实践分享 | 中小型银行实战攻防演习经验分享 – 作者:奇安信安全服务-安全小百科

随着银行业务快速发展的需要，银行不断拥抱互联网+，在通过互联网为用户提供方便的金融业务的同时，原本相对封闭的金融系统不得不更多地暴露在互联网上，从而扩大了银行业务在互联网侧的受攻击面。大型银行按照国家及监管要求，持续网络安全方面建设投入，已逐步提升了互联网安全防御能力，降低了网络攻击产生的安全风险。但以城商行、农信银行等机构为代表的中小型银行，由于体量等方面的因素，网络安全建设方面投入跟不上业务发展的需求变化，导致无法应对当前复杂的网络安全形势。

反观实战攻防演习的演变，越来越接近于实战化，演习过程中采用的攻击手段与在互联网侧遭受到的真实攻击手段基本一致，在近两年的实战攻防演习中也可以看到，除了传统的应用系统渗透外，0day攻击、1day攻击、Nday攻击、网络钓鱼、定向水坑、物理攻击等攻击方式层出不穷，这些方式相互结合，对网络安全体系的抗攻击能力提出了非常高的要求。

用一个案例对实战化攻击方式进行说明：

2019年某次实战攻防演习中，攻击队将目标锁定为某城商行，首先利用该城商行应用系统聊天窗口存在的XSS漏洞，向该银行客服人员发送包含恶意代码的文件，并通过客服电话成功诱导客服点击该文件，成功地控制了该行客户人员的终端。并配合其他辅助技术手段，以客服人员办公用机为互联网防线的突破口，成功渗入内网，在该单位“重边界、轻内网”的安全防护机制下，内网的防御机制脆弱，攻击队利用常规漏洞及弱口令等常用的攻击方式，在内网顺利拿下多个内网服务器及数据库权限，并最终获得了个人网银系统的主机权限。

从上面的案例可以看出，中小型银行在应对实战攻防演习上还面临着巨大的挑战。如何做好实战攻防演习的准备工作，我们总结了如下经验。

1、易受攻击的系统与设施需要重点关注

通过多年来的实战攻防演习分析发现，银行客户在实战攻防演习中容易被攻击的系统主要集中在门户网站、***系统、网银、电子商城等应用系统，除了这些核心业务系统外，一些非业务类的应用、中间件、平台等都可能作为主要攻击路径成为攻击者突破的重点，常见的攻击路径包括客服系统、教育培训系统、邮件系统等，也包括分支机构、开发测试网、金融云平台、第三方接入区、VPN、集权类系统、可以接入内部网络的个人终端等基础支撑环境。

2、以协同优先为原则，组织实战攻防演习工作

实战攻防演习是一个多军种作战、高频对抗的过程，在实战过程中，对“组织”的有效性有很高的要求，中小型银行可以考虑由行内高层领导挂帅，协调整体的演习工作；网络安全部门作为主责方，牵头实战攻防演习的整体工作落实；数据中心作为主防单位，负责安全设备部署、安全监控等工作的落实；开发中心作为重要的处置单位，配合安全部门和数据中心整改已发现的应用系统问题。

3、强化积极防御能力，降低被攻陷的可能

在实战攻防演习防守期间，除了传统的防护设备，如防火墙、WAF、IDS/IPS之外，要采用网络安全滑动标尺模型中的叠加演进的理念，既要审视与补充原有纵深防护体系中对内网防护能力的不足，又要构建全面的安全监测能力，例如通过部署流量层面的威胁检测手段以及主机侧行为监测手段，并结合专业人员的威胁分析能力，及时发现进入到内网的攻击行为，并采取有效的处置措施，降低攻击带来的影响。