金融网络网络架构一、金融网络应用现状及面临的挑战 金融业已经成为信息技术和网络技术发展的最大受益者之一。金融行业网络系统的建设，提高了金融业务处理的水平，改善了金融行业的经营环境，增强了金融信息的可靠性，促进了各项新业务的开展。现今各金融机构为了提高自己的竞争优势，争取更大的经济效益，纷纷在改进服务手段、增 加服务功能、完善业务品种、提高服务效率等方面做了大量的工作。而要达到这一目标必须通过金融电子化，利用高科技手段来提升自己的工作效率。看一下目前银行的主要应用诸如：储蓄、信用卡、IC卡、国际业务、电子汇兑、电子邮件、电子公文、网上银行、网上交易系统、新的综合对公业务、国际业务信贷系统，这些业务的正常运作无一不在依赖网络，网络的畅通与可靠运行已真正成为金融业正常运转的首要条件。我国银行的网络结构统我国银行网络总体是一个银行内部业务系统，一般采取总行到省行及地市分行的三级网络结构:总行网络中心为一级的节点；省行网络中心为二级的节点；各地市银行网络中心、各支行网络中心为三级节点。 我们在这里以省行和地市行网为例介绍银行的网络结构和系统应用。 省行网络中心 见上图，从网络结构上看，整体分为业务网络与办公自动化OA网络系统。 业务网：营业服务器，业务服务器，中间业务服务器汇集到中心交换机。中心交换机多采用双机备份。营业服务器和业务服务器通过中心交换机与各地市行网络中心以及支行网络中心互联。中间业务服务器从中心交换机与移动、联通、证券等相连。另一方面，营业服务器和业务服务器从中心交换机通过银行前置机为各营业网点通过网络办理正常银行值储蓄存、取款等存折或储蓄卡业务。还有就是通过 INTERNET 公网为公网用户提供网上银行业务。 内部办公系统网络：一般系统与一台中心交换机相连，由若干个 VLAN 组成，是省行网络中心用户正常办公及处理内部业务的系统，包括有领导用户、财务部、一般用户等各级别的安全需求。 省行网络中心内部局网通过交换机、路由器与下级银行局域网互连。 地市行网络中心 地市行网络中心和省行网络中心相似，也存在业务网络和办公网络系统。网络一方面通过路由器与上级银行互连，另一方面业务网通过路由器，经广域网与外单位(如其它银行、金融、证券公司等)互连。 办公用户通过局域网互连，整个局域网经路由器与省行及各区县行节点组成企业内部广域网，对于地市行系统，同省行类似同样也存在着中间业务。 金融行业网络应用网络应用办公系统应用 办公系统主要是为银行内部用户办公使用。银行系统内部办公用户通过局域网络互连成为办公自动化系统，通过网络不同部门或不同用户之间可以共享文件、打印机等公共资源，不同用户之间可以方便地进行信息交换。各部门或不同级别用户都有一些重要或涉密信息存放在内部网中。 业务系统应用 银行通过网络全省或全国联网，实现银行储蓄及对公业务跨地域通存通兑等业务。 与外单位互连应用 前面提到的中间业务服务器与外单位相连接，通过该中间业务服务器，与其它银行、金融、证券公司之间进行如代收电话费、证券交易划帐等业务，中间业务服务器为银行与外单位提供一种互连接口。 银行金融网络面临着威胁 而随着金融服务的多样化和金融业务应用不断增多，网络安全风险也日益暴露出来。 银行网络安全的风险来自多个方面。 其一：来自互联网的风险；网上银行、电子商务、网上交易系统都是通过Internet公网并且都与银行发生关系，银行系统网络如果与Internet公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，象银行这样的金融系统自然会被恶意的入侵者列入其攻击目标的前列。 其二：来自外单位的风险；银行系统为了竞争，已不仅仅是局限在本系统纵向网上做文章，而是逐步向横向发展，主要表现在银行不断增加中间业务，增加服务功能。比如代收电话费、水电费、代收保险费、证券转帐等业务。因此，就与金融局、水电局、保险公司、证券交易所等单位网络互联。由于银行与这些单位之间不可能是完全任信关系，因此，它们之间的互联，也使得银行网络系统存在着来自外单位的安全威胁和安全隐患。 其三：来自不信任域风险；大部分银行系统都发展到全国联网。一个系统分布在全国各地，范围之广，而且各级银行也都是独立核算单位，因此，对每一个区域银行来说，其它区域银行都可以说是不信任的。