案例 | 强化攻防实战能力，筑牢金融网络安全屏障

文 | 中国民生银行信息科技部 李吉慧

民生银行履行社会责任担当，始终立足时代前沿和战略全局把握安全工作，秉承“安全攻防能力是网络安全核心”的理念，紧跟国家“十四五”规划步伐，与时俱进地谋划金融科技发展蓝图，推进数字化转型战略，将安全建设纳入金融科技发展规划，加速推进全集团一体化网络安全攻防保障能力建设。

在体制机制方面，采取一系列措施优化安全管理架构。党委重视，成立由一把手任组长的网络安全工作领导小组，明确责任；资源聚集，持续增加网络安全投入，大力支持网络安全技术创新和解决方案研究与推广；领导主抓，以解决问题为导向，采用穿透式管理模式进行全行工作部署；考核问责，制定党委网络安全工作考核问责机制，落实安全工作考核评价。

在安全规划方面，以信息科技三年工作规划为契机，从民生银行业务战略、IT战略、政策指引等，参考等保2.0和关基设施安全保护等标准体系框架，梳理出“数字化安全赋能、数字化安全运营、数字基建安全防护”的三层安全架构建设愿景，明确了构建以实战能力为目标的集团一体化安全运营体系建设内容。

在机构岗位方面，设置专门机构明确职责分工。在总行设置网络安全板块，履行国家关键信息基础设施安全防护责任，其中，安全管理处室负责全行整体网络安全的归口管理和体系规划，建立健全网络安全和数据安全管理及技术保障措施；安全应用处室负责推进全行安全应用技术措施研发、集成与运营；安全运营处室负责建立网络安全监控指挥中心，开展7×24小时常态化安全监控和应急响应。

民生银行基于网络安全纵深防御体系思想，结合业界最佳实践经验，建立了贯穿网络安全、终端安全、系统安全、应用安全的纵深防护体系，形成体系化、专业化、标准化的整体解决方案。

在网络安全方面，合理划分网络安全域，实现网络有效隔离。基于垂直分层、水平分区的原则，将网络环境根据功能属性、安全差异划分为不同功能区域，具有相同安全防护需求的受保护资源集中于一个网络安全区域，明确不同网络安全域之间的访问规则基线、业务交付及信息系统维护应遵从的网络访问规则，有效防范跨区域的横向及纵向攻击，保障各区域之间的边界安全。

在终端安全方面，已建立覆盖全行的终端安全防护体系，以“主动防御”理念为基础，持续加强终端风险全面管控，实现了对终端准入控制、资产盘查、病毒查杀、补丁加固、行为监控以及隔离断网能力。民生银行对入网的各类终端设备强制进行准入安全检查；全面部署统一的桌面管理系统和杀毒软件，建立应用商店推行终端软件标准化管理，未经准入审批的软件严禁入网运行；全面部署终端EDR威胁检测工具，全量采集、分析终端异常行为数据，做到威胁主动发现、及时处置。

在系统安全方面，民生银行已制定全行统一的主机配置安全基线标准，全量部署主机安全加固系统，针对重要业务，基于主机安全系统配置重要主机进程白名单和网络连接基线，防止服务器发生未经过认证或授权的程序运行和访问行为。通过推进虚拟机和容器安全的协同，实现系统虚拟化安全防护，将计算、网络、存储资源进行池化管理，实现操作系统和应用程序空间安全和环境隔离，提供动态化、隔离化的系统安全服务。

在应用安全方面，民生银行全面推进“嵌入式”应用安全防护能力，在网络边界串接部署WAF应用安全防火墙，通过“一站一策”实现应用精准安全防护；在应用服务器探索部署RASP运行时安全防护程序，通过高危函数、敏感操作监控等策略实现应用层威胁监测预警，有效补充传统基于攻击特征的NDR等措施在应对零日漏洞攻击时的安全能力不足。

民生银行以实战化思想为核心，以平战结合为目的，围绕体系化、常态化构建网络安全防御能力，将安全产品的堆叠转换为安全能力的输出，充分从攻防实战角度，从监测预警、响应处置、协同联动、追踪溯源等维度构建自身的安全运营防御体系。

