摘要

科技的发展使信息系统成为金融行业业务生产中最关键的一个方面，信息系统的连续性能保障业务的不间断，稳定的服务。企业依赖信息系统来运作他们的业务，如果一个信息系统脆弱，不稳定，支撑不了业务的持续性，公司商业运作可能被削弱或被完全停止。针对业务保证一个可靠的基础构造组织，将破坏的可能减到最小，是很必要的。信息安全是信息系统一个重要的关注点，为了这个原因，基础信息系统不得不提供安全的环境以保证最小化一个安全突破口的可能性。

引言

企业的信息安全是一个体系，也是一个系统性的工程。为应对现代企业信息系统基础环境安全需求，现代企业需要从信息安全的基础防护能力建设入手，逐步打造整体信息安全能力。

1、信息系统基础环境安全现状

由于经济、政治、军事、情报、利益等因素的存在，网络上的信息都将成为攻击的目标。我们所常见的黑客们目前更多关注的是获取经济利益，有组织的网络犯罪占据的比例越来越大。下图为CYBERTHREAT REAL-TIME MAP网站 提供的全球攻击实时图像，我国是一个攻击和被攻击较多的国家。

在信息化建设之后，银行、证券、保险等公司，都建立起规模巨大的数据中心，并通过业务系统对数据进行管理、访问和控制。大数据的集中，为数据的分析和利用带来了便利，但也使得信息安全的风险进一步集中化。信息系统基础环境安全面临的主要问题，如下：

1.1 基础安全防护不全面

千里之堤溃于蚁穴，企业的核心数据是被攻击的核心目标，再强大的边界防护和保障手段，在日益繁杂庞大的企业内网面前，都不能保证万无一失。传统基础环境威胁的信息来源主要是客户端上部署的安全软件和网络中部署的硬件安全产品的报警信息。管理人员在得到信息后，需要在短时间内对安全威胁进行处理，但这种处理是有局限性的，仅在终端或网络的层面，无法做到整个安全体系的集中防范和集中处理，无法形成整体的安全防护。

1.2 资产识别和管理问题

传统金融企业由于发展时间长，线上资产庞大，所以在资产识别和管理上有一定的难度。在资产庞大的传统金融企业中，当这些组件出现漏洞时，不仅仅是更新升级版本的问题，而是需要梳理受影响的线上系统组件到底有哪些、这些组件的实时在线要求以及修复漏洞是否会导致关联服务不可用等等这一系列的问题，这些问题都有可能直接影响到企业业务，而这些问题就直接导致安全问题频发。

1.3 业务由封闭走向开放，业务环境变化导致新的安全问题

传统金融企业在互联网时代正式全面到来之前，对于线上系统的需求更多偏向于自身办公的需求，而在各个行业业务不断向网络世界迁移的今天，传统金融行业也无一例外地开始发展起了网上业务。当线下交易走到线上进行，企业要开始面对更多来自线上攻击的手法。

1.4 使用的通用型程序或第三方服务带来的安全问题

互联网金融企业为节省开发成本以及节约开发时间，在建设的过程中会直接使用一些通用型的程序或第三方组件／服务，这其实也是变相地将自身的部分安全交到了第三方的手上。一旦这个通用型程序或第三方组件／服务出现安全问题，必将对企业本身带来损失。

2、信息系统基础环境安全措施介绍

2.1 信息系统基础环境安全策略体系

在进行信息系统基础环境安全技术防护建设的同时，需制定相关的信息安全策略、信息安全标准、信息安全流程以建立完整的信息安全管理体系，保证安全战略的达成。

1. 信息安全策略：提供信息系统基础环境安全管理所需的高阶安全管理策略，定义信息安全管理各领域的基本内容，如用户终端安全管理策略、网络访问管理策略等。
2. 信息安全标准：提供实现信息安全策略所需的信息安全标准规范，如操作系统安全配置标准、网络设备安全配置标准、网络访问控制标准等。
3. 信息安全操作流程：信息安全流程是符合信息安全标准的、用以实现信息安全策略的、详细的可操作的流程描述，如安装流程、日志审计流程。

