前  言

本方案书从技术层面就如何为金融企业构建一个千兆到楼层、百兆到桌面、便于管理的、可控的、高性能的智能网络做一阐述。本方案内容组织如下：
    第一部分  银行网络发展趋势及需求分析，对银行发展趋势及网络需求进行分析；
    第二部分  提出金融行业ATM建设总体方案设计，介绍各个技术层面的设计原则；
    第三部分  金融行业ATM建设的详细设计，针对银行的特点和实际情况对详细解决方案进行剖析。

一、       银行网络发展趋势及需求分析

在这里，我们根据近些年来银行自身的发展和现代社会对银行网络的要求，来对银行网络的发展趋势进行分析。

1.1银行网络发展中设备以及通信带宽的发展

银行互联网络的发展大致经过了三个阶段，目前正处在由串行通信互联到IP网络化阶段过渡的时期，目前大多的广域网通信带宽在64K到2M之间，网络的互联以传统路由器和低性能交换机、HUB为主。
     可以看到，下一代网络将向交换机发展，目前在东南沿海等经济相对发达、应用相对多样的地区已经有少数银行开始采用基于宽带的广域网互联，从储蓄所到中心全部采用光纤接入。在该网络上可以方便的实现宽带的视频应用，但这种方案的推广需要完善解决交换机的安全以及QoS策略。

1.2目前银行网络发展趋势纵向划分

前面已经提到，银行网络是由业务的发展来带动的。目前的网络早已不仅仅为传统的储蓄和对公业务提供支撑，网上银行、电话银行、中间业务等等不同业务共用一个企业网络。主要有5个方面的发展：

    管理集中
     管理集中是网络规模扩大的必要管理手段，先进的网络管理平台、设备的集中管理、集群管理成为网络设备的重要功能指标。
     多业务集成
     多种不同的业务共用同一个物理的网络平台，对网络设备的服务质量、安全控制提出的更高的要求。
     宽带化
     银行业务的特殊性导致宽带化的进程受安全性要求的限制，但宽带化仍然是必然的趋势。
     数据和应用集中
     这与管理集中是相辅相成的，是企业网络向系统性整体性发展的体现。
     网络化
     这里所说的网络化，指的是网络逐渐向边缘延伸，同时与外部网络的联系越来越紧密。
     在这五个方面发展的同时，网络的安全性、可靠性等性能指标也成为网络的重要一环。

1.3需求分析

金融网络最原始的需求来自于业务的开展和资源共享的需要，随着金融企业业务范围的扩大和业务产品的增多，更高速、更可靠、更安全以及更方便的网络和业务管理已经成为新时期金融企业网络的关注重点。
      银行联网应用分为：业务应用和办公应用。业务应用包括零售、会计、信用卡、国际结算、电子联行、收付清算等对银行至关重要的核心应用系统；办公应用主要是基于邮件系统、办公自动化系统、依赖此种机制的各种报表系统和管理系统，以及未来可能发展的数字电话、视频网络、以及其它新型的满足办公管理需求的联网应用。
      局域网络的建设主要涉及到不同业务之间的VLAN划分、VLAN之间的互通需求，以及与广域网络的无缝连接。
     本方案考虑了以上的网络情况，并采用了以太网交换机，实现千兆到楼层、百兆到桌面的全网解决方案。并增加了如MAC地址绑定、端口镜像、包过滤等内网安全技术，支持802.1x内部网络管理认证、用户分级管理的管理功能。

