漏洞管理

“盛邦安全银行安全漏洞管理解决方案，凭借其多形态的产品设计，很好满足了行内漏洞管理的场景化需求，使漏洞管理不仅在合规性方面满足了监管要求，而且极大地提升了管理的便捷性，整体上提升了我行网络的安全稳定运行水平。”—— 某银行客户

客户需求

随着信息技术的飞速发展和金融信息化应用水平的不断提高，信息科技与金融机构经营活动的不断融合，信息科技已成为金融机构实现经营管理、业务运行、分析决策、行业创新的强大技术保障。然而，在信息科技助力银行高速发展和服务转型的同时，银行业金融机构面临严峻的安全挑战。其中之一是来自网络攻击者利用系统存在的安全漏洞对金融机构的攻击，如利用电子银行WEB站点，XSS跨站攻击、SQL 注入、恶意代码等；除了WEB应用本身的安全问题，内网众多的服务器、数据库、弱口令等安全隐患同样使银行处于日益严重的安全威胁中；银行客户的网络信息安全需求主要呈现以下特点：

·  业务繁杂，系统众多并相互关联交错；

·  使用人员众多，人员权限层次复杂；其中对外包公司和外包人员的依赖性加大了系统管理的复杂度；

·  信息系统集中管理，同时也带来风险的集中；

·  总行对分支行制定统一的管控策略，进行统一管理；

·  银行业务交易及时性强、时效性长，安全事件危害影响大；

针对这些特点，从银行信息资产风险评估层面，通常存在以下需求：

·  需要提供可以稳定部署在机房的设备供全网检查；可灵活部署的设备用于单个小型局域网检查；便携式设备用于垂直监查；

·  可自动识别网络环境中的未知资产，并对全部业务系统进行系统扫描、WEB扫描、数据库扫描及其弱密码检测；

·  要求单台设备集成主机漏洞扫描、web应用漏洞扫描和数据库漏洞扫描的全部功能，避免单独配置带来的庞大工作量；

·  要求可扩展安全配置核查功能、含等级保护核查模块；

·  主机漏洞扫描必须具备包含传统主机完整扫描过程的一系列核心功能，存活判断、端口扫描、服务识别、OS判断、口令猜测等。 Web应用漏洞扫描必须能够检测主流的各类web应用漏洞，如SQL注入检测、跨站脚本攻击检测、跨站请求伪造检测。对网页挂马检测、暗链检测、Web服务（如IIS、Tomcat、Apache等）漏洞的检查。

解决方案

盛邦安全银行安全漏洞管理解决方案，将高端一体化漏洞评估系统旁接部署在核心交换机上，对全网网元进行资产识别、漏洞检查、弱口令扫描；桌面级SOHO设备部署在运维人员的工作区域，在有紧急扫描需求及日常验证等需求时使用；PAD扫描器供安全管理人员外出对分行进行垂直监查时使用，也可在空闲时接入网络当作轻量级工控机执行扫描任务；支持虚拟化安装的漏洞扫描器，可以满足用户越来越普及的虚拟化IT环境。

·  高端一体化漏洞评估系统；

·  桌面级SOHO设备；

·  便携式PAD扫描器；

·  支持虚拟化安装的漏洞扫描器；

运行效果

WebRAY多种形态的漏洞评估系统，不仅能满足银行客户对于不同应用场景的使用需求，还可以帮助客户发现网络环境内在线使用资产，并对其进行风险评估；能够很好地实现资产检查、风险评估的需求，产品主要特点如下：

·无限制资产扫描，高效评估

高端的一体化漏洞评估系统扫描系统、WEB、数据库资产数均无限制，满足银行庞大系统数量的需求，且并发扫描数可达数百以上，可快速高效的检测系统存在的风险；

·多形态设备种类，满足多场景使用需求

WebRAY一体化漏洞评估系统具备机架式、桌面级、手持PAD三种形态，尤其PAD形态，是业内首款成熟应用于日常检查中的评估类产品；

·一体化功能，减少运维压力

集系统扫描、WEB扫描、数据库扫描、配置核查、弱口令检测于一体，可在单台设备实现多种扫描任务，并统一输出报表供漏洞修补及运维人员参考；

·个性化服务，满足定制化需求

针对银行客户的特色需求，可提供定制化服务，保证在平台上实现用户的客观需求，达到真正为客户所用，帮助客户发现问题、解决问题的目的。