這個是網上看到的，竊以為非常不錯，但原創已經找不到，見諒。


今年以來，我國股市接連受到重挫，造成了部分股民的不滿，同時也出現了針對證券公司進行網絡攻擊的惡性事件。因此，證監會組織了對全國證券業的安全大檢 查。筆者因為工作原因，參與并負責了幾個大型證券公司的安全檢查。檢查的從體情況來看，有喜有憂。喜的是證券業前幾年行情不好，一直沒有資金進行充分的 IT基礎建設，造成IT建設欠債太多，但最近兩年已經迎頭趕上，并且證券業創新產品層出不窮。憂的是這兩年券商的IT部門一直被趕著做事情，又造成對信息 安全問題重視不夠，出現了很多新的風險，尤其在當前股市震蕩的情況下，威脅越來越大。它山之石可以攻玉，對于各個行業的安全管理員來說，保障信息安全是一 個任重而道遠的工作。本文基于在證券業安全問題上的一些經驗和思考，希望也能夠給其他行業的安全管理員提供幫助。
整個安全大檢查從幾個方面進行了審查，包括網站安全、物理安全、網絡安全、系統安全和管理安全。
一、網站安全
證監會組織了人手對所有券商的網站進行了滲透測試(模擬黑客攻擊的方法對網站攻擊，但不做破壞性舉動)，雖然最后證監會沒有公布網站滲透測試的結果， 但就筆者負責的4個券商安全檢查來看，全部都被攻陷，被攻陷的方法全都是sql注入，并且還發現了源代碼泄露、跨站漏洞等問題。所幸的是，經過檢查，沒有 發現這幾個網站被人入侵過或者有什么遠程后門。總的來看，大家對安全補丁、系統自身的加固都很重視，沒發現什么明顯疏忽，但是在WEB的安全編程上還做得 遠遠不夠。究其原因，由于券商自身不具備網站開發能力，網站開發都是外包來做，而外包公司在程序的代碼審核上做的遠遠不夠，代碼中可能的漏洞有溢出漏洞、 跨站腳本漏洞、SQL注入漏洞等，還有一些因為程序設計不周到而導致的信息泄露問題也應該得到重視，這些漏洞本身可能沒什么大的威脅，但非常有助于攻擊者 利用其他漏洞進行攻擊。當前總體的網絡安全狀態是基于操作系統本身漏洞的入侵已經沒有大的增加，而由于應用系統的復雜性和特異性，基于應用的入侵已大幅度 增加，所以在這方面還有許多需要加強的工作。
從證券業的網站安全來看，入侵甚至在C盤根目錄上寫入文件，都不是什么難事。筆者在其他一些行業的評估中，也發現同樣問題的存在，并且今年的安全形勢 報告中也提到，僅在5月份，全國就有12萬網站受到sql注入式的攻擊。因此可見，面對新型的攻擊手段，安全部門響應速度遲緩。網站是一個企業的門面，如 果網站被篡改，帶來的負面影響會很大，加強網站的安全防護，應是當務之急。

二、物理安全
物理安全作為信息安全的基礎，在整個信息安全體系建設中扮演著非常重要的作用，而物理安全的好壞直接影響到網絡安全、系統安全和安全管理等等層面。對 于券商來說，機房是生產的核心工具，這幾年來，管理層對此也不斷提出要求，目前看來，硬件環境已經比較可靠，空調、濕度控制、防火、區域標識等相對完善， 但與之相對應的軟件環境卻不甚樂觀。比如普遍存在的：
2.1 環境
機房進出控制等級沒有嚴格執行，流于形式;
門禁系統雖有，但時常進出沒有隨手關門;
進出人員所做重大操作沒有記錄;
第三方人員進入機房沒有明顯的可視標識，不能立即識別出無人護送的訪問者和未佩戴可視標識的人。
2.2 設備
網絡設備、主機設備沒有有效的標記措施，對資產的界定不清晰;
重要的主機設備沒有防盜報警措施;
由于券商在不斷地上新項目，經常需要調整網絡，網線和電纜的普遍走線比較亂，很多網線、電纜都沒有可識別的記號。
2.3 介質
對移動存儲設備沒有實行有效管理，各服務器的USB口都是開放狀態。
沒有對移動存儲設備上的敏感數據徹底刪除或安全重寫。
這些問題在很多公司機房都普遍存在，甚至比證券業要差很多。安全不僅僅是網絡安全，更是一個整體的木桶，任何的短板都會導致前功盡棄，加強對物理環境的管控應是踏踏實實要做好的事情，這種管控也不僅僅是在硬環境上，更重要的還在軟環境上。

三、網絡安全
