银行信息系统安全管理方案

第一篇：银行信息系统安全管理方案

银行信息系统安全管理方案

随着金融界向电子化、数字化、网络化的发展，各金融机构对计算机的重视程度越来越高，全球高新技术尤其是信息技术的发展，进一步提高了银行计算机的应用水平。

1银行业务的发展和信息安全范畴的变迁

随着金融界向电子化、数字化、网络化的发展，各金融机构对计算机的重视程度越来越高，全球高新技术尤其是信息技术的发展，进一步提高了银行计算机的应用水平。人们可以通过国际互联网随时随地进行信息交流、电子商务活动，银行既要保障有强固的银行内部业务网络，又要扩展业务，利用互联网、无线网等尽可能多的通讯途径对全国甚至全球个人实行24小时金融电子服务，许多银行也顺应形势相继推出了网上银行、自助银行、客户服务中心、手机银行等。同时，经营的集约化和数据的集中化趋势一方面顺应了银行业务发展的要求，避免了业务分散导致的业务风险，但是另一方面不可避免的导致了信息安全风险的集中。

随着银行业务系统顺应趋势的开放和互连，其信息安全范畴已经突破了以业务系统物理隔离和协议隔离为基础的传统银行信息安全。我们必须在一个日趋开放的系统平台上重新审视银行的信息安全问题。金融系统（银行、保险、证券）是国家政策要求实施安全等级保护的11大类关键信息基础设施的重点系统。因此，如何建立一个高效的现代信息安全体系，日益成为突出的问题。冠群金辰公司的主动防御安全策略

冠群金辰公司具有多年的信息安全产品研发、工程实施和安全服务经验，在金融行业具有丰富的行业应用经验，并且对国外和国内的金融行业业务应用、信息安全策略、相关法律法规等有深刻的理解，具有独到的见解。

根据对客户需求的详细调查分析，推出了以客户价值为中心，以3S为代表的安全理念，即Security Solution（安全方案），Security Application（安全应用），Security Service（安全服务）。安全方案是基于符合用户需求的自有产品和合作伙伴的优秀产品搭建的整体解决方案；安全应用则是基于用户的实际应用系统和业务系统的安全需要，将我们的安全方案进行定制和二次开发，以满足用户对业务系统和安全系统更高程度的整合需求；安全服务则是参照国际和国内信息安全管理和工程标准，并结合冠群金辰公司的服务经验积累提供的评估、设计、实施、管理、教育等一系列服务项目，以帮助用户在日趋严峻的安全环境中保持业务的顺利运行。

经过对信息安全趋势的分析，我们认为在当前新的安全漏洞发现频率日益加快、安全攻击事件大幅度增加的状况下，局限于传统的被动（Reactive）防范策略是非常危险的。我们按照风险管理的思路，提出了主动（Proactive）防御策略，强调利用先进的技术、产品，配合以有效的管理方法和运维模式，避免入侵行为造成损害，并且有效防御新的安全漏洞造成的风险。脆弱性三维图可以帮助客户识别风险状况，选择采用适当有效的风险控制方法，达到成本和效益之间的平衡。

冠群金辰公司倡导采用以主动防御为基础的纵深防御体系来进行银行安全保障体系的建立。

第一：在整个受保护网络环境中的每一个环节上减少可能会被入侵者利用的突出的脆弱点；

第二：对于关键的资源，使用多重防御策略来管理风险，以便在一层防御不够时，在理想情况下，另一层防御将会削弱对被保护资源的破坏。

3.银行信息安全风险管理思路和技术建议

银行信息安全问题不仅仅是技术上的问题，同样重要的是管理问题。2003年4月底正式挂牌的中国银监会5月份以第二号公告的形式，就巴塞尔新资本协议公开征求中国银行业界意见。新巴塞尔协议的实施势必大大提升银行业的整体业务风险管理水平。同样，在银行的信息安全领域也需要一种成熟的风险管理思路。这种风险管理的思想要贯穿在银行的每一个业务系统的生命周期阶段。对于每一个银行业务系统，比如柜台业务、资金清算等随着时间的发展都可以分为不同的阶段。按照NIST风险管理指南，这些阶段可以划分为系统规划阶段、系统开发阶段、系统实施阶段、系统运行阶段和系统废止阶段。根据银行业务系统各自的特点，其各阶段的具体内容会有所不同，但基本周期保持不变。所以与之相对应就产生了所谓系统安全的生命周期，即是将安全生命周期模型整合到系统生命周期模型上，一方面在系统生命周期各阶段提取安全需求，另一方面将安全生命周期的过程应用在系统生命周期各阶段，即在系统各阶段遵循安全的过程性开