同样存在安全威胁。 其四：内部网的风险；据统计，大多数网络安全事件、攻击来自于内部，如果内部安全管理措施不到位，极易发生内部攻击事件。 那么，金融业作为对网络系统的安全性、实时性、不间断性、高可靠性、可用性的要求更为苛刻的行业，采用什么解决方案能更好的保护银行金融网络呢。 Hillstone金融行业网络安全解决方案二、Hillstone金融行业网络安全解决方案 Hillstone金融安全解决方案针对我国金融网络的网络连接模式，内部OA网络系统的部署、网上银行以及各种新网络业务模式等各方面提供了最优的安全解决方案。 如下图所示，在银行的各关键网络节点处，通过部署Hillstone SA防火墙，从处理能力、扩展能力、安全性、冗余性和应用的便利性等方面为用户考虑，提供了各种安全功能、高吞吐以及完备的冗余备份机制，能够满足金融用户对安全性、稳定性和高性能的需求。 Hillstone金融行业安全解决方案可以提供： 1、通过Hillstone产品提供高性能的安全管控功能 由于防火墙部署在金融网络的关键位置，扼守着所有数据流量的安全控制，因此对防火墙的转发性能以及吞吐要求都比较高。在金融网络中，主网络出口处以及服务器区的带宽都在千兆网络。因此，在如此大带宽的网络链路上需要部署同样高吞吐能力的防火墙安全网关，才能保证防火墙不会成为链路中的瓶颈节点。高吞吐能力的防火墙能显著降低整个网络延迟，有效提高企业生产效率。 Hillstone能够为金融用户提供高性能高吞吐的安全网关。Hillstone SA系列产品能够提供从2Gbps到8Gbps的网络吞吐，能够满足金融用户绝大部分的业务需求。同时Hillstone SA系列产品采用创新的64位多核处理器，每秒能够提供最高达20万的TCP会话请求能力。对那些应用复杂、具有大量每秒新建会话数的金融网络来说，Hillstone SA系列产品能够为金融网络带来非常好的性价比。 Hillstone金融行业网络安全解决方案2、通过Hillstone 产品提供高效的防攻击功能 随着网络安全技术的普及和发展，越来越多地人能够很方便的利用Internet上的免费工具进行准网络攻击和真正的网络攻击。和以往不同，越来越多的黑客发动攻击的目的变成了获得更大的经济利益。由于受经济利益的诱惑，针对网络，特别是金融网络的攻击强度和持久性是前所未有的，由此对金融网络带来了巨大的压力以及连带的防护责任。 Hillstone产品能够提供全面地防攻击能力，能够针对常见攻击进行有效阻断，同时还能够针对零日攻击进行及时的判断和阻断，有效保护企业用户的网络安全不受侵害。同时，Hillstone 产品强大的应用层检测能力以及应用层处理性能为分析和阻挡各类攻击提供了强大的支持。 3、通过Hillstone产品提供高性能的应用层管控能力 Hillstone防火墙对经过的数据包进行状态检测，除了基本的基于数据包源地址、目标地址、协议类型、源端口、目标端口以及网络接口等数据包的控制外，还能够基于应用特征（P2P软件、IM即时通讯工具等）和基于IP地址的Session数进行限制，有效的管理客户端，优化网络效能；对于FTP和H.323等较为特殊的应用，需要在连接中动态打开其他连接进行数据传输，普通防火墙无法获得动态连接的情况，则必须提前打开所有可能的地址和端口，造成安全风险，Hillstone防火墙采用Pinhole技术，通过智能识别技术能够分析打开的连接，动态调整防火墙的安全规则，在灵活支持应用的同时，不牺牲安全。 安全和速度始终是两个对立面的事物。追求更高的网络安全是需要以牺牲网络通讯速度为代价的，而追求更高的网络通讯速度则需要降低网络安全标准。在目前依赖于网络应用的时代，能够做到应用层的安全检测以及安全防护功能是所有安全厂商的目标。由于应用层的检测需要进行深度的数据包解析，而使用传统网络平台所带来的网络延迟将是不可接受的。好的安全功能同样需要好的硬件平台去实现。Hillstone SA系列安全网关采用创新的64位多核处理器以及高达24G的交换总线，能够避免纯ASIC和NP安全系统会话可管理能力和流量控制能力弱的弊病，并能够提供完美的应用层处理能力。 