背景分析:開放銀行架構(gòu)是銀行未來發(fā)展趨勢,
信息安全風(fēng)險鏈條更長
根據(jù)中國互聯(lián)網(wǎng)金融協(xié)會發(fā)布的《開放銀行發(fā)展研究報告(2019)》顯示,通過對51家各類型商業(yè)銀行調(diào)研,65%的商業(yè)銀行已建立開放銀行。國內(nèi)開放銀行一般采用第三方聯(lián)機接口、頁面服務(wù)和文件三種形式的API服務(wù),支持聯(lián)網(wǎng)、專線等訪問方式。國內(nèi)開放銀行通過開發(fā)者門戶為用戶提供行業(yè)解決方案、接入指南、接口說明等相關(guān)文檔,便于銀行分支(如分行)與合作方接入API平臺。
開放銀行幫助金融機構(gòu)提升了用戶獲取場景服務(wù)和金融服務(wù)的便捷性,但其開放性也方便了黑客擴大攻擊范圍。
開放銀行生態(tài)中的第三方平臺可以訪問來自商業(yè)銀行的數(shù)據(jù),一旦發(fā)生黑客攻擊造成數(shù)據(jù)泄露將可能導(dǎo)致用戶銀行賬戶信息暴露,甚至可能導(dǎo)致來源于該途徑的所有賬戶信息外泄,增加系統(tǒng)數(shù)據(jù)安全風(fēng)險;除此之外,隨著商業(yè)銀行敏感數(shù)據(jù)被擴展到銀行外部,第三方平臺系統(tǒng)的網(wǎng)絡(luò)漏洞和故障也可能對該數(shù)據(jù)的安全造成威脅,因此,開放銀行業(yè)務(wù)使得銀行面臨更多風(fēng)險。
《規(guī)范》解讀:開放銀行全生命周期安全技術(shù)規(guī)范,更嚴(yán)格的監(jiān)管體系
《規(guī)范》涵蓋開放銀行應(yīng)用層、業(yè)務(wù)層等各個方面,對銀行應(yīng)用程序接口的接口設(shè)計、應(yīng)用部署、集成運行、運維監(jiān)測及系統(tǒng)下線等全生命周期過程提出了明確的安全技術(shù)與安全管理要求。
銀行可根據(jù)《規(guī)范》的具體要求,結(jié)合金融機構(gòu)內(nèi)部風(fēng)險策略、審計要求,制定有效的安全策略,對第三方數(shù)據(jù)保護能力進行調(diào)查和評估,對網(wǎng)絡(luò)和系統(tǒng)安全風(fēng)險進行審計和評估,同時建立完善的事故處理機制,明確各方責(zé)任認(rèn)定機制,確保用戶的權(quán)益得到保護。
信服君建議銀行建立全面的開放銀行信息安全體系規(guī)劃,通過構(gòu)建“前端-中端-后端”三大安全能力支柱體系、“管理-技術(shù)”兩大安全支撐體系,嚴(yán)格規(guī)范合作方準(zhǔn)入管理,完善開放銀行合規(guī)應(yīng)用管理制度,利用大數(shù)據(jù)技術(shù)建立開放銀行風(fēng)險監(jiān)測預(yù)警體系,借助技術(shù)平臺實時監(jiān)控API安全運行情況,著力增強金融機構(gòu)對開放銀行風(fēng)險的態(tài)勢感知和應(yīng)急處置能力。
重點內(nèi)容解析:開放銀行技術(shù)安全體系建設(shè)
典型的開放銀行安全技術(shù)架構(gòu)包括安全架構(gòu)標(biāo)準(zhǔn)、開發(fā)安全標(biāo)準(zhǔn)、安全測試標(biāo)準(zhǔn)。由安全檢測、安全控制等模塊組成的前端安全能力;由交易安全監(jiān)控、性能監(jiān)控服務(wù)等模塊組成的中端安全能力;由身份認(rèn)證、數(shù)據(jù)安全等安全服務(wù)模塊構(gòu)成的后端安全能力;由用戶認(rèn)證、加解密等系統(tǒng)構(gòu)成的基礎(chǔ)安全能力,結(jié)合網(wǎng)絡(luò)層面縱深防御,實現(xiàn)全方位立體化的開放銀行安全防護。
信服君建議開放銀行安全技術(shù)體系建設(shè)重點關(guān)注以下方面:
1.身份認(rèn)證鑒別安全
開放銀行需嚴(yán)格執(zhí)行安全控制機制,結(jié)合網(wǎng)絡(luò)安全手段和參與者合作身份校驗機制,通過訪問權(quán)限控制、簽名認(rèn)證、跨域校驗等,盡可能降低API接口被盜刷的風(fēng)險。建立多層次的、線下線上融合的用戶認(rèn)證體系,加強開放銀行身份認(rèn)證與內(nèi)控管理。
2.網(wǎng)絡(luò)、系統(tǒng)基礎(chǔ)安全
(1)第一道防護:網(wǎng)絡(luò)邊界防護