近年來證券整體行業效益不錯，因此在網絡上投入很大，起點較高，并且由于券商大多數都是跨地域的，整個IP地址的規劃也都比較合理，具有連續性，能夠 與網絡拓撲層次結構相適應，便于進行管理。作為網絡建設重要規范性之一的可靠性建設也受到很大重視，針對故障恢復、承載能力以及安全配置均充分考慮了關鍵 網絡設備和重要鏈路的可靠性建設：通過交換機之間Trunk互聯和專用負載均衡設備，實現動態的冗余熱備和流量分擔，有效提高了網絡的可靠性和可用性。對 于重要的主機設備同樣部署了完善的鏈路和設備雙備份，通過雙歸屬方式的互聯和采用主備設備的方式，可確保一旦出現問題可以實現快速的切換，把對業務的不利 影響降低。同時在交換機上根據業務的需要劃分了相應的VLAN，通過二層隔離有效杜絕了蠕蟲病毒的擴散和廣播、組播數據流的防洪，提高了網絡的安全和承載 效率，確保網絡系統具有了良好的擴展性和健壯性。
但是安全問題也總是伴隨著網絡建設而來，創新業務不斷出現也要求對外的接口越來越多，例如對各個銀行、上交所、深交所的接口。在出口很多的問題下需要認真對待各出口的分界線控制，這方面，已經有很多機構提出了安全域架構的方法，在實踐中也取得了認可。
再有就是對網絡保密的情況考慮不足，在這方面銀行走在了前面，對鏈路都是由加密機來加密。券商對此尚沒有顧及，關鍵的業務數據在傳輸時zheng沒有 加密手段，可能被監聽泄露。據筆者和各信息部門老總交流的情況看，也并不是沒有考慮，他們擔心加密以后對網絡的實時性造成影響，而且券商內跑的應用很多， 業務系統與加密機的配合會不會出問題，再者，券商的網絡多是專線連接，被竊聽的可能并不很大。我承認，老總們的擔憂很有道理，在現有技術情況下，如何進行 無障礙的鏈路加密?這也是咱們國內的安全廠家應該去深入研究的課題。
還有一方面就是對網絡的管理：目前的網絡設備基本都具備日志功能，但是由于人手不足，業務繁忙，管理粗放都很多原因，并沒有人去定期核查這些日志信 息，也沒有專用終端記錄處理日志，這會造成即使已經被攻擊了，管理人員仍然不知道。并且在網絡管理上沒有指定專用終端操作，為了方便很多機器都可以連上去 更改配置。

四、系統安全
券商核心業務系統多是LINUX、HP-UX等，這些系統流行面較窄，精通該類系統的人不多，且由于系統的不兼容性使得受攻擊的可能性大大降低。但同 時，也由于大家都不精通，系統上發現的一些已知的安全補丁都沒打，不是不知道安全漏洞，而是因為不敢做，做了以后會對應用產生什么樣的影響大家都不知道。 這種情況在很多行業都存在，比如近期我接觸過的一個煤礦有個瓦斯監控系統，1分鐘都不能停。這種形勢下，就要求對核心生產設備做足夠的外圍安全防護。
還有一個老生常談的話題就是口令安全，網絡設備口令、操作系統口令、應用系統口令、數據庫口令等等，實際對口令的管理和要求始終會有差別。在調研中， 我們也和老總們談過，大家都說：我們都知道口令的管理，也知道怎么加強，但在實際中要考慮證券公司的特殊性，例如報盤系統登陸易所，20多個席位要登錄， 有一次系統意外重啟，我們每個席位口令都很長，夠復雜，結果手忙腳亂地往里面登錄，一邊看一邊敲，敲錯了還要重來，最后都搞好，半個小時過去了，所以這種 安全手段在證券公司沒法考慮的。
非核心業務的其他終端設備受系統升級和疏于管理等問題，普遍存在著非常多的高風險漏洞，甚至包括操作系統級的弱口令。不過目前對證券業來說，基本都做到了業務的主輔分離，所以威脅有，但不是很大。既便如此，非核心系統也應給以更多的關注。

五、安全管理
三分技術七分管理，技術是實現的手段，真正要想做到安全，管理上一定要下很大的功夫。
5.1安全策略
相關的管理制度各個券商都有不少，而且也在不斷完善修訂。但從整個制度規范頒布后執行情況來看，其效果并不是很好，主要問題表現在：可操作性差，甚至 很多條款沒有獎懲措施，這樣可能導致員工很難理解或記住這些管理性要求，最終執行不起來;針對性差，一份安全管理制度匯編針對了全公司的信息技術人員，不 能有效的區分管理角色和對象，從而最終導致制度面太廣而無法實施;某些安全要求深度不夠，導致在某些方面的安全管理執行力度不夠;由于很多安全制度并沒有 被太多的人認可和執行，因此就無法對公布的制度進行回顧審計，檢查和修改其中不合適的地方。
