近年來，無線網(wǎng)絡(luò)技術(shù)發(fā)展較快，在銀行保險(xiǎn)機(jī)構(gòu)的業(yè)務(wù)服務(wù)、移動辦公和互聯(lián)網(wǎng)接入等領(lǐng)域都有廣泛應(yīng)用，但由于缺乏線路連接控制及管理不規(guī)范，無線網(wǎng)絡(luò)信息截取、非法入侵、偽冒詐騙等風(fēng)險(xiǎn)呈上升態(tài)勢。
為確保銀行業(yè)和保險(xiǎn)業(yè)網(wǎng)絡(luò)和信息系統(tǒng)安全，2018年6月13日中國銀保監(jiān)會辦公廳印發(fā)了《關(guān)于加強(qiáng)無線網(wǎng)絡(luò)安全管理的通知》的文件，要求各銀監(jiān)局，各保監(jiān)局，各政策性銀行、大型銀行、股份制銀行，郵儲銀行，外資銀行，金融資產(chǎn)管理公司，各保險(xiǎn)集團(tuán)（控股）公司、保險(xiǎn)公司、保險(xiǎn)資產(chǎn)管理公司、保險(xiǎn)專業(yè)中介機(jī)構(gòu)，加強(qiáng)各類無線網(wǎng)絡(luò)： 3G/4G/APN/VPDN專用移動通訊網(wǎng)、內(nèi)網(wǎng)業(yè)務(wù)Wi-Fi、互聯(lián)網(wǎng)Wi-Fi安全管理。
廣州天暢信息技術(shù)有限公司依據(jù)通知各項(xiàng)要求、結(jié)合銀行保險(xiǎn)業(yè)行業(yè)特點(diǎn)，制訂一套無線網(wǎng)絡(luò)安全管理運(yùn)營解決方案，詳細(xì)內(nèi)容如下：
50號監(jiān)管通知 自查、評估時(shí)間要求：
2018年8月31日前銀行保險(xiǎn)機(jī)構(gòu)完成自查工作，提交自查和風(fēng)險(xiǎn)評估報(bào)告。
運(yùn)營解決方案：
對銀行保險(xiǎn)行業(yè)用戶無線網(wǎng)的規(guī)劃建設(shè)、運(yùn)行監(jiān)控、漏洞管理、安全審計(jì)等領(lǐng)域進(jìn)行評估，快速精準(zhǔn)地完成風(fēng)險(xiǎn)評估工作，提交風(fēng)險(xiǎn)評估報(bào)告。對發(fā)現(xiàn)的問題立即進(jìn)行整改。
50號監(jiān)管通知所指三大目標(biāo)場景：專用移動通訊網(wǎng)場景、內(nèi)網(wǎng)業(yè)務(wù)Wi-Fi場景、互聯(lián)網(wǎng)Wi-Fi場景。
在方案設(shè)計(jì)階段，廣州天暢始終以“50號監(jiān)管通知”的要求為準(zhǔn)則，針對通知所指的三大無線網(wǎng)絡(luò)類型及典型應(yīng)用場景，對分析發(fā)現(xiàn)的不合規(guī)問題進(jìn)行加固整改，缺什么補(bǔ)什么；并且，廣州天暢還可以進(jìn)行總體的無線網(wǎng)絡(luò)安全技術(shù)設(shè)計(jì)，落實(shí)通知要求，最大程度發(fā)揮無線網(wǎng)絡(luò)安全措施的保護(hù)能力。
專用移動通訊網(wǎng)
場景一：使用3G/4G VPDN/APN等專用移動通訊網(wǎng)組建業(yè)務(wù)網(wǎng)
金融機(jī)構(gòu)均有該場景，主要在分行/信用卡中心。一般用于離行自助設(shè)備、無線POS機(jī)、智慧終端業(yè)務(wù)外拓、信用卡業(yè)務(wù)外拓；銀行外派、網(wǎng)點(diǎn)災(zāi)備離行ATM、農(nóng)金通、助農(nóng)通、自助智能終端、便民服務(wù)點(diǎn)、鄉(xiāng)村服務(wù)端、社區(qū)銀行。
50號監(jiān)管要求：采用安全、可靠的加密協(xié)議，對無線通信信道進(jìn)行安全加密，以保證移動通訊專網(wǎng)傳輸信息的保密性、完整性，防止信息被非法竊聽、偽造、篡改或重放。
不合規(guī)問題：傳統(tǒng)方案在移動業(yè)務(wù)傳輸安全上廣泛采用VPDN解決方案。VPDN的傳輸依靠的是PPTP、L2TP等二層傳輸協(xié)議，只有簡單的數(shù)據(jù)封裝沒有高強(qiáng)度加密，經(jīng)過一次認(rèn)證，認(rèn)證方式非常簡單，易造成認(rèn)證信息泄漏，存在一定的風(fēng)險(xiǎn)。此外VPDN需要進(jìn)行撥號、客戶端配置。如果要實(shí)現(xiàn)內(nèi)網(wǎng)、外網(wǎng)數(shù)據(jù)分流隔離，需要重新退出啟用撥號才能啟用網(wǎng)絡(luò)隔離的作用，存在跨省、跨運(yùn)營商的兼容性問題。
