如何改善银行安全性?

日期:2017-1-4作者:Michael Cobb翻译:邹铮来源:TechTarget中国 英文

【TechTarget中国原创】

近日在一系列引人注目的攻击事件后,金融电信协会(SWIFT)遭到了批评。该协会承认这些攻击威胁具有“持久性、适应性和复杂性,且会停留很久”,那么,究竟是什么在攻击SWIFT网络,他们应采取哪些应对措施呢?

SWIFT成立于1973年,旨在为发送和接收有关金融交易的信息建立共同标准,并取代当时正在使用的Telex技术。在1977年,通过SWIFT通信网络发送了第一条消息,目前该通信服务正由200多个国家的11000家金融机构使用,每周传输数百万条消息。

虽然SWIFT网络并不会实际处理货币交易,它只会发送付款订单,但这些消息的性质让攻击者、网络罪犯以及民族国家非常感兴趣。尽管SWIFT会与各政府机构共享财务记录用于反恐调查,但斯诺登透露美国国家安全局使用各种方法对SWIFT进行监控,包括读取SWIFT打印机流量。

同时,网络罪犯也在滥用SWIFT网络来窃取数百万美元。攻击者已经发现他们可利用SWIFT成员银行流程和程序中的漏洞来访问他们的网络,特别是在那些监管和安全控制不太稳固的国家中的银行。针对SWIFT未知数量的攻击给银行带来重大打击;例如,在2016年的两次攻击中使用的恶意软件可发出未经授权SWIFT消息,并通过修改报告防止确认消息页面在打印时(纸质记录或PDF报告)暴露这种盗窃活动。这导致孟加拉中央银行损失了8100万美元,越南的一家银行被认为是第二个受害者。在另一个攻击中,攻击者通过利用Banco del Austro(BDA)银行员工合法SWIFT登录凭证,将经过身份验证的SWIFT消息(类似于最新取消的专属请求)从厄瓜多尔的BDA发送到美国富国银行,他们成功窃取了1200万美元。

与互联网一样,SWIFT出现的时候,安全性还不是主要考虑因素。这意味着其核心协议并没有内置所有必要的安全控制,例如不可否认性。

鉴于SWIFT网络的关键任务性质以及规模,每日消息数量以及其他技术方面,我们很难转移到全新的协议;SWIFT必须努力让其成员升级到最新版本的SWIFT软件。但升级到最新版协议会是缓慢的过程,同时,向后兼容性要求通常会导致它变成不太理想的解决方案。然而,整个网络的安全性必须快速改善以保持人们对该系统的信任。

SWIFT已经开始改进其架构,其中一个改变是采用双区模式的分布式架构来存储消息。SWIFT还与网络公司BAE Systems以及Fox-IT合作创建新的客户安全智能团队。

SWIFT必须向其成员提供和接收威胁情报,以阻止多个客户端沦为相同攻击技术的受害者。这需要银行共享可能破坏公众信任的消息,而这是他们过去一直不愿意做的事情,但这是对打击共同敌人至关重要的合作。

SWIFT需要改善对可疑消息的监控、检测与响应--这是行为和背景监控可派上用场的地方。虚假BDA SWIFT消息本应该很容易被发现,因为它们出现在正常工作时间之外,并且通常数量异常大,而只稍发现一个拼写错误就可设法阻止网络罪犯从孟加拉中央银行窃取10亿美元。

Visa的欺诈检测系统是一个很好的例子来说明我们需要不断确定现有安全策略是否可有效高效地检测有针对性威胁活动。Visa会查看支付卡交易中多达500个独特的风险属性来检查欺诈,而在2013年他们升级其欺诈检测系统前这个数字为40。

为了帮助客户独立验证其消息传输活动以及检测任何异常模式,SWIFT引入了每日验证报告,这是通过向客户的支付和合规团队的独立渠道提供,但客户需要检查这些报告是否有效。

虽然这些措施应有助于提高安全性,但所有网络的主要问题在其客户端端点。攻击者并不会专注SWIFT核心消息系统和软件中潜在漏洞,他们会利用银行安全措施中的漏洞来攻击银行对SWIFT网络的连接,并获取对SWIFT消息系统的访问权限。由于每个银行需要负责维护其与SWIFT的连接安全性,在授予访问权限前,应该强制要求确保终端和用户的安全性。

为了让攻击者更难以获得有效登录凭证,银行还应该对员工进行安全意识培训,其中应该涉及网络钓鱼攻击技术,以及更好的职责分离。攻击表明攻击者非常了解目标银行内特定操作控制,因此也应该进行员工审查与持续监控。

SWIFT想要防止其系统被利用来欺骗其客户,SWIFT与银行都应该提高其现有的安全性,毕竟整个系统的安全性在于其最薄弱的用户。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

评论
查看更多评论

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

作者>更多

Michael Cobb
Michael Cobb

Michael Cobb, CISSP - ISSAP在IT行业的安全方面有10年以上的经验,财经方面有16年的经验,他是Cobweb Applications Ltd的创办人兼常务董事,IT培训和数据安全与分析顾问。与人共同撰写IIS Security 这本书,并为许多IT出版物写了大量的技术性文章。Michael也是微软认证数据库管理员和微软认证专家。

金融安全管理策略>更多

  • 如何改善银行安全性?