二、总体方案设计

2.1总体设计原则

针对金融企业业务数据通信量和办公数据通信量大的情况，采用适当的经济型的网络通信产品实现完善的网络接入解决方案，在网络设计构建中，应始终坚持以下建网原则：
    高可靠性
    网络系统的稳定可靠是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，设备充分考虑冗余、容错能力和备份，同时合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持系统的正常运行。主干网络设备的主要部件必须支持带电热插拔，在万一出现局部故障时应不影响网络其它部分的运行，并且故障便于诊断和排除。充分体现计算机网络的高可靠性。
    技术先进性和实用性
    保证满足金融核心业务应用系统业务的同时，又要体现出网络系统的先进性。在网络设计中要把先进的技术与现有的成熟技术和标准结合起来，充分考虑网络应用的现状和未来发展趋势。
    高性能
    骨干网络性能是整个网络良好运行的基础，设计中必须保障网络及设备的高吞吐能力，保证各种信息（数据、语音、图象）的高质量传输，才能使网络不成为业务开展的瓶颈。
    标准开放性
    支持国际上通用标准的网络协议、国际标准的大型的动态路由协议等开放协议，有利于以保证与其它网络(如Internet、友商企业等其它网络)之间的平滑连接互通，以及将来网络的扩展。
    灵活性及可扩展性
    根据未来业务的增长和变化，网络可以平滑地扩充和升级，减少最大程度的减少对网络架构和现有设备的调整。
    可管理性
    对网络实行集中监测、分权管理，并统一分配带宽资源。选用先进的网络管理平台，具有对设备、端口等的管理、流量统计分析，及可提供故障自动报警。
    安全性
    制订统一的网络安全策略，整体考虑网络平台的安全性。
    兼容性和经济性
    兼容性，能够最大限度地保证金融企业现有各种计算机软、硬件资源的可用性和连续性，为不同的现存网络提供互联和升级的手段，保证各种在用计算机系统，包括工作站、服务器和微机等设备的互连入网，充分利用现有计算机资源，发挥主干网的优势。经济性，就是在充分利用现有资源的情况下，最大限度地降低网络系统的总体投资。有计划、有步骤地实施，在保证网络整体性能的前提下，充分利用现有的网络设备或做必要的升级。

2.2技术策略及原则

为切实达到以上的网络设计原则，使金融网络系统具有良好的扩展性和灵活的接入能力，并易于管理，易于维护，在网络设计及构建中始终应遵循如下方面技术策略及原则：
    统一标准
    网络的互联及互通关键是对相同标准的遵循，要实现网络业务能融合到一起，实现数据、语音、视频业务的融合，就必须统一标准。
    统一平台
    从开放性、发展性、成熟性等方面来看，只有IP技术才能成为统一平台网络构建的标准。而在具体实施中，必须统一规划IP地址及各种应用，采用开放的技术及国际标准，如路由协议、安全标准、接入标准和网络管理平台等，才能保证实现网络的统一，并确保网络的可扩展性。

2.3. 网络分层的原则
    为减少网络中各部分的相关性，便于网络的实施及管理，在网络的构建中，从整体上可以将网络划分为核心层、汇聚层、接入层等三个层次。
    1、核心层
    负责完成网络各汇聚节点之间的互联及完成高效的数据传输、交换、转发及路由分发。
    2、汇聚层
    负责将各种接入业务集中起来，除了进行局部数据的交换、转发以外，通过高速接口将数据输送到核心层去，在更大的范围内进行数据的路由以及处理。
    3、接入层
    设备提供各种标准接口将数据接入到网络中，完成基本的业务系统之间的隔离和安全性控制、认证管理等功能。

三、详细方案设计

3.1网络拓扑结构设计

网络拓扑结构是指网络中各个站点相互连接的方式，主要有总线型拓扑、星型拓扑、环型拓扑及混合型拓扑。网络拓扑结构的选择往往和传输介质的选择、访问方法的确定等紧密相关。选择拓扑结构时，要考虑费用、灵活性、可靠性和可操作性等因素。

此方案采用分布式交换网络设计方案，具有清晰的分层模型：接入层、汇聚层、核心层。在这种方案中，充分考虑了各个主机的流量需求，关键设备实现冗余备份，路由技术和交换技术有机结合，为银行构建一个高速、稳定、可靠的多业务实施解决方案。

3.2网络方案分析及描述

通过ATM构筑银行大楼的网络主干是最适当的。

    当然，目前ATM技术的标准化还在制定当中，可能很多人认为ATM还不成熟。其实，技术上未完全成熟并不等于应用上并不成熟。

    网络采用全系列的IBM网络设备，包括：8260 ATM交换机，8274 ATM换机，8285 ATM交换机，8284以太网集线器，8235远程访问服务器，2216路由器，NetView TME10网络管理软件，防火墙软件等。系统采用8260 ATM交换机作主干，为系统提供高速的155Mbps ATM端口，连接服务器和各楼层的二级ATM交换机及旧楼的ATM交换机8274、8285等；8274提供交换式以太网端口及和8224以太网集线器相连；8285则提供25M桌面ATM端口；8235为移动用户提供远程访问服务；2216路由器用以和银行的广域网及Internet相连。

