浅谈金融业计算机操作权限安全管理

计算机和通讯技术应用于金融业日趋广泛,但计算机安全技术和管理,特别是操作权限安全管理,落后于其生产和应用的发展水平。 计算机操作权限是指对计算机系统运行的准入准出及其数据信息的访问权艰。具体包括对硬件系统的使用许可权、软件系统安装运行和卸载权、数据访问和存取权等;所处理的内容实质上是人、机、数据三者的关系。     

数据中心主机核心业务数据安全控制和审计

信息安全控制中三个主要的安全原则是可用性、完整性、机密性、即信息、系统和资源必须在时间上能够保障用户的使用、确保信息资产不被有意或无意地非授权修改和确保信息资产不被未授权用户访问。     

统一授权管理系统的设计

在企业信息化建设的进程中，开发一套能够实现统一的授权管理和用户统一的身份管理及单点认证的支撑平台显得尤为重要。本文提出了一种基于微软技术的统一授权管理解决方案，可以实现用户对各业务系统的权限分配和权限变更进行统一管理，实现了多层次统一授权，防止信息共享后的权限滥用，规范今后的应用系统的建设。     

Unix网络系统的安全缺陷及防范措施

Unix网络系统由于其功能强大、性能稳定、安全可靠而在银行系统中广泛的应用。它与Windows95／98等系统相比,具有较高的安全性。但由于其动态体系结构特点、源代码公开、系统配置复杂等原因,Unix网络系统也存在很多安全缺陷,如果不采取相应的防范措施,这些缺陷可能被非法入侵者利用,而影响银行的资金安全。 一、安全缺陷 1.利用网络监听工具截取重要数据 我们通常所用的以太网是一种广播型网络,在这种网络上,发送给每个特定机器的数据都可以被网络上任何机器监听到。常用的监听软件有tcpdump、snoop、etherfind等。这些软件的功能十分强大,既可以监听在网络上传输的所有数据,又可以监听指定源地址、指定目标地址、指定端口和协议的数据,还可以将它们保存下来以便仔细分析。如果网络上有其他用户在使用telnet、ftp、rlogin等服务、就可以监听到这些用户明文形式的帐户名和口令,进而就可以侵入其系统。 2．利用具有suid权限的系统软件的安全漏洞 具有suid权限的程序在运行时,其进程的实际uid为程序执行者的uid,而有效uid为程序owner的uid。由于系统软件的owner通常为root,非法入侵者可能利用这些软件的漏洞来窃取root权限。 (1)利用IFS等环境变量 如果通过阅读系统软件的源程序,知程序中有system()系统调用,如：swstem(“／bin／cpfilelfile2”),那么我们可以重新设置IFS(输入字段分隔符)变量： $IFS=／:exportIFS 此时．该system调用中的命令被解释为：bincpfilefile2,再编一个恶意程序命令为bin并放在用户的path变量内,便可以通过这个bin程序窃取root权限了。 (2)利用缓冲区溢出 有些系统在调用时不检查参数的长度,如调用gets(),scanf()等,这使得程序可以在用户的控制下形成缓冲区溢出。在正常情况下,程序在遇到缓冲区溢出时会停止。但如果用户对Unix很熟悉,就可以使程序在遇到缓冲区溢出时转而运行另一个程序。如果一个有suid权限的程序在缓冲区溢出后转而执行一个shell,那么这时的普通用户就变成了root用户。 (3)利用core文件 程序在运行中发生缓冲溢出、数组边界越界或接收到SIGILL、SIGTRAP等信号时都可能会产生core文件。如果将umask设为000,那么产生的core文件就具有777权限。非法入侵者可以利用dbx或adb等工具来读这个core文件,从而可能获取系统上的重要信息。 3．利用ping、telnet、ftp等命令的缺陷 根据TCP／IP协议规定,数据包的最大长度为65536字节。有的Unix系统在收到过长的IP数据包时,会产生系统崩溃、重新启动、死机等异常反应。我们知道,用ping命令向其他主机发送ICMP数据报文时,其报文大小可以任意指定。因此恶意用户可能通过用ping命令向其他主机发送过长的数据报文来对其进行攻击。微机上常用的SCOUnixSystemV／3863．2．4．2、SCOOpenServer5．0．0和5．O.2均存在该问题。 此外,很多版本的telnet、ftp等命令也存在一定的安全缺陷。 4．利用IP欺骗技术 为了获取访问权限,入侵者可以利用一些基于IP地址的认证程序的特点,在发送IP数据包时,修改其源IP地址字段,将其置为另一台机器的IP地址,该IP地址可能在目标机的／etc／hosts．Equiv或．Rhosts中有记录,这样就可能获取非授权的访问权限,甚至是目标机的root访问权限。 5．利用．Exrc文件 ．Exrc是编辑程序vi的初始化文件。Vi启动时,首先查找并执行$HOME／．Exit和当前目录下的．Exrc文件。非法入侵者可以将一个自己编写的．