邢 悅
中國科技國際信托投資有限責(zé)任公司（簡稱中科信）是1989年成立的全國性非銀行金融機(jī)構(gòu)，中國科技證券公司（簡稱中科信證券）是以中科信為控股股東，注冊資本22億元的證券公司，公司于近期經(jīng)中國證監(jiān)會批準(zhǔn)籌建成立。
由于金融證券業(yè)的信息化程度相對較高，中科信證券成立之后的頭等大事就是將分布在全國的23家營業(yè)部聯(lián)網(wǎng)，為公司集中交易系統(tǒng)建設(shè)網(wǎng)絡(luò)通信平臺，同時(shí)為公司的財(cái)務(wù)及辦公網(wǎng)絡(luò)建設(shè)廣域網(wǎng)平臺。建設(shè)之初，中科信證券提出，建成后的網(wǎng)絡(luò)要能夠?qū)崿F(xiàn)5大功能：交易功能、財(cái)務(wù)功能、Internet接入功能、辦公網(wǎng)絡(luò)功能以及未來的可擴(kuò)展功能。
一、證券網(wǎng)建設(shè)要求
網(wǎng)絡(luò)系統(tǒng)是證券公司的“中樞神經(jīng)系統(tǒng)”，關(guān)系到證券公司現(xiàn)有業(yè)務(wù)的運(yùn)行以及未來業(yè)務(wù)的拓展，中科信證券為了給自己打造一個(gè)強(qiáng)大的“神經(jīng)系統(tǒng)”， 在網(wǎng)絡(luò)中就明確提出建網(wǎng)的目的和詳細(xì)要求。
交易功能是組建中科信網(wǎng)絡(luò)最主要的目的。中科信證券明確提出，聯(lián)網(wǎng)后的網(wǎng)絡(luò)須具備集中交易功能，中科信證券在全國的23家營業(yè)部的所有交易數(shù)據(jù)和客戶資料數(shù)據(jù)都將存儲在數(shù)據(jù)中心機(jī)房內(nèi)，進(jìn)行集中交易，而營業(yè)部自身不存儲數(shù)據(jù)。所有的交易請求都要通過數(shù)據(jù)中心向交易所發(fā)送，所有的查詢請求也將由數(shù)據(jù)中心主機(jī)進(jìn)行處理。中科信證券要求建成后的廣域網(wǎng)必須保證現(xiàn)有的23家營業(yè)部和未來可能增加的營業(yè)部有足夠的帶寬，都能實(shí)時(shí)、高速、順暢地與數(shù)據(jù)中心進(jìn)行通信，也就是要保證所有營業(yè)部的業(yè)務(wù)都能正常進(jìn)行。另外，中科信證券強(qiáng)調(diào)整個(gè)網(wǎng)絡(luò)的安全和穩(wěn)定是建設(shè)這個(gè)網(wǎng)絡(luò)系統(tǒng)重中之重。
首先，系統(tǒng)要具有高可靠性、高安全性，系統(tǒng)不能有單點(diǎn)故障，要能有效地防止外界的非法入侵，在發(fā)生故障的情況下，系統(tǒng)能夠迅速找出最佳方法來恢復(fù)業(yè)務(wù)。
其次，系統(tǒng)要有較高的實(shí)用性，網(wǎng)絡(luò)具有足夠的帶寬，保障各種業(yè)務(wù)的順暢進(jìn)行，尤其要保證證券交易相關(guān)業(yè)務(wù)的迅速處理。
第三，系統(tǒng)要有先進(jìn)性，要考慮到公司未來3～5年的發(fā)展需要，可適應(yīng)公司不斷發(fā)展而增長的業(yè)務(wù)和管理需求。核心設(shè)備要具有相當(dāng)?shù)母挥嗖宀叟c處理能力，以滿足業(yè)務(wù)發(fā)展和營業(yè)部增加的需要。邊緣設(shè)備具有足夠的處理能力，要能滿足可預(yù)見的多種需求。
第四，系統(tǒng)要有可擴(kuò)展性和可升級性，隨著業(yè)務(wù)的增長和應(yīng)用水平的提高，網(wǎng)絡(luò)中的數(shù)據(jù)和信息流將按指數(shù)級增長，需要網(wǎng)絡(luò)有很好的可擴(kuò)展性，并能隨著技術(shù)的發(fā)展不斷升級。網(wǎng)絡(luò)的配置和帶寬應(yīng)該是靈活和可擴(kuò)展的。