    网络中心在地下设备间机房放置三台IBM8260 ATM交换机，之间以两条155M ATM多模光纤相连构成了整个办公大楼的ATM主干网。四台数据服务器各以两条光纤分别与三台8260相连，这样四台数据服务器均以双连接进入ATM主干网。同时，在以8260 ATM交换机构成的ATM主干网上，还连有一台FVC公司的VCH－5020点播电视服务器（VODServer）以及一台FVC公司的VGS－3010和一台PictureTel公司的Montage570多点控制单元（Multipoint Control Unit）来为楼内多媒体系统提供点播电视以及多点电视会议服务。另外，同时放置一台IBM RS／6000C10作为网管工作站，上面运行IBM TME10 NetView网管平台软件及相关网管应用软件构成网络管理系统来管理整个办公大楼的网络。由于每个楼层都有2台8274，它们均以两条多模光纤分别连接到地下设备间的8260 ATM交换机上，所以在每台8260上需要155M端口来连接8274和8285。另外，在地下设备间还有四台服务器、VOD服务器、网管工作站等设备要连接到8260上，同时，8260之间还需要多条155M链路互联，所以在8260上共配置了多个155M ATM端口。（另外，为了保证整个ATM网络的可靠性，在每台8260 ATM交换机中分别配置了一个交换控制模块，以保证单台8260 ATM交换系统的可靠性。）

    考虑到主干高可靠性的网状结构，即使任一台交换机失败，系统也能正常运作，从实用性及性价比出发，在每台交换机配置了一个交换控制卡，在两台交换机中分别配置了一块多协议交换服务（MSS）模块，以提供在ATM网络上局域网仿真（LAN Emulation）、Classic IP以及LAN Emulation与Classic IP的桥接和路由、ELAN的划分，等等功能。8260中的MSS还可以实现局域网仿真服务器的备份，以提供数据应用系统在ATM网络上的可靠性。当一台8260交换机失效之后，其他8260交换机会自动接替其工作，重新建立SVC／PVC，8274利用生成树算法会启动另一条链路，继续保持连接。整个过程不超过5秒钟，对应用系统不会有任何影响。此外，当MSS模块失效后，另一MSS模块恢复系统时间也不会超过5秒钟。

    网络中心有广域网的服务，如远程访问服务以及工行广域网互连和Internet连接，需要保证很好的安全性。在此采用了IBM基于RS／6000平台的防火墙产品。防火墙采用双网卡，一边和8260 ATM交换机相连，另一边通过集线器和远程访问服务器及路由器相连，将主干和外界隔离开。

    银行网络是一个覆盖全国范围的通讯子网，是在邮电DDN链路的基础上，组建的帧中继网络，具备升级ATM网能力，支持SNA、TCP／IP计算机网络协议，具有对全行通讯子网的监控管理能力，并且在满足业务数据传输的基础上，支持话音和图像的传输能力。这些将为全国范围内的业务系统互连以及决策支持系统的建设奠定基础。这将势必要求作为通讯子网的接入节点（包括总行大楼，省分行、地市支行大楼等节点）具有符合与通讯子网连接的能力。

    作为统一产品系列的ATM交换机，8260交换机具有与2220交换机以ATM方式进行连接的能力。从而够在工行的广域网升级为ATM网络时具有更好的无缝连接的能力，在整个网络中实现ATM的连接，以适应新的、跨接广域网的应用，如电视、电话会议，动态视频点播、话音、电话交换机的接入。

    同样，8274路由交换机也具有帧中继的接入能力，能够与远端的路由器或8273、8274进行通讯。为目前的帧中继交换网，远程网络的访问提供一种更灵活、便捷的连接方式。