Exic放在／tmp等公共目录下,当root用户在该目录下运行vi时,该．Exrc文件就会自动运行。非法入侵者可以利用该．Exrc修改重要的系统配置文件,从而获得对系统的长期控制权。 目前的银行系统很多Unix机器在配置上存在着明显的安全缺陷。例如,很多业务机上都有一个关机用户,该用户是root权限,通过将initO或shutdown命令加入其．Pmfile文件,使操作人员能利用该关机用户进行系统关机。但这种关机用户往往未加口令(即使有口令也常为很多人知晓),因而恶意用户可以利用ftp命令,通过关机用户进行登录,进而修改系统文件而获得长期控制权。更有甚者．许多银行网点都是X．25专线连接到机房,而在配置X．25时,往往未将x29、x25ftp等服务屏蔽掉,这样X．25网上的任何用户都可以利用这些X．25服务．通过关机用户而自由进入该台银行业务机。 二、查看是否已被入侵的方法 1．检查日志文件 在文件／etc／syslog．Conf中控制了日志文件的位置以及哪些日志文件记录哪些活动。通过检查这些日志文件,可以获得本系统是如何被攻破的、入侵的过程怎样、哪些远程主机访问了本机器等信息。 2．检查具有suid权限的文件 入侵者常留下具有suid权限且owner为root的可执行文件,以便以后能继续以root身份访问系统。 3．检查文件／etc／passwd是否被修改 应检查非法新增用户、没有口令的用户和UID的改变(尤其是UID为O的用户)。 4．检查系统网络配置中是否有非法的项 应检查／etc／hosts．Equiv以及所有的．Rhosts文件中是否有“+”项和非法的地址项。 5．检查系统上非正常的隐藏文件 Unix上常用的方法是在文件或目录名前加上“…”、“．．”(两点加一个空格)或“．．^G”,这样就实现了文件或目录的隐藏效果,可以用find命令查找这些文件。 6．检查／etc／inetd．Conf和／etc／rc2．D／*文件 检查这些文件是否被植入了人侵者留下的“后门”程序。 三、提高安全性的措施 1.及时安装Unix补丁程序 旧版本的Unix系统往往含有安全漏洞,因此为了系统的安全,应该使用最新版本的Unix系统。同时,新版系统在运行过程中,可能会逐渐暴露出一些安全缺陷,因此要及时安装系统的补丁程序。这些补丁程序可以从各个Unix供应商的Internet网站上下载得到。 2．对网络监听的防范措施 首先应在支持监听模式网络接口的机器上检查是否有网络监听工具软什在运行,包括检查在系统上运行的可疑进程、对／dev／nit的未经授权使用等。如果发现了有网络监听软件正在运行,就应检查网络系统是否已被攻击,并设法恢复系统。此外．对于以太网等广播型网络,应当尽量不要在网络上传输纯文本形式的口令信息,不要以root身份进行远程登录。 3．对IP欺骗技术的防范措施 解决IP欺骗技术的最好方法是安装过滤路由器,不允许包含内部网络地址的数据包通过该路由器。此外,还应该过滤掉与用户内部网络地址不同的源地址向外发出的数据包,这样可以防止源于网络的IP欺骗的攻击。 4．提高文件系统配置的安全性措施 (1)确保系统上没有用于非法目的的.Exre文件。 (2)确保各个系统文件尤其是／etc下各文件的权限被正确设置。 (3)确保／etc、／bin、／usr／bin、／usr／sbin、／tmp、／var／tmp等系统目录的owner为mot,并且／tmp、／var／tmp目录的权限最高位为“t”。 (4)橙查系统上所有具有suid或sgid权限的文件。 (5)建议任何由root运行的文件,其文件owner都应该是root,并将其文件权限的“w”位屏蔽掉。 5．提高网络系统配置的安全性措施 (1)r命令系列(rep、rlogin、rsh)常常是Unix系统的不安全因素。因此,当不真正需要使用r命令时,应当将这些服务去掉。当确实需要使用r命令时,应当谨慎地配置／etc／hosts．Equiv和$HOME／．Rhosts文件。应确保这些文件的权限正确,它们的第一个字符不是“-”,文件中不含有“+”通配符,并建议对root用户不要配置其．Rhosts。 (2)对于／etc／inetd．Conf文件,应确保该文件的owner是root,权限为600,并尽量过滤掉并不真正需要的服务,如tftp服务和r命令服务。 (3)对于ftp服务,应确保已经正确地设置了文件／etc／ftpusers,如果没有该文件则创建。该文件用于指定不许访问用户系统的ftp服务器的用户,其中至少应包含root、bin、rrcp等。 6．加强帐号和口令的安全管理 一定要定期检查／etc／passwd和／etc／shadow文件,检查除root外uid为O的帐号、没有口令的帐号或新增的帐号。任何帐号都不能没有口令保护,各帐号的口令都应当经常更换,要定期查看su日志文件和拒绝登录消息日志文件。     