還存在著另一個普遍問題，缺乏一套高層的安全策略體系來指導安全管理，最終導致安全工作難以條理化，一方面會造成部分工作的遺漏，另一方面會出現重 疊，甚至會出現哪出問題哪出制度的被動局面。安全策略應該建立比較明確、全面的安全規范要求，并確定各策略的制定、維護、變更等管理方面的策略。安全管理 制度是建立在公司統一安全策略的基礎之上，為公司推行統一的安全要求的一種形式。沒有安全策略指導的安全管理制度只能是片面性，可操作性差、難以推廣和執 行。
5.2安全組織
在安全組織上，各券商都比較重視，都實現了“統一領導，分布管理”的安全管理體系，建立了安全管理崗位，建立了信息技術人員的崗位職責。在這次檢查結束之后，證監會也發布了行業的IT治理指引，明確了安全組織的要求。
5.3資產分類與控制
隨著業務資產的不斷增加，很多安全管理問題均歸到了資產管理問題上。但是，很多人還沒有意識到資產分類控制的重要性，沒有對公司內部對公司資產進行整理。存在如下問題：
1.沒有對所有業務應用系統及資產設備進行安全屬性定義，沒有明確需要較高安全保護等級的系統和設備，因此很難提高管理人員的安全重視程度;
2.缺乏一套對資產管理清單的維護審計機制，沒有專人負責對新增設備、變更設備等管理信息進行及時更新，導致很多安全事件由此產生;
3.缺乏一套對資產變更、系統變更的審計機制，管理人員對較大的變更情況不做記錄，在后期可能會造成很多不必要的麻煩;
4.缺乏對設備的保管、使用登記和報廢方面的管理，對重要的設備只有出了事故以后才進行保養和維護，而且沒有建立維護記錄。
5.對各種技術資產及業務資料沒有實現密級管理，很多機密資料的借閱、復制、打印、銷毀等方面的管理制度很不完善，執行更不嚴格。部分員工安全意識較差，所有的技術資料放到辦公桌上，很容易被第三方合法進入公司的人進行翻閱查看。
5.4人員安全
券商在安全崗位建設方面普遍非常重視，建立了技術崗位職責，對各技術崗位有相應的崗位說明。在系統管理方面根據不同的業務應用系統設置了不同數量的系 統管理員，他們在保證應用系統的正常運行的同時，也身兼對這些主機的安全管理。由于各種安全事件發生后可能的影響面巨大，也都明確了安全事件發生后的快速 報告流程。
盡管如此，在人員安全上，存在著較多的問題：
1.內部系統管理崗位人員不足，很多系統管理員負責多個重要的應用系統，過多的工作量很可能造成操作失誤情況，更容易造成安全管理的疏忽;
2.內部安全管理崗位人力不足，由于券商組織結構和信息網絡的龐大性特點，安全管理員不能全權、有效地形成對整個公司自上到下、自本部門至全公司的安全管理;
3.沒有將公司資產的安全管理責任定義到個人，特別是普通員工辦公機的安全性，很多安全事件的發生不能明確責任，入職說明崗位也沒有定義管理員的責任和義務，因此不利于促進和推動安全管理工作的執行;
4.管理員崗位權職不明確，有些工作交叉的任務經常被互相推卸，管理員的權限沒有實現“權限最小化”原則，也沒有對這些權限較高管理員的審核，使得內部管理員濫用授權的隱患時刻存在;、
5.很多員工技術能力有限，某些技術故障和安全事件的發生可能是由于操作失誤造成的，而提供對信息技術人員進行安全技術培訓的機會較少，也沒有技術或任職資格考試的督促機制，使得內部員工安全意識較差，從而造成安全事故的可能性增大;
6.對信息的保密重視不足，在信息技術人員應聘進公司時簽訂的合同中沒有安全保密條款，尤其是沒有針對某些涉密較高崗位制定具體的保密協議。
7.在信息技術人員辦理離崗手續方面缺乏明確的制度和流程
8.沒有明確的安全管理員和安全審計員角色，所以對網絡和系統的管理員所設定的訪問權限及日常行為沒有進行過安全審計。
5.5物理環境安全
機房的建設都有標準化的規范，物理環境也大都符合相關安全要求，機房具有防火、防水、防雷等設備，并均采用雙路供電，配備了UPS電源。在非本公司員工進入機房時，要求進行出入登記記錄，操作記錄。
但在機房管理方面還存在以下的問題：