    另外，也可以通过IBM 2210多协议路由器接入工行的一级帧中继网络，利用2Mbps或64kB速率与分行相连接，满足系统内部业务及管理的带宽要求。

    在主机房配置一台8端口远程拨号访问服务器。利用拨号访问服务器，远程用户在任何提供拨号电话业务的地方都能进入办公室网络，在外出差的或在家工作的本行人员可以获得他们需要的任何信息，犹如在办公室使用工作站一样。拨号进入时要对使用者的各种ID身份和加密口令信息进行严格检查，充分保证网络的安全性。

3.3网络操作系统的选择

我们在这里选择的操作系统是Turbo Linux，Turbo Linux是主要网络操作系统的Linux局域网组建方案，此方案可以解决局域网用户安全、可靠地访问内部和外部资源的问题。

3.4结构化布线

  （1）在这个阶段我们应该注意一些问题：

  a 传输速率：选择传妹体时最主要的是依据网络的传输速率。由于本方案采用的是ATM，所以我们采用5类UTP

  b 传输距离：本网络都处于同一大楼，由于我们选用的都是较先进的设备。因此，不必考虑传输的有效距离问题

  c 线路铺设：为防止室外传输设备遭到风霜雨雪的侵蚀，这些部分应采用聚乙烯塑料外套，对于室内走楼层的线路，应穿上钢管或PVC管。以防虫咬或潮湿。

  （2）大多数网络故障都是由于低质电缆布线系统引起的，因此这里我们要避免选用假超5类。一定要保证线路的质量。

（3）今后随着企业的发展，要充分考虑到网络的扩展性，综合布局，以免以后扩展时造成不必要的麻烦。

综合布线系统（G C S）应是开放式结构，应能支持电话及多种计算机数据系统，还应能支持会议电视，监视电视等系统的需要。

设计综合布线系统应采用星型拓扑结构，该结构下的每个分支子系统都是相对独立的单元，对每个分支单元系统改动都不影响其他子系统。只要改变结点连接就可使网络的星型、总线、环形等各种类型网络间进行转换。综合布线系统应采用开放式的结构并应能支持当前普遍采用的各种局部网络及计算机系统。

11.1.1.2 本规范参考I S O / I E C 11 8 0 1《客户建筑电缆通用敷设要求》国际标准的规定，将建筑物综合布线系统分为以下个子系统：

工作区子系统

配线（水平）子系统

干线（垂直）子系统

设备间子系统

管理子系统

工作区子系统：由终端设备连接到信息插座的连线（软线）组成，它包括装配软线、连接器和连接所需的扩展软线，并在终端设备和输入/输出（I / O）之间搭接。相当于电话配线系统中连接话机的用户线及话机终端部分。在智能楼布线系统中，工作区用术语服务区（c o v e r a g e a r e a）替代，通常服务区大于工作区。

配线子系统：它将干线子系统线路延伸到用户工作区，相当于电话配线系统中配线电缆或连接到用户出线盒的用户线部分。

干线子系统：它提供建筑物的干线电缆的路由。该子系统由布线电缆组成，或者由电缆和光缆以及将此干线连接到相关的支撑硬件组合而成。相当于电话配线系统中的干线电缆。

设备间子系统：把中继线交叉连接处和布线交叉连接处连接到公用系统设备上。由设备间中的电缆、连接器和相关支撑硬件组成，它把公用系统设备的各种不同设备互联起来。相当于电话配线系统中的站内配线设备及电缆、导线连接部分。

管理子系统：由交连、互联和输入/输出（I / O）组成，为连接其他子系统提供连接手段。相当于电话配线系统中每层配线箱或电话分线盒部分。

3.5主数据库管理系统的选择

数据库服务器运行Turbo Linux自带的数据库包。自带的有两种：PostgresSQL和MySQL。在这里，我们选择PostgresSQL,因为它结构规范、功能齐全。

3.6网络安全解决方案

让我们分析对网络安全理解的一些误区。首先是认为是利用网络操作系统、数据库系统以及应用系统自身所具有的认证和授权及访问控制等措施对信息系统进行安全防护，现在我们都知道，这些措施是静态的，而且是极其脆弱的，许多安全漏洞都没有考滤进去，网络信息系统存在极大的风险。还有就是把网络安全几乎全部依赖于所安装的防火墙或觉得安全了防病毒系统，网络就安全了；他们没有认识到网络安全是动态的、整体的，不可能仅靠单一安全产品就能实现。所以，我们必须从网络安全可能存在的危机入手，分析并提出整体的网络安全解决方案。