展相应安全工作。不同系统，各阶段的安全需求不同，安全工作展开的顺序也会有所不同。但是，它们的共同点就是需要同时从技术和管理两个方面着手进行风险管理，同时这两个方面不是孤立实施的，而是有机结合的。

冠群金辰公司的银行业信息安全风险管理方案主要分为下面几个部分：

第一，参照相关法律法规、金融行业相关规定、国内外信息安全标准等，为用户建立一套信息安全管理系统和业务持续性策略；

第二，根据业务系统的需要，进行安全技术层面的实施，其中包括对银行现有设备和系统的加固、自有安全产品配置和实施、第三方安全产品配置和实施以及根据实际需求进行的专有安全系统开发和实施等。

第三，提供需求分析、风险评估、安全审计、紧急响应等覆盖全系统生命周期的安全服务。冠群金辰公司拥有一支持有CCIE、CISSP、BS7799 LA、CISP、SCSA等国际国内认证的专业安全服务队伍和专职的银行业务顾问小组，提供基于整体和业务的安全服务。

由于银行系统业务种类众多，信息系统也千差万别，不同银行业务信息系统对机密性、完整性、可用性、可控性与可审查性也具有不同的要求，所以不可能采用一个相同的模式进行所有银行系统安全体系的设计。这里仅仅根据中国人民银行2001年发布的《银行信息系统安全技术规范》和中国人民银行2002年发布的关于加强银行数据集中安全工作的指导意见的260号文件，对于构成银行信息

系统的几个关键层次进行示例分析，主要从技术角度对冠群金辰的解决方案进行简单介绍。

3.1 物理安全

主要是按照国家标准GB50173-93、GB2887-89、GB9316-88等加强场地设防。计算机设备实体安全类中，首先要求场地环境条件的控制，对计算机网络的中心机房及其延伸点，要坚决搞好基本环境建设，要有完整的防雷电设施，且有严格的防电磁干扰设施，机房内要搞好防水防火的预防工作，对主机房电源要有完整的双回路备份机制。尤其是银行主机机房的物理安全保障措施一定要到位。同城异地备份甚至不同城市之间的灾备中心都是需要考虑的。另外，信息处理设备安全、媒体介质存放安全也是需要重点考虑的内容。

3.2 网络互连的隔离和网关病毒过滤

随着银行业务的发展，业务主机不可避免地需要和外部系统互联。比如为了实现跨系统银行间资金汇划的电子联行系统采用的天地对接基本上建立在电信局的公共通信网上，开放的网络环境和网络协议为系统互联提供了方便，但同时也降低了系统的安全性。正在蓬勃兴起的银行中间业务的发展更是促进了不同行业之间的网络连通。有网络的连接是造成安全风险的重要源头，一定需要对不同安全级别的网络之间进行安全隔离。除了物理隔离外，逻辑隔离按照通讯方式有几种级别：双方网络互有通讯、单向通讯、按需通讯等。按照安全级别的要求可分为简单包过滤、状态包过滤、应用层代理、专有协议隔离等。冠群金辰公司的

轩辕防火墙是集防火墙、VPN、流量管理等功能于一体的网络安全设备。它能通过Web浏览器或CLI及中央管理台集中管理，并且支持透明模式。轩辕防火墙产品能够满足银行系统中大部分的网络逻辑隔离要求。

冠群金辰公司的赤霄KILL过滤网关是一个专用硬件设备，用于在银行网络之间过滤病毒。它能够高效率地过滤包含在HTTP、FTP以及SMTP 协议中的计算机病毒，实现病毒的网络隔离，避免病毒在网络之间的扩散。该产品具有丰富和功能和优异的性能，在2002年一举获得了中国大IT媒体：《中国计算机报》和《计算机世界报》的编辑选择奖和年度产品奖，并在另一大专业媒体《网络世界》2003年5月12日发布的产品购买指南中得到高度评价，被称为 “防病毒网关的佼佼者”，更于今年7月份又获得“网管员最信赖的防病毒产品”奖项。通过在银行内部、银行和第三方网络等网关处部署该产品，可以杜绝病毒最主要的传播途径，给被保护网络营造一个安全的计算环境。