運(yùn)營解決方案：利用VPN協(xié)議，構(gòu)建比VPDN更安全易用的移動通訊網(wǎng)（支持國密 ）
場景二：移動終端管理產(chǎn)品場景
50號監(jiān)管要求：
• 應(yīng)使用雙因素認(rèn)證方式，對移動終端、離行機(jī)具等設(shè)備進(jìn)行認(rèn)證，保障無線設(shè)備接入安全
• 移動通訊專網(wǎng)的移動終端中，禁止安裝和使用無線網(wǎng)絡(luò)密碼奉獻(xiàn)等有競爭性的應(yīng)用程序應(yīng)
• 采取措施控制移動智能終端（如平板電腦、手機(jī)等）在內(nèi)網(wǎng)和互聯(lián)網(wǎng)間交叉使用的風(fēng)險(xiǎn)，加強(qiáng)應(yīng)用安全和數(shù)據(jù)泄露防護(hù)，防范惡意代碼傳播
不合規(guī)問題：
• 部分用戶無線移動設(shè)備接入，僅使用單因素認(rèn)證方式
• 所有移動終端自身，均不支持限制競爭性應(yīng)用程序的安裝和使用
• 所有移動設(shè)備操作系統(tǒng)自身，均不支持?jǐn)?shù)據(jù)泄露保護(hù)措施
運(yùn)營解決方案：
• 加固：保留VPDN，新采購移動終端管理產(chǎn)品，利用移動終端管理產(chǎn)品實(shí)現(xiàn)雙因素認(rèn)證和程序管控、數(shù)據(jù)落地保護(hù)
• 替換：替換VPDN，新采購移動終端管理產(chǎn)品，實(shí)現(xiàn)安全組網(wǎng)、雙因素認(rèn)證和程序管控、數(shù)據(jù)落地保護(hù)
內(nèi)網(wǎng)Wi-Fi：
為金融保險(xiǎn)機(jī)構(gòu)內(nèi)部員工，提供辦公、開發(fā)、測試、生產(chǎn)等提供接入業(yè)務(wù)內(nèi)網(wǎng)的無線網(wǎng)絡(luò)
場景一：辦公、生產(chǎn)、開發(fā)測試Wi-Fi
50號監(jiān)管要求：
• 內(nèi)網(wǎng)WLAN的接入終端應(yīng)經(jīng)過審批授權(quán)，采取無線網(wǎng)絡(luò)終端設(shè)備準(zhǔn)入控制措施，防止終端通過WLAN非法接入銀行保險(xiǎn)機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)
• 應(yīng)采取措施控制移動智能終端（如平板電腦、手機(jī)等）在內(nèi)網(wǎng)和互聯(lián)網(wǎng)間交叉使用的風(fēng)險(xiǎn)，加強(qiáng)應(yīng)用安全和數(shù)據(jù)泄露防護(hù)，防范惡意代碼傳播
• 在內(nèi)網(wǎng)WLAN和移動通訊專網(wǎng)的移動終端中，禁止安裝和使用無線網(wǎng)絡(luò)密碼奉獻(xiàn)等有競爭性的應(yīng)用程序
不合規(guī)問題：
• 終端可通過WiFi熱點(diǎn)共享，私接有線/無線路由器非法接入內(nèi)部網(wǎng)絡(luò)。
• 移動智能終端接入內(nèi)網(wǎng)，交叉接入互聯(lián)網(wǎng)使用導(dǎo)致泄密和病毒傳播
• 終端可安裝WiFi萬能鑰匙、360隨身WiFi、小米隨身WiFi有競爭性程序，將內(nèi)部網(wǎng)絡(luò)通過共享，繞過準(zhǔn)入監(jiān)管
運(yùn)營解決方案：
利用防共享私接技術(shù)，秒級檢測識別內(nèi)網(wǎng)WiFi共享和私接；利用無線釣魚反制技術(shù)實(shí)時(shí)檢測無線釣魚，保證無線安全
• ①新采購防共享私接設(shè)備，旁入鏡像終端到內(nèi)網(wǎng)服務(wù)器區(qū)流量，實(shí)時(shí)檢測發(fā)現(xiàn)內(nèi)網(wǎng)共享WiFi/私接有線路由器設(shè)備的接入
• ②新采購無線釣魚反制監(jiān)測設(shè)備，實(shí)時(shí)檢測無線釣魚、非法AD-Hoc、BSSID 沖突檢測、DDOS 攻擊和洪泛攻擊等基于WLAN的無線攻擊行為
場景二：移動終端管理產(chǎn)品場景
50號監(jiān)管要求：
• 內(nèi)網(wǎng)WLAN應(yīng)禁止共享賬戶，并采用雙因素認(rèn)證方式對接入用戶進(jìn)行身份校驗(yàn)，應(yīng)停用長時(shí)間未活動用戶
