针对某银行系统特殊的业务需求和潜在网络风险,天融信公司提出了一套系统的安全解决方案,有力地保证了该银行网络系统的安全。
网络风险及用户需求
目前该银行主要应用业务中,网上银行、电子商务、网上交易系统都是通过Internet公网进行相关操作，由于互联网自身的广泛性、自由性等特点，其系统很可能成为恶意入侵者的攻击目标。银行网络安全的风险来自多个方面：其一：来自互联网的风险：银行的系统网络如果与Internet公网发生联系，如涉及到电子商务、网上交易等系统，都有可能给恶意的入侵者带来攻击的条件和机会。其二：来自外单位的风险：而且该银行不断增加中间业务、服务功能,如代收电话费等，这样就与其它单位网络互联,由于与这些单位之间不一定是完全信任关系，因此，该银行网络系统存在着来自外单位的安全隐患。其三：来自不信任域的风险：涵盖范围广泛，全国联网的银行，各级银行之间存在着安全威胁。其四：来自内部网的风险。 鉴于存在以上潜在风险, 该银行网络需要防范来自不安全网络或不信任域的非法访问或非授权访问,防范信息在网络传输过程中被非法窃取，而造成信息的泄露;并动态防范各种来自内外网络的恶意攻击;对进入网络或主机的数据实时监测,防范病毒对网络或主机的侵害;针对银行特殊的应用进行特定的应用开发; 必须制定完善安全管理制度，并通过培训等手段来增强员工的安全防范技术及防范意识等等,将风险防患于未然。
安全解决方案
鉴于以上银行系统可能发生的安全隐患及客户需求，天融信制订出了安全解决方案。首先,保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提,这点涉及到网络环境的安全、设计的安全、媒介的安全.保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程.
另外,对系统、网络、应用和信息的安全要重视,系统安全包括操作系统安全和应用系统安全;网络安全包括网络结构安全、访问控制、安全检测和评估；应用安全包括安全认证和病毒防护;信息安全包括加密传输、信息鉴别和信息存储.
其次, 对于该银行系统可能会存在的特殊应用，要保护其应用的安全性，必须通过详细了解和分析，进行有针对性地开发，量体裁衣，才能切实保证应用时安全。而建立动态的、整体的网络安全的另外一个关键是建立长期的、与项目相关的信息安全服务。安全服务包括：全方位的安全咨询、培训；静态的网络安全风险评估；特别事件应急响应。
另外,除了上述的安全风险外，安全设备本身的稳定性非常重要，为此，天融信安全解决方案中防火墙将采用双机热备的方式。即，两台防火墙互为备份，一台是主防火墙；另一台是从防火墙。当主防火墙发生故障时，从防火墙接替主防火墙的工作。从而最大限度的保证用户网络的连通性。
根据该银行的网络结构，天融信把整个网络用防火墙分割成三个物理控制区域,即金融网广域网、独立服务器网络、银行内部网络。
以上三个区域分别连接在防火墙的三个以太网借接口上，从而通过在防火墙上加载访问控制策略，对这三个控制区域间的访问进行限制。主防火墙与从防火墙之间通过CONSOLE电缆线相连接，用以进行两台防火墙之间的心跳检测。
安全解决方案特色
此次安全解决方案紧密结合该银行的实际应用,结合了用户需求,因此方案具有很强的针对性,并达到了很好的效果.
加强身份认证: 对应用系统的安全性，也应该进行安全配置，尽量做到只开放必须使用的服务，而关闭不经常用的协议及协议端口号。对应用系统的使用加强用户登录身份认证以确保用户使用的合法性，严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。
全面网络安全控制: 首先从网络结构布局上,对该银行系统业务网、办公网、与外单位互联的接口网络之间必须按各自的应用范围、安全保密程度进行合理区域划分，以免局部产生的威胁，传播到整个网络系统。同时，加强访问控制:在内部局域网内通过交换机划分VLAN功能来实现不同部门、不同级别用户之间简单的访问控制;与外单位网络、不信任域网络之间通过配备防火墙来实现内、外网或不同信任域之间的隔离与访问控制;配备应用层的访问控制软件系统，针对局域网具体的应用进行更细致的访问控制;对于远程拔号访问用户的安全性访问，利用防火墙的一次性口令认证机制，对远程拔号用户进行身份认证，实远程用户的安全访问。进而进行安全检测和评估: 配备入侵检测系统，对网络违规事件跟踪、实时报警、阻断连接并做日志; 从操作系统的角度，以管理员的身份对独立的系统主机的安全性进行评估分析，找出用户系统配置、用户配置的安全弱点，建议补救措施。
密钥认证:引入了通过第三方来发放证书，即构建一个权威认证机构（CA认证中心）。该银行系统可以联合各专业银行一同构建一个银行系统的CA系统,实现本系统内证书的发交与业务的安全交易。
不同的加密传输: 对银行普通业务系统，采用网络层加密设备，来保护数据在网络上传输的安全性。而对网上银行、网上交易等业务系统可以采用应用层加密机制来加密，以保护数据在网上传输的机密性。
备份、恢复存储数据:保护数据库最安全、最有效的方法就是采用备份与恢复系统。备份系统可以保存相当完整的数据库信息，在运行数据库主机发生意外事故时，通过恢复系统把备份的数据库系统在最短时间内恢复正常工作状态，保证银行业务系统提供服务的及时性、连续性。