第五，系統(tǒng)要易于維護(hù)管理，由于新的廣域網(wǎng)網(wǎng)絡(luò)系統(tǒng)規(guī)模較大，設(shè)備復(fù)雜，需要網(wǎng)絡(luò)系統(tǒng)具有良好的可管理性，網(wǎng)管系統(tǒng)具有監(jiān)測、故障診斷、故障隔離、過濾設(shè)置等功能，以便于系統(tǒng)的管理和維護(hù)。
第六，廣域網(wǎng)可以對流量進(jìn)行分級控制，交易數(shù)據(jù)流、財(cái)務(wù)數(shù)據(jù)流及辦公數(shù)據(jù)流處理優(yōu)先級應(yīng)有區(qū)別，任何情況下交易數(shù)據(jù)流是最優(yōu)先保證的，其次是財(cái)務(wù)數(shù)據(jù)流。
中科信證券以上幾點(diǎn)要求都是建立在“安全性，可靠性”的基礎(chǔ)上的，此次網(wǎng)絡(luò)建設(shè)采用的思科網(wǎng)絡(luò)安全方案也是以“高安全性，高可靠性”作為系統(tǒng)建設(shè)的首要原則。思科的方案不但滿足了中科信證券的所有安全方面的要求，還與中科信證券一起分享了先進(jìn)的思科“SAFE藍(lán)圖”理念�；赟AFE藍(lán)圖，安全被認(rèn)為是整體策略，而不僅僅是單點(diǎn)產(chǎn)品的集合，安全應(yīng)該是集成在網(wǎng)絡(luò)系統(tǒng)中的，而不能在網(wǎng)絡(luò)建成后加在系統(tǒng)中。思科認(rèn)為只有建立在深度防御基礎(chǔ)上的整體安全系統(tǒng)，才能有效地保護(hù)系統(tǒng)中每一個(gè)點(diǎn)的安全；才能有效地防止外界的非法入侵；才能在發(fā)生故障的情況下，迅速找出最佳方法來恢復(fù)業(yè)務(wù)。
二、網(wǎng)絡(luò)安全部署
網(wǎng)絡(luò)安全并不僅僅是一項(xiàng)技術(shù)，更重要的是策略規(guī)劃。中科信證券網(wǎng)絡(luò)安全系統(tǒng)采用了思科安全系統(tǒng)，考慮到網(wǎng)絡(luò)安全問題的來源不僅是來自于技術(shù)和設(shè)備上，還包括管理因素，安全問題產(chǎn)生的來源歸納為3類：技術(shù)的漏洞、策略的漏洞和人員管理上的漏洞。
其中最難防范的就是由于內(nèi)部人員管理不善造成的漏洞。思科針對中科信證券的行業(yè)特點(diǎn)提出了整個(gè)網(wǎng)絡(luò)安全的首要因素，即加強(qiáng)內(nèi)部安全防范。思科的整體安全策略是，必須采取有力的技術(shù)手段加強(qiáng)對中科信證券的計(jì)算機(jī)系統(tǒng)的用戶資源的安全保護(hù)，防止無關(guān)人員訪問敏感數(shù)據(jù)。
安全防范需要通過一定的技術(shù)手段來實(shí)現(xiàn)，如果采用過于繁雜的網(wǎng)絡(luò)安全技術(shù)和使用太多的安全產(chǎn)品，不但會增加中科信證券網(wǎng)絡(luò)費(fèi)用的支出，而且還會帶來管理上的復(fù)雜化，進(jìn)而可能影響網(wǎng)絡(luò)的傳輸性能。所以思科以制定合理的安全策略為主，輔以適當(dāng)?shù)脑O(shè)備安全，以訪問控制的方式來實(shí)現(xiàn)現(xiàn)行網(wǎng)絡(luò)的安全防范。
中科信證券網(wǎng)的具體安全策略包括：（1）確保設(shè)備的物理安全，保證只有有關(guān)的人員才可以接近網(wǎng)絡(luò)設(shè)備；（2）用設(shè)置密碼的方式控制內(nèi)部人員登陸設(shè)備，不同的設(shè)備設(shè)立不同級別的安全密碼，限制可以改動設(shè)備配置信息的人數(shù)；（3）通過對內(nèi)部用戶設(shè)置虛擬網(wǎng)（VLAN），對用戶群體進(jìn)行隔離。