2.2 基础设施信息安全保障手段

基础设施安全保障是指在物理环境、网络边界、网络环境、主机环境等层面所采取的安全措施。现代企业在下述基础设施要点强化建设：

1. 防火墙：应当在各网络边界（如互联网边界、广域网边界）部署防火墙控制措施，并制定严格细化的访问控制措施。
2. 弱点扫描：应当定期对应用系统、主机及网络、安全设备进行弱点扫描以发现存在的弱点及漏洞。
3. 安全加固：根据弱点扫描的结果对主机及网络、安全设备进行安全加固，主要工作包括配置更改、应用更新及补偿措施的确定。
4. 入侵检测系统：在网络中部署入侵检测系统对入侵事件进行监控，在核心服务器上部署主机入侵检测系统进行安全防护，检测发现安全事件后应当及时向管理员发送报警信息。
5. 无线安全：应当对无线网络连接设定认证、加密等安全防护措施，无线与有线网络的接口应当进行访问控制，结合准入控制手段对无线连接进行安全保护。
6. 远程访问：采用VPN方式实现远程访问，严格限制VPN帐号的申请使用，采用数字证书等强认证方式保证远程访问的安全，在远程访问设备及防火墙上严格控制接入用户的访问范围。
7. 恶意代码/病毒检测：在服务器及工作站上部署病毒及恶意代码检测工具，并且实现集中化管理。
8. 终端安全：采用终端安全管理套件保证工作站主机的安全，终端安全管理套件应实现对终端进行监控，并实现准入控制，主机层面的防火墙、主机入侵检测/防护等安全功能。这方面的安全缺陷可能损害网络和应用的完整性，而能够符合企业安全标准是关键。防范间谍软件和病毒的能力尤其重要。
9. 物理安全：对于主机和网络、安全设备所依赖的物理环境，应当从建筑物安全、防盗窃和破环、计算机设施的访问、防火防水、空调和电力供应等方面保证物理环境的安全。

2.3 信息系统安全防护结构

基础防护能力主要为基础设施层面的物理安全、网络安全及主机安全能力。同时，现代企业在建设基础防护能力的同时，着手开始进行一定的应用安全防护建设，各防护能力描述如下：

1. 网络安全防护：网络安全包括采用边界防护手段，保证系统在网络层面上的安全性，实现网络中的连接设备、安全设备的安全防护。
2. 主机系统安全防护：主机系统安全在主机层面采用信息保障技术，确保业务数据在进入、离开或驻留服务器与终端时保持可用性、完整性和保密性。
3. 应用安全防护：应用安全防护包含对于应用系统本身的防护和对于应用间数据接口、远程终端数据访问的安全防护。
4. 物理安全防护：物理安全是指信息资产所处的物理环境的安全，从建筑物安全、物理机房访问控制，防火防水、空调电力供应、电磁防护等方面保证物理环境安全。
5. 信息安全意识教育：用户的安全意识是保障网络信息系统安全的首要因素。通过各种形式的信息安全意识教育、培训及宣传，使得信息安全意识融入到生活工作中，变成一种常态化的工作。

3、兴业基金管理有限公司基础设施建设现状

兴业基金管理有限公司是兴业银行旗下的全国性公募基金管理公司，拥有10多家分公司。公司依托于兴业银行强大的基础设施支持借助兴业银行全国的环形网通过MPLS VPN方式将母公司与分公司互联互通从底层保护公司信息安全。

公司整体安全架构采用塔防形式由外层边界感知防御到内部终端防护应对，做到了通过网络威胁情报和主动防御来预测逼近的威胁和攻击，采用精确复杂的分析来获取针对中断事件的风险预警。

