当前位置:股票 > 正文
东方证券:证券业云平台安全管理的探索与应用

  近年来,云计算正在成为新兴技术发展的战略重点,全球各行业都已经意识到这一不可阻挡的趋势,纷纷向云计算转型。随着云计算时代的到来,云计算技术也在证券期货业中得到不断的探索和应用,伴随证券期货业营业网点的扩张逐步转向新型营业部和轻型营业部,借助虚拟化、云计算等IT技术来实现新型营业网点的低陈本投入和快速建设已成为必然趋势。

  为此,东方证券从2012年开始构建基于云计算的企业云平台(以下简称云平台)――“东方云”,以新型营业部建设为切入点,正式启动“东方云”项目建设。截止2016年9月共开设依托东方云桌面系统的新型营业部49家,开设云桌面420个,基本完成预设目标并得到员工很好的反响。东方证券云平台可以根据业务需求自动地进行资源管理和动态分配、配置及回收,使IT资源按需使用,简化新型营业部信息系统结构,以适应业务的快速拓展,提供一个高效、安全、便捷的IT云平台,随时应对已经到来的行业变革。

      

   但是,企业云平台作为一种新的系统运行平台,在建设和运行过程中都面临着很多新的安全风险。在项目建设过程中,遇到了包括网络可用性、远程接入、终端安全等方面的安全挑战,东方证券云平台项目团队从风险管理的角度入手,针对系统、网络、认证、终端等风险点采用有针对性的技术和管理措施,有效的控制风险,在确保系统运行高效和使用便捷的同时,增强系统安全性,保障了各项业务的顺利开展。

    一、云平台面临的安全风险

    1、网络可用性风险

  云平台采用互联网作为网络通信的平台。互联网作为一个公共网络,对云平台来说存在以下风险:

  网络质量的稳定性。互联网与专线接入相比,线路的稳定性较差。线路带宽有可能出现波动,线路中断的可能性较之专线也更大。一旦互联网线路出现问题,云平台应用就会受到影响。

  运营商互联互通的问题。虽然这两年不同运营商网络的互联互通问题有所改善,但跨运营商通信仍有可能存在一定问题。而东方证券营业部分布在全国各地,不同营业部会根据当地情况选择不同的互联网运营商。

  因此,需要在云平台方案设计中充分考虑网络可用性带来的风险。

   2、远程接入的安全风险

  云平台的远程用户通过互联网接入。通过互联网这种不安全的网络环境接入,系统将会面临数据传输过程中的保密性和完整性问题。

  首先,数据在互联网传输过程中,如果以明文方式传输,很容易被攻击者侦听,从而导致信息泄露。同时,明文传输的数据也非常容易遭受攻击者的非法篡改,信息完整性被破坏。

  其次,远程接入过程中,如果仅采用口令等简单的身份认证方式,远程用户的身份非常容易被盗用或假冒。一旦攻击者利用身份认证机制的弱点,假冒合法用户接入云平台,将有可能对系统展开进一步攻击,造成系统的破坏。

   3、终端的安全风险

  远程接入的终端,包括营业部终端、非现场开户的终端等,分散在各个营业部或业务人员手中。终端的安全性将会受到使用环境、使用人员习惯等因素的影响。终端将面临病毒木马蠕虫等恶意代码的威胁,也可能面临非法或非授权软件的威胁,或者是随意修改终端设置的威胁。而这些终端将接入到云平台,终端的安全性将直接影响到云平台的安全性。

  因此,如果缺少有效的终端安全管理手段,终端的安全性将变得不可控,进而影响到云平台的整体安全水平。

  二、云平台中的安全管理解决方案

    为解决云平台所面临的一系列安全风险,东方证券云平台项目组基于国内外先进且成熟的技术和管理手段进行方案设计,并在项目建设和系统运行过程中验证方案的实际效果。

  1、网络高可用性方案

  通过VPN系统的部署,为云平台提供一个实现高效、可靠、安全访问的网络接入平台。

  根据云平台的设计架构,整个云平台架构要满足不同地方,各种类型的接入,同时云平台提供多条线路,多个业务平台供用户和分支进行连接和访问。

  

    东方云网络接入平台基于VPN技术并采用双中心部署模式。合理并且迅速的实现多中心、多线路、多业务平台的调度是云平台能否提供良好用户体验的标准,避免中心、线路和服务器出现拥堵或者资源浪费。云平台网络平台能够实现:

  合理地调度来自不同地域用户的入站访问,提升对外发布应用系统的稳定性和用户访问体验

  融合已有的DNS解析平台,构建自主DNS高可用服务平台,公司公网域名都可通过此进行发布和修改

  对云平台的业务服务器进行负载均衡,将用户访问均衡的分配给各台服务器,提升服务器响应速度,服务器资源利用率,以及访问请求的响应速度

  多个数据中心之间形成站点冗余,保障业务的高可用性,并提升各站点的资源利用率

  充分利用多条运营商链路带来的可靠性保障,提升用户访问的稳定性和持续性

  2、 安全认证和接入检查方案

  (1)安全认证

    云平台的安全认证和接入检查方案的主要解决远程接入过程中用户认证和终端安全检查的风险。具体包括:

  远程接入用户体系的建立

   远程接入用户强认证功能的实现

  ƒ远程接入用户终端安全性的检查。

  云平台的安全认证和接入检查方案基于东方证券的统一认证平台和VPN设备的接入检查技术实现。

  统一身份认证系统的特点主要是三个统一化:

  认证技术统一化,统一管理各类认证技术和认证方式。

  应用接入统一化,统一提供应用系统认证接口,应用系统认证不再分散管理。

  ƒ用户管理统一化,统一管理用户体系,建立不同应用系统用户体系的映射。

  具体到云平台的身份认证应用中,采用以下技术措施实现远程用户认证的安全性。

  基于Windows AD建立东方证券的用户体系。该用户体系按照东方证券的组织架构进行设计,并结合实际业务需求进行用户组设置。VPN系统采用外部认证方式,将用户认证交由AD服务器完成。

  采用统一认证系统数字证书模块,为远程用户提供强认证机制。为VPN设备颁发设备数字证书,为每个用户配发绑定的个人数字证书USB KEY。远程用户接入认证过程中,必须插入USB KEY进行数字证书的认证。

  ƒ终端特征码验证。采用VPN的终端特征码绑定技术,在终端首次登录VPN时提交终端特征码,管理员审批后和用户及设备绑定,然后才能够完成VPN登录。终端特征码由VPN客户端自动生成,用户无法篡改。

  (2)接入安全检查

     接入安全检查采用VPN设备的“终端安全检查”功能。通过下列方式实现:

  操作系统检测。可检测操作系统版本及SP版本。

  进程检测。可检测是否存在指定进程,如公司指定的防病毒软件。也可检查是否不存在指定进程。

  ƒ文件检测。可检测是否存在或不存在指定文件。

  注册表检测。可检测是否存在或不存在指定的注册表项、名称、值。

  通过以上手段,可以建立云平台终端的接入安全基线,并确保接入的终端达到此安全基线。

  3、终端安全方案

  (1)云桌面

    云桌面作为一种全新的计算模式和商业模式,其高可靠性、通用性、可伸缩性、按需服务、业务快速部署等优势给信息系统部署带来了前所未有的体验。

  

 

  云桌面系统图

  云桌面以东方云构建的底层服务器虚拟化为基础,允许多个用户桌面以虚拟机的形式独立运行,同时共享 CPU、内存、网络连接和存储等底层物理硬件资源。这种架构将虚拟机彼此隔离,在实现精确的资源分配的同时能保护用户免受由其他用户活动所造成的应用程序崩溃和操作系统故障带来的影响。

  桌面虚拟化依赖于虚拟化技术,在数据中心的服务器上生成大量的独立的桌面操作系统(虚拟机或者虚拟桌面),同时根据专有的虚拟桌面协议发送给终端设备。用户终端通过网络登陆到虚拟桌面上,只需要记住用户名和密码及网关信息,即可随时随地的通过网络访问自己的桌面系统,从而实现单机多用户模式。

  云桌面的安全特点包括:

  数据不落地

  业务数据完全不离开总部数据中心,实现了数据“不落地”,新型营业部终端设备完全不保存任何业务数据,只传输少量加密后的键盘输入信息和屏幕显示画面。

  安全桌面沙盒

  业务桌面应用和办公桌面应用采用“安全桌面沙盒”技术实现操作系统API调用级别的隔离,达到物理桌面应用隔离的安全级别,完全分离和管控业务桌面应用和办公桌面应用的网络访问,操作方便并有效的利用了资源,减少了终端及相应配套设施的投入。

  (2)Windows AD域管理

    东方云的云桌面采用Windows AD域管理。主要基于以下原因:

  用户终端的配置都不高,选择无客户端软件的管理方案,可减少系统资源消耗,提高终端运行速度。

  无客户端软件的方案对于分散在各地的终端,不存在软件下发部署的问题,更容易快速实施。

  Windows AD域是Windows网络体系结构中一个基本且不可分割的部分。它为网络的用户、管理员和应用程序提供了一套分布式网络环境设计的目录服务,它提供了集中组织、管理和控制对网络资源访问的方法。

  部署AD域之后,可以获得如下好处:

  单点登录。可以统一用户账户设置和用户身份验证,实现用户单一登录。用户访问网络中的资源不再需要反复多次输入用户名称和口令。同时,它还是企业应用集成的基础。实现在不同程序之间的协作和集成应用。

  网络安全。可以集中设置和统一管理用户、组、资源的操作权限,方便维护管理。

  ƒ集中管理和委派授权。基于活动目录OU实施委派授权管理,未来向下属企业或分支机构推广时,分级维护,集团各部门、下属公司可以对所辖范围内的部分参数进行维护,如增加用户、设置权限、增加栏目、自定义流程等。

  用户桌面管理。通过规划部署OU和组策略,可以统一规划用户桌面和用户操作环境,实现对客户计算机的集中控制管理,加强信息管理的安全可靠性。

  软件自动分发。通过规划部署OU和组策略,可以实现应用程序的自动分发、升级和删除。不但可以实现客户机软件的统一安装管理,而且大大减轻了软件安装配置的工作量。

  (3)虚拟化防病毒

    虚拟化防病毒系统是一种在虚拟化和云计算环境中实现统一防病毒管理的安全防护系统。它通过与云平台的紧密集合实现以无代理模式为虚拟主机提供高效率的病毒和恶意软件的防护,减少对虚拟化平台系统资源的消耗。

  虚拟化防病毒的安全特点包括:

  资源优化

  虚拟化防病毒通过与云平台的紧密集合实现无代理防病毒方式部署,减少对虚拟化平台I/O、网络等资源的消耗。帮助预防针对操作系统和应用程序漏洞的非法入侵,监控系统的完整性,并集中管理风险日志。

  灵活管理

  虚拟化防病毒系统能保护处于运行状态和休眠状态的虚拟机,同时提供集中的控管平台,获得最大化的性能和操作灵活性。

  三、云平台中的安全管理应用场景

    通过各种安全技术的应用和安全管理手段的实施,云平台的安全风险得到了有效管理,下面通过应用场景了解一下在实际应用中的效果。

  (1)新型营业部接入

  新型营业部因功能的转变,营业部在面积规模、信息系统结构等多个方面变化较大,逐步向轻量化、简易化、易维护方向发展,信息系统设备数量大幅减少,但业务仍保持较全面的需求。

  东方证券目前已有49家新建的营业部已经接入云平台,采用云桌面方式进行业务处理。通过该模式接入,新营业部的IT建设时间缩短为原先的20%,成本降低为原先25%。

  (2)移动办公

  普通的VPN接入可能存在应用兼容性不好、数据存在泄漏风险等问题。通过VPN、安全认证及云桌面的结合,可以实现支持复杂应用的安全移动办公。

  用户通过VPN安全认证接入网络后,允许访问云桌面系统,登录用户自己的云桌面。然后通过云桌面进行远程移动办公或业务操作。此模式下,有以下优点:

  基本不存在应用兼容性问题;

  可以根据需求分配不同安全域的云桌面,避免跨安全域访问;

  ƒ用户在任何地理位置始终登录到自己的终端,保持使用的连续性;

  数据仅能够保存在云桌面上,不能再用户本机落地,避免数据泄露;

  四、结束语

  云平台项目通过网络高可用性、安全认证、接入检查、终端安全管理等子系统的设计和实施,东方证券的企业云平台实现了安全风险的有效控制和管理,云平台的安全防护能力得到较大的提升,企业应用的安全性得到了较好保障,业务得以顺利开展。

  作者简介:

  邬晓磊,东方证券系统运行总部信息安全总监,CISSP、CISP、CISA。

  陈炎津,东方证券系统运行总部信息安全高级工程师,CISA

相关链接:

作者:邬晓磊、陈炎津 来源:交易技术前沿 发布时间:2017-08-30 06:18:31
 
 
  我要发表留言  查看所有评论
 

*
 限制字数显示剩余字数,最大长度: 500 还剩: 500
用户名:
       尊重网上道德,承担一切因您的行为而直接或间接导致的民事或刑事法律责任