CISCO路由器的安全设置

路由器作为城市金融网的关键设备,承担着局域网之间及局域网与广域网之间连接的重任,是金融信息传输的枢纽。CISCO路由器是目前使用比较广泛的一种路由器,在金融系统使用也相当普遍,以下是笔者在日常工作中积累的一些对CISCO路由器安全设置方面的经验,这些实例都在实际应用中调试通过并投入使用,供大家参考。1．设置口令为防止未授权用户进入路由器,可对用户设置口令。对访问路由器的用户可设置“非特权”和“特权”两种口令,其中拥有非特权口令的用户可以查询某些信息而不能对路由器进行设置,有特权访问权限的用户可以对路由…     

层层设防滴水不漏--思科一体化安全解决方案为金融网络保驾护航

FCC网络安全威胁与日俱增信息化进程的快速推进以及网络的逐步完善,使得网络所面临的病毒、黑客威胁也与日俱增,完善的网络安全解决方案就成了保障各行各业网络尤其是金融网络健康发展的迫切需要。据调查,目前大部分网络都遭受过来自内部和外部的双重攻击,包括对网络中数据信息的危害和对网络设备的危害。具体来说,网络安全面临的主要威胁有:非授权访问,即对网络设备及信息资源进行非正常使用或越权使用等;冒充合法用户,即利用各种假冒或欺骗手段非法获得合法用户的使用权限,以达到占用合法用户资源的目的;破坏数据的完整性,即使用非法手…     

网上银行知识讲座 第二讲:网上银行的安全

6.关于网络安全性? 网络安全性可以粗略地分为四个相互交织的部分:保密、鉴别、抗否认和完整性控制。保密是指保护信息在存储和传输的过程中的机密性,防止未授权者访问,这是我们谈到网络安全性时最常想到的内容。鉴别主要指在揭示敏感信息或进行事务处理前必须先确认对方的身份。抗否认性要求能够保证信息发     

