背景分析:開(kāi)放銀行架構(gòu)是銀行未來(lái)發(fā)展趨勢(shì),

信息安全風(fēng)險(xiǎn)鏈條更長(zhǎng)

根據(jù)中國(guó)互聯(lián)網(wǎng)金融協(xié)會(huì)發(fā)布的《開(kāi)放銀行發(fā)展研究報(bào)告(2019)》顯示,通過(guò)對(duì)51家各類型商業(yè)銀行調(diào)研,65%的商業(yè)銀行已建立開(kāi)放銀行。國(guó)內(nèi)開(kāi)放銀行一般采用第三方聯(lián)機(jī)接口、頁(yè)面服務(wù)和文件三種形式的API服務(wù),支持聯(lián)網(wǎng)、專線等訪問(wèn)方式。國(guó)內(nèi)開(kāi)放銀行通過(guò)開(kāi)發(fā)者門戶為用戶提供行業(yè)解決方案、接入指南、接口說(shuō)明等相關(guān)文檔,便于銀行分支(如分行)與合作方接入API平臺(tái)。

開(kāi)放銀行幫助金融機(jī)構(gòu)提升了用戶獲取場(chǎng)景服務(wù)和金融服務(wù)的便捷性,但其開(kāi)放性也方便了黑客擴(kuò)大攻擊范圍。

開(kāi)放銀行生態(tài)中的第三方平臺(tái)可以訪問(wèn)來(lái)自商業(yè)銀行的數(shù)據(jù),一旦發(fā)生黑客攻擊造成數(shù)據(jù)泄露將可能導(dǎo)致用戶銀行賬戶信息暴露,甚至可能導(dǎo)致來(lái)源于該途徑的所有賬戶信息外泄,增加系統(tǒng)數(shù)據(jù)安全風(fēng)險(xiǎn);除此之外,隨著商業(yè)銀行敏感數(shù)據(jù)被擴(kuò)展到銀行外部,第三方平臺(tái)系統(tǒng)的網(wǎng)絡(luò)漏洞和故障也可能對(duì)該數(shù)據(jù)的安全造成威脅,因此,開(kāi)放銀行業(yè)務(wù)使得銀行面臨更多風(fēng)險(xiǎn)。

《規(guī)范》解讀:開(kāi)放銀行全生命周期安全技術(shù)規(guī)范,更嚴(yán)格的監(jiān)管體系

《規(guī)范》涵蓋開(kāi)放銀行應(yīng)用層、業(yè)務(wù)層等各個(gè)方面,對(duì)銀行應(yīng)用程序接口的接口設(shè)計(jì)、應(yīng)用部署、集成運(yùn)行、運(yùn)維監(jiān)測(cè)及系統(tǒng)下線等全生命周期過(guò)程提出了明確的安全技術(shù)與安全管理要求。

銀行可根據(jù)《規(guī)范》的具體要求,結(jié)合金融機(jī)構(gòu)內(nèi)部風(fēng)險(xiǎn)策略、審計(jì)要求,制定有效的安全策略,對(duì)第三方數(shù)據(jù)保護(hù)能力進(jìn)行調(diào)查和評(píng)估,對(duì)網(wǎng)絡(luò)和系統(tǒng)安全風(fēng)險(xiǎn)進(jìn)行審計(jì)和評(píng)估,同時(shí)建立完善的事故處理機(jī)制,明確各方責(zé)任認(rèn)定機(jī)制,確保用戶的權(quán)益得到保護(hù)。

信服君建議銀行建立全面的開(kāi)放銀行信息安全體系規(guī)劃,通過(guò)構(gòu)建“前端-中端-后端”三大安全能力支柱體系、“管理-技術(shù)”兩大安全支撐體系,嚴(yán)格規(guī)范合作方準(zhǔn)入管理,完善開(kāi)放銀行合規(guī)應(yīng)用管理制度,利用大數(shù)據(jù)技術(shù)建立開(kāi)放銀行風(fēng)險(xiǎn)監(jiān)測(cè)預(yù)警體系,借助技術(shù)平臺(tái)實(shí)時(shí)監(jiān)控API安全運(yùn)行情況,著力增強(qiáng)金融機(jī)構(gòu)對(duì)開(kāi)放銀行風(fēng)險(xiǎn)的態(tài)勢(shì)感知和應(yīng)急處置能力。

重點(diǎn)內(nèi)容解析:開(kāi)放銀行技術(shù)安全體系建設(shè)

