紫金嗅探犬:为银行ATM 自助设备安全运行保驾护航……《中国金融电脑》2017年08月刊


紫金嗅探犬:为银行ATM 自助设备安全运行保驾护航

——访深圳市紫金支点技术股份有限公司研发中心总经理葛志标

《中国金融电脑》记者 郝京


  随着移动互联网、云计算、大数据、人工智能等新金融科技发展,银行业面临巨大的转型压力。国内各家银行为了降低实体渠道的运营成本,纷纷加大对ATM自助设备的投入,以期通过机器替代人工的方式来实现网点转型。但是,当前ATM 自助设备信息安全领域的风险还比较高,针对ATM 自助设备入侵及作案的安全事故层出不穷,给银行和客户带来巨大的安全隐患。

  近年来,不法分子针对金融自助机具的作案手段越来越技术化,作案方式也在转变:从利用硬件设备手段(如复制卡+ 盗取密码)获得持卡人关键信息,扩展到攻击ATM 自助设备盗取设备的存量现金,再到利用网络入侵直接远程操控设备出钞等。表1 列出了近年发生的利用网络作案的ATM 自助设备安全事故及侵害方式。

  信息技术安全是金融企业的生命,在深圳市紫金支点技术股份有限公司(以下简称“紫金公司”)研发中心总经理葛志标看来,伴随金融科技的高速发展,各类金融信息安全风险会越来越高,应该优先保障金融企业的信息安全。

《中国金融电脑》:当前ATM 自助设备面临的安全问题主要有哪些?

葛志标:目前,如何打造一个更高规格的ATM 自助设备安全交易平台,有效防范ATM 自助设备犯罪,保证ATM 自助设备安全已经成为行业关注的课题。相关部门也制定了相应的政策和标准,中国人民银行办公厅发布《金融业信息安全风险提示》通知,要求加强信息系统安全管理,提升风险防范能力。总体来看,当前ATM 自助设备面临的安全问题主要有5 个方面。

(1)操作系统漏洞

  操作系统漏洞是指应用软件或操作系统软件在逻辑设计上的缺陷或错误。系统供应商发现漏洞后,会通过下发补丁包的方式来修复漏洞,但由于ATM 自助设备网络环境相对封闭,难以实时更新,造成系统补丁包更新相对滞后,不能及时应对和有效抵御新的攻击。

(2)不必要程序/ 系统组件/ 服务的安装

  ATM 自助设备的相关应用程序使用到了部分系统组件,可能会存在一些不必要的安装程序、组件、服务,这些组件中可能会存在一些安全隐患,短板效应会使系统陷入潜在的威胁中。

(3)对未知进程缺乏监控

  系统中可能运行了一些未知进程,这些进程有些可能是正常业务用到的,有些可能是病毒进程,部分程序也能通过自动运行等手段运行一些非法进程,进而对客户数据造成威胁。

(4)U 盘病毒、光盘等外部介质感染

  维护人员拷贝数据常使用U 盘,U 盘在使用过程中容易交叉感染,将一些病毒程序带入ATM 自助设备,导致程序被感染或者篡改,从而对持卡人数据及银行数据构成威胁。另外也存在网络端口未进行防护,系统打开未知链接而遭受感染的情况。

(5)未授权控制现金模块的程序

  ATM 自助设备直接与现金打交道,对现金模块的控制至关重要,如果其他程序可以控制现金模块,将威胁到ATM 的安全。

  以上这些安全问题,构成了当今银行ATM 自助设备系统运行的主要威胁,不法分子通常会利用这些漏洞来入侵ATM 自助设备,进而控制ATM 自助设备。

《中国金融电脑》:紫金公司作为专业ATM 应用和系统安全解决方案提供商,在为ATM 自助设备提供安全防护方面有什么作为?

葛志标:目前针对ATM 自助设备的专业安全防护软件不多,并且防护角度不全,有的只侧重对恶意程序入侵的方式防护,缺乏侵入后的防护机制。在银行ATM 自助设备面临诸多安全隐患面前(如网络漏洞,端口访问漏洞等),一套完整的针对性ATM 自助设备的系统安全防护软件,将在系统安全防护方面起到核心作用,防护恶意程序入侵,切实保护数据的安全,有力保障设备安全稳定运行。

  针对ATM 自助设备信息安全方面存在的问题,紫金公司进行了深入和系统的研究,提出了ATM 自助设备智能安全防护解决方案,并推出了紫金嗅探犬软件,根据恶意程序入侵的途径,以及恶意程序潜入后发挥作用的过程,应对策略可分三个层面进行拦截和防护:端口层、系统层、数据层。紫金嗅探犬软件从端口防护、系统防护和数据防护三个层面解决安全问题。三层防护设计,全面彻底地保障系统安全。

1. 第一层防护:端口防护

  端口防护也称为外部防护,将威胁于终端之外防止恶意程序通过端口入侵,端口包括网络、USB 口、光驱、软驱等与外部联系的端口。

(1)U 盘防护

  对U 盘接入和数据访问进行授权控制,经过授权的U 盘在特定的时间段内能够进行数据访问,非法U 盘不能对数据进行访问。紫金公司已经申请了针对U 盘防护技术专利——《一种基于ATM 自助设备的U 盘授权方法及系统》。