    金融电信协会(SWIFT)承认之前的一些攻击威胁具有“持久性、适应性和复杂性,且会停留很久”,那么,究竟是什么在攻击SWIFT网络,他们应采取哪些应对措施呢?

  • 金融信息化,应用安全时不我待

    不同于互联网企业,金融行业关系到整个国家的经济命脉,一旦金融系统的核心业务出了问题,与一个互联网金融客户的核心系统出问题的严重程度完全不在一个层面。从应用出发看安全,将是未来很长一段时间内的大势所趋……

  • 市场变局中 国产安全厂商的进击之路

    未来EPP类厂商,将不仅仅局限于解决终端的各类管理问题,极有可能会将企业的网络边界管理等功能纳入,为企业用户提供更好的综合性解决方案。

  • 11家中国银行进入全球银行品牌500强 亚信安全为其做安全后盾

    英国著名品牌评估机构Brand Finance发布“全球银行品牌500强排行榜”排行榜,中国上榜银行为11家,这11家中有9家采用了亚信安全产品与解决方案。那么,究竟是什么原因让亚信安全备受这些世界级金融企业的青睐呢?

相关推荐

  • 关于勒索软件防御,你需要知道的几个事实

    对于攻击者来讲,勒索软件是非常盈利的一块市场。而对于受害者,即使是不支付赎金,代价也十分高昂,因为要面临很多间接成本,例如停机和系统恢复、事件分析和响应以及审计等……

  • 德国电信僵尸网络攻击嫌疑人落网

    日前英国国家犯罪局逮捕了一名涉嫌参与2016年11月针对德国电信进行的Mirai僵尸网络攻击的嫌疑人。

  • 企业正在从与勒索软件的战争中走向失败?

    在扩大感染范围的同时,勒索软件攻击者对赎金的攫取欲望更加强烈,其使用的加密方法更加复杂,手段更加激进,甚至为了逼迫受害者就范,制定严格的付款截止日期,不然就销毁受害者的数据……

  • Check Point:2017年网络安全预测

    2016年又是各行业、各种大小型企业再次遭受数据泄露的一年,即使相关机构适时发出了预警,而事实一再证明,在复杂的网络攻击面前,没有人可以免受攻击……

技术手册>更多

  • VPN应用指南

    虚拟专用网络 VPN(Virtual Private Network )能通过公用网络Internet建立一个临时的、安全的连接,是一条穿过混乱的公用网络的安全、稳定的隧道。VPN是对企业内部网的扩展,它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接,并保证数据的安全传输。许多公司使用VPN向公司外部的员工提供企业网络接入。本手册将围绕VPN进行全方位的讲解。

  • PCI DSS法规指南

    PCI DSS的所有要求的说明都相当明确,不像萨班斯法案(SOX)的规定。SOX没有提供如何保护信息资产的任何详细指导,而且可以由企业和法规审计单位自由做出不同的解释。然而,企业仍然觉得遵守PCI DSS很难。

  • Nessus指南手册

    假如你正在寻找一个漏洞扫描器,你可能已经遇到了大量的非常昂贵的商业解决方案,这些方案都有一长串的性能和优点。不幸的是,如果你和我们之中大部分人的情况一样的话,你一般根本没有运行这些奇特的系统的预算。你可能已经退而求其次,转向考虑使用像SATAN或Saint的免费工具。然而,你可能觉得使用这些工具是一种折衷的办法,因为它们的性能设置不能与商业解决方案相比。这时候你就应该学会使用Nessus! 2005年12月Nessus背后的公司Tenable Network Security Inc.发布了Nessus 3,引进了对该产品的全面检查。在写这篇文章时候的最近版本,Nessus 3.2是在2008年3月发布的。Nessus现在可以在多种平台上使用,包括Windows、各种版本的Linux、FreeBSD、Solaris和Mac OS X。以下是这次Nessus3中的重大变化: 下面将介绍如何使用Nessus工具以及Nessus工具的更新。

  • 构建安全无线架构

    在本专题中,通过无线网络的转移、如何分割WlAN信息流、VPN的作用、接入点的布置等内容,你可以学到如何构建安全的无线架构,理解Wi-Fi产品的功能,以及如何把传统的有线网络设备和配置应用到无线局域网中。

TechTarget

最新资源
  • 存储
  • CIO
  • 数据库
  • 网络
  • 数据中心
  • 云计算