3.3 数据传输加密

当需要在非银行控制的公网上传输机密信息时，必须采用有效的措施对网络上传输的数据进行加密处理。冠群金辰公司的轩辕防火墙内置了基于 IPSEC协议的VPN功能，能够方便地在网络边界处实现数据的加密传输，方便了银行不同分支部门之间的安全通信和远程办公。对于已经设置没有VPN功能的防火墙的网络，冠群金辰公司的软件VPN产品能够方便地部署在网络中的任意一台计算机上，实现网络内部的加密通信和远程安全访问。

3.4 网络入侵行为和蠕虫病毒的传播监控

网络攻击的表现形式主要有两种：第一，人为入侵（包括内部和外部）；第二，蠕虫和病毒的网络渗透和传播。而且，目前这两种形式有逐渐趋于统一的趋势。对于这两种行为我们都要进行严格监控，并且需要统一在一个平台下进行关联监控，以更好的起到安全检测的目的。

冠群金辰提供的干将/莫邪系列入侵检测系统能够在从百兆到千兆的网络中提供实时的入侵检测和病毒传播统一监控，也是唯一能够实现在同一个平台下进行入侵行为和蠕虫病毒传播的监控的安全系统。这样在银行网络中发生入侵行为或蠕虫传播时，管理员能够很快定位网络和系统问题所在，减少故障时间，降低损失。尤其是在结构复杂的网络中，利用干将/莫邪系列入侵检测系统提供的监控功能，管理员可以迅速定位被感染的服务器，控制传染源。

3.5 安全级别提升和分散授权原则在操作系统级的实施

操作系统的安全是银行信息系统安全的重要方面。为了更加有效地避免金融犯罪，杜绝银行内部人员作案，银行要求采用的操作系统具有相当高的抗攻击能力，有必要时需要采用B1级别的安全操作系统，比如网上银行主机和关键业务主机系统。在人民银行发布的《银行计算机信息系统安全技术规范》中也明确了这一点。但是目前基本上所有的商用操作系统都是C2级的，不能满足银行的要求。如果采用专用的安全操作系统，势必需要对原有的应用程序进行改造，造成大量人力物力和财力的资源浪费。冠群金辰公司提供的龙渊服务器核心防护产品

可以很好地解决这一问题，既能克服通用操作系统（包括Windows，Unix，Linux）的安全弊病，又能够和所有应用程序兼容，并且容易管理。它能够将大部分商用操作系统的安全等级提升到TCSEC B1级，支持强制访问控制，在大幅度提升安全性的同时保护了用户原有投资。比如通过在银行业务主机上部署龙渊服务器核心防护，可以在一台主机上将管理员权限分成系统管理员、安全管理员、安全审计员以及其它一般性质的业务操作人员，并且同时取消操作系统的超级用户特权。这样，所有人员的动作都能够被互相监督，大大降低了内部人员作案的可能性。

通过在关键的银行业务服务器上部署冠群金辰公司的龙渊服务器核心防护，安全管理员能够严格限定所有用户在该服务器上的任何操作，从时间、地点、访问方式等多个方面进行极细粒度的访问控制；并且其动态安全扩展（DSX）技术使得服务器能够高强度抵御未知的攻击类型，尤其是缓冲区溢出类型的攻击，从而避免了损失，为安全管理员赢得了宝贵的时间。这种防范措施对于Windows平台和UNIX、Linux平台都适用，并且不依赖特征库的升级即可完成防范功能。另外，通过该系统在本机上限定该计算机允许的网络通信类型，即使该计算机感染了蠕虫或被放置了木马程序，也无法对外发出违反预定安全策略的数据包，避免了可能导致的蠕虫传播和网络拥塞现象，降低了攻击后的影响。在最坏的情况下，即使入侵者已经获得了被攻击服务器的管理员账户和密码，龙渊服务器核心防护仍然能够保证该入侵者仅仅具有一个该系统上普通用户的权限，不能为所欲为，造成更大的损失和影响。这是传统的由防病毒、防火墙和入侵检测系统构成的安全防御体系所不能够实现的重要特点。该方案已经在全球著名银行，如花旗银行的系统中广泛采用。

3.6 其它安全设施

网上银行的兴起决定了在整个银行的安全体系的建设中，确立一个稳固的身份认证机制是根本的前提条件。通过建立PKI/CA认证系统，可以确保各种人员、资源的身份，防止网络欺诈行为和交易抵赖行为。