典型的開(kāi)放銀行安全技術(shù)架構(gòu)包括安全架構(gòu)標(biāo)準(zhǔn)、開(kāi)發(fā)安全標(biāo)準(zhǔn)、安全測(cè)試標(biāo)準(zhǔn)。由安全檢測(cè)、安全控制等模塊組成的前端安全能力;由交易安全監(jiān)控、性能監(jiān)控服務(wù)等模塊組成的中端安全能力;由身份認(rèn)證、數(shù)據(jù)安全等安全服務(wù)模塊構(gòu)成的后端安全能力;由用戶認(rèn)證、加解密等系統(tǒng)構(gòu)成的基礎(chǔ)安全能力,結(jié)合網(wǎng)絡(luò)層面縱深防御,實(shí)現(xiàn)全方位立體化的開(kāi)放銀行安全防護(hù)。

信服君建議開(kāi)放銀行安全技術(shù)體系建設(shè)重點(diǎn)關(guān)注以下方面:

1.身份認(rèn)證鑒別安全

開(kāi)放銀行需嚴(yán)格執(zhí)行安全控制機(jī)制,結(jié)合網(wǎng)絡(luò)安全手段和參與者合作身份校驗(yàn)機(jī)制,通過(guò)訪問(wèn)權(quán)限控制、簽名認(rèn)證、跨域校驗(yàn)等,盡可能降低API接口被盜刷的風(fēng)險(xiǎn)。建立多層次的、線下線上融合的用戶認(rèn)證體系,加強(qiáng)開(kāi)放銀行身份認(rèn)證與內(nèi)控管理。

2.網(wǎng)絡(luò)、系統(tǒng)基礎(chǔ)安全

(1)第一道防護(hù):網(wǎng)絡(luò)邊界防護(hù)

開(kāi)放銀行應(yīng)遵循“縱深防御”的理念,在互聯(lián)網(wǎng)邊界部署DDoS防護(hù)系統(tǒng)、下一代防火墻系統(tǒng)、下一代入侵防御系統(tǒng)等各類安全防護(hù)設(shè)備,實(shí)時(shí)監(jiān)測(cè)和攔截互聯(lián)網(wǎng)攻擊,實(shí)現(xiàn)網(wǎng)絡(luò)邊界第一道防護(hù)。

(2)第二道防護(hù):業(yè)務(wù)邊界防護(hù)

在API服務(wù)層和業(yè)務(wù)層之間部署防火墻、異常流量分析系統(tǒng)等各類安全防護(hù)設(shè)備,實(shí)現(xiàn)業(yè)務(wù)邊界第二道防護(hù)。

(3)構(gòu)建高級(jí)可持續(xù)性攻擊防御體系

在網(wǎng)絡(luò)邊界和內(nèi)部網(wǎng)絡(luò)之間強(qiáng)化檢測(cè)和響應(yīng)能力,部署文件異常動(dòng)態(tài)檢測(cè)、流量異常檢測(cè)、多維大數(shù)據(jù)關(guān)聯(lián)檢測(cè)等各類安全防護(hù)設(shè)備,構(gòu)建統(tǒng)一、立體、層次化的高級(jí)可持續(xù)性攻擊防御體系,實(shí)現(xiàn)從前端到后臺(tái)應(yīng)用、從邊界到內(nèi)部核心、全鏈條的安全防護(hù)。

(4)通過(guò)應(yīng)用交付保障穩(wěn)定、安全、高效的交付

同時(shí),建議部署應(yīng)用交付系統(tǒng)對(duì)應(yīng)用數(shù)據(jù)進(jìn)行端到端的分析、調(diào)度、保護(hù)、加密和優(yōu)化,對(duì)單個(gè)接口按地域、風(fēng)控等級(jí)等維度進(jìn)行流控調(diào)度和控制,覆蓋業(yè)務(wù)交付全程的所有關(guān)鍵因素,保障穩(wěn)定、安全、高效的交付。

3.業(yè)務(wù)應(yīng)用安全

(1)對(duì)接口分級(jí)分類

對(duì)開(kāi)放的接口進(jìn)行分級(jí)分類,根據(jù)不同類別設(shè)定接口使用權(quán)限和使用期限。

(2)采用多種手段保障業(yè)務(wù)應(yīng)用安全

采用加密、應(yīng)用秘鑰、應(yīng)用接口權(quán)限控制、訪問(wèn)黑白名單、字段脫敏還原等手段,充分進(jìn)行應(yīng)用存儲(chǔ)加密、訪問(wèn)控制、標(biāo)記化信息安全審計(jì)措施,交互報(bào)文通過(guò)數(shù)字簽名、加密等手段保障不可篡改性和機(jī)密性。

(3)基于大數(shù)據(jù)分析技術(shù)進(jìn)行監(jiān)控

基于大數(shù)據(jù)分析技術(shù),對(duì)系統(tǒng)和業(yè)務(wù)狀況進(jìn)行實(shí)時(shí)全方位監(jiān)控,對(duì)異常交易和異常參與方,能做到實(shí)時(shí)流控、快速阻斷,保障系統(tǒng)穩(wěn)定。?