甲骨文推出数据库安全产品Oracle Database Vault

日前，甲骨文公司在美国“协作06用户大会”上宣布推出Oracle Database Vault。该新产品以甲骨文公司25年的数据保护经验为基础，是业界先进的数据库安全产品，可保护和限制对敏感数据及应用的访问。Oracle Database Vault加强了预防控制能力，可限制数据库管理员等拥有较高权限的用户未经授权访问特定信息，帮助企业满足各项法规要求。     

SCO UNIX下普通用户的授权与应用

UNIX系统将超级用户的权限分为多个子系统,在实际应用中,系统管理员根据用户的不同职责,对其分别授予不同的权限,使其履行系统管理员的部分功能。例如：对打印机管理员,授予他lp的权限;对担任一般系统管理和维护任务的用户,授予他root子系统的权限。一、UNIX普通用户的授权内容SCOUNIX操作系统的授权分为子系统授权和核心授权。子系统授权包含一级子系统授权和二级干系统授权。其中子系统授权与用户有关,核心授权与进程有关。在SCOUNIX的low、traditional安全级别下绝大多数的子系统授权和核心授权通过默认赋予了用户,各…     

基于资源权限树和规则引擎的权限控制模型

一,从需求说起 在软件项目的设计规划中,权限系统的设计往往既要保证稳固性和可靠性,以满足业务上的要求,同时也要尽可能地考虑可维护性,以适应未来需求的变化。在软件项目的设计规划中,权限系统的设计往往既要保证稳固性和可靠性,以满足业务上的要求,同时也要尽可能的考虑可维护性,以适应未来需求的变化。大多数权限需求的复杂性,往往跟权限所处的组织机构、人事制度的复杂性密不可分。下面是某金融机构风险管理类系统的需求描述片段：1．纪检监察、内审等监督部门及行领导可登录浏览本单位所有模块的信息内容。2．上级行纪检监察、内审、事后监督、办公室（包括法律事务）等监督部门及行领导可登录浏览下级行的所有模块的信息内容。3．业务部门经授权可浏览查看下级行对口业务部门信息。4．下级行可登录浏览上级行的监督动态、规章制度2个模块信息,不能浏览查看其他模块信息的具体内容。     

数字电视智能卡技术发展及应用

数字电视智能卡是要与数字电视机顶盒配合使用,机顶盒相当于读卡器,又能像计算机一样工作.目前,数字电视智能卡的主要功能是被用于安全存储、解密授权和访问权限,同时向机顶盒授权,在数字电视将来的应用领域里,智能卡还可以被编程,发挥电子钱包的功能,为在线购物和其他即时付费等业务项目提供服务.     

专员办横向在线监管体系研究(下)——横向在线监管体系的实现路径、配套措施及建议

1、渗透式（在线）。目前根据各个监管客体已经联入党政网的基本情况，专员办可在统一的党政网内，逐步介入各个监管客体已有的业务系统，取得授权进入系统查询相关数据。获得监管的信息，经过授权可以对违规资金停止拨付（或在取得授权后甚至可以暂停业务）。该方式经济、便捷、有效，随时可以通过党政网络访问各个监管客体的业务系统，并作相应的处理。这样充分利用了各个监管客体的先进的信息技术成果。     

WAF：保护运营商Web系统安全

随着某运营商的手机看护管理平台、新型农村合作医疗信息网、彩信气象业务系统管理平台和CRM业务等系统上线运营，该运营商对线上系统的可靠性、可用性、业务连续性、数据集中提出了更高的要求，对系统网络的安全性也更加重视，开始采用Web应用防火墙（Web Application Firewall，WAF）来保护Web业务系统。伴随着互联网技术的不断发展以及Web攻击安全事件频发，针对网站系统的攻击逐渐增多，像SQL注入攻击、XSS跨站脚本攻击、命令执行、非授权访问／权限绕过、Cookie篡改攻击、网页挂马攻击、Web恶意扫描攻击、CSRF攻击、拒绝服务攻击、敏感信息泄露等，均给客户系统正常的业务带来极大的困扰。     