一个统一的网络防病毒体系是银行信息安全中的重要组成部分。冠群金辰公司作为国内防病毒软件厂商的先驱，其KILL防病毒系统已经在全国各行业广泛应用，尤其是网络防病毒系统更是国内厂商的佼佼者。KILL防病毒系统的技术已经非常成熟，在一个软件中集成了两个完全不同的防病毒引擎，能够对 Windows 95/98/NT/2000/XP、Linux、UNIX、Netware等多种平台进行病毒防护，并且可以通过集中的中央控制台完成软件安装、完全免费的特征码自动升级、病毒报警集中管理等工作，得到了广泛的用户认可。

冠群金辰的承影漏洞扫描系统可以扫描各个计算机、网络设备，及时发现存在的安全漏洞，并且事先做出预防措施，是主动防御体系中不可或缺的一部分。

利用安全信息管理（SIM）平台可以对银行网络内采用的所有安全相关的设备的报警信息和日志，甚至包括业务系统、应用系统的信息进行统一的汇总和关联性分析，降低管理成本，提高管理效率。

第二篇：信息系统安全管理方案

信息系统安全管理方案

信息系统的安全，是指为信息系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄漏，以保证系统连续正常运行。信息系统的安全方案是为发布、管理和保护敏感的信息资源而制定的一级法律、法规和措施的总和，是对信息资源使用、管理规则的正式描述，是院内所有人员都必须遵守的规则。信息系统的受到的安全威胁有：操作系统的不安全性、防火墙的不安全性、来自内部人员的安全威胁、缺乏有效的监督机制和评估网络系统的安全性手段、系统不能对病毒有效控制等。

一、机房设备的物理安全

硬件设备事故对信息系统危害极大，如电源事故引起的火灾，机房通风散热不好引起烧毁硬件等，严重的可使系统业务停顿，造成不可估量的损失；轻的也会使相应业务混乱，无法正常运转。对系统的管理、看护不善，可使一些不法分子盗窃计算机及网络硬件设备，从中牟利，使企业和国家财产遭受损失，还破坏了系统的正常运行。因此，信息系统安全首先要保证机房和硬件设备的安全。要制定严格的机房管理制度和保卫制度，注意防火、防盗、防雷击等突发事件和自然灾害，采用隔离、防辐射措施实现系统安全运行。

二、管理制度

在制定安全策略的同时，要制定相关的信息与网络安全的技术标

准与规范。技术标准着重从技术方面规定与规范实现安全策略的技术、机制与安全产品的功能指标要求。管理规范是从政策组织、人力与流程方面对安全策略的实施进行规划。这些标准与规范是安全策略的技术保障与管理基础，没有一定政策法规制度保障的安全策略形同一堆废纸。

要备好国家有关法规，如：《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《计算机信息网络国际联网安全保护管理办法》、《计算机信息系统安全专用产品检测和销售许可证管理办法》、《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》、《商用密码管理条例》等，做到有据可查。同时，要制定信息系统及其环境安全管理的规则，规则应包含下列内容：

１、岗位职责：包括门卫在内的值班制度与职责，管理人员和工程技术人员的职责；

２、信息系统的使用规则，包括各用户的使用权限，建立与维护完整的网络用户数据库，严格对系统日志进行管理，对公共机房实行精确到人、到机位的登记制度，实现对网络客户、ＩＰ地址、ＭＡＣ地址、服务帐号的精确管理；

３、软件管理制度；

４、机房设备（包括电源、空调）管理制度；

５、网络运行管理制度；

６、硬件维护制度；

７、软件维护制度；

８、定期安全检查与教育制度；

９、下属单位入网行为规范和安全协议。

三、网络安全

按照网络ＯＳＩ七层模型，网络系统的安全贯穿与整个七层模型。针对网络系统实际运行的ＴＣＰ／ＩＰ协议，网络安全贯穿于信息系统的以下层次：

１、物理层安全：主要防止物理通路的损坏、物理通路的窃听、对物理通路的攻击（干扰等）。

２、链路层安全：需要保证网络链路传送的数据不被窃听。主要采用划分 ＶＬＡＮ、加密通讯（远程网）等手段。

３、网络层安全：需要保证网络只给授权的用户使用授权的服务，保证网络路由正确，避免被拦截或监听。

４、操作系统安全：保证客户资料、操作系统访问控制的安全，同时能够对该操作系统的应用进行审计。

５、应用平台安全：应用平台之建立在网络系统上的应用软件服务器，如数据服务器、电子邮件服务器、ＷＥＢ服务器等。其安全通常采用多种技术（如ＳＳＬ等）来增强应用平台的安全系统。

