<mark id="oztn4"></mark>
0
輕輕的我走了，正如我輕輕的來；我輕輕的招手，作別數據的苦海。
那主機的一隅，是夢寐以求的溫床；備份里的數據，在我的心頭蕩漾。
尋找？撐一支長篙，向網絡更深處漫溯；滿載一路奔波，在滿天的絆腳石里哪敢放歌~
悄悄是別離的笙簫；爬蟲也為我沉默，沉默才是今晚的悲歌。悄悄的我走了，正如我悄悄的來；我揮一揮衣袖，帶不走一片云彩~日后我再來。
——黑產“語錄集”（要真有的話）
在網絡安全的對壘中，黑產們如今也是苦不堪言，但仍舊有一批又一批的“黑手”深入各行各業的腹地，使出渾身解數，即便深入云端的數據，他們也企圖帶走一片“云彩”，編織出一個多彩的夢。
在金融領域，這樣的“云彩”更值錢。隨著互聯網產業的全面發展，推動了金融行業的變革，這一變革帶動了產業升級的同時也帶來諸多新的信息安全問題，這給黑產們創造了新的滋長空間。
信息安全隱患可以讓一家銀行頃刻之間傾覆，這并不是危言聳聽，實際上各大金融機構每天都在面臨漏洞、劫持等問題。
從國家層面來看，金融安全事關國家安全， 如何確保各處產線數據的安全，成為金融領域的重大問題。為了深入了解金融信息安全現狀，中國郵政儲蓄銀行深圳灣支行行長李昭為我們分享金融行業基礎安全遇到的突出問題及如何構筑安全的底層“代碼”。
▲中國郵政儲蓄銀行深圳灣支行行長李昭
認知問題引發的金融安全矛盾
產業互聯網迅猛崛起，金融行業成為其中發展最快的領域之一，伴隨而來的問題也將越發嚴重。在李昭看來，金融行業基礎安全中著實存在很多突出的問題，大致可以歸納為認知、技術和保障機制三個層面。
在三個方面中“認知”是金融行業基礎安全中存在的基本問題。“國內大多數金融機構對網絡信息安全的意識都很薄弱，最常見的就是大家認為，技術崗位人員負責信息安全，業務人員只負責使用，沒有從整體上意識到信息安全的重要性，導致了認知差距，大家對信息安全的理解層次不一樣。”
由于不同崗位人員對于網絡安全的認識水平不一致，反應出來就是“矛”和“盾”的關系。其引發的問題存在于各層面之間——總行和支行之間，以及支行與支行之間的矛盾，時常導致沖突，最終釀成安全大錯。
“大家的認知水平不在同一個層面，比如業務側的工作人員希望一個月或者兩個月上線安全系統，而安全側的人員則認為不可行，因為系統本身存在很多漏洞，匆忙上線將導致很多安全問題。一個機構內還會有產品設計團隊、開發團隊，甚至到支行操作層面，這一系列的環節中安全問題很多。”
由協作問題導致的安全事故時常發生，這往往不會是高級安全隱患。因為大家都很注重“大頭”，卻反而忽略了低級錯誤同樣可以導致嚴重后果。于是，其暴露出的短板就為黑產‘薅羊毛’鑄造了問題的源頭。
除了認知和意識薄弱外，金融行業對于安全技術環節的把控也相對薄弱，而技術是信息安全中的核心問題。技術人員對于安全、漏洞、架構、實現安全設計等概念的意識并不是很強，開發時間較短，經驗不足。導致設計出來的系統本身存在就存在安全隱患，需要二次修補后，進行滲透、漏洞掃描等，拖延了整個應用上線的時間。
此外，在開發時對于功能和安全的權衡中，往往會側重于前者。李昭分析，產業升級前沒有那么多并行業務的情況下，這種考量是可行的；而產業升級后，就要求產品在開始系統設計時就把安全保障嵌入其中，但是這一點在金融行業還是欠缺的。
此外，安全保障機制不健全也是金融行業基礎安全中的一大盲點。“很多機構重視信息安全的投入，而忽視管理運維的投入，前期投入大量人力、物力、財力去保障信息安全，卻缺乏日常運營和后續管理的能力。” 這是銀行信息安全中的一大現狀。
在李昭看來，這些基礎問題存在的關鍵在于“人員思想不統一”，導致相關制度執行不到位，這需要行業內所有人的共同努力，加強安全教育、提升安全意識，加強內部協作，將安全意識固化到日常的運營和管理中。