3.6.1银行网络安全风险分析

　来自互联网风险

　　网上银行、电子商务、网上交易系统都是通过Internet公网并且都与银行发生关系，银行系统网络如果与Internet公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，象银行这样的金融系统自然会被恶意的入侵者列入其攻击目标的前列。

　　来自外单位风险

　　银行系统为了竞争，已不仅仅是局限在本系统纵向网上做文章，而是逐步向横向发展，主要表现在银行不断增加中间业务，增加服务功能。比如代收电话费、水电费、代收保险费、证券转帐等业务。因此，就与电信局、水电局、保险公司、证券交易所等单位网络互联。由于银行与这些单位之间不可能是完全任信关系，因此，它们之间的互联，也使得银行网络系统存在着来自外单位的安全威胁。

　　来自不信任域风险

　　大部分银行系统都发展到全国联网。一个系统分布在全国各地，范围之广，而且各级银行也都是独立核算单位，因此，对每一个区域银行来说，其它区域银行都可以说是不信任的。同样存在安全危胁。

　　来自内部网风险

　　据调查统计，已发生的网络安全事件中，70%的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉，自已攻击或泄露重要信息内外勾结，都将可能成为导致系统受攻击的最致命安全威胁。

　　管理安全风险

　　企业员工的安全意识薄弱，企业的安全管理体制不健全也是网络存在安全风险的重要因素之一，健全的安全管理体制是一个企业网络安全得以保障及维系的关键因素。

3.6.2风险可能导致的结果

　　安全威胁可能引发的结果有非法使用资源、恶意破坏数据、数据窃取、数据篡改、假冒、伪造、欺骗、敲诈勒索等。种种结果对银行这样特殊性的行业来说，其损失都是不可估量的。必须将风险防患于未然。

3.6.3银行网络安全需求

　　通过以上对银行网络系统应用与安全风险分析，我们提出防范网络安全危险的安全需求：

　　采用相关的访问控制产品及控制技术来防范来自不安全网络或不信任域的非法访问或非授仅访问。

　　采用加密设备应用加密、认证技术防范信息在网络传输过程中被非法窃取，而造成信息的泄露，并通过认证技术保证数据的完整性、真实性、可靠性。

　　采用安全检测技术来实时检查进出网络的数据流，动态防范各种来自内外网络的恶意攻击。

　　采用网络安全评估系统定期或不定期对网络系统或操作系统进行安全性扫描，评估网络系统及操作系统的安全等级，并分析提出补救措施。

　　采用防病毒产品及技术实时监测进入网络或主机的数据，防范病毒对网络或主机的侵害。

　　采用网络备份与恢复系统，实现数据库的安全存储及灾难复。

　　构建CA认证中心，来保证加密密钥的安全分发及安全管理。

　　应用安全平台的开发，针对银行特殊的应用进行特定的应用开发。

　　必须制定完善安全管理制度，并通过培训等手段来增强员工的安全防范技术及防范意识。

3.6.4网络安全解决方案

1物理安全

　　保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。

　1.1环境安全

　　对系统所在网络环境合理选择的安全保护，如防水灾、火灾、地震等自然灾害。

1.2设备安全

　　加强设备的安全保护，防止发生设备被盗、被毁。

1.3媒介安全

　　加强场地基础设施的建设，防止信息通过辐射、线路截获而造成泄露。

2系统安全

2.1操作系统安全

　　目前大多数操作系统都存在一些安全漏洞、后门，而这些因素往往又是被入侵者攻击所利用。因此，对操作系统必须进行安全配置、打上最新的补丁，还要利用相应的扫描软件对其进行安全性扫描评估、检测其存在的安全漏洞，分析系统的安全性，提出补救措施。管理人员应用时必须加强身份认证机制及认证强度。

　2.2应用系统安全

　　应用系统一般都是针对某些应用而开发的，但由于它的通用性，其所提供的服务并非都是每个具体用户所必需的，因此，对应用系统的安全性，也应该进行安全配置，尽量做到只开放必须使用的服务，而关闭不经常用的协议及协议端口号。还有就是对应用系统的使用要加强用户登录身份认证。确保用户使用的合法性，严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。并充分利用应用系统本身的日志功能，对用户所访问的信息做记录，为事后审查提供依据。

