2020-03-17 17:39:05
來源：深信服科技
下面，信服君將為您深入解讀《規范》，了解開放銀行安全體系，助力開放銀行業務安全發展。
背景分析：開放銀行架構是銀行未來發展趨勢，
信息安全風險鏈條更長
根據中國互聯網金融協會發布的《開放銀行發展研究報告（2019）》顯示，通過對51家各類型商業銀行調研，65%的商業銀行已建立開放銀行。國內開放銀行一般采用第三方聯機接口、頁面服務和文件三種形式的API服務，支持聯網、專線等訪問方式。國內開放銀行通過開發者門戶為用戶提供行業解決方案、接入指南、接口說明等相關文檔，便于銀行分支（如分行）與合作方接入API平臺。
開放銀行幫助金融機構提升了用戶獲取場景服務和金融服務的便捷性，但其開放性也方便了黑客擴大攻擊范圍。
開放銀行生態中的第三方平臺可以訪問來自商業銀行的數據，一旦發生黑客攻擊造成數據泄露將可能導致用戶銀行賬戶信息暴露，甚至可能導致來源于該途徑的所有賬戶信息外泄，增加系統數據安全風險；除此之外，隨著商業銀行敏感數據被擴展到銀行外部，第三方平臺系統的網絡漏洞和故障也可能對該數據的安全造成威脅，因此，開放銀行業務使得銀行面臨更多風險。
二
《規范》解讀：開放銀行全生命周期安全技術規范，更嚴格的監管體系
《規范》涵蓋開放銀行應用層、業務層等各個方面，對銀行應用程序接口的接口設計、應用部署、集成運行、運維監測及系統下線等全生命周期過程提出了明確的安全技術與安全管理要求。
銀行可根據《規范》的具體要求，結合金融機構內部風險策略、審計要求，制定有效的安全策略，對第三方數據保護能力進行調查和評估，對網絡和系統安全風險進行審計和評估，同時建立完善的事故處理機制，明確各方責任認定機制，確保用戶的權益得到保護。
信服君建議銀行建立全面的開放銀行信息安全體系規劃，通過構建“前端-中端-后端”三大安全能力支柱體系、“管理-技術”兩大安全支撐體系，嚴格規范合作方準入管理，完善開放銀行合規應用管理制度，利用大數據技術建立開放銀行風險監測預警體系，借助技術平臺實時監控API安全運行情況，著力增強金融機構對開放銀行風險的態勢感知和應急處置能力。
重點內容解析：開放銀行技術安全體系建設
典型的開放銀行安全技術架構包括安全架構標準、開發安全標準、安全測試標準。由安全檢測、安全控制等模塊組成的前端安全能力；由交易安全監控、性能監控服務等模塊組成的中端安全能力；由身份認證、數據安全等安全服務模塊構成的后端安全能力；由用戶認證、加解密等系統構成的基礎安全能力，結合網絡層面縱深防御，實現全方位立體化的開放銀行安全防護。
信服君建議開放銀行安全技術體系建設重點關注以下方面：
1.身份認證鑒別安全
開放銀行需嚴格執行安全控制機制，結合網絡安全手段和參與者合作身份校驗機制，通過訪問權限控制、簽名認證、跨域校驗等，盡可能降低API接口被盜刷的風險。建立多層次的、線下線上融合的用戶認證體系，加強開放銀行身份認證與內控管理。
2.網絡、系統基礎安全
（1）第一道防護：網絡邊界防護
開放銀行應遵循“縱深防御”的理念，在互聯網邊界部署DDoS防護系統、下一代防火墻系統、下一代入侵防御系統等各類安全防護設備，實時監測和攔截互聯網攻擊，實現網絡邊界第一道防護。（2）第二道防護：業務邊界防護
在API服務層和業務層之間部署防火墻、異常流量分析系統等各類安全防護設備，實現業務邊界第二道防護。（3）構建高級可持續性攻擊防御體系
在網絡邊界和內部網絡之間強化檢測和響應能力，部署文件異常動態檢測、流量異常檢測、多維大數據關聯檢測等各類安全防護設備，構建統一、立體、層次化的高級可持續性攻擊防御體系，實現從前端到后臺應用、從邊界到內部核心、全鏈條的安全防護。（4）通過應用交付保障穩定、安全、高效的交付
同時，建議部署應用交付系統對應用數據進行端到端的分析、調度、保護、加密和優化，對單個接口按地域、風控等級等維度進行流控調度和控制，覆蓋業務交付全程的所有關鍵因素，保障穩定、安全、高效的交付。
3.業務應用安全
（1）對接口分級分類
對開放的接口進行分級分類，根據不同類別設定接口使用權限和使用期限。（2）采用多種手段保障業務應用安全
采用加密、應用秘鑰、應用接口權限控制、訪問黑白名單、字段脫敏還原等手段，充分進行應用存儲加密、訪問控制、標記化信息安全審計措施，交互報文通過數字簽名、加密等手段保障不可篡改性和機密性。（3）基于大數據分析技術進行監控