開放銀行應(yīng)遵循“縱深防御”的理念,在互聯(lián)網(wǎng)邊界部署DDoS防護系統(tǒng)、下一代防火墻系統(tǒng)、下一代入侵防御系統(tǒng)等各類安全防護設(shè)備,實時監(jiān)測和攔截互聯(lián)網(wǎng)攻擊,實現(xiàn)網(wǎng)絡(luò)邊界第一道防護。
(2)第二道防護:業(yè)務(wù)邊界防護
在API服務(wù)層和業(yè)務(wù)層之間部署防火墻、異常流量分析系統(tǒng)等各類安全防護設(shè)備,實現(xiàn)業(yè)務(wù)邊界第二道防護。
(3)構(gòu)建高級可持續(xù)性攻擊防御體系
在網(wǎng)絡(luò)邊界和內(nèi)部網(wǎng)絡(luò)之間強化檢測和響應(yīng)能力,部署文件異常動態(tài)檢測、流量異常檢測、多維大數(shù)據(jù)關(guān)聯(lián)檢測等各類安全防護設(shè)備,構(gòu)建統(tǒng)一、立體、層次化的高級可持續(xù)性攻擊防御體系,實現(xiàn)從前端到后臺應(yīng)用、從邊界到內(nèi)部核心、全鏈條的安全防護。
(4)通過應(yīng)用交付保障穩(wěn)定、安全、高效的交付
同時,建議部署應(yīng)用交付系統(tǒng)對應(yīng)用數(shù)據(jù)進行端到端的分析、調(diào)度、保護、加密和優(yōu)化,對單個接口按地域、風(fēng)控等級等維度進行流控調(diào)度和控制,覆蓋業(yè)務(wù)交付全程的所有關(guān)鍵因素,保障穩(wěn)定、安全、高效的交付。
3.業(yè)務(wù)應(yīng)用安全
(1)對接口分級分類
對開放的接口進行分級分類,根據(jù)不同類別設(shè)定接口使用權(quán)限和使用期限。
(2)采用多種手段保障業(yè)務(wù)應(yīng)用安全
采用加密、應(yīng)用秘鑰、應(yīng)用接口權(quán)限控制、訪問黑白名單、字段脫敏還原等手段,充分進行應(yīng)用存儲加密、訪問控制、標(biāo)記化信息安全審計措施,交互報文通過數(shù)字簽名、加密等手段保障不可篡改性和機密性。
(3)基于大數(shù)據(jù)分析技術(shù)進行監(jiān)控
基于大數(shù)據(jù)分析技術(shù),對系統(tǒng)和業(yè)務(wù)狀況進行實時全方位監(jiān)控,對異常交易和異常參與方,能做到實時流控、快速阻斷,保障系統(tǒng)穩(wěn)定。?
(4)業(yè)務(wù)風(fēng)控
采用基于事后分析的大數(shù)據(jù)風(fēng)控技術(shù),實現(xiàn)業(yè)務(wù)風(fēng)控,防范例如營銷欺詐、交易欺詐、信用欺詐等業(yè)務(wù)風(fēng)險。
4.第三方安全
針對用戶授權(quán)訪問后的數(shù)據(jù)保護建立健全安全機制,對其合作方可以使用的接口范圍等進行嚴(yán)格控制,并定期審核,在授權(quán)范圍內(nèi)進行有效的控制和防護。對于業(yè)務(wù)數(shù)據(jù)和用戶信息數(shù)據(jù)的使用范圍、保存期限等進行明確約束,遵循范圍和期限的最小化原則。
5.應(yīng)用數(shù)據(jù)安全
在數(shù)據(jù)傳輸、處理、保存過程中需嚴(yán)格保障數(shù)據(jù)安全。
(1)通過多種方式保障數(shù)據(jù)安全
通過網(wǎng)絡(luò)傳輸鏈路加密、身份認(rèn)證、報文加密加簽等多種方式,保障數(shù)據(jù)傳輸?shù)陌踩?、隱私性和不可篡改性。
(2)避免抓取大量數(shù)據(jù)
嚴(yán)格控制業(yè)務(wù)、用戶數(shù)據(jù)的訪問權(quán)限,避免使用開放銀行接口抓取大量數(shù)據(jù),并對系統(tǒng)日志中的敏感信息進行特殊處理,操作日志可審計。
(3)定期備份
定期備份數(shù)據(jù),保障數(shù)據(jù)的完整性和可恢復(fù)性。
(4)提前進行責(zé)任劃分
各參與方需提前進行責(zé)任劃分,當(dāng)出現(xiàn)數(shù)據(jù)泄露、系統(tǒng)故障或操作故障時,責(zé)任人對用戶的損失直接負責(zé)。
(5)嚴(yán)禁非法存儲
嚴(yán)禁非法存儲,以防泄露用戶金融信息。
深信服應(yīng)用數(shù)據(jù)安全治理解決方案