６、应用系统安全：使用应用平台提供的安全服务来保证基本安全，如通过通讯双方的认证、审计等手段。

系统安全体系应具备以下功能：建立对特等网段、服务的访问控制体系；检查安全漏洞；建立入侵性攻击监控体系；主动进行加密通

讯；建立良好的认证体系；进行良好的备份和恢复机制；进行多层防御，隐藏内部信息并建立安全监控中心等。

网络安全防范是每一个系统设计人员和管理人员的重要任务和职责。网络应采用保种控制技术保证安全访问而绝对禁止非法者进入，已经成为网络建设及安全的重大决策问题。

明确网络资源。事实上我们不能确定谁会来攻击网络系统，所以作为网络管理员在制定安全策略之初应充分了解网络结构，了解保护什么，需要什么样的访问以及如何协调所有的网络资源和访问。

第三篇：信息系统安全管理规范

信息系统安全管理规范

1、目标

此文档用于规范公司业务系统的安全管理，安全管理所达到的目标如下：

确保业务系统中所有数据及文件的有效保护，未经许可的用户无法访问数据。对用户权限进行合理规划，使系统在安全状态下满足工作的需求。

2、机房访问控制

机房做为设备的集中地，对于进入有严格的要求。只有公司指定的系统管理员及数据库管理员才有权限申请进入机房。系统管理员及数据库管理员因工作需要进入机房前必须经过公司书面批准。严格遵守机房管理制度。

3、操作系统访问控制

保护系统数据安全的第一道防线是保障网络访问的安全，不允许未经许可的 用户进入到公司网络中。第二道防线就是要控制存放数据及应用文件的主机系统 不能被未经许可的用户直接访问。为防止主机系统被不安全访问，采取以下措施： 操作系统级的超级管理用户口令、数据库管理用户口令、应用管理用户口令 只能由系统管理员设定并经办公室审核，１个月做一次修改，口令要向其他人员 保密。在应用系统实施阶段，考虑到应用软件提供商需要对自己的产品进行调试，可以在调试时将应用管理用户口令暂时开放给应用软件提供商； 调试一结束系统 管理员马上更改口令。对口令设定必需满足以下规范： 最多允许尝试次数 口令最长有效期 口令的最大长度 口令的最小长度 5 30 天 不受限 6 口令的唯一性要求。

4、系统的安全控制

最近三次所更改的口令不能相同 通过口令控制及对象的安全控制实现。

5、数据库访问控制

为有效的保障业务数据的安全，采取以下措施：

数据库内具有较高权限的管理用户口令由办公室数据库管理员设定,并由办公室审核，不能向其他人开放。口令必须１个月做一次修改。业务系统后台数据库对象创建用户的口令由办公室数据库管理员设定，由办公室审核。不能向其他人开放。口令必须 1 个月做一次修改。

对口令设定必需满足以下规范：

口令最长有效期 口令的最大长度 口令的最小长度 口令的唯一性要求 30 天 不受限 6 最近三次所更改的口令不能相同 根据操作需求，在数据库中分别建立对业务数据只有“增、删、改”权限的用户；对业务数据只有“查询”权限的用户。不同的操作需求开

放不同权限的用 户。除办公室门的人员外，其他部门的任何人员均没有权限从后台数据库直接进行数据的“增、删、改”操作 对于业务必须的后台 job 或批处理，必须由办公室门人员执行。

6、应用系统访问控制

应用系统访问依靠系统内部定义的操作用户权限来控制,操作用户权限控制到菜单一级，对于操作用户的安全管理有如下规范：

所有应用级的操作用户及初始口令统一由办公室门设定，以个人邮件的形式分别发给各部门的操作人员。各部门操作人员在首次登录时必须修改口令，口令必须１个月做一次修改。

对于口令设定必需满足以下规范：

口令最长有效期 口令的最大长度口令的最小长度口令的唯一性要求 30 天 不受限 6 最近三次所更改的口令不能相同操作人员不能将自己的用户及口令随意告诉他人所有使用者的认可都由系统管理员来逐一分配。必须由部门经理提交访问权认可的申请表，然后由办公室批准。当应用系统中需要加入新的使用者时，首先使用者需要填写“权限申请表”。该申请表应该得到部门经理和办公室的共同批准。之后，IT 系统管理员会帮助 应用系统的使用者开通账户，并建立相应的访问等级和权限。当应用系统需要关闭某位使用者的账户时，首先该部门应该填写“权限申请 表”，并得到部门经理和办公室的共同批准。之后，IT 系统管理员会帮助应用系 统使用者关闭该账户。大多数的主文件都会与审查日志一起更新。使用者号码、处理日期以及时间 将写入日志，以备今后查询之用。

