银河证券信息系统“去IOE”实践

银河证券在信息系统生命周期各个阶段都非常重视信息系统安全问题，在安全设备采购之初就选择了国内自主知识产权的产品，特别是在核心交易系统部署的安全设备全都是国内优质厂商的产品。对于在用的国外产品和技术可能存在的安全威胁，银河证券主动参与了国家信息系统安全可控专项研究课题，对证券行业的重要信息系统所采用的关键软硬件产品设施及其核心技术进行功能检测和分析，挖掘其中隐合的控制性功能，提出反控制措施，以及通过对信息系统关键设备或远程服务的外部通信进行监控和取证分析，对这些重要信息系统可能存在的远程控制进行防护验证，采取针对性加固措施，提升了银河证券自身的信息安全安全保障能力。

自主可控概况

        国内最早提出“去IOE(IBM小型机、0racle数据库、EMC存储设备)”概念的是大型互联网公司，当时的主要目的是降低成本(IOE产品的购买和维护费用相当高昂)和对弹性可扩展资源的需求。随着去年6月“斯诺登事件”的披露和持续发酵，网络空间国家间对抗的不断加剧．以及党和国家战略层面“国家安全委员会”和“中央网络安全和信息化领导小组”等机构的设立，“去IOE”被赋予了新的涵义——保护国家网络和信息安全，从网络和信息安全的角度应逐步减少对国外产品的依赖，大力推进信息系统的国产化和自主可控。

        证券行业作为信息化程度高、业务开展对信息系统依赖程度很高的行业，对信息系统稳定性和性能的要求也格外苛刻，加之早期国内产品在性能、功能上的较大差距，造成了当前证券行业信息系统普遍使用国外技术和产品的现状。

        银河证券作为较早开始信息化建设且经纪业务规模较大的证券公司，在信息化建设过程中始终高度重视信息系统的安全性，将信息安全作为首要考虑因素，并将信息安全贯彻到从需求、设计、开发到上线、运营、废弃的信息系统全生命周期管理中。比如在安全设备上，多年来银河证券大量选用优质国产厂商的安全设备，在交易网络，特别是核心交易网络部署的安全设备全部采用国产设备，仅有部分互联网边界安全设备采购了国外厂商产品。在国产化与自主可控的研究方面，银河证券与国家信息技术安全研究中心共同完成了《重要信息系统安全可控性验证研究与实践》的国家专项课题，其中对于国内产品短期内无法替代的信息化产品门类的自主可控做了深入的研究，保证重要信息系统的安全可控。

安全控制实践

        证券行业用户数量多、地域分散，导致证券行业机构和站点数量多、地域广，并且为投资者完成交易的网上交易站点或入口直接暴露在互联网，因此信息系统的高可用性和安全状况直接影响证券公司业务的安全、连续性和服务能力。银河证券部署了多套国内自主知识产权的安全设备，包括入侵检测系统、抗拒绝服务攻击设备和远程安全评估系统等设备，实现对信息系统从漏洞检测，到行为识别和攻击防护等不同层面的检测和防护，另外通过相应的安全服务实现安全事件预警、监控、响应和防护的闭环操作。

        首先，对网络中可疑行为和攻击行为进行识别、记录，银河证券在办公网、业务网、交易网和济南、南京、杭州、上海等网上交易镜像站点分别部署了入侵检测系统，通过安全控制中心能够清晰掌握全网安全状况，实现对各信息系统异常行为和攻击行为的识别和检测，同时结合安全值守服务实现对各类告警事件的快速处理和防护。

        其次，针对网上交易系统可能面临的拒绝服务攻击，专门部署了抗拒绝服务攻击系统，该设备可针对交易系统的各种类型拒绝服务攻击进行防护，保证交易系统高可用性。

        此外，远程安全评估系统分别部署在办公网、业务网和交易网，从系统和软件漏洞检测、端口和服务配置情况等方面对银河证券总部和全国分支机构的信息系统安全状况进行定期检测。若发现银问证券信息系统安全漏洞，通过对漏洞的妥善处置，实现漏洞发现和处置的闭环操作，确保银河证券信息系统安全。

自主可控研究

        基于当前金融行业普遍使用国外的技术和产品现状，关键技术掌握在国外厂商手中，技术上受制于人。国家和公司的安全利益受到潜在的安全威胁，银河证券于2010年开始和国家信息技术安全研究中心共同完成了国家专项课题《重要信息系统安全可控性验证研究与实践》，并将研究成果在公司内逐步落地实施，力求进一步完善信息安全防护体系，提升信息安全保障能力。

        专项课题对证券行业的重要信息系统所采用的关键软硬件产品设施及其核心技术进行功能检测和分析，挖掘其中隐含的控制性功能，提出反控制措施，以及通过对信息系统关键设备或远程服务的外部通信进行监控和取证分析，对这些重要信息系统进行远程控制和防护验证，提出有关建议。

        通过专项课题建设了网络反扫描、IP网络设备认证及保密传输、服务器安全加固、终端主机主动防御、高级逃逸入侵检测、网络数据流异常行为挖掘、业务通信行为监控、服务器外联监控、服务器内存动态安全监测、windows主机及服务器应急保障、行为取证分析等几个方面独具特色的技术手段。

        服务器安全加固：通过双因子身份鉴别、程序可信度量、内核级安全加固等技术，对人员的身份进行认证，保障登录人员是可信的。当有恶意代码启动时进行有效的拦截并进行审计，阻止非授权及不符合预期的执行程序运行，实现了对已知／未知恶意代码的主动防御，并且安全加固套件建立于操作系统内核层，因此既能准确全面地截获应用层的访问请求，又防止系统安全机制被旁路的危险，能够降低操作系统完整性及可用性被破坏的风险。

        重要业务通信行为监控：针对业务系统进行监控和审计，采用建立业务基线的模式，对业务系统进行监控。对违反业务基线的行为和操作进行报警，可以发现非法的业务操作，填补了业务监控的空白，并对未知的威胁具有检测和发现的能力。

        服务器内存动态安全盗测：通过采用自主研发的内存动态安全检测技术，通过编写高效稳定的内核驱动程序，从计算机内存中实时获取敏感数据，深入检测系统中存在的隐藏进程、可疑进程、Hook函数、R∞tkit攻击、内核对象劫持行为等，能够全方位、深层次地对计算机系统运行安全状态进行内核级实时监测和分析评估。

        行为取证分析：聚焦于信息系统行为过程及其主体，明确定义信息系统用户的授权行为、责任行为和禁止行为，以此为基准，成体系地对系统行为数据进行采集、签名保全和关联分析，并重点监测系统的控制类行为数据，重现行为过程。确定行为主体。通过事前主体备案及标准行为约定、事中分析取证、事后举证定责形成完善的主体责任认定体系，对相关行为主体产生威慑与约束作用，从而落实和加强信息系统的主体可控性。

        通过专项课题研究和在银河证券的国产化与安全控制实践，完善了安全可控性检测、分析和验证的方法，针对银河证券大型集中交易系统研发并整合集成了安全可控性检测分析的技术支撑平台，提升了银河证券自身的信息安全安全保障能力，取得了良好的应用效果。

扫码即可手机
阅读转发此文