如何提高網上銀行的安全防範

 來源：中國財經網

隨着互聯網的興起，銀行的傳統業務也逐漸以網絡服務的方式呈現，是以便誕生了網上銀行。用戶可以很容易地通過個人PC，掌上電腦，手機等智能終端在線遠程辦理結算，信貸服務等銀行業務，極大地提高了工作效率和工作質量，能有效地加快資金週轉，促進支付手段創新，方便管理和提高業績，因此網上銀行在全球範圍內，得到了飛速的發展。

爲了增加業務收益，各大銀行都在着力推進和豐富網上銀行業務，包括轉賬交易，生活繳費，第三方支付，信用卡服務，個企信貸，金融理財等，方便快捷的操作方式給用戶帶來了極佳的用戶體驗。名目繁多的理財產品，涉及到信貸，保險，股票，證券等諸多方面，各種技術的運用和創新，令網銀業務的發展空間越來越廣。

隨着網上銀行業務的蓬勃開展，網上交易量和交易速度大幅度提升，網上銀行的安全性也受到越來越多的重視。網上銀行業務能夠順利開展持續進行的前提就是要有足夠的安全保障，當前網絡信息安全所面臨的問題也是網上銀行需要重視和解決的問題。相比較於其他開展互聯網業務的企業，網上銀行對網絡信息安全的要求會更高。因爲每天都有大量的金融交易數據和用戶敏感信息在網絡中傳輸，這其中蘊含着巨大的經濟利益。在利益的驅動下，必然會有人鋌而走險，採用各種網絡入侵手段對敏感數據進行偵聽和竊取甚至破壞。這對重視保護用戶隱私和交易安全的銀行來說，無疑是極大的威脅和風險。隨着網上銀行業務的不斷髮展，網上銀行在安全上也面臨着越來越多的挑戰。北京國舜科技有限公司(www.unisguard.com)的畢加索攻防實驗室研究總結髮現，要做好網上銀行的安全防範工作，應着重考慮應對來自以下五個方面的安全威脅。

1. 網絡釣魚。這是電子銀行面臨的巨大威脅之一。從技術原理上來說，網絡釣魚的實現並不複雜，他主要是利用了人們貪圖便宜或畏懼權威的心理。釣魚攻擊一旦得逞，對用戶造成的將是直接的經濟損失。敏感信息的泄露會造成其他方面連鎖的安全隱患。電子銀行方面現在採取“預留信息”和“擴展驗證”(EVSSL)等手段對釣魚攻擊進行識別和抵禦。但這兩種方法都存在一定的侷限性，它們的有效可行取決於用戶的使用習慣和安全意識。

2. 分佈式拒絕服務(DDOS)攻擊。電子銀行的帶寬資源是有上限的。每個用戶的訪問請求都會消耗一定的帶寬，當瞬間訪問的數量達到一定閾值時，銀行對外的網絡帶寬將會被耗盡，造成響應不及時，甚至服務器宕機，嚴重影響用戶在線操作體驗，對正在交易的用戶可能會導致交易數據丟失，造成經濟損失。DDOS的技術門檻不高，黑客們可以利用手中掌握的大量殭屍網絡和主機對銀行網絡併發訪問，進行分佈式拒絕服務攻擊。DDOS的規模有大有小，它對電子銀行的威脅會持續存在。

3. 日新月異的WEB漏洞和花樣迭出的病毒木馬。這是電子銀行面臨的最普遍的安全威脅。電子銀行面向客戶的支付接口或門戶網站都是一個個由研發人員編寫的應用程序。程序的健壯性和安全性很大程度上取決於研發團隊的技術實力和安全意識。很多時候用戶體驗和安全係數是矛盾的兩個方面。追求安全係數高，可能直接導致的就是用戶體驗差。爲了提高用戶體驗，有時候會以僥倖心理進行妥協，降低對程序安全的要求。程序都是出自於人手，難免會存在一些設計疏忽或者考慮上的不足，給惡意來訪者留下破綻。破綻被進一步挖掘後，形成可被利用的漏洞，基於框架的漏洞更可怕，它的影響面會更廣泛，造成的威脅也更大。黑客利用發現的WEB漏洞對服務器進行進一步的提權控制，可最終實現病毒上傳，留下木馬後門。銀行方面將面臨用戶敏感數據被竊取和服務器宕機等巨大風險。

4. 來自銀行安全管理的內部威脅。銀行內部的安全運維設定存在隱患，比如管理員的弱口令設置，或者密碼的存放管理上存在問題，會造成賬號信息泄漏，內部人員可以越權訪問，可能進一步導致客戶範圍的敏感信息泄漏。很多服務器系統或數據庫的補丁插件更新不及時，對系統的穩定運行和安全防禦造成隱患。而不當的更新操作也可能造成服務器宕機，影響對外業務，這個損失也是巨大的，所以很多時候運維管理面臨一個進退兩難的尷尬境地。

5. 安全設備未能起到應有的安全防護作用。銀行在購買了安全設備之後，由於實際網絡接入量或兼容性的問題，很多時候並沒有真正發揮安全設備預期的作用。某些設備的操作對專業性要求較高，對銀行內部的運維人員使用上造成困擾，導致此類安全設備使用頻率較低甚至停用。即便是使用中的安全設備，產生的大量安全日誌很難被完全正確解讀，對各種設備產生的海量數據很難做一個有效的關聯分析，當安全威脅事件發生時，很難做出快速響應，給網銀業務造成損失。