(2)网络端口防护

  通过建立防火墙,只允许白名单内的IP 和端口接入。可以设置浏览器智能访问白名单内的链接。如果有非法链接访问会在后台进行报警提示。

(3)光驱/ 软驱端口防护

  对重要数据访问和进程启动都设有权限保护,确保光驱/ 软驱端口的安全。

2. 第二层防护:系统层防护

  控制恶意程序,不让其发挥作用。如果恶意程序已入侵到系统,则需要保证恶意程序没有权限调用系统现金模块。系统防护主要包括PCIDSS 评分、进程防护、现金模块防护。

(1)PCI DSS 评分

  检查PCI DSS 标准实施情况,进行量化评分,实时掌握ATM 自助设备安全动态,为ATM 安全评估决策提供依据。

(2)进程防护

  对系统运行进程进行黑白名单控制,只允许白名单进程运行,并进行签名验证,加强ATM 自助设备运行进程管理,切断未知病毒传播途径,保证系统安全性。

(3)现金模块防护

  目前银行ATM 自助设备基本采用基于XFS/CEN标准架构的厂商系统,如果对XFS 指令的调用者不做身份验证控制,不法分子就会伪装成正常应用,通过XFS指令控制ATM 自助设备。如“台湾一银”案中的恶意程序能显示ATM 自助设备内部钱箱状态及钱箱剩余金额等数据,能绕过正常取款逻辑,直接调用XFS 出钞指令,让机器自动吐钞。还有2016 年11 月,恶意程序Ploutus-D 以ATM 供应商Diebold 为目标,伪装成正常应用程序,配合攻击者盗取ATM 自助设备现金。

  在应用层和服务提供层之间,建立一层金融防护认证模块,校验调用者的合法性,即可解决“台湾一银”现金模块非法调用出钞指令问题。另外需要定时检查系统高风险服务状态,如发现风险及时警报和修复。对于ATM 现金模块,只有授权进程才能进行访问,保障现金模块不被其他恶意程序控制。针对金融模块防护技术,紫金公司的“一种基于XFS 命令的调用身份认证方法及系统”已获得了国家发明专利。

3. 第三层防护:数据层防护

  银行ATM 自助设备上存储了大量的银行业务数据和客户信息数据,这些数据信息一旦外泄会对银行和银行的客户造成非常大的损失,因此,银行必须确保终端数据安全。数据层防护包括文件/ 目录防护,注册表项防护,敏感信息防护等。可以做到数据不怕丢,保护用户隐私不被非法窃取。

(1)文件/ 目录防护

  对指定文件和目录进行访问控制,只允许白名单进程进行操作。

(2)注册表防护

  对指定位置的注册表项进行访问控制,只允许白名单继续进行操作。

(3)敏感数据防护

  根据PCIDSS 要求对重要敏感信息进行监控,防止在日志记录,流水文件等输出信息中以明文的方式显示客户及银行的敏感信息,如密钥、账号、卡信息等。如果恶意程序隐藏较深,只潜伏在后台监听和记录客户的重要信息,则很难发现系统内已被植入恶意程序。为了保障数据安全,需要对系统内所有程序记录信息的动作进行监控,对涉及到记录敏感信息的动作立即发送警报。

  目前大多数银行的终端设备上都安装了杀毒软件,来进行病毒防护和安全防护。紫金嗅探犬软件与银行现有的安全防护软件(杀毒软件)不是冲突关系,而是互补关系,相比通用型杀毒软件,紫金嗅探犬软件从入侵到发挥效用途径上,能提前应对恶意程序的变种和未知特征行为(见表2)。同时作为专业ATM 自助设备安全产品,不会造成通用型防病毒软件产生的系统速度慢、不稳定等影响客户使用的副作用。

《中国金融电脑》:紫金嗅探犬软件在提升ATM自助设备安全性方面有什么独特优势?

葛志标:当前金融科技高速发展,银行业面临的网络和信息安全形式日趋复杂,威胁日益加大,紫金嗅探犬软件结合银行现状,在如何遵循支付卡行业数据安全标准有效地创建安全的支付环境,建立健全的系统管理机制,定义完备的数据保密机制,实现有效的病毒防控机制等方面进行了深入分析和规划。紫金嗅探犬软件的实施,将给银行ATM 自助设备渠道信息安全带来非常显著的管理优势,主要表现在:

(1)多层次防护设计,全面彻底保障系统安全;

(2)客户/ 服务端联动机制,实时掌握自助设备安全动态;

(3)实时修复检测漏洞项目,提高运行环境的整体安全水平;

(4)PCI DSS 量化评分,为ATM 自助设备安全评估提供决策依据;

(5)基于XFS 标准现金模块防护功能,实时掌握异常信息,及时处理突发事件;

(6)云模式技术架构,管机员对设备统一管理,有效对厂商和管机员进行考核;

(7)安全策略集中发布,无需人为干预,节约维护成本;

(8)减少意外的财产损失,提高ATM 自助设备自身抵御风险能力。

  截止目前,紫金嗅探犬已在天津滨海农商银行、昆仑银行、北京农村商业银行、中国光大银行、日照银行投产应用,从运行情况看,系统运行稳定,客户反响良好。紫金公司作为专业ATM 应用和系统安全解决方案提供商,将会继续对新技术和新应用为ATM 自助设备带来的安全威胁进行分析,不断完善ATM 自助设备智能安全防护解决方案,为银行ATM 系统的安全、可靠、稳定运行保驾护航。