基于大數據分析技術，對系統和業務狀況進行實時全方位監控，對異常交易和異常參與方，能做到實時流控、快速阻斷，保障系統穩定。
（4）業務風控
采用基于事后分析的大數據風控技術，實現業務風控，防范例如營銷欺詐、交易欺詐、信用欺詐等業務風險。
4.第三方安全
針對用戶授權訪問后的數據保護建立健全安全機制，對其合作方可以使用的接口范圍等進行嚴格控制，并定期審核，在授權范圍內進行有效的控制和防護。對于業務數據和用戶信息數據的使用范圍、保存期限等進行明確約束，遵循范圍和期限的最小化原則。
5.應用數據安全
在數據傳輸、處理、保存過程中需嚴格保障數據安全。
（1）通過多種方式保障數據安全
通過網絡傳輸鏈路加密、身份認證、報文加密加簽等多種方式，保障數據傳輸的安全性、隱私性和不可篡改性。（2）避免抓取大量數據
嚴格控制業務、用戶數據的訪問權限，避免使用開放銀行接口抓取大量數據，并對系統日志中的敏感信息進行特殊處理，操作日志可審計。（3）定期備份
定期備份數據，保障數據的完整性和可恢復性。（4）提前進行責任劃分
各參與方需提前進行責任劃分，當出現數據泄露、系統故障或操作故障時，責任人對用戶的損失直接負責。（5）嚴禁非法存儲
嚴禁非法存儲，以防泄露用戶金融信息。
四
深信服應用數據安全治理解決方案
基于上述提及的第五點，應用數據安全防護，深信服提出應用數據安全治理解決方案。方案以數據為中心，聚焦應用系統的流動數據，基于AI和大數據技術，自動化梳理應用數據資產，實時監控應用系統脆弱性及異常數據訪問風險，精準溯源數據安全事件，實現數據流動安全風險全面有效治理。
1.基于敏感數據識別的應用接口自動化梳理
（1）敏感數據接口自動化識別、提取
通過對應用系統內外部訪問流量進行全面解析，自動識別應用系統接口。支持系統預置豐富敏感數據標簽，同時結合用戶需求，靈活自定義特殊字段及提取規則。敏感數據識別引擎全程自動化對接口數據進行識別、提取。支持細粒度接口畫像，包括接口參數、接口返回內容、接口訪問用戶、接口流轉敏感數據詳情等。
（2）全局可視
以數據為中心，實現敏感數據、應用、接口、訪問用戶自動化全面梳理。
（3）應用接口的生命周期管理
監控數據接口上下線及變更，針對應用新增及失活接口進行統計，監管未報備自行上線的重要敏感數據接口，對長期沒有訪問的接口進行監控，輔助業務部門對接口進行下線操作。
2.風險接口發現
全面發現接口安全隱患，推動風險接口整改
基于敏感數據解析，識別接口訪問權限設置不當問題，如單次訪問數據限制不當（單次返回大量數據），接口無需身份驗證即可獲取敏感信息等。發現接口敏感數據暴露風險，包括敏感數據未脫敏、敏感數據傳輸不合規、密碼等高敏感信息明文暴露或僅使用MD5加密等。發現接口設計漏洞問題，如內部網絡信息暴露等。
3.業務系統身份認證及賬號管理脆弱性分析
（1）業務系統身份認證問題發現及整改
通過業務系統脆弱性分析引擎，及時發現業務系統存在的身份認證脆弱性問題，如弱密碼問題，推動用戶進行認證機制整改。
（2）賬號安全風險發現及整改
通過業務系統脆弱性分析引擎，幫助用戶及時發現賬號共享、特權賬號違規濫用等問題，并進行整改。
4.應用數據接口異常訪問風險監測及預警
（1）基于數據安全風險策略的異常監測
預置風險策略：預置有大規模數據拉取、非工作時間訪問、非常用 IP 訪問等風險策略。
支持風險策略自定義：用戶可以根據需求，靈活自定義風險策略。
（2）基于UEBA技術的異常監測
根據用戶、賬號、接口等多維度數據行為畫像，建立數據訪問行為基線，自動發現異常行為并進行預警。
5.安全審計及數據安全事件溯源
（1）審計合規
通過敏感數據識別、應用系統賬號自動解析等技術，自動對接口訪問行為進行記錄。記錄內容包括：訪問接口、訪問應用、訪問 IP、操作用戶、操作時間、操作對象、操作內容等，滿足合規需求。
（2）數據安全事件快速溯源
支持搜索引擎式追溯查詢，可以通過關鍵字、文本、文件相似度等多種方式進行事件追溯，并定位到個人，同時，還支持多種類型的精細過濾條件對歷史事件進行精確查詢，定位數據風險點。
目前，深信服已經為2000+金融機構提供服務，依托多年的技術積累和金融用戶的服務經驗，幫助用戶解決在數字化轉型中遇到的難題和痛點，獲得行業的廣泛認可。未來，深信服將繼續堅持“持續創新、全情投入”，以更豐富的金融科技解決方案，快速、安全、穩健地推進金融行業信息化變革。