在监测预警方面，已建立基于网络安全、终端安全、系统安全、应用安全等多维度的异常监测指标体系和预警机制，针对关键信息技术资源、网络攻击情况开展实时监测，对监测指标的异常波动及时预警。充分运用安全威胁情报，针对安全漏洞、勒索软件、APT组织攻击等情报，建立专业团队开展情报信息分析研判，发掘出可行动性的预警情报，指导安全响应处置等工作。

在响应处置方面，民生银行持续推进安全运营工作自动化转型，将原有以SIEM为单核的安全运营工作模式转化为以SIEM和SOAR双核驱动的自动化安全运营工作模式。SIEM完成攻击告警自动化归并和辅助分析；SOAR完成安全事件自动化响应和处置，释放安全运营工作所需人力资源。民生银行持续优化安全事件处置预案，结合最佳实践，使预案中涉及的场景覆盖范围更加丰富，事件处置动作精准可落地。目前，自动化处置场景已包括了攻击源封禁、失陷终端隔离、失窃账号冻结、未知恶意样本查杀、钓鱼邮件删除等主要风险场景。

在协同联动方面，民生银行已构建贯通行业网络空间力量的“水平”联防联控机制和监管与下属机构的“垂直”协同联动机制。民生银行与国家职能机构、网络运营商、安全厂商建立无缝对接机制，实现了安全封禁、威胁情报共享、攻击流量清洗、钓鱼网站关停、协同演练等能力，并依托行业安全威胁情报，辅助安全决策。此外，民生银行建立了全行网络安全工作应急联络机制，从平台、技术、流程、人员等多个维度落实措施，实现全行安全威胁“快速发现、快速处置”工作目标。

在追踪溯源方面，加强威胁情报应用和攻击溯源技术研究。民生银行成立多个专项技术研究小组，包括蜜罐诱捕、情报溯源、恶意样本逆向分析、攻击指纹分析等，积极参与行业威胁情报课题研究。此外民生银行持续开展业务安全防护，配合公安机关打击地下黑产组织，近三年来识别跟踪涉黑、涉诈黑产攻击团伙几十个，持续压降了我行在同业中的对公、对私涉诈账户数量排名。

民生银行围绕网络安全技术对抗，在培养实战型人才队伍和实战措施方面不断历练，系统提升攻防两端技术能力。

在攻防实战演练方面，民生银行每年常态化开展多轮次全行级别的“真攻真防”安全演练。在2023年的安全演练中固化了27个应急处置场景，修订了7份应急响应预案。通过常态化的实战演练、标准化的事件分析和应急响应流程，验证针对各种攻击场景下的发现和应急处置能力，形成“肌肉记忆”，从而提升应急团队的快速研判和响应能力。上述工作常态化的有序开展，确保了重要保障时期安全防护工作的有效落地。

在人才队伍培养方面，民生银行持续完善网络安全攻防人才教育训练和人才培养机制。建立网络安全高端人才发现、选拔、使用机制，坚持培养和引进并重，培养攻防兼备的专门队伍；建立战练结合的网络安全教育训练体系，建设网络安全教育训练基地，突出实战实训，加强高端人才培养和能力提升；组织力量，积极参加公安部组织的“网鼎杯”等网络安全比武竞赛，并组织开展行业内网络安全比武竞赛，练战结合，不断发现选拔和培养高端专业人才，壮大队伍，大力提升网络攻防队伍实战能力；积极参与国家网络攻防实战演习，多次获得优异成绩。

在实战装备能力提升方面，民生银行构建了“武器库”以提升攻防实战能力。武器库是攻防队伍的基础装备，也是衡量企业网络安全技术对抗能力的重要基础。同时，民生银行持续开展应用安全和基础组件安全漏洞研究、攻击方法研究等基础安全工作，强化漏洞储备及团队作战能力，加强红蓝队协同联动，从漏洞分析、风险排查、安全加固、应急处置等方面形成合力。攻击与防守能力的相互促进，形成整体安全能力不断提升的良性循环。

网络安全是一个动态发展、持续对抗的过程。习近平总书记强调“没有网络安全就没有国家安全”，新时期网络安全工作使命光荣、责任重大，民生银行将深入学习贯彻党的二十大精神，以三年规划为契机，汲取当前国际冲突下的网络战经验，不断提升安全攻防实战能力，进一步做好极端场景和常规环境下的网络安全保障工作，落实好关键信息基础设施运营者的主体责任，为数字经济高质量发展保驾护航。

（来源：金融电子化）