構建AR模型深入云安全防護
隨著金融行業的安全問題日益突出，用戶對服務的要求也越來越高，尤其是在5G到來的情況下，很多機構都在做升級，將自身的業務系統放在云端，做標準化的推廣，因而網絡信息安全更加重要。
“在搭載云端服務器應用的時候，從最開始的線上互聯網營銷服務，到后面的AR小程序，我們發現這些‘羊毛黨’真是無孔不入，也導致我們出現了很多壞賬情況，這應該是很多銀行出現的普遍現象。”
在金融行業基礎安全中存在的漏洞給黑產們提供了滋長的空間，在李昭看來，網絡信息安全的防護要考慮到方方面面，尤其是在云端的安全防護，要注重構建安全的底層代碼。
在主機方面，要注重基礎化服務，對黑客的入侵檢測，包括一些木馬、高危漏洞都是非常重要的部分，絕大部分的安全問題都由漏洞產生，銀行不可能天天去掃漏洞，但是云端可以做到每天掃描，及時發現“薅羊毛”的問題。
在數據庫安全審計方面，以堡壘機為例，涵蓋了銀行的線上服務和線下物理機服務，通過專家服務，按季度定期開展對抗演練，將AR基于每種業務的深層次理解加入到Web應用防火墻的AR規則里面去。
李昭舉了一個例子，“面對黑客無休止的攻擊行為，我們將業務部門的特征值輸出到AR模型庫，并輸出一套假值。當黑產企圖進行攻擊時，模型庫就會輸出虛假數據，也就是給他的是馬甲，而真正的數據還是停留在內部，這種偽裝辦法是為保護數據資產定制的特殊防御機制。”
事實上，這種防護的核心在于制定適當的AR策略，在理解自身系統的情況下，從底層入手，構建AR規則和AR模型，深度模擬、布局可能出現的安全場景。
基于“技術+業務”的安全嘗試
除了云端的安全防護，移動端的安全隱患也不容忽視。
尤其在移動收單中，都是通過網絡支付的業務，每天都使用線下條碼支付業務，而這個業務本身依托于網絡，存在安全隱患。那么，當有商戶用手機來掃支付應用時，黑客是否也能通過網絡訪問服務器做一些操作呢？
李昭表示，“基于對業務的理解，事實上的商戶都是本地化管理。”
也就是說，在北京的商戶，只允許北京的IP來訪問，而國內其他城市，以及國外的IP就可以全部封禁。這需要銀行對所有商戶進行定期巡檢，實行“互聯網封禁”，所以說POS機直接拿到銀行所在地之外是用不了的。
隨著5G的出現，李昭指出，在種方式可以更加精細化，以北京為例，可以細化到西城區的某個街道，目前4G可以定位到基站，一個地方的POS機只有在本地區可以用，大大增強了網絡的安全性。
“互聯網封禁”還可以實現對線上大部分的流量進行部署，由此打破了高峰時段的10萬次，下降至了近1千次，因而有效將一些非法的訪問絕之門外。
李昭稱，這是一種基于“技術+業務”的安全防護模式，是對金融領域內信息安全的一種新的嘗試，這種嘗試意味著金融領域更加注重業務與技術的聯結，也表明網絡安全技術在基于業務的落地，金融行業正在打通安全的底層“代碼”，緩解日益凸顯的基礎安全問題。
金融安全的發展，基于安全人員對金融行業技術和業務防護模式的深刻理解之上。唯有圍繞金融行業的諸多業務場景，制定可控的安全策略，突破只做安全防護套路的傳統理念才能獲得突破性進展。
但就目前金融行業發展的現狀來看，金融領域從業者對技術和業務的深度理解仍有很大程度的欠缺，尤其對于基層工作人員來講，很難從宏觀和微觀兩方面有全面而深入的理解金融安全的重要性，因而解決網絡信息安全的問題不僅存在于技術層面，更重要的是逐步提升人員的信息安全認知水平，才能逐步擺脫金融安全“矛”和“盾”的對立關系。雷鋒網雷鋒網雷鋒網
雷鋒網注：引用了中國郵政儲蓄銀行深圳灣支行行長李昭在第五屆互聯網安全領袖峰會（簡稱CSS2019）上的發言，該公司與騰訊安全團隊在進行儲蓄銀行安全系統的全面升級中有合作。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