三、網(wǎng)絡(luò)安全的實(shí)施情況
中科信證券網(wǎng)在部署了安全策略的基礎(chǔ)上，又設(shè)置了4道防線。這4道防線既分工明確，又相互配合，構(gòu)成了一套嚴(yán)密的防護(hù)體系。這4道防線具體包括：用防火墻保護(hù)本網(wǎng)和其它網(wǎng)絡(luò)互聯(lián)的安全，用ACS對撥號用戶和網(wǎng)絡(luò)設(shè)備訪問進(jìn)行集中安全認(rèn)證，用IDS實(shí)時(shí)監(jiān)測網(wǎng)絡(luò)入侵和路由器級的安全控制。
首先，用防火墻保護(hù)本網(wǎng)和其它網(wǎng)絡(luò)互聯(lián)的安全。由于中科信證券在業(yè)務(wù)上需要和其它業(yè)務(wù)單位進(jìn)行頻繁的數(shù)據(jù)交換，如各個(gè)商業(yè)銀行等。思科在中科信證券的網(wǎng)絡(luò)和其它業(yè)務(wù)單位的網(wǎng)絡(luò)之間，部署了思科的防火墻產(chǎn)品，保證進(jìn)入網(wǎng)絡(luò)的訪問都是經(jīng)過授權(quán)的訪問。
其次，用ACS對撥號用戶和網(wǎng)絡(luò)設(shè)備訪問進(jìn)行集中安全認(rèn)證。該網(wǎng)絡(luò)采用Cisco Secure ACS為撥號用戶和網(wǎng)絡(luò)設(shè)備訪問提供集中的、安全的認(rèn)證。 ACS軟件可以為作為AAA client的網(wǎng)絡(luò)設(shè)備以及撥號用戶提供AAA級認(rèn)證服務(wù)。
第三， 用ACS對撥號用戶和網(wǎng)絡(luò)設(shè)備訪問進(jìn)行集中安全認(rèn)證。IDS是Cisco安全系列產(chǎn)品(包括防火墻、加密組件和認(rèn)證組件)中的動態(tài)安全組件。IDS可以在Intranet和Internet的環(huán)境中運(yùn)行，從而保護(hù)用戶整個(gè)網(wǎng)絡(luò)的安全。
第四，路由器級的安全控制由4部分組成，包括使用訪問控制列表（ACL）技術(shù)、IP地址轉(zhuǎn)換技術(shù)、路由認(rèn)證技術(shù)和路由器的自身保護(hù)等。
以上4道防線的部署都是依照“SAFE藍(lán)圖”進(jìn)行的。“四道防線”和安全策略相結(jié)合構(gòu)筑了中科信證券整體的安全體系。中科信證券的有關(guān)人員認(rèn)為該網(wǎng)絡(luò)安全體系既穩(wěn)定又靈活，“穩(wěn)定”是指這個(gè)安全體系考慮周密、部署周到，完全解決了中科信在安全方面的后顧之憂；“靈活”是指這個(gè)體系可以隨著公司業(yè)務(wù)的發(fā)展而調(diào)整，避免了重復(fù)建設(shè)方面的浪費(fèi)。
在嚴(yán)密的部署下，中科信證券的網(wǎng)絡(luò)建設(shè)順利完成。建成后的網(wǎng)絡(luò)完全滿足了中科信證券在交易功能、財(cái)務(wù)功能、Internet接入功能、辦公網(wǎng)絡(luò)功能和未來可能的擴(kuò)展功能等方面的要求。整個(gè)系統(tǒng)在性能上具有很好的先進(jìn)性和靈活性。在網(wǎng)絡(luò)安全方面，“SAFE藍(lán)圖”的部署既考慮全局，又突出重點(diǎn)的安全解決方案，使中科信證券的網(wǎng)絡(luò)在“外憂內(nèi)患”面前都能保證安全可靠，從而為中科信證券揚(yáng)帆商海打下了一個(gè)堅(jiān)實(shí)的基礎(chǔ)。
