网上银行WEB应用安全解决方案

以网上银行为代表的WEB应用面临严峻的安全形势

随着互联网的发展，电子商务的广泛应用，网上购物成为人们的基本需求。与此同时，网上银行、手机银行等电子银行应运而生，众多银行通过互联网向公众提供各种金融服务的电子银行系统，使客户可以不受时空限制，足不出户便可以通过网络进行申请、查询、管理、转账等银行业务，体验网上经济新生活。

银行业务网络与互联网的连接，使得网上银行容易成为非法入侵和恶意攻击的对象，加上目前网络秩序较混乱，黑客攻击事件层出不穷，使开展网上银行业务的银行面临更多的风险。在开放网络中流动的大量金融交易数据，不仅涉及巨大的经济利益，而且包含大量的用户个人隐私信息，必然吸引不法分子的网络入侵、网上侦听、电子欺诈和攻击行为，对于信用重于一切的银行来说，这都是极大的风险！

来自监管层的合规需求

近年来，国家各部门不断推出了各种监管要求，对银行的信息科技领域，尤其是电子银行，提出了明确的要求。其中与之相关的法律、法规与行业监管指引有：

2010年，中国人民银行发布了《网上银行系统信息安全通用规范（试行）》。

2009年，银监会发布《商业银行信息科技风险管理指引》；

2007年，全国信息安全标准化技术委员会发布了《网上银行系统信息安全保障评估准则》；

2006年，银监会发布《电子银行业务管理办法》，《电子银行安全评估指引》 、《银行业金融机构信息系统风险管理指引》和《银行业金融机构内部审计指引》；

解决方案

面对外部的WEB应用风险，应从两个方面来进行解决，第一方面是了解目前现有网上银行及WEB网站存在的安全漏洞，可通过安恒的WEB应用弱点扫描器了解已知的WEB应用系统（WEB网站、网上银行、其它B/S应用）存在的风险，通过扫描器发现的漏洞进行加固防护。第二方面通过部署明御WEB应用防火墙抵御互联网上针对WEB应用层的攻击行为，提高网上银行的抗风险能力，保障网上银行的正常运行，为网上银行客户提供全方位的保障，详细部署情况参见下图。

在提供网上银行服务的服务器前端直连部署明御WEB应用防火墙（WAF），采用国内首创全透明部署的WEB应用防火墙硬件设备，无需改变用户现有的网络结构和DNS配置，安装部署方便简单。明御WEB应用防火墙可以提供针对WEB应用层攻击防御和流量监控，完全支持HTTPS加密协议的攻击防御。例如：SQL注入攻击、跨站脚本攻击、应用层DDOS攻击、表单绕过、缓冲区溢出、恶意报文攻击、网页盗链、钓鱼攻击、Cookie注入等攻击防御，并通过强大的缓存技术和负载均衡技术提高网站及网上银行的访问速度。

系统部署图如下：