公司从整个信息系统安全架构上建立抵御机制，控制日常操作并建立了强有力的内部审计。尽管攻击的性质不断发生变化，抵抗、防御、缓解和消除攻击作为网络安全的核心却一直没有改变。公司一直以构建一个强健的、坚固的、具有弹性的基础设施防护安全机制为目标，以应对突如其来的网络攻击，公司用来抵御攻击的服务和工具大部分保持着与时俱进。

如果风险识别失效，未能觉察到逼近的威胁，控制措施也出现了问题，那么公司将为业务中断和故障响应以及危机管理做好准备。公司危机管理小组由公司高层直接领导，并联合风险管理部门、法务部门、业务部门和公关部门主要负责人统一协作。公司将以最快的速度恢复日常业务，并调整与加强应对网络威胁的弹性。

4、信息系统基础环境安全建议和经验总结

因此基础设施的信息安全防护体系一般按照“构建安全体系、提高安全手段、强化安全结构”的原则来进行。

（1）构建安全策略体系

事实上任何项目的推进都无法离开管理层的支持，安全策略的实施也是如此。制定策略前首先要得到高层支持然后我们要对环境进行安全分析这个主要目标是确定需要进行保护的信息资产及其对组织的绝对和相对价值，在决定保护措施的时候需要参照这一步骤所获得的信息。一旦就应用范围内的采集的信息达成一致并获得了组织内部足够的支持，就可以开始着手建立实际的策略了。这个策略版本会形成最终策略的框架和主要内容，并作为最后的评估和确认工作的基准。随着应用环境的变化，信息安全策略也必须随之变化和发展才能够继续发挥作用。

（2）提高安全手段

我们将太多的精力放在实时防御上面，但并没有将威胁完全挡住，这个时代已经过去了。我们需要建立一个完整的防御体系，从防御、检测到响应，甚至通过威胁情报将攻击事件的预测做起来，而这一切的核心就是要提高基础环境安全数据收集能力，并具备强大的数据分析能力。现在，我们已经处在一个必须变革的时代，已经不可能靠一两个防火墙和杀毒软件就将安全做好。只有将网络层、终端层、应用交互层、用户行为层等多种数据搜集起来，才可能让企业具备持续的威胁检测发现能力，及时发现未知威胁，避免遭到更大的安全损失。

（3）强化安全结构

基础设施安全防护技术同样分为四个层次。第一层是基础设施的物理安全防护，物理环境层面主要包括整体建筑、机柜、空调、UPS、物理监控、消防等方面，第二层是基础设施网络防护技术，包括基于VLAN的端口隔离、STPRoot/BPDUGuard、端口安全。第三层是基础设施边界防护技术，包括防火墙的使用和管理等。第四层是基础设施应用安全防护技术，包括病毒防护、数据泄漏防护、数据存储防护等。这样的塔防结构加强入侵检测和降维防御能力。多层架构把应用服务器分解成可管理的、安全的层次，这样可以避免将所有功能都驻留在单一服务器时带来的安全隐患，增强了扩展性和高可用性。

现在基础环境里，安全威胁的感知和处理都将趋于统一，信息共享率极高，安全防护体系比传统基础环境的体系更加宏观，防护范围更大。根据Google基础环境信息安全体系建设的新情况，基础环境的信息安全防护可以从以下几个方面综合考虑。传统基础环境的安全防护体系建设的一个重要思路就是基于边界的安全隔离和访问控制，并且强调分区规划，分层防护。但是在新的体系里，资源高度整合，基础设施架构统一化，安全设备的部署边界已经变得十分模糊，甚至有消失的趋势。

企业高层需要对关键信息基础设施安全做强力支持，高层支持是整个安全能长效运行的关键。但是做好关键信息基础设施的网络安全保障工作是一个长期的过程，建议首先从关键信息基础设施网络安全风险“可发现”入手，准确掌握企业关键信息基础设施网络安全态势信息，同时推进实现基础设施、业务、审计、风控、安全意识等各方之间的网络安全信息共享，加强关键信息基础设施安全防护技术能力提升，最后依托网络安全相关制度有效保障关键信息基础设施的网络安全。

本文转自微信公众号：上交所技术服务