4、通过Hillstone产品提供有效的认证管理机制 网络安全性的关键任务是对接入网络及特定网络资源的访问者进行控制。由于互联网接入无处不在，以及"内部"用户定义的不断扩展，进行接入控制也变得日益困难。此外，是否能够验证用户的真实身份并根据他们的用户权限来分配接入权限，也对金融网络来说是一个尤为关键的部分。 Hillstone可以提供多种先进的防火墙解决方案。这些解决方案不仅可以执行状态式检测来确定能够进入或退出网络的流量类型，而且可以支持网络分段来帮助企业提高敏感数据的安全性，并有效地限制对次要网络领域的潜在成功入侵。利用基于策略而且简便易用的管理解决方案，企业可以决定允许哪些流量进入网络以及允许哪些用户访问哪些资源。这包括任何类型的用户：包括试图进入网络的外部用户，和可能拥有或不拥有访问特定服务器权限的内部用户。用户认证可以根据内部用户数据库进行，从而不需要外部用户信息库；也可以根据多种不同的目录和数据库进行，包括： Hillstone防火墙支持冗余服务器定义的本地认证、RADIUS和CA等认证方式。 接入控制和认证还可以提供基于Web的认证机制，以对用户进行认证并确定其是否能够通过互联网浏览器接入任何网络服务器。通过与IPSec VPN解决方案相集成，解决方案还可以帮助银行网络有效地控制接入和验证用户，同时保证银行数据的保密性并保护网络免受攻击。 Hillstone金融行业网络安全解决方案5、通过Hillstone产品提供冗余备份的网络架构 依靠积累多年被证实的专业硬件安全产品研发和市场经验，Hillstone新一代网络安全产品无论在软件还是硬件的稳定性和可靠性上都有了进一步提高。全面优化的软硬件系统的稳定性和高可靠性为网络流量和网络攻击日益膨胀的企业IT环境提供了强大的保障。Hillstone产品能在最大程度上确保了企业关键业务的不间断运行。 Hillstone的SA系列产品能够支持多种HA解决方案，包括A-A和A-P。Hillstone的HA解决方案能够为网络提供Session级别的同步，其中包括VPN的SA同步，能够保证网络的持久畅通，提高客户满意度，为金融网络提供更可靠更经济的网络安全解决方案。 6、通过Hillstone产品提供安全可靠的VPN应用 IPSec VPN是比较成熟、可信的VPN标准，通过这种加密、认证的VPN部署，可以保证传送的数据不易被窃听，不易被篡改。就这些目的来讲，所有符合IPSec协议的VPN设备的功能是一致的；但就实现VPN的方式方法来讲，我们推荐的Hillstone的 VPN 解决方案使您能够安全地连接分布式访问。该方案提供了所有可管理性和安全动态 VPN 的灵活性优点，与稳固的防火墙解决方案紧密结合，以获得一个全面的容错安全解决方案，从而构建了极其易于管理的、具有故障恢复功能的安全解决方案。 Hillstone的VPN解决方案可以支持静态VPN，动态VPN，动态、智能VPN和动态安全VPN等多种部署模式。考虑到银行网络业务的复杂性，我们可以根据自己的需要灵活的部署VPN应用。如对外联合作单位，我们可以考虑使用静态点对点的VPN，而对某些PSTN业务或远程管理的接入，则选择动态安全的VPN部署。通过灵活的选择各VPN的部署方式，我们可以最大限度的保障银行金融网络的安全。 Hillstone金融行业网络安全解决方案7、通过Hillstone产品提供安全可靠的集中化管理应用 金融和银行网络都是巨大的，跨平台，跨地区的网络。部署了如此之多，分散在全国各地的这么多安全网关，那么统一的管理和设备维护将成为一个突出的问题。如果有集中式的设备部署、监控、维护、审计甚至升级，管理工作量将简化很多。 Hillstone StoneManager采用了一种全新的方法来实现Hillstone设备安全管理，通过提供集中的端到端生命周期管理来实现精细的设备配置、网络设置、VPN配置和安全策略控制。Hillstone StoneManager可以清楚地分配角色和职责，从而使设备技术人员、网络管理员和安全管理员通过相互协作来提高网络管理效率，减少开销并降低运营成本。 利用Hillstone StoneManager，银行可以为特定用户分配适当的管理接入权限（从只读到全面的编辑权限）来完成多种工作。