7、个人义务

如果技术上可行，每一位使用者都应该通过一个唯一的使用者身份号码来识别，该号码设有密码，并不得与任何人共享。使用者的身份号码意味着不允许存在公共使用。然而，支持网关和服务器的设备是一个例外，例如：互联网服务器等。只有得到 IT 经理的批准，才能使用这些公共使用身份号码。使用者不得与他人共享密码。如果已经告知了他人，那么使用者将对他人利 用密码所做的任何行为的后果负责。若使用者怀疑他的密码已经被泄露了，那么他应该尽快更换密码。并应该在 第一时间向 IT 系统管理员汇报。3使用者不应该书面记录下密码，并放在别人可以轻易看到的地方。密码不得设置成特定词汇或其他能被轻易猜到的字词。类似姓名、电话号码、身份证号、生日等都是不合格的密码。使用者不得向他人泄漏密码。如果 IT 技术支持人员要求运用使用

者的号码 访问，则必须当着使用者的面登录。如果使用者泄漏了密码，则必须尽快更改密 码。如果他们因诱骗而泄漏了密码，则必须尽快向 IT 系统管理员汇报。如果使用者怀疑我们信息系统的安全性受到威胁，则必须尽快向 IT 系统管 理员汇报。使用者对他们自己输入系统的数据的精确性负责，同时也对他们指示系统开发下载到我们系统上的数据的精确性负责。他们必须尽力保证数据的准确性。如 果发现错误，并且自己能够修改的话，则应该将其改正。如果自己改正不了，则应该向他们的主管汇报。如果是在源文件发现数据错误，则应该尽快改正这些错误，而不是故意将这些错误输入我们的电脑系统。使用者在离开终端机器或电脑以前必须下线，这一点应该强制执行。如果是 在使用不带下线功能的单机个人电脑，则必须在离开电脑前终止程序。只有当执 行批处理任务时是例外。当使用者的工作职责有变动时，他的访问权也应该作相应的变更。部门经 理应该及时递交“权限申请表”以通知 IT 系统管理员。特别是在员工辞职的情 况下，他/她的部门经理以及人事部经理应该及时通知 IT 系统管理员，以保证在 最短的时间内撤销他/她的系统访问权。

8、局域网和广域网安全

在可能的情况下，我们都应将端口转换到使用者的个人电脑。如果没有足够的转换，已转换的端口将根据以下优先等级来分配：

需要带宽的使用者可以访问机密数据的使用者职务等级，例如：公司领导优先于管理员，管理员优先于经理，依此类推。所有的访问我们本地网络的端口只有在部门经理指定授权使用者时才可以 开通。因此，在公共区域（例如：会议室）的访问端口只能在使用时开通。4 交换机位于数据中心，对该中心的物理访问应该控制。除了授权的 IT 支持人员以外，任何使用者都不得在公司办公地点的个人电脑上安装任何带有数据包监听、端口或地址扫描功能的软件。IP 地址只能由经授权的 IT 支持人员来分配。使用者不得自行分配他们的 IP 地址。所有的交换机、路由器、互联网服务器以及防火墙都应该设置密码，此密码 不得为原厂密码。交换机、路由器、互联网服务器以及防火墙的所有不同等级的密码都应该记 录在案。IT 经理应该保留一个备份。所有服务器的管理员密码和主管密码都应该记录在案。IT 经理应该保留一 个备份。对于交换机、路由器、网络集线器以及服务器的结构等级的访问应该只限授 权的 IT 支持人员。关于安全的信息以及通往网络的网关的保护机制应该只有授权的 IT 支持人 员知道。所有的交换机和路由器都应该由非间断电原提供至少 60 分钟的电源供应。如可能，非间断电源供应机应该轮流由一台备用的发电机来充电。只有经授权的使用者才允许安装和使用