基于上述提及的第五點,應(yīng)用數(shù)據(jù)安全防護,深信服提出應(yīng)用數(shù)據(jù)安全治理解決方案。方案以數(shù)據(jù)為中心,聚焦應(yīng)用系統(tǒng)的流動數(shù)據(jù),基于AI和大數(shù)據(jù)技術(shù),自動化梳理應(yīng)用數(shù)據(jù)資產(chǎn),實時監(jiān)控應(yīng)用系統(tǒng)脆弱性及異常數(shù)據(jù)訪問風(fēng)險,精準(zhǔn)溯源數(shù)據(jù)安全事件,實現(xiàn)數(shù)據(jù)流動安全風(fēng)險全面有效治理。
1.基于敏感數(shù)據(jù)識別的應(yīng)用接口自動化梳理
(1)敏感數(shù)據(jù)接口自動化識別、提取
通過對應(yīng)用系統(tǒng)內(nèi)外部訪問流量進行全面解析,自動識別應(yīng)用系統(tǒng)接口。支持系統(tǒng)預(yù)置豐富敏感數(shù)據(jù)標(biāo)簽,同時結(jié)合用戶需求,靈活自定義特殊字段及提取規(guī)則。敏感數(shù)據(jù)識別引擎全程自動化對接口數(shù)據(jù)進行識別、提取。支持細粒度接口畫像,包括接口參數(shù)、接口返回內(nèi)容、接口訪問用戶、接口流轉(zhuǎn)敏感數(shù)據(jù)詳情等。
(2)全局可視
以數(shù)據(jù)為中心,實現(xiàn)敏感數(shù)據(jù)、應(yīng)用、接口、訪問用戶自動化全面梳理。
(3)應(yīng)用接口的生命周期管理
監(jiān)控數(shù)據(jù)接口上下線及變更,針對應(yīng)用新增及失活接口進行統(tǒng)計,監(jiān)管未報備自行上線的重要敏感數(shù)據(jù)接口,對長期沒有訪問的接口進行監(jiān)控,輔助業(yè)務(wù)部門對接口進行下線操作。
2.風(fēng)險接口發(fā)現(xiàn)
全面發(fā)現(xiàn)接口安全隱患,推動風(fēng)險接口整改
基于敏感數(shù)據(jù)解析,識別接口訪問權(quán)限設(shè)置不當(dāng)問題,如單次訪問數(shù)據(jù)限制不當(dāng)(單次返回大量數(shù)據(jù)),接口無需身份驗證即可獲取敏感信息等。發(fā)現(xiàn)接口敏感數(shù)據(jù)暴露風(fēng)險,包括敏感數(shù)據(jù)未脫敏、敏感數(shù)據(jù)傳輸不合規(guī)、密碼等高敏感信息明文暴露或僅使用MD5加密等。發(fā)現(xiàn)接口設(shè)計漏洞問題,如內(nèi)部網(wǎng)絡(luò)信息暴露等。
3.業(yè)務(wù)系統(tǒng)身份認(rèn)證及賬號管理脆弱性分析
(1)業(yè)務(wù)系統(tǒng)身份認(rèn)證問題發(fā)現(xiàn)及整改
通過業(yè)務(wù)系統(tǒng)脆弱性分析引擎,及時發(fā)現(xiàn)業(yè)務(wù)系統(tǒng)存在的身份認(rèn)證脆弱性問題,如弱密碼問題,推動用戶進行認(rèn)證機制整改。
(2)賬號安全風(fēng)險發(fā)現(xiàn)及整改
通過業(yè)務(wù)系統(tǒng)脆弱性分析引擎,幫助用戶及時發(fā)現(xiàn)賬號共享、特權(quán)賬號違規(guī)濫用等問題,并進行整改。
4.應(yīng)用數(shù)據(jù)接口異常訪問風(fēng)險監(jiān)測及預(yù)警
(1)基于數(shù)據(jù)安全風(fēng)險策略的異常監(jiān)測
預(yù)置風(fēng)險策略:預(yù)置有大規(guī)模數(shù)據(jù)拉取、非工作時間訪問、非常用 IP 訪問等風(fēng)險策略。??
支持風(fēng)險策略自定義:用戶可以根據(jù)需求,靈活自定義風(fēng)險策略。??
(2)基于UEBA技術(shù)的異常監(jiān)測
根據(jù)用戶、賬號、接口等多維度數(shù)據(jù)行為畫像,建立數(shù)據(jù)訪問行為基線,自動發(fā)現(xiàn)異常行為并進行預(yù)警。
5.安全審計及數(shù)據(jù)安全事件溯源
(1)審計合規(guī)
通過敏感數(shù)據(jù)識別、應(yīng)用系統(tǒng)賬號自動解析等技術(shù),自動對接口訪問行為進行記錄。記錄內(nèi)容包括:訪問接口、訪問應(yīng)用、訪問 IP、操作用戶、操作時間、操作對象、操作內(nèi)容等,滿足合規(guī)需求。
(2)數(shù)據(jù)安全事件快速溯源
支持搜索引擎式追溯查詢,可以通過關(guān)鍵字、文本、文件相似度等多種方式進行事件追溯,并定位到個人,同時,還支持多種類型的精細過濾條件對歷史事件進行精確查詢,定位數(shù)據(jù)風(fēng)險點。