• 內(nèi)網(wǎng)WLAN的移動終端中，禁止安裝和使用無線網(wǎng)絡(luò)密碼奉獻(xiàn)等有競爭性的應(yīng)用程序
• 應(yīng)采取措施控制移動智能終端（如平板電腦、手機(jī)等）在內(nèi)網(wǎng)和互聯(lián)網(wǎng)間交叉使用的風(fēng)險(xiǎn)，加強(qiáng)應(yīng)用安全和數(shù)據(jù)泄露防護(hù)，防范惡意代碼傳播
不合規(guī)問題：
• 部分用戶無線移動設(shè)備接入，僅使用單因素認(rèn)證方式
• 所有移動終端自身，均不支持限制競爭性應(yīng)用程序的安裝和使用
• 所有移動設(shè)備操作系統(tǒng)自身，均不支持?jǐn)?shù)據(jù)泄露保護(hù)措施
運(yùn)營解決方案：
• 新采購移動終端管理產(chǎn)品，利用移動終端管理產(chǎn)品實(shí)現(xiàn)雙因素認(rèn)證和程序管控、數(shù)據(jù)落地保護(hù)
利用VPN+認(rèn)證+沙箱隔離+設(shè)備管控技術(shù)，構(gòu)建安全易用的移動設(shè)備WiFi安全（支持國密）
互聯(lián)網(wǎng)Wi-Fi :
為金融保險(xiǎn)機(jī)構(gòu)內(nèi)部員工、外部訪客、營業(yè)廳客戶，提供接入互聯(lián)網(wǎng)的無線網(wǎng)絡(luò)。
內(nèi)部員工WiFi：一般在總行、一級/二級分行均有部署，分為自建和運(yùn)營商代建。
外部訪客WiFi：同內(nèi)部員工WiFi
營業(yè)廳客戶Wi-Fi：一般只部署在支行營業(yè)廳，分為自建和運(yùn)營商代建
50號監(jiān)管要求：
• 應(yīng)采用防火墻、入侵檢測、防病毒等網(wǎng)絡(luò)安全技術(shù)措施，并加強(qiáng)對偽冒WLAN熱點(diǎn)的偵測，防范欺詐、釣魚等無線網(wǎng)絡(luò)攻擊
• 應(yīng)劃分獨(dú)立網(wǎng)段或虛擬局域網(wǎng)，進(jìn)行安全隔離和訪問控制，防止非授權(quán)訪問
• 互聯(lián)網(wǎng)WLAN應(yīng)通過短線驗(yàn)證碼、微信或用戶名/密碼等方式對接入網(wǎng)絡(luò)的用戶進(jìn)行實(shí)名認(rèn)證，對接入設(shè)備的網(wǎng)絡(luò)安全訪問進(jìn)行監(jiān)測，并加強(qiáng)用戶密碼安全管理
不合規(guī)問題：
• 終端可通過偽冒WLAN熱點(diǎn)，進(jìn)行欺詐、釣魚攻擊
• 互聯(lián)網(wǎng)WiFi與內(nèi)網(wǎng)訪問控制控制不嚴(yán)格，導(dǎo)致非授權(quán)訪問內(nèi)網(wǎng)
• 互聯(lián)網(wǎng)WiFi接入未進(jìn)行實(shí)名認(rèn)證
運(yùn)營解決方案：
• ①新采購防共享私接設(shè)備，旁入鏡像終端訪問互聯(lián)網(wǎng)流量，實(shí)時(shí)檢測發(fā)現(xiàn)共享WiFi/私接有線路由器設(shè)備的接入
• ②新采購無線釣魚反制設(shè)備，實(shí)時(shí)檢測無線釣魚、非法AD-Hoc、BSSID 沖突檢測、DDOS 攻擊和洪泛攻擊等基于WLAN 的無線攻擊行為
• ③新采購下一代防火墻設(shè)備，實(shí)現(xiàn)L2-L7層安全隔離和訪問控制
廣州天暢擁有多年的系統(tǒng)集成和專業(yè)安全服務(wù)行業(yè)經(jīng)驗(yàn)，在金融、制造、交通、媒體、 衛(wèi)生、政府等領(lǐng)域具備廣泛的客戶基礎(chǔ)，廣州天暢的優(yōu)勢不僅在于業(yè)界的領(lǐng)先技術(shù)和精銳的專業(yè)團(tuán)隊(duì)，還在于杰出的解決方案和卓越的服務(wù)能力，更在于積極創(chuàng)新的熱情和尊重承諾的信念。品質(zhì)源于專業(yè)，服務(wù)創(chuàng)造價(jià)值。廣州天暢憑借深厚的行業(yè)經(jīng)驗(yàn)、專業(yè)的服務(wù)團(tuán)隊(duì)、優(yōu)質(zhì)的售后服務(wù)、強(qiáng)大的項(xiàng)目管理能力，在核心領(lǐng)域根深葉茂，開花結(jié)果，為客戶創(chuàng)造了巨大的價(jià)值。