加强风险管理须做到“五个严格”

一是严格岗位分离制度。在岗位之间形成严格的既相互分离又相互制约的机制。岗位分离总原则是市场营销和业务操作岗位分离，重要业务岗位之间分离，操作和授权岗位分离。二是严格授权制度。按照授权经营、事中控制的要求．严格界定辖属各经营层次和各职能部门经营管理范围、行为和权限，并加强对其授权执行情况的日常控制，以实现“阳光化”的经营管理行为。     

决策支持技术的发展及其体系结构研究

四、数据仓库、数据挖掘对DSS的支持1．对DSS四个空间的进一步讨论（l）数据空间数据空间适用于OLTP（联机事务处理）系统，即事务型的处理。数据空间的结构为一系列属性之总和，每一个属性有一个值域。在关系模型中，属性即列名或域名，在对象模型中，即对象的属性。E．F．COdd提出的关系代数模型，促使了关系型SQL的出现，关系型SQL可以从大量的数据中读取有关数据。在关系数据库中，最典型的操作就是基于关键码对数据进行增删查改等操作，工作也集中在基于关键码访问的优化上。关系数据库在数据重组方面具有很大的灵活性。在数据…     

ABIS二版技术知识（八）

柜面业务安全认证系统 1．柜面安全认证系统简介柜面业务安全认证系统是以安全认证为载体，确保支付交易信息传输的保密性、数据交换的完整性、支付信息发送的小町否认性和交易者身份的确定性、实现身份证、密押编制与核对和信息管理功能的应用系统，是ABIS业务风险控制的重要组成部分。     

大型计算机系统安全的几点考虑

一、大型计算机主机系统安全的标准及相关措施一个可靠的保护机制应该具有以下的特点和好处：1．有能力鉴别试图进入安全系统的用户。这种机制使得当用户进入系统时,系统把用户与其唯一的身份标识联系起来。2．有能力检查用户是否具有他自称的那种身份。这种机制可以对用户做更进一步的身份鉴别,如要求用户提供密码等。3．只允许经过授权的用户访问受保护的资源。这种机制使用户对每一个受保护资源的访问权限得到细致的划分。4提供安全管理的简便途径。这种机制使人们可以选择安全的结构和管理的方式。5．记录对受保护资源的访问。它提供…     

NOTES邮件服务器维护手记

一台邮件服务器,在NOTES系统多次重装后,出现数个工作站信箱无法使用的故障。故障表现和解决方法如下: 故障一:工作站打开数据库时提示“您没有访问数据库的权限。” 原因:服务器重装后数据库权限丢失。 解决办法:在服务器的工作台上打开该数据     

在VFP5.0中任意控制多个操作员的权限

在一个大型软件系统中可能有多个操作员，并由不同的操作员完成不同的工作。例如在一个“进销存”软件系统中，有入库员、出库员、收银员、财务员以及经理查询系统。如果面对不同的操作员开发不同的菜单系统，势必加大程序开发量，而且格式固定、不灵活。在软件开发过程中采用“超级用户”给“一般操作员”授权的办法，可实现灵活控制、随时更换权限的目的。实现原理如下。1．建立一个菜单项表，把软件系统中的各个菜单项放入其中。该表（名称CDDBF）结构为：MenuName字符型长度为30（放所有菜单项名称）Menutf逻辑型（放该菜单项是否准…     

创新时代下的金融信息安全之道——专访交通银行副CIO、信息技术管理部总经理麻德琼

2011年交行将在前期工作的基础上,进一步提高操作风险防范能力。一是开发、推广并使用信息科技管理平台,加强日常科技管理;二是提升系统可用率考核指标,严格控制生产运行中的日常维护;三是加强变更管理,防范程序质量流程控制方面存在的风险;四是采取技术手段增加联动控制,将管理流程与操作许可结合起来,进一步防止非授权操作。