网络发明和监控工具。

第四篇：信息系统安全

数字签名过程 “发送报文时，发送方用一个哈希函数从报文文本中生成报文摘要,然后用自己的私人密钥对这个摘要进行加密，这个加密后的摘要将作为报文的数字签名和报文一起发送给接收方，接收方首先用与发送方一样的哈希函数从接收到的原始报文中计算出报文摘要，接着再用发送方的公用密钥来对报文附加的数字签名进行解密，如果这两个摘要相同、那么接收方就能确认该数字签名是发送方的。

数字签名有两种功效：一是能确定消息确实是由发送方签名并发出来的，因为别人假冒不了发送方的签名。二是数字签名能确定消息的完整性。因为数字签名的特点是它代表了文件的特征，文件如果发生改变，数字签名的值也将发生变化。不同的文件将得到不同的数字签名。一次数字签名涉及到一个哈希函数、发送者的公钥、发送者的私钥。”这报文鉴别的描述！数字签名没有那么复杂。数字签名： 发送方用自己的密钥对报文X进行E运算，生成不可读取的密文Esk，然后将Esx传送给接收方，接收方为了核实签名，用发送方的密钥进行D运算，还原报文。

口令攻击的主要方法

1、社会工程学(social Engineering)，通过人际交往这一非技术手段以欺骗、套取的方式来获得口令。避免此类攻击的对策是加强用户意识。

2、猜测攻击。首先使用口令猜测程序进行攻击。口令猜测程序往往根据用户定义口令的习惯猜测用户口令，像名字缩写、生日、宠物名、部门名等。在详细了解用户的社会背景之后，黑客可以列举出几百种可能的口令，并在很短的时间内就可以完成猜测攻击。

3、字典攻击。如果猜测攻击不成功，入侵者会继续扩大攻击范围，对所有英文单词进行尝试，程序将按序取出一个又一个的单词，进行一次又一次尝试，直到成功。据有的传媒报导，对于一个有8万个英文单词的集合来说，入侵者不到一分半钟就可试完。所以，如果用户的口令不太长或是单词、短语，那么很快就会被破译出来。

4、穷举攻击。如果字典攻击仍然不能够成功，入侵者会采取穷举攻击。一般从长度为1的口令开始，按长度递增进行尝试攻击。由于人们往往偏爱简单易记的口令，穷举攻击的成功率很高。如果每千分之一秒检查一个口令，那么86%的口令可以在一周内破译出来。

5、混合攻击，结合了字典攻击和穷举攻击，先字典攻击，再暴力攻击。

避免以上四类攻击的对策是加强口令策略。

6、直接破解系统口令文件。所有的攻击都不能够奏效，入侵者会寻找目标主机的安全漏洞和薄弱环节，饲机偷走存放系统口令的文件，然后破译加密的口令，以便冒充合法用户访问这台主机。

7:网络嗅探(sniffer)，通过嗅探器在局域网内嗅探明文传输的口令字符串。避免此类攻击的对策是网络传输采用加密传输的方式进行。

8:键盘记录，在目标系统中安装键盘记录后门，记录操作员输入的口令字符串，如很多间谍软件，木马等都可能会盗取你的口述。

9:其他攻击方式，中间人攻击、重放攻击、生日攻击、时间攻击。

避免以上几类攻击的对策是加强用户安全意识，采用安全的密码系统，注意系统安全，避免感染间谍软件、木马等恶意程序。

第五篇：计算机信息系统安全管理岗位职责

计算机信息系统安全管理岗位职责

1、各网点会计为网点计算机信息系统安全管理员。

2、必须严格遵守《湖北省农村信用社计算机系统安全管理办法》。

3、严明纪律，遵守电脑各项规章制度，妥善保管好各种电脑资料，做好安全、保密工作，严防电脑犯罪。

4、严禁未经许可向外单位或个人借用、复制和传授有关计算机信息系统数据。

5、监督柜员严格执行柜面操作“五条禁令”。

6、负责本网点内计算机信息系统及配套设备的正常运转，如遇故障应及时与电子设备维护人员联系，并做好记录。

7、监督当班柜员认真填写计算机运行日志并妥善保存。

8、保持电子设备清洁无灰尘，不定期清洁电子设备。

9、严禁在计算机上玩游戏，严禁利用业务机上外网，以及做自身业务无关的工作。

10、用各种形式宣传计算机信息系统安全工作，树立良好的对外优质服务形象。