他们可以允许或限制银行和金融企业内部不同个人或部门接入信息，从而使员工可以作出与他们的角色相适应的决策。同样，通过根据员工的技能来分配系统访问权限，企业可以支持基于角色的管理。在这种情况下，接入权限和任务直接与他们的理想团队结构相对应。 Hillstone StoneManager的一个关键设计理念是降低安全设备管理的复杂性，同时保证足够的灵活性来满足每个部门的不同需求。为了实现这一目标，Hillstone StoneManager提供了一个综合管理界面以便从一个集中位置上控制所有设备参数。管理员只需要点击几下鼠标就可以配置设备、创建安全策略或管理软件升级。同时，只要是能够通过Hillstone StoneManager进行配置的设备的各个方面都可以通过CLI接入。 Hillstone StoneManager还带有一种高性能日志存储机制，使IT部门可以收集并监控关键方面的详细信息，如网络流量、设备状态和安全事件等。利用内置的报告功能，管理员还可以迅速生成报告来进行调查研究或查看是否符合要求。 Hillstone StoneManager采用了一种3层的体系结构，该结构通过一条基于TCP的安全通信信道－安全服务器协议（SSP）相连接。SSP可以通过AES加密和SHA1认证来提供受到有效保护的端到端安全通信功能。利用经过认证的加密TCP通信链路，就不需要在不同分层之间建立VPN隧道，从而大大提高了性能和灵活性。 通过Hillstone StoneManager，Hillstone网络公司可以为银行提供全面的管理工具。这种工具在一个统一界面中集成了配置、日志记录、监控和报告功能，同时还使IT部门的所有工作人员可以协同工作。Hillstone网络公司的集中管理方法使企业可以在安全性和接入功能之间达成平衡，这对于防火墙这类安全设备的大规模部署非常重要。 为用户带来的益处三、Hillstone安全解决方案为用户带来的益处 通过Hillstone的解决方案实现金融网络的各种安全需求时，具有以下优点： 提供专业的网络安全服务 Hillstone是一家专业的网络安全设备厂商，具备多年安全设备研发和售后经验，能够为用户提供最及时最有效的安全解决方案。 高性能的防火墙和防攻击能力 Hillstone SA系列提供超强的防火墙吞吐能力，能够满足金融网络中所有网络环境的吞吐要求。同时，SA系列内置了防攻击模块，能够有效地避免网络攻击对企业网络的影响。 先进的应用层管控机制 Hillstone SA系列产品能够为用户提供先进的应用层管控技术，包括URL过滤、带宽管理、P2P/IM管理等等，能够使用户在保证网络连通的前提下更细粒度的管控自己的网络。 提供高性能的应用层解决方案 Hillstone产品采用专用的64位多核处理器，能够为应用层数据处理提供前所未有的性能支持，保证在高吞吐高流量的情况下从容有效地进行应用层的管控。 提供灵活高性能的VPN解决方案 Hillstone产品采用专用的64位多核处理器，能够为VPN应用提供前所未有的性能支持，最高可处理高达8G的VPN加密流量和多种灵活的VPN部署模式，能够充份保证金融行业用户的VPN需求 提高金融网络部署的灵活性和扩展性 随着金融业的发展，金融网络也发生着日新月异的变化。Hillstone企业网络解决方案能够凭借Hillstone产品的多种智能化的功能实现，全面协助企业网络应用的演变。在金融网络的特定网络安全环境下，通过Hillstone产品的部署，灵活的进行功能扩展，最大化的保证了金融网络的灵活性和扩展性。 降低系统维护难度和成本
凭借多种人性化管理维护方式和Hillstone集中管理功能的实现，Hillstone金融网络解决方案能够极大的降低系统的维护难度和成本。结合Hillstone专业本地化厂家技术支持和研发队伍，能够为金融网络应用提供最优质的专业技术保障。
Hillstone SA系列产品能够完全满足和实现金融网络安全平台对于高性能防火墙、高性能防攻击能力和高效的冗余备份能力的要求，能够在保持良好通讯速度的情况下提供高效的多方面的安全防护。通过应用在产品设计、性能参数和功能上均处于领先地位的SA系列产品，能够在保证满足金融网络安全平台功能和性能要求的同时，提供最优的性能价格比和扩展能力。