(4)業(yè)務(wù)風(fēng)控

采用基于事后分析的大數(shù)據(jù)風(fēng)控技術(shù),實(shí)現(xiàn)業(yè)務(wù)風(fēng)控,防范例如營(yíng)銷欺詐、交易欺詐、信用欺詐等業(yè)務(wù)風(fēng)險(xiǎn)。

4.第三方安全

針對(duì)用戶授權(quán)訪問(wèn)后的數(shù)據(jù)保護(hù)建立健全安全機(jī)制,對(duì)其合作方可以使用的接口范圍等進(jìn)行嚴(yán)格控制,并定期審核,在授權(quán)范圍內(nèi)進(jìn)行有效的控制和防護(hù)。對(duì)于業(yè)務(wù)數(shù)據(jù)和用戶信息數(shù)據(jù)的使用范圍、保存期限等進(jìn)行明確約束,遵循范圍和期限的最小化原則。

5.應(yīng)用數(shù)據(jù)安全

在數(shù)據(jù)傳輸、處理、保存過(guò)程中需嚴(yán)格保障數(shù)據(jù)安全。

(1)通過(guò)多種方式保障數(shù)據(jù)安全

通過(guò)網(wǎng)絡(luò)傳輸鏈路加密、身份認(rèn)證、報(bào)文加密加簽等多種方式,保障數(shù)據(jù)傳輸?shù)陌踩?、隱私性和不可篡改性。

(2)避免抓取大量數(shù)據(jù)

嚴(yán)格控制業(yè)務(wù)、用戶數(shù)據(jù)的訪問(wèn)權(quán)限,避免使用開(kāi)放銀行接口抓取大量數(shù)據(jù),并對(duì)系統(tǒng)日志中的敏感信息進(jìn)行特殊處理,操作日志可審計(jì)。

(3)定期備份

定期備份數(shù)據(jù),保障數(shù)據(jù)的完整性和可恢復(fù)性。

(4)提前進(jìn)行責(zé)任劃分

各參與方需提前進(jìn)行責(zé)任劃分,當(dāng)出現(xiàn)數(shù)據(jù)泄露、系統(tǒng)故障或操作故障時(shí),責(zé)任人對(duì)用戶的損失直接負(fù)責(zé)。

(5)嚴(yán)禁非法存儲(chǔ)

嚴(yán)禁非法存儲(chǔ),以防泄露用戶金融信息。

深信服應(yīng)用數(shù)據(jù)安全治理解決方案

基于上述提及的第五點(diǎn),應(yīng)用數(shù)據(jù)安全防護(hù),深信服提出應(yīng)用數(shù)據(jù)安全治理解決方案。方案以數(shù)據(jù)為中心,聚焦應(yīng)用系統(tǒng)的流動(dòng)數(shù)據(jù),基于AI和大數(shù)據(jù)技術(shù),自動(dòng)化梳理應(yīng)用數(shù)據(jù)資產(chǎn),實(shí)時(shí)監(jiān)控應(yīng)用系統(tǒng)脆弱性及異常數(shù)據(jù)訪問(wèn)風(fēng)險(xiǎn),精準(zhǔn)溯源數(shù)據(jù)安全事件,實(shí)現(xiàn)數(shù)據(jù)流動(dòng)安全風(fēng)險(xiǎn)全面有效治理。

1.基于敏感數(shù)據(jù)識(shí)別的應(yīng)用接口自動(dòng)化梳理

(1)敏感數(shù)據(jù)接口自動(dòng)化識(shí)別、提取

通過(guò)對(duì)應(yīng)用系統(tǒng)內(nèi)外部訪問(wèn)流量進(jìn)行全面解析,自動(dòng)識(shí)別應(yīng)用系統(tǒng)接口。支持系統(tǒng)預(yù)置豐富敏感數(shù)據(jù)標(biāo)簽,同時(shí)結(jié)合用戶需求,靈活自定義特殊字段及提取規(guī)則。敏感數(shù)據(jù)識(shí)別引擎全程自動(dòng)化對(duì)接口數(shù)據(jù)進(jìn)行識(shí)別、提取。支持細(xì)粒度接口畫像,包括接口參數(shù)、接口返回內(nèi)容、接口訪問(wèn)用戶、接口流轉(zhuǎn)敏感數(shù)據(jù)詳情等。