1.中心機房有電子門禁系統，但有時沒有做到進出時馬上關門。
2.機房沒有設置保安管理制度。
3.機房的出入管理不嚴格，沒有嚴格執行非工作人員必須經過安全責任人許可才可以進入機房的管理規定。
4.機柜和主機沒有要求在運行中上鎖，以防止外來人員誤操作，對主機沒有采取對輸入輸出設備的控制。
5.6通信與操作安全
證監會要求關鍵業務有備份鏈路，對各種網絡設備的配置數據、用戶數據進行定期備份。各券商做的都很好。但在管理過程中，還存在以下的問題：
1.技術維護人員沒有定期對重要服務器和路由器以及防火墻等設備的安全配置、CPU、內存占用率等進行審計和檢查
2.主要的網絡設備和主機均沒有定期維護制度
3.對網絡設備和主機的遠程管理沒有使用固定的管理終端。
4.目前沒有對系統進行定期的安全漏洞掃描工作，某些主機考慮到影響業務原因沒有定期對系統的補丁進行修補和加固。

六、總結
6.1安全意識
針對證券行業信息系統網絡現狀而言，由于發展較快，網絡規模較大，對信息系統安全很高，系統的安全狀況應成為企業網絡關注的重點。在把資金都投在了應 用系統建設的同時，不能忽視了信息安全保障投資。在員工的安全意識方面，沒有建立長期、系統、有效的安全意識、專業素質、安全管理、服務水平的培訓。同 時，在責任劃分上不夠明確，缺乏獎懲機制。因此，提高領導、員工的安全意識是當務之急。
6.2整體安全方案
各券商在安全方面，也投入了一些設備，但總的來說，安全思路仍需拓寬。比如在滲透測試中普遍發現的問題。在防火墻的設置上，也有不足。口令安全、配置 安全上的工作也不夠完善。沒有定期分析日志發現異常，安全制度不完善，如此等等。說到底就是缺乏一套整體安全方案，一個沒有整體安全規劃的系統，安全是肯 定沒有保障的。
6.3系統安全
主要是沒有安全地安裝配置、用戶和目錄權限設置及建立適當的安全策略等系統安全處理加固。例如：沒有打安全補丁、安裝時為方便使用簡單口令、默認口 令，而后來又不更改、沒有進行適當的目錄和文件權限設置、沒有進行適當的用戶權限設置、打開了過多的不必要的服務、沒有對自己的應用系統進行安全檢測等 等。事實上系統和應用大多是由系統集成商來完成的，但系統集成商的做法往往是最大化安裝，以方便安裝調試，把整個系統調通就算完成了任務，會留下很多的安 全隱患;而安全卻恰恰相反，遵循最小化原則，要求沒必要的東西一定不要，有必要的也要嚴加限制使用。這和系統集成好像構成了一個矛盾，事實上卻不是，最小 化原則實際上降低了系統負荷、提高了應用系統的性能，增強了安全性，而問題在于大多數集成商不具備專業安全設計和防范能力。
6.4安全管理機制
安全和管理是分不開的，即便有好的安全設備和系統，沒有一套好的安全管理方法并貫徹實施，值得注意的是這里強調的不僅要有安全管理方法，而且還要貫徹 實施，否則安全就是空談。安全管理的目的在于兩點：一是最大程度地保護網絡，使得其安全地運行，再就是一旦發生黑客事件后能最大程度地挽回損失。所以建立 定期的安全檢測、口令管理、人員管理、策略管理、備份管理、日志管理等一系列管理方法和制度，并嚴格貫徹執行，與獎懲制度的聯動是非常必要的。
6.5動態安全
在這次安全大檢查以后，經過專業網絡安全設計整改，即進行了安全網絡拓樸和路由、安全網絡系統設計、安全產品防護、安全系統處理和整體安全檢測等安全 處理后，系統的安全是有保障的。但需要指出的是安全是相對的，因為隨著操作系統和應用系統漏洞的不斷發現以及口令很久沒有更改等情況的發生，整個系統的安 全性就受到了威脅，這時候若不及時進行打安全補丁或更換口令就很可能被一直在企圖入侵卻未能成功的黑客輕易攻破。所以，安全是相對的，是動態的，只有及時 對系統安全問題進行跟蹤解決，定期整體安全評估，及時發現問題并解決，才能確保系統具有良好的安全性。
6.6人才培養
在這次檢查中，我們也注意到，絕大部分的主機、網絡情況都只有個別人了解。這與證券業迅猛發展的信息技術規模是不相適應的。券商也應在下一步的工作中，積極發掘、培養安全方向上的專業人才，注重培訓和鍛煉，同時也應盡力保證人才的穩定性。