随着我国金融信息化建设的快速发展，金融机构与外部站点的互联愈来愈多，但是，我们在享受网络给金融业务发展带来便利的同时，网络安全问题随之浮出了水面。当前的金融网络安全问题，既包括企业内部网络运行过程中出现的网络故障，也包括由于外部因素造成的安全问题。

　　面对愈来愈严重的网络安全形势，应当在对现行网络构架存在的安全风险进行准确评估的基础上，引入新的理念和应对措施，确保网络安全，这一点对银行而言尤其重要。

　　银行网络安全运行风险分析

　　在大多数银行的计算中心局域网中，其交换机之间的连接一般是采取了二层连接的方式，计算中心局域网的核心交换机没有对各种功能区进行充分的分离，因此，存在各种安全风险：

　　1、由于大部分服务器都直接连接到核心交换机，当某台服务器出现故障或感染病毒时，有可能会直接影响核心交换机的处理能力，进而影响银行内部骨干网络的稳定运行。而银行核心交换机是整个银行辖内网的网络核心，所以这种影响可能导致整个辖内网络服务的中断。

　　2、办公网络环境复杂、难于管理。一般办公网用户的办公软件系统和Windows桌面系统存在着各种漏洞，而办公用户的计算机水平又是参差不齐，有的用户很难主动发现客户端系统出现的漏洞从而实施补丁升级。就算通过统一的补丁升级管理，也可能因为办公客户端分布较广，使补丁升级难以统一、及时，因此办公网很容易成为不怀好意的人攻击生产核心网络的跳板。同时，由于办公网络存在很多移动PC用户，容易传播病毒，当病毒泛滥而侵蚀广域网带宽时，将影响甚至中断重要业务的正常运行。

　　3、目前许多银行的核心交换机通过二层方式连接了接入交换机，接入层设备如果因为某种原因造成大量的BPDU的丢失，会使原本处于闭塞状态的端口跃迁为转发状态，导致二层链路环路，将大大增加核心交换机的负荷，影响骨干网络的稳定运行；如果同时发生网络拓扑的变更，STP将重新计算，期间可能导致核心交换机的某些端口的暂时阻塞，从而造成网络的短期中断(中断的时间长短，取决于STP的收敛速度，STP的收敛速度取决于二层交换设备的数量以及拓扑的复杂程度)。

　　银行网络安全防护风险分析

　　目前，银行网络安全防护普遍存在以下风险：

　　1、随着网络技术的快速发展和广泛应用，病毒攻击逐渐由针对应用直接转向针对网络。

　　2、安全区域仅仅根据应用进行划分，没有对不同节点(前置以及服务器等)的安全等级进行更细致的划分，笼统地认为相同应用的各节点都具备相同的安全等级，从而把各节点都部署在相同的安全区域中(即使各节点部署在不同的区域中，但它们定义的安全等级都相同)，导致它们之间没有任何防护或者防护非常薄弱，而风险等级高的节点很可能将风险扩散。

　　3、很难界定某些应用属于哪个安全域，很多应用也可能存在跨区域访问，会不利于区域边界的精确控制。

　　4、银行网络各安全区域之间的防护主要依靠ACL技术以包过滤的方式来实现，但ACL 技术对很多常见的攻击方式还是缺乏有效的控制能力。

　　5、路由器或三层交换机的ACL维护比较复杂、繁琐，配置时容易出现漏洞，尤其是要求做到精细化控制时，它的维护和管理更加困难，存在管理风险。随着ACL条目达到一定数量，并且线性增加时(而且经过路由器或三层交换机的流量较大时)，会造成路由器或三层交换机性能的线性下降。

　　网络逻辑安全区域的划分

　　通过上述分析，我们已知道相同的应用存在不同的节点，不同的节点的安全等级存在或大或小的差异，如果忽略这些差异的存在，就会产生安全风险，根据网络安全的木桶原理，安全风险的等级就会由本区域中防护等级最低的，或者风险最高的网络资源来决定。我们前边提到，以往的做法是同一应用的所有节点都划分在同一个安全域中，导致防护不力。因此，我们必须建立新的网络安全域的划分模型，同时制定新的安全域的划分原则。