3网络安全

　　3.1网络结构安全

　　网络结构布局的合理与否，也影响着网络的安全性。对银行系统业务网、办公网、与外单位互联的接口网络之间必须按各自的应用范围、安全保密程度进行合理分布，以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统。

　  3.2加强访问控制

　　1）如果银行系统有上Internet公网的需求，则从安全性考滤，银行业务系统网络必须与Internet公网物理隔离。解决方法可以是两个网络之间完全断开或者通过物理安全隔离卡来实现。

　　2）网结构合理分布后，在内部局网内可以通过交换机划分VLAN功能来实现不同部门、不同级别用户之间简单的访问控制。

　　3）内部局域网与外单位网络、内部局域网与不信任域网络之间可以通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制。

　　4）根据企业具体应用，也可以配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问控制。

　　5）对于远程拔号访问用户的安全性访问，可以利用防火墙的一次性口令认证机制，对远程拔号用户进行身份认证，实远程用户的安全访问。

　　3.3安全检测

　　由于防火墙等安全控制系统都属于静态防护安全体系，但对于一些允许通过防火墙的访问而导致的攻击行为、内部网的攻击行业，防火墙是无能为力的。因此，还必须配备入侵检测系统，该系统可以安装在局域网络的共享网络设备上，它的功能是实时分析进出网络数据流，对网络违规事件跟踪、实时报警、阻断连接并做日志。它既可以对付内部人员的攻击，也可以对付来自外部网络的攻击行为。

　　3.4网络安全评估

　　黑客攻击成功的案例中，大多数都是利用网络或系统存在的安全漏洞，实现攻击的。网络安全性扫描分析系统通过实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，根据扫描结果配置或修改网络系统，达到增强网络安全性的目的。操作系统安全扫描系统是从操作系统的角度，以管理员的身份对独立的系统主机的安全性进行评估分析，找出用户系统配置、用户配置的安全弱点，建议补救措施。

4应用安全

　　4.1安全认证

　　银行系统在解决网络安全问题肯定要配备加密系统，由于要加密就涉及到密钥，则密钥的产生、颁发与管理就存在安全性。我们都知道密钥的发放一般都是通过发放证书来实现。那么，证书的发送方与接收方如何确认对方证书的真实性，因此，就引入了通过第三方来发放证书，即构建一个权威认证机构（CA认证中心）。银行系统可以联合各专业银行一同构建一个银行系统的CA系统。实现本系统内证书的发交与业务的安全交易。随着网络经济的发展，慢慢可以升级为和其它系统CA的交叉认证。

　  4.2病毒防护

　　提起病毒的危害，我想很多人都会为之震惊。CIH、爱虫等真让IT界恐慌一时，病毒侵害小的引起死机影响工作、大的可能引起系统瘫痪（彻底摧毁数据）。病毒的防护必须通过防病毒系统来实现，银行系统中业务网络操作系统一般都采用LINUX操作系统，因此，防范病毒的入侵，就应该根据具体的系统类型，配置相应的、最新的防病毒系统。从单机到网络实现全网的病毒安全防护体系，病毒无论从外部网络还是从内部网络中的某台主机进入网络系统，通过防病毒软件的实时检测功能，将会把病毒扼杀在发起处，防止病毒的扩散。

