背景分析:開放銀行架構是銀行未來發(fā)展趨勢,
信息安全風險鏈條更長
根據中國互聯(lián)網金融協(xié)會發(fā)布的《開放銀行發(fā)展研究報告(2019)》顯示,通過對51家各類型商業(yè)銀行調研,65%的商業(yè)銀行已建立開放銀行。國內開放銀行一般采用第三方聯(lián)機接口、頁面服務和文件三種形式的API服務,支持聯(lián)網、專線等訪問方式。國內開放銀行通過開發(fā)者門戶為用戶提供行業(yè)解決方案、接入指南、接口說明等相關文檔,便于銀行分支(如分行)與合作方接入API平臺。
開放銀行幫助金融機構提升了用戶獲取場景服務和金融服務的便捷性,但其開放性也方便了黑客擴大攻擊范圍。
開放銀行生態(tài)中的第三方平臺可以訪問來自商業(yè)銀行的數據,一旦發(fā)生黑客攻擊造成數據泄露將可能導致用戶銀行賬戶信息暴露,甚至可能導致來源于該途徑的所有賬戶信息外泄,增加系統(tǒng)數據安全風險;除此之外,隨著商業(yè)銀行敏感數據被擴展到銀行外部,第三方平臺系統(tǒng)的網絡漏洞和故障也可能對該數據的安全造成威脅,因此,開放銀行業(yè)務使得銀行面臨更多風險。
《規(guī)范》解讀:開放銀行全生命周期安全技術規(guī)范,更嚴格的監(jiān)管體系
《規(guī)范》涵蓋開放銀行應用層、業(yè)務層等各個方面,對銀行應用程序接口的接口設計、應用部署、集成運行、運維監(jiān)測及系統(tǒng)下線等全生命周期過程提出了明確的安全技術與安全管理要求。
銀行可根據《規(guī)范》的具體要求,結合金融機構內部風險策略、審計要求,制定有效的安全策略,對第三方數據保護能力進行調查和評估,對網絡和系統(tǒng)安全風險進行審計和評估,同時建立完善的事故處理機制,明確各方責任認定機制,確保用戶的權益得到保護。
信服君建議銀行建立全面的開放銀行信息安全體系規(guī)劃,通過構建“前端-中端-后端”三大安全能力支柱體系、“管理-技術”兩大安全支撐體系,嚴格規(guī)范合作方準入管理,完善開放銀行合規(guī)應用管理制度,利用大數據技術建立開放銀行風險監(jiān)測預警體系,借助技術平臺實時監(jiān)控API安全運行情況,著力增強金融機構對開放銀行風險的態(tài)勢感知和應急處置能力。
重點內容解析:開放銀行技術安全體系建設
典型的開放銀行安全技術架構包括安全架構標準、開發(fā)安全標準、安全測試標準。由安全檢測、安全控制等模塊組成的前端安全能力;由交易安全監(jiān)控、性能監(jiān)控服務等模塊組成的中端安全能力;由身份認證、數據安全等安全服務模塊構成的后端安全能力;由用戶認證、加解密等系統(tǒng)構成的基礎安全能力,結合網絡層面縱深防御,實現(xiàn)全方位立體化的開放銀行安全防護。
信服君建議開放銀行安全技術體系建設重點關注以下方面:
1.身份認證鑒別安全
開放銀行需嚴格執(zhí)行安全控制機制,結合網絡安全手段和參與者合作身份校驗機制,通過訪問權限控制、簽名認證、跨域校驗等,盡可能降低API接口被盜刷的風險。建立多層次的、線下線上融合的用戶認證體系,加強開放銀行身份認證與內控管理。
2.網絡、系統(tǒng)基礎安全
(1)第一道防護:網絡邊界防護
開放銀行應遵循“縱深防御”的理念,在互聯(lián)網邊界部署DDoS防護系統(tǒng)、下一代防火墻系統(tǒng)、下一代入侵防御系統(tǒng)等各類安全防護設備,實時監(jiān)測和攔截互聯(lián)網攻擊,實現(xiàn)網絡邊界第一道防護。
(2)第二道防護:業(yè)務邊界防護
在API服務層和業(yè)務層之間部署防火墻、異常流量分析系統(tǒng)等各類安全防護設備,實現(xiàn)業(yè)務邊界第二道防護。
(3)構建高級可持續(xù)性攻擊防御體系
在網絡邊界和內部網絡之間強化檢測和響應能力,部署文件異常動態(tài)檢測、流量異常檢測、多維大數據關聯(lián)檢測等各類安全防護設備,構建統(tǒng)一、立體、層次化的高級可持續(xù)性攻擊防御體系,實現(xiàn)從前端到后臺應用、從邊界到內部核心、全鏈條的安全防護。
(4)通過應用交付保障穩(wěn)定、安全、高效的交付
同時,建議部署應用交付系統(tǒng)對應用數據進行端到端的分析、調度、保護、加密和優(yōu)化,對單個接口按地域、風控等級等維度進行流控調度和控制,覆蓋業(yè)務交付全程的所有關鍵因素,保障穩(wěn)定、安全、高效的交付。
3.業(yè)務應用安全
(1)對接口分級分類
對開放的接口進行分級分類,根據不同類別設定接口使用權限和使用期限。
(2)采用多種手段保障業(yè)務應用安全
采用加密、應用秘鑰、應用接口權限控制、訪問黑白名單、字段脫敏還原等手段,充分進行應用存儲加密、訪問控制、標記化信息安全審計措施,交互報文通過數字簽名、加密等手段保障不可篡改性和機密性。
(3)基于大數據分析技術進行監(jiān)控
基于大數據分析技術,對系統(tǒng)和業(yè)務狀況進行實時全方位監(jiān)控,對異常交易和異常參與方,能做到實時流控、快速阻斷,保障系統(tǒng)穩(wěn)定。?
