银行业互联网安全防御体系建设.pdf

银行业互联网防御体系 建设概要 邵小勇 2019.10.13 内 容 一、建设需求 二、建设概要 三、总结 攻击事件 2018年12月11 日起， 有疑似“Anonymous ” 黑客组织账号在推特 上发动代号为OpIcarus 的攻击行动，并称已 攻陷部分国外银行。 在其发布的攻击目标 清单中，包含部分国 内银行网站。从网络 信息判断，攻击形式 以DDoS分布式拒绝服 务攻击为主。 5 2019年6月公安部组织开展代号为“护网 ‐2019” 的关键信息基础设施网络攻防演习。演习目标是全 国性的金融机构、电力、央企、等国内重要企事业 单位。公安部为指挥部，制定规则，抽选护网行动 目标为防守方。北京网监组织和全程监控。本次护 网行动攻击采取“单盲式” ，即攻击时间不固定、攻 击源不明确、攻击目标不明确、攻击手段不明确， 以获得目标企业权限、数据为得分点开展模拟攻击， 企业作为防守方以发现入侵事件、处置事件、配合 执法机关取证为目标获取得分。 2019年8月5号至8月30号，江苏省公安厅和 网信办也组织江苏省内重要的企事业单位参与护网 攻防演习。江苏省护网以正面渗透性攻击网站为主。 6 一、建设需求 建设需求 业务需求 法律合规 潜在风险 安全运维 1、业务需求 1、互联网服务 2、外部资源共享 3、数据安全 4 、业务连续性需 求 2、法律合规 1、法律条规 2、金融业标准 3、银保监指引 4 、人民银行 5、工信部等 3、潜在风险 1、数据窃取 2、DDOS攻击 3、内容篡改 4 、网页挂马 5、代码不完善 6、操作风险 4 、安全运维 1、实时监控 2、联动分析 3、处置及时