商業(yè)銀行滲透測試解決方案

商業(yè)銀行滲透測試解決方案一、滲透測試背景銀行是網絡信息技術應用最密集、應用水平最高的行業(yè)之一，基于計算機網絡的各類銀行信息系統(tǒng)已經成為銀行產品的開發(fā)推廣、銀行業(yè)務的展開、銀行日常管理和決策的所依賴的關鍵組成部分。這種依賴性使得銀行面臨著由于網絡信息系統(tǒng)本身所帶來的銀行信息技術風險。銀行信息技術風險的主要挑戰(zhàn)來自于基礎網絡信息技術的復雜性和變化，其中面對互聯(lián)網主要有以下幾個方面風險：基于網絡的電子銀行，需要有完善的安全體系架構；面向Internet的銀行業(yè)務面臨著各種各樣的互聯(lián)網威脅；遠程移動用戶接入和內部用戶接入Internet，都可能引入不同類型的威脅源；釣魚網站對于銀行網上業(yè)務和企業(yè)信譽的損害。伴隨銀行業(yè)務的發(fā)展，原有的網上銀行、門戶網站等都進行了不同程度的功能更新和系統(tǒng)投產，同時，行內系統(tǒng)安全要求越來越高，可能受到的惡意攻擊包括：信息篡改與重放、信息銷毀、信息欺詐與抵賴、非授權訪問、網絡間諜、“黑客”入侵、病毒傳播、特洛伊木馬、蠕蟲程序、邏輯炸彈等。這些攻擊完全能造成信息系統(tǒng)癱瘓、重要信息流失。二、滲透測試的目標本項目通過滲透測試的方式，模擬黑客的攻擊思路與技術手段，達到以下目標：從攻擊者角度，發(fā)現(xiàn)網銀系統(tǒng)、信用卡網站、門戶網站和中間業(yè)務等應用系統(tǒng)及網關入口設備存在的安全隱患；檢測對外提供服務的業(yè)務系統(tǒng)（如網銀系統(tǒng)、信用卡網站、門戶網站等）以及行內重要業(yè)務系統(tǒng)的威脅防御能力。深度挖掘滲透測試范圍內應用系統(tǒng)各個層面（應用層、網絡層、系統(tǒng)層）的安全漏洞；檢驗當前安全控制措施的有效性，針對發(fā)現(xiàn)的安全風險及時進行整改，增強系統(tǒng)自身防御能力，提升安全保障體系的整體健壯性。三、滲透測試原則與風險控制原則遵循規(guī)范雙方直接溝通的渠道；項目實施過程中需要客戶方人員同時在場配合工作，并保持及時、充分、合理的溝通。系統(tǒng)備份和恢復措施為避免實際滲透測試過程中可能會發(fā)生不可預知的風險，因此在滲透測試前相關管理人員應對系統(tǒng)或關鍵數據進行備份、確保相關的日志審計功能正常開啟，一旦在出現(xiàn)問題時，可以及時的恢復運轉。四、滲透測試工作內容與方法滲透測試方法滲透測試完全模擬黑客的入侵思路與技術手段，黑客的攻擊入侵需要利用目標網絡的安全弱點，滲透測試也是同樣的道理。以人工滲透為主，以攻擊工具的使用為輔助，這樣保證了整個滲透測試過程都在可以控制和調整的范圍之內。滲透測試流程滲透測試流程嚴格依照下圖執(zhí)行，采用可控制的、非破壞性質的滲透測試，并在執(zhí)行過程中把握好每一個步驟的信息輸入/輸出，控制好風險，確保對光大銀行網絡不造成破壞性的損害，保證滲透測試前后信息系統(tǒng)的可用性、可靠性保持一致。滲透測試內容通過可控的安全測