5信息安全

　　5.1加密传输

　　要保护数据在传输过程中不被泄露，保证用户数据的机密性，必须对数据进行加密。加密后，数据在传输过程中便是以密文传输，既使被入侵者截获，由于是密文形式，也读不懂；即使加密后的数据存在被破译的可能性，但现行密码算法的密钥都在64位以上，解密工作并不容易，需要花费相当的资金、时间。等到破译，也许这种信息已经没有什么价值了。数据加密的方法有从链路层加密、网络层加密及应用层加密。链路层加密机主要根据企业采用链路协议（Frame Relay、X.25、DDN、PSTN），采用相应类型的加密机；网络层加密由于是在网层上，因此它对链路层是透明的，与链路是何种协议无关；应用层加密主要适用于具有的加密需求，针对具体的应用进行开发。不同企业可以根据自身网络特点及应用需求选择合适的加密方法。对于银行系统，由于系统庞大，采用电信网络链路协议有Frame Relay、X.25、DDN、PSTN等多种链路，如果采用链路加密，采必须采用多种类型的加密机，这样对一个系统来说，就会给产品维护、升级等带来一定的困难；对于应用层加密，在网上银行应用比较广泛，网上银行针对公网用户，其数据在公网上传输不可能使用链路层或网络层加密设备，只能通过应用层加密来实现，应用层加密可以采用SET协议或者SSL协议，通过B/S 结构完成网上交易的加密及解密。因此，对银行普通业务系统，我们建议采用网络层加密设备，来保护数据在网络上传输的安全性。而对网上银行、网上交易等业务系统可以采用应用层加密机制来加密，以保护数据在网上传输的机密性。

　　5.2信息鉴别

　　保护数据的完整性、真实性、可靠性也是网络系统安全防护的一个重要方面。数据在传输过程中存在着被非法窃取、篡改的安全威胁，为此，为了保证数据的完整性，就必须采用信息鉴别技术。VPN设备便能实现这样的功能，其实现过程：原始数据包到达VPN设备时首先对数据进行加密并用HASH函数对数据进行HASH运算产生信息摘要与加密后的数据一同发出去，数据包到达目的方的VPN加密设备后，先对加密的密钥对对数据包进行解密，然后用HASH函数对解密后的数据进行HASH运算，也产生信息摘要，把这个信息摘要与收到的信息摘要进行对比，由于进行HASH运算后产生的信息摘要可以被认为具有唯一性，所以，如果这两个信息摘要完全相同，则说明解密的数据是完整的原始数据，否则说明数据在传输过程中已经被修改过，失去的完整性。

　　数据源身份认证也是信息鉴别的一种手段，它可以确认信息的来源的可靠性。数据源身份认证的实现是通过数字签名技术。数字签名基本原理是发送方利用自已的私钥对信息进行加密（签名）后发送给对方，对方收到信息后用发送方的公钥进行解密，如果通顺利解成明文这说明信息来源是可信的，否则证明信息来源是不可靠的。同时采用数字签名技术达到防抵赖目的。

　　对于银行系统，由于其行业的特殊性，在网上传输信息都是重要信息。因此，结合传输加密技术，我们可以选择VPN设备，实现保护数据的机密性、完整性、真实性、可靠性。

　　5.3信息存储

　　对银行系统主要是数据库的安全，由于各地银行系统都是采用客户/服务器模式，数据都集中存在一个大型数据库系统中，因此数据库的安全尤其重要。保护数据库最安全、最有效的方法就是采用备份与恢复系统。备份系统可以保存相当完整的数据库信息，在运行数据库主机发生意外事故时，通过恢复系统把备份的数据库系统在最短时间内恢复正常工作状态，保证银行业务系统提供服务的及时性、连续性。

6应用开发

　　银行系统由于职能的特殊性，可能会存在其特殊的应用，而要保护其应用的安全性，并不是市场上的那些通用产品都能满足，必须通过详细了解，分析，进行有针对性地开发，量体裁衣，才能切实让用户用得放心。

7管理安全

　　我们知道网络安全实现并不完全取决于技术手段，管理安全是网络安全真正得以维系的重要保证。管理安全银行系统安全制度的制定、国家法律、法规的宣传以及提高企业人员的整体网络安全意识。

8安全服务

　　网络安全是动态的、整体的，并不是简单的安全产品集成就解决问题。随着时间推移，新的安全风险又将随着产生。因此，一个完整的安全解决方案还必须包括长期的、与项目相关的信息安全服务。安全服务包括：全方位的安全咨询、培训；静态的网络安全风险评估；特别事件应急响应。

9安全目标

　　保护网络系统的可有性

　　保护网络资源的合法使用性

　　防范入侵者的恶意攻击与破坏

　　保护信息通过网上传输的机密性、完整性及不可抵赖性

　　防范病毒的侵害

　　实现网络的安全管理

3.7网络设备软、硬件配置清单

Trackback: http://tb.donews.net/TrackBack.aspx?PostId=380832