文丨中国邮政储蓄银行运营数据中心 冯冰君 王海星 龚兴超
随着我国信息安全技术的不断发展以及终端安全系统的迭代升级，金融机构传统安全防护体系薄弱点愈加凸显，终端安全管控工作面临诸多新风险和新问题。长期以来，金融机构普遍采用叠加安全软件的方式来增强终端防护，然而这种方式往往涉及进程注入、API挂载等系统级处理，易导致多个安全软件间以及与其他软件出现兼容性问题，也增加了运维人员的工作负担。在此背景下，邮储银行基于前沿化、系统化的顶层设计，提出了全面的终端安全管控体系建设解决方案(以下简称“终端安全管控方案”)，为全行的生产终端安全防护提供技术支撑。该方案以安全管控为基础，以合规准入为支撑，以病毒防护和数据防护为屏障，力求构建全方位终端安全防护体系(如图1所示)。
图1 邮储银行全方位终端安全防护体系
一、终端安全管控方案的建设思路
邮储银行积极服务“三农”、城乡居民和中小企业，服务个人客户超过6.6亿户，拥有点多面广且深度下沉的服务网络，共有营业网点近4万个。基于以上实际情况，邮储银行终端安全管控方案遵从整体性原则，为适应目前以及未来业务发展的需要，构建一个完整、安全可靠的整体性安全体系;遵从统一性原则，基于总体规划、部署和要求，落实各层面的建设和管理工作;遵从一致性原则，在充分、全面、完整地对系统安全威胁和安全风险进行分析、评估和检测的前提下，提高终端安全防护体系中“安全最低点”的安全性能;遵从适用性原则，基于网络安全需求不断变化的特性，在设计方案时尽可能引入更多的灵活自适应元素，便于为将来业务拓展提供足够的安全扩展能力。
1.整体架构设计
邮储银行基于《网络安全等级保护基本要求》(等保2.0)、《关键信息基础设施安全保护条例》等政策法规和国家标准要求，参考同业建设思路和现状，并辅以服务保障和安全运营等支撑手段，着力构建终端安全管控方案，把控终端安全风险的全貌。邮储银行终端安全管控方案架构如图2所示。
图2 邮储银行终端安全管控方案架构
(1)技术支撑
邮储银行基于信息安全技术对终端进行了事前、事中、事后全流程闭环防护。整个闭环防护的关键环节包括安全防护、安全检测、安全预警、事件处置、安全恢复。
安全防护是对各类终端进行统一化安全管控，涵盖终端病毒防护、终端威胁检测、终端漏洞管理、终端合规准入、终端软件管理、终端移动存储介质管控等多个维度。
安全检测是对各类终端定期进行安全扫描和漏洞检测，并通过自动化工具和人工检测相结合的方式，及时发现、修复潜在的安全隐患，防止攻击者利用漏洞进行攻击。
安全预警即实时监测和分析终端的安全状态，及时发现并对安全威胁进行预警。一旦检测到异常行为或攻击迹象，联动安全预警机制立即触发警报，并通知相关人员采取应急措施，防止安全事件进一步扩大。
事件处置是在终端发生安全事件时，迅速响应并采取相应的处置措施，包括隔离受影响的终端、收集和分析攻击样本、追踪攻击来源等，以便及时控制事态发展和减轻损失。
安全恢复是在安全事件得到妥善处理后，及时对终端进行系统恢复和重建，包括修复受损的终端、恢复被篡改或删除的数据，以确保终端能够迅速恢复正常运行。同时，安全恢复工作还需要总结经验教训，完善安全管理制度和技术手段，提高终端的安全防护能力。
(2)管理支撑
管理支撑主要包括组织建设和制度建设两个方面。
在组织建设方面，邮储银行建立了由总行金融科技部统筹，运营数据中心牵头，数据管理部、软件研发中心共策共力，各分行、子公司信息科技部协同实施的层次清晰、职责明确的组织架构。总行金融科技部负责终端的全面安全监控、安全管理以及整体终端安全策略的制定。同时，邮储银行成立了安全策略、安全监控、事件处置等多个安全团队，快速协同全流程处置终端安全事件及安全风险。
在制度建设方面，邮储银行制定了详细的安全管理制度以及流程规范，涵盖终端类型定义、管理职责划分、病毒防护要求及处置流程、数据防护要求及处置流程、安全管控要求、监测与防护要求及流程、应急响应要求及流程等多个维度。在安全管控层面，明确了组织内部各项安全工作的全面管理和控制要求，包括人员安全、设备安全、信息安全等多个方面，以确保组织运营的安全稳定运行;在病毒防护层面，明确规定了病毒防范、检测、清除等多个方面的基本要求，以确保组织的信息系统和数据安全免受病毒威胁;在数据防护层面，明确了数据的收集、存储、使用、传输、销毁等环节的安全要求，以确保数据的完整性、保密性和可用性;在监测与防护层面，明确了异常行为的识别、记录、报告和实时监测预警机制，以及时发现潜在的风险和问题;在应急响应层面，明确了实施应急响应的人员、资源、流程、手段和策略，以确保组织在危机中能够迅速恢复正常工作并减少损失。
2.分阶段落地规划
邮储银行采取分阶段的方式落地终端安全管控方案，并将其分为以下两个步骤具体实施。
步骤一：实现终端防病毒及安全管控一体化，构建终端安全防护基座