(2)全局可視

以數(shù)據(jù)為中心,實(shí)現(xiàn)敏感數(shù)據(jù)、應(yīng)用、接口、訪問(wèn)用戶自動(dòng)化全面梳理。

(3)應(yīng)用接口的生命周期管理

監(jiān)控?cái)?shù)據(jù)接口上下線及變更,針對(duì)應(yīng)用新增及失活接口進(jìn)行統(tǒng)計(jì),監(jiān)管未報(bào)備自行上線的重要敏感數(shù)據(jù)接口,對(duì)長(zhǎng)期沒(méi)有訪問(wèn)的接口進(jìn)行監(jiān)控,輔助業(yè)務(wù)部門對(duì)接口進(jìn)行下線操作。

2.風(fēng)險(xiǎn)接口發(fā)現(xiàn)

全面發(fā)現(xiàn)接口安全隱患,推動(dòng)風(fēng)險(xiǎn)接口整改

基于敏感數(shù)據(jù)解析,識(shí)別接口訪問(wèn)權(quán)限設(shè)置不當(dāng)問(wèn)題,如單次訪問(wèn)數(shù)據(jù)限制不當(dāng)(單次返回大量數(shù)據(jù)),接口無(wú)需身份驗(yàn)證即可獲取敏感信息等。發(fā)現(xiàn)接口敏感數(shù)據(jù)暴露風(fēng)險(xiǎn),包括敏感數(shù)據(jù)未脫敏、敏感數(shù)據(jù)傳輸不合規(guī)、密碼等高敏感信息明文暴露或僅使用MD5加密等。發(fā)現(xiàn)接口設(shè)計(jì)漏洞問(wèn)題,如內(nèi)部網(wǎng)絡(luò)信息暴露等。

3.業(yè)務(wù)系統(tǒng)身份認(rèn)證及賬號(hào)管理脆弱性分析

(1)業(yè)務(wù)系統(tǒng)身份認(rèn)證問(wèn)題發(fā)現(xiàn)及整改

通過(guò)業(yè)務(wù)系統(tǒng)脆弱性分析引擎,及時(shí)發(fā)現(xiàn)業(yè)務(wù)系統(tǒng)存在的身份認(rèn)證脆弱性問(wèn)題,如弱密碼問(wèn)題,推動(dòng)用戶進(jìn)行認(rèn)證機(jī)制整改。

(2)賬號(hào)安全風(fēng)險(xiǎn)發(fā)現(xiàn)及整改

通過(guò)業(yè)務(wù)系統(tǒng)脆弱性分析引擎,幫助用戶及時(shí)發(fā)現(xiàn)賬號(hào)共享、特權(quán)賬號(hào)違規(guī)濫用等問(wèn)題,并進(jìn)行整改。

4.應(yīng)用數(shù)據(jù)接口異常訪問(wèn)風(fēng)險(xiǎn)監(jiān)測(cè)及預(yù)警

(1)基于數(shù)據(jù)安全風(fēng)險(xiǎn)策略的異常監(jiān)測(cè)

預(yù)置風(fēng)險(xiǎn)策略:預(yù)置有大規(guī)模數(shù)據(jù)拉取、非工作時(shí)間訪問(wèn)、非常用 IP 訪問(wèn)等風(fēng)險(xiǎn)策略。??

支持風(fēng)險(xiǎn)策略自定義:用戶可以根據(jù)需求,靈活自定義風(fēng)險(xiǎn)策略。??

(2)基于UEBA技術(shù)的異常監(jiān)測(cè)

根據(jù)用戶、賬號(hào)、接口等多維度數(shù)據(jù)行為畫像,建立數(shù)據(jù)訪問(wèn)行為基線,自動(dòng)發(fā)現(xiàn)異常行為并進(jìn)行預(yù)警。

5.安全審計(jì)及數(shù)據(jù)安全事件溯源

(1)審計(jì)合規(guī)

通過(guò)敏感數(shù)據(jù)識(shí)別、應(yīng)用系統(tǒng)賬號(hào)自動(dòng)解析等技術(shù),自動(dòng)對(duì)接口訪問(wèn)行為進(jìn)行記錄。記錄內(nèi)容包括:訪問(wèn)接口、訪問(wèn)應(yīng)用、訪問(wèn) IP、操作用戶、操作時(shí)間、操作對(duì)象、操作內(nèi)容等,滿足合規(guī)需求。

(2)數(shù)據(jù)安全事件快速溯源

支持搜索引擎式追溯查詢,可以通過(guò)關(guān)鍵字、文本、文件相似度等多種方式進(jìn)行事件追溯,并定位到個(gè)人,同時(shí),還支持多種類型的精細(xì)過(guò)濾條件對(duì)歷史事件進(jìn)行精確查詢,定位數(shù)據(jù)風(fēng)險(xiǎn)點(diǎn)。

xiesc