商业银行渗透测试解决方案.pdf

商业银行渗透测试

解决方案

1

2020年4月19日

文档仅供参考，不当之处，请联系改正。

商业银行渗透测试解决方案

一、渗透测试背景

银行是网络信息技术应用最密集、应用水平最高的行业之

一，基于计算机网络的各类银行信息系统已经成为银行产品的开

发推广、银行业务的展开、银行日常管理和决策的所依赖的关键

组成部分。这种依赖性使得银行面临着由于网络信息系统本身所

带来的银行信息技术风险。

银行信息技术风险的主要挑战来自于基础网络信息技术的复

杂性和变化，其中面对互联网主要有以下几个方面风险：

基于网络的电子银行，需要有完善的安全体系架构；

面向Internet的银行业务面临着各种各样的互联网威胁；

远程移动用户接入和内部用户接入Internet，都可能引入不同

类型的威胁源；

钓鱼网站对于银行网上业务和企业信誉的损害。

伴随银行业务的发展，原有的网上银行、门户网站等都进行

了不同程度的功能更新和系统投产，同时，行内系统安全要求越

来越高，可能受到的恶意攻击包括：信息篡改与重放、信息销

毁、信息欺诈与抵赖、非授权访问、网络间谍、“黑客”入侵、

2

2020年4月19日

文档仅供参考，不当之处，请联系改正。

病毒传播、特洛伊木马、蠕虫程序、逻辑炸弹等。这些攻击完全

能造成信息系统瘫痪、重要信息流失。

二、渗透测试的目标

本项目经过渗透测试的方式，模拟黑客的攻击思路与技术手

段，达到以下目标：

从攻击者角度，发现网银系统、信用卡网站、门户网站和中

间业务等应用系统及网关入口设备存在的安全隐患；

检测对外提供服务的业务系统（如网银系统、信用卡网站、

门户网站等）以及行内重要业务系统的威胁防御能力。

深度挖掘渗透测试范围内应用系统各个层面（应用层、网络

层、系统层）的安全漏洞；

检验当前安全控制措施的有效性，针对发现的安全风险及时

进行整改，增强系统自身防御能力，提升安全保障体系的整体健

壮性。

三、渗透测试原则与风险控制原则

遵循规范

渗透测试经过可控的安全测试技术对限定范围内的应用系统

进行渗透测试，同时结合以下业界著名的测试框架组合成最佳实

3

2020年4月19日

文档仅供参考，不当之处，请联系改正。

践进行操作：

ISECOM制定的开源安全测试方法OSSTMM-v2.2

开放Web应用安全项目OWASP-v3

风险控制

渗透测试过程最大的风险在于测试过程中对业务产生影响，

为此我们在实施渗透测试中采取以下措施来减小风险：

双方确认

进行每一阶段的渗透测试前，必须获得客户方的书面同意和

授权。对于任何渗透测试的对象的变更和测试条件的变更也都必

须获得双方的同意并达成一致意见，方可执行。

工具选择

为防止造成真正的攻击，在渗透性测试项目中，启明星辰会

严格选择测试工具，杜绝因工具选择不当造成的将病毒和木马植

入的情况发生。

时间选择

为减轻渗透性测试对用户网络和系统的影响，安排在不影响

正常业务运作的时间段进行，具体时间主要限制双方协调和商定

4