首先，构建一体化终端控制台，对各类终端进行集中安全防护，落地病毒防护、补丁管理、合规准入、软件分发管理、终端安全策略管理、终端环境感知、应用与外设管控、终端审计、数据防泄密等多维度的管理及管控需求。
其次，在一体化终端控制台的基础上，按照终端属性对其进行分类，并联动资产管理系统，实现在线资产管理一体化;基于统一的管控防护机制，对不同类型终端进行统一策略管控，规避合规要求落实不到位、管控盲点等风险;基于统一的病毒防护机制实现终端病毒检测、查杀等防护和管理一体化;基于统一的数据检测策略以及外设管控策略，提升内部数据安全防护能力;基于统一入网检测机制，实现终端入网的合规管控;基于终端安全状态展示，实现终端安全监控可视化，提升对终端安全流程的管理能力。
步骤二：实现终端安全运营一体化，增强终端安全防护能力
邮储银行基于一体化终端控制台细化终端安全运营指标体系，构建终端安全模型：基于终端安全的基础数据，从资产管理、补丁管理、外设管理、行为管理、病毒防护、数据防护等多维度构建安全运营详细指标及安全阈值，逐步完善终端安全运营监控能力;同时，通过将终端安全运营指标数据及风险事件同步到安全态势感知平台进行安全事件分析，并联动自动化响应处置平台开展事件处置，形成了终端安全事件监测、联动、处置闭环。
二、终端安全管控平台的建设实践
邮储银行结合行内实际需求落地实施终端安全管控方案，开展了终端安全管控平台的统一建设和推广。为规避系统对带宽的影响，终端安全管控平台架构采用了多级部署方式(如图3所示)。
图3 邮储银行终端安全管控平台架构
终端安全管控平台以及客户端软件融合了合规准入、安全防护、运维管理、安全运营等功能，可支持Windows、Linux类操作系统及国产操作系统等多种类型的终端，实现了功能、平台及数据一体化;支持特征引擎病毒查杀、云引擎病毒查杀、智能病毒分析等多种病毒查杀方式，具备系统防护、系统加固、入口防护、网络防护等主动防御功能，构建了多引擎立体化病毒防御能力。
终端安全管控平台可对不同类型终端进行资产信息识别和状态监控，支持非法外联监测、数据敏感信息监测、外设管控、应用管控、主机防火墙等终端防控策略的统一设定，以及终端漏洞的扫描及补丁文件错峰下发、终端入网的合规检查和准入，文件传输、外设使用等安全合规审计，从而实现了终端管控的统一化和智能化。同时，终端安全管控平台严格遵循了等保2.0等标准规范在恶意代码防范、访问控制、非法外联管理、资产管理、介质管理、安全审计等方面的要求。
三、终端安全管控平台的建设成效
1.优化终端病毒防御体系
终端安全管控平台构建了多层次、全生命周期的病毒防御体系，同时结合传统本地查杀引擎、云查杀引擎、智能病毒分析等高级病毒查杀与防御技术，支持对病毒及恶意代码从进入网络到终端落地的全过程，以及运行时的不同阶段进行动静结合的多层过滤、全程查杀。
2.增强终端安全管理能力
终端安全管控平台不仅可对终端硬件资产、软件与操作系统、网络配置变动等进行监控，还可提供终端安全基线检查、补丁分发、外设管控、软件管理、安全水印、终端数据防泄露等十几项安全管理功能，有效支撑监管规范、行业标准及内部准则的数字化落地，并可针对不同状态的终端执行特定管控策略集。同时，终端安全管控平台可对所辖全部终端进行安全态势监控，包括病毒查杀趋势、高危漏洞修复态势等，实现对终端安全风险的量化观测、高效管理及全面监控。
3.提升终端安全运营效率
终端安全管控平台和客户端软件的统一化及功能集成化，不仅全面满足了银行的管理需要，也减轻了安全管理人员的运维工作量，提高了安全运营的工作效率，最大程度降低了安全管理运维成本。同时，终端安全管控平台可有效防范和减少终端安全事件的发生，稳定、安全的金融环境有利于银行的长远发展，为银行金融创新提供坚实的基础。
四、总结及展望
终端安全管控方案是邮储银行金融数字化转型的重要产物及金融改革的重要支撑。在网络形势不断变化、安全威胁不断演变以及需求场景不断拓展的背景下，该方案也存在一些不足之处。未来，邮储银行将从以下几个方面对其进行调整和优化。
第一，探索更加完善的监测技术、防护机制、处置机制、交互机制等，着力提高终端安全管控平台的稳定性、易用性、兼容性以及安全防护能力。
第二，当前的终端安全管控方案并未考虑终端操作系统版本升级需求问题。如何系统化、便捷化地实时进行终端操作系统漏洞修复和版本升级一直是终端安全防护工作的重要组成部分，邮储银行将在此方面进行持续探索。
第三，终端安全体系建设是一个长期而持续的过程。未来，邮储银行将进一步探索应用大数据、云计算、人工智能等技术，不断对终端安全管控方案进行优化和完善。
本文刊于《中国金融电脑》2024年第6期
声明：本文来自中国金融电脑+，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