(4)業(yè)務風控
采用基于事后分析的大數據風控技術,實現(xiàn)業(yè)務風控,防范例如營銷欺詐、交易欺詐、信用欺詐等業(yè)務風險。
4.第三方安全
針對用戶授權訪問后的數據保護建立健全安全機制,對其合作方可以使用的接口范圍等進行嚴格控制,并定期審核,在授權范圍內進行有效的控制和防護。對于業(yè)務數據和用戶信息數據的使用范圍、保存期限等進行明確約束,遵循范圍和期限的最小化原則。
5.應用數據安全
在數據傳輸、處理、保存過程中需嚴格保障數據安全。
(1)通過多種方式保障數據安全
通過網絡傳輸鏈路加密、身份認證、報文加密加簽等多種方式,保障數據傳輸的安全性、隱私性和不可篡改性。
(2)避免抓取大量數據
嚴格控制業(yè)務、用戶數據的訪問權限,避免使用開放銀行接口抓取大量數據,并對系統(tǒng)日志中的敏感信息進行特殊處理,操作日志可審計。
(3)定期備份
定期備份數據,保障數據的完整性和可恢復性。
(4)提前進行責任劃分
各參與方需提前進行責任劃分,當出現(xiàn)數據泄露、系統(tǒng)故障或操作故障時,責任人對用戶的損失直接負責。
(5)嚴禁非法存儲
嚴禁非法存儲,以防泄露用戶金融信息。
深信服應用數據安全治理解決方案
基于上述提及的第五點,應用數據安全防護,深信服提出應用數據安全治理解決方案。方案以數據為中心,聚焦應用系統(tǒng)的流動數據,基于AI和大數據技術,自動化梳理應用數據資產,實時監(jiān)控應用系統(tǒng)脆弱性及異常數據訪問風險,精準溯源數據安全事件,實現(xiàn)數據流動安全風險全面有效治理。
1.基于敏感數據識別的應用接口自動化梳理
(1)敏感數據接口自動化識別、提取
通過對應用系統(tǒng)內外部訪問流量進行全面解析,自動識別應用系統(tǒng)接口。支持系統(tǒng)預置豐富敏感數據標簽,同時結合用戶需求,靈活自定義特殊字段及提取規(guī)則。敏感數據識別引擎全程自動化對接口數據進行識別、提取。支持細粒度接口畫像,包括接口參數、接口返回內容、接口訪問用戶、接口流轉敏感數據詳情等。
(2)全局可視
以數據為中心,實現(xiàn)敏感數據、應用、接口、訪問用戶自動化全面梳理。
(3)應用接口的生命周期管理
監(jiān)控數據接口上下線及變更,針對應用新增及失活接口進行統(tǒng)計,監(jiān)管未報備自行上線的重要敏感數據接口,對長期沒有訪問的接口進行監(jiān)控,輔助業(yè)務部門對接口進行下線操作。
2.風險接口發(fā)現(xiàn)
全面發(fā)現(xiàn)接口安全隱患,推動風險接口整改
基于敏感數據解析,識別接口訪問權限設置不當問題,如單次訪問數據限制不當(單次返回大量數據),接口無需身份驗證即可獲取敏感信息等。發(fā)現(xiàn)接口敏感數據暴露風險,包括敏感數據未脫敏、敏感數據傳輸不合規(guī)、密碼等高敏感信息明文暴露或僅使用MD5加密等。發(fā)現(xiàn)接口設計漏洞問題,如內部網絡信息暴露等。
3.業(yè)務系統(tǒng)身份認證及賬號管理脆弱性分析
(1)業(yè)務系統(tǒng)身份認證問題發(fā)現(xiàn)及整改
通過業(yè)務系統(tǒng)脆弱性分析引擎,及時發(fā)現(xiàn)業(yè)務系統(tǒng)存在的身份認證脆弱性問題,如弱密碼問題,推動用戶進行認證機制整改。
(2)賬號安全風險發(fā)現(xiàn)及整改
通過業(yè)務系統(tǒng)脆弱性分析引擎,幫助用戶及時發(fā)現(xiàn)賬號共享、特權賬號違規(guī)濫用等問題,并進行整改。
4.應用數據接口異常訪問風險監(jiān)測及預警
(1)基于數據安全風險策略的異常監(jiān)測
預置風險策略:預置有大規(guī)模數據拉取、非工作時間訪問、非常用 IP 訪問等風險策略。??
支持風險策略自定義:用戶可以根據需求,靈活自定義風險策略。??
(2)基于UEBA技術的異常監(jiān)測
根據用戶、賬號、接口等多維度數據行為畫像,建立數據訪問行為基線,自動發(fā)現(xiàn)異常行為并進行預警。
5.安全審計及數據安全事件溯源
(1)審計合規(guī)
通過敏感數據識別、應用系統(tǒng)賬號自動解析等技術,自動對接口訪問行為進行記錄。記錄內容包括:訪問接口、訪問應用、訪問 IP、操作用戶、操作時間、操作對象、操作內容等,滿足合規(guī)需求。
(2)數據安全事件快速溯源
支持搜索引擎式追溯查詢,可以通過關鍵字、文本、文件相似度等多種方式進行事件追溯,并定位到個人,同時,還支持多種類型的精細過濾條件對歷史事件進行精確查詢,定位數據風險點。
