑客的攻击成本和风险加大,也可以从另一方